Liebe Leserinnen und liebe Leser,

mit einer "Datenpanne" ist nicht zu spaßen. Denn was umgangssprachlich eher wie eine Bagatelle klingt, hört sich juristisch ausgedrückt schon wieder ganz anders an. Oder wie würden Sie reagieren, wenn Ihr Datenschutzbeauftragter nicht von einer "Datenpanne" spricht, sondern von einer "Verletzung des Schutzes personenbezogener Daten, die zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen führt".

Ich bleibe in diesem Artikel bei der leichten Sprache und schreibe weiterhin von "Datenpanne" und beleuchte für Sie folgende Fragen:

Teil 1 des Artikels:

• Was ist eine Datenpanne?
• Wie entsteht eine Datenpanne?
• Brauche ich einen Datenschutzbeauftragten bei einer Datenpanne?

Teil 2 des Artikels:

• Wie sollte ich im Fall einer Datenpanne reagieren?
• Wie kann ich Datenpannen vermeiden?

Bitte lesen Sie sich diese beiden Teile des Artikels durch, denn häufig ist es nur eine Frage der Zeit, bis Ihre Datenpanne auf Twitter thematisiert wird - nur dann ist es zu spät für gesetzlich vorgeschriebene Maßnahmen.

Teil 1 - "Datenpanne ist schon bitter - und dann ist noch alles auf Twitter"

Frage 1: Was ist eine Datenpanne?

Eine Datenpanne ist passiert, wenn bei der Verarbeitung von Daten eine der Schutzziele des Datenschutzes verletzt werden, also entweder der

• Verlust der Vertraulichkeit
• Verlust der Integrität oder
• Verlust der Verfügbarkeit

von personenbezogenen Daten einsetzt.

Falsch dagegen ist die Definition einer Datenpanne (nach DSGVO), welche Sie in Wikipedia finden. Da ist nur die Rede von einer Datenpanne als "ein Vorfall, bei dem Unberechtigte Zugriff auf eine Datensammlung erhalten". Wikipedia schränkt die Datenpanne als Szenario ein, bei dem der Verlust der Vertraulichkeit vorliegt. Aber auch wenn die (personenbezogenen) Daten unberechtigt verändert wurden (Verlust der Integrität) oder wenn die Daten nicht mehr vorhanden sind (weil sie z. B. unerlaubt verschlüsselt wurden) liegt ganz eindeutig eine Datenpanne vor. In allen drei Fällen sollten Sie Ihren internen oder externen Datenschutzbeauftragten direkt einbinden, denn ab dem Zeitpunkt der Kenntnis zu der Datenpanne läuft eine 72h-Frist, auf die ich später näher eingehen werde.

Frage 2: Wie entsteht eine Datenpanne?

• Leider gibt es nicht genau das Szenario, bei dem eine Datenpanne geschieht. Eine Datenpanne geschieht immer im Zusammenhang mit der Verarbeitung personenbezogener Daten. Anonymisierte Daten oder Daten ohne Personenbezug lösen keine Datenpanne nach DSGVO aus. Also sind bei der Nennung von "Daten" im folgenden immer "personenbezogene Daten" gemeint.
  

Diese Beispiele stellen nur eine Auswahl dessen dar, wie eine Datenpanne entstehen kann. Mir ist es wichtig, dass Sie gelernt haben, jedes Szenario danach bewerten zu können, ob ein Verlust der Vertraulichkeit, ein Verlust der Verfügbarkeit oder ein Verlust der Integrität vorhanden ist.

Am besten kann natürlich der Europäische Datenschutzausschuss beschreiben, wann eine Datenpanne eine Datenpanne nach DSGVO ist und wann diese Datenpanne meldepflichtig wird bei der zuständigen Datenschutz-Aufsichtsbehörde. Als weiterführende Literatur empfiehle ich entsprechend die (zum Zeitpunkt der Erstellung des Artikels in öffentlicher Konsultation stehenden) Guidelines 9/2022 on personal data breach notification under GDPR.

Frage 3: Brauche ich einen Datenschutzbeauftragten bei einer Datenpanne?

Zumindest kann es nicht schaden. Scherz beiseite - Ja! Aus meiner Erfahrung geschehen im Fall einer Datenpanne Fehler, die dazu führen, dass die Situation für die Unternehmen bedrohlicher wird. Verlassen Sie sich im Fall einer Datenpanne nicht nur auf Ihren IT-Dienstleister. Wir haben Fälle erlebt, in denen der IT-Dienstleister die Daten wiederhergestellt hat, jedoch damit auch alle Spuren verwischt hat, welche Daten eigentlich betroffen waren und welche Daten unberechtigt kopiert wurden. Auch war nicht mehr nachweisbar, aus welchem Grund die Datenpanne geschehen ist und wie weiter Fälle in Zukunft vermieden werden könnten. Dies erschwert die Aufarbeitung des Vorfalls, die sehr wichtig ist, um Bußgelder durch die zuständige Aufsichtsbehörde und Schadenersatzforderungen durch Betrofffene wirksam zu begegnen. Ein/Ihr Datenschutzbeauftragter führt Sie sicher durch die Aufarbeitung der Datenpanne, indem er/sie die Situation transparent darstellt, (gesetzlich) ntowendige Schritte einleitet und alle Beteiligten richtig einbindet.

Haben Sie Fragen zur Vermeidung von Datenpanne oder zum Umgang mit Datenpannen - dann melden Sie sich gerne bei mir.

Viele Grüße aus der Kaiserstadt Aachen

Ingo Goblirsch

Ingo Goblirsch LL.M.

Externer Datenschutzbeauftragter
Datenschutz & Informationssicherheit
Aachen

Foto von Lucian Alexe auf Unsplash. Danke!