{"id":33844,"date":"2026-10-26T14:29:31","date_gmt":"2026-10-26T13:29:31","guid":{"rendered":"https:\/\/msg-life.sk\/glossary\/datenpanne\/"},"modified":"2026-10-26T14:39:09","modified_gmt":"2026-10-26T13:39:09","slug":"datenpanne","status":"publish","type":"glossary_intl","link":"https:\/\/msg-life.sk\/de\/glossar\/cybersecurity\/datenschutz-datensicherheit\/datenpanne\/","title":{"rendered":"Datenpanne"},"content":{"rendered":"

Was ist Datenpanne?<\/h2>\n

Eine Datenpanne liegt vor, wenn personenbezogene Daten verloren gehen oder in die H\u00e4nde Unberechtigter geraten, zum Beispiel durch Hacking oder Ger\u00e4tediebstahl. Das Gesetz spricht von einer Verletzung des Schutzes personenbezogener Daten<\/strong>; erfasst sind Vernichtung, Verlust, Ver\u00e4nderung, unbefugte Offenlegung und unbefugter Zugang zu Daten, die \u00fcbermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden. Dabei kommt es nicht darauf an, ob die Verletzung unbeabsichtigt oder unrechtm\u00e4\u00dfig geschieht. Ma\u00dfgeblich sind die Pflichten aus Art. 33 und Art. 34 DSGVO, die an eine solche Verletzung ankn\u00fcpfen.<\/p>\n

Wird nicht rechtzeitig und angemessen reagiert, kann eine solche Verletzung einen physischen, materiellen oder immateriellen Schaden f\u00fcr nat\u00fcrliche Personen nach sich ziehen. Die Melde- und Benachrichtigungspflichten folgen deshalb einem risikobasierten Ansatz. Werden bei einem Versicherer Kundendaten durch einen Cyberangriff unbefugt offengelegt, meldet er die Verletzung unverz\u00fcglich und m\u00f6glichst binnen 72 Stunden<\/strong>, nachdem ihm die Verletzung bekannt wurde, der Aufsichtsbeh\u00f6rde, es sei denn, sie f\u00fchrt voraussichtlich nicht zu einem Risiko f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen. Die Meldung geht an die gem\u00e4\u00df Art. 51 DSGVO zust\u00e4ndige Aufsichtsbeh\u00f6rde. Die Frist kn\u00fcpft daran an, dass dem Verantwortlichen die Verletzung bekannt wurde. Erfolgt die Meldung nicht binnen 72 Stunden, ist ihr eine Begr\u00fcndung f\u00fcr die Verz\u00f6gerung beizuf\u00fcgen.<\/p>\n

Wie funktioniert Datenpanne?<\/h2>\n

Die Meldung an die Aufsichtsbeh\u00f6rde enth\u00e4lt mehrere Mindestangaben, darunter eine Beschreibung der Art der Verletzung, soweit m\u00f6glich mit Angabe der Kategorien und der ungef\u00e4hren Zahl der betroffenen Personen (Art. 33 Abs. 3 Buchstabe a DSGVO). Wenn und soweit die Informationen nicht zur gleichen Zeit bereitgestellt werden k\u00f6nnen, kann der Verantwortliche sie ohne unangemessene weitere Verz\u00f6gerung schrittweise zur Verf\u00fcgung stellen<\/strong>.<\/p>\n

Hat die Verletzung voraussichtlich ein hohes Risiko f\u00fcr die pers\u00f6nlichen Rechte und Freiheiten nat\u00fcrlicher Personen zur Folge, benachrichtigt der Verantwortliche die betroffene Person unverz\u00fcglich (Art. 34 Abs. 1 DSGVO). Diese Benachrichtigung ist nach Art. 34 Abs. 3 DSGVO nicht erforderlich, wenn eine der folgenden Bedingungen erf\u00fcllt ist: Der Verantwortliche hat geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen, die auf die von der Verletzung betroffenen personenbezogenen Daten angewandt wurden, insbesondere solche, durch die die Daten f\u00fcr alle nicht zum Zugang befugten Personen unzug\u00e4nglich gemacht werden, etwa durch Verschl\u00fcsselung; nachfolgende Ma\u00dfnahmen haben das hohe Risiko aller Wahrscheinlichkeit nach beseitigt; oder die Benachrichtigung w\u00e4re mit einem unverh\u00e4ltnism\u00e4\u00dfigen Aufwand<\/strong> verbunden. Im Fall des unverh\u00e4ltnism\u00e4\u00dfigen Aufwands hat stattdessen eine \u00f6ffentliche Bekanntmachung oder eine \u00e4hnliche Ma\u00dfnahme zu erfolgen, durch die die betroffenen Personen vergleichbar wirksam informiert werden.<\/p>\n

Datenpanne im Vergleich<\/h2>\n\n\n\n\n\n\n\n\n
Kriterium<\/th>\nDatenpanne<\/th>\nIT-Sicherheitsvorfall<\/th>\n<\/tr>\n<\/thead>\n
Gegenstand<\/td>\nVerletzung des Schutzes personenbezogener Daten: eine Verletzung der Sicherheit, die zu Vernichtung, Verlust, Ver\u00e4nderung, unbefugter Offenlegung oder unbefugtem Zugang zu personenbezogenen Daten f\u00fchrt (Art. 4 Nr. 12 DSGVO).<\/td>\nNach dem BSI ein Ereignis, bei dem die Vertraulichkeit, Integrit\u00e4t und Verf\u00fcgbarkeit von Informationen, Gesch\u00e4ftsprozessen, IT-Diensten, IT-Systemen oder IT-Anwendungen beeintr\u00e4chtigt werden und als Folge ein gro\u00dfer Schaden entstehen kann.<\/td>\n<\/tr>\n
Melde- und Benachrichtigungspflichten<\/td>\nDie Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO kn\u00fcpfen nur an Verletzungen des Schutzes personenbezogener Daten an.<\/td>\nEin Sicherheitsvorfall ist nach dem Europ\u00e4ischen Datenschutzausschuss nicht notwendigerweise eine Verletzung des Schutzes personenbezogener Daten.<\/td>\n<\/tr>\n
Verh\u00e4ltnis<\/td>\nNach dem Europ\u00e4ischen Datenschutzausschuss ist eine Datenschutzverletzung eine Art von Sicherheitsvorfall; im Wesentlichen ist eine Verletzung des Schutzes personenbezogener Daten auch ein Sicherheitsvorfall.<\/td>\nNach dem Europ\u00e4ischen Datenschutzausschuss handelt es sich bei einem Sicherheitsvorfall nicht notwendigerweise um eine Verletzung des Schutzes personenbezogener Daten.<\/td>\n<\/tr>\n
Ausl\u00f6ser<\/td>\nOb unbeabsichtigt oder unrechtm\u00e4\u00dfig (Art. 4 Nr. 12 DSGVO).<\/td>\nDas BSI beschreibt einen Cyber-Angriff als Ausl\u00f6ser eines IT-Sicherheitsvorfalls; ein technischer Defekt oder unbeabsichtigtes Fehlverhalten f\u00fchrt dort zu einer IT-St\u00f6rung. Nach dem Europ\u00e4ischen Datenschutzausschuss sind Sicherheitsvorf\u00e4lle nicht auf Angriffe von au\u00dfen beschr\u00e4nkt, sondern auch bei Verletzung von Sicherheitsgrunds\u00e4tzen aufgrund interner Vorg\u00e4nge gegeben.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Woran erkenne ich eine Datenpanne?<\/h2>\n\n\n\n\n\n\n\n\n\n
Merkmal<\/th>\nWorauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n
Vernichtung<\/td>\nDie Verletzung der Sicherheit f\u00fchrt zur Vernichtung personenbezogener Daten, ob unbeabsichtigt oder unrechtm\u00e4\u00dfig.<\/td>\n<\/tr>\n
Verlust<\/td>\nDie Daten gehen verloren, etwa wenn Datentr\u00e4ger wie USB-Sticks, Festplatten oder Laptops mit personenbezogenen Daten verloren gehen oder gestohlen werden.<\/td>\n<\/tr>\n
Ver\u00e4nderung<\/td>\nDie Daten werden unbefugt oder unbeabsichtigt ge\u00e4ndert.<\/td>\n<\/tr>\n
Unbefugte Offenlegung<\/td>\nDie Daten werden unbefugt oder unbeabsichtigt preisgegeben oder eingesehen.<\/td>\n<\/tr>\n
Unbefugter Zugang<\/td>\nUnbefugte erhalten Zugang zu den Daten, etwa wenn Hacker im Rahmen eines Cyber-Angriffs personenbezogene Daten abgreifen.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Schutz im Ernstfall<\/h2>\n

Vorbeugen<\/h3>\n
    \n
  • Es sollte festgestellt werden, ob alle geeigneten technischen Schutz- sowie organisatorischen Ma\u00dfnahmen getroffen wurden, um sofort feststellen zu k\u00f6nnen, ob eine Verletzung des Schutzes personenbezogener Daten aufgetreten ist.<\/li>\n
  • Dieselben Ma\u00dfnahmen sollen es erm\u00f6glichen, die Aufsichtsbeh\u00f6rde und die betroffene Person umgehend zu unterrichten.<\/li>\n
  • Bei der Beurteilung des angemessenen Schutzniveaus sind die Risiken zu ber\u00fccksichtigen, die mit der Verarbeitung verbunden sind, etwa durch Vernichtung, Verlust, Ver\u00e4nderung oder unbefugte Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten.<\/li>\n<\/ul>\n

    Was tun im Ernstfall<\/h3>\n
      \n
    • Der Verantwortliche geht jedem ersten Hinweis nach und ermittelt, ob tats\u00e4chlich eine Datenschutzverletzung vorliegt.<\/li>\n
    • Er meldet die Verletzung der Aufsichtsbeh\u00f6rde unverz\u00fcglich und m\u00f6glichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, es sei denn, sie f\u00fchrt voraussichtlich nicht zu einem Risiko f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen; bei sp\u00e4terer Meldung ist eine Begr\u00fcndung f\u00fcr die Verz\u00f6gerung beizuf\u00fcgen.<\/li>\n
    • Hat die Verletzung voraussichtlich ein hohes Risiko zur Folge, benachrichtigt er die betroffene Person unverz\u00fcglich, es sei denn, eine Ausnahme nach Art. 34 Abs. 3 DSGVO greift; er beschreibt in klarer und einfacher Sprache die Art der Verletzung und gibt zumindest die in Art. 33 Abs. 3 Buchstaben b, c und d DSGVO genannten Informationen und Ma\u00dfnahmen an.<\/li>\n
    • Er dokumentiert die Verletzung einschlie\u00dflich aller damit zusammenh\u00e4ngenden Fakten, ihrer Auswirkungen und der ergriffenen Abhilfema\u00dfnahmen.<\/li>\n<\/ul>\n

      KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,406,405],"class_list":["post-33844","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-dsgvo-datenschutz","glossary_intl_topic-datenschutz-datensicherheit"],"acf":{"card_description":"Datenpanne: personenbezogene Daten gehen verloren oder gelangen an Unbefugte; zu melden, es sei denn, voraussichtlich kein Risiko.","nav_theme":"Datenschutz & Datensicherheit","nav_subtheme":"DSGVO & Datenschutz","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"Datenschutzverletzung"},{"value":"Data Breach"},{"value":"Datenschutzvorfall"}],"lead_definition":"Datenpanne bezeichnet eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtm\u00e4\u00dfig, zur Vernichtung, zum Verlust, zur Ver\u00e4nderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten f\u00fchrt (Artikel 4 Nummer 12 DSGVO).","at_a_glance":[{"bullet":"Die Datenpanne ist die Verletzung des Schutzes personenbezogener Daten, wie sie Art. 4 Nr. 12 DSGVO beschreibt."},{"bullet":"Die Verantwortlichen melden sie der Aufsichtsbeh\u00f6rde unverz\u00fcglich und m\u00f6glichst binnen 72 Stunden, nachdem ihnen die Verletzung bekannt wurde, es sei denn, sie f\u00fchrt voraussichtlich nicht zu einem Risiko f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen."},{"bullet":"Hat die Verletzung voraussichtlich ein hohes Risiko f\u00fcr die pers\u00f6nlichen Rechte und Freiheiten nat\u00fcrlicher Personen zur Folge, benachrichtigt der Verantwortliche die betroffenen Personen unverz\u00fcglich, es sei denn, eine Ausnahme nach Art. 34 Abs. 3 DSGVO greift."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Das Notebook eines Mitarbeiters eines Dienstleistungsunternehmens wird gestohlen und enth\u00e4lt Namen, Vornamen, Geschlecht, Adressen und Geburtsdaten von mehr als 100 000 Kunden. In einem Beispiel des Europ\u00e4ischen Datenschutzausschusses sind unter diesen Umst\u00e4nden nicht nur die Meldung an die Aufsichtsbeh\u00f6rde, sondern auch die Benachrichtigung der betroffenen Personen erforderlich."},{"example":"Eine Teilnehmerliste f\u00fcr einen Kurs, der in einem Hotel stattfindet, wird versehentlich an 15 ehemalige Teilnehmer statt an das Hotel geschickt. In einem Beispiel des Europ\u00e4ischen Datenschutzausschusses war aufgrund der Tatsachen dieses Falls eine Meldung an die Aufsichtsbeh\u00f6rde nicht erforderlich, weil es unwahrscheinlich war, dass die Verletzung zu einem Risiko f\u00fcr die Rechte und Freiheiten der betroffenen Personen f\u00fchrte."},{"example":"Geht ein USB-Stick mit unverschl\u00fcsselt gespeicherten personenbezogenen Daten verloren, l\u00e4sst sich m\u00f6glicherweise nicht feststellen, ob Unbefugte Zugang hatten. Auch dann muss der Fall nach dem Europ\u00e4ischen Datenschutzausschuss gemeldet werden, wenn die Voraussetzungen von Art. 33 Abs. 1 DSGVO erf\u00fcllt sind, weil mit hinreichender Gewissheit eine Verletzung der Datenverf\u00fcgbarkeit stattgefunden hat."},{"example":"Ein Versicherer meldet nach einem Cyberangriff, bei dem Kundendaten unbefugt offengelegt wurden, die Verletzung unverz\u00fcglich und m\u00f6glichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der Aufsichtsbeh\u00f6rde, es sei denn, sie f\u00fchrt voraussichtlich nicht zu einem Risiko f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33854,33741,33847,33739],"pillar_link":null,"sources":[{"publisher":"","name":"Verordnung (EU) 2016\/679 (Datenschutz-Grundverordnung)","url":"https:\/\/publications.europa.eu\/resource\/cellar\/3e485e15-11bd-11e6-ba9a-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"Leitlinien 9\/2022 f\u00fcr die Meldung von Verletzungen des Schutzes personenbezogener Daten gem\u00e4\u00df der DSGVO","url":"https:\/\/www.edpb.europa.eu\/system\/files\/2024-10\/edpb_guidelines_202209_personal_data_breach_notification_v2.0_de_0.pdf","doc_type":"2023","group":"used"},{"publisher":"","name":"BfDI - Kontakt - Informationen zu Meldungen von Datenschutzverst\u00f6\u00dfen","url":"https:\/\/www.bfdi.bund.de\/DE\/Service\/Kontakt\/Meldung-Datenschutzversto%C3%9F\/Info_MeldungDSVerstoss.html","doc_type":"","group":"used"},{"publisher":"","name":"Leitlinien 01\/2021 zu Beispielen f\u00fcr die Meldung von Verletzungen des Schutzes personenbezogener Daten","url":"https:\/\/www.edpb.europa.eu\/system\/files\/2026-04\/edpb_guidelines_012021_pdbnotification_adopted_de.pdf","doc_type":"","group":"used"},{"publisher":"","name":"BfDI - Datenschutz-Garten - Die europ\u00e4ische Datenschutz-Grundverordnung (DSGVO)","url":"https:\/\/www.bfdi.bund.de\/DE\/BfDI\/Inhalte\/Datenschutzpfad\/DSGVO.html?nn=354900","doc_type":"","group":"used"},{"publisher":"","name":"Leitfaden zur Reaktion auf IT-Sicherheitsvorf\u00e4lle f\u00fcr Digitale Ersthelfer","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/CSN\/210712_Leitfaden_Digitaler_Ersthelfer.pdf?__blob=publicationFile&v=8","doc_type":"2021","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-23"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t