Definition
Eine Datenpanne bezeichnet einen Sicherheitsvorfall, bei dem personenbezogene oder vertrauliche Daten unbefugt offengelegt, verändert oder gelöscht werden. Häufig erhalten dabei unautorisierte Dritte Zugriff auf Informationen, die eigentlich geschützt sein sollten. Datenpannen können sowohl technische als auch organisatorische Ursachen haben und betreffen häufig digitale Datenbestände, aber auch physische Dokumente.
Im Kontext der Datenschutz-Grundverordnung (DSGVO) heißt eine Datenpanne Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO): eine Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten führt. Solche Vorfälle müssen unter bestimmten Voraussetzungen den Aufsichtsbehörden gemeldet werden.
Was bedeutet das für Ihr Unternehmen?
Bei einer Datenpanne zählt Zeit: Die Meldung an die Datenschutzaufsicht muss in der Regel binnen kurzer Frist erfolgen, und auch ein verlorener Laptop oder eine falsch versendete E-Mail mit Kundendaten kann darunter fallen. Legen Sie vorab fest, wer im Unternehmen informiert wird, wer die Meldung erstellt und welche Angaben dafür nötig sind, etwa betroffene Daten, Zahl der Personen und ergriffene Maßnahmen. Dokumentieren Sie jeden Vorfall intern, auch wenn er nicht meldepflichtig ist, denn diese Dokumentation verlangt die DSGVO ebenfalls.
Hintergrund und Ursachen
Datenpannen entstehen häufig durch Sicherheitslücken in IT-Systemen, wie unzureichend geschützte Netzwerke, fehlende Verschlüsselung oder Softwarefehler. Auch menschliches Versagen, etwa durch Phishing-Angriffe, falsche Konfigurationen oder den Verlust von Datenträgern, ist eine häufige Ursache. Darüber hinaus können auch gezielte Angriffe von Cyberkriminellen, wie Ransomware oder Hackerangriffe, zu Datenpannen führen.
Die zunehmende Digitalisierung und Vernetzung von Systemen erhöht die Angriffsfläche für Datenpannen. Unternehmen und Organisationen stehen daher vor der Herausforderung, technische und organisatorische Maßnahmen zu implementieren, um solche Vorfälle zu verhindern oder zumindest schnell zu erkennen und zu beheben.
Auswirkungen und Folgen
Die Folgen einer Datenpanne können vielfältig sein und reichen von finanziellen Schäden über Reputationsverluste bis hin zu rechtlichen Konsequenzen. Betroffene Personen können durch den unbefugten Zugriff auf ihre Daten einem Identitätsdiebstahl oder anderen Missbrauchsformen ausgesetzt sein.
Für Unternehmen kann eine Datenpanne Bußgelder nach sich ziehen, insbesondere wenn die DSGVO verletzt wurde. Zudem sind sie häufig verpflichtet, die Betroffenen und die Datenschutzbehörden über den Vorfall zu informieren. Die Transparenzpflicht soll dazu beitragen, die Risiken für die Betroffenen zu minimieren.
Meldung und rechtliche Anforderungen
Nach Art. 33 DSGVO müssen Datenpannen unverzüglich, möglichst innerhalb von 72 Stunden nach Bekanntwerden, der zuständigen Datenschutzaufsichtsbehörde gemeldet werden, es sei denn, sie führen voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Die Meldung muss Informationen zum Vorfall, zu den betroffenen Daten und zu den ergriffenen Maßnahmen enthalten.
Darüber hinaus sind Unternehmen verpflichtet, die betroffenen Personen zu informieren, wenn die Datenpanne voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten mit sich bringt. Dies soll betroffenen Personen ermöglichen, geeignete Schutzmaßnahmen zu ergreifen.
Abgrenzung zu verwandten Begriffen
Eine Datenpanne ist von einem Datenleck zu unterscheiden. Während eine Datenpanne einen sicherheitsrelevanten Vorfall beschreibt, der zu einem unbefugten Zugriff führt, bezeichnet ein Datenleck allgemein das unabsichtliche Offenlegen von Daten, etwa durch Fehlkonfigurationen, ohne dass notwendigerweise ein Sicherheitsvorfall vorliegt.
Ähnlich ist die Abgrenzung zum Begriff Datenschutzverletzung: Diese umfasst alle Verstöße gegen Datenschutzvorschriften, zu denen auch Datenpannen gehören. Nicht jede Datenschutzverletzung ist jedoch eine Datenpanne im engeren Sinne, da sie auch organisatorische oder vertragliche Verstöße umfassen kann.