Das Datenleck bei der AfD hat erneut aufgezeigt, dass auch Parteien und politische Organisationen strikte Datenschutzverpflichtungen haben, die sie oft nur unzureichend erfüllen. Nach dem Cyberangriff, bei dem Hacker Daten aus dem Parteinetzwerk entwendeten, versuchte die AfD zunächst, die Bedeutung des Vorfalls herunterzuspielen. Dies weckt Zweifel daran, ob die Partei ihre rechtlichen Pflichten ernst nimmt.
Gemäss der Datenschutz-Grundverordnung (DSGVO) sind Organisationen verpflichtet, Datenschutzverletzungen der zuständigen Aufsichtsbehörde zu melden, und zwar innerhalb von 72 Stunden nach Entdeckung des Vorfalls. Zudem müssen betroffene Personen unter bestimmten Umständen direkt informiert werden. Beim AfD-Leak bleibt bislang unklar, ob diese Benachrichtigungspflichten erfüllt wurden.
Der Fall ist symptomatisch für ein grösseres Problem: Viele Organisationen, unabhängig von ihrer Grösse oder Branche, unterschätzen die Datenschutzverpflichtungen oder nehmen sie nicht ausreichend ernst. Sie kümmern sich erst um Datenschutz, wenn es bereits zu spät ist. Dabei ist proaktive Datensicherheit nicht nur eine rechtliche Pflicht, sondern auch ein wesentlicher Schutz für die Privatsphäre der betroffenen Personen.
Für KMU-Unternehmen ist dieses Beispiel lehrreich: Eine robuste Datenschutzstrategie muss von Anfang an in die IT-Infrastruktur integriert sein. Das umfasst regelmässige Sicherheitsüberprüfungen, Mitarbeiterschulungen, Notfallpläne für Sicherheitsvorfälle und eine klare Kommunikationsstrategie im Falle eines Datenlecks. Professionelle Datenschutzbeauftragte und IT-Sicherheitsexperten können dabei helfen, solche Vorfälle zu vermeiden oder zumindest schnell und regelkonform zu reagieren.