Datenpanne / Data Breach

Eine Datenpanne (englisch: Data Breach) bezeichnet gemäß Art. 4 Nr. 12 DSGVO eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt. Datenpannen können technischer Natur sein – etwa durch Hacking-Angriffe, Ransomware oder Systemausfälle – oder durch menschliches Versagen entstehen, wie das versehentliche Versenden einer E-Mail mit Kundendaten an falsche Empfänger.

Bei einer Datenpanne gelten strenge Meldepflichten: Gemäß Art. 33 DSGVO muss der Verantwortliche die zuständige Aufsichtsbehörde ohne unangemessene Verzögerung und wenn möglich innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls informieren, sofern die Panne voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Die Meldung muss Art, Umfang und Folgen der Panne sowie die ergriffenen oder geplanten Abhilfemaßnahmen beschreiben. Darüber hinaus kann nach Art. 34 DSGVO eine Pflicht bestehen, die betroffenen Personen direkt zu informieren, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht.

Für Compliance Officer bedeutet dies: Ein effektives Datenpannen-Management erfordert klare interne Eskalationsprozesse, damit Vorfälle umgehend erkannt und bewertet werden können. Alle Datenpannen müssen nach Art. 33 Abs. 5 DSGVO intern dokumentiert werden – auch solche, die nicht meldepflichtig sind. Diese Dokumentation schützt das Unternehmen und ermöglicht die spätere Nachvollziehbarkeit der getroffenen Entscheidungen. Regelmäßige Notfallübungen und ein etablierter Incident-Response-Prozess sind zentrale Bestandteile eines reifen Datenschutz-Managementsystems.