Wenn Sie fremde Kontaktdaten versehentlich an die falsche Person senden oder ein privates Foto öffentlich teilen, kann eine Datenpanne vorliegen. Ob die DSGVO gilt, ein Anspruch auf Schadensersatz besteht und Ihre private Haftpflichtversicherung zahlt, sind getrennte Fragen. Entscheidend sind Zweck und Reichweite der Offenlegung, ein tatsächlich entstandener Schaden und die Vertragsbedingungen. Ein Fehlklick begründet für sich genommen weder eine Meldepflicht noch einen Schadensersatzanspruch oder eine Versicherungsleistung.
Was als Datenpanne gilt
Die DSGVO bezeichnet als Verletzung des Schutzes personenbezogener Daten einen Sicherheitsvorfall, bei dem Daten unbeabsichtigt oder unrechtmäßig verloren gehen, verändert, offengelegt oder für Unbefugte zugänglich werden. Personenbezogen sind Informationen, die sich auf eine bestimmte oder bestimmbare Person beziehen, etwa Name, Adresse oder Gesundheitsangaben. Ein versehentlich falsch adressierter Anhang mit solchen Angaben kann daher eine Datenpanne sein.
Nicht jeder Datenschutzrechtsverstoß ist zugleich eine Datenpanne. Werden beispielsweise Informationspflichten verletzt, ohne dass Daten verloren gehen oder offengelegt werden, liegt möglicherweise ein Datenschutzproblem vor, aber keine Datenpanne im engeren Sinn der DSGVO.
Wann die DSGVO für private Daten gilt
Die DSGVO gilt nicht für eine natürliche Person, die Daten ausschließlich für persönliche oder familiäre Tätigkeiten verarbeitet, ohne beruflichen oder wirtschaftlichen Bezug. Ein privates Adressbuch oder eine Nachricht an einen engen Familienkreis kann darunterfallen. Die Ausnahme hängt aber vom tatsächlichen Zweck und Empfängerkreis ab, nicht davon, ob Sie Ihr privates Handy oder ein privates Konto verwenden.
Bei sozialen Netzwerken kommt es auf den Einzelfall an. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit hält eine ausschließlich persönliche oder familiäre Nutzung für möglich. Die Datenschutzkonferenz nennt eine Veröffentlichung im Internet, die einer unbegrenzten Zahl von Personen zugänglich ist, als Beispiel außerhalb der Haushaltsausnahme. Das ist ein wichtiger Anhaltspunkt, aber keine pauschale Regel für jede Einstellung oder jeden Beitrag. Eine Veröffentlichung mit großer Reichweite kann deshalb anders zu beurteilen sein als eine Nachricht in einem kleinen privaten Kreis.
Auch bei einem Vorfall im privaten Bereich können zivilrechtliche Ansprüche eine Rolle spielen. Die Haushaltsausnahme schließt die DSGVO aus, sie beseitigt aber nicht automatisch alle anderen Rechte der betroffenen Person.
Meldepflichten bei einer Datenpanne
Die Meldepflichten der DSGVO treffen den Verantwortlichen. Das ist die Person oder Stelle, die über Zweck und Mittel der Datenverarbeitung entscheidet. Wer in einer Organisation versehentlich eine Nachricht falsch versendet, ist deshalb nicht automatisch selbst der Verantwortliche. Ein Auftragsverarbeiter, der Daten im Auftrag verarbeitet, muss eine Datenpanne dem Verantwortlichen unverzüglich melden.
Der Verantwortliche muss die zuständige Datenschutzaufsichtsbehörde grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden informieren. Er muss die Behörde nicht informieren, wenn die Datenpanne voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Bei einem hohen Risiko muss der Verantwortliche die betroffenen Personen grundsätzlich unverzüglich benachrichtigen. Die DSGVO sieht Ausnahmen vor, etwa wenn wirksame Verschlüsselung das Risiko für Betroffene voraussichtlich beseitigt.
Die 72-Stunden-Frist ist somit keine allgemeine Frist für jede Privatperson nach einem Fehlversand. Zuerst muss geklärt werden, ob die DSGVO überhaupt gilt und wer im konkreten Zusammenhang als Verantwortlicher handelt.
Wann Schadensersatz infrage kommt
Nach Artikel 82 der DSGVO setzt ein Schadensersatzanspruch einen Verstoß gegen die Verordnung, einen materiellen oder immateriellen Schaden und einen Zusammenhang zwischen beidem voraus. Ein Datenschutzverstoß allein führt nicht automatisch zu einer Zahlung. Die betroffene Person muss einen Schaden geltend machen; ob ein konkreter Nachteil ersatzfähig ist und wie hoch eine Entschädigung ausfällt, hängt vom Einzelfall ab.
Auch § 823 BGB begründet keine automatische Zahlung für jeden ungewollten Datenkontakt. Ein Anspruch setzt unter anderem eine rechtswidrige und schuldhafte Verletzung eines geschützten Rechts oder einen Verstoß gegen ein Schutzgesetz voraus. § 83 BDSG enthält ergänzende Regeln für Schadensersatz und Entschädigung bei rechtswidriger Verarbeitung durch einen Verantwortlichen. Daraus folgt kein pauschaler Entschädigungsbetrag für einen versehentlichen Fehlversand.
Ein Beispiel: Wird eine private Nachricht mit einer Telefonnummer an eine einzelne Person fehlgeleitet und rasch gelöscht, ist das anders zu bewerten als bei einer öffentlichen Veröffentlichung sensibler Gesundheitsdaten. Entscheidend sind unter anderem Inhalt, Empfängerkreis, weitere Verbreitung und die konkreten Folgen.
Was die Privathaftpflicht abdeckt
Eine private Haftpflichtversicherung kann gesetzliche Ansprüche aus einem privaten Schadenfall abdecken. Ob dazu auch Ansprüche wegen einer Datenschutzverletzung gehören, hängt vom Tarif und den Versicherungsbedingungen ab. Begriffe wie „Internetschutz“, „Cyber-Mobbing-Hilfe“ oder „Schutz bei Identitätsdiebstahl“ beschreiben nicht automatisch dieselbe Leistung wie die Übernahme von Haftpflichtansprüchen betroffener Personen.
Diese Produktangaben zeigen, wie unterschiedlich die Bedingungen sein können: Die VPV-Bedingungen mit Stand Oktober 2024 nennen einen Internet-Gefahren-Schutz als Zusatzleistung. Diese muss im Versicherungsschein vereinbart sein. Für bestimmte Zusatzleistungen nennen sie höchstens 5.000 Euro pro Versicherungsschein und Kalenderjahr sowie höchstens drei Fälle im Kalenderjahr. Ein Informationsbeitrag der VHV vom 13. August 2026 beschreibt dagegen, dass bestimmte gesetzliche Ansprüche aus Datenschutzrechtsverletzungen versichert sind. Dazu zählen bestimmte Vermögens- und immaterielle Schäden. Der Beitrag ist eine unverbindliche Lesehilfe. Beide Beispiele gelten für die jeweils beschriebenen Produkte und belegen keinen branchenweiten Standard.
Prüfen Sie daher den Versicherungsschein und die dazugehörigen Bedingungen. Achten Sie darauf, ob Datenschutzansprüche ausdrücklich genannt sind, welche Personen mitversichert sind und welche Ausschlüsse, Selbstbeteiligungen oder Höchstgrenzen gelten. Eine Leistung für Beratung oder Hilfe bei einem Online-Vorfall übernimmt nicht zwangsläufig eine Schadensersatzforderung.
Was Sie nach dem Vorfall tun sollten
Verhindern Sie zuerst, dass sich die Daten weiter verbreiten. Löschen oder sperren Sie einen öffentlichen Beitrag, stoppen Sie einen Freigabelink und bitten Sie einen irrtümlichen Empfänger, die Nachricht zu löschen und nicht weiterzuleiten. Bewahren Sie zugleich Nachweise zum Vorfall auf, etwa Zeitpunkt, Inhalt, Empfängerkreis und bereits ergriffene Maßnahmen. Das hilft bei der rechtlichen und versicherungsvertraglichen Prüfung.
Prüfen Sie danach, ob Sie ausschließlich privat gehandelt haben oder ob ein beruflicher, wirtschaftlicher oder organisatorischer Zusammenhang besteht. Wenn Sie Daten für einen Verein, einen Arbeitgeber oder ein Unternehmen verarbeiten, informieren Sie unverzüglich den zuständigen Verantwortlichen oder die Datenschutzstelle. Melden Sie den Vorfall nicht selbst bei der Aufsichtsbehörde, wenn dafür die Organisation zuständig ist.
Wenn eine betroffene Person eine Forderung stellt, leiten Sie diese zeitnah an Ihren Haftpflichtversicherer weiter und zahlen Sie nicht und erkennen Sie keine Haftung an, bevor der Versicherer den Fall geprüft hat. Legen Sie den vollständigen Schriftwechsel und Ihre Dokumentation vor. Bei einer öffentlichen Veröffentlichung, besonders sensiblen Angaben, mehreren Betroffenen oder einer konkreten Schadensersatzforderung ist zusätzlich eine individuelle rechtliche Prüfung sinnvoll.
