Mehr Datenpannen, mehr Beschwerden und zunehmend professionell formulierte Betroffenenanfragen: Unternehmen sollten vorbereitet sein, bevor der erste Vorgang auf dem Tisch liegt.
Die Zahlen sind deutlich. Beim Landesbeauftragten für den Datenschutz Niedersachsen wurden im ersten Halbjahr 2026 insgesamt 1.245 Datenschutzverletzungen gemeldet. Im gleichen Zeitraum des Vorjahres waren es 786 – und das sind nur die gemeldeten Datenvorfälle(!). Das entspricht einem Anstieg von rund 58 Prozent. Bereits im September lagen in Niedersachsen mehr Meldungen vor als im gesamten Jahr 2025. Zwei Drittel der im ersten Halbjahr gemeldeten Fälle entfielen auf Unternehmen und andere nichtöffentliche Stellen.
Auch andere Aufsichtsbehörden beobachten diese Entwicklung. Die Berliner Datenschutzbehörde meldete für die ersten drei Quartale 2026 rund 40 Prozent mehr Datenschutzvorfälle als im entsprechenden Vorjahreszeitraum.
Parallel dazu steigt die Zahl der Beschwerden. In Sachsen gingen bis Ende September 2026 beispielsweise 1.836 Eingaben zu vermuteten Datenschutzverstößen ein – 52 Prozent mehr als im Vorjahreszeitraum. Die dortige Aufsichtsbehörde weist ausdrücklich darauf hin, dass KI-Anwendungen es Bürgerinnen und Bürgern inzwischen erleichtern, Beschwerden professionell zu formulieren und die richtige Behörde zu finden.
Auch wir erleben in unserer täglichen Arbeit derzeit deutlich mehr Betroffenenanfragen.
Nicht nur Hacker verursachen Datenschutzvorfälle
Wer von einer Datenpanne hört, denkt schnell an Ransomware oder einen erfolgreichen Hackerangriff. Tatsächlich sind Cyberangriffe ein wichtiger Teil des Problems. Der häufigste Grund ist jedoch oftmals wesentlich alltäglicher.
Die niedersächsische Aufsichtsbehörde nennt insbesondere Fehlversand und versehentliche Offenlegung personenbezogener Daten. Ein Dokument wird an die falsche E-Mail-Adresse geschickt, eine Verteilerliste wird offen versandt oder Informationen werden versehentlich im Internet zugänglich gemacht.
Genau deshalb lässt sich Datenschutz nicht ausschließlich an die IT-Abteilung delegieren. Jeder Mitarbeiter, der mit personenbezogenen Informationen arbeitet, kann mit einem möglichen Datenschutzvorfall konfrontiert werden.
Entscheidend ist dann weniger, ob ein Fehler passiert ist. Entscheidend ist, wie schnell und professionell das Unternehmen darauf reagiert.
Bei Datenschutzvorfällen läuft die Uhr
Bei meldepflichtigen Datenschutzverletzungen sieht die DSGVO grundsätzlich eine Frist von 72 Stunden nach Bekanntwerden vor, innerhalb derer die zuständige Aufsichtsbehörde informiert werden muss.
Nicht jeder Vorfall muss gemeldet werden. Jeder relevante Vorgang muss jedoch zunächst bewertet werden.
Genau dafür braucht es Zeit.
Welche Daten sind betroffen? Wie viele Personen? Welche Informationen konnten möglicherweise eingesehen werden? Wer hatte Zugriff? Können weitere Schäden verhindert werden? Besteht ein Risiko für die betroffenen Personen?
Wenn ein Vorfall erst zwei Tage intern liegen bleibt, bevor Datenschutzverantwortliche oder der Datenschutzbeauftragte davon erfahren, wird diese Prüfung unnötig schwierig.
Deshalb ist eine schnelle interne Meldekette entscheidend.
Bitte nicht selbst „weglösen“
Ein häufiger Fehler besteht darin, zunächst zu versuchen, einen Vorgang selbst zu bereinigen.
Eine E-Mail wurde an den falschen Empfänger geschickt? Dann wird dieser angerufen und um Löschung gebeten. Das ist grundsätzlich sinnvoll. Gleichzeitig sollte der Datenschutzvorfall aber dennoch intern gemeldet und bewertet werden.
Eine schnelle technische oder organisatorische Lösung ersetzt nicht die datenschutzrechtliche Prüfung.
Dasselbe gilt bei Cyberangriffen. Wenn ein kompromittiertes Konto gesperrt oder ein Server vom Netz genommen wurde, kann der akute Angriff vielleicht gestoppt sein. Trotzdem muss anschließend geklärt werden, ob personenbezogene Daten betroffen waren und welche weiteren Verpflichtungen daraus entstehen.
Auch Betroffenenanfragen brauchen einen definierten Weg
Ähnlich verhält es sich mit Auskunfts-, Lösch- oder anderen Betroffenenanfragen. Diese müssen nicht unbedingt mit dem Betreff „DSGVO-Auskunft nach Art. 15“ eingehen.
Ein Kunde kann beispielsweise schlicht schreiben: „Bitte teilen Sie mir mit, welche Daten Sie über mich gespeichert haben.“
Auch das kann eine datenschutzrechtliche Auskunftsanfrage darstellen.
Deshalb sollten insbesondere Mitarbeiter im Kundenservice, Vertrieb, Personalbereich und Empfang wissen, wohin solche Nachrichten weitergeleitet werden müssen.
Die DSGVO sieht für die Bearbeitung von Betroffenenanfragen grundsätzlich eine Frist von einem Monat vor. Je früher eine Anfrage erkannt und weitergeleitet wird, desto einfacher lässt sie sich zuverlässig bearbeiten.
Gute Prozesse verhindern unnötige Eskalationen
Ein professioneller Umgang mit einem Datenschutzvorfall oder einer Betroffenenanfrage kann erheblichen Einfluss darauf haben, wie sich die Situation entwickelt.
Wer schnell reagiert, sauber dokumentiert und erforderliche Maßnahmen ergreift, reduziert Risiken. Wer Anfragen ignoriert, Fristen verstreichen lässt oder Sicherheitsvorfälle nicht angemessen bearbeitet, erhöht dagegen die Wahrscheinlichkeit von Beschwerden, aufsichtsbehördlichen Verfahren, Bußgeldern oder Schadensersatzforderungen.
Gerade deshalb sollte der Prozess feststehen, bevor etwas passiert.
Was unsere Mandanten tun sollten
Wenn bei Ihnen ein möglicher Datenschutzvorfall auftritt oder eine Betroffenenanfrage eingeht, informieren Sie uns möglichst frühzeitig. Sie müssen nicht zunächst selbst beurteilen, ob tatsächlich eine Meldung an die Aufsichtsbehörde erforderlich ist oder ob eine Nachricht rechtlich wirklich als Betroffenenanfrage einzuordnen ist.
Genau bei dieser Bewertung unterstützen wir Sie.
Gemeinsam prüfen wir den Vorgang, dokumentieren die notwendigen Informationen und klären, welche nächsten Schritte erforderlich sind. Damit vermeiden wir unnötige Fehler und sorgen dafür, dass gesetzliche Fristen eingehalten werden.
Die aktuellen Zahlen zeigen: Datenschutzvorfälle und Beschwerden sind kein theoretisches Risiko. Sie gehören zunehmend zum Unternehmensalltag.
Gut vorbereitet zu sein bedeutet deshalb nicht, dass nichts passieren darf. Es bedeutet, dass im richtigen Moment jeder weiß, was zu tun ist.