Eine Datenpanne ist im Sinn der DSGVO eine Verletzung des Schutzes personenbezogener Daten: eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt. Erfasst sind nicht nur Angriffe von außen, sondern auch ein verlorener Laptop, eine fehlgeleitete E-Mail, ein offener Verteiler im An-Feld oder ein gelöschter Datenbestand.
Art. 33 DSGVO verpflichtet Verantwortliche, eine solche Verletzung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Aufsichtsbehörde zu melden, in Österreich also der Datenschutzbehörde. Die Meldung entfällt nur, wenn voraussichtlich kein Risiko für die Rechte und Freiheiten der Betroffenen besteht; wird die Frist überschritten, ist die Verzögerung zu begründen. Auftragsverarbeiter müssen den Verantwortlichen unverzüglich informieren.
Art. 34 DSGVO verlangt zusätzlich die Benachrichtigung der betroffenen Personen, wenn voraussichtlich ein hohes Risiko besteht; sie kann unterbleiben, wenn die Daten etwa wirksam verschlüsselt waren oder nachfolgende Maßnahmen das Risiko beseitigt haben. Unabhängig von der Meldepflicht ist jede Verletzung intern zu dokumentieren, samt Sachverhalt, Auswirkungen und ergriffenen Abhilfemaßnahmen.