Eine E-Mail mit Personendaten ging an die falsche Person: Ist das eine Verletzung?
Von Advisorn · aktualisiert am 25. Oktober 2026 · Art. 5 lit. h und 24 DSG, Art. 15 DSV, Art. 33-34 DSGVO
Kurz gesagt
Ja. Personendaten einer unbefugten Person offenzulegen, auch aus Versehen, ist eine Verletzung der Datensicherheit (Art. 5 lit. h DSG). Dem EDÖB zu melden ist sie nur, wenn sie voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt (Art. 24 DSG), etwa wenn sie Gesundheitsdaten oder viele Kundendaten enthält; zu dokumentieren ist sie in jedem Fall (Art. 15 Abs. 4 DSV).
Was sofort zu tun ist
- den Empfänger bitten, die E-Mail zu löschen und dies schriftlich zu bestätigen;
- wenn möglich die Nachricht zurückrufen und geteilte Links sperren;
- beurteilen, welche Daten darin waren, wie viele Personen betroffen sind und wer der Empfänger ist;
- entscheiden, ob das Risiko hoch ist und ob die betroffenen Personen zu informieren sind;
- Tatsachen, Beurteilung und Massnahmen festhalten.
Damit es nicht wieder passiert
Die automatische Vervollständigung der Empfänger ist die häufigste Ursache. Es helfen eine Sendeverzögerung von einigen Sekunden, ein Hinweis bei externen Empfängern und der Versand heikler Dokumente über einen geschützten Link statt als Anhang.
Verwandte Fragen
Passende Vorlagen
Allgemeine Informationen, keine Beratung zu Ihrem Fall: Für Ihren Fall gilt der Gesetzestext. Für eine Frage zu Ihrem Fall gibt es die Beratung von Advisorn.