Kommt es in einem Unternehmen zu einer Datenschutzverletzung, stellt sich häufig sehr schnell die Frage, ob der Vorfall gegenüber der zuständigen Datenschutzaufsichtsbehörde gemeldet werden muss. Art. 33 DSGVO verpflichtet Verantwortliche unter bestimmten Voraussetzungen zu einer entsprechenden Meldung.
Dabei kann jedoch ein Spannungsverhältnis entstehen: Die Meldung enthält regelmäßig Informationen über den Vorfall, seine Ursachen und die bereits ergriffenen Maßnahmen. Gerade daraus können sich zugleich Hinweise auf einen möglichen eigenen Datenschutzverstoß ergeben.
Damit stellt sich eine naheliegende Frage: Muss ein Unternehmen der Aufsichtsbehörde Informationen zur Verfügung stellen, die später gegen das Unternehmen in einem Bußgeldverfahren verwendet werden könnten?
Genau an dieser Stelle setzt § 43 Abs. 4 BDSG an.
Meldepflicht nach Art. 33 DSGVO
Wird dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten bekannt, muss zunächst geprüft werden, ob eine Meldung nach Art. 33 DSGVO erforderlich ist.
Eine Meldung an die zuständige Aufsichtsbehörde ist grundsätzlich notwendig, wenn die Datenschutzverletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Sie muss unverzüglich und möglichst innerhalb von 72 Stunden erfolgen.
Besteht sogar ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen, kann zusätzlich eine Benachrichtigung der Betroffenen nach Art. 34 DSGVO erforderlich sein.
Die Meldung an die Aufsichtsbehörde beschränkt sich dabei nicht auf die bloße Mitteilung, dass eine Datenschutzverletzung eingetreten ist.
Vielmehr muss der Verantwortliche unter anderem die Art der Datenschutzverletzung beschreiben, mögliche Folgen darstellen und mitteilen, welche Maßnahmen zur Behebung oder Begrenzung des Vorfalls ergriffen oder vorgeschlagen wurden.
Gerade diese Informationen können jedoch Rückschlüsse darauf zulassen, ob im Unternehmen zuvor datenschutzrechtliche Pflichten verletzt wurden. Das Spannungsverhältnis zwischen Meldepflicht und Selbstbelastungsfreiheit bildet daher den Ausgangspunkt für § 43 Abs. 4 BDSG.
Der Grundsatz der Selbstbelastungsfreiheit
Hinter § 43 Abs. 4 BDSG steht nemo tenetur se ipsum accusare.
Gemeint ist der Grundsatz, dass niemand gezwungen werden soll, sich selbst zu belasten oder aktiv an seiner eigenen straf- oder ordnungswidrigkeitenrechtlichen Verfolgung mitzuwirken.
Im Datenschutzrecht entsteht dabei eine besondere Situation. Einerseits verpflichtet die DSGVO Verantwortliche ausdrücklich zur Offenlegung bestimmter Informationen. Andererseits können gerade diese Angaben den Verdacht eines Datenschutzverstoßes begründen oder verstärken.
Der Gesetzgeber hat dieses Problem erkannt. § 43 Abs. 4 BDSG soll einen Ausgleich zwischen den datenschutzrechtlichen Meldepflichten und dem Schutz vor Selbstbelastung schaffen.
Was regelt § 43 Abs. 4 BDSG?
Nach § 43 Abs. 4 BDSG darf eine Meldung nach Art. 33 DSGVO oder eine Benachrichtigung nach Art. 34 Abs. 1 DSGVO in einem Ordnungswidrigkeitenverfahren gegen den Meldepflichtigen oder Benachrichtigenden grundsätzlich nur mit dessen Zustimmung verwendet werden.
Die Vorschrift beseitigt damit nicht die Meldepflicht.
Ein Unternehmen kann eine notwendige Meldung nach Art. 33 DSGVO also nicht mit der Begründung verweigern, die darin enthaltenen Informationen könnten später belastend wirken.
Der Schutz setzt vielmehr auf einer anderen Ebene an: bei der späteren Verwendung dieser Informationen.
Vereinfacht gesagt gilt daher:
Das Unternehmen muss die Datenschutzverletzung melden. Die verpflichtende Meldung darf jedoch grundsätzlich nicht ohne Zustimmung gegen den Meldepflichtigen in einem Bußgeldverfahren verwendet werden.
Es handelt sich somit um ein Verwendungsverbot und nicht um ein allgemeines Aussage- oder Auskunftsverweigerungsrecht. Genau diese Unterscheidung ist für das Verständnis der Vorschrift entscheidend.
Beispiel aus der Praxis
Angenommen, ein Unternehmen stellt fest, dass personenbezogene Kundendaten aufgrund einer fehlerhaften Serverkonfiguration über einen längeren Zeitraum öffentlich erreichbar waren.
Im Rahmen der internen Untersuchung zeigt sich, dass eine notwendige Sicherheitseinstellung nicht aktiviert war.
Das Unternehmen prüft den Vorfall und gelangt zu dem Ergebnis, dass eine Meldung nach Art. 33 DSGVO erforderlich ist. Gegenüber der Aufsichtsbehörde beschreibt es daher nicht nur den Vorfall, sondern auch dessen Ursache.
Diese Angaben könnten zugleich die Frage aufwerfen, ob das Unternehmen ausreichende technische und organisatorische Maßnahmen nach Art. 32 DSGVO getroffen hatte.
§ 43 Abs. 4 BDSG soll verhindern, dass das Unternehmen allein aufgrund seiner gesetzlichen Meldepflicht gezwungen wird, der Behörde unmittelbar das Material für ein gegen das Unternehmen gerichtetes Bußgeldverfahren zur Verfügung zu stellen.
Kein allgemeiner Schutz vor Bußgeldern
Die Reichweite des § 43 Abs. 4 BDSG sollte allerdings nicht überschätzt werden.
Die Vorschrift bedeutet nicht, dass nach einer gemeldeten Datenschutzverletzung grundsätzlich kein Bußgeld mehr verhängt werden könnte.
Die Datenschutzaufsichtsbehörde behält ihre gesetzlichen Befugnisse. Sie kann einen Datenschutzvorfall untersuchen, weitere Informationen erheben und – sofern die gesetzlichen Voraussetzungen vorliegen – auch ein Bußgeldverfahren einleiten.
Entscheidend ist vielmehr die Unterscheidung zwischen der Verwendung der verpflichtenden Meldung und der Verfolgung des zugrunde liegenden Datenschutzverstoßes.
§ 43 Abs. 4 BDSG enthält somit kein allgemeines Verfolgungsverbot. Erlangt die Behörde unabhängig von der Meldung weitere Erkenntnisse, ist deren Verwendung nicht allein aufgrund dieser Vorschrift ausgeschlossen.
Auch deshalb ist die Formulierung „Selbstbelastungsschutz“ zwar zutreffend, darf aber nicht mit einer allgemeinen Immunität gegenüber datenschutzrechtlichen Sanktionen verwechselt werden.
Nicht jede Kommunikation ist geschützt
Ein weiterer wichtiger Punkt betrifft den Umfang des Schutzes.
§ 43 Abs. 4 BDSG nennt ausdrücklich die Meldung nach Art. 33 DSGVO sowie die Benachrichtigung nach Art. 34 Abs. 1 DSGVO.
Daraus folgt, dass nicht jede spätere Kommunikation zwischen einem Unternehmen und der Datenschutzaufsichtsbehörde automatisch unter dieses Verwendungsverbot fällt.
Gerade in der Praxis schließt sich an eine Datenpannenmeldung häufig weitere Korrespondenz mit der Aufsichtsbehörde an. Die Behörde kann zusätzliche Fragen stellen, Unterlagen anfordern oder nähere Informationen über Ursachen, technische Maßnahmen oder interne Abläufe verlangen.
Für solche weitergehenden Auskunftsersuchen gelten teilweise andere Regelungen.
Unternehmen sollten daher sorgfältig dokumentieren, welche Informationen Bestandteil der eigentlichen Meldung nach Art. 33 DSGVO waren und welche Angaben erst später im Rahmen zusätzlicher Auskunftsersuchen gemacht wurden.
Das Ausgangsmaterial weist ebenfalls darauf hin, dass für sonstige im Rahmen von Mitwirkungspflichten übermittelte Informationen kein § 43 Abs. 4 BDSG entsprechendes ausdrückliches Verwendungsverbot besteht.
Was gilt im Strafverfahren?
§ 43 Abs. 4 BDSG betrifft ausdrücklich das Ordnungswidrigkeitenverfahren.
Für Strafverfahren enthält § 42 Abs. 4 BDSG eine vergleichbare Regelung. Auch dort dürfen Meldungen nach Art. 33 DSGVO oder Benachrichtigungen nach Art. 34 Abs. 1 DSGVO grundsätzlich nur mit Zustimmung gegen den Meldepflichtigen oder Benachrichtigenden verwendet werden.
Vereinfacht lässt sich daher festhalten:
§ 43 Abs. 4 BDSG betrifft das Bußgeldverfahren, § 42 Abs. 4 BDSG das Strafverfahren.
Für andere Verfahren ergibt sich daraus allerdings nicht automatisch ein entsprechendes allgemeines Verwendungsverbot.
Bedeutung für die Praxis
Für Unternehmen bedeutet § 43 Abs. 4 BDSG vor allem, dass eine gesetzlich vorgeschriebene Meldung nicht aus Angst vor möglichen Sanktionen unterlassen werden sollte.
Gleichzeitig empfiehlt sich ein strukturierter Umgang mit Datenschutzverletzungen.
Zunächst sollte sorgfältig geprüft werden, ob überhaupt eine Meldepflicht nach Art. 33 DSGVO besteht und ob gegebenenfalls zusätzlich Art. 34 DSGVO greift.
Die abgegebene Meldung sollte vollständig, sachlich und präzise dokumentiert werden. Außerdem sollte nachvollziehbar bleiben, welche Informationen Bestandteil der ursprünglichen Meldung waren und welche Angaben erst später gegenüber der Aufsichtsbehörde gemacht wurden.
Bei umfangreichen oder besonders risikoreichen Datenschutzvorfällen empfiehlt sich eine frühzeitige Abstimmung zwischen Datenschutzbeauftragten, IT-Sicherheit, Geschäftsleitung und gegebenenfalls rechtlicher Beratung.
Fazit
§ 43 Abs. 4 BDSG schafft einen wichtigen Ausgleich zwischen zwei gegensätzlichen Interessen.
Auf der einen Seite verlangt die DSGVO, dass bestimmte Datenschutzverletzungen gegenüber der Aufsichtsbehörde offengelegt werden. Auf der anderen Seite soll ein Verantwortlicher durch diese gesetzliche Verpflichtung nicht gezwungen werden, selbst unmittelbar die Grundlage für seine Sanktionierung zu schaffen.
Die Vorschrift hebt die Meldepflicht daher nicht auf. Sie beschränkt vielmehr die spätere Verwendung der verpflichtenden Meldung in einem Ordnungswidrigkeitenverfahren.
Ein allgemeiner Schutz vor Bußgeldern ist damit jedoch nicht verbunden. Die Aufsichtsbehörde kann den zugrunde liegenden Sachverhalt weiterhin untersuchen und unabhängig gewonnene Erkenntnisse berücksichtigen.
Für Unternehmen ist deshalb vor allem eines entscheidend: Die eigentliche Datenpannenmeldung und die weitere Kommunikation mit der Aufsichtsbehörde sollten rechtlich und organisatorisch klar voneinander getrennt werden.
Denn in einem späteren Verfahren kann nicht nur entscheidend sein, welche Informationen der Behörde vorliegen – sondern auch, auf welchem Weg sie diese Informationen erhalten hat.
Bei Fragen stehe ich Ihnen gerne zur Verfügung.
Viele Grüße aus Aachen
Ingo Goblirsch