Datenschutzverletzung

BDSG & DSGVO 2018

Diese Änderung beschränkt sich auf einige wenige Verstöße. Verletzung der Melde-, Auskunfts-, Auskunfts-, Zweck- oder unzulässigen Erfassung von Personendaten gegen den Willen Betroffener Das BDSG schreibt in folgendem Fall eine Geldstrafe von bis zu 300.000 EUR vor: unberechtigte Erfassung von nicht generell einsehbaren Personendaten, betrügerische Übermittlung von Personendaten, Verwendung der Personendaten für Werbezwecke trotz des Widerrufs der Person, Verletzung der Mitteilungspflicht bei Vorliegen einer rechtswidrigen Erhebungspflicht.

Eine vorsätzliche Verletzung nach 43 Abs. 2 BDSG kann dagegen dann strafbar sein, wenn sie mit der Intention der Anreicherung oder gegen Bezahlung begangen wurde: In dem neuen BDSG werden daher auch die Bußgelder und Sanktionen angepasst. Die sind nur eine Ergänzung zur DSGVO und werden in Bezug auf den Vertragsverletzungskatalog umfangreich verkürzt.

Bei wissentlicher, kommerzieller und unbefugter Offenlegung einer Vielzahl von personenbezogenen Informationen kann eine Haftstrafe von bis zu drei Jahren oder eine Strafe verhängt werden. Werden durch Betrug unbefugte und bezahlte Datenverwendung erlangt, bleiben die geltenden strafrechtlichen Bestimmungen erhalten. Das Bußgeld für einen irregulären Verstoss wurde auf maximal EUR 50000 festgesetzt. Allerdings werden ab dem Jahr 2018 nur noch zwei Tatsachen getrennt betrachtet: die Verletzung des Auskunftsrechts und die nicht fristgerechte Information der betreffenden Person.

Eine Löschung von Straftaten aus dem BDSG heißt jedoch nicht, dass nur diese nach Inkrafttreten des neuen Gesetzentwurfs geahndet werden können. Außerdem werden Bußgelder von bis zu 20 Mio. EUR oder bis zu 4 Prozentpunkten des Weltumsatzes festgesetzt. Eine solche Ernennung muss auf Landes- und Bundesebene sowie in Datenverarbeitungsunternehmen erfolgen.

Im Regelfall werden die Untersuchungsbehörden diesen Tatverdacht dann untersuchen und bei entsprechender Feststellung geeignete Maßnahmen ergreifen.

einsatzgebiet der software

Diese Meldepflicht resultiert aus 109a TKG. Mit diesem System soll im Wesentlichen Art. 4 der überarbeiteten Datenschutz- und Kommunikationsrichtlinie (Richtlinie 2009/136/EG zur Anpassung der Richtlinien 2002/58/EG) umgesetzt werden. Verpflichtet nach 109a Abs. 1 TKG ist derjenige, der öffentliche Telekommunikationsdienstleistungen bereitstellt.

Den objektiven Geltungsbereich bezeichnet man als "Verletzung des Datenschutzes". Ein " Verstoß gegen den Schutz persönlicher Angaben " ist ein Verstoß gegen die Sicherheit der personenbezogenen Angaben, der zum Verlust, zur rechtswidrigen Vernichtung, Änderung, Abspeicherung, Offenlegung oder zu anderen rechtswidrigen Nutzungen von personenbezogenen Angaben führen kann, die im Rahmen der Erbringung öffentlicher Telekommunikationsdienstleistungen übermittelt, aufbewahrt oder anderweitig weiterverarbeitet werden sowie zu ungesetzlichem Zugriff auf diese Angaben.

Dabei ist seit dem 25. 05. 2018 auch die Grunddatenschutzverordnung (DSGVO) zu berücksichtigen, die eigene Mitteilungspflichten gegenüber der für den Schutz der Privatsphäre verantwortlichen Aufsichtsstelle festlegt (§ 33 DSGVO). Sofern Gesellschaften persönliche Angaben zur gewerblichen Bereitstellung von Telekommunikationsdienstleistungen bearbeiten, obliegt die Verantwortung für Mitteilungen nach 33 DSGVO allein dem BfDI (§ 115 Abs. 4 S. 1 TKG).

Es gilt die Mitteilungspflicht nach 33 DSGVO, wenn das auf die gemeldete Verletzung anzuwendende Recht die DSGVO ist. Das gilt für allgemeine personenbezogene Angaben von natürlichen Personen, vor allem für Inventardaten, für die das TKG keine sektorspezifischen Datenschutzvorschriften zur Anwendung der Datenschutzrichtlinie ePrivacy (2002/58/EG) vorsieht (vgl. Artikel 95 DSGVO).

Bei gemischten Fällen, in denen neben der DSGVO die Datenschutzbestimmungen des TKG im Sinne der Datenschutzrichtlinie durch die gleichen Lebensumstände verstoßen wurden, besteht lediglich Anzeigepflicht nach § 109a TKG. Nähere Angaben zur Mitteilungspflicht und ein Mitteilungsformular für Mitteilungen nach § 33 DSGVO finden Sie auf der Website des BfDI.

Nachfolgend werden nur die Berichte nach § 109a TKG behandelt. Für die Anzeige einer Datenschutzverletzung gemäß 109a TKG nutzen Sie das mit dem BfDI vereinbarte Meldeschein. Erklärungen zur Anwendung sind in den mit dem BfDI entwickelten Richtlinien enthalten.

109a TKG beinhaltet eine vom Risiko für die betroffene Person abhängige zwei Stufen der Informationspflichten des Dienstleisters. Kann davon ausgegangen werden, dass ein Abonnent oder andere schützenswerte Dritte durch die Missachtung des Datenschutzes in ihren Rechten oder Belangen ernsthaft in Mitleidenschaft gezogen werden, hat der Dienstanbieter auch diese betroffene Person umgehend zu unterrichten.

Werden geeignete technische Schutzmassnahmen nachgewiesen ( 109a Abs. 1 S. 3 TKG), dürfen die betreffenden Personen nicht benachrichtigt werden. Eine meldepflichtige Störung muss innerhalb von 24 Std. nach der Entdeckung des Datenverstoßes angezeigt werden. Ein Verstoß gegen den Datenschutz liegt vor, sobald der Dienstanbieter von einem Sicherheitsverstoß, der zu einem Verstoß gegen den Schutz persönlicher Angaben führt, ausreichend erfahren hat.