Datenpanne

Eine Datenpanne bezeichnet einen Sicherheitsvorfall, bei dem personenbezogene Daten unbeabsichtigt oder unrechtmäßig offengelegt, verändert, gelöscht, zerstört oder unbefugten Personen zugänglich gemacht werden. Die Datenschutz-Grundverordnung (DS-GVO) verwendet hierfür den Begriff „Verletzung des Schutzes personenbezogener Daten“. Art. 4 Nr. 12 sowie Art. 33 und 34 DS-GVO regeln die rechtliche Einordnung und die Pflichten bei solchen Datenschutzverletzungen.

Was gilt als Datenpanne nach der DS-GVO?

Eine Datenpanne liegt im datenschutzrechtlichen Sinne vor, wenn eine Verletzung der Sicherheit zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten beziehungsweise zum unbefugten Zugang zu diesen Daten führt.

Nach Art. 4 Nr. 12 DS-GVO umfasst der Begriff unterschiedliche Arten von Datenschutzverletzungen. Dabei wird insbesondere zwischen drei Formen unterschieden:

• Verletzung der Vertraulichkeit: Unbefugte Personen erhalten Zugang zu personenbezogenen Daten oder diese werden unberechtigt offengelegt.
• Verletzung der Integrität: Personenbezogene Daten werden unbefugt oder unbeabsichtigt verändert.
• Verletzung der Verfügbarkeit: Personenbezogene Daten gehen verloren, werden zerstört oder sind nicht mehr zugänglich.

Typische Beispiele sind der Versand einer E-Mail mit personenbezogenen Daten an einen falschen Empfänger, der Verlust eines unverschlüsselten Datenträgers oder ein erfolgreicher Cyberangriff auf eine Kundendatenbank.

Auch eine versehentliche Löschung personenbezogener Daten kann eine Datenpanne darstellen. Ein unbefugter Datenabfluss ist daher keine zwingende Voraussetzung.

Nicht jeder IT-Sicherheitsvorfall ist automatisch eine Datenschutzverletzung im Sinne der DS-GVO. Entscheidend ist, ob personenbezogene Daten betroffen sind und die Voraussetzungen des Art. 4 Nr. 12 DS-GVO erfüllt werden.

Wann muss eine Datenpanne der Datenschutzaufsichtsbehörde gemeldet werden?

Nach Art. 33 Abs. 1 DS-GVO müssen Verantwortliche eine Verletzung des Schutzes personenbezogener Daten der zuständigen Datenschutzaufsichtsbehörde melden, sofern diese voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Die Meldepflicht richtet sich damit nach einer Bewertung der möglichen Auswirkungen auf die betroffenen Personen.

Bei dieser Risikobewertung sind insbesondere folgende Umstände relevant:

• Art und Sensibilität der betroffenen personenbezogenen Daten,
• Anzahl der betroffenen Personen und Datensätze,
• mögliche Folgen eines unbefugten Zugriffs oder Datenverlusts,
• Wahrscheinlichkeit eines Missbrauchs der Informationen,
• bestehende Schutzmaßnahmen, beispielsweise eine wirksame Verschlüsselung.

Mögliche Risiken sind insbesondere Identitätsdiebstahl, finanzieller Schaden, Diskriminierung oder der Verlust der Kontrolle über personenbezogene Daten.

Eine Meldung ist nicht erforderlich, wenn die Datenschutzverletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Diese Entscheidung muss der Verantwortliche nachvollziehbar begründen und dokumentieren.

Nicht jede Datenpanne ist somit meldepflichtig. Die Pflicht zur Dokumentation besteht jedoch unabhängig davon, ob eine Meldung an die Aufsichtsbehörde erforderlich ist.

Welche Fristen und Anforderungen gelten bei der Meldung einer Datenpanne?

Eine meldepflichtige Datenschutzverletzung muss nach Art. 33 Abs. 1 DS-GVO unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Datenschutzaufsichtsbehörde gemeldet werden.

Die Frist beginnt, sobald der Verantwortliche mit hinreichender Gewissheit Kenntnis davon hat, dass eine Verletzung des Schutzes personenbezogener Daten eingetreten ist. Eine vollständige Untersuchung sämtlicher Auswirkungen ist für den Beginn der Meldefrist nicht erforderlich.

Die Meldung muss nach Art. 33 Abs. 3 DS-GVO insbesondere folgende Informationen enthalten:

• Art der Datenschutzverletzung sowie, soweit möglich, Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze,
• Name und Kontaktdaten des Datenschutzbeauftragten oder einer anderen zuständigen Kontaktstelle,
• Beschreibung der wahrscheinlichen Folgen der Datenschutzverletzung,
• bereits ergriffene oder geplante Maßnahmen zur Behebung des Vorfalls und zur Begrenzung möglicher Schäden.

Liegen innerhalb der Meldefrist noch nicht sämtliche Informationen vor, können diese nach Art. 33 Abs. 4 DS-GVO schrittweise nachgereicht werden. Erfolgt die Meldung später als 72 Stunden nach Bekanntwerden, muss die Verzögerung begründet werden.

Wird eine Datenpanne bei einem Auftragsverarbeiter festgestellt, muss dieser den Verantwortlichen nach Art. 33 Abs. 2 DS-GVO unverzüglich nach Bekanntwerden informieren. Die gesetzliche Pflicht zur Meldung an die Aufsichtsbehörde liegt grundsätzlich beim Verantwortlichen.

Wann müssen betroffene Personen über eine Datenpanne informiert werden?

Neben der Meldung an die Datenschutzaufsichtsbehörde kann eine Pflicht bestehen, die betroffenen Personen unmittelbar über eine Datenschutzverletzung zu informieren.

Nach Art. 34 Abs. 1 DS-GVO ist eine Benachrichtigung grundsätzlich erforderlich, wenn die Datenpanne voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

Ein solches Risiko kann beispielsweise bestehen, wenn unbefugte Dritte Zugriff auf umfangreiche Gesundheitsdaten, Zugangsdaten oder besonders missbrauchsanfällige Finanzinformationen erhalten.

Die Benachrichtigung muss unverzüglich erfolgen und die Datenschutzverletzung in klarer und einfacher Sprache beschreiben. Außerdem müssen die betroffenen Personen insbesondere über mögliche Folgen, ergriffene Maßnahmen und eine geeignete Kontaktstelle informiert werden.

Art. 34 Abs. 3 DS-GVO sieht Ausnahmen von der Benachrichtigungspflicht vor. Eine individuelle Benachrichtigung ist beispielsweise nicht erforderlich, wenn die betroffenen Daten durch geeignete Verschlüsselung für unbefugte Personen unverständlich sind oder nachträgliche Maßnahmen sicherstellen, dass das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht.

Ist die individuelle Benachrichtigung mit einem unverhältnismäßigen Aufwand verbunden, kann unter den gesetzlichen Voraussetzungen eine öffentliche Bekanntmachung oder eine vergleichbar wirksame Maßnahme erfolgen.

Die Pflicht zur Benachrichtigung betroffener Personen ist damit von der Meldepflicht gegenüber der Aufsichtsbehörde zu unterscheiden. Für beide gelten unterschiedliche Risikoschwellen.

Wie müssen Unternehmen bei einer Datenpanne reagieren und welche Folgen drohen?

Unternehmen müssen Datenschutzverletzungen frühzeitig erkennen, ihre Auswirkungen begrenzen und die gesetzlichen Melde- und Dokumentationspflichten erfüllen.

Nach Bekanntwerden einer Datenpanne sind insbesondere folgende Schritte erforderlich:

• Vorfall eindämmen: Unbefugte Zugriffe unterbinden, kompromittierte Zugänge sperren und betroffene Systeme sichern.
• Sachverhalt untersuchen: Ursache, Umfang und betroffene personenbezogene Daten feststellen.
• Risiken bewerten: Mögliche Auswirkungen auf die Rechte und Freiheiten betroffener Personen beurteilen.
• Meldepflichten erfüllen: Erforderliche Meldungen und Benachrichtigungen fristgerecht veranlassen.
• Vorfall dokumentieren: Tatsachen, Auswirkungen, Risikobewertung und ergriffene Maßnahmen nachvollziehbar festhalten.
• Schutzmaßnahmen verbessern: Sicherheitslücken schließen und organisatorische Abläufe anpassen.

Art. 33 Abs. 5 DS-GVO verpflichtet Verantwortliche zur Dokumentation sämtlicher Verletzungen des Schutzes personenbezogener Daten. Diese Dokumentation muss es der Aufsichtsbehörde ermöglichen, die Einhaltung der gesetzlichen Anforderungen zu überprüfen.

Verstöße gegen die Melde- und Benachrichtigungspflichten können aufsichtsbehördliche Maßnahmen und Geldbußen nach Art. 83 Abs. 4 DS-GVO zur Folge haben. Der gesetzliche Bußgeldrahmen beträgt hierfür bis zu 10 Millionen Euro oder bei Unternehmen bis zu 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.

Darüber hinaus können bei Vorliegen der gesetzlichen Voraussetzungen Schadensersatzansprüche nach Art. 82 DS-GVO entstehen. Eine Datenpanne führt allerdings nicht automatisch zu einer Geldbuße oder einem Schadensersatzanspruch.

Praxisbeispiel: Datenpanne durch einen falschen E-Mail-Empfänger

Eine Mitarbeiterin eines Unternehmens versendet versehentlich eine E-Mail mit einer Excel-Datei an einen externen Empfänger. Die Datei enthält Namen, Anschriften, Telefonnummern und Bankverbindungen von 150 Kunden.

Nachdem der Fehler bemerkt wird, fordert das Unternehmen den Empfänger unverzüglich zur Löschung der E-Mail und des Anhangs auf. Gleichzeitig untersucht es den Vorfall und prüft, welche personenbezogenen Daten betroffen sind und welche Risiken durch die unbefugte Offenlegung entstehen.

Aufgrund der enthaltenen Bankverbindungen und der Anzahl betroffener Personen stellt das Unternehmen im Rahmen seiner Risikobewertung fest, dass ein Risiko für die Rechte und Freiheiten der Kunden besteht. Es meldet die Datenschutzverletzung daher innerhalb der gesetzlichen Frist an die zuständige Datenschutzaufsichtsbehörde.

Anschließend prüft das Unternehmen gesondert, ob ein hohes Risiko vorliegt und die betroffenen Kunden nach Art. 34 DS-GVO benachrichtigt werden müssen. Unabhängig davon dokumentiert es den Vorfall und führt zusätzliche Kontrollen beim Versand personenbezogener Daten ein.

legal data Einschätzung: Bei einer Datenpanne kommt es auf eine schnelle Reaktion und eine nachvollziehbare Risikobewertung an. Unternehmen müssen klare interne Meldewege und Zuständigkeiten festlegen, damit Datenschutzverletzungen frühzeitig erkannt und gesetzliche Fristen eingehalten werden. Entscheidend ist außerdem die vollständige Dokumentation des Vorfalls, auch wenn keine Meldepflicht gegenüber der Aufsichtsbehörde besteht.

Rechtsgrundlagen

Art. 4 Nr. 12 DS-GVO

Art. 5 Abs. 1 lit. f und Abs. 2 DS-GVO

Art. 24 DS-GVO

Art. 32 DS-GVO

Art. 33 DS-GVO

Art. 34 DS-GVO

Art. 58 DS-GVO

Art. 82 DS-GVO

Art. 83 DS-GVO