Am 25. Mai 2019 feierte die EU-Datenschutzgrundverordnung ihren ersten „Geburtstag“. Ein guter Anlass für eine kurze Bestandsaufnahme:
Die Panik vor den Millionenstrafen war unbegründet, hatte jedoch einen gewissen erzieherischen Effekt: Sie veranlasste die Unternehmen sich mit dem Thema Datenschutz ernsthaft zu befassen. Bislang gibt es – soweit ersichtlich – noch kein rechtskräftiges Straferkenntnis der Datenschutzbehörde. Die bislang in Österreich angedrohte höchste Geldbusse beläuft sich auf 4.800 Euro und betrifft eine unzulässige Videoüberwachung in einem Wettlokal. Ganz allgemein ist festzustellen, dass sich die Datenschutzbehörde recht häufig mit dem Thema Videoüberwachung zu befassen hat.
Auch die Anzahl der Beschwerden ist signifikant gestiegen. Die gute Nachricht aus unternehmerischer Sicht: Die Mehrzahl der Beschwerden bei der Datenschutzbehörde wurde aufgrund von Formalfehlern zurückgewiesen. Für einen Laien ist es offensichtlich nicht ohne weiteres möglich, eine juristisch korrekte Beschwerde zu formulieren. Im Übrigen behält sich die Datenschutzbehörde die Veröffentlichung von Entscheidungen vor.
Nachfolgend möchte ich ein paar praktische Fragestellungen erläutern:
Databreach – ist jede Datenpanne bei der Datenschutzbehörde zu melden oder gar der Betroffene zu unterrichten?
Eine Datenpanne liegt vor, wenn Daten unbefugt oder unabsichtlich offengelegt, verändert oder vernichtet werden oder der Verantwortliche selbst keinen Zugang mehr zu den Daten hat.
Nicht jede Datenpanne löst eine Informationspflicht aus. Wird ein verschlüsselter Datenträger zum Beispiel gestohlen, ist keine Meldung an die Datenschutzbehörde und keine Information des Betroffen erforderlich, solange
- die Daten „state of the art“ verschlüsselt und
- Back-Ups vorhanden sind und der einzige Schlüssel intakt ist.
Die rechtskonforme Einwilligung
Die Einwilligung ist eine von mehreren möglichen Rechtsgrundlagen für die Verarbeitung von personenbezogenen Daten. Zu beachten ist, dass sie freiwillig abgegeben wird und der Verantwortliche in transparenter Weise über den Verarbeitungszweck informiert. Freiwilligkeit ist in der Regel gegeben, wenn der Betroffene eine Wahlmöglichkeit hat, beispielsweise, dass sein Foto nicht veröffentlicht wird. Zudem ist immer auf das Recht des jederzeitigen Widerrufs hinzuweisen.
Ausserdem ist das Kopplungsverbot beachtlich. Das heißt es darf keine Einwilligung verlangt werden, wenn bereits eine andere Rechtsgrundlage (z.B. die Vertragserfüllung) vorliegt.
PRAXISTIPP: Da die Einwilligung jederzeit widerrufen werden kann, ist es ratsam – soweit rechtlich möglich – die Datenverarbeitung auf eine andere Rechtsgrundlage zu stützen (z.B. die berechtigten Interessen oder die Erfüllung einer (vor-)vertraglichen Verpflichtung).
Newsletter-Versand – Einwilligung erforderlich?
Grundsätzlich ist der Versand von Newslettern zu Werbezwecken ohne vorherige Einwilligung nicht gestattet. Für die Einholung der Einwilligung sollte das Double-Opt-In Verfahren eingesetzt werden.
Aufgrund der umfassenden Dokumentationspflichten nach der DSGVO haben viele Unternehmen die Einwilligung vor dem 25.05.2018 sicherheitshalber neuerlich eingeholt.
Dies wäre in vielen Fällen gar nicht nötig gewesen wäre. Es gibt nämlich eine wichtige Ausnahme im Telekommunikationsgesetz (§ 107 Abs 3 TKG): Eine Einwilligung für den Versand des Newsletters ist nicht erforderlich, soweit alle nachfolgenden Kriterien erfüllt sind:
- Adressat ist bestehender Kunde (kein Interessent)
- Werbung für eigene, gleiche oder ähnliche, Waren/Dienstleistungen
- Möglichkeit des jederzeitigen Widerrufs („Unsubscribe“)
- Kunde ist nicht in der Robinsonliste eingetragen.
Videoüberwachung – Wann ist keine Datenschutzfolgen-Abschätzung notwendig?
Die DSGVO enthält keine Bestimmungen zur Videoüberwachung. Sie ist aufgrund einer Öffnungsklausel im österreichischen Datenschutzgesetz geregelt (§§ 12 ff DSG).
Bestimmte Datenverarbeitungen verlangen sogar eine Datenschutz-Folgenabschätzung („systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche“). Nach der „White list“ der Datenschutzbehörde ist für ausgesuchte Bildverarbeitungstätigkeiten inklusive Akustikverarbeitung keine Datenschutz-Folgenabschätzung nötig:
- Überwachung von privaten Liegenschaften (bebaut oder unbebaut) zum Schutz von Personen oder Sachen, vorausgesetzt angrenzende öffentliche Verkehrsflächen werden bis max. 50 cm erfasst und die Speicherdauer beträgt max. 72 Stunden
- Echtzeitaufnahmen (Bild und Ton) ohne Speicherung
- Videoüberwachung zu Dokumentationszwecken ohne identifizierende Erfassung unbeteiligter Personen, die weder für straf- oder zivilrechtliche Zwecke verwendet werden.
Videoüberwachung – Zustimmung der Mitarbeiter erforderlich?
Werden durch eine Videoüberwachung Mitarbeiter erfasst, so ist die Einholung einer ausdrücklichen Zustimmung notwendig (soweit es keinen Betriebsrat gibt und eine Betriebsvereinbarung abgeschlossen wurde).
Auch hier treffen den Arbeitgeber umfassende Informationspflichten, die dem Mitarbeiter zur Verfügung zu stellen sind: Verwendungszweck, überwachte Bereiche, Installationspläne, Zutritts- und Berechtigungssystem, Protokollierung der Verwendungsvorgänge, Aufbewahrungsdauer, Löschfristen etc.)
Ausblick
Abschliessend ist festzustellen, dass die DSGVO – bei aller Kritik – wesentlich zu einem Umdenken und einer Sensibilisierung bei der Verarbeitung von Personendaten geführt hat. Das ist zu begrüssen. Viele Unternehmen haben ihre internen Prozesse noch nicht an die DSGVO vollständig angepasst. Wie lange die Schonfrist der Datenschutzbehörde dauern wird, ist schwer vorherzusagen. Die Zahl der amtswegigen Prüfverfahren steigt im Vergleich zum Vorjahr.
PRAXISTIPP: Abonnieren Sie daher den Newsletter der Datenschutzbehörde, um über die letzten Entwicklungen informiert zu sein.
