Glossar
Was ist Datenpanne (Verletzung des Schutzes personenbezogener Daten)?
Eine Datenpanne (Data Breach) ist eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt (Art. 4 Nr. 12 DSGVO). Auch eine falsch adressierte E-Mail zählt dazu, nicht nur ein Cyberangriff.
Die Definition erfasst drei Dimensionen: Vertraulichkeit (jemand hat Daten gesehen, die er nicht sehen durfte), Integrität (Daten wurden verändert) und Verfügbarkeit (Daten sind nicht mehr zugänglich, etwa nach Ransomware oder Verlust des einzigen Backups). Viele Organisationen betrachten nur den ersten Fall als Datenpanne und übersehen, dass auch eine längere Nichtverfügbarkeit zu bewerten und gegebenenfalls zu melden ist.
Der Verantwortliche meldet die Verletzung der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde (Art. 33). Die Meldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt; diese Bewertung ist jedoch vorzunehmen, zu begründen und aufzubewahren, denn jede Verletzung ist im internen Verzeichnis zu dokumentieren.
Bei hohem Risiko für die Betroffenen kommt eine zweite Pflicht hinzu: die Benachrichtigung der betroffenen Personen in klarer und einfacher Sprache (Art. 34). Die 72 Stunden laufen ab dem Zeitpunkt hinreichender Gewissheit über den Vorfall, nicht ab Abschluss der forensischen Analyse: eine Meldung kann schrittweise erfolgen.
Häufige Fragen
In welcher Frist ist eine Datenpanne zu melden?
Unverzüglich und möglichst binnen 72 Stunden, nachdem sie dem Verantwortlichen bekannt wurde (Art. 33 Abs. 1 DSGVO). Erfolgt die Meldung später, ist die Verzögerung zu begründen.
Wann entfällt die Meldepflicht?
Wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Die Bewertung ist dennoch durchzuführen und zu dokumentieren, und der Vorfall ist im internen Verzeichnis nach Art. 33 Abs. 5 zu erfassen.
Wann sind auch die Betroffenen zu benachrichtigen?
Wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen zur Folge hat (Art. 34 DSGVO). Die Benachrichtigung beschreibt in klarer Sprache Art der Verletzung, wahrscheinliche Folgen und ergriffene Maßnahmen.
Ist eine falsch versendete E-Mail eine Datenpanne?
Ja. Es handelt sich um eine unbefugte Offenlegung personenbezogener Daten und fällt unter Art. 4 Nr. 12. Sie ist wie jede andere Verletzung zu bewerten: oft ist das Risiko gering und eine Meldung entbehrlich, die interne Dokumentation jedoch nicht.
Quellen: Art. 33-34 DSGVO (Verordnung EU 2016/679)
Dazu beraten wir Sie: Data Breach
Selbst prüfen: Data-Breach-Bereitschaft
Verwandte Begriffe: DSB (Datenschutzbeauftragter) · ISMS (Informationssicherheits-Managementsystem)