Datenschutzverletzung

Eine Datenschutzverletzung im Sinn von Art. 4 Z 12 DSGVO liegt vor, wenn eine Sicherheitsverletzung zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt. Das kann etwa eine E-Mail an den falschen Empfänger, ein verlorenes Gerät, ein Ransomware-Angriff oder ein unberechtigter Zugriff sein.

Unterschieden werden Verletzungen der Vertraulichkeit, der Integrität und der Verfügbarkeit. Eine Offenlegung an Unbefugte betrifft die Vertraulichkeit, eine unbefugte Änderung die Integrität und der Verlust des Zugangs oder die Zerstörung von Daten die Verfügbarkeit. Nicht jeder IT-Sicherheitsvorfall ist deshalb automatisch eine Datenschutzverletzung. Entscheidend ist, ob personenbezogene Daten betroffen sind.

Nach einem Vorfall müssen Verantwortliche rasch klären, welche Daten und Personen betroffen sind, welche Folgen drohen und welche Maßnahmen bereits wirken. Eine Verletzung ist zu dokumentieren. Führt sie voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen, ist die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden zu verständigen. Bei voraussichtlich hohem Risiko kann zusätzlich eine Benachrichtigung der betroffenen Personen erforderlich sein. Die Seite zu Datenschutzverletzungen und Meldepflichten, der Datenpannen-Erstcheck und die Checkliste zur Dokumentation einer Datenpanne helfen bei der ersten Einordnung.