Datenschutz & IT-Recht
Was ist eine Datenpanne?
Jede Verletzung des Schutzes personenbezogener Daten — mit Meldepflicht binnen 72 Stunden und Informationspflicht gegenüber Betroffenen.
Kurz gesagt
Eine Datenpanne ist jede Verletzung des Schutzes personenbezogener Daten — Verlust, unbefugter Zugriff, unbeabsichtigte Offenlegung oder Vernichtung. Der Verantwortliche muss sie binnen 72 Stunden der Aufsichtsbehörde melden und bei hohem Risiko die Betroffenen unverzüglich informieren. Auch ein Fehlversand per E-Mail ist eine Datenpanne.
- Stand
- Verantwortlich
Tim PlatnerJurist & Chief Operating Officer (COO), Geschäftsführer Legal Data Technology GmbH- Fachlich zuständig
Jan SchlingmannRechtsanwalt & Geschäftsführer
Rechtsgrundlagen
„Datenpanne“ klingt nach Hackerangriff. Die Mehrzahl der real gemeldeten Fälle ist banaler — und trotzdem meldepflichtig.
Die Definition
Art. 4 Nr. 12 DSGVO: eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von personenbezogenen Daten führt.
Erfasst sind damit auch:
- E-Mail an den falschen Empfänger
- Serienmail mit allen Adressen im An-Feld statt im Bcc
- verlorener USB-Stick, gestohlenes Notebook
- fehlkonfigurierter Cloud-Ordner, öffentlich erreichbare Datenbank
- Brief an die falsche Adresse
- versehentlich gelöschte Daten ohne Backup
Die Pflichten des Verantwortlichen
Meldung an die Aufsichtsbehörde binnen 72 Stunden ab Kenntnis (Art. 33 DSGVO) — es sei denn, ein Risiko für Betroffene ist voraussichtlich ausgeschlossen.
Information der Betroffenen unverzüglich, wenn ein hohes Risiko besteht (Art. 34 DSGVO) — in klarer, einfacher Sprache, mit Art des Vorfalls, wahrscheinlichen Folgen und Gegenmaßnahmen.
Dokumentation jeder Verletzung, auch der nicht gemeldeten, samt Begründung der Entscheidung.
Für Unternehmen: was vorher da sein muss
Ein knapper, geübter Prozess. Die 72 Stunden reichen nicht, um erst zu klären, wer entscheidet und was gemeldet wird. Praktisch nötig sind: eine benannte Meldeverantwortung, ein Formular für die Erstaufnahme, eine Bewertungsmatrix für das Risiko und ein Vorlagetext für Betroffene.
Für Betroffene: was die Meldung Ihnen bringt
Sie ist der Beweis, dass ein Verstoß vorlag — Grundlage für einen Schadensersatzanspruch und Anknüpfungspunkt für ein Auskunftsverlangen, um zu klären, welche Ihrer Daten konkret betroffen waren. Bewahren Sie sie auf.
Kurz beantwortet
Ab Kenntnis des Verantwortlichen von der Verletzung — nicht ab dem Vorfall selbst und nicht ab abgeschlossener Ursachenanalyse. Melden Sie mit dem bekannten Stand und ergänzen Sie später.
An die Aufsichtsbehörde ja, außer wenn ein Risiko für die Rechte Betroffener voraussichtlich nicht besteht. Betroffene sind nur bei hohem Risiko zu informieren. Beide Bewertungen sind zu dokumentieren, auch wenn nicht gemeldet wird.
Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für Melde- und Dokumentationsverstöße; bei materiellen Verstößen bis 20 Millionen Euro oder 4 Prozent. Dazu Schadensersatzansprüche Betroffener.
Weitere Fragen aus Datenschutz & IT-Recht
- Was kann ich mit einem Auskunftsanspruch erreichen?
- Bekomme ich nach einem Datenleck Schadensersatz?
- Wie wehre ich Werbeanrufe und Spam-Mails ab?
- Wie setze ich die Löschung meiner Daten durch?
Passend dazu
Schlagworte
- Datenpanne
- Meldepflicht
- DSGVO
