Im Rahmen der Blog-Reihe „Ein Spaziergang durch die DS-GVO“ betrachten wir die einzelnen Artikel der Datenschutz-Grundverordnung aus einem etwas anderen Blickwinkel. Willkommen zur nächsten Etappe. Wie angekündigt, erneut ein Doppelpack: Die Artikel 33 und 34 DS-GVO sind so eng verbunden, dass wir uns von der Zählung nichts vormachen lassen.
Worum geht´s?
Um den Schadensfall. Wenn im Datenschutz etwas schiefgeht, ist die „informationelle Selbstbestimmung“ in Gefahr. Informationen über Menschen sind dann in unbefugten Händen oder jedenfalls (schlimm genug) „außer Kontrolle“.
Der Gesetzgeber hat den Verantwortlichen Meldepflichten auferlegt und zwar gegenüber der Aufsichtsbehörde (Artikel 33 DS-GVO) und den Betroffenen (Artikel 34 DS-GVO).
Schauen wir uns erst die Regeln an und denken dann darüber nach.
Artikel 33
Artikel 33 DS-GVO verlangt bei jeder Datenschutzverletzung eine Meldung an die „gemäß Artikel 55 zuständige Aufsichtsbehörde“.
Was soll der Verweis auf Artikel 55 DS-GVO? Gar nichts. Den können Sie getrost streichen, weil er überflüssig ist und auch noch falsch (Artikel 56 DS-GVO gilt beispielsweise genauso).
Unverzüglich und „möglichst“ binnen 72 Stunden soll gemeldet werden. Bei unverzüglich assoziieren deutsche Juristen sofort „ohne schuldhaftes Zögern“. Das haben wir alle im Studium auswendig gelernt – so definiert das BGB (§ 121 Abs. 1) den Begriff „unverzüglich“. Natürlich gilt das BGB nicht als Vorgabe für Begriffe im EU-Recht, aber gemeint ist am Ende wirklich dasselbe – nämlich „so schnell es geht“.
Was soll dann möglichst binnen 72 Stunden? Hat man wenigstens so lange Zeit? Nein, das ist nur die nächste kleine Irreführung der DS-GVO. Es bleibt nämlich bei „so schnell es geht“. Wenn in 40 Stunden gemeldet werden kann, muss man es auch tun.
Nur: Wenn es länger dauert als 72 Stunden, schuldet der Verantwortliche dafür eine gesonderte Begründung (Absatz 1 Satz 2). Könnte man die 72 Stunden im ersten Satz also streichen? Ja.
Was muss gemeldet werden? Mindestens alles, was sich in Absatz 3 aufgelistet findet. Der Katalog gibt eine gute Orientierung für „Anfänger“ beim Melden.
Hinweis an „Melde-Anfänger“
Alle deutschen Aufsichtsbehörden haben mittlerweile Online-Formulare für die Meldungen nach Artikel 33 DS-GVO bereitgestellt. Die Sache hat sich deutlich vereinfacht gegenüber den holprigen Anfangszeiten nach Einführung der DS-GVO. Auch die weiteren Abläufe sind bei den Aufsichten inzwischen Routine: Automatisierte Eingangsbestätigung mit Vorgangsnummer. Falls die Behörde Nachfragen hat, hören Sie von ihr. Sonst ist der Vorgang mit den Abhilfemaßnahmen und der Dokumentation nach Absatz 5 erledigt. Keine Scheu vor Meldungen!
Immer noch erlebe ich, dass auch Berater aus großen Anwaltskanzleien mit viel Aufwand versuchen, Meldungen zu vermeiden. („Eigentlich ist das keine Datenschutzverletzung, weil nach Artikel 4 Nr. 12…“ oder „Wahrscheinlich ergibt sich hier kein Risiko und wir warten erst einmal…“) Nichts gegen eine genaue Prüfung der Meldepflicht, aber wenn ein großes Unternehmen (für große Behörden gilt das auch) in den letzten zehn Jahren noch nie eine Datenpanne gemeldet haben, liegt das nicht an fehlenden Datenschutz-Pannen – die gibt es überall –, sondern an Verletzungen der Meldepflicht.
Wenn der Verantwortliche anfangs noch nicht alles nach Absatz 3 berichten kann, muss er „tröpfchenweise“ melden (Abs. 4).
Der Auftragsverarbeiter meldet (siehe Absatz 2) nicht an die Behörde, sondern an den Verantwortlichen (also seinen Auftraggeber). Der Verantwortliche meldet dann weiter. Wann beginnt seine Meldefrist? Meines Erachtens eindeutig ab seiner eigenen Kenntnis (siehe Wortlaut von Absatz 1) und nicht schon, wenn der Auftragsverarbeiter Kenntnis hat. (Wenn der nicht „unverzüglich“ bescheid gibt, ist das natürlich nicht gut für seine Zuverlässigkeit nach Artikel 28 Abs. 1 DS-GVO).
Die Meldepflicht des Verantwortlichen – nicht des Auftragsverarbeiters! – entfällt, wenn sich aus der Datenschutzpanne voraussichtlich keine Risiken für natürliche Personen ergeben. Der Verantwortliche – nicht der Auftragsverarbeiter – prüft also die voraussichtlichen Folgen der Datenpanne. In der Praxis haben sich inzwischen viele Standard-Fälle geklärt: Zum Beispiel wird kein Risiko angenommen, wenn
- Daten für kurze Zeiträume nicht verfügbar sind, Defekte aber schnell behoben werden,
- Datenträger verlorengehen, die Daten aber nach Stand der Technik verschlüsselt sind,
- Daten versehentlich an falsche Empfänger übermittelt werden, diese Empfänger aber vertrauenswürdig sind und die Datenlöschung bestätigen.
Artikel 34
Artikel 34 DS-GVO verlangt die Information der Betroffenen, wenn sich aus der Datenpanne nicht „nur einfache“, sondern „hohe“ Risiken ergeben. Die 72 Stunden tauchen hier gar nicht auf – informiert werden muss immer unverzüglich. Der Inhalt der Meldung ist nach dem Gesetz sehr ähnlich der Meldung an die Aufsichtsbehörde (Art. 34 Abs. 2 verweist auf Art. 33 Abs. 3 Buchstaben b, c und d). Aber bitte mit Sinn und Verstand: Den Betroffenen hilft es nicht, wenn sie eine Kopie der Online-Meldung an die Aufsichtsbehörde bekommen. Sie wollen und sollen in verständlicher Sprache erfahren, was mit ihren Daten passiert ist, was konkret für Schäden drohen, was der Verantwortliche schon zur Abwendung getan hat und was sie selbst tun können.
Absatz 3 und 4 sind großteils überflüssig: Die Ausnahmen von der Meldepflicht nach Abs. 3 a und b stecken schon im Absatz 1 (weil dann eben kein hohes Risiko mehr gegeben ist) und die Anordnungen der Aufsichtsbehörde nach Abs. 4 erlaubt schon Art. 58 Abs. 2 Buchstabe e DS-GVO.
Nur Absatz 3 lit. c hat eigenen Sinn: Wenn der Verantwortliche die Betroffenen einzeln nicht erreichen kann, muss er öffentlich informieren. Ein Albtraum für die PR-Abteilung?
Zeit, den Gedanken freien Lauf zu lassen
Jetzt sind Sie vielleicht schon etwas müde vom Spazieren, trotzdem wird es nun erst interessant. Wir wollten ja noch nachdenken. Und dabei sind mindestens zwei Dinge wirklich spannend (finde ich):
- Wenn Datenschutz dem Selbstbestimmungsrecht dient – warum werden dem Betroffenen nur die schlimmen Pannen mitgeteilt und nicht jede? Vielleicht findet der Betroffene ja etwas anderes schlimm, als der Verantwortliche?
- Und geht das eigentlich, dass sich der Verantwortliche bei Pannen „selbst anzeigen“ muss, damit er nicht wegen der fehlenden (oder verspäteten) Anzeige bestraft wird (Art. 83 Abs. 4 Buchstabe a DS-GVO: bis 10 Mio. Euro oder 2% des Jahresweltumsatzes; Behörden natürlich ausgenommen)? Wie wäre es mit einem Gesetz, nach dem Diebe binnen 72 Stunden eine Meldung bei der Polizei erstatten müssen und sonst wegen verspäteter Anzeige bestraft werden?
Ihnen noch einen pannenfreien Heimweg und bis bald!
Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.
