Was ist genau eine Datenpanne?

Eine Datenverletzung ist jeder Verstoß, bei dem personenbezogene Daten offengelegt, verloren oder verändert wurden

Eine Datenverletzung ist, kurz gesagt, ein Ereignis, bei dem personenbezogene Daten nicht mehr sicher sind: sie sind weg, sie sind in die falschen Hände geraten, oder sie wurden ohne Zustimmung geändert oder gelöscht. Es geht also nicht nur um Hacking. Eine falsch adressierte E-Mail mit einer Kundenliste im Anhang, ein gestohlener Laptop ohne Verschlüsselung, ein USB-Stick, der auf der Straße liegt, ein Phishing-Angriff, bei dem Anmeldedaten erbeutet werden, oder ein Systemfehler, durch den Daten unbeabsichtigt öffentlich zugänglich werden — alles fällt unter dieselbe Definition, sobald personenbezogene Daten beteiligt sind.

In der Praxis wird zwischen drei Arten von Verstößen unterschieden: ein Verfügbarkeitsversttoß (Daten sind weg oder nicht erreichbar, beispielsweise durch einen Ransomware-Angriff oder ein defektes Backup), ein Integritätsversttoß (Daten wurden ungewollt geändert) und ein Vertraulichkeitsversttoß (Daten wurden von jemandem eingesehen oder geteilt, der das nicht hätte tun dürfen). Ein Incident kann gleichzeitig unter mehrere dieser Arten fallen. Ob ein Ereignis eine Datenverletzung ist, ist unabhängig von der Frage, ob es auch gemeldet werden muss — letzteres hängt von dem Risiko ab, das die betroffenen Personen dadurch haben, und ist ein separater Schritt, der nach der Feststellung der Verletzung kommt.

Woher dies folgt: Artikel 4 DSGVO

Die Definition einer Datenverletzung stammt direkt aus Artikel 4 der DSGVO, wo ein "Verstoß im Zusammenhang mit personenbezogenen Daten" als ein Verstoß gegen die Sicherheit beschrieben wird, der versehentlich oder rechtswidrig zur Vernichtung, zum Verlust, zur Änderung oder zur unbefugten Offenlegung oder zum unbefugten Zugang zu übertragenen, gespeicherten oder anderweitig verarbeiteten Daten führt. Diese Definition gilt unmittelbar in jedem Mitgliedstaat ohne nationale Abweichung. Die Autoriteit Persoonsgegevens konkretisiert diese Definition auf ihrer Seite zu Datenverletzungen durch die Unterteilung in Verfügbarkeits-, Integritäts- und Vertraulichkeitsverstöße und mit Beispielen aus der Praxis.