Datenschutzverletzung
Datenschutzverletzung ist eine Verletzung der Sicherheit, die unbeabsichtigt oder unrechtmäßig zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt. Erfasst sind Vertraulichkeits-, Integritäts- und Verfügbarkeitsverletzungen, unabhängig davon, ob sie digital oder analog entstehen. Der Verantwortliche muss den Vorfall unverzüglich untersuchen, Risiken bewerten, dokumentieren und gegebenenfalls die Aufsichtsbehörde sowie betroffene Personen benachrichtigen.
Rechtliche Bedeutung
Nicht jeder IT-Fehler ist eine Datenschutzverletzung, wohl aber jeder Sicherheitsvorfall mit den in der Definition genannten Folgen für personenbezogene Daten. Maßgeblich sind Artikel 4 Nummer 12 sowie Artikel 33 und 34 der DSGVO. Die unionsrechtliche Einordnung erläutern auch Europarecht FAQ und die Wörterbuchartikel zu Datenschutzrecht, Datenschutz-Grundverordnung, personenbezogene Daten und allgemeines Persönlichkeitsrecht.
Abgrenzung
Ein Datenschutzverstoß kann auch ohne Sicherheitsverletzung vorliegen, etwa bei einer Verarbeitung ohne Rechtsgrundlage. Die Meldepflicht knüpft enger an die Datenschutzverletzung an.
Beispiel
Eine E-Mail mit einer offenen Empfängerliste legt die Adressen sämtlicher Empfänger gegenseitig offen und kann eine meldepflichtige Datenschutzverletzung sein.
FAQ
Gilt immer eine 72-Stunden-Frist?
Die Meldung an die Aufsichtsbehörde soll grundsätzlich binnen 72 Stunden nach Bekanntwerden erfolgen, sofern ein Risiko besteht.
Muss jeder Vorfall gemeldet werden?
Nein. Eine Behördenmeldung entfällt, wenn voraussichtlich kein Risiko für Rechte und Freiheiten besteht.
Was ist stets zu tun?
Der Vorfall, seine Folgen, die Risikobewertung und Abhilfemaßnahmen sind nachvollziehbar zu dokumentieren.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.