Umbruch im Datenschutzrecht: Die DSGVO naht mit großen Schritten

Bereits am 4.5.2016 trat die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG, besser bekannt als Datenschutz-Grundverordnung (DSGVO) in Kraft. Zwei Jahre später, mit 25.5.2018, müssen die Vorgaben der DSGVO auch eingehalten werden, andernfalls exorbitante Strafen drohen.

Worüber handelt die DSGVO?

Die DSGVO regelt und vereinheitlicht die Verarbeitung personenbezogener Daten natürlicher Personen, die Rechte von Betroffenen sowie und Pflichten der Verantwortlichen.

Die Bestimmungen der DSGVO gelten trotz ihres bereits vor knapp zwei Jahren erfolgten Inkrafttre-tens erst ab 25.5.2018. Bis zu diesem Zeitpunkt müssen alle Datenanwendungen an die neue Rechtslage angepasst werden. Wenngleich die DSGVO in allen Mitgliedstaaten der EU unmittelbar anwendbar ist, enthält sie zahlreiche Öffnungsklauseln, die den nationalen Gesetzgeber berechtigen, bestimmte Bereiche gesetzlich zu regeln. Es wird insofern auch künftig ein österreichisches Datenschutzrecht geben.

Für wen gilt die DSGVO?

Von der DSGVO erfasst wird, wer in irgendeiner Art und Weise personenbezogene Daten verarbeitet. Nur wenige Personen sind vom Anwendungsbereich der DSGVO ausgeschlossen. Nicht erfasst werden insbesondere Datenverarbeitungen durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten sowie Datenverarbeitungen durch gewisse Sicherheitsbehörden.

Anders als nach dem aktuellen Datenschutzgesetz ist die DSGVO nicht auf die automationsunterstützte Datenverarbeitung beschränkt. Auch wer etwa manuelle Karteien oder Akten führt, unterfällt der DSGVO, sofern diese Daten systematisch verarbeitet werden.

Welche Zielrichtung verfolgt die DSGVO?

Mit der DSGVO geht ein Paradigmenwechsel einher. Die Verordnung überträgt umfassende Pflichten an jede einzelne Person, die personenbezogene Daten verarbeitet und der DSGVO unterfällt, und betont die Selbstverantwortung dieser Verarbeiter. Behördliche Eingriffe erfolgen regelmäßig erst dann, wenn etwas "schief gegangen" ist - etwa nach einem Hackingangriff oder infolge von Anzeigen.

Welche Neuerungen enthält die DSGVO?

Nach der DSGVO werden folgende zentrale Aufgaben auf Verarbeiter von Daten übertragen:

• Es ist ein Verzeichnis von Verarbeitungstätigkeiten zu führen. Dieses ähnelt strukturell der bisherigen Registrierung im Datenverarbeitungsregister, die künftig entfällt.
• Wer sich einer dritten Person, eines sogenannten Auftragsdatenverarbeiters, zur Verarbeitung von personenbezogenen Daten bedient (dies kann etwa der Betreiber eines Aktenverwaltungssystems oder eines Cloud-Speichers sein), hat mit diesem eine besondere Vereinbarung abzuschließen.
• Unter gewissen Umständen ist ein Datenschutzbeauftragter zu bestellen.
• Unter gewissen Umständen ist eine Datenschutzfolgenabschätung zu erstellen.
• Sowohl die Einhaltung der datenschutzrechtlichen Vorgaben, als auch allfällige Missbrauchsfälle, als auch Anfragen von Personen, deren Daten verarbeitet werden, sind zu dokumentieren.
• Erfolgt die Verarbeitung personenbezogener Daten aufgrund der Einwilligung des Betroffenen, ist auf die korrekte Formulierung der Zustimmungserklärung zu achten. Wurden bereits Zustimmungserklärungen eingeholt, sollten diese auf Ihre Aktualität, Richtigkeit und Vollständigkeit überprüft werden.

Strafen

Bei Verstößen gegen die DSGVO drohen im Extremfall Geldstrafen bis zu 20.000.000,00 Euro oder 4 % des Jahresumsatzes - je nachdem, welcher Wert der höhere ist.

Auch vor diesem Hintergrund sollte sich jeder kritisch hinterfragen, ob er mit den Daten anderer sorgfältig umgeht oder doch Anpassungsbedarf besteht. Viel Zeit zur Umsetzung der Vorgaben der DSGVO bleibt nicht mehr!

PS: Wer sich zwischenzeitlich näher über die DSGVO informieren möchte, wird hier fündig.