Autor: Markus Kastelitz

 

Regierungsvorlage Datenschutz-Anpassungsgesetz 2018

Regierungsvorlage: Bundesgesetz, mit dem das Bundes-Verfassungsgesetz geändert, das Datenschutzgesetz erlassen und das Datenschutzgesetz 2000 aufgehoben wird (Datenschutz-Anpassungsgesetz 2018)
Beilagen zum heutigen Ministerratsbeschluss: Entwurfstext, Erläuterungen

Privacyofficers.at veröffentlicht Checkliste zur Umsetzung der DSGVO

Es freut uns sehr, ein Jahr vor Geltungsbeginn der Datenschutz-Grundverordnung (DSGVO) am 25.5.2018 eine Umsetzungs-Checkliste zur Verfügung stellen zu können. Herzlichen Dank für die Ausarbeitung gebührt unserem Arbeitskreis Datensicherheit und allen beteiligten Vereinsmitgliedern.

Update 29.6.2017: Das österreichische “DSGVO-Anpassungsgesetz” (Datenschutz-Anpassungsgesetz 2018) wurde vom Nationalrat beschlossen. Privacyofficers.at wird dieses über den Sommer in die Checkliste einarbeiten, natürlich sollten die Vorgaben bereits ab sofort berücksichtigt werden.

Österreich: Datenschutzbehörde veröffentlicht Leitfaden zur DSGVO

Leitfaden Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung, zusammengestellt von Dr. Matthias Schmidl, Stand: April 2017

Privacyofficers: Veranstaltung zur Informationssicherheit

Am 9. Mai 2017 veranstaltete Privacyofficers.at einen gut besuchten Vortrag mit anschließendem Erfahrungsaustausch zum aktuellen Thema “Datensicherheit – Was ist der Stand der Technik?”. Der Vortragende (unser Vereinsmitglied Michael Punz, Geschäftsbereichsleiter Informationssicherheit & Datenschutz bei der x-tention Informationstechnologie GmbH) gestaltete dieses (von Nicht-TechnikerInnen oftmals als “kompliziert” betrachtetes) Thema sehr informativ und kurzweilig. Er ging – nach einem anschaulichen Beispiel – näher auf die Anforderungen gemäß ISO 27001 und 27002 sowie den BSI Grundschutz ein und verband dies mit den rechtlichen Grundlagen (u.a. DSGVO und der NIS-Richtlinie). Die Teilnehmerinnen waren sich einig: eine gelungene Veranstaltung zu einem aktuellen Thema, welches für Datenschutzbeauftragte von hoher praktischer Relevanz ist.

Österreich: Entwurf Datenschutz-Anpassungsgesetz 2018

Gesetzentwurf: Bundesgesetz, mit dem das Bundes-Verfassungsgesetz geändert, das Datenschutzgesetz erlassen und das Datenschutzgesetz 2000 aufgehoben wird (Datenschutz-Anpassungsgesetz 2018)

BSI: Anforderungskatalog Cloud Computing (C5; Compliance Controls Catalogue)

Der Anforderungskatalog des dt. BSI (englischer Titel: Cloud Computing Compliance Controls Catalogue, kurz “C5”) richtet sich in erster Linie an professionelle Cloud-Diensteanbieter deren Prüfer und Kunden der Cloud-Diensteanbieter. Es wird festgelegt, welche Anforderungen die Cloud-Anbieter erfüllen müssen bzw. auf welche Anforderungen der Cloud-Anbieter mindestens verpflichtet werden sollte.

Update 8.5.2017: Mindeststandard des BSI zur Nutzung externer Cloud-Dienste https://www.bsi.bund.de/DE/Themen/StandardsKriterien/Mindeststandards/Nutzung_externer_Cloud-Dienste/Nutzung_externer_Cloud-Dienste_node.html;jsessionid=3E8EE7D37E8B9BEA57189C5BFEE7FF01.1_cid360

BRD: GDD veröffentlicht Auftragsverarbeitungs-Mustervertrag u. Praxishilfe “Verfahrensverzeichnis”

Die Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD) hat bereits mehrere, sehr empfehlenswerte “Praxishilfen DS-GVO” veröffentlicht, zuletzt die

Österreich: Datenschutzbericht 2016 veröffentlicht

Gemäß § 37 Abs 5 DSG 2000 hat die Datenschutzbehörde bis zum 31. März eines jeden Jahres einen Bericht über ihre Tätigkeit im vorangegangenen Kalenderjahr zu erstellen, dem Bundeskanzler vorzulegen und in geeigneter Weise zu veröffentlichen. Der Bericht ist vom Bundeskanzler dem Nationalrat und dem Bundesrat vorzulegen.

Dieser Datenschutzbericht liegt nun für das Jahr 2016 vor – Lesestoff für Datenschutz-Aficionados für das verregnete Osterwochenende und darüber hinaus … 😉

Art.29-Datenschutzgruppe veröffentlicht Guidelines zur Datenschutz-Folgenabschätzung 

​Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679, WP 248 (pdf), Annex 1 – Examples of existing EU DPIA frameworks, Annex 2 – Criteria for an acceptable DPIA

Art.29-Datenschutzgruppe: aktualisierte Guidelines u.a. zum Datenschutzbeauftragten

Österreich: DSGVO-Kommentar erschienen – unter Mitarbeit der Privacyofficers.at-Gründer M. Kastelitz u. R. Riedl

Gantschacher/Jelinek/Schmidl/Spanberger, Kommentar zur Datenschutz-Grundverordnung, SFU Verlag (Wien), ISBN 978-3-902626-50-9, u.a. erhältlich bei Manz.

Österreich: Gerüchte über das DSGVO-Anpassungsgesetz

Ein Cross-post von meinem Blog: Es schwirren derzeit einige Gerüchte über das künftige österreichische “DSGVO-Anpassungsgesetz” herum, die ich hier kurz festhalten will (Disclaimer: Es liegt in der Natur von Gerüchten, dass diese “fake news” sein können – also Achtung):

  • FAKTUM: Österreich hat als einziger EU-Mitgliedsstaat gegen die DSGVO gestimmt (pdf). Es folgen die Gerüchte …
  • Eine Absenkung des Schutzniveaus (siehe zum deutschen Datenschutz-Anpassungs- und -Umsetzungsgesetz EU hier und aktuell auch hier sowie hier) ist wohl nicht zu erwarten (über bereits in der DSGVO vorgesehene “Flexibilisierungen” hinaus).
  • Die LegistInnen im BKA (in Österreich die Abkürzung für das zuständige Bundeskanzleramt) haben einen internen Entwurf, der nur “das Notwendigste” regelt, fertiggestellt; dieser ist nicht veröffentlicht und liegt dem Koalitionspartner zur internen Stellungnahme und Abklärung vor.
  • Es wird koalitionsintern u.a. über das darin vorgesehene datenschutzrechtliche “Verbandsklagerecht” heiß diskutiert, ebenso über die Höhe von Verwaltungsstrafen (siehe u.a. Art 83 Abs 7 DSGVO) und die Umsetzung der JI-RL (EU) 2016/680.
  • Vom Anwendungsbereich sind nur mehr natürliche Personen umfasst (bislang sind in Ö auch juristische Personen [und Personengemeinschaften] als “Betroffene” umfasst).
  • Geldbußen können auch gegen eine juristische Person als strafbare Person verhängt werden (“Verbandsverantwortlichkeit”; vgl. das Kartellrecht) – dies soll Geschäftsführer bzw. Vorstandsmitglieder davor schützen, nach Verhängung einer “saftigen” Geldbuße Privatinsolvenz beantragen zu müssen …
  • Last but not least: Angeblich soll erst im Herbst 2017 eine Regierungsvorlage veröffentlicht werden (wobei BM Drozda Anderslautendes angekündigt hat: “ein Entwurf für ein neues österreichisches Datenschutzgesetz bereits [liege vor], dieses mit dem Koalitionspartner abgestimmt werde und voraussichtlich noch im ersten Halbjahr 2017 beschlossen werden könne”)  – es bliebe dann wenig Zeit, bereits laufende Umsetzungsprojekte an etwaige “Austriaca” anzupassen …
  • Update 1: Ich habe gerade gehört, dass es eventuell doch schneller gehen könnte und die Begutachtung demnächst starten soll – eine parlamentarische Beschlussfassung vor dem Herbst ist aber unwahrscheinlich.
  • Anmerkung zum DSB: Alle die von einer Überwälzung auf den künftig gem. Art 37 Abs 1 lit a-c DSGVO verpflichtend zu bestellenden Datenschutzbeauftragten als verantwortlichen Beauftragten (§ 9 VStG) “geträumt” haben, sollten sich Folgendes überlegen: Der DSB darf bei Erfüllung seiner Aufgaben keine Anweisungen bezüglich der Ausübung dieser Aufgaben erhalten (Art 38 Abs 3 DSGVO; “Weisungsfreiheit”). Ob man im Unternehmen einen rechtlich weisungsfrei gestellten DSB mit einer Anordnungsbefugnis gem. § 9 Abs 4 VStG haben möchte, sollte man sich gut überlegen, zudem mit der Solidarhaftung gem. § 9 Abs 7 VStG. Dagegen spricht auch, dass der Verantwortliche verantwortlich ist (Art 5 Abs 2 DSGVO) und Art 39 DSGVO die Aufgaben des DSB mehr in der Beratung sieht als in jener des”Haftungsprellbocks”. Lesenswert zur Frage, wer eine Strafe zur tragen hat, hier von RA Dr. Schweiger.

11. Europäischer Datenschutztag mit Beteiligung von Privacyofficers.at (Rückblick)

Anlässlich des 11. Europäischen Datenschutztages fand am 23. Februar 2017 im Bundeskanzleramt eine gemeinsame Veranstaltung von Datenschutzbehörde und Datenschutzrat unter dem Titel “Das neue Datenschutzrecht in der Europäischen Union” statt. Zu den Vortragenden zählte auch Judith Leschanz von Privacyofficers.at, die Vortragsfolien (darunter auch jene von Dr. Matthias Schmidl, stellvertretender Leiter der Datenschutzbehörde) sind hier (Bundeskanzleramt) abrufbar. Ein Bericht der Wiener Zeitung über den Datenschutztag ist hier verfügbar.

Universitätslehrgang “Datenschutz und Privacy” (Certified Program)

Update 11.5.2017: Der Universitätslehrgang wurde genehmigt und startet im Oktober 2017, nähere Informationen finden Sie direkt bei der Donau-Uni Krems, hier geht es direkt zur Bewerbung.

Die Donau-Universität Krems bietet ab Oktober 2017 – vorbehaltlich des studienrechtlichen Genehmigungsverfahrens – eine fundierte, mehrwöchige Weiterbildung im Bereich des Datenschutzrechts an (Lehrgangsleiter: Univ.-Prof. Ing. Dr. Clemens Appl, LL.M). Mehrere (Vorstands-)Mitglieder von Privacyofficers.at haben die Ehre, den Lehrgang als Mitglieder des Beirats begleiten zu dürfen. Hervorzuheben ist auch die Mitwirkung des stellvertretenden Leiters der österr. Datenschutzbehörde. Eines dürfen wir schon verraten – das Weiterbildungsprogramm kann sich wirklich sehen lassen.

Ziel des Universitätslehrgangs ist die akademisch fundierte und zugleich anwendungsorientierte Weiterbildung im Fachgebiet „Datenschutz und Privacy“. Vermittelt werden vertiefte Kenntnisse zu rechtlichen Rahmenbedingungen, technischen Aspekten der Datensicherheit sowie zum Datenschutzmanagement. Die Inhalte und Kompetenzen orientieren sich eng am gesetzlichen Tätigkeits- und Qualifikationsprofil für „Datenschutzbeauftragte“. Damit qualifizieren die im Lehrgang erworbenen Fachkenntnisse und Kompetenzen zur Ausübung dieser Funktion in Unternehmen oder in der öffentlichen Verwaltung. Der Lehrgang wird 19 Ausbildungstage (Präsenzlehre) und 18 ECTS umfassen.

Mehr dazu finden Sie hier, das Infoblatt (pdf) können Sie hier herunterladen.

Privacyofficers.at veröffentlicht Stellungnahme betreffend “Guidelines on Data Protection Officers” der Artikel-29-Datenschutzgruppe

Die Artikel-29-Datenschutzgruppe hat im Dezember 2016 u.a. “Guidelines on Data Protection Officers (‘DPOs’)” veröffentlicht, die (bis Ende Jänner 2017) kommentiert werden können. Privacyofficers.at hat diese Möglichkeit genutzt und folgende Stellungnahme abgegeben:

In general, Privacyofficers.at welcomes the approach of the WP29 to further illustrate the GDPR and create a benefit for the addressees in the practical adoption of its provisions. Nevertheless, we would like to draw your attention to three issues which we find to be debatable in the view of a practical implementation:

1. Section 3.2. of the Guidelines (“Necessary resources”) – last bullet point:
The WP29 clarifies that an external DPO can fulfill the duties of a DPO for a data controller/processor either by a single representative or by a team. We welcome this approach; however, the option of carrying out the tasks of a DPO as a team should also be open to internal DPOs. We are of the opinion that controllers/processors should be free to appoint a single DPO or a team/board with the tasks of a DPO as long as all team members benefit from the provisions of the GDPR regarding dismissal etc. Therefore, we would recommend a clarification of the Guidelines in this regard.

2. Section 3.4. of the Guidelines (“Dismissal or penalty for performing DPO tasks”):
The WP29 argues that the cancellation of a contract with an external DPO shall only be possible and legally enforceable in the case the external DPO is in breach of its duties of being a DPO. This interpretation could be in conflict with the principle of freedom of contract. Each controller should be able to engage an external DPO but also to terminate the assignment of an external DPO in compliance with the relevant contract and applicable law. An external DPO is, in essence, a service provider commissioned to perform the controller´s / processor’s duties. The strict interpretation by the WP29 would lead to a situation where a controller cannot switch from an external DPO to an internal DPO unless the external DPO has failed to fulfill its duties under the GDPR. We are of the opinion that such an interpretation is not in line with the GDPR requirements and the principle of freedom of contract. We would therefore kindly ask for a re-evaluation or clarification of the Guidelines as regards this matter.

3. Section 4.4. of the Guidelines (“The DPO´s role in record-keeping”):
We regard the possibility of assigning the task of a data controller/processor to keep records of processing activities to the DPO, as the WP29 suggests, very critical for four reasons:
a. The DPO should be able to perform its duties and rights in full autonomy and without any interference by the controller / processor. On top of that, other tasks assigned to the DPO shall not lead to any conflicts of interest in executing the task of a DPO. It is foreseeable that a task principally assigned to the data controller, where noncompliance might lead to a fine as imposed by Art. 83, might create conflicts and could endanger the full autonomy of DPOs, for example in case the DPO does not follow instructions given by the data controller regarding the records to “cover-up” data processing not fully in line with the GDPR.

b. Furthermore, the DPO has – from the viewpoint of the tasks assigned by the GDPR- a sole control and advisory function, and is not responsible for the controller’s / processor`s compliance with the GDPR. Should the DPO be mandated to keep the records of all processing activities of the controller, this is in conflict with the nature of these tasks assigned and would very likely lead to a conflict of interests.

c. Also from a practical perspective the assignment of this task causes certain issues: Such a register has to follow specific requirements of IT or other responsible departments within a controller’s organization. It is not ensured that a DPO is receiving complete information of all processing activities within a controller’s business as the DPO is not responsible to have a complete list/register of all processing operations. The DPO has the role of an advisor and supervisor but not that of an “implementer”. This obligation lies with the controller / processor and not with the DPO.

d. Finally, the autonomy of the DPO opens up the possibility to impose fines on the data controller based on the activities of the DPO – while having only very limited influence over the DPO. As the GDPR is very clear on this, we therefore ask the WP29 to reconsider its opinion regarding the assignment of record-keeping of the processing activities to the DPO.

As the GDPR is very clear on this, we therefore ask the WP29 to reconsider its opinion regarding the assignment of record-keeping of the processing activities to the DPO.

Verein österreichischer betrieblicher und behördlicher Datenschutzbeauftragter – Privacyofficers.at | Innovation Theme by: D5 Creation | Powered by: WordPress