Cybercrime: EU-Datenschutz-Grundverordnung

Am 25.05.2018 tritt die EU-Datenschutz-Grundverordnung in Kraft.

Cyber-Kriminalität, insbesondere in Form des „Hackings“, ist mittlerweile ein erhebliches Risiko für Unternehmen jeder Größe. Neben den erheblichen wirtschaftlichen Risiken droht oft ein erheblicher Imageverlust. Nunmehr hat der Europäische Gesetzgeber die rechtlichen Konsequenzen auch für Opfer von Cyber-Crime-Attacken erhöht: Bei unzureichender Unternehmensorganisation und unterlassener Meldung von Hacking-Angriffen drohen ganz erhebliche Bußgelder der EU-Gesetzgeber hat die neue EU-Datenschutz-Grundverordnung erlassen, die am 25.05.2018 in Kraft tritt. Als einen der „wichtigsten Eckpunkte“ der Verordnung nennt der Europäische Gesetzgeber das Recht des Bürgers auf Unterrichtung über gehackte personenbezogene Daten. Nach der Verordnung sind Unternehmen verpflichtet, unverzüglich und möglichst binnen 72 Stunden die zuständigen Aufsichtsbehörden und die Personen zu informieren, deren Daten durch Hacking unbefugt erlangt wurden. Die Einschränkung, es müsse ein Risiko für die Rechte und Freiheiten der Person durch Erlangung der Daten vorliegen, ist einzelfallabhängig und daher in der gebotenen Schnelle schwer zu beurteilen. Kommt man der Meldepflicht nicht unverzüglich nach, so regelt der Europäische Gesetzgeber,
dass die Mitgliedsstaaten eine Sanktion etablieren müssten, die wirksam, verhältnismäßig und „abschreckend“ ist. Hierbei sind durch den EU-Gesetzgeber Geldbußen von bis zu 10 Mio. € oder bis zu 2% des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres angedacht. Zur Umsetzung dieser Vorgaben befasst sich der Deutsche Gesetzgeber derzeit mit der Gesetzesvorlage des Datenschutz-Anpassungs- und Umsetzungsgesetz – EU (DSAnpUG-EU). Die Umsetzung der europäischen Vorgaben in Deutschland steht derzeit also noch aus. Fest steht jedoch schon jetzt, dass aufgrund der geplanten „abschreckenden“ Wirkung von Bußgeldern ein effektiver Schutz gegen Hacking und eine entsprechende interne Organisation für den Fall eines Hacking-Angriffs für Unternehmen eine noch bedeutendere Rolle in der Geschäftsplanung einnehmen müssen. Andernfalls drohen, beispielsweise durch bei Außerachtlassen der Meldefrist, empfindliche Geldbußen, die bei größer angelegten Hacker-Angriffen und Erlangung einer Vielzahl von personenbezogenen Daten die Leistungsfähigkeit des Unternehmens schnell übersteigen können. Daher sollten im Unternehmen Compliance-Regelungen mit dem rechtlichen Berater erarbeitet und etabliert werden, um im Falle eines „Datendiebstahls“ nicht noch weitere Schäden durch zusätzliche Bußgelder zu verursachen.