Nach der Datenschutz-Grundverordnung sind die für Datenverarbeitung Verantwortlichen (die „Datenschutzbeauftragten“) eines Unternehmens verpflichtet, bei einer wie auch immer zustande kommenden Panne – bei der personenbezogene Daten im Spiel sind – die zuständige Datenschutzbehörde zu informieren. Dabei stellt sich natürlich die Frage, ob die Meldung einer Datenpanne eventuell zu einem Bußgeldverfahren führt – also quasi die Verpflichtung besteht, sich selbst zu belasten. Das ist so einfach nicht der Fall.
Binnen 72 Stunden, nachdem Verantwortliche ein Problem entdeckt haben, sollten die entsprechenden Information übermittelt werden. Viele Datenschutz-Aufsichtsbehörden bieten dazu inzwischen die Möglichkeit über ihre Webseiten entsprechende Datenpannen online zu melden. Es ist also ein eher geringer Aufwand, der aber nicht dazu verleiten sollte, auf eine solche Meldung zu verzichten.
In bestimmten Fällen muss ein Unternehmen die Datenpanne auch den direkt Betroffenen, also etwa den Kunden melden. Voraussetzung ist, dass die Verletzung zu einem voraussichtlich hohen Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen führt. Als Firma muss man also eine Prognose treffen, ob ein solcher Fall eintreten wird. 
Übrigens: die Benachrichtigung muss unverzüglich erfolgen und zudem in einer klaren und einfachen Sprache übermittelt werden.
Um es klar zu sagen: Versäumte oder verspätete Meldungen stellen einen Verstoß dar und können mit Bußgeld geahndet werden. Sofern von einer Meldung abgesehen wird, weil kein Risiko für die Rechte und Freiheiten natürlicher Personen zu bestehen scheint, ist dies sorgfältig zu dokumentieren und zu begründen.
Wie muss man als Unternehmer bei einer Datenpanne vorgehen?
Liegt hingegen die Verletzung personenbezogener Daten vor, sind für eine Risikobeurteilung insbesondere folgende Fragen zu stellen:
- In welcher Form ist eine Datenpanne aufgetreten?
- Welche Schäden können für die betroffene Person eintreten?
- Durch welche Handlung und Umstände kann ein solches Schadensereignis eintreten?
So führt beispielsweise der Verlust von Kreditkartendaten durch ein Problem mit dem Server des Betreibers zum Risiko eines Kreditkartenmissbrauchs – und eventuell auch zu einem materiellen Schaden in Form einer unbefugten Kreditkarten-Nutzung.
Wobei nach dem Bundesdatenschutzgesetz einschränkend gilt, dass die Meldung einer Datenpanne in einem Verfahren nach dem Gesetz über Ordnungswidrigkeiten gegen den Meldepflichtigen nur mit dessen Zustimmung verwendet werden darf. Das gilt auch für die Einleitung eines Strafverfahrens. Wer diese Zustimmung also nicht erteilt, braucht somit nicht zu befürchten, dass die Datenschutz-Aufsicht auf Grundlage der eigenen Meldung ein Bußgeld-Verfahren einleitet.
Aber, sollten Dritte die Datenpanne melden – so steht die gegebenenfalls bußgeldbewehrte Frage im Raum, warum die Verantwortlichen diese Panne nicht gemeldet haben.
Foto: fizkes– stock.adobe.com
Im konkreten Fall hatte der Arbeitnehmern mit seinem Arbeitgeber vereinbart, dass er ab Dezember 2014 in ein Altersteilzeitverhältnis eintreten soll, das bis zum Ende Juli 2017 andauern sollte. Bis einschließlich März 2016 sollte er weiter in Vollzeit arbeiten, von April 2016 dann bis zur Beendigung freigestellt sein. Für den gesamten Zeitraum der Altersteilzeit war die Zahlung eines durchgängigen Bruttomonatsgehalts von mehr als 7.000 Euro vorgesehen.
Im Bereich der „Grundsicherung im Alter“ ist dies schon länger so Praxis und führt etwa dazu, dass Empfänger von Grundsicherung routinemäßig nach den Berufen der Kinder gefragt werden. Daraus leitet dann ein Sachbearbeiter ab, wer wohl keine 100.000 Euro verdient, aber auch, bei wem sich eine nähere Nachfrage lohnen könnte.
Und was passiert nun, wenn die Nennung nicht erfolgt? Vielfach scheint bei Internet-Nutzern die Auffassung zu bestehen, es handelt sich dabei um eine Art Kavaliersdelikt. Dem ist mitnichten so, es sollte deutlich sein, dass es neben dem Verstoß gegen das Urheberrecht es auch zu Unterlassungs- und Schadensersatzansprüchen kommen kann. In der Praxis bedeutet es, dass man als Rechtinhaber sogar die Wahl hat, also etwa nur die unterlassene Benennung mit einer urheberrechtlichen Abmahnung verfolgen kann – aber auch hierfür Schadensersatz verlangen darf. Ist ein Foto ohne Nutzungsrecht und ohne Urhebernennung (eine allzu häufige Kombination) genutzt worden, hat der Fotograf gerichtsnotorisch meist Anspruch auf den doppelten Schadensersatz.
Mit ihrem Urteil waren sich die Richter des Bundesgerichtshofes (BGH 22.02.2018, Az. VII ZR 46/17 ) im Werkvertragsrecht (hier Baurecht) durchaus im Klaren darüber, was sie mit ihrer Entscheidung ins Rollen bringen – sie räumten auch ein, dass das derzeitige System der Schadensabwicklung auf der Grundlage fiktiver Reparaturkosten wohlvertraut sei und – was seine technische Abwicklung betrifft – im Wesentlichen reibungslos funktioniere. Klar wurde aber auch, dass das langfristige Ziel bei diesem Urteil die generelle Unterbindung von unrechtmäßigen Bereicherungen und damit wichtiger als die Aufrechterhaltung des Status quo sei.
Nach dem Tod der Erblasserin beantragte einer der in dem Testament benannten Neffen des Ehemannes beim Nachlassgericht einen Erbschein, um sein Viertel des Erbes anzutreten. Der beantragte Erbschein wurde in der Folge auch erteilt. Eine Cousine der Verstorbenen regte aber gegenüber dem Nachlassgericht an, dass der erteilte Erbschein als unrichtig wieder eingezogen werden solle. Sie begründete diesen Antrag mit dem Argument, dass das Testament der Eheleute gar keine Einsetzung der Neffen und der Nichte des Ehemannes als Schlusserbe vorsah, sondern lediglich eine Erbfolgeregelung für den Fall des gleichzeitigen Ablebens enthalten würde.
Die normale Vorgehensweise ist, dass nach Ende eines Mietverhältnisses der Vermieter innerhalb einer angemessenen, nicht allgemein bestimmbaren Frist gegenüber dem Mieter erklären muss, ob und gegebenenfalls welche aus dem beendeten Mietverhältnis stammenden Ansprüche er gegen diesen erhebt. Mit einer solchen Erklärung wird die Mietsicherheit abgerechnet, da der Vermieter so deutlich macht, ob er Forderungen hat, die er mit der Mietsicherheit verrechnen will.
Wie war es dazu gekommen? In dem vom EuGH entschiedenem Fall ging es um die Klage der „Verbraucherzentrale Bundesverband“ gegen das Unternehmen „planet49″, das im Rahmen von Gewinnspielen Daten für Werbezwecke Dritter sammelte. Vor dem Klick auf den Absende-Button des Gewinnspiels fanden die Teilnehmer unter anderem ein vorangehaktes Kontrollkästchen, über das sie sich mit dem Einsatz von Cookies unterschiedlicher Anbieter einverstanden erklärten. Die Richter entschieden dazu ganz klar: Tracking-Cookies dürfen nur noch mit ausdrücklicher, informierter, nachweisbarer und widerrufbarer Einwilligung gesetzt werden.
Daraufhin erklärte die Schwester der Erblasserin gegenüber dem Nachlassgericht die Anfechtung der Ausschlagung. Sie ließ das Nachlassgericht in dieser Erklärung wissen, dass sie sich über eine wesentliche Eigenschaft des Nachlasses geirrt habe. Sie sei davon ausgegangen, dass die Kosten für die Renovierung und Entrümpelung der Mietwohnung ihrer Schwester einen möglicherweise vorhandenen positiven Nachlass übersteigen werden.
Doch was ist bei Lieferengpässen, der Hersteller Probleme mit der Lieferung hat? Da ist dann übliche kurze Lieferzeit schnell auf viele Wochen oder gar Monate angewachsen. Natürlich spricht nichts dagegen, dass der Händler solche Artikel auch weiterhin anbietet, wenn er denn eine spätere Lieferung sicherstellen kann. Allerdings weiß aber auch der Online-Anbieter in solchen Fällen oft nicht genau, wann sein Lieferant ihn wieder mit entsprechenden Artikeln beliefern wird. Jedoch: Der Händler muss die (potenziellen) Käufer informieren, selbst wenn er intern keine konkrete Lieferzeit benennen kann. Dies wäre ja aber erforderlich, wenn sich der Händler nicht dem Vorwurf unzureichender Verbraucherinformationen aussetzen möchte.