Fax an die falsche Nummer gesendet: Was in 72 Stunden zu tun ist

Kurze Antwort: Ein Fax, das beim falschen Empfänger landet, ist kein bloßes Missgeschick, sondern rechtlich eine Verletzung des Schutzes personenbezogener Daten im Sinne von Artikel 4 Nr. 12 DSGVO, sobald das Dokument identifizierende Informationen enthält. Das Vorgehen umfasst fünf Schritte: Beweise sichern (Sendebericht, gewählte Nummer, Zeitstempel), bevor sie verschwinden; den unbeabsichtigten Empfänger kontaktieren, um die Vernichtung des Dokuments zu erwirken; den Vorfall in das Verzeichnis der Datenschutzverletzungen eintragen — verpflichtend selbst dann, wenn nichts gemeldet wird —; das Risiko für die betroffenen Personen bewerten; und die Aufsichtsbehörde innerhalb von 72 Stunden benachrichtigen, sofern dieses Risiko nicht ausgeschlossen werden kann. Der Countdown beginnt in dem Moment, in dem Sie von dem Fehler Kenntnis erlangt haben, nicht beim Versand. Und ein Rundschreiben mit dem Hinweis „Bitte auf die Nummern achten" ist keine Abhilfemaßnahme.

Warum das Fax nach wie vor die häufigste Ursache für Empfängerfehler ist

E-Mail hat Schutzmechanismen: ein Adressbuch, Autovervollständigung, eine Unzustellbarkeitsmeldung, wenn die Adresse nicht existiert, mitunter ein Zeitfenster von einigen Sekunden zum Zurückziehen. Das Fax hat nichts davon. Man tippt zehn Ziffern von Hand ein, oft von einer handschriftlichen Notiz oder einem halb verblassten Stempel, und das Gerät stellt keine einzige Rückfrage. Existiert die Nummer, wird übertragen. Existiert sie nicht, versucht es das Gerät mehrmals und gibt dann auf — führt eine falsche Ziffer jedoch zu einem anderen aktiven Faxgerät, laufen die Seiten bei einem Unbekannten aus, ohne dass irgendein Signal zu Ihnen zurückkommt.

Die europäischen Datenschutzbehörden dokumentieren dieses Szenario seit Jahren. Die britische ICO führte in ihren Vorfallbilanzen das „an die falsche Nummer gesendete Fax" regelmäßig unter den häufigsten Verletzungen im Gesundheitswesen auf, gleich neben Briefpost, die in die falschen Umschläge geriet. Die französische CNIL ordnet solche Fälle in ihren Veröffentlichungen zu gemeldeten Datenschutzverletzungen der Kategorie „Versand von Daten an den falschen Empfänger" zu, die weiterhin zu den häufigsten Meldegründen zählt — dem Volumen nach noch vor vielen ausgeklügelten Cyberangriffen.

Drei Faktoren verschärfen das Risiko beim Fax:

• Benachbarte Nummern. Innerhalb desselben Hauses unterscheiden sich das Fax des Sekretariats und das der Buchhaltung häufig um eine einzige Ziffer. Ein Zahlendreher bleibt plausibel — und wird deshalb übertragen.
• Wiederverwendete Nummern. Eine Praxis schließt, ihre Nummer wandert zurück in den Pool des Anbieters und wird einem völlig fremden Unternehmen zugeteilt, mitunter einer Sprachleitung, die auf ein Software-Fax umschaltet.
• Der Speicher der Geräte. Kurzwahltasten, die vor zehn Jahren von einer längst ausgeschiedenen Person programmiert wurden, werden so gut wie nie überprüft.

Die ersten dreißig Minuten: Beweise sichern

Die erste Reaktion ist fast immer die falsche: Man schickt das Dokument sofort erneut an die richtige Nummer, löscht das Protokoll, um „sauber neu anzufangen", und wendet sich anderen Dingen zu. Dabei sind genau die Elemente, die den Vorfall einordnen, dokumentieren und Sie schützen sollen, diejenigen, die das Gerät gleich überschreiben wird.

Sichern Sie der Reihe nach:

1. Den Sendebericht der fehlerhaften Übertragung. Er enthält die tatsächlich gewählte Nummer, Datum, Uhrzeit, Seitenzahl und Status. Das ist das Kernstück der Akte.
2. Das Kommunikationsprotokoll des Faxgeräts oder des Online-Dienstes über einen großzügigen Zeitraum — es zeigt den Kontext, insbesondere ob sich der Fehler wiederholt hat.
3. Eine Kopie des übermittelten Dokuments, mit einer genauen Auflistung der enthaltenen Angaben: Name, Geburtsdatum, Sozialversicherungsnummer, Diagnose, Bankverbindung usw.
4. Die Identität der absendenden Person sowie die Uhrzeit, zu der der Fehler entdeckt wurde. Dieses zweite Datum setzt die 72-Stunden-Frist in Gang.

Bei einem physischen Gerät wird das Protokoll nach einer begrenzten Zahl von Zeilen automatisch überschrieben: Drucken Sie es sofort aus oder exportieren Sie es. Viele Dienste bewahren einen längeren Online-Verlauf auf, aber verlassen Sie sich nicht darauf, ohne es geprüft zu haben. In Praxen und Kanzleien, die sensible Unterlagen bearbeiten, lohnt sich ein kleiner tragbarer Dokumentenscanner direkt am Arbeitsplatz: So lässt sich der Papierbericht sofort digitalisieren und in der Vorfallakte ablegen, statt in einer Ablage zu landen, aus der er irgendwann im Altpapier verschwindet.

Ändern Sie nichts, drucken Sie das Dokument nicht darüber neu aus, versehen Sie den Originalbericht nicht mit Anmerkungen. Kommt es später zu einem Rechtsstreit, wird die Stimmigkeit der Zeitstempel geprüft — wir haben das in unserer Analyse zum Beweiswert des Fax vor Gericht ausführlich dargestellt.

Einordnen: Handelt es sich wirklich um eine Datenschutzverletzung?

Nicht jeder Nummernfehler löst dieselbe Pflicht aus. Die Prüfung erfolgt in drei Schritten.

Enthält das Dokument personenbezogene Daten? Eine Bestellung für Büromaterial ohne Namen einer natürlichen Person enthält keine. Eine Arbeitsunfähigkeitsbescheinigung, ein Untersuchungsbericht, eine Bankverbindung, eine namentliche Vorladung, ein Arbeitsvertrag: ja, ohne jede Diskussion.

Ist die Vertraulichkeit verloren gegangen? Sobald die Seiten bei einem unbefugten Dritten ausgelaufen sind, lautet die Antwort ja — selbst wenn dieser Dritte gutgläubig ist und versichert, alles vernichtet zu haben. Eine eingetretene Verletzung lässt sich nicht rückwirkend „ungeschehen" machen; eine rasche und nachgewiesene Vernichtung senkt jedoch das Risiko, was für das weitere Vorgehen entscheidend ist.

Wie hoch ist das Risiko für die betroffenen Personen? Das ist das Kriterium, das über die Meldung entscheidet. Die CNIL und die Leitlinien des Europäischen Datenschutzausschusses (EDSA) zur Meldung von Verletzungen empfehlen, Art und Umfang der Daten, die Leichtigkeit der Identifizierung der Personen, die Schwere möglicher Folgen sowie den besonderen Charakter der Daten zu bewerten.

Der entscheidende Punkt: Der Eintrag in das interne Verzeichnis der Verletzungen ist in jedem Fall verpflichtend, auch dann, wenn Sie zu dem Schluss kommen, dass kein Risiko besteht. Artikel 33 Absatz 5 DSGVO. Genau dieses Verzeichnis verlangt die Aufsichtsbehörde bei einer Kontrolle als Erstes, und ein Unternehmen mit leerem Verzeichnis, dessen Beschäftigte täglich faxen, wirkt selten glaubwürdig.

Kontakt zum unbeabsichtigten Empfänger aufnehmen

Die versehentlich gewählte Nummer anzurufen, ist oft möglich: Viele Faxleitungen hängen an einer Telefonzentrale, oder die Nummer taucht in einem Branchenverzeichnis auf. Das Ziel ist nicht die Entschuldigung, sondern drei Dinge: die Empfangsbestätigung, die Vernichtung des Dokuments und nach Möglichkeit eine schriftliche Bestätigung dieser Vernichtung, und sei es in Form einer zweizeiligen E-Mail.

Formulieren Sie die Bitte schlicht, ohne den Inhalt des Dokuments zu erläutern — es wäre wenig sinnvoll, die Aufmerksamkeit auf etwas zu lenken, das die Person womöglich gar nicht gelesen hat:

Guten Tag, am [Datum] um [Uhrzeit] ist uns versehentlich ein Dokument an Ihre Faxnummer gegangen. Es war nicht für Sie bestimmt und enthält vertrauliche Informationen. Könnten Sie es vernichten und uns dies schriftlich bestätigen? Vielen Dank.

Bewahren Sie diesen Austausch in der Vorfallakte auf. Ein identifizierter, beruflich tätiger Empfänger, der selbst der Schweigepflicht unterliegt und die Vernichtung bestätigt hat, ist ein risikomindernder Faktor, den Sie gegenüber der Aufsichtsbehörde darlegen können. Umgekehrt bedeutet eine Nummer, die niemand abnimmt und die keiner bekannten Einrichtung zuzuordnen ist, dass das Dokument sich unkontrolliert im Umlauf befindet: Das Risiko ist dann höher anzusetzen.

Die Meldung an die Aufsichtsbehörde: Frist, Inhalt, Teilmeldung

Die Frist von 72 Stunden läuft ab dem Zeitpunkt, zu dem der Verantwortliche Kenntnis von der Verletzung erlangt. Wird sie am Freitag um 16 Uhr entdeckt, muss die Meldung spätestens am Montag um 16 Uhr erfolgen: Wochenenden zählen mit.

Die Meldung erfolgt online über den Meldedienst der Aufsichtsbehörde für Datenschutzverletzungen. Sie muss die Art der Verletzung beschreiben, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die Kontaktdaten des Datenschutzbeauftragten oder einer Anlaufstelle, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgesehenen Maßnahmen.

Zwei nützliche Grundregeln:

• Die Meldung darf schrittweise erfolgen. Ist die interne Untersuchung noch nicht abgeschlossen, melden Sie mit den verfügbaren Angaben und ergänzen Sie später. Eine unvollständige Meldung innerhalb der Frist ist besser als eine perfekte Meldung nach Fristablauf.
• Melden Sie auch nach Ablauf der 72 Stunden, unter Angabe der Gründe für die Verzögerung. Artikel 33 Absatz 1 sieht das ausdrücklich vor.

Die Benachrichtigung der betroffenen Personen (Artikel 34) ist geboten, wenn das Risiko hoch ist: Gesundheitsdaten, Bankdaten, Informationen, die zu Diskriminierung, Identitätsdiebstahl oder Rufschädigung führen können. Sie muss in klarer und einfacher Sprache verfasst sein und Art der Verletzung, wahrscheinliche Folgen und ergriffene Maßnahmen benennen. Für Angehörige der Gesundheitsberufe treten zu diesen Pflichten die besonderen Vorgaben für Hosting und Verarbeitung von Gesundheitsdaten hinzu, die wir in unserem Beitrag zum medizinischen Fax und der Rechtslage ausgeführt haben.

Wiederholung verhindern: Was wirklich wirkt

Die Aufsichtsbehörde sanktioniert nicht das einzelne menschliche Versehen; sie sanktioniert das Fehlen angemessener Maßnahmen. Nach einem Vorfall erwartet sie strukturelle Vorkehrungen, keine Aktennotiz. Diese hier halten der Prüfung stand.

Das geprüfte Empfängerverzeichnis. Manuelles Wählen für wiederkehrende Korrespondenten untersagen und nur verifizierte, einmal jährlich überprüfte Einträge zulassen. Ein Tippfehler wird damit bei 90 % der Sendungen unmöglich.

Das Vier-Augen-Prinzip bei sensiblen Dokumenten. Zwei Augenpaare auf der Nummer, bevor irgendetwas mit Gesundheits- oder Bankdaten versendet wird, mit dokumentierter Freigabe. Ein einfacher Kontrollstempel auf dem Deckblatt, abgezeichnet mit Kürzel, genügt, um den Vorgang festzuhalten — vorausgesetzt, er wird tatsächlich ausgeführt.

Das Deckblatt mit Vertraulichkeitshinweis. Es verhindert technisch nichts, informiert aber den zufälligen Empfänger über seine Pflichten und erleichtert die Bitte um Vernichtung. Es darf niemals sensible Angaben enthalten: keine Diagnose, keinen ausführlichen Betreff, keine allzu sprechende Aktennummer.

Der Umstieg auf Online-Fax. Ein digitaler Dienst bietet drei Dinge, die ein Bürogerät nicht leisten kann: den vollständigen Verlauf mit Zeitstempeln, die noch Monate später abrufbare Zustellbestätigung und vor allem den Wegfall des ausgedruckten Dokuments, das in einer Ablage liegen bleibt. Den kompletten Ablauf beschreiben wir in unserem Migrationsplan in sechs Schritten; die Seite /faq beantwortet praktische Fragen zu Versand und Sendebestätigungen.

Der Umgang mit dem verbleibenden Papier. Solange ein physisches Gerät im Einsatz ist, müssen Entwürfe, Zweitausdrucke und Berichte in einem Aktenvernichter mit Partikelschnitt landen, nicht im Papierkorb. Und für Unterlagen, die zwischen Büros wandern, verhindern blickdichte Dokumentenmappen das versehentliche Mitlesen auf dem Flur. Das sind Kleinigkeiten — aber die meisten dokumentierten Verletzungen gehen genau auf solche Kleinigkeiten zurück.

Kurze, wiederkehrende Schulungen. Fünfzehn Minuten zweimal im Jahr sind mehr wert als ein ganzer Tag alle fünf Jahre. Einrichtungen, die ihren Teams einen Praxisleitfaden zur DSGVO in gedruckter Form direkt an den Arbeitsplatz legen, stellen fest, dass die Fragen vor dem Vorfall kommen statt danach.

Was Sie auf keinen Fall tun sollten

• Warten, bis Sie sicher sind. Die 72-Stunden-Frist ruht nicht während der internen Untersuchung.
• Das Faxprotokoll löschen, um „aufzuräumen". Das ist Beweisvernichtung — und wird auch so ausgelegt.
• Den Empfänger zurückrufen und ihm mit rechtlichen Schritten drohen, falls er das Dokument gelesen hat. Dafür gibt es keine Grundlage, und Sie verspielen die Kooperationsbereitschaft.
• Die Auftragsverarbeitung übersehen. Lief der Versand über einen Dienstleister, verpflichtet ihn Artikel 33 Absatz 2, Sie unverzüglich zu informieren — prüfen Sie, ob der Vertrag das vorsieht.
• Annehmen, dass ohne Beschwerde die Sache erledigt ist. Das Verzeichnis bleibt verlangt, und eine betroffene Person kann sich noch Monate später an die Aufsichtsbehörde wenden.

Häufige Fragen

Beginnt die 72-Stunden-Frist mit dem Versand oder mit der Entdeckung?

Mit der Entdeckung. Die DSGVO spricht davon, „nachdem ihm die Verletzung bekannt wurde". Wird ein am 3. versandtes Fax am 17. gemeldet, beginnt der Countdown am 17. — Sie müssen dann allerdings erklären, warum vierzehn Tage ohne Entdeckung verstrichen sind, was auf ein Kontrolldefizit hindeutet.

Muss gemeldet werden, wenn der Empfänger das Dokument vernichtet hat?

Nicht automatisch. Eine rasche, nachgewiesene Vernichtung durch einen identifizierten, der Schweigepflicht unterliegenden Empfänger senkt das Risiko erheblich. Handelt es sich weder um sensible noch um Bankdaten, kann der Eintrag ins Verzeichnis genügen. Dokumentieren Sie die Begründung genau: Sie ist es, die Sie schützt.

Ein irrtümlich empfangenes Fax: Habe ich Pflichten?

Ja, moralische und praktische. Verbreiten Sie das Dokument nicht, bewahren Sie es nicht auf, vernichten Sie es und weisen Sie den Absender auf den Fehler hin, sofern seine Identität auf dem Deckblatt steht. Enthält das Dokument Gesundheitsdaten und sind Sie selbst in einem Gesundheitsberuf tätig, gilt die Schweigepflicht ohnehin.

Beseitigt Online-Fax das Risiko einer falschen Nummer?

Nein, es verringert es. Man kann sich weiterhin vertippen. Aber der vollständige Verlauf ermöglicht eine sofortige Erkennung, die Spur bleibt erhalten, und das Dokument existiert bei Ihnen nicht mehr in Papierform. Das Restrisiko lässt sich über das Empfängerverzeichnis und die doppelte Freigabe steuern.

Wer muss melden: die Praxis oder der Faxanbieter?

Der Verantwortliche, also Sie. Der Anbieter als Auftragsverarbeiter muss Sie unverzüglich informieren, damit Sie melden können. Prüfen Sie, ob Ihr Vertrag diese Klausel und eine konkrete Frist enthält.

Fazit

• Ein Fax an die falsche Nummer mit personenbezogenen Daten ist eine Datenschutzverletzung im Sinne der DSGVO, unabhängig von der Gutgläubigkeit des Empfängers.
• Sichern Sie zuerst die Beweise: Sendebericht, Protokoll, Kopie des Dokuments, Uhrzeit der Entdeckung. Löschen Sie nichts.
• Das Verletzungsverzeichnis ist in jedem Fall verpflichtend, die Meldung an die Aufsichtsbehörde nur bei nicht ausgeschlossenem Risiko, und zwar innerhalb von 72 Stunden nach Kenntniserlangung.
• Benachrichtigen Sie die betroffenen Personen, wenn das Risiko hoch ist: Gesundheit, Bankdaten, Identitätsdiebstahl.
• Holen Sie eine schriftliche Vernichtungsbestätigung des unbeabsichtigten Empfängers ein: Das ist der stärkste risikomindernde Faktor.
• Überzeugende Abhilfemaßnahmen sind strukturell: geprüftes Empfängerverzeichnis, Vier-Augen-Prinzip, neutrales Deckblatt, Umstieg auf Online-Fax, sichere Papiervernichtung.