Datenmissbrauch ist ein Begriff, den die Datenschutz-Grundverordnung (DSGVO) nicht definiert; sie nennt lediglich in Erwägungsgrund 88 „Formen des Datenmissbrauchs“, ohne sie näher zu bestimmen.
Auf einen Blick
Die Begriffsbestimmungen der DSGVO enthalten ihn nicht; Erwägungsgrund 88 DSGVO erwähnt „Formen des Datenmissbrauchs“, definiert sie aber nicht.
Unabhängig von der Bezeichnung gelten für jede Verarbeitung die Pflichten der DSGVO, etwa Art. 5 Abs. 1 und Art. 29.
Ob ein Datenmissbrauch zugleich eine Verletzung des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 DSGVO ist, richtet sich nach deren Merkmalen.
Was ist Datenmissbrauch?
Der Begriff Datenmissbrauch erscheint in Erwägungsgrund 88 DSGVO in der Wendung „eines Identitätsbetrugs oder anderer Formen des Datenmissbrauchs“, ohne dass die Verordnung ihn definiert. Unabhängig von der Bezeichnung gelten die Pflichten der DSGVO: Nach Art. 5 Abs. 1 DSGVO müssen personenbezogene Daten unter anderem auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden und in einer Weise, die eine angemessene Sicherheit gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung.
Ruft ein Mitarbeiter eines Versicherers ohne dienstlichen Anlass Vertragsdaten eines Bekannten ab, kann das, ohne dass die DSGVO von Datenmissbrauch spricht, gegen Artikel 29 verstoßen: Unterstellte Personen mit Zugang dürfen personenbezogene Daten nur auf Weisung des Verantwortlichen verarbeiten, sofern kein Gesetz sie dazu verpflichtet. Eine Verletzung des Schutzes personenbezogener Daten ist nach Art. 4 Nr. 12 DSGVO eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, unter anderem zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden; ob ein Datenmissbrauch darunter fällt, hängt von diesen Merkmalen ab.
Wie funktioniert Datenmissbrauch?
Weil die DSGVO Datenmissbrauch nicht definiert, gelten für den jeweiligen Vorgang ihre allgemeinen Vorgaben, etwa die Zweckbindung nach Artikel 5 Absatz 1 und die Bindung an Weisungen des Verantwortlichen nach Artikel 29. Nach Artikel 5 Absatz 1 Buchstabe b DSGVO dürfen personenbezogene Daten nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden, für die sie erhoben wurden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß den Garantien der Verordnung für diese Zwecke nicht als unvereinbar mit den ursprünglichen Zwecken.
Stellt der Vorgang zugleich eine Verletzung des Schutzes personenbezogener Daten dar, meldet der Verantwortliche sie nach Art. 33 Abs. 1 DSGVO unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde, es sei denn, dass sie voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung nicht binnen 72 Stunden, ist ihr eine Begründung für die Verzögerung beizufügen.
Datenmissbrauch im Vergleich
| Kriterium | Datenmissbrauch | Datenpanne |
|---|---|---|
| Begriff | In den Begriffsbestimmungen der DSGVO nicht definiert; Erwägungsgrund 88 DSGVO erwähnt „Formen des Datenmissbrauchs“ | Verletzung des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 DSGVO; der BfDI nennt sie auch Datenpanne oder Datenschutzvorfall |
| Merkmale | Keine gesetzlichen Merkmale; unabhängig von der Bezeichnung gelten die allgemeinen Pflichten der DSGVO, etwa Art. 5 Abs. 1 und Art. 29 DSGVO | Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt |
| Meldung an die Aufsichtsbehörde | Art. 33 DSGVO knüpft die Meldung an eine Verletzung des Schutzes personenbezogener Daten, nicht an den Begriff Datenmissbrauch | Meldung unverzüglich und möglichst binnen 72 Stunden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen (Art. 33 Abs. 1 DSGVO) |
Datenmissbrauch: Welche Vorgaben der DSGVO sind berührt?
| Merkmal | Worauf es ankommt |
|---|---|
| Weisungsbindung nach Art. 29 DSGVO | Der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person mit Zugang zu personenbezogenen Daten dürfen diese nach Art. 29 DSGVO nur auf Weisung des Verantwortlichen verarbeiten, es sei denn, dass sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet sind. |
| Grundsätze der Verarbeitung nach Art. 5 Abs. 1 DSGVO | Nach Art. 5 Abs. 1 DSGVO müssen personenbezogene Daten unter anderem auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden. |
| Unbefugter Zugang (Art. 4 Nr. 12 DSGVO) | Gelangt jemand unbefugt an personenbezogene Daten, kann eine Verletzung des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 DSGVO vorliegen: eine Verletzung der Sicherheit, die unter anderem zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt. |
| Zugriff über die Aufgabe hinaus (Beispiel der EDPB-Leitlinien) | In einem Beispiel der EDPB-Leitlinien kopiert ein Angestellter während seiner Kündigungsfrist Geschäftsdaten aus der Datenbank des Unternehmens, obwohl er nur zur Erfüllung seiner Arbeitsaufgaben Zugriff auf die Daten hat; nach den EDPB-Leitlinien können gut durchdachte Zugangsstrategien und eine ständige Kontrolle zur Vermeidung solcher Verletzungen beitragen. |
Schutz im Ernstfall
Vorbeugen
- Schritte unternehmen, damit unterstellte natürliche Personen mit Zugang zu personenbezogenen Daten diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet (Art. 32 Abs. 4 DSGVO).
- Personenbezogene Daten in einer Weise verarbeiten, die eine angemessene Sicherheit gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung durch geeignete technische und organisatorische Maßnahmen (Art. 5 Abs. 1 DSGVO).
- Zugangsstrategien durchdenken; nach den EDPB-Leitlinien können gut durchdachte Zugangsstrategien und eine ständige Kontrolle zur Vermeidung solcher Verletzungen des Schutzes personenbezogener Daten beitragen.
Was tun im Ernstfall
- Liegt eine Verletzung des Schutzes personenbezogener Daten vor, meldet der Verantwortliche sie nach Art. 33 Abs. 1 DSGVO unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde, es sei denn, dass sie voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt; erfolgt die Meldung nicht binnen 72 Stunden, ist ihr eine Begründung für die Verzögerung beizufügen.
- Hat die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung; die Benachrichtigung ist nicht erforderlich, wenn eine der Bedingungen des Art. 34 Abs. 3 DSGVO erfüllt ist (Art. 34 Abs. 1 und 3 DSGVO).
- Verletzungen einschließlich der damit zusammenhängenden Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen dokumentieren (Art. 33 Abs. 5 DSGVO).
- Nach den EDPB-Leitlinien wird erwartet, dass die erste Untersuchung schnellstmöglich beginnt und mit hinreichender Gewissheit festgestellt wird, ob eine Datenschutzverletzung stattgefunden hat.
Beispiele aus der Praxis
- Ein Angestellter kopiert während seiner Kündigungsfrist Geschäftsdaten aus der Datenbank des Unternehmens, obwohl er nur zur Erfüllung seiner Arbeitsaufgaben Zugriff auf die Daten hat; dieses Beispiel führen die EDPB-Leitlinien an und nennen gut durchdachte Zugangsstrategien und eine ständige Kontrolle als Beitrag zur Vermeidung solcher Verletzungen.
- Eine Person mit Zugang zu personenbezogenen Daten verarbeitet sie ohne Weisung des Verantwortlichen; nach Art. 29 DSGVO ist das nur zulässig, wenn Unionsrecht oder das Recht der Mitgliedstaaten sie zur Verarbeitung verpflichtet.
- Ein Mitarbeiter eines Versicherers ruft ohne dienstlichen Anlass Vertragsdaten eines Bekannten ab; die DSGVO spricht hier nicht von Datenmissbrauch, je nach den Umständen kann der Abruf aber gegen Art. 29 verstoßen: Unterstellte Personen mit Zugang dürfen personenbezogene Daten nur auf Weisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet.
