Vorbereitung auf die Datenschutzgrundverordnung

Die europäische Datenschutzgrundverordnung (DSGVO) ist in aller Munde, immerhin gilt sie ab Mai 2018 und mit ihr auch die stark verschärften Strafdrohungen. [...]

Bei Verstößen drohen Geldbußen von bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen EUR (je nachdem, welche Betrag der höhere ist).

Die DSGVO ist zwar unmittelbar anwendbar und muss nicht erst durch die EU-Mitgliedstaaten in ihr jeweiliges nationales Recht gegossen werden, doch enthält sie zahlreiche „Öffnungsklauseln“, die den Mitgliedstaaten Gestaltungsfreiheiten in einzelnen Bereichen ermöglichen.

Der Deutsche Bundestag beschloss bereits Ende April 2017 die Novellierung des (deutschen) Datenschutzrechtes zur Konkretisierung dieser Gestaltungsfreiräume. Hierzulande wird das „Datenschutz-Anpassungsgesetz“ gleichzeitig mit der europäischen DSGVO in Kraft treten.

Demnach ergeben sich beispielhaft folgende Änderungen:

•    Mit der DSGVO wird die bisherige österreichische Verpflichtung zur Erstattung von Meldungen an das Datenverarbeitungsregister (DVR) entfallen. Das DVR wird noch bis zum 31.12.2019 nur für Archivzwecke fortgeführt. Die bisherige „Standard- und Muster-Verordnung“, welche für einzelne, häufig anzutreffende Datenverarbeitungen  Ausnahmen von der Meldepflicht an das DVR vorsah, wird damit überflüssig und daher außer Kraft gesetzt.

•    Eine betroffene Person wird künftig das Recht haben, einen Verband zu beauftragen, in ihrem Namen eine Beschwerde einzureichen oder etwa Schadenersatz geltend zu machen. Eine ausgedehnte Verbandsklagebefugnis, wie diese im Vorfeld des Datenschutz-Anpassungsgesetzes 2018 diskutiert wurde, wird es aber nicht geben.

•    Klargestellt wurde, dass Geldbußen auch gegen juristische Personen (z.B. gegen eine GmbH oder AG) verhängt werden können. Von der Bestrafung der natürlichen Person (etwa eines Geschäftsführers oder eines anderen Verantwortlichen) wird umgekehrt abzusehen sein, wenn für denselben Verstoß bereits eine Verwaltungsstrafe gegen die juristische Person verhängt wird und keine besonderen Umstände die Bestrafung auch der natürlichen Person erfordern.

Mit dem Datenschutz-Anpassungsgesetz 2018 hat auch der österreichische Gesetzgeber seinen Input zur europäischen Datenschutzgrundverordnung geliefert. Innerbetrieblich müssen nun rasch Maßnahmen zur Datenschutz-Compliance gesetzt werden.
*Der Autor Andreas Schütz ist Partner bei Taylor Wessing in Wien.