Ein Datenleck beschränkt sich nicht nur auf den Diebstahl von Identifikationsdaten. Der europäische Rechtsrahmen überlagert nun mehrere rechtliche Regelungen (DSGVO, DSA), die unterschiedliche Verpflichtungen für die Verantwortlichen der Datenverarbeitung und die Online-Plattformen schaffen. Für die betroffenen Personen eröffnet diese Überlagerung oft ungenutzte Handlungsansätze.
Verknüpfung DSGVO und DSA: zwei kumulative Regelungen im Falle eines Lecks auf einer Plattform
Wenn ein Datenleck auf einer großen Plattform auftritt, verlangt die DSGVO die Benachrichtigung der CNIL und, im Falle eines hohen Risikos, die direkte Information der betroffenen Personen. Die Verordnung über digitale Dienste (DSA) fügt spezifische Verpflichtungen für Online-Plattformen hinzu, insbesondere in Bezug auf Transparenz und das Management systemischer Risiken.
Diese beiden Regelungen kumulieren, sie ersetzen sich nicht gegenseitig. Eine Plattform, die ein Leck gemäß der DSGVO meldet, bleibt an ihre DSA-Verpflichtungen zur Moderation von Inhalten aus dem Leck gebunden, beispielsweise der Verbreitung von gestohlenen Datenbanken auf ihren eigenen Diensten.
Wir beobachten, dass die meisten Einzelpersonen in ihren Beschwerden bei der CNIL nur die DSGVO anführen. Die explizite Erwähnung des DSA in einer Beschwerde signalisiert der Behörde, dass die Plattform auch ihren Sorgfaltspflichten nicht nachgekommen ist. Mehrere Ressourcen dokumentieren diese doppelte Anforderung, wie die praktischen Leitfäden von Mindtrap, die die verfügbaren Rechtsmittel je nach Art der betroffenen Plattform detaillieren.
CNIL-Sanktionen im Jahr 2026: Was die Beträge über die Kontrollpraxis offenbaren
Die CNIL bestraft nicht nur technische Schwächen. In ihrem am 9. September 2026 veröffentlichten Bericht verhängte die Behörde am 8. Januar 2026 eine Geldstrafe von 27 Millionen Euro gegen einen Mobilfunkanbieter. Die festgestellten Verstöße umfassten die Datensicherheit, aber auch die unzureichende Information der Opfer.
Das Signal ist klar: Ein Unternehmen, das ein Leck erleidet und es versäumt, die betroffenen Personen rechtzeitig zu informieren, sieht sich einer eigenständigen Sanktion nur wegen dieser Verzögerung ausgesetzt. Für eine Einzelperson bedeutet dies, dass das Fehlen einer Benachrichtigung an sich einen zulässigen Beschwerdegrund vor der CNIL darstellt.
Gesundheitsdaten: ein höheres rechtliches Risiko
Am 3. September 2026 verhängte die CNIL eine Geldstrafe von 500.000 Euro gegen ein privates Krankenhaus wegen eines Verstoßes gegen Gesundheitsdaten. Medizinische Daten genießen gemäß Artikel 9 der DSGVO einen erhöhten Schutz. Ihre Offenlegung kann zu Diskriminierungen bei Versicherungen, Beschäftigung oder Krediten führen, weit über das Risiko klassischer Phishing-Angriffe hinaus.
Wir empfehlen Personen, deren Gesundheitsdaten geleakt wurden, systematisch alle Ablehnungen oder Änderungen der Vertragsbedingungen zu dokumentieren, die nach dem Verstoß aufgetreten sind. Diese Elemente stellen Beweise für den Schaden im Rahmen einer Schadensersatzklage dar.
Rechte der Opfer von Datenlecks: oft ignorierte konkrete Handlungsansätze
Öffentliche Artikel konzentrieren sich auf das Ändern von Passwörtern und die Wachsamkeit gegenüber Phishing. Diese Maßnahmen sind notwendig, decken jedoch nur einen Bruchteil der verfügbaren Handlungen ab.
- Erweitertes Zugriffsrecht (Artikel 15 DSGVO): Fordern Sie vom Verantwortlichen eine genaue Liste der betroffenen Datenkategorien, die Empfänger, an die sie weitergegeben wurden, und das genaue Datum der Entdeckung des Verstoßes an. Dieses Recht verpflichtet die Organisation, innerhalb eines Monats eine dokumentierte Antwort zu geben.
- CNIL-Beschwerde mit doppelter Grundlage: Gleichzeitig den Verstoß gegen die Sicherheit (Artikel 32 DSGVO) und die unterlassene Benachrichtigung der Personen (Artikel 34 DSGVO) anführen. Den DSA erwähnen, wenn das Leck eine Online-Plattform betrifft, die dieser Verordnung unterliegt.
- Schadensersatzklage: Die DSGVO eröffnet ein Recht auf Schadensersatz für materiellen oder immateriellen Schaden (Artikel 82). Die Dokumentation der nach dem Leck erhaltenen Betrugsversuche, der eingeleiteten Verwaltungsverfahren und der aufgewendeten Zeit zur Sicherung der Konten stellt eine verwertbare Akte vor dem Zivilgericht dar.
- Aktive Überwachung der IBAN: Im Falle eines Lecks einer Bankidentifikation die Bank kontaktieren, um eine Whitelist autorisierter Gläubiger für SEPA-Lastschriften zu aktivieren. Innerhalb von 13 Monaten alle nicht anerkannten Lastschriften anfechten.
Kontosicherheit nach einem Leck: über das Passwort hinaus
Ein kompromittiertes Passwort zu ändern reicht nicht aus, wenn dieselbe Identifikation (E-Mail-Adresse) als Authentifizierungspivot für mehrere Dienste dient. Die Wiederverwendung von Identifikationen bleibt der Hauptvektor der Ausnutzung nach einem Leck.
Ein Passwortmanager generiert einzigartige Identifikationen pro Dienst, aber die entscheidende Schutzschicht bleibt die multifaktorielle Authentifizierung (MFA). Bevorzugen Sie eine TOTP-Anwendung oder einen physischen FIDO2-Schlüssel anstelle von SMS, deren Abfang durch SIM-Swapping dokumentiert ist.
Überwachung der eigenen Daten im Internet
Mehrere Dienste ermöglichen es, zu überprüfen, ob eine E-Mail-Adresse in einer kompromittierten Datenbank enthalten ist. Diese Tools ersetzen nicht die obligatorische Benachrichtigung durch den Verantwortlichen, schließen jedoch eine Informationslücke: einige Lecks werden den Opfern niemals gemeldet, entweder aus Nachlässigkeit oder weil die Organisation die Einstufung als Verstoß bestreitet.
Das Einrichten von Benachrichtigungen für die eigenen Hauptidentifikationen ermöglicht es, vor dem Erhalt einer offiziellen Benachrichtigung zu reagieren, falls diese eines Tages eintrifft.
Der europäische Rechtsrahmen bietet den Opfern von Datenlecks umfassendere Rechtsmittel als nur digitale Hygienemaßnahmen. Die Dokumentation des Zeitablaufs des Verstoßes, die Berufung auf die richtigen rechtlichen Grundlagen und die Nutzung der Komplementarität von DSGVO und DSA verwandeln eine defensive Haltung in einen echten Handlungsansatz gegen versagende Organisationen.
