Alle Fragen zur Datenschutz-Grundverordnung - Teil 1

Mit der neuen Datenschutz-Grundverordnung kommt einiges auf Unternehmen, Gemeinden und Behörden zu. Aber was genau ändert sich durch dieses Gesetz? Worauf muss man achten? Wir haben nachgefragt bei Deutschlandsbergs Wirtschaftskammerobmann Manfred Kainz und Isabella Fäherich-Lang, die sich als Rechtsexpertin in dessen Firma TCM seit eineinhalb Jahren mit dem Thema beschäftigt.

• Was ist die rechtliche Grundlage für die neue Datenschutz-Grundverordnung?


Datenschutz basierte bisher auf nationalen Gesetzen und Rechtsnormen. In Österreich gibt es das Datenschutzgesetz 2000 und das Datenverarbeitungsregister (DVR). Nun gibt es eine neue Verordnung, die in allen EU-Staaten gilt.


• Ab wann gilt diese Verordnung?


Die EU-Datenschutz-Grundverordnung ist schon seit 25. Mai 2016 in Kraft, kommt aber erst ab 25. Mai 2018 zur Geltung. Ab diesem Tag gibt also Strafen bei Verstößen, diese Übergangsfrist von zwei Jahren diente zur Umstellung auf die erheblichen Veränderungen. Nur wenige haben sich aber darauf vorbereitet.


• Welche Aufgabe hat diese Verordnung?


Sie soll das Datenschutzrecht europaweit einheitlich regeln. Die Betroffenen müssen Prozesse und Strukturen schaffen, um diesen Bereich zu vereinheitlichen.


• Wer ist davon betroffen?


Jeder, der personenbezogene Daten verarbeitet: Unternehmen, Gemeinden, Ämter, Behörden, Vereine, Ärzte, Universitäten etc., also jede Form von Organisation, muss Aufzeichnungen führen. Jede natürliche Person kann diese abfragen, löschen oder berichtigen lassen.


• Welche Pflichten haben die Betroffenen?


Bisher wurden Organisationen im DVR registriert und bestimmte Informationen dort gespeichert. Das DVR wird nun aufgelassen und die Aufzeichnungs- und Informationspflicht (siehe weiter unten) werden von den Betroffenen selbst übernommen. Diese müssen ein Verarbeitungsverzeichnis führen.


• Wie muss das Verarbeitungsverzeichnis aussehen?


Das muss keine spezialisierte Datenbank sein. Es reicht auch ein eigens erstelltes Dokument. Dafür gibt es viele verschiedene Muster, aber keine genauen gesetzlichen Vorgaben. Im Gesetz stehen nur bestimmte Mindestangaben, die Umsetzung obliegt jedem Betroffenen.


• Welche Daten müssen dort aufgezeichnet werden? Welche nicht?


Der Betroffene muss den gesamten Datenstand erfassen und in diesem Verzeichnis strukturieren. Auch die technischen und organisatorischen Maßnahmen, die jeder treffen muss, um die Pflichten zu erfüllen, sind dort zu finden. Im Verarbeitungsverzeichnis sind nur die Vorgehensweisen zu erfassen, persönliche Daten werden extra gespeichert.


• Kann man diese Aufgaben auch auslagern?


Man kann auf Grundlage eines Vertrags einen Auftragsverarbeiter damit beauftragen, für die Einhaltung der Pflichten dieser Verordnung zu sorgen. Dieser ist dem Verantwortlichen der auftraggebenden Organisation weisungsgebunden.


• Welche Rechte hat man als Privatperson?


Daraus ergeben sich weitere Pflichten für die Betroffenen: Jede Organisation muss jederzeit Auskunft über gespeicherte Daten geben können und muss diese jederzeit löschen, berichtigen, sicher übertragen und sicher speichern können. Kann die Organisation beweisen, dass sie bestimmte Daten gesetzlich nicht löschen darf, können diese Daten auch nur reduziert oder zeitlich beschränkt gespeichert werden.


Mehr zur Datenschutz-Grundverordnung

>>Hier geht's zu Teil 2 über Datenschutzbeauftragten, Einwilligungen und Strafen
>> "Das wird schlimmer als die Registrierkasse": Das denkt WKO-Obmann Manfred Kainz über das neue Gesetz

Seminare und Kurse bei der Wirtschaftskammer

Von der Wirtschaftskammer gibt es auf wko.at eine Checkliste und weitere Informationen zur Datenschutz-Grundverordnung. Außerdem werden laufend Infoveranstaltungen organisiert:
• WKO Deutschlandsberg: 10. April und 17. Mai (14 Uhr)
• WKO Voitsberg: 11. und 19. April (14 Uhr)
• WKO Graz: 9. April (18 Uhr), 23. April (10 Uhr), 4. und 11. Juni (14 Uhr), 10. bis 25. April (Kurs), 27. April bis 22. Juni (Kurs)
• WIFI Süd: 27. April (14 Uhr), 14. Mai (18 Uhr), 15. Mai und 19. Juni (14 Uhr), 4. bis 12. Juni (Kurs)