Was müssen Unternehmen beim Verlust von Unterlagen auf dem Postweg beachten?
Datenpanne durch den Verlust von Unterlagen auf dem Postweg
Der postalische Versand von Unterlagen gehört in vielen Unternehmen zum Geschäftsalltag. Häufig enthalten diese personenbezogene Daten. Gehen solche Sendungen verloren, kann dies datenschutzrechtliche Konsequenzen nach sich ziehen.
Entscheidend ist, ob durch den Verlust ein Risiko für die Rechte und Freiheiten der betroffenen Personen entsteht. Ist dies der Fall, kann ein meldepflichtiger Datenschutzvorfall im Sinne der DSGVO vorliegen.
Wann besteht eine Pflicht zur Meldung gegenüber der Datenschutzaufsichtsbehörde?
Erreicht eine Postsendung mit personenbezogenen Daten den vorgesehenen Empfänger nicht und ist von einem Verlust auszugehen, kann eine Datenschutzverletzung im Sinne von Art. 33 DSGVO vorliegen.
Geht eine Sendung verloren oder erlangt ein unbefugter Dritter Kenntnis von ihrem Inhalt, können hieraus Risiken für die Rechte und Freiheiten der betroffenen Personen entstehen. Ob eine Meldepflicht besteht, hängt insbesondere von Art, Umfang, Anzahl und Sensibilität der betroffenen Daten ab.
Ein Risiko liegt insbesondere dann nahe, wenn sensible Daten wie Gesundheitsdaten, Finanzinformationen oder Identitätsnachweise betroffen sind.
Nach Art. 33 DSGVO ist der Verantwortliche verpflichtet, die zuständige Aufsichtsbehörde zu benachrichtigen, wenn eine Verletzung des Schutzes personenbezogener Daten voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Besteht sogar ein hohes Risiko, sind nach Art. 34 DSGVO zusätzlich die betroffenen Personen zu informieren.
Wer ist für die Meldung verantwortlich?
Nach Art. 33 DSGVO obliegt die Meldung von Datenschutzverletzungen dem Verantwortlichen. Vor diesem Hintergrund stellt sich bei Verlust oder Fehlzustellung von Postsendungen regelmäßig die Frage nach der datenschutzrechtlichen Verantwortung.
Rolle des Postdienstleisters
Postdienstleister erbringen in der Regel eine eigenständige Transportleistung und handeln nicht als Auftragsverarbeiter, sondern als eigenständige Verantwortliche im Sinne der DSGVO.
Verantwortlichkeit bei Verlust einer Sendung
Zwar könnte zunächst angenommen werden, dass mit Übergabe der Sendung auch die datenschutzrechtliche Verantwortlichkeit auf den Postdienstleister übergeht. In der Praxis sprechen jedoch mehrere Gründe dafür, dass die datenschutzrechtlichen Pflichten weiterhin beim Versender liegen:
- Fehlende Kenntnis vom Vorfall: Postdienstleister erkennen den Verlust einzelner Sendungen regelmäßig nicht eigenständig, insbesondere wenn keine besondere Sendungsverfolgung oder Zustellbestätigung vorgesehen ist. Ohne Kenntnis vom Vorfall können weder eine Risikobewertung noch eine fristgerechte Meldung erfolgen. Der Versender hingegen wird das Ausbleiben der Zustellung auffallen.
- Fehlende Kenntnis vom Inhalt der Sendung: Nur der Versender kennt den konkreten Inhalt der Sendung, die Art der enthaltenen personenbezogenen Daten, deren Sensibilität, sowie die potenziellen Auswirkungen für die betroffenen Personen. Der Postdienstleister hat regelmäßig keine Kenntnis vom Inhalt und kann daher keine Risikobewertung nach Art. 33, 34 DSGVO vornehmen.
- Fehlender Kontakt zu den Betroffenen: Eine Benachrichtigung der Betroffenen setzt voraus, dass die betroffenen Personen identifiziert und kontaktiert werden können. Der Postdienstleister steht typischerweise in keiner datenschutzrechtlichen Beziehung zu den Betroffenen und verfügt nicht über die erforderlichen Hintergrundinformationen. Der Versender hingegen kann die Betroffenen ohne Weiteres informieren.
- Zeitpunkt des Verlustes regelmäßig unbekannt: Zuletzt lässt sich häufig nicht eindeutig feststellen, an welcher Stelle der Verlust oder die Fehlzustellung erfolgt ist. Eine klare Zuordnung zur Sphäre des Postdienstleisters ist daher oft nicht möglich.
Auch wenn der Verlust faktisch im Verantwortungsbereich des Postdienstleisters eintritt, verbleibt die Pflicht zur Vornahme einer Risikobewertung und etwaigen Meldung nach Art. 33 DSGVO regelmäßig beim Versender.
Der Versender muss daher prüfen, ob ein meldepflichtiger Datenschutzvorfall vorliegt und diesen unverzüglich – in der Regel innerhalb von 72 Stunden – der zuständigen Datenschutzaufsichtsbehörde melden.
Für die Fristberechnung kommt es darauf an, wann der Verantwortliche hinreichende Kenntnis vom möglichen Verlust erlangt.
Bedeutung für Unternehmen
Beim Versand personenbezogener Daten ist besondere Sorgfalt geboten. Gehen Unterlagen auf dem Postweg verloren, kann dies abhängig von Art und Sensibilität der Daten ein Risiko für die betroffenen Personen begründen und eine Meldepflicht nach Art. 33 DSGVO auslösen.
Der Versender bleibt auch nach Übergabe an den Postdienstleister datenschutzrechtlich Verantwortlicher. Er muss im Verdachtsfall eine Risikobewertung vornehmen und über eine Meldung entscheiden.
Fazit & Handlungsempfehlungen
Nicht jede verlorene Postsendung ist automatisch meldepflichtig. Entscheidend ist, ob durch den Verlust ein Risiko für die Rechte und Freiheiten der betroffenen Personen entsteht.
Beim Versand personenbezogener Daten sollten Unternehmen präventiv organisatorische Vorkehrungen treffen, um im Verdachtsfall rechtssicher handeln zu können.
Praxis-Tipps:
Klare Regelungen, dokumentierte Prozesse und geschulte Mitarbeitende sind entscheidend, um Haftungsrisiken zu reduzieren und im Ernstfall fristgerecht und rechtssicher zu handeln.
FAQ
Wann kann der Verlust einer Postsendung einen Datenschutzvorfall darstellen?
Geht eine Sendung mit personenbezogenen Daten verloren oder erreicht sie den vorgesehenen Empfänger nicht, kann eine Datenschutzverletzung im Sinne von Art. 33 DSGVO vorliegen. Entscheidend ist, ob dadurch ein Risiko für die Rechte und Freiheiten der betroffenen Personen entsteht.
Wann besteht eine Meldepflicht gegenüber der Datenschutzaufsichtsbehörde?
Eine Meldung ist erforderlich, wenn die Datenschutzverletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Maßgeblich sind insbesondere Art, Umfang, Anzahl und Sensibilität der betroffenen Daten. Bei einem hohen Risiko müssen zusätzlich die betroffenen Personen informiert werden.
Wer ist bei einem Verlust auf dem Postweg für die Meldung verantwortlich?
Nach dem Artikel verbleibt die Pflicht zur Risikobewertung und gegebenenfalls zur Meldung regelmäßig beim Versender. Postdienstleister werden in der Regel nicht als Auftragsverarbeiter, sondern als eigenständig Verantwortliche eingeordnet.
Warum bleibt der Versender trotz Übergabe an den Postdienstleister verantwortlich?
Der Versender kennt regelmäßig den Inhalt der Sendung, die Sensibilität der betroffenen Daten und die möglichen Folgen für die betroffenen Personen. Zudem kann er die Betroffenen identifizieren und gegebenenfalls informieren. Der Postdienstleister verfügt über diese Informationen typischerweise nicht.
Welche Frist gilt für eine mögliche Meldung nach Art. 33 DSGVO?
Liegt ein meldepflichtiger Datenschutzvorfall vor, muss dieser unverzüglich und grundsätzlich innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden. Für den Fristbeginn kommt es darauf an, wann der Verantwortliche hinreichende Kenntnis vom möglichen Verlust erlangt.
Wie können Unternehmen Verluste auf dem Postweg organisatorisch absichern?
Empfehlenswert sind verbindliche Versandvorgaben, die Nutzung nachverfolgbarer Versandarten bei erhöhtem Risiko, eine frühzeitige Kontrolle bei ausbleibender Zustellung sowie regelmäßige Schulungen der Mitarbeitenden.
