Kurz erklärt: Eine Datenpanne ist jede Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt, vom Fehlversand einer E-Mail bis zum Ransomware-Angriff.
Was bedeutet Datenpanne?
Der Begriff ist weit und umfasst auch Fälle ohne Angreifer: ein verlorenes Notebook, ein falsch adressierter Brief, ein offener Verteiler im E-Mail-Feld „An“, ein defektes Backup oder ein Mitarbeiter, der ohne Berechtigung in die Personalakte schaut. Entscheidend ist nicht die Absicht, sondern die Folge für die Daten.
Jede Datenpanne ist intern zu dokumentieren, auch wenn sie nicht meldepflichtig ist. Meldepflichtig gegenüber der Aufsichtsbehörde ist sie, wenn ein Risiko für die Betroffenen nicht unwahrscheinlich ist; bei hohem Risiko sind zusätzlich die Betroffenen zu benachrichtigen.
Rechtsgrundlage
- Art. 4 Nr. 12 DSGVO (Begriffsbestimmung)
- Art. 33 DSGVO (Meldung an die Aufsichtsbehörde)
- Art. 34 DSGVO (Benachrichtigung der Betroffenen)
- Art. 33 Abs. 5 DSGVO (Dokumentationspflicht)
In der Praxis
Die 72-Stunden-Frist beginnt, sobald der Vorfall bekannt wird, nicht erst nach der internen Klärung. Jeder Betrieb braucht deshalb einen festen Ablauf: Wer meldet intern an wen, wer bewertet das Risiko, wer meldet an die Behörde, wer informiert Betroffene. Der Datenschutzbeauftragte bewertet das Risiko und formuliert die Meldung.
Häufige Fragen
Fragen zu Datenpanne
Ist ein Fehlversand an den falschen Kunden eine Datenpanne?
Ja. Ob sie gemeldet werden muss, hängt vom Inhalt ab: Eine Rechnung mit Adresse ist meist ein geringes Risiko, ein Arztbrief oder eine Gehaltsabrechnung ein hohes.
Muss ich einen Ransomware-Angriff melden?
In aller Regel ja. Verschlüsselte Daten sind nicht verfügbar, und oft ist unklar, ob Daten abgeflossen sind. Die Meldung ist innerhalb von 72 Stunden vorzunehmen, notfalls in Schritten.
Verwandte Begriffe