Regeln
Was eine Datenpanne ist, welche Arten es gibt, wann Sie die Aufsichtsbehörde und Betroffene informieren und was in den ersten 72 Stunden zu tun ist.
Eine Datenpanne ist eine Verletzung der Sicherheit personenbezogener Daten, durch die diese vernichtet werden, verloren gehen, verändert werden oder Personen erreichen, die keinen Zugriff haben dürften. Dies kann versehentlich oder absichtlich geschehen. Auch ein menschlicher Fehler zählt, etwa eine E-Mail an den falschen Empfänger.
Der umgangssprachliche niederländische Begriff „datalek“ steht nicht im Gesetz. Der Text der DSGVO spricht in Artikel 4 Nummer 12 von einer „Verletzung des Schutzes personenbezogener Daten“: einer Sicherheitsverletzung, die unbeabsichtigt oder unrechtmäßig zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung beziehungsweise zum unbefugten Zugang zu übermittelten, gespeicherten oder anderweitig verarbeiteten Daten führt.
Es geht also um personenbezogene Daten, es muss etwas mit der Sicherheit schiefgegangen sein, und nichts muss nach außen gelangt sein: Auch Verlust und Veränderung zählen. Dieser Artikel dient der Erklärung, nicht der Rechtsberatung. Ob ein Vorfall gemeldet werden muss, beurteilen Sie selbst, vorzugsweise mit Ihrem Datenschutzbeauftragten oder einem Juristen.
Die Autoriteit Persoonsgegevens (AP) unterscheidet auf ihrer Seite Was ist eine Datenpanne? drei Arten. Eine Datenpanne kann gleichzeitig mehrere Arten betreffen.
Die Art bestimmt die Folgen mit. Die AP nennt die Art der Verletzung deshalb als ersten Faktor der Risikobewertung.
Die AP nennt unter anderem E-Mails an falsche Empfänger, Einsicht in eine Krankenakte durch unbefugte Mitarbeitende, verlorene Geräte mit unverschlüsselten Daten und Ransomware-Befall. Im Folgenden stehen fünf in Büros häufige Formen. Die Beispiele sind fiktiv.
Ein Mitarbeiter eines fiktiven Buchhaltungsbüros sendet die Jahreslohnabrechnung von Mandant A an Mandant B. Dies ist eine Verletzung der Vertraulichkeit. Ob eine Meldung erforderlich ist, hängt von Inhalt und Empfänger ab.
Ein Laptop bleibt im Zug liegen. Waren personenbezogene Daten darauf und die Festplatte nicht verschlüsselt, liegt eine Datenpanne vor. Bei guter Verschlüsselung sieht es anders aus.
Ransomware verletzt die Verfügbarkeit und häufig auch die Vertraulichkeit: Die Daten wurden dann vor der Verschlüsselung kopiert. Bei Phishing gibt ein Mitarbeiter Zugangsdaten preis; Außenstehende können ein Postfach samt personenbezogenen Daten mitlesen.
Ein für die gesamte Organisation offener Personalordner oder ein für alle zugänglicher Freigabelink gewährt Unbefugten Zugriff. Solche Pannen fallen oft erst auf, wenn eine Suche oder ein KI-Assistent den Ordner plötzlich auffindbar macht; siehe Copilot und SharePoint.
Ein Mitarbeiter fügt eine Kundenakte in einen KI-Chatbot auf einem Privatkonto ein. Die AP warnte im August 2024 davor in Achtung: Die Nutzung von KI-Chatbots kann zu Datenpannen führen. Erfolgt die Eingabe eigeninitiativ entgegen den Arbeitgebervereinbarungen, liegt laut AP eine Datenpanne vor: Das Unternehmen hinter dem Chatbot erhält unbefugten Datenzugriff. Gehört die Nutzung zur Organisationsrichtlinie, ist es laut AP keine Datenpanne, aber häufig gesetzlich nicht erlaubt. Dies hat einen eigenen Artikel: Datenpanne durch einen KI-Chatbot: Wann müssen Sie die AP benachrichtigen?.
Artikel 33 DSGVO gibt die Regel vor: Sie melden eine Datenpanne der Aufsichtsbehörde, sofern sie voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten der betroffenen Menschen führt. Melden ist der Ausgangspunkt. Die Einschätzung treffen Sie selbst.
Die AP nennt auf ihrer Seite Datenpanne melden oder nicht Faktoren für eine objektive Bewertung.
Welche Daten besondere Kategorien sind und warum, steht unter Besondere Kategorien personenbezogener Daten: Welche sind es und darf KI sie verarbeiten?.
Laut AP müssen Sie nicht melden, wenn Sie vor der Panne Maßnahmen getroffen hatten, die Daten für Unbefugte unverständlich machen, etwa gute Verschlüsselung oder Ersetzung durch einen Hashwert. Drei Voraussetzungen gehören dazu: Die Daten sind noch intakt, Sie haben weiterhin vollständige Kontrolle darüber (eine aktuelle Sicherung besteht), und der Schlüssel war nicht gefährdet.
Die Tabelle wendet die Faktoren auf fiktive Situationen an. Sie zeigt die übliche Richtung der Bewertung; entscheidend sind Ihre konkreten Umstände.
| Beispiel | Ist es eine Datenpanne? | Der AP melden? | Betroffene informieren? |
|---|---|---|---|
| Gehaltsabrechnungen mit BSN an unbekannte E-Mail-Adresse gesendet | Ja | In der Regel ja: Die AP nennt BSN mit Zusatzdaten sensibel | Hängt vom Missbrauchsrisiko ab |
| Krankenakte von Mitarbeiter ohne Behandlungsbeziehung eingesehen | Ja | In der Regel ja: Gesundheitsdaten | Wahrscheinlich ja |
| Laptop mit gut verschlüsselter Festplatte verloren, Schlüssel sicher, Sicherung vorhanden | Eine zu dokumentierende Verletzung | Nein, wenn die drei Voraussetzungen erfüllt sind | Nein |
| Ransomware verschlüsselt Akten und Dateien wurden kopiert | Ja | In der Regel ja | Wahrscheinlich ja; abhängig von den erbeuteten Daten |
| Kundenakte entgegen Vereinbarungen in KI-Chatbot auf Privatkonto eingegeben | Ja, laut AP | Abhängig von Sensibilität und Verwendung der Eingaben durch den Anbieter | Nur bei voraussichtlich hohem Risiko |
| Preisliste ohne personenbezogene Daten an Wettbewerber gesendet | Nein | Nicht zutreffend | Nicht zutreffend |
Bei Zweifeln empfiehlt die AP, auf Nummer sicher zu gehen und zu melden.
Für die betroffenen Menschen liegt die Schwelle höher. Artikel 34 verlangt ihre Benachrichtigung, wenn die Datenpanne voraussichtlich ein hohes Risiko birgt. Müssen Sie nicht an die AP melden, müssen Sie auch die Betroffenen nicht informieren.
Die Mitteilung erfolgt unverzüglich und in klarer Sprache: Was geschah, wahrscheinliche Folgen, Ihre Maßnahmen und eine Kontaktstelle. Die AP empfiehlt auf der Seite So informieren Sie Opfer über eine Datenpanne, Fachsprache zu vermeiden und sofort zu sagen, dass die Daten des Lesers betroffen sind.
Artikel 34 Absatz 3 nennt drei Situationen: Die Daten wurden vorher unverständlich gemacht, etwa durch Verschlüsselung; nachträglich haben Sie dafür gesorgt, dass das hohe Risiko voraussichtlich nicht mehr eintritt; oder eine individuelle Information erfordert unverhältnismäßigen Aufwand und wird durch eine öffentliche Mitteilung ersetzt.
Das niederländische DSGVO-Ausführungsgesetz ergänzt in den Artikeln 41 und 42 niederländische Ausnahmen. So gilt Artikel 34 nicht für Finanzunternehmen im Sinne des niederländischen Finanzaufsichtsgesetzes; die Meldung an die AP gilt für diese weiterhin.
Die 72 Stunden beginnen nicht beim Vorfall, sondern bei dessen Bekanntwerden. Die europäischen Aufsichtsbehörden erläutern in ihren Leitlinien 9/2022 zur Meldung von Datenpannen, dass Kenntnis besteht, sobald Sie mit hinreichender Sicherheit wissen, dass personenbezogene Daten beeinträchtigt wurden. Eine erste Untersuchung ist erlaubt, wenn sie so schnell wie möglich beginnt.
Artikel 33 Absatz 3 nennt vier Bestandteile: Art der Verletzung, möglichst mit Kategorien und ungefährer Zahl betroffener Personen und Datensätze; Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle; wahrscheinliche Folgen; getroffene oder vorgeschlagene Maßnahmen. Wissen Sie noch nicht alles, dürfen Sie die Informationen unverzüglich schrittweise nachreichen. Melden Sie später als nach 72 Stunden, nennen Sie den Verzögerungsgrund.
Artikel 33 Absatz 5 verpflichtet Sie, alle Verletzungen zu dokumentieren: Fakten, Folgen und Abhilfemaßnahmen. Damit kann die Aufsichtsbehörde die Einhaltung der Meldepflicht kontrollieren. Die europäischen Aufsichtsbehörden empfehlen dafür ein internes Register, auch für nicht meldepflichtige Verletzungen. Die AP bietet auf ihrer Seite zu Datenpannen ein Registerbeispiel.
Ein brauchbarer Eintrag enthält Fakten und Entdeckungszeitpunkt, Datenarten und Personengruppen, Ursache, Risikobewertung samt Melde- oder Nichtmeldegründen sowie Maßnahmen.
Das Datenpannenregister ist etwas anderes als das Verarbeitungsverzeichnis, das den Umgang Ihrer Organisation mit personenbezogenen Daten beschreibt. Darum geht es unter Verarbeitungsverzeichnis: Was hineingehört, mit einem Beispiel für KI-Tools.
Die Meldepflicht liegt beim Verantwortlichen: der Organisation, die bestimmt, warum und wie Daten verarbeitet werden. Entsteht die Panne bei einem Auftragsverarbeiter, etwa einem Lohnabrechnungs- oder Softwareanbieter, muss dieser Sie nach Artikel 33 Absatz 2 unverzüglich informieren. Risikobewertung und Meldung bleiben Ihre Aufgabe.
Vereinbaren Sie deshalb im Auftragsverarbeitungsvertrag, wie schnell und mit welchen Informationen ein Anbieter Vorfälle meldet. Worauf Sie bei KI-Anbietern achten, steht unter Auftragsverarbeitungsvertrag mit einem KI-Anbieter.
Die AP schreibt, dass sie bei zu Unrecht unterlassener Meldung eine Geldbuße verhängen und die nachträgliche Information Betroffener anordnen kann. Die Pflichten aus Artikeln 33 und 34 fallen unter Artikel 83 Absatz 4 DSGVO. Dieser nennt höchstens 10 Millionen Euro oder bei Unternehmen 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, falls dieser Betrag höher ist.
Das sind gesetzliche Höchstgrenzen, keine üblichen Beträge. Die Höhe im Einzelfall hängt von den Umständen ab. Welche weiteren Sanktionen die AP hat, von einer Verwarnung bis zu einer zwangsgeldbewehrten Anordnung, steht auf ihrer Seite Geldbußen und andere Sanktionen.
PrivaSearch richtet sich auf eine Ursache dieses Artikels: die vollständig an einen KI-Dienst übermittelte Akte, weil jemand eine Frage beantwortet haben möchte. In PrivaSearch werden personenbezogene Daten in Dokumenten zunächst erkannt und durch Pseudonyme ersetzt. Ein Kollege sieht das Original neben dem pseudonymisierten Text und gibt ihn frei. Erst danach ist das Dokument durchsuchbar. Die Schritte stehen unter So funktioniert PrivaSearch.
Ein verbundener KI-Assistent sucht nur in diesen freigegebenen Textstellen und erhält keine Originaldateien, Dateinamen oder Links. Verbinden können Sie Claude, ChatGPT Business und Mistral Vibe (früher Le Chat). Zugriff erfolgt je Projekt; Handlungen werden protokolliert. Mehr steht unter ChatGPT, Claude, Mistral Vibe und die DSGVO.
Es gibt Grenzen. Automatische Erkennung ist nie vollständig; deshalb ist die Prüfung verpflichtend. Was Mitarbeitende selbst in einen Assistenten eingeben, geht direkt an dessen Anbieter. Pseudonymisierte Daten bleiben für Ihre Organisation personenbezogene Daten: Meldepflicht, Risikobewertung und Register bleiben Ihre Aufgabe. Was bei unkontrollierter Nutzung schiefgeht, lesen Sie unter Risiken von KI für Ihre Akten.
Möchten Sie sehen, wie das mit Ihrer Art von Akte aussieht, fragen Sie eine Demo an.
Eine Datenpanne ist ein Vorfall, bei dem personenbezogene Daten wegen eines Sicherheitsfehlers verloren gehen, verändert werden oder jemanden erreichen, der sie nicht sehen dürfte. Ein Angriff ist nicht erforderlich. Eine E-Mail an die falsche Adresse, ein verlorener unverschlüsselter Laptop oder ein für alle offener Ordner sind ebenso Datenpannen.
Nein. Sie melden eine Datenpanne, sofern ein Risiko für die betroffenen Menschen nicht unwahrscheinlich ist. Diese Einschätzung treffen Sie selbst anhand unter anderem der Datensensibilität, Identifizierbarkeit und des Empfängers. Bei Zweifeln empfiehlt die Aufsichtsbehörde zu melden. Im eigenen Register dokumentieren müssen Sie immer.
Unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden. Die Frist beginnt also, sobald Sie mit hinreichender Sicherheit wissen, dass personenbezogene Daten betroffen sind, nicht beim Vorfall selbst. Bei späterer Meldung nennen Sie den Verzögerungsgrund. Fehlende Informationen dürfen Sie anschließend schrittweise ergänzen.
Über das Meldeportal auf der Website der Autoriteit Persoonsgegevens. Sie beschreiben den Vorfall, betroffene Datenarten und ungefähre Personenzahl, wahrscheinliche Folgen und getroffene Maßnahmen. Über dasselbe Portal können Sie eine frühere Meldung ergänzen, ändern oder zurückziehen, falls Ihre Untersuchung andere Ergebnisse liefert.
Ja, wenn sie personenbezogene Daten enthielt. Es ist eine Verletzung der Vertraulichkeit, auch bei einem Versehen. Ob Sie melden müssen, hängt von Inhalt und Empfänger ab. Eine Terminbestätigung wiegt anders als eine Gehaltsabrechnung mit BSN. Halten Sie Ihre Abwägung in beiden Fällen fest.
Ein Sicherheitsvorfall ist jedes Ereignis, bei dem die Sicherheit verletzt wurde oder gefährdet war. Zur Datenpanne wird er, wenn dadurch personenbezogene Daten vernichtet werden, verloren gehen, verändert oder unbefugt offengelegt beziehungsweise eingesehen werden. Ein abgewehrter Einbruchsversuch oder eine Störung ohne Folgen für personenbezogene Daten ist somit ein Vorfall, aber keine Datenpanne.
Der Zeitplan des AI Act nach dem digitalen Omnibus: Was bereits gilt, was auf 2027 und 2028 verschoben wurde und was Sie als KI-Nutzer jetzt regeln.
Was ein Deepfake ist, welche Regeln jetzt gelten, welches Verbot bevorsteht und was Organisationen gegen Betrug mit gefälschter Stimme oder Video tun.
Was das niederländische Algoritmeregister und das IAMA sind, was Pflicht ist und was nicht und was eine Gemeinde beim Einsatz von KI-Chatbots regelt.
Wir zeigen es mit fiktiven Akten aus Ihrer Branche: Upload, Erkennung, Prüfung, Suche und die Verbindung mit Ihrem KI-Assistenten. Danach wissen Sie genau, was Ihr Team sicher nutzen kann.
Demo planen →