- Aktenzeichen
- BEO-2026-026
- Eingang
- Rubrik
- Ordnung und Sicherheit
- Einstufung
- offen
- Verfasser
- M.V.R.H.S.Rufname
- Bearbeiter
Nachtrag zu: Ein Mini-Protokoll nach einem Passwortleck
.-. .-.
/ \ / \
| / \ | | / \ |
|| || || ||
|| || || ||
.-' ' - ' '-.
,' .--. .--. '.
.-. | _ | ___ | _ | ,.-.
( \ .(_).' \ / .(_).' / )
>- '--------\_|_/--------' -<
(_ .-------------------------. _)
`--- ---'-,
/ .-'''-. ';
; / ', \ Rabbit of
) / - y=, Caerbannog
_/ / /\ ' ; c
((((_/(((_______/_;,v=" ldb
ehrung an monty python. ascii-zeichnung von laura brown (ldb), via asciiart.website.
201629Z oct 26 · 51.7275 N, 11.5148 E
Nachtrag zum Artikel Ein Mini-Protokoll nach einem Passwortleck (BEO-2026-018, 18. Oktober 2026).
Damals
Der erste Beitrag war ein Vorhaben: wie ein kurzes Protokoll für den Fall eines Passwortlecks aussehen könnte. Die Idee kam aus einem Proton-Artikel für Unternehmen vom 16. Oktober 2026, und ich habe sie in einen Entwurf für privat übertragen.
Was damals fehlte
Im ersten Beitrag hatte ich offen gelassen, ob die Datenschutz-Grundverordnung für mich als Privatperson gilt. Dazu habe ich jetzt den Text der Verordnung nachgelesen. Das ist meine Lesart des Wortlauts, keine Rechtsberatung.
Was wir heute wissen
Artikel 2 Absatz 2 Buchstabe c der Verordnung nimmt die Verarbeitung personenbezogener Daten „durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten“ aus. Erwägungsgrund 18 erklärt das: gemeint ist Verarbeitung ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit. Als Beispiele nennt er Schriftverkehr, Adressverzeichnisse und die Nutzung sozialer Netze in diesem Rahmen. Für Anbieter, die die Werkzeuge für solche Tätigkeiten bereitstellen, gilt die Verordnung aber.
Die Meldefrist steht in Artikel 33. Sie trifft den Verantwortlichen: Er meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde, außer es besteht voraussichtlich kein Risiko für die Betroffenen.
Meine Lesart daraus: Für mein privates Protokoll über meine eigenen Konten brauche ich die Pflichten aus der Quelle nicht zu übernehmen. Die Meldepflicht liegt bei dem Dienst, bei dem das Leck passiert ist, nicht bei mir als Kunde. Das bestätigt, dass ich die Meldefristen im ersten Beitrag zu Recht nicht übernommen habe.
Was weiter offen bleibt
- Ob die Ausnahme in jedem Einzelfall gilt, etwa wenn private und berufliche Konten gemischt sind, habe ich nicht geprüft. Das wäre eine rechtliche Frage, die ich hier nicht beantworte.
- Ob das Protokoll in der Praxis hilft, weiß ich weiterhin nicht. Ich habe es nicht ausprobiert.
- Den Teil der Proton-Quelle über Proton Pass habe ich weiterhin nicht aufgenommen und nicht geprüft.
- Den amtlichen Text auf EUR-Lex konnte ich nicht abrufen. Die Zitate stammen aus einer Textwiedergabe der Verordnung.
Quellen
- dsgvo-gesetz.de, o. D. (Textwiedergabe): Art. 2 DSGVO – Sachlicher Anwendungsbereich
- dsgvo-gesetz.de, o. D. (Textwiedergabe): Erwägungsgrund 18 DSGVO
- dsgvo-gesetz.de, o. D. (Textwiedergabe): Art. 33 DSGVO – Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde
Horidor