Anwendungsbereich

Information an alle Betroffenen einer E-Mail, die fälschlich mit offenem Verteiler („An:” oder „CC:” statt BCC) versandt wurde. Dadurch wurden mindestens die E-Mail-Adressen aller Empfänger gegenseitig offengelegt — typischer­weise ist das nach DSGVO eine Datenpanne, in den meisten Fällen mit Art-34-Pflicht (hohes Risiko, wenn der Verteiler Mitglieder einer schutz­würdigen Kategorie umfasst: Patienten, AA-Selbsthilfe­gruppe, Mandanten einer Rechtsanwalts­kanzlei, etc.).

Voraussetzungen

• DSB ist eingebunden und hat den Vorfall als meldepflichtig eingestuft.
• Versendete Mail liegt vor — Header und Body sind dokumentiert.
• Empfänger­liste ist gesichert — die Mail selbst gilt als Beweis.
• Aufsichts­meldung nach Art. 33 läuft parallel — diese Betroffenen­information ersetzt sie nicht.
• Geschäftsführung ist informiert — der Vorfall ist Reputations­relevant, eine professionelle Reaktion mildert den Imageschaden.
• Kein Forderungs-Ton. Eine Bitte um Löschung der ursprünglichen Mail an alle Empfänger ist rechtlich nicht durchsetzbar und wirkt hilflos. Stattdessen: Sachverhalt erklären, Risiko-Aufklärung, Maßnahmen.

Variablen

Vorlagentext

{anrede} {name_betroffener},

wir wenden uns heute mit einer Information zu einem Datenschutz­vorfall an Sie.

Was ist passiert:

Am {versanddatum} haben wir Ihnen eine E-Mail zum Thema „{kontext}” gesendet. Diese E-Mail wurde versehentlich mit offenem Verteiler verschickt — anstelle der vorgesehenen BCC-Verteilung waren die E-Mail-Adressen aller {anzahl_empfaenger} Empfänger für jeden Empfänger sichtbar.

Welche Daten von Ihnen waren sichtbar:

{sichtbare_daten}

Welche Folgen das haben kann:

Andere Empfänger der Mail kennen jetzt Ihre E-Mail-Adresse im Zusammenhang mit dem genannten Thema. Das kann insbesondere dann belastend sein, wenn der Themen­zusammenhang selbst sensibel ist. Zusätzlich besteht ein erhöhtes Risiko, dass Ihre Adresse für Phishing-Mails oder unerwünschte Werbung genutzt wird.

Was Sie selbst tun können:

{empfohlene_massnahmen}

Was wir tun:

Wir haben den Vorfall der zuständigen Datenschutz­aufsicht gemeldet. Intern stellen wir Folgendes um, damit ein vergleichbarer Vorfall ausgeschlossen wird:

{prozess_aenderung}

Wir bedauern den Vorfall ausdrücklich. Für Rückfragen erreichen Sie unseren Datenschutz­beauftragten unter {kontakt_dsb_email}.

Mit freundlichen Grüßen

{unterzeichner} {verantwortlicher}

Verbotene Inhalte

Folgendes darf NICHT in die Benachrichtigung aufgenommen werden:

• Schuldzuweisung an die handelnde Person. „Eine Mitarbeiterin hat versehentlich …” — verantwortlich ist nach DSGVO der Verantwortliche, nicht die Person, die den Knopf gedrückt hat. Sätze, die eine identifizierbare Mitarbeiterin/einen Mitarbeiter blamieren, sind arbeitsrechtlich problematisch und in der Aufsichts­bewertung negativ.
• Bitte um Löschung der Mail durch andere Empfänger. Rechtlich nicht durchsetzbar, wirkt hilflos. Wer löscht, hat die Adressen trotzdem gesehen.
• Bagatellisierung. „Da nur E-Mail-Adressen offengelegt wurden, besteht kein Anlass zur Sorge” — die Sensibilität hängt vom Thema-Kontext ab, nicht von der Datenart.
• Werbung. Wie bei TPL-006: kein Gutschein, kein Newsletter-CTA.
• Verweis auf AGB / Datenschutzerklärung als Erklärung. „Im Rahmen unserer üblichen Geschäftsabwicklung kann es zu solchen Vorfällen kommen” — nein. Ein offener Verteiler ist immer ein Fehler.
• Forderung, Stillschweigen zu bewahren. Unzulässig (siehe TPL-006).

Beispiel einer fehlerhaften Formulierung (nicht verwenden):

„Aufgrund eines unglücklichen Versehens unserer Mitarbeiterin Frau S. wurden die Empfänger der heutigen Mail an unsere Selbsthilfegruppe versehentlich sichtbar. Wir bitten alle Empfänger, diese Mail umgehend zu löschen und nicht darüber zu sprechen. Da es sich nur um E-Mail-Adressen handelt, ist die Tragweite gering.”

Begründung: drei Verstöße in einem Absatz — Namensnennung der handelnden Mitarbeiterin (Bloßstellung), nicht durchsetzbare Löschung verlangt, Stillschweige-Anordnung, Bagatellisierung — und das alles im Kontext einer Selbsthilfegruppe, also einem besonders sensiblen Thema.

Versandhinweise

• BCC, BCC, BCC. Diese Benachrichtigung selbst darf nicht der zweite offene Verteiler werden. Ausschließlich per BCC. Vor dem Versand Vier-Augen-Prinzip mit Kollegin / Kollege.
• Personalisiert wenn möglich: Wenn Klartext­namen aus dem ursprünglichen Verteiler bekannt sind, persönliche Anrede.
• Test­versand an Kontroll­postfach vor dem produktiven Versand — prüfen, ob versehentlich Adressen im sichtbaren To/CC stehen.
• Versand­zeitpunkt: Unverzüglich nach Entdeckung, idealerweise innerhalb von 24 Stunden. Je schneller, desto besser die Aufsichts­bewertung.

Aufbewahrung

• Versendete Fassung im Datenpannen-Vorgangs­ordner.
• Empfänger­liste (oder gehashed) separat als Versand­beleg.
• Aufbewahrung: mindestens 5 Jahre.

Changelog