EU-Datenschutz-Grundverordnung Jeder ist betroffen

Zum Mai 2018 tritt eine neue Datenschutz-Grundverordnung mit wesentlichen Neuerungen in Kraft, bei Nichtbeachtung drohen hohe Geldstrafen. Wir klären, welche Änderungen auf Handwerksunternehmen zukommen.Wer als Unternehmen Daten verarbeitet, ist von der neuen Richtlinie betroffen und hat Handlungsbedarf.Am 4. Mai 2016 verabschiedeten das Europäische Parlament und der Rat der Europäischen Union eine neue Datenschutz-Grundverordnung (DSGVO), die ab dem 25. Mai 2018 in Geltung treten soll. Bis dahin müssen alle Unternehmen ihre Datenanwendungen an die neue Rechtslage anpassen. Die DSGVO ist zwar als EU-Verordnung in jedem Mitgliedstaat der Europäischen Union unmittelbar anwendbar, sie enthält jedoch zahlreiche Öffnungsklauseln und lässt dem nationalen Gesetzgeber gewisse Spielräume. Dementsprechend verabschiedete die Regierung in Österreich das „Datenschutz-Anpassungsgesetz 2018“, das zum 25. Mai 2018 die derzeit geltenden Regelungen des Datenschutzgesetzes 2000 (DSG 2000) ablösen soll. Neu ist dabei vor allem, dass es keine Meldepflicht mehr bei der Datenschutzbehörde (Datenverarbeitungsregister) geben wird, stattdessen aber eine stärkere Verpflichtung für Verantwortliche (derzeit „Auftraggeber“) und Auftragsverarbeiter (derzeit „Dienstleister“) sowie weitreichende Neuregelung der Pflichten bei der Datenverarbeitung. Dazu gehören: Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen („privacy by design/privacy by default“): Es sind geeignete technische und organisatorische Maßnahmen und Verfahren (zum Beispiel Pseudonymisierung) zu treffen, damit die Verarbeitung den Anforderungen der Verordnung genügt und die Rechte der betroffenen Personen geschützt werden. Datenschutzrechtliche Voreinstellungen sollen sicherstellen, dass grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden.Verantwortliche und Auftragsverarbeiter müssen ein „Verzeichnis von Verarbeitungstätigkeiten“ führen: Der Inhalt ist ähnlich den derzeitigen DVR-Meldungen und hat die eigenen Kontaktdaten, die Zwecke der Verarbeitung, eine Beschreibung der Datenkategorien und der Kategorien von betroffenen Personen, die Empfängerkategorien, gegebenenfalls Übermittlungen von Daten in Drittländer, wenn möglich die vorgesehenen Löschungsfristen und eine allgemeine Beschreibung der technischen und organisatorischen Datensicherheitsmaßnahmen zu enthalten. Die Pflicht zur Führung dieses Verzeichnisses gilt für Unternehmen mit weniger als 250 Mitarbeitern nur dann nicht, wenn die von ihnen vorgenommene Verarbeitung kein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, die Verarbeitung nur gelegentlich erfolgt und keine Verarbeitung besonderer Datenkategorien beziehungsweise keine Verarbeitung von Daten über strafrechtliche Verurteilungen und Straftaten umfasst.Meldungen von Verletzungen des Schutzes personenbezogener Daten sind sowohl den nationalen Aufsichtsbehörden (ohne unangemessene Verzögerung – möglichst binnen höchstens 72 Stunden; außer die Verletzung führt voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten) als auch der betroffenen Person (ohne unangemessene Verzögerung, wenn die Wahrscheinlichkeit besteht, dass die Verletzung des Schutzes personenbezogener Daten ein hohes Risiko für die persönlichen Rechte und Freiheiten bewirkt) mitzuteilen.Pflicht zur Datenschutz-Folgenabschätzung bei Verarbeitungsvorgängen, die (insbesondere bei Verwendung neuer Technologien) aufgrund der Art, des Umfangs, der Umstände und der Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben.Vorherige Konsultation der Aufsichtsbehörde, wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der für die Verarbeitung Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft.(Verpflichtender) Datenschutzbeauftragter: Eine Verpflichtung zur Bestellung eines Datenschutzbeauftragten besteht für Unternehmen (Verantwortliche und Auftragsverarbeiter), wenn a) die Kerntätigkeit in der Durchführung von Verarbeitungsvorgängen besteht, die aufgrund ihrer Art, ihres Umfanges und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Beobachtung von betroffenen Personen erforderlich machen, oder b) die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten oder von Daten über strafrechtliche Verurteilungen oder Straftaten besteht.Mit der DSVG treten auch neue Informationspflichten und Betroffenenrechte in Kraft. Dazu gehören: Informationen können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden.Informationen und Betroffenenrechte sind ohne unangemessene Verzögerung, spätestens aber innerhalb eines Monats zu erledigen (diese Frist kann um höchstens weitere zwei Monate verlängert werden).Auskunftsrecht (unter anderem auch über geplante Speicherdauer).Recht auf Berichtigung.Recht auf Löschung und auf „Vergessenwerden“.Recht auf Einschränkung der Verarbeitung.Mitteilungspflicht bei Berichtigung, Löschung oder Einschränkung an alle Empfänger.Recht auf Datenübertragbarkeit.Widerspruchsrecht.Regelungen betreffend automatisierte Generierung von Einzelentscheidungen einschließlich Profiling.Bei Nichtbeachtung drohen Geldbußen von bis zu 20 Millionen Euro oder im Fall eines Unternehmens von bis zu vier Prozent seines weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres. Informationen gibt es online unter www.wko.at