Eine Datenpanne ist eine Verletzung des Schutzes personenbezogener Daten, etwa durch Verlust, unbefugten Zugriff oder versehentliche Offenlegung.
Melden und reagieren
Meldepflichtige Datenpannen müssen der Aufsichtsbehörde binnen 72 Stunden gemeldet werden. Entscheidend ist eine geübte interne Meldekette, damit die Frist überhaupt zu halten ist.
Typische Fälle
- E-Mail mit personenbezogenen Daten an den falschen Empfänger
- Verlust eines unverschlüsselten Laptops oder USB-Sticks
- Ransomware-Angriff mit Verschlüsselung oder Abfluss von Daten
- offen im Internet erreichbare Datenbanken
Unterschieden werden Verletzungen der Vertraulichkeit, der Integrität und der Verfügbarkeit.
Dokumentation
Jede Datenpanne ist intern zu dokumentieren, auch wenn sie nicht meldepflichtig ist. Die Dokumentation umfasst den Sachverhalt, die Auswirkungen und die ergriffenen Abhilfemaßnahmen.
Rechtsgrundlagen
- Art. 4 Nr. 12 DSGVO
- Definition der Verletzung des Schutzes personenbezogener Daten.
- Art. 33 DSGVO
- Meldung an die Aufsichtsbehörde und Dokumentationspflicht.
- Art. 34 DSGVO
- Benachrichtigung der betroffenen Personen bei hohem Risiko.
Verwandte Begriffe.
Meldepflicht bei Datenschutzverletzungen Die Meldepflicht bei Datenschutzverletzungen verpflichtet Verantwortliche, eine Datenpanne innerhalb von 72 Stunden nach Bekanntwerden der Aufsichtsbehörde zu melden. Art. 33 DSGVO 
Aufsichtsbehörde Die Datenschutz-Aufsichtsbehörde überwacht die Einhaltung des Datenschutzrechts und kann Prüfungen durchführen und Bußgelder verhängen. Art. 51 bis 59 DSGVO Verschlüsselung Verschlüsselung ist die Umwandlung von Daten mithilfe eines Schlüssels in eine Form, die nur mit dem passenden Schlüssel wieder lesbar ist. Art. 32 Abs. 1 lit. a DSGVO
Alle Begriffe von A bis Z Aufsichtsbehörde Die Datenschutz-Aufsichtsbehörde überwacht die Einhaltung des Datenschutzrechts und kann Prüfungen durchführen und Bußgelder verhängen. Art. 51 bis 59 DSGVO Verschlüsselung Verschlüsselung ist die Umwandlung von Daten mithilfe eines Schlüssels in eine Form, die nur mit dem passenden Schlüssel wieder lesbar ist. Art. 32 Abs. 1 lit. a DSGVO 