Ist es eine Datenpanne, wenn ein Kollege deine Dateien liest?

MacWindowsAktualisiert

Nach der Datenschutz-Grundverordnung (DSGVO) umfasst eine „Verletzung des Schutzes personenbezogener Daten“ auch den unbefugten Zugang zu personenbezogenen Daten, ob unbeabsichtigt oder unrechtmäßig. Ob ein Unternehmen sie melden muss, hängt vom Risiko für die betroffenen Menschen ab. Davon getrennt kann der unberechtigte Umgang mit Daten nach § 42 des Bundesdatenschutzgesetzes (BDSG) strafbar sein.

Diese Seite ist eine allgemeine Information, keine Rechtsberatung. Für einen konkreten Fall sprich mit einer Anwältin oder einem Anwalt.

Kurze Antwort

Art. 4 Nr. 12 DSGVO definiert die Verletzung als eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder „zum unbefugten Zugang zu personenbezogenen Daten führt“. Meldepflichtig ist das Unternehmen, nicht du: unverzüglich und möglichst binnen 72 Stunden an die Aufsichtsbehörde, außer es besteht voraussichtlich kein Risiko für die Betroffenen.

Was gilt als Verletzung des Schutzes personenbezogener Daten?

Die Definition steht in Art. 4 Nr. 12 DSGVO. Eine „Verletzung des Schutzes personenbezogener Daten“ ist danach „eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden“.

Die Definition nennt „unbeabsichtigt“ und „unrechtmäßig“ nebeneinander. Und sie nennt den unbefugten Zugang als eigenen Fall, neben Vernichtung, Verlust, Veränderung und Offenlegung.

Gilt das auch für Leute im eigenen Unternehmen?

Die Definition spricht vom „unbefugten Zugang“, ohne zu sagen, von wem. Eine weitere Vorschrift betrifft Beschäftigte direkt. Art. 29 DSGVO sagt: Jede dem Verantwortlichen „unterstellte Person, die Zugang zu personenbezogenen Daten hat“, darf diese Daten „ausschließlich auf Weisung des Verantwortlichen verarbeiten“, es sei denn, sie ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet.

Ob in einem bestimmten Fall eine Verletzung vorliegt, hängt von den Umständen ab.

Wer muss melden, und wann?

Die Pflicht liegt beim Unternehmen, dem „Verantwortlichen“. Art. 33 Absatz 1 DSGVO sagt, dass der Verantwortliche die Verletzung „unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde“, der zuständigen Aufsichtsbehörde meldet, „es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.“ Kommt die Meldung später, ist laut Art. 33 eine Begründung für die Verzögerung beizufügen.

Drei weitere Punkte hängen daran:

  1. Dokumentation. Nach Art. 33 Absatz 5 dokumentiert der Verantwortliche Verletzungen einschließlich der Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen.
  2. Benachrichtigung der Betroffenen. Hat die Verletzung „voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge“, benachrichtigt der Verantwortliche laut Art. 34 die betroffene Person unverzüglich.
  3. Zuständige Behörde. Bei privaten Unternehmen überwachen laut § 40 BDSG die nach Landesrecht zuständigen Behörden den Datenschutz.

Glaubst du, dass jemand personenbezogene Daten gelesen hat, die nicht für ihn bestimmt waren, frag, wer bei dir dafür zuständig ist, etwa die oder der Datenschutzbeauftragte. Die Wege dahin stehen in Kollegen melden, der an deinem Laptop oder Handy war.

Wann wird es strafbar?

Die Meldepflichten oben sind Pflichten des Unternehmens. § 42 BDSG ist etwas anderes: eine Straftat einer Person.

§ 42 Absatz 2 bestraft mit Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe, wer personenbezogene Daten, die nicht allgemein zugänglich sind,

  1. „ohne hierzu berechtigt zu sein, verarbeitet“ oder
  2. „durch unrichtige Angaben erschleicht“

und dabei „gegen Entgelt oder in der Absicht handelt, sich oder einen anderen zu bereichern oder einen anderen zu schädigen“.

Absatz 1 betrifft nicht allgemein zugängliche Daten „einer großen Zahl von Personen“, die jemand wissentlich und ohne Berechtigung einem Dritten übermittelt oder auf andere Art zugänglich macht und dabei gewerbsmäßig handelt; dafür nennt das Gesetz bis zu drei Jahre.

Laut Absatz 3 wird die Tat nur auf Antrag verfolgt. Antragsberechtigt sind die betroffene Person, der Verantwortliche, die oder der Bundesbeauftragte und die Aufsichtsbehörde. Absatz 4 regelt außerdem, dass eine Meldung nach Art. 33 oder eine Benachrichtigung nach Art. 34 in einem Strafverfahren gegen den Meldepflichtigen nur mit dessen Zustimmung verwendet werden darf.

Für den Zugang zu besonders gesicherten Daten gibt es außerdem § 202a StGB, das Ausspähen von Daten. Den Wortlaut und die Strafen erklärt Ist es in Deutschland strafbar, an einen fremden Computer zu gehen?.

Und meine eigenen Rechte?

Du kannst nach Art. 15 DSGVO Auskunft darüber verlangen, welche Daten über dich verarbeitet werden, unter anderem über die Empfänger, gegenüber denen sie offengelegt worden sind. Und du kannst dich nach Art. 77 DSGVO bei einer Aufsichtsbehörde beschweren, wenn du der Ansicht bist, dass die Verarbeitung deiner Daten gegen die Verordnung verstößt.

Hast du durch einen Verstoß einen materiellen oder immateriellen Schaden erlitten, hast du laut Art. 82 DSGVO Anspruch auf Schadenersatz gegen den Verantwortlichen oder den Auftragsverarbeiter.

Weitere Fragen

Ist es eine Datenpanne, wenn ein Kollege meine Personalakte liest?

Die DSGVO erfasst den „unbefugten Zugang zu personenbezogenen Daten“. Der BfDI schreibt für den öffentlichen Dienst des Bundes, Zugang zu Personalakten dürften nur Beschäftigte haben, die in der Personalverwaltung mit Personalangelegenheiten befasst sind. Ob in deinem Fall eine Verletzung vorliegt, hängt von den Umständen ab.

Muss jede Datenpanne gemeldet werden?

Nein. Nach Art. 33 DSGVO entfällt die Meldung an die Aufsichtsbehörde, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Art. 33 Absatz 5 verlangt außerdem, dass der Verantwortliche Verletzungen dokumentiert.

Muss ich selbst die Datenpanne melden?

Die Meldepflicht nach Art. 33 trifft den Verantwortlichen, also das Unternehmen. Du kannst dich aber nach Art. 77 bei einer Aufsichtsbehörde beschweren. Die Wege beschreibt Kollegen melden.

Ist § 42 BDSG dasselbe wie § 202a StGB?

Nein. § 42 BDSG betrifft personenbezogene Daten und verlangt in Absatz 2 Entgelt oder eine Bereicherungs- oder Schädigungsabsicht. § 202a StGB betrifft Daten, die gegen unberechtigten Zugang besonders gesichert sind, und den Zugang unter Überwindung der Zugangssicherung.

Was ist die Strafe nach § 42 BDSG?

Nach Absatz 2 Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe, nach Absatz 1 bis zu drei Jahren oder Geldstrafe. Verfolgt wird die Tat nur auf Antrag.

Quellen