Source: https://www.gesetze-im-internet.de/tkg_2021/__169.html
Legislation: tkg_2021

Title: § 169 Daten- und Informationssicherheit

Description:
Telekommunikationsgesetz (TKG 2021)
Teil 10 - Öffentliche Sicherheit und Notfallvorsorge
Abschnitt 1 - Öffentliche Sicherheit
§ 169 Daten- und Informationssicherheit

Paragraph: 169

Full Text:
Telekommunikationsgesetz (TKG 2021)
Teil 10 - Öffentliche Sicherheit und Notfallvorsorge
Abschnitt 1 - Öffentliche Sicherheit
§ 169 Daten- und Informationssicherheit

(1) Wer öffentlich zugängliche Telekommunikationsdienste erbringt, hat
im Falle einer Verletzung des Schutzes personenbezogener Daten
unverzüglich die Bundesnetzagentur und die Bundesbeauftragte oder den
Bundesbeauftragten für den Datenschutz und die Informationsfreiheit
von der Verletzung zu benachrichtigen. Ist anzunehmen, dass durch die
Verletzung des Schutzes personenbezogener Daten Endnutzer oder andere
Personen schwerwiegend in ihren Rechten oder schutzwürdigen Interessen
beeinträchtigt werden, hat der Anbieter des Telekommunikationsdienstes
zusätzlich die Betroffenen unverzüglich von dieser Verletzung zu
benachrichtigen. In Fällen, in denen in dem Sicherheitskonzept
nachgewiesen wurde, dass die von der Verletzung betroffenen
personenbezogenen Daten durch geeignete technische Vorkehrungen
gesichert, insbesondere unter Anwendung eines als sicher anerkannten
Verschlüsselungsverfahrens gespeichert wurden, ist eine
Benachrichtigung nicht erforderlich. Unabhängig von Satz 3 kann die
Bundesnetzagentur den Anbieter des Telekommunikationsdienstes unter
Berücksichtigung der wahrscheinlichen nachteiligen Auswirkungen der
Verletzung des Schutzes personenbezogener Daten zu einer
Benachrichtigung der Betroffenen verpflichten. Im Übrigen gelten § 42
Absatz 4 und § 43 Absatz 4 des Bundesdatenschutzgesetzes entsprechend.

(2) Die Benachrichtigung nach Absatz 1 Satz 1 und 2 muss mindestens
enthalten:

1.  die Art der Verletzung des Schutzes personenbezogener Daten,

2.  Angaben zu den Kontaktstellen, bei denen weitere Informationen
    erhältlich sind, und

3.  Empfehlungen zu Maßnahmen, die mögliche nachteilige Auswirkungen der
    Verletzung des Schutzes personenbezogener Daten begrenzen.

In der Benachrichtigung an die Bundesnetzagentur und die
Bundesbeauftragte oder den Bundesbeauftragten für den Datenschutz und
die Informationsfreiheit hat der Anbieter des
Telekommunikationsdienstes zusätzlich die Folgen der Verletzung des
Schutzes personenbezogener Daten und die beabsichtigten oder
ergriffenen Maßnahmen darzulegen.

(3) Die Anbieter der Telekommunikationsdienste haben ein Verzeichnis
der Verletzungen des Schutzes personenbezogener Daten zu führen, das
Angaben zu Folgendem enthält:

1.  den Umständen der Verletzungen,

2.  den Auswirkungen der Verletzungen und

3.  den ergriffenen Abhilfemaßnahmen.

Diese Angaben müssen ausreichend sein, um der Bundesnetzagentur und
der oder dem Bundesbeauftragten für den Datenschutz und die
Informationsfreiheit die Prüfung zu ermöglichen, ob die Absätze 1 und
2 eingehalten wurden. Das Verzeichnis enthält nur die zu diesem Zweck
erforderlichen Informationen und muss nicht Verletzungen
berücksichtigen, die mehr als fünf Jahre zurückliegen.

(4) Werden dem Anbieter des Telekommunikationsdienstes nach Absatz 1
Satz 1 Störungen bekannt, die von Datenverarbeitungssystemen der
Nutzer ausgehen, so hat er die Nutzer, soweit ihm diese bereits
bekannt sind, unverzüglich darüber zu benachrichtigen. Soweit
technisch möglich und zumutbar, hat er die Nutzer auf angemessene,
wirksame und zugängliche technische Mittel hinzuweisen, mit denen sie
diese Störungen erkennen und beseitigen können. Der Anbieter des
Telekommunikationsdienstes darf die Teile des Datenverkehrs von und zu
einem Nutzer, von denen eine Störung ausgeht, umleiten, soweit dies
erforderlich ist, um den Nutzer über die Störungen benachrichtigen zu
können.

(5) Wird der Anbieter des Telekommunikationsdienstes nach Absatz 1
Satz 1 vom Bundesamt für Sicherheit in der Informationstechnik über
konkrete erhebliche Gefahren informiert, die von
Datenverarbeitungssystemen der Nutzer ausgehen oder diese betreffen,
so hat er die betroffenen Nutzer, soweit ihm diese bekannt sind,
unverzüglich darüber zu benachrichtigen. Soweit technisch möglich und
zumutbar, hat er die Nutzer auf angemessene, wirksame und zugängliche
technische Mittel hinzuweisen, mit denen sie diese Gefahren erkennen
und ihnen vorbeugen können. Werden dem Anbieter des
Telekommunikationsdienstes nach Absatz 1 Satz 1 Gefahren bekannt, die
von Datenverarbeitungssystemen der Nutzer ausgehen oder diese
betreffen, so kann er die Nutzer, soweit ihm diese bekannt sind,
darüber benachrichtigen. Soweit technisch möglich und zumutbar, kann
er die Nutzer auf angemessene, wirksame und zugängliche technische
Mittel hinweisen, mit denen sie diese Gefahren erkennen und ihnen
vorbeugen können.

(6) Der Anbieter des Telekommunikationsdienstes darf im Falle einer
Störung die Nutzung des Telekommunikationsdienstes bis zur Beendigung
der Störung einschränken, umleiten oder unterbinden, soweit dies
erforderlich ist, um die Beeinträchtigung der Telekommunikations- und
Datenverarbeitungssysteme des Anbieters des
Telekommunikationsdienstes, eines Nutzers im Sinne des Absatzes 4 oder
anderer Nutzer zu beseitigen oder zu verhindern und der Nutzer die
Störung nicht unverzüglich selbst beseitigt oder zu erwarten ist, dass
der Nutzer die Störung selbst nicht unverzüglich beseitigt.

(7) Der Anbieter des Telekommunikationsdienstes darf den Datenverkehr
von und zu Störungsquellen einschränken, umleiten oder unterbinden,
soweit dies zur Vermeidung von Störungen in den Telekommunikations-
und Datenverarbeitungssystemen der Nutzer erforderlich ist.

(8) Vorbehaltlich technischer Durchführungsmaßnahmen der Kommission
nach Artikel 4 Absatz 5 der Richtlinie 2002/58/EG des Europäischen
Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung
personenbezogener Daten und den Schutz der Privatsphäre in der
elektronischen Kommunikation (Datenschutzrichtlinie für elektronische
Kommunikation) (ABl. L 201 vom 31.7.2002, S. 37; L 241 vom 10.9.2013,
S. 9; L 162 vom 23.6.2017, S. 56), die zuletzt durch die Richtlinie
2009/136/EG (ABl. L 337 vom 18.12.2009, S. 11) geändert worden ist,
kann die Bundesnetzagentur Leitlinien vorgeben bezüglich des Formats,
der Verfahrensweise und der Umstände, unter denen eine
Benachrichtigung über eine Verletzung des Schutzes personenbezogener
Daten erforderlich ist.

Collections: bundestag_gesetze
TKG-2021
Level: 4.0