Herausforderungen der DSGVO

Die neue, EU-weit gültige, Datenschutz-Grundverordnung (DSGVO) tritt am 25. Mai 2018 in Kraft und regelt den Umgang mit personenbezogenen Daten. Peter Burgstaller, Anwalt und Professor mit Schwerpunkt IT-Recht an der FH Hagenberg, über Herausforderungen und Sonderfälle der DSGVO.

Was bedeutet die DSGVO für die Unternehmen konkret?

BurgstallerEs gibt das Datenschutzgesetz aus dem Jahr 2000, dahinter steht eine Richtlinie der EU aus dem Jahr 1995. Diese Richtlinie und das Datenschutzgesetz regeln im Wesentlichen bereits das, was die neue Datenschutzgrundverordnung regeln wird. Unser Datenschutz ist inhaltlich mindestens genauso streng wie die kommende Verordnung. Es ist ein Schritt der EU, eine einheitliche Regelung zu schaffen. Es ist ein Kompromiss aus den Datenschutzrechten, die bis jetzt minimal umgesetzt wurden (Luxemburg, Irland) und Datenschutzrechten, die bis jetzt maximal umgesetzt wurden (Österreich, Deutschland). In Wahrheit wird es für österreichische Unternehmen, die sich bisher an die Gesetze gehalten haben, einfacher, auf der anderen Seite werden die Betriebe vor allem mit dem Datenverarbeitungsverzeichnis ein bisschen Arbeit kriegen.

Wie sieht es mit dem Sonderfall „WhatsApp“ aus?

BurgstallerIn den ABGs von WhatsApp steht, dass ich die App nur zu Privatzwecken verwenden darf, darunter fällt lediglich der Austausch zwischen Verwandten und engen Freunden. Sobald ich diesen Privatbereich verlasse, verletze ich die Lizenz, die von WhatsApp bestimmt wurde. Zudem erlaube ich mit dem Installieren der App der Firma WhatsApp auf meine Kontaktdaten zuzugreifen. Da diese im Regelfall personenbezogene Daten sind, müsste ich sie schützen. Wenn ich diese weitergebe – was ich ja somit tue – müsste ich eigentlich eine Einwilligungserklärung der Kontakte einholen. Das macht niemand, ist aber tatsächlich notwendig. Das hat aber nicht nur etwas mit der neuen Verordnung zu tun, das ist an sich mit unseren jetzigen Datenschutzbestimmungen schon rechtswidrig. Das heißt, eigentlich darf ich auf meinem Firmenhandy WhatsApp grundsätzlich nicht verwenden. Wesentlich wird sein, wie streng dies in Zukunft kontrolliert wird. Bis heute sind mir in Österreich keine gemeldeten Straffälle bekannt.

Wird dann der Anbieter bestraft oder der Mitarbeiter?

BurgstallerDas kann theoretisch sowohl den Anbieter als auch die Mitarbeiter treffen. Man könnte die Firma WhatsApp verklagen, weil man sagen könnte, die stellen ein System zur Verfügung, welches ganz überwiegend (datenschutzrechtlich) illegal verwendet wird und dazu auch keine geeigneten Aufklärungen gegeben werden. Auf der anderen Seite könnte man es ja auch legal verwenden, ich kann mir die Einwilligungen der Privatpersonen und die Genehmigung der Datenschutzbehörde holen. Als Mitarbeiter verletze ich aber auch die Lizenzbestimmungen von WhatsApp mit Blick auf die Privatnutzungsverpflichtung.

Worauf muss ich als Unternehmen noch achten?

BurgstallerBeim Einsatz von Google Analytics räume ich der Firma Google das Recht ein, dass Daten, beispielsweise die IP-Adresse, von Google verwendet werden dürfen. Ich müsste hier einen Vertrag mit Google abschließen, dass sie sich verpflichten, die IP-Adressen zu pseudonymisieren, also die letzten drei Ziffern als XXX darzustellen. Anonymisierte Daten darf man ja verwenden. Ein weiteres Beispiel ist, wenn ich auf meiner Firmenhomepage einen Facebook-Plug-in-Button installiere. Dort wird ebenfalls die IP-Adresse des Webseitenbesuchers gespeichert und IP-Adressen sind personenbezogene Daten im Sinne des Datenschutzrechtes. Und ich weiß ja nicht, was Facebook mit diesen Daten macht. So eine Datenschutzerklärung mit Facebook kann ich machen, aber die wenigstens haben sie. In Österreich kenne ich hierzu aber kein einziges Verfahren._