Datenpanne
Eine Datenpanne ist eine Verletzung des Schutzes personenbezogener Daten durch Vernichtung, Verlust, Veränderung, unbefugte Offenlegung oder unbefugten Zugang. Sie löst nach DSGVO eine Meldepflicht an die Aufsichtsbehörde aus, wenn ein Risiko für betroffene Personen besteht.
Ausführliche Erklärung
Der Begriff "Datenpanne" ist die praxisübliche Bezeichnung für das, was die DSGVO in Art. 4 Nr. 12 als "Verletzung des Schutzes personenbezogener Daten" definiert. Dabei spielt es keine Rolle, ob der Vorfall unbeabsichtigt oder durch einen gezielten Angriff verursacht wurde. Eine Datenpanne liegt vor, sobald die Kontrolle über personenbezogene Daten verloren geht – sei es durch einen vergessenen USB-Stick, einen Hackerangriff oder das versehentliche Versenden von Kundendaten an falsche Empfänger.
Die Meldepflicht nach Art. 33 DSGVO greift, wenn die Datenpanne voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. In diesem Fall muss der Verantwortliche die zuständige Aufsichtsbehörde unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden informieren. In Österreich erfolgt die Meldung an die Datenschutzbehörde, in Deutschland an die jeweils zuständige Landesdatenschutzbehörde. Die Frist läuft ab dem Zeitpunkt der Kenntnisnahme, nicht ab Eintritt des Vorfalls – und sie läuft durchgehend, auch an Wochenenden und Feiertagen.
Bei besonders schwerwiegenden Fällen, in denen ein hohes Risiko für die betroffenen Personen besteht, muss zusätzlich zur Behördenmeldung nach Art. 34 DSGVO auch eine direkte Benachrichtigung der Betroffenen erfolgen. Dies ist etwa bei Verlust von Gesundheitsdaten, Bankdaten oder Zugangsdaten im Klartext der Fall. Unabhängig von der Meldepflicht müssen alle Datenpannen intern dokumentiert werden – dies dient der Rechenschaft gegenüber der Aufsichtsbehörde.
Verstöße gegen die Meldepflicht können erhebliche Sanktionen nach sich ziehen. Art. 83 Abs. 4 DSGVO sieht Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, je nachdem welcher Betrag höher ist. Entscheidend für die Bußgeldhöhe sind Faktoren wie Schwere der Verletzung, Verzögerung der Meldung und die Transparenz des Unternehmens. Eine schnelle, vollständige und ehrliche Meldung wird von den Aufsichtsbehörden in der Regel deutlich milder bewertet als Vertuschungsversuche.
Praxisbeispiel
Eine Steuerberatungskanzlei mit 12 Mitarbeitenden in Linz verschickt versehentlich eine E-Mail mit Gehaltsdaten von 35 Klienten an die falsche Empfängerin. Der Vorfall wird sofort dem Datenschutzbeauftragten gemeldet, der binnen 48 Stunden eine Meldung an die österreichische Datenschutzbehörde übermittelt und die betroffenen Personen informiert. Durch die dokumentierte Reaktion und eingeleitete Schulungsmaßnahmen bleibt ein Bußgeldverfahren aus.