Die Präsentation wird geladen. Bitte warten

Die Präsentation wird geladen. Bitte warten

© ARGE DATEN 2015 Datenschutz Grundlagen Praxis, Entscheidungen, Perspektiven Hans G. Zeger, ARGE DATEN Wien, Inhouse-Schulung Wiener Sozialdienste, 10.

Ähnliche Präsentationen


Präsentation zum Thema: "© ARGE DATEN 2015 Datenschutz Grundlagen Praxis, Entscheidungen, Perspektiven Hans G. Zeger, ARGE DATEN Wien, Inhouse-Schulung Wiener Sozialdienste, 10."—  Präsentation transkript:

1 © ARGE DATEN 2015 Datenschutz Grundlagen Praxis, Entscheidungen, Perspektiven Hans G. Zeger, ARGE DATEN Wien, Inhouse-Schulung Wiener Sozialdienste, 10. Juni 2015 ARGE DATEN

2 © ARGE DATEN 2015 Die ARGE DATEN als PRIVACY-Organisation Aktivitäten der ARGE DATEN Öffentlichkeitsarbeit, Informationsdienst: -Web-Service: Besucher/Monat -Newsletter: rund Abonnenten -2014: rund 500 Medienanfragen/-berichte Mitgliederbetreuung Datenschutzfragen -2014: ca. 600 Datenschutz-Anfragen Rechtsschutz, PRIVACY-Services -2014: in ca. 200 Fällen Mitglieder in Verfahren vertreten Zahl der betreuten Mitglieder -aktuell: ca Personen Studien- und Beratungsprojekte ARGE DATEN

3 © ARGE DATEN 2015 ARGE DATEN Es sind nicht bloß Daten vor den Menschen zu schützen, sondern den Menschen ist in der Informationsgesell- schaft das Grundrecht auf Privatsphäre zu sichern.

4 © ARGE DATEN 2015 ARGE DATEN Grundlagen DSG 2000 / Privatsphäre Sicherheit / Strafbestimmungen Videoüberwachung / Spezialregelungen Genehmigung / Registrierung Situation bei Wiener Sozialdienste Geplanter Ablauf Informationspflichten & Betroffenenrechte

5 © ARGE DATEN 2015 ARGE DATEN Grundlagen des DSG 2000 Die wichtigsten Begriffe Zustimmung Zulässigkeit der Datenverwendung Rechtmäßige Datenanwendung

6 © ARGE DATEN 2015 ARGE DATEN Entwicklung zum DSG erstes Datenschutzgesetz - DSG (BGBl. Nr. 565/1978) (Geltung ) 1995EG-Datenschutzrichtlinie 95/46/EG 1999Datenschutzgesetz - DSG 2000 (BGBl. I Nr. 165/1999) Wichtige Änderungen zum DSG 2000 (Auswahl) 2001Euro-Umstellung der Verwaltungsstrafen (BGBl. I Nr. 136/2001) 2005"Tsunami"-Bestimmung (BGBl. I Nr. 13/2005) 2008Änderungen in Verfassungsbestimmungen (BGBl. I Nr. 2/2008) 2009DSG Novelle 2010 (BGBl. I Nr. 133/2009) 2012Verwaltungsgerichtsbarkeits-Novelle 2012 (BGBl. I Nr. 51/2012) 2013DSG Novelle 2013 (BGBl. I Nr. 57/2013) 2013DSG Novelle 2014 (BGBl. I Nr. 83/2013) 20?? EU - Neuordnung des Datenschutzes DSG Grundlagen

7 © ARGE DATEN 2015 Umsetzung der EU-Richtlinie "Datenschutz" (1995) soll Privatsphäre (Art.1 Abs.1) und Informationsaustausch innerhalb der EU (Art.1 Abs.2) sichern Art. 1 Abs. 1 "Schutz der Grundrechte und Grundfreiheiten und insbesondere den Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten." Art. 1 Abs. 2 "Die Mitgliedstaaten beschränken oder untersagen nicht den freien Verkehr personenbezogener Daten zwischen Mitgliedstaaten aus Gründen des gemäß Absatz 1 gewährleisteten Schutzes." EU-RL gilt nur für "natürliche Personen" DSG 2000 auch für "juristische und sonstige Personen" damit vertritt Österreich EU-weit eine exotische Position Bestimmungen betreffen alle Verwendungsformen persönlicher Daten, nicht nur automatisiert verarbeitete Daten DSG Grundlagen ARGE DATEN

8 © ARGE DATEN 2015 Einschränkungen des Verbots sind möglich: - mit der Zustimmung des Betroffenen - in Vollziehung von Gesetzen (Behörden, behördliche Tätigkeit) - zur Wahrung überwiegender Interessen Auftraggeber/Dritter - bei "allgemeiner" Verfügbarkeit von Daten - bei lebenswichtigen Interessen des Betroffenen/Dritter DSG Grundrecht DSG 2000 § 1 (Verfassungsbestimmung) : "jede Verwendung persönlicher Daten ist verboten" umfassender Geheimhaltungsanspruch Europarechtliche Grundlage (Art. 8 RL 95/46/EG „Datenschutz-Richtlinie“) + Grundlage ist Art. 8 EMRK ("Achtung des Privatlebens") ARGE DATEN

9 © ARGE DATEN 2015 ARGE DATEN DSG 2000 § 4 Z 1 "personenbezogene Daten" "Angaben über Betroffene (Z 3), deren Identität bestimmt oder bestimmbar ist" DSG 2000 § 4 Z 3 "Betroffener" "jede vom Auftraggeber (Z 4) verschiedene natürliche oder juristische Person oder Personengemeinschaft, deren Daten verwendet (Z 8) werden" DSG 2000 § 4 Z 6 "Datei" "strukturierte Sammlung von Daten, die nach mindestens einem [personenbezogenen, Anm.] Suchkriterium zugänglich sind" DSG Grundlagen Datenbegriff sehr allgemein gehalten, umfasst auch Bild- und Tondaten, biometrische Daten, technische Kennzahlen (z.B. Stromverbrauchsdaten, KFZ-Daten, IP-Adressen, ),...

10 © ARGE DATEN 2015 Indirekt personenbezogene Daten § 4 Z 1 DSG 2000 (kein EU-Begriff!) personenbezogene Daten § 4 Z 1 DSG 2000 ARGE DATEN DSG Grundlagen Personenbezogene Daten sonstige besonders schutzwürdige Daten § 18 Abs. 2 DSG 2000 (kein EU-Begriff) sensible Daten § 4 Z 2 DSG 2000

11 © ARGE DATEN 2015 ARGE DATEN DSG Grundlagen DSG 2000 § 4 Z 2 ("sensible" Daten) Daten natürlicher Personen über rassische und ethnische Herkunft politische Meinung Gewerkschaftszugehörigkeit religiöse und philosophische Überzeugung Gesundheit Sexualleben Probleme kann die Abgrenzung bereiten, z.B. Hautfarbe, Speisegewohnheiten, "Kopftuch", Konfektionsgröße, Sozialberatung Erhebungs"absicht" (Zweck) wesentliche Komponente bei der Bewertung ob sensibles Datum

12 © ARGE DATEN 2015 ARGE DATEN Entscheidung OGH 6Ob148/00h "Abgrenzung Akten und Datei" Unter Datei sind daher Übersichts-Karteien und Listen, nicht aber Akteninhalte und Aktenkonvolute zu verstehen. OGH-Spruch: Daten in Akten unterliegen nicht dem Datenschutzgesetz (!) DSK K /005-DSK/2002 ("Personalakte") ‏ "Der Personalakt selbst ist ein Konvolut verschiedener Papieraktenstücke und wird zwar wohl nach einem Suchbegriff geordnet aufbewahrt, hat aber keinen fest strukturierten Inhalt." Akten, Aktensammlungen und deren Deckblätter fallen nicht in den Anwendungsbereich des DSG 2000, Unberührt davon bleibt das Recht auf Akteneinsicht, das Auskunftspflichtgesetz, Regelungen des Arbeitsrechts (Personalakte) DSK und OGH-Entscheidungen zu Papierakten werden als Richtlinien- und DSG widrig kritisiert (u.a. Mayer-Schönberger, Datenschutz und Papierakten) DSG Grundlagen

13 © ARGE DATEN 2015 ARGE DATEN DSG 2000 § 4 Z 4 "Auftraggeber" / Verantwortlicher für Datenverwendung "natürliche oder juristische Personen, Personengemeinschaften oder Organe einer Gebietskörperschaft", Begriff auf das "Verwenden von Daten" (Z8) abgestimmt (nicht Datenanwendung) DSG 2000 § 4 Z 5 "Dienstleister" natürliche oder juristische Personen,......, wenn sie Daten, nur zur Herstellung eines ihnen aufgetragenen Werkes verwenden (auftragsgemäße Datenverwendung) DSG Grundlagen

14 © ARGE DATEN 2015 ARGE DATEN DSG Grundlagen DSG 2000 § 4 Z 7 "Datenanwendung'' "die Summe der in ihrem Ablauf logisch verbundenen Verwendungsschritte... Erreichung eines inhaltlich bestimmten Ergebnisses (des Zweckes der Datenanwendung)" DSG 2000 § 4 Z 8 "Verwenden von Daten" "jede Art der Handhabung von Daten, also sowohl das Verarbeiten (Z 9) als auch das Übermitteln (Z 12) von Daten" DSG 2000 § 4 Z 9 "Verarbeiten von Daten" "das Ermitteln, Erfassen, Speichern, [....] oder jede andere Art der Handhabung von Daten mit Ausnahme des Übermittelns (Z 12) von Daten" DSG 2000 § 4 Z 12 "Übermitteln von Daten" "die Weitergabe von Daten einer Datenanwendung an andere Empfänger als den Betroffenen, den Auftraggeber oder einen Dienstleister"

15 © ARGE DATEN 2015 ARGE DATEN DSG Grundlagen DSG 2000 § 4 Z 14 "Zustimmung" "die gültige, insbesondere ohne Zwang abgegebene Willenserklärung des Betroffenen, dass er in Kenntnis der Sachlage für den konkreten Fall in die Verwendung seiner Daten einwilligt" Widerruf der Zustimmung in § 8 bzw. § 9 geregelt Entscheidung OGH 4 Ob 221/06p ("GE...bank") OGH 4 Ob 28/01y ("Creditanstalt") OGH 4 Ob 179/02f ("BA-CA") Damit schließt diese Definition für die Zukunft abgegebene allgemeine Zustimmungserklärungen aus Von der Zustimmung iS DSG 2000 § 4 Z 14 sind andere vertragliche Vereinbarungen zur Nutzung von Daten zu unterscheiden, etwa im Rahmen von Bestellungen, Kundenkarten,...

16 © ARGE DATEN 2015 ARGE DATEN Was ist eine gute Zustimmungserklärung? -grundsätzlich gilt Formfreiheit auch mündlich (Beweisproblem), konkludent oder Teil der AGBs möglich -Willenserklärung Art wird vom Adressaten abhängen, bei Konsumenten höhere Anforderungen als bei Geschäftsleuten Empfehlung: ausdrückliche Unterschrift, getrennt von sonstigen Vereinbarungen -Kenntnis der Sachlage Aufklärung über Umfang der Datenarten, Inhalt der Daten, Zweck der Datenweitergabe, Empfänger der Daten (so detailliert, dass der Betroffene die konkreten Empfänger erkennen kann) - konkreter Fall Pauschalzustimmungen, ohne besonderen Zweck sind unzulässsig - Widerrufshinweis gesetzlich nicht vorgeschrieben, OGH verlangt ihn jedenfalls im Zusammenhang mit Konsumenten DSG Grundlagen

17 © ARGE DATEN 2015 Verwenden von Daten Z 8 ÜbermittelnVerarbeiten Z 9 Z 12 Daten- anwendung Z 7 Auftraggeber Z 4 Dienstleister Z 5 Auftrag Überlassen Z 11 Ermitteln, Auswerten, Sortieren, Speichern, Analysieren, Korrigieren, Ausdrucken, Anzeigen,... DSG Grundlagen Die wichtigsten Begriffe (§ 4 DSG Z...) ARGE DATEN

18 © ARGE DATEN 2015 ARGE DATEN DSG Grundlagen Grundsätze der Verwendung von Daten (§ 6ff) Verwendung nach Treu und Glauben (§ 6 Abs. 1 Z 1) Ermittlung für festgelegte, eindeutige und rechtmäßige Zwecke (§ 6 Abs. 1 Z 2) Weiterverwendungsverbot für unvereinbare Zwecke (§ 6 Abs. 1 Z 2) Daten müssen für den Zweck der Datenanwendung wesentlich sein § 6 Abs. 1 Z 3) Möglichkeit der Verabschiedung branchenspezifischer Verhaltensregeln (§ 6 Abs. 4) DSK /010-DSK/2001 ("gelindester Eingriff") Zweck einer Datenanwendung muss sich an der gelindesten zum Ziel führenden Datenverwendung orientieren

19 © ARGE DATEN 2015 ARGE DATEN

20 © ARGE DATEN 2015 ARGE DATEN Grundlage einer rechtmäßigen Datenverwendung Dreistufiges Konzept Es muss ein berechtigter Zweck für die Datenanwendung geben sein und die Datenverwendung entspricht dem Grundsatz von Treu und Glauben (§ 6, § 7 Abs.1) Es muss eine Rechtsgrundlage für die Verwendung der konkreten Daten eines Betroffenen geben (§§ 7ff) Die Datenanwendung muss den Registrierungserfordernissen entsprechen (§§ 16ff) Beispiele: -Warndatei von Risikopatienten in einem Krankenhaus -Dürfen im Zuge einer Unternehmensauflösung die Kundendaten verkauft werden? DSG Grundlagen

21 © ARGE DATEN 2015 ARGE DATEN Entscheidung zu DSG 2000 § 7 DSK K /8-DSK/00 ("Eigenwerbung") Zum Zwecke der "Eigenwerbung" dürfen auch Daten aus anderen Verwendungszwecken des Datenverarbeiters benutzt werden Die DSK/DSB geht davon aus, dass kein schutzwürdiges Interesse (Geheimhaltungsinteresse) verletzt wird. Das Vermerken von Spenden in einer Patientendatei wäre jedoch nach Ansicht der DSK/DSB unzulässig. Verwendung nicht uneingeschränkt zulässig, muss mit ursprünglichem Zweck grundsätzlich vereinbar sein Grundlage ist § 47 DSG 2000 "Datenverwendung zu Verständigungszwecken" DSG Grundlagen

22 © ARGE DATEN 2015 Geheimhaltungsinteressen bei Datenverwendung (§ 8-nicht-sensible Daten, § 9-sensible Daten) Wann dürfen Daten jedenfalls verwendet werden? (Auszug) -Rechtsgrundlage / gesetzliche Verpflichtungen -Zustimmung des Betroffenen -zur Wahrung lebenswichtiger Interessen -überwiegende Interessen Dritter / Auftraggeber (nicht anwendbar bei sensiblen Daten!) z.B. notwendige Voraussetzung zur Vertragserfüllung, Ausübung von Rechtsansprüchen des Auftraggebers, behördliche Tätigkeit -indirekt personenbezogene Daten (EU-Konformität??) -zulässig veröffentliche Daten: soweit berechtigter Zweck des Verwenders gegeben? soweit mit ursprünglicher Veröffentlichung vereinbar? DSG Grundlagen ARGE DATEN

23 © ARGE DATEN 2015 ARGE DATEN Was ist eine zulässige Veröffentlichung? Veröffentlichen von Informationen -ist im DSG 2000 Spezialfall der Datenübermittlung -die Veröffentlichung muss rechtlich zulässig sein Beispiele für bedenkliche Veröffentlichungen: -Altersjubilare in der Gemeindezeitung genannt -Daten von Privathaushalten in einer Tourismusbroschüre angegeben (Kaprun) -öffentliche Ehrentafel aller eingemeindeten Bürger -Teilnehmerlisten von Kongressen/Seminaren -Klassenbilder im Schuljahresbericht -Veröffentlichen von lokalen (Amateur-)Sportergebnissen mit Name, Adresse und Geburtsdatum im Internet -Zusammenstellung persönlicher Daten durch (Personen-)Suchmaschinen DSG Veröffentlichung

24 © ARGE DATEN 2015 ARGE DATEN Nutzung von Klientenfotos Ausgangslage -eine Pflegeinrichtung veröffentlicht in der Klientenzeitung (und im Internet) Fotos von Bewohnern Fragestellungen -(datenschutzrechtliche) Zulässigkeit? -wie ist mit Fotos Verstorbener umzugehen? -sonstige Anforderungen? Fotos und Persönlichkeitschutz

25 © ARGE DATEN 2015 ARGE DATEN Fotos und Persönlichkeitschutz Nutzung von Klientenfotos II DSG-Grundlagen -Fotos, auf denen Personen identifizierbar sind, fallen grundsätzlich unter die Bestimmungen des DSG sind auf dem Foto auch gesundheuitliche Beeinträchtigungen zu erkennen, handelt es sich um sensible Daten -Verstorbene sind nicht als Personen iS des DSG 2000 anzusehen Sonstige Persönlichkeitsrechte -bei Fotos sind zusätzlich die Persönlichkeitsrechte gemäß § 78 UrhG zu beachten, diese wirken über Tod hinaus und gehen auf Angehörige über -OGH 4Ob203/13a Angehörige können „Recht am eigenen Bild“ von Verstorbenen geltend machen, ohne eigene Interessen begründen zu müssen ("treuhändige" Inanspruchnahme eines Schutzrechtes)

26 © ARGE DATEN 2015 ARGE DATEN Fotos und Persönlichkeitschutz Wir empfehlen, auch aus Gründen der Pietät im Todesfall entsprechende Bilder nicht weiter zu verbreiten bzw. ausreichend unkenntlich zu machen Nutzung von Klientenfotos III Konsequenz -die Nutzung der Fotos bedarf jedenfalls der Zustimmung der Betroffenen -werden durch die Abbildungen sensible Daten erfasst, ist jedenfalls eine ausdrückliche Zustimmung erforderlich -der Veröffentlichung - insbesondere wenn sensible Daten betroffen sind - wird jederzeit widersprochen werden können -im Todesfall wird auf Grund des OGH-Urteils ein Widerspruchsrecht durch die Angehörigen bestehen -im Falle eines zulässigen Widerspruchs müsse verteilte Broschüren nicht zurückgerufen werden, aber die weitere Verbreitung wird unzulässig sein

27 © ARGE DATEN 2015 ARGE DATEN Übersicht § 1328a ABGB Beispiele Schutz der Privatsphäre Anti-Stalking-Bestimmung § 107a StGB Entscheidungen

28 © ARGE DATEN 2015 ARGE DATEN Bestimmungen zum Schutz der Privatsphäre EMRK Art 8 (Privatsphäre, Familienleben, Briefverkehr) StGG (Staatsgrundgesetz) Art. 9, 10 (Briefgeheimnis) u. 10a (Fernmeldegeheimnis) § 1 DSG 2000 (Geheimhaltung Daten) § 16 ABGB (angeborene Rechte) StGB z.B. § 118f (Briefgeheimnis), § 119f (Telekommunikationsgeheimnis) und §§ 302ff (Amtsmissbrauch) TKG 2003 § 93 (Kommunikationsgeheimnis) MedienG § 7ff (Bloßstellung) UrhG § 77 (Briefe, Tagebücher, ähnliche vertrauliche Aufzeichnungen), § 78 (Bildnisschutz), § 87 Abs 2 (Entschädigung) Regelungen für einzelne Berufsgruppen ABGB § 1328a (Bloßstellung) StGB § 107a (Anti-Stalking-Bestimmung) Schutz der Privatsphäre - Übersicht

29 © ARGE DATEN 2015 ARGE DATEN Schutz der Privatsphäre - Übersicht

30 © ARGE DATEN 2015 ARGE DATEN DSG Verschwiegenheit Geheimnis- und Verschwiegenheitspflichten (Auswahl) - Amtsgeheimnis (StGB § 310) - Bankwesengesetz (§ 38) - Ziviltechnikergesetz (§ 15) - Ärztegesetz (§ 54) - Glückspielgesetz (§ 51) - Hebammengesetz (§ 7) - Psychologengesetz (§ 14) - Tierärztegesetz (§ 23) - Gesundheits- und Krankenpflegegesetz (§ 6) - Sanitätergesetz (§ 6) - Wirtschaftstreuhandberufsgesetz (§ 91) - Detektive (§ 130 Abs. 5 GewO) Grundsätzlich gilt das DSG 2000 subsidiär

31 © ARGE DATEN 2015 ARGE DATEN § 1328a ABGB Privatsphärebestimmung (1) Wer rechtswidrig und schuldhaft in die Privatsphäre eines Menschen eingreift oder Umstände aus der Privatsphäre eines Menschen offenbart oder verwertet, hat ihm den dadurch entstandenen Schaden zu ersetzen. Bei erheblichen Verletzungen der Privatsphäre, etwa wenn Umstände daraus in einer Weise verwertet werden, die geeignet ist, den Menschen in der Öffentlichkeit bloßzustellen, umfasst der Ersatzanspruch auch eine Entschädigung für die erlittene persönliche Beeinträchtigung. Abs.2 definiert Substitutionsklausel -Bestimmung ist nicht anzuwenden, wenn andere Bestimmung gilt, etwa Datenschutz- oder Medienrechtsbestimmungen Schutz der Privatsphäre - §1328a ABGB

32 © ARGE DATEN 2015 ARGE DATEN Änderungen durch § 1328a Immaterieller Schadenersatz Auffangtatbestand für bisher nicht erfasste Verletzungen Drei Verletzungsarten Eingreifen (Eindringen in die Privatsphäre) Offenbaren an Dritte (nicht nur Öffentlichkeit) Verwerten (wirtschaftlicher Vorteil durch Kenntnisse aus Privatsphäre) Voraussetzungen für Schadenersatz nach § 1328a Rechtswidrigkeit Verschulden (leichte Fahrlässigkeit genügt) Erheblicher Eingriff Schutz der Privatsphäre - §1328a ABGB

33 © ARGE DATEN 2015 ARGE DATEN Schutz der Privatsphäre - Beispiele Beispiele für Eingriffe in die Privatsphäre private Videoüberwachung, Personenortung, Radarüberwachung Bekanntgabe persönlicher Daten im Internet Illegales Abhören von Telefonaten oder Gesprächen Hacken von privaten Computern Missbrauch von Foto-Handys Weitergeben von privat mitgeteilten Geheimnissen Überwachung des Standortes eines Mobiltelefonnutzers ohne dessen Zustimmung Offenbaren/Verwerten von Gerichtsurteilen Bedrängen durch Kontaktaufnahmeversuche ( , Telefonate,...)

34 © ARGE DATEN 2015 ARGE DATEN Videoüberwachung Informationsverbundsystem Verständigung / Adressenverlage Besondere Bestimmungen Wissenschaft und Forschung

35 © ARGE DATEN 2015 ARGE DATEN Videoüberwachung - Definition (DSG 2000 § 50a Abs 1) Videoüberwachung ist definiert durch: -systematische und fortlaufende Feststellung von Ereignissen -betreffen bestimmte/überwachte Objekte oder Personen -Nutzung technischer Bildaufnahme- und Bildübertragungsgeräte Hinweis! Nicht jede Bildaufzeichnung fällt unter die Definition der Videoüberwachung! -einzelne Fotos/kurze Filme mit Digitalkameras oder Handykameras ("Touristenaufnahmen") -einzelne Aufnahmen aus fahrenden Autos heraus -Überwachung ohne identifizierende Absicht (technische Überwachungen, "Panoramakameras", "Hirsch-TV") fallen nicht unter die Definition der Videoüberwachung  Empfehlung DSK K /0004-DSK/2013 "Wetter-TV"  DSB-Meldemuster "Baustellenkamera" DSG Videoüberwachung

36 © ARGE DATEN 2015 ARGE DATEN Videoüberwachung - zulässige Zwecke (DSG 2000 § 50a Abs. 2) Auswertung und Übermittlung zulässig, -zum Schutz eines überwachten Objekts oder einer überwachten Person -Erfüllung rechtlicher Sorgfaltspflichten einschließlich der Beweissicherung Einschränkungen -Persönlichkeitsschutz nach § 16 ABGB ist zu beachten -Höchstpersönliche Lebensbereiche dürfen nur bedingt aufgezeichnet werden (Abs. 5) -Mitarbeiterüberwachung ist nur bedingt zulässig (Abs. 5) DSG Videoüberwachung

37 © ARGE DATEN 2015 ARGE DATEN Videoüberwachung - zulässiger Einsatz I (DSG 2000 § 50a Abs. 3) -im lebenswichtigen Interesse des Betroffenen (Abs. 3 Z 1) [Intensivstation,...??] -Verhalten, das öffentlich wahrgenommen werden will (Abs. 3 Z 2) [öffentlicher Vortrag/Straßensänger, Teilnehmer einer Kundgebung,...??] -Betroffener hat Überwachung selbst ausdrücklich zugestimmt (Abs. 3 Z 3) Video-Einsatz gemäß diesem Absatz sieht keine Beschränkungen vor! DSG Videoüberwachung

38 © ARGE DATEN 2015 ARGE DATEN Videoüberwachung - zulässiger Einsatz IIa (DSG 2000 § 50a Abs. 4, 5) -berechtigte Annahme Objekt oder Person könnte Ziel oder Ort eines gefährlichen Angriffs werden (Abs. 4 Z 1) [siehe OGH-Judikatur, allgemeine Angst/Vorsorge dürfte nicht reichen, aber Standardanwendungen für Trafikanten, Bankfilialen, Juweliere, Tankstellen, eigene Wohnzwecke genutzte private Grundstücke, internationale Organisationen, Verwaltungsgebäude öffentlicher Rechtsträger, Parkgaragen und - plätze, Rechenzentren, weiterhin Einzelgenehmigung erforderlich: u.a. Supermärkte, sonstige Geschäftslokale, Betriebsstätten] -Rechtsvorschriften oder gerichtliche Entscheidungen auferlegen dem Auftraggeber besondere Sorgfaltspflichten zum Schutz von Personen/Objekten (Abs. 4 Z 2) [Tankstellen, Straßentunnel-Sicherheitsgesetz–STSG, ÖFB/Vereinsstatuten,...] DSG Videoüberwachung

39 © ARGE DATEN 2015 ARGE DATEN Videoüberwachung - zulässiger Einsatz IIb (DSG 2000 § 50a Abs. 4, 5) -bloße Echtzeitüberwachung (keine Aufzeichnung/Speicherung) zum Schutz von Leib/Leben oder Eigentum des Auftraggebers (Abs. 4 Z 3) ["verlängertes Auge": Monitore bei Hauseingängen, Garagen] Absolute Beschränkungen zu den Fällen Abs. 4 Z 1-3: -keine Überwachung höchstpersönlicher Lebensbereiche [kein ToilettenTV, Privatwohnungen, Umkleidekabinen, Umkleideräume??, Krankenbetten??, Gräber??, Betstätten??] -nicht zum Zweck der Mitarbeiterkontrolle [laut EB gemeint: Leistungskontrolle] DSG Videoüberwachung

40 © ARGE DATEN 2015 ARGE DATEN Videoüberwachung - weitere zulässige Verwendung ("Zufallsfunde") (DSG 2000 § 50a Abs. 6) -an Behörden und Gerichte bei Verdacht einer von Amts wegen gerichtlich bedrohten strafbaren Handlung [keine Privatanklagedelikte, Zivilverfahren, Verwaltungsübertretungen] -an Sicherheitsbehörden nach SPG § 53 Abs. 5 [Behörden entscheiden über Notwendigkeit] -Durchsetzungsbefugnisse zur Herausgabe von Beweismitteln bleiben bestehen [kein Entschlagungsgrund wegen DSG 2000 § 50a] DSG Videoüberwachung

41 © ARGE DATEN 2015 ARGE DATEN Videoüberwachung - Verwertungsverbote (DSG 2000 § 50a Abs. 7) -Videodaten dürfen nicht automationsunterstützt mit anderen Bilddaten abgeglichen werden [Verbot von Face- Recognition, unklar: Verbot von Bewegungsanalysen, von Abgleich mit Bedrohungsmustern] -kein systematisches Durchsuchen nach sensiblen Auswahlkriterium [etwa: Hautfarbe, Geschlecht,...] DSG Videoüberwachung

42 © ARGE DATEN 2015 ARGE DATEN Videoüberwachung - Regeln zur Verwendung der Daten (DSG 2000 § 50b) -Jede Datenverwendung ist zu protokollieren (Ausnahme Echtzeitüberwachung) (Abs. 1) [Erweiterung der Protokollpflicht des § 14 DSG 2000] [zur Dauer der Aufbewahrung der Protokolldaten wird keine Aussage gemacht, § 14 geht von drei Jahren aus] -nicht dem ursprünglichen Zweck entsprechende Daten sind nach 72 Stunden zu löschen Längere Aufbewahrungszeiten sind auf begründeten Antrag möglich (Abs. 2) DSG Videoüberwachung

43 © ARGE DATEN 2015 ARGE DATEN Videoüberwachung - Meldepflicht I (DSG 2000 § 50c) Abgestufte Meldepflicht -keine Meldepflicht bei Echtzeitüberwachung, bei Aufzeichnung auf analogem Speichermedium (Abs. 2) [konvertieren würde aber zu Meldepflicht führen!] -keine Meldepflicht bei den sonstigen Ausnahmen nach § 17 Abs. 2 und 3 DSG 2000, insbesondere bei Standardanwendungen SA032 (Abs. 2) -vereinfachte Meldepflicht bei Verschlüsselung der Videodaten und Hinterlegung des Schlüssels bei der DSB (Abs. 1) DSG Videoüberwachung

44 © ARGE DATEN 2015 ARGE DATEN Videoüberwachung - Meldepflicht II (DSG 2000 § 50c) -alle anderen Fälle unterliegen der Vorabkontrolle (Abs. 2) Mehrere gleichartige Standorte und Überwachungsgründe können in einer Meldung zusammen gefasst werden (Abs.3) DSG Videoüberwachung

45 © ARGE DATEN 2015 ARGE DATEN Videoüberwachung - Kennzeichnungspflicht (DSG 2000 § 50d) -jede Videoüberwachung ist zu kennzeichnen (Abs. 1) [umfasst auch nicht registrierungspflichtige] -der Auftraggeber muss aus der Kennzeichnung eindeutig erkennbar sein, es sei denn er ist dem Betroffenen bereits bekannt (Abs. 1) -Kennzeichnung muss so erfolgen, dass potentiell Betroffene der Überwachung ausweichen können (Abs. 1) -keine Kennzeichnungspflicht beim Vollzug hoheitlicher Aufgaben, die unter die Ausnahmen nach § 17 Abs. 3 DSG 2000 fallen (Abs. 2) [Keine sonstige Ausnahme von der Kennzeichnung für Private (etwa zur verdeckten Observation)] DSG Videoüberwachung

46 © ARGE DATEN 2015 ARGE DATEN Videoüberwachung - Auskunftsrecht (DSG 2000 § 50e Abs. 1) besonderes Auskunftsrecht notwendig, da Videoüberwachung als indirekt personenbezogene Daten vom Auskunftsrecht nach § 26 DSG 2000 ausgenommen wäre Auskunft ist zu erteilen, wenn Antragsteller -Zeitraum und Ort der Überwachung möglichst genau benannt hat -seine Identität geeignet nachgewiesen hat Auskunft ist zu geben (a) Kopie der Aufzeichnung in einem "üblichen technischen Format" (b) alle anderen Daten analog § 26 DSG 2000 DSG Videoüberwachung

47 © ARGE DATEN 2015 ARGE DATEN U4 U3 U2 U1 U5 U6 U7 U4 U3 U2 U1 Betreiber U5 U6 U7 -geeigneter Betreiber ist zu bestellen -Betreiber ist der DSK zu melden -Betreiber übernimmt Auskunftspflichten DSG Informationsverbundsystem

48 © ARGE DATEN 2015 ARGE DATEN Was ist ein Informationsverbundsystem (IVS)? (§ 50) gemeinsame Verwendung von Daten in einer DA durch mehrere [österreichische] Auftraggeber geeigneter Betreiber ist zu bestellen Betreiber ist zwecks Eintrag im DVR zu melden Betreiber hat Auskünfte über Auftraggeber zu geben (12 Wochenfrist!) es können weitere Auftraggeberpflichten an den Betreiber abgetreten werden Meldepflichten des Informationsverbundsystems können an Betreiber formlos übertragen werden (Abs. 2) Erleichterungen der Meldung zusätzlicher Teilnehmer an Informationsverbundsystem: es genügt Verweis auf andere Meldung (Abs. 2a) Stand lt. DVR-Online: 133 Anwendungen gemeldet, davon ca. 80% aus dem öffentlich-rechtlichen Bereich, 20% private DSG Informationsverbundsystem

49 © ARGE DATEN 2015 ARGE DATEN Verwendung von Daten für Wissenschaft und Forschung (§ 46) -Verwendung im Sinne dieser Bestimmung liegt vor, wenn Ergebnisse nicht personenbezogen sind -effektive Anonymisierung so bald als möglich notwendig, "Pseudonymisierung/Codierung" nicht ausreichend Folgende Daten dürfen verwendet werden: -öffentlich zugängliche Daten (Abs. 1 Z 1) -Daten, die der Auftraggeber zu anderen Zwecken ermittelt hat (Abs. 1 Z 2) -indirekt personenbezogene Daten (Abs. 1 Z 3) -gemäss gesetzlicher Vorschriften (Abs. 2 Z 1) -mit Zustimmung des Betroffenen (Abs. 2 Z 2) -Weitere Verwendungsmöglichkeit mit Genehmigung der DSB (Abs. 2 Z 3) DSG Spezialregelungen

50 © ARGE DATEN 2015 ARGE DATEN Verwendung von Daten für Wissenschaft und Forschung (§ 46) II DSK K /002-DSK/2001 ("öffentliches Interesse") von öffentlicher Hand geförderte Forschung liegt immer im öffentlichen Interesse DSK K /003-DSK/2003 ("Leiharbeit und Neue Selbständige") Verwendung von Personendaten (inkl. SV-Nummer) aus SVA, dem HV, den Gebietskrankenkassen und dem BMWA nach Vorlage eines Verwendungskonzepts genehmigt DSK K /006-DSK/2003 ("Suizidforschung") Die Verwendung der Daten Verstorbener fällt nicht in den Genehmigungsbereich der DSK/DSB DSG Spezialregelungen

51 © ARGE DATEN 2015 ARGE DATEN Bereitstellung von Adressen zu Verständigungs- /Befragungszwecken [inkl. Werbung] (§ 47) Grundsätzlich gilt: auch die Übermittlung von Adressen ist durch Betroffenen zustimmungspflichtig Ausnahme: Voraussetzung ist das Fehlen der Beeinträchtigung der Geheimhaltungsinteressen UND -Verwendung der Daten desselben Auftraggebers (Z 1) oder -bei Benachrichtigung/Befragung durch Dritte, wenn daran öffentliches Interesse besteht (Z 2 lit. a) oder -der Betroffene nach entsprechender Information keinen Widerspruch eingelegt hat (Z 2 lit. b) Weitere Möglichkeiten mit Genehmigung der DSB Verwendungsbeschränkung der Adressen! Löschungspflicht (!) nach Verwendung DSG Spezialregelungen

52 © ARGE DATEN 2015 ARGE DATEN Sonderbestimmungen zu Adressenverlagen / Werbung -§ 151 GewO1994 ("Listenprivileg" der Adressenverlage) -§ 107 TKG 2003 (Werbeverbot Telefon/Fax/ /SMS) GewO-Bestimmung ist Weitergabeermächtigung -Inhaber von Kunden/Interessentenlisten dürfen nur bestimmte Daten ohne Zustimmung des Betroffenen weitergeben -auf Widerspruchsmöglichkeit muss hingewiesen werden -zulässige Datenarten: Namen, Geschlecht, Titel, akademischer Grad, Anschrift, Geburtsdatum, Berufs-, Branchen- oder Geschäftsbezeichnung, Zugehörigkeit zu Kunden-/Interessentendatei -gesetzliche Sperrliste ("Robinsonliste") ist von Adressverlagen zu beachten! -Löschungsanspruch gegenüber gewerblichen Adressenverlagen! DSG Spezialregelungen

53 © ARGE DATEN 2015 ARGE DATEN Besondere Dienstleisterverpflichtungen Registrierung von Datenanwendungen Genehmigung / Registrierung Kontrollbefugnisse DSB Internationaler Datenverkehr

54 © ARGE DATEN 2015 ARGE DATEN DSG Kontrollbefugnisse Konzept der Vorabkontrolle (DSG 2000 § 10, § 18 Abs. 2, §§ 20, 21, 30, § 10) bestimmte Datenanwendungen unterliegen einer Vorabkontrolle durch DSB -DA's die sensible Daten verwenden -DA's die in Form eines Informationsverbundsystems betrieben werden -registrierungspflichtige Videoüberwachungen -DA's die Daten zur Beurteilung der Kreditwürdigkeit dienen bzw. strafrechtlich relevante Daten verarbeiten Voraussetzungen der Vorabkontrolle: Prüfung auch ohne Verdachtsmomente möglich Auflagen zum Betrieb der Datenanwendung können erteilt werden

55 © ARGE DATEN 2015 ARGE DATEN DSG Dienstleister Dienstleister im Sinne des DSG 2000 (§§ 10f) -Dienstleistung liegt vor, wenn ein Verantwortlicher jemanden Dritten für die Durchführung bestimmter Verarbeitungsaufgaben betraut -Geeignete Vereinbarungen sind zu treffen -Vereinbarungen sind zu überprüfen/überwachen ["überzeugen"]  wie bei Cloud-Computing umsetzen? -Meldepflicht an DSB bei Datenverarbeitungen des öffentlichen Bereichs, die der Vorabkontrolle unterliegen (z.B. bei Verwendung von Gesundheitsdaten), jedoch keine Meldepflicht bei verbundenen Unternehmen -Subdienstleister nur mit Billigung des Auftraggebers Schriftliche Vereinbarung notwendig! (§ 11 Abs. 2 DSG 2000)

56 © ARGE DATEN 2015 ARGE DATEN Registrierung von Datenanwendungen (§§ 16ff) -Grundsätzlich besteht für jede Datenanwendung Registrierungspflicht, aber: es sind nicht alle Datenanwendungen zu registrieren (§ 17) -Jede Registrierung erfolgt für bestimmte Datenanwendung, für bestimmte Datenarten, bestimmte Personengruppen und bestimmte Zwecke (§ 17) -Eine DVR-Nummer wird einem Unternehmen (Organisation) bei erstmaliger Registrierung einer DA zugeteilt (§ 21) -Registrierung ist kostenlos (§ 53) -Registrierung soll Transparenz sichern (§ 16) -Jedermann kann Einsicht in Registrierung nehmen (§ 16) -Vereinfachte Registrierung bei Muster-Datenanwendungen (§ 19) DSG Registrierung und Genehmigung

57 © ARGE DATEN 2015 ARGE DATEN Registrierungsfreiheit (§ 17) -Standardanwendungen -DA enthält ausschließlich (!) veröffentlichte Daten (typischerweise Telefonbuch-CDs u.ä.) -Führung öffentlich einsehbarer, gesetzlich vorgesehener Register -ausschließlich indirekt personenbezogene Daten -persönliche Datenanwendungen -publizistische Datenanwendungen -manuelle Datenanwendungen, die nicht der Vorabkontrolle unterliegen -bestimmte DA‘s der Republik Österreich -DA für Zwecke der Strafverfolgung DSG Registrierung und Genehmigung

58 © ARGE DATEN 2015 ARGE DATEN Registrierungsverfahren (seit ) (DSG 2000 § 17 Abs. 1a) -Meldungen haben über Internetanwendung zu erfolgen - Authentifizierung erfolgt durch Bürgerkarte, Handy- Signatur oder USP - -Meldung und nicht-elektronische Meldung bei manuellen Dateien und bei längerem technischen Ausfall der Internetanwendung möglich -Details sind in der Verordnung des BKA nach § 16 Abs. 3 geregelt (DSG 2000 § 19 Abs. 3a) -Erklärung des Auftraggebers ob es sich um vorabkontrollpflichtige Datenanwendung handelt DSG Registrierung

59 © ARGE DATEN 2015 ARGE DATEN Registrierungsverfahren II (DSG 2000 § 19 Abs. 2) -Möglichkeit der Meldung befristeter oder durch bestimmte Bedingungen/Auflagen beschränkte Datenanwendungen [etwa auch für reinen Testbetrieb] -Auflagen, Bedingungen und Befristungen müssen jedoch ausreichend bestimmt sein Die Prüf- und Verbesserungsbestimmungen §§ DSG 2000 wurden neu formuliert, § 22a (Überprüfungsverfahren) ist völlig neu. DSG Registrierung

60 © ARGE DATEN 2015 ARGE DATEN Registrierungsverfahren III (DSG 2000 § 21 "Registrierung") Eintragung im Datenverarbeitungsregister, wenn -Plausibilitätsprüfung fehlerfrei oder -Prüfung auf Mangelhaftigkeit fehlerfrei oder -nach Einlangen einer auf Mangelhaftigkeit zu prüfenden Meldung zwei Monate vergangen sind oder -aufgetragene Verbesserungen vorgenommen wurden Es können bei vorabkontrollpflichtigen Anwendungen Auflagen, Bedingungen oder Befristungen ausgesprochen werden Auftraggeber ist von Registrierung geeignet zu verständigen DSG Registrierung

61 © ARGE DATEN 2015 ARGE DATEN Registrierungsverfahren IV (DSG 2000 § 22 "Richtigstellung und Rechtsnachfolge") -Änderungen/Streichungen von Amts wegen oder durch Antrag des Auftraggebers möglich -Änderungen sind sieben Jahre ersichtlich zu machen -Einträge sind zu streichen, wenn Rechtsgrundlage fehlt, Befristungen abgelaufen sind oder eine Datenanwendung nicht mehr benötigt wird -amtswegige Änderungen und Streichungen sind mit Mandatsbescheid zu verfügen -Rechtsnachfolger kann einzelne oder alle Datenanwendungen übernehmen, kann auch DVR-Nummer übernehmen [Ausgliederungen, Konkursverfahren,...] DSG Registrierung

62 © ARGE DATEN 2015 ARGE DATEN Internationaler Datenverkehr (§§ 12, 13, 55) Genehmigungsfreiheit (EU: "Datenexport") -innergemeinschaftlicher Datenverkehr -gleichwertige Datenschutzgesetzgebung -im Inland zulässigerweise veröffentlichte Daten -notwendige Grundlage zur Vertragserfüllung mit Betroffenen -persönliche oder publizistische DA‘s -mit Zustimmung des Betroffenen -wenn Datenverkehr in Standard- und Musteranwendungen vorgesehen -bei Akten und Dokumenten (Entscheidung DSK K /13- DSK/00 "gegenseitige Information zu Waffenexporten") -Theoretisch: bei Verwendung der EU-Standardvertragsklauseln (jedoch fehlt Verordnung des Bundeskanzlers!) DSG Internationaler Datenverkehr

63 © ARGE DATEN 2015 ARGE DATEN Genehmigungsfrei (weil gleichwertig) -gleichwertig auf Grund EWR-Verträge Island, Norwegen, Liechtenstein -gleichwertig gem. Kommissionsentscheidung Schweiz ( ), Kanada ( ), Argentinien ( ), Israel ( ), Uruguay ( ), Neuseeland ( ) + Andorra, Färöer Islands, Guernsey, Isle of Man, Jersey -USA (nur bereichs- oder unternehmensbezogen, etwa wenn SafeHarbour-Vereinbarung beigetreten, SWIFT- oder PassengerNameRecord-Abkommen) bei allen anderen Staaten hat sich der Betroffene bzw. der Auftraggeber um den Datenschutz zu kümmern DSG Internationaler Datenverkehr

64 © ARGE DATEN 2015 ARGE DATEN Internationaler Datenverkehr II (§§ 12, 13, 55) Genehmigungspflicht in allen anderen Fällen besteht Genehmigungspflicht (§ 13) die Genehmigung hat die DSB zu erteilen: -die Feststellungen der Europäischen Kommission sind zu beachten (Abs. 2) -im konkreten Genehmigungsfall besteht ein angemessenes Schutzniveau (Abs. 2 Z 1) [z.B. Verwendung von EU Mustervereinbarungen] -Antragsteller macht den Schutz der Geheimhaltungsinteressen des Betroffenen glaubhaft (Abs. 2 Z 2) -Novelle 2010: Möglichkeit einseitiger verbindlicher Zusagen des Auftraggebers für internationalen Datenverkehr (Abs. 2 Z 2) -seit sind vor erteilte Genehmigungen zu erneuern (sofern weiterhin Genehmigung erforderlich) DSG Internationaler Datenverkehr

65 © ARGE DATEN 2015 ARGE DATEN Datenschutzaufsicht (§§ 35-40) bis : Datenschutzkommission (DSK) -Oberste Kontrollbehörde [jedoch nicht für alle Bereiche] - als "unabhängige" Instanz eingerichtet (Form eines Tribunals) - 6 Mitglieder + 6 Ersatzmitglieder - Geschäftsapparat: 20 Personen, davon 11 A-Beamte (lt. DSK- Bericht 2009), EU-Schnitt: 45 Personen! (Verteilung: 11,5 MA für DVR, 8,5 MA für alles andere) -EuGH hat für Österreich mangelnde Unabhängigkeit der DSK festgestellt, in DSG-Novelle 2013 saniert ab : Datenschutzbehörde (DSB) -Kontrollbehörde erster Instanz (Verwaltungseinrichtung) -Beschwerde- und Aufsichtsstelle (zweite Instanz): Teil des "Bundesverwaltungsgericht" DSG Kontrollbestimmungen

66 © ARGE DATEN 2015 ARGE DATEN DSG Kontrollbefugnisse Möglichkeiten der Kontrolle durch DSB: (a)vor Aufnahme einer Datenanwendung (Vorabkontrolle, § 18) (b)bei begründetem Verdacht einer Verletzung der Datenschutz-Bestimmungen ("Ombudsverfahren" § 30) (c)Im Zuge von Beschwerdeverfahren Betroffener (§ 31, 31a) (d) DSB kann jederzeit Meldepflicht prüfen (DSG Novelle 2010: § 22a) [Gesetzgeber hofft laut EB zu Novelle 2010 nunmehr praktikable Kontrollmöglichkeiten für DSB geschaffen zu haben]

67 © ARGE DATEN 2015 ARGE DATEN Besondere Fragestellungen Gesundheitsdaten (sensible Daten) Auskunftsersuchen Klientendaten Ausgangslage Wiener Sozialdienste Empfehlungen

68 © ARGE DATEN 2015 Ausgangslage Wiener Sozialdienste Organisation Wiener Sozialdienste ARGE DATEN Wiener Sozialdienste (Verein) ZVR: DVR: Tätigkeit und Rechtsgrundlage der Datenverwendung durch Statuten geregelt Wiener Sozialdienste Förderung & Begleitung GmbH FN: m DVR: Tätigkeit und Rechtsgrundlage Datenverwendung durch Gewerbeordnung (sonst. Ambulat., Tageskliniken), Gesellschaftervertrag, branchenübliches Verhalten geregelt Wiener Sozialdienste Alten- und Pflegedienste GmbH FN: p DVR: Tätigkeit und Rechtsgrundlage Datenverwendung durch Gewerbeordnung (???), Gesellschafter- vertrag, branchenübliches Verhalten geregelt Drei rechtlich unabhängig zu betrachtende Einrichtungen, es gibt keine "Konzern"- oder "Gruppen"-Erleichterungen Im Falle gemeinsamer Nutzung von Klienten-, Mitarbeiter- oder Lieferantendaten liegt ein (meldepflichtiger) Informationsverbund vor

69 © ARGE DATEN 2015 Datenschutzkonforme Übermittlung von Patientendaten und/oder Mitarbeiterdaten? (1)Patientendaten / Mitarbeiterdaten sind getrennt zu behandeln (2)Prüfen welche Bestimmungen anzuwenden sind Patientendaten (a)Patientendaten  Gesundheitsdaten  sensible Daten gemäß § 4 Z 2 DSG 2000  Verarbeitungsbeschränkung! (b)liegt überhaupt Übermittlung vor?  weitere Möglichkeiten: "Weitergabe", "Überlassung", "Mitteilung an Betroffenen",... (c)Welche Rechtsgrundlage hat Übermittlung?  Zustimmung des Betroffenen, medizinischer Notfall, gesetzliche Bestimmungen, (Behandlungs-)Vertrag,... (d)Wer ist Auftraggeber der Gesundheitsdaten-Anwendung? Wer ist Empfänger der Gesundheitsdaten? Variante 1: Auftraggeber und Empfänger sind GDA's Variante 2: Auftraggeber ist kein GDA ARGE DATEN Verwendung von Gesundheitsdaten

70 © ARGE DATEN 2015 Auftraggeber ist GDA -Wer ist GDA? in GTelG 2012 § 2 Z 2 iV GTelV 2013 sehr weitreichend geregelt: Auftraggeber oder Dienstleister gemäß § 4 DSG 2000, die regelmäßig Gesundheitsdaten in elektronischer Form zu folgenden Zwecken verwenden: a) medizinische Behandlung oder Versorgung oder b) pflegerische Betreuung oder c) Verrechnung von Gesundheitsdienstleistungen oder d) Versicherung von Gesundheitsrisiken oder e) Wahrnehmung von Patient/inn/en/rechten -elektronische Weitergabe unterliegt GTelG 2012 §§ 3-8 Weitergabe, unabhängig ob Übermittlung oder Überlassung! ARGE DATEN Verwendung von Gesundheitsdaten

71 © ARGE DATEN 2015 ARGE DATEN Abschnitt 2 GTelG 2012 "Datensicherheit bei der elektronischen Weitergabe von Gesundheitsdaten" -Verwendung muss Rollenkonzept entsprechen (§ 3 Abs. 3) der Auftraggeber muss in einer definierten Rolle tätig sein -Weitergabe muss Grundsätzen entsprechen (§ 3 Abs. 4): 1. Weitergabe zulässig nach § 9 DSG Identität (§ 4) des Betroffenen muss bestimmt sein 3. Identität (§ 4) der an Weitergabe beteiligten GDAs muss nachgewiesen sein 4. Rollen (§ 5) der an Weitergabe beteiligten GDAs muss nachgewiesen sein 5. Vertraulichkeit (§ 6) der Weitergabe ist gewährleistet 6. Integrität (§ 7) der weitergegebenen Gesundheitsdaten ist gewährleistet Verwendung von Gesundheitsdaten

72 © ARGE DATEN 2015 Identitätsprüfung (§ 4 GTelG 2012) -Patienten: mittels Patientenindex (enthält u.a. bPK-GH) -GDA: 1. Verwendung elektronischer Signaturen, die auf qualifizierte Zertifikate rückführbar sein müssen, sowie bereichsspezifische Personenkennzeichen (§ 9 E-GovG) oder 2. elektronischer Abgleich mit dem eHealth-Verzeichnisdienst (§ 9) oder 3. elektronischer Abgleich mit dem GDA-Index (§ 19) Die Indices und Verzeichnisse sind derzeit im Aufbau! ARGE DATEN Verwendung von Gesundheitsdaten

73 © ARGE DATEN 2015 Vertraulichkeit (§ 6 GTelG 2012) Abs. 1 Z 1 geschlossene ("gesicherte") Netze: -nach Stand der Technik abgesichert -kryptographische oder bauliche Absicherung -Authentifizierung der Benutzer oder Abs. 1 Z 2 sichere Verschlüsselung: -vollständige Verschlüsselung der Gesundheitsdaten -geeignete kryptographische Algorithmen Cloud-Computing ausdrücklich erlaubt, wenn Speicherung verschlüsselt erfolgt (iS Abs. 1 Z 2) Ansonsten keine Vorgaben zur Speicherung der Gesundheitsdaten ARGE DATEN Verwendung von Gesundheitsdaten

74 © ARGE DATEN 2015 ARGE DATEN Integrität (§ 7 GTelG 2012) Abs. 1 Signatur erforderlich -Verwendung fortgeschrittener oder qualifizierter elektronischer Signaturen gemäß § 2 Z 3 SigG Jedoch: Keine Anwendung, wenn Austausch über Netze erfolgt, die gemäß § 6 Abs. 1 Z 1 ("gesicherte Netze") abgesichert sind und "geschlossen" sind Datensicherheit (§ 8 GTelG 2012) Abs. 1 Verweis auf § 14 DSG 2000 Jedoch: Rechtsträger der Krankenanstalten, Berufs- Kammern, Hauptverband können für ihre Bereiche Standardverfahren vorgeben Verwendung von Gesundheitsdaten

75 © ARGE DATEN 2015 ARGE DATEN soweit die Gesetzestheorie Verwendung von Gesundheitsdaten tatsächlich (seit 2012!!) umfassende Ausnahme- und Übergangsbestimmungen, deren Ende nicht absehbar sind § 27 Abs. 10 und 12 setzen de facto die Sicherheitsvorgaben dauerhaft außer Kraft Identitätsprüfung kann im "Freistil" erfolgen: Abs. 10Z 1.persönlichen Kontakt oder Z 2.telefonischen Kontakt oder Z 3.Vertragsbestimmungen oder -Übermittlung von sensiblen Gesundheitsdaten ist auch per Fax erlaubt (Abs. 12) -die als "Ausnahme" formulierte Übermittlungsmöglichkeit ist heute weiterhin die Standardübermittlung gegenüber Behörden und SV-Träger

76 © ARGE DATEN 2015 Patienten werden in Ambulatorien aufgerufen -Handelt es sich um Verwenden von Daten? Information, dass jemand in Behandlung ist, ist grundsätzlich schutzwürdige Information iS § 1 DSG 2000 "Verwenden" iS § 4 Z 8 DSG 2000 unterscheidet nicht zwischen technischen Verarbeitungsformen -Ist die Vorgangsweise zulässig? es besteht Geheimhaltungsanspruch nach § 1 DSG 2000 ebenso wie: Aushang der Krankengeschichte an Bett, Aushang Prüfungsergebnisse auf Uni,... ARGE DATEN -(praktikable) Lösungsmöglichkeiten? Hinweis auf Aufruf mit Namen und Möglichkeit Nummer / Pseudonym zu verlangen Verwendung von Gesundheitsdaten

77 © ARGE DATEN 2015 ARGE DATEN Haftung bei fehlendem Zugriffsschutz EGMR Entscheidung I. gegen Finnland (20511/03) Sachverhalt: Eine finnische Krankenschwester lässt sich im Spital in dem sie arbeitet wegen einer HIV-Infektion behandeln. Kurz darauf wird sie "gemobbt". Der Beweis, dass Personalführung rechtswidrig auf die Patientendaten zugegriffen hat misslingt. Entscheidung des EGMR: Es liegt trotzdem eine Verletzung des Grundrechts auf Privatsphäre vor (Art. 8 EMRK), da unzureichendes Sicherheitsmaßnahmen gesetzt waren. Konsequenz: Aus der Schutzverpflichtung erwächst die positive Pflicht, Personendaten effektiv und praktisch vor der Möglichkeit eines unautorisierten Zugriffs zu schützen; es reicht nicht aus, wenn dem Betroffenen eine Beschwerdemöglichkeit bei Datenmissbrauch gewährt wird Sicherheitsmaßnahmen - Haftung

78 © ARGE DATEN 2015 ARGE DATEN Haftung bei fehlendem Zugriffsschutz II OGH Entscheidung 6 Ob 25/13i Sachverhalt: Ein Arzt ließ seinen PC bei Verlassen seines Dienstzimmers ungesichert eingeschalten und ermöglichte das Abrufen der Krankenakte durch andere im Zimmer aufhältige Personen. Entscheidung: Der unauthorisierte Zugriff auf die Patientenakte wird als Störhandlung qualifiziert, die nicht nur der unmittelbare Störer, sondern auch der Arzt, der diese Handlung ermöglichte zu verantworten hat. OGH verweist ausdrücklich auf 9 Ob 126/12s (Redaktionsentscheidung) Sicherheitsmaßnahmen - Haftung

79 © ARGE DATEN 2015 ARGE DATEN Datenschutzrechtliche Stellung von Klientendaten -Klientenbeziehungen sind im Grundsatz vertraulich, fallen daher unter die Bestimmungen des DSG interne Verwendung von Klientendaten ergibt sich aus der Art der Geschäftsbeziehung (Vertrag), dazu ist keine gesonderte Datenschutzvereinbarung erforderlich, jedoch Informationspflicht zu Auftraggeber und Zweck der Datenverwendung (§ 24 DSG 2000) -Verwendung (inkl. Übermittlung) durch/an Dritte die vertraglich erforderlich ist, ist durch § 8 Abs. 1 Z 4 DSG 2000 geregelt -Veröffentlichung von Klientendaten (auch wenn nur mit Name und Adresse) als Referenz ist ein eigener Zweck (Marketing für eigene Zwecke) und bedarf der Zustimmung des Klienten -sonstige Übermittlungen an Behörden oder Dritte bedürfen - der Zustimmung des Klienten oder - einer vertraglichen Vereinbarung oder - einer gesetzlichen Regelung oder - Daten sind "allgemein verfügbar" Auskunftsersuchen Klientendaten

80 © ARGE DATEN 2015 ARGE DATEN Datenschutzrechtliche Stellung von Klientendaten II -selbst wenn Klient "im Telefonbuch steht", ist die Tatsache Klient zu sein, in der Regel nicht allgemein verfügbar -auch die Weitergabe von Klientendaten an Gesellschafter ist eine Übermitlung an Dritte und bedarf einer rechtlichen Grundlage Verpflichtung des Auftraggebers bei Auskunftswünschen - Prüfung der Rechtsgrundlage -Prüfung des Anfragenden (des berechtigten Empfängers) -Prinzip der Minimalität der Auskunft -Sichere Übermittlung der Daten Werden diese Verpflichtungen verabsäumt besteht Schadenersatzanspruch durch Klienten u.a. § 33 DSG 2000 Auskunftsersuchen Klientendaten

81 © ARGE DATEN 2015 ARGE DATEN Weitergabe an Behörden -zahlreiche gesetzliche Bestimmungen sehen Weitergabe vor Auswahl allgemeine Auskunftspflichten - ZPO ("Zivilprozessordnung") - StPO ("Strafprozessordnung") - SPG ("Sicherheitspolizeigesetz") - BAO ("Bundesabgabenordnung") - ECG ("E-Commerce Gesetz") - TKG 2003 ("Telekommunikationsgesetz") - UrhG ("Urheberrechtsgesetz") Auswahl gesundheitsbezogene Meldepflichten -Ärztegesetz (§ 54) -Epidemiegesetz 1950 (§ 1) -Geschlechtskrankheitengesetz (§ 4) -Gesundheits- und Krankenpflegegesetz (§ 8) -Suchtmittelgesetz (§ 24a) Auskunftsersuchen Klientendaten

82 © ARGE DATEN 2015 ARGE DATEN Datenschutz im Sicherheitspolizeigesetz (SPG) Regelt Tätigkeit als Sicherheitspolizei, Datenerhebung erfolgt im eigenen Ermessen -Regelung der Verarbeitungsvoraussetzungen (§ 53 Abs. 1) -Regelung zu den Ermittlungsstellen (§ 53 Abs ) -Regelung zum Datenabgleich (§ 53 Abs. 2) -allgemeine Regelung zu Datenanwendungen und Umfang der verarbeiteten Daten (§§ 53a, 53b) -Regelung der technischen Datenermittlung (§ 54) -Regelung der Datenübermittlung (§ 56) -Regelung zu bestimmten (zentralen) Datenanwendungen +zentrale Personenevidenz (§§ 57, 58) +Sicherheitsmonitor (§ 58a) + Vollzugsverwaltung (§ 58b) +zentrale Gewaltschutzdatei (§ 58c) +zentrale Analysedatei (§ 58d) +(zentrale) erkennungsdienstliche Evidenz (§§ ) ARGE DATEN Auskunftsersuchen Klientendaten

83 © ARGE DATEN 2015 ARGE DATEN SPG - Verarbeitungsvoraussetzungen Unter welchen Bedingungen dürfen personenbezogene Daten verwendet werden? -Dokumentation von Amtshandlungen (§§ 13, 13a) -Ermittlung von sachdienlichen Hinweisen im Rahmen der "ersten allgemeinen Hilfeleistungspflicht" (§§ 19, 34, 53 Abs. 1 Z 1) Beschränkungen: u.a. Auskunft kann nicht durch Ausübung von Zwangsgewalt durchgesetzt werden, Gefährdeter lehnt Hilfe ab -§ 53 listet zulässige Verarbeitungen auf, u.a. Abwehr krimineller Verbindungen iS § 16 Abs. 1 Z 2 (§ 53 Abs. 1 Z 1) Abwehr gefährlicher Angriffe iS § 16 Abs. 2 (§ 53 Abs. 1 Z 3) Zwecke der Fahnung iS § 24 (§ 53 Abs. 1 Z 5) Aufrechterhaltung der öffentlichen Ordnung bei einem bestimmten Ereignis (§ 53 Abs. 1 Z 6) Beschränkungen: Datenabgleich "Rasterfahndung" iS StPO § 141 ist unzulässig (§ 53 Abs. 2) ARGE DATEN Auskunftsersuchen Klientendaten

84 © ARGE DATEN 2015 ARGE DATEN SPG - Verarbeitungsvoraussetzungen II -Verarbeitungsermächtigungen im Zusammenhang mit wahrscheinlichen Straftaten: Vorbeugung wahrscheinlicher gefährlicher Angriffe (§ 53 Abs. 1 Z 4) Analyse und Bewertung der Wahrscheinlichkeit der Gefährdung verfassungsmäßiger Einrichtungen (§ 53 Abs. 1 Z 7) -Verarbeitungsermächtigung auch zur "erweiterten Gefahrenerforschung" iS § 21 Abs. iVm § 53 Abs. 1 Z 2a und § 91 Abs 3 ("Rechtsschutzbeauftragter") diese Verarbeitungermächtigungen werden regelmäßig kritisiert, da ihre Abgrenzung zur permanenten Überwachung legitimer persönlicher Lebensführung inkl. Meinungsfreiheit ungenau ist ARGE DATEN Auskunftsersuchen Klientendaten

85 © ARGE DATEN 2015 ARGE DATEN SPG - Regelung Ermittlungsstellen § 53 -"Generalermächtigung": alle verfügbaren Quellen durch Einsatz geeigneter Mittel, insbsondere Zugriff auf allgemein zugängliche Daten (§ 53 Abs. 4) -Auskunftsverpflichtung von Gebietskörperschaften / Körperschaften öffentlichen Rechts (§ 53 Abs. 3) Anwendungsfall: Abwehr krimineller Verbindungen (  § 53 Abs. 1 Z 2), erweiterte Gefahrenerforschung (  § 53 Abs. 1 Z 2a) und Abwehr gefährlicher Angriffe (  § 53 Abs. 1 Z 3) Beschränkungen: Auskunftsverweigerung nur bei überwiegenden öffentlichen Interessen, Amtsverschwiegenheit allein kein Verweigerungsgrund -Auskunftsverpflichtung von Behörden des Bundes, Landes, Gemeinden im Zusammenhang mit gefährliche Umweltangriffe (§ 53 Abs. 3d) keine Auskunftsverweigerung vorgesehen ARGE DATEN Auskunftsersuchen Klientendaten

86 © ARGE DATEN 2015 ARGE DATEN SPG - Regelung Ermittlungsstellen § 53 II -Verwendung von Bild- und Tondaten von öffentlichen und privaten Rechtsträgern (§ 53 Abs. 5) Anwendungsfall: schwere Gefahr der öffentlichen Sicherheit (  ??), erweiterte Gefahrenerforschung (  Abs. 1 Z 2a) und Fahndung iS § 24 (  Abs. 1 Z 5) Beschränkungen: Aufzeichnungen zu nichtöffentlichem Verhalten dürfen nicht verwendet werden, Daten müssen rechtmäßig ermittelt worden sein (dazu kann auch die Genehmigung einer Videoüberwachung durch die DSB gehören) ARGE DATEN Auskunftsersuchen Klientendaten

87 © ARGE DATEN 2015 ARGE DATEN SPG - Regelung Ermittlungsstellen § 53 III detaillierte Sonderregelung für Telekommunikationsdienste (Telefon & Internet) (§ 53 Abs. 3a, 3b, 3c) -Name, Anschrift, Teilnehmernummer: zu einem Anschluss, generell wenn SPG anwendbar ( § 53 Abs. 3a Z 1) -Internetprotokolladresse (IP-Adresse), Übermittlungszeitpunkt: zu einer Nachricht ( § 53 Abs. 3a Z 2) +Name, Anschrift: zu einer IP-Adresse ( § 53 Abs. 3a Z 3) im Rahmen der ersten Hilfeleistungspflicht (lit a) gefährlicher Angriff (lit b) kriminelle Verbindung (lit c) -Name, Anschrift, Teilnehmernummer: unter Bezugnahme auf ein Gespräch ( § 53 Abs. 3a Z 4) im Rahmen der ersten Hilfeleistungspflicht oder gefährlicher Angriff -Standortdaten, IMSI-Nummer: bei gegenwärtiger Gefahr (§ 53 Abs. 3b) ARGE DATEN Auskunftsersuchen Klientendaten

88 © ARGE DATEN 2015 ARGE DATEN ZPO ("Zivilprozessordnung") -Aussageverpflichtungen in Verfahren Dritter im wesentlichen in §§ 320ff ZPO geregelt -Aussagepflicht besteht nur als Zeuge (Einvernahme bei Gericht), jedoch keine Pflicht zur Urkundenvorlage -berufliche Verschwiegenheitsrechte haben Vorrang -Geheimhaltungsbestimmungen des DSG 2000 jedoch keine Grundlage zur Aussageverweigerung -Aussageverweigerung zur Wahrung von Betriebs- oder Geschäftsgeheimnissen des Auftraggebers möglich, muss im Einzelfall begründet werden -Ladung muss genau den Einvernahmegegenstand beschreiben, Vorbereitung auf Einvernahme durch Einsicht in Kundendaten geboten und zulässig (ansonsten Neueinvernahme möglich) -Unzulässig wäre das vorbeugende Mitnehmen/Vorlegen eines Kundenakts, die vorbeugende Erhebung oder Auswertung von Kundendaten, Auskünfte über den Ladungsgegenstand hinaus Auskunftsersuchen Klientendaten

89 © ARGE DATEN 2015 ARGE DATEN StPO ("Strafprozessordnung") -Anfrageberechtigt sind Staatsanwaltschaft oder Sicherheitsbehörden -unterschiedliche Ermittlungsformen (§ 151 StPO) - informelle Erkundungen (freiwillige Auskunft) - formelle Vernehmungen (verpflichtend) -in allen Fällen ist auf amtliche Stellung hinzuweisen -berufliche oder sonstige Entschlagungsrechte bleiben unberührt -im Falle der formellen Vernehmung kann eine Auskunft dann verweigert werden, wenn es zu einem Eingriff in den höchstpersönlichen Lebensbereich des Kunden kommt (§ 158 Abs 1 Z 3 StPO) -ansonsten sind auch sensible Daten zu beauskunften -im Falle informeller Erkundigungen sollte Auskunft über vertrauliche Kundendaten generell verweigert werden (zulässig wäre sie höchstens bei nichtsensiblen Daten im überwiegenden Interesse des Auftraggebers/Dritter) Auskunftsersuchen Klientendaten

90 © ARGE DATEN 2015 ARGE DATEN StPO ("Strafprozessordnung") II -zulässig wäre auch die Sicherstellung von Beweisstücken, bei IT Erstellung einer Kopie (§ 110 StPO) -gegen Sicherstellung ist Einspruch möglich, jedoch ohne aufschiebende Wirkung (§ 106 StPO) -Sicherstellung bedarf Anordnung der Staatsanwaltschaft -Unterlagen müssen beweisrelevant sein oder müssen beweisrelevante Spuren enthalten -Bedeutung für die konkrete Untersuchung muss nachvollziehbar sein -umfassende Sonderreglungen für die Bekanntgabe von Internet- und Telekomdaten (§ 135 StPO) -Möglichkeit eines Datenabgleichs nach § 141 StPO -Datenabgleich bedarf gerichtliche Genehmigung und entsprechenden Beschluss (§ 142 StPO) -Datenabgleich derzeit nicht von praktischer Bedeutung Auskunftsersuchen Klientendaten

91 © ARGE DATEN 2015 ARGE DATEN BAO ("Bundesabgabenordnung") -Anfrageberechtigt sind Finanzbehörden -Möglichkeit des Auskunftsverlangens (§ 143 BAO) sowie der förmlichen Zeugenladung (§ 91 BAO) -auch Nachschau ist möglich (§ 144 BAO) -umfasst Angaben zur Abgabeverpflichtung (steuerrelevante Daten) -betrifft nicht nur eigene Abgabenverpflichtung, sondern auch Abgabenverpflichtung Dritter (etwa der Kunden) -Auskunftspflicht besteht auch ohne „formelle Zeugeneinvernahme“ (strenger als StPO) -Auskunft und Nachschau kann durch die Behörde gem. § 111 BAO durch Zwangsstrafen erzwungen werden -berufsmäßige Verschwiegenheitspflicht sehen die Gesetzesbestimmungen nicht vor, Verweigerungsrecht jedoch bei Gefahr der Verletzung von Geschäftsgeheimnissen des Kunden oder des Auftraggebers Auskunftsersuchen Klientendaten

92 © ARGE DATEN 2015 Auskunfts- und Mitwirkungspflicht aller Diensteanbieter gegenüber Gerichten (§ 18 ECG Abs. 2) Hosting-Provider (§ 16) müssen auf Verlangen Name und Adresse eines Nutzers offen legen, gegenüber -Behörden, sofern die Kenntnis dieser Informationen eine wesentliche Voraussetzung der Wahrnehmung der der Behörde übertragenen Aufgaben bildet (es muss kein Delikt behauptet werden!) (Abs. 3) -dritten Personen, bei ein überwiegenden rechtlichen Interesse an der Feststellung der Identität eines Nutzers und eines rechtswidrigen Sachverhalts, Informationen muss wesentliche Voraussetzung für die Rechtsverfolgung sein (Abs. 4) Auskunft umfasst jedoch nur Namen und die Adresse des Nutzers, mit dem Hostingvereinbarung abgeschlossen wurde Gilt auch bei unentgeltlichen Diensten! ARGE DATEN ECG ("E-Commerce Gesetz") Auskunftsersuchen Klientendaten

93 © ARGE DATEN 2015 Auskunft gegenüber Verwaltungsbehörden (§ 90 Abs. 6 TKG 2003) -Name, akademischer Grad, Wohnadresse, Teilnehmernummer, Vertragsinformationen, nicht Bonitätsdaten(!) (Stammdaten gem. § 92 Abs. 3 Z 3 lit. a bis e) -Voraussetzung: Verdacht einer Verwaltungsübertretung mittels öffentlichem Telekommunikationsnetz begangen -schriftlich, begründet und nur insoweit ohne Auswertung von Verkehrsdaten möglich ARGE DATEN TKG 2003 ("Telekommunikationsgesetz") Auskunftsersuchen Klientendaten

94 © ARGE DATEN 2015 Auskunft an Notrufträger (§ 98 TKG 2003) -Name, akademischer Grad, Wohnadresse, Teilnehmernummer (Stammdaten gem. § 92 Abs. 3 Z 3 lit. a bis d) + Standortdaten (gem. § 92 Abs. 3 Z 6) -Standortdaten sind schon bei Rufaufbau bekannt zu geben -wenn aktuelle Standortdaten nicht feststellbar, dann auch Auskunft über letzte bekannte Cell-ID -Auskunftserfordernis ist durch Notrufträger zu dokumentieren und unverzüglich, spätestens innerhalb von 24 Stunden dem Betreiber vorzulegen ARGE DATEN TKG 2003 ("Telekommunikationsgesetz") II Auskunftsersuchen Klientendaten

95 © ARGE DATEN 2015 Auskunftspflicht eines Vermittlers gemäß § 87b UrhG Abs. 3 Wer in seinem Urheberrecht verletzt wurde, kann vom „Vermittler“ Auskunft zur Identität des Verletzers verlangen Unklar ob "Access-Provider" Vermittler ist, insbesondere in Hinblick auf den Ausschluss der Verantwortlichkeit nach ECG für die Durchleitung von Informationen (§13 ECG) Strittig, ob Kopierindustrie/Verwertungsgesellschaften überhaupt IP- Adressen sammeln dürfen (Interessenabwägung nach Datenschutzrecht) 2 Fragen des OGH an EuGH ( Antwort EuGH LSG/Tele2, C-557/07, ): -Ist mit „Vermittler“ auch ein reiner Access-Provider gemeint? -Wenn ja: Ist Auskunft an private Dritte zulässig oder steht dem die EU-Datenschutzrichtlinie entgegen? JA JA | NEIN | gesetzliche Regelung zulässig ARGE DATEN Auskunftsersuchen Klientendaten

96 © ARGE DATEN 2015 ARGE DATEN Weitergabe an sonstige Dritte -Weitergabe an Dritte ohne "öffentliches Interesse" wird in der Regel unzulässig sein, wenige Ausnahmen im ECG und UrhG (siehe oben) -keine Auskunftsverpflichtungen gegenüber Anwälte, Inkassobüros, Wirtschaftsauskunftsdienste,... -im Gegenteil! Auskünfte an diese Einrichtungen können zu Datenschutzverletzung + Schadenersatzpflicht führen -aber! Verurteilungen die auf Grund eines rechtswidrigen Verhaltens des Kunden und auf Basis von rechtswidriger Auskünfte des Auftraggebers erfolgen, führen zu keinem Schadenersatzanspruch! -zulässige Sonderfälle für Übermittlung möglich - Übermittlung von Kundendaten zu Zwecken der Forschung oder von Erhebungen im öffentlichen Interesse (§§ 46, 47 DSG 2000, Genehmigung der DSB erforderlich, Übermittlung freiwillig) -Übermittlung pseudonymisierter Daten (sind für Empfänger indirekt personenbezogene Daten, Übermittlung freiwillig) Auskunftsersuchen Klientendaten

97 © ARGE DATEN 2015 ARGE DATEN Weitergabe an Vertreter des Klienten -Weitergabe an Vertreter des Klienten ist nicht als Übermittlung zu klassifizieren -Umfang ident den Auskunftsansprüchen des Klienten -rechtlich einfach, jedoch ist beim Nachweis der Vertretereigenschaft ausreichende Sorgfalt anzuwenden -Berufung auf Vertretung reicht nicht, auch nicht bei Rechtsanwälten oder Notaren, schriftliche Dokumentation der Vertretungseigenschaft empfohlen -Vorbeugende Auskunftsregeln schaffen, etwa: - nur schriftliche Auskünfte - Auskunft in Form von Rückmeldung nur an intern dokumentierte Kontaktadressen (Post, Telefon, Fax, ,...) - Verwendung von vertraulichen Kennungen als Nachweis des Auskunftsanspruchs Auskunftsersuchen Klientendaten

98 © ARGE DATEN 2015 ARGE DATEN Empfehlungen an Mitarbeiter -Grundsätzlich kann jeder Mitarbeiter (nicht nur Support, Hotline,...) von einem Auskunftswunsch "überrascht" werden -Sensibilisierung von besonderen Mitarbeitergruppen, wie Telefonzentrale, Verkauf, Posteingangsstellen,... wichtig -Sensibilisierung, dass auch "einfache" Anfragen zu einer Datenschutzverletzung führen können ("Ist XY Kunde bei Ihnen?") -Klare Zuständigkeiten schaffen und laufend kommunizieren -für Standardfälle einfache Regeln schaffen, nicht "alles" auf Rechtsabteilungen oder Geschäftsführungen delegieren -Mitarbeiter trainieren Auskunftswünsche strukturiert zu erfassen, WWWW-PRINZIP: Wer möchte Welche Daten über Welche Person Warum wissen? -Nur tatsächlich angefragtes (sofern berechtigt) beauskunften -Auskunft nur über sichere Übertragungswege -Jeden Auskunftswunsch (auch unberechtigte) dokumentieren Auskunftsersuchen Klientendaten

99 © ARGE DATEN 2015 ARGE DATEN Empfehlungen an Auftraggeber -haben das Minimalitätsgebot nach § 6 DSG 2000 bei der Verwendung von Kundendaten zu beachten -"überflüssige" Kundendaten sind nach § 27 DSG 2000 zu löschen -Auskunftsverpflichtungen (StPO, SPG, BAO) beziehen sich auf die vorhandene Daten, unabhängig davon ob sie rechtmäßig (iS DSG 2000) verwendet werden -"Rechtswidrigkeit" der Daten für sich genommen, begründet noch keinen Verweigerungsgrund, sind jedoch Daten nicht vorhanden, können sie nicht beauskunftet werden -sich auf Auskunftswünsche vorbereiten, teilweise zeitkritisch -sich um sichere Übertragungswege kümmern Auskunftsersuchen Klientendaten

100 © ARGE DATEN 2015 ARGE DATEN Informationspflichten & Betroffenenrechte Recht auf Geheimhaltung (§ 1ff) Recht auf Auskunft (§ 26) Recht auf Berichtigung & Löschung (§ 27) Informationspflicht (§ 24) Recht auf Widerspruch (§ 28) Recht auf Widerruf (§ 8, 9)

101 © ARGE DATEN 2015 ARGE DATEN Entscheidungen zu § 1 DSG 2000 DSK K / K ("Geburtsdatum") Geburtsdatum auf Rsa-Schreiben zulässig, auf Infobroschüre des BMLV nicht DSK K /0015-DSK/2012 ("Geburtstagsabfragen") Schon die Abfrage des Geburtsdatums zum Zwecke des Glückwunsches durch den Bürgermeister ist unzulässig, wenn nicht gesetzlich geregelt. OGH 11Os109/01 ("allgemeine Verfügbarkeit") Geheimhaltungsanspruch auch dann gegeben, wenn Information durch Betroffenen selbst an einen beschränkten Kreis weiter gegeben wurde DSG Grundlagen

102 © ARGE DATEN 2015 ARGE DATEN Offenlegung nicht-meldepflichtiger Datenanwendungen (§ 23) -Mitteilung - auf Anfrage - welche Standardanwendungen betrieben werden (Abs. 1) -Offenlegung der Standardanwendungen gegenüber DSB bei Prüfungen (Abs. 2) Offenlegungspflicht (§ 25) Offenlegung anlässlich von Übermittlungen und Mitteilungen an Betroffene -Identität des Auftraggebers -bei registrierungspflichtigen DAs die DVR-Nummer des Auftraggebers DSG Informationspflicht

103 © ARGE DATEN 2015 ARGE DATEN Informationspflicht (§ 24 / Art. 10, 11, 14 EG-RL) Informationspflicht anlässlich Ermittlung Zweck Auftraggeber Spätestens zum Zeitpunkt der Übermittlung Entfällt, -bei Datenanwendungen, die durch Gesetz/Verordnung eingerichtet sind oder -bei mangelnder Erreichbarkeit der Betroffenen oder -bei Unwahrscheinlichkeit der Beeinträchtigung der Betroffenenrechte und Höhe der Kosten der Information Informationspflicht ist "Bringschuld" des Auftraggebers! Bei Kundenbeziehungen leicht zu erfüllen, ein Problem jedoch dort, wo Daten ohne Kundenbeziehungen verwendet werden (z.B. Adressenverlagen / Informationsdiensten) DSG Informationspflicht

104 © ARGE DATEN 2015 ARGE DATEN Informationspflicht (DSG 2000 § 24 Abs. 2a) Betroffene sind von Datenschutzverletzungen zu informieren - wenn schwerwiegend und systematisch -wenn Betroffenen Schaden droht -Ausnahme: keine Informationspflicht wenn Schaden nur "geringfügig" und Verständigungsaufwand "unverhältnismäßig hoch" Es handelt sich um eine Informationspflicht "light", die gegenüber dem ursprünglichen Entwurf erheblich reduziert wurde. DSG Informationspflicht

105 © ARGE DATEN 2015 ARGE DATEN Betroffenenrecht - Auskunft (§ 26) I Auskunft ist auf Verlangen bei Nachweis der Identität zu geben (Abs. 1) [Berufung auf DSG nicht erforderlich!] Auskunftsfrist sind 8 Wochen (Abs. 4) Antragsteller hat am Auskunftsverfahren über Befragung im zumutbaren Ausmaß mitzuwirken (Abs. 3) ungerechtfertigter Aufwand ist zu vermeiden Auskunftsrecht unabhängig von Registrierungserfordernis [!!] von einem Vertragsverhältnis von tatsächlichem Vorhandensein von Daten von sonstigen Voraussetzungen (Verdacht des Datenmissbrauchs, einer Datenweitergabe,...) DSG Betroffenenrechte

106 © ARGE DATEN 2015 ARGE DATEN Betroffenenrecht - Auskunft (§ 26) II Auftraggeber hat Auskunft zu erteilen über Zweck der Datenanwendung die verwendeten Daten in allgemein verständlicher Form verfügbare Information über ihre Herkunft allfällige Empfänger oder Empfängerkreise von Übermittlungen Name und Adresse des Dienstleisters (muss vom Betroffenen extra verlangt werden) 4 Monate Löschungsverbot nach Einlangen des Auskunftsbegehrens, aber DSG-Novelle 2010: kein Löschungsverbots in jenen Fällen, bei denen der Auskunftswerber (Betroffene) die Löschung wünscht (Abs. 7) Auskunftsbegehren und Auskunft haben schriftlich zu erfolgen, Abweichung im Einverständnis der Gegenseite möglich  DSK K /0008-DSK/2009 Fax & erfüllen Schriftform DSG Betroffenenrechte

107 © ARGE DATEN 2015 ARGE DATEN Betroffenenrecht - Auskunft (§ 26) III begründete Auskunftsverweigerung / Auskunftsbegrenzungen sind möglich, u.a. -Schikaneverbot: Betroffener wurden Daten schon mitgeteilt (etwa Kontoauszüge, OGH 6Ob25/90), trifft nicht zu, dass ein Betroffener bestimmte Daten sowieso "wissen" müsste -überwiegende Interessen des Auftraggebers oder Dritter -aus therapeutischen Gründen (Gesundheitszustand) -formale Gründe: fehlender Identitätsnachweis, fehlender Kostenersatz, fehlende Mitwirkung,... Auskunft ist einmal im Jahr bei aktuellen Daten kostenfrei ansonsten tatsächliche Kosten oder pauschalierter Ersatz Auskunftsrecht ist "Holschuld" des Betroffenen! DSG Betroffenenrechte

108 © ARGE DATEN 2015 ARGE DATEN Betroffenenrecht - Löschung/Richtigstellung (§ 27) -grundsätzlich besteht Richtigstellungspflicht des Auftraggebers sobald Daten nicht mehr richtig, nicht (mehr) benötigte oder unzulässig verarbeitete Daten sind zu löschen -Betroffene können Richtigstellungsantrag stellen -Verpflichtung gilt auch für unvollständige Daten, veraltete Daten, irreführende Daten Beweislast der Richtigkeit von Daten, wenn beantragte Änderung verweigert wird, liegt beim Auftraggeber Jedoch! Werden Daten ausschließlich gemäß Betroffenenangaben verarbeitet hat der Betroffene Fehler/Änderung zu belegen Wachsende Bedeutung der Bestimmung, da immer öfter nur kurzfristig erforderliche Daten anfallen (Verkehrsdaten von ISP & Telekomunternehmen, Location-Based-Services, Smartphone-App-Daten) DSG Betroffenenrechte

109 © ARGE DATEN 2015 ARGE DATEN Widerspruchsrecht (§ 28) -Widerspruchsrecht bezieht sich auf "öffentlich zugängliche Datenanwendungen" (Abs. 2) -Übernahme der Löschungsregeln aus § 27: Vorgangsweise bei Löschung (siehe § 27 Abs. 4) wenn wirtschaftlich geboten ist auch eine vorläufige Sperre und spätere Löschung möglich (siehe § 27 Abs. 6) Kein Widerspruchsrecht (Beispiel): -§ 7 Abs. 5 Verbraucherkreditgesetz (VKrG) schließt Widerspruchsrecht bei Informationsverbundsystemen der Banken aus [gemeint sind KKE und Warndatei der Banken] "unsaubere" Lösung: Dateien sind gesetzlich nicht angeordnet, trotzdem kein Widerspruchsrecht DSG Betroffenenrechte

110 © ARGE DATEN 2015 ARGE DATEN Weitere Bestimmungen Sicherheit Schadenersatz Strafbestimmungen DSG 2000

111 © ARGE DATEN 2015 ARGE DATEN DSG Sicherheit Sicherheitsbestimmungen (§ 14) Sicherheitsmaßnahmen haben einen Ausgleich zwischen folgenden Punkten zu finden: Stand der Technik entsprechend wirtschaftlich vertretbar angemessenes Schutzniveau muss erreicht werden rechtlich-organisatorische Sicherheitsmaßnahmen -ausdrückliche Aufgabenverteilung - ausschließlich auftragsgemäße Datenverwendung - Belehrungspflicht der Mitarbeiter - Regelung der Zugriffs- und Zutrittsberechtigungen - Vorkehrungen gegen unberechtigte Inbetriebnahme von Geräten - Protokollierungspflicht

112 © ARGE DATEN 2015 ARGE DATEN DSG Verschwiegenheit Verpflichtung zum Datengeheimnis (§ 15) Mitarbeiter sind - soweit nicht andere berufliche Verschwiegenheitspflichten gelten - vertraglich zu binden. Mitarbeiter dürfen Daten nur aufgrund einer ausdrücklichen Anordnung übermitteln. Mitarbeiter sind über die Folgen der Verletzung des Datengeheimnisses zu belehren. Mitarbeitern darf aus der Verweigerung der Befolgung einer Anordnung einer rechtswidrigen Datenübermittlung kein Nachteil erwachsen. Bereitstellungspflicht der Datensicherheits- maßnahmen für Mitarbeiter (§ 14 Abs. 6)

113 © ARGE DATEN 2015 ARGE DATEN spezifische Sicherheitsbestimmungen Bestehende Sicherheitsanforderungen in Ö -Verschlüsselung bei Webapplikationen / in der Datenübertragung Grundlage: ePrivacy-RL 2002/58/EG -Besondere Sicherheitsmaßnahmen bei Gesundheitsdaten Grundlage: GTelG (inklusive ELGA-Gesetz) + GTelVO -Sicherheit in der elektronischen Rechnungslegung Grundlage: EU-RL 2010/45/EU, BMF-Verordnung BGBl 516/2012 -Sicherheitsbestimmungen + Genehmigungsverfahren bei Digitaler Signatur Grundlage: EG-RL 1999/93/EG, SigG, SigV

114 © ARGE DATEN 2015 ARGE DATEN spezifische Sicherheitsbestimmungen Bestehende Sicherheitsanforderungen in Ö II -Einsatz der Bürgerkarte in Behördenverfahren Grundlage: E-GovG -Medikamentenabrechnung der Apotheken, Videoüberwachung - Verschlüsselung Grundlage: StMV 2004 des Bundeskanzleramtes -Webapplikationen der Behörden Grundlage: Portalverbundprotokoll pvp 2.0, eine privatrechtliche Vereinbarung -Bankomatkassen Grundlage: privatrechtliche Vorgaben des Betreibers -e-card/GINA-Box + Peering-Point der Ärzte Grundlage: privatrechtliche Vereinbarungen

115 © ARGE DATEN 2015 ARGE DATEN spezifische Sicherheitsbestimmungen Besondere Sicherheitsmaßnahmen bei Gesundheitsdaten -Regelung im GTelG-Gesetz (Gesundheitstelematikgesetz, neu seit 2012 inkl. "ELGA-Gesetz") -Umfasst Gesundheitsdaten inkl. Abrechnungsdaten und soziale Daten -Datenaustausch durch Serverzertifikate abgesichert -Identitätsnachweis durch Zertifikate oder Zugangsberechtigung -Datenübertragung im Internet muss verschlüsselt erfolgen -Dateien sind zu signieren (Integritätsnachweis)

116 © ARGE DATEN 2015 ARGE DATEN Schadenersatz (§ 33) schuldhaftes Verhalten notwendig bei Verletzung von Bestimmungen des DSG 2000 ist tatsächlich erlittener materieller Schaden zu ersetzen bei Verletzungen der Geheimhaltung, die geeignet sind den Betroffenen bloßzustellen, gebührt Entschädigung Entschädigungsanspruch ist nicht beziffert, aber vergleichbar dem Mediengesetz geregelt [MedienG § 7: bis Euro] bei Veröffentlichungen in einem Medium gilt Mediengesetz Entschädigungsanspruch ist gegenüber dem Auftraggeber geltend zu machen DSG Kontroll- & Strafbestimmungen

117 © ARGE DATEN 2015 ARGE DATEN DSG Schadenersatz OGH 6 Ob 247/08d ("Bonitätsinformationen") Ausgangslage -Betroffener wurde bei angeblich unzulässiger Mülldeponierung gefilmt -privater Wachdienst forderte 100,- Euro "Entschädigung", Forderung wurde Inkassodienst übergeben -nach Weigerung der Zahlung wurde Zahlungsanstand an Wirtschaftsauskunftsdienst gemeldet -Betroffener erfuhr davon im Rahmen eines Telekom-Geschäfts OGH-Entscheidung -Eintrag ohne vorherige Verständigung ist rechtswidrig -Eintragung geeignet die Kreditwürdigkeit zu beschädigen -auch wenn kein unmittelbarer Schaden nachweisbar, besteht Anspruch gem. § 33 DSG Betrag von 750,- Euro in Hinblick auf geringe Zahl der Datenübermittlungen angemessen

118 © ARGE DATEN 2015 ARGE DATEN Gewinn- oder Schädigungsabsicht (§ 51) -Klarstellung der Deliktvoraussetzungen: Vorsatz der eigenen Bereicherung oder eines Dritten oder Absicht einer sonstigen Schädigung der Geheimhaltungsrechte anderer Delikt begeht, wer... -widerrechtlich ihm zugängliche Daten benutzt oder -Daten widerrechtlich beschafft oder -anderen widerrechtlich zugänglich macht oder -widerrechtlich öffentlich macht Strafausmaß: bis ein Jahr Delikt wird zum Offizialdelikt [bis : Privatanklagedelikt] Strafbestimmung gilt subsidiär DSG Strafbestimmungen

119 © ARGE DATEN 2015 ARGE DATEN Strafbestimmungen bei öffentlich-rechtlichen Organen Missbrauch der Amtsgewalt (§ 302 StGB) Strafrahmen: bis 5 Jahre Laufend Verurteilungen, siehe etwa OGH 14 Os 105/10p (rechtswidriger Abruf von KFZ-Zulassungsdaten) Verletzung des Amtsgeheimnisses (§ 310 StGB) Strafrahmen: bis 3 Jahre denkbar auch: Falsche Beurkundung und Beglaubigung im Amt (§ 311 StGB) Strafrahmen: bis 3 Jahre Hier ist Vorsatz Voraussetzung für die Tatverfolgung DSG Strafbestimmungen

120 © ARGE DATEN 2015 ARGE DATEN Verwaltungsstrafen Tatbestände I (§ 52 Abs. 1) [=deliktisches Handeln] -widerrechtliches Verschaffen eines Zugangs zu einer DA -widerrechtliches Weiterbenutzen eines Zugangs zu einer DA -Übermittlung unter Verletzung des Datengeheimnisses -Weiterverwendung von Daten entgegen eines rechtskräftigen Urteils/Bescheids -widerrechtliches Löschen von Daten (§ 26 Abs. 7) Strafrahmen: bis ,- Euro zuständige Strafbehörde für § 52: Bezirkshauptmannschaft bzw. Magistrat in der Auftraggeber seinen Sitz hat, bei ausländischen Auftraggebern: Verwaltungsbehörde in der DSB Sitz hat (derzeit Magistratische Bezirksamt für den 1. Wiener Gemeindebezirk) Anzeigen nach § 52: Verjährungsfrist nach VStG § 31 (sechs Monate) ist zu beachten! DSG Strafbestimmungen

121 © ARGE DATEN 2015 ARGE DATEN Verwaltungsstrafen Tatbestände IIa (§ 52 Abs. 2) [=Unterlassungen, Gefährdungen, sonstige Delikte] 1. nicht Erfüllen der Meldepflicht gemäß den §§ 17 oder 50c oder Betreiben eine Datenanwendung auf eine von der Meldung abweichende Weise oder 2. Übermitteln oder überlassen von Daten ins Ausland, ohne Genehmigung gemäß § 13 Abs. 1 oder 3. Verstoß gegen Zusagen an oder Auflagen der DSB (gemäß § 13 Abs. 2 Z 2, § 19 oder § 50c Abs. 1, § 13 Abs. 1 oder § 21 Abs. 2) oder 4. Verletzen von Offenlegungs- oder Informationspflichten gemäß §§ 23, 24, 25 oder 50d oder 5. § 14 gröbliches außer Acht lassen von Sicherheitsmaßnahmen oder DSG Strafbestimmungen

122 © ARGE DATEN 2015 ARGE DATEN Verwaltungsstrafen Tatbestände IIb (§ 52 Abs. 2) [=Unterlassungen, Gefährdungen, sonstige Delikte] 6. wer gemäß § 50a Abs. 7 und § 50b Abs. 1 erforderliche Sicherheitsmaßnahmen außer Acht lässt oder 7. Daten nach Ablauf der in § 50b Abs. 2 vorgesehene Frist nicht löscht. Strafrahmen: bis ,- Euro DSG Strafbestimmungen

123 © ARGE DATEN 2015 ARGE DATEN Verwaltungsstrafen Tatbestände III (§ 52 Abs. 2a) [=Gefährdung von Betroffenenrechten] neue Strafbestimmung bei verspäteter Erfüllung der Betroffenenrechte nach §§ 26, 27, 28, Strafrahmen bis 500,- Euro (Abs. 2a) Strafrahmen: bis 500,- Euro [neu seit 2010] Verfallbestimmungen § 52 Abs. 4 Datenträger und Programme sowie Bildübertragungs- und Bildaufzeichnungsgeräten können bei Verletzungen nach § 52 Abs. 1 und 2 als verfallen erklärt werden DSG Strafbestimmungen

124 © ARGE DATEN 2015 ARGE DATEN EU-Neuordnung Datenschutz

125 © ARGE DATEN 2015 EU-Neuregelung des Datenschutzes Fahrplan zu einem neuen EU-Datenschutzrecht Kommissionsmitteilung Konzept für neues Datenschutzrecht zu entwickeln -bis europaweites Konsultationsverfahren Entwurf einer EU-Verordnung Datenschutz -geplant war bis Ende 2013 Konsultationsverfahren in Europäischem Parlament und im Rat -Oktober 2013 Abstimmung im LIBE-Ausschuß des EU- Parlaments (Verhandlungsmandat des Parlaments) -Stand März 2015 Rats-Arbeitsgruppe verhandelt noch an gemeinsamer Position ("Bremser": GB, DE) -Sommer/Herbst 2015 (??) Start Trialog -Ende 2015 (??) abstimmungsfähiger Endentwurf ARGE DATEN

126 © ARGE DATEN 2015 EU-Neuregelung des Datenschutzes Eckpfeiler der neuen EU-Datenschutz VO -verpflichtender Datenschutzbeauftragter für alle öffentlichen Einrichtungen und für Unternehmen mit Unternehmensgegenstand personenbezogene Datenverarbeitung + Variante Kommission: Unternehmen ab 250 MA Variante EU-Parlament: Unternehmen ab PersonenDS -drastisch höhere Strafbstimmungen (an Kartellrecht angelehnt) Variante Kommission: bis zu 2% des Konzernumsatzes bzw. bis zu 1 Mio Euro Variante EU-Parlament: bis zu 5% des Konzernumsatzes -Entfall von Meldepflichten, weitreichende interne Dokumentations- und Folgeabschätzungspflichten -"doppeltes" One-Stop-Shop-System: a) je Auftraggeber ist nur eine Aufsichtsstelle zuständig (Hauptsitz des Auftraggebers, statt bisher für jede Niederlassung die jeweilige nationale Behörde) b) jeder Betroffene kann sich für alle EU-Auftraggeber an seine nationale Aufsichtsbehörde wenden ARGE DATEN

127 © ARGE DATEN 2015 EU-Neuregelung des Datenschutzes Eckpfeiler der neuen EU-Datenschutz VO II -Einführung neuer "Prinzipien": a) Prinzip der Datensparsamkeit (inkl. "Recht auf Vergessen werden") b) Förderung technischer Datenschutzmaßnahmen ("Privacy by Design") c) Privatsphäreeinstellungen sollen Standard werden ("Privacy by Default") -neue Kategorien sensibler Daten (z.B. "Gendaten") -Klagsbefugnis für Verbände -Vereinfachungen im internationalen Datentransfer Geplante Maßnahmen, die schon wieder weg sind -Schaffung von Datenportabilität ARGE DATEN

128 © ARGE DATEN 2015 ARGE DATEN Ich danke für Ihre Aufmerksamkeit

129 © ARGE DATEN 2015 ARGE DATEN Onlineinformation


Herunterladen ppt "© ARGE DATEN 2015 Datenschutz Grundlagen Praxis, Entscheidungen, Perspektiven Hans G. Zeger, ARGE DATEN Wien, Inhouse-Schulung Wiener Sozialdienste, 10."

Ähnliche Präsentationen


Google-Anzeigen