Der neue Taschenkommentar zum DSG "Pollirer/Weiss/Knyrim" wird zwar eine "extralight" Version des existierenden Loseblatt-Großkommentars Dohr/Pollirer/Weiss/Knyrim, die Neuerungen der DSG-Novelle 2010 sind aber schwerpunktmäßig kommentiert. Mir sind zB alleine zur neuen Daten Breach Notification Duty in § 24 Abs 2a an bloß einem Abend gleich 20 (!) Fußnoten zu diesen zwei Sätzen eingefallen, denn fast jedes Wort in diesen wirft Fragen auf.
Ab März 2010 im Handel! www.manz.at
Mittwoch, 17. Februar 2010
DSG-Novelle auf biblisch
Für diejenigen, die es zum Halbtagsseminar zur DSG-Novelle am 24. Februar einfach nicht schaffen (Gott steh' ihnen bei) habe ich mir in Sinai etwas ganz besonders skurriles einfallen lassen: DSG-Novelle in kurz gefasster biblischer Gebotsform. Das liegt, Sie werden verblüfft sein, an der revolutionären Mobilfunktechnologie des 21. Jahrhunderts: Um EUR 1,49 habe ich mir vor dem Urlaub in Ägypten noch schnell am Flughafen die Bibel im Volltext als Applikation auf mein neues iPhone heruntergeladen und es ist recht unterhaltsam, in dieser hin und wieder zwischendurch zu "surfen".
Auch der Wetterbericht in der Bibel für das Gebiet um den Sinai ist beeindruckend: Der ganze Sinai war in Rauch gehüllt, denn der Herr war im Feuer auf ihn herabgestiegen. (Buch Exodus, 19, 18.) Am dritten Tag, im Morgenrauen, begann es zu donnern und zu blitzen. Schwere Wolken lagen über dem Berg. (Exodus, 19, 16.)
Die wichtigsten Gebote der DSG-Novelle 2010 (nur der Novelle, nicht des gesamten DSG!) sind meines Erachtens folgende, die ich an verschiedene Bibelzitate angelehnt habe. (Bitte entschuldigen sie den Tonfall, aber die Bibel, insbes. das Alte Testament ist nicht gerade zimperlich in seiner Ausdrucksweise):
1. Das Wort bleibt Gott.
(Nach Joh. 1.,1.: "Im Anfang war das Wort/und das Wort war bei Gott/und das Wort war Gott": Die ursprünglich geplante Abschaffung der verfassungsrechtlichen Verankerung der Unabhängigkeit der Datenschutzkommission blieb zum Glück mit der Novelle aus).
2. Das Wort wird doch nicht Fleisch.
(In Umkehr von Joh. 1., 14: "Und das Wort ist Fleisch geworden": Die geplante Einführung der betrieblichen Datenschutzbeauftragte als innerbetriebliche Datenschutzstelle wurde nicht durchgeführt).
3. Geht in Eure Stadt und lasst Euch eintragen.
(Nach Lukas 2, 3: "Da ging jeder in seine Stadt, um sich eintragen zu lassen: Die DVR-Meldepflicht bleibt und die Überprüfung derselben wird etwa in § 22a noch verstärkt).
4. Du sollst an Gottes glauben (und an seine Wundermaschine).
(§ 17 Abs 1a führt das neue vollautomatische und vollelektronische Meldeverfahren ein. Da ist viel Glaube an die Technik nötig, dass das wie geplant bis 1.1.2012 funktioniert..).
5. Du sollst dir kein Gottesbild machen, außer ich genehmige es.
(Nach Buch Exodus 20, 4.: "Du sollst dir kein Gottesbild machen und keine Darstellung von irgendetwas am Himmel droben, auf der Erde unten oder im Wasser unter der Erde": In den § 50a ff wird die Videoaufzeichnung erstmals gesetzlich geregelt. Die Vorabgenehmigungspflicht für Videoaufzeichnungen besteht weiter).
6. Noch eine Plage schicke ich dem Pharao.
(Exodus 11, 1. Als zweites Land der EU führt Österreich eine sog. "Data Breach Notification Duty" ein, eine Informationspflicht bei Datenmißbrauch. Nach § 24 Abs 2a sind die Betroffenen bei Mißbrauch ihrer Daten vom Auftraggeber in geeigneter Form zu informieren, etwa durch persönliches Anschreiben oder Einschaltung in den Medien.
7. Die Furcht vor Gott soll über Euch kommen, damit ihr nicht sündigt.
(Exodus 20, 20. Die Strafen im DSG wurden auf EUR 25.000,-- Maximalstrafe angehoben, zusätzlich wurde in § 52 Abs 2a eine neue Strafe von max. EUR 500,-- für Nichtbeachtung der Auskunfts-, Richtigstellungs- und Löschungspflichten eingeführt. Die Kompetenz der DSK wird an mehreren Stellen verstärkt.)
Daher: Wie lange wollt ihr euch noch weigern, meine Gebote und Weisungen zu befolgen? (Exodus, 16, 27.).
Auch der Wetterbericht in der Bibel für das Gebiet um den Sinai ist beeindruckend: Der ganze Sinai war in Rauch gehüllt, denn der Herr war im Feuer auf ihn herabgestiegen. (Buch Exodus, 19, 18.) Am dritten Tag, im Morgenrauen, begann es zu donnern und zu blitzen. Schwere Wolken lagen über dem Berg. (Exodus, 19, 16.)
Die wichtigsten Gebote der DSG-Novelle 2010 (nur der Novelle, nicht des gesamten DSG!) sind meines Erachtens folgende, die ich an verschiedene Bibelzitate angelehnt habe. (Bitte entschuldigen sie den Tonfall, aber die Bibel, insbes. das Alte Testament ist nicht gerade zimperlich in seiner Ausdrucksweise):
1. Das Wort bleibt Gott.
(Nach Joh. 1.,1.: "Im Anfang war das Wort/und das Wort war bei Gott/und das Wort war Gott": Die ursprünglich geplante Abschaffung der verfassungsrechtlichen Verankerung der Unabhängigkeit der Datenschutzkommission blieb zum Glück mit der Novelle aus).
2. Das Wort wird doch nicht Fleisch.
(In Umkehr von Joh. 1., 14: "Und das Wort ist Fleisch geworden": Die geplante Einführung der betrieblichen Datenschutzbeauftragte als innerbetriebliche Datenschutzstelle wurde nicht durchgeführt).
3. Geht in Eure Stadt und lasst Euch eintragen.
(Nach Lukas 2, 3: "Da ging jeder in seine Stadt, um sich eintragen zu lassen: Die DVR-Meldepflicht bleibt und die Überprüfung derselben wird etwa in § 22a noch verstärkt).
4. Du sollst an Gottes glauben (und an seine Wundermaschine).
(§ 17 Abs 1a führt das neue vollautomatische und vollelektronische Meldeverfahren ein. Da ist viel Glaube an die Technik nötig, dass das wie geplant bis 1.1.2012 funktioniert..).
5. Du sollst dir kein Gottesbild machen, außer ich genehmige es.
(Nach Buch Exodus 20, 4.: "Du sollst dir kein Gottesbild machen und keine Darstellung von irgendetwas am Himmel droben, auf der Erde unten oder im Wasser unter der Erde": In den § 50a ff wird die Videoaufzeichnung erstmals gesetzlich geregelt. Die Vorabgenehmigungspflicht für Videoaufzeichnungen besteht weiter).
6. Noch eine Plage schicke ich dem Pharao.
(Exodus 11, 1. Als zweites Land der EU führt Österreich eine sog. "Data Breach Notification Duty" ein, eine Informationspflicht bei Datenmißbrauch. Nach § 24 Abs 2a sind die Betroffenen bei Mißbrauch ihrer Daten vom Auftraggeber in geeigneter Form zu informieren, etwa durch persönliches Anschreiben oder Einschaltung in den Medien.
7. Die Furcht vor Gott soll über Euch kommen, damit ihr nicht sündigt.
(Exodus 20, 20. Die Strafen im DSG wurden auf EUR 25.000,-- Maximalstrafe angehoben, zusätzlich wurde in § 52 Abs 2a eine neue Strafe von max. EUR 500,-- für Nichtbeachtung der Auskunfts-, Richtigstellungs- und Löschungspflichten eingeführt. Die Kompetenz der DSK wird an mehreren Stellen verstärkt.)
Daher: Wie lange wollt ihr euch noch weigern, meine Gebote und Weisungen zu befolgen? (Exodus, 16, 27.).
Buch über eRechnung
Mag. Ing. Markus Oman (O.P.P. Beratung) und Mag. Groschedl (Bundesministerium für Finanzen), mit denen ich regelmäßig das Seminar "IT-Recht" bei Confare veranstalte, haben gemeinsam ein Buch zur elektronischen Rechnungslegung inklusive Exkurs zur eArchivierung geschrieben, dass ich Ihnen nicht vorenthalten möchte:
"eRECHNUNG – DIE AUF ELEKTRONISCHEM WEG ÜBERMITTELTE RECHNUNG. Notwendigkeit – Umsetzung – Nutzen"
Das Buch ist im Verlag Österreich (ISBN 978-3-7046-5438-0) erschienen und wird immer mehr zur Pflichtlektüre, je mehr Unternehmen auf elektronische Rechnung umstellen. Bitte lesen Sie auch den Exkurs zur eArchivierung!
Bestellink: http://opp-beratung.com/service.html
"eRECHNUNG – DIE AUF ELEKTRONISCHEM WEG ÜBERMITTELTE RECHNUNG. Notwendigkeit – Umsetzung – Nutzen"
Das Buch ist im Verlag Österreich (ISBN 978-3-7046-5438-0) erschienen und wird immer mehr zur Pflichtlektüre, je mehr Unternehmen auf elektronische Rechnung umstellen. Bitte lesen Sie auch den Exkurs zur eArchivierung!
Bestellink: http://opp-beratung.com/service.html
Aktuelles, Wissenswertes und Schmankerl zum Datenschutzrecht
- In letzter Zeit bin ich wiederholt darauf angesprochen worden, warum Facebook anscheinend Kontakte aus dem eigenen Adressbuch "hochladet" und anscheinend immer mehr über einen selbst aus seinem eigenen Computer weiß und dies immer mehr auf dem Globus verteilt. Ich bin nicht Facebook und auch nicht der Facebook Helpdesk, antworte ich dann immer. Facebook ist eine tolle Web 2.0 - Applikation, die Menschen miteinander über den ganzen Globus vernetzt. Was viele dabei - wie bei anderen solchen "social webs" - völlig übersehen: Sie bezahlen nichts! Das Angebot ist (vermeintlich) gratis. Wir sollten uns aber erinnern: Nichts im Leben ist gratis und das gilt auch für das Internet (mit Ausnahme meiner Fachartikel auf www.preslmayr.at/datenschutz.php), die sie dort vollkommen Gratis im Volltext downloaden können, ohne sich registrieren zu müssen). Gratisanbote im Internet kosten meistens Daten, nämlich unsere, die weiterverwendet oder weiterverkauft werden. Fakt scheint zu sein, dass Facebook kürzlich seine Privatsphäre-Einstellungen geändert hat und jetzt mehr Daten einsehbar sind. Ich selbst (ja, ich bin auf Facebook und lebe noch!) wurde vor wenigen Tagen von Facebook aufgefordert, meine Einstellungen zu überprüfen und konnte einen Teil wieder auf "alt" zurücksetzen. Sehen Sie Ihre Einstellungen durch und lesen Sie die Datenschutzerklärung von Facebook. Fakt ist auch, dass der Chef von Facebook in einem Interview kürzlich gesagt hat, dass für ihn Privatsphäre nicht mehr zeitgemäß ist: http://www.heise.de/newsticker/meldung/Fuer-den-Facebook-Chef-ist-Privatsphaere-nicht-mehr-zeitgemaess-900367.html
Lesen Sie zur Erheiterung hier diese Zukunftsvision zum Jahreswechsel auf der ORF-Futurezone nach, die die Entwicklung von social Webs karikiert: http://futurezone.orf.at/stories/1634154/
Passend dazu auch: Mehr Scheidungsfälle durch Facebook!: http://futurezone.orf.at/stories/1634592/
Passend auch weiters: Yahoo verwendet jetzt auch "behavioral Advertising", dass man sogar selbst steuern kann, mit dem Ad Interest Manager: http://info.yahoo.com/privacy/us/yahoo/opt_out/targeting/
- Wie bekommen Sie eine kritische Äußerung über sich in einem Onlineforum wieder weg? Mit § 28 Abs 2 DSG! Siehe die E des OLG Linz vom 16.7.2009, Medien und Recht 2009, 306.
- Sie suchen nach einer brauchbaren Überwachungssoftware für Ihre Mitarbeiter, mit der Sie einfach deren Email-Korrespondenz mitlesen können, deren Internetverkehr aufzeichnen können, sämtliche Tastaturanschläge (inkl. Telebanking-Passwörter) speichern können etc. und deren Lizenz maximal EUR 30,-- pro überwachtem Computer kostet? Staff-Cop machts möglich: www.staffcop.com. Bitte lesen Sie vor dem Installieren lediglich § 51 und 52 DSG sowie die verschiedenen Computerstraftatbestände des Strafgesetzbuches durch, die teilweise mehrjährige Freiheitsstrafen vorsehen....
Lesen Sie zur Erheiterung hier diese Zukunftsvision zum Jahreswechsel auf der ORF-Futurezone nach, die die Entwicklung von social Webs karikiert: http://futurezone.orf.at/stories/1634154/
Passend dazu auch: Mehr Scheidungsfälle durch Facebook!: http://futurezone.orf.at/stories/1634592/
Passend auch weiters: Yahoo verwendet jetzt auch "behavioral Advertising", dass man sogar selbst steuern kann, mit dem Ad Interest Manager: http://info.yahoo.com/privacy/us/yahoo/opt_out/targeting/
- Wie bekommen Sie eine kritische Äußerung über sich in einem Onlineforum wieder weg? Mit § 28 Abs 2 DSG! Siehe die E des OLG Linz vom 16.7.2009, Medien und Recht 2009, 306.
- Sie suchen nach einer brauchbaren Überwachungssoftware für Ihre Mitarbeiter, mit der Sie einfach deren Email-Korrespondenz mitlesen können, deren Internetverkehr aufzeichnen können, sämtliche Tastaturanschläge (inkl. Telebanking-Passwörter) speichern können etc. und deren Lizenz maximal EUR 30,-- pro überwachtem Computer kostet? Staff-Cop machts möglich: www.staffcop.com. Bitte lesen Sie vor dem Installieren lediglich § 51 und 52 DSG sowie die verschiedenen Computerstraftatbestände des Strafgesetzbuches durch, die teilweise mehrjährige Freiheitsstrafen vorsehen....
Montag, 14. Dezember 2009
DSG - Novelle 2010 beschlossen, Inkrafttreten am 1. Jänner 2010!
Die Geschichte einer schweren Geburt:
- Es gab einen Novellen-Entwurf 2009 im letzten Sommer, einen Entwurf 2010 diesen Sommer und vor wenigen Wochen landete dann ein plötzlich nochmals - recht originell - adaptierter Text als Regierungsvorlage im Ministerrat. Den Text der Regierungsvorlage finden Sie auf der Parlamentshomepage: http://www.parlament.gv.at/PG/DE/XXIV/I/I_00472/pmh.shtml
- Im Verfassungsausschuss wurden Anfang Dezember ganz kleine Änderungen eingefügt: http://www.parlament.gv.at/PG/DE/XXIV/I/I_00531/fname_173977.pdf
- Am Donnerstag kündigte die Opposition im Parlament an, weiter Verfassungsgesetze bei der Abstimmung zu blockieren. Da der Entwurf der DSG-Novelle einige Verfassungsbestimmungen enthielt, beschlossen die Regierungsparteien kurzerhand, aus dem Entwurf alle vorgesehenen Verfassungsbestimmungen zu entfernen. Wie macht man das?: Mit einem Abänderungsantrag, in dem man schnell alle Verfassungsbestimmungen aufnimmt und beantragt, diese nicht zu beschließen, sondern nur den restlichen Text. Den kopiert man schnell, verteilt ihn in Kopie an alle Abgeordneten (siehe Stempel ganz oben), fertig: http://www.parlament.gv.at/PG/DE/XXIV/AA/AA_00102/imfname_174910.pdf
- Der beschlossene Text dürfte also voraussichtlich Regierungsvorlage wie oben plus Verfassungsausschuss minus Abänderungsantrag sein. Was das genau bedeutet, wird nun in mühevoller Kleinarbeit zusammenzustellen sein. Die erfreuliche Nachricht für Sie: Die Herausgeber des großen Datenschutzkommentars planen, in den nächsten Wochen in Windeseile diese Arbeit für Sie zu tun und bereits Anfang Februar einen brandaktuellen "Pollirer/Weiss/Knyrim, Taschenkommentar zur DSG Novelle 2010" bei Manz erscheinen zu lassen!
- Es gab einen Novellen-Entwurf 2009 im letzten Sommer, einen Entwurf 2010 diesen Sommer und vor wenigen Wochen landete dann ein plötzlich nochmals - recht originell - adaptierter Text als Regierungsvorlage im Ministerrat. Den Text der Regierungsvorlage finden Sie auf der Parlamentshomepage: http://www.parlament.gv.at/PG/DE/XXIV/I/I_00472/pmh.shtml
- Im Verfassungsausschuss wurden Anfang Dezember ganz kleine Änderungen eingefügt: http://www.parlament.gv.at/PG/DE/XXIV/I/I_00531/fname_173977.pdf
- Am Donnerstag kündigte die Opposition im Parlament an, weiter Verfassungsgesetze bei der Abstimmung zu blockieren. Da der Entwurf der DSG-Novelle einige Verfassungsbestimmungen enthielt, beschlossen die Regierungsparteien kurzerhand, aus dem Entwurf alle vorgesehenen Verfassungsbestimmungen zu entfernen. Wie macht man das?: Mit einem Abänderungsantrag, in dem man schnell alle Verfassungsbestimmungen aufnimmt und beantragt, diese nicht zu beschließen, sondern nur den restlichen Text. Den kopiert man schnell, verteilt ihn in Kopie an alle Abgeordneten (siehe Stempel ganz oben), fertig: http://www.parlament.gv.at/PG/DE/XXIV/AA/AA_00102/imfname_174910.pdf
- Der beschlossene Text dürfte also voraussichtlich Regierungsvorlage wie oben plus Verfassungsausschuss minus Abänderungsantrag sein. Was das genau bedeutet, wird nun in mühevoller Kleinarbeit zusammenzustellen sein. Die erfreuliche Nachricht für Sie: Die Herausgeber des großen Datenschutzkommentars planen, in den nächsten Wochen in Windeseile diese Arbeit für Sie zu tun und bereits Anfang Februar einen brandaktuellen "Pollirer/Weiss/Knyrim, Taschenkommentar zur DSG Novelle 2010" bei Manz erscheinen zu lassen!
Inhalt der DSG-Novelle 2010
Der vermutliche Inhalt der letzten Donnerstag im Nationalrat beschlossenen DSG-Novelle ist Folgender:
- "Aufhänger" der Novelle in der Öffentlichkeit sind spezielle Regeln zur Videoüberwachung. Im Prinzip ändert sich am bisherigen Verfahren nicht viel, Videoüberwachung bliebt grundsätzlich vorab-genehmigungspflichtig bei der Datenschutzkommission, außer - und das ist originell - die Videoüberwachung erfolgt mittels analoger Aufzeichnung (misten Sie daher Ihren alten VHS-Videorekorder wieder aus!) oder die Videobilder werden verschlüsselt und der einzige Schlüssel wird bei der Datenschutzkommission deponiert (die Idee einer "trusted third party" ist an sich gut, man hat in der Regierungsvorlage aber dazu nur noch schnell einen Halbsatz eingefügt, ohne auch nur ansatzweise die näheren rechtlichen und technischen Umstände dieser Hinterlegung - und der allfälligen Herausgabe - festzulegen). Wenig "spaßig" für Unternehmen wird das Auskunftsrecht über Videos sein, das Unternehmen verpflichtet, auf Verlangen auch die Videobilder "in einem üblichen technischen Format" auszuhändigen.
- Von der Öffentlichkeit weitgehend unbemerkt, ist meines Erachtens der eigentliche "Knaller" der Novelle der neue § 24 Abs 2a DSG 2000 mit dem Österreich - soweit ersichtlich - als eines der ersten Länder in Europa nach Deutschland eine sogenannte "Data Breach Notification Duty" einführt, eine Informationspflicht der Betroffenen bei Brüchen des Datengeheimnis. Die Bestimmung lautet in der Regierungsvorlage so:
"Wird dem Auftraggeber bekannt, dass Daten aus einer seiner Datenanwendungen systematisch und schwerwiegend unrechtmäßig verwendet wurden und den Betroffenen Schaden droht, hat er darüber unverzüglich die Betroffenen in geeigneter Form zu informieren. Diese Verpflichtung besteht nicht, wenn die Information angesichts der Drohung eines nur geringfügigen Schadens der Betroffenen einerseits oder der Kosten der Information aller Betroffenen andererseits einen unverhältnismäßigen Aufwand erfordert."
Dies bedeutet, dass künftig jedes Unternehmen, dessen Kunden-, Lieferanten oder Mitarbeiterdaten verloren gehen oder gestohlen werden (zB Laptop oder USB-Stick) oder gehackt werden, überlegen muss, ob es die Betroffenen informieren muss, um einen Schaden zu verhindern. In der vor wenigen Wochen in Deutschland eingeführten ähnlichen Bestimmung wird näher ausgeführt, dass diese Information bis hin zu "mindestens halbseitigen Inseraten in mindestens zwei bundesweit erscheinenden Tageszeitungen" erfolgen muss, wenn es sich um einen Massendatenverlust handelt.
Bitte beachten Sie im österreichischen Text in den Ausnahmeregelungen im 2. Satz die interessante sprachliche Wendung: "einerseits ... oder ... andererseits", mit der man uns Datenschutzjuristen offensichtlich eine Freude machen wollte. Wir werden schön streiten können, ob das "oder" auch wirklich als "oder" zu verstehen ist oder eigentlich ein "und" sein sollte.
- Das Meldeverfahren soll durch Umstellung auf ein elektronisches Online-Meldeverfahren beschleunigt werden, das bis 1.1.2012 umgesetzt sein soll.
- Die Position der Datenschutzkommission wird durch eine Vielzahl von Regelungen etwas gestärkt, die DSK erhält die Möglichkeit, aktiver und schneller (bei Gefahr im Verzug) Datenverarbeitungen und deren Registrierung zu prüfen und zu untersagen.
- Die Strafen werden geringfügig erhöht, die Maximalstrafe wegen Datenschutzverstößen beträgt nun EUR 25.000,--. Interessant ist eine neue Verwaltungsstrafe in § 52 Abs 2a, laut der "mit einer Strafe bis zu 500 Euro zu ahnden ist, wer Daten entgegen den §§ 26, 27 oder 28 nicht fristgerecht beauskunftet, richtigstellt oder löscht." Wie diese Verschränkung von Exekutive und Jurisdiktion bei einer an sich vor den Zivilgerichten abzuhandelnden Löschungsklage aufzulösen ist, werden wir in unserem Taschenkommentar enträtseln versuchen, vielleicht lässt es sich mit einem "einerseits ... oder ... andererseits" lösen.
- Völlig unklar ist derzeit, ob die Verfassungsbestimmungen, ua eine Abänderung des Wortlauts des Grundrechts auf Datenschutz in § 1 - demnächst noch "Nachbeschlossen" werden oder erst längerfristig mit gemeinsamen anderen unerledigten Themen erledigt werden. Themen, die im Datenschutz Regelungsbedarf haben sind ua der betriebliche Datenschutzbeauftragte (siehe oben den Link zum Verfassungsausschuss, in dem dies ausdrücklich festgehalten wurde), die Frage der Zulässigkeit der Mitarbeiterdatenverarbeitung und -überwachung im Betrieb, die Privatsphäre im Internet und viele mehr, die in dem letzte Woche beschlossenen Text fehlen.
- Zusammenfassend ist die groß angekündigte DSG-Novelle 2010 wie gesagt ein leider nur kleiner Schritt in der Entwicklung des Datenschutzrechts. Dies zur Enttäuschung jener, die sich in den letzten 2 Jahren intensiv mit der Novelle auseinandergesetzt haben und jetzt nur Brocken von dem umgesetzt sehen, an dem sie gearbeitet haben. Es ist ein Schritt in die richtige Richtung, aber eben nur einer und weitere werden folgen müssen.
- Um der evolutionären Entwicklung doch noch etwas Brisanz zu verleihen, hat man ihr - wie befürchtet - Rasanz mitgegeben: Das Inkrafttretensdatum wurde anscheinend nicht nach hinten verschoben, laut Abänderungsantrag beließ man es mit 1. Jänner 2010. Ein wenig erfreuliches Weihnachtsgeschenk: Zuerst bastelt man 2 Jahre an der Novelle, dann gibt man dem Volk exakt 3 Wochen (!) Zeit, um sich auf so Nebensächlichkeiten wie eine Data Breach Notification Duty einzustellen! Es bleibt zu hoffen, dass das Bundesgesetzblatt mit dem endgültigen Text wenigsten noch vor dem Inkrafttreten erscheint...
- "Aufhänger" der Novelle in der Öffentlichkeit sind spezielle Regeln zur Videoüberwachung. Im Prinzip ändert sich am bisherigen Verfahren nicht viel, Videoüberwachung bliebt grundsätzlich vorab-genehmigungspflichtig bei der Datenschutzkommission, außer - und das ist originell - die Videoüberwachung erfolgt mittels analoger Aufzeichnung (misten Sie daher Ihren alten VHS-Videorekorder wieder aus!) oder die Videobilder werden verschlüsselt und der einzige Schlüssel wird bei der Datenschutzkommission deponiert (die Idee einer "trusted third party" ist an sich gut, man hat in der Regierungsvorlage aber dazu nur noch schnell einen Halbsatz eingefügt, ohne auch nur ansatzweise die näheren rechtlichen und technischen Umstände dieser Hinterlegung - und der allfälligen Herausgabe - festzulegen). Wenig "spaßig" für Unternehmen wird das Auskunftsrecht über Videos sein, das Unternehmen verpflichtet, auf Verlangen auch die Videobilder "in einem üblichen technischen Format" auszuhändigen.
- Von der Öffentlichkeit weitgehend unbemerkt, ist meines Erachtens der eigentliche "Knaller" der Novelle der neue § 24 Abs 2a DSG 2000 mit dem Österreich - soweit ersichtlich - als eines der ersten Länder in Europa nach Deutschland eine sogenannte "Data Breach Notification Duty" einführt, eine Informationspflicht der Betroffenen bei Brüchen des Datengeheimnis. Die Bestimmung lautet in der Regierungsvorlage so:
"Wird dem Auftraggeber bekannt, dass Daten aus einer seiner Datenanwendungen systematisch und schwerwiegend unrechtmäßig verwendet wurden und den Betroffenen Schaden droht, hat er darüber unverzüglich die Betroffenen in geeigneter Form zu informieren. Diese Verpflichtung besteht nicht, wenn die Information angesichts der Drohung eines nur geringfügigen Schadens der Betroffenen einerseits oder der Kosten der Information aller Betroffenen andererseits einen unverhältnismäßigen Aufwand erfordert."
Dies bedeutet, dass künftig jedes Unternehmen, dessen Kunden-, Lieferanten oder Mitarbeiterdaten verloren gehen oder gestohlen werden (zB Laptop oder USB-Stick) oder gehackt werden, überlegen muss, ob es die Betroffenen informieren muss, um einen Schaden zu verhindern. In der vor wenigen Wochen in Deutschland eingeführten ähnlichen Bestimmung wird näher ausgeführt, dass diese Information bis hin zu "mindestens halbseitigen Inseraten in mindestens zwei bundesweit erscheinenden Tageszeitungen" erfolgen muss, wenn es sich um einen Massendatenverlust handelt.
Bitte beachten Sie im österreichischen Text in den Ausnahmeregelungen im 2. Satz die interessante sprachliche Wendung: "einerseits ... oder ... andererseits", mit der man uns Datenschutzjuristen offensichtlich eine Freude machen wollte. Wir werden schön streiten können, ob das "oder" auch wirklich als "oder" zu verstehen ist oder eigentlich ein "und" sein sollte.
- Das Meldeverfahren soll durch Umstellung auf ein elektronisches Online-Meldeverfahren beschleunigt werden, das bis 1.1.2012 umgesetzt sein soll.
- Die Position der Datenschutzkommission wird durch eine Vielzahl von Regelungen etwas gestärkt, die DSK erhält die Möglichkeit, aktiver und schneller (bei Gefahr im Verzug) Datenverarbeitungen und deren Registrierung zu prüfen und zu untersagen.
- Die Strafen werden geringfügig erhöht, die Maximalstrafe wegen Datenschutzverstößen beträgt nun EUR 25.000,--. Interessant ist eine neue Verwaltungsstrafe in § 52 Abs 2a, laut der "mit einer Strafe bis zu 500 Euro zu ahnden ist, wer Daten entgegen den §§ 26, 27 oder 28 nicht fristgerecht beauskunftet, richtigstellt oder löscht." Wie diese Verschränkung von Exekutive und Jurisdiktion bei einer an sich vor den Zivilgerichten abzuhandelnden Löschungsklage aufzulösen ist, werden wir in unserem Taschenkommentar enträtseln versuchen, vielleicht lässt es sich mit einem "einerseits ... oder ... andererseits" lösen.
- Völlig unklar ist derzeit, ob die Verfassungsbestimmungen, ua eine Abänderung des Wortlauts des Grundrechts auf Datenschutz in § 1 - demnächst noch "Nachbeschlossen" werden oder erst längerfristig mit gemeinsamen anderen unerledigten Themen erledigt werden. Themen, die im Datenschutz Regelungsbedarf haben sind ua der betriebliche Datenschutzbeauftragte (siehe oben den Link zum Verfassungsausschuss, in dem dies ausdrücklich festgehalten wurde), die Frage der Zulässigkeit der Mitarbeiterdatenverarbeitung und -überwachung im Betrieb, die Privatsphäre im Internet und viele mehr, die in dem letzte Woche beschlossenen Text fehlen.
- Zusammenfassend ist die groß angekündigte DSG-Novelle 2010 wie gesagt ein leider nur kleiner Schritt in der Entwicklung des Datenschutzrechts. Dies zur Enttäuschung jener, die sich in den letzten 2 Jahren intensiv mit der Novelle auseinandergesetzt haben und jetzt nur Brocken von dem umgesetzt sehen, an dem sie gearbeitet haben. Es ist ein Schritt in die richtige Richtung, aber eben nur einer und weitere werden folgen müssen.
- Um der evolutionären Entwicklung doch noch etwas Brisanz zu verleihen, hat man ihr - wie befürchtet - Rasanz mitgegeben: Das Inkrafttretensdatum wurde anscheinend nicht nach hinten verschoben, laut Abänderungsantrag beließ man es mit 1. Jänner 2010. Ein wenig erfreuliches Weihnachtsgeschenk: Zuerst bastelt man 2 Jahre an der Novelle, dann gibt man dem Volk exakt 3 Wochen (!) Zeit, um sich auf so Nebensächlichkeiten wie eine Data Breach Notification Duty einzustellen! Es bleibt zu hoffen, dass das Bundesgesetzblatt mit dem endgültigen Text wenigsten noch vor dem Inkrafttreten erscheint...
Data Breach Notification Duty Workshop
Da hinsichtlich der Informationspflicht der Betroffenen bei Datenschutzbrüchen, die in knapp 2 Wochen, am 1.1.2010, in Kraft tritt, in Unternehmen Vorkehrungen getroffen werden sollten, um für den Ernstfall gerüstet zu sein, erarbeite ich gerade gemeinsam mit einem auf IT-Sicherheitsfragen spezialisierten Consultingunternehmen sowie mit einer Werbeagentur einen "Data Breach Notification Duty Workshop", den wir noch vor Weihnachten erstmalig abhalten werden, und zwar in-House in einem großen österreichischen Konzern aus der Finanzbranche.
Gerne veranstalten wir auf Anfrage auch in Ihrem Unternehmen einen solchen Workshop, um Ihnen das Zusammenspiel aus Rechtsfragen, organistorischen und technischen Maßnahmen und medialem Auftreten im Ernstfall näherzubringen. Kontaktieren Sie mich einfach!
Gerne veranstalten wir auf Anfrage auch in Ihrem Unternehmen einen solchen Workshop, um Ihnen das Zusammenspiel aus Rechtsfragen, organistorischen und technischen Maßnahmen und medialem Auftreten im Ernstfall näherzubringen. Kontaktieren Sie mich einfach!
Abonnieren
Posts (Atom)
Posts
