11/12/2020
MELDEPFLICHTIGTE DATENPANNE ?
E-Mail-Verteiler
„CC“ statt „BCC“
Eine Verpflichtung zur Meldung einer sogenannten Datenschutzpanne kann sich regelmäßig aus Art. 33 Abs. 1 S. 1 DS-GVO ergeben. Ein Verstoß gegen diese Meldepflicht oder eine fehlende Dokumentation des Datenschutzvorfalls wird von der zuständigen Behörde gemäß Art. 83 DS-GVO mit durchaus empfindlichen Bußgeldern geahndet.
Gemäß Art. 33 Abs. 1 S. 1 DS-GVO hat der Verantwortliche Verletzungen des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde, der zuständigen Aufsichtsbehörde zu melden, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Um die Verpflichtung aus Art. 33 Abs. 1 S. 1 DS-GVO bejahen zu können, müsste also zunächst eine „Verletzung des Schutzes personenbezogener Daten“ im Sinne der Vorschrift gegeben sein. Der Begriff der „Verletzung des Schutzes personenbezogener Daten“ ist in Art. 4 Nr. 12 DS-GVO legaldefiniert als eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.
Mit der Verwendung des offenen E-Mail-Verteilers ( „ CC“ statt „ BCC“ ) kann – wenn hierfür kein Rechtmäßigkeitsgrund im Sinne des Art. 6 Ds-GVO vorgelegen hat- eine unbefugte Offenlegung von personenbezogenen Daten, mithin eine Verletzung des Schutzes personenbezogener Daten einhergehen, weil es sich bei E-Mail-Adressen grundsätzlich um personenbezogene Daten im Sinne der DS-GVO handelt.
Im Falle des Vorliegens einer Datenschutzverletzung entfällt die Meldepflicht gegenüber der Aufsichtsbehörde lediglich dann, wenn die Datenschutzverletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Insofern bedarf es einer Prognoseentscheidung, für deren Richtigkeit allerdings der für die Datenverarbeitung Verantwortliche die Verantwortung trägt.
Als potenzielle Risiken führt Erwägungsgrund 85 der DS-GVO beispielhaft u.a. physische, materielle oder immaterielle Schäden, Diskriminierung, Rufschädigung oder erhebliche wirtschaftliche oder gesellschaftliche Nachteile auf. Nach den Leitlinien zur DS-GVO (WP 250 rev.01) ist die Benachrichtigung nicht erforderlich, wenn keine sensiblen Daten offengelegt werden und nur eine kleine Anzahl von E-Mail-Adressen sichtbar ist oder aber die Daten innerhalb eines sogenannten Soziotopes offengelegt worden sind, innerhalb dessen eine Offenlegung keine datenschutzrechtlichen Gefährdungspotentiale birgt.
Gerne helfen wir auch kurzfristig im Falle einer Datenpanne bei der notwendigen Risikobewertung und der erforderlichen Dokumentation.
Kontaktieren Sie unsere im Datenschutzbereich zertifizierten Rechtsanwälte ( TÜV-Rheinland)
[email protected]
