Source: http://slideplayer.org/slide/5385483/
Timestamp: 2017-03-29 09:55:07
Document Index: 320841276

Matched Legal Cases: ['§ 1', 'Art. 8', 'Art. 8', '§ 4', 'OGH', 'OGH', 'OGH', '§ 6', '§ 6', '§ 6', '§ 6', '§ 6', '§ 6', '§ 6', '§ 7', '§ 7', '§ 16', '§ 7', '§ 47', '§ 8', '§ 9', '§ 78', 'OGH', 'OGH', '§ 1328', '§ 107', 'Art 8', 'Art. 9', '§ 1', '§ 16', '§ 118', '§ 119', '§ 302', '§ 93', '§ 7', '§ 77', '§ 78', '§ 87', '§ 1328', '§ 107', '§ 310', '§ 38', '§ 15', '§ 54', '§ 51', '§ 7', '§ 14', '§ 23', '§ 6', '§ 6', '§ 91', '§ 130', '§ 1328', '§1328', '§ 1328', '§ 1328', '§1328', '§ 50', '§ 50', '§ 16', '§ 50', '§ 50', 'OGH', '§ 50', '§ 50', '§ 53', '§ 50', '§ 50', '§ 50', '§ 14', '§ 14', '§ 50', '§ 17', '§ 50', '§ 50', '§ 17', '§ 50', '§ 26', '§ 26', '§ 50', '§ 46', '§ 46', '§ 10', '§ 18', '§ 20', '§ 10', '§ 10', '§ 11', '§ 17', '§ 16', '§ 19', '§ 19', '§ 20', '§ 22', '§ 21', '§ 22', '§ 35', 'EuG', '§ 18', '§ 30', '§ 31', '§ 22', '§ 4', '§ 2', '§ 4', '§ 3', '§ 3', '§ 3', '§ 9', '§ 4', '§ 4', '§ 5', '§ 6', '§ 7', '§ 4', '§ 9', '§ 9', '§ 19', '§ 6', '§ 7', '§ 2', '§ 6', '§ 8', '§ 14', '§ 27', '§ 1', '§ 4', '§ 1', 'EGMR', 'EGMR', 'Art. 8', 'OGH', 'OGH', '§ 24', '§ 8', '§ 33', '§ 54', '§ 1', '§ 4', '§ 8', '§ 24', '§ 53', '§ 53', '§ 53', '§ 53', '§ 54', '§ 56', '§ 57', '§ 58', '§ 58', '§ 58', '§ 58', '§ 64', '§ 13', '§ 19', '§ 53', '§ 16', '§ 53', '§ 16', '§ 53', '§ 24', '§ 53', '§ 53', '§ 141', '§ 53', '§ 53', '§ 53', '§ 21', '§ 53', '§ 91', '§ 53', '§ 53', '§ 53', '§ 53', '§ 53', '§ 53', '§ 53', '§ 53', '§ 53', '§ 24', '§ 53', '§ 53', '§ 53', '§ 53', '§ 53', '§ 53', '§ 53', '§ 320', '§ 151', '§ 158', '§ 110', '§ 106', '§ 135', '§ 141', '§ 142', '§ 143', '§ 91', '§ 144', '§ 111', '§ 18', '§ 16', '§ 90', '§ 92', '§ 98', '§ 92', '§ 92', '§ 87', '§13', 'OGH', 'EuG', 'EuG', '§ 46', '§ 6', '§ 27', '§ 1', '§ 26', '§ 27', '§ 24', '§ 28', '§ 8', '§ 1', 'OGH', '§ 23', '§ 25', '§ 28', '§ 27', '§ 27', '§ 27', '§ 7', '§ 33', '§ 7', 'OGH', 'OGH', '§ 33', '§ 51', '§ 302', 'OGH', '§ 310', '§ 311', '§ 52', '§ 26', '§ 52', '§ 52', '§ 31', '§ 52', '§ 17', '§ 13', '§ 13', '§ 19', '§ 50', '§ 13', '§ 21', '§ 23', '§ 14', '§ 52', '§ 50', '§ 50', '§ 50', '§ 52', '§ 26', '§ 52', '§ 52']

© ARGE DATEN 2015 Datenschutz Grundlagen Praxis, Entscheidungen, Perspektiven Hans G. Zeger, ARGE DATEN Wien, Inhouse-Schulung Wiener Sozialdienste, ppt herunterladen
Veröffentlicht von:Chantal Böhm
Präsentation zum Thema: "© ARGE DATEN 2015 Datenschutz Grundlagen Praxis, Entscheidungen, Perspektiven Hans G. Zeger, ARGE DATEN Wien, Inhouse-Schulung Wiener Sozialdienste, 10."— Präsentation transkript:
© ARGE DATEN 2015 Datenschutz Grundlagen Praxis, Entscheidungen, Perspektiven Hans G. Zeger, ARGE DATEN Wien, Inhouse-Schulung Wiener Sozialdienste, 10. Juni 2015 ARGE DATEN
© ARGE DATEN 2015 ARGE DATEN Grundlagen DSG 2000 / Privatsphäre Sicherheit / Strafbestimmungen Videoüberwachung / Spezialregelungen Genehmigung / Registrierung Situation bei Wiener Sozialdienste Geplanter Ablauf Informationspflichten & Betroffenenrechte
© ARGE DATEN 2015 ARGE DATEN Entwicklung zum DSG 2000 1978erstes Datenschutzgesetz - DSG (BGBl. Nr. 565/1978) (Geltung 1.1.1980-31.12.1999) 1995EG-Datenschutzrichtlinie 95/46/EG 1999Datenschutzgesetz - DSG 2000 (BGBl. I Nr. 165/1999) Wichtige Änderungen zum DSG 2000 (Auswahl) 2001Euro-Umstellung der Verwaltungsstrafen (BGBl. I Nr. 136/2001) 2005"Tsunami"-Bestimmung (BGBl. I Nr. 13/2005) 2008Änderungen in Verfassungsbestimmungen (BGBl. I Nr. 2/2008) 2009DSG 2000 - Novelle 2010 (BGBl. I Nr. 133/2009) 2012Verwaltungsgerichtsbarkeits-Novelle 2012 (BGBl. I Nr. 51/2012) 2013DSG 2000 - Novelle 2013 (BGBl. I Nr. 57/2013) 2013DSG 2000 - Novelle 2014 (BGBl. I Nr. 83/2013) 20?? EU - Neuordnung des Datenschutzes DSG 2000 - Grundlagen
© ARGE DATEN 2015 Einschränkungen des Verbots sind möglich: - mit der Zustimmung des Betroffenen - in Vollziehung von Gesetzen (Behörden, behördliche Tätigkeit) - zur Wahrung überwiegender Interessen Auftraggeber/Dritter - bei "allgemeiner" Verfügbarkeit von Daten - bei lebenswichtigen Interessen des Betroffenen/Dritter DSG 2000 - Grundrecht DSG 2000 § 1 (Verfassungsbestimmung) : "jede Verwendung persönlicher Daten ist verboten" umfassender Geheimhaltungsanspruch Europarechtliche Grundlage (Art. 8 RL 95/46/EG „Datenschutz-Richtlinie“) + Grundlage ist Art. 8 EMRK ("Achtung des Privatlebens") ARGE DATEN
© ARGE DATEN 2015 ARGE DATEN DSG 2000 - Grundlagen DSG 2000 § 4 Z 2 ("sensible" Daten) Daten natürlicher Personen über rassische und ethnische Herkunft politische Meinung Gewerkschaftszugehörigkeit religiöse und philosophische Überzeugung Gesundheit Sexualleben Probleme kann die Abgrenzung bereiten, z.B. Hautfarbe, Speisegewohnheiten, "Kopftuch", Konfektionsgröße, Sozialberatung Erhebungs"absicht" (Zweck) wesentliche Komponente bei der Bewertung ob sensibles Datum
© ARGE DATEN 2015 ARGE DATEN Entscheidung OGH 6Ob148/00h "Abgrenzung Akten und Datei" Unter Datei sind daher Übersichts-Karteien und Listen, nicht aber Akteninhalte und Aktenkonvolute zu verstehen. OGH-Spruch: Daten in Akten unterliegen nicht dem Datenschutzgesetz (!) DSK K120.810/005-DSK/2002 ("Personalakte") ‏ "Der Personalakt selbst ist ein Konvolut verschiedener Papieraktenstücke und wird zwar wohl nach einem Suchbegriff geordnet aufbewahrt, hat aber keinen fest strukturierten Inhalt." Akten, Aktensammlungen und deren Deckblätter fallen nicht in den Anwendungsbereich des DSG 2000, Unberührt davon bleibt das Recht auf Akteneinsicht, das Auskunftspflichtgesetz, Regelungen des Arbeitsrechts (Personalakte) DSK und OGH-Entscheidungen zu Papierakten werden als Richtlinien- und DSG 2000 - widrig kritisiert (u.a. Mayer-Schönberger, Datenschutz und Papierakten) DSG 2000 - Grundlagen
© ARGE DATEN 2015 ARGE DATEN DSG 2000 - Grundlagen Grundsätze der Verwendung von Daten (§ 6ff) Verwendung nach Treu und Glauben (§ 6 Abs. 1 Z 1) Ermittlung für festgelegte, eindeutige und rechtmäßige Zwecke (§ 6 Abs. 1 Z 2) Weiterverwendungsverbot für unvereinbare Zwecke (§ 6 Abs. 1 Z 2) Daten müssen für den Zweck der Datenanwendung wesentlich sein § 6 Abs. 1 Z 3) Möglichkeit der Verabschiedung branchenspezifischer Verhaltensregeln (§ 6 Abs. 4) DSK 120.705/010-DSK/2001 ("gelindester Eingriff") Zweck einer Datenanwendung muss sich an der gelindesten zum Ziel führenden Datenverwendung orientieren
© ARGE DATEN 2015 ARGE DATEN Grundlage einer rechtmäßigen Datenverwendung Dreistufiges Konzept Es muss ein berechtigter Zweck für die Datenanwendung geben sein und die Datenverwendung entspricht dem Grundsatz von Treu und Glauben (§ 6, § 7 Abs.1) Es muss eine Rechtsgrundlage für die Verwendung der konkreten Daten eines Betroffenen geben (§§ 7ff) Die Datenanwendung muss den Registrierungserfordernissen entsprechen (§§ 16ff) Beispiele: -Warndatei von Risikopatienten in einem Krankenhaus -Dürfen im Zuge einer Unternehmensauflösung die Kundendaten verkauft werden? DSG 2000 - Grundlagen
© ARGE DATEN 2015 ARGE DATEN Entscheidung zu DSG 2000 § 7 DSK K120.657/8-DSK/00 ("Eigenwerbung") Zum Zwecke der "Eigenwerbung" dürfen auch Daten aus anderen Verwendungszwecken des Datenverarbeiters benutzt werden Die DSK/DSB geht davon aus, dass kein schutzwürdiges Interesse (Geheimhaltungsinteresse) verletzt wird. Das Vermerken von Spenden in einer Patientendatei wäre jedoch nach Ansicht der DSK/DSB unzulässig. Verwendung nicht uneingeschränkt zulässig, muss mit ursprünglichem Zweck grundsätzlich vereinbar sein Grundlage ist § 47 DSG 2000 "Datenverwendung zu Verständigungszwecken" DSG 2000 - Grundlagen
© ARGE DATEN 2015 Geheimhaltungsinteressen bei Datenverwendung (§ 8-nicht-sensible Daten, § 9-sensible Daten) Wann dürfen Daten jedenfalls verwendet werden? (Auszug) -Rechtsgrundlage / gesetzliche Verpflichtungen -Zustimmung des Betroffenen -zur Wahrung lebenswichtiger Interessen -überwiegende Interessen Dritter / Auftraggeber (nicht anwendbar bei sensiblen Daten!) z.B. notwendige Voraussetzung zur Vertragserfüllung, Ausübung von Rechtsansprüchen des Auftraggebers, behördliche Tätigkeit -indirekt personenbezogene Daten (EU-Konformität??) -zulässig veröffentliche Daten: soweit berechtigter Zweck des Verwenders gegeben? soweit mit ursprünglicher Veröffentlichung vereinbar? DSG 2000 - Grundlagen ARGE DATEN
© ARGE DATEN 2015 ARGE DATEN Was ist eine zulässige Veröffentlichung? Veröffentlichen von Informationen -ist im DSG 2000 Spezialfall der Datenübermittlung -die Veröffentlichung muss rechtlich zulässig sein Beispiele für bedenkliche Veröffentlichungen: -Altersjubilare in der Gemeindezeitung genannt -Daten von Privathaushalten in einer Tourismusbroschüre angegeben (Kaprun) -öffentliche Ehrentafel aller eingemeindeten Bürger -Teilnehmerlisten von Kongressen/Seminaren -Klassenbilder im Schuljahresbericht -Veröffentlichen von lokalen (Amateur-)Sportergebnissen mit Name, Adresse und Geburtsdatum im Internet -Zusammenstellung persönlicher Daten durch (Personen-)Suchmaschinen DSG 2000 - Veröffentlichung
© ARGE DATEN 2015 ARGE DATEN Nutzung von Klientenfotos Ausgangslage -eine Pflegeinrichtung veröffentlicht in der Klientenzeitung (und im Internet) Fotos von Bewohnern Fragestellungen -(datenschutzrechtliche) Zulässigkeit? -wie ist mit Fotos Verstorbener umzugehen? -sonstige Anforderungen? Fotos und Persönlichkeitschutz
© ARGE DATEN 2015 ARGE DATEN Fotos und Persönlichkeitschutz Nutzung von Klientenfotos II DSG-Grundlagen -Fotos, auf denen Personen identifizierbar sind, fallen grundsätzlich unter die Bestimmungen des DSG 2000 -sind auf dem Foto auch gesundheuitliche Beeinträchtigungen zu erkennen, handelt es sich um sensible Daten -Verstorbene sind nicht als Personen iS des DSG 2000 anzusehen Sonstige Persönlichkeitsrechte -bei Fotos sind zusätzlich die Persönlichkeitsrechte gemäß § 78 UrhG zu beachten, diese wirken über Tod hinaus und gehen auf Angehörige über -OGH 4Ob203/13a Angehörige können „Recht am eigenen Bild“ von Verstorbenen geltend machen, ohne eigene Interessen begründen zu müssen ("treuhändige" Inanspruchnahme eines Schutzrechtes)
© ARGE DATEN 2015 ARGE DATEN Fotos und Persönlichkeitschutz Wir empfehlen, auch aus Gründen der Pietät im Todesfall entsprechende Bilder nicht weiter zu verbreiten bzw. ausreichend unkenntlich zu machen Nutzung von Klientenfotos III Konsequenz -die Nutzung der Fotos bedarf jedenfalls der Zustimmung der Betroffenen -werden durch die Abbildungen sensible Daten erfasst, ist jedenfalls eine ausdrückliche Zustimmung erforderlich -der Veröffentlichung - insbesondere wenn sensible Daten betroffen sind - wird jederzeit widersprochen werden können -im Todesfall wird auf Grund des OGH-Urteils ein Widerspruchsrecht durch die Angehörigen bestehen -im Falle eines zulässigen Widerspruchs müsse verteilte Broschüren nicht zurückgerufen werden, aber die weitere Verbreitung wird unzulässig sein
© ARGE DATEN 2015 ARGE DATEN Übersicht § 1328a ABGB Beispiele Schutz der Privatsphäre Anti-Stalking-Bestimmung § 107a StGB Entscheidungen
© ARGE DATEN 2015 ARGE DATEN Bestimmungen zum Schutz der Privatsphäre EMRK Art 8 (Privatsphäre, Familienleben, Briefverkehr) StGG (Staatsgrundgesetz) Art. 9, 10 (Briefgeheimnis) u. 10a (Fernmeldegeheimnis) § 1 DSG 2000 (Geheimhaltung Daten) § 16 ABGB (angeborene Rechte) StGB z.B. § 118f (Briefgeheimnis), § 119f (Telekommunikationsgeheimnis) und §§ 302ff (Amtsmissbrauch) TKG 2003 § 93 (Kommunikationsgeheimnis) MedienG § 7ff (Bloßstellung) UrhG § 77 (Briefe, Tagebücher, ähnliche vertrauliche Aufzeichnungen), § 78 (Bildnisschutz), § 87 Abs 2 (Entschädigung) Regelungen für einzelne Berufsgruppen ABGB § 1328a (Bloßstellung) StGB § 107a (Anti-Stalking-Bestimmung) Schutz der Privatsphäre - Übersicht
© ARGE DATEN 2015 ARGE DATEN Schutz der Privatsphäre - Übersicht
© ARGE DATEN 2015 ARGE DATEN DSG 2000 - Verschwiegenheit Geheimnis- und Verschwiegenheitspflichten (Auswahl) - Amtsgeheimnis (StGB § 310) - Bankwesengesetz (§ 38) - Ziviltechnikergesetz (§ 15) - Ärztegesetz (§ 54) - Glückspielgesetz (§ 51) - Hebammengesetz (§ 7) - Psychologengesetz (§ 14) - Tierärztegesetz (§ 23) - Gesundheits- und Krankenpflegegesetz (§ 6) - Sanitätergesetz (§ 6) - Wirtschaftstreuhandberufsgesetz (§ 91) - Detektive (§ 130 Abs. 5 GewO) Grundsätzlich gilt das DSG 2000 subsidiär
© ARGE DATEN 2015 ARGE DATEN § 1328a ABGB Privatsphärebestimmung (1) Wer rechtswidrig und schuldhaft in die Privatsphäre eines Menschen eingreift oder Umstände aus der Privatsphäre eines Menschen offenbart oder verwertet, hat ihm den dadurch entstandenen Schaden zu ersetzen. Bei erheblichen Verletzungen der Privatsphäre, etwa wenn Umstände daraus in einer Weise verwertet werden, die geeignet ist, den Menschen in der Öffentlichkeit bloßzustellen, umfasst der Ersatzanspruch auch eine Entschädigung für die erlittene persönliche Beeinträchtigung. Abs.2 definiert Substitutionsklausel -Bestimmung ist nicht anzuwenden, wenn andere Bestimmung gilt, etwa Datenschutz- oder Medienrechtsbestimmungen Schutz der Privatsphäre - §1328a ABGB
© ARGE DATEN 2015 ARGE DATEN Änderungen durch § 1328a Immaterieller Schadenersatz Auffangtatbestand für bisher nicht erfasste Verletzungen Drei Verletzungsarten Eingreifen (Eindringen in die Privatsphäre) Offenbaren an Dritte (nicht nur Öffentlichkeit) Verwerten (wirtschaftlicher Vorteil durch Kenntnisse aus Privatsphäre) Voraussetzungen für Schadenersatz nach § 1328a Rechtswidrigkeit Verschulden (leichte Fahrlässigkeit genügt) Erheblicher Eingriff Schutz der Privatsphäre - §1328a ABGB
© ARGE DATEN 2015 ARGE DATEN Schutz der Privatsphäre - Beispiele Beispiele für Eingriffe in die Privatsphäre private Videoüberwachung, Personenortung, Radarüberwachung Bekanntgabe persönlicher Daten im Internet Illegales Abhören von Telefonaten oder Gesprächen Hacken von privaten Computern Missbrauch von Foto-Handys Weitergeben von privat mitgeteilten Geheimnissen Überwachung des Standortes eines Mobiltelefonnutzers ohne dessen Zustimmung Offenbaren/Verwerten von Gerichtsurteilen Bedrängen durch Kontaktaufnahmeversuche (eMail, Telefonate,...)
© ARGE DATEN 2015 ARGE DATEN Videoüberwachung Informationsverbundsystem Verständigung / Adressenverlage Besondere Bestimmungen Wissenschaft und Forschung
© ARGE DATEN 2015 ARGE DATEN Videoüberwachung - Definition (DSG 2000 § 50a Abs 1) Videoüberwachung ist definiert durch: -systematische und fortlaufende Feststellung von Ereignissen -betreffen bestimmte/überwachte Objekte oder Personen -Nutzung technischer Bildaufnahme- und Bildübertragungsgeräte Hinweis! Nicht jede Bildaufzeichnung fällt unter die Definition der Videoüberwachung! -einzelne Fotos/kurze Filme mit Digitalkameras oder Handykameras ("Touristenaufnahmen") -einzelne Aufnahmen aus fahrenden Autos heraus -Überwachung ohne identifizierende Absicht (technische Überwachungen, "Panoramakameras", "Hirsch-TV") fallen nicht unter die Definition der Videoüberwachung  Empfehlung DSK K212.780/0004-DSK/2013 "Wetter-TV"  DSB-Meldemuster "Baustellenkamera" DSG 2000 - Videoüberwachung
© ARGE DATEN 2015 ARGE DATEN Videoüberwachung - zulässige Zwecke (DSG 2000 § 50a Abs. 2) Auswertung und Übermittlung zulässig, -zum Schutz eines überwachten Objekts oder einer überwachten Person -Erfüllung rechtlicher Sorgfaltspflichten einschließlich der Beweissicherung Einschränkungen -Persönlichkeitsschutz nach § 16 ABGB ist zu beachten -Höchstpersönliche Lebensbereiche dürfen nur bedingt aufgezeichnet werden (Abs. 5) -Mitarbeiterüberwachung ist nur bedingt zulässig (Abs. 5) DSG 2000 - Videoüberwachung
© ARGE DATEN 2015 ARGE DATEN Videoüberwachung - zulässiger Einsatz I (DSG 2000 § 50a Abs. 3) -im lebenswichtigen Interesse des Betroffenen (Abs. 3 Z 1) [Intensivstation,...??] -Verhalten, das öffentlich wahrgenommen werden will (Abs. 3 Z 2) [öffentlicher Vortrag/Straßensänger, Teilnehmer einer Kundgebung,...??] -Betroffener hat Überwachung selbst ausdrücklich zugestimmt (Abs. 3 Z 3) Video-Einsatz gemäß diesem Absatz sieht keine Beschränkungen vor! DSG 2000 - Videoüberwachung
© ARGE DATEN 2015 ARGE DATEN Videoüberwachung - zulässiger Einsatz IIa (DSG 2000 § 50a Abs. 4, 5) -berechtigte Annahme Objekt oder Person könnte Ziel oder Ort eines gefährlichen Angriffs werden (Abs. 4 Z 1) [siehe OGH-Judikatur, allgemeine Angst/Vorsorge dürfte nicht reichen, aber Standardanwendungen für Trafikanten, Bankfilialen, Juweliere, Tankstellen, eigene Wohnzwecke genutzte private Grundstücke, internationale Organisationen, Verwaltungsgebäude öffentlicher Rechtsträger, Parkgaragen und - plätze, Rechenzentren, weiterhin Einzelgenehmigung erforderlich: u.a. Supermärkte, sonstige Geschäftslokale, Betriebsstätten] -Rechtsvorschriften oder gerichtliche Entscheidungen auferlegen dem Auftraggeber besondere Sorgfaltspflichten zum Schutz von Personen/Objekten (Abs. 4 Z 2) [Tankstellen, Straßentunnel-Sicherheitsgesetz–STSG, ÖFB/Vereinsstatuten,...] DSG 2000 - Videoüberwachung
© ARGE DATEN 2015 ARGE DATEN Videoüberwachung - zulässiger Einsatz IIb (DSG 2000 § 50a Abs. 4, 5) -bloße Echtzeitüberwachung (keine Aufzeichnung/Speicherung) zum Schutz von Leib/Leben oder Eigentum des Auftraggebers (Abs. 4 Z 3) ["verlängertes Auge": Monitore bei Hauseingängen, Garagen] Absolute Beschränkungen zu den Fällen Abs. 4 Z 1-3: -keine Überwachung höchstpersönlicher Lebensbereiche [kein ToilettenTV, Privatwohnungen, Umkleidekabinen, Umkleideräume??, Krankenbetten??, Gräber??, Betstätten??] -nicht zum Zweck der Mitarbeiterkontrolle [laut EB gemeint: Leistungskontrolle] DSG 2000 - Videoüberwachung
© ARGE DATEN 2015 ARGE DATEN Videoüberwachung - weitere zulässige Verwendung ("Zufallsfunde") (DSG 2000 § 50a Abs. 6) -an Behörden und Gerichte bei Verdacht einer von Amts wegen gerichtlich bedrohten strafbaren Handlung [keine Privatanklagedelikte, Zivilverfahren, Verwaltungsübertretungen] -an Sicherheitsbehörden nach SPG § 53 Abs. 5 [Behörden entscheiden über Notwendigkeit] -Durchsetzungsbefugnisse zur Herausgabe von Beweismitteln bleiben bestehen [kein Entschlagungsgrund wegen DSG 2000 § 50a] DSG 2000 - Videoüberwachung
© ARGE DATEN 2015 ARGE DATEN Videoüberwachung - Verwertungsverbote (DSG 2000 § 50a Abs. 7) -Videodaten dürfen nicht automationsunterstützt mit anderen Bilddaten abgeglichen werden [Verbot von Face- Recognition, unklar: Verbot von Bewegungsanalysen, von Abgleich mit Bedrohungsmustern] -kein systematisches Durchsuchen nach sensiblen Auswahlkriterium [etwa: Hautfarbe, Geschlecht,...] DSG 2000 - Videoüberwachung
© ARGE DATEN 2015 ARGE DATEN Videoüberwachung - Regeln zur Verwendung der Daten (DSG 2000 § 50b) -Jede Datenverwendung ist zu protokollieren (Ausnahme Echtzeitüberwachung) (Abs. 1) [Erweiterung der Protokollpflicht des § 14 DSG 2000] [zur Dauer der Aufbewahrung der Protokolldaten wird keine Aussage gemacht, § 14 geht von drei Jahren aus] -nicht dem ursprünglichen Zweck entsprechende Daten sind nach 72 Stunden zu löschen Längere Aufbewahrungszeiten sind auf begründeten Antrag möglich (Abs. 2) DSG 2000 - Videoüberwachung
© ARGE DATEN 2015 ARGE DATEN Videoüberwachung - Meldepflicht I (DSG 2000 § 50c) Abgestufte Meldepflicht -keine Meldepflicht bei Echtzeitüberwachung, bei Aufzeichnung auf analogem Speichermedium (Abs. 2) [konvertieren würde aber zu Meldepflicht führen!] -keine Meldepflicht bei den sonstigen Ausnahmen nach § 17 Abs. 2 und 3 DSG 2000, insbesondere bei Standardanwendungen SA032 (Abs. 2) -vereinfachte Meldepflicht bei Verschlüsselung der Videodaten und Hinterlegung des Schlüssels bei der DSB (Abs. 1) DSG 2000 - Videoüberwachung
© ARGE DATEN 2015 ARGE DATEN Videoüberwachung - Meldepflicht II (DSG 2000 § 50c) -alle anderen Fälle unterliegen der Vorabkontrolle (Abs. 2) Mehrere gleichartige Standorte und Überwachungsgründe können in einer Meldung zusammen gefasst werden (Abs.3) DSG 2000 - Videoüberwachung
© ARGE DATEN 2015 ARGE DATEN Videoüberwachung - Kennzeichnungspflicht (DSG 2000 § 50d) -jede Videoüberwachung ist zu kennzeichnen (Abs. 1) [umfasst auch nicht registrierungspflichtige] -der Auftraggeber muss aus der Kennzeichnung eindeutig erkennbar sein, es sei denn er ist dem Betroffenen bereits bekannt (Abs. 1) -Kennzeichnung muss so erfolgen, dass potentiell Betroffene der Überwachung ausweichen können (Abs. 1) -keine Kennzeichnungspflicht beim Vollzug hoheitlicher Aufgaben, die unter die Ausnahmen nach § 17 Abs. 3 DSG 2000 fallen (Abs. 2) [Keine sonstige Ausnahme von der Kennzeichnung für Private (etwa zur verdeckten Observation)] DSG 2000 - Videoüberwachung
© ARGE DATEN 2015 ARGE DATEN Videoüberwachung - Auskunftsrecht (DSG 2000 § 50e Abs. 1) besonderes Auskunftsrecht notwendig, da Videoüberwachung als indirekt personenbezogene Daten vom Auskunftsrecht nach § 26 DSG 2000 ausgenommen wäre Auskunft ist zu erteilen, wenn Antragsteller -Zeitraum und Ort der Überwachung möglichst genau benannt hat -seine Identität geeignet nachgewiesen hat Auskunft ist zu geben (a) Kopie der Aufzeichnung in einem "üblichen technischen Format" (b) alle anderen Daten analog § 26 DSG 2000 DSG 2000 - Videoüberwachung
© ARGE DATEN 2015 ARGE DATEN U4 U3 U2 U1 U5 U6 U7 U4 U3 U2 U1 Betreiber U5 U6 U7 -geeigneter Betreiber ist zu bestellen -Betreiber ist der DSK zu melden -Betreiber übernimmt Auskunftspflichten DSG 2000 - Informationsverbundsystem
© ARGE DATEN 2015 ARGE DATEN Was ist ein Informationsverbundsystem (IVS)? (§ 50) gemeinsame Verwendung von Daten in einer DA durch mehrere [österreichische] Auftraggeber geeigneter Betreiber ist zu bestellen Betreiber ist zwecks Eintrag im DVR zu melden Betreiber hat Auskünfte über Auftraggeber zu geben (12 Wochenfrist!) es können weitere Auftraggeberpflichten an den Betreiber abgetreten werden Meldepflichten des Informationsverbundsystems können an Betreiber formlos übertragen werden (Abs. 2) Erleichterungen der Meldung zusätzlicher Teilnehmer an Informationsverbundsystem: es genügt Verweis auf andere Meldung (Abs. 2a) Stand lt. DVR-Online: 133 Anwendungen gemeldet, davon ca. 80% aus dem öffentlich-rechtlichen Bereich, 20% private DSG 2000 - Informationsverbundsystem
© ARGE DATEN 2015 ARGE DATEN Verwendung von Daten für Wissenschaft und Forschung (§ 46) -Verwendung im Sinne dieser Bestimmung liegt vor, wenn Ergebnisse nicht personenbezogen sind -effektive Anonymisierung so bald als möglich notwendig, "Pseudonymisierung/Codierung" nicht ausreichend Folgende Daten dürfen verwendet werden: -öffentlich zugängliche Daten (Abs. 1 Z 1) -Daten, die der Auftraggeber zu anderen Zwecken ermittelt hat (Abs. 1 Z 2) -indirekt personenbezogene Daten (Abs. 1 Z 3) -gemäss gesetzlicher Vorschriften (Abs. 2 Z 1) -mit Zustimmung des Betroffenen (Abs. 2 Z 2) -Weitere Verwendungsmöglichkeit mit Genehmigung der DSB (Abs. 2 Z 3) DSG 2000 - Spezialregelungen
© ARGE DATEN 2015 ARGE DATEN Verwendung von Daten für Wissenschaft und Forschung (§ 46) II DSK K202.010/002-DSK/2001 ("öffentliches Interesse") von öffentlicher Hand geförderte Forschung liegt immer im öffentlichen Interesse DSK K202.034/003-DSK/2003 ("Leiharbeit und Neue Selbständige") Verwendung von Personendaten (inkl. SV-Nummer) aus SVA, dem HV, den Gebietskrankenkassen und dem BMWA nach Vorlage eines Verwendungskonzepts genehmigt DSK K202.028/006-DSK/2003 ("Suizidforschung") Die Verwendung der Daten Verstorbener fällt nicht in den Genehmigungsbereich der DSK/DSB DSG 2000 - Spezialregelungen
© ARGE DATEN 2015 ARGE DATEN Besondere Dienstleisterverpflichtungen Registrierung von Datenanwendungen Genehmigung / Registrierung Kontrollbefugnisse DSB Internationaler Datenverkehr
© ARGE DATEN 2015 ARGE DATEN DSG 2000 - Kontrollbefugnisse Konzept der Vorabkontrolle (DSG 2000 § 10, § 18 Abs. 2, §§ 20, 21, 30, § 10) bestimmte Datenanwendungen unterliegen einer Vorabkontrolle durch DSB -DA's die sensible Daten verwenden -DA's die in Form eines Informationsverbundsystems betrieben werden -registrierungspflichtige Videoüberwachungen -DA's die Daten zur Beurteilung der Kreditwürdigkeit dienen bzw. strafrechtlich relevante Daten verarbeiten Voraussetzungen der Vorabkontrolle: Prüfung auch ohne Verdachtsmomente möglich Auflagen zum Betrieb der Datenanwendung können erteilt werden
© ARGE DATEN 2015 ARGE DATEN DSG 2000 - Dienstleister Dienstleister im Sinne des DSG 2000 (§§ 10f) -Dienstleistung liegt vor, wenn ein Verantwortlicher jemanden Dritten für die Durchführung bestimmter Verarbeitungsaufgaben betraut -Geeignete Vereinbarungen sind zu treffen -Vereinbarungen sind zu überprüfen/überwachen ["überzeugen"]  wie bei Cloud-Computing umsetzen? -Meldepflicht an DSB bei Datenverarbeitungen des öffentlichen Bereichs, die der Vorabkontrolle unterliegen (z.B. bei Verwendung von Gesundheitsdaten), jedoch keine Meldepflicht bei verbundenen Unternehmen -Subdienstleister nur mit Billigung des Auftraggebers Schriftliche Vereinbarung notwendig! (§ 11 Abs. 2 DSG 2000)
© ARGE DATEN 2015 ARGE DATEN Registrierungsverfahren (seit 1.9.2012) (DSG 2000 § 17 Abs. 1a) -Meldungen haben über Internetanwendung zu erfolgen - Authentifizierung erfolgt durch Bürgerkarte, Handy- Signatur oder USP - eMail-Meldung und nicht-elektronische Meldung bei manuellen Dateien und bei längerem technischen Ausfall der Internetanwendung möglich -Details sind in der Verordnung des BKA nach § 16 Abs. 3 geregelt (DSG 2000 § 19 Abs. 3a) -Erklärung des Auftraggebers ob es sich um vorabkontrollpflichtige Datenanwendung handelt DSG 2000 - Registrierung
© ARGE DATEN 2015 ARGE DATEN Registrierungsverfahren II (DSG 2000 § 19 Abs. 2) -Möglichkeit der Meldung befristeter oder durch bestimmte Bedingungen/Auflagen beschränkte Datenanwendungen [etwa auch für reinen Testbetrieb] -Auflagen, Bedingungen und Befristungen müssen jedoch ausreichend bestimmt sein Die Prüf- und Verbesserungsbestimmungen §§ 20-22 DSG 2000 wurden neu formuliert, § 22a (Überprüfungsverfahren) ist völlig neu. DSG 2000 - Registrierung
© ARGE DATEN 2015 ARGE DATEN Registrierungsverfahren III (DSG 2000 § 21 "Registrierung") Eintragung im Datenverarbeitungsregister, wenn -Plausibilitätsprüfung fehlerfrei oder -Prüfung auf Mangelhaftigkeit fehlerfrei oder -nach Einlangen einer auf Mangelhaftigkeit zu prüfenden Meldung zwei Monate vergangen sind oder -aufgetragene Verbesserungen vorgenommen wurden Es können bei vorabkontrollpflichtigen Anwendungen Auflagen, Bedingungen oder Befristungen ausgesprochen werden Auftraggeber ist von Registrierung geeignet zu verständigen DSG 2000 - Registrierung
© ARGE DATEN 2015 ARGE DATEN Registrierungsverfahren IV (DSG 2000 § 22 "Richtigstellung und Rechtsnachfolge") -Änderungen/Streichungen von Amts wegen oder durch Antrag des Auftraggebers möglich -Änderungen sind sieben Jahre ersichtlich zu machen -Einträge sind zu streichen, wenn Rechtsgrundlage fehlt, Befristungen abgelaufen sind oder eine Datenanwendung nicht mehr benötigt wird -amtswegige Änderungen und Streichungen sind mit Mandatsbescheid zu verfügen -Rechtsnachfolger kann einzelne oder alle Datenanwendungen übernehmen, kann auch DVR-Nummer übernehmen [Ausgliederungen, Konkursverfahren,...] DSG 2000 - Registrierung
© ARGE DATEN 2015 ARGE DATEN Genehmigungsfrei (weil gleichwertig) -gleichwertig auf Grund EWR-Verträge Island, Norwegen, Liechtenstein -gleichwertig gem. Kommissionsentscheidung Schweiz (27.7.2000), Kanada (15.1.2002), Argentinien (30.6.2003), Israel (31.1.2011), Uruguay (23.8.2012), Neuseeland (30.1.2013) + Andorra, Färöer Islands, Guernsey, Isle of Man, Jersey -USA (nur bereichs- oder unternehmensbezogen, etwa wenn SafeHarbour-Vereinbarung beigetreten, SWIFT- oder PassengerNameRecord-Abkommen) bei allen anderen Staaten hat sich der Betroffene bzw. der Auftraggeber um den Datenschutz zu kümmern DSG 2000 - Internationaler Datenverkehr
© ARGE DATEN 2015 ARGE DATEN Datenschutzaufsicht (§§ 35-40) bis 31.12.2013: Datenschutzkommission (DSK) -Oberste Kontrollbehörde [jedoch nicht für alle Bereiche] - als "unabhängige" Instanz eingerichtet (Form eines Tribunals) - 6 Mitglieder + 6 Ersatzmitglieder - Geschäftsapparat: 20 Personen, davon 11 A-Beamte (lt. DSK- Bericht 2009), EU-Schnitt: 45 Personen! (Verteilung: 11,5 MA für DVR, 8,5 MA für alles andere) -EuGH hat für Österreich mangelnde Unabhängigkeit der DSK festgestellt, in DSG-Novelle 2013 saniert ab 1.1.2014: Datenschutzbehörde (DSB) -Kontrollbehörde erster Instanz (Verwaltungseinrichtung) -Beschwerde- und Aufsichtsstelle (zweite Instanz): Teil des "Bundesverwaltungsgericht" DSG 2000 - Kontrollbestimmungen
© ARGE DATEN 2015 ARGE DATEN DSG 2000 - Kontrollbefugnisse Möglichkeiten der Kontrolle durch DSB: (a)vor Aufnahme einer Datenanwendung (Vorabkontrolle, § 18) (b)bei begründetem Verdacht einer Verletzung der Datenschutz-Bestimmungen ("Ombudsverfahren" § 30) (c)Im Zuge von Beschwerdeverfahren Betroffener (§ 31, 31a) (d) DSB kann jederzeit Meldepflicht prüfen (DSG Novelle 2010: § 22a) [Gesetzgeber hofft laut EB zu Novelle 2010 nunmehr praktikable Kontrollmöglichkeiten für DSB geschaffen zu haben]
© ARGE DATEN 2015 ARGE DATEN Besondere Fragestellungen Gesundheitsdaten (sensible Daten) Auskunftsersuchen Klientendaten Ausgangslage Wiener Sozialdienste Empfehlungen
© ARGE DATEN 2015 Ausgangslage Wiener Sozialdienste Organisation Wiener Sozialdienste ARGE DATEN Wiener Sozialdienste (Verein) ZVR: 473151380 DVR: 0420263 Tätigkeit und Rechtsgrundlage der Datenverwendung durch Statuten geregelt Wiener Sozialdienste Förderung & Begleitung GmbH FN: 229304m DVR: 2108789 Tätigkeit und Rechtsgrundlage Datenverwendung durch Gewerbeordnung (sonst. Ambulat., Tageskliniken), Gesellschaftervertrag, branchenübliches Verhalten geregelt Wiener Sozialdienste Alten- und Pflegedienste GmbH FN: 229305p DVR: 2108790 Tätigkeit und Rechtsgrundlage Datenverwendung durch Gewerbeordnung (???), Gesellschafter- vertrag, branchenübliches Verhalten geregelt Drei rechtlich unabhängig zu betrachtende Einrichtungen, es gibt keine "Konzern"- oder "Gruppen"-Erleichterungen Im Falle gemeinsamer Nutzung von Klienten-, Mitarbeiter- oder Lieferantendaten liegt ein (meldepflichtiger) Informationsverbund vor
© ARGE DATEN 2015 Datenschutzkonforme Übermittlung von Patientendaten und/oder Mitarbeiterdaten? (1)Patientendaten / Mitarbeiterdaten sind getrennt zu behandeln (2)Prüfen welche Bestimmungen anzuwenden sind Patientendaten (a)Patientendaten  Gesundheitsdaten  sensible Daten gemäß § 4 Z 2 DSG 2000  Verarbeitungsbeschränkung! (b)liegt überhaupt Übermittlung vor?  weitere Möglichkeiten: "Weitergabe", "Überlassung", "Mitteilung an Betroffenen",... (c)Welche Rechtsgrundlage hat Übermittlung?  Zustimmung des Betroffenen, medizinischer Notfall, gesetzliche Bestimmungen, (Behandlungs-)Vertrag,... (d)Wer ist Auftraggeber der Gesundheitsdaten-Anwendung? Wer ist Empfänger der Gesundheitsdaten? Variante 1: Auftraggeber und Empfänger sind GDA's Variante 2: Auftraggeber ist kein GDA ARGE DATEN Verwendung von Gesundheitsdaten
© ARGE DATEN 2015 Auftraggeber ist GDA -Wer ist GDA? in GTelG 2012 § 2 Z 2 iV GTelV 2013 sehr weitreichend geregelt: Auftraggeber oder Dienstleister gemäß § 4 DSG 2000, die regelmäßig Gesundheitsdaten in elektronischer Form zu folgenden Zwecken verwenden: a) medizinische Behandlung oder Versorgung oder b) pflegerische Betreuung oder c) Verrechnung von Gesundheitsdienstleistungen oder d) Versicherung von Gesundheitsrisiken oder e) Wahrnehmung von Patient/inn/en/rechten -elektronische Weitergabe unterliegt GTelG 2012 §§ 3-8 Weitergabe, unabhängig ob Übermittlung oder Überlassung! ARGE DATEN Verwendung von Gesundheitsdaten
© ARGE DATEN 2015 ARGE DATEN Abschnitt 2 GTelG 2012 "Datensicherheit bei der elektronischen Weitergabe von Gesundheitsdaten" -Verwendung muss Rollenkonzept entsprechen (§ 3 Abs. 3) der Auftraggeber muss in einer definierten Rolle tätig sein -Weitergabe muss Grundsätzen entsprechen (§ 3 Abs. 4): 1. Weitergabe zulässig nach § 9 DSG 2000 2. Identität (§ 4) des Betroffenen muss bestimmt sein 3. Identität (§ 4) der an Weitergabe beteiligten GDAs muss nachgewiesen sein 4. Rollen (§ 5) der an Weitergabe beteiligten GDAs muss nachgewiesen sein 5. Vertraulichkeit (§ 6) der Weitergabe ist gewährleistet 6. Integrität (§ 7) der weitergegebenen Gesundheitsdaten ist gewährleistet Verwendung von Gesundheitsdaten
© ARGE DATEN 2015 Identitätsprüfung (§ 4 GTelG 2012) -Patienten: mittels Patientenindex (enthält u.a. bPK-GH) -GDA: 1. Verwendung elektronischer Signaturen, die auf qualifizierte Zertifikate rückführbar sein müssen, sowie bereichsspezifische Personenkennzeichen (§ 9 E-GovG) oder 2. elektronischer Abgleich mit dem eHealth-Verzeichnisdienst (§ 9) oder 3. elektronischer Abgleich mit dem GDA-Index (§ 19) Die Indices und Verzeichnisse sind derzeit im Aufbau! ARGE DATEN Verwendung von Gesundheitsdaten
© ARGE DATEN 2015 Vertraulichkeit (§ 6 GTelG 2012) Abs. 1 Z 1 geschlossene ("gesicherte") Netze: -nach Stand der Technik abgesichert -kryptographische oder bauliche Absicherung -Authentifizierung der Benutzer oder Abs. 1 Z 2 sichere Verschlüsselung: -vollständige Verschlüsselung der Gesundheitsdaten -geeignete kryptographische Algorithmen Cloud-Computing ausdrücklich erlaubt, wenn Speicherung verschlüsselt erfolgt (iS Abs. 1 Z 2) Ansonsten keine Vorgaben zur Speicherung der Gesundheitsdaten ARGE DATEN Verwendung von Gesundheitsdaten
© ARGE DATEN 2015 ARGE DATEN Integrität (§ 7 GTelG 2012) Abs. 1 Signatur erforderlich -Verwendung fortgeschrittener oder qualifizierter elektronischer Signaturen gemäß § 2 Z 3 SigG Jedoch: Keine Anwendung, wenn Austausch über Netze erfolgt, die gemäß § 6 Abs. 1 Z 1 ("gesicherte Netze") abgesichert sind und "geschlossen" sind Datensicherheit (§ 8 GTelG 2012) Abs. 1 Verweis auf § 14 DSG 2000 Jedoch: Rechtsträger der Krankenanstalten, Berufs- Kammern, Hauptverband können für ihre Bereiche Standardverfahren vorgeben Verwendung von Gesundheitsdaten
© ARGE DATEN 2015 ARGE DATEN soweit die Gesetzestheorie Verwendung von Gesundheitsdaten tatsächlich (seit 2012!!) umfassende Ausnahme- und Übergangsbestimmungen, deren Ende nicht absehbar sind § 27 Abs. 10 und 12 setzen de facto die Sicherheitsvorgaben dauerhaft außer Kraft Identitätsprüfung kann im "Freistil" erfolgen: Abs. 10Z 1.persönlichen Kontakt oder Z 2.telefonischen Kontakt oder Z 3.Vertragsbestimmungen oder -Übermittlung von sensiblen Gesundheitsdaten ist auch per Fax erlaubt (Abs. 12) -die als "Ausnahme" formulierte Übermittlungsmöglichkeit ist heute weiterhin die Standardübermittlung gegenüber Behörden und SV-Träger
© ARGE DATEN 2015 Patienten werden in Ambulatorien aufgerufen -Handelt es sich um Verwenden von Daten? Information, dass jemand in Behandlung ist, ist grundsätzlich schutzwürdige Information iS § 1 DSG 2000 "Verwenden" iS § 4 Z 8 DSG 2000 unterscheidet nicht zwischen technischen Verarbeitungsformen -Ist die Vorgangsweise zulässig? es besteht Geheimhaltungsanspruch nach § 1 DSG 2000 ebenso wie: Aushang der Krankengeschichte an Bett, Aushang Prüfungsergebnisse auf Uni,... ARGE DATEN -(praktikable) Lösungsmöglichkeiten? Hinweis auf Aufruf mit Namen und Möglichkeit Nummer / Pseudonym zu verlangen Verwendung von Gesundheitsdaten
© ARGE DATEN 2015 ARGE DATEN Haftung bei fehlendem Zugriffsschutz EGMR Entscheidung I. gegen Finnland (20511/03) Sachverhalt: Eine finnische Krankenschwester lässt sich im Spital in dem sie arbeitet wegen einer HIV-Infektion behandeln. Kurz darauf wird sie "gemobbt". Der Beweis, dass Personalführung rechtswidrig auf die Patientendaten zugegriffen hat misslingt. Entscheidung des EGMR: Es liegt trotzdem eine Verletzung des Grundrechts auf Privatsphäre vor (Art. 8 EMRK), da unzureichendes Sicherheitsmaßnahmen gesetzt waren. Konsequenz: Aus der Schutzverpflichtung erwächst die positive Pflicht, Personendaten effektiv und praktisch vor der Möglichkeit eines unautorisierten Zugriffs zu schützen; es reicht nicht aus, wenn dem Betroffenen eine Beschwerdemöglichkeit bei Datenmissbrauch gewährt wird Sicherheitsmaßnahmen - Haftung
© ARGE DATEN 2015 ARGE DATEN Haftung bei fehlendem Zugriffsschutz II OGH Entscheidung 6 Ob 25/13i Sachverhalt: Ein Arzt ließ seinen PC bei Verlassen seines Dienstzimmers ungesichert eingeschalten und ermöglichte das Abrufen der Krankenakte durch andere im Zimmer aufhältige Personen. Entscheidung: Der unauthorisierte Zugriff auf die Patientenakte wird als Störhandlung qualifiziert, die nicht nur der unmittelbare Störer, sondern auch der Arzt, der diese Handlung ermöglichte zu verantworten hat. OGH verweist ausdrücklich auf 9 Ob 126/12s (Redaktionsentscheidung) Sicherheitsmaßnahmen - Haftung
© ARGE DATEN 2015 ARGE DATEN Datenschutzrechtliche Stellung von Klientendaten -Klientenbeziehungen sind im Grundsatz vertraulich, fallen daher unter die Bestimmungen des DSG 2000 -interne Verwendung von Klientendaten ergibt sich aus der Art der Geschäftsbeziehung (Vertrag), dazu ist keine gesonderte Datenschutzvereinbarung erforderlich, jedoch Informationspflicht zu Auftraggeber und Zweck der Datenverwendung (§ 24 DSG 2000) -Verwendung (inkl. Übermittlung) durch/an Dritte die vertraglich erforderlich ist, ist durch § 8 Abs. 1 Z 4 DSG 2000 geregelt -Veröffentlichung von Klientendaten (auch wenn nur mit Name und Adresse) als Referenz ist ein eigener Zweck (Marketing für eigene Zwecke) und bedarf der Zustimmung des Klienten -sonstige Übermittlungen an Behörden oder Dritte bedürfen - der Zustimmung des Klienten oder - einer vertraglichen Vereinbarung oder - einer gesetzlichen Regelung oder - Daten sind "allgemein verfügbar" Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 ARGE DATEN Datenschutzrechtliche Stellung von Klientendaten II -selbst wenn Klient "im Telefonbuch steht", ist die Tatsache Klient zu sein, in der Regel nicht allgemein verfügbar -auch die Weitergabe von Klientendaten an Gesellschafter ist eine Übermitlung an Dritte und bedarf einer rechtlichen Grundlage Verpflichtung des Auftraggebers bei Auskunftswünschen - Prüfung der Rechtsgrundlage -Prüfung des Anfragenden (des berechtigten Empfängers) -Prinzip der Minimalität der Auskunft -Sichere Übermittlung der Daten Werden diese Verpflichtungen verabsäumt besteht Schadenersatzanspruch durch Klienten u.a. § 33 DSG 2000 Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 ARGE DATEN Weitergabe an Behörden -zahlreiche gesetzliche Bestimmungen sehen Weitergabe vor Auswahl allgemeine Auskunftspflichten - ZPO ("Zivilprozessordnung") - StPO ("Strafprozessordnung") - SPG ("Sicherheitspolizeigesetz") - BAO ("Bundesabgabenordnung") - ECG ("E-Commerce Gesetz") - TKG 2003 ("Telekommunikationsgesetz") - UrhG ("Urheberrechtsgesetz") Auswahl gesundheitsbezogene Meldepflichten -Ärztegesetz (§ 54) -Epidemiegesetz 1950 (§ 1) -Geschlechtskrankheitengesetz (§ 4) -Gesundheits- und Krankenpflegegesetz (§ 8) -Suchtmittelgesetz (§ 24a) Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 ARGE DATEN Datenschutz im Sicherheitspolizeigesetz (SPG) Regelt Tätigkeit als Sicherheitspolizei, Datenerhebung erfolgt im eigenen Ermessen -Regelung der Verarbeitungsvoraussetzungen (§ 53 Abs. 1) -Regelung zu den Ermittlungsstellen (§ 53 Abs. 3 - 5) -Regelung zum Datenabgleich (§ 53 Abs. 2) -allgemeine Regelung zu Datenanwendungen und Umfang der verarbeiteten Daten (§§ 53a, 53b) -Regelung der technischen Datenermittlung (§ 54) -Regelung der Datenübermittlung (§ 56) -Regelung zu bestimmten (zentralen) Datenanwendungen +zentrale Personenevidenz (§§ 57, 58) +Sicherheitsmonitor (§ 58a) + Vollzugsverwaltung (§ 58b) +zentrale Gewaltschutzdatei (§ 58c) +zentrale Analysedatei (§ 58d) +(zentrale) erkennungsdienstliche Evidenz (§§ 64 - 75) ARGE DATEN Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 ARGE DATEN SPG - Verarbeitungsvoraussetzungen Unter welchen Bedingungen dürfen personenbezogene Daten verwendet werden? -Dokumentation von Amtshandlungen (§§ 13, 13a) -Ermittlung von sachdienlichen Hinweisen im Rahmen der "ersten allgemeinen Hilfeleistungspflicht" (§§ 19, 34, 53 Abs. 1 Z 1) Beschränkungen: u.a. Auskunft kann nicht durch Ausübung von Zwangsgewalt durchgesetzt werden, Gefährdeter lehnt Hilfe ab -§ 53 listet zulässige Verarbeitungen auf, u.a. Abwehr krimineller Verbindungen iS § 16 Abs. 1 Z 2 (§ 53 Abs. 1 Z 1) Abwehr gefährlicher Angriffe iS § 16 Abs. 2 (§ 53 Abs. 1 Z 3) Zwecke der Fahnung iS § 24 (§ 53 Abs. 1 Z 5) Aufrechterhaltung der öffentlichen Ordnung bei einem bestimmten Ereignis (§ 53 Abs. 1 Z 6) Beschränkungen: Datenabgleich "Rasterfahndung" iS StPO § 141 ist unzulässig (§ 53 Abs. 2) ARGE DATEN Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 ARGE DATEN SPG - Verarbeitungsvoraussetzungen II -Verarbeitungsermächtigungen im Zusammenhang mit wahrscheinlichen Straftaten: Vorbeugung wahrscheinlicher gefährlicher Angriffe (§ 53 Abs. 1 Z 4) Analyse und Bewertung der Wahrscheinlichkeit der Gefährdung verfassungsmäßiger Einrichtungen (§ 53 Abs. 1 Z 7) -Verarbeitungsermächtigung auch zur "erweiterten Gefahrenerforschung" iS § 21 Abs. iVm § 53 Abs. 1 Z 2a und § 91 Abs 3 ("Rechtsschutzbeauftragter") diese Verarbeitungermächtigungen werden regelmäßig kritisiert, da ihre Abgrenzung zur permanenten Überwachung legitimer persönlicher Lebensführung inkl. Meinungsfreiheit ungenau ist ARGE DATEN Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 ARGE DATEN SPG - Regelung Ermittlungsstellen § 53 -"Generalermächtigung": alle verfügbaren Quellen durch Einsatz geeigneter Mittel, insbsondere Zugriff auf allgemein zugängliche Daten (§ 53 Abs. 4) -Auskunftsverpflichtung von Gebietskörperschaften / Körperschaften öffentlichen Rechts (§ 53 Abs. 3) Anwendungsfall: Abwehr krimineller Verbindungen (  § 53 Abs. 1 Z 2), erweiterte Gefahrenerforschung (  § 53 Abs. 1 Z 2a) und Abwehr gefährlicher Angriffe (  § 53 Abs. 1 Z 3) Beschränkungen: Auskunftsverweigerung nur bei überwiegenden öffentlichen Interessen, Amtsverschwiegenheit allein kein Verweigerungsgrund -Auskunftsverpflichtung von Behörden des Bundes, Landes, Gemeinden im Zusammenhang mit gefährliche Umweltangriffe (§ 53 Abs. 3d) keine Auskunftsverweigerung vorgesehen ARGE DATEN Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 ARGE DATEN SPG - Regelung Ermittlungsstellen § 53 II -Verwendung von Bild- und Tondaten von öffentlichen und privaten Rechtsträgern (§ 53 Abs. 5) Anwendungsfall: schwere Gefahr der öffentlichen Sicherheit (  ??), erweiterte Gefahrenerforschung (  Abs. 1 Z 2a) und Fahndung iS § 24 (  Abs. 1 Z 5) Beschränkungen: Aufzeichnungen zu nichtöffentlichem Verhalten dürfen nicht verwendet werden, Daten müssen rechtmäßig ermittelt worden sein (dazu kann auch die Genehmigung einer Videoüberwachung durch die DSB gehören) ARGE DATEN Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 ARGE DATEN SPG - Regelung Ermittlungsstellen § 53 III detaillierte Sonderregelung für Telekommunikationsdienste (Telefon & Internet) (§ 53 Abs. 3a, 3b, 3c) -Name, Anschrift, Teilnehmernummer: zu einem Anschluss, generell wenn SPG anwendbar ( § 53 Abs. 3a Z 1) -Internetprotokolladresse (IP-Adresse), Übermittlungszeitpunkt: zu einer Nachricht ( § 53 Abs. 3a Z 2) +Name, Anschrift: zu einer IP-Adresse ( § 53 Abs. 3a Z 3) im Rahmen der ersten Hilfeleistungspflicht (lit a) gefährlicher Angriff (lit b) kriminelle Verbindung (lit c) -Name, Anschrift, Teilnehmernummer: unter Bezugnahme auf ein Gespräch ( § 53 Abs. 3a Z 4) im Rahmen der ersten Hilfeleistungspflicht oder gefährlicher Angriff -Standortdaten, IMSI-Nummer: bei gegenwärtiger Gefahr (§ 53 Abs. 3b) ARGE DATEN Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 ARGE DATEN ZPO ("Zivilprozessordnung") -Aussageverpflichtungen in Verfahren Dritter im wesentlichen in §§ 320ff ZPO geregelt -Aussagepflicht besteht nur als Zeuge (Einvernahme bei Gericht), jedoch keine Pflicht zur Urkundenvorlage -berufliche Verschwiegenheitsrechte haben Vorrang -Geheimhaltungsbestimmungen des DSG 2000 jedoch keine Grundlage zur Aussageverweigerung -Aussageverweigerung zur Wahrung von Betriebs- oder Geschäftsgeheimnissen des Auftraggebers möglich, muss im Einzelfall begründet werden -Ladung muss genau den Einvernahmegegenstand beschreiben, Vorbereitung auf Einvernahme durch Einsicht in Kundendaten geboten und zulässig (ansonsten Neueinvernahme möglich) -Unzulässig wäre das vorbeugende Mitnehmen/Vorlegen eines Kundenakts, die vorbeugende Erhebung oder Auswertung von Kundendaten, Auskünfte über den Ladungsgegenstand hinaus Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 ARGE DATEN StPO ("Strafprozessordnung") -Anfrageberechtigt sind Staatsanwaltschaft oder Sicherheitsbehörden -unterschiedliche Ermittlungsformen (§ 151 StPO) - informelle Erkundungen (freiwillige Auskunft) - formelle Vernehmungen (verpflichtend) -in allen Fällen ist auf amtliche Stellung hinzuweisen -berufliche oder sonstige Entschlagungsrechte bleiben unberührt -im Falle der formellen Vernehmung kann eine Auskunft dann verweigert werden, wenn es zu einem Eingriff in den höchstpersönlichen Lebensbereich des Kunden kommt (§ 158 Abs 1 Z 3 StPO) -ansonsten sind auch sensible Daten zu beauskunften -im Falle informeller Erkundigungen sollte Auskunft über vertrauliche Kundendaten generell verweigert werden (zulässig wäre sie höchstens bei nichtsensiblen Daten im überwiegenden Interesse des Auftraggebers/Dritter) Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 ARGE DATEN StPO ("Strafprozessordnung") II -zulässig wäre auch die Sicherstellung von Beweisstücken, bei IT Erstellung einer Kopie (§ 110 StPO) -gegen Sicherstellung ist Einspruch möglich, jedoch ohne aufschiebende Wirkung (§ 106 StPO) -Sicherstellung bedarf Anordnung der Staatsanwaltschaft -Unterlagen müssen beweisrelevant sein oder müssen beweisrelevante Spuren enthalten -Bedeutung für die konkrete Untersuchung muss nachvollziehbar sein -umfassende Sonderreglungen für die Bekanntgabe von Internet- und Telekomdaten (§ 135 StPO) -Möglichkeit eines Datenabgleichs nach § 141 StPO -Datenabgleich bedarf gerichtliche Genehmigung und entsprechenden Beschluss (§ 142 StPO) -Datenabgleich derzeit nicht von praktischer Bedeutung Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 ARGE DATEN BAO ("Bundesabgabenordnung") -Anfrageberechtigt sind Finanzbehörden -Möglichkeit des Auskunftsverlangens (§ 143 BAO) sowie der förmlichen Zeugenladung (§ 91 BAO) -auch Nachschau ist möglich (§ 144 BAO) -umfasst Angaben zur Abgabeverpflichtung (steuerrelevante Daten) -betrifft nicht nur eigene Abgabenverpflichtung, sondern auch Abgabenverpflichtung Dritter (etwa der Kunden) -Auskunftspflicht besteht auch ohne „formelle Zeugeneinvernahme“ (strenger als StPO) -Auskunft und Nachschau kann durch die Behörde gem. § 111 BAO durch Zwangsstrafen erzwungen werden -berufsmäßige Verschwiegenheitspflicht sehen die Gesetzesbestimmungen nicht vor, Verweigerungsrecht jedoch bei Gefahr der Verletzung von Geschäftsgeheimnissen des Kunden oder des Auftraggebers Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 Auskunfts- und Mitwirkungspflicht aller Diensteanbieter gegenüber Gerichten (§ 18 ECG Abs. 2) Hosting-Provider (§ 16) müssen auf Verlangen Name und Adresse eines Nutzers offen legen, gegenüber -Behörden, sofern die Kenntnis dieser Informationen eine wesentliche Voraussetzung der Wahrnehmung der der Behörde übertragenen Aufgaben bildet (es muss kein Delikt behauptet werden!) (Abs. 3) -dritten Personen, bei ein überwiegenden rechtlichen Interesse an der Feststellung der Identität eines Nutzers und eines rechtswidrigen Sachverhalts, Informationen muss wesentliche Voraussetzung für die Rechtsverfolgung sein (Abs. 4) Auskunft umfasst jedoch nur Namen und die Adresse des Nutzers, mit dem Hostingvereinbarung abgeschlossen wurde Gilt auch bei unentgeltlichen Diensten! ARGE DATEN ECG ("E-Commerce Gesetz") Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 Auskunft gegenüber Verwaltungsbehörden (§ 90 Abs. 6 TKG 2003) -Name, akademischer Grad, Wohnadresse, Teilnehmernummer, Vertragsinformationen, nicht Bonitätsdaten(!) (Stammdaten gem. § 92 Abs. 3 Z 3 lit. a bis e) -Voraussetzung: Verdacht einer Verwaltungsübertretung mittels öffentlichem Telekommunikationsnetz begangen -schriftlich, begründet und nur insoweit ohne Auswertung von Verkehrsdaten möglich ARGE DATEN TKG 2003 ("Telekommunikationsgesetz") Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 Auskunft an Notrufträger (§ 98 TKG 2003) -Name, akademischer Grad, Wohnadresse, Teilnehmernummer (Stammdaten gem. § 92 Abs. 3 Z 3 lit. a bis d) + Standortdaten (gem. § 92 Abs. 3 Z 6) -Standortdaten sind schon bei Rufaufbau bekannt zu geben -wenn aktuelle Standortdaten nicht feststellbar, dann auch Auskunft über letzte bekannte Cell-ID -Auskunftserfordernis ist durch Notrufträger zu dokumentieren und unverzüglich, spätestens innerhalb von 24 Stunden dem Betreiber vorzulegen ARGE DATEN TKG 2003 ("Telekommunikationsgesetz") II Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 Auskunftspflicht eines Vermittlers gemäß § 87b UrhG Abs. 3 Wer in seinem Urheberrecht verletzt wurde, kann vom „Vermittler“ Auskunft zur Identität des Verletzers verlangen Unklar ob "Access-Provider" Vermittler ist, insbesondere in Hinblick auf den Ausschluss der Verantwortlichkeit nach ECG für die Durchleitung von Informationen (§13 ECG) Strittig, ob Kopierindustrie/Verwertungsgesellschaften überhaupt IP- Adressen sammeln dürfen (Interessenabwägung nach Datenschutzrecht) 2 Fragen des OGH an EuGH (17.11.2007 + Antwort EuGH LSG/Tele2, C-557/07, 19.2.2009): -Ist mit „Vermittler“ auch ein reiner Access-Provider gemeint? -Wenn ja: Ist Auskunft an private Dritte zulässig oder steht dem die EU-Datenschutzrichtlinie entgegen? JA JA | NEIN | gesetzliche Regelung zulässig ARGE DATEN Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 ARGE DATEN Weitergabe an sonstige Dritte -Weitergabe an Dritte ohne "öffentliches Interesse" wird in der Regel unzulässig sein, wenige Ausnahmen im ECG und UrhG (siehe oben) -keine Auskunftsverpflichtungen gegenüber Anwälte, Inkassobüros, Wirtschaftsauskunftsdienste,... -im Gegenteil! Auskünfte an diese Einrichtungen können zu Datenschutzverletzung + Schadenersatzpflicht führen -aber! Verurteilungen die auf Grund eines rechtswidrigen Verhaltens des Kunden und auf Basis von rechtswidriger Auskünfte des Auftraggebers erfolgen, führen zu keinem Schadenersatzanspruch! -zulässige Sonderfälle für Übermittlung möglich - Übermittlung von Kundendaten zu Zwecken der Forschung oder von Erhebungen im öffentlichen Interesse (§§ 46, 47 DSG 2000, Genehmigung der DSB erforderlich, Übermittlung freiwillig) -Übermittlung pseudonymisierter Daten (sind für Empfänger indirekt personenbezogene Daten, Übermittlung freiwillig) Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 ARGE DATEN Weitergabe an Vertreter des Klienten -Weitergabe an Vertreter des Klienten ist nicht als Übermittlung zu klassifizieren -Umfang ident den Auskunftsansprüchen des Klienten -rechtlich einfach, jedoch ist beim Nachweis der Vertretereigenschaft ausreichende Sorgfalt anzuwenden -Berufung auf Vertretung reicht nicht, auch nicht bei Rechtsanwälten oder Notaren, schriftliche Dokumentation der Vertretungseigenschaft empfohlen -Vorbeugende Auskunftsregeln schaffen, etwa: - nur schriftliche Auskünfte - Auskunft in Form von Rückmeldung nur an intern dokumentierte Kontaktadressen (Post, Telefon, Fax, E-Mail,...) - Verwendung von vertraulichen Kennungen als Nachweis des Auskunftsanspruchs Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 ARGE DATEN Empfehlungen an Mitarbeiter -Grundsätzlich kann jeder Mitarbeiter (nicht nur Support, Hotline,...) von einem Auskunftswunsch "überrascht" werden -Sensibilisierung von besonderen Mitarbeitergruppen, wie Telefonzentrale, Verkauf, Posteingangsstellen,... wichtig -Sensibilisierung, dass auch "einfache" Anfragen zu einer Datenschutzverletzung führen können ("Ist XY Kunde bei Ihnen?") -Klare Zuständigkeiten schaffen und laufend kommunizieren -für Standardfälle einfache Regeln schaffen, nicht "alles" auf Rechtsabteilungen oder Geschäftsführungen delegieren -Mitarbeiter trainieren Auskunftswünsche strukturiert zu erfassen, WWWW-PRINZIP: Wer möchte Welche Daten über Welche Person Warum wissen? -Nur tatsächlich angefragtes (sofern berechtigt) beauskunften -Auskunft nur über sichere Übertragungswege -Jeden Auskunftswunsch (auch unberechtigte) dokumentieren Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 ARGE DATEN Empfehlungen an Auftraggeber -haben das Minimalitätsgebot nach § 6 DSG 2000 bei der Verwendung von Kundendaten zu beachten -"überflüssige" Kundendaten sind nach § 27 DSG 2000 zu löschen -Auskunftsverpflichtungen (StPO, SPG, BAO) beziehen sich auf die vorhandene Daten, unabhängig davon ob sie rechtmäßig (iS DSG 2000) verwendet werden -"Rechtswidrigkeit" der Daten für sich genommen, begründet noch keinen Verweigerungsgrund, sind jedoch Daten nicht vorhanden, können sie nicht beauskunftet werden -sich auf Auskunftswünsche vorbereiten, teilweise zeitkritisch -sich um sichere Übertragungswege kümmern Auskunftsersuchen Klientendaten
© ARGE DATEN 2015 ARGE DATEN Informationspflichten & Betroffenenrechte Recht auf Geheimhaltung (§ 1ff) Recht auf Auskunft (§ 26) Recht auf Berichtigung & Löschung (§ 27) Informationspflicht (§ 24) Recht auf Widerspruch (§ 28) Recht auf Widerruf (§ 8, 9)
© ARGE DATEN 2015 ARGE DATEN Entscheidungen zu § 1 DSG 2000 DSK K121.337 / K210.380 ("Geburtsdatum") Geburtsdatum auf Rsa-Schreiben zulässig, auf Infobroschüre des BMLV nicht DSK K121.805/0015-DSK/2012 ("Geburtstagsabfragen") Schon die Abfrage des Geburtsdatums zum Zwecke des Glückwunsches durch den Bürgermeister ist unzulässig, wenn nicht gesetzlich geregelt. OGH 11Os109/01 ("allgemeine Verfügbarkeit") Geheimhaltungsanspruch auch dann gegeben, wenn Information durch Betroffenen selbst an einen beschränkten Kreis weiter gegeben wurde DSG 2000 - Grundlagen
© ARGE DATEN 2015 ARGE DATEN Offenlegung nicht-meldepflichtiger Datenanwendungen (§ 23) -Mitteilung - auf Anfrage - welche Standardanwendungen betrieben werden (Abs. 1) -Offenlegung der Standardanwendungen gegenüber DSB bei Prüfungen (Abs. 2) Offenlegungspflicht (§ 25) Offenlegung anlässlich von Übermittlungen und Mitteilungen an Betroffene -Identität des Auftraggebers -bei registrierungspflichtigen DAs die DVR-Nummer des Auftraggebers DSG 2000 - Informationspflicht
© ARGE DATEN 2015 ARGE DATEN Widerspruchsrecht (§ 28) -Widerspruchsrecht bezieht sich auf "öffentlich zugängliche Datenanwendungen" (Abs. 2) -Übernahme der Löschungsregeln aus § 27: Vorgangsweise bei Löschung (siehe § 27 Abs. 4) wenn wirtschaftlich geboten ist auch eine vorläufige Sperre und spätere Löschung möglich (siehe § 27 Abs. 6) Kein Widerspruchsrecht (Beispiel): -§ 7 Abs. 5 Verbraucherkreditgesetz (VKrG) schließt Widerspruchsrecht bei Informationsverbundsystemen der Banken aus [gemeint sind KKE und Warndatei der Banken] "unsaubere" Lösung: Dateien sind gesetzlich nicht angeordnet, trotzdem kein Widerspruchsrecht DSG 2000 - Betroffenenrechte
© ARGE DATEN 2015 ARGE DATEN Weitere Bestimmungen Sicherheit Schadenersatz Strafbestimmungen DSG 2000
© ARGE DATEN 2015 ARGE DATEN spezifische Sicherheitsbestimmungen Bestehende Sicherheitsanforderungen in Ö -Verschlüsselung bei Webapplikationen / in der Datenübertragung Grundlage: ePrivacy-RL 2002/58/EG -Besondere Sicherheitsmaßnahmen bei Gesundheitsdaten Grundlage: GTelG (inklusive ELGA-Gesetz) + GTelVO -Sicherheit in der elektronischen Rechnungslegung Grundlage: EU-RL 2010/45/EU, BMF-Verordnung BGBl 516/2012 -Sicherheitsbestimmungen + Genehmigungsverfahren bei Digitaler Signatur Grundlage: EG-RL 1999/93/EG, SigG, SigV
© ARGE DATEN 2015 ARGE DATEN spezifische Sicherheitsbestimmungen Bestehende Sicherheitsanforderungen in Ö II -Einsatz der Bürgerkarte in Behördenverfahren Grundlage: E-GovG -Medikamentenabrechnung der Apotheken, Videoüberwachung - Verschlüsselung Grundlage: StMV 2004 des Bundeskanzleramtes -Webapplikationen der Behörden Grundlage: Portalverbundprotokoll pvp 2.0, eine privatrechtliche Vereinbarung -Bankomatkassen Grundlage: privatrechtliche Vorgaben des Betreibers -e-card/GINA-Box + Peering-Point der Ärzte Grundlage: privatrechtliche Vereinbarungen
© ARGE DATEN 2015 ARGE DATEN spezifische Sicherheitsbestimmungen Besondere Sicherheitsmaßnahmen bei Gesundheitsdaten -Regelung im GTelG-Gesetz (Gesundheitstelematikgesetz, neu seit 2012 inkl. "ELGA-Gesetz") -Umfasst Gesundheitsdaten inkl. Abrechnungsdaten und soziale Daten -Datenaustausch durch Serverzertifikate abgesichert -Identitätsnachweis durch Zertifikate oder Zugangsberechtigung -Datenübertragung im Internet muss verschlüsselt erfolgen -Dateien sind zu signieren (Integritätsnachweis)
© ARGE DATEN 2015 ARGE DATEN Schadenersatz (§ 33) schuldhaftes Verhalten notwendig bei Verletzung von Bestimmungen des DSG 2000 ist tatsächlich erlittener materieller Schaden zu ersetzen bei Verletzungen der Geheimhaltung, die geeignet sind den Betroffenen bloßzustellen, gebührt Entschädigung Entschädigungsanspruch ist nicht beziffert, aber vergleichbar dem Mediengesetz geregelt [MedienG § 7: bis 20.000 Euro] bei Veröffentlichungen in einem Medium gilt Mediengesetz Entschädigungsanspruch ist gegenüber dem Auftraggeber geltend zu machen DSG 2000 - Kontroll- & Strafbestimmungen
© ARGE DATEN 2015 ARGE DATEN DSG 2000 - Schadenersatz OGH 6 Ob 247/08d ("Bonitätsinformationen") Ausgangslage -Betroffener wurde bei angeblich unzulässiger Mülldeponierung gefilmt -privater Wachdienst forderte 100,- Euro "Entschädigung", Forderung wurde Inkassodienst übergeben -nach Weigerung der Zahlung wurde Zahlungsanstand an Wirtschaftsauskunftsdienst gemeldet -Betroffener erfuhr davon im Rahmen eines Telekom-Geschäfts OGH-Entscheidung -Eintrag ohne vorherige Verständigung ist rechtswidrig -Eintragung geeignet die Kreditwürdigkeit zu beschädigen -auch wenn kein unmittelbarer Schaden nachweisbar, besteht Anspruch gem. § 33 DSG 2000 -Betrag von 750,- Euro in Hinblick auf geringe Zahl der Datenübermittlungen angemessen
© ARGE DATEN 2015 ARGE DATEN Gewinn- oder Schädigungsabsicht (§ 51) -Klarstellung der Deliktvoraussetzungen: Vorsatz der eigenen Bereicherung oder eines Dritten oder Absicht einer sonstigen Schädigung der Geheimhaltungsrechte anderer Delikt begeht, wer... -widerrechtlich ihm zugängliche Daten benutzt oder -Daten widerrechtlich beschafft oder -anderen widerrechtlich zugänglich macht oder -widerrechtlich öffentlich macht Strafausmaß: bis ein Jahr Delikt wird zum Offizialdelikt [bis 31.12.09: Privatanklagedelikt] Strafbestimmung gilt subsidiär DSG 2000 - Strafbestimmungen
© ARGE DATEN 2015 ARGE DATEN Strafbestimmungen bei öffentlich-rechtlichen Organen Missbrauch der Amtsgewalt (§ 302 StGB) Strafrahmen: bis 5 Jahre Laufend Verurteilungen, siehe etwa OGH 14 Os 105/10p (rechtswidriger Abruf von KFZ-Zulassungsdaten) Verletzung des Amtsgeheimnisses (§ 310 StGB) Strafrahmen: bis 3 Jahre denkbar auch: Falsche Beurkundung und Beglaubigung im Amt (§ 311 StGB) Strafrahmen: bis 3 Jahre Hier ist Vorsatz Voraussetzung für die Tatverfolgung DSG 2000 - Strafbestimmungen
© ARGE DATEN 2015 ARGE DATEN Verwaltungsstrafen Tatbestände I (§ 52 Abs. 1) [=deliktisches Handeln] -widerrechtliches Verschaffen eines Zugangs zu einer DA -widerrechtliches Weiterbenutzen eines Zugangs zu einer DA -Übermittlung unter Verletzung des Datengeheimnisses -Weiterverwendung von Daten entgegen eines rechtskräftigen Urteils/Bescheids -widerrechtliches Löschen von Daten (§ 26 Abs. 7) Strafrahmen: bis 25.000,- Euro zuständige Strafbehörde für § 52: Bezirkshauptmannschaft bzw. Magistrat in der Auftraggeber seinen Sitz hat, bei ausländischen Auftraggebern: Verwaltungsbehörde in der DSB Sitz hat (derzeit Magistratische Bezirksamt für den 1. Wiener Gemeindebezirk) Anzeigen nach § 52: Verjährungsfrist nach VStG § 31 (sechs Monate) ist zu beachten! DSG 2000 - Strafbestimmungen
© ARGE DATEN 2015 ARGE DATEN Verwaltungsstrafen Tatbestände IIa (§ 52 Abs. 2) [=Unterlassungen, Gefährdungen, sonstige Delikte] 1. nicht Erfüllen der Meldepflicht gemäß den §§ 17 oder 50c oder Betreiben eine Datenanwendung auf eine von der Meldung abweichende Weise oder 2. Übermitteln oder überlassen von Daten ins Ausland, ohne Genehmigung gemäß § 13 Abs. 1 oder 3. Verstoß gegen Zusagen an oder Auflagen der DSB (gemäß § 13 Abs. 2 Z 2, § 19 oder § 50c Abs. 1, § 13 Abs. 1 oder § 21 Abs. 2) oder 4. Verletzen von Offenlegungs- oder Informationspflichten gemäß §§ 23, 24, 25 oder 50d oder 5. § 14 gröbliches außer Acht lassen von Sicherheitsmaßnahmen oder DSG 2000 - Strafbestimmungen
© ARGE DATEN 2015 ARGE DATEN Verwaltungsstrafen Tatbestände IIb (§ 52 Abs. 2) [=Unterlassungen, Gefährdungen, sonstige Delikte] 6. wer gemäß § 50a Abs. 7 und § 50b Abs. 1 erforderliche Sicherheitsmaßnahmen außer Acht lässt oder 7. Daten nach Ablauf der in § 50b Abs. 2 vorgesehene Frist nicht löscht. Strafrahmen: bis 10.000,- Euro DSG 2000 - Strafbestimmungen
© ARGE DATEN 2015 ARGE DATEN Verwaltungsstrafen Tatbestände III (§ 52 Abs. 2a) [=Gefährdung von Betroffenenrechten] neue Strafbestimmung bei verspäteter Erfüllung der Betroffenenrechte nach §§ 26, 27, 28, Strafrahmen bis 500,- Euro (Abs. 2a) Strafrahmen: bis 500,- Euro [neu seit 2010] Verfallbestimmungen § 52 Abs. 4 Datenträger und Programme sowie Bildübertragungs- und Bildaufzeichnungsgeräten können bei Verletzungen nach § 52 Abs. 1 und 2 als verfallen erklärt werden DSG 2000 - Strafbestimmungen
© ARGE DATEN 2015 ARGE DATEN EU-Neuordnung Datenschutz
© ARGE DATEN 2015 EU-Neuregelung des Datenschutzes Fahrplan zu einem neuen EU-Datenschutzrecht -4.11.2010 Kommissionsmitteilung Konzept für neues Datenschutzrecht zu entwickeln -bis 14.1.2011 europaweites Konsultationsverfahren -25.1.2012 Entwurf einer EU-Verordnung Datenschutz -geplant war bis Ende 2013 Konsultationsverfahren in Europäischem Parlament und im Rat -Oktober 2013 Abstimmung im LIBE-Ausschuß des EU- Parlaments (Verhandlungsmandat des Parlaments) -Stand März 2015 Rats-Arbeitsgruppe verhandelt noch an gemeinsamer Position ("Bremser": GB, DE) -Sommer/Herbst 2015 (??) Start Trialog -Ende 2015 (??) abstimmungsfähiger Endentwurf ARGE DATEN
© ARGE DATEN 2015 EU-Neuregelung des Datenschutzes Eckpfeiler der neuen EU-Datenschutz VO II -Einführung neuer "Prinzipien": a) Prinzip der Datensparsamkeit (inkl. "Recht auf Vergessen werden") b) Förderung technischer Datenschutzmaßnahmen ("Privacy by Design") c) Privatsphäreeinstellungen sollen Standard werden ("Privacy by Default") -neue Kategorien sensibler Daten (z.B. "Gendaten") -Klagsbefugnis für Verbände -Vereinfachungen im internationalen Datentransfer Geplante Maßnahmen, die schon wieder weg sind -Schaffung von Datenportabilität ARGE DATEN
Herunterladen ppt "© ARGE DATEN 2015 Datenschutz Grundlagen Praxis, Entscheidungen, Perspektiven Hans G. Zeger, ARGE DATEN Wien, Inhouse-Schulung Wiener Sozialdienste, 10."