Source: http://www2.argedaten.at/php/cms_monitor.php?q=PUB-TEXT-ARGEDATEN&s=92950pir
Timestamp: 2019-06-17 22:02:04
Document Index: 190332692

Matched Legal Cases: ['Art 5', '§ 83', '§ 126', 'Art 5', 'Art 30', 'Art 6', '§ 83', '§ 126', 'Art 15', 'Art 13', 'Art 32', 'Art 83', 'Art 82']

Datenschutzprinzipien gemäß DSGVO für Smart Meter
DSGVO Art 5-6, 13-14, 15-21, 32, 82-83; ElWOG § 83; GWG § 126a
Für Smart Meter (Intelligente Stromzähler) gelten die Bestimmungen gemäß Datenschutz-Grundverordnung (DSGVO) bezüglich Datenschutz und Datensicherheit. Smart Meter messen und speichern personenbezogene Daten (=Energieverbrauchsdaten) von Betroffenen. Unter 'Datenschutz' von personenbezogenen Daten versteht man die rechtlichen Vorschriften, wer wie Daten erheben, speichern und verarbeiten darf. Unter 'Datensicherheit' versteht man technische Vorschriften für den Umgang mit Daten, wie etwa die Dokumentationspflicht oder die Pflicht zur Verschlüsselung.
Smart Meter haben als komplexe IT-Systeme eine Reihe von datenschutzrechtlichen Mindestanforderungen. Gemäß Art 5 DSGVO sind Verantwortliche verpflichtet die Einhaltung der allgemeinen Datenschutzgrundsätze zu gewährleisten. Es gelten insbesondere folgende Prinzipien:
- der Grundsatz der zeitlichen Begrenzung der Datenverarbeitung (Speicherbegrenzung)
- das Transparenzgebot
Unternehmen müssen Vorkehrungen treffen, um die durch Smart Meter generierten personenbezogenen Daten datenschutzkonform zu schützen. Folglich müssen sie auch den Nachweis über die Einhaltung erbringen (Rechenschaftspflicht). Zu Dokumentationszwecken wird ein Verzeichnis der Verarbeitungstätigkeiten gemäß Art 30 DSGVO geführt.
Rechtmäßigkeit der Verarbeitung von Energieverbrauchsdaten
Für die datenschutzkonforme Verarbeitung von Energieverbrauchsdaten bedarf es einer wirksamen Rechtsgrundlage gemäß DSGVO. Verantwortliche sind daher verpflichtet die Rechtmäßigkeit der Datenverarbeitung sicherzustellen. Das heißt, dass sich jede personenbezogene Datenverarbeitung zwingend auf eine Rechtsgrundlage gemäß Art 6 Abs 1 DSGVO stützt. Die Energieverbrauchsdaten der Betroffenen dürfen auf Basis folgender Rechtsrundlagen verarbeitet werden:
- Eine Einwilligungserklärung des Betroffenen liegt vor. Die Erhebung und Verarbeitung der Daten ist ohne Einwilligung des Betroffenen nur soweit erlaubt, wie es für gesetzliche Zwecke (ElWOG, GWG, ...) erforderlich ist.
- Weiters ist eine Datenverarbeitung aus den intelligenten Zählern rechtmäßig, wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung (ElWOG § 83 ff, GWG § 126a ff, ...) des Verantwortlichen erforderlich ist. Die Energieverbrauchsdaten dürfen nur zu den im Gesetz ausdrücklich genannten Zwecken erhoben und verarbeitet werden.
- Ferner ist die Datenverarbeitung des Betroffenen zur Vertragserfüllung notwendig.
Der Verantwortliche muss alle erforderlichen Schritte unternehmen um die Verarbeitung von Daten gegenüber dem Betroffenen möglichst transparent zu gestalten. Empfohlen wird, dass der Verantwortliche Techniken und Mechanismen anbietet, die es dem Betroffenen laufend erlauben, sein Datenkonto beim Verantwortlichen zu kontrollieren. Dies umfasst nicht bloß die Energieverbrauchsdaten, sondern auch eine Protokollierung, wer auf die Daten zugegriffen hat und wozu diese Daten verarbeitet wurden.
Der Grundsatz der Transparenz soll eine verdeckte Verarbeitung von Betroffenendaten verhindern. Daher sollten Betroffene über die Erhebung und Verarbeitung ihrer Daten und über ihre Betroffenenrechte (Art 15-21 DSGVO) umfassend unterrichtet werden (Art 13-14 DSGVO). Die Unterrichtung muss in leicht zugänglicher Art und Weise und in einer klaren und verständlichen Sprache erfolgen. Verantwortliche müssen Dateninformationen und -auskunft zur Verfügung stellen, die den notwendigen Datenverkehr erläutern.
Das Prinzip der Zweckbindung sieht Datenverarbeitungen nur für festgelegte, eindeutige und rechtmäßige Zwecke vor. Verantwortliche müssen vor der Erhebung einen Zweck für die Datenverarbeitung festlegen und die Betroffenen darüber informieren.
Gemäß DSGVO ist eine datenschutzkonforme Weiterverarbeitung von Energieverbrauchsdaten zu neuen Zwecken rechtmäßig, wenn die Weiterverarbeitung auf der Einwilligung der betroffenen Person oder einer Rechtsvorschrift beruht.
Gebot der Datenminimierung
Gemäß dem Grundsatz der Datenminimierung müssen personenbezogene Daten dem Zweck nach angemessen (verhältnismäßig) und auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Verantwortliche sind aufgefordert gemäß der DSGVO Maßnahmen einzuführen, die das Anonymisieren und Pseudonymisieren personenbezogener Daten ermöglichen. Dadurch soll die Einsicht oder Manipulation durch nicht berechtigte Dritte verhindert werden.
Die Verarbeitung personenbezogener Daten muss dem Datenminimierungsgebot folgen. Es dürfen nur jene Daten verarbeitet werden, die unmittelbar für den, mit dem Kunden, vereinbarten Zweck erforderlich sind.
Pflicht zur Datensicherheit
Datenverarbeitungen müssen in einer Art und Weise erfolgen, so dass die angemessene Sicherheit der personenbezogenen Daten gegeben ist, einschließlich des Schutzes vor unbefugter/unrechtmäßiger Verarbeitungen, sowie vor Datenverlust. Verantwortliche sind verpflichtet für die Sicherheit der Verarbeitung geeignete technische und organisatorische Maßnahmen gemäß Art 32 DSGVO zu treffen.
Im Zusammenhang mit Security wäre sicher zu stellen, dass die Datenermittlung (in erster Linie am Gerät), die Datenübertragung, die Speicherung und die Weiterverarbeitung in jedem Schritt authentifiziert, integritätsgesichert und verschlüsselt erfolgt.
In der Internet-Datenverarbeitung wird davon ausgegangen, dass Endgeräte beim Benutzer (PCs, Smartphones, Notebooks, ...) und die Übertragungswege generell unsicher sind und daher eine Authentisierung, Verschlüsselung und Integritätssicherung auf Ebene des einzelnen Datenpaketes bzw. des einzelnen Gerätes zu erfolgen hat.
Jedes 'im Feld' befindliche Gerät ist mit digitalen Zertifikaten auszustatten, Datensätze sind digital zu signieren und in der Endgerätespeicherung und Übertragung zu verschlüsseln.
Dieselben Vorgaben sind für Smart Meter Endgeräte und für die Übertragung (unabhängig unter welchen technischen Standards sie letztlich erfolgt) erforderlich, da für die Geräte und Leitungen im Feld niemand generell die Sicherheitsverantwortung übernehmen kann und somit die Integrität auf Datenebene sicher zu stellen ist.
In den Zentralsystemen wird ein Zusammenspiel technischer und organisatorischer Sicherheitsmaßnahmen ausreichen und wirtschaftlich realistisch möglich sein, wenn diese Systeme in kontrollierten Umgebungen betrieben werden (z.B. abgekoppelt von der eigentlichen Energiesteuerung), generelle Sicherheitsmaßnahmen, wie Firewalls, laufendes Monitoring des IT-Betriebs, qualifiziertes Personal, klare Rollenverteilung, eigener Security-Verantwortlicher usw. gesetzt sind.
Die DSGVO sieht eine Speicherbegrenzung vor. Eine rechtmäßige Speicherung der Betroffenendaten ist insbesondere zur Zweckerfüllung oder zur Erfüllung einer rechtlichen Verpflichtung notwendig. Daher soll die Speicherung der Energieverbrauchsdaten im Zähler ausschließlich im Ausmaß der gesetzlichen Vorgaben und nur für die Dauer des gesetzlich Zulässigen durchgeführt werden. Es ist daher wichtig, für alle Verarbeitungen festzulegen, wie lange die Energieverbraucherdaten aufbewahrt werden und wie die Löschung, Anonymisierung oder Pseudonymisierung der Daten sichergestellt werden kann. Die Aufbewahrungsfristen sind auf Basis der Rechtsvorschriften zu bestimmen.
Verstöße gegen die Datenschutzgrundsätze können eine Geldstrafe von bis zu 20 Mio. Euro oder bei Unternehmen von bis zu 4 % des letzten weltweiten Jahresumsatzes verhängt werden (Art 83 Abs 5 DSGVO). Die Datenschutzbehörde ist für die Verhängung der Geldstrafe zuständig. Weiters können Betroffene bei materiellen oder immateriellen Schäden Schadenersatz geltend machen (Art 82 DSGVO). Die ordentlichen Zivilgerichte (NICHT die Datenschutzbehörde) sind zuständig für Schadenersatzklagen.
mehr --> Kann ich dem Einbau eines smarten Wasserzählers widersprechen?
mehr --> Entwurf - Intelligente Messgeräte- Einführungsverordnung