Data Breach – die neue Rolle des Verantwortlichen?

Datenmissbrauch - in welcher Form auch immer - ist in aller Munde. Unsere Gesellschaft ist sensibilisiert und so wird zumindest über große Datenmissbrauchsfälle, wie zuletzt etwa bei Facebook, auch regelmäßig in den Medien berichtet. [...]

In der neuen EU-Datenschutz-Grundverordnung (DSGVO), die am 25. Mai 2018 in Kraft tritt, wird dem Begriff „data breach“ große Bedeutung beigemessen.

Unter „data breach“ versteht man im weitesten Sinn den Verlust sowie Missbrauch von personenbezogenen Daten durch unbefugten Zugriff. In Artikel 4 definiert die DSGVO unter der Ziffer 12 die Verletzung des Schutzes personenbezogener Daten als „Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden“.

Bei einem data breach kann bei den betroffenen Personen ein physischer, materieller oder immaterieller Schaden entstehen, z.B. der Verlust der Kontrolle über ihre personenbezogenen Daten, Identitätsdiebstahl, finanzielle Verluste oder Rufschädigung. Die DSGVO sieht in so einem Fall detaillierte Melde- und Benachrichtigungspflichten vor.

„Verantwortliche“ haben grundsätzlich jede Verletzung unmittelbar, falls möglich, binnen höchstens 72 Stunden, nachdem die Verletzung bekannt wurde, der Aufsichtsbehörde zu melden. Verantwortlicher ist derjenige, der konkrete Datenanwendung betreibt, der sogenannte „Herr der Daten“. Er entscheidet über Zwecke und Mittel der Verarbeitung personenbezogener Daten. Eine Meldung muss nur dann nicht erfolgen, wenn der Vorfall nicht zu einem Risiko für die Rechte und Freiheiten einer natürlichen Person führen kann.

Zusätzlich zur Meldepflicht gegenüber der Aufsichtsbehörde sieht die Benachrichtigungspflicht der DSGVO vor, dass der Verantwortliche betroffene Personen unverzüglich davon zu benachrichtigen hat, wenn der data breach voraussichtlich zu einem hohen Risiko für die persönlichen Rechte und Freiheiten dieser Personen führt.

Es bleibt zu hoffen, dass das Inkrafttreten der DSGVO dazu führen wird, dass der Missbrauch personenbezogener Daten künftig noch rascher aufgedeckt und damit auch aufgeklärt wird.

*Andreas Schütz ist Partner bei Taylor Wessing.