Datenpanne bezeichnet eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt (Artikel 4 Nummer 12 DSGVO).
Auf einen Blick
Die Datenpanne ist die Verletzung des Schutzes personenbezogener Daten, wie sie Art. 4 Nr. 12 DSGVO beschreibt.
Die Verantwortlichen melden sie der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem ihnen die Verletzung bekannt wurde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.
Hat die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, benachrichtigt der Verantwortliche die betroffenen Personen unverzüglich, es sei denn, eine Ausnahme nach Art. 34 Abs. 3 DSGVO greift.
Was ist Datenpanne?
Eine Datenpanne liegt vor, wenn personenbezogene Daten verloren gehen oder in die Hände Unberechtigter geraten, zum Beispiel durch Hacking oder Gerätediebstahl. Das Gesetz spricht von einer Verletzung des Schutzes personenbezogener Daten; erfasst sind Vernichtung, Verlust, Veränderung, unbefugte Offenlegung und unbefugter Zugang zu Daten, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden. Dabei kommt es nicht darauf an, ob die Verletzung unbeabsichtigt oder unrechtmäßig geschieht. Maßgeblich sind die Pflichten aus Art. 33 und Art. 34 DSGVO, die an eine solche Verletzung anknüpfen.
Wird nicht rechtzeitig und angemessen reagiert, kann eine solche Verletzung einen physischen, materiellen oder immateriellen Schaden für natürliche Personen nach sich ziehen. Die Melde- und Benachrichtigungspflichten folgen deshalb einem risikobasierten Ansatz. Werden bei einem Versicherer Kundendaten durch einen Cyberangriff unbefugt offengelegt, meldet er die Verletzung unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, der Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Die Meldung geht an die gemäß Art. 51 DSGVO zuständige Aufsichtsbehörde. Die Frist knüpft daran an, dass dem Verantwortlichen die Verletzung bekannt wurde. Erfolgt die Meldung nicht binnen 72 Stunden, ist ihr eine Begründung für die Verzögerung beizufügen.
Wie funktioniert Datenpanne?
Die Meldung an die Aufsichtsbehörde enthält mehrere Mindestangaben, darunter eine Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen (Art. 33 Abs. 3 Buchstabe a DSGVO). Wenn und soweit die Informationen nicht zur gleichen Zeit bereitgestellt werden können, kann der Verantwortliche sie ohne unangemessene weitere Verzögerung schrittweise zur Verfügung stellen.
Hat die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, benachrichtigt der Verantwortliche die betroffene Person unverzüglich (Art. 34 Abs. 1 DSGVO). Diese Benachrichtigung ist nach Art. 34 Abs. 3 DSGVO nicht erforderlich, wenn eine der folgenden Bedingungen erfüllt ist: Der Verantwortliche hat geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen, die auf die von der Verletzung betroffenen personenbezogenen Daten angewandt wurden, insbesondere solche, durch die die Daten für alle nicht zum Zugang befugten Personen unzugänglich gemacht werden, etwa durch Verschlüsselung; nachfolgende Maßnahmen haben das hohe Risiko aller Wahrscheinlichkeit nach beseitigt; oder die Benachrichtigung wäre mit einem unverhältnismäßigen Aufwand verbunden. Im Fall des unverhältnismäßigen Aufwands hat stattdessen eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme zu erfolgen, durch die die betroffenen Personen vergleichbar wirksam informiert werden.
Datenpanne im Vergleich
| Kriterium | Datenpanne | IT-Sicherheitsvorfall |
|---|---|---|
| Gegenstand | Verletzung des Schutzes personenbezogener Daten: eine Verletzung der Sicherheit, die zu Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugang zu personenbezogenen Daten führt (Art. 4 Nr. 12 DSGVO). | Nach dem BSI ein Ereignis, bei dem die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen, Geschäftsprozessen, IT-Diensten, IT-Systemen oder IT-Anwendungen beeinträchtigt werden und als Folge ein großer Schaden entstehen kann. |
| Melde- und Benachrichtigungspflichten | Die Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO knüpfen nur an Verletzungen des Schutzes personenbezogener Daten an. | Ein Sicherheitsvorfall ist nach dem Europäischen Datenschutzausschuss nicht notwendigerweise eine Verletzung des Schutzes personenbezogener Daten. |
| Verhältnis | Nach dem Europäischen Datenschutzausschuss ist eine Datenschutzverletzung eine Art von Sicherheitsvorfall; im Wesentlichen ist eine Verletzung des Schutzes personenbezogener Daten auch ein Sicherheitsvorfall. | Nach dem Europäischen Datenschutzausschuss handelt es sich bei einem Sicherheitsvorfall nicht notwendigerweise um eine Verletzung des Schutzes personenbezogener Daten. |
| Auslöser | Ob unbeabsichtigt oder unrechtmäßig (Art. 4 Nr. 12 DSGVO). | Das BSI beschreibt einen Cyber-Angriff als Auslöser eines IT-Sicherheitsvorfalls; ein technischer Defekt oder unbeabsichtigtes Fehlverhalten führt dort zu einer IT-Störung. Nach dem Europäischen Datenschutzausschuss sind Sicherheitsvorfälle nicht auf Angriffe von außen beschränkt, sondern auch bei Verletzung von Sicherheitsgrundsätzen aufgrund interner Vorgänge gegeben. |
Woran erkenne ich eine Datenpanne?
| Merkmal | Worauf es ankommt |
|---|---|
| Vernichtung | Die Verletzung der Sicherheit führt zur Vernichtung personenbezogener Daten, ob unbeabsichtigt oder unrechtmäßig. |
| Verlust | Die Daten gehen verloren, etwa wenn Datenträger wie USB-Sticks, Festplatten oder Laptops mit personenbezogenen Daten verloren gehen oder gestohlen werden. |
| Veränderung | Die Daten werden unbefugt oder unbeabsichtigt geändert. |
| Unbefugte Offenlegung | Die Daten werden unbefugt oder unbeabsichtigt preisgegeben oder eingesehen. |
| Unbefugter Zugang | Unbefugte erhalten Zugang zu den Daten, etwa wenn Hacker im Rahmen eines Cyber-Angriffs personenbezogene Daten abgreifen. |
Schutz im Ernstfall
Vorbeugen
- Es sollte festgestellt werden, ob alle geeigneten technischen Schutz- sowie organisatorischen Maßnahmen getroffen wurden, um sofort feststellen zu können, ob eine Verletzung des Schutzes personenbezogener Daten aufgetreten ist.
- Dieselben Maßnahmen sollen es ermöglichen, die Aufsichtsbehörde und die betroffene Person umgehend zu unterrichten.
- Bei der Beurteilung des angemessenen Schutzniveaus sind die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, etwa durch Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten.
Was tun im Ernstfall
- Der Verantwortliche geht jedem ersten Hinweis nach und ermittelt, ob tatsächlich eine Datenschutzverletzung vorliegt.
- Er meldet die Verletzung der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen; bei späterer Meldung ist eine Begründung für die Verzögerung beizufügen.
- Hat die Verletzung voraussichtlich ein hohes Risiko zur Folge, benachrichtigt er die betroffene Person unverzüglich, es sei denn, eine Ausnahme nach Art. 34 Abs. 3 DSGVO greift; er beschreibt in klarer und einfacher Sprache die Art der Verletzung und gibt zumindest die in Art. 33 Abs. 3 Buchstaben b, c und d DSGVO genannten Informationen und Maßnahmen an.
- Er dokumentiert die Verletzung einschließlich aller damit zusammenhängenden Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen.
Beispiele aus der Praxis
- Das Notebook eines Mitarbeiters eines Dienstleistungsunternehmens wird gestohlen und enthält Namen, Vornamen, Geschlecht, Adressen und Geburtsdaten von mehr als 100 000 Kunden. In einem Beispiel des Europäischen Datenschutzausschusses sind unter diesen Umständen nicht nur die Meldung an die Aufsichtsbehörde, sondern auch die Benachrichtigung der betroffenen Personen erforderlich.
- Eine Teilnehmerliste für einen Kurs, der in einem Hotel stattfindet, wird versehentlich an 15 ehemalige Teilnehmer statt an das Hotel geschickt. In einem Beispiel des Europäischen Datenschutzausschusses war aufgrund der Tatsachen dieses Falls eine Meldung an die Aufsichtsbehörde nicht erforderlich, weil es unwahrscheinlich war, dass die Verletzung zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen führte.
- Geht ein USB-Stick mit unverschlüsselt gespeicherten personenbezogenen Daten verloren, lässt sich möglicherweise nicht feststellen, ob Unbefugte Zugang hatten. Auch dann muss der Fall nach dem Europäischen Datenschutzausschuss gemeldet werden, wenn die Voraussetzungen von Art. 33 Abs. 1 DSGVO erfüllt sind, weil mit hinreichender Gewissheit eine Verletzung der Datenverfügbarkeit stattgefunden hat.
- Ein Versicherer meldet nach einem Cyberangriff, bei dem Kundendaten unbefugt offengelegt wurden, die Verletzung unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.
