Das Szenario

Ein Mitglied des Vorstands eines mittelständischen Unternehmens, dessen wirtschaftliche Grundlage auch Bankdaten und –informationen sind, ließ durch eine externe IT-Firma verschiedene Server, Back-Ups und Laptops von Mitarbeitern abtransportieren. Die eigenen, internen IT-Mitarbeiter waren ebenso wenig informiert wie die hauseigene Rechtsabteilung und die zwei anderen Vorstandskollegen. Ein aufmerksamer Mitarbeiter meldete die fehlenden Gegenstände an die Rechtsabteilung und ein paar Tage nach der klandestinen Aktion wurde zur Begründung vorgetragen: Es gebe den Verdacht der Begehung von Straftaten durch Mitarbeiter, verdächtig sei im Grunde jeder und man habe so handeln müssen um das Unternehmen zu schützen. Die mitgenommenen Gegenstände lagerten im Büro eines Notars und sollten von der externen Firma zwecks Beweissicherung untersucht werden. Mehrere leitende IT-Mitarbeiter erhielten die Kündigung.

Ein Fall für die Meldepflicht nach § 42a BDSG?

Der (externe) Datenschutzbeauftragte wurde von der Rechtsabteilung gebeten, eine Einschätzung abzugeben, ob dieser Vorfall nach § 42a BDSG an den zuständigen Landesdatenschutzbeauftragten und die Betroffenen gemeldet werden muss. Der Wortlaut des § 42a BDSG lautet auszugsweise wie folgt:

"Stellt eine nichtöffentliche Stelle ... fest, dass bei ihr gespeicherte ... personenbezogene Daten zu Bank- oder Kreditkartenkonten unrechtmäßig übermittelt oder auf sonstige Weise Dritten unrechtmäßig zur Kenntnis gelangt sind, und drohen schwerwiegende Beeinträchtigungen für die Rechte oder schutzwürdigen Interessen der Betroffenen, hat sie dies nach den Sätzen 2 bis 5 unverzüglich der zuständigen Aufsichtsbehörde sowie den Betroffenen mitzuteilen. Die Benachrichtigung des Betroffenen muss unverzüglich erfolgen, sobald angemessene Maßnahmen zur Sicherung der Daten ergriffen worden oder nicht unverzüglich erfolgt sind und die Strafverfolgung nicht mehr gefährdet wird. Die Benachrichtigung der Betroffenen muss eine Darlegung der Art der unrechtmäßigen Kenntniserlangung und Empfehlungen für Maßnahmen zur Minderung möglicher nachteiliger Folgen enthalten. Die Benachrichtigung der zuständigen Aufsichtsbehörde muss zusätzlich eine Darlegung möglicher nachteiliger Folgen der unrechtmäßigen Kenntniserlangung und der von der Stelle daraufhin ergriffenen Maßnahmen enthalten. ...“.

Voraussetzungen erfüllt, aber ...

Einige Tatbestandsmerkmale des § 42a BDSG sind unproblematisch erfüllt: Das Unternehmen ist eine nichtöffentliche Stelle, die Daten sind bei ihr gespeichert und auf den „entführten“ Servern etc. befinden sich personenbezogene Daten zu Bank- oder Kreditkartenkonten. Ebenso unproblematisch kann davon ausgegangen werden, dass der IT-Dienstleister bei der Untersuchung zu Zwecken der Beweissicherung von den Daten Kenntnis erhalten hat – eine Aktion, die unmittelbar nach der Mitnahme der Hardware durchgeführt wurde, während der Vorfall intern erst nach und nach bekannt wurde. Die Anforderungen an die „Kenntniserlangung“ werden von der Literatur zum Thema Meldepflicht nach § 42a eher niedrig angesetzt; die Kenntniserlangung durch einen Dritten muss nicht positiv festgestellt werden. Es ist bereits ausreichend, wenn anhand von tatsächlichen Anhaltspunkten mit einer gewissen Wahrscheinlichkeit davon ausgegangen werden kann, dass eine Kenntniserlangung stattgefunden hat.

Unrechtmäßig

Schwieriger wird es mit der nächsten Voraussetzung. Die personenbezogenen Daten müssen unrechtmäßig übermittelt oder auf sonstige Weise Dritten unrechtmäßig zur Kenntnis gelangt sein.
Der Datenschutzbeauftragte stolperte in diesem Zusammenhang über das Wort „unrechtmäßig“. Immerhin war das handelnde Vorstandsmitglied innerhalb des Vorstandes für IT zuständig, es war alleinvertretungsberechtigt und wollte mit der Aktion Schaden vom Unternehmen abwenden. Letzteres ist nach § 93 Aktiengesetz (AktG) sogar die Pflicht von Vorständen. Kommen sie der nicht nach, sind sie unter Umständen gegenüber der Gesellschaft schadensersatzpflichtig (§ 93 Abs. 2 AktG).

Ohne Rechtsgrund

Unrechtmäßig im Sinne von § 42a BDSG ist die Übermittlung oder sonstige Kenntniserlangung der dort genannten Daten dann, wenn sie ohne Rechtsgrund erfolgt. Dies kann einmal der Fall sein, wenn die Betroffenen nicht zugestimmt haben, obwohl sie mangels einer gesetzlichen Erlaubnis hätten zustimmen müssen. Werden – wie in diesem Fall – personenbezogene Daten in die Hände eines Dienstleisters gegeben, muss dieses als Auftragsdatenverarbeitung geregelt werden. Eine kurze Recherche des Datenschutzbeauftragten ergab, dass es im Zusammenhang mit § 42a BDSG kaum thematisiert ist, ob auch das Fehlen eines Vertrages über Auftragsdatenverarbeitung eine Unrechtmäßigkeit in diesem Sinne begründet, mit der Folge, dass eine Meldepflicht gegeben ist. Hinzu kam noch eine weiterer Stein des Anstoßes:

Mitarbeiter als „Dritte“

Auch Mitarbeiter können „Dritte“ im Sinne des § 42a Satz 1 BDSG sein. Dies wird angenommen, wenn Mitarbeiter beispielsweise Daten unbefugt an private eigene E-Mail-Adressen versenden oder auf externen Medien speichern und diese mitnehmen. Mit solchem Vorgehen verarbeitet/erhält der Mitarbeiter die Daten nicht im Rahmen seiner arbeitsvertraglich festgelegten Befugnisse, sondern als Privatperson. Als private Person ist er nicht mehr Teil des Unternehmens, der verantwortlichen Stelle, sondern steht außerhalb und wird dadurch zum externen „Dritten“ gemäß der Definition in § 3 Abs. 8 Satz 2 BDSG. Mit der Speicherung durch ihn sind die Daten, die er gespeichert und/oder mitgenommen hat, damit einem Dritten unrechtmäßig zur Kenntnis gelangt. Es spielt dabei keine Rolle, ob das Handeln des Mitarbeiters dem Arbeitgeber zuzurechnen ist oder nicht. Die Informationspflicht des Arbeitgebers wird allein dadurch ausgelöst, dass die Daten, die beim Arbeitgeber gespeichert waren, nunmehr einer Person zur Kenntnis gelangt sind, die aus Rechtsgründen vom Mitarbeiter zum Dritten verwandelt wurde.

Verwandlung aus Rechtsgründen

Auch diese Verwandlung aus Rechtsgründen könnte im Fall der Bank- und Kreditkartendaten eine Rolle spielen, so die Überlegung des Datenschutzbeauftragten. Auch ein Vorstand ist in der Regel ein Mitarbeiter des Unternehmens und wenn die eigenmächtige Entfernung der Server, Back-Ups und Laptops durch keine rechtliche Erlaubnis legitimiert wäre, könnte das betroffene Vorstandmitglied zum „Dritten“ geworden sein. Wiederum mit der Folge einer Meldepflicht.

Fehlende Verträge

Währenddessen wurden dem Datenschutzbeauftragten erst ein Vertrag über Auftragsdatenverarbeitung mit dem externen Dienstleister vorgelegt und dann ein zweiter. Beide Versionen entsprachen nach Einschätzung des Datenschutzbeauftragten nicht den Anforderungen des § 11 BDSG. Eine Leistungsbeschreibung wurde ebenfalls nachträglich erstellt, in der aber nur sehr allgemein der Auftrag zur „Beweissicherung auf allen in Frage kommenden IT-Systemen“ festgeschrieben war. Der Auftrag war inzwischen erweitert worden auf die Untersuchung nicht nur der entfernten Systeme, sondern auch der laufenden. Abgesehen davon war der Datenschutzbeauftragte auch nicht sicher, ob der Auftrag zu einer Art forensischen Untersuchung eines Netzwerkes und einer kompletten IT-Infrastruktur überhaupt eine Auftragsdatenverarbeitung darstellt und nicht eine Funktionsübertragung – die wiederum eine Rechtsgrundlage benötigt hätte, die aber hier nicht ersichtlich war.

Eine Anfrage bei der Datenschutzaufsichtsbehörde ...

Der Datenschutzbeauftragte entschloss sich zu einer Anfrage beim Hamburgischen Datenschutzbeauftragten, ob dieser seine Einschätzung teilte, dass aufgrund der fehlenden vertraglichen Regelung zur Auftragsdatenverarbeitung eine Meldepflicht auf der Grundlage von § 42a BDSG gegeben sei. Dieses Vorgehen bietet sich für Datenschutzbeauftragte in solchen Fällen an, die weitreichende Folgen nach sich ziehen können. Die beim Hamburgischen Datenschutzbeauftragten zuständige Sachbearbeiterin sagte nach der – anonymen - Schilderung des Vorfalls, sie würde durchaus von einer Meldepflicht ausgehen, sofern kein Vertrag über Auftragsdatenverarbeitung vorliege. Ob eine Funktionsübertragung anzunehmen sei, vermöge sie ohne nähere Kenntnisse der Sachlage nicht zu sagen. Würde nachträglich ein Vertag über Auftragsdatenverarbeitung vorgelegt, der den gesetzlichen Anforderungen entspreche, könne man möglicherweise von einer „Heilung“ und damit vom Wegfall der Meldepflicht ausgehen.

... und eine Zwickmühle

Das Gespräch mit der Sachbearbeiterin bei Hamburgischen Datenschutzbeauftragten förderte eine Zwickmühle zu Tage, in der sich Unternehmen in diesen Fällen ganz schnell wiederfinden. Die Meldung nach § 42a BDSG hat „unverzüglich“ zu erfolgen. In der Regel ist eine Datenpanne, die meldepflichtig sein kann, aber möglicherweise mit höchstheiklen Folgen für das betroffene Unternehmen verbunden – wirtschaftliche Einbußen, Rufschädigung und dergleichen. Daher ist es ratsam, eine Meldung nur dann zu machen, wenn tatsächlich die Pflicht besteht. Man muss darüber hinaus ja auch nicht Betroffene beunruhigen, wenn dies nicht zwingend nötig ist. Sofern die Bejahung der Meldepflicht allerdings von einer Reihe von zumindest diskussionsbedürftigen (Rechts-) fragen abhängt, bietet es sich an, den jeweiligen Landesdatenschutzbeauftragten um eine Auskunft zu bitten, ob aus seiner Sicht eine Pflicht gegeben ist. Eine solche Einschätzung will man jedenfalls in Hamburg verbindlich aber nur geben, sofern der Name des Unternehmens genannt wird. Verbunden wurde diese Bedingung mit dem Hinweis, komme die Meldung zu spät oder erfolge sie gar nicht und werde dann auf anderem Wege bekannt, könne dies zu einem Bußgeld führen.

Wer ist eigentlich meldepflichtig?

Eine weitere Zwickmühle tat sich in dem Fall bei der weiteren Frage auf, wer denn eigentlich die Meldung zu machen hätte. Grundsätzlich ist dies der Vorstand oder die Geschäftsführung des betroffenen Unternehmens. Dieser kann (und sollte) sich vom Datenschutzbeauftragten unterstützen lassen. Was aber tritt ein, wenn von drei Vorständen einer den eventuell meldepflichtigen Vorfall ausgelöst hat und nur seine beiden Kollegen und der Datenschutzbeauftragte der Meinung sind, dass er falsch gehandelt hat? Von der grundsätzlichen Problematik einmal abgesehen, richtet sich dies dann nach der Frage der Alleinvertretungsbefugnis, die ein Vorstandsmitglied hat oder nicht. Ist ein einzelner Vorstand auch ohne die anderen berechtigt, Entscheidungen zu treffen, kann er die Meldung bei der Datenschutzaufsicht abgegeben. Ansonsten muss er je nach Regelung der Vertretungsbefugnisse das Einvernehmen mit einem weiteren Vorstand oder allen herstellen.

Wieder mal werfen große Ereignisse ihre Schatten voraus: Am 25. Juni feiert die Com-Sys GmbH ihr 25jähriges Jubliäum und den Umzug an den neuen Standort in Neu-Isenburg. Meine Geschäftsführer Kollegin Anna Cardillo nimmt als Key-Note Speakerin teil; sie spricht zum Thema "Fahrlässigkeit kann teuer werden - Cyber-Kriminalität auf dem Vormarsch" und wird in ihrem Vortrag u.a. die Bedeutung des neuen IT-Sicherheitsgesetzes für die Praxis vorstellen. Das volle, interessante Programm finden Sie hier: http://bit.ly/1f6SXkU. Wir freuen uns dabei zu sein und auf einen interessanten Tag!

Der Grundsatz der informationellen Selbstbestimmung besagt, dass jeder von uns über den Umgang mit seinen Daten selber bestimmen können soll. Diese Selbstbestimmung setzt im ersten Schritt die Kenntnis der eigenen Daten voraus, die Unternehmen oder – in unserem Fall – Krankenhäusern überlassen wurden. Dies klingt wie eine banale Erkenntnis, aber der Praxistest zeigt, dass die Erlangung des Wissens über die eigenen (Patienten-) Daten mit ein paar Tücken verbunden sein kann.

Ein paar Tücken

Für Geringverdiener dürften schon 72 EUR Verwaltungsgebühren für Kopien und Übersendung zweier Akten ein Grund sein, von der Einsicht in die Patientenakte Abstand zu nehmen. Daneben sind die genaue Kenntnis der eigenen Rechte von Vorteil und die Fähigkeit, beim ersten Widerstand nicht gleich eingeschüchtert aufzugeben. Insofern decken sich meine Erfahrungen mit denen von Malte Spitz, wenn auch der im Auftrag der Mandantin geforderten Akteneinsicht am Ende insgesamt leicht stattgegeben wurde.

Unleserlich

Ernüchternd ist die Erkenntnis, wie wenig sorgfältig einige Ärzte offenbar dokumentieren. Es fanden sich in den Akten inhaltliche Lücken, wie auch handschriftliche Protokolle, die absolut unleserlich waren. Der logisch nächste Schritt wäre gewesen auf einer vollständigen und leserlichen Akte zu bestehen, doch meine Mandantin beschloss nach etwas Nachdenken, dass sie dies nicht tun wollte. Eine unvollständige Auskunft sei auch eine Auskunft aus der man seine Schlüsse ziehen könne.

Will ich das wirklich wissen?

Nachdenklich werden lassen hat mich ein Aspekt am Rande. Die medizinische Sprache wirkt auf Nicht-Mediziner oft grob und kalt. Ich halte von daher die Argumente der Rechtsprechung für nachvollziehbar, dass im Fall der Einsicht in eine psychiatrische Akte der Nutzen für den Patienten sehr genau gegen die möglichen negativen Folgen abgewogen muss, und insbesondere auch dann, wenn die Informationen Dritte aus dem Umfeld des Patienten betreffen. Meine Mandantin steckte die in der Akte ihrer Tochter festgehaltene Charakterisierung ihrer Person als „adipös und überfordert wirkend“ mit einem Lachen weg („Ja, so war ich damals – leider“). Für jemanden, der sich zum Zeitpunkt der Akteneinsicht aber noch in einer seelischen Ausnahmesituation befindet, könnten solche Sätze ungute Folgen haben. Schwierig erscheint mir der dabei sofort aufkommende Eindruck einer paternalistischen, über den Kopf des Patienten hinweg getroffenen Entscheidung durch den Arzt („ich weiß am besten, was gut für dich ist“) – denn diese Entscheidung kann ja dann nur der behandelnde Arzt treffen, und der hat auch eigene Interessen in diesem möglichen Konflikt. Es bleibt zu hoffen, dass Ärzte im Ernstfall die von der Rechtsprechung geforderte sorgfältige Abwägung und Berücksichtigung aller Interessen auch vornehmen. Die Vermittlung im Konfliktfall wäre eine klassische Aufgabe für einen betrieblichen Datenschutzbeauftragten und ich erinnere mich, dass solche Anfragen schon vereinzelt bei uns landeten (die allerdings nicht aus einem Krankenhaus stammten, sondern von Trägern sozialer Arbeit, die Psychiatriepatienten betreuen).

Insgesamt haben die im Namen meiner Mandantin eingeholten Auskünfte neugierig auf mehr gemacht – auf die Frage, welche Daten wohl über meine Person im Umlauf sein mögen. Sobald ich ein wenig Zeit und Muße habe, werde ich diese Frage stellen.

Einen Augenblick lang dachte ich, ich hätte mich verhört. „Sie sind Techniker, also Mitarbeiter in der IT?", fragte ich sicherheitshalber noch einmal nach. Freitagmorgen nach einer harten Woche, da sind Missverständnisse nicht ausgeschlossen. Nein, sagte mein Gesprächspartner am anderen Ende der Leitung freundlich. Er habe eine handwerkliche Ausbildung und er sei in dem Krankenhaus eine Art Hausmeister. Der Haustechniker eben. Die Axt im Krankenhaus erspart den Datenschutzbeauftragten, dachte sich sein Geschäftsführer und wollte ihn zum Datenschutzbeauftragten des Krankenhauses machen.

Datenschutz im Krankenhaus? Wie lästig

Ich erinnerte mich an ein ähnliches Gespräch mit einem anderen Datenschutzbeauftragten einer Klinik, dessen Geschäftsführer offenbar nach dem Motto gehandelt hatte „fassen wir doch das ganze lästige Beauftragtenwesen in einer Person zusammen", und den Abfallbeauftragten zum Datenschutzbeauftragten benannt hatte. Dieser zeigte sich dann überaus dankbar, als ich ihm den Ausweg aus einer eher harmlosen Fragestellung wies. Eine Art kollegialer Unterstützung eines Alibi-Kollegen und nun sollte also der Haustechniker dran glauben und nebenberuflicher Datenschutzbeauftragter werden. 5 bis 10 Stunden Freistellung für diese Aufgabe wollte man ihm dafür gewähren. Pro Monat, wohlgemerkt, sowie eine Ausbildung durch uns.

Hauptsache billig

Wenn ich das nächste Mal meine Küche renovieren lassen will, beauftrage ich einen Datenschutzbeauftragten. Der macht das sicher billiger als ein gelernter Tischler. Danach kann ich vielleicht nicht mehr kochen, aber was macht das schon. Hauptsache, Geld gespart. In vielen Krankenhäusern scheint man in Bezug auf Datenschutz so ein Vorgehen für normal zu halten. „Der Datenschutzbeauftragte? Der ist im OP", bekam ich auch mal in einer Klinik auf die entsprechende Frage gesagt. Die Rezeption kannte seinen Namen, immerhin, und dieser Datenschutzbeauftragte entpuppte sich als ein Anästhesist kurz vor der Rente, der freimütig zugab, dass sein Amt nur auf dem Papier bestehe.

Noch nicht brutal genug

Fernsehen ist nicht wirklich brutal, solange der Held nach einem Schuss in die Schulter am nächsten Tag mit dem Arm in der Schlinge wieder zur Arbeit erscheint, urteilten Wissenschaftler in den achtziger Jahren über (vermeintlich) viel zu brutale Fernsehbilder. Im Datenschutz verhält es sich noch heute offenbar genauso: Die unangenehmen Konsequenzen von Datenverlusten sind offenbar noch längst nicht ernst und kostspielig genug, wenn Krankenhäuser es sich leisten können, mit Datenschutz so nachlässig umzugehen.

Dr. Bettina Kähler informiert Entscheider über das neue IT-Sicherheitsgesetz

Das neue IT-Sicherheitsgesetz soll die deutschen IT-Systeme noch in diesem Jahr zu den sichersten der Welt machen. Gleichzeitig wird auf europäischer Ebene über den Entwurf einer EU-Datenschutz-Grundverordnung diskutiert, die alles ablösen und auf den Kopf stellen kann, was wir hierzulande etabliert haben.
Unsere Geschäftsführerin nimmt sich diesem heiß diskutierten Thema am 4. Juni im Rahmen der „CxO Security Lounge für Entscheider" an. Was kommt da auf die Unternehmen zu? Wie wird sich die Lage in Deutschland verändern bzw. entwickeln?

Entscheider der Norddeutschen Wirtschaft sind herzlich eingeladen, am 4. Juni ab 15:30 Uhr in die Villa des Business Clubs Hamburg an der After Work-Informationsveranstaltung teilzunehmen. Ausgerichtet wir die Veranstaltung von den Grouplink Partnern BFI, Netzlink und NetUSE.

Wir freuen uns auf einen informativen Nachmittag.

Anmeldung: Bitte per Mail bei Frau Gabi Hühnerbein unter event(at)grouplink.de

Die Vorträge am 4. Juni

Die Referenten informieren über die neuesten Entwicklungen auf allen Ebenen der IT-Sicherheit:

»Der Wandel der Unternehmens IT – hin zu einer Mobile First Welt«

Wie Mobility das Potenzial der Mitarbeiter steigert und Produktivitätsraten erhöht, ohne die Datensicherheit aus dem Auge zu verlieren

Thorsten Eberhardt, MobileIron

»Per aspera ad astra«

Sichere Wege in die Cloud. Höchste Sicherheit für die täglichen Workflows durch modernste kryptografische Verschlüsselung

Dipl.-Ing. Marcin Zukowski, Netzlink Informationstechnik GmbH

»Prominente Hacks und Angriffe der letzten Monate und ihre Folgen.«

Was macht die Angreifer so erfolgreich? Was bedeutet das für Sie als Verantwortliche für das Unternehmensergebnis?
Thorsten Schubert, Major Account Manager, Check Point Software Technologies GmbH

»Kritische Infrastrukturen? Da kommt was auf uns zu!«

Die Bedeutung des IT-Sicherheitsgesetzes und der EU-Datenschutz-Grundverordnung für Ihr Unternehmen

Rechtsanwältin Dr. Bettina Kähler, PrivCom Datenschutz GmbH

 

 

Mit Jahresbeginn haben wir begonnen, unser Logo und unsere Informationsmaterialien Schritt für Schritt sachte zu verändern und zu modernisieren. Genauer gesagt, wir haben verändern lassen - verantwortlich für die Gestaltung und Umsetzung ist die Grafikerin Baja Böckers; die Fotos stammen wie bisher auch schon von Odile Hain. Auf diese Weise ist auch eine neue Unternehmensdarstellung entstanden, die Sie nunmehr hier herunterladen können: PrivCom_Unternehmensflyer_April-15.pdf. Eine online Version als E-Book folgt in Kürze. Wir finden das Ergebnis schon jetzt sehr gelungen und freuen uns auf die Fortsetzung, denn es sind noch einige Materialien zu erneuern.