Datenschutzbericht 2018: Wie die DSGVO den Alltag verändert

Der aktuelle Datenschutzbericht des Jahres 2018 hat einen besonderen Fokus: Die Datenschutzbehörde DSB liefert erstmals seit Inkrafttreten der DSGVO am 25. Mai 2018 eine Übersicht, wie sich die neue Gesetzeslage ausgewirkt hat. Der Trend dabei: Beschwerden und Entscheidungen an und von der Behörde vervielfachten sich – daran konnte der Wegfall der bisherigen Melde- und Genehmigungsverfahren nichts ändern. Die 34 Mitarbeiter starke Behörde (21 Juristen) verzeichnete eine Verdreifachung der Beschwerdefälle. Behördenleiterin Andrea Jelinek wird dann im Vorwort des Berichtes auch nicht müde, die resultierende knappe Personalsituation zu beklagen.

Individualbeschwerden fast verzehnfacht

Erwartungsgemäß war das erste Jahr nach Inkrafttreten der DSGVO für die vollziehende Behörde turbulent. 2018 ist die Anzahl der Individualbeschwerden von 156 auf 1036 geradezu explodiert. Im Vorjahr wurden dabei gut die Hälfte der Beschwerden auch erledigt (509): In 340 Fällen wurden Bescheide ausgestellt, exakt ein Drittel der Beschwerden (169) wurde eingestellt. Dabei konzentrierten sich die Beschwerdeverfahren auf die Rechte auf Auskunft, Geheimhaltung, Berichtigung/Löschung und Widerspruch.

Grenzüberschreitende Fälle

Digitale Daten sind prädestiniert, grenzenlos genutzt zu werden. Immer wieder ist es daher notwendig, Beschwerden und Ersuchen auch über die nationalen Grenzen hinaus zu verfolgen – oder auf Ersuchen anderer nationaler Behörden in Österreich zu ermitteln. Im Jahr 2018 hat die DSB 153 nationale Beschwerdefälle bearbeitet, die einen grenzüberschreitenden Sachverhalt aufwiesen. Des Weiteren hat die Datenschutzbehörde 427 grenzüberschreitende Verfahren geführt, die an die DSB von einer anderen Aufsichtsbehörde herangetragen wurden. Dabei setzte das Amt drei Verfahren als federführende Aufsichtsbehörde gegenüber den Verantwortlichen in Gang.

Schriftliche Rechtsauskünfte an Bürger

Die Datenschutzbehörde stellt auf ihrer Webseite umfassende Informationen zum geltenden Datenschutzrecht zur Verfügung. Der Leitfaden zur DSGVO für Unternehmen und Private wird laufend aktualisiert. Die Behörde bleibt aber auch direkte Anlaufstelle für Bürger: Sie beantwortet unverändert allgemeine Anfragen zum geltenden Datenschutzrecht schriftlich. 2018 wurden von 4052 verlangten Auskünften (2017: 2239) über 98 Prozent per Brief erledigt. Telefonische Rechtsauskünfte werden nicht erteilt.

Amtswegige Prüfverfahren

Die DSB hat im Jahr 2018 129 amtswegige Verfahren eingeleitet. Davon wurden 95 im Berichtszeitraum abgeschlossen. Es handelt sich überwiegend um Überprüfungen der Rechtmäßigkeit einer Videoüberwachung. Seit 2014 führt die Datenschutzbehörde jährlich auch Schwerpunktverfahren durch, bei denen bestimmte Sektoren datenschutzrechtlich überprüft werden. In der Vergangenheit rückten bspw. Banken, Versicherungen oder der Gesundheitssektor (Krankenanstalten, Übertragung von Patientenkarteien) in den Fokus. Im Jahr 2018 wurde – bedingt durch die Umsetzung der DSGVO und dem damit verbundenen generellen Anstieg an Verfahrenszahlen – allerdings kein Schwerpunktverfahren durchgeführt.

Verfahren über die Meldung der Verletzung des Schutzes personenbezogener Daten

In Art. 33 DSGVO ist vorgesehen, dass Verantwortliche eine schwerwiegende Verletzung des Schutzes personenbezogener Daten (sogenannter „Data Breach“) unverzüglich, binnen 72 Stunden nach Bekanntwerden, der zuständigen Datenschutzbehörde zu melden haben. Diese Regelung schützt in erster Linie Betroffene, deren Daten durch Hacker bei Online-Shops, Kartenorganisationen oder anderen datenverarbeitenden Institutionen abgegriffen wurden. Die Datenschutzbehörde hat die Befugnis, vom Verantwortlichen zu verlangen, die Benachrichtigung der betroffenen Personen nachzuholen. Im Jahr 2018 wurden 69 Sicherheitsverletzungen gemäß § 95a TKG, sieben grenzüberschreitende Sicherheitsverletzungen, 43 Sicherheitsverletzungen ausländischer Aufsichtsbehörden sowie 501 inländische Sicherheitsverletzungen gemeldet.

Verwaltungsstrafverfahren

Mit In-Kraft-Treten der DSGVO hat die DSB die behördliche Zuständigkeit zur Führung von Verwaltungsstrafverfahren im Bereich des Datenschutzrechts von den Bezirksverwaltungsbehörden übernommen. Zum Zeitpunkt des Zuständigkeitsüberganges wurden 75 anhängige Verwaltungsstrafverfahren übernommen. Seit dem 25. Mai sind 59 weitere Verwaltungsstrafverfahren von der DSB eingeleitet worden. Beim Großteil dieser Fälle handelt es sich um Videoüberwachungen, die (mutmaßlich) nicht den gesetzlichen Vorgaben entsprechen, weil sie etwa öffentlichen Raum oder Nachbargrundstücke erfassen und/oder nicht geeignet gekennzeichnet sind.

Gut zu wissen: Aufgaben und Befugnisse

Vorgängerin der Datenschutzbehörde war die Datenschutzkommission, die bis Ende 2013 existierte. 2014 wurde schließlich die neue Datenschutzbehörde ins Leben gerufen. Die Aufgaben werden im Artikel 57 der DSGVO taxativ aufgelistet. Aktuell vorrangig ist die Überwachung und Durchsetzung der DSGVO. Die Behörde hat aber auch starken aufklärenden Charakter: Sie soll die Öffentlichkeit über die Risiken und Vorschriften im Zusammenhang mit der Verarbeitung von Daten sensibilisieren und sie informieren. Sie soll auch Parlament und Regierung im Bereich des Datenschutzes beraten.
Die Befugnisse der DSB sind durchaus weitreichend: Sie darf den Verantwortlichen bzw. den Auftragsverarbeiter anweisen, alle Informationen bereitzustellen, die für die Erfüllung der Aufgaben erforderlich sind. Ihr ist auch Zugang zu allen personenbezogenen Daten und Informationen zu gewähren, die zur Erfüllung ihrer Aufgaben notwendig sind. Die Vertreter der DSB dürfen dazu auch die Geschäftsräume der Verantwortlichen inklusive aller Datenverarbeitungsanlagen betreten. Zum Abschluss: Alle Bescheide der Datenschutzbehörde können mit Beschwerde an das Bundesverwaltungsgericht bekämpft werden.

Wir beraten Sie gerne zu diesem Thema (info@artus.at).