Home -> Law Blog Directory -> International Law Blogs -> LAWgical

International Law

: LAWgical

Data Security Breach und Benachrichtigungspflicht

Was haben diese, diese und wiederholte vergleichbare Meldungen in letzter Zeit gemeinsam? In allen Fällen werden Anforderungen an die Sicherheit sensibler Daten in Unternehmen nicht eingehalten, woraus sich nahe liegende Gefahren für Kunden und Mitarbeiter ergeben. Aber woran liegt es, dass sich solche Meldungen fast ausschließlich auf US-amerikanische, aber nie auf deutsche Unternehmen beziehen? Eher nicht, weil so etwas in deutschen Unternehmen nicht passiert oder es keine Meldung wert wäre. Sondern weil US-Unternehmen zur Meldung solcher Vorfälle verpflichtet sind, deutsche aber nicht.

Im Gegensatz zu den USA, wo in den meisten Bundesstaaten inzwischen eine Meldepflicht für Fälle des sog. "Data Security Breach" besteht, existieren in Deutschland keine und in der EU nur in wenigen Mitgliedsstaaten entsprechende Regelungen. Vor ein paar Wochen wurde ich um eine Antwort auf die Frage gebeten, ob sich aus den bestehenden deutschen Gesetzen eine Meldepflicht und/oder die Pflicht zur Ergreifung vorbeugender schadensmindernder Maßnahmen ergeben könnte. Meine Antwort: Wenn, dann nur auf der Grundlage ziemlich mutiger Analogien (§§ 836, 908, 254 Abs. 2 BGB), die auf allzu wackligen Beinen stehen. Eine einklagbare Pflicht, etwas zu unternehmen, besteht erst, wenn es zu spät ist, wenn nämlich schon ein Schaden eingetreten ist (§§ 280, 823 BGB, 7 BDSG). Deshalb sind ausdrückliche Regelungen zum "Data Security Breach" und zur entsprechenden Benachrichtigungspflicht im deutschen Recht sinnvoll, um die Sensibilität von Unternehmen für die Sicherheit personenbezogener Daten zu steigern. Glücklicherweise läuft bereits seit einiger Zeit das Gesetzgebungsverfahren für eine entsprechende EU-Richtlinie. Auch der European Data Protection Supervisor begrüßt die darin enthaltenen Regelungen.

Full post as published by LAWgical on June 09, 2008 (boomark / email).