Was tun bei DS-GVO-Datenlecks?

20.11.2024 | Ratgeber - Internetrecht, Computerrecht Mehr zum Thema: Internetrecht, Computerrecht, Datenschutz, Rechte, Pflichten, Schadensersatz, DSGVO

Rechte, Pflichten und Schadensersatz

In der heutigen digitalen Welt sind personenbezogene Daten ein wertvolles Gut – leider auch ein großes Ziel für Hacker. Kommt es zu einem Datenschutzvorfall, stehen Verantwortliche sowie betroffene Personen vor wichtigen Fragen. Ein Datenleck zieht zahlreiche rechtliche Verpflichtungen nach sich, und die Betroffenen haben gegebenenfalls Anspruch auf Schadensersatz. 

Pflichten der Verantwortlichen bei einem Datenleck

Unternehmen, die personenbezogene Daten verarbeiten, haben laut DS-GVO strenge Auflagen für den Umgang mit diesen Daten. Die Daten müssen geschützt und die Betroffenen natürlich ausführlich über den Umgang mit diesen Daten informiert werden. Kommt es trotz aller Maßnahmen zu einem Datenleck, sind die Verantwortlichen verpflichtet, schnell, aber dennoch sorgsam, zu handeln.

• Meldung an die Aufsichtsbehörde: Sobald das Unternehmen von einem Datenleck erfährt, muss es die zuständige Datenschutzbehörde innerhalb von 72 Stunden informieren. Die Meldung muss eine detaillierte Beschreibung des Vorfalls, Art und Umfang der betroffenen Daten und die geplanten Abhilfemaßnahmen enthalten. Die Meldepflicht entfällt nur dann, wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht oder zu einem geringen Risiko für die Rechte und Freiheiten der betroffenen Personen führt.

• Benachrichtigung der betroffenen Personen: Wenn das Datenleck ein Risiko für die betroffenen Personen darstellt – beispielsweise, wenn sensible Daten wie Passwörter oder Finanzinformationen veröffentlicht wurden – muss das Unternehmen die Betroffenen unverzüglich benachrichtigen. Diese Benachrichtigung sollte klar und verständlich über die Art des Datenlecks, die möglichen Folgen und die ergriffenen Maßnahmen informieren.

• Ergreifung von Abhilfemaßnahmen: Unternehmen sind verpflichtet, nach einem Datenleck Sofortmaßnahmen zu ergreifen, um das Risiko für die betroffenen Personen zu minimieren und ähnliche Vorfälle in Zukunft zu verhindern. Dazu gehört oft eine umfassende Überprüfung der IT-Sicherheitsmaßnahmen und die Einführung zusätzlicher Schutzvorkehrungen.

Rechte der betroffenen Personen bei einem Datenleck

Für die betroffenen Personen bedeutet ein Datenleck häufig Unsicherheit, denn ihre persönlichen Informationen könnten in die falschen Hände geraten. Die DS-GVO gewährt Betroffenen in diesem Fall bestimmte Rechte:

1. Informationsrecht: Betroffene Personen haben das Recht, vom verantwortlichen Unternehmen klare Informationen über die Art des Datenlecks zu erhalten. Sie müssen wissen, welche ihrer Daten betroffen sind und welche Folgen das Datenleck für sie haben könnte. Das Unternehmen ist verpflichtet, ihnen eine transparente und verständliche Erklärung zu liefern.
2. Schadensersatzansprüche: Wenn betroffene Personen durch das Datenleck einen nachweisbaren Schaden erlitten haben – sei es finanziell, emotional oder in anderer Weise –, können sie gemäß DS-GVO Schadensersatz geltend machen. Der Anspruch umfasst sowohl materielle als auch immaterielle Schäden, wie etwa psychische Belastungen durch die Sorge um die Sicherheit der eigenen Daten. Die Höhe des Schadensersatzes hängt von der Schwere des Verstoßes und den daraus resultierenden Schäden ab.

Daneben greifen natürlich auch die weiteren Rechte, die in der DS-GVO geregelt sind, z.B. Auskunft über Datenverarbeitung, Löschung der Daten, Einschränkung der Datennutzung etc.

Schadensersatzansprüche bei DS-GVO-Verstößen

Die DS-GVO ermöglicht es Betroffenen, die Verantwortlichen direkt für Verstöße haftbar zu machen, wenn sie durch ein Datenleck einen Schaden erlitten haben. Dabei ist es wichtig, dass Betroffene die entstandenen Schäden genau dokumentieren, um einen Schadensersatzanspruch belegen zu können. In einigen Fällen kann es sinnvoll sein, rechtliche Unterstützung in Anspruch zu nehmen, um den Anspruch durchzusetzen.

Die Schadensersatzhöhe ist dabei nicht gesetzlich festgelegt und wird von Gerichten abhängig vom Einzelfall bemessen. So können sowohl finanzielle Verluste als auch emotionale Belastungen, die durch die Unsicherheit oder den Verlust der Daten entstehen, berücksichtigt werden. Der EuGH hat mittlerweile entschieden, dass Betroffene nicht nachweisen müssen, dass die Daten tatsächlich beispielsweise in Form eines Identitätsdiebstahls missbraucht wurden, allein die Möglichkeit, dass dies passiert sein könnte, begründet Ansprüche auf Schadensersatz.

Datenschutzvorfälle ernst nehmen

Ein Datenleck hat für die Verantwortlichen und betroffenen Personen weitreichende Folgen. Es muss schnell und effektiv reagiert werden, um das Vertrauen der Betroffenen und der Öffentlichkeit zu wahren und rechtliche Konsequenzen zu vermeiden. Betroffene haben Rechte, die ihnen Transparenz und gegebenenfalls Schadensersatz zusichern. Durch das Wissen um die eigenen Rechte und die Unterstützung von rechtlichen Fachleuten können Betroffene besser auf einen Datenschutzvorfall reagieren und ihre Ansprüche geltend machen.

Für Verantwortliche empfiehlt es sich, für ihre Datenverarbeitung Unterstützung dazu zu holen, denn die DS-GVO ist komplex und deren Einhaltung aber sehr wichtig. Mit der Hilfe eines Datenschutzbeauftragten kann man bereits die best practices zum Schutz erhobener Daten nutzen.

Auch wir bei advomare unterstützen Sie gerne im Datenschutz. Ob Datenschutzkonzept, Folgenabschätzung oder DS-GVO-Verstoß: Wir informieren Sie in einer kostenfreien Ersteinschätzung über alle gesetzlichen Vorgaben, Ihre Handlungsoptionen und die Kosten.