Auch genannt: Data Breach, Verletzung des Schutzes personenbezogener Daten.
Eine Datenschutzverletzung ist eine Verletzung der Sicherheit personenbezogener Daten, die unbeabsichtigt oder unrechtmäßig zu deren Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugang führt.
Immer wenn personenbezogene Daten außer Kontrolle geraten – etwa weil ein Laptop mit Kundendaten gestohlen wird, eine Datenbank gehackt wird oder eine E-Mail versehentlich an den falschen Empfänger geht – liegt eine Datenschutzverletzung vor. Die Datenschutz-Grundverordnung verpflichtet Verantwortliche, solche Vorfälle zu dokumentieren und unter bestimmten Voraussetzungen zu melden, damit betroffene Personen und Aufsichtsbehörden reagieren können.
Stellt eine Organisation eine mögliche Datenschutzverletzung fest, muss sie den Vorfall bewerten: Wie viele Personen sind betroffen, welche Datenkategorien wurden offengelegt, und wie hoch ist das Risiko für die Rechte und Freiheiten der Betroffenen? Besteht ein Risiko, ist die zuständige Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden zu informieren. Ist ein hohes Risiko wahrscheinlich, müssen zusätzlich die betroffenen Personen selbst benachrichtigt werden, damit sie etwa Passwörter ändern oder Konten sperren lassen können.
Ein Online-Händler bemerkt, dass unbekannte Dritte auf eine Kundendatenbank mit Namen, Adressen und verschlüsselten Zahlungsdaten zugegriffen haben. Da ein Risiko für die Betroffenen besteht, meldet das Unternehmen den Vorfall fristgerecht der Datenschutzaufsicht und informiert zusätzlich die betroffenen Kundinnen und Kunden per E-Mail.
Der Begriff strukturiert die rechtlichen Pflichten von Organisationen im Umgang mit Sicherheitsvorfällen: Er legt fest, wann eine Meldung an Behörden und Betroffene erforderlich ist, und bildet die Grundlage für interne Prozesse zur Erkennung, Dokumentation und Nachbereitung solcher Vorfälle.
Nicht jede Datenschutzverletzung muss gemeldet werden; die Meldepflicht entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen führt. Häufig wird zudem übersehen, dass auch technische Pannen ohne böswilligen Angriff – etwa ein Serverausfall mit Datenverlust – als Datenschutzverletzung gelten können, sofern personenbezogene Daten betroffen sind.
Nicht zu verwechseln mit Datenschutz-Folgenabschätzung: Diese bewertet Risiken vor Beginn einer riskanten Verarbeitung, während eine Datenschutzverletzung ein bereits eingetretener Vorfall ist. Ebenfalls abzugrenzen ist Betroffenenrechte: Betroffenenrechte regeln den aktiven Anspruch von Personen gegenüber Verantwortlichen, während die Meldepflicht bei einer Datenschutzverletzung eine Pflicht der Verantwortlichen unabhängig von einer Anfrage ist.