Die EUDatenschutzreform DatenschutzGrundverordnung DSGVO Mag Ursula Illibauer eRechtstag

Die EU-Datenschutzreform Datenschutz–Grundverordnung = DSGVO Mag. Ursula Illibauer e_Rechtstag 2016

Was es bisher zu beachten galt… n seit 1995: Datenschutz-Richtlinie (RL 95/46/EG) zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr n wurde 1999 in Ö im Datenschutzgesetz 2000 umgesetzt (und das Datenschutzgesetz aus 1978 abgelöst) n sonstige relevante Bestimmungen im: § § E-Commerce Gesetz Allgemeinen Bürgerlichen Gesetzbuch Gewerbeordnung Telekommunikationsgesetz

Was bisher geschah…oder -„Der lange Weg zur DSGVO“ Start: 2010 2015: Start TRILOG 2012: Vorschlag DSGVO über 4. 000 Änderungsanträge im EP 2015: Position Rat 2014: Position EP Ende 2015: politische Einigung Ziel: 14. 4. 2016: DSGVO beschlossen 4. Mai 2016: Veröffentlichung im Amtsblatt

Was uns nun erwartet… n einheitliches Recht in der EU? zahlreiche Öffnungsklauseln für Regelungen auf EU Ebene oder durch die Mitgliedstaaten selbst n wieviel Zeit zur Umsetzung? Umsetzung in Ö bis ca Mai 2018! n Handlungsempfehlung? Datenanwendungen im Unternehmen JETZT prüfen, unbedingt Speicherdauer von Daten prüfen Risiko einschätzen, Informationen auf Websites, Mails etc anpassen

Warum das alles? – Einblick ins Unbekannte… 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12. Wichtige Begriffe Prinzipien rechtmäßiger Verarbeitung Einwilligung Betroffenenrechte Haftung Aufzeichnungspflichten Datensicherheit Entfall (? ) der Meldeverpflichtungen vs Folgenabschätzung Datenschutzbeauftragter grenzüberschreitende Datenverarbeitung Beschwerderechte Strafen

1. Begrifflichkeiten - personenbezogene Daten (Artikel 4) DSGVO "personenbezogene Daten" alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden "betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind; DSG 2000 „Daten“ („personenbezogene Daten“): Angaben über Betroffene, deren Identität bestimmt oder bestimmbar ist; „nur indirekt personenbezogen“ sind Daten für einen Auftraggeber, Dienstleister oder Empfänger einer Übermittlung dann, wenn der Personenbezug der Daten derart ist, dass dieser Auftraggeber, Dienstleister oder Übermittlungsempfänger die Identität des Betroffenen mit rechtlich zulässigen Mitteln nicht bestimmen kann

1. Begrifflichkeiten - Pseudonymisierung DSGVO DSG 2000 "Pseudonymisierung" die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden „nur indirekt personenbezogen“ sind Daten für einen Auftraggeber, Dienstleister oder Empfänger einer Übermittlung dann, wenn der Personenbezug der Daten derart ist, dass dieser Auftraggeber, Dienstleister oder Übermittlungsempfänger die Identität des Betroffenen mit rechtlich zulässigen Mitteln nicht bestimmen kann;

1. Begrifflichkeiten - sensible Daten (Artikel 9) DSGVO personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person , Gesundheitsdaten oder Daten zum Sexualleben oder sexuellen Orientierung DSG 2000 „sensible Daten“ („besonders schutzwürdige Daten“): Daten natürlicher Personen über ihre rassische und ethnische Herkunft, politische Meinung, Gewerkschaftszugehörigkeit, religiöse oder philosophische Überzeugung, Gesundheit oder ihr Sexualleben

1. Begrifflichkeiten - Zustimmung DSGVO DSG 2000 „Einwilligung“: jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist; „Zustimmung“: die gültige, insbesondere ohne Zwang abgegebene Willenserklärung des Betroffenen, dass er in Kenntnis der Sachlage für den konkreten Fall in die Verwendung seiner Daten einwilligt

1. Begrifflichkeiten – und noch ein paar Neuerungen DSGVO DSG 2000 Verantwortlicher Auftraggeber Auftragsverarbeiter Dienstleister betroffene Person Betroffene Profiling - - Übermitteln / Überlassen Empfänger, Dritter - Einschränkung der Verarbeitung -

2. Prinzipien rechtmäßiger Verarbeitung (Artikel 5) n Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz n Zweckbindung n Datenminimierung n Richtigkeit n Speicherbegrenzung n Integrität und Vertraulichkeit n Rechenschaftspflicht Vgl §§ 6 ff DSG 2000

Eine Datenverarbeitung ist rechtmäßig wenn (Art 6): § § § der Betroffene zugestimmt hat, die Verarbeitung für die Vertragserfüllung mit den Betroffenen notwendig ist, die Verarbeitung zur Erfüllung einer gesetzlichen Verpflichtung notwendig ist, die Verarbeitung zum Schutz lebensnotwendiger Interessen des Betroffenen oder anderer natürlicher Personen notwendig ist, die Verarbeitung im öffentlichen Interesse liegt oder die Verarbeitung für legitime Zwecke des Verantwortlichen oder eines Dritten notwendig ist Interessenabwägung!

3. Einwilligung (Artikel 4) freiwillig, für den bestimmten Fall, informiert, unmissverständlich Willensbekundung (Checkbox? ) Erklärung oder sonstige eindeutig bestätigende Handlung getrennt von anderen Sachverhalten (AGB? ) jdz Widerrufbarkeit

1. Problem: ist Zustimmung noch freiwillig, wenn die Vertragserfüllung (Leistung) von der Einwilligung zu einer Datenverarbeitung abhängig gemacht wird, die für die Vertragserfüllung selbst nicht erforderlich ist? (Freeware, Werbedienste, …? ) 2. Problem: Einwilligung eines Kindes im Internet

4. Betroffenenrechte n Art 12 n Art 13 n Art 14 n n n Art Art Art n n Art 20 Art 21 15 16 17 18 19 Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden Auskunftsrecht Recht auf Berichtigung Recht auf Löschung ("Recht auf Vergessenwerden") Recht auf Einschränkung der Verarbeitung Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung Recht auf Datenübertragbarkeit Widerspruchsrecht

4. Betroffenenrechte - Informationspflichten DSGVO ü ü ü ü Namen und Kontaktdaten des Verantwortlichen Namen und Kontaktdaten Datenschutzbeauftragter Verarbeitungszwecke und Rechtsgrundlagen berechtigte Interessen Empfängerkategorien Daten an ein Drittland: Vorhandensein Angemessenheitsbeschluss, geeigneter oder angemessener Garantien und Zugang hierzu Dauer der Datenspeicherung oder Kriterien zur Festlegung der Dauer Betroffenenrechte Widerrufsmöglichkeit der gegebenen Einwilligung Beschwerdemöglichkeit ob Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob Verpflichtung der Betroffenen zur Bereitstellung besteht oder aus welcher Quelle die Daten stammen, wenn die Daten nicht beim Betroffenen erhoben wurden automatisierte Entscheidungsfindung, inkl Logik und Tragweite andere Zwecke der Verarbeitung und alle anderen maßgeblichen Informationen Vgl §§ 23, 24 DSG 2000 ü nicht-meldepflichtige Datenanwendungen ü Zweck, Name und Adresse des Auftraggebers ü weitergehende Informationen nach Treu & Glauben ü data breach notification ü DVR Nummer und Identität eines involvierten Dritten

DSGVO DSG 2000 Zeitpunkt: zum Zeitpunkt der Erhebung / innerhalb angemessener Frist, wenn Daten von Dritten erhoben wurden (max 1 Mon) Zeitpunkt: DVR Nummern bei Übermittlung, Standardanwendung auf Nachfrage, ansonsten aus Anlass der Datenanwendung Ausnahme: wenn die betroffene Person die Information bereits hat, wenn die Speicherung oder Offenlegung der personenbezogenen Daten ausdrücklich durch Rechtsvorschriften geregelt ist oder wenn sich die Unterrichtung der betroffenen Person unmöglich oder mit unverhältnismäßig hohem Aufwand verbunden ist. Ausnahme: Betroffene haben Daten bereits

4. Betroffenenrechte - Auskunftsrecht DSGVO ü ü ü ü ü Verarbeitungszwecke Kategorien personenbezogener Daten Empfänger Dauer der Datenspeicherung oder Kriterien zur Festlegung der Dauer sonstige Betroffenenrechte Beschwerderecht alle verfügbaren Informationen über die Herkunft der Daten automatisierte Entscheidungsfindung, inkl Logik und Tragweite geeigneten Garantien bei Übermittlung an Drittland Vgl § 26 DSG 2000 ü verarbeiteten Daten ü Informationen über Datenherkunft ü Empfänger ü Zweck der Datenverwendung ü Rechtsgrundlagen ü Namen und Adressen von Dienstleistern oder ü Negativauskunft

DSGVO DSG 2000 formlos schriftliches Begehren Identitätsnachweis bei begründeten Zweifeln Identitätsnachweis durch Betroffenen „in geeigneter Form“ Frist: max 1 Mon (verlängerbar auf max 2 Mon) Frist: max 8 Wochen

4. Betroffenenrechte - Recht auf Berichtigung Vgl § 27 DSG 2000 n Sollten Daten ungenau oder unrichtig sein, so hat der Betroffene das Recht auf Richtigstellung, bzw Ergänzung unvollständiger Datensätze n Neu: § § § kein Formzwang Identitätsnachweis bei begründeten Zweifeln Frist: max 1 Mon (2 Mon)

4. Betroffenenrechte - Recht auf Vergessenwerden n Daten sind zu löschen: § § § Vgl § 26 DSG 2000 wenn diese für die Zwecke der Datenverarbeitung nicht mehr notwendig sind, wenn der Betroffene seine Zustimmung widerrufen hat oder generell widersprochen hat, wenn Daten unrechtmäßig verarbeitet wurden, wenn Löschung zur Erfüllung einer rechtlichen Verpflichtung notwendig ist, wenn Daten von einem Kind im Internet erhoben wurden. n Neu: § § kein Formzwang, Frist 1 Mon (2 Mon), Identitätsnachweis bei begründeten Zweifeln Recht auf Vergessen werden im Onlinekontext

4. Betroffenenrechte - Recht auf Einschränkung NEU! vgl aber auch § 27 Abs 7 DSG 2000! n für die Dauer der Überprüfung der Richtigkeit, n wenn der Betroffene statt Löschung Einschränkung wählt n wenn der Verantwortliche Daten nicht mehr benötigt, der Betroffene sie aber zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt, n für die Dauer der Überprüfung eines Widerspruchbegehrens Infopflicht ggü Betroffenen, wenn Einschränkung wieder aufgehoben wird!

4. Betroffenenrechte - Mitteilungspflicht NEU! vgl aber § 27 Abs 8 DSG 2000! n an alle Empfänger, denen personenbezogenen Daten offengelegt wurden n wenn Berichtigung, Löschung oder Einschränkung der Verarbeitung durchgeführt wurde n außer: unmöglich oder mit unverhältnismäßigem Aufwand n Infopflicht an Betroffene auf Verlangen

4. Betroffenenrechte - Recht auf Datenübertragbarkeit NEU! n Recht auf Erhalt der Daten n Recht auf Übermittlung der Daten an anderen Verantwortlichen (direkt, wenn „technisch machbar“) n im strukturierten, gängigen und maschinenlesbaren Format n wenn Datenanwendung aufgrund: § § § einer Einwilligung oder eines Vertrages zwischen Verantwortlichen und Betroffenen erfolgte und Verarbeitung mithilfe automatisierter Verfahren erfolgte.

4. Betroffenenrechte - Widerspruchsrecht n n Vgl § 28 DSG 2000 „aus Gründen, die sich aus ihrer besonderen Situation ergeben“ Widerspruch ist Folge zu leisten, außer: § der Verantwortliche kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, § die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder § die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Direktwerbung/ Profiling: jdz Widerspruch möglich Infopflicht des Verantwortlichen: zum Zeitpunkt der ersten Kommunikation sind Betroffene in einer verständlichen und von anderen Informationen getrennten Form über dieses Widerspruchsrecht zu informieren

5. Haftung NEU! n privacy by design / privacy by default (Art 25): § § durch Technikgestaltung und Voreinstellungen sollen nur jene Daten verarbeitet werden, die für den konkreten Anwendungsfall notwendig sind, dazu sind geeignete technische und organisatorische Maßnahmen zu implementieren (z. B Pseudonymisierung) Datenschutzgarantien müssen schon in der ersten Entwicklungsphase „eingebaut“ werden Berücksichtigung des Stands der Technik, Implementierungskosten, Art/ Umfang/ Umstände und Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten

5. Haftung - Auftragsverarbeiter (Art 28) n schriftlicher (auch „electronic“) Dienstleistervertrag (von der EK oder Aufsichtsbehörde bereitzustellen): § § § n n n n großteils NEU, aber vgl auch § 11 DSG 2000 Bindung an Verantwortlichen Gegenstand und Dauer der Verarbeitung Art und Zweck der Verarbeitung, Art der personenbezogenen Daten, Kategorien betroffener Personen und Pflichten und Rechte des Verantwortlichen Verpflichtung zur Implementierung von Sicherheitsmaßnahmen technisch und organisatorisch Verantwortlichen bei Betroffenenrechte unterstützen Pflicht zur Führung eines Verzeichnis von Verarbeitungstätigkeiten Verpflichtung zur Risikoabschätzung ggf Verpflichtung zur Benennung eines DSB AV haftet ebenfalls für Nichteinhaltung von Bestimmungen Warnpflicht ggü Verantwortlichem

6. Aufzeichnungspflichten (Art 30) n n NEU! Vgl aber §§ 14, 50 b DSG 2000 Aufzeichnungspflichten für AV und Verantwortlichen Inhalt der Verzeichnispflichten für Verarbeitungstätigkeiten äußerst weitreichend! Aufzeichnungen haben schriftlich oder elektronisch zu erfolgen ausgehöhlte Ausnahme für KMU (= Unternehmen mit weniger als 250 Mitarbeitern) Ausnahme von der Ausnahme: 1. 2. 3. 4. Risiko für die Rechte und Freiheiten der betroffenen Personen Verarbeitung erfolgt nicht nur gelegentlich Verarbeitung besonderer Datenkategorien (= sensible Daten) Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten

7. Datensicherheit (Art 32) Vgl § 14 DSG 2000 n geeignete technische und organisatorische Maßnahmen n „state of the art“: Berücksichtigung des Stands der Technik, Implementierungskosten, Art/ Umfang/ Umstände und Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten Pseudonymisierung und Verschlüsselung Sicherstellung Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste Wiederherstellung der Fähigkeit, Verfügbarkeit und Zugang regelmäßigen Überprüfung, Bewertung und Evaluierung Zugang nur für Befugte

n Verpflichtung des Verantwortlichen bei Datenmissbrauch die Aufsichtsbehörde inhaltlich ohne unnötige Verzögerung zu informieren (Art 33) § § n spätestens innerhalb von 72 h nachdem ihm die Verletzung bekannt wurde sofern nicht möglich, muss eine Begründung, weshalb die Frist nicht eingehalten werden konnte, mitgeliefert werden Ausnahme: gilt nicht, sofern die Panne wahrscheinlich kein Risiko für die Rechte und Freiheiten der Betroffenen darstellt jedenfalls muss er die Verletzung, die Auswirkungen und Abhilfemaßnahmen dokumentieren Verpflichtung des AV zur Meldung an den Verantwortlichen NEU!

8. Entfall der Meldeverpflichtungen vs - Folgenabschätzung (Art 35) NEU! allgemeine Risikoeinschätzung wahrscheinlich hohes Risiko Datenschutz. Folgenabschätzung 31

8. Entfall der Meldeverpflichtungen vs - doch vorherige Konsultation? (Art 36) NEU? Datenschutz. Folgenabschätzung wahrscheinlich hohes Risiko vorherige Konsultation der Aufsichtsbehörde 32 Entscheidung innerhalb von 8 Wochen (+ 6 W)

9. Datenschutzbeauftragter (DSB, Art 37 ff) NEU! n n n Verpflichtung sowohl für Verantwortlichen als auch AV verpflichtend für Behörde oder öffentlichen Stelle und für Unternehmen, § § deren Kerntätigkeit aus Datenverarbeitung besteht, welche eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen beinhaltet oder deren Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten beinhaltet.

n n keine spezielle Haftung angeordnet, aber mögliche Haftung als „verantwortlicher Beauftragter? (§ 9 VSt. G) Kenntnisse, praktische Erfahrung im Datenschutzbeauftragte handelt unabhängig und weisungsfrei Mitarbeiter/ freier Mitarbeiter/ Dienstleister ABER: kein Interessenkonflikt n n Einbindung im Betrieb, berichtet unmittelbar der höchsten Managementebene keine Abberufung/ Benachteiligung wegen Aufgabenerfüllung Unterstützung durchs Unternehmen (Ressourcen, Fortbildung, …) Aufgaben: § § § Unterrichtung und Beratung, Anlaufstelle Überwachung Zusammenarbeit mit der Aufsichtsbehörde

10. grenzüberschreitende Datenverarbeitung (Art 44 ff) Vgl §§ 12, 13 DSG 2000 Grundsatz: Schutzniveau der Verordnung ist jedenfalls einzuhalten Datenübermittlung auf der Grundlage eines Angemessen -heitsbeschlusses Datenübermittlung vorbehaltlich geeigneter Garantien Ausnahmen für bestimmte Fälle 35

11. Beschwerderechte - Verfahren Vgl §§ 31 ff DSG 2000 n Parallelverfahren (Art 77 und 78): Beschwerde sowohl vor den Aufsichtsbehörden als auch vor Gerichten möglich n Verbandsklagebefugnis (Art 80) für non-profit Organisationen n Schadenersatz (Art 82) sowohl für materiellen als auch immateriellen Schaden § § Solidarhaftung im Falle mehrerer Schädiger Achtung: Verantwortlichkeit des DL 36

12. Strafen Vgl §§ 52 DSG 2000 n zusätzlich zu den weitgehenden Ermittlungs-, Straf- sowie Beratungs- und Konsultationsrechten der Aufsichtsbehörde kann sie auch Verwaltungsstrafen (Art 83 ff) festlegen. n Strafen können im schlechtesten Fall bis zu 20 Millionen oder 4% des Jahresumsatzes weltweit betragen, je nach dem was sich als höher herausstellt n zusätzlich können MS weitere Vorschriften über wirksame, verhältnismäßige und abschreckende Sanktionen für Verstöße festlegen 37

Was Sie nun tun sollten… KEINE PANIK! Durchatmen, sacken lassen Datenanwendungen im Unternehmen in Ruhe prüfen und einschätzen und bei Fragen…

Vielen Dank für Ihre Aufmerksamkeit.