ich habe einen USB-Stick mit Kundendaten verloren, ist das ein Datenschutzverstoß

Ein verlorener USB-Stick ist normalerweise eine Datenpanne

Ein USB-Stick mit Kundendaten, der verloren gegangen ist, ist in den meisten Fällen eine Datenpanne im Sinne der DSGVO. Die Definition in Artikel 4 DSGVO spricht von einer Verletzung der Sicherheit, die zum Verlust personenbezogener Daten führt, und genau das geschieht, wenn ein Stick mit Namen, Adressen oder anderen Kundendaten nicht mehr auffindbar ist: Die Daten sind nicht vernichtet, aber sie sind außerhalb der Kontrolle des Unternehmens geraten. Ob sie auch in die falschen Hände fallen, ist dabei nicht der Kern der Frage — der Kontrollverlust ist bereits ausreichend, um unter die Definition zu fallen.

Was danach geschieht, hängt davon ab, was auf dem Stick gespeichert war und wie er gesichert wurde. Ein verschlüsselter Stick mit einem begrenzten Datensatz führt zu einem anderen Ergebnis als ein unverschlüsselter Stick mit vielen Kundendaten oder sensiblen Informationen. Diese Unterscheidung ist relevant für die Frage wann muss ich eine Datenpanne der Autoriteit Persoonsgegevens melden, und auch für die Frage, ob die Kunden selbst etwas erfahren müssen — diese Frage wird auf der Seite über muss ich die Betroffenen selbst bei einer Datenpanne informieren beschrieben. Als logischer Ausgangspunkt für die Unterscheidung zwischen einem Vorfall und einer Datenpanne im weiteren Sinne ist die Seite was ist eine Datenpanne genau relevant.

Worauf dies basiert

Die Definition einer Verletzung steht in Artikel 4 DSGVO, und Artikel 33 DSGVO regelt die Meldung an die Aufsichtsbehörde, sobald die Voraussetzungen dafür erfüllt sind. Die Autoriteit Persoonsgegevens konkretisiert dies auf ihrer Seite über Datalekken melden weiter, und die EDPB hat Leitlinien mit Beispielen für Arten von Datenpannen veröffentlicht, einschließlich des Verlusts von Datenträgern. Die Meldepflicht gilt in der gesamten EU aufgrund der Verordnung, aber die Stelle, bei der gemeldet wird, unterscheidet sich von Land zu Land: In den Niederlanden ist dies die Autoriteit Persoonsgegevens, in anderen Mitgliedstaaten die dort benannte Aufsichtsbehörde.