Neben den öffentlich-rechtlichen Meldepflichten sind Onlinehändler auch zivilrechtlich dazu verpflichtet, die vom Datenklau Betroffenen zu informieren. Wichtiger Unterschied im Vergleich zur öffentlich-rechtlichen Pflicht der Information: Bei der zivilrechtlichen Meldepflicht spielt die Art der Daten oder ihr Inhalt keine Rolle. Bei jeder Art von Datenleck muss der Online-Händler seine Kunden beispielsweise per E-Mail oder SMS informieren.
Der Unterschied zwischen öffentlich-rechtlichen und zivilrechtlichen Informationspflichten ist vor allem dann wichtig, wenn der Händler nicht die zuständige Aufsichtsbehörde informieren muss, aber dennoch die betroffenen Kunden. Verstößt der Händler gegen die zivilrechtliche Informationspflicht, muss der Kunde ihm einen daraus entstandenen Schaden und auch die Höhe des Schadens nachweisen, um den Händler dafür haftbar zu machen.