TK-Datensicherheit (§ 169 TKG): Meldung und Benachrichtigung

Kurzdefinition: § 169 TKG enthält einen eigenen Datenpannen-Meldeweg für die Telekommunikation. Anbieter öffentlich zugänglicher Telekommunikationsdienste müssen eine Verletzung des Schutzes personenbezogener Daten unverzüglich der Bundesnetzagentur und der oder dem Bundesbeauftragten für den Datenschutz (BfDI) melden. Werden Betroffene schwerwiegend beeinträchtigt, sind zusätzlich diese zu benachrichtigen. Dieser Weg besteht neben der DSGVO, nicht statt ihrer. [N-TKG-169]

Der Normwortlaut

§ 169 Abs. 1 TKG bestimmt: „Wer öffentlich zugängliche Telekommunikationsdienste erbringt, hat im Falle einer Verletzung des Schutzes personenbezogener Daten unverzüglich die Bundesnetzagentur und die Bundesbeauftragte oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit von der Verletzung zu benachrichtigen.“ Bei schwerwiegender Beeinträchtigung sind zusätzlich „die Betroffenen unverzüglich von dieser Verletzung zu benachrichtigen“. [N-TKG-169]

Wen trifft die Meldepflicht?

Anbieter öffentlich zugänglicher Telekommunikationsdienste. § 169 Abs. 1 TKG richtet sich an diese Anbieter. Für sie gilt ein eigener, sektorspezifischer Datenpannen-Meldeweg. [N-TKG-169]

An wen ist zu melden?

An zwei Behörden zugleich. Nach § 169 Abs. 1 TKG ist die Verletzung unverzüglich der Bundesnetzagentur und dem BfDI zu melden. Der TK-Meldeweg hat damit einen eigenen Doppel-Adressaten. [N-TKG-169]

Wann sind die Betroffenen zu benachrichtigen?

Bei schwerwiegender Beeinträchtigung. Ist anzunehmen, dass Endnutzer oder andere Personen durch die Verletzung schwerwiegend in ihren Rechten oder schutzwürdigen Interessen beeinträchtigt werden, sind sie nach § 169 Abs. 1 TKG zusätzlich unverzüglich zu benachrichtigen. [N-TKG-169]

Gibt es eine Ausnahme von der Benachrichtigung?

Ja, bei Verschlüsselung. Ist im Sicherheitskonzept nachgewiesen, dass die betroffenen Daten durch geeignete technische Vorkehrungen — insbesondere ein als sicher anerkanntes Verschlüsselungsverfahren — gesichert waren, ist eine Benachrichtigung der Betroffenen nicht erforderlich. Die Bundesnetzagentur kann gleichwohl eine Benachrichtigung anordnen. [N-TKG-169]

Wie verhält sich § 169 TKG zur DSGVO?

Als eigener Weg daneben. § 169 TKG hat einen eigenen Doppel-Adressaten (Bundesnetzagentur und BfDI), eine eigene Frist („unverzüglich“) und eine eigene Betroffenenschwelle („schwerwiegend beeinträchtigt“). Er tritt neben die Datenschutz-Meldepflicht der DSGVO, ersetzt sie aber nicht. [N-TKG-169]

Häufige Fehlannahmen

„Für TK-Anbieter gilt nur die DSGVO.“ Nein. § 169 TKG enthält einen eigenen, zusätzlichen Datenpannen-Meldeweg. [N-TKG-169]
„Es genügt die Meldung an eine Behörde.“ Nein. Zu melden ist der Bundesnetzagentur und dem BfDI. [N-TKG-169]
„Betroffene sind immer zu benachrichtigen.“ Nein. Nur bei schwerwiegender Beeinträchtigung; bei nachgewiesener Verschlüsselung entfällt die Benachrichtigung. [N-TKG-169]
„Es gilt die 72-Stunden-Frist der DSGVO.“ Nicht hier. § 169 TKG verlangt eine unverzügliche Meldung. [N-TKG-169]
„§ 169 TKG ersetzt die DSGVO-Meldung.“ Nein. Der TK-Weg besteht neben der DSGVO-Schiene. [N-TKG-169]
„Datenpannen-Meldung und Sicherheitsvorfall-Meldung sind dasselbe.“ Nein. § 169 TKG betrifft die Datenpannen- und Datenschutzschiene; die Meldung eines Sicherheitsvorfalls erfolgt auf einem eigenen, davon getrennten Weg. [N-TKG-169]

Was die Geschäftsleitung tun sollte

Meldeweg einrichten. Den Doppel-Adressaten Bundesnetzagentur und BfDI in die Datenpannen-Prozesse aufnehmen.
Schwelle prüfen. Bei jeder Verletzung die schwerwiegende Beeinträchtigung der Betroffenen bewerten.
Verschlüsselung nachweisen. Geeignete technische Vorkehrungen dokumentieren, um die Benachrichtigungsausnahme zu nutzen.
DSGVO parallel führen. Die Datenschutz-Meldepflicht der DSGVO zusätzlich beachten.

Für die Geschäftsleitung

§ 169 TKG gibt der Telekommunikation einen eigenen Datenpannen-Meldeweg — an zwei Behörden, unverzüglich, mit eigener Betroffenenschwelle. Wer TK-Dienste anbietet, sollte diesen Weg neben der DSGVO-Schiene vorbereiten und die Verschlüsselungs-Ausnahme durch belastbare Nachweise absichern.