Source: https://www.iitr.de/veroeffentlichungen-des-instituts-fuer-it-recht/datenschutz-informationspflichten-bei-datenpannen-nach-42a-bdsg.html
Timestamp: 2018-02-23 16:31:56
Document Index: 357449562

Matched Legal Cases: ['§ 3', '§ 42', '§ 121', '§ 42', '§ 93', '§ 42', '§ 3', '§ 3', '§ 15', '§ 14', '§ 83', '§ 67']

Die Informationspflicht greift zunächst nur bei dem Verlust als besonders schutzwürdig definierter Daten. Dies sind (a) die sog. sensiblen Daten nach § 3 Abs. 9 BDSG („Besondere Arten personenbezogener Daten sind Angaben über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben“), (b) personenbezogene Daten, welche einem Berufsgeheimnis unterliegen oder sich (c) auf strafbare Handlungen oder Ordnungswidrigkeiten oder den Verdacht auf strafbare Handlungen oder Ordnungswidrigkeiten beziehen sowie (d) personenbezogene Daten zu Bank- oder Kreditkartenkonten. Es spielt dabei keine Rolle, auf welche Weise Dritte Kenntnis erlangten, solange dies unrechtmäßig geschah, was der Fall ist, wenn die Betroffenen nicht zugestimmt haben und die Offenbarung weder durch Gesetz noch durch eine sonstige Rechtsvorschrift erlaubt ist. Neben der unrechtmäßigen Kenntniserlangung durch Dritte müssen auch noch schwerwiegende Beeinträchtigungen für die Rechte oder schutzwürdigen Interessen der Betroffenen drohen. Dies hängt von den Umständen des jeweiligen Einzelfalls ab. Wichtige Kriterien hierfür sind die Art der betroffenen Daten und die potenziellen Auswirkungen der Kenntniserlangung durch Dritte auf die Betroffenen (z. B. materielle Schäden bei Kreditkarteninformationen oder soziale Nachteile einschließlich des Identitätsbetrugs).
Das Unternehmen muss anhand von tatsächlichen Anhaltspunkten die Entscheidung treffen, ob ein meldepflichtiger Datenverlust eingetreten sein könnte. Eine sichere Feststellung ist nicht erforderlich. Ausreichend ist, wenn anhand von tatsächlichen Anhaltspunkten mit einer gewissen Wahrscheinlichkeit davon ausgegangen werden kann, dass die Daten unrechtmäßig in die Hände Dritter gelangt sein könnten. Die tatsächlichen Anhaltspunkte können z. B. aus dem eigenen Sicherheitsmanagement stammen oder auch von Hinweisen durch Strafverfolgungsbehörden oder Datenschutzbeauftragten herrühren.
Die Offenlegungspflicht gilt gegenüber der zuständigen Datenschutz-Aufsichtsbehörde und den Betroffenen. Information der Aufsichtsbehörden: Stellt eine von § 42a BDSG verpflichtete Stelle einen relevanten Datenverlust fest, dann hat sie dies der zuständigen Datenschutz-Aufsichtsbehörde unverzüglich (dies bedeutet „ohne schuldhaftes Zögern“, vgl. § 121 BGB) nach Bekanntwerden des Vorfalls mitzuteilen. Die Information der Betroffenen hat unverzüglich zu erfolgen, sobald angemessene Maßnahmen zur Sicherung der Daten ergriffen worden sind und/oder die Strafverfolgung nicht mehr gefährdet wird.
Der Gesetzgeber verankert die Informationspflicht nach § 42a BDSG auch mittelbar in anderen Gesetzen. Damit wird sukzessive der Rahmen der meldepflichtigen Vorfälle erweitert. § 93 Abs. 3 Telekommunikationsgesetz (TKG) verweist auf § 42a BDSG für den Fall, dass Bestands- und Verkehrsdaten (vgl. § 3 Nr. 3 und Nr. 30 TKG) unrechtmäßig zur Kenntnis Dritter gelangen. Adressat der Informationspflicht ist jeder Diensteanbieter (§ 3 Nr. 6 TKG). Entsprechendes gilt nach § 15a Telemediengesetz (TMG) für Bestands- und Nutzungsdaten nach §§ 14 und 15 TMG und im Sozialrecht gemäß § 83a Sozialgesetzbuch (SGB) X für Sozialdaten nach § 67 Abs. 12 SGB X.