Verletzung des Schutzes personenbezogener Daten

Begriffsbestimmung nach Artikel 4 der DSGVO

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

„Verletzung des Schutzes personenbezogener Daten“ eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden;

Erläuterung

Eine Datenschutzverletzung kann Vertraulichkeit, Verfügbarkeit oder Integrität personenbezogener Daten betreffen. Beispiele sind ein fehlgeleiteter Versand, verlorene Datenträger, unbefugter Zugriff oder die unbeabsichtigte Zerstörung von Daten. Ein Cyberangriff ist nur eine mögliche Ursache.

Meldung und Benachrichtigung unterscheiden

Der Verantwortliche meldet eine Verletzung nach Artikel 33 unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde, außer sie führt voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten natürlicher Personen. Eine verspätete Meldung ist zu begründen. Ein Auftragsverarbeiter meldet die ihm bekannt gewordene Verletzung unverzüglich dem Verantwortlichen.

Bei voraussichtlich hohem Risiko sind betroffene Personen nach Artikel 34 grundsätzlich unverzüglich zu benachrichtigen. Dort sind Ausnahmen und gegebenenfalls eine ersatzweise öffentliche Information geregelt. Die Prüfung und Dokumentation des Vorfalls bleibt erforderlich; eine Behördenmeldung und eine Betroffenenbenachrichtigung sind unterschiedliche Pflichten.

Quellen: DSGVO – amtlicher Verordnungstext. Geprüft am 27. Oktober 2026.