Definition Datenpanne

Eine Datenpanne / ein Datenschutzvorfall liegt vor, wenn unberechtigte Personen Zugriff auf (personenbezogene) Daten haben. In einer weiter gefassten Definition können Datenpannen auch die ungewollte Löschung von Daten einschließen.

Gemäß Art. 4 Nr. 12 DSGVO ist eine „Verletzung des Schutzes personenbezogener Daten“

„[…] eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.“

Arten von Datenpannen

Es gibt verschiedene Arten von Datenpannen, deren Spektrum breit gefächert ist. Sie beschränken sich keineswegs auf das Feld der Informationstechnologie. Auch in der Offline-Welt können sich Datenpannen ereignen, wie einige der folgenden Beispiele belegen.

  • Nicht vollständig durchdachte Veröffentlichung der Daten
    Daten sind auf einer Website oder per Aushang an einem schwarzen Brett öffentlich einsehbar.
  • Bedienfehler
    Durch Fehlbedienung einer Software werden Daten ungewollt zugänglich gemacht.
  • Verlust unverschlüsselter Datenträger
    Finder können gefundene Festplatten, USB-Sticks sowie andere Datenträger in Betrieb nehmen und auslesen.
  • Fehlerhafte Entsorgung von Datenträgern
    Unterlagen landen im regulären Papiermüll, anstatt sie zuvor zu vernichten.
  • Preisgabe von Daten an Außenstehende
    Anrufer geben sich als Betroffene aus und das Unternehmen prüft nicht ausreichend, ob die Personen zum Erhalt der Information legitimiert sind.
  • Angriff auf IT-Systeme
    Angreifer verschaffen sich Zugriff auf die IT, um Daten zu stehlen.
  • Social Engineering
    Angreifer erschleichen sich Zugangsdaten durch Täuschung ihrer Opfer.
  • Missbrauch von Zugriffsrechten
    Zugriffsberechtigte Mitarbeiter von Unternehmen oder Staatsbedienstete missbrauchen Ihre Stellung, um Informationen für private Zwecke zu beschaffen.
  • Datenverlust
    Unbeabsichtigte Löschung von Daten, z.B. wegen der Fehlkonfiguration einer Software.

Die Beispiele zeigen, dass Datenpannen in vielen Bereichen auftreten und ganz verschiedene Ursachen haben können. Grob lassen sich die Ursachen in folgende Kategorien unterteilen.

  • Fehlendes oder mangelhaftes Datenschutzkonzept
    Der Datenschutz wurde nicht ganzheitlich berücksichtigt oder einzelne Bereiche, in denen die Verarbeitung personenbezogener Daten erfolgt, nicht bedacht.
  • Technische Fehler
    Systemausfälle, z.B. durch Hardware-Defekte hervorgerufen, sind häufige Gründe für Datenpannen.
  • Angriffe auf die IT
    Kriminelle haben es auf Daten abgesehen und greifen die IT-Systeme von Unternehmen und Behörden gezielt an.
  • Schwachstelle Mensch
    Ob Bedienfehler oder Ausspionieren durch Angreifer, viele Datenschutzverletzungen sind auf menschliches Versagen zurückzuführen.

Einhergehende Risiken und Konsequenzen

Welche Risiken mit einer Datenpanne einhergehen, hängt von mehreren Faktoren ab. Im Allgemeinen gilt: Je größer die Auswirkungen für die Betroffenen, desto höher das Risiko aus Sicht des Unternehmens. Für eine Risikobewertung sind unter anderem folgende Fragestellungen zu berücksichtigen:

  • Welche Arten von Daten sind betroffen (z.B. besondere Arten personenbezogener Daten)?
  • Welches Ausmaß liegt vor, wie viele Personen sind betroffen?
  • War die Panne absehbar oder wurden im Vorfeld angemessene Maßnahmen zum Schutz getroffen?
  • Verhalten bei Erkennen der Datenschutzverletzung (z.B. fristgerechtes Informieren der Aufsichtsbehörde)

Die konkreten Folgen einer Datenschutzverletzung können ganz verschieden sein. Je nach Situation müssen die Verantwortlichen mit folgenden Konsequenzen rechnen.

  • Aufbereitung des Falls durch die zuständige Aufsichtsbehörde
    Sofern ein meldepflichtiger Verstoß gegen Datenschutzbestimmungen vorliegt und dieser ordnungsgemäß angezeigt wird, ist mit einer Aufbereitung zu rechnen. Die Datenschützer möchten sich ein Bild von der Lage verschaffen, um anschließend über ihr weiteres Vorgehen zu entscheiden.
  • Verhängung eines Bußgeldes
    Sollte ein Verstoß gegen geltende Datenschutzbestimmungen gemäß DSGVO vorliegen, kann die zuständige Aufsichtsbehörde ein Bußgeld verhängen.
  • Ergänzende Kosten
    Neben der Geldstrafe drohen bei einem Datenschutzvorfall weitere Kosten, z.B. hervorgerufen durch die Behebung des Schadens oder aufgrund von Schadensersatzansprüchen, die von Betroffenen geltend gemacht werden.
  • Imageschaden
    Wird ein Datenschutzvorfall publik, kann sich dies negativ auf die Reputation auswirken. Damit gehen weitere Risiken, wie z.B. eine schlechtere Auftragslage, einher.

Verhalten bei Erkennen einer Datenschutzverletzung

Für den Fall, dass eine Datenpanne erkannt wird, sollte ein Leitfaden / Notfallplan bereitstehen, um sofort die richtigen Schritte ergreifen zu können. Solch ein Leitfaden gewährleistet, dass das Ausmaß der Panne nicht vergrößert, sondern der Schaden möglichst minimiert wird.

So ist beispielsweise unmittelbar zu prüfen, ob eine Datenschutzverletzung vorliegt. Sofern dies zutrifft, hat eine fristgerechte Meldung der Datenschutzverletzung bei der zuständigen Aufsichtsbehörde zu erfolgen.

Maßnahmen zur Vorbeugung

Die beste Risikominimierung verspricht ein ganzheitliches Datenkonzept. Dieses umfasst Maßnahmen, die auf verschiedenen Ebenen angesiedelt sind und alle relevanten Bereiche innerhalb einer Organisation abdecken. Zu diesen Maßnahmen zählen unter anderem:

  • Berücksichtigung sämtlicher Bereiche, in denen personenbezogene Daten verarbeitet werden.
  • Technische Maßnahmen, wie z.B. die regelmäßige IT-Wartungen oder Data Loss Prevention.
  • Sensibilisierung der Mitarbeiter in Form von Datenschutzschulungen.

News & Blogbeiträge rund um Datenpannen

Schadenersatz bei Datenpanne: Anspruch besteht nur bei nachweisbarem Schaden

Im Falle einer Datenpanne sind Schadenersatzzahlungen sind nur zu leisten, wenn der Betroffene einen tatsächlichen Anspruch darauf hat. mehr…


Verlust oder Diebstahl vom Laptop: Worauf es beim Datenschutz ankommt

Damit der Verlust eines Laptops zu keiner Datenpanne führt, sind gezielte Absicherungsmaßnahmen zu treffen. mehr…


Entsorgung alter CDs und sonstiger Datenträger: Nicht gegen den Datenschutz verstoßen

Aufgepasst bei der Entsorgung von Datenträgern und Dokumenten, es drohen Datenschutzverstöße. mehr…

Fragen & Antworten zum Thema

Wann ist eine Datenpanne zu melden?

Dies hängt von der Art der Panne und ihrem Ausmaß ab. Sollten personenbezogene Daten betroffen sein und ein Verstoß gegen geltende Datenschutzbestimmungen vorliegen, ist der Vorfall mit hoher Wahrscheinlichkeit zu melden. Die für den Datenschutz zuständige Person im Unternehmen sollte den Vorfall umgehend prüfen.

Wo ist der Datenschutzvorfall zu melden?

Datenschutzverletzungen werden nicht immer vom Zuständigen für den Datenschutz oder dem Datenschutzbeauftragten zuerst entdeckt. Daher ist zunächst eine interne Meldung des Vorfalls notwendig, damit die zuständige Stelle die Situation beurteilen kann. Sofern ein meldepflichtiger Datenschutzvorfall vorliegt, ist die zuständige Aufsichtsbehörde (des jeweiligen Bundeslandes) zu fristgerecht informieren.