Was ist eine Datenpanne nach Art. 33 DSGVO?

Eine Datenpanne ist ein Sicherheitsvorfall, bei dem personenbezogene Daten verloren gehen, zerstört, verändert oder an Unbefugte gelangen. Art. 33 DSGVO verlangt, dass du solche Vorfälle der Datenschutz-Aufsichtsbehörde meldest, sobald für die Betroffenen ein Risiko entstehen kann, und zwar möglichst innerhalb von 72 Stunden nach Kenntnis [1]. Für KMU ist das wichtig, weil die Frist läuft, bevor der Vorfall vollständig aufgeklärt ist.

Was bedeutet eine Datenpanne nach Art. 33 DSGVO?

Die DSGVO spricht nicht von „Datenpanne”, sondern von der „Verletzung des Schutzes personenbezogener Daten”. Gemeint ist laut Art. 4 Nr. 12 DSGVO eine Verletzung der Sicherheit, die unbeabsichtigt oder unrechtmäßig zu Vernichtung, Verlust, Veränderung oder unbefugter Offenlegung von personenbezogenen Daten führt [4]. Es zählt also nicht nur der Hackerangriff. Auch eine E-Mail an den falschen Empfänger, ein verlorener USB-Stick oder eine versehentlich gelöschte Kundendatenbank ohne Sicherung fallen darunter.

Art. 33 regelt dann den Meldeweg: Der Verantwortliche meldet an die zuständige Aufsichtsbehörde. Eine Meldung entfällt nur, wenn die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt [1]. Eine Verspätung musst du begründen [1].

Warum ist eine Datenpanne für mein Unternehmen wichtig?

Jedes Unternehmen, das Kunden-, Bewerber- oder Mitarbeiterdaten verarbeitet, kann betroffen sein, egal wie klein es ist. Dazu kommt: Wer KI-Tools einsetzt, gibt Daten an externe Dienste weiter. Gelangen dort Daten unbefugt nach außen, kann das eine Datenpanne sein. Nutzt du einen Dienstleister als Auftragsverarbeiter, muss dieser dich nach Art. 33 Abs. 2 unverzüglich informieren [1]. Die 72 Stunden laufen für dich aber ab dem Moment, in dem du als Verantwortlicher Kenntnis erlangst.

Wer Pannen nicht meldet, riskiert ein Bußgeld. Verstöße gegen die Pflichten aus den Art. 25 bis 39 DSGVO, zu denen Art. 33 gehört, können mit bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist [3]. Für kleine Betriebe liegt das reale Risiko meist weit darunter, die Größenordnung zeigt aber den Stellenwert der Pflicht.

Eine Datenpanne in der Praxis

Ein Handwerksbetrieb mit zehn Beschäftigten: Ein Mitarbeiter verliert sein Notebook mit der Kundendatei (Namen, Adressen, Telefonnummern). Was jetzt zu tun ist:

1. Sofort sichern: Zugänge sperren, Passwörter ändern, Gerät wenn möglich aus der Ferne löschen.
2. Zeitpunkt festhalten: Notiere, wann du vom Vorfall erfahren hast. Ab diesem Zeitpunkt zählt die Frist.
3. Risiko bewerten: War die Festplatte verschlüsselt, ist das Risiko für die Betroffenen deutlich geringer. Ohne Verschlüsselung liegt eine Meldung nahe.
4. Melden: Die Meldung enthält mindestens die Art der Verletzung, ungefähre Zahl der Betroffenen, Kontaktdaten einer Ansprechperson, die voraussichtlichen Folgen und die ergriffenen Maßnahmen [1]. Fehlen noch Angaben, darfst du sie schrittweise nachreichen [1].
5. Dokumentieren: Jede Verletzung gehört in eine Dokumentation, auch wenn du nicht meldest [1].

Nicht jeder Regelverstoß ist automatisch eine Datenpanne. Gibt ein Mitarbeiter aber Kundendaten in ein nicht freigegebenes KI-Tool ein (sogenannte Shadow AI), ist das nicht nur ein Verstoß gegen interne Regeln: Die Daten gelangen an einen externen Anbieter, das kann bereits eine unbefugte Offenlegung im Sinne von Art. 4 Nr. 12 DSGVO sein. Ob daraus eine Meldepflicht folgt, hängt vom Risiko für die Betroffenen ab und sollte mit dem Datenschutzbeauftragten oder einer Fachberatung geklärt werden.

Meldung und Benachrichtigung: zwei verschiedene Pflichten

Art. 33 betrifft die Meldung an die Behörde. Davon zu trennen ist Art. 34: Hat die Panne voraussichtlich ein hohes Risiko für die Betroffenen, musst du diese zusätzlich unverzüglich selbst informieren [2]. Die Benachrichtigung entfällt unter anderem, wenn die Daten etwa durch Verschlüsselung für Unbefugte unzugänglich waren. Wäre die Benachrichtigung jedes Einzelnen „mit einem unverhältnismäßigen Aufwand verbunden”, muss stattdessen eine öffentliche Bekanntmachung oder eine ähnlich wirksame Maßnahme erfolgen [2]. Die Stufen sind also: kein Risiko, keine Meldung. Risiko, Meldung an die Behörde. Hohes Risiko, Meldung plus Information der Betroffenen.

Gute technische und organisatorische Maßnahmen wie Verschlüsselung, Zugriffsrechte und Backups senken sowohl die Wahrscheinlichkeit als auch die Schwere einer Panne.

Weiterführendes

• Was ist die DSGVO?
• Was ist ein AVV?
• Was ist ein Verarbeitungsverzeichnis?
• Was ist eine DSFA?