Datenpanne

Eine Datenpanne, in der DSGVO als “Verletzung des Schutzes personenbezogener Daten” bezeichnet, liegt vor, wenn Daten durch eine Sicherheitsverletzung unbefugt offengelegt, verändert oder verloren werden. Beispiele sind ein gehacktes Kundenkonto-System, ein fälschlich versendeter E-Mail-Verteiler oder ein verlorener Laptop mit unverschlüsselten Kundendaten.

Meldepflicht im Überblick

Was intern dokumentiert werden muss

Auch wenn keine Meldepflicht besteht, verlangt Art. 33 Abs. 5 DSGVO eine interne Dokumentation jeder Panne: was passiert ist, welche Daten betroffen waren, welche Folgen entstanden sind und welche Maßnahmen ergriffen wurden.

Praxisbeispiel

Ein Onlineshop verschickt versehentlich eine Bestellbestätigung mit sichtbarer Empfängerliste an alle Kunden im CC statt im BCC. Da E-Mail-Adressen offengelegt wurden, prüft der Betreiber das Risiko, dokumentiert den Vorfall und meldet ihn, sofern ein Risiko für die betroffenen Kunden erkennbar ist.

So gehst du bei einer Datenpanne vor

Geht bei dir etwas mit personenbezogenen Daten schief, arbeitest du diese Schritte ab. Bei Risiko bleiben dir 72 Stunden bis zur Meldung.

1. Vorfall sofort eindämmen. Schließe den Zugang, setze Passwörter zurück oder nimm den betroffenen Dienst vorübergehend offline, damit sich die Panne nicht ausweitet.
2. Risiko einschätzen. Prüfe, welche Daten betroffen sind, wie viele Personen es betrifft und welche Folgen für sie entstehen könnten.
3. Rechtzeitig melden. Besteht ein Risiko, melde die Panne innerhalb von 72 Stunden nach Bekanntwerden bei der zuständigen Aufsichtsbehörde.
4. Betroffene informieren. Bei hohem Risiko informierst du die betroffenen Personen direkt, in verständlicher Sprache und mit konkreten Handlungsempfehlungen.
5. Dokumentieren und nachbessern. Trage jede Panne in ein internes Verzeichnis ein und verbessere die Sicherheitsmaßnahmen, damit sich der Fehler nicht wiederholt.