{"id":33854,"date":"2026-10-26T14:29:38","date_gmt":"2026-10-26T13:29:38","guid":{"rendered":"https:\/\/msg-life.sk\/glossary\/datenmissbrauch\/"},"modified":"2026-10-26T14:39:24","modified_gmt":"2026-10-26T13:39:24","slug":"datenmissbrauch","status":"publish","type":"glossary_intl","link":"https:\/\/msg-life.sk\/de\/glossar\/cybersecurity\/datenschutz-datensicherheit\/datenmissbrauch\/","title":{"rendered":"Datenmissbrauch"},"content":{"rendered":"

Was ist Datenmissbrauch?<\/h2>\n

Der Begriff Datenmissbrauch erscheint in Erw\u00e4gungsgrund 88 DSGVO in der Wendung \u201eeines Identit\u00e4tsbetrugs oder anderer Formen des Datenmissbrauchs\u201c, ohne dass die Verordnung ihn definiert. Unabh\u00e4ngig von der Bezeichnung gelten die Pflichten der DSGVO: Nach Art. 5 Abs. 1 DSGVO m\u00fcssen personenbezogene Daten unter anderem auf rechtm\u00e4\u00dfige Weise, nach Treu und Glauben und in einer f\u00fcr die betroffene Person nachvollziehbaren Weise verarbeitet werden und in einer Weise, die eine angemessene Sicherheit gew\u00e4hrleistet, einschlie\u00dflich Schutz vor unbefugter oder unrechtm\u00e4\u00dfiger Verarbeitung<\/strong>.<\/p>\n

Ruft ein Mitarbeiter eines Versicherers ohne dienstlichen Anlass Vertragsdaten eines Bekannten ab, kann das, ohne dass die DSGVO von Datenmissbrauch spricht, gegen Artikel 29 versto\u00dfen: Unterstellte Personen mit Zugang d\u00fcrfen personenbezogene Daten nur auf Weisung des Verantwortlichen verarbeiten, sofern kein Gesetz sie dazu verpflichtet. Eine Verletzung des Schutzes personenbezogener Daten ist nach Art. 4 Nr. 12 DSGVO eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtm\u00e4\u00dfig, unter anderem zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten<\/strong> f\u00fchrt, die \u00fcbermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden; ob ein Datenmissbrauch darunter f\u00e4llt, h\u00e4ngt von diesen Merkmalen ab.<\/p>\n

Wie funktioniert Datenmissbrauch?<\/h2>\n

Weil die DSGVO Datenmissbrauch nicht definiert, gelten f\u00fcr den jeweiligen Vorgang ihre allgemeinen Vorgaben, etwa die Zweckbindung nach Artikel 5 Absatz 1 und die Bindung an Weisungen des Verantwortlichen nach Artikel 29. Nach Artikel 5 Absatz 1 Buchstabe b DSGVO d\u00fcrfen personenbezogene Daten nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise<\/strong> weiterverarbeitet werden, f\u00fcr die sie erhoben wurden; eine Weiterverarbeitung f\u00fcr im \u00f6ffentlichen Interesse liegende Archivzwecke, f\u00fcr wissenschaftliche oder historische Forschungszwecke oder f\u00fcr statistische Zwecke gilt gem\u00e4\u00df den Garantien der Verordnung f\u00fcr diese Zwecke nicht als unvereinbar mit den urspr\u00fcnglichen Zwecken.<\/p>\n

Stellt der Vorgang zugleich eine Verletzung des Schutzes personenbezogener Daten dar, meldet der Verantwortliche sie nach Art. 33 Abs. 1 DSGVO unverz\u00fcglich und m\u00f6glichst binnen 72 Stunden<\/strong>, nachdem sie ihm bekannt wurde, der zust\u00e4ndigen Aufsichtsbeh\u00f6rde, es sei denn, dass sie voraussichtlich nicht zu einem Risiko f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen f\u00fchrt. Erfolgt die Meldung nicht binnen 72 Stunden, ist ihr eine Begr\u00fcndung f\u00fcr die Verz\u00f6gerung beizuf\u00fcgen.<\/p>\n

Datenmissbrauch im Vergleich<\/h2>\n\n\n\n\n\n\n\n
Kriterium<\/th>\nDatenmissbrauch<\/th>\nDatenpanne<\/th>\n<\/tr>\n<\/thead>\n
Begriff<\/td>\nIn den Begriffsbestimmungen der DSGVO nicht definiert; Erw\u00e4gungsgrund 88 DSGVO erw\u00e4hnt \u201eFormen des Datenmissbrauchs\u201c<\/td>\nVerletzung des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 DSGVO; der BfDI nennt sie auch Datenpanne oder Datenschutzvorfall<\/td>\n<\/tr>\n
Merkmale<\/td>\nKeine gesetzlichen Merkmale; unabh\u00e4ngig von der Bezeichnung gelten die allgemeinen Pflichten der DSGVO, etwa Art. 5 Abs. 1 und Art. 29 DSGVO<\/td>\nVerletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtm\u00e4\u00dfig, zur Vernichtung, zum Verlust, zur Ver\u00e4nderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten f\u00fchrt<\/td>\n<\/tr>\n
Meldung an die Aufsichtsbeh\u00f6rde<\/td>\nArt. 33 DSGVO kn\u00fcpft die Meldung an eine Verletzung des Schutzes personenbezogener Daten, nicht an den Begriff Datenmissbrauch<\/td>\nMeldung unverz\u00fcglich und m\u00f6glichst binnen 72 Stunden, es sei denn, die Verletzung f\u00fchrt voraussichtlich nicht zu einem Risiko f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen (Art. 33 Abs. 1 DSGVO)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Datenmissbrauch: Welche Vorgaben der DSGVO sind ber\u00fchrt?<\/h2>\n\n\n\n\n\n\n\n\n
Merkmal<\/th>\nWorauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n
Weisungsbindung nach Art. 29 DSGVO<\/td>\nDer Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person mit Zugang zu personenbezogenen Daten d\u00fcrfen diese nach Art. 29 DSGVO nur auf Weisung des Verantwortlichen verarbeiten, es sei denn, dass sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet sind.<\/td>\n<\/tr>\n
Grunds\u00e4tze der Verarbeitung nach Art. 5 Abs. 1 DSGVO<\/td>\nNach Art. 5 Abs. 1 DSGVO m\u00fcssen personenbezogene Daten unter anderem auf rechtm\u00e4\u00dfige Weise, nach Treu und Glauben und in einer f\u00fcr die betroffene Person nachvollziehbaren Weise verarbeitet werden.<\/td>\n<\/tr>\n
Unbefugter Zugang (Art. 4 Nr. 12 DSGVO)<\/td>\nGelangt jemand unbefugt an personenbezogene Daten, kann eine Verletzung des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 DSGVO vorliegen: eine Verletzung der Sicherheit, die unter anderem zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten f\u00fchrt.<\/td>\n<\/tr>\n
Zugriff \u00fcber die Aufgabe hinaus (Beispiel der EDPB-Leitlinien)<\/td>\nIn einem Beispiel der EDPB-Leitlinien kopiert ein Angestellter w\u00e4hrend seiner K\u00fcndigungsfrist Gesch\u00e4ftsdaten aus der Datenbank des Unternehmens, obwohl er nur zur Erf\u00fcllung seiner Arbeitsaufgaben Zugriff auf die Daten hat; nach den EDPB-Leitlinien k\u00f6nnen gut durchdachte Zugangsstrategien und eine st\u00e4ndige Kontrolle zur Vermeidung solcher Verletzungen beitragen.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Schutz im Ernstfall<\/h2>\n

Vorbeugen<\/h3>\n
    \n
  • Schritte unternehmen, damit unterstellte nat\u00fcrliche Personen mit Zugang zu personenbezogenen Daten diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet (Art. 32 Abs. 4 DSGVO).<\/li>\n
  • Personenbezogene Daten in einer Weise verarbeiten, die eine angemessene Sicherheit gew\u00e4hrleistet, einschlie\u00dflich Schutz vor unbefugter oder unrechtm\u00e4\u00dfiger Verarbeitung durch geeignete technische und organisatorische Ma\u00dfnahmen (Art. 5 Abs. 1 DSGVO).<\/li>\n
  • Zugangsstrategien durchdenken; nach den EDPB-Leitlinien k\u00f6nnen gut durchdachte Zugangsstrategien und eine st\u00e4ndige Kontrolle zur Vermeidung solcher Verletzungen des Schutzes personenbezogener Daten beitragen.<\/li>\n<\/ul>\n

    Was tun im Ernstfall<\/h3>\n
      \n
    • Liegt eine Verletzung des Schutzes personenbezogener Daten vor, meldet der Verantwortliche sie nach Art. 33 Abs. 1 DSGVO unverz\u00fcglich und m\u00f6glichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zust\u00e4ndigen Aufsichtsbeh\u00f6rde, es sei denn, dass sie voraussichtlich nicht zu einem Risiko f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen f\u00fchrt; erfolgt die Meldung nicht binnen 72 Stunden, ist ihr eine Begr\u00fcndung f\u00fcr die Verz\u00f6gerung beizuf\u00fcgen.<\/li>\n
    • Hat die Verletzung voraussichtlich ein hohes Risiko f\u00fcr die pers\u00f6nlichen Rechte und Freiheiten nat\u00fcrlicher Personen zur Folge, benachrichtigt der Verantwortliche die betroffene Person unverz\u00fcglich von der Verletzung; die Benachrichtigung ist nicht erforderlich, wenn eine der Bedingungen des Art. 34 Abs. 3 DSGVO erf\u00fcllt ist (Art. 34 Abs. 1 und 3 DSGVO).<\/li>\n
    • Verletzungen einschlie\u00dflich der damit zusammenh\u00e4ngenden Fakten, ihrer Auswirkungen und der ergriffenen Abhilfema\u00dfnahmen dokumentieren (Art. 33 Abs. 5 DSGVO).<\/li>\n
    • Nach den EDPB-Leitlinien wird erwartet, dass die erste Untersuchung schnellstm\u00f6glich beginnt und mit hinreichender Gewissheit festgestellt wird, ob eine Datenschutzverletzung stattgefunden hat.<\/li>\n<\/ul>\n

      KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,406,405],"class_list":["post-33854","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-dsgvo-datenschutz","glossary_intl_topic-datenschutz-datensicherheit"],"acf":{"card_description":"Datenmissbrauch: in der DSGVO nicht definierter Begriff, den Erw\u00e4gungsgrund 88 mit \u201eFormen des Datenmissbrauchs\u201c erw\u00e4hnt, ohne sie n\u00e4her zu bestimmen.","nav_theme":"Datenschutz & Datensicherheit","nav_subtheme":"DSGVO & Datenschutz","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"Datenmissbrauch ist ein Begriff, den die Datenschutz-Grundverordnung (DSGVO) nicht definiert; sie nennt lediglich in Erw\u00e4gungsgrund 88 \u201eFormen des Datenmissbrauchs\u201c, ohne sie n\u00e4her zu bestimmen.","at_a_glance":[{"bullet":"Die Begriffsbestimmungen der DSGVO enthalten ihn nicht; Erw\u00e4gungsgrund 88 DSGVO erw\u00e4hnt \u201eFormen des Datenmissbrauchs\u201c, definiert sie aber nicht."},{"bullet":"Unabh\u00e4ngig von der Bezeichnung gelten f\u00fcr jede Verarbeitung die Pflichten der DSGVO, etwa Art. 5 Abs. 1 und Art. 29."},{"bullet":"Ob ein Datenmissbrauch zugleich eine Verletzung des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 DSGVO ist, richtet sich nach deren Merkmalen."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Ein Angestellter kopiert w\u00e4hrend seiner K\u00fcndigungsfrist Gesch\u00e4ftsdaten aus der Datenbank des Unternehmens, obwohl er nur zur Erf\u00fcllung seiner Arbeitsaufgaben Zugriff auf die Daten hat; dieses Beispiel f\u00fchren die EDPB-Leitlinien an und nennen gut durchdachte Zugangsstrategien und eine st\u00e4ndige Kontrolle als Beitrag zur Vermeidung solcher Verletzungen."},{"example":"Eine Person mit Zugang zu personenbezogenen Daten verarbeitet sie ohne Weisung des Verantwortlichen; nach Art. 29 DSGVO ist das nur zul\u00e4ssig, wenn Unionsrecht oder das Recht der Mitgliedstaaten sie zur Verarbeitung verpflichtet."},{"example":"Ein Mitarbeiter eines Versicherers ruft ohne dienstlichen Anlass Vertragsdaten eines Bekannten ab; die DSGVO spricht hier nicht von Datenmissbrauch, je nach den Umst\u00e4nden kann der Abruf aber gegen Art. 29 versto\u00dfen: Unterstellte Personen mit Zugang d\u00fcrfen personenbezogene Daten nur auf Weisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33844,33741,33847,33872],"pillar_link":null,"sources":[{"publisher":"","name":"L_2016119DE.01000101.xml","url":"https:\/\/publications.europa.eu\/resource\/cellar\/3e485e15-11bd-11e6-ba9a-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"Leitlinien 01\/2021 zu Beispielen f\u00fcr die Meldung von Verletzungen des Schutzes personenbezogener Daten","url":"https:\/\/www.edpb.europa.eu\/system\/files\/2026-04\/edpb_guidelines_012021_pdbnotification_adopted_de.pdf","doc_type":"","group":"used"},{"publisher":"","name":"BfDI - Kontakt - Informationen zu Meldungen von Datenschutzverst\u00f6\u00dfen","url":"https:\/\/www.bfdi.bund.de\/DE\/Service\/Kontakt\/Meldung-Datenschutzversto%C3%9F\/Info_MeldungDSVerstoss.html","doc_type":"","group":"used"},{"publisher":"","name":"Leitlinien 9\/2022 f\u00fcr die Meldung von Verletzungen des Schutzes personenbezogener Daten gem\u00e4\u00df der DSGVO","url":"https:\/\/www.edpb.europa.eu\/system\/files\/2024-10\/edpb_guidelines_202209_personal_data_breach_notification_v2.0_de_0.pdf","doc_type":"2023","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-24"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t