108
}
Das Gesetz schweigt sich sowohl darüber, was unter
systematisch und
schwerwiegend
, als auch darüber, was unter
in geeigneter Form
zu
verstehen ist, aus. Es wird wohl auf die Handlungsweise des/der Täter(s)
abzustellen sein; das Ausmaß schwerwiegend wird insbesondere mit dem
drohenden Schaden in Verbindung gesetzt werden müssen. Beispielsweise
werden beim Diebstahl von Kreditkarteninformationen mitunter nur ein
oder zwei Datensätze des jeweiligen Betroffenen Gegenstand der
Verletzung sein. Nichtsdestotrotz ist aufgrund des massiv hohen
Missbrauchspotenzials hier jedenfalls von einer schwerwiegenden
Verletzung auszugehen.
Unter Verständigung
in geeigneter Form
wird grundsätzlich die
persönliche Verständigung sämtlicher Betroffener, sei dies auf postalischem
Weg oder über sonstige dem Auftraggeber überlassenen
Kommunikationsmittel (insbesondere E-Mail), zu verstehen sein. Bei einem
entsprechend großen Kreis von Betroffenen wird wohl nur noch die
Möglichkeit der Verständigung über die Medien (insbesondere
Tageszeitungen) eine effiziente Methode sein. Aufgrund der damit
verbundenen Reputationsschäden ist aber generell davon auszugehen, dass
ein Auftraggeber die persönliche Verständigung solange wirtschaftlich zu
rechtfertigen vorziehen wird.
Die Informationspflicht entsteht,
wenn die verantwortliche Stelle feststellt, dass bei ihr gespeicherte
Daten im vorgenannten Sinn unrechtmäßig übermittelt oder auf
sonstige Weise Dritten unrechtmäßig zur Kenntnis gelangt sind, und
wenn eine schwerwiegende Beeinträchtigung für die Rechte oder
schutzwürdigen Interessen der Betroffenen droht.
Die Auslegung dieser Voraussetzungen ist derzeit noch nicht abschließend
geklärt. Hier kann hilfsweise auf die Regelung nach dem DE-DSG abgestellt
werden, nach dem Handlungsbedarf besteht, wenn die folgenden
Kategorien von Daten vom Datenleck betroffen sind: besondere
personenbezogene Daten, personenbezogene Daten, die einem
Berufsgeheimnis unterliegen, die sich auf strafbare Handlungen oder
Ordnungswidrigkeiten oder den Verdacht strafbarer Handlungen oder
Ordnungswidrigkeiten beziehen oder personenbezogene Daten zu Bank-
oder Kreditkartenkonten oder Bestands- und Verkehrs- bzw. Nutzungsdaten.
Weitere Voraussetzungen der Informationspflicht nach deutschem
Datenschutzrecht sind ebenfalls,
