Dr. Flemming Moos, Dipl.-Jur. Tobias Born
Nach § 42a S. 3 BDSG muss die Benachrichtigung des Betroffenen (1) eine Darlegung der Art der unrechtmäßigen Kenntniserlangung und (2) Empfehlungen zur Vermeidung nachteiliger Folgen enthalten.
Art der unrechtmäßigen Kenntniserlangung
Bei der Mitteilung über die Art der Kenntniserlangung geht es darum, den Betroffenen zu informieren, auf welche Weise Dritte von seinen Daten Kenntnis genommen haben. Im Ergebnis hat die verantwortliche Stelle in diesem Zusammenhang darzulegen, was für eine Datenpanne eingetreten ist. Es sind dabei auch die Ursachen und die Verantwortlichen in einer verständlichen Weise offenzulegen, ohne dass dabei technische Einzelheiten nötig sind.
Gesetzlich nicht geregelt ist, ob auch auf die Art der Daten hinzuweisen ist, die Dritten zugänglich wurden. Nach dem Sinn und Zweck der Regelung ist dies jedoch der Fall, da die informationspflichtige Stelle den Betroffenen Empfehlungen zur Vermeidung nachteiliger Folgen an die Hand zu geben hat und Letzteres nur dann sinnvoll geschehen kann, wenn die Betroffenen wissen, um welche Daten es überhaupt geht. Auch für die Entscheidung der Betroffenen darüber, welche Maßnahmen sie zum Selbstschutz ergreifen wollen, ist eine vollständige Information essentiell. Dies ist letztlich auch im Interesse der von der Datenpanne betroffenen Stelle, da so das Risiko eventueller Schäden, die auf dem Zivilrechtsweg geltend gemacht werden könnten, reduziert werden kann.
Neben diesen Informationen müssen die Betroffenen auch solche Informationen erhalten, die ihnen nachteilige Folgen vermeiden helfen. Welche Empfehlungen den Betroffenen an die Hand zu geben sind, lässt sich naturgemäß nicht pauschal sagen und ist einzelfallabhängig.
Typische Empfehlungen sind:
- Austausch von Passwörtern und Log-In-Daten, sofern solche abhanden gekommen sind;
- bei Verlust von Bankdaten oder Kontodaten Kontrolle von Kontoauszügen auf auffällige Überweisungen und Benachrichtigung der jeweiligen Bank, sowie Sperrung von Konten
- Sperrung von Kreditkarten
- Benachrichtigung von Kommunikationspartnern
Form der Benachrichtigung
Eine Formvorschrift für die Benachrichtigung der Betroffenen existiert nicht. Zum besseren Nachweis sollte zumindest die Textform gemäß § 126b BGB, besser noch Schriftform gemäß § 126 BGB gewählt werden. Mithin genügt in jedem Fall ein Brief, ausreichend wäre aber auch eine E-Mail.
Die Wahl der Form hängt auch davon ab, welche Kontaktdaten der mitteilungspflichtigen Stelle zur Verfügung stehen. Die datenschutzrechtliche Erlaubnis für die Nutzung der vorhandenen Daten zur Benachrichtigung ist ebenfalls nicht gesetzlich geregelt, wird aber von der Vorschrift des § 42a BDSG zwingend vorausgesetzt, sodass etwa datenschutzrechtlich auch eine Benachrichtigung per E-Mail erfolgen dürfte, wenn die E-Mail-Adresse der verantwortlichen Stelle vorliegt.
Die Betroffenen sind grundsätzlich individuell zu benachrichtigen. Allerdings sieht § 42a S. 5 BDSG eine Ausnahme vor, wenn die Benachrichtigung der Betroffenen einen unverhältnismäßigen Aufwand erfordern würde, was insbesondere aufgrund der Vielzahl der betroffenen Fälle möglich sein kann. Statt der individuellen Information der Betroffenen soll laut Gesetz eine solche der Öffentlichkeit durch Anzeigen ausreichen, die mindestens eine halbe Seite umfassen und in mindestens zwei bundesweit erscheinenden Tageszeitungen abgedruckt werden. Alternativ hierzu reichen auch in ihrer Wirksamkeit hinsichtlich der Information der Betroffenen gleich geeignete Maßnahmen aus.
Entscheidung über Information der Öffentlichkeit
Entgegen manchmal anderslautender Stimmen obliegt es der Entscheidungshoheit der verantwortlichen Stelle selbst, ob der Weg einer Information der Allgemeinheit über eine Zeitungsanzeige oder anderweitige Veröffentlichung gewählt wird. Mit anderen Worten: Die verantwortliche Stelle hat es selbst in der Hand zu entscheiden, welchen Aufwand sie für eine individuelle Information betreiben will und wann dieser (für sie) unverhältnismäßig wird.
Ein unverhältnismäßiger Aufwand kann dabei auch daraus resultieren, dass die verantwortliche Stelle nicht über Adressdaten der Betroffenen verfügt, oder auch, dass sie nicht feststellen kann, welche konkrete Personengruppe von einer bestimmten Datenpanne betroffen ist – etwa weil ein Laptop abhanden gekommen ist und nachträglich nicht mehr festgestellt werden kann, welche Kundendaten darauf gespeichert waren.
Alternativ zu einer Anzeige in bundesweit erscheinenden Tageszeitungen kann – wiederum nach Wahl der verantwortlichen Stelle – auch eine andere Art der Information gewählt werden, wenn sie gleich wirksam ist. Dies ist so zu verstehen, dass auch auf diesem Weg eine ausreichende Information gewährleistet sein muss.
Ausreichende Information der Öffentlichkeit
Für eine ausreichende Information der Öffentlichkeit ist entscheidend, welcher Personenkreis betroffen ist:
- Handelt es sich um einen Verstoß von ausschließlich regionaler Bedeutung, kann auch eine Anzeige ...