Schlagwort: Meldepflicht
17. April 2023
Am 4. April 2023 hat der Europäische Datenschutzausschuss (EDSA) die überarbeiteten Richtlinien zur Meldung von Datenschutzverletzungen veröffentlicht. Die Aktualisierung betrifft Unternehmen, die zwar nicht in der EU ansässig sind, aber dennoch gemäß der Datenschutz-Grundverordnung (DSGVO) in deren Anwendungsbereich fallen. Dieser Beitrag gibt einen Überblick über die Updates des EDSA und beleuchtet die rechtlichen Aussagen.
Die ehemaligen WP29 Leitlinien
Vor dem Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) hatte die damalige Artikel-29-Datenschutzgruppe (WP29) am 3. Oktober 2017 allgemeine Richtlinien zur Meldung von Datenschutzverletzungen verabschiedet, in denen die relevanten Abschnitte der DSGVO analysiert wurden. WP29 empfahl darin, dass Datenschutzverletzungen der Aufsichtsbehörde im Mitgliedstaat gemeldet werden sollten, in dem der Vertreter des Verantwortlichen in der EU niedergelassen ist. Als Nachfolger der WP29 bestätigte der EDSA diese Richtlinien am 25. Mai 2018 formell.
EDSA: Aktualisierung zu Meldepflichten
Der Europäische Datenschutzausschuss (EDSA) hat seine Leitlinien zur Meldung von Datenschutzverletzungen für nicht in der EU niedergelassene Unternehmen aktualisiert. Das Feedback für diese Aktualisierung wurde im Rahmen einer öffentlichen Konsultation bis zum 29. November 2022 eingeholt. Der EDSA hat klargestellt, dass die bloße Anwesenheit eines Vertreters in der EU nicht das “One-Stop-Shop”-Prinzip auslöst, sondern nicht in der EU niedergelassene Unternehmen sich bei Datenschutzverletzungen, die Personen in mehreren Mitgliedsstaaten betreffen, an alle zuständigen Aufsichtsbehörden der jeweiligen Mitgliedsstaaten wenden müssen. Nach der öffentlichen Konsultation wurde dieser Abschnitt nun angenommen. Es sollten jedoch auch einige Klarstellungen des EDSA berücksichtigt werden, die zwar nicht direkt mit dieser Aktualisierung zusammenhängen, aber dennoch relevant sind.
Meldung an Aufsichtsbehörde
Nach Artikel 33 Absatz 1 DSGVO ist der Verantwortliche verpflichtet, im Falle einer Datenschutzverletzung unverzüglich und möglichst innerhalb von 72 Stunden nach Kenntnis der Verletzung diese der zuständigen Aufsichtsbehörde gemäß Artikel 55 DSGVO zu melden, es sei denn, dass die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt.
Meldepflicht beim Verantwortlichen
Der Verantwortliche ist für die Meldepflicht bei Datenschutzverletzungen verantwortlich. Bei gemeinsam Verantwortlichen sollten die vertraglichen Vereinbarungen gemäß Artikel 26 der DSGVO klarstellen, welcher Verantwortliche die führende Rolle bei der Meldung von Datenschutzverletzungen übernimmt. Auftragsverarbeiter müssen Datenschutzverletzungen unverzüglich dem Verantwortlichen melden, jedoch nicht direkt bei der Aufsichtsbehörde.
Risikobewertung
Bei einer Datenschutzverletzung ist eine Risikobewertung wichtig. Gemäß EDSA-Leitlinien sollten dabei verschiedene Faktoren berücksichtigt werden, wie die Art der Verletzung, die Art und Sensibilität der betroffenen Daten, Identifizierbarkeit der betroffenen Personen, Schwere der Folgen, besondere Eigenschaften von betroffenen Personen und dem Verantwortlichen, sowie die Anzahl der betroffenen Personen und allgemeine Aspekte wie Empfehlungen von ENISA. In den Leitlinien 9/2022 werden auch Beispiele für Risikobewertungen genannt, z.B. könnte eine Verletzung als Risiko betrachtet werden, wenn sensible personenbezogene Daten betroffen sind, während eine Verletzung als kein Risiko betrachtet werden könnte, wenn die Daten verschlüsselt waren und Datensicherungen existieren.
Meldung an Aufsichtsbehörde
Gemäß Artikel 33 Absatz 1 DSGVO ist der Verantwortliche verpflichtet, im Falle einer Verletzung des Schutzes personenbezogener Daten die Meldung unverzüglich und möglichst innerhalb von 72 Stunden nach Kenntnis der Verletzung an die gemäß Artikel 55 zuständige Aufsichtsbehörde zu erstatten. Es sei denn, es ist wahrscheinlich, dass die Verletzung des Schutzes personenbezogener Daten keine Risiken für die Rechte und Freiheiten natürlicher Personen mit sich bringt.
Wann wird eine Datenpanne “bekannt”?
Gemäß Leitlinie 9/2022 gilt eine Datenschutzverletzung einem Verantwortlichen als “bekannt”, wenn er ausreichend sicher ist, dass ein Sicherheitsvorfall eingetreten ist, der zu einer Beeinträchtigung des Schutzes personenbezogener Daten geführt hat. Es ist nicht erforderlich, dass die Datenschutzverletzung tatsächlich stattgefunden hat. Zum Beispiel wird einem Verantwortlichen der Verlust eines unverschlüsselten USB-Sticks, auf dem personenbezogene Daten gespeichert sind, bekannt, wenn er den Verlust bemerkt. Wenn ein Dritter dem Verantwortlichen mitteilt, dass er versehentlich personenbezogene Daten erhalten hat und Belege für die unbefugte Offenlegung vorliegen, ist der Vorfall zweifelsfrei bekannt.
Empfehlung: Interne Richtlinien
Es wird empfohlen, dass nicht in der EU ansässige Unternehmen, die unter den Anwendungsbereich der DSGVO fallen, interne Richtlinien und Prozesse zur Meldung von Datenschutzverletzungen gemäß den Vorgaben des EDSA beachten. Die Meldung von Datenschutzverletzungen an mehrere Behörden kann zeitaufwändig sein. Interne Richtlinien und Prozesse zur Handhabung von Datenschutzvorfällen sind daher ratsam, um den Melde- und Benachrichtigungspflichten rechtzeitig nachzukommen. Effektive und regelmäßig überprüfte Prozesse zur Bewältigung von Datenschutzvorfällen sind entscheidend für eine schnelle Meldung von Datenschutzverletzungen und die Einhaltung von Fristen.
9. April 2019
Die niedersächsische Landesregierung hat am 03.04.2019 den Entwurf eines Entschließungsantrages in den Bundesrat eingebracht (BR Drs 144/19). Hintergrund des Antrages ist, dass das Ziel der DSGVO, den Schutz personenbezogener Daten sicherzustellen, nicht erreicht werden kann, wenn Unternehmen, Behörden und weitere Einrichtungen, die personenbezogene Daten verarbeiten, die neuen Regelungen nicht anwenden (können). Niedersachsen gibt in seinem Antrag an, dass laut einer Studie des Verbands Bitkom nur etwa ein Viertel der deutschen Unternehmen angeben, die DSGVO vollständig umgesetzt zu haben. Eine der größten Hürden sei die hohe Rechtsunsicherheit, welche sich durch die Flut von Anfragen bei den Datenschutzbehörden abzeichne.
Insbesondere kleine und mittlere Unternehmen sowie ehrenamtliche Einrichtungen seien in ihrem Arbeitsalltag stärker durch die Anforderungen der DSGVO eingeschränkt und müssen entlastet werden. Das Land Niedersachsen schlägt deshalb vor, § 38 BDSG, also die Anforderungsschwelle zur Benennung eines Datenschutzbeauftragten, anzupassen. Der Bundesrat soll die Bundesregierung auffordern, „hier nachzubessern und die in § 38 Abs. 1 S. 1 BDSG genannte Mindestanzahl von zehn Personen deutlich anzuheben“. Ein Vorschlag für eine neue Schwelle wird nicht gemacht. Diese Forderung könnte jedoch dem Missverständnis zu Grunde liegen, dass viele kleinere Unternehmen oder Verbände denken, dass eine Pflicht zur Benennung gleichbedeutend mit der Pflicht zur Einhaltung des Datenschutzrechts an sich ist. Sollte die Schwelle angehoben werden, besteht eventuell die Gefahr, dass kleinere Einheiten davon ausgehen, dass, wenn sie keinen Datenschutzbeauftragten benennen müssen, auch die übrigen Anforderungen der DSGVO für sie nicht verpflichtend sind.
Zudem schlägt die Landesregierung vor, die Meldefrist für Datenpannen nach Art. 33 Abs. 1 DSGVO auf ihre Angemessenheit zu prüfen. „Der Bundesrat bittet die Bundesregierung daher, zu evaluieren, ob diese Frist tatsächlich angemessen ist. Sofern die Frist sich in der Praxis als unangemessen kurz erweisen sollte, bittet der Bundesrat die Bundesregierung auf eine Verlängerung der Frist hinzuwirken“.
Außerdem verlangt die niedersächsische Landesregierung, insbesondere für KMUs gesetzlich auszuschließen, dass Datenschutzverstöße wettbewerbsrechtlich abgemahnt werden können. Die Geltendmachung von Datenschutzverstößen durch zugelassene Verbraucherschutzvereinigungen nach dem Unterlassungsklagegesetz soll laut des Antrags jedoch davon unberührt bleiben.
Schließlich möchte Niedersachsen eine Ausnahmeregelung bzw. Erleichterung für die vorübergehende Datennutzung zu Erprobungs- und Testzwecken erwirken. „Der Bundesrat bittet die Bundesregierung vor diesem Hintergrund zu prüfen, ob und wie Ausnahmen bzw. Erleichterungen für die Verarbeitung personenbezogener Daten für Erprobungs- und Testzwecke in die datenschutzrechtlichen Bestimmungen implementiert werden können und dies entsprechend umzusetzen.“
13. Dezember 2018
Die Datenschutzgrundverordnung (DSGVO) hat viele Veränderungen mit sich gebracht. Eine der neuen Pflichten, die sich aus der DSGVO ergeben, ist die Meldung der Kontaktdaten des Datenschutzbeauftragten eines Unternehmens an die Aufsichtsbehörden.
In Deutschland haben sich die Aufsichtsbehörden gegen eine bundesweite Lösung entschieden und je nach Bundesland eine individuelle Lösung entwickelt um die Umsetzung der Meldepflicht sicherstellen zu können.
Die Bundesländer Nordrhein-Westfalen und Bayern haben eigens für die Meldepflicht ein Portal online gestellt auf dem sich Unternehmen einen Nutzeraccount erstellen können. Um bei der Registrierung eine sichere Übermittlungsmethode der Zugangsdaten gewährleisten zu können, wird nach erfolgter Registrierung ein Aktivierungslink an die angegebene E-Mail-Adresse gesendet. Erst nach Aktivierung dieses Links ist der Registrierungsprozess beendet und das Nutzerkonto kann verwendet werden. Die eigentliche Meldung erfolgt durch ein Formular, auf welches man nach dem Login Zugriff hat. Nach erfolgreicher Meldung wird eine Kopie des Formulars als Bestätigung an die angegebene E-Mail-Adresse geschickt.
Andere Bundesländer wie Baden-Württemberg oder Hamburg haben Formulare für die Meldepflicht frei zugänglich auf ihren Webseiten positioniert. Die Übermittlung des ausgefüllten Formulars erfolgt hierbei direkt oder via E-Mail.
Die von den Aufsichtsbehörden abgefragten Daten, über das Unternehmen sowie den Datenschutzbeauftragten, variieren von Bundesland zu Bundesland stark. Grundsätzlich haben die Aufsichtsbehörden versucht sicherzustellen, dass dem Datenminimierungsprinzip Sorge getragen wird. Viele Formulare beinhalten daher Kennzeichnungen der Pflichtangaben. Diese umfassen zumeist die Kontaktdaten des Unternehmens sowie des Datenschutzbeauftragten aber auch die Kontaktdaten des Meldenden.
Einige Aufsichtsbehörden haben Fristen erlassen um den Unternehmen genügend Zeit zu bieten der Meldepflicht nachzukommen. Die Frist der Aufsichtsbehörde NRW und somit die letzte aktuell laufende Frist endet am 31.Dezember 2018. Bis dahin werden fehlende Meldungen nicht durch die Aufsichtsbehörde geahndet.
Die DSGVO hat ebenfalls einige Privilegien hervor gebracht. Darunter auch das Privileg des Konzerndatenschutzbeauftragten. Die Pflicht zur Meldung der Kontaktdaten des Datenschutzbeauftragten kann diesem Privileg nicht untergeordnet werden. Das hat die Auswirkung, dass jede Gesellschaft bzw. jedes verbundene Unternehmen eines Konzerns die Kontaktdaten des Datenschutzbeauftragten melden muss, auch dann wenn ein und der selbe Datenschutzbeauftragte für alle Gesellschaften des Konzerns bestellt wurde.
Meldungen die formlos via E-Mail erfolgt sind, werden von den Aufsichtsbehörden nicht berücksichtigt.
27. Juli 2017
Eine repräsentative Studie des Digitalverbandes Bitkom hat ergeben, dass mehr als die Hälfte (53%) der deutschen Unternehmen in den letzten beiden Jahren in irgendeiner Form Opfer von Wirtschaftsspionage, Datenverlust oder -Diebstahl geworden ist. Entsprechend real sei die Gefahr für Unternehmen aller Branchen und Größen. Häufigstes Vorkommnis sei der Diebstahl von IT- oder Telekommunikationsgeräten. Unklar ist dabei, ob die Täter, die häufig “aus den eigenen Reihen” stammen, dabei auf die Smartphones und Laptops selbst oder auf die hierauf gespeicherten Daten abzielen. Immer häufiger (mind. jedes 5. Unternehmen im Betrachtungszeitraum) sei auch das sog. Social Engineering zu verzeichnen, bei dem Mitarbeiter durch Vortäuschung falscher Tatsachen und Identitäten zur Preisgabe sensibler Informationen verleitet werden sollen.
Bemerkenswert ist, dass Unternehmen entsprechende Vorfälle aus Angst vor Imageschäden vergleichsweise selten (lediglich 31%) an Polizei oder andere Stellen melden. Aus datenschutzrechtlicher Sicht ist zu beachten, dass bei dem Verlust personenbezogener Daten nach geltendem und auch nach künftigem Recht eine Meldepflicht bestehen kann, deren Nichtbeachtung bußgeldbewährt ist. Mit der Anwendung der Datenschutz-Grundverordnung ab dem 25.05.2018 stellt sich in diesem Bereich eine drastische Erhöhung ein: Die – aus welchen Gründen auch immer – unterlassene Meldung eines Datenverlusts an die Aufsichtsbehörde kann dann mit einem Bußgeld von bis zu 10 Mio. Euro oder 2% des weltweiten Konzern-Jahresumsatzes (Art. 83 Abs. 4 DSGVO) belegt werden. Diese potentiell immense zusätzliche Belastung kann durch den verordnungskonformen Umgang mit entsprechenden Situationen durch den Datenschutzbeauftragten verhindert werden.
Die Bitkom-Studie verdeutlicht die Notwendigkeit präventiver Maßnahmen wie z.B. die flächendeckende Verschlüsselung von Datenträgern, Installation aktueller Virenscanner-Software sowie regelmäßige Anfertigung von Backups. Neben der “technischen Sicherheit” sind auch organisatorische Maßnahmen, z.B. die regelmäßige Sensibilisierung der Mitarbeiter, äußerst ratsam. Zwar kann auch hierdurch keine 100-prozentige Sicherheit gewährleistet werden. Dem verhältnismäßig geringen Aufwand stehe allerdings eine signifikante Verbesserung gegenüber der Risikolage ohne entsprechende Maßnahmen gegenüber.
9. Juni 2017
Mit dem Entwurf des Datenschutz-Anpassungsgesetzes 2018 zur Datenschutz-Grundverordnung (DSGVO) wird das veraltete Melde- und Genehmigungssystem der österreichischen Datenschutzbehörden durch ein Selbstvewertungssystem abgelöst. Aus Unternehmensperspektive wird der Fokus fortan vermehrt auf datenschutzrechtlichen Compliancefragen liegen. Die Datenschutzbehörde wird dabei die Kontroll- und Sanktionsfunktion zur Einhaltung der datenschutzrechtlichen Vorgaben wahrnehmen. Besonders auffallend ist bei dem österreichischen Entwurf, im Vergleich zu anderen Unionsländern, dass ein nur zurückhaltender Gebrauch von den Öffnungsklauseln gemacht wird. Damit erfüllt der Entwurf zwar einerseits nur die Minimalvorgaben der DSGVO, andererseits ist er damit aus europäischer Perspektive durchaus zielführend, da er zu einem einheitlichen Datenschutzrecht beiträgt.
Vor dem Hintergrund der Nutzung der eingeräumten Öffnungsklauseln war insbesondere bisher unklar, inwieweit Österreich diese Gestaltungsspielräume im Hinblick auf eine Pflicht der Unternehmen zur Bestellung eines Datenschutzbeauftragten wahrnehmen wird. Mit der Vorlage des Entwurfes wird nun deutlich, dass sich daraus keine weiter reichenden Verpflichtungen zur Bestellung eines externen Datenschutzbeauftragten, als durch die DSGVO nach Maßgabe des Art. 37 Abs. 5 und 7 DSGVO ohnehin vorgegeben, ergeben. Grund dafür ist wohl auch, dass die Wirtschaftskammer sich bisher vehement dagegen ausgesprochen hatte, dass weitere Belastungen für Unternehmen geschaffen werden. Dies bedeuted jedoch nicht, dass die Unternhemen, die nach der DSGVO nicht verpflichtet sind einen Datenschutzbeauftragten zu bestellen, zukünftg nicht auch trotzdem die datenschutzrechtlichen Vorgaben einhalten müssen. Vielmehr tragen dabei die Verantwortlichen das Risiko, dass Verstöße gegen die DSGVO zu horrenden Bußgeldern führen können. Aus diesem Grund ist den Unternehmen durchaus zu raten, sich bei der unternehmensinternen Implementierung, bzw. bei der Anpassung der bestehenden datenschutzrechtlichen Standards an die DSGVO, von fachkundigen Datenschutzbeauftragten unterstützen zu lassen. Nennenswert ist in diesem Zusammenhang auch die für die Datenschutzbeauftragten geltende Verschwiegenheitspflicht und das Aussageverweigerungsrecht nach § 5 des Entwurfes. Danach ist der Datenschutzbeauftragte, wenn er nicht bereits an berufliche Geheimhaltungsregelungen gebunden ist, bei der Erfüllung seiner Aufgaben stets an Geheimhaltung und Vertraulichkeit gebunden. Soweit ihn die betroffene Person nicht davon befreit, ist er damit auch zur Verschwiegenheit über die Identität der betroffenen Person und über Umstände, die Rückschlüsse auf diese zulassen, verpflichtet.
In § 19 des Entwurfes wird klargestellt, dass die Datenschutzbehörde Geldbußen von bis zu 20 Millionen Euro oder 4% des weltweiten Konzernumsatzes verhängen kann. Danach können erstens Geldbußen gegen das Unternehmen selbst, als juristische Person verhängt werden, wenn eine Person, die eine Führungsposition innerhalb des Unternehmens innehat, gegen Datenschutzrecht verstößt. Zweitens können Geldbußen gegen das Unternehmen wegen Überwachungs-und Kontrollversagen verhängt werden, d.h., wenn eine Führungskraft ihren Aufsichtspflichten nicht nachgekommen ist und dadurch ein Verstoß durch eine für das Unternehmen tätige Person ermöglicht wurde. Dies ist zum Beispiel dann der Fall, wenn ein Mitarbeiter eines Unternehmens Datenschutzrecht aufgrund der fehlenden Implementierung eines Datenschutz-Kontroll- oder -Managementsystems, verletzt. Drittens kann nach § 19 des Entwurfes auch ein für den Datenschutzbereich Verantwortlicher persönlich bestraft werden. Da die DSGVO jedoch nur das Unternehmen bestrafen will, ist diese Regelung nicht datenschutzrechtskonform ausgestaltet. Die Konformität mit der DSGVO versucht der Entwurf jedoch wieder herzustellen, indem er vorsieht, dass die Datenschutzbehörde in dem Fall von einer Bestrafung der natürlichen Person absehen kann, wenn gegen das Unternehmen bereits eine Strafe verhängt wird und keine besonderen Umstände vorliegen, die einem Absehen von der Bestrafung entgegenstehen. Letzteres ist dann der Fall, wenn dem Beauftragten kein persönlicher Vorwurf gemacht werden kann.
Der für den Datenschutzbereich Verantwortliche ist jedoch nicht mit dem Datenschutzbeauftragten gleichzusetzen. Letzterer wird nach dem Entwurf nicht durch die Auferlegung von Geldbußen zur Verantwortung gezogen, wenn das Unternehmen gegen Datenschutzrecht verstößt.
Nach § 76 des Entwurfes wird die datenschutzbehördliche Meldepflicht von (automatisierten) Systemen durch die Pflicht zur Führung eines internen Verfahrensverzeichnisses ersetzt. Die Konsequenz daraus ist, dass das von der Datenschutzbehörde geführte Datenverarbeitungsregister (DVR) abgeschafft wird. Im DVR anhängige Registrierungsverfahren sind damit, ab dem 25.5.2018, als eingestellt zu betrachten. Nach dem Entwurf ist das datenschutzbehördliche DVR jedoch bis zum 31.12.2019 zu Archivzwecken fortzuführen. Die bis dahin mögliche Abrufbarkeit der Informationen im DVR, als auch die Tatsache, dass die in dem Verfahrensverzeichnis anzugebenden Informationen nahezu identisch mit den Informationen für die DVR-Meldungen sind, veranlassen jedoch dazu, dazu zu raten, dass Meldungen in das DVR weiterhin vorgenommen werden sollten. Vor diesem Hintergrund ist insbesondere darauf hinzuweisen, dass die Meldepflicht im DVR bis zum 24.5.2018 weiterhin besteht und daher jede nicht vorgenommene Meldung eines Systems bis zum 24.5.2017 eine Strafe in Höhe von 10.000 Euro nach sich ziehen kann.
Zusammenfassend wird der Stellenwert, den Österreich dem Datenschutz beimisst, bereits durch § 1 Abs. 1, dem österreichischen Grundrecht auf Datenschutz, als die den Entwurf anführende Regelung, deutlich hervorgehoben. Darüber hinaus wird dieser Stellenwert nun auch an anderen Stellen des weitestgehend DSGVO-konformen österreichischen Datenschutz-Anpassungsgesetz 2018, darunter u.a. mit den damit einhergehenden drakonischen Bußgeldern nochmals hervorgehoben und gesichert. Aus europäischer Perspektive erscheint dies, insbesondere auch aufgrund der minimalen Nutzung der DSGVO-Öffnungsklauseln, die zu einem unionseinheitlichen Datenschutzrecht beiträgt, begrüßenswert.
13. März 2017
Nach dem Tätigkeitsbericht des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA), der dieser Tage veröffentlich wurde, ist die Zahl der Meldungen zu “unrechtmäßiger Kenntniserlangung von Daten” gemäß § 42a des Bundesdatenschutzgesetzes (BDSG) stark angestiegen. Während es im Jahr 2015 nur 28 Unternehmen waren, die zu einer solchen Meldung verpflichtet gewesen waren, lag die Zahl im Jahr 2016 bei 85, allein in Bayern.
Diese Vervielfachung läge vor allem am gesteigerten Bewusstsein der Unternehmen, Datenpannen mit einem erhöhten Risiko melden zu müssen, so der Präsident des Landesamtes, Thomas Kranig. § 42 a BDSG sieht vor, dass immer dann die Meldung einer Panne verpflichtend ist, wenn die Daten wie etwa Bank- und Gesundheitsdaten als besonders sensibel gelten und wenn den Betroffenen schwerwiegende Beeinträchtigungen drohen.
Nach der Europäischen Datenschutzgrundverordnung (DSGVO), die ab 25. Mai 2018 anzuwenden sein wird, wird das Ausmaß der Meldungen weiter zunehmen. Die Schwelle für die Meldepflicht von Datenpannen wird dann deutlich herabgesetzt sein. So muss künftig jede Datenschutzverletzung gemeldet werden, wenn sie “voraussichtlich zu einem Risiko” für die Betroffenen führen kann (Artt. 33, 34 DSGVO). Auch der Zeitpunkt der Meldung wird gesetzlich festgelegt: Die Anzeige der Datenpanne muss künftig innerhalb von 72 Stunden bei der zuständigen Aufsichtsbehörde stattfinden.
28. September 2012
Medienangaben zufolge war das Jahr 2011 ein für die großen deutschen Städte sehr erfolgreiches Jahr, soweit man die Zahl der Auskünfte und Einnahmen von Einwohnermeldedaten heranzieht. Insgesamt soll im vergangenen Jahr etwa 4,5 Millionen Auskunftsersuchen nachgekommen sein und damit über 12 Millionen Euro Umsatz gemacht worden sein, der kausal auf das Melderechtsrahmengesetz (MRRG) zurückzuführen sei.
Jeder Bürger ist nach dem MRRG verpflichtet, einen Wohnortwechsel der Meldebehörde mitzuteilen (§ 11 Abs. 1 MRRG). Die von der Meldebehörde erhobenen und gespeicherten personenbezogenen Daten sind dabei umfangreicher, als es sich auf den ersten Blick vermuten lässt. Gemäß § 2 Abs. 1 MRRG sind neben dem Namen und der Anschrift etwa auch Daten zu Geburtstag und –ort, dem ggf. vorhandenen gesetzlicher Vertreter, Staatsangehörigkeiten, der Zugehörigkeit zu einer Religionsgemeinschaft, dem Familienstand und der Familienverhältnisse gespeichert. Einen bestimmten Teil dieser Daten, namentlich den Vor- und Familiennamen, einen ggf. vorhandenen Titel sowie die Anschrift dürfen die Melderegister gemäß § 21 Abs. 1 MRRG an Unternehmen und Private herausgeben.
Davon werde rege Gebrauch gemacht. Allein Berlin soll 2011 fast 1,1 Millionen einfachen Melderegisterauskünften nachgekommen sein ,was zu Einnahmen in Höhe von 1,3 Millionen Euro geführt habe. Hamburg könne mit knapp 230.000 Auskünften sogar 1,9 Millionen Euro an Einnahmen verbuchen. Ein großer Teil der Auskunftsersuchen komme i.d.R. von Unternehmen. Genauere Angaben über das Ausmaß und die Art der übermittelten Daten sowie an welche Stellen die Daten übermittelt werden, sollen die meisten Städte jedoch nicht liefern.
Die Übermittlung der Daten durch die Meldebehörden unterliegt nicht den im Datenschutz sonst vorherrschenden Grundsätzen, nach denen eine Datenübermittlung nur dann zulässig ist, wenn der Betroffene eingewilligt hat oder enge gesetzliche Ausnahmetatbestände greifen. Möglich macht dies das MRRG. Der Betroffene kann die Übermittlung lediglich durch die in den in § 21 Abs. 5 und 7 MRRG bestimmten Fällen verhindern. Mit der Schaffung des neuen Bundesmeldegesetzes besteht nach dem aktuellen Stand der Entwurfsfassung sogar die Gefahr, dass die bisher bestehenden gering ausgeprägten Widerspruchsmöglichkeiten des Bürgers noch weiter eingeschränkt werden. Es besteht jedoch Grund zur Hoffnung, dass der Bundesrat, der dem Gesetzesentwurf zustimmen muss, das Gesetz in dieser Form nicht passieren lassen wird. In seiner Sitzung vom 21. September 2012 hat der Bundesrat dann auch die Anrufung des Vermittlungsausschusses beschlossen, so dass mit weiteren Änderungen gerechnet werden kann.
3. Juli 2012
Vergangene Woche beschloss der Bundestag einen Entwurf der Bundesregierung zur Änderung des Meldewesens, wie heise.de berichtet. Nach dem Entwurf sollen künftig sämtliche Daten der 5200 Meldeämter vernetzt werden.
Ursprünglich hatte die Bundesregierung geplant, zusammen mit der Einführung des bundesweiten Registerverbunds auch den Schutz der Daten zu stärken. Abfragen von Namen, und Anschriften sollten nur noch für Werbung und Adresshandel möglich sein, wenn der Betroffene vorher eingewilligt hat. Diese Einschränkung war besonders der Direktmarketing-, Inkassobranche und den Auskunfteien ein Dorn im Auge.
Im Beschluss nun fehlt diese Bestimmung. Meldedaten dürfen nur dann nicht für Werbung oder Adresshandel verwendet werden, wenn dieser Zweck bei der Anfrage nicht angegeben wurde oder der Betroffene Widerspruch eingelegt hat. Die Einschränkung soll jedoch nicht gelten bei Anfragen zum Zwecke des Abgleichs bereits vorhandener Daten zwecks Bestätigung oder Berichtigung.
Die Kritik gegen den beschlossenen Entwurf richtet sich vor allem gegen letztgenannte Ausnahme: Selbst der Widerspruch der Betroffenen werde wirkungslos, wenn bereits vorhandene Informationen zur ungehinderten Abfrage der Daten berechtigten. Für jede Melderegisterauskunft seien vorherige Daten nötig, jede Anfrage könne so gerechtfertigt werden.
Ein weiterer Kritikpunkt ist die nach dem Beschluss weiter bestehende Hotelmeldepflicht, die von Datenschützern als Vorratsdatenspeicherung bezeichnet wird. Auch sollen Vermieter den Ein- oder Auszug wieder bestätigen müssen. Der Bundesdatenschutzbeauftragte Peter Schaar bezeichnete den Entwurf als Rückfall hinter die geltende Gesetzeslage.
30. November 2011
EU-Justizkommissarin Viviane Reding forderte in einer Rede am Montag in Brüssel deutlich mehr Befugnisse für Datenschutzbehörden in der Europäischen Union. Um den Datenschutz in allen 27 Mitgliedsstaaten wirksamer durchzusetzen, reichten aber nicht allein vermehrte Kompetenzen – auch verstärkte Ressourcen seien nötig für die Behörden, wird Reding in Medienberichten zitiert. Reding forderte Rechtssicherheit und Gleichbehandlung für alle Wirtschaftszweige, in denen personenbezogene Daten geschützt werden müssen.
Im vergangenen Jahr hatte Reding eine Neuauflage der inzwischen 16 Jahre alten EU-Datenschutzrichtlinien angekündigt. Online-Werbung und Social Networks stehen dabei im Fokus, es sollen strengere Sanktionen und eine Klagemöglichkeit für Verbraucherschützer eingeführt werden.
Die Neuregelung soll der Vereinheitlichung des Datenschutzrechts dienen. Durch die 27 unterschiedlichen Datenschutzregeln in der EU entstünden Unternehmen Kosten von bis zu geschätzten 2,3 Milliarden Euro pro Jahr. Verstärkte Koordination und Kooperation zwischen den nationalen Datenschutzbehörden würde eine flächendeckende Durchsetzung des Datenschutzes sicherstellen.
Wieder im Gespräch ist der Plan der EU-Kommissarin, eine grundsätzliche Meldepflicht für Datenschutzverstöße einzuführen. Aktuelle Skandale wie der Einbruch in das PlayStation Netzwerk bei Sony würden das Vertrauen der Verbraucher erschüttern, Gegenmaßnahmen zum Vertrauensaufbau durch Informationspflichten seien dringend notwendig. (ssc)
Weiteren Veröffentlichungen kann entnommen werden, dass in der Neufassung der Richtlinie auch das Recht, vergessen zu werden, verankert werden soll. Auch die Sanktionsmöglichkeiten der Datenschutzbehörden sollen stark aufgewertet werden. So soll es möglich sein, bei Verstößen gegen die EU-Datenschutzrichtlinie Geldstrafen in der Höhe von bis zu 5% des weltweiten Jahresumsatzes des Unternehmens zu verhängen. (se)
15. Juli 2011
Die Europäische Kommission untersucht derzeit, ob zusätzliche Regelungen hinsichtlich der Meldepflicht bei Datenschutzverstößen notwendig sind.
Insbesondere Telekommunikationsanbietern und Internet Service Providern stehe eine große Menge an Kundendaten zur Verfügung, worunter regelmäßig auch die Bankverbindung falle.
Zwar verlangt die EG-Datenschutzrichtlinie bereits in ihrer derzeitigen Fassung eine Selbstanzeige gegenüber den Betroffenen und den jeweiligen nationalen Aufsichtsbehörden, sobald personenbezogene Daten Dritten unrechtmäßig zur Kenntnis gelangen oder gestohlen werden.
Dessen ungeachtet hat Neelie Kroes, EU-Kommissarin für die „Digitale Agenda“, am Donnerstag bekannt gegeben, dass Sie eine öffentliche Konsultation angeregt hat, um festzustellen, ob konkretere Regelungen erforderlich sind. Insoweit plädierte sie für eine europaweit harmonisierte Lösung, die einerseits die Verbraucher schütze andererseits aber auch den Unternehmen einen einheitlichen Rechtsrahmen anstelle vieler nationaler Einzellösungen bieten soll.
Bereits im Mai hatte die EU-Justizkommissarin, Viviane Reding, vorgeschlagen, die Meldeverpflichtung u. a. auf die Bereiche „online banking“, „video games“ und „social media“ auszuweiten.
Die noch bis zum 9. September stattfindende Konsultation legt besonderes Augenmerk auf den Bereich Datensicherheit und die Fragen, innerhalb welcher Frist Betroffene im Falle einer Datenschutzverletzung zu informieren sind, welchen Inhalt die Benachrichtigung haben muss und welche Datenschutzverstöße diese Pflicht überhaupt auslösen sollen.
