Beim Landesbeauftragten für den Datenschutz Niedersachsen (LfD) sind im ersten Halbjahr 2026 1.245 Verletzungen des Schutzes personenbezogener Daten gemeldet worden, nach 786 im ersten Halbjahr 2025 – ein Plus von 58 Prozent. Das berichten Haufe und das Fachportal Dr. Datenschutz unter Berufung auf die Behörde. Im gesamten Jahr 2025 waren es 1.607 Meldungen; diese Zahl war im September 2026 bereits übertroffen. Zwei Drittel der Fälle betrafen Unternehmen. Häufigste Ursache sind Fehlversand und versehentliche Offenlegung, dazu kommen zunehmend erfolgreiche Phishing-Angriffe auf E-Mail-Konten.

Warum betrifft das Personalabteilungen besonders?

Kaum eine Abteilung verschickt so viele Dokumente mit sensiblen Daten an so viele Empfänger: Lohnabrechnungen, Arbeitsverträge, Arbeitsunfähigkeitsmeldungen, Abmahnungen, Zeugnisse, Bewerbungsunterlagen. Viele davon enthalten Gesundheitsdaten, Bankverbindungen oder die Religionszugehörigkeit aus dem Lohnsteuerabzug – Daten, deren Offenlegung das Risiko für Betroffene erhöht. Typische Fälle aus der Praxis:

Lesen Sie auch Personalakte: Was hinein darf und welches Einsichtsrecht Beschäftigte haben

  • die Lohnabrechnung an den gleichnamigen Kollegen oder eine veraltete private Adresse,
  • eine Rundmail mit sichtbaren Empfängern statt Blindkopie,
  • Bewerbungsunterlagen, die an einen nicht beteiligten Fachbereich weitergeleitet werden,
  • ein kompromittiertes Postfach der Personalabteilung, aus dem Angreifer Unterlagen abziehen oder gefälschte Kontoänderungen veranlassen.

Der LfD sieht laut Bericht Zuwächse in allen Branchen. Die Zahlen gelten nur für Niedersachsen; ob der Anstieg bundesweit ähnlich ausfällt, lässt sich daraus nicht ablesen.

Jeden Morgen um 6 Uhr das Wichtigste für Personaler: kostenloser Newsletter →

Wann muss eine Datenpanne gemeldet werden?

Nach Art. 33 der Datenschutz-Grundverordnung (DSGVO) ist eine Verletzung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Aufsichtsbehörde zu melden – es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Die Frist läuft auch am Wochenende. Besteht ein hohes Risiko, müssen nach Art. 34 DSGVO zusätzlich die Betroffenen selbst informiert werden. Wie Behörden das Risiko einschätzen, zeigen die Leitlinien des Europäischen Datenschutzausschusses mit zahlreichen Fallbeispielen.

Oft übersehen: Nach Art. 33 Abs. 5 DSGVO muss jede Verletzung intern dokumentiert werden, auch wenn sie nicht meldepflichtig ist – mit Sachverhalt, Folgen und ergriffenen Maßnahmen. Verstöße gegen die Melde- und Dokumentationspflichten können nach Art. 83 Abs. 4 DSGVO mit Bußgeldern von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden.

Wie lässt sich Fehlversand verhindern?

Der LfD empfiehlt laut Bericht klar definierte, möglichst automatisierte Versandprozesse, das Vier-Augen-Prinzip bei sensiblen Daten und gezielte Schulungen; gegen Phishing Zwei-Faktor-Authentifizierung. Übertragen auf die Personalarbeit heißt das: Abrechnungen über ein Mitarbeiterportal statt per E-Mail bereitstellen, Empfängerlisten aus dem HR-System statt aus dem Adressbuch ziehen und für Gesundheitsdaten eigene, eingeschränkte Ablagen nutzen. Welche Anforderungen die DSGVO an Systeme stellt, haben wir im Beitrag zu HR-Software und Datenschutz beschrieben; was in die Personalakte gehört, ebenfalls.

Was Arbeitgeber jetzt wissen sollten

  • Meldeweg festlegen: Beschäftigte müssen wissen, an wen sie einen Fehlversand sofort melden – ohne Angst vor Sanktionen. Verschwiegene Pannen sind das größere Risiko.
  • Zuständigkeit für die 72 Stunden: Wer bewertet das Risiko, wer meldet, wer vertritt am Wochenende? Das sollte vorab schriftlich geregelt sein, mit Einbindung des Datenschutzbeauftragten.
  • Vorlage bereithalten: Ein internes Formular für die Dokumentation nach Art. 33 Abs. 5 DSGVO spart im Ernstfall Zeit.
  • HR-Postfächer absichern: Zwei-Faktor-Authentifizierung und klare Regeln für Kontoänderungen – Änderungen der Bankverbindung nie allein per E-Mail umsetzen.
  • Schulen mit echten Fällen: Kurze Übungen zu Fehlversand und Phishing wirken besser als allgemeine Unterweisungen. Wie Betrüger mit echten Namen vorgehen, zeigt unser Beitrag zu falschen Recruitern.