3rd Mind Business Consulting

Die "Legaldefinition" des § 121 BGB versteht darunter ein "Handeln ohne schuldhaftes Zögern".

Im Gegensatz zur landläufigen Meinung, bedeutet unverzüglich nicht sofort!

Unverzüglichkeit schließt jedoch Bedenkzeit oder die Konsultation eines Experten (in diesem Falle ein Datenschutzbeauftragter oder Rechtsanwalt) nicht zwingend aus. Dabei sprechen wir aber nicht von Tagen oder Wochen!

-> ZURÜCK

§ 42a BDSG spricht von personenbezogenen Daten, die 

1. "besondere p.-Daten" nach § 3 (9) BDSG sind (z.B. Gesundheit, Gewerkschaft etc.)
2. einem Berufsgeheimnis unterliegen (z.B. ärztliche Schweigepflicht)
3. die sich auf strafbare Handlungen, OWi bzw. den Verdacht darauf beziehen oder
4. zu Bank- oder Kreditkartenkonten gehören

Wenn über solche Daten - durch welche Vorfälle auch immer - Dritte unrechtmäßig Kenntnis erlangt haben, müssen die Betroffenen unverzüglich informiert werden. Allerdings erst, wenn "angemessene Maßnahmen" zur Datensicherung ergriffen wurden und die Strafverfolgung nicht mehr gefährdet ist. 

Diesen Zeitpunkt als Unternehmen alleine abzuschätzen, ist gerade für die zweite Hälfte des Satzes schwer zu realisieren.

Von daher hat der Gesetzgeber weiterhin festgelegt, dass bei der zuständigen Aufsichtsbehörde sofort Meldung gemacht werden soll. Mit dieser sollte dann das weitere Vorgehen unbedingt abgesprochen werden. Auch aus Haftungsgründen!

Von daher sollten Sie ERST mit der Aufsichtsbehörde sprechen UND DANN die Betroffenen informieren. Evtl. lässt sich der Image-Schaden noch begrenzen!

-> ZURÜCK

Stellen Sie fest, dass personenbezogene Daten Dritten unrechtmäßig zur Kenntnis gelangt sind, benötigen Sie nicht absolute Gewissheit. Es reicht die Wahrscheinlichkeit, wenn z.B. ein Hackerangriff stattfand, Datenträger gestohlen oder der Klassiker passiert ist: ein Notebook ist "verschwunden".

Wenn Ihr IT-Sicherheitskonzept dies berücksichtigt und sensible Daten grundsätzlich verschlüsselt gespeichert oder übertragen werden, haben Sie sehr gute Karten. Bei bloßem Verdacht oder dem tatsächlichen Zugriff unbefugter Dritter auf Datenträger, ohne die Daten auslesen zu können, ist eine Kenntnisnahme im Sinne des Gesetzes nicht anzunehmen.

Unbedingt darauf verlassen sollten Sie sich aber nicht, denn je wichtiger einem Datendieb die Informationen sind, umso eher wird er alles versuchen, die Verschlüsselung zu knacken.

Es kommt also auf den Einzelfall an, ab wann eine Informationspflicht nach § 42a BDSG für Sie besteht. Sie sollten sich somit unbedingt an Ihren Datenschutzbeauftragten wenden (sofern vorhanden) oder 3rd Mind sofort hinzuziehen.

-> ZURÜCK

Versuchen Sie es erst gar nicht: Es stimmt, dass es bei der Informationspflicht um möglicherweise tausende von Betroffenen geht und dies wahrscheinlich in einem immensen Image-GAU für Sie und Ihr Unternehmen endet.

Richtig ist aber auch, wenn Sie der gesetzlichen Informationspflicht von Aufsichtsbehörde (und Betroffenen) nicht oder nicht rechtzeitig nachkommen, nach § 43 (2) Nr. 7 bzw. (3) BDSG von der Aufsichtsbehörde mit einem Bußgeld von bis zu 300.000 Euro nachgeholfen werden kann! Also dann doch lieber die Aufsichtsbehörde anrufen!

-> ZURÜCK

Dies steht leider nicht detailliert im Gesetz, aber dazu gibt es Erfahrungswerte von uns Datenschützern, den Aufsichtsbehörden und der Rechtsprechung.

Die Aufsichtsbehörde will detailliert, transparent und wahrheitsgemäß wissen:

• Was für ein Sicherheitsvorfall hat sich exakt ereignet?
• Welche Maßnahmen zur Schadensbegrenzung wurden durchgeführt?
• Welche möglichen Folgeschäden können für die Betroffenen eintreten?
• Was sollten die Betroffenen tun, um etwaige (Folge-)Schäden abzuwehren?
• Wurden die Betroffenen bereits informiert bzw. wann ist dies geplant?
• Welche konkreten Maßnahmen hat das Unternehmen ihnen empfohlen?
• Um wie viele Betroffene handelt es sich voraussichtlich?

Allen Betroffenen ist transparent und wahrheitsgemäß darzulegen

• Was für ein Sicherheitsvorfall hat sich exakt ereignet?
• Welche Maßnahmen zur Schadensbegrenzung wurden durchgeführt?
• Was sollte der Betroffene tun, um etwaige (Folge-)Schäden abzuwehren?

Auch kann es nicht schaden, vorbeugende Maßnahmen beiden Stellen mitzuteilen, beispielsweise das Löschen von Passwörtern oder Sperren von Zugängen oder Kreditkarten.

Alle Betroffenen sind einzeln zu benachrichtigen, dabei besteht zunächst kein Schriftformerfordernis. Aber schon aus Nachweisgründen ist dieses dringend zu empfehlen.

-> ZURÜCK

Eine E-Mail - auch signiert, verschlüsselt o.ä. - ist hierbei nicht zu empfehlen. Die wenigsten E-Mail-Programme versenden einen Lesenachweis, wenn doch, ist dieser oft abgestellt. Verfügen Sie nicht über eine rechtssichere E-Mail-Archivierung mit unveränderbarer Speicherung, hat er kaum Beweiskraft.

Eine Verschlüsselung nutzt nur etwas, wenn die Empfänger das gleiche Verschlüsselungssystem benutzen. Eine höhere Beweiskraft hat die E-Mail dadurch aber nicht. Und eine Signatur bestätigt ohnehin nur den Absender, nie den Inhalt.

Auch ist die Gefahr zu groß, dass falsch justierte SPAM-Filter die Nachricht gar nicht erst durchstellen, der Adressat in Urlaub ist oder sie in der E-Mail-Masse einfach untergeht.

-> ZURÜCK

Dann wird Ihnen die Aufsichtsbehörde sagen, dass § 42a Satz 5 BDSG auch hierfür eine "Lösung" hat - sie wird Ihnen aber nicht gefallen: 

Die Einzelbenachrichtigung kann durch Bekanntmachung in der Öffentlichkeit ersetzt werden, z.B. durch mindestens halbseitige Anzeigen in 2 verschiedenen, bundesweit erscheinenden Tageszeitungen oder "ähnlich wirksame Verfahren".

Was verlorenes Vertrauen der Kunden für den eigenen Umsatz bedeutet, überlasse ich Ihnen selbst, auszurechnen.

Es geht aber auch darum, weitergehenden Schadensersatzansprüche der Betroffenen aufgrund einer ungenügenden Informationspolitik zu begrenzen. Auch wenn der PR-Schaden extrem schmerzhaft sein dürfte.

-> ZURÜCK

Was die Informationspflicht anbetrifft, ist das tatsächlich so. Als ADV müssen Sie weder Aufsichtsbehörde noch Betroffene informieren. Sie sollten dies aber schon aus moralischen Gründen ihrem Kunden gegenüber anzeigen. Wer sich trotzdem "drückt", riskiert erhebliche Schadensersatzsummen durch Regressansprüche seitens Ihres Kunden.

Grundsätzlich empfiehlt sich deshalb, einen ADV-Vertrag nach § 11 BDSG zwischen Auftraggeber und Auftragnehmer abzuschließen. Beide Seiten können davon nur profitieren. 

Ungeregelte ADV führt in juristische Unsicherheiten für beide Seiten. 3rd Mind kann dies mit einem entsprechendes Stück Papier für Sie verhindern.

-> ZURÜCK

Lassen Sie es nicht soweit kommen. Überprüfen Sie Ihr Datenschutz-Konzept auf Präventivmaßnahmen (§ 9 BDSG), Befehlsketten und Schutzmaßnahmen.

Checken Sie Ihr IT-Sicherheits-Konzept nach entsprechenden Sicherheitslücken und minimieren Sie diese durch Mitarbeiter-Sensibilisierung, Richtlinien, organisatorische und bedarfsweise mit technischen Maßnahmen zusätzlich.

Setzen Sie Verschlüsselung ein, sobald personenbezogene Daten - wie auch andere sensible Firmendaten - das Haus verlassen oder auf (mobile) Datenträger gespeichert werden.

Ihr DSB hilft Ihnen dabei gerne - und wenn nicht: 3rd Mind garantiert! Auch ohne Vertragsmandat.

-> ZURÜCK