Pflichten der Unternehmen

Sollten tatsächlich einmal Daten in unbefugte Hände Dritter gelangen, woraus die Rechte oder schutzwürdigen Interessen schwer beeinträchtigt würden, muss das Unternehmen, die Aufsichtsbehörde und unter Umständen die Öffentlichkeit mit halbseitigen Anzeigen in bundesweit erscheinenden Tageszeitungen informieren. Außerdem sollte es umgehend Datensicherungsmaßnahmen ergreifen. Ferner hat das Unternehmen die Pflicht, eine Folgenabschätzung zu machen, die ebenfalls der Aufsichtsbehörde vorgelegt werden muss. Wer davon betroffen ist, erhält Empfehlungen für Maßnahmen, die nachteilige Folgen für ihn mildern können. Verliert beispielsweise jemand seine Bankdaten, sollte er regelmäßig die Abbuchungen von seinem Konto kontrollieren. Falls Kennwörter abhanden kommen, sollte den Kunden empfohlen werden, diese sofort zu ändern.

Mit rechtlichem oder organisatorischem Sachverstand allein, ist die Sache nicht getan. Das betroffene Unternehmen braucht beides. Um entsprechend vorzubeugen, sollte das Unternehmen ein internes Verfahren zur Aufdeckung und Meldung von Sicherheitsverstößen etablieren. Die „data breach policy“ beispielsweise legt fest, welche Schritte im Fall einer Datenpanne unternommen werden müssen (zum Beispiel welche Zuständigkeiten gelten). Für den Ernstfall sollten außerdem Richtlinien in der Schublade liegen, die darüber informieren, auf welche Weise und mit welchen Inhalten Mitteilungen an Kunden und Aufsichtsbehörden gehen sollen.

Dafür müssen alle Unternehmensbereiche, die so eine Panne angeht schon im Vorfeld gut zusammenarbeiten. Der Justiziar klärt über die Vorschriften auf, der IT-Sicherheitsbeauftragte kontrolliert die Sicherheit des Datenverkehrs, der Datenschutzbeauftragte verabschiedet die Regeln und der Kommunikationsverantwortliche steuert die Kommunikation nach außen. Würden sich alle aber nur auf diesen einen Vorfall rüsten, wäre das zu kurz gegriffen. Vielmehr sollten sie ihre Sache ganzheitlich verstehen und intensiv durchleuchten, welche Kundendaten überhaupt von wem für welche Zwecke erhoben werden? In welchen Abteilungen und vertrieblichen Schnittstellen muss eine Einwilligung des Kunden abgefragt werden? Welche Arbeitsabläufe im gesamten Unternehmen hantieren mit den sensiblen Kundendaten? Denn jede Information, die gar nicht erst erhoben wird, verringert die Gefahr einer Datenpanne, auch wenn dies im Informationszeitalter manchmal unrealistisch erscheint.