Die Mail ist raus, und zwar an die falsche Adresse

Die ersten dreißig Minuten

Der erste Griff geht nicht zum Rückruf, sondern zur Uhr. Notier den Zeitpunkt des Versands und den Zeitpunkt, zu dem der Fehler aufgefallen ist. Beide Zeiten brauchst du später, weil die Frist aus Artikel 33 Absatz 1 mit dem Bekanntwerden beginnt und weil die Spanne dazwischen die Wahrscheinlichkeit bestimmt, dass die Nachricht schon gelesen wurde.

Der zweite Schritt ist der Anruf beim Empfänger. Er wirkt bei externen Adressen als einziges Mittel überhaupt, und er liefert eine Information, die kein technisches Werkzeug liefert: ob die Nachricht geöffnet, weitergeleitet oder ausgedruckt wurde. Bitte im selben Gespräch um die Löschung und um eine kurze Bestätigung per Mail, damit der Vorgang nachweisbar bleibt.

Der dritte Schritt ist die Weitergabe nach innen. Wer die Datenschutzbeauftragte oder die zuständige Stelle erst am Folgetag informiert, verbrennt einen halben Tag der Frist. Ein festes Postfach, an das jeder Vorfall ohne Rückfrage gemeldet werden darf, kostet nichts und ist der wirksamste einzelne Baustein im ganzen Ablauf. Wichtig ist dabei die Kultur: Wer für einen gemeldeten Fehlversand Ärger bekommt, meldet den nächsten nicht.

Warum der Rückruf fast nie hilft

Der Nachrichtenrückruf ist eine Funktion des Exchange-Servers, keine Eigenschaft von E-Mail. Er setzt voraus, dass Absender und Empfänger in derselben Exchange-Organisation liegen und dass die Nachricht dort ungelesen im Posteingang steht. Sobald sie gelesen, durch eine Regel verschoben oder an ein anderes System übergeben wurde, bleibt sie liegen. Bei jedem Empfänger außerhalb eures Mandanten passiert schlicht gar nichts.

Sinnvoll ist stattdessen die Verzögerung. Eine Outlook-Regel, die ausgehende Nachrichten um wenige Minuten zurückhält, fängt genau die Fälle ab, in denen der Fehler unmittelbar nach dem Klick auffällt, und das ist die Mehrzahl. Der Preis dafür ist gering, weil kaum eine geschäftliche Mail auf drei Minuten genau ankommen muss. In Microsoft 365 lässt sich zusätzlich ein Hinweis auf externe Empfänger einblenden, der beim Adressieren sichtbar wird und nicht erst im Nachhinein.

Die Bewertung, ohne zu raten

Maßgeblich ist das Risiko für die Rechte und Freiheiten der betroffenen Personen, und das setzt sich aus drei Größen zusammen. Die Datenart bestimmt die Schwere: Eine Bestelladresse wiegt anders als eine Diagnose, eine Kündigung oder eine Angabe zur Gewerkschaftszugehörigkeit, denn dabei handelt es sich um besondere Kategorien nach Artikel 9. Der Empfängerkreis bestimmt die Eintrittswahrscheinlichkeit: Eine bekannte Stelle mit eigener Datenschutzorganisation, die die Löschung bestätigt, ist etwas anderes als eine Adresse, hinter der niemand steht, den du erreichen kannst. Die Zahl der Betroffenen skaliert beides.

Daraus folgen drei mögliche Ergebnisse. Kein Risiko bedeutet Dokumentation ohne Meldung, etwa bei einer internen Fehlleitung innerhalb desselben berechtigten Kreises. Ein Risiko bedeutet Meldung an die Aufsichtsbehörde nach Artikel 33. Ein voraussichtlich hohes Risiko bedeutet zusätzlich die Benachrichtigung der betroffenen Personen nach Artikel 34, und zwar unverzüglich und in klarer, einfacher Sprache. Artikel 34 Absatz 3 nennt Ausnahmen, darunter den Fall, dass die Daten durch Verschlüsselung für Unbefugte unzugänglich sind.

Genau dieser Punkt lohnt sich vorher: Ein Anhang, der als geschütztes Archiv verschickt wird und dessen Kennwort über einen anderen Kanal geht, verwandelt einen meldepflichtigen Vorfall häufig in einen dokumentationspflichtigen. Der Aufwand fällt einmal beim Einrichten an, der Nutzen bei jedem Fehlversand danach.

Der offene Verteiler ist ein eigener Fall

Wenn zweihundert Adressen im An-Feld stehen, sind zweihundert Personen betroffen, und jede von ihnen hat die Kontaktdaten der anderen einhundertneunundneunzig erhalten. Die entscheidende Frage ist dabei nicht die Adresse selbst, sondern was die Zugehörigkeit zu dieser Liste über die Personen verrät. Bei einem allgemeinen Newsletter ist das wenig. Bei einer Einladung an alle abgelehnten Bewerber, an die Teilnehmenden einer betrieblichen Suchtberatung oder an eine Gruppe von Beschäftigten, gegen die ein Verfahren läuft, steckt die eigentliche Information bereits in der Mitgliedschaft.

Vorbeugen lässt sich das an zwei Stellen. Erstens durch die technische Trennung: Rundmails an Personengruppen gehören in ein Werkzeug, das je Empfänger eine eigene Nachricht erzeugt, ob das nun der Seriendruck aus Word, ein Newsletter-Dienst oder ein Skript ist. Zweitens durch die Benennung: Ein Verteiler mit einem Namen, der die Gruppe beschreibt, verführt dazu, ihn aufzulösen, um persönlich anzureden. Wer die Personalisierung ohnehin über ein Serienwerkzeug löst, braucht diesen Umweg nicht.

Der Reflex, sofort eine Entschuldigung an denselben offenen Verteiler zu schicken, ist verständlich und verdoppelt den Schaden. Wenn eine Information an die Gruppe nötig ist, geht sie über Blindkopie oder über das Serienwerkzeug hinaus, und sie enthält keine erneute Wiederholung der offengelegten Daten.

Was danach im Betrieb bleibt

Ein einzelner Fehlversand ist ein Vorfall, drei im Quartal sind ein Muster. Die Dokumentation nach Artikel 33 Absatz 5 ist deshalb mehr als eine Pflichtübung, sie ist die einzige Datenquelle, aus der sich erkennen lässt, ob immer dieselbe Abteilung betroffen ist, immer derselbe Nachrichtentyp oder immer dieselbe Tageszeit. Aus drei Zeilen je Vorfall entsteht nach einem Jahr eine belastbare Aussage darüber, wo eine Maßnahme wirklich etwas ändert.

Die wirksamsten Maßnahmen sind unspektakulär: die Verzögerung beim Senden, die sichtbare Markierung externer Empfänger, getrennte Verteiler für interne und externe Kreise, der Verzicht auf Sammeladressen bei personenbezogenen Rundmails und ein Meldeweg, der niemanden Überwindung kostet. Keine davon braucht ein Projekt, alle zusammen senken die Zahl der Vorfälle spürbar.