97.

Das Europäische Parlament, die Kommission und der Rat haben jeweils unterschiedliche Konzepte für die Meldung von Sicherheitsverletzungen angenommen. Unterschiede zwischen den drei Modellen bestehen unter anderem im Hinblick auf die Einrichtungen, für die die Pflicht, der Standard oder der Auslöser für die Benachrichtigung gelten soll, die betroffenen Personen, die Anspruch auf eine Benachrichtigung haben, usw. Daher müssen das EP und der Rat sich mit allen Kräften für einen soliden Rechtsrahmen in Bezug auf Sicherheitsverletzungen einsetzen. Zu diesem Zweck sollten das EP und der Rat Folgendes vorsehen: — Beibehaltung der Definition der Sicherheitsverletzung in den Texten von EP, Rat und Kommission, da sie ausreichend weit gefasst ist, um die meisten relevanten Situationen abzudecken, in denen eine Benachrichtigung über Sicherheitsverletzungen gerechtfertigt sein könnte; — Aufnahme der Betreiber von Diensten der Informationsgesellschaft unter die Einrichtungen, für die die vorgeschlagene Meldepflicht gelten soll. Online-Händler, Online-Banken und Online-Apotheken sind wahrscheinlich in gleichem, wenn nicht in höherem Maße als Telekommunikationsunternehmen von Sicherheitsverletzungen betroffen. Die Bürger werden eine Benachrichtigung nicht nur dann erwarten, wenn es zu Sicherheitsverletzungen bei Anbietern von Internetzugängen kommt, sondern insbesondere auch dann, wenn diese bei ihrer Online-Bank oder ihrer Online-Apotheke auftreten. — Was den Auslöser für die Benachrichtigung anbelangt, so ist der Standard „verursacht mit großer Wahrscheinlichkeit Schaden“ ein geeigneter Standard, der für die Funktionalität der Regelung sorgt. Dabei muss aber sichergestellt werden, dass „Schaden verursachen“ genügend weit gefasst wird, um alle einschlägigen Beispiele für negative Auswirkungen auf die Privatsphäre oder andere legitime Interessen der Bürger abzudecken. Andernfalls wäre es besser, einen neuen Standard einzuführen, wonach die Benachrichtigung obligatorisch wäre, „wenn die Sicherheitsverletzung mit großer Wahrscheinlichkeit nachteilige Folgen für die betreffenden Personen hat“. So würde das Konzept des Rates, wonach durch die Sicherheitsverletzung die Privatsphäre einer Person schwerwiegend beeinträchtigt werden muss, nur einen unzureichenden Schutz für die Bürger insofern bieten, als ein solcher Standard erfordert, dass die Auswirkungen auf die Privatsphäre „schwerwiegend“ sein müssen. Zudem bietet dies Raum für eine subjektive Beurteilung. — Zwar hat die Beteiligung einer Behörde an der Entscheidung, ob eine betroffene Einrichtung die Bürger zu benachrichtigen hat, sicherlich positive Auswirkungen, aber sie kann unpraktisch oder schwer anwendbar sein und könnte auch Mittel von anderen wichtigen Prioritäten abziehen. Der EDSB befürchtet, dass durch ein solches System sogar der Schutz der Personen verringert und unangemessener Druck auf die Behörden ausgeübt werden kann, falls die Behörden nicht äußerst schnell reagieren können. Insgesamt rät der EDSB also, ein System einzuführen, bei dem es den betroffenen Einrichtungen überlassen bleibt, die Notwendigkeit einer Benachrichtigung zu beurteilen. — Damit die Behörden die Aufsicht über die von den betroffenen Einrichtungen vorgenommene Beurteilung hinsichtlich der Benachrichtigung ausüben können, sind folgende Garantien zu verwirklichen: — Gewährleistung, dass diese Einrichtungen verpflichtet sind, den Behörden alle Sicherheitsverletzungen zu melden, die dem geforderten Standard entsprechen; — Übertragung einer Aufsichtsfunktion an die Behörden, damit diese im Interesse der Wirksamkeit selektiv vorgehen können. Zu diesem Zweck sollte folgender Text aufgenommen werden: „Falls der betreffende Teilnehmer oder die betreffende Person nicht bereits benachrichtigt wurde, kann die zuständige einzelstaatliche Behörde, nachdem sie die Art der Sicherheitsverletzung geprüft hat, den Anbieter von öffentlichen elektronischen Kommunikationsdiensten oder den Betreiber von Diensten der Informationsgesellschaft auffordern, dies zu tun.“ — Annahme einer neuen Bestimmung, die von den Einrichtungen verlangt, ein detailliertes und umfassendes Protokoll der internen Prüfung zu führen. Dies könnte durch die Annahme eines Textes mit folgendem Wortlaut erreicht werden: „Die Anbieter von öffentlichen elektronischen Kommunikationsdiensten und die Betreiber von Diensten der Informationsgesellschaft führen und bewahren umfassende Aufzeichnungen, in denen alle aufgetretenen Sicherheitsverletzungen, die diesbezüglichen relevanten technischen Informationen und die getroffenen Korrekturmaßnahmen ausführlich dargelegt sind. Die Aufzeichnungen müssen ferner einen Verweis auf alle Benachrichtigungen der betreffenden Teilnehmer oder der betreffenden Personen und der zuständigen nationalen Behörden, einschließlich ihres Datums und ihres Inhalts, enthalten. Diese Aufzeichnungen sind der zuständigen nationalen Behörde auf Anfrage vorzulegen.“ — Um eine einheitliche Umsetzung des Rahmens für Sicherheitsverletzungen zu gewährleisten, wird die Kommission ermächtigt, nach Konsultation des EDSB, der Datenschutzgruppe „Artikel 29“ und anderer einschlägiger Interessenträger technische Durchführungsmaßnahmen zu erlassen. — In Bezug auf die zu benachrichtigenden Personen ist die Begriffswahl der Kommission oder des EP — „betreffende Personen“ oder „betroffene Nutzer“zu verwenden, da diese alle Personen erfasst, deren personenbezogene Daten kompromittiert wurden.