Digitale Gesellschaft

"Mangelnde Datensicherheit muss Unternehmen weh tun"

Verstöße gegen Datenschutz und Datensicherheit müssen Unternehmen wehtun, sagt die Digitale Gesellschaft. Sie fordert unter anderem eine Beweislastumkehr bei Datendiebstählen wie aktuell bei Sony.

Artikel veröffentlicht am 3. Mai 2011, 15:55 Uhr, Jens Ihlenfeld

Die im Rahmen der Re:publica 2011 unter anderem von Netzpolitik-Blogger Markus Beckedahl gegründete Lobbyorganisation Digitale Gesellschaft meldet sich zu den Datendiebstählen bei Sony zu Wort. Verstöße gegen Datenschutz und Datensicherheit müssten den Unternehmen wehtun. Aktuell sei es billiger, sich Daten stehlen zu lassen, als sich anständig um diese Themen zu kümmern.

Um Unternehmen dazu zu bringen, mehr für die Sicherheit ihrer Systeme zu tun, stellt die Digitale Gesellschaft vier konkrete Forderungen auf. Unter anderem soll es eine Beweislastumkehr bei Datenschutzpannen geben: Es sei für den Einzelnen kaum möglich nachzuweisen, dass Betrugsfälle beispielsweise mit gestohlenen Kreditkartendaten aus dem Pool einer beklauten Firma stammten. Daher sollen nach dem Willen der Digitalen Gesellschaft in solchen Fällen künftig die Unternehmen nachweisen, dass die Daten nicht aus ihrem Bestand stammen. "Wer ein Datenleck verursacht, muss beweisen, dass es nicht sein Leck war, das zu Missbrauch geführt hat", so die Forderung.

Zudem sollten Sammelklagen für Verbraucher und Verbraucherverbände ermöglicht werden. Für Einzelne seien die Klagehürden oft zu hoch, doch wenn sich wie im Fall von Sony 77 Millionen Betroffene zusammenschließen könnten, müsste Sony mit hohen Kosten rechnen. Es würde sich daher eher lohnen, in die Sicherheit der Daten zu investieren, als die Nutzer zu entschädigen.

Darüber hinaus sollen Unternehmen bei Datendiebstählen jeden Betroffenen einzeln informieren müssen. Zudem soll es eine Benachrichtigung der Öffentlichkeit durch Anzeige beim Bundesbeauftragten für Datenschutz geben, der diese gesammelt veröffentlicht.

Ergänzend soll eine Art "Kleiner Datenbrief" eingeführt werden. Darin sollen Unternehmen, die personenbezogene Daten halten, über ihre Datenbestände in abstrahierter Form (Datenkategorien) jährlich auf dem üblichen Kommunikationsweg (E-Mail, Fax, Post) informieren, solange der Kunde dem nicht widersprochen hat.