Source: https://www.haufe.de/compliance/management-praxis/it-sicherheit-meldepflicht-der-unternehmen-bei-datenpannen_230130_403020.html
Timestamp: 2020-04-08 03:32:43+00:00

Document:
Datenschutz: Meldepflicht der Unternehmen bei Datenpannen | Compliance | Haufe
News 08.03.2017 Datenschutz
Bild: Corbis Wo sind all die Daten hin? Wo sind sie geblieben?
Verdreifachtes gemeldetes Volumen: Deutlich mehr Unternehmen als in den Vorjahren haben 2016 etwa bei der bayerischen Datenschutzbehörde Datenpannen gemeldet. Laut Tätigkeitsbericht des Landesamts, stieg die Zahl der angezeigten Vorfälle um das Dreifache. Dabei gehen Datenschützern davon aus, dass trotz eklatanter Zunahme weiter nur ein Bruchteil aller meldepflichtigen Vorfälle tatsächlich auch bekannt wird.
Schwerwiegendere Datenpannen müssen schon seit einigen Jahren nach § 42 a des Bundesdatenschutzgesetzes sowie § 15a des Telemediengesetzes den zuständigen Aufsichtsbehörden gemeldet werden.
Viele Unternehmen ignorieren die Daten-Pannen-Meldepflicht
Bislang hielten / halten (?) sich nur vergleichsweise wenige Unternehmen an diese Auflage, trotzdem steigen die Werte jetzt rasant
Im aktuellen Tätigkeitsbericht des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA) hat sich die Zahl der gemeldeten Pannen 2016 im Vergleich zu den Vorjahren drastisch erhöht. Wurden 2014 gerade einmal 21 und 2015 lediglich 28 solcher Vorfälle gemeldet, waren es im letzten Jahr bereits 85.
Bewusstsein für Meldepflicht steigt langsam
Der Chef des BayLDA, Thomas Kranig, zeigte sich überrascht über den deutlichen Anstieg und führte die Entwicklung auch auf ein gestiegenes Bewusstsein für die Meldepflicht zurück. Zugleich wies er darauf hin, dass auch diese Zahl wohl nur die Spitze eines großen Eisbergs darstelle.
Die allermeisten #Datenpannen werden pflichtwidrig immer noch nicht den Aufsichtsbehörden #gemeldet.
Aufsichtsbehörden hören über Presseberichte von den Pannen
So sei die Behörde in vielen Fällen erst nachträglich durch Presseberichte auf solche Pannen aufmerksam geworden und die betroffenen Unternehmen hätten sich in diesen Fällen entweder durch abenteuerliche Begründungen herausgeredet oder erklärt, dass sie von der Meldepflicht nichts gewusst hätten.
In einigen Fällen wurden Datendiebstähle auch durch aufmerksame Bürger gemeldet, die etwa verdächtige Aktivitäten auf E-Mail-Konten festgestellt hatten.
Viele Hackerangriffe
Besonders oft kam es zu Datendiebstählen durch kriminelles Hacking. Neben großen Internet-Konzernen standen dabei auch kleinere Unternehmen oder Privatpersonen im Visier der Angreifer, die hier oftmals Datensätze mit E-Mail-Adressen, Passwörtern und häufig auch weitere persönliche Daten erbeuten konnten, die anschließend im Darknet weiterverkauft wurden.
Nutzer nur unzureichend und verspätet informiert
Kranig kritisierte die von den Datenpannen betroffenen Unternehmen auch wegen der Nachbereitung der Pannen.
Sie hätten ihre Kunden häufig nur unzureichend und erst mit teilweise jahrelanger Verspätung über die Datendiebstähle und die damit verbundenen Missbrauchsmöglichkeiten informiert.
Meldepflicht wird mit Datenschutzreform ausgeweitet
Bisher müssen Datenschutzpannen nur dann gemeldet werden, wenn vergleichsweise sensible Daten entwendet wurden und den Betroffenen schwerwiegende Beeinträchtigungen drohen.
Mit der Umsetzung der europäischen Datenschutzgrundverordnung im nächsten Jahr wird Meldepflicht deutlich strenger, denn die Schwelle für die Notwendigkeit einer Meldung wird herabgesetzt.
Dann reicht bereits ein einfaches Risiko für die Betroffenen aus, damit eine Panne unter die Meldepflicht fällt.
Bei den Datenschutzbehörden rechnet man auch deshalb mit einem deutlichen Anstieg des Arbeitsaufwands im nächsten Jahr, der nur durch eine erhebliche Aufstockung der Mitarbeiteranzahl bewältigt werden könne.
Hintergrund: Unterrichtung von Kunden bei besonders sensiblen Daten
Aktuell müssen alle betroffenen Kunden über die Vorfälle informiert werden, wenn finanzielle Informationen wie
Kontodaten, aber auch
E-Mail-Daten,
Webbrowser-Verläufe oder
Internet-Protokolldateien
in fremde Hände gelangt sein können. Ebenso sind die Nutzer zu informieren, wenn zu befürchten ist, dass konkrete Gefährdungen wie etwa physische oder psychische Beeinträchtigungen drohen.
Mit § 42a BDSG, § 15a TMG und § 93 Abs. 3 TKG hat der Gesetzgeber datenschutzrechtliche Informationspflichten im Fall einer Datenpanne gegenüber der jeweils zuständigen Aufsichtsbehörde und den Betroffenen geregelt.
Diese Regelungen sind an die in den USA bestehenden Vorschriften zur "Data Breach Notification" und an EU-Richtlinien angelehnt.
Die Meldepflicht soll greifen, wenn Dritte von bestimmten personenbezogenen Daten unberechtigt Kenntnis erlangen, unter anderem Daten zu Bank- und Kreditkartenkonten, für Daten, die einem Berufsgeheimnis unterliegen, für besondere Arten personenbezogener Daten (§ 3 Abs. 9 BDSG) und für Daten über Straftaten und Ordnungswidrigkeiten.
Schlagworte zum Thema: Cyberkriminalität, Datenmanagement, IT-Sicherheit
Datenschutz: Eine Datenpanne melden
Eine Datenpanne passiert schneller, als man denkt und kann schwerwiegende Konsequenzen mit sich führen. Deshalb ist es für Unternehmen wichtig zu wissen, wie sie sich bei einer Datenpanne zu verhalten haben.
Download zur Datenpannen-Meldepflicht : Zahl der gemeldeten Datenpannen stieg nach DSGVO-Start sehr stark an
Meldepflicht bei Datenpannen: Google stellt Google+ ein: Datenschutz-Ermittlungen wegen spät gemeldeter Datenpanne
Mit dem 2011 gestarteten Google+ wollte Google eine ernsthafte Konkurrenz zu Facebook aufbauen, konnte dieses Netzwerk jedoch trotz aller Anstrengungen nie wirklich etablieren. Man entschied sich nun, Google+ einzustellen und musste nebenbei noch ein erhebliches Datenleck eingestehen, durch das persönliche Daten abgegriffen werden konnten. Weil das erst mit Verspätung geschah, ermittelt jetzt der Hamburger Datenschutzbeauftragte.
Informationspflicht (§ 42a BDSG) (bis 24.05.2018)
Zusammenfassung Begriff Im Fall einer größeren Datenpanne müssen die Betroffenen und die Datenschutz-Aufsichtsbehörde nach § 42a BDSG informiert werden. Der Paragraf wurde nach den diversen Datenschutzskandalen, zum Beispiel bei Deutscher Bahn und Deutscher ...

References: § 42
 § 15
 § 42
 § 15
 § 93
 § 42