Source: http://www.aktivnews.eu/detail/news/detail/die-deadline-rueckt-naeher-dsg-vo/
Timestamp: 2017-10-24 00:09:55
Document Index: 305482612

Matched Legal Cases: ['§ 27', '§ 19', '§ 18', '§ 15', 'Art 9', 'Art. 9', 'Art 46', 'Art 13', 'Art 15', 'Art 30', 'Art 32', '§ 57', '§ 38', '§ 11', '§97']

Aktivnews | Bild- und Presseagentur: Die Deadline rückt näher – DSG-VO
Die Deadline rückt näher – DSG-VO
Gesellschaft & Kultur News Meldungs-ID: f9d17159-33c2-4522-97d4-dac6f657a12a EU
Viele Unternehmen sind nicht vorbereitet.
Die Datenschutz-Grundverordnung gilt vom Einzelunternehmen bis zum Megakonzern.
Extrem hohe Strafen bis 20.000.000 Euro oder 4% des letztjährigen Konzernumsatzes sind möglich!
Die neue EU- Datenschutz Grundverordnung ist ab 25.05.2018 anzuwenden.
Da es sich um eine EU-Verordnung handelt, ist diese sofort gültig.
Es müssen dazu weder nationale Gesetze oder Verordnungen geschaffen werden.
Aufgrund der darin enthaltenen Öffnungsklausel dürfen die Länder jedoch zusätzlich
Gesetze und Verordnungen erlassen.
Das heißt, es kann in den einzelnen Ländern zu beachtende Regelungen geben.
In Österreich wurde das „Datenschutz-Anpassungsgesetz 2018“ erlassen.
ABER: EU-Recht steht über nationales Recht.
In der Verordnung geht es um die Verarbeitung von personenbezogene Daten die in einem Dateisystem gespeichert werden.
DSG-VO Artikel 4 (1)
"personenbezogene Daten" alle Informationen, die sich auf eine identifizierte oder
zu einem oder mehreren besonderen Merkmalen identifiziert werden kann,
räumlicher Anwendbarkeit
DSG-VO Artikel 3
Die Verordnung gilt weltweit, sofern es sich um betroffene Personen mit Aufenthaltsort in der EU handelt.
Ausländische Dienstanbieter müssen diese Verordnung einhalten.
DSG-VO Artikel 2 (c)
Die Verordnung ist nicht anzuwenden bei natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten.
Nur begrenzte Anwendbarkeit
Datenschutz Anpassungsgesetz 2018 § 27
Auf die Verarbeitung, zu journalistischen Zwecken oder zu wissenschaftlichen,
künstlerischen oder literarischen Zwecken.
DSG-VO Artikel 4 (2)
"Verarbeitung" jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang
Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder
die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung
Mögliche Beispiele von Anwendungen
DSG-VO Artikel 4 (6)
Da es keine Einschränkung per Definition auf digitale Ablagen gibt, kann die Anwendbarkeit auf Dateisystem in Papierform nicht ausgeschlossen werden.
Deshalb sollten diese mit berücksichtigt werden.
Die Erhebung, Verarbeitung, … von personenbezogenen Daten ist verboten!
(Name und Zusatz-Information)
Ausgenommen wenn dies aufgrund einer Rechtsgrundlage zulässig oder erforderlich ist
und die Schutzziele und Grundsätze nachweisbar eingehalten werden.
Ohne schriftlicher Nachweisführung der Legalität darf keine Datenerfassung erfolgen.
• Auflistung von Jubilare
• Löhne / Gehälter
• KFZ-Kennzeichen Arbeitnehmer
• Outlook-Kontakte
• Unterschriftenliste z.B. Teilnahmeliste von Schulungen
• Erhebung Arbeitsunfall
Datenschutz Anpassungsgesetz 2018 § 19
Die Datenschutzbehörde kann Geldbußen gegen eine juristische Personen verhängen, wenn Verstöße begangen wurden, sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet.
DSG-VO Artikel 83
Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem
Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 5 und 6 in jedem
Einzelfall wirksam, verhältnismäßig und abschreckend ist.
Fahrlässigkeit reicht für eine Strafe
Mangelnde Vorbereitung kann als Fahrlässigkeit gesehen werden.
Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs
verhängt, je nachdem, welcher der Beträge höher ist.
Bei Verstößen gegen die spezielle Bestimmungen werden Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.
Durch das Datenschutzanpassungsgesetz 2018 wird
In besonderen Fällen auf das Strafgesetzbuch hingewiesen.
Damit dies jedoch zum Tragen kommt ist Vorsatz erforderlich.
Da Strafgesetzbuch sieht in speziellen Fällen auch Freiheitsstrafen vor.
Datenschutz Anpassungsgesetz 2018 § 18
Jede Person, der wegen eines Verstoßes gegen die DSGVO oder gegen das 1. oder
2. Hauptstück ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz.
Artikel 79 DSG-VO
Wahlweise können solche Klagen auch bei den Gerichten des Mitgliedstaats erhoben werden,
in dem die betroffene Person ihren Aufenthaltsort hat.
Beispielsweise klagt ein deutscher Kunde in Deutschland
gegen einen österreichischen Verantwortlichen.
Negativwerbung in der Öffentlichkeit.
DSG-VO Artikel 5
Personenbezogen Daten dürfen nur für den vereinbarten rechtmäßigen Zweck verarbeitet werden.
„Ich brauche Ihre Daten für die Lohnverrechnung.“
Diese Daten dürfen dann für nichts anderes verwendet werden.
Eine Verwendung für die Qualitäts-Matrix ist somit nicht erlaubt.
Es dürfen nur die für den Zweck absolut notwendige Daten erfasst werden.
„Geben sie mir sicherheitshalber nach diese persönlichen Daten.
Eventuell können wir diese später brauchen“
Speichern auf Vorrat ist verboten.
Jede Daten Art muss begründet werden.
Notwendige Daten müssen gepflegt werden.
Ungültige Daten sind nicht zulässig.
„In der Personaldatenbank ist eine Wohnadresse hinterlegt,
welche sich bereits vor einem Jahr geändert hat. “
Es wird eine Systematik benötigt um die Richtigkeit von Daten zu gewährleisten.
Daten dürfen nur solange gespeichert werden, wie diese unbedingt erforderlich sind.
„Ein Bewerber schickte Bewerbungsunterlagen für die ausgeschriebene Stelle im Verkauf.
Die Stelle wurde jedoch an jemanden anders vergeben.
Es ist nicht anzunehmen, dass eine weiter Stelle für diese Funktion in absehbarer Zeit frei wird.“
Ohne eigens erteilter Genehmigung des Bewerbers dürfen die Bewerbungsunterlagen nicht archiviert werden.
Bewerbungsunterlagen dürfen maximale 6 Monate gespeichert werden.
(Rechtsgrundlage Gleichbehandlungsgesetz)
in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen
Aus einer Anwendung können ohne größere Probleme beigefügte Dokumente abgerufen werden.
“Data protection by design“ und „data protection by default“ sind erforderlich.
„RECHENSCHAFTSPFLICHT“
Es reicht nicht, dass etwas nicht getan wird, sondern es muss umfangreich nachgewiesen werden,
dass alle Grundsätze eingehalten werden.
Wer greift wo und wie zu?
Sind diese Personen bekannt und berechtigt?
Wie ist der Prozess bei ausgelagerten Systemen?
Welche Anweisungen und Systemabsicherungen sind gegeben?
DSG-VO Artikel 6
Generell ist die Verarbeitung der Daten verboten,
außer Sie können eine Rechtsgrundlage benennen.
• Erfüllung eines Vertrages
• Rechtliche Verpflichtung (z. B.: Gesetz)
• Lebenswichtige Interessen
• Berechtigte Interesse des Verantwortlichen oder eines Dritten
Beispiel Bewerbungsunterlagen:
Bewerbungsunterlagen dürfen 6 Monate aufbehalten werden.
Grundlage dazu ist das Gleichbehandlungsgesetz § 15
welches eine Beschwerde bis zu 6 Monate zulässt.
Wenn Sie eine andere Rechtsgrundlage
mit einer längeren Frist benennen können gilt dieses.
Somit müssen Sie sich mit allen relevanten Möglichkeiten beschäftigen!
DSG-VO Artikel 7
Die betroffene Person kann die Einwilligung jederzeit wiederrufen.
Die betroffene Person kann verlangen, dass personenbezogene Daten unverzüglich gelöscht werden, bzw. die Einschränkung der Verarbeitung verlangen.
Besser als eine Einwilligung ist das Vorliegen einer rechtlichen Verpflichtung.
Um einen Vertrag zu erfüllen werden beispielsweise die Kontaktdaten verschiedener Personen benötigt.
Diese Kontaktdaten dürfen solange der Vertrag Bestand hat verwendet werden.
Eventuell bestehen nach Ablauf der Vertragslaufzeit rechtliche Ansprüche des Vertragspartners.
Beispielsweise Garantiansprüche.
Somit verlängert dich die zulässige Datenverarbeitungsdauer bis zum Ablauf dieser Garantieansprüche.
Arbeitszeiterfassung und Grundlage für die Lohnabrechnung.
Hier bestehen unter anderem Verpflichtungen nach dem AZG, ARB, KJBG, ArbIG, ASVG.
Für die verschiedenen Datenfelder bestehen Verpflichtungen zwischen 1 Jahr und 30 Jahre.
Daten, welche 30 Jahre aufliegen müssen, müssen 30 Jahre abrufbar sein.
Daten für welche jedoch nur eine Verpflichtung von 1 Jahr besteht, dürfen keine 30 Jahre abrufbar sein.
Daraus ergeben sich einerseits IT technische Herausforderungen
für die Löschung von Datenfelder,
wie auch Notwendigkeiten für organisatorische Regelungen.
Verarbeitung der letzten Handy-Positionsdaten einer verschollenen Person.
öffentliches Interessen
Archivzwecke, wissenschaftliche oder historische Interessen oder zu statistischen Zwecken
DSG-VO Erwägungsgrund 47
Auf jeden Fall wäre das Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen.
Ein berechtigtes Interesse könnte hinsichtlich Leistungsdaten eines Arbeiters im Betrieb vorliegen.
Nach Austritt des Mitarbeiters aus dem Betrieb wäre aber die Archivierung
dieser Leistungsdaten nicht mehr mit berechtigten Interesse zu begründen.
DSG-VO Art 9
Ausgenommen es gibt dafür eine ausdrückliche Einwilligung bzw.
wenn ein Fall nach Art. 9 (2) vorliegt.
• Erhebung der Gewerkschaftszugehörigkeit im Rahmen der Personalverrechnung.
• Fotos von Mitarbeitern auf der Firmen-Homepage.
• Fingerabdruckscanner bei Zutrittssystemen.
Fotos und Daten von Mitarbeiter scheinen in einem Konzern (z.B. in Active Directory) auf.
Dieser Konzern hat einen Standort außerhalb in Indien.
Indien scheint nicht in der Liste der sicheren Drittstaaten auf.
(Commission decisions on the adequacy of the protection of personal data in third countries)
Somit muss DSG-VO Art 46 beachtet werden.
Ein Verantwortlicher darf personenbezogene Daten nur an ein Drittland oder eine internationale Organisation übermitteln, sofern der Verantwortliche geeignete Garantien vorgesehen hat und sofern den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen.
Nähere Definition in DSG-VO Artikel 45 (2).
Bei einer Datenübertragung aufgrund einer Einwilligung muss hier der Betroffene umfassend über die Risiken der Übermittelung seiner Daten informiert werden.
DSG-VO Art 13
Werden personenbezogene Daten bei der betroffenen Person erhoben, so muss der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mitteilen:
• Kontaktdaten des für die Erhebung Verantwortlichen
• Zweck der Erhebung und Rechtsgrundlage
• Berechtigte Interessen von Dritten
• Beschwerderecht und Aufsichtsbehörde
• Bestehen eine automatischen Entscheidungsfindung (ev. automatischer Bewerbertest)
• Weitere beabsichtigte Weiterverarbeitung der Daten
• Woher kommen ergänzende Daten die von Dritten erhoben wurden
DSG-VO Art 15
Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen
Die Beantwortung muss innerhalb der gesetzlichen Frist erfolgen.
DSG-VO Art 30
„Alle Anwendungen die personenbezogene Daten beinhalten müssen aufgelistet werden.
Dies geht vom Zeiterfassungsprogramm über Personaldatenbanken, ERP-Systeme hin
bis zu einfachen Excel-Listen (z. B.: Liste der KFZ-Kennzeichen der Mitarbeiter).“
Der Inhalt der Listen ist in der Vorordnung vorgegeben.
Es müssen laufend Datenschutz-Folgeabschätzungen durchgeführt werden.
Das Verabeitungsverzeichnis ist die erste Grundlage um mit der Umsetzung der DSG-VO beginnen zu können!
DSG-VO Art 32
Die Anwendungen müssen sicher sein, dass Unbefugte keinen einfachen Zugriff darauf erlangen können.
Die Beurteilung des angemessen Schutzniveaus sind zu jeder Anwendung erforderlich.
„Eine öffentlich zugänglichen Verzeichnis abgespeicherte Excel-Liste über die KFZ-Kennzeichen der Mitarbeiter ist als nicht entsprechend zu betrachten.“
DSG-VO Artikel 37, Datenschutzanpassungsgesetz 2018 § 57 (AT), BDSG § 38 (DE)
Der Verantwortliche benennt auf jeden Fall einen Datenschutzbeauftragten, wenn …
die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht, …
Verweist auf DSG-VO
Soweit in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen sind.
Meldepflicht an die Behörde – Data Breach / Datenleck
DSG-VO Artikel 33
Bei einem Datenleck muss der Behörde innerhalb von 72 die Verletzung gemeldet werden.
Ausnahme: keine Gefahr für die betroffenen Personen
Datenschutzanpassungsgesetz 2018 § 11
• Kann Datenverarbeitungen überprüfen
• Einschau in die Datenverarbeitung
• Unterlagen begehren
• Räumlichkeiten betreten
• Datenverarbeitungsanlagen in Betrieb nehmen
• Aufklärung verlangen
Projektverantwortlichen / Datenschutzbeauftragten bestellen, Projektstart
Interne / externe Mitwirkende definieren, Projektumfang, Budget und Zeithorizont definieren.
Verfahrensverzeichnis / internationaler Datenverkehr
Erheben der relevanten Anwendungen (Mitarbeiter, Kunde, Lieferant, interne und externe Anwendungen)
Rechtsgrundlagen und daraus ergebende Archivierungsdauer
Kategorien personenbezogener Daten, die verarbeitet werden und
Drittländer, an die Daten weitergegeben werden, unter Angabe des konkreten Drittlands und bei Ausnahmetransfer der Drittlandsgarantien
Infopflichten vorbereiten; Auskunftsrecht, Löschrecht, Datenportabilität, Verständigungspflichten
Erhebung der Auftragsverarbeiter und der Verträge
It-Policies überarbeiten, Betriebsvereinbarungen (ArbVG §97)prüfen
Organisation darauf vorbereiten; Musterschreiben; Notfallkontakte; Ernstfall üben
Datenschutz durch Technik und Voreinstellung
Anwendbarkeit prüfen, technische und organisatorische Maßnahmen umsetzen
Datenschutz-Folgeabschätzung (DPIA)
Beschreibung der Anwendung und ihrer Zwecke; Identifizieren von Risiken; Beschreibung von Datensicherheitsmaßnahmen;
Löschfristen; Datenempfänger und Begründung; …
Schulung der Belegschaft in allen Ebenen und Geschäftsbereichen zur Awarenessbildung und Prävention
Bericht: AKTIVNEWS_AT_05_009