Es kommt auf den Inhalt und den Empfänger an — pauschal ja oder nein ist beides falsch. Eine Mail mit einem Terminvorschlag an einen bekannten Geschäftspartner, der sie löscht und das bestätigt, führt voraussichtlich zu keinem Risiko und ist nicht zu melden. Eine Mail mit einer Gehaltsabrechnung, einer Krankmeldung, einer Kundenliste oder einem Vertrag an einen unbekannten Empfänger ist zu melden.
Prüfen Sie in dieser Reihenfolge. Erstens: Welche Daten standen darin, einschließlich Anhängen und Mailverlauf darunter? Zweitens: Wie viele Personen sind betroffen? Drittens: Wer hat sie jetzt — eine vertrauenswürdige Stelle oder ein Unbekannter? Viertens: Lässt sich der Schaden begrenzen, etwa durch Rückruf der Nachricht im eigenen System oder durch eine glaubhafte Löschbestätigung?
Der Rückruf funktioniert nur innerhalb derselben Organisation und nur, wenn die Nachricht nicht gelesen wurde — nach außen ist eine Mail unwiderruflich. Bitten Sie den Empfänger schriftlich um Löschung und lassen Sie sich die Löschung bestätigen. Diese Bestätigung ist ein wichtiger Teil Ihrer Risikobewertung und gehört ins Protokoll.
Was Sie nie tun sollten: den Fehler beim Mitarbeiter abladen. Falschadressierung entsteht durch die automatische Vervollständigung des Mailprogramms, also durch die Software — jeder macht sie irgendwann. Wenn der Vorfall Konsequenzen für den Einzelnen hat, wird der nächste Fehler verschwiegen, und dann verlieren Sie die 72 Stunden. Die richtige Reaktion ist der Hinweis auf die Hausregel: externe Empfänger vor dem Senden einmal laut lesen.
Fundstelle: Art. 4 Nr. 12, Art. 33 Abs. 1, Art. 34 DSGVO