Management von Datenpannen / 1 Einleitung

Mit den Paragrafen § 42a BDSG, § 15a TMG und § 93 Abs. 3 TKG hat der Gesetzgeber datenschutzrechtliche Informationspflichten im Fall einer Datenpanne gegenüber der jeweils zuständigen Aufsichtsbehörde und den Betroffenen im deutschen Datenschutzrecht verankert. Die Meldepflicht soll greifen, wenn Dritte von bestimmten personenbezogenen Daten unberechtigt Kenntnis erlangen. Die Vorschrift gilt unter anderem für Daten zu Bank- und Kreditkartenkonten, für Daten, die einem Berufsgeheimnis unterliegen, für besondere Arten personenbezogener Daten (§ 3 Abs. 9 BDSG) und für Daten über Straftaten und Ordnungswidrigkeiten. Aufgrund der entsprechenden Ergänzungen auch des TMG und des TKG gilt die Informationspflicht außerdem für Bestands-, Nutzungs- und Verkehrsdaten nach diesen Gesetzen.

Ist es zu einer Datenpanne gekommen, müssen die betroffenen Stellen deshalb genau prüfen, ob Informationspflichten bestehen, und wenn ja, wie ihnen nachgekommen werden soll, um einerseits den gesetzlichen Anforderungen zu genügen, andererseits aber auch die negativen Imageeffekte möglichst zu minimieren. Dabei kann es sich aber nur um reaktive "Ad-hoc-Maßnahmen" handeln. Um das Risiko des Entstehens einer Datenpanne möglichst einzudämmen oder ganz zu vermeiden, muss bereits im Vorfeld ein Prozess etabliert werden, der das Thema "Datenpannen" ganzheitlich steuert. Neben technischen Faktoren (wie etwa bestimmten Datensicherungsmaßnahmen) und verfahrensmäßigen Vorkehrungen (wie etwa dem Datenmanagement) müssen auch personelle Faktoren dabei Berücksichtigung finden.