Source: https://fokus.genba.org/mangelhafte-umsetzung-dsgvo
Timestamp: 2019-09-21 11:12:04
Document Index: 145324834

Matched Legal Cases: ['Art. 15', 'Art. 16', 'Art. 17', 'Art. 15', 'Art. 13', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', '§13', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15']

Nach einem Jahr DSGVO: Es besteht noch enormer Handlungsbedarf
24. Jun 2019/Conrad Lienhardt /DSGVO / 16. Sep 2019
Eine Auswahl an Beispielen, wie in Österreich Verantwortliche mit Betroffenenrechten umgehen.
Die Meldungen, dass der AMS Algorithmen zur automatisierten Verarbeitung personenbezogener Daten nutzt, um mittels Profiling Klienten zu segmentieren, ist beunruhigend, insbesondere wegen der hohen Fehlerquote, die für viele Betroffene Nachteile schafft. Dem nachzugehen und zu erkunden, ab wann solches Profiling startet (z.B. erst mit Meldung der Arbeitslosgkeit), wurde ein Ansuchen nach Artikel 15 DSGVO gestellt.
Eine Auskunftsanfrage nach Artikel 15 DSGVO beantwortet das AMS mit der Übermittlung einer Information, zu der die Organisation nach Artikel 13 und 14 verpflichtet ist. Obwohl diese Information über das Recht auf Auskunft aufklärt, scheint die Sachbearbeiterin davon auszugehen, dass sich damit die Anfrage erledigt habe.
Zudem wird mitgeteilt, dass Auskunftsanfragen an eine bestimmte E-Mail Adresse (ams.datenschutz@ams.at) zu senden wären. Dabei wird übersehen, dass die DSGVO Verantwortliche verpflichtet, Betroffenenrechten nachzukommen, unabhängig auf welche Weise diese beim Verantwortlichen geltend gemacht werden. Das Auskunftsverlagen an die Stelle weiterzuleiten, die intern dafür zuständig ist, liegt in der Verantwortung des Verantwortlichen, nicht des Betroffenen.
Die letztlich übermittelten Auskünfte waren zunächst nicht vollständig. In einer weiteren Auskunft waren die Aufforderung zur Berichtigung und zur Löschung von Daten berücksichtigt. Letztlich waren die Auskunft nach Art. 15, die Berichtigung nach Art. 16 und die Löschung nach Art. 17 DSGVO verlässlich erledigt.
1 22.6.2019 fokus.genba an AMS Linz per E-Mail Auskunftsanfrage nach Art. 15. DSGVO wurde von M.P. gelesen und intern an V.H. weitergeleitet
2 24.06-2019 von AMS per E-Mail Antwort: bitte entnehmen Sie sowohl die Informationen zur DSGVO als auch die Kontakt-eMail-Adresse für diesbezügliche Anfragen der beigefügten Anlage.
3 24.06.2019 fokuns.genba Nachfrage und Hinweis, dass Information nach Art. 13 und 14 DSGVO die Auskunft nach Art. 15 nicht gegenstandslos macht.
4 24.06.2019 AMS Linz erneuter Hinweis, dass die zuständige Stelle ams.datenschutz@ams.at sei und ich mich an diese per E-Mail oder Post wenden möchte
5 24.06.2019 fokus.genba Wien, Linz Weiterleitung der bisherigen E-Mail-Korrepondenz an ams.datenschutz@ams.at, nicht ohne darauf hinzuweisen, dass die DSGVO ein Ansuchen als zugestellt betrachtet, wenn es einem Verantwortlichen nachweislich zur Kenntnis gebracht wurde und dass es in der Verantwortung des AMS läge, die Anfrage intern entsprechend weiterzuleiten.
6 26.06.2019 AMS Wien Bestätigung, dass Auskunftsanfrage und Bitte um Kopie eingelangt ist und bearbeitet wird.
7 1.07.2019 AMS Wien per RSa eigenhändig
Postalische Zustellung der Auskunft und Kopie der Unterlagen inkl. der E-Mail-Korrespondenz im Zusammenhang mit der Auskunftsanforderung nach Art. 15 DSGVO.
Weit zurückliegende Daten über über frühere Beschaftigungsverhältnisse sind gespeichert. Teils unzutreffende Informationen. Informationen zur Laufbahn nicht aktuell.
Nachfrage bzgl. nicht beantworteter Fragen, wie bspw. ob Daten automatisiert verarbeitet werden, ob es Profiling gibt, an wen diese Daten weitergegeben werden, mit welcher Dauer die Daten gespeichert werden.
8 1.07.2019 fokus.genba
Nachfrage bzgl. offener Auskunftsanfragen sowie Geltendmachung des Rechts auf Berichtigung unzutreffender, bzw. zwischenzeitlich überholter Informationen und des der Löschung, für sämtliche Daten für die es keine gesetzliche Aufbewahrungsfrist (mehr) gibt.
per E-Mail - Hinweis, dass Antwort per E-Mail erfolgen kann, am besten verschlüsselt.
9 23.07.2019 AMS (per RSa)
Umfängliche Auskunft zur Verarbeitung der personenbezogenen Daten nach Erledigung der Löschungs- und Korrekturaufforderungen.
Bundesministerium für Digitales und Wirtschaftsstandort (BMDW)
Das Unternehmensserviceportal des Bundesministeriums für Digitales und Wirtschaftsstandort hat - so teilte das Ministerium über die Databox von Finanz-Online mit - personenbezogene Daten aus dem Finanzministerium in das Unternehmensserviceportal übernommen. Nachdem eine schriftliche Anfrage nach der Rechtsgrundlage für diese Übertragung trotz Erinnerung unbeantwortet blieb, wurde nach Artikel 15 DSGVO eine Auskunftsanforderung gestellt.
Das BMDW hat in seiner ersten Antwort versucht, die Auskunftsanfrage nach Art. 15 DSGVO zu blockieren, sei es durch nicht nachvollziehbare bürokratisch-legalistische und imho nicht DSGVO konforme Forderungen und einer Fristsetzung für die Erfüllung der gesetzten Vorgaben binnen sieben Tagen. Danach wollte das BMDW das Auskunftsersuchen automatisch als zurückgezogen betrachten. Dieser Umgang mit Betroffenenrechten und der DSGVO ist bedenklich. Schließlich kam das BDMW dem Auskunftsersuchen fristgerecht nach, wenngleich in der Auskunft keine Angaben zur Verarbeitung personenbezogener Daten im Unternehmensserviceportal gemacht wurden.
Einen eigenen Beitrag dazu finden Sie unter Das BMDW und die DSGVO – ein problematisches Verhältnis.
1 2.8.2019 fokus.genba an BMDW Auskunftsanfrage nach Art. 15. DSGVO (CC an usp.gv.at) unterschrieben, per digital signiertem E-Mail und signiertem PDF ( Auskunftsersuchen an BMDW vom 2.8.2019) Lesebestätigung von usp.gv.at am 2.8.2019
2 14.8.2019 BMDW Zustellungsversuch einer RSa Nachricht
3 20.8.2019 BMDW Das BMDW teilt per RSa mit, dass der Auskunftsanforderung nach Art. 15 DSGVO mangels elektronischer Signatur (gemeint ist wohl Handysignatur oder via Bürgerkarte) nicht nachgekommen werden kann.
Das BMDW ersucht um Übermittlung eines Antrages nach Art. 15 DSGVO (mit Ihrer Unterschrift und einer Kopie eines amtlichen Lichtbildausweises oder mit einer qualifizierten elektronischen Signatur iSd Signatur- und Vertrauensdiensgesetzes) innerhalb von 7 Tagen ab Datum dieser Zustellung. Es wird darauf hingewiesen, dass Ihr Anbringen iSd §13 Abs 4 AVG nach fruchtlosem Ablauf dieser Frist als zurückgezogen gilt
Wie es scheint ist die Kenntnis der DSGVO noch nicht weit ins BMDW vorgedrungen. Abholung
4 20.8.2019 fokus.genba an BMDW Folgendes Antwortschreiben ging gleichentags an das BMDW bmdw190820_anonymisiert.pdf
CC usp.gv.at / Lesebestätigung von usp.gv.at am 20.8.2019
5 23.8.2019 fokus genbah an Sachbearbeiterin beim BMDW in einem E-Mail direkt an die Sachbearbeiterin adressiert, habe ich nochmals betont, dass allein durch die erfolgreiche RSa Zustelltung der Identitätsnachweis hinreichend gegeben ist und eine Verweigerung der Auskunftsanforderung wegen Bedenkens zur Identitä spätestens damit grundlos geworden ist.
Zudem habe ich auf den Artikel auf fokus.genba hingewiesen: Das BMDW und die DSGVO – ein problematisches Verhältnis
Lesebestätigung am 23.8.2019
CC usp.gv.at / Lesebestätigung von usp.gv.at am 23.8.2019
6 2.9.2019 BMDW per E-Mail Mitteilung, dass eine RSa Nachricht mit der angeforderten Auskunft unterwegs ist
7 3.9.2019 BMDW per RSa Auskunft nach Artikel 15 DSGVO inkl. VVT
Sichtung und Prüfung noch im Gang,
Erste Feststellung: Anfrage Punkt 11 zu den vom Finanzam, bzw. Finanzonline übernommenen Daten und zur Rechtsgrundlage dieser Übernahme wurden keine Auskünfte erteilt.
8 11.9.2019 BMDW per RSa Ergänzung zur Auskunft vom 3.9.2019: Es wird mitgeiteilt, dass keine personenbezogenen Daten von Ihnen im Unternehmensserviceportail verarbeitet werden.
9 12.9.2019 fokus.genba Nachfrage zum zentralen Teilnehmerverzeichnis und USP
10 16.9.2019 BMDW Auskunft: Zu ihrer Person finden sich im TNVZ Daten zu Name, Adresse, E-Mail-Adresse, GLN, ERsB-Nummer und KUR.
Zum Unternehmensserviceportal:
Im USP ist das sog. „Anzeigemodul/Mein Postkorb“ gem. ZustG implementiert (also abrufbar) und über dieses Anzeigemodul kann der User auch die Registrierung oder Änderung seiner Daten am „Teilnehmerverzeichnis“ gem. ZustG durchführen. Für den User stellt das USP somit die einzige Weboberfläche dar. Dahinter liegen aber mehrere datenschutzrechtlich getrennt zu betrachtende Datenverarbeitungen.
CRIF GmbH (Wirtschaftsauskunftei) → Beschwerde anhängig
Im Zuge eines Anfragebeantwortung durch T-Mobile wurde bekannt, dass die dort verarbeiteten personenbezogenen Daten von CRIF GmbH bezogen wurden. Daher richtete ich eine Auskunftsanfrage nach Artikel 15 DSGVO an die Firma CRIF GmbH.
Die CRIF GmbH hat auf die Auskunftsanfrage innerhalb der gesetzlichen Frist geantwortet, allerdings völlig unzureichend. Da Nachforderungen insbesondere zur Verarbeitung der Listendaten im Zusammenhang mit der Kreditauskunftei unbeantwortet blieben, wurde letztlich Beschwerde gegen CRIF GmbH bei der Datenschutzbehörde eingebracht.
Zur Auskunftei CRIF GmbH empfehle ich diesen Beitrag: Die Wirtschaftsauskunftei CRIF GmbH und der Datenschutz
1 13.7.2019 fokus.genba an CRIF Gmbh Auskunftsanfrage nach Art. 15. DSGVO Lesebestätigung 15..7.2019
2 15.7.2019 CRIF Teilt in einem Passwort geschützten Anhang einer E-Mail mit, dass es für die weitere Bearbeitung meiner Auskunftsanforderung nach Art. 15 DSGVO eine Ausweiskopie bedürfe.
3 15.7.2019 fokus.genba Mitteilung an CRIF, dass lt. Artikel 12 Abs 6 DSGVO ein Identitätsnachweis nur dann erforderlich ist, wenn berechtigte Zweifel bestehen. Durch den konkreten Hinweis samt Angaben auf T-Mobile und die Möglichkeit für CRIF dort nachzufragen, sollten keine berechtigte Zweifel bestehen. Sofern doch, wurde die Firma darauf hingewiesen, dass die DSGVO begründete Zweifel vorsieht und mir daher die Begründung für die Zweifel mitzuteilen wären.
Ein Identitätsfeststellung im Zusammenhang mit der Übergabe de Auskunft benötigt ebenfalls keine Ausweiskopie. Verweis auf Identitätsfeststellung und Auskunftsverlangen
4 22.7.2019 CRIF Per Einschreiben wurde eine Auskunft erteilt. Die Auskunft führte nur Name, Geburtsdatum, Anschrift, Gründungsjahr des Unternehmens und mich als Inhaber an. Darüber hinaus wurden nur allgemeine und wenig nachvollziehbare, diffuse Hinweise zur automatisierten Entscheidungsfindung Profiling sowie allgemene Informationen und Verarbeitungszwecke gegeben.
Das Unternehmen weist darauf hin, dass es nicht unüblich sei, für „Vertretung in datenschutzrechtlichen Blangen, insbesondere die Einholung einer Auskunft nach Art. 15 DSGVO hohe Honorare in Rechnung zu stellen” Zwar wird dann noch hinzugefügt, dass die DSGVO einmal im Jahr eine unentgeltliche Auskunft zugesetzt.
In Bezug auf Löschung wird darauf hingewiesen, dass eine Löschung ohne Angabe von Gründen nicht in der DSGVO vorgesehen sei.
Die Auskunft ist unzureichend und unvollständig.
Es wird in den Raum gestellt, dass hohe Honorare für Auskunftserteilung in Rechnung gestellt werden könnten, m.E. unterschwellig gedroht und eingeschüchtert.
Die Auskunft hinterlässt den starken Eindruck, dass es keine nachvollziehbare Bereitschaft dazu gibt, meine Anfrage nach Art. 15 DSGVO umfänglich zu beantworten.
5 22.7.2019 fokus.genba
Folgende Erwiderung auf die unvollständige Auskunft wurde übermittelt:
„Gestern erreichte mich Ihre eingeschriebene Auskunft zu meiner Anfrage.
Allerdings betrachte ich die Auskunft als unvollständig. Aus der Beantwortung geht nicht hervor, welche Informationen zu Bonität und Zahlungswilligkeit etc. mit meinen personenbezogenen Daten verknüpft sind und bei Anfrage Ihrer Kunden zusammen mit meinen personenbezogenen Daten übermittelt werden. Es geht nicht hervor, woher konkret die Angaben dazu stammen und nach welcher Logik diese verarbeitet werden, ebenso wenig welche Folgen eine solche Verarbeitung für mich haben kann (s. Erw.G 63). Ihre allgemeinen Aussagen unter "Automatisierte Entscheidungsfindung und Profiling" sind nicht ausreichend.
Zudem wurden nicht alle Punkte meines Auskunftsverlangens beantwortet. Bitte arbeiten Sie diese, durch die DSGVO gedeckte Liste ab.
Nachdem mir Auskünfte anderer Auskunfteien vorliegen, die diese Informationen übersichtlich und vollständig erteilten, habe ich doch einen Überblick über Umfang und Tiefe der verknüpften Informationsfelder und kann so abschätzen, in welchem Umfang mir Informationen von CRIF GmbH womöglich vorenthalten werden. Ich bin gerne bereit, dies durch eine Beschwerde bei der Datenschutzbehörde prüfen und ggf. durchsetzen zu lassen.
Bei dieser Gelegenheit möchte ich Sie darauf hinweisen, dass einschüchternde Verweise auf hohe Honorare im Zusammenhang mit Auskunftsverlangen mehr als befremdlich sind, zumal es sich bei dieser Anfragen nicht um einen "offenkundig unbegründeten oder exzessiven Antrag" handelt. Das Recht auf eine kostenlose Auskunft nach Artikel 15 DSGVO ist keine Gunst, die Ihr Unternehmen Betroffenen gewährt.
Ich fordere Sie daher auf gemäß DSGVO eine vollständige Auskunft innerhalb der gesetzlichen Frist zu erteilen.”
6 19.8.2019 fokus.genba
Nachdem die CRIF GmbH nach Ablauf der gesetzlichen Frist der Auskunftspflicht im gesetzlich vorgesehenen Umfang nicht nachgekommen ist, wird Beschwerde bei der Datenschutzbehörde nach Artikel 77 DSGVO eingereicht.
Über den Verlauf der Beschwerde gibt folgender (nur registrierten Nutzern zugänglicher) Beitrag Auskunft: Die Beschwerde nach Artikel 77 DSGVO
Der Kreditschutzverband 1870, eine Wirtschafts-Auskunftei (siehe Beitrag Auskunfteien, Schuldnerverzeichnisse und die EU DSGVO ) erhebt personenbezogene Daten vielfach nicht direkt bei Betroffenen, sondern über andere, öffentlich zugänglichen Datenbanken und Daten, die von Unternehmen, Banken und anderen Gläubigern betreffend die Bonität Betroffener geliefert werden.
Gemäß Artikel 14 DSGVO müsste jeder Verantwortliche, soweit er personenbezogene Daten verarbeitet, die er nicht bei den betroffenen Personen erhebt, die betroffenen Personen darüber informieren. Es gibt begründete Zweifel, ob Auskunfteien dieser Informationspflicht nachkommen. In dieser Angelegenheit gibt es einen nicht rechtskräftigen Bescheid der Datenschutzbehörde (31.11.2018: DSB-D122.954/0010-DSB/2018), der gerichtlich anhängig ist.
Fazit: Die Erledigung der Auskunftsanforderung erfolgte freundlich, zügig binnen zweier Wochen, unkompliziert und ausführlich. In einem allgemein Teil der Informationen wurden allgemeine Informationen gegeben, wie bspw. zu Kategorien, Dauer, Profiling etc. Im spezifischen Teil wurden dann Informationen zu den verarbeiteten personenbezogenen Daten geliefert. Sofern bis auf sogenannte Listendaten keine sensiblen Informationen übermittelt werden, ist die einfache Postzustellung durchaus tolerabel. Für den Fall jedoch, dass die Auskunft sensible Daten beinhalten sollte, wäre damit die sichere Übermittlung nicht gewährleistet. Dazu wäre bspw. eine Zustellung per RSa Eigenhändig erforderlich oder per verschlüsselter elektronischer Nachricht.
1 28.6.2019 fokus.genba an KSV1870 Auskunftsanfrage nach Art. 15. DSGVO
2 1.7.2019 KSV1879 Zur Identifizierung werde ich aufgefordert, Name, Adresse und Geburtsdatum zu nennen Im E-Mail mit der Auskunftsforderung wurden nicht nur in der Signatur Name und Adresse genannt, sondern ausdrücklich auch nochmals im Punkt 1 der Forderung:
1. ob im KSV1879 personenbezogene Daten von Dr. C […] [genaue Adressenangabe], verarbeitet werden.
3 1.7.2019 fokus.genba Hinweis darauf, dass Angaben zu Namen und Adresse samt weiterer Kontaktdaten bereits im ersten Mail genannt wurden.
Hinweis: Bei einer früheren telefonischen Auskunft in anderer Sache reichte Name und Stadt, um mich samt genauer Adresse und E-Mail-Adresse zu identifizieren. Hier erhielt ich prompt die ID, unter welcher beim KSV1870 meine personenbezogenen Daten verarbeitet würden. Mit anderen Worten: Es gibt keine Notwendigkeit zur Übermittlung weiterer Daten, wie des Geburtsdatums, um klar identifiziert werden zu können.
4 3.7.2019 KSV1870 per Post (einfach) Die Nachricht umfasste eine vierseitige allgemeine Information zur Selbstauskunft (Was ist der KSV1870, Verarbeitungszwecke. Profiling, Dauer der Verarbeitung etc. pp.). Daran schließen Auskünfte zur Verarbeitung personenbezogener Inhalte als Kopie der Daten an.
Es wurden jedoch einige Punkte der Auskunftsanfrage nicht beantwortet, wie bspw. zur automatisierten Verarbeitung, Herkunft der Daten und Empfänger. Die Auskunft erfolgte per einfacher Postzustellung (kein RSa Eigenhändig)
POST AG → Beschwerde anhängig
Rund um den Datenskandal der POST AG, aufgedeckt durch die Recherche-Plattform Addendum habe ich nach Artikel 15 von meinem Betroffenenrecht auf Auskunft Gebrauch gemacht. Nachdem dieser Vorgang umfangreicher ist, habe ich diesen in einem eigenen Beitrag dargestellt: Die DSGVO und die österreichische POST AG | Art. 15 DSGVO
Es erfolgte eine Bestätigung, dass die Anfrage nach Art. 15 DSGVO beim Roten Kreuz eingetroffen sei und bearbeitet werde.
Die Erledigung der Anfrage erfolgte problemlos. Die Auskunft wurde umfassend gegeben und die erbetenen Kopien wurden geliefert. Der Kontakt war freundlich und zuvorkommend. Die Vereinbarung, die Unterlagen persönlich unter Vorlage eines Ausweises in der Blutzentrale Linz abzuholen, erwies sich für beide Seiten als unkomplizierter Weg der Identitätsfeststellung.
1 14.6.2019
fokus.genba an Rotes Kreuz OÖ
Auskunftsanfrage nach Art. 15. DSGVO recht@o.roteskreuz.at
2 17.6.2019
Bestätigung des Erhalts der Auskunftsanfrage nach Art. 15 DSGVO. Bitte um Einschränkung der Auskunft, nachdem die Organisation Rotes Kreuz sehr breit aufgestellt ist.
Zudem wird eine Ausweiskopie als Identitätsnachweis erbeten.
3 17.6.2019
Hinweis, dass die erwartete Datenmenge in der überwiegenden Zahl der Geschäftsfelder eher gering sein dürfte, hingegen bspw. bei Blutspendezentrale umfangreicher und nachdem nicht klar ist, wie Daten innerhalb des Roten Kreuzes verarbeitet werden, bleibt die urspr. Auskunftsanforderung aufrecht.
Üblicher Hinweis: DSGVO sieht einen Identitätsnachweis nur dann vor, sofern begründete Zweifel an der Identität der Person bestehen (Artikel 12 Abs 6 DSGVO). Durch Kontaktdaten beim Blutspenden sowie Sozialversicherungsnummer ist die Identität jedoch zweifelsfrei festzustellen. Zudem bot ich an, die Auskunft persönlich unter Vorzeigen (nicht Kopie) des Ausweises bei der Blutzentrale Linz abzuholen.
4 11.7.2019
Mitteilung, dass die Unterlagen und Kopien gem. Auskunftsanforderung nach Art. 15 DSGVO in der Blutzentrale zur Abholung bereit lägen. Identifizierung durch Vorlage eines Ausweises-
5 15.7.2019
Unterlagen abgeholt. Auskunft wurde umfassend gegeben. Kopien der Daten lagen bei.
Vom WIFI OÖ erhielt ich eine E-Mail mit Geburtstagswünschen. So erfreulich Geburtstagswünsche auch sind, es stellte sich für mich die Frage, welche Daten das WIFI noch von mir verarbeitet und zu welchem Zweck bspw. mein Geburtsdatum gespeichert werden muss. Daher entschloss ich mich zu einer Anfrage nach Artikel 15 DSGVO.
1 23.6.2019 fokus.genba an WIFI OÖ Auskunftsanfrage nach Art. 15. DSGVO Lesebestätigung 24.6.2019
2 18.7.2019 WIFI OÖ Per E-Mail übermitteltes elektronische Auskunft mit Hinweis, dass die Unterlagen (Kopie) gesondert per Post übermittelt würden.
3 22.7.2019 WIFI OÖ Per Einschreiben wurden die Unterlagen zu WIFI und zugleich (obzwar nicht angefragt) zu WKO OÖ geliefert. Die Unterlagen sind umfangreich und sämtliche Punkte der Auskunftsanfrage wurden beantwortet.
Tags: AMSBad PracticeBeispieleBetroffenenrechteDSGVOUmsetzungWIFI
Eingetragen von Conrad Lienhardt am 24.06.2019 – Last touched: 16.09.2019 – Contents updated: 16.09.2019
https://fokus.genba.org/crif-wirtschaftsauskunftei-und-datenschutz
Die CRIF GmbH verdient Geld mit Aggregierung, automatischer Auswertung, Profiling und schließlich dem Verkauf sensibler Daten zur Zahlungsfähigkeit und Zahlungswilligkeit von Betroffenen. Auskünfte nach Artikel 15 DSGVO erteilt das Unternehmen unzureichend.
24.07.2019 @ 14:30 Auf diesen Kommentar antworten
DSB News «E-Mail Marketing» Datenminimierung Beschwerde Compliance IT Strafen Datenschutzbehörde «Berechtigte Interessen» Einwilligung «Sensible Daten» Wochenrückblick Auskunftspflicht DSG Löschung Auskunftsrecht «POST AG» Identitätsfeststellung Betroffenenrechte Rechtmäßigkeit F&A Informationspflichten Datenschutz Österreich Datenschutzbeauftragter Verfahrensverzeichnis DSGVO e-Privacy-VO «Fragen & Antworten»