Bericht zum Online-Seminar „Der richtige Umgang mit Datenpannen in der Unternehmenspraxis“ mit Prof. Lüdemann

Am 26.8.2020 referierte Prof. Dr. Volker Lüdemann in einem durch das IMKR in Kooperation mit dem Mittelstand 4.0-Kompetenzzentrum Siegen veranstalteten Online-Seminar zum richtigen Umgang mit Datenpannen in der Unternehmenspraxis. Das Mittelstand 4.0-Kompetenzzentrum Siegen unterstützt seit Oktober 2017 kleine und mittlere Unternehmen in Südwestfalen bei Fragen und Problemen zur Digitalisierung. Zu den Schwerpunkten gehören nutzerzentrierte Technologie und Mensch-Maschine-Interaktion (https://kompetenzzentrum-siegen.digital).

Zu Beginn der Veranstaltung erläuterte Prof. Lüdemann, der eine Professur für Wirtschafts- und Wettbewerbsrecht an der Hochschule Osnabrück innehat und zudem Wissenschaftlicher Leiter des Niedersächsischen Datenschutzzentrums (NDZ) ist, den Begriff der Datenpanne. Hierzu zeigte er die Problematik anhand einiger Beispiele aus seiner praktischen Beratertätigkeit auf und hob sensible Bereiche wie den Krankenhausbetrieb mit den dort verarbeiteten Gesundheitsdaten der Patienten hervor. Anhand der Voraussetzungen von Art. 33 und Art. 34 DSGVO erklärte er, dass nicht jede fehlerhafte Datenverarbeitung in einem Unternehmen gleich zu einer Meldepflicht gegenüber der Aufsichtsbehörde oder gar gegenüber der betroffenen Person führe, sondern diese Pflicht ein gewisses Risiko für die Rechte und Freiheiten natürlicher Personen voraussetze. Damit träten die Meldepflichten in weniger Fällen auf, als man vermuten könnte.

Anschließend ging Prof. Lüdemann auf die Meldefrist für eine Datenpanne gegenüber der zuständigen Aufsichtsbehörde ein. Er betonte, dass in der Praxis unterschiedliche Ansichten darüber bestehen, wann die Frist von 72 Stunden zu laufen beginnt und wie die Dauer auszulegen ist. Prof. Lüdemann demonstrierte anhand des Meldeformulars der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, dass eine Meldung formal keinen großen Aufwand darstellt. Er warnte jedoch davor, nach dem Prinzip „Lieber eine Meldung zu viel als eine Meldung zu wenig“ vorzugehen. Die Meldung von Datenpannen kann zu einem hohen Reputationsverlust führen, besonders wenn diese auch gegenüber allen betroffenen Personen erstattet wird. Daher sollte die Meldepflicht im Vorfeld genau geprüft und bestenfalls fachkundig unterstützt werden, um unnötige Meldungen und damit verbundene negative Folgen zu verringern.

Sodann kam Prof. Lüdemann auf weitere mögliche Fehler im Kontext einer Datenpanne zu sprechen. Dazu zählten in erster Linie die möglichen Sanktionen, allen voran die potenziell hohen Geldbußen nach Art. 83 DSGVO. Auch zeigte Prof. Lüdemann Wege auf, wie sich diese durch die inhaltliche Gestaltung der Meldung einer Verletzung sowie ein professionelles Management für Datenpannen vermeiden ließen. Der Aufbau und die Implementation eines solchen Managements sind dabei weniger komplex, als es erscheinen mag, zumal dessen Wert enorm hoch ausfällt, wenn es zu einer Datenpanne kommt.

Abschließend hatten die Teilnehmer die Gelegenheit, Fragen zu stellen. Dabei ging es zunächst um die Meldefrist sowie den nötigen Umfang der Meldung. Dann wurde erörtert, welchen Stellenwert geeignete technische und organisatorische Maßnahmen im Sinne von Art. 32 DSGVO in Bezug auf Datenpannen haben und wie bei einer Datenpanne das Verhältnis zwischen dem Verantwortlichen und Auftragsverarbeitern in Bezug auf die Meldepflicht ausfällt.