Datensicherheitsverletzungen durch Postversandfehler

Beim Versand von Schreiben kommt es immer wieder zu Fehlern von Seiten der eigenen Mitarbeiter. Dies gilt es – soweit wie möglich – durch die folgenden Maßnahmen zu verhindern:

Maßnahmen des Verantwortlichen zur Verhinderung des Fehlversands

Nach Art. 24 Abs. 1 DSGVO setzt der Verantwortliche unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung der Datenschutz-Grundverordnung gemäß erfolgt.

In Konkretisierung des Grundsatzes der Integrität und Vertraulichkeit (Art. 5 Abs. 1 Buchst. f DSGVO) verlangt Art. 32 Abs. 1 DSGVO von dem Verantwortlichen also, geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Diese Maßnahmen sind in erforderlichem Umfang zu überprüfen und zu aktualisieren (vgl. Art. 24 Abs. 1 Satz 2 DSGVO).

Versehentliche Fehlversendungen lassen sich zwar auch mit ausgefeilten technisch-organisatorischen Maßnahmen nicht vollständig verhindern. Vorausgesetzt ist dabei aber, dass die nötigen technisch-organisatorischen Maßnahmen überhaupt ergriffen, regelmäßig überprüft und gegebenenfalls aktualisiert werden. Insbesondere eine Namensgleichheit dürfte bei der mitunter hohen Anzahl beispielsweise der von Finanzämtern verarbeiteten personenbezogenen Daten keine Seltenheit sein, so dass diesbezüglich möglichst zuverlässige Maßnahmen getroffen werden müssen, um Fehladressierungen zu vermeiden. Prozessabläufe sind so zu gestalten, dass Fehlversendungen verhindert werden.

Ausnahme von der Meldepflicht

Die Meldepflicht für Verletzungen des Schutzes personenbezogener Daten nach Art. 33 Abs. 1 DSGVO besteht ausnahmsweise nicht, wenn voraussichtlich kein (relevantes) Risiko für die Rechte und Freiheiten natürlicher Personen zu erwarten ist.

Besteht aufgrund einer Risikoeinschätzung ein hohes Risiko, dass die Daten einem Fremden offenbart wurden, muss die Risikoeinschätzung des Verantwortlichen darauf zielen, mögliche Nachteile für die betroffene Person zu identifizieren und die Eintrittswahrscheinlichkeit einzuschätzen. Zu denken ist etwa an folgende Nachteile (vgl. Erwägungsgrund 75 und 85 DSGVO

Verlust der Kontrolle über die personenbezogenen Daten;

Einschränkung der Rechte der betroffenen Person;

Diskriminierung;

Identitätsdiebstahl oder -betrug;

finanzielle Verluste;

unbefugte Aufhebung der Pseudonymisierung;

Rufschädigung;

Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden Daten oder

andere erhebliche wirtschaftliche oder gesellschaftliche Nachteile.

Bei einem versehentlichen und zufälligen Fehlversand, etwa eines Zurechnungsfortschreibungsbescheids, hat der Verantwortliche zu prüfen, ob ein relevantes Risiko für die Rechte und Freiheiten natürlicher Personen besteht, was

wohl regelmäßig zu verneinen ist, wenn beispielsweise der unberechtigt empfangene Brief ungeöffnet sofort wieder zurücksendet wurde.

Insbesondere angesichts des häufig möglichen finanziellen Aspekts bei Schreiben von Finanzämtern können auch hier durch unbefugte Empfänger Risiken dadurch entstehen, dass zwischen diesen und den betroffenen Personen eine Bekanntheit oder ein Verwandtschaftsverhältnis besteht und der Bruch der Vertraulichkeit beispielsweise bestehende Erbstreitigkeiten zusätzlich belasten könnte.

Ausführlichkeit der Meldung

Die Aufsichtsbehörden stellen immer wieder fest, dass eingehende Meldungen insbesondere von Fehlversendungen mitunter mangelhaft abgegeben werden und nur einen spärlichen Informationsgehalt aufweisen, was deren Beurteilung erschwert oder sogar unmöglich macht.

Aus diesem Grund weisen die Aufsichtsbehörden darauf hin, dass alle eingehenden Meldungen insbesondere auf folgende Kriterien geprüft werden:

Ist die inhaltliche Darstellung ausreichend?

Ist die Risikobewertung nachvollziehbar?

Sind die bereits ergriffenen Maßnahmen ausreichend?

Ist eine Informierung der betroffenen Personen nötig oder bereits erfolgt?

Wurde die Meldefrist eingehalten

Um Rückfragen zu vermeiden, werden alle Meldenden diesbezüglich gebeten, auch eine eigene Prüfung durchzuführen und die Meldungen gegebenenfalls entsprechend zu ergänzen.

Fundstelle:

Kapitel 8.2 des 34. Tätigkeitsberichts des Bayerischen Landesbeauftragten für den Datenschutz – abrufbar im Internet unter https://www.datenschutz-bayern.de/tbs/tb34.html