Sanfte Entwarnung für Unternehmen: Strafen erst nach mehrmaligen Verstößen

Von Franz J Heidinger / Laurin Maran: Wie sich mittlerweile herumgesprochen haben sollte, drohen bei Verstößen gegen die EU-Datenschutzgrundverordnung (EU-DSGVO) Geldbußen von bis zu EUR 20.000.000,- oder im Falle eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs.

Diese existenzvernichtende Drohung des europäischen Gesetzgebers hat ihre Wirkung nicht verfehlt: Die europäischen Unternehmen wurden in helle Aufregung versetzt und bemühen sich seit Monaten intensiv, nicht zuletzt um solche Geldbußen zu vermeiden, ihre Geschäftsmodelle bis zum 25.05.2018 fit für die EU-DSGVO zu machen.

Für österreichische Unternehmen kann nun teilweise Entwarnung gegeben werden. Am 20.04.2018 wurde das „Bundesgesetz, mit dem das Datenschutzgesetz geändert wird (Datenschutz-Deregulierungs-Gesetz 2018)“ im Nationalrat angenommen. Der neu verfasste § 11 DSG sieht nun vor, dass die Datenschutzbehörde die Bestimmungen des Art 83 DSGVO, wo die oben erwähnte Geldbußen festgelegt sind, so anzuwenden hat, dass die Verhältnismäßigkeit gewahrt wird. Bei erstmaligen Verstößen wird die Datenschutzbehörde von ihren Abhilfebefugnissen insbesondere durch Verwarnungen Gebrauch machen.

Somit gilt, dass grundsätzlich erst eine Verwarnung auszusprechen ist, bevor es zu einer Strafe kommt. Und selbst wenn eine Strafe ausgesprochen werden sollte, dann sicher nicht in einer Höhe, die ein Unternehmen in die Insolvenz treiben könnte. Die Höhe der Geldbuße muss verhältnismäßig sein und sich an der Schwere des Verstoßes und an der Größe des Unternehmens orientieren.

Es besteht somit kein Grund, dem 25. Mai 2018 sorgenvoll entgegen zu blicken. Die EU-DSGVO wird wohl nicht so heiß gegessen werden, wie es der Aufruhr um sie in den letzten Monaten vermuten lässt. Dies ist jedoch kein Grund, nun die Füße hochzulegen und die DSGVO zu ignorieren. Auch eine Verwarnung kann sehr unangenehme Folgen haben und sich negativ auf das Image des Unternehmens auswirken. Außerdem drohen bei Verstößen nicht nur Geldbußen der Behörde, sondern auch Schadenersatzansprüche der Betroffenen. Außerdem könnte ein Verstoß gegen eine Bestimmung des Datenschutzgesetzes als unlauterer Wettbewerb betrachtet werden und entsprechende Unterlassungsklagen von Konkurrenten nach sich ziehen.

Rechte der Betroffenen (Teil 2): Auskunft

Von Franz J Heidinger / Laurin Maran – Nachdem der letzte Blog-Beitrag die Pflicht vorstellte, Betroffene aktiv und unaufgefordert über eine Datenverarbeitung zu informieren, widmet sich dieser Artikel dem Recht der Betroffenen, auf Antrag vom Verantwortlichen Auskunft über die von ihm verarbeitenden Daten zu verlangen.

Dieses Auskunftsrecht findet sich in Art. 15 der ab Mai 2018 geltenden Datenschutzgrundverordnung (EU-DSGVO) und bietet Betroffenen, also Personen, deren Daten verarbeitet werden, die Möglichkeit zu überprüfen, ob ihre Daten rechtmäßig verarbeitet werden. So müssen Sie beispielsweise über die Verarbeitungszwecke, die Kategorien der personenbezogenen Daten, die verarbeitet werden, die Empfänger, gegenüber denen die Daten offengelegt werden und die geplante Dauer, für die die Daten gespeichert werden, informiert werden. Wurden die Daten nicht von demjenigen erhoben, an den das Auskunftsersuchen gerichtet wurde, müssen alle Informationen über die Herkunft der Daten mitgeteilt werden. Ferner muss der Verantwortliche darüber informieren, ob sich der Betroffene bei einer Aufsichtsbehörde über ihn beschweren kann.

Nutzt der Verantwortliche ein Programm zur automatisierten Entscheidungsfindung, muss er aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person bereitstellen.

Beispiel für eine automatisierte Entscheidungsfindung: Einer Person, die mit einem teuren Handy einen Flug bucht, wird ein anderer Preis angeboten wird, als einer anderen Person, die den gleichen Flug mit einem billigeren Handy bucht.cropped-20160916_1114211.jpg

Im österreichischen Datenschutz ist dieses Auskunftsrecht nicht völlig fremd, findet sich doch in § 26 DSG 2000 ein sehr ähnliche Regelungen.

Werden Daten an ein Drittland übermittelt, muss die Person, deren Daten übermittelt wurden, über die geeigneten Garantien unterrichtet werden, die sicherstellen müssen, dass seine Daten auch im Ausland geschützt werden. Solche Garantien können beispielsweise darin bestehen, dass auf verbindliche interne Datenschutzvorschriften oder auf von einer Aufsichtsbehörde genehmigte Vertragsklausel zurückgegriffen wird.

Bei all den zu erteilenden Informationen muss der Verantwortliche aber stets darauf achten, dass dabei nicht die Rechte und Freiheiten anderen Personen beeinträchtigt werden (Art. 15 Abs 4 EU-DSGVO).

All die eben beschriebenen Informationen hat der Verantwortliche kostenlos zur Verfügung zu stellen. Nur bei exzessiven Anträgen oder im Fall von Wiederholungen kann der Verantwortliche ein angemessenes Entgelt verlangen oder sich weigern, die Auskünfte zu erteilen. Dieses kostenlose Auskunftsrecht ist natürlich mit einigem Aufwand und Kosten für Unternehmen verbunden. Dennoch sollte diesen Pflichten gewissenhaft und rasch (binnen eines Monats) nachgekommen werden, denn diese Pflichten sind keineswegs nur Leitlinien oder grobe Orientierungshilfen, sondern können bei Verstößen mit erheblichen Geldstrafen sanktioniert werden.

Hier finden Sie die weiteren Teile unserer Reihe „Rechte der Betroffenen“:

TEIL 1: Informationsrecht