Was ist ein Datenschutzverstoß im Unternehmen und ist jeder Vorfall meldepflichtig?
- Verstöße gegen die DSGVO können jederzeit in jedem Unternehmen auftreten.
- Manche Vorfälle stellen einen allgemeinen Datenschutzverstoß dar, bei anderen liegt eine Datenschutzverletzung vor, die meldepflichtig sein kann.
- Liegt ein Risiko vor, muss eine Meldung an die Aufsichtsbehörden innerhalb von 72 Stunden erfolgen.
- Die Zahl der Beschwerden über Datenschutzverstöße bei den Behörden steigt – Unternehmen sollten deshalb prüfen, ob ihre Datenschutzmaßnahmen noch wirksam sind.
- Item A
- Item B
- Item C
DSGVO-Verstoß, Datenschutzpanne oder Datenschutzverletzung: Was ist der Unterschied?
Die Wörter Datenschutzverletzung, Datenschutzverstoß und Datenschutzpanne geraten schnell durcheinander. Um bei einem Datenvorfall richtig zureagieren, müssen Unternehmen allerdings den Unterschied kennen:
- Datenschutzverstoß: Liegt vor, wenn Unternehmen gegen eine der Vorschriften der Datenschutzgrundverordnung (DSGVO) verstoßen. Es kann sich dabei je nach Schwere des Verstoßes um Ordnungswidrigkeiten und Straftaten handeln und laut Art. 83 DSGVO ein Bußgeld nach sich ziehen.
- Datenschutzverletzung: Liegt vor, wenn die Sicherheit personenbezogener Daten verletzt wird und es dadurch zu Verlust, Veränderung, Vernichtung oder unbefugten Zugriff oder Offenlegung kommt (Art. 4 Nr. 12 und Art. 33 DSGVO). Dabei spielt es keine Rolle, ob der Vorfall absichtlich oder versehentlich passiert ist. Stellt die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen dar, ist sie meldepflichtig.
- Datenschutzpanne Der Begriff wird umgangssprachlich als Synonym für eine Datenschutzverletzung verwendet,
In diesem Artikel erfahren Sie, was grundsätzlich bei Verstößen gegen die DSGVO gilt. Welche konkreten Schritte nach einer Datenschutzverletzung notwendig sind, die potenziell die Rechte der betroffenen Personen gefährdet, erfahren Sie in unserem Artikel zu Datenschutzpannen.
Wann liegt ein Datenschutzverstoß vor?
Im Alltag gibt es verschiedene Situationen, in denen ein Verstoß gegen die DSGVO passieren kann. Werden zum Beispiel Vorgaben zu Informationspflichten, Dokumentationspflichten oder zur Datensparsamkeit nicht umgesetzt handelt es sich um einen Datenschutzverstoß, der sanktioniert werden kann.
Ein solcher Verstoß ist aber keine (meldepflichtige) Datenschutzverletzung, wenn die Voraussetzungen des Art. 4 Nr. 12 DSGVO nicht vorliegen – also keine Verletzung der Sicherheit, die zu Verlust, unbefugter Offenlegung etc. führt.
Wie unterscheidet man Verstöße und Verletzungen?
Die folgende Übersicht zeigt, welche Vorfälle einen Verstoß oder eine Verletzung darstellen und wann Unternehmen sich in der Regel an die Behörden wenden müssen:
Wann muss ich eine Datenschutzverletzung melden?
Nach Art. 33 DSGVO müssen Verantwortliche im Unternehmen eine Datenschutzverletzung je nach Risiko unverzüglich an die zuständigen Aufsichtsbehörden melden, um den Schaden einzugrenzen. Die Frist bei einer Datenschutzverletzung beträgt 72 Stunden. Unternehmen müssen eine Datenschutzverletzung anzeigen, wenn der Vorfall voraussichtlich zu einem Risiko für die Rechte und Freiheiten eines Betroffenen führt.
Risiken bei einem DSGVO-Verstoße: Beispiele
Der erste Schritt nach einem DSGVO-Verstoß besteht deshalb darin, zu prüfen, ob eine Verletzung der Datensicherheit vorliegt und wie hoch das Risiko für die Rechte und Freiheiten der betroffenen Personen ist.
Je schneller die Prüfung und Prognose des Risikos für die Betroffenen erfolgt, desto besser. Es ist sinnvoll, bei der Risikoabwägung den internen oder externen Datenschutzbeauftragten einzubeziehen, der Sie bei der Bewertung und der Umsetzung weiterer Maßnahmen unterstützt.
Erfahren Sie in unserem Blog, welches Vorgehen bei einer Datenpanne wichtig ist und wann Betroffene informiert werden müssen.
Unsere Data-Breach-Software nimmt Ihnen die komplexe Risikobewertung ab und führt Sie durch den gesamten Meldeprozess. Intelligente Workflows, automatische Fristenkontrolle und DSGVO-konforme Dokumentation – alles in einem Tool.
Wichtig für Auftragsverarbeiter: Tritt eine Datenschutzverletzung bei einem Auftragsverarbeiter ein, muss dieser den Vorfall sofort bei Bekanntwerden dem Verantwortlichen melden, der in diesem Fall der Auftraggeber ist. Dieser muss dann im Falle eines Risikos die Aufsichtsbehörden informieren. Auftragsverarbeiter haben also eine Mitwirkungspflicht und müssen unverzüglich melden (Art. 33 Abs. 2 DSGVO).
Drohen bei einem Datenschutzverstoß Strafen?
Schwere Datenschutzverstöße können für Unternehmen und gegebenenfalls für verantwortliche Personen verschiedene Folgen haben. Unsere Übersicht zu DSGVO-Bußgeldern und Strafen zeigt, welche Sanktionen drohen können.
Fazit: Schützen Sie sich und Ihre Kunden vor den Folgen eines DSGVO-Verstoßes
DSGVO-Verstöße können ein ernstes Problem für den Datenschutz in Unternehmen und die Sicherheit von Verbrauchern sein. Aufgrund drohender DSGVO-Bußgelder stellen sie zudem ein finanzielles Risiko dar. Unternehmen sollten deshalb alles daransetzen, die DSGVO-Vorgaben sauber umzusetzen und regelmäßig zu prüfen, ob ihre Maßnahmen noch wirksam sind.
Gerade bei einer meldepflichtigen Datenschutzverletzung ist es wichtig, schnell zu handeln. Um zu gewährleisten, dass ein Verstoß schnell erkannt und gebannt werden kann, sind deshalb auch Maßnahmen wie Datenschutzschulungen für Mitarbeiter unverzichtbar.
Mit dem richtigen Partner an Ihrer Seite setzen Sie Maßnahmen für starken Datenschutz sicher und ohne Aufwand um.
Sie haben noch Fragen? Wir haben die Antworten
Nein. Meldepflichtig kann eine Datenschutzverletzung sein, wenn sie voraussichtlich zu einem Risiko für die Rechte und Freiheiten betroffener Personen führt. Ein allgemeiner DSGVO-Verstoß wie fehlende Informations- oder Dokumentationspflichten ist nicht automatisch eine meldepflichtige Verletzung. Proliance unterstützt Sie mit Data-Breach-Software bei Bewertung und Prozessführung.
Ein Datenschutzverstoß liegt vor, wenn gegen Vorschriften der DSGVO verstoßen wird und kann Bußgelder nach sich ziehen. Eine Datenschutzverletzung liegt vor, wenn die Sicherheit personenbezogener Daten verletzt wird und es zu Verlust, Veränderung, Vernichtung oder unbefugtem Zugriff bzw. Offenlegung kommt. Die Experten von Proliance unterstützen Sie dabei, Vorfälle korrekt einzuordnen.
Nach Art. 33 DSGVO müssen Verantwortliche eine Datenschutzverletzung je nach Risiko unverzüglich an die zuständige Aufsichtsbehörde melden. Die Frist beträgt 72 Stunden. Entscheidend ist die Prüfung, ob der Vorfall voraussichtlich ein Risiko für Rechte und Freiheiten der betroffenen Personen darstellt. Dabei hilft die Fristenkontrolle in der Data-Breach-Software von Proliance.
Sie haben noch Fragen zum Thema? Lassen Sie sich jetzt kostenlos von unseren Expertinnen und Experten beraten.
Zu unseren mehr als 2.500 Kunden zählen Start-ups, mittlere Unternehmen und Unternehmensgruppen aus nahezu allen Branchen.
