Eine Verletzung des Schutzes personenbezogener Daten (auch Datenschutzverletzung oder Datenpanne) ist legaldefiniert als „eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden“.

Der Europäische Datenschutzausschuss führt eine Liste von Beispielen von Verletzungen.

Rechtsfolgen

Verletzungen sind regelmäßig an die zuständige Aufsichtsbehörde zu melden. Die Meldung hat innerhalb von 72 Stunden nach der Feststellung der Verletzung zu erfolgen. Hierbei werden alle Beschäftigten einer Organisation und gegebenenfalls beauftragte Auftragsverarbeiter dieser zugerechnet. Wegen einer unterlassenen Meldung oder einer verspäteten Meldung an die Aufsichtsbehörde kann diese ein Bußgeld von bis zu 10 Millionen Euro oder bei Unternehmen bis zu 2 % des gesamten weltweiten Jahresumsatzes verhängen, je nach dem welcher Betrag der höhere ist.

Im Falle einer Verletzung ist eine Risikobewertung durchzuführen. Kommt diese zum Ergebnis, dass es „voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen“ kommt kann von einer Meldung an die zuständige Aufsichtsbehörde abgesehen werden. Aufgrund der Absolutheit („kein Risiko“) komnmt der Europäische Datenschutzausschuss zur Überzeugung, dass bereits sehr geringe und sehr unwahrscheinliche Risiken zu einer entsprechenden Meldepflicht führen.

Kommt die Risikobewertung zum Ergebnis, dass voraussichtlich „ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen“ muss die Verletzung den betroffenen Personen unverzüglich mitgeteilt werden.

Der Verantwortliche hat alle Schäden die einer Person aus einer Verletzung entstehen zu ersetzen. Ob allein durch eine Verletzung den betroffenen Personen ein immaterieller Schaden entsteht ist umstritten.

Verletzung der Sicherheit

Die Verletzung der Sicherheit beschränkt sich auf die technisch-organisatorische Hinsicht. Hierzu zählen einerseits Konstellationen wie Systemabstürze und andere (auch durch Dritteinflüsse ausgelöste) technische Probleme, die zu Datenverlusten oder -veränderungen geführt haben, aber andererseits auch gezielte Angriffe wie Hacking oder Datendiebstahl.

Einzelnachweise