Datenpannen: Fehlversand bleibt zweithäufigster Meldegrund

Falschversand per Post oder E-Mail war 2025 laut Tätigkeitsbericht des Hamburgischen Beauftragten für Datenschutz mit 307 von 1.115 Meldungen aller Branchen in Hamburg der zweithäufigste Grund einer Datenpanne, nach eigener Berechnung gut ein Viertel aller Meldungen. Für ein MVZ mit mehreren Standorten zählt das doppelt: Bei Gesundheitsdaten ist laut Behörde nahezu immer von einer Meldepflicht auszugehen, und jeder Standort, der Befunde, Bilder oder Pläne verschickt, ist eine eigene Fehlerquelle.

Die Zahlen

• Beim Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit gingen 2025 laut 34. Tätigkeitsbericht 1.115 Meldungen aus allen Branchen über Verletzungen des Schutzes personenbezogener Daten nach Art. 33 DSGVO ein, 160 mehr als 2024.
• Hackerangriffe waren 2025 laut Hamburger Datenschutzaufsicht mit 376 Meldungen, rund 34 Prozent, erstmals der häufigste Meldegrund, nach 288 Meldungen im Jahr 2024.
• Falschversand per Post oder E-Mail folgte 2025 laut Hamburger Datenschutzaufsicht mit 307 Meldungen (2024: 311), nach eigener Berechnung rund 28 Prozent aller Meldungen; hinzu kamen 44 Meldungen zu offenen E-Mail-Verteilern.

Unsere Einordnung

Hackerangriffe ziehen die Aufmerksamkeit auf sich, doch der Fehlversand ist in den Hamburger Zahlen kaum zurückgegangen, während die Angriffe stark stiegen. Die Zahlen umfassen alle Branchen in Hamburg; eine Auszählung für das Gesundheitswesen gibt es nicht, sie zeigen also ein verbreitetes Muster und keine Messung für Praxen und MVZ. Der Fehlversand ist kein Technikproblem, sondern ein Prozessfehler, und Prozessfehler wachsen mit der Zahl der Stellen, an denen derselbe Vorgang anders erledigt wird. In einem Verbund verschickt jeder Standort Röntgenbilder, Befunde, Heil- und Kostenpläne oder Laboraufträge, oft mit eigenen Adresslisten und eigenen Gewohnheiten. Ein einheitlicher Versandweg verringert diese Varianten, verschiebt das Risiko aber auch: Ein fehlerhafter Verteiler oder eine falsch hinterlegte Adresse trifft dann nicht einen Patienten, sondern viele zugleich. Dazu kommt die Frist. Die 72 Stunden nach Art. 33 DSGVO laufen, sobald Mitarbeitende am Standort den Fehler bemerken, denn ihr Wissen wird dem Verantwortlichen zugerechnet; verantwortlich ist das MVZ als Ganzes, bemerkt wird der Fehler aber meist am Empfang eines einzelnen Standorts. Wie schnell eine Panne von dort zur verantwortlichen Stelle gelangt, entscheidet darüber, ob die Meldepflicht eingehalten werden kann.

Fragen an Ihr Haus

• Wie viele unterschiedliche Wege nutzen Ihre Standorte heute, um Befunde, Bilder und Pläne an Patienten, Labore und Überweiser zu schicken?
• Wie lange dauert es in Ihrem Haus, bis ein Fehlversand an einem Standort bei der Person ankommt, die über die Meldung an die Aufsichtsbehörde entscheidet?

Quellen

• Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit: 34. Tätigkeitsbericht Datenschutz 2025 (PDF; Kapitel II 1 'Data Breaches im Gesundheitsbereich', Kapitel IX 1.2 'Meldepflicht nach Art. 33 DSGVO'), veröffentlicht am 1. März 2026

Datenstand: Daten für 2025 (Redaktionsschluss 31. Dezember 2025) aus dem 34. Tätigkeitsbericht Datenschutz des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit, vorgelegt im März 2026. Die Zahlen umfassen alle Branchen in Hamburg, eine eigene Auszählung für das Gesundheitswesen enthält der Bericht nicht; der Anteil des Falschversands ist eine eigene Berechnung aus den dort genannten Meldezahlen.

Recherchiert mit KI-Unterstützung, geprüft und freigegeben von Johannes Beyer am 24. Oktober 2026. Fehler entdeckt? Schreiben Sie uns an info@blue-panda.de.