Um IT-Risiken angemessen zu begegnen, ist das Sicherheitsniveau, der zu seiner Erreichung erforderliche Betriebsaufwand und die Wirtschaftlichkeit der Maßnahmen gegeneinander aufzuwägen. Selbst mit dem größten Aufwand wird es keine hundertprozentige Sicherheit geben, die Kosten hingegen steigen exponentiell mit dessen Annäherung.

Die Einschätzung, welches Verhältnis zwischen IT-Sicherheit und dafür erforderliche Kosten möglichst optimal ist, liefert die Risikoanalyse. Für jedes betrachtete Schadensereignis wird die Wahrscheinlichkeit des Eintritts und die Schadenshöhe ermittelt.

Im Ergebnis erhält man einen Maßnahmenkatalog, sortiert nach Prioritäten. Dieser dient als Grundlage, um die IT-Sicherheitsrisiken auf das erforderliche Maß zu reduzieren.

§ 43 BDSG regelt die Bußgelder für vorsätzliche datenschutzrechtliche Verstöße. Neben Imageverlust und Schadenersatzansprüche im Schadensfall sind diese Regelungen für die Risikoanalyse ebenfalls von Relevanz.

1. Nicht- oder Scheinbestellung

Die Nicht- oder Scheinbestellung eines DSBs wird gem. §43 BDSG mit einem Bußgeld von bis zu 25.000 Euro geahndet. Eine Scheinbestellung liegt dann vor, wenn der bestellte DSB nicht über die notwendige Fachkunde verfügt oder ein Interessenkonflikt. Die Berufung vom Geschäftsführer, Hoteldirektor, Abteilungsleiter Personal, EDV bzw. Controlling und Administrator zum Datenschutzbeauftragten ist wegen des Interessenkonfliktes ungültig. Auch ein Konzerndatenschutzbeauftragter ersetzt nicht den eigenen betrieblichen Datenschutzbeauftragten, jedes konzernzugehöriges Hotel muss ebenfalls einen DSB bestellen.

2. Fahrlässiger Verstoß gegen §43 II BDSG

Bereits ein fahrlässiger Verstoß gegen §43 II BDSG (z.B. wer unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, erhebt oder verarbeitet) wird mit einer Geldbuße bis zu 250.000 Euro geahndet.

3. Vorsätzlicher Verstoß gegen §43 II BDSG mit Bereicherungsabsicht

Erfolgt ein Verstoß gegen §43 II BDSG vorsätzlich und mit einer Bereicherungsabsicht oder der Absicht einen anderen zu schädigen, so droht zusätzlich zum Bußgeld (bis zu 250.000 Euro) gem. §44 BDSG eine Freiheitsstrafe von bis zu zwei Jahren.

Vielen ist offensichtlich nicht bewusst, dass der Geschäftsführer für einen Gesetzesverstoß im Bereich Datenschutz (der normalerweise als grob fahrlässig anzusehen ist) mit seinem Privatvermögen (gem. §43 GmbHG) persönlich unbegrenzt haftet. Die vorgenannten Risiken treffen unmittelbar und persönlich den Geschäftsführer durch die Haftung aus §43 GmbHG. Vor dieser persönlichen Haftung wird ihn seine D&O-Police (Directors and Officers-Versicherung) nicht bewahren, denn ein Gesetzesverstoß gilt als grob fahrlässig. In diesem Fall fällt es dem Geschäftsführer sehr schwer den geforderten Nachweis dafür zu erbringen, dass er in seinen Entscheidungen stets die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters praktiziert hat.

mehr >>