§ 169 TKG: Datenschutzverletzung melden, Betroffene benachrichtigen

Rechtsstand: TKG in der Fassung vom 22.10.2026, Verordnung (EU) 611/2013 und DSGVO in der Fassung des Amtsblatts, geprüft am 06.11.2026. Die Darstellung ist allgemeine Information und keine Rechtsberatung. Ob eine konkrete Verletzung meldepflichtig ist und wen Sie benachrichtigen müssen, ist eine datenschutzrechtliche Einzelfrage. Sie klären sie mit Ihrem Datenschutzbeauftragten und im Zweifel mit einer Rechtsanwältin oder einem Rechtsanwalt.

Wann liegt eine Verletzung des Schutzes personenbezogener Daten vor?

Immer dann, wenn eine Verletzung der Datensicherheit zum Verlust, zur unrechtmäßigen Löschung, Veränderung, Speicherung, Weitergabe oder sonstigen unrechtmäßigen Verwendung personenbezogener Daten führt, und beim unrechtmäßigen Zugang zu diesen Daten. So definiert es § 3 Nr. 71 TKG. Anders als § 168 kennt § 169 keine Erheblichkeitsschwelle: Nach Art. 2 Abs. 1 der Verordnung (EU) 611/2013 ist der Behörde jede Verletzung zu melden. Wer im Betrieb unbefugt vom Inhalt oder den näheren Umständen einer Kommunikation Kenntnis nimmt, berührt daneben das Fernmeldegeheimnis nach § 3 TDDDG.

Beispiele sind Rechnungen oder Einzelverbindungsnachweise an falsche Empfänger, ein unberechtigter Zugriff auf die Kundendatenbank, ein verlorenes Gerät mit Kundendaten oder ein Dienstleister, dessen System kompromittiert wurde. Ein bloßer Verdacht reicht für die Meldepflicht noch nicht. Als festgestellt gilt die Verletzung nach Art. 2 Abs. 2 der Verordnung, sobald der Anbieter so viel weiß, dass er eine sinnvolle Benachrichtigung abgeben kann. Ab diesem Zeitpunkt läuft die Frist.

Wer muss nach § 169 melden?

Verpflichtet ist, wer öffentlich zugängliche TK-Dienste erbringt, etwa Internetzugang, Telefonie oder E-Mail für Endkunden. Betreiber öffentlicher TK-Netze, die selbst keinen solchen Dienst erbringen, nennt § 169 nicht. Ob Ihr Unternehmen einen öffentlich zugänglichen Dienst erbringt, klärt die Seite Bin ich TK-Anbieter?.

Ist ein anderer Betreiber eines öffentlich zugänglichen Dienstes ohne eigene Kundenbeziehung mit einem Teil Ihres Dienstes beauftragt, muss er Sie bei einer Verletzung sofort informieren (Art. 5 der Verordnung). Andere Dienstleister, etwa für Abrechnung, Hosting oder Kundenportal, müssen Sie nach Auffassung der BfDI vertraglich zur unverzüglichen Information verpflichten, damit Sie Ihre Meldepflicht erfüllen können. Gemeldet wird vom Anbieter mit der Kundenbeziehung.

An wen, wie und bis wann wird gemeldet?

Empfänger sind immer beide Behörden, die Bundesnetzagentur (BNetzA) und die BfDI, nicht das BSI. § 169 selbst verlangt die Benachrichtigung „unverzüglich“. Die unmittelbar geltende Verordnung (EU) 611/2013 konkretisiert das:

Für die Meldung stellt die BfDI einen Meldebogen bereit (Stand Februar 2022), der nur für Erbringer öffentlich zugänglicher TK-Dienste gedacht ist. Angaben, die in den ersten Stunden noch fehlen, dürfen als „bisher unbekannt“ offen bleiben. Bei jeder Nachmeldung ist der Meldebogen nach Angabe der BfDI vollständig auszufüllen, weil immer die letzte Meldung als aktuell gilt, und wieder an beide Behörden zu senden. Die E-Mail-Adressen der Behörden nennen BfDI-Seite und Meldebogen nicht einheitlich. Maßgeblich ist die Seite der BfDI zum Verfahren nach § 169 TKG, dort steht auch ein PGP-Schlüssel für die verschlüsselte Übermittlung.

Inhaltlich muss jede Benachrichtigung mindestens die Art der Verletzung, Kontaktstellen für weitere Informationen und Empfehlungen zur Begrenzung nachteiliger Folgen enthalten. Gegenüber BNetzA und BfDI kommen die Folgen der Verletzung und die beabsichtigten oder ergriffenen Maßnahmen hinzu (§ 169 Abs. 2). Für die Meldungen gelten § 42 Abs. 4 und § 43 Abs. 4 BDSG entsprechend: Die Meldung darf nach unserer Lesart in einem Straf- oder Bußgeldverfahren gegen den Meldenden nur mit seiner Zustimmung verwendet werden.

Wann müssen Betroffene benachrichtigt werden?

Nach Art. 3 Abs. 1 der Verordnung (EU) 611/2013, wenn anzunehmen ist, dass die Verletzung die personenbezogenen Daten oder die Privatsphäre der Betroffenen beeinträchtigt. § 169 Abs. 1 Satz 2 TKG verlangt dafür, dass Endnutzer oder andere Personen schwerwiegend in ihren Rechten oder schutzwürdigen Interessen beeinträchtigt werden. Die Verordnung nennt Umstände für die Bewertung: Art der Daten, besonders Finanzdaten, Standortdaten, Internet-Protokolldateien, Browserverläufe, E-Mail-Daten und Einzelverbindungsnachweise, die wahrscheinlichen Folgen wie Identitätsdiebstahl, Betrug oder Rufschädigung und die Umstände, etwa ob Daten gestohlen wurden. Die Benachrichtigung muss klar und verständlich sein und darf nicht für Werbung genutzt werden.

Die Verordnung gilt unmittelbar und geht abweichendem nationalem Recht vor. Nach unserer Lesart ist deshalb ihre niedrigere Schwelle maßgeblich, verbindlich klärt das im Zweifel eine Rechtsanwältin oder ein Rechtsanwalt. Eine Entscheidung gegen die Benachrichtigung sollten Sie anhand der Kriterien der Verordnung schriftlich begründen.

Ausnahme Verschlüsselung: Die Benachrichtigung der Betroffenen ist nach § 169 Abs. 1 Satz 3 nicht erforderlich, wenn im Sicherheitskonzept nachgewiesen ist, dass die Daten durch geeignete technische Vorkehrungen gesichert waren, insbesondere sicher verschlüsselt. Die BfDI ergänzt: Der Nachweis kann auch außerhalb des Konzepts geführt werden, die Meldung an die Behörden bleibt in jedem Fall Pflicht, und bei einem Datenverlust, nach dem die Daten beim Anbieter nicht mehr verfügbar sind, kann trotz Verschlüsselung eine Benachrichtigung nötig sein. Die BNetzA kann die Benachrichtigung unabhängig davon anordnen. Wie die Verschlüsselung im Konzept beschrieben wird, zeigt die Seite Sicherheitskonzept nach § 166 TKG.

Was gehört in das Verzeichnis der Verletzungen?

Jeder Anbieter führt nach § 169 Abs. 3 ein Verzeichnis aller Verletzungen mit den Umständen, den Auswirkungen und den ergriffenen Abhilfemaßnahmen. Die Angaben müssen BNetzA und BfDI die Prüfung ermöglichen, ob Meldung und Benachrichtigung korrekt waren. Verletzungen, die mehr als fünf Jahre zurückliegen, muss das Verzeichnis nicht mehr enthalten. Ein Beispiel für einen Eintrag steht im Szenario unten.

Was regelt § 169 außerdem?

Die Absätze 4 bis 7 betreffen Störungen, die von Geräten der Nutzer ausgehen, etwa infizierte Router: Der Anbieter benachrichtigt die ihm bekannten Nutzer, verpflichtend nach einer Information des BSI über konkrete erhebliche Gefahren, und darf die Nutzung einschränken, umleiten oder Verkehr von und zu Störungsquellen filtern, wenn der Nutzer nicht selbst abhilft. Mit der Meldung einer Datenschutzverletzung nach Abs. 1 haben diese Absätze nichts zu tun.

Wie grenzt sich § 169 von § 168 TKG und Art. 33 DSGVO ab?

Drei Meldewege können denselben Vorfall betreffen. Die Tabelle stellt sie nebeneinander:

§ 168 und § 169: Beide Pflichten stehen nebeneinander, das Gesetz rechnet die eine Meldung nicht auf die andere an (unsere Ableitung aus dem Wortlaut). Ein Angriff auf Kundendaten kann deshalb eine Meldung an BNetzA und BSI nach § 168 und eine Benachrichtigung von BNetzA und BfDI nach § 169 auslösen. Die Stufen nach § 168 erklärt die Seite Meldung nach § 168 TKG.

§ 169 und DSGVO: Nach Art. 95 DSGVO legt die Verordnung Anbietern keine zusätzlichen Pflichten auf, soweit die ePrivacy-Richtlinie dasselbe Ziel regelt. Die BfDI leitet daraus ab: Sind nur Daten betroffen, für die das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) eigene Regeln enthält, gilt § 169. In Mischfällen, in denen derselbe Vorfall auch DSGVO-Vorschriften verletzt, genügt nach Auffassung der BfDI die Meldung nach § 169, etwa bei Verkehrs- und Bestandsdaten. Das ist eine Behördenauffassung, kein Gesetzeswortlaut. Andere Fälle laufen nach der BfDI über Art. 33 DSGVO, nach unserer Lesart etwa eine Verletzung, die nur Personaldaten oder Daten aus einer anderen Sparte betrifft.

Entscheidungsbaum: welcher Meldeweg?

Der Entscheidungsbaum ist unsere Ableitung aus Gesetz, Verordnung und den Hinweisen der BfDI. Er hilft, im Ernstfall nichts zu übersehen, und ersetzt nicht die Bewertung des Einzelfalls.

Beispiel: vertauschte Einzelverbindungsnachweise beim Stadtwerk

Fiktives Beispiel, kein Kunde. Ein Stadtwerk bietet in seiner TK-Sparte rund 8.000 Haushalten und Gewerbekunden Internetzugang und Telefonie an. Nach einem Update des Abrechnungssystems werden 140 Rechnungen mit dem Einzelverbindungsnachweis eines anderen Kunden per E-Mail verschickt. Wir zählen die Frist ab dem Zeitpunkt, zu dem das Stadtwerk genug für eine sinnvolle Meldung weiß. Wann das im Rechtssinn der Fall ist, ist im Einzelfall zu prüfen.

So kann der Eintrag im Verzeichnis nach § 169 Abs. 3 aussehen, alle Angaben erfunden:

Drei typische Lücken

Wenn Sie Ihren Ablauf für § 168 und § 169 gemeinsam prüfen wollen, beginnen Sie mit der Statusprüfung Stufe 1. Wir waren als Sicherheitsbeauftragte nach § 166 TKG tätig, haben Sicherheitskonzepte erstellt, aktualisiert und mit der Bundesnetzagentur abgestimmt.