Datenleck im Verwalterbüro: Wann Sie in 72 Stunden melden müssen – und was Ihre Police zahlt

Eine gefälschte E-Mail, ein verlorener Laptop, ein falsch adressierter Abrechnungsstapel – ein Datenleck ist im Verwalterbüro schnell passiert. Weil dabei personenbezogene Daten von Mietern und Eigentümern betroffen sind, kann eine Meldepflicht binnen 72 Stunden ausgelöst werden. Wer die Frist reißt oder die Lage falsch einschätzt, riskiert ein Bußgeld – und einen Vertrauensverlust bei den Eigentümern. Dieser Beitrag ordnet die Pflichten ein und zeigt, welche Kosten eine Cyber-Police im Ernstfall übernimmt.

Worum es geht

Hausverwaltungen verarbeiten sensible Daten: Namen, Bankverbindungen, Mietrückstände, in Mahn- und Räumungsvorgängen mitunter auch Gesundheits- oder Sozialdaten. Ein „Datenleck“ ist juristisch eine Verletzung des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 DSGVO – also unbefugter Zugriff, Verlust oder Offenlegung. Typische Auslöser sind ein per Phishing gekapertes Postfach, eine Ransomware-Verschlüsselung, ein verlorener USB-Stick oder der Fehlversand einer Betriebskostenabrechnung an den falschen Empfänger.

Nach Art. 33 DSGVO müssen Verantwortliche eine solche Verletzung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde melden – es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen. Erfolgt die Meldung später als nach 72 Stunden, ist eine Begründung für die Verzögerung beizufügen. Führt das Leck voraussichtlich zu einem hohen Risiko, sind zusätzlich die betroffenen Personen zu benachrichtigen (Art. 34 DSGVO).

Der Trugschluss: „Das war der Dienstleister, nicht ich“

Viele Verwaltungen lagern IT, Buchhaltung oder Cloud-Speicher aus und gehen davon aus, dass im Ernstfall der Anbieter die Meldung übernimmt. Das trifft regelmäßig nicht zu: Verantwortlicher im Sinne der DSGVO bleibt in der Regel die Verwaltung, die über Zwecke und Mittel der Datenverarbeitung entscheidet. Der Dienstleister ist meist nur AuftragsverarbeiteriIT-Dienstleister oder Cloud-Anbieter, den Sie per Auftragsverarbeitungsvertrag (AVV nach Art. 28 DSGVO) mit der Datenverarbeitung beauftragen. Er handelt weisungsgebunden für Sie. und muss Sie über einen Vorfall informieren – die Meldung an die Aufsichtsbehörde bleibt Ihre Aufgabe.

Wie weit die Verantwortlichkeit reicht, zeigt ein Fall aus der Immobilienwirtschaft: Im Verfahren Deutsche Wohnen bestätigte der Europäische Gerichtshof (Urteil vom 05.12.2023 – C-807/21), dass ein Bußgeld unmittelbar gegen das verantwortliche Unternehmen verhängt werden kann. Das Immobilienunternehmen hatte gegen eine Geldbuße von 14,5 Mio. € wegen der Speicherung von Mieterdaten geklagt. Der Gerichtshof stellte zugleich klar, dass eine Geldbuße einen schuldhaften – also vorsätzlichen oder fahrlässigen – Verstoß voraussetzt. Ein Automatismus ist das Bußgeld damit nicht, ein kalkulierbares Restrisiko aber sehr wohl: Für Verstöße gegen die Melde- und Benachrichtigungspflicht sieht Art. 83 Abs. 4 DSGVO Geldbußen von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes vor (Stand: 07/2026).

Was das für Ihre Versicherung bedeutet

1. Das Bußgeld ist meist nicht versicherbar – die Krisenkosten schon. Ob eine DSGVO-Geldbuße überhaupt versichert werden darf, ist rechtlich umstritten; nach verbreiteter Auffassung stehen dem §§ 134, 138 BGB entgegen. Wichtiger für die Praxis sind die Folgekosten: Prüfen Sie, ob Ihre Cyber-Police IT-Forensik, die Benachrichtigung der Betroffenen, Rechtsberatung und die Verfahrenskosten für ein Vorgehen gegen den Bußgeldbescheid trägt.

2. Krisenkommunikation und Reputationsschaden. Ein Leck bei Mieter- und Eigentümerdaten kostet vor allem Vertrauen – gerade bei WEG-Mandaten, die neu vergeben werden. Viele Policen übernehmen Kosten für externe Krisen-PR und Rufschadenbekämpfung. Achten Sie auf das SublimitiEine Teil-Versicherungssumme innerhalb der Hauptsumme. Beispiel: Hauptsumme 1 Mio. €, für Krisen-PR nur 50.000 € Sublimit. Im Schadenfall zählt das Sublimit. für diesen Baustein; es liegt oft deutlich unter der Hauptsumme.

3. Obliegenheiten nicht reißen. Cyber-Versicherer knüpfen ihre Leistung an ObliegenheiteniVertragliche Pflichten des Versicherten – etwa Backups, Schulungen, dokumentierter Meldeprozess. Bei Verstoß kann der Versicherer die Leistung kürzen oder verweigern.: ein dokumentierter Meldeprozess, regelmäßige Backups, Mitarbeiterschulungen und Auftragsverarbeitungsverträge mit den Dienstleistern. Und schon beim Antrag gilt die vorvertragliche AnzeigepflichtiBei Antrag müssen Sie alle gefahrerheblichen Tatsachen wahrheitsgemäß angeben (§ 19 VVG), z. B. frühere Vorfälle. Bei Verstoß kann der Versicherer kündigen, anfechten oder Leistung verweigern. – frühere Vorfälle sind wahrheitsgemäß anzugeben. Zu unterscheiden ist außerdem zwischen Eigenschaden und DrittschadeniEigenschaden = Schaden am eigenen Betrieb (z. B. Wiederherstellung der IT). Drittschaden = Schaden bei Dritten, etwa Eigentümern oder Mietern, für den Sie haften., weil beide Bausteine getrennt vereinbart sein können.

Unser Fazit

Ein Datenleck wird für die Verwaltung zum doppelten Problem: rechtlich durch die 72-Stunden-Frist und die Bußgeldandrohung, wirtschaftlich durch Krisenkosten und Vertrauensverlust. Die Geldbuße selbst lässt sich kaum absichern – die oft teureren Folgekosten dagegen schon. Wer vorab weiß, welche Kosten seine Police trägt und welche Obliegenheiten er einhalten muss, verliert im Ernstfall keine Zeit mit der Frage nach der Deckung.

Quellen: Art. 4 Nr. 12, Art. 33, Art. 34, Art. 83 Abs. 4 DSGVO; EuGH, Urteil vom 05.12.2023 – C-807/21 (Deutsche Wohnen); §§ 134, 138 BGB.

---

Die digitalen Checks liefern eine strukturierte Ersteinschätzung auf Basis Ihrer Angaben. Sie ersetzen keine individuelle Versicherungsberatung. Eine verbindliche Prüfung erfolgt erst nach fachlicher Auswertung durch einen Versicherungsmakler.