Verletzung des Schutzes personenbezogener Daten (DSGVO)
Eine Verletzung des Schutzes personenbezogener Daten ist eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, ob unbeabsichtigt oder unrechtmäßig (Art 4 Z 12 DSGVO).
Erfasst sind damit nicht nur Hackerangriffe, sondern ebenso der verlorene USB-Stick, die versehentlich an den falschen Empfänger gesendete E-Mail, der offene Verteiler im Massenmail und die unwiederbringlich gelöschte Datenbank.
Der Verantwortliche hat eine solche Verletzung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Aufsichtsbehörde zu melden, es sei denn, ein Risiko für die Rechte und Freiheiten natürlicher Personen ist unwahrscheinlich. Verzögerungen sind zu begründen (Art 33 DSGVO).
Besteht ein hohes Risiko, sind zusätzlich die betroffenen Personen zu benachrichtigen, wobei die Benachrichtigung unterbleiben kann, wenn wirksame Schutzmaßnahmen wie Verschlüsselung greifen oder sie unverhältnismäßigen Aufwand erfordern würde (Art 34 DSGVO). Unabhängig von der Meldepflicht sind alle Vorfälle intern zu dokumentieren.