Eine Datenpanne ist jede Verletzung der Sicherheit, die zu Vernichtung, Verlust, Veränderung oder unbefugter Offenlegung von Daten führt — oder zum unbefugten Zugang. Der Schaden ist keine Voraussetzung.
Warum das wichtig ist
Der Wortlaut nennt vier Folgen, und drei davon haben nichts mit einem Angriff zu tun: Vernichtung, Verlust und Veränderung entstehen meistens aus Versehen. Die verlorene Akte, die versehentlich gelöschte Datei, die Mail an den falschen Empfänger — alles Datenpannen.
Genauso wichtig ist die Gegenrichtung. Ein Tippfehler in einer Adresse ist keine Panne, solange die Daten niemandem offengelegt wurden. Ein kurzzeitiger Ausfall eines Systems ist nur dann eine, wenn die Verfügbarkeit der Daten verletzt wird.
Was das Gesetz sagt
Art. 4 Nr. 12 DSGVO
„eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden"
Art. 5 Abs. 1 lit. f DSGVO
„in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung"
So macht man es richtig
Bei jedem Vorfall fragen: Hatte jemand Zugang, der ihn nicht haben sollte? Dann ist es eine Panne.
Auch Verlust und versehentliches Löschen als Panne behandeln — nicht nur Angriffe.
Nicht selbst beurteilen, ob der Fall „groß genug" ist. Das entscheidet die zuständige Stelle.
Was bei Missachtung droht
Der Vorfall selbst verletzt regelmäßig Art. 32 (Rahmen nach Art. 83 Abs. 4 lit. a: bis 10 Mio € oder 2 %) und den Grundsatz der Vertraulichkeit aus Art. 5 Abs. 1 lit. f (Rahmen nach Art. 83 Abs. 5 lit. a: bis 20 Mio € oder 4 %).
