Datenpanne durch den Verlust von Unterlagen auf dem Postweg?

Datenschutzrechtliche Anforderungen für Unternehmen und Meldepflichten nach der DSGVO im Überblick

Der postalische Versand von Unterlagen gehört in vielen Unternehmen zum Geschäftsalltag. Häufig enthalten diese personenbezogene Daten. Gehen solche Sendungen verloren, kann dies datenschutzrechtliche Konsequenzen nach sich ziehen.

Entscheidend ist, ob durch den Verlust ein Risiko für die Rechte und Freiheiten der betroffenen Personen entsteht. Ist dies der Fall, kann ein meldepflichtiger Datenschutzvorfall im Sinne der DSGVO vorliegen.

Wann muss eine Datenschutzverletzung der Aufsichtsbehörde gemeldet werden?

Erreicht eine Postsendung mit personenbezogenen Daten den vorgesehenen Empfänger nicht und ist von einem Verlust auszugehen, kann eine Datenschutzverletzung im Sinne von Art. 33 DSGVO vorliegen. Ein Risiko liegt insbesondere dann nahe, wenn sensible Daten wie Gesundheitsdaten, Finanzinformationen oder Identitätsnachweise betroffen sind. Ob eine Meldepflicht besteht, hängt insbesondere von Art, Umfang, Anzahl und Sensibilität der betroffenen Daten ab.

Geht eine Sendung verloren oder erlangt ein unbefugter Dritter Kenntnis von ihrem Inhalt, können hieraus Risiken für die Rechte und Freiheiten der betroffenen Personen entstehen. Nach Art. 33 DSGVO ist der Verantwortliche verpflichtet, die zuständige Aufsichtsbehörde zu benachrichtigen, wenn eine Verletzung des Schutzes personenbezogener Daten voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Besteht sogar ein hohes Risiko, sind nach Art. 34 DSGVO zusätzlich die betroffenen Personen zu informieren.

Wer ist für die Meldung verantwortlich?

Nach Art. 33 DSGVO obliegt die Meldung von Datenschutzverletzungen dem Verantwortlichen. Vor diesem Hintergrund stellt sich bei Verlust oder Fehlzustellung von Postsendungen regelmäßig die Frage nach der datenschutzrechtlichen Verantwortung.

Rolle des Postdienstleisters

Postdienstleister erbringen in der Regel eine eigenständige Transportleistung und handeln nicht als Auftragsverarbeiter, sondern als eigenständige Verantwortliche im Sinne der DSGVO.

Verantwortlichkeit bei Verlust einer Sendung

Zwar könnte zunächst angenommen werden, dass mit Übergabe der Sendung auch die datenschutzrechtliche Verantwortlichkeit auf den Postdienstleister übergeht. In der Praxis sprechen jedoch mehrere Gründe dafür, dass die datenschutzrechtlichen Pflichten weiterhin beim Versender liegen:

1. Fehlende Kenntnis vom Vorfall

Postdienstleister erkennen den Verlust einzelner Sendungen regelmäßig nicht eigenständig, insbesondere wenn keine besondere Sendungsverfolgung oder Zustellbestätigung vorgesehen ist. Ohne Kenntnis vom Vorfall können weder eine Risikobewertung noch eine fristgerechte Meldung erfolgen. Der Versender hingegen wird das Ausbleiben der Zustellung auffallen.

2. Fehlende Kenntnis vom Inhalt der Sendung

Nur der Versender kennt den konkreten Inhalt der Sendung, die Art der enthaltenen personenbezogenen Daten, deren Sensibilität, sowie die potenziellen Auswirkungen für die betroffenen Personen. Der Postdienstleister hat regelmäßig keine Kenntnis vom Inhalt und kann daher keine Risikobewertung nach Art. 33, 34 DSGVO vornehmen.

3. Fehlender Kontakt zu den Betroffenen

Eine Benachrichtigung der Betroffenen setzt voraus, dass die betroffenen Personen identifiziert und kontaktiert werden können. Der Postdienstleister steht typischerweise in keiner datenschutzrechtlichen Beziehung zu den Betroffenen und verfügt nicht über die erforderlichen Hintergrundinformationen. Der Versender hingegen kann die Betroffenen ohne Weiteres informieren.

4. Zeitpunkt des Verlustes regelmäßig unbekannt

Zuletzt lässt sich häufig nicht eindeutig feststellen, an welcher Stelle der Verlust oder die Fehlzustellung erfolgt ist. Eine klare Zuordnung zur Sphäre des Postdienstleisters ist daher oft nicht möglich.

Auch wenn der Verlust faktisch im Verantwortungsbereich des Postdienstleisters eintritt, verbleibt die Pflicht zur Vornahme einer Risikobewertung und etwaigen Meldung nach Art. 33 DSGVO regelmäßig beim Versender.

Der Versender muss daher prüfen, ob ein meldepflichtiger Datenschutzvorfall vorliegt und diesen unverzüglich – in der Regel innerhalb von 72 Stunden – der zuständigen Datenschutzaufsichtsbehörde melden.

Für die Fristberechnung kommt es darauf an, wann der Verantwortliche hinreichende Kenntnis vom möglichen Verlust erlangt.

Bedeutung für Unternehmen

Beim Versand personenbezogener Daten ist besondere Sorgfalt geboten. Gehen Unterlagen auf dem Postweg verloren, kann dies abhängig von Art und Sensibilität der Daten ein Risiko für die betroffenen Personen begründen und eine Meldepflicht nach Art. 33 DSGVO auslösen.

Der Versender bleibt auch nach Übergabe an den Postdienstleister datenschutzrechtlich Verantwortlicher. Er muss im Verdachtsfall eine Risikobewertung vornehmen und über eine Meldung entscheiden.

Fazit & Handlungsempfehlungen

Nicht jede verlorene Postsendung ist automatisch meldepflichtig. Entscheidend ist, ob durch den Verlust ein Risiko für die Rechte und Freiheiten der betroffenen Personen entsteht.

Beim Versand personenbezogener Daten sollten Unternehmen präventiv organisatorische Vorkehrungen treffen, um im Verdachtsfall rechtssicher handeln zu können.

Praxis-Tipps:

1. Einführung verbindlicher Vorgaben zum Versand personenbezogener Daten

Legen Sie fest, unter welchen Voraussetzungen und auf welchem Weg Unterlagen mit personenbezogenen Daten versendet werden dürfen.

2. Auswahl geeigneter Versandarten

Nachverfolgbare Versandarten (z.B. Einschreiben, Zustellnachweis) sollten insbesondere dann gewählt werden, wenn die versendeten personenbezogenen Daten im Verlustfall ein Risiko für die Rechte und Freiheiten der betroffenen Personen begründen und damit eine Meldepflicht auslösen könnten.

3. Frühzeitige Kontrolle bei ausbleibender Zustellung

In der datenschutzrechtlichen Praxis wird das mehrtägige Ausbleiben einer Zustellung, etwa fünf Tage nach Versand, als mögliches Indiz für einen Verlust gewertet. Innerhalb dieses Zeitraums sollte überprüft werden, ob die Sendung beim Empfänger eingegangen ist. Liegt keine plausible Erklärung vor, sollte der Vorgang als möglicher Datenschutzvorfall bewertet werden.

4. Schulung und Sensibilisierung von Mitarbeitenden

Mitarbeitende, die Unterlagen mit personenbezogenen Daten versenden, müssen wissen, wann ein erhöhtes Risiko vorliegt, welche Versandart zu wählen ist, wann eine ausgebliebene Zustellung meldepflichtrelevant sein kann und welche internen Schritte im Verdachtsfall einzuleiten sind.

Klare Regelungen, dokumentierte Prozesse und geschulte Mitarbeitende sind entscheidend, um Haftungsrisiken zu reduzieren und im Ernstfall fristgerecht und rechtssicher zu handeln.