Source: https://www.reisebuero-moser.at/de/dsgvo.html
Timestamp: 2020-07-07 11:45:39+00:00

Document:
Ihr Urlaub soll Ihre schönste Zeit des Jahres werden. Sie als unser Kunde stehen im Mittelpunkt - wir orientieren uns stets an Ihren Wünschen.
Falls wir eine Destination nicht finden, so liegt es nur daran, dass es diese noch nicht gibt.
Wir, das Team vom Reisebüro Moser in Gerasdorf, sorgen mit mehr als 20 Jahren Erfahrung für Ihren unvergesslichen Urlaub. Dafür nehmen wir uns gerne und immer Zeit.
Im Jänner 2010 sind wir mit unserem Büro von der Hauptstraße 16 in Gerasdorf, in dem wir seit 2001 tätig waren, in die neuen Räumlichkeiten in der Leopoldauer Straße 9, übersiedelt. Von den vier, neu geschaffenen, Arbeitsplätzen, und unserem Infopoint aus können wir mit neuester Buchungstechnologie auf alle Veranstalter live zugreifen. Sämtliche Computer und der Server wurden 2013 erneuert und mit den aktuellsten Front- und Backoffice-Programmen ausgestattet. Daher können wir auf ALLE Veranstalter und auch auf deren Angebote, die sie anhand von Flugblättern, Radio- und Fernsehwerbung promoten, zugreifen und diese buchen. Hier liegt Ihr großer Vorteil: Sie bekommen von uns immer die aktuellsten Angebote. Wie so oft im Leben, gilt aber auch für das Reisebüro: Die beste Technik nützt nichts, wenn sie nicht durch bestens ausgebildete Mitarbeiter ergänzt wird. Und so steht Ihnen das altbekannte und bewährte Reisebüro Moser Team mit fachlich kompetentem und engagiertem Fachwissen jederzeit gerne zur Verfügung.
Eigentümer/Rechtsform
Martina KLAMECKER Prokurist
Renate MOSER geschäftsführender Gesellschafter
Albert MOSER geschäftsführender Gesellschafter
Für ein Unternehmen sind die obersten Datenschutzziele ggf. neben bereits bestehenden Unternehmenszielen festzulegen und zu dokumentieren. Datenschutzziele orientieren sich an den Datenschutz-Grundsätzen und sind individuell auf ein Unternehmen anzupassen.
Festlegung der Rollen und Verantwortlichkeiten (z. B. Vertreter des Unternehmens, betriebliche Datenschutzbeauftragte, Koordinatoren oder Datenschutzteam und operativ Verantwortliche).
Verpflichtung zur kontinuierlichen Verbesserung eines Datenschutzmanagementsystems.
Schulung, Sensibilisierung und Verpflichtung der Mitarbeiter
Branchenspezifische gesetzliche Regelungen oder Verhaltensregeln für den Umgang mit personenbezogenen Daten.
Anforderungen interner und externer Parteien.
Anwendbare Gesetze mit ggf. lokalen Sonderregelungen.
Schutzbedarf der Daten: Schutzbedarfsfeststellung bezüglich Vertraulichkeit, Integrität und Verfügbarkeit (hilfreich sind die Kategorien des BSI-Standard 100-2z.B. „normal“, „hoch“ und „sehr hoch“)
Durchgeführte interne und externe Überprüfungen
Bestehende technische und organisatorische Maßnahmen (TOM)
Geeignete technische und organisatorische Maßnahmen, die unter Berücksichtigung u. a. des Zwecks der Verarbeitung, des Stands der Technik und der Implementierungskosten zu treffen und nachzuweisen sind.
Die Beschreibung der umgesetzten Umsetzung TOM kann sich beispielsweise an dem Aufbau der ISO/IEC 27002 unter Berücksichtigung der ISO/IEC 29151 (Leitfaden für den Schutz personenbezogener Daten) orientieren. Die jeweiligen Kapitel sollten durch Hinweis auf bestehende Richtlinien nachgewiesen werden.
Beispiele für solche Richtlinien sind unter anderem:
Richtlinie für Betroffenenrechte
Informationsklassifizierung (und deren Handhabung)
an den Endanwender gerichtete Themen wie:
zulässiger Gebrauch von Werten
Richtlinie für eine aufgrund der Arbeitsumgebung und Bildschirmsperren
Mobilgeräte und Telearbeit
Einschränkung von Software Installation und -verwendung
Privatsphäre und Schutz von personenbezogenen Informationen
Lieferanten Beziehungen Hinweis auf regelmäßige Überprüfung und Bewertung der Datenverarbeitung, insbesondere der Wirksamkeit der umgesetzten technischen und organisatorischen Maßnahmen.
bei der Erhebung der Daten der betroffenen Person umfangreiche Informationen zu geben („Informationspflichten“ nach Art. 13 DSGVO)
Die DSGVO findet gleichermaßen Anwendung auf öffentliche und nichtöffentliche Stellen. Sie ist anwendbar auf die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung von personenbezogenen Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Unter letzteres fällt die manuelle Verarbeitung von personenbezogenen Daten, wie Akten, die nach bestimmten Kriterien geordnet sind.
Keine Anwendung der DSGVO z.B. in folgenden Fällen:
Datenanwendung für die personenbezogenen Daten Verstorbener
Tätigkeiten der zuständigen Behörden zur Verhütung, Ermittlung, Aufdeckung oder
Verfolgung von Straftaten oder Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit (hierfür gibt es eine Richtlinie)
NIEDERLASSUNGSPRINZIP:
Die DSGVO findet Anwendung auf die Verarbeitung personenbezogener Daten, soweit diese im Rahmen der Tätigkeiten der Niederlassung des Verantwortlichen oder Auftragsverarbeiters in der Union erfolgt. Beachte: Sobald ein Verantwortlicher oder Auftragsverarbeiter mit Niederlassung in der EU beteiligt ist, ist die DSGVO räumlich anwendbar! Der tatsächliche Ort der Datenverarbeitung ist irrelevant: Die DSGVO gilt unabhängig davon, ob die Verarbeitung selbst in oder außerhalb der Union stattfindet. Die Rechtsform (Zweigstelle ohne Rechtspersönlichkeit, Tochtergesellschaft) der Niederlassung ist nicht entscheidend. Jede effektive und tatsächliche Tätigkeit durch eine feste Einrichtung ist eine Niederlassung.
Auftragsverarbeiter (bisher „Dienstleister“):
Der „Auftragsverarbeiter“ ist „eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet“. Eine Auftragsverarbeitung darf nur auf Grundlage eines Vertrages oder eines anderen verbindlichen Rechtsinstruments erfolgen. Der Vertrag/Rechtsakt hat nach Art. 28 DSGVO umfassende Regelungen zu enthalten. Auftragsverarbeiter sind Empfänger im Sinne von Art. 4 Nr. 9 DSGVO. Folglich sind zum Beispiel auf diesen anwendbar: Informationspflicht bei Erhebung (Art. 13 Abs. 1 lit. e DSGVO), Mitteilungspflicht bei Löschung (Art. 19 DSGVO), Auskunftsrecht (Art. 15 DSGVO), Aufnahme in das „Verzeichnis von Verarbeitungstätigkeiten“ (vgl. Art. 30 Abs. 1 lit. d DSGVO).
Beispiele für Auftragsverarbeiter:
Externer IT-Dienstleister, Cloud-Dienste (z.B. Google Drive, Dropbox, Office 365), externe Buchhalter oder Gehaltsabrechnungsbüros, Datenträgerentsorger, Marketingagenturen, Web- bzw. E-Mailhoster, Verarbeitung von Kundendaten durch ein Callcenter ohne wesentliche eigene Entscheidungsspielräume dort, Datenerfassung, Datenkonvertierung oder Einscannen von Dokumenten, Auslagerung der Backup-Sicherheitsspeicherung und anderer Archivierungen, Prüfung oder Wartung (Fernwartung, externer Support) automatisierter Verfahren oder von Datenverarbeitungsanlagen, wenn bei diesen Tätigkeiten ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.
Verantwortlicher muss mit Auftragsverarbeiter einen Vertrag abschließen – Inhalt z.B.:
Kreis betroffener Personen
Pflichten und Rechte des Verantwortlichen und des Auftragsverarbeiters
Löschung nach Beendigung des Auftrags
Will sich der Auftragsverarbeiter zur Erbringung der vereinbarten Dienstleistung Subunternehmen als weiterer Auftragsverarbeiter bedienen, so bedarf dies der vorherigen (schriftlichen oder elektronischen) Genehmigung durch den Verantwortlichen
Quelle: (C) Rechtsanwalt Dr. Clemens Lintschinger, MSc
Sonstige biometrische Daten
Dies sind die ehemaligen „sensiblen“ Daten und genießen nach Artikel 9 DSGVO besonderen Schutz. Es sind dies Daten, aus denen hervorgeht:
Sowie die Verarbeitung von genetische und biometrische Daten
Daten zum Sexualleben oder sexuellen Orientierung Beispiele: Fingerabdruck, Irisscan, Krankenbefunde
GRUNDSÄTZE FÜR DIE VERARBEITUNG (ART 5 DSGVO)
Die Grundsätze der Datenverarbeitung sind weitgehend ident mit jenen der bestehenden DSRL:
Transparenz (= Daten müssen in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden)
Zweckbindung (= Daten müssen für festgelegte, eindeutige und legitime Zwecke erhoben werden, und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden)
Datenminimierung (= auf das notwendige Maß beschränkt)
Richtigkeit (= sachlich richtig und erforderlichenfalls auf dem neuesten Stand)
Speicherbegrenzung/Löschen
Sicherheit (durch geeignete technische und organisatorische Maßnahmen)
WANN IST DIE VERARBEITUNG RECHTMÄSSIG?
Einwilligung (bisher „Zustimmung“) der betroffenen Person für bestimmten Zweck.
Erforderlich für die Erfüllung eines Vertrages / vorvertraglicher Maßnahmen.
Rechtliche Verpflichtung des Verantwortlichen (z.B. zur Dokumentation, gesetzliche Aufbewahrungspflichten).
Zur Wahrnehmung von Aufgaben im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt.
Zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten (Interessenabwägung mit Grundrecht der betroffenen Person).
Der Verantwortliche hat nach Art. 30 Abs. 1 DSGVO schriftlich bzw. in einem elektronischen Format ein Verzeichnis aller Verarbeitungstätigkeiten zu führen und dieses der Datenschutzbehörde auf Anfrage zur Verfügung zu stellen. Diese Pflicht zur Führung eines Verarbeitungsverzeichnisses gilt nicht für Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter beschäftigen, es sei denn die Datenverarbeitung birgt ein
Risiko (Achtung: kein hohes Risiko erforderlich) für die Rechte und Freiheiten der betroffenen Personen
es erfolgt eine Verarbeitung von sensible Daten
oder von Daten über bestimmte Straftaten.
Name und Kontaktdaten des Verantwortlichen/der gemeinsamen Verantwortlichen/des Vertreters
Name und Kontaktdaten des allfälligen Datenschutzbeauftragten
Kategorien der (zukünftigen) Empfänger (inkl. Empfänger in Drittländern und internationale Organisationen), gegenüber welchen personenbezogener Daten offengelegt werden
Übermittlungen von personenbezogenen Daten an ein Drittland oder an eine internationale Organisation: Name Drittland/internationale Organisation ggf. Garantien gem. Art 49 Abs 1 DSGVO
Vorgesehene Frist für die Löschung der verschiedenen Datenkategorien (wenn möglich)
Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen zur Sicherheit der Datenverarbeitung gem. Art 32 Abs. 1 DSGVO (wenn möglich)
Maßnahmen, die die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherstellen
Maßnahmen, die die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen, gewährleisten
Die Artikel 29 Gruppe geht davon aus, dass je mehr Indikatoren auf eine konkrete Datenschutzverarbeitung zutreffen (Faustregel: ab 2), umso eher ist die Datenschutz-Folgenabschätzung erforderlich.
WELCHE INFORMATIONSPFLICHTEN GIBT ES BEI ERHEBUNG PERSONENBEZOGENER DATEN?
Werden personenbezogene Daten bei einer betroffenen Person erhoben, so hat der Verantwortliche nach Art. 13 DSGVO zum Zeitpunkt der Erhebung dieser Person Folgendes mitzuteilen:
Name + Kontaktdaten des Verantwortlichen und des/der Datenschutzbeauftragten
die Absicht des Verantwortlichen, die Daten an ein Drittland zu übermitteln
Hinweis auf die Rechte der betroffenen Person
wenn die Kerntätigkeit in der umfangreichen Verarbeitung von sensiblen Daten und Strafdaten besteht.
Die Kerntätigkeit bezieht sich auf die Haupttätigkeit und die wichtigsten Arbeitsabläufe. Kann die Datenverarbeitung entfallen, ohne dass die Zielerreichung des Unternehmens gefährdet ist, oder handelt es sich um Arbeitsabläufe, die jedes Unternehmen machen muss (zB Buchhaltung, Personalverrechnung), spricht man von einer Nebentätigkeit.
Zu den organisatorischen Maßnahmen, die sicherstellen, dass eine Datenverarbeitung gemäß der DSGVO erfolgt, kann auch die freiwillige Bestellung eines Datenschutzbeauftragten gehören. Dieser muss nicht Angestellter des Unternehmens sein, sondern kann auch ein unternehmensexterner Experte sein.
Datenschutzbeauftragte sind im Falle einer Nichteinhaltung der DSGVO und des nationalen Datenschutzes jedoch nicht persönlich verantwortlich.
Die Abwälzung der finanziellen Verantwortung für Geldbußen ist jedoch nicht möglich. Aus den Bestimmungen der DSGVO geht klar hervor, dass der Verantwortliche bzw. der Auftragsverarbeiter sicherzustellen und nachzuweisen hat, dass eine Datenverarbeitung gemäß den Regeln der DSGVO erfolgt.
Innerhalb EU/EWR gilt der freie Datenverkehr. Für Drittstaaten und internationale Organisationen gilt folgende Unterscheidung:
Weder melde- noch genehmigungspflichtige Datenübermittlungen
Datenübermittlung auf Basis geeigneter Garantien, die von der Datenschutzbehörde vorab genehmigt wurden
Ausnahmsweise nicht melde- und genehmigungspflichtige Datenübermittlungen
Melde-, aber nicht genehmigungspflichtige Datenübermittlungen
Datenübermittlung zwischen Behörden und öffentlichen Stellen
Recht auf Löschung ausgeweitet auf Recht auf „Vergessen werden“
Betroffene haben umfassendes Auskunftsrecht, nämlich:
An wen werden die Daten übermittelt
Auskunftsrecht ist ein höchstpersönliches Recht. Auskunftserteilung an Dritte nur bei Vorliegen einer ausreichenden Vertretungsbefugnis. Beantwortungsfrist datenschutzrechtlicher Auskunftsbegehren: 1 Monat, max. verlängerbar um weitere 2 Monate.

References: Art. 13
 Art. 28
 Art. 4
 Art. 30
 Art. 30
 Art. 13