Anwendungsbereich der EU- DSGVO

Von Franz J. Heidinger / Laurin Maran – Der Anwendungsbereich beantwortet stets die Frage, für welche Sachverhalte bestimmte Gesetze anzuwenden sind. Man unterscheidet zwischen dem sachlichen und dem räumlichen Anwendungsbereich. Während der sachliche Anwendungsbereich klärt, ob ein Gesetz überhaupt thematisch für eine bestimmte Situation anzuwenden ist, klärt der räumliche Anwendungsbereich, wo, also in welchem Land, sich diese bestimmte Situation abgespielt haben muss, damit das Gesetz gilt.20160919_141500

Der sachliche Anwendungsbereich

Gemäß Artikel 2 Abs 1 EU-DSGVO gilt die Datenschutzgrundverordnung für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

Nun stellt sich natürlich die Frage, was der Verfasser der EU-DSGVO unter den Begriffen „personenbezogene Daten“ und  „Verarbeitung“ versteht.

Die Definitionen finden sich nur zwei Artikel später: Gemäß Artikel 4 Z 1 EU-DSGVO versteht man unter personenbezogenen Daten „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.“

Somit findet die EU-DSGVO immer dann Anwendung, wenn personenbezogene Daten von natürlichen Personen verarbeitet werden. Die Grundrechte und insbesondere das Recht auf Schutz personenbezogener Daten aller Menschen, ungeachtet ihrer Staatsangehörigkeit oder ihres Aufenthaltsort, sollen gewahrt bleiben.

Durch das aktuelle österreichische Datenschutzgesetz (DSG 2000) sind auch die Daten juristischer Personen, also von Vereinen, Stiftungen, Aktiengesellschaften, GmbHs etc.,  geschützt. Sobald die EU-DSGVO das DSG 2000 abgelöst haben wird, wird dieser Schutz jedoch wegfallen. Verarbeitet man also zukünftig unternehmensbezogene Daten, wie beispielsweise Kontaktdaten oder die Rechtsform eines Unternehmens, wird die EU-DSGVO auf diese Verarbeitung nicht anwendbar sein. Die hinter der juristischen Personen stehenden Menschen sind jedoch weiterhin geschützt, handelt es sich bei diesen schließlich um natürliche Personen.

Unter Verarbeitung versteht die EU-DSGVO „jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.“

Wie man sieht wird jede denkmögliche Auseinandersetzung mit personenbezogenen Daten erfasst. Somit muss sich jedes Unternehmen, jeder Einzelunternehmer und jeder Onlineshopbetreiber, auch wenn er nur am Rande seiner beruflichen Tätigkeit mit personenbezogenen Daten in Kontakt kommt, mit den Bestimmungen der EU-DSGVO auseinandersetzen.

Es gibt jedoch ein paar Ausnahmen: Die Verordnung findet unter anderem keine Anwendung auf die Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten, solange sie ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit vorgenommen werden. Die Nutzung sozialer Netze und Online-Tätigkeiten von Privaten fällt somit nicht in den Anwendungsbereich der EU-DSGVO. Die Verordnung gilt jedoch dennoch für die Verantwortlichen, die die Instrumente für die Verarbeitung personenbezogener Daten für solche persönliche oder familiäre Tätigkeiten bereitstellen.

Beispiel:

Verschickt jemand Fotos einer anderen Person über Whatsapp, fällt dieser Vorgang nicht unter das neue Regelwerk. Das Unternehmen „WhatsApp Inc.“ allerdings, welches das Foto verarbeitet, muss sich an die datenschutzrechtlichen Bestimmungen halten. Ebenso ist es mit der Veröffentlichung von Fotos anderer Personen auf Facebook. Aber auch wenn dies vielleicht datenschutzrechtlich nicht relevant sein mag, werden dennoch Persönlichkeitsrechte der betroffenen Person verletzt.

Räumlicher Anwendungsbereich

  • Die EU-DSGVO wird angewendet, wenn personenbezogene Daten im Rahmen der Tätigkeit einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Europäischen Union verarbeitet werden und zwar unabhängig davon, ob die Verarbeitung in der Union stattfindet. Eine Niederlassung ist laut EuGH eine auf eine gewisse Dauer angelegte Außenstelle eines Stammhauses, die über hinreichende materielle und personelle Ausstattung verfügt, um Geschäfte zu betreiben.
  • Weiters findet die Verordnung Anwendung, wenn personenbezogene Daten von Personen, die sich in der Europäischen Union befinden, verarbeitet werden, der für die Verarbeitung Verantwortliche aber nicht in der Europäischen Union niedergelassen ist. Allerdings nur, wenn die Verarbeitung im Zusammenhang damit steht, Personen in der EU Waren oder Dienstleistungen anzubieten oder das Verhalten von Personen in der EU zu beobachten.

Somit müssen sich unter Umständen bald auch nicht-europäische Unternehmen ohne Niederlassung in der EU an das europäische Datenschutzrecht halten.

Beispiel:

Ein texanischer Hutmacher verkauft seine Westernhüte über einen Onlineshop im Internet. Selbstverständlich ist dieser Onlineshop über das Internet auch aus Österreich nutzbar. Für eine Bestellung müssen sich Käufer mit Name, Anschrift und E-Mailadresse registrieren –  zweifelsohne personenbezogene Daten. Die Frage der Anwendbarkeit der EU-DSGVO hängt nun davon ab, ob der Hutmacher offensichtlich vor hat, seine Hüte auch in der EU zu verkaufen. Dies wird anhand des Einzelfalls entschieden. Ist es beispielweise möglich, die Sprache des Onlineshops auf Deutsch umzustellen, werden die Preise auch in Euro angezeigt und stellt er Informationen über die Einfuhrbestimmungen in die EU zu Verfügung, spricht dies für eine Anwendung der EU-DSGVO. Ist der einzige Zusammenhang zwischen dem Onlineshop und der EU jedoch nur ein Cowboyhut mit einer EU-Flagge, sind die Daten eines österreichischen Käufers nur durch texanisches Datenschutzrecht geschützt.

 

Das Verhalten von Personen wird beobachtet, wenn ihre Internetaktivitäten nachvollzogen werden können und durch diese Aktivitäten anschließend von der Person ein Profil erstellt wird, anhand dessen ihre persönlichen Vorlieben, Verhaltensweisen oder Gepflogenheiten analysiert und vorausgesagt werden.

Beispiel

Ein Österreicher nutzt auf seinem Smartphone eine kostenlose App. Diese App speichert und analysiert seine Standortdaten, die Marke seines Handys, die Häufigkeit der Nutzung etc. Anhand dieser Daten schließt der Betreiber auf die soziale Herkunft, die Bildung und das Einkommen des Nutzers und bietet dementsprechende Werbung an.

Ergebnis

Für die Anwendung europäischen Datenschutzrechts kommt es bald nicht mehr nur auf den Ort der Niederlassung an, sondern auch auf den Ort, wo sich der Betroffene aufhält (Marktortprinzip). Ist dieser Ort innerhalb der Europäischen Union, wird die EU-DSGVO angewendet, selbst wenn die Person australischer Staatsbürger ist. Hält sich das datenverarbeitende Unternehmen nicht an die Regeln, drohen europaweit einheitliche Strafen.

EUR 20 Millionen Strafdrohung als Turbo für EU-US Privacy Shield

Von Franz J. Heidinger / Laurin Maran – Ab heute (01.08.2016) können sich US-Unternehmen beim amerikanischen Handelsministerium in die Privacy Shield Liste eintragen und sich so bescheinigen lassen, dass sie die von der EU-Kommission und Vertretern aus der USA festgelegten datenschutzrechtlichen Prinzipien einhalten.

Als der Gerichtshof der Europäischen Union (GHEU) am 06.10.2015 feststellte, dass das Safe-Harbor-Abkommen keinen angemessenen Datenschutz in den USA gewährleistet, entzog er unzähligen Unternehmen die rechtliche Grundlage für den transatlantischen Datenverkehr. Grundsätzlich bedarf nämlich jeglicher Datentransfer in ein Land außerhalb des europäischen Wirtschaftsraumes der Genehmigung der Datenschutzbehörde. Safe-Harbor war bis zur Entscheidung des GHEU sozusagen die pauschale Genehmigung der EU-Kommission, personenbezogene Daten an zertifizierte US-Unternehmen zu übermitteln.

Nach Monaten der rechtlichen Ungewissheit gibt es nun Ersatz für Safe-Harbor, womit vorerst Rechtsicherheit und eine Grundlage für die genehmigungsfreie Übertragung von personenbezogenen Daten aus der EU in die USA für wirtschaftliche Zwecke geschaffen wurde.

In den USA versteht man die Aufregung in Europa um den Datenschutz eher weniger, hat man dort ja ein völlig anderes Verständnis vom Umgang mit Daten. Natürlich gibt es dort auch Datenschutzgesetze, allerdings werden hauptsächlich sensible Daten, wie zum Beispiel Gesundheitsdaten, geschützt. Da viele US-Unternehmen jedoch ihr Geld mit europäischen Daten verdienen, müssen Sie die europäischen Standards wohl zähneknirschend hinnehmen. Und die Sanktionsdrohung von EUR 20 Millionen oder von bis zu 4% des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs als Geldbuße für Verstöße ist durchaus abschreckend.

US-Unternehmen, die in den Genuss des Privacy Shields kommen möchten, müssen sich lediglich beim US-Handelsministerium registrieren und eine Datenschutzerklärung veröffentlichen, die auf den sieben Prinzipien des Privacy Shields beruht. Um nicht wieder von der Liste gelöscht zu werden, müssen sie sich natürlich auch an die Regeln halten, was deutlich komplizierter ist.

So müssen Unternehmen beispielsweise geeignete technische und organisatorische Sicherheitsmaßnahmen zum Schutz von Daten implementieren. Daten dürfen nur richtig und vollständig verarbeitet werden und der jeweilige Zweck der Verarbeitung muss gewahrt bleiben. Für die Weiterleitung der Daten an ein anderes Unternehmen muss sichergestellt werden, dass auch der Empfänger die datenschutzrechtlichen Bestimmungen einhält. Bürger haben ein Auskunftsrecht bezüglich der über sie gespeicherten Daten und können sich bei der Datenschutzbehörde ihres Heimatstaates beschweren, die dann in Zusammenarbeit mit der US Federal Trade Commission der Beschwerde nachgehen muss.

Das Hauptproblem von Safe-Harbor war das massenhafte und unbegrenzte Sammeln von Daten der EU-Bürger durch US-Behörden. Die Regierung der Vereinigten Staaten hat zwar versprochen, diese „bulk collection“ in Zukunft nur auf bestimmte Fälle zu begrenzen, zum Beispiel wenn die Überwachung eines Einzelnen nicht möglich ist, und die Daten nur zu verwenden, wenn es um die nationale Sicherheit der USA geht, aber Kritiker gehen davon aus, dass sich trotz dessen nichts an der Überwachungspraxis ändern und das Privacy Shield vom Gerichtshof der EU ebenso für ungültig erklärt werden wird.

Für europäische Unternehmen, die sich bei der Datenübertragung in die USA nur auf das Privacy Shield verlassen, birgt das natürlich die Gefahr, bald wieder in die Rechtswidrigkeit zu rutschen. Daher ist es empfehlenswert, sich zusätzlich oder alternativ mit den Standardvertragsklauseln der EU-Kommission oder Binding Corporate Rules abzusichern.

Standardvertragsklauseln bieten die Garantien für die Übermittlung personenbezogener Daten von der EU in Drittländer, deren Datenschutzniveau nicht als angemessen anerkannt ist, wie eben die USA. Dafür müssen das Unternehmen in der EU und das Unternehmen, das die Daten empfangen soll, einen Vertrag mit den passenden Standardvertragsklauseln abschließen und die darin enthaltenen Bestimmungen befolgen.

Binding Corporate Rules sind verbindliche und durchsetzbare interne Datenschutzvorschriften, die es multinationalen Konzernen oder Firmengruppen erlauben, innerhalb des Konzerns personenbezogene Daten in Drittstaaten zu transferieren. Binding Corporate Rules müssen jedoch von mehreren europäischen Datenschutzbehörden geprüft und anerkannt werden, was längere Zeit in Anspruch nehmen kann.

Die wohl am einfachsten zu bekommende rechtliche Grundlage für die Übermittlung von Daten ins Ausland ist das Einverständnis der Person, deren Daten übermittelt werden soll. Der Datenverkehr ins Ausland ist nämlich genehmigungsfrei, wenn der Betroffene ohne jeden Zweifel seine Zustimmung dazu gegeben hat.