Die EU-Datenschutz-Grundverordnung Ein kompakter Überblick über die neuen Anforderungen

Transkript

1 Die EU-Datenschutz-Grundverordnung Ein kompakter Überblick über die neuen Anforderungen

2 Inhalt I. Überblick EU-Datenschutz-Grundverordnung (kurz DSGVO) II. Folgen & Risiken III. Datenschutz-Anpassungsgesetz 2018 (kurz DSG Neu) 2

3 Die DSGVO wird künftig das einheitliche, starke Datenschutzgesetz für alle EU-BürgerInnen. Am 25. Mai 2018 tritt die DSGVO in Kraft und wird geltendes Recht in allen EU Mitgliedstaaten. Die DSGVO bedarf keiner Umsetzung in nationales Recht. Unmittelbare Wirksamkeit! Es gibt jedoch Öffnungsklauseln für nationalen Umsetzungsspielraum. Datenschutz-Anpassungsgesetz 2018 zur Angleichung der österreichischen Rechtslage an die DSGVO. 3

4 Die DSGVO gilt für personenbezogene Daten natürlicher Personen. Personenbezogene Daten sind solche, die einer bestimmten oder bestimmbaren Person zugeordnet werden können. Beispiele: Klaus Mustermann hat blaue Augen. Erika Mustermann besitzt einen VW Golf. Der amtierende Bundeskanzler der Republik Österreich ist gebürtiger Wiener. Auch Daten, über die sich ein Personenbezug herstellen lässt. KFZ-Kennzeichen, Kontonummer, Sozialversicherungsnummer etc. 4

5 Das Recht unterscheidet zwischen natürlichen und juristischen Personen. Jeder Mensch gilt als natürliche Person mit Rechten und Pflichten. Eine juristische Person ist keine natürliche Person, geschaffen durch einen Rechtsakt und hat wie eine natürliche Person Rechte und Pflichten. Zum Beispiel: Verein, GmbH, AG, Genossenschaft, Stiftung etc. Die umfangreichen neuen Verpflichtungen aus der DSGVO richten sich an Verantwortliche und Auftragsverarbeiter. Verantwortliche sind natürliche oder juristische Personen, die über die Verarbeitung von personenbezogenen Daten entscheiden. 5

6 Auftragsverarbeiter sind natürliche oder juristische Personen, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten. Zum Beispiel: externe Buchhalter und Lohnverrechner, Callcenter, Cloud-Anbieter etc. Die DSGVO gilt grundsätzlich für elektronisch verarbeitete Daten. Für Daten auf Papier gilt die DSGVO nur, wenn diese in einem Dateisystem strukturiert zugänglich sind (z.b. Personalaktenschrank). 6

7 Die Grundsätze der DSGVO (Art. 5): Rechtmäßigkeit (Verbot mit Ausnahmen) Treu und Glauben (Verhältnismäßigkeit) Transparenz (Wer-Wie-Was) Zweckbindung (Keine Verarbeitung für einen anderen Zweck) Datenminimierung (Verarbeitung auf das notwendige Maß beschränken) 7

8 Die Grundsätze der DSGVO: Richtigkeit (Unrichtige oder veraltete Daten müssen korrigiert, aktualisiert oder gelöscht werden) Speicherbegrenzung (Löschfristen) Integrität und Vertraulichkeit (Datensicherheit durch technische und organisatorische Maßnahmen) Rechenschaftspflicht (Einhaltung der DSGVO muss nachweisbar sein) 8

9 Jegliche Verarbeitung personenbezogener Daten ist grundsätzlich unzulässig, außer es liegt ein Rechtfertigungsgrund vor ( Verbot mit Ausnahmen ). Der Unterschied zwischen Datensicherheit und Datenschutz. Beim Datenschutz geht es um den Schutz der Privatsphäre des Menschen und der missbräuchlichen Verwendung seiner Daten. Datensicherheit befasst sich mit dem Schutz von Daten, unabhängig davon ob diese einen Personenbezug aufweisen oder nicht. Datensicherheit soll die Daten vor Manipulation, Verlust und unberechtigter Nutzung schützen. 9

10 Rechtfertigungsgründe für die Verarbeitung personenbezogener Daten (Art. 6): Einwilligung der betroffenen Person. Verarbeitung erforderlich zur Erfüllung eines Vertrags, zur Erfüllung einer rechtlichen Verpflichtung, zum Schutze lebenswichtiger Interessen, zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt, Wahrung berechtigter Interessen des Verantwortlichen. 10

11 Für die Verarbeitung sensibler Daten gelten Sonderbestimmungen (Art. 9). Beispiele für sensible Daten: rassische/ethnische Herkunft, politische Meinung, religiöse Überzeugung, Gewerkschaftszugehörigkeit, genetische/biometrische Daten, Gesundheitsdaten, sexuelle Orientierung etc. Rahmenbedingungen zur Einwilligung: Einwilligung muss freiwillig für den bestimmten Fall (welche Daten für welche konkreten Zweck) in informierter Weise (verständliche und leicht zugängliche Form) unmissverständlich sein (klare und einfache Sprache) 11

12 Keine Freiwilligkeit wenn sich eine Einwilligung auf unterschiedliche Sachverhalte bezieht. wenn die Vertragserfüllung von der Einwilligung abhängig gemacht wird, obwohl nicht erforderlich. Die Einwilligung kann jederzeit widerrufen werden. Betroffene müssen vor Abgabe der Einwilligung aufgeklärt werden. Der Widerruf muss so einfach wie die Erteilung sein. Die Einholung der Einwilligung in AGB ist wohl eingeschränkt möglich. Jedoch klare Unterscheidung von anderen Sachverhalten (z.b. Gewährleistung oder Zahlungsbedingungen) nötig. 12

13 Informationspflichten gegenüber der betroffenen Person (Art. 13): Name / Kontaktdaten Zwecke und Rechtsgrundlagen der Verarbeitung Empfänger inkl. Übermittlung in Drittland falls beabsichtigt Dauer der Speicherung Hinweis auf die Rechte betroffener Personen Mit einer Datenschutzrichtlinie erfüllt. 13

14 Rechte betroffener Personen: Recht auf Auskunft (Art. 15) innerhalb von 4 Wochen über den Zweck der Verarbeitung die Kategorien wie z.b. sensible Daten die verarbeitet werden die Herkunft der Daten die Empfänger die Speicherdauer Die Betroffenenrechte sowie das Recht auf Beschwerde bei der Datenschutzbehörde 14

15 Recht auf Berichtigung und Löschung (Art. 16). Unrichtige oder unzulässig verarbeitete Daten sind vom Verantwortlichen richtig zu stellen oder zu löschen. Unvollständige Daten sind zu vervollständigen. Recht auf Einschränkung der Verarbeitung (Art. 18). bei Bestreiten der Richtigkeit bei unrechtmäßiger Verarbeitung bei Widerspruch gegen die Verarbeitung wenn die Daten nicht mehr benötigt werden Recht auf Vergessenwerden (Art. 17). Betroffene können sich aus Google und anderen Suchmaschinen löschen lassen. 15

16 Recht auf Datenübertragbarkeit (Art. 20). Übertragung bereitgestellter Daten an den Betroffenen selber oder einen anderen Verantwortlichen. Soweit technisch machbar und nur wenn die Datenverarbeitung auf Basis einer Einwilligung oder eines Vertrags und mithilfe automatisierter Verfahren erfolgt. Widerspruchsrecht (Art. 21). Betroffene können die Einwilligung zur Datenverarbeitung jederzeit widerrufen. Automatisierte Entscheidung im Einzelfall (Art. 22). Betroffene haben das Recht, nicht einer ausschließlich automatisierten Datenverarbeitung unterworfen zu werden. Beispiel: Ablehnung eines Online-Kreditantrags ohne jegliches menschliche Eingreifen. 16

17 Umfangreiche Pflichten für Verantwortliche und Auftragsverarbeiter: Diese müssen künftig selber entscheiden, welche Maßnahmen erforderlich sind und sie müssen das Einhalten der Grundsätze der DSGVO nachweisen können. Geeignete technische und organisatorische Maßnahmen umsetzen um die Datenschutzgrundsätze, Sicherheitsmaßnahmen, Verordnung sowie Betroffenenrechte einzuhalten. Datensicherheit Meldungen an Aufsichtsbehörden und betroffene Personen. Datenschutz-Folgeabschätzung falls erforderlich. Benennung eines Datenschutzbeauftragten falls erforderlich. 17

18 Sorgfältige Auswahl der Auftragsverarbeiter. Zusammenarbeit mit langjährigen, zuverlässigen Partnern. Zertifizierte Auftragsverarbeiter bevorzugen. Ein neuer Auftragsverarbeiter muss hinsichtlich Technik und Organisation den Anforderungen entsprechen. Schriftlicher Vertrag für Datenverarbeitung gemäß DSGVO. 18

19 Dokumentation der Verarbeitungstätigkeiten. Das Verzeichnis ist schriftlich/elektronisch zu führen. Auf Anfrage der Aufsichtsbehörde vorzulegen. Mindestinhalt des Verarbeitungsverzeichnis: Name und Kontaktdaten des Unternehmens Zweck der Verarbeitung Datenarten Betroffene Personen Empfänger einer Datenübermittlung Datenübermittlung in Drittländer Fristen für die Löschung der Daten Beschreibung der Sicherheitsmaßnahmen 19

20 Meldung von Datenschutzverletzungen Meldung an Behörde Binnen 72 Stunden Inhalt: Art der Verletzung, Datenkategorie, Anzahl der Betroffenen, Folgen, Gegenmaßnahmen Dokumentation der Datenschutzverletzung Bei hohem Risiko zusätzliche Information an Betroffene Die selbstständige Meldung wirkt strafmildernd. Eine Vorbereitung ist aufgrund von Zeitdruck unbedingt erforderlich. Ohne sinnvolle Dokumentation keine Meldung innerhalb von 72 Stunden realistisch. Verzögerungen sind zu begründen. 20

21 II. Folgen & Risiken Keine ausreichende Dokumentation Keine Möglichkeit der Meldung binnen 72 Stunden Verstoß gegen DSGVO Geldbuße 21

22 II. Folgen & Risiken Betroffener hat das Recht auf Beschwerde bei der Datenschutzbehörde. Datenschutzbehörde prüft die Datenverarbeitung (Einschau). Bei Verstoß wird die Einschränkung der Verarbeitung angeordnet. wird die Datenverarbeitung untersagt. werden Strafen verhängt. 22

23 II. Folgen & Risiken Geldbußen bis zu EUR 20 Mio. oder bis zu 4 Prozent des erzielten Jahresumsatzes des vorigen Geschäftsjahres (Konzern). Bei schwerwiegenden Verstößen gegen die DSGVO. Je nachdem, welcher der Beträge höher ist. Personen, die in ihren Datenschutzrechten verletzt worden sind, können Schadensersatzklagen einbringen. Darüber hinaus sind Verbandsklagen bzw. beschwerden möglich. Geldbußen werden durch die Datenschutzbehörde oder durch die Gerichte verhängt. 23

24 IV. Datenschutz-Anpassungsgesetz 2018 Praxisrelevante Änderungen: Unverändert bleibt das Grundrecht auf Datenschutz 1 DSG. Somit bleiben Daten juristischer Personen weiterhin geschützt. Die Einschränkung der Verarbeitung ist ausreichend, wenn das Löschen der Daten aus wirtschaftlichen oder technischen Gründen nicht unverzüglich möglich ist. Die Datenschutzbehörde kann jederzeit Einschau halten. Nicht nur bei begründetem Verdacht oder einer Datenschutzverletzung. 24

25 IV. Datenschutz-Anpassungsgesetz 2018 Bildverarbeitung (statt Videoüberwachung) Zulässig: Vorbeugender Schutz privater Liegenschaften inkl. unvermeidbare Einbeziehung öffentlicher Verkehrsflächen. Vorbeugender Schutz öffentlich zugänglicher Orte. Zum Beispiel öffentliche Verkehrsmittel. Aufnahmen für rein private Zwecke. Zum Beispiel Actioncam. Unzulässig: Bildaufnahmen in höchst persönlichen Lebensbereichen. Kontrolle von Arbeitnehmern. Dashcam? 25

26 IV. Datenschutz-Anpassungsgesetz 2018 Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten unter anderem zulässig, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist. Der Verantwortliche, der Auftragsverarbeiter und ihre Mitarbeiter müssen personenbezogene Daten, die ihnen aufgrund ihrer berufsmäßigen Beschäftigung anvertraut wurden oder zugänglich geworden sind, geheim halten, soweit kein rechtlich zulässiger Grund für eine Übermittlung der Daten besteht. 26 Rene Schartmüller Michael Zenger Rev 01