Start / Glossar / Recht und Normen
Datenschutzverletzung
Eine Datenschutzverletzung ist nach Art. 4 Nr. 12 DSGVO eine Verletzung der Sicherheit, durch die personenbezogene Daten vernichtet, verloren, verändert, unbefugt offengelegt oder unbefugt zugänglich werden. Das gilt auch, wenn es aus Versehen geschieht.
Die Leitlinien 01/2021 des Europäischen Datenschutzausschusses (EDSA) unterscheiden drei Schutzziele; ein Vorfall kann mehrere treffen.
| Art | Was laut EDSA passiert | Beispiel bei Altgeräten |
|---|---|---|
| Vertraulichkeit | Daten werden unbefugt oder versehentlich offengelegt oder zugänglich | Notebook ungelöscht verkauft, Festplatte im Elektroschrott gefunden |
| Verfügbarkeit | der Zugriff auf Daten geht verloren oder die Daten werden vernichtet | Rechner gelöscht, bevor die einzige Kopie gesichert war |
| Integrität | Daten werden unbefugt oder versehentlich verändert | Gerät ohne Sicherung weg: Änderungen nicht auszuschließen |
Ein verlorenes oder gestohlenes Gerät ist laut EDSA immer eine Verletzung der Vertraulichkeit; ohne Sicherung auch der Verfügbarkeit und Integrität. Zwei Fälle aus den Leitlinien zeigen, wie das Risiko die Pflichten bestimmt:
| Fall 10: zwei Tablets gestohlen | Fall 11: ein Notebook gestohlen | |
|---|---|---|
| Schutz vorher | verschlüsselt, ausgeschaltet, starkes Kennwort, Sicherung, rasche Fernlöschung | kein Kennwort, keine Verschlüsselung, aber tägliche Sicherungen |
| Daten | Kinder einer Kindertagesstätte | mehr als 100.000 Kunden |
| Folge | nur intern dokumentieren | Aufsichtsbehörde melden und Betroffene benachrichtigen |
Dokumentieren Sie jede Verletzung (Art. 33 Abs. 5 DSGVO). Der Aufsichtsbehörde melden Sie unverzüglich und möglichst binnen 72 Stunden, nachdem sie Ihnen bekannt wurde, außer ein Risiko ist unwahrscheinlich. Bekannt heißt laut EDSA: Sie sind hinreichend gewiss. Bewerten Sie das Risiko dann sofort, ohne Forensik abzuwarten. Angaben dürfen Sie nachreichen; Verspätung begründen Sie. Bei voraussichtlich hohem Risiko benachrichtigen Sie auch die Betroffenen, außer die Daten waren für Unbefugte unzugänglich, etwa durch Verschlüsselung (Art. 34 Abs. 3 Buchst. a). Stufen Sie das Risiko als unwahrscheinlich ein und es tritt doch ein, drohen Sanktionen.
Ein Dienstleister muss Ihnen eine Verletzung unverzüglich melden; ab dann gilt sie Ihnen als bekannt. Regeln Sie das im Auftragsverarbeitungsvertrag. Eine lückenlose Nachweiskette bis zum Löschprotokoll je Seriennummer zeigt, ob ein fehlendes Gerät schon gelöscht war. Ablauf im Ernstfall: Altgerät mit Daten verloren oder ungelöscht verkauft.
Was das für Ihre Ausmusterung bedeutet
Ein Altgerät wird zum möglichen Fall, wenn es mit Daten verloren geht oder ungelöscht an Unbefugte gelangt, etwa ohne Vertrag weitergegeben oder verkauft wird. Dasselbe gilt, wenn es gelöscht wird, bevor die Daten gesichert sind. Notieren Sie sofort, wann Sie davon erfahren haben. Halten Sie dann fest, ob der Datenträger verschlüsselt war und Kennwort und Schlüssel im Haus geblieben sind. Prüfen Sie, ob eine Sicherung existiert. Den Vorfall dokumentieren Sie in jedem Fall.
Verwandte Begriffe
- Auftragsverarbeitungsvertrag (AVV)
- BitLocker und TPM (Windows)
- Löschprotokoll
- Datenschutzbeauftragter
- Nachweiskette (Chain of Custody)
Ankauf
Ausgemusterte IT verkaufen?
Wir kaufen alles an, auch alte und defekte Geräte, und zahlen auch dort noch, wo andere abwinken. Die Abholung ist kostenlos, schon ab einem Gerät. Sie bekommen noch am selben Werktag eine Antwort.
Stand: 10.10.2026. Keine Rechtsberatung.