Datenleck bei Lidl-Onlineshop

Im Juli 2026 wurde ein Datenleck bekannt, von dem Kundinnen und Kunden des Lidl-Onlineshops betroffen sind. Nach dem derzeitigen Stand der Dinge handelt es sich um einen Datendiebstahl bei einem externen IT-Dienstleister des Lidl-Onlineshops. Lidl hat damit begonnen, die betroffenen Kundinnen und Kunden per E-Mail über den Vorfall zu informieren. Diese können mögliche Auskunfts-, Unterlassungs- und Schadensersatzansprüche kostenfrei und unverbindlich prüfen lassen.

Wie kam es zu dem Datenleck des Lidl-Onlineshops?

Laut Unternehmensangaben konnten Unbekannte über einen externen IT-Dienstleister auf eine separat gespeicherte Datei zugreifen und Teile davon kopieren. Der betroffene Dienstleister habe seine Systeme anschließend abgesichert. Lidl habe die Datenschutzaufsicht informiert, externe Fachleute mit der Untersuchung beauftragt und Strafanzeige erstattet. Wie viele Menschen betroffen sind und wer hinter dem Angriff steckt, ist bislang nicht bekannt. Betroffene Kunden werden laut Lidl per E-Mail benachrichtigt.

Neben Deutschland sind offenbar auch Kunden in Belgien und den Niederlanden betroffen.

Welche Daten sind betroffen?

Nach Angaben von Lidl wurden folgende Daten entwendet:

• Anrede,
• Vor- und Nachname
• E-Mail-Adresse
• Telefonnummer
• Geburtsdatum
• Kundennummer
• Teilweise Bestelldaten: Bei einigen Kunden wurden auch Informationen zu Bestellungen aus dem Zeitraum von Januar bis Juni 2026 kopiert (dazu gehören Bestelldatum, Bestellnummer, gekaufte Artikel und Kaufpreis).

Passwörter, Rechnungs- und Lieferanschriften sowie Zahlungsdaten sollen nicht vom Datenleck betroffen sein.

Die größte Gefahr: Personalisiertes Phishing

Die Hauptgefahr geht von sogenannten Social-Engineering- und Phishing-Angriffen aus. Da den Betrügern Name, E-Mail-Adresse, Handynummer und unter Umständen sogar echte Bestellungen vorliegen, können sie glaubwürdige Fake-Nachrichten per E-Mail oder SMS aufsetzen. Ein möglicher Betrugsversuch könnte beispielsweise so aussehen, dass sich der Angreifer als Lidl-Support ausgibt, eine reale Bestellung referenziert und unter einem Vorwand, beispielsweise „Paketprobleme” oder „Gutschein als Entschädigung”, versucht, echte Bankdaten oder Passwörter abzugreifen.

Was sollten Betroffene jetzt tun?

Seien Sie besonders misstrauisch bei E-Mails, SMS oder Anrufen, die sich auf eine angebliche Lidl-Bestellung, eine Rückerstattung, ein Sicherheitsproblem oder eine erforderliche „Kontobestätigung“ beziehen. Rufen Sie die Lidl-Seite ausschließlich über die selbst eingegebene Adresse oder die bekannte App auf, nicht über Links in Nachrichten.

Eine Passwortänderung ist aufgrund dieses Vorfalls laut aktuellem Stand nicht zwingend erforderlich, da Passwörter nicht betroffen sein sollen. Sie ist dennoch sinnvoll, wenn Sie dasselbe Passwort für mehrere Dienste verwenden oder Zweifel an der Echtheit einer erhaltenen Nachricht haben.

Welche Rechte haben betroffene Kunden?

Wer von einem Datenleck betroffen ist, kann nach der Datenschutz-Grundverordnung verschiedene Ansprüche haben. Dazu gehören insbesondere ein Anspruch auf Auskunft nach Art. 15 DSGVO, ein Anspruch auf Schadensersatz nach Art. 82 DSGVO sowie gegebenenfalls Ansprüche auf Berichtigung, Löschung oder Unterlassung. Grundsätzlich gilt: Ein Datenleck stellt eine Pflichtverletzung der verantwortlichen Stelle dar.  Wir prüfen kostenfrei, ob und in welcher Höhe Ansprüche bestehen.

• Nutzer*innen haben nach Art. 15 Abs. 1 DSGVO das Recht, Auskunft darüber zu erhalten, ob und in welchem Umfang Sie von dem Datenleck betroffen sind.
• Betroffenen entsteht infolge eines Datenlecks auch ein sogenannter immaterieller Schaden. Es muss also kein finanzieller Schaden entstanden sein. Nach der Rechtsprechung kann bereits der Kontrollverlust über personenbezogene Daten einen immateriellen Schaden darstellen. Es muss daher nicht zwingend bereits zu einem finanziellen Schaden oder einem nachweisbaren Identitätsdiebstahl gekommen sein.
• Neben der Geltendmachung von Schadensersatzansprüchen sichern wir Sie über einen sogenannten Feststellungsantrag für mögliche künftige Schäden ab. Mithilfe von Feststellungsansprüchen können Geschädigte gerichtlich feststellen lassen, dass der Gegner auch für Schäden haftet, die aufgrund des Datenlecks erst in der Zukunft entstehen könnten.
• Geschädigte haben einen Anspruch auf Unterlassung und können der Verarbeitung Ihrer Daten widersprechen.

Kostenfreie Ersteinschätzung vom Anwalt

Betroffene eines Datenlecks müssen den Verlust ihrer Daten nicht einfach hinnehmen. Unternehmen, Banken und Dienstleister sind verpflichtet, personenbezogene Daten angemessen zu schützen. Kommt es zu einem Sicherheitsvorfall, müssen sie transparent informieren und die Rechte der Betroffenen wahren.

Unsere Kanzlei vertritt rechtsschutzversicherte Verbraucherinnen und Verbraucher bundesweit im Datenschutzrecht und verfügt über umfangreiche Erfahrung bei der Durchsetzung von Ansprüchen nach Datenlecks. Zusätzlich kümmern wir uns um die Deckungszusage Ihrer Rechtsschutzversicherung und übernehmen im späteren Verlauf den gesamten Schriftverkehr mit der Versicherung.

Jetzt unverbindliche und kostenfreie Prüfung anfordern

Sie haben Fragen? Rufen Sie uns an unter 0711-9308110 oder schreiben Sie uns Ihre Fragen über unser Kontaktformular.