Was ist eine Datenpanne?
Eine Datenpanne ist nach Art. 4 Nr. 12 DSGVO eine Verletzung des Schutzes personenbezogener Daten. Gemeint ist jede Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt – ob versehentlich oder vorsätzlich.
Typische Fälle sind eine an den falschen Empfänger versendete E-Mail mit offenem Verteiler, ein verlorener USB-Stick oder Laptop, ein Hackerangriff mit Datenabfluss, ein Verschlüsselungstrojaner oder schlicht eine fehlkonfigurierte Cloud, bei der Dokumente öffentlich erreichbar waren. Auch wenn keine Daten abfließen, sondern nur unzugänglich werden – etwa durch Ransomware – ist das eine meldepflichtige Verletzung der Verfügbarkeit.
Die 72-Stunden-Meldepflicht
Wird der Verantwortliche sich einer Datenpanne bewusst, muss er diese nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden an die zuständige Aufsichtsbehörde melden. Eine Meldung kann nur unterbleiben, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen führt.
Die Meldung muss mindestens folgende Angaben enthalten:
- eine Beschreibung der Art der Verletzung samt Kategorien und ungefährer Zahl betroffener Personen und Datensätze,
- den Namen und die Kontaktdaten des Datenschutzbeauftragten,
- eine Beschreibung der wahrscheinlichen Folgen,
- die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Risikominderung.
Bei einem hohen Risiko für die Betroffenen kommt nach Art. 34 DSGVO zusätzlich die Pflicht hinzu, die betroffenen Personen selbst zu benachrichtigen. Eine konkrete Schritt-für-Schritt-Anleitung finden Sie im Ratgeber zur Meldung einer Datenpanne.
Dokumentation und Vorbeugung
Jede Datenpanne ist intern zu dokumentieren – und zwar lückenlos, auch wenn sie nicht meldepflichtig war. Diese Dokumentation dient als Nachweis gegenüber der Aufsichtsbehörde und schützt Sie im Ernstfall vor dem Vorwurf, eine Meldepflicht ignoriert zu haben.
Vorbeugen lässt sich mit durchdachten technischen und organisatorischen Maßnahmen: Verschlüsselung mobiler Datenträger, geprüfte E-Mail-Versandprozesse, Backups und ein eingeübter Notfallplan. Ich empfehle, einen festen Ablauf für den Ernstfall vorzubereiten, bevor er eintritt – in der akuten Situation bleibt für 72 Stunden Frist wenig Zeit für Improvisation.