Jeder Verantwortliche ist verpflichtet, geeignete technische und organisatorische Maßnahmen zu ergreifen, um die Integrität, Vertraulichkeit und Verfügbarkeit der Verarbeitung personenbezogener Daten zu gewährleisten. Daher müssen alle vom Verantwortlichen durchgeführten Verarbeitungstätigkeiten einem risikobasierten Ansatz entsprechen.
Bei der Verarbeitung personenbezogener Daten muss der Verantwortliche sicherstellen, dass jeder Verarbeitungsvorgang angemessen geschützt ist. Trotz der Umsetzung notwendiger Maßnahmen und dem Abschluss spezifischer Vereinbarungen zum Schutz personenbezogener Daten kann es jedoch vorkommen, dass es ohne Verschulden des Verantwortlichen zu einer Datenschutzverletzung kommt. Dies ist beispielsweise beim Paketversand der Fall. Der Verantwortliche kann den gesamten Korrespondenzprozess intern so organisieren, dass das Risiko von Verstößen minimiert wird, d. h. ihn optimieren, um sicherzustellen, dass Pakete an die richtigen Empfänger adressiert werden, die Umschläge den korrekten Inhalt enthalten, Pakete nicht in den Räumlichkeiten des Verantwortlichen verloren gehen und ordnungsgemäß erfasst werden. Dies betrifft jedoch nicht die Zustellung der Pakete an die Empfänger, die über einen Postdienstleister erfolgen muss, insbesondere wenn es sich um den von 2016 bis 2025 für die Erbringung des Universaldienstes zuständigen Dienstleister, die Poczta Polska, handelt.
Gemäß Artikel 41 des Gesetzes vom 23. November 2012 – Postgesetz – ist der Postbetreiber zur Wahrung des Postgeheimnisses, wozu Folgendes gehört:
- Informationen, die in Postsendungen,
- Informationen zur Ausführung von Postanweisungen,
- Daten über Einrichtungen, die Postdienste nutzen , und
- Daten über die Tatsache und die Umstände der Erbringung von Postdienstleistungen oder der Nutzung dieser Dienstleistungen.
Das Gesetz gibt außerdem an, dass ein Verstoß gegen die Verpflichtung zur Wahrung des Postgeheimnisses insbesondere die Offenlegung oder Verarbeitung von Informationen oder Daten umfasst, die dem Postgeheimnis unterliegen, das Öffnen versiegelter Postsendungen oder das Lesen ihres Inhalts sowie die Ermöglichung bestimmter Handlungen durch nicht autorisierte Personen, die einen Verstoß gegen das Postgeheimnis darstellen.
Bitte beachten Sie jedoch, dass es sich um einen offenen Katalog handelt. Der Verlust eines Pakets, bei dem keine Informationen darüber vorliegen, ob es geöffnet wurde, stellt daher ebenfalls einen Verstoß gegen die Vertraulichkeit dar.
Der Postbetreiber ist außerdem verpflichtet, im Rahmen der technischen und wirtschaftlichen Gründe die gebotene Sorgfalt walten zu lassen, um die bei der Erbringung von Postdienstleistungen verwendeten Geräte und Einrichtungen sowie die Datensätze vor der Offenlegung von Postgeheimnissen zu schützen.
Im Urteil des Obersten Verwaltungsgerichts vom 28. Juni 2022, II GSK 265/19, stellte das Gericht fest, dass ein Verstoß gegen das Briefgeheimnis, verstanden als die Möglichkeit, Kenntnis vom Inhalt einer Sendung zu erlangen, stets als Verstoß gegen die Geheimhaltungspflicht für Briefe zu werten ist, unabhängig davon, ob diese Kenntnisnahme tatsächlich stattgefunden hat. In einem solchen Fall besteht stets eine Gefährdung der Sicherheit des Postverkehrs und der vitalen Interessen der Postnutzer.
Trotz dieser strukturierten Regelung ist der Postdienstleister zwar für die Daten von Absender und Empfänger verantwortlich , der Absender hingegen für die angemessene Sicherung der in der Sendung enthaltenen personenbezogenen Daten . Dies wird auch durch die Rechtsprechung des Woiwodschaftsverwaltungsgerichts Warschau bestätigt, das im Juli 2022 nach einer Beschwerde des Verantwortlichen für die Datenverarbeitung entschied, dass der Absender der Sendung für die in den Korrespondenzdokumenten enthaltenen Daten verantwortlich ist, da nur er Kenntnis von den in der Sendung übermittelten Daten hat. Daher muss der Absender im Falle des Verlusts oder der Öffnung der Sendung durch eine unbefugte Person die mit der Datenschutzverletzung verbundenen Pflichten erfüllen. Die polnische Aufsichtsbehörde (PUODO) verhängte in diesem Fall eine Geldbuße in Höhe von 363.000 PLN und ordnete an, dass der Verantwortliche für die Datenverarbeitung die betroffenen Personen über die Datenschutzverletzung informieren muss.
Der amtierende Präsident des Amtes für den Schutz personenbezogener Daten (UODO) hat auf das Ausmaß von Datenschutzverletzungen im Zusammenhang mit dem Verlust von Paketen hingewiesen, die von Verantwortlichen für die Datenverarbeitung versandt wurden. Er betonte, dass Pakete häufig besondere Kategorien personenbezogener Daten enthalten und ein solcher Vorfall daher automatisch eine Datenschutzverletzung darstellt, die ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen birgt. Folglich forderte der Präsident des UODO in einem Schreiben vom 2. April 2024 den Präsidenten der Poczta Polska auf, dringend Maßnahmen zur Beseitigung solcher Vorfälle zu ergreifen.
Das Problem des Paketverlusts wurde bereits 2019/2020 von der Aufsichtsbehörde angesprochen. Damals verpflichtete sich der Postbetreiber, Mitarbeiterschulungen durchzuführen und das Bewusstsein für den Datenschutz zu stärken. Eine weitere wichtige Frage, die der Präsident des Amtes für den Schutz personenbezogener Daten aufwarf, ist, ob die polnische Post (Poczta Polska) die bereits umgesetzten Maßnahmen zur Verbesserung der Paketsicherheit überwacht und ob Schritte zur Einführung neuer Mechanismen zum Schutz personenbezogener Daten unternommen werden.
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar.
Rechtsstatus ab dem 30. April 2024.
Autor:
