Datenpanne: Meldepflichten und Fristen
Es ist Freitagabend, 18 Uhr. Dein Kollege meldet: Ein Laptop mit unverschlüsselten Kundendaten wurde im Zug vergessen. Was jetzt? In den nächsten 72 Stunden entscheidet sich, ob dein Unternehmen eine Datenpanne korrekt gehandhabt hat – oder ob ein Bußgeld droht. Datenpannen passieren. Die DSGVO bestraft nicht das Auftreten einer Panne, sondern den falschen Umgang damit: zu späte Meldung, zu wenig Information, kein Prozess.
1) Was ist eine Datenpanne?
Art. 4 Nr. 12 DSGVO definiert eine „Verletzung des Schutzes personenbezogener Daten" (Datenpanne) als eine Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von personenbezogenen Daten führt – oder zum unbefugten Zugang dazu. Das umfasst mehr als den klassischen Hackerangriff: Ein verloren gegangenes USB-Laufwerk, eine versehentlich an den falschen Empfänger gesendete E-Mail, ein Feuer im Serverraum oder ein technischer Defekt mit Datenverlust sind alles Datenpannen.
2) Der Meldeprozess: Was, wann, an wen?
3) Wann muss gemeldet werden – die Risikoschwellen
Zusammenfassung
Eine Datenpanne ist jede Verletzung der Datensicherheit – Verlust, Vernichtung, unbefugter Zugang oder Offenlegung. Der Meldeprozess: intern melden → Risiko einschätzen → bei Risiko innerhalb von 72 Stunden an die Aufsichtsbehörde melden → bei hohem Risiko Betroffene unverzüglich informieren → immer intern dokumentieren. Wichtige Regel: Lieber zu früh melden und nachliefern als zu spät melden und Bußgeld riskieren. Mehr zu Bußgeldern und Aufsichtsbehörden in Bußgelder, Aufsichtsbehörden und Praxisfälle.