Startschuss für die Datenschutz-Grundverordnung: FAQs

Ab heute gelten die Europäische Datenschutz-Grundverordnung und in Österreich das neue Datenschutzgesetz. Doch was kommt auf österreichische Unternehmen zu? Und wie kann man sich noch entsprechend vorbereiten, wenn man dies noch nicht in Angriff genommen hat? Wir haben die wichtigsten Punkte kurz zusammengefasst:

Was ist die Datenschutz-Grundverordnung (DSGVO)?

Die DSGVO ist ein EU-weites Gesamtregelwerk und schützt die Verarbeitung personenbezogener Daten natürlicher Personen. Die DSGVO lässt im Rahmen sogenannter Öffnungsklauseln auch noch einen gewissen Spielraum für die nationalen Gesetzgeber. In Österreich wurde von diesen Öffnungsklauseln durch das neue Datenschutzgesetz (DSG) Gebrauch gemacht.

Wer hat die DSGVO anzuwenden?

Die DSGVO gilt grundsätzlich für die Verarbeitung im Rahmen einer Niederlassung innerhalb der Europäischen Union. Sollte keine Niederlassung innerhalb der EU bestehen, ist die DSGVO dennoch anzuwenden, wenn sich die betroffenen Personen, deren Daten verarbeitet werden, in der Union befinden und ihnen Waren oder Dienstleistungen angeboten werden.

Was sind die wesentlichen Neuerungen durch die DSGVO?

• Strengere Informationspflichten für Unternehmen
• Stärkung der Betroffenenrechte (z.B. Recht auf Datenübertragbarkeit)
• Erstellung eines Verzeichnisses von Verarbeitungstätigkeiten (mit Ausnahmen)
• Prüfung der Notwendigkeit einer Datenschutz-Folgenabschätzung
• Strengere Vorgaben für die Meldung von Datenschutzverletzungen
• Bestellung eines Datenschutzbeauftragten in bestimmten Fällen

Welche Konsequenzen drohen bei Verstößen gegen die DSGVO?

Bei Nicht-Einhaltung der Vorgaben der DSGVO drohen Verwaltungsstrafen bis zu € 20 Mio. oder 4 Prozent des weltweiten Konzernumsatzes. Parallel dazu können betroffene Personen bei Verstößen auch im zivilgerichtlichen Wege Ersatz immaterieller Schäden geltend machen.

Wird die österreichische Datenschutzbehörde künftig bei Verstößen nur noch verwarnen?

Eine Novelle des österreichischen Datenschutzgesetzes (Datenschutz-Deregulierung-Gesetz) hat bei vielen Unternehmen kürzlich für Unsicherheit gesorgt. § 11 DSG besagt nunmehr, dass die Datenschutzbehörde bei der Anwendung des Strafkatalogs des Art 83 DSGVO den Grundsatz der Verhaältnismäßigkeit zu wahren und insbesondere bei erstmaligen Verstößen gegen datenschutzrechtliche Vorgaben von ihren Abhilfebefugnissen, wie z.B. insbesondere einer Verwarnung, Gebrauch zu machen hat.

Tatsächlich bringt diese Bestimmung keine wesentlichen Neuerungen mit sich. Verwaltungsbehörden müssen immer den Grundsatz der Verhältnismäßigkeit wahren – da macht das Datenschutzrecht keine Ausnahme. Die Datenschutzbehörde wird sich an diesen Grundsatz, an den sie schon immer gebunden war, auch künftig bei der Verhängung von Strafen halten. Sollte also beispielsweise ein geringer Verstoß gegen datenschutzrechtliche Bestimmungen vorliegen, das Unternehmen aber entsprechende Vorkehrungen zum Schutz personenbezogener Daten getroffen haben, wird es unter Berücksichtigung aller Faktoren gegebenenfalls bei einer Verwarnung bleiben. Sollte hingegen ein schwerwiegender Verstoß vorliegen und das Unternehmen kaum Anstrengungen zum Schutz von personenbezogenen Daten unternommen haben, ist auch bei einem erstmaligen Verstoß die Verhängung einer Strafe nicht ausgeschlossen.

Ist Ihr Unternehmen bereits auf die neuen Anforderungen im Datenschutz vorbereitet? Wir unterstützen Sie gerne mit folgenden Leistungen:

• Individuelle Erstberatung und Status-Quo-Analyse Ihres Unternehmens
• Unterstützung bei der Erstellung eines Datenverarbeitungsverzeichnisses
• Unterstützung bei der Durchführung von Datenschutz-Folgenabschätzungen
• Erstellung von
  • Interfirm-Agreements
  • Auftragsverarbeitervereinbarungen mit Dienstleistern
  • Datenschutzerklärungen für den Web-Auftritt
  • Einwilligungserklärungen
  • Informationsblätter gemäß Art 13 und Art. 14 DSGVO
  • Geheimhaltungserklärungen für Mitarbeiter
  • Vorlagen für die Meldung von Datenschutzverletzungen
  • v.m.
• Begleitende Unterstützung bei konkreten Fragestellungen in der Implementierungsphase
• Stellung eines externen Datenschutzbeauftragten
• Anwaltliche Begleitung vor Behörden und Gerichten