Recht auf informationelle Selbstbestimmung

Dieses Recht bedeutet, dass der Einzelne das Recht hat über die Verwendung seiner Daten selbst zu bestimmen.

Schutz personenbezogener Daten

Der Schutz von personenbezogenen Daten ist nach Art. 8 der EU-Grundrechtecharta geschützt:

(1)   Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten.

(2)   Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken.

(3)   Die Einhaltung dieser Vorschriften wird von einer unabhängigen Stelle überwacht.

 Din der Europäischen Union wurde 2018 der Datenschutz in der Datenschutz Grundverordnung (DSGVO) einheitlich neu geregelt. In einem DigiTalk stellten Mag. Raffling und Alfons Parovszky die neue Datenschutzgrundverordnung vor:  

Wesentliche Neuerungen der Datenschutz-Grundverordnung

• Keine Meldepflicht mehr an das Datenverarbeitungsregister (DVR)
• Weitreichende Neuregelung der Pflichten für Datenverarbeiter:
  • Privacy by default:
    Durch technische und organisatorische Maßnahmen und Voreinstellungen ist sicherzustellen, dass nur personenbezogene Daten verarbeitet werden, die auch tatsächlich benötigt werden und Rechte der verarbeitenden Personen geschützt werden.
  • Verzeichnis für Verarbeitungstätigkeiten:
    Die Verarbeitungstätigkeiten müssen detailliert beschrieben und in einem Verzeichnis von Verantwortlichen und Verarbeitern dokumentiert werden. Dieses Verzeichnis entspricht in etwa den früheren Meldungen an das DVR.
    Das Verzeichnis muss von Unternehmen unter 250 Mitarbeitern nur dann nicht geführt werden, wenn die Verarbeitung nachweislich kein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt. Eine diesbezügliche Analyse ist daher auf jeden Fall zu erstellen.
  • Meldung von Verletzungen des Schutzes personenbezogener Daten:
    Etwaige Verletzungen, Dateneinbrüche etc. müssen den lokalen Behörden unumgänglich – bis spätestens innerhalb 72 Stunden nach der Verletzung – gemeldet werden.
  • Pflicht zur Datenschutz-Folgenabschätzung:
    Beim Einsatz neuer Technologien ist eine Datenschutz-Folgeabschätzung zu erstellen, wenn ein hohes Risiko für Rechte und Freiheiten natürlicher Personen besteht und Verpflichtung zur Konsultation der Aufsichtsbehörde, wenn davon ausgegangen werden kann, dass ein hohes Risiko besteht.
  • Verpflichtender Datenschutzbeauftragter:
    Erfolgt eine umfangreiche, regemäßige und systematische Beobachtung von Personen oder werden besondere Kategorien von Daten verarbeitet, so muss ein verantwortlicher Datenschutzbeauftragter bestellt werden.
• Rechte für Betroffene:
  • Betroffene sind innerhalb eines Monats zu informieren
  • Auskunftsrechte
  • Recht auf Berichtigung
  • Recht auf Löschung
  • Recht auf Einschränkung der Verarbeitung
  • Recht auf Datenübertragbarkeit
  • Widerspruchsrecht
• Befugnisse der Behörde:
  • Die Befugnisse der Aufsichtsbehörden werden erweitert.
  • Bei Vergehen gegen die DSGVO drohen extrem hohe Strafen. Während bei administrativen Verstößen bis zu zehn Millionen Euro (oder zwei Prozent des globalen Umsatzes) fällig werden, können bei grundsätzlichen ethischen Vergehen Strafen bis zu zwanzig Millionen Euro (oder vier Prozent des globalen Umsatzes) verhängt werden.

Anwendung des Datenschutzes

 In Österreich und in der EU sind die Datenschutzregeln grundsätzlich recht gut. Das Problem, das jedoch besteht, ist, dass sich große Konzerne oft nicht an diese geltenden Regeln halten. Ein gutes Beispiel dafür ist der Kampf von Max Schrems in Europe vs. Facebook. Max hat nachgewiesen, dass sich Facebook in unterschiedlichsten Bereichen nicht an die geltenden Gesetze hält. Die für die Causa zuständige Datenschutzbehörde ist Irland, da Facebook dort seinen europäischen Hauptsitz hat (wie viele IT Unternehmen aus steuerlichen Gründen). Die Datenschutzbehörde in Irland ist so klein, dass sie personell nicht einmal in der Lage ist Gesetzesverletzungen nachzugehen.

Max Schrems hat daher mehrmals vor dem EuGH geklagt und damit sowohl das Safe Harbour Agreement als auch den Privacy Shield Abkommen, welche den Datenaustausch mit den USA geregelt haben gekippt.