Ab 25. Mai 2018 unterliegt die Verarbeitung personenbezogener Daten von natürlichen Personen den Grundsätzen und Bestimmungen der Datenschutz-Grundverordnung (DSGVO). Obwohl die DSGVO unmittelbare Geltung erlangt, bedarf es doch einiger Ausführungsbestimmungen und Präzisierungen durch den österreichischen Gesetzgeber. Mit dem Datenschutz-Anpassungsgesetz 2018, das am 31. Juli 2017 kundgemacht wurde, wird das Datenschutzgesetz (DSG) umfassend novelliert.
Das neue DSG konkretisiert unter anderem die Aufgaben und Befugnisse der Datenschutzbehörde und regelt die Rechtsbehelfe im Fall von Datenschutzverletzungen. Dazu zählen das Beschwerderecht jeder betroffenen Person bei der Datenschutzbehörde sowie das Recht auf Schadenersatz vor den ordentlichen Gerichten. Weiters normiert das DSG die Voraussetzungen für die Verhängung von Geldbußen gegen juristische Personen und umfasst dabei sowohl das Fehlverhalten von Führungs- oder Kontrollebenen eines Unternehmens als auch ein Überwachungs- und Kontrollversagen von Führungskräften.
Zu den künftigen Verpflichtungen von Verantwortlichen (vormals Auftraggebern), nämlich ein internes Verzeichnis von Verarbeitungstätigkeiten zu führen sowie eine Datenschutz-Folgenabschätzung durchzuführen, falls eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von betroffenen Personen zur Folge hat, enthält das DSG – trotz eingeräumtem Regelungsspielräumen durch Öffnungsklauseln der DSGVO – keine Bestimmungen. Das DSG regelt aber, dass die Datenschutzbehörde künftig verbindliche Positiv- und Negativlisten führen wird, die eine Hilfestellung bei der Prüfung der Erforderlichkeit einer durchzuführenden Datenschutz-Folgenabschätzung bieten soll. Mit Inkrafttreten des DSG wird das von der Datenschutzbehörde geführte Datenverarbeitungsregister nur noch zu Archivzwecken erhalten bleiben und sämtliche Registrierungen gegenstandslos.
Gerade die weitreichenden Anforderungen der DSGVO und die erheblich gestiegenen Geldbußen von bis zu EUR 20 Mio. oder bis zu 4% vom gesamten weltweit erzielten Jahresumsatz legen es nahe, die vorhandenen Datenschutzprozesse rasch zu evaluieren und die erforderlichen Maßnahmen zu ergreifen, um den Anforderungen der DSGVO per 25. Mai 2018 zu genügen. Die Zeit drängt hier schon! Für Unterstützung stehen wir jederzeit gern zur Verfügung.
Mag. Claudia Fleischhacker-Hofko