DSGVO - BDSG - TTDSG

370

Demgegenüber erfüllt eine bloß unrechtmäßige Verarbeitungvon personenbezogenen Daten (mithin in erster Linie, wenn für die jeweilige Datenverarbeitung kein entsprechender Erlaubnistatbestand i.S.v. Art. 6 bzw. 9 DSGVO vorliegt) für sich allein genommen nichtden Verletzungstatbestand des Art. 4 Nr. 12 DSGVO.712 Entsprechendes gilt für Verstöße durch Mitarbeiter gegen Anweisungen zum rechtmäßigen Umgang mit personenbezogenen Daten, etwa gegen Regelungen zur Zweckbestimmung, Speicherdauer, Transparenzanforderungen.713 Dies wird durch den Umstand unterstrichen, dass es ausweislich der Begriffsbestimmung des Art. 4 Nr. 12 DSGVO unerheblich ist, ob eine Verletzung im Sinne der Norm unrechtmäßig eintritt. Zu beachten ist, dass ein solcher Vorfall jedoch mit einer Verletzung i.S.v. Art. 4 Nr. 12 DSGVO zusammenfallen kann.

371

Nach dem Wortlaut der Definition kann sowohl unbeabsichtigtes(z.B. fahrlässiges Liegenlassen eines Datenträgers durch eigenen Mitarbeiter oder das nicht ordnungsgemäße Entsorgen von Unterlagen) als auch gezieltesHandeln (z.B. vorsätzliche Weitergaben an Dritte oder Hackerangriffe) eine Verletzung der Datensicherheit begründen.714 Ziel der Datensicherheit ist ein umfassender Schutz der personenbezogenen Daten, weshalb allein objektive Kriterien maßgeblich sind; ob jemand vorsätzlich oder schuldhaft handelt, ist dabei irrelevant.715

372

Von der Verletzung müssen personenbezogene Daten betroffen sein, „[...] die übermittelt, gespeichert oder auf sonstige Weise[i.S.v. Art. 4 Nr. 2 DSGVO] verarbeitetwurden“. Mit Blick auf sich möglicherweise anschließende Meldepflichten gemäß Art. 33, 34 DSGVO, muss es sich dabei um personenbezogene Daten handeln, für welche die datenverarbeitende Stelle als (gemeinsam) Verantwortlicheri.S.v. Art. 4 Nr. 7 DSGVO (vgl. Art. 33 Abs. 1, Art. 34 Abs. 1 DSGVO) oder Auftragsverarbeiteri.S.v. Art. 4 Nr. 8 DSGVO (vgl. Art. 33 Abs. 2 DSGVO) agiert.716

373

Art. 4 Nr. 12 DSGVO zählt abschließenddie möglichen Verletzungserfolge auf, die sich grundlegend in zwei Kategorien unterteilen lassen: den Integritätsschutz und die unberechtigte Kenntnisnahme.717 Als mögliche Folgen einer solchen Verletzung kommen gemäß ErwG 85 DSGVO sowohl physische, materielle oder immaterielle Schäden der betroffenen Personen in Betracht.

374

Unter den Integritätsschutz fallen die Vernichtung, der Verlust und die Veränderung von Daten. Bei der Vernichtungvon Daten ist entscheidend, dass die Daten nicht mehr oder nur noch in einer Form vorhanden sind, die dem Verantwortlichen nicht von Nutzen ist.718 Die Vernichtung geht dabei regelmäßig mit der Zerstörung des Datenträgers einher, wobei die Beschaffenheit des Datenträgers (analog oder digital) keine Bedeutung hat.719

375

Ein Verlusthingegen liegt in Abgrenzung zur unwiderruflichen Vernichtung vor, sofern die Daten zwar noch existieren, der Verantwortliche aber jegliche Kontrolle oder Zugriff auf die Daten verloren hat.720 Beispielsweise handelt es sich um einen Verlust, wenn ein Gerät, welches eine Kopie der Kundendaten des Verantwortlichen enthält, verloren gegangen ist oder gestohlen wurde.721

376

Unter einer Veränderungvon Daten ist jede inhaltliche Umgestaltung von gespeicherten Daten zu verstehen, wodurch sich der Informationsgehalt ändert.722

377

Auch bei der zweiten Kategorie, der unbefugten Kenntnisnahmein Form der Offenlegungoder des Zugangs, ist für die Feststellung einer Verletzung auf die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO abzustellen.723 Obwohl der Wortlaut „unberechtigt“ auf das Kriterium der Rechtmäßigkeit der Datenverarbeitung hindeutet, verbietet die Schutzrichtung der Datensicherheit den Begriff „unbefugt“ als „unrechtmäßig“ zu lesen. So liegt eine unbefugte Kenntnisnahme lediglich dann vor, sofern eine Person Daten (unter Verletzung von Maßnahmen i.S.v. Art. 32 DSGVO) zur Kenntnis nimmt bzw. nehmen könnte, obwohl sie nach dem Vorstellungsbild des jeweiligen Verantwortlichen diese Information nicht zur Kenntnis nehmen soll.724 Ob die Kenntnisnahme rechtmäßig war oder nicht, ist dabei unbeachtlich.

378

Eine Offenlegungliegt dabei vor, wenn die jeweils betroffenen personenbezogenen Daten einem Empfänger gemäß Art. 4 Nr. 9 DSGVO zur Kenntnis gelangen. Nach der hier vertretenen Ansicht handelt es sich dabei ausschließlich um Personen und Stellen außerhalb der Organisation des Verantwortlichen (bzw. des Auftragsverarbeiters725), da nur in solchen Fällen eine „Offenlegung“ von personenbezogenen Daten vorliegt.726 Das Tatbestandsmerkmal des Zugangsimpliziert demgegenüber, dass auch interne Sachverhalte erfasst werden, mithin Fälle, in denen personenbezogene Daten Mitarbeitern zugänglich gemacht werden, obwohl diese nach dem Vorstellungsbild des Verantwortlichen hierauf keinen Zugriff haben sollten (etwa versehentliches Ablegen einer Datei in einem nicht zugangsbeschränkten Verzeichnis). Der Begriff „Zugang“ legt insoweit nicht nahe, dass es sich dabei um einen Zugriff von außerhalb des Verantwortlichen handeln muss. Für ein solches Verständnis spricht zudem, dass die beiden Verletzungserfolge der Offenlegung sowie des Zugangs insoweit in einem Alternativ- und nicht in einem Spezialitätsverhältnis („beziehungsweise“) stehen. Auch die Begriffsbestimmung der „Verarbeitung“ nach Art. 4 Nr. 2 DSGVO nennt den Zugang zu personenbezogenen Daten insoweit nicht als Unterfall der „Offenlegung“. Letztlich ist auch aus Wertungsgesichtspunkten nicht ersichtlich, warum rein interne Vorfälle bereits von der Begriffsbestimmung gemäß Art. 4 Nr. 12 DSGVO ausgenommen werden sollten. Insofern können auch solche Sachverhalte zu erheblichen Risiken für die Betroffenen führen, etwa wenn Gesundheitsdaten oder andere sensible Daten in einem Unternehmen allgemein zugänglich aufbewahrt werden. Es erscheint daher eher angemessen, interne, gleichwohl unkritische Vorfälle im Rahmen der in Art. 33 bzw. 34 DSGVO vorzunehmenden Risikoanalyse entsprechend zu würdigen.

379

Der Zweiklang zwischen unbefugter Offenlegung und unbefugtem Zugang stellt zudem klar, dass eine unbefugte Kenntnisnahme im Sinne der Norm sowohl durch die tatsächliche Einsichtnahme als auch die bloße mögliche Abrufbarkeitder von der verantwortlichen Stelle bereitgehaltenen Daten erfolgen kann, ohne dass die jeweiligen Daten auch tatsächlich abgerufenworden sein müssen.727 Dies wird insoweit durch die Definition der „Verarbeitung“ gemäß Art. 4 Nr. 2 DSGVO unterstrichen, die statuiert, dass sich eine Offenlegung von personenbezogenen Daten als „[...] Übermittlung, Verbreitung oder eine andere Form der Bereitstellung [...]“ manifestieren kann. Die Differenzierung zwischen „Übermittlung und Verbreitung“ auf der einen Seite und „andere Form der Bereitstellung“ auf der anderen Seite legt insoweit nahe, dass sich erstere Bestimmung auf einen tatsächlichen Transfer von Informationen bezieht, während es für letztere Konstellation genügt, dass die datenverarbeitende Stelle den potenziellen Zugang zu personenbezogenen Daten ermöglicht.

380