Source: https://www.compliance-net.de/content/compliance-management-eine-standortbestimmung
Timestamp: 2020-06-05 12:19:12
Document Index: 25686982

Matched Legal Cases: ['§ 831', '§823', '§ 130', 'Art. 28', 'Art. 4', '§42', '§2', '§27', '§3', 'Art. 33', 'Art. 34', 'Art. 34', 'Art. 34', 'Art. 34', 'Art. 33', 'Art. 33', 'Art. 34', 'Art. 83', 'Art. 82', 'Art. 83', 'Art. 33', 'Art. 33']

compliance-net | Compliance Management - Eine Standortbestimmung
StartseiteCompliance Management - Eine Standortbestimmung
Das Modell basiert vor allem auf der Idee, drei zusammenhängende „Verteidigungslinien“ in einem Unternehmen zu etablieren, um Risiken, die auf das Unternehmen bzw. dessen Organisation einwirken können frühzeitig zu erkennen, zu erfassen, zu analysieren und zu bewerten sowie in der Organisation zu kommunizieren. In den unterschiedlichen „Verteidigungslinien“ kommen unterschiedlichen Funktionsgruppen entsprechende Aufgabenstellungen zu.
Die dritte Verteidigungslinie (Third Line of Defense) wird durch unabhängige Dritte (u.a. (Interne) Revision, Wirtschaftsprüfer, Aufsichtsorgane etc.) gebildet, die das Risikomanagement eines Unternehmens überwachen (vgl. u.a. IDW PS 340). Hierbei werden u.a. die Prozesse, Dokumente und Nachweise zur Umsetzung und Einhaltung des internen Kontrollsystems unabhängig und objektiv betrachtet und in ihrer Effizienz und Effektivität bewertet. Durch das Reporting an die Geschäftsführung / den Vorstand bzw. den Beirat oder Aufsichtsrat eines Unternehmens werden diese Unternehmensgremien im Schutz (u.a. Reputation Vermögen, Integrität, Einhaltung Regulatorik) des Unternehmens unterstützt.
Die zweite Verteidigungslinie (Second Line of Defense) wird von der dritten Verteidigungs­linie miteingeschlossen, bildet in diesem Modell eine Unter­stützungs­funktion der nachfolgend skizierten ersten Linie und liegt im gehobenen Management eines Unternehmens. Die Unterstützung wird der ersten Line durch die Verfassung von Richtlinien und Arbeitsanweisungen zuteil. Die Aufgabe der zweiten Verteidigungslinie umfasst hierbei nicht nur die Formulierung von Richtlinien und Arbeitsanweisungen und das entgegennehmen von entsprechenden Reports aus der ersten und dritten Verteidigungslinie, sondern auch das aktive Risikomanagement sowie auch die Überwachung der Umsetzung und Einhaltung der Richtlinien und Arbeitsanweisungen. D.h. auf dieser Ebene sind Personen tätig, die Verantwortlich für die Einrichtung und Umsetzung entsprechender Maßnahmen und Prozesse sind, die in der ersten Verteidigungsebene durchgeführt werden.
Die erste Verteidigungslinie liegt im operativen Management. Hier werden anhand der durch die zweite Verteidigungslinie vorgegebenen Durchführungs- und Kontrollrichtlinien die Umsetzung der Arbeitspakete durchgeführt. D.h. die Durchführungsverantwortlichen haben dafür Sorge zu tragen, dass im Rahmen des Alltagsgeschäftes die risikominimierenden Maßnahmen eingehalten bzw. operativ Umgesetzt werden und dies durch entsprechende Dokumentation gegenüber Dritten festgehalten wird. Unternehmensprozesse werden gleichwohl auch auf Effizienz und Effektivität sowie (Risiko-)Resilienz fortlaufend bewertet. Risiken die noch nicht berücksichtigt sind, werden an die 2. Verteidigungslinie übergeben, um hier geeignete Verteidigungsmaßnahmen festzulegen, zu kommunizieren und über die angepassten Richtlinien wieder an das operative Management zurückzugeben. Gleichzeitig wird durch die zweite Verteidigungsebene das Risikoportfolio entsprechend für das Unternehmen angepasst.
Um die Überwachungsfunktion in der ersten und vor allem der zweiten Verteidigungslinie unterstützen zu können, haben wir zu verschiedenen Themen des Compliance Management-Systems so genannte „Module zur Standortbestimmung“ entwickelt.
Diese Module basieren auf Branchen- bzw. branchenübergreifenden Standards mittels derer sich sowohl das Management der zweiten als auch der ersten Verteidigungsebene in die Lage versetzen kann, sich gegenüber Dritten, in den jeweiligen Themenkomplexen, zu exkulpieren (vgl.§ 831 BGB). Auf diese Weise könnten die Managementebenen dazu beitragen, einem entsprechendem „Organisationsverschulden“ des Managements (vgl. u.a. §823 Abs. 1 BGB, § 130 OwiG) entgegenzuwirken.
Nähere Informationen zu den derzeit bestehenden „Modulen zur Standortbestimmungen“ können über die nachfolgenden Steckbriefe eingeholt werden. Die Module basieren auf einer MS-EXCEL-Datei, damit möglichst viele Unternehmen diese direkt nutzen können, ohne Softwareplattformen oder andere Individualsoftware anschaffen zu müssen.
Wir berechnen für die Bereitstellung eines entsprechenden, themenbezogenen Moduls eine Schutzgebühr von 259,- EUR inkl. MwSt. Der Prozess ist am Ende der Steckbriefe beschrieben:
B3S – Krankenhäuser
B3S – Pharma
Alle Bilder: Eigenkreationen
Die DSGVO ist seit fast zwei Jahren in Kraft. Auch wenn sie nach zwei Jahren Übergangszeit damals für viele Unternehmen überraschend kam, haben die meisten in einer Nacht- und Nebelaktion schnell ihre Webseite an DSGVO angepasst. Schließlich ist die Webseite ja nach außen sichtbar und da will niemand schlecht aussehen.Also: Schnell eine Datenschutzerklärung erstellt (oder auch zusammenkopiert….) und live gestellt, Cookie-Banner dazu und bei Google Analytics die Anonymisierung eingeschaltet. Und dann?War es das?Kann sein. Kommt aber drauf an! Insbesondere die aktuelle Rechtsprechung und gestiegene Erfahrungen geben Anlaß, noch ein Mal über die compliance der eigenen Webseite nachzudenken und insbesondere auch technisch sicherzustellen, dass sie den Anforderungen und Vorschriften genügt. Es hat sich einiges getan. Grund genug, das Thema noch ein Mal aufzugreifen.Der Reihe nach:Website ComplianceUnter Website Compliance verstehen wir die Einhaltung der einschlägigen Vorschriften für eine bestimmte Webseite. Dies impliziert es schon: Dies ist eine individuelle Betrachtung und hängt ganz wesentlich von den Funktionen einer Webseite und den genutzten technischen Mitteln ab.In Frage kommen als mögliche Vorschriften nicht nur die aktuell viel zitierte DSGVO, sondern weitere Vorschriften, wie das Telemediengesetz, das Urheberrecht, das Wettbewerbsrecht, möglicherweise branchenspezifische Regelungen, Verbraucherschutzregelungen, etc.Da wird es dann komplexer und erfordert eine individuelle Betrachtung.DatenschutzFokussieren wir auf ausgewählte Fragestellungen zum Datenschutz:Ist eigentlich klar, wer für die Webseite die verantwortliche Stelle (im Sinne der DSGVO) ist? Normalerweise ist dies im Impressum klar benannt. Aber bei komplexen Internetauftritten internationaler Unternehmen ist dies oft nicht mehr so klar.Entsprechen die Angaben der Datenschutzerklärung tatsächlich den technischen Gegebenheiten?Das ist ja nicht ganz unwichtig: Wenn die Datenschutzerklärung erläutert, dass der Server die IP-Adresse für alle möglichen Zwecke benötigt und dann 30 Tage Aufbewahrungsfrist enthält, dann sollte das auch in der Technik so eingestellt sein. Ob das auch so ist, kann nur mit technischem Sachverstand und Zugriff zu den entsprechenden Servereinstellungen mit Sicherheit festgestellt werden. In der Praxis erfolgt die Aufbewahrung oft durch die Grundeinstellungen viele Jahre lang ohne erkennbaren Nutzen.Wenn Sie bestimmte Dienste nutzen und diese in der Datenschutzerklärung enthalten sind, entstehen eine Reihe Komplexitäten: Haben Sie mit den Anbietern Verträge abgeschlossen (im Normalfall die „Auftragsverarbeitung“ nach Art. 28 der DSGVO)?Haben Sie tatsächlich ALLE Dienste erfasst, die Ihre Webseite nutzt? Hier gibt es oft große Überraschungen, welche Dienste Webdesigner routinemäßig einbinden, deren Relevanz für die Einhaltung der Datenschutzvorschriften aber völlig unbekannt ist oder aber ignoriert wird.Nutzen Sie Videos auf Ihrer Webseite? Wenn beispielsweise auf Youtube gespeicherte Videos mit dem von Youtube bereitgestellten Code auf Ihrer Webseite eingebunden werden, übermitteln Sie Daten des Benutzers an Google. Das ist kaum bekannt. Ist dies in Ihrer Datenschutzerklärung wiedergegeben?Bietet Ihre Webseite ein Kontaktformular an? Wenn ja, erfolgt die Übermittlung verschlüsselt? Werden nur wirklich notwendige Daten als Pflichtfelder abgefragt? Was passiert mit den übermittelten Daten? Muss der Nutzer seine Zustimmung zur Datenverarbeitung per Klick/Haken erteilen? Dann sollte das entfernt werden!Verarbeiten Sie Gesundheitsdaten Ihrer Nutzer (besondere Kategorien personenbezogener Daten)? Das sind dann schon solche einfachen Dinge wie Ausschlüsse bestimmter Lebensmittel wegen Unverträglichkeiten, wenn Sie Veranstaltungen organisieren. Hierfür gelten ergänzende Vorschriften.Kann man sich auf Ihrer Webseite registrieren? Wenn ja, mit welchen Daten, für welchen Zweck? Ist die Zweckbindung sichergestellt (also werden die Daten nur für den ursprünglichen Zweck genutzt)? Erfolgt die Registrierung in Übereinstimmung mit der aktuellen Rechtslage? Wie erfolgt die weitere Verarbeitung der personenbezogenen Daten? Werden diese in internen Systemen weiterverarbeitet? Wie werden diese geschützt? Gibt es Aufbewahrungs- und Löschkonzepte? Hier erfordert eine Webseitenfunktionalität möglicherweise direkt Maßnahmen in der Unternehmensorganisation, um gesetzliche Vorschriften einzuhalten. Und: Ist das alles sachgerecht in der Datenschutzerklärung erfasst?Haben Sie Bilder oder andere personenbezogene Daten Ihrer Mitarbeiter auf der Internetseite (das macht sie ja ein bisschen persönlicher)? Dann müssen zumindest in Zukunft Regelungen hierfür getroffen werden, denn dies betrifft die Rechte der Personen unmittelbar. Zu bedenken ist: Erteilte Einwilligungen können widerrufen werden. Darauf muss man vorbereitet sein.Impressum, Quellenangaben, User-InteraktionEntspricht das Impressum den Anforderungen (einschließlich branchenspezifischer Pflichtangaben)? Hier werden immer noch Fehler begangen, auch wenn die Vorschrift hierfür schon einige Jahre alt ist.Ist fremdes Bildmaterial korrekt mit Quellenangaben gekennzeichnet? Hier bestehen Vorschriften, die teilweise von den Bildagenturen ergänzt bzw. konkretisiert werden. Eine Nicht-Einhaltung kann zu kostenpflichtigen Forderungen der Rechteinhaber führen.Können Benutzer bei Ihnen Inhalte erstellen? Hierzu zählen auch Kommentare, Foreneinträge oder ganze Beiträge? Für diese ist der Seitenbetreiber zumindest teilweise verantwortlich. Welche Prozesse bestehen hierfür, wie wird dies reglementiert?FazitDie dargestellte Abhandlung zeigt, dass Website Compliance ein vielschichtiges Thema ist, das die Kombination von technischen Kenntnissen und der Kenntnis der gültigen Vorschriften erfordert. Abhängig vom Funktionsumfang einer Webseite ist auch die Identifikation der anwendbaren Vorschriften wichtig.Die Umsetzung der Anforderungen der DSGVO sind ein guter Anlass, eine umfassende und intensive Prüfung von Internetauftritten vorzunehmen, ob die Technik, die Vorschriften und die abgegebenen Erklärungen tatsächlich im Einklang stehen.Schauen Sie gern auch hier!
Die Erfüllung der EU-DSGVO erfordert, dass bei der Verarbeitung personenbezogener Daten durch einen Auftragnehmer zwischen Auftraggeber und Auftragnehmer ein diesbezüglicher Vertrag abgeschlossen wird. Die Regelungen hierfür finden sich in Artikel 28 der EU DSGVO.Da dieses Thema derzeit von vielen Unternehmen bearbeitet wird, werden solche Verträge in großer Zahl zwischen Unternehmen ausgetauscht, teilweise wechselseitig. Um nun zu prüfen, ob ein Vertrag die Anforderungen des Gesetzes erfüllt und ggf. auch eigenen Anforderungen (wie beispielsweise an die Technischen und Organisatorischen Maßnahmen) gerecht wird, empfiehlt sich der Einsatz einer Checkliste, die vor Unterzeichnung bearbeitet wird.Eine solche Checkliste haben wir erstellt und nutzen diese in der Praxis. Ohne Übernahme einer Gewähr und zur Nutzung auf eigene Verantwortung stellen wir diese hier gern zum Download zur Verfügung.Bei Fragen zum Thema sprechen Sie uns gern an!
Nach Informationen der Landesdatenschutzbehörden nahm die Zahl der gemeldeten Datenschutzverstöße in der Zeit ab 25.05.2018 enorm zu – aber nur ein Teil dieser gemeldeten Verstöße sind auch tatsächlich Datenschutzverstöße im Sinne der DSGVO.Nach Auskunft der Landesbeauftragten für den Datenschutz Niedersachsen wurden 2017 insgesamt 20 Datenschutzverstöße gemeldet. In der Zeit vom 25.05.2018 bis 07.08.2018 stieg diese Zahl gewaltig an. Es gingen in diesem kurzen Zeitraum bereits 126 Meldungen bei der Datenschutzbehörde ein.Dieser Artikel beschäftigt sich vor diesem Hintergrund mit der Frage, was eigentlich Datenpannen sind und wie ein Unternehmen darauf reagieren sollte.Was ist eine Datenpanne?Per Begriffsbestimmung ist gemäß Art. 4 Nr. 12 DSGVO eine Datenpanne eine Verletzung des Schutzes personenbezogener Daten, diezur Vernichtung (Daten existieren nicht mehr),zum Verlust (Kontroll-oder Zugangsverlust),zur Veränderung (Beschädigung, Unvollständigkeit),zur unbefugten Offenlegung beziehungsweise zum unbefugten Zugangdieser personenbezogenen Daten führt, nachdem sie übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.Eine Datenpanne liegt also zum Beispiel vor, wenn Kundendaten gestohlen wurden oder Daten innerhalb gesetzlicher Aufbewahrungsfristen gelöscht wurden. Was ist im Fall einer Datenpanne zu tun?1) Artikel 33 Abs. 1 DSGVO regelt die „Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde“. Hiernach hat der Verantwortliche unverzüglich, möglichst binnen 72 Stunden, nach Bekanntwerden der Panne diese an die zuständige Aufsichtsbehörde zu melden.2) Ausnahme: Die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Es muss also immer eine Risikoeinschätzung vorgenommen werden, ob die Gefahr der Verletzung von Grundrechten bzw. Grundfreiheiten möglich erscheint.3) Erfolgt die Meldung an die Aufsichtsbehörde nicht binnen 72 Stunden, muss die Verzögerung begründet werden. Warum muss ich eine Datenpanne melden?Eine Verletzung des Schutzes personenbezogener Daten kann — wenn nicht rechtzeitig und angemessen reagiert wird — einenphysischen,materiellen oderimmateriellenSchaden für natürliche Personen nach sich ziehen (vgl. Erwägungsgrund 85 DSGVO). Beispiele für mögliche Schäden: Diskriminierung, Identitätsdiebstahl, finanzielle Verluste, unbefugte Aufhebung der Pseudonymisierung, Rufschädigung etc. Bisheriges Recht (BDSG-alt)Meldepflicht nach §42a BDSG-alt:Stellt eine nichtöffentliche Stelle im Sinne des §2 Absatz 4 oder eine öffentliche Stelle nach §27 Absatz 1 Satz 1 Nummer 2 fest, dass bei ihr gespeicherte sensible Daten, dazu zählen1. besondere Arten personenbezogener Daten (§3 Absatz 9),2. personenbezogene Daten, die einem Berufsgeheimnis unterliegen,3. personenbezogene Daten, die sich auf strafbare Handlungen oder Ordnungswidrigkeiten oder den Verdacht strafbarer Handlungen oder Ordnungswidrigkeiten beziehen, oder4. personenbezogene Daten zu Bank-oder Kreditkartenkontenunrechtmäßig übermittelt wurden oder auf sonstige Weise Dritten unrechtmäßig zur Kenntnis gelangt sind, und drohen schwerwiegende Beeinträchtigungen für die Rechte oder schutzwürdigen Interessen der Betroffenen, hat sie dies nach den Sätzen 2 bis 5 unverzüglich der zuständigen Aufsichtsbehörde sowie den Betroffenen mitzuteilen. Was ist neu ab 25.05.2018?Meldung aller Datenschutzverstöße, nicht mehr nur bei „sensiblen“ DatenJegliches Risiko für eine natürliche Person reicht für Meldepflicht aus.Meldepflicht auch bei versehentlicher Löschung oder Vernichtung von Daten Risikobasierter AnsatzDas Kurzpapier Nr. 18 der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz – DSK) hat zum Ziel, das Risiko im Kontext der DSGVO zu definieren und aufzuzeigen, wie Risiken für die Rechte und Freiheiten natürlicher Personen bestimmt und in Bezug auf ihre Rechtsfolgen bewertet werden können. Risiken im Sinne der DSGVOEin Risiko im Sinne der DSGVO ist das Bestehen der Möglichkeit des Eintritts eines Ereignisses, dasselbst einen Schaden für eine natürliche Person darstellt oderzu einem weiteren Schaden für eine oder mehrere natürliche Personen führenkann.Es hat zwei Dimensionen: erstens die Schwere des Schadens und zweitens dieWahrscheinlichkeit, dass das Ereignis und die Folgeschäden eintreten.Hieraus folgt, dass bei einer negativen Risikoprognose die Meldepflicht entfällt!Für jeden möglichen Schaden werden die Eintrittswahrscheinlichkeit und Schwere abgeschätzt. Diese lassen sich nur in ganz wenigen Ausnahmefällen mathematisch fassen.Eine Risikobewertung sollte in Anwendung des Kurzpapiers Nr. 18 nach folgendem Schema erfolgen:Inhalt der MeldepflichtDie Meldung an die zuständige Aufsichtsbehörde muss nach Art. 33 Abs. 3 DSGVO zumindest folgende Informationen enthalten:a) eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;b) den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen;c) eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;d) eine Beschreibung der von dem Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen. Benachrichtigung betroffener Personen – wann ist zu benachrichtigen?Hat die Datenschutzverletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten der betroffenen Person zur Folge, hat der Verantwortliche den Verstoß nicht nur der zuständigen Aufsichtsbehörde zu melden, sondern muss darüber hinaus die betroffene Person unverzüglich benachrichtigen (vgl. Art. 34 Abs. 1 DSGVO).Hieraus folgt, dass eine Benachrichtigungspflicht nur bei positiver Risikoprognose besteht. Wegfall der Benachrichtigungspflicht – welche Bedingungen gibt es?Eine Benachrichtigung des Betroffenen kann unterbleiben, wenn insbesondere durch bereits vor der Datenpanne ergriffene technische und organisatorische Maßnahmen eine unbefugte Kenntnisnahme der Daten durch Dritte ausgeschlossen werden kann (vgl. Art. 34 Abs. 3 Buchst. a DSGVO).Beispiel: Ein Datenträger mit hierauf gespeicherten personenbezogenen Daten geht verloren, die personenbezogenen Daten sind aber ausreichend verschlüsselt. Der Finder kann die gespeicherten personenbezogenen Daten nicht auslesen.Eine Benachrichtigung des Betroffenen ist auch dann nicht erforderlich, wenn durch nach der Datenpanne ergriffene Maßnahmen das „hohe Risiko für die Rechte und Freiheiten der betroffenen Personen“ nicht mehr besteht (vgl. Art. 34 Abs. 3 Buchst. b DSGVO).Ferner kann die Benachrichtigung unterbleiben, wenn diese mit einem unverhältnismäßigen Aufwand verbunden wäre. In diesem Fall hat stattdessen eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme zu erfolgen, durch die die betroffenen Personen vergleichbar wirksam informiert werden (vgl. Art. 34 Abs. 3 Buchst. c DSGVO).Zu beachten ist allerdings, dass, auch wenn der Betroffene aus o.g. Gründen nicht zu benachrichtigen ist, eine Meldepflicht gegenüber der Datenschutzaufsichtsbehörde nach Art. 33 DSGVO nach wie vor besteht. Dokumentationspflichten nach Art. 33 Abs.5 DSGVOKommt man zu dem Ergebnis, dass bei einer Verletzung des Schutzes personenbezogener Daten kein Risiko besteht, dann ist der zugrundliegende Vorgang und die datenschutzrechtliche Beurteilung inklusive der Risikobeurteilung vollständig zu dokumentieren.Auch bei einer negativen Meldepflicht ist eine vollständige Dokumentation notwendig. Nur so kann eine Aufsichtsbehörde im Bedarfsfall nachvollziehen, auf welcher Grundlage die Entscheidung getroffen wurde. Meldung von DatenschutzverletzungenAuf den Internetportalen der jeweiligen Landesdatenschutzbehörden stehen Onlineformulare zur Meldung von Datenschutzverstößen zur Verfügung.Beispiel – Landesdatenschutzbehörde Niedersachsen: https://www.lfd.niedersachsen.de/startseite/fortbildung_service/formulare_und_hinweise/uebersicht_meldungen/ Folgen bei unterlassener MeldungDie Aufsichtsbehörde kann bei einem Verstoß gegen Art. 34 DSGVO gegen den Verantwortlichen eine Geldbuße verhängen.Sanktionsrahmen alt: bis zu 300.000 € Sanktionsrahmen neu: bis zu 10 Mio. € oder 2 % des weltweiten JahresumsatzesCompliance allgemeinbis zu 20 Mio. € oder 4 % des weltweiten JahresumsatzesVerstoß Betroffenenrechte Konsequenzen bei DatenschutzverletzungenNach Erwägungsgrund 87 DSGVO kann die Meldung einer Datenschutzverletzung zum Tätigwerden der Aufsichtsbehörde im Einklang mit ihren in der DSGVO festgelegten Aufgaben und Befugnissen führen.Die durch die Aufsichtsbehörden verhängten Geldbußen sollen wirksam, verhältnismäßig, abschreckend sein (vgl. Art. 83 Abs. 1 DSGVO). Unabhängig davon regelt Art. 82 DSGVO die Schadenersatzansprüche der Betroffenen. Nach Art. 83 Abs. 4 lit. a DSGVO kann der Verstoß gegen die Meldepflicht (Art. 33 Abs. 1 DSGVO) oder Dokumentationspflicht (Art. 33 Abs. 5 DSGVO) zu Sanktionen führen. Die Folgen sind Geldbußen bis zu 10.000.000 € oder im Fall eines Unternehmens 2 % des gesamten weltweit erzielten Jahresumsatzes. Fazit: Datenpannen müssen ernst genommen werden!Die dargestellte Abhandlung zeigt, dass Datenpannen ein vielschichtiges Thema bilden und mit weitreichenden finanziellen Konsequenzen verbunden sein können. Eine Risikobewertung mit ausführlicher Dokumentation einer möglichen Datenpanne schützt vor eventuellen Geldbußen, erspart aber auch ggf. unnötige Meldungen an die Datenschutzbehörden.