§ 12 Datenschutzrecht / f) Reaktionsmöglichkeiten der Aufsichtsbehörden

Rz. 92

Die Art und Weise, wie eine Aufsichtsbehörde auf die Meldung eines Datenverlustes reagiert, hängt von dem gemeldeten Vorfall und dessen Ursachen ab.

Die Aufsichtsbehörde kann grundsätzlich ein Bußgeld bei Verletzung der Datensicherheit verhängen. Gerade wenn wiederholte und gleichartige Datenpannen auf strukturelle Defizite im Rahmen der IT-Sicherheit hindeuten, erhöht dies die Wahrscheinlichkeit eines Bußgeldes durch die Aufsichtsbehörde. Stellt sich etwa bei einer nachgelagerten Prüfung durch die Aufsichtsbehörde heraus, dass bestimmte IT-Sicherheitsanforderungen, die nach dem Stand der Technik erforderlich wären, nicht eingehalten worden sind und hierdurch der Datenverlust erst ermöglicht wurde, erhöht dies die Wahrscheinlichkeit und die Höhe eines Bußgeldes. So ist etwa eine Zwei-Faktor-Authentifizierung bei einem Zugriff auf Online-Anwendungen nach dem Stand der Technik in der Regel als erforderlich anzusehen und von dem Verantwortlichen einzuführen. Fehlen derartige nach dem Stand der Technik gebotene IT-Sicherheitsmaßnahmen, ist dies ein Aspekt, der ein Eingreifen der Aufsichtsbehörde wahrscheinlicher werden lässt.

Rz. 93

In der Praxis ist vermehrt zu beobachten, dass Betroffene den Verdacht eines Datenmissbrauchs oder Datenverlustes selbst der Aufsichtsbehörde anzeigen. Unterbleibt in derartigen Fällen eine fristgerechte Meldung des Verantwortlichen an die Aufsichtsbehörde und erfährt diese durch den Betroffenen von einem Datenverlust, kann die Aufsichtsbehörde bereits die fehlende oder nicht rechtzeitige Meldung des Datenverlustes mit einem Bußgeld ahnden.