open search
close
Datenschutz Neueste Beiträge

Datenschutzverstoß – was ist jetzt zu tun?

Print Friendly, PDF & Email

Längst sind in zahlreichen Unternehmen Datenschutzbeauftragte tätig und erleichtern vielen Unternehmen das (datenschutzkonforme) Leben. Aber wie gestalten sich interne Ermittlungen, wenn es dann doch einmal zu einem Verstoß gegen Datenschutzvorschriften kommt? Ein Überblick zur möglichst zügigen und effizienten Aufklärung von Datenschutzverstößen.

Unabhängig von der Informationsquelle, eines steht fest: Bekommt man als Arbeitgeber Wind von einem Datenschutzverstoß im eigenen Unternehmen, besteht unbedingt Handlungsbedarf. Derzeit nehmen Schadensersatzklagen nach Art. 82 DSGVO vor deutschen Gerichten wegen DSGVO-Verstößen zu. Die Unternehmen werden dabei regelmäßig verurteilt, immaterielle Schäden bis zu einer Höhe von 5.000 EUR je Verstoß zu ersetzen.

Melde- und Benachrichtigungspflichten

Erlangt man Kenntnis von einem möglichen Verstoß gegen datenschutzrechtliche Vorgaben, sind im Rahmen der internen Sachverhaltsaufklärung die Melde- und Benachrichtigungspflichten der Art. 33 und 34 DSGVO zu beachten. Grundsätzlich muss das verantwortliche Unternehmen die Aufsichtsbehörde möglichst innerhalb von 72 Stunden nach ihrem Bekanntwerden über eine Datenschutzverletzung informieren. Dies gilt jedenfalls, wenn sich durch den Verstoß ein Risiko für die persönlichen Rechte der von dem Verstoß betroffenen Person abzeichnet. Neben dieser für Arbeitgeber schwer zu treffenden Einschätzung obliegt es ihnen auch, zu prüfen, ob eine Benachrichtigung der betroffenen Person erforderlich ist. Daher sollte in vielen Fällen auch in Betracht gezogen werden, die Presse- bzw. Kommunikationsabteilung frühzeitig einzubinden, da „Datenpannen“ Magneten medialer Aufmerksamkeit sind. Die Datenpanne sollte nicht nur juristisch aufgearbeitet werden, sondern auch die interne und externe Kommunikation kann entscheidend sein.

Notwendigkeit interner Untersuchungen

Nicht jeder Verstoß gegen Datenschutzvorschriften ist jedoch auch gleich ein Fall für interne Untersuchungen. Grundsätzlich ist es Aufgabe des Datenschutzbeauftragten oder der für die datenschutzrechtliche Beratung zuständigen Abteilung, datenschutzrechtlich bedenkliche Vorgänge zu erkennen und zu beheben, auch unter Hinzuziehung externer Expertise. Sofern folgende Kriterien erfüllt sind, empfiehlt es sich in der Regel, interne Untersuchungen einzuleiten:

  • Vorliegen von abstrakt wiederkehrenden Verletzungen der Grundsätze der DSGVO im Sinne des Art. 5 Abs. 1 DSGVO
  • Vorsätzliche Datenschutzverstöße (z. B. wissentlich unbefugte Weitergabe von personenbezogenen Daten an Dritte etwa mit Schädigungsabsicht)
  • Vehement mangelnde Bereitschaft zur Kooperation mit Datenschutzbehörden oder wiederholte Verweigerung der Abstimmung mit dem Datenschutzbeauftragen oder verantwortlichen Abteilungen
  • Interessenkonflikt des Datenschutzbeauftragten (z.B. wegen Verschwiegenheitspflichten)
  • Wiederholte Verstöße gegen intern geltende Vorschriften oder Vereinbarungen

Eine interne Untersuchung muss also nicht wegen jeder versehentlich versäumten Einwilligung in die Veröffentlichung von Fotos des letzten Betriebsausflugs erfolgen, obwohl auch hier Achtsamkeit geboten ist. Damit wird nicht gleich der Zero-Tolerance-Grundsatz umgangen, der bei Datenschutzverstößen aber durchaus groß geschrieben werden sollte. Im Sinne der Effizienz sollte zwischen dem Bereich Optimierung von Vorgängen durch die Datenschutzabteilung selbst, weil etwa die Einwilligung zum Bild auf der Homepage fehlt, und internen Ermittlungen wegen Datenschutzverstößen, die Auswirkungen auf die Unternehmensstruktur haben, differenziert werden. Nicht jeder Verstoß muss mithin umfassende Ermittlungen auslösen, es sollte vielmehr jeweils eine Abwägung anhand der Schwere des Verstoßes und seiner Auswirkungen für das Unternehmen erfolgen.

Expertise im eigenen Unternehmen nutzen

Müssen interne Ermittlungen durchgeführt werden, sind zunächst die bedenklichen Sachverhalte zu ermitteln und zu analysieren. Dabei ist in Fällen von Datendiebstahl, Datenmanipulation oder Datenverlust meist die IT-Abteilung gefragt, um Mängel in Vertraulichkeit, Speicherung, Verarbeitung und Übermittlung von Daten zu erkennen, zu bewerten und Vorschläge zu Gegenmaßnahmen zu erarbeiten. Das Know-how der IT-Abteilung kann die internen Ermittlungen oftmals in technischer Hinsicht bereichern. Unter Umständen kann es auch geboten sein, den Datenschutzbeauftragten hinzuziehen. Es ist jedoch die besondere Stellung des Datenschutzbeauftragten im Unternehmen zu beachten sowie der Umstand, dass er häufig im Vorfeld die Abläufe selbst eingeführt hat. Hilfestellung bei den internen Ermittlungen kann unter Umständen auch die interne Revision und die Compliance-Abteilung geben. Stets sind die Grenze des Könnens und des Dürfens zu beachten.

Umgang mit Untersuchungsergebnissen

Die juristische Einordnung und Analyse der Untersuchungsergebnisse obliegt dem internen Ermittlerteam in Form eines Abschlussberichts. Im Anschluss ist es ratsam, die nötigen Maßnahmen umzusetzen und zu überwachen. Konsequenz erkannter Datenschutzverstöße ist regelmäßig eine technische Überarbeitung von organisatorischen Abläufen gem. Art. 32 DSGVO, z. B. Löschkonzepte, Zugriffskonzepte und Protokolloptimierung. Nicht selten folgen aber auch individualarbeitsrechtliche Schritte: Je nach Maß der Verantwortlichkeit und Ausmaß des Verstoßes kann es für einzelne Arbeitnehmer zu Abmahnungen, Kündigungen oder Schadensersatzforderungen kommen.

Praxishinweise

Datenschutzverstöße im Unternehmen sollten keinesfalls „links liegen gelassen“ werden. Es drohen Schadensersatzklagen und negative mediale Aufmerksamkeit. Ratsam ist daher, das mit der DSGVO verbundene Reputations- und Haftungsrisiko bereits durch ein im Vorhinein durchdachtes Konzept im Umgang mit Datenschutz(-verstößen) zu minimieren. Denn das Thema Datenschutz rückt immer weiter in das Blickfeld der Gesellschaft.

In Zusammenarbeit mit Jana Schön, Wiss. Mit. im Berliner Büro.

Jakob Friedrich Krüger

Rechtsanwalt

Associate
Jakob F. Krüger berät nationale und internationale Unternehmen mit einem Schwerpunkt seiner Tätigkeit in der Vorbereitung von Kündigungen und anschließender Prozessführung. Zudem berät er Mandanten in der Gestaltung von Anstellungs-, Aufhebungs- und Abwicklungsverträgen sowie zu Fragen des Betriebsverfassungsrechts.
Verwandte Beiträge
Arbeitsrecht 4.0 Neueste Beiträge

Streikrecht 3.0? – Streiken im digitalen Zeitalter

„Ob vor dem Rechner oder vor dem Werkstor“ – gestreikt werden kann überall. Oder nicht? Erste Gewerkschaften haben das bisher eher analog verstandene Streikrecht auf dem „just do it“-Weg digitalisiert. Die Frage der Zulässigkeit eines sog. digitalen Streiks hängt eng mit der Frage zusammen, ob Gewerkschaften überhaupt ein digitales Zugangsrecht zum Betrieb zusteht. Was ist ein digitaler Streik? Die Durchführung eines Streiks, d.h. einer gemeinsamen…
Compliance Neueste Beiträge Whistleblowing & Investigations

Anonyme Hinweisgeber – ein Problem der Verwertbarkeit?

Der aktuelle Regierungsentwurf zum Hinweisgeberschutzgesetz sieht in § 16 die Möglichkeit anonymer Meldungen vor. Daneben kommt es vor, dass Mitarbeiter im Rahmen von internen Untersuchungen nur gegen Zusicherung von Diskretion Aussagen machen wollen. Aber Achtung: Die Anonymität solcher Aussagen kann ihrer praktischen Verwertbarkeit entgegenstehen. Anonyme Meldungen über ein Hinweisgebersystem können der Auslöser für Ermittlungen sein, durch die weitere Hinweise, Zeugen und Beweismittel für den vorgetragenen…
Digitalisierung in Unternehmen Neueste Beiträge

Tipps für die Einführung komplexer IT-Systeme – Teil 1: Workday

Bei der Einführung komplexer IT-Systeme mit umfangreichen Beständen an personenbezogenen Daten ist die Wahrung der betrieblichen Mitbestimmung ein wichtiger Zeit- und Kostenfaktor. Dies gilt regelmäßig auch dann, wenn bereits eine IT-Rahmen-Betriebsvereinbarung vorhanden ist. Die Nutzungszwecke und der Umfang der Verhaltens- und Leistungskontrolle müssen hier von den Betriebsparteien regelmäßig konkret (ggf. in Abweichung von der Rahmenvereinbarung) justiert werden. Wir stellen in einer neuen Reihe von Beiträgen…
Abonnieren Sie den KLIEMT-Newsletter.
Jetzt anmelden und informiert bleiben.

Die Abmeldung ist jederzeit möglich.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert