Datenmissbrauch – unbefugte Verwendung persönlicher Informationen
Datenmissbrauch bezeichnet die Verwendung oder Weitergabe von Informationen in einer Weise, die gegen eine Berechtigung, einen vereinbarten Zweck oder geltendes Recht verstößt. Bei persönlichen Daten können beispielsweise Kundeninformationen ohne zulässige Grundlage für Werbezwecke verwendet, private Dokumente veröffentlicht oder Kontaktangaben gezielt zur Einschüchterung eingesetzt werden. Der Ausdruck ist ein Sammelbegriff; er bezeichnet keinen einheitlichen Straftatbestand.
Auch die Verarbeitung personenbezogener Daten ohne wirksame Einwilligung ist nicht automatisch rechtswidrig. Die Datenschutz-Grundverordnung (DSGVO) kennt verschiedene Rechtsgrundlagen, darunter Vertragserfüllung, gesetzliche Verpflichtungen und unter besonderen Voraussetzungen berechtigte Interessen. Die rechtliche Prüfung muss deshalb klären, wer welche Daten zu welchem Zweck verarbeitet und ob die konkrete Handlung von einer gesetzlichen Grundlage gedeckt ist.
Welche Erscheinungsformen des Datenmissbrauchs gibt es?
Unzulässige Weitergabe von Kundendaten
Ein Unternehmen kann Namen, Telefonnummern oder andere Kundeninformationen an Dritte übermitteln, ohne dass eine geeignete rechtliche Grundlage besteht. Nicht jede Weitergabe ist verboten: Auftragsverarbeiter können Daten unter den gesetzlichen Voraussetzungen für den Verantwortlichen bearbeiten. Die Stellung der Beteiligten und die tatsächlichen Verarbeitungsvorgänge müssen abgegrenzt werden.
Missbrauch persönlicher Daten für Werbung
Kontaktdaten werden für unerwünschte Werbeanrufe, Nachrichten oder Profilbildung verwendet. Ein Widerspruch gegen Direktwerbung nach Artikel 21 Absatz 2 DSGVO hat besondere Wirkung. Bei elektronischen Werbenachrichten können weitere Vorschriften, darunter § 7 UWG, einschlägig sein. Ob eine Einwilligung erforderlich war, hängt vom Kommunikationsweg und den rechtlichen Ausnahmen ab.
Veröffentlichung privater Angaben
Eine private Anschrift, Telefonnummer oder ein Dokument wird ohne zulässigen Grund öffentlich gemacht. Im Kontext gezielter Einschüchterung spricht man häufig von Doxing. Die Veröffentlichung kann das Persönlichkeitsrecht beeinträchtigen. Eine schon an anderer Stelle auffindbare Information darf nicht automatisch in jedem denkbaren Zusammenhang weiterverarbeitet werden.
Identitätsmissbrauch bei Bestellungen und Konten
Fremde Namen, Adressen oder Zahlungsinformationen können genutzt werden, um Waren zu bestellen, Konten einzurichten oder andere Menschen zu täuschen. Damit überschneidet sich Datenmissbrauch mit dem bereits vorhandenen Wiki-Eintrag Identity Theft. Die unrechtmäßige Verarbeitung der Angaben und ein möglicher Betrug sind getrennt zu bewerten.
Veröffentlichung oder Verkauf gestohlener Datensätze
Ein kompromittiertes System kann Daten an Unbefugte verlieren. Ein Data Breach beschreibt eine Verletzung der Datensicherheit; ein Datendiebstahl den unberechtigten Zugriff beziehungsweise die Entwendung. Die spätere Veröffentlichung oder missbräuchliche Verwendung ist ein weiterer Vorgang. Nicht jeder Sicherheitsvorfall bedeutet, dass gestohlene Daten tatsächlich im Internet angeboten werden.
Wann liegt eine Verletzung der DSGVO vor?
Die DSGVO verlangt nach Artikel 5 unter anderem Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Ein Verstoß gegen eines dieser Prinzipien kann in einem konkreten Fall datenschutzrechtliche Folgen haben. Die bloße Existenz eines großen Datensatzes ist jedoch keine ausreichende Aussage über eine Rechtsverletzung.
Nach Artikel 6 muss die Verarbeitung personenbezogener Daten auf mindestens einer einschlägigen Rechtsgrundlage beruhen. Die Grundlage kann sich im Laufe einer Beziehung zwischen Anbieter und Nutzer ändern. Ein Einwilligungswiderruf beendet die weitere Verarbeitung auf dieser Grundlage für die Zukunft, beseitigt aber keine unabhängige gesetzliche Pflicht zur Aufbewahrung bestimmter Unterlagen.
Bei Daten über Gesundheit, Sexualleben, politische Überzeugungen und weiteren besonderen Kategorien personenbezogener Daten gelten nach Artikel 9 zusätzliche Anforderungen. Die Tatsache, dass ein Datensatz sensibel ist, ersetzt keine Prüfung des tatsächlich anzuwendenden Rechts.
Wie werden personenbezogene Daten zu Angriffsmitteln?
Ein Täter kann öffentlich gefundene Angaben miteinander verknüpfen, um glaubwürdige Phishing-Nachrichten zu erstellen. Berufliche Kontaktdaten können mit Angaben zu Familie oder Wohnort kombiniert werden. Das Ergebnis kann eine Nachricht sein, die den Eindruck persönlicher Vertrautheit erweckt, obwohl die Informationen aus offenen Quellen stammen.
Der Missbrauch kann sich auch auf die gezielte Rufschädigung richten. Beispielsweise wird ein fremdes Foto für ein Fake-Profil verwendet, eine private Telefonnummer in einem öffentlichen Beitrag veröffentlicht oder ein kompromittiertes Postfach zur Versendung falscher Anweisungen eingesetzt. Jede dieser Handlungen verlangt unterschiedliche Schutz- und Meldeschritte.
Es wäre falsch, aus einer verdächtigen Nachricht zu schließen, dass ein Smartphone gehackt wurde. Ein Angreifer kann die verwendeten Informationen bereits aus einem bekannten Datenleck oder einem öffentlich sichtbaren Profil erhalten haben. Die Herkunft der Daten muss untersucht werden.
Welche Hinweise können auf Datenmissbrauch hindeuten?
Unerwartete Vertragsbestätigungen, Rechnungen für nicht bestellte Waren, Anmeldewarnungen oder neue öffentliche Fundstellen können ein Anlass zur Prüfung sein. Auch Werbeanrufe nach einer zweckgebundenen Datenweitergabe können Fragen aufwerfen. Keines dieser Merkmale belegt allein eine bewusste Straftat oder die Verantwortlichkeit eines bestimmten Unternehmens.
Betroffene sollten die Quelle der Information möglichst genau identifizieren. Welche Angaben sind betroffen? In welchem Dienst waren sie gespeichert? Wer hat sie erhalten oder veröffentlicht? Wenn die Herkunft unklar bleibt, sollte das auch so dokumentiert werden. Eine unbelegte Täterzuschreibung kann eigene rechtliche Schwierigkeiten verursachen.
Welche Daten können bei einer Untersuchung gesichert werden?
Bei erwachsenen Betroffenen können einschlägige E-Mails, öffentliche URLs, Konto-Benachrichtigungen und missbräuchliche Forderungen dokumentiert werden. Eine sinnvolle Chronologie enthält die Entdeckung, bekannte Veränderungen und bereits ergriffene Schutzmaßnahmen. Bei kompromittierten Konten können eigene Sicherheitsprotokolle und die Liste angemeldeter Geräte helfen.
Die Dokumentation darf nicht auf dem unbefugten Zugriff auf fremde Systeme beruhen. Bei besonders sensiblen Aufnahmen Minderjähriger gelten auch strafrechtliche Grenzen für die Herstellung neuer Kopien. In solchen Fällen ist fachkundige Anleitung erforderlich.
Welche Betroffenenrechte bestehen?
Artikel 15 DSGVO kann einen Auskunftsanspruch begründen, Artikel 16 einen Anspruch auf Berichtigung und Artikel 17 unter seinen Voraussetzungen einen Löschanspruch. Artikel 18 regelt die Einschränkung der Verarbeitung und Artikel 21 Widerspruchsrechte. Die Voraussetzungen und Ausnahmen unterscheiden sich.
Ein Auskunftsantrag an den verantwortlichen Anbieter kann klären, welche Daten verarbeitet werden, zu welchen Zwecken dies erfolgt und an welche Empfängerkategorien Informationen übermittelt wurden. Die Antwort muss den gesetzlichen Anforderungen entsprechen; andere Personen betreffende Informationen und gesetzliche Geheimhaltungspflichten können Grenzen setzen.
Ein Antrag zur Löschung sollte die konkrete Verarbeitung und den Grund benennen. Der Beitrag Persönliche Daten löschen erklärt das Vorgehen, die Monatsfrist nach Artikel 12 DSGVO und mögliche Beschwerdewege. Nicht alle im Internet vorhandenen Kopien lassen sich durch einen einzigen Antrag an einen Anbieter entfernen.
Datenschutzverletzung und strafbarer Datenzugriff
Ein Rechtsverstoß gegen Datenschutzregeln ist nicht automatisch eine Straftat. Für einen strafbaren unbefugten Datenzugriff kann etwa § 202a StGB unter den dort genannten Voraussetzungen einschlägig sein. Bei bestimmten Datenveränderungen kann § 303a StGB zu prüfen sein. Eine unzulässige geschäftliche Verwendung von Daten ist davon zu trennen.
Wer durch eine Datenverarbeitung geschädigt wird, kann unter den gesetzlichen Voraussetzungen Ansprüche nach der DSGVO oder anderen Vorschriften haben. Ob ein tatsächlicher immaterieller oder materieller Schaden entstanden ist, ist eine eigene Frage. Eine bloße Datenschutzverletzung darf nicht ohne Prüfung mit einem feststehenden Schaden in bestimmter Höhe gleichgesetzt werden.
Welche Pflichten treffen Unternehmen nach einem Datenleck?
Artikel 33 DSGVO enthält für bestimmte Verletzungen des Schutzes personenbezogener Daten eine Meldepflicht an die zuständige Aufsichtsbehörde. Nach Artikel 34 kann unter bestimmten Voraussetzungen eine Benachrichtigung betroffener Personen erforderlich sein. Die Risikoschwellen, Fristen und Ausnahmen müssen gesondert betrachtet werden.
Ein Unternehmen sollte die Art des Vorfalls und die tatsächlich betroffenen Daten dokumentieren. Unbestätigte Behauptungen wie „alle Kundendaten wurden gestohlen“ können die öffentliche Information verfälschen. Ein konkreter bestätigter Datenabfluss ist von einer vorsorglich untersuchten Sicherheitslücke zu unterscheiden.
Wie untersucht man den Weg von einer Datenquelle bis zum Missbrauch?
Eine fachliche Untersuchung beginnt mit der Frage, woher eine Information ursprünglich stammt. Eine Telefonnummer kann aus einer früheren Bestellung, einem öffentlich sichtbaren Unternehmensprofil oder einer fremden Kontaktliste übernommen worden sein. Der bloße Umstand, dass ein Absender die Nummer kennt, beweist keinen unbefugten Zugriff auf den Telefonanbieter oder das Smartphone.
Danach sollte geprüft werden, ob die Information verändert, mit anderen Angaben verknüpft oder für einen neuen Zweck verwendet wurde. Bei einem gefälschten Profil kann das ursprüngliche Foto rechtmäßig öffentlich gewesen sein, während die Nachahmung einer Identität eine andere Rechtsfrage aufwirft. Je nach Sachverhalt sind die ursprüngliche Erhebung und die spätere Verwendung getrennt zu beurteilen.
Eine zeitliche Chronologie hilft, Veränderungen nachzuvollziehen. Wann wurde ein Datensatz erstmals bekannt? Wann traten missbräuchliche Kontakte auf? Welche Anbieter hatten nachweisbar Zugriff? Die Reihenfolge kann technische Ermittlungen erleichtern, erlaubt aber keine automatische Zuordnung zu einer bestimmten Datenquelle.
Warum unterscheiden sich technische Sicherheitsvorfälle und unzulässige Weiterverwendung?
Ein Sicherheitsvorfall kann darin bestehen, dass eine Datenbank für Unbefugte erreichbar war. Das bedeutet nicht zwingend, dass tatsächlich Daten abgerufen wurden. Umgekehrt kann ein Mitarbeiter Informationen zweckwidrig weitergeben, obwohl die technische Datenbank keinen Sicherheitsfehler aufweist. Beide Vorgänge verlangen unterschiedliche organisatorische Maßnahmen.
Bei einer Untersuchung sind vorhandene Zugriffsprotokolle, Berechtigungskonzepte und die tatsächlichen Datenflüsse von Bedeutung. Ein möglicher Missbrauch muss sorgfältig von einer gewöhnlichen Vertragserfüllung oder rechtmäßig beauftragten Verarbeitung abgegrenzt werden. Ebenso dürfen Mitarbeiter oder Dienstleister nicht allein aufgrund eines zeitlichen Zusammenhangs öffentlich beschuldigt werden.
Welche Konsequenzen können Betroffene praktisch ziehen?
Wenn unbekannte Bestellungen oder Zahlungsversuche auftauchen, können die beteiligten Anbieter kontaktiert und vorhandene Vertragsunterlagen gesichert werden. Bei offengelegten Passwörtern sind die betroffenen Anmeldungen von einem vertrauenswürdigen Gerät aus zu sichern. Ein Antrag auf Datenlöschung ersetzt die Änderung noch verwendeter kompromittierter Zugangsdaten nicht.
Wer fremde Werbeansprachen erhält, kann den Anbieter nach der Herkunft seiner Daten fragen und einen möglichen Widerspruch nach Artikel 21 DSGVO prüfen. Eine Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde kommt unter den gesetzlichen Voraussetzungen infrage. Ein pauschaler Strafvorwurf allein wegen unerwünschter Werbung wäre rechtlich ungenau.
Wie können Organisationen die Bearbeitung nachvollziehbar dokumentieren?
Bei einer gemeldeten unberechtigten Verwendung sollte dokumentiert werden, welche Daten betroffen sind, welche Systeme diese verarbeitet haben und welcher gesetzliche Grund für die Verarbeitung angenommen wurde. Eine nachträgliche Änderung der Datenbank darf die ursprünglichen Feststellungen nicht verdecken. Für die mögliche Meldepflicht nach Artikel 33 DSGVO ist die Risikobewertung gesondert festzuhalten.
Die Information betroffener Personen sollte den bestätigten Vorfall beschreiben und gegebenenfalls geeignete Schutzschritte nennen. Vermutete Abflüsse dürfen nicht als gesicherte Tatsachen ausgegeben werden. Die Veröffentlichung unnötiger personenbezogener Details im Rahmen einer Sicherheitsmeldung kann selbst neue Datenschutzprobleme auslösen.
Häufige Fragen zu Datenmissbrauch
Ist jede Datenweitergabe ohne Einwilligung verboten?
Nein. Unter bestimmten gesetzlichen Voraussetzungen gibt es andere Rechtsgrundlagen als die Einwilligung. Der Zweck und die konkrete Verarbeitung müssen beurteilt werden.
Kann ich die Löschung aller Daten verlangen?
Artikel 17 DSGVO gewährt unter Voraussetzungen einen Löschanspruch und enthält Ausnahmen. Gesetzliche Aufbewahrungspflichten oder andere berechtigte Rechtsgründe können einer vollständigen Entfernung entgegenstehen.
Ist ein Datenleck dasselbe wie Datenmissbrauch?
Nein. Ein Datenleck bezeichnet eine Sicherheitsverletzung oder Offenlegung. Datenmissbrauch betrifft die unberechtigte Verarbeitung oder Verwendung, die daraus folgen kann, aber nicht zwingend folgen muss.
Was tun bei Bestellungen unter meinem Namen?
Betroffene können den Anbieter kontaktieren, Unterlagen sichern und bei Straftatverdacht die Polizei einschalten. Auch Zahlungsanbieter und betroffene Konten sollten geprüft werden.
Weitere Hilfe und Fachquellen
Datenschutzaufsichtsbehörden und Verbraucherzentralen informieren über Betroffenenrechte. BRANDPROTECTIONNOW kann im vereinbarten Umfang öffentliche Fundstellen und Missbrauchshinweise untersuchen und Meldungen vorbereiten. Eine vollständige Entfernung unbekannter Kopien oder die sichere Identifizierung eines Täters lässt sich nicht garantieren.