Mindestinhalte für die Information

Der Regierungsentwurf schreibt zwei Mindestinhalte für die Benachrichtigung der Kunden vor. Das Unternehmen muss zunächst die Art der unrechtmäßigen Kenntniserlangung offenlegen. Gefordert ist aber keine detaillierte Schilderung der Einzelumstände, die zum Datenverlust geführt haben. Eine typisierende Darstellung, wann welche Datenkategorien verloren gingen oder gestohlen wurden beziehungsweise an wen sie unrechtmäßig übermittelt wurden, reicht aus. Als grobe Richtschnur für den Detaillierungsgrad wird man hier auf den Zweck der Benachrichtigungspflicht abstellen müssen. Der Betroffene soll nach Möglichkeit abschätzen können, von wem welche rechtswidrige Nutzung seiner Daten droht und ob gegenwärtig eine konkrete oder nur noch eine abstrakte Gefahr besteht. Zusätzlich muss die Benachrichtigung konkrete Handlungsempfehlungen für Maßnahmen zur Schadensminderung geben, etwa die Aufforderung, Kontoauszüge oder Kreditkartenabrechnungen fortan regel­mäßig zu überprüfen und von dem Kreditinstitut oder Kreditkartenunternehmen unverzüglich die Rückabwicklung von Falschbuchungen zu verlangen. Die Melde- und Benachrichtigungspflicht wird durch einen neuen Bußgeldtatbestand flankiert. Erfolgt die Meldung beziehungsweise Benachrichtigung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig, kann ein Bußgeld von bis zu 300000 Euro festgesetzt werden. Aus Unternehmenssicht besonders gravierend ist zudem, dass die betroffene Person bei unterlassener, verzögerter, falscher oder unvollständiger Benachrichtigung zivilrechtliche Schadensersatzansprüche gegen das Unternehmen geltend machen kann. Die BDSG-Novelle etabliert damit eine Schutznorm zugunsten der Betroffenen, die bei Nichtbeachtung eine zivilrechtliche Schadensersatzhaftung auslösen kann.