BfDI: Zwischenbilanz zur Informationspflicht bei “Datenpannen”
Zwei Jahre nach dem Inkrafttreten von § 42a Bundesdatenschutzgesetz (BDSG), der nicht öffentlichen Stellen eine Informationspflicht bei besonderen “Datenpannen” vorschreibt, zieht der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Peter Schaar eine erste Bilanz und zeigt sich mit der Regelung zufrieden. Die Publizitätspflicht motiviere die verantwortliche Stellen, mehr für den Datenschutz und die Datensicherheit zu tun und versetze den Betroffenen zugleich in die Lage, negative Konsequenzen rechtzeitig abzuwenden und Sicherheitsmaßnahmen zu ergreifen. Erforderlich sei allerdings eine gesetzgeberische Nachbesserung in Form der Erstreckung der Informationspflicht auch auf öffentliche Stellen. Es sei nicht nachvollziehbar, weswegen staatliche Stellen von der allgemeinen Informationspflicht bei Datenpannen ausgenommen wurden.
Den Datenschutzaufsichtsbehörden des Bundes und der Länder sollen in den ersten 18 Monaten nach Inkrafttreten von § 42 a BDSG fast 90 Datenschutzverstöße gemeldet worden sein. Überwiegend habe es sich dabei um Fälle des Diebstahles bzw. Verlustes mobiler Datenträger (z.B. Notebooks, USB-Sticks) oder um Fehlversendungen von E-Mails und Briefen gehandelt. Ferner sollen Fälle des Ausspähens von Bankinformationen (“Skimming”) sowie Datenverluste infolge von Hackingangriffen zur Kenntnis gegeben worden sein. Die Anzahl der bundesweit gemeldeten Fälle belegt, dass die Informationspflicht von den verantwortlichen Stellen ernst genommen werde, so Schaar. Dennoch gehe er von einer hohen Dunkelziffer nicht gemeldeter Verstöße aus. Häufig sei auch die Kommunikation der verantwortlichen Stellen gegenüber der Öffentlichkeit und den Datenschutzbehörden stark verbesserungsbedürftig. (sa)
