Eine Datenpanne ist ein Vorfall, bei dem personenbezogene Daten abfließen, verloren gehen oder unbefugt verändert werden. Im Gesetzestext heißt sie Verletzung des Schutzes personenbezogener Daten.
- Datenpanne
Ein Vorfall, bei dem personenbezogene Daten abfließen, verloren gehen oder unbefugt verändert werden.
Beispiel: „Die Datenpanne entstand durch einen falsch eingestellten Ordner im Speicherdienst.“Auch: Data Breach, Datenleck, Datenschutzverletzung. Geregelt ist sie in Artikel 33 und 34 der DSGVO.
Abgrenzung zum Sicherheitsvorfall: Jede Datenpanne ist einer, aber nicht jeder Sicherheitsvorfall betrifft personenbezogene Daten.
Was als Datenpanne gilt
Mehr, als die meisten erwarten. Dazu gehören der Angriff von außen und die verschlüsselte Datenbank nach einem Erpressungsfall, aber ebenso die E-Mail an den falschen Verteiler, der verlorene Laptop, der offen erreichbare Speicherordner und der Mitarbeiter, der Daten mitnimmt. Entscheidend ist allein, dass Vertraulichkeit, Verfügbarkeit oder Richtigkeit verletzt wurden; auf die Absicht kommt es nicht an.
Wann die 72 Stunden beginnen
Mit der Kenntnis, nicht mit dem Vorfall. Die Frist nach Artikel 33 DSGVO läuft ab dem Moment, in dem das Unternehmen hinreichend sicher weiß, dass etwas passiert ist; eine kurze erste Prüfung darf vorangehen. Wer die Frist nicht hält, muss die Verzögerung begründen. Gemeldet wird auch dann, wenn noch nicht alles geklärt ist, und der Rest wird nachgereicht.
Wann auch die Betroffenen zu informieren sind
Wenn ein hohes Risiko für sie besteht. Dann verlangt Artikel 34 eine Benachrichtigung ohne schuldhaftes Zögern, in klarer und einfacher Sprache. Sie entfällt, wenn die Daten wirksam verschlüsselt waren oder wenn das Risiko nachträglich abgewendet wurde. Diese Ausnahme ist das stärkste praktische Argument für Verschlüsselung, das das Datenschutzrecht kennt.