Compliance-Lexikon · DSGVO
Datenpanne
auch: Personal Data Breach, Datenschutzverletzung, Sicherheitsverletzung
Eine Datenpanne ist eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmaessigen Vernichtung, zum Verlust, zur Veraenderung oder zur unbefugten Offenlegung von personenbezogenen Daten fuehrt -- mit Meldepflicht gegenueber der Aufsichtsbehoerde innerhalb von 72 Stunden nach Bekanntwerden.
Warum Datenpannen-Management wichtig ist
Eine Datenpanne muss der Aufsichtsbehoerde in der Regel innerhalb von 72 Stunden gemeldet werden -- ab dem Moment, in dem die Organisation davon Kenntnis erlangt. Diese kurze Frist setzt voraus, dass Prozesse fuer Erkennung, Bewertung und Meldung vorbereitet sind. Wer im Ernstfall erst die Prozesse aufbauen muss, verspaetet die Meldung -- was eigenstaendig bussgeldrelevant ist, unabhaengig vom urspruenglichen Vorfall.
Wo Datenpannen-Management gefordert wird
| Framework | Referenz | Anforderung |
|---|---|---|
| DSGVO | Art. 33 | Meldung an Aufsichtsbehoerde: Innerhalb von 72 Stunden nach Bekanntwerden -- ausser das Risiko fuer Betroffene ist unwahrscheinlich. |
| DSGVO | Art. 34 | Benachrichtigung betroffener Personen: Bei hohem Risiko direkte Benachrichtigung der Betroffenen erforderlich. |
| DSGVO | Art. 32 | Technisch-organisatorische Massnahmen: Datenpannen muessen durch geeignete TOMs verhindert bzw. begrenzt werden. |
| NIS-2 / BSIG | § 30 Abs. 1, § 32 | Meldepflicht fuer Sicherheitsvorfaelle: NIS-2 und DSGVO haben parallele, teilweise abweichende Meldefristen. |
| BDSG | § 42 Abs. 2 | Strafvorschriften: Unbefugte Datenweitergabe kann strafrechtlich verfolgt werden. |
BAM-Objektreferenz
Haeufige Audit-Fehler
- Kein dokumentierter Datenpannen-Prozess
- Internes Datenpannen-Register fehlt oder wird nicht gefuehrt
- Meldepflicht-Schwellwerte unklar -- wird jede Panne bewertet?
- 72-Stunden-Frist nicht eingehalten bei tatsaechlichen Pannen in der Vergangenheit
Was eine Datenpanne ausloest
Nicht jeder Sicherheitsvorfall ist eine meldepflichtige Datenpanne. Ausloesend ist die Verletzung der Sicherheit personenbezogener Daten -- nicht bloss technischer Systeme. Typische Beispiele: E-Mail mit personenbezogenen Daten an falschen Empfaenger, verlorenes Notebook mit unverschluesselten Patientendaten, Ransomware-Angriff mit Verschluesselung oder Exfiltration personenbezogener Daten, unbeabsichtigte Veroeffentlichung von Kundendaten auf einer Website, Einbruch in ein System mit Zugriff auf Nutzerdaten. Nicht jede Panne muss gemeldet werden: Ist das Risiko fuer betroffene Personen unwahrscheinlich, besteht keine Meldepflicht gegenueber der Behoerde -- aber die Panne muss intern dokumentiert werden.
Risikoabwaegung und Meldepflicht
Die Entscheidung, ob eine Datenpanne meldepflichtig ist, folgt einer Risikoabwaegung: Art und Sensitivitaet der betroffenen Daten, Anzahl der betroffenen Personen, Art des Vorfalls (Verlust, Diebstahl, unbefugter Zugriff), Wahrscheinlichkeit eines tatsaechlichen Schadens fuer Betroffene. Das Ergebnis dieser Abwaegung muss dokumentiert werden -- auch wenn keine Meldepflicht besteht.
Naechste Ebene
Datenpannen in der Praxis: Meldeprozess, 72-Stunden-Frist und Evidence
Wie der Meldeprozess aufgebaut wird, was in der Meldung stehen muss und welche Evidence Auditoren pruefen.