Alles richtig. Aber ob ein meldepflichtiger Datenschutzvorfall vorliegt, kann halt nur die Firma nach einer entsprechenden Meldung an sie beurteilen.
Korrekt. Mit den hier vorliegenden Informationen und unter der Annahme, dass es sich um menschliches Versagen und nicht um ein Prozessversagen handelt gehe ich davon aus, dass zwar Art. 4 Nr. 12, eine Meldung nach Art. 33 aber verzichtbar wäre. Man sollte dabei von einer erwartbaren, „normalen“ Nutzung eines eventuellen falschen* Empfängers ausgehen und nicht ausschließlich die extremen Fallkonsationen betrachten.
*Es kann auch zweimal das gleiche Puzzle produziert worden sein, so dass nur thefireraven ein falsches Exemplar erhalten hat.