Als Mitglied des Vereins für Datenschutz und IT-Sicherheit konnte ich am vergangenen Samstag dem 7.10.2017 auf der Sicherheitsmesse im Design Center in Linz (OÖ) auf der Bühne vortragen. Da das Ganze als Interview stattfand, habe ich letztlich die vorbereiteten Folien nicht benötigt. Hier möchte ich diese aber trotzdem gerne online stellen. Konkret drehte sich der Vortrag um die kommende Datenschutzgrundverordnung und die Möglichkeiten in der Praxis bzw im Alltag.

1. Sicherheitsmesse
DSGVO – Infos & Praxis
RA Mag. Michael Lanzinger

2. Magister Who?
RA Magister Michael Lanzinger
office@kanzlei-lanzinger.at
www.rechtsanwalt-lanzinger.at
Seit 01.10.2011 externer Lektor an der UNI Linz & Uni Graz
LVAs im Bereich Zivil- & Internetrecht
Seit 01.02.2014 WiFi-Trainer
Seit 01.07.2016 selbständiger Rechtsanwalt in Wels (OÖ) mit
Schwerpunkt im IT- und Urheberrecht
Seit 01.05.2017 Senior Berater bei O.P.P.-Beratungsgruppe
(Datenschutz)

3. Datenschutzrecht (derzeit)

4. DSG 2000
Grundrecht auf Datenschutz
• § 1 Abs 1 DSG regelt das Grundrecht auf Datenschutz
inhaltlich (Verfassungsbestimmung)
– Jeder hat Anspruch auf Geheimhaltung seiner Daten,
insbesondere hinsichtlich Privat- & Familienleben
– Es muss hierfür ein schutzwürdiges Interesse bestehen, dies ist
zB nicht gegeben, wenn Daten anonym sind
– Abs 2 regelt die Möglichkeit der Beschränkung des
Grundrechtes durch den Gesetzgeber (zB wegen Schutz der
Menschenrechte)
• §§ 2 f DSG regeln Zuständigkeit & Anwendungsbereich

5. DSG 2000
Verwendung von Daten
• §§ 6 ff DSG regeln die Verwendung von Daten
– Datenverwendung nur nach dem Gesetz, zu eindeutigen
Zwecken und nur im Rahmen des Notwendigen
– Geheimhaltungsinteressen des Betroffenen sind zu wahren
– Auftraggeber muss über die entsprechenden Befugnisse zur
Verarbeitung verfügen
• §§ 8 f DSG regelt überdies das Geheimhaltungsinteresse
bei sensiblen & nicht-sensiblen Daten

6. DSG 2000
Verwendung von Daten
• Geheimhaltungsinteresse bei sensiblen & nicht-
sensiblen Daten liegt insbesondere nicht vor, wenn der
Betroffene sie selbst öffentlich macht (vgl. Soziale
Netzwerke) oder sie ihm nicht zugeordnet werden
können
• Kein Verletzung des Interesses außerdem, wenn
Verarbeitung lebensnotwendig ist und Zustimmung nicht
rechtzeitig eingeholt werden kann (zB
Gesundheitsdaten)

7. DSG 2000
Datensicherheit
• §§ 14 ff DSG regeln die Datensicherheit
– Der Datenverwender bzw Dienstleister hat die Daten nach dem
technisch und wissenschaftlich aktuellen Stand zu sichern und
vor Zugriffen (Hacks) zu schützen
– Schutz etwa durch Zugriffsberechtigungen, Programme und
Protokollierung der Zugriffe
• Überdies unterliegen der Datenverwender und dessen
Mitarbeiter nach § 15 DSG dem Datengeheimnis

8. DSG 2000
Rechte des Betroffenen
• §§ 26 ff DSG regeln die Rechte des von
Datenanwendungen Betroffenen
– Jedem Betroffenen kommt ein Auskunftsrecht zu, wenn diese
schriftlich verlangt wird und der Betroffene seine Identität
nachweisen kann
– Ausgenommen sind Auskünfte die im überwiegenden Interesse
geheim gehalten werden müssen (zB Bundesheer) oder die
Geheimhaltung dem Schutz des Betroffenen selbst dient
– Weiters kann jeder Betroffene seine verarbeiteten Daten löschen
und/oder richtigstellen bzw aktualisieren lassen

9. Datenschutzrecht (bald)

10. DatenschutzgrundVO
Gemeinschaftsrecht im Datenschutz
• EU-VO 2016/679 vom 27.4.2016 zum Schutz der
Verarbeitung personenbezogener Daten und zum freien
Datenverkehr
• Gilt ab 25. Mai 2018 direkt und unmittelbar (auch) in
Österreich

11. DatenschutzgrundVO
Was ändert sich?
• Recht auf Vergessenwerden
– Erweiterung des Löschungsanspruches
– ‚Weitergabe‘ des Wunsches auf Löschung durch
Datenverarbeiter
• Datenportabilität = gewünschte Datenweitergabe in
strukturierter Form (zB bei Bankwechsel)
• Profiling = ‚Persönlichkeitsbewertung‘
– Besondere Auskunftspflicht auch über technische Aspekte
– Besonderes Widerspruchsrecht des Betroffenen

12. DatenschutzgrundVO
Was ändert sich?
• Privacy by Design/by Default = Verarbeitung möglichst
weniger Daten als ‚Grundeinstellung‘
• Data Breach Notification Duty
– Meldung bei Schutzverletzung an die Aufsichtsbehörde binnen
72 Stunden
– Pflicht zur umfassenden Erteilung von Informationen zur
Verletzung
• Datenschutz-Folgenabschätzung = Verarbeiter muss die
Folgen der Daten-Verarbeitung für die Zukunft
einschätzen

13. DatenschutzgrundVO
Was ändert sich?
• Datenschutzbeauftragter
– Bei Datenverarbeitung durch Behörden/öffentliche Stellen
– Bei umfangreicher, regelmäßiger Beobachtung von Personen als
Kerntätigkeit
– Bei Verarbeitung von sensiblen Daten als Kerntätigkeit
• Behördliches On-Stop-Shop-Prinzip
• Höhere Strafen
– Bußgelder: 4% globaler Jahresumsatz oder bis € 20 Mio.
– Betroffene kann sich an Behörde oder Gericht wenden

14. Datenschutzrecht (praktisch)

15. Im Unternehmen
Was kann man gleich tun?
• Clean Desk Policy
– MitarbeiterInnen auf ‚analogen Datenschutz‘ schulen
– Keine sensiblen Dokumente frei zugänglich am Arbeitsplatz
– Computer/Smartphones/Tablets sperren
• Security Policy
– ‚lebendes Dokument‘ welches Unternehmenspolitik zum
Datenschutz & IT-Sicherheit abbildet
– zB Grundsätze zur Passwortvergabe, Umgang mit Devices im
Außendienst, Verwendung von privaten Devices

16. Im Unternehmen
Was kann man gleich tun?
• Datenschutzerklärung – Warum?
– Bei Websites relevant
– Va Cookie-Erklärung nach TKG gefordert
– Weiters: Impressumspflichten nach ECG
• Datenschutzerklärung - Inhaltlich
– Wer verarbeitet die Daten/erfolgt eine Weitergabe?
– Welche Daten werden wie/zu welchem Zweck verarbeitet?
– Welche Cookies/Plugins werden verwendet?
– Wo kann ich mich über meine Daten informieren bzw diese
löschen lassen?

17. DAVITS
Verein für Datenschutz und IT-Sicherheit
• https://www.davits.eu/
• https://www.facebook.com/davits.eu/

18. Credits
Vielen Dank!
office@kanzlei-lanzinger.at