Sehr geehrter Herr Bürgermeister,

basierend auf der uns vorliegenden Anfrage des Bündnis für Burscheid möchten wir auf ein kürzlich erfolgtes Urteil des EuGH hinweisen.

Der Europäische Gerichtshof hat in einem Urteil vom 14.12.2023 einen Rechtsspruch zum Schutz personenbezogener Daten gefällt. In diesem heißt es unter anderem, dass… „schon die Befürchtung des Missbrauchs personenbezogener Daten einen ersatzpflichtigen Schaden darstellen kann“ (Art. 82 Abs. 1 der Verordnung 2016/679).

Der Fokus dieses Urteils liegt auf der Stärkung der Rechte von natürlichen Privatpersonen, doch richtet sich der Anspruch auf Schadensersatz gegen den „Datenverantwortlichen“, die Opfer von Cyberangriffen wurden. Hier muss der „Datenverantwortliche (in unserem Fall die SIT) nachweisen, dass er in keinerlei Hinsicht für den Umstand durch den der eingetretene Schaden entstanden ist, verantwortlich ist“ (Art. 82 Abs. 3 der Verordnung 2016/679).

Hier wirft der von dem BfB beigefügte Zeitungsartikel der Siegener Zeitung vom 12. Dezember 2023 entsprechende Fragen auf, die bereits in der Anfrage des BfB enthalten sind.

Jedoch: Der Schaden für die Stadt Burscheid und seine Bürgerinnen und Bürger ist indes enorm. Serviceleistungen der Stadt werden derzeit über eingerichtete Notlösungen aufrecht erhalten oder an andere Behörden delegiert. Hierdurch werden den Bürgerinnen und Bürgern ggf. doppelte Kosten entstehen, z.B. bei der An- Ummeldung von KFZ.

Zudem hat laut dem Siegener Zeitungsbericht die Gruppe „Akira“ die Daten der SIT nicht nur verschlüsselt (Ransomware) um Lösegeld zu erpressen, sondern auch abgeschöpft (kopiert) und Teile dieser Daten im Darknet präsentiert. Ein Verkauf solcher Datensätze, egal ob vollständig oder teilweise, an verschiedene Interessenten ist im Bereich des Möglichen und sollte mit einkalkuliert werden.

Dies ist mehr als besorgniserregend, da es sich hierbei vorallem um Personenbezogene Daten der Bürgerinnen und Bürger, wie z.B. Ausweisdaten (Personal, Reise, Führerschein usw) Kontoverbindungen, Steuerdaten, Leistungsbezüge u.v.m, handeln wird.

Dies stellt nicht nur einen eklatanten Bruch des Datenschutzes dar, sondern öffnet möglichen Käufern dieser Datensätze Tür und Tor für weitere mannigfaltige Angriffe und Betrugsmaschen, wie z.B. Identitätsdiebstahl (Personalausweisdaten).

Erkenntnis:

1. Mit dem Angriff auf die SIT, der Abschöpfung und Verschlüsselung der Datensätze ist sowohl der Stadt Burscheid, als auch den Bürgerinnen und Bürgern bereits Schaden entstanden.
2. Weitere Angriffe und Betrugsversuche (basierend auf den im Darknet verfügbaren und möglicherweise zum Kauf stehenden Datensätzen) können folgen und folgenschwere Schäden für die Burscheider Bürgerinnen und Bürger mit sich ziehen.
3. Ebenso steht zu befürchten das Datenschutzklagen gegen die Stadt Burscheid (als Dateninhaber) oder das SIT (als Datenverantwortlicher) durch die Bürgerinnen und Bürger eingereicht und Regressansprüche gestellt werden.

Wir bitten daher die Anfrage des Bündnis für Burscheid mit unseren Fragen für den kommenden Hauptausschuss am 25. Januar 2024 folgend zu erweitern  & zu beantworten:

1. Liegen bereits Datenschutzklagen aus der Bürgerschaft gegen die Stadt Burscheid bezüglich des Angriffs auf die SIT vor?
2. Wurde bezüglich der Datenschutzverletzung bereits ein Fachanwalt durch die Stadt Burscheid kontaktiert oder gar mandatiert?
3. Ist das zuvor genannte Urteil des EuGH vom 14.Dezember 2023 auch für die Stadt Burscheid als juristische öffentliche Person erweiter- & damit nutzbar um mögliche Regressansprüche gegen die SIT prüfen zu lassen?
4. Besteht die Überlegung innerhalb der Verwaltung eine Bündelstelle für (Sammel) Klagen von Burscheider Bürgerinnen und Bürgern gegen die SIT als Datenverantwortlicher einzurichten?
   1. Vorteile: geringere Bürokratielast, Erleichterung der Beweislast
5. Alternativ zur Sammelklage: Werden den Bürgerinnen und Bürgern Musterklagenvorlagen zur Verfügung gestellt um mögliche Regressansprüche gegenüber der SIT geltend zu machen?
6. Ist geplant Bürgerinnen und Bürgern, denen doppelte Kosten entstanden sind, oder entstehen werden, entgegen zu kommen?
7. Wie ist der generelle Stand der Dinge zur Neuanlage der Verschlüsselten Daten der SIT, nachdem der Lösegeldforderung nicht beigegeben wurde?