Datenschutz (ZertVerwV) / 9 Verstöße und Sanktionen

9.1 Datenpannen

Datenpannen führen nicht nur zu Meldepflichten, sie können auch Schadensersatzansprüche und die Verhängung von Bußgeldern nach sich ziehen. Die Generalklausel stellt insoweit Art. 4 Nr. 12 DSGVO dar. Hiernach liegt eine Verletzung des Schutzes personenbezogener Daten dann vor, wenn die unbeabsichtigte oder unrechtmäßige Verletzung der Datensicherheit

• zur Vernichtung,
• zum Verlust,
• zur Veränderung oder
• zur unbefugten Offenlegung von beziehungsweise
• zum unbefugten Zugang zu personenbezogenen Daten

führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.

Praxisrelevante Beispiele wären insbesondere

• der Verlust eines Datenträgers (z. B. USB-Stick),
• ein Hackerangriff bzw. allgemein ein unbefugter Zugang zu Daten oder
• das Versenden von E-Mails mit offenem Verteiler.

Erhält der Verantwortliche Kenntnis von einer Verletzung des Schutzes personenbezogener Daten, muss er dies nach Art. 33 DSGVO innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde melden. Abgestellt wird insoweit auf den Zeitpunkt der Kenntnisnahme.

Die Meldung hat mit der tatsächlichen Kenntnisnahme des Verwalters nach Ablauf der Woche seit dem Datenschutzverstoß binnen 72 Stunden zu erfolgen.

Die Meldung muss nach Art. 33 Abs. 3 DSGVO folgende Informationen enthalten:

• Die Art der Verletzung des Schutzes der personenbezogenen Daten ist zu beschreiben und dabei ist nach Möglichkeit die Zahl der von der Datenpanne betroffenen Personen anzugeben.
• Zu benennen sind Name und Kontaktdaten des Datenschutzbeauftragen oder einer sonstigen Anlaufstelle – also d...