Wann tritt Melde- und Informationspflicht ein?

Nach dem Entwurf der Bundesregierung tritt die Meldepflicht gegenüber den Datenschutzbehörden und die Benachrichtigungspflicht gegenüber den Kunden dann ein, wenn ein Dritter unrechtmäßig personen­bezogene Daten zur Kenntnis nimmt. Dabei macht es keinen Unterschied, ob die Daten zuvor von einem Mitarbeiter rechtswidrig übermittelt wurden oder dem Unternehmen sonst wie verloren gegangen sind oder gestohlen wurden. Die Bundesregierung greift allerdings die Erfahrungen aus den USA auf, dass eine Mitteilungs- und Benachrichtigungspflicht in Bagatellfällen unweigerlich einen Abstumpfungseffekt hat und sich auf Dauer kontraproduktiv auswirkt. Der Regierungsentwurf beschränkt die Mitteilungs- und Benachrichtigungspflicht deshalb auf einen abschließenden Katalog besonders sensibler Risikodaten. Risikodaten sind zunächst die sogenannten »besonderen Arten personenbezogener Daten«, wobei das weite Feld der gesundheitsbezogenen Informationen besonders praxisrelevant ist. Auch ein Verlust von personenbezogenen ­Daten zu Bank- und Kreditkartenkonten soll eine Mitteilungs- und Benachrichtigungspflicht auslösen. Für Telemediendienste und Telekommunikationsdienste werden bereichsspezifische Parallelvorschriften eingeführt, die den Verlust von Bestands- und Nutzungs- sowie Verkehrsdaten erfassen. Ein Unternehmen wird im Falle eines Datenverlusts also zunächst prüfen, ob solche Risikodaten abgeflossen sind. Sollte dies der Fall sein, müssten künftig eine Meldung an die Datenschutzbehörde und die Benachrichtigung der Kunden unverzüglich erfolgen. Allerdings räumt der Regierungsentwurf den Unternehmen in zwei Fällen eine Karenzzeit für die Benachrichtigung der Kunden (nicht aber für die Meldung an die Datenschutzbehörde!) ein. Sie können zunächst einmal unverzüglich technische Maßnahmen zur Datensicherung treffen. Auch kann die Benachrichtigung aufgeschoben werden, wenn ansonsten strafrechtliche Ermittlungen gefährdet würden, etwa weil dem Täter eine Falle gestellt werden soll.