Source: https://www.reichart.at/dsgvo.html
Timestamp: 2018-12-15 11:54:24
Document Index: 107156010

Matched Legal Cases: ['Art 13', '§ 132', '§ 18', '§ 190', '§ 933', '§ 1163', '§ 1478', '§ 34', '§ 1489', 'Art 4', 'Art 28', 'Art 5', 'Art 6', 'Art 5', 'Art 30', 'Art 32', 'Art 33', 'Art 34', 'Art 37', '§ 5', '§ 6', '§ 22', 'Art 83', 'Art 40', 'Art 82']

DSGVO - REICHART steuerberatung
EU-Datenschutz-Grundverordnung (DSGVO)​
Mit Wirkung 25.05.18 tritt die DGSVO europaweit in Kraft. Zielobjekt der Bestimmungen sind internationale Unternehmen und Konzerne. Wir KMU fallen unter die Kategorie Kollateralschaden.
Die DSGVO ist voll mit unbestimmten Rechtsbegriffen (vager, mehrdeutiger, nicht abschließender Inhalt). Dies bedeutet, dass man bis zu den Höchstgerichten eine Rechtsmeinung vertreten kann ohne dem Gesetz zuwider zu handeln. In den nächsten Jahren wird sich also noch viel klären.
Laut Auskunft von Fachleuten sollen 90 % der Bestimmungen relativ leicht umsetzbar sein, 10 % sind gar nicht umsetzbar.
Die kolportierten hohen Geldstrafen werden vermutlich nur dann verhängt werden, wenn Daten vorsätzlich mißbraucht werden oder den Anweisungen der Datenschutzbehörde hartnäckig nicht Folge geleistet wird. Die DSB kann neben Geldstrafen auch andere Abhilfemaßnahmen ergreifen (zB Weisungen, Warnungen, Verwarnungen uvm). Die DSB ist eine Verwaltungsbehörde und der Strafrahmen ist mit dem eines Gerichts nicht zu vergleichen.
Die DSB besteht per April 2018 aus rund zwei dutzend Leuten. Die DSB muss an Sie herantreten, wenn es begründete Anzeigen (zB von Ex-Mitarbeitern, Konkurrenten usw) gibt oder ein meldepflichtiger Data Breach (zB Hackerangriff) vorliegt.
Wenn im Rahmen der Umsetzung der Bestimmungen Zweifel auftreten, empfehle ich Ihnen, sich Rat bei Rechtsanwälten und
IT-Spezialisten zu holen.
Bedenken Sie auch, dass es mit der erstmaligen Erfüllung der DSGVO-Bestimmungen nicht getan ist. Sie sollten Ihre Dokumentationsunterlagen ein- bis zweimal im Jahr auf Aktualität überprüfen.
Von der WKO veröffentlichte Musterdokumente
Senden wir auf Anfrage gerne zu:
TOMs (Risikoanlayse und technisch-organisatorische Maßnahmen)
Datenschutzerklärung betreffend Kunden/Lieferanten
Datenschutzerklärung betreffend Mitarbeiter
Auftragsverarbeitervereinbarung
Welche Schritte werden in der Literatur zur Umsetzung empfohlen
1. Unterstützung aus dem Management sichern
2. Datenschutzbeauftragten bzw. -manager ernennen und Zuständigkeiten klären
3. Ersten Überblick verschaffen
A) Welche Arten von IT-Systemen nutzt das Unternehmen
> Um welche Betroffenengruppe geht es (Mitarbeiter, Kunden, Lieferanten)
> d.h Rechnungswesen, Logistik, Lohnverrechnung, E-Mail-System, Personalverwaltungssystem usw
B) Wie sieht die gesellschaftsrechtliche Struktur des Unternehmens aus (gilt nur für Internationale Ges)
C) Welche Geschäftssparten hat das Unternehmen
> Verkauf an Kunden (B2B) oder an Privatpersonen (B2C)
4. Ziele des Datenschutzmanagements in einer Unternehmensrichtlinie definieren
> 100 % Umsetzung der DSGVO (ist kaum möglich) oder pragmatischer Ansatz
> wer ist wofür zuständig
5. Passende IT-Tools für das DSM auswählen
> Excel, Word, Onlinetools
6. Informationen über alle Datenverarbeitungsprozesse erheben
> ist das Unternehmen Verantwortlicher (entscheidet selbst über Datenerhebung)
> ist das Unternehmen Auftragsverarbeiter (verarbeitet Daten im Auftrag Dritter)
7. Verzeichnis der Verarbeitungstätigkeiten erstellen
ist das Kernstück der ganzen DSGVO
8. Rechtmäßigkeit der Verarbeitungstätigkeiten absichern
9. Datenschutz-Folgeabschätzung durchführen
nur notwendig, wenn die Datenverarbeitung ein hohes Risiko für die Betroffenen begründet
10. Datenschutzrelevante Unternehmensrichtlinie erstellen
> Richtlinie zur Informationssicherheit: wie ist bei Datenverletzung vorzugehen, Sicherheitsupdates regelmäßig durchführen,
> Richtlinie zur Nutzung der Unternehmens-IT: keine Verwendung der IT für private Zwecke, keine Verwendung privater Endgeräte für
11. Unternehmensinterne Schulungen und Informationsmaßnahmen erstellen
12. Datenschutz im täglichen Betrieb aufrechterhalten
Wie geht man praktisch vor
Checkliste TOM (Risikoanalyse und technisch-organistorische Maßnehmen) umsetzen
Website anpassen betreffend Cookies u. Google Analytics
Datenschutzerklärung (Informationspflicht gem Art 13 DSGVO) an Kunden/Lieferanten mitteilen und/oder auf Website stellen
Datenschutzerklärung Mitarbeiter aushändigen
Auftragsverarbeitervereinbarung (falls Dritte Daten für Sie verarbeiten)
Verzeichnis der Verarbeitungstätigkeiten erstellen (muss aktuell sein, sollte die DSB jemals danach fragen)
Emails/Fax über pb Daten sind zu verschlüsseln
spezielle Regelungen für Newsletter und Videoüberwachung beachten
Im Prinzip geht es um den
Datenschutz = den Menschen und dessen personenbezogene Daten zu schützen und um die
​Datensicherheit = die Daten selbst zu schützen (physische Sicherheit, Schutz vor Fremdzugriffen, Datensicherung, Verschlüsselung der Kommunikation, Updates)
Personenbezogene Daten natürlicher Personen, welche eine Identifizierung ermöglichen.
Somit sind Erfassen, Speichern, Abfragen und Übermitteln von Daten umfasst (zB Name, Adresse, Geburtsdatum, SV-Nummer, Kontodaten, Gehalt, Foto, IP-Adressen, Email, Bankkonto, Kfz-Kennzeichen uvm)
Firmendaten sind nicht umfasst. Nur wieder die Daten der dahinterstehenden natürlichen Personen
Automatisierte Verarbeitung pb Daten. Fokus liegt auf elektronischen Daten. Es fallen aber auch manuelle (in Papierform) Daten darunter, wenn diese in einer strukturierten Sammlung vorliegen (einzelne Papierakten sind jedoch nicht als Dateisystem zu identifizieren)
Braucht man einen Datenschutzbeauftragten
Nein. (zB ein Arzt mit tausenden Personendaten benötigt keinen DSB)
Ja, falls Sie a) eine Behörde sind oder b) hre Kerntätigkeit in der Überwachung von Personen oder c) der Verarbeitung sensibler Daten oder d) ein hoher Autmatisierungsgrad in der Organsistion besteht (zB Banken, Versicherungen, Krankenhäuser, Securityfirmen)
Grundsätze der Verarbeitung pb Daten
2. Transparenz (Betroffene haben Recht darauf zu erfahren, welche pb Daten verarbeitet werden)
3. Zweckbindung (Daten dürfen nur für bestimmte Zwecke verwendet werden)
4. Datenminmierung (Bezieht sich auf die Menge der Daten, also nur was absolut notwendig ist. Bedeutet aber auch, dass Mitarbeiter nur auf jene Daten Zugriff haben, die sie zur Erfüllung ihrer Aufgaben brauchen; zB Mitarbeiter in der Buchhaltung brauchen keinen Zugriff auf Daten der Lohnverrechnung)
7. Integrität und Vertraulichkeit (Schutz der Daten vor unbefugter/unrechtmäßiger Bearbeitung, Zerstörung, Verlust, Beschädigung)​
Rechtmäßigkeit der Verarbeitung absichern
Jede Datenverarbeitung ist grundsätzlich verboten, außer sie ist erlaubt. In Betracht kommende Rechtsgrundlagen sind u.a:
1. Erforderlichkeit für die Erfüllung eines (Vor)Vertrages, der mit Betroffenen geschlossen wurde (zB Verarbeitung Lieferanschrift zur
Erfüllung eines Kaufvertrages, Verarbeitung von Bewerberdaten im Rahmen einer Stellenausschreibung). Ist im allgemeinen die Regel.
2. Erforderlichkeit für die Erfüllung einer gesetzlichen Verpflichtung (zB Übermittlung von Gehaltsdaten an Sozialversicherung)
3. Überwiegende berechtigte Interessen des Verantwortlichen. Ist in Praxis kritisch zu sehen und widerstreitende Interessen sind
​4. Schlüssige oder ausdrückliche Einwilligung des Betroffenen. Die Einwilligung ist für viele Branchen eher die Ausnahme, wenn eine
Einwilligung dennoch notwendig sein sollte, gibt es zahlreiche Vorschriften, wie diese zu gestalten ist. Vor allem Newsletter an
​ Personen, die noch keine Kunden sind, bedürfen deren Zustimmung.
Wie lange dürfen Daten aufbewahrt werden - Speicherbegrenzung
Steuerrechtliche Aufbewahrungsfrist (§ 132 Abs 1 BAO)
Sonderbestimmung für Grundstücke (§ 18 Abs 10 UStG)
​Unternehmensrechtliche Aufbewahrungspflicht (§ 190 UGB)
Gewährleistung beweglicher Sachen (§ 933 ABGB)
​Gewährleistung unbeweglicher Sachen
Anspruch auf Ausstellung eines Dienstzeugnisses (§ 1163 iVm§ 1478 ABGB)
Verfall von Ersatzansprüchen aus vorzeitiger Beendigung des Arbeitsverh (§ 34 AnG)
Geltendmachung von Ansprüchen wg Diskriminierung bei Beförderung/Bewerbung
Absolute Verjährung des Schadenersatzes (§ 1489 ABGB)
Welche Frist anzuwenden ist, wird im Einzelfall zu beurteilen sein.
​Weiters kann es ein berechtigtes Interesse des Verantwortlichen geben, im Einzelfall länger aufzubewahren.
​22 Jahre
Ist das Kernstück der ganzen Angelegenheit. Muss nach dem 25.05.18 der Datenschutzbehörde auf Anfrage vorgelegt werden.
Unternehmen mit < 250 Mitarbeitern sind von der Pflicht zur Führung des VVZ befreit, wenn
a) die Daten keine Risiken für Betroffene darstellen (dh es werden nur Daten verarbeitet die öffentlich verfügbar sind: Name, Tel.Nr.)
b) Verarbeitung pb Daten erfolgt nur gelegentlich (zB einmal pro Woche oder anlässlich der Ausstellung einer Rechnung mit Regist.kassa)
c) Verarbeitung umfasst keine sensiblen Daten (reguläre Lohnverrechnung mit Erfassung von Krankheitstagen scheidet daher aus)
Befreit wären somit nur Einzelunternehmer, die keinen Computer für ihre Arbeit verwenden und keine Kunden- oder Lieferantenkartei führen (zB Tischler, Schuster).
Es sind die betriebsinternen Verarbeitungstätigkeiten abzubilden. Zur Bestimmung des Detailierungsgrades kann man sich an der innerbetrieblichen Organisation orientieren und die vorhandenen Abteilungen als Ausgangspunkt nehmen:
Das VVZ muss mindestens folgende Angaben enthalten:
> Name und Kontaktdaten des Datenschutzbeauftragten (sofern vorhanden)
> Zwecke der Verarbeitung
> Beschreibung der Kategorie betroffener Personen und der Kategorien pb Daten
> Kategorie der Empfänger, gegenüber denen die pb Daten offengelegt worden sind bzw zukünftig werden
> Bei internationalem Datenverkehr: Angabe des Drittlandes oder der int Organisation sowie Dokumentation des Datenschutzniveaus
> Wenn möglich: Fristen für Löschung
> Wenn möglich: allgemeine Beschreibung der technischen und organisatorischen Maßnahmen
Bei Erstellung soll jedoch nicht vergessen werden, dass das VVZ einen Überblick und keine tiefergehenden Detailinformationen über die Verarbeitsungstätigkeit wiedergeben soll.
Muss man betroffene Personen informieren, dass Daten verarbeitet werden
Verantwortliche müssen informieren, wenn sie pb Daten von natürlichen Personen verarbeiten. Die detaillierten und umfangreichen Informationen sind der betreffenden Person bei Erhebung der Daten oder unverzüglich danach zugänglich zu machen. Dabei ist noch zu unterscheiden, ob die Datenerhebung bei der betroffenen Person direkt erfolgt (zB im Zuge eines Bestellformulars) oder bei einem Dritten (zB Datenerhebung beim Besuch einer Website).
Betreffend Informationspflicht gibt es keine Form- oder Verfahrensvorgaben. Sie muss nur leicht zugänglich gemacht werden, wie zB:
- PDF per Email
- Hinweis auf einer Website
- durch Verlinkung in einer Email-Signatur auf eine Website
- durch Abdruck der Datenschutzerklärung auf der Rückseite eines Formulars
- durch Aushang im Geschäft
Es wird empfohlen, die Info mittels verschiedener Kommunikationskanäle verfügbar zu machen.
Muss man Mitarbeiter informieren, dass Daten verarbeitet werden
Ja. Die Information muss nur ausgehändigt, jedoch nicht gelesen oder unterschrieben werden.
​Musterschreiben gibts zum Download.
1. Recht auf Auskunft, ob pb Daten verarbeitet werden
> Wenn ja, sind folgende Informationen zu geben: Verarbeitungszweck; Kategorien der verarbeiteten Daten; Empfänger gegenüber denen die Daten offengelegt werden; Speicherdauer; Belehrung über unterschiedliche Betroffenenrechte und Möglichkeit zur Beschwerde bei Aufsichtsbehörde; sofern die Daten nicht bei der betroffenen Person erhoben wurden alle Informationen über Herkunft der Daten; sofern Datenübermittlung an Drittland erfolgt Darlegung dass im Drittland entsprechendes Datenschutzniveau besteht.
> Liegen von anfragender Person keine Daten vor, ist auch dies mitzuteilen (Negativmitteilung)
> Anfrage muss binnen Monatsfrist beantwortet werden. Bei mehrmaligen Anfragen in einem Jahr kann Kostenersatz verrechnet werden
> Email-Anfragen müssen per Email beantwortet werden (außer Betroffener stimmt anderer Form zu); Briefanfragen per Brief
> Anfragender muss Identität nachweisen um Rechte geltend zu machen
Dem Löschungsbegehren muss Folge geleistet werden wenn: die pb Daten sind für Zwecke für die sie erhoben wurden nicht mehr notwendig; Widerruf der Einwilligung; Person legt Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für Verarbeitung vor; pb Daten werden unrechtmäßig verarbeitet; die Löschung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich.
Das Löschungsbegehren kann in folgenden Fällen abgelehnt werden: Geltendmachung/Ausübung/Verteidigung von Rechtsansprüchen; Erfüllung einer rechtlichen Verpflichtung oder einer im öffentlichen Interesse liegenden Aufgabe; öffentliche Interessen
Ist in Praxis nur temporäres und begleitendes Recht im Zuge eines Lösch- oder Berichtigungsbegehren
Auf Anfrage müssen den Betroffenen die vorhandenen Daten in leicht verständliche Form übermittelt werden.
Wie soll eine Datenschutzmitteilung auf einer Website aussehen
Jede Website muss eine Datenschutzerklärung enthalten, welche die Nutzer informiert über:
> die Verarbeitung bezogener Daten
> die Verwendung von Cookies
Diese Datenschutzerklärung sollte von jeder Seite der Website leicht zugänglich sein (zB Link "Datenschutz")
Ist eine Einwilligung für Cookies erforderlich
​Ja. Aber lässt ein Nutzer das Setzen von Cookies zu, indem er seinen Browser entsprechend konfiguriert hat, gilt dies als Zustimmung.
Darf auf der Website Google Analytics verwenden
Muss man E-Mails verschlüsseln
Ja. E-Mails mit pb Daten dürfen nur verschlüsselt versendet werden
Wie lange sollten Emails aufbewahrt werden
Als pragmatische Faustregel ist eine Aufbewahrung von 7 Jahren zu empfehlen
Dürfen eingehende und ausgehende Email gespiegelt werden (automatische Kopien an Vorgesetzte)
Ist sehr bedenklich und darf nur unter gewissen Voraussetzungen erfolgen
Darf man auf den Email Account eines Mitarbeiters zugreifen, der auf Urlaub ist oder das Unternehmen verlassen hat
Ja, wenn der Zugriff aus betrieblichen Gründen notwendig ist; den MA die Privatnutzung des beruflichen Email Accounts untersagt wurde; und die MA werden über die Möglichkeit des Zugriffs informiert bzw mit Betriebsrat wurde eine Betriebsvereinbarung abgeschlossen.
Mitarbeiterdatenschutz und Betriebsrat
> der BR ist grundsätzlich über alle IT-Systeme zu informieren, mit denen Arbeitnehmerdaten verarbeitet werden
> Betriebsvereinbarung notwendig, wenn die Verarbeitung der Daten darüber hinausgeht:
allgemeine Angaben zur Person und fachliche Voraussetzungen zu erheben und Pflichten zu erfüllen die sich aus Gesetz/KV ergeben
> der BR darf nur in jene Mitarbeiterdaten Einsicht nehmen, deren Erhebung und Verarbeitung für das Unternehmen verpflichtend sind
​ (zB Lohnverrechnung)
Dürfen Fotos und Videoüberwachung gemacht werden
Nur für bestimmte Zwecke und unter Einhaltung spezieller Vorschriften und Zustimmungen bzw Betriebsvereinbarungen.
Technisch Organisatorische Maßnahmen (TOM) - Datensicherheit
> Pseudonymisierung und Verschlüsselung von pb Daten
> Maßnahmen zur Sicherung der IT-Systeme
> Backup- und Restore-Maßnahmen
> Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
Datenschutz durch Technik ("Privacy by Design"): technische Maßnahmen implementieren, dass Datenschutzgrundsätze erfüllt werden
zB Pseudonymisierung, techn Umsetzung eines Löschkonzepts (Grundsatz der Speicherbegrenzung) , Implementierung eines
Benutzerberichtigungskonzepts (Grundsatz der Datenminimierung); automatische Validierung und Plausibilisierung bei Dateneingabe
(Grundsatz der Richtigkeit)
Datenschutz durch datenschutzfreundliche Voreinstellungen ("Privacy by Default") bedeutet ua, dass in der IT Voreinstellungen
gesetzt werden, dass nur jene Daten verarbeitet werden, die zur Zweckerfüllung relevant sind (Grundsatz der Zweckbindung)
Die ultimative Information betreffend IT-Grundschutz finden Sie bei unseren deutschen Nachbarn:
IT-Grundschutz-Katalog des deutschen Bundes für Sicherheit in der Informationstechnik (BSI)
Wie könnte ein Sicherheitskonzept aussehen
Präventiv ( Angriffe verhinden)
Detektiv (Angriffe erkennen)
Reaktiv (Gegenmaßnahmen)
Firewall, Antivirenprogramm
​Warnmeldung
Durchsicht der Logfiles
Incident Response Poliy
​Wachhund
Wie ist bei Datenschutzverletzungen vorzugehen
1. Meldung an Aufsichtsbehörde innerhalb von max 72 Stunden: Beschreibung u. Art der Verletzung; Name u. Kontaktdaten der Anlaufstelle für weitere Infos, Beschreibung und wahrscheinliche Folgen der Verletzung; Beschreibung der Maßnahmen zur Behebung
2. Meldung an Betroffenen: nur dann, wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten darstellt.
Dürfen Daten ins Ausland übermittlet werden - Internationale Datenübermittlung
Alles was den EU/EWR-Raum verlässt, darf nur erfolgen, wenn der Drittstaat gleiches Datenschutzniveau vorweisen kann. Muss vom ausländischen Verarbeiter bestätigt werden.
Zusammenarbeit mit Auftragsverarbeitern - Outsourcing
> Aufragsverarbeiter muss gewährleisten, dass geeignete technische u. organisatorische Maßnahmen vorliegen um die DSGVO
​ umzusetzen und dass der Schutz der Rechte der betroffenen Personen erfolgt.
> Zwingend schriftlicher Vertrag
> Subauftragsverarbeiter nur bei Genehmigung des Verantwortlichen
> Projektleiter ernennen sowie intern u. extern notwendige Personen nominieren
> Zetiliches und monetäres Budget festlegen und beschließen
> Überblick über verarbeitete pb Daten, Empfänger und eingesetzte Anwendungen schaffen
> Überblick über Datenflüsse schaffen (insb Übermittlung ins Ausland bzw Einsatz von ausl Auftragsverarbeitern
> Überblick über Datensicherheitsmaßnahmen aufnehmen
> Verarbeitungsverzeichnis erstellen
> Überprüfung ob Datenschutzbeauftragter verpflichtend zu bestellen ist
> Entscheidung ob Datenschutzbeauftrgter auf freiwilliger Basis bestellt werden soll
> Stellung und Ausbildung des Datenschutzbeauftragten festlegen
> Zwecke der Datenverarbeitung erheben
> Rechtsgrundlage der Datenverarbeitungen prüfen
> Rechtskonforme Datenverarbeitung und -übermittlung ins Ausland prüfen
> Abschätzung der Folgen der Verarbeitungsvorgänge für den Schutz pb Daten vornehmen
> Erweiterte Datenschutz-Folgenabschätzung vornehmen (sofern nötig)
> Auftragsverarbeiter evaluieren und ggf Nachweise der Einhaltung der Datenschutz-Grundsätze einfordern
> Auftragsverarbeitervereinbarung schriftlich abschließen
> Prozesse und Vorlagen zur Erfüllung der Informationspflichten erstellen
> Prozesse und Vorlagen zur Erfüllung der Betroffenenrechte erstellen
> Prozess und Vorlagen für den Fall einer Datenpanne (Data Breach) erstellen
> Datensicherheitsmaßnahmen umsetzen
> Privacy by Design & Privacy by Default sicherstellen
> Datenschutz-Policy erstellen
​> Mitarbeiter schulen
> Website anpassen
> Musterschriftsätze erstellen
Allgemeines über die EU-Datenschutz-Grundverordnung 2018
Die DSGVO führt in jeder Organisation zu wesentlichem Anpassungsbedarf im Zusammenhang mit Datenschutzanforderungen. Die per Gesetz definierten hohen Strafen von bis zu 20 Millionen Euro bzw. 4 Prozent des globalen Jahresumsatzes eines Unternehmens zeigen den enormen Stellenwert, der dem Thema Datenschutz zukünftig gegeben wird. Heimische Unternehmen sind daher gut beraten, diese aktuelle Übergangsfrist zu nutzen, um entsprechenden Vorbereitungen zu treffen.
Im Rahmen der DSGVO sind Unternehmen mit strengeren Pflichten zur Dokumentation ihrer Datenschutz-Compliance konfrontiert. Darüber hinaus sieht die Verordnung eine formalisierte Datenschutz-Folgenabschätzung auf IT-System-Ebene und Prozessebene vor. Dies bedeutet eine verpflichtende Erhebung und Bewertung möglicher Risiken im Zuge der Einführung neuer bzw. Änderung bestehender Prozesse oder IT-Systeme.
Folgend die wichtigsten Aspekte, die Unternehmen in Bezug auf die DSGVO beachten müssen:
Verstehen Sie, was Datenschutz für Ihr Unternehmen bedeutet
Ermitteln Sie, welche Daten Sie gespeichert haben und wo sie sind
Verstehen Sie die Nutzung Ihrer Daten durch Dritte
Verstehen Sie Datenschutz- und Datensicherheitsrisiken
Fragen Sie sich, welche Risiken mit der Verarbeitung von personenbezogener Daten verbunden sind. Sind es Risiken, die Sie alleine steuern können oder benötigen Sie hierfür Ihre Dienstleister. Die Risiken können sowohl organisatorischer, als auch technischer Natur sein. Ermitteln Sie auch, welche externe Faktoren Ihren Geschäftsbetrieb gefährden können und wie Sie als Unternehmen darauf reagieren.
Führen Sie eine Datenschutzstrategie ein
Begrenzen Sie Ihre Datenmenge
Verwalten Sie die Zustimmungen und Einwilligungen von externen Daten
Modernisieren Sie Infrastruktur und IT-Governance
Schaffen Sie Transparenz für Ihre Kunden und Mitarbeiter
Ernennen Sie einen Ansprechpartner
Ausgewählte Begriffsbestimmungen - Art 4 DSGVO
• „Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierbare natürliche Person beziehen.
• „Verarbeitung“ bezeichnet jeden Vorgang iZm personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung, zB Erstellung einer Kundendatenbank etc.
• „Verantwortlicher“ (bisher "Auftraggeber") ist die Person oder Stelle, die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; zB Steuerberater.
• „Auftragsverarbeiter“ (bisher "Dienstleister") ist die Person oder Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Art 28 DSGVO regelt deren Pflichten; zB Rechenzentren, Personalverrechner, die Daten von Arbeitgebern erhalten etc.
• „Empfänger“ bezeichnet die Person oder Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden (zB Finanzamt), die im Rahmen eines bestimmten Untersuchungsauftrags nach dem Unionsrecht oder dem Recht der Mitgliedstaaten personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften gemäß den Zwecken der Verarbeitung.
Verarbeitung personenbezogener Daten muss rechtmäßig sein und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden – Art 5 Abs 1 lit a und Art 6 DSGVO
"Rechtmäßigkeit" der Verarbeitung liegt vor, wenn
• sie mit Einwilligung der betroffenen Person erfolgt [Details s.a. Ecolex 2017, S 898 ff], oder
• die Verarbeitung für die Erfüllung eines Vertrages iZm der betroffenen Person erforderlich ist, oder
• die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt, oder
• die Verarbeitung erforderlich ist, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen, oder
• die Verarbeitung zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte der betroffenen Person überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Dies gilt nicht für Behörden in Erfüllung ihrer Aufgaben.
Weitere Grundsätze für die Verarbeitung personenbezogener Daten – Art 5 DSGVO
• für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer damit nicht zu vereinbarenden Weise weiterverarbeitet werden,("Zweckbindung"),
• dem Zweck angemessen sowie auf das notwendige Maß beschränkt sein, („Datenminimierung“),
​• sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind Vorkehrungen zu treffen, damit unrichtige Daten, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“),
• in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist, („Speicherbegrenzung“),
• in einer Weise verarbeitet werden, die eine angemessene Sicherheit der Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, Zerstörung oder Schädigung durch geeignete technische und organisatorische Maßnahmen, („Integrität und Vertraulichkeit“).
Der Verantwortliche ist für die Einhaltung der Rechtmäßigkeit und der weiteren Grundsätze verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).
Bei Unternehmen/Einrichtungen, die mehr als 250 Mitarbeiter beschäftigen, muss gem Art 30 DSGVO jeder Verantwortliche ein Verzeichnis der Verarbeitungstätigkeiten mit bestimmten Inhalten führen. Für kleinere Unternehmen/Einrichtungen gilt dies nur,
• wenn die von ihnen vorgenommene Verarbeitung ein Risiko für die Rechte der betroffenen Personen birgt, oder
• wenn die Verarbeitung nicht nur gelegentlich erfolgt, oder
• wenn die Verarbeitung besondere Datenkategorien zB ethnische Herkunft, sexuelle Orientierung etc einschließt.
Da derzeit aufgrund der vagen Formulierung unklar ist, wie diese Ausnahmen zu verstehen sind, empfiehlt es sich im Zweifel und zur Vermeidung der exorbitanten Geldstrafen ein solches Verzeichnis jedenfalls zu führen!
Der Verantwortliche und der Auftragsverarbeiter sind ferner verpflichtet, durch geeignete technische und organisatorische Maßnahmen, ein dem Risiko angemessenes Schutzniveau zu gewährleisten, "Sicherheit der Verarbeitung" gem Art 32 DSGVO.
Im Fall von Schutzverletzungen betreffend personenbezogener Daten muss der Verantwortliche diese unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde und der von der Verletzung betroffenen Person melden, es sei denn, dass die Schutzverletzung voraussichtlich nicht zu einem Risiko für die Rechte der natürlichen Person führt. Details dazu siehe Art 33 und Art 34 DSGVO.
In bestimmten Fällen ist ein Datenschutzbeauftragter zu benennen und der Aufsichtsbehörde bekannt zu geben, insbesondere wenn die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen. Art 37 – 39 DSGVO, § 5 DSG idF BGBl I 120/2017. Aus heutiger Sicht dürften zu diesem Kreis jedenfalls gehören: Banken, Versicherungen, Krankenhäuser und Securityfirmen.
Datengeheimnis gem § 6 DSG
Der Verantwortliche, der Auftragsverarbeiter und ihre Mitarbeiter haben personenbezogene Daten, die ihnen ausschließlich auf Grund ihrer Beschäftigung anvertraut wurden oder zugänglich geworden sind, unbeschadet sonstiger gesetzlicher Verschwiegenheitspflichten, geheim zu halten, soweit kein rechtlich zulässiger Grund für eine Übermittlung der anvertrauten oder zugänglich gewordenen personenbezogenen Daten besteht (Datengeheimnis).
Datenschutzbehörde (dsb), datenschutzspezifische Zertifizierung und Datenschutzsiegel
Die Datenschutzbehörde (vormals Datenschutzkommission) ist Aufsichtsbehörde in Angelegenheiten des Datenschutzes und sorgt für die Einhaltung des Datenschutzes in Österreich. www.dsb.gv.at
Zu Ihren Befugnissen gem § 22 DSG gehören sowohl die Vornahme von Kontrollen, quasi Betriebsprüfungen und "Fahndungen" durch die dsb, als auch die Verhängung von Verwaltungsstrafen bis zu € 50.000,- und Geldbußen sogar bis € 20 Mio bzw 4 % des Jahresumsatzes, je nachdem welcher Betrag höher ist; Art 83 DSGVO.
Art 40 – 43 DSGVO befassen sich mit der Erstellung von Verhaltensregeln zur Einhaltung dieser VO und deren Überwachung; außerdem wird eine Zertifizierung und ein Datenschutzsiegel vorgesehen. Die Details dazu sind derzeit jedoch noch überaus vage, insbesondere ist die Umsetzung/Anwendung in Österreich noch "Zukunftsmusik".
Art 82 DSGVO normiert (losgelöst von innerstaatlichen zivilrechtlichen Regelungen) eine Haftung von Verantwortlichen und Auftragsverarbeitern und einen Schadenersatzanspruch natürlicher Personen, denen wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden erwachsen ist.