Informationspflicht bei Datenlecks

Ein wesentlicher Aspekt des neuen Gesetzes ist die sogenannte »security breach notification«. Diese Pflicht der Unternehmen, Datenschutzbehörden und betroffene Kunden proaktiv über einen Datenverlust zu informieren, hat ihren Ursprung in den USA. Die meisten US-Bundesstaaten versuchen damit dem drängenden Problem des Identitätsdiebstahls beizukommen. Die Benachrichtigungspflicht ist aus Unternehmenssicht allerdings zweischneidig. Einerseits dient die Benachrichtigung der Schadensbegrenzung. Ignoriert der Kunde die empfohlenen Sicherheitsvorkehrungen, trifft ihn ein anteiliges Mitverschulden. Dies entlastet das Unternehmen finanziell. Andererseits schädigt eine Benachrichtigung zwangsläufig die Kundenbeziehung und führt schlimmstenfalls zu Kundenverlusten. Statistiken aus den USA zeigen aber, dass noch mehr Kunden abwandern, wenn ein Datenskandal ungesteuert durch die Medien veröffentlicht wird. US-Unternehmen benutzen »security breach notifications« deshalb mittlerweile als Instrument zur gezielten Kundenbindung oder -rückgewinnung in Fällen von Datenverlusten. Es ist nicht unüblich, dass die Unternehmensleitung eine Arbeitsgruppe aus den Bereichen IT, Recht und Marketing einberuft, die präventiv einen Notfallplan entwirft. Im Fall der Fälle braucht der Notfallplan samt Musterbenachrichtigung dann nur noch aus der Schublade gezogen zu werden. Ein klug formuliertes Benachrichtigungsschreiben, das sich im Rahmen der rechtlichen Vorgaben hält, kann so ver­lorenes Kundenvertrauen wieder gewinnen. Und das rechtfertigt den zeitlichen und finanziellen Aufwand eines Notfallplans allemal.