Sehr geehrte Damen und Herren!
Liebe Datenschutzinteressierte!

Seit Mai 2018 ist nun bald ein Jahr vergangen. Im Stress rund um die Einführung der Datenschutz-Grundverordnung haben viele Unternehmen versucht, in kürzester Zeit die datenschutzrechtlichen Anforderungen „irgendwie“ hinzubekommen. Ohne sich eingehender mit der Materie auseinanderzusetzen, wurden Informationstexte für die eigenen Homepages und Einwilligungen für Kunden nach zirkulierenden Texten erstellt, Informationen und Muster der eigenen Kammern unreflektiert übernommen und vermeintliche „Patentlösungen“ eingeführt. Die Braut wurde für den 25. Mai herausgeputzt, oftmals ohne dass viel dahinter stand. Was dabei herauskommt, zeigt ein Bescheid der Datenschutzbehörde, der vor zwei Woche im Rechtsinformationssystem veröffentlicht wurde: Der Datenschutz-Koordinator eines Allergie-Tageszentrums meldete bei der Behörde zweimal (verpflichtend) Sicherheitsverletzungen ein; der Behörde fiel offensichtlich auf, dass laut der Datenschutzinformation auf der Homepage des Allergiezentrums aber ein Datenschutzbeauftragter bestellt war, den es anscheinend aber nicht gab. Darauf leitete die Datenschutzbehörde ein amtswegiges Prüfverfahren gegen das Allergiezentrum ein.

Die Datenschutzbehörde sah sich daraufhin die Datenschutzinformationen auf der Webseite an, ebenso die Einwilligungserklärung der Patienten. Sie stellte einige Fragen, ließ sich das Verarbeitungsverzeichnis schicken und konnte dadurch zahlreiche Unverträglichkeiten mit dem Datenschutzrecht feststellen. Das Ergebnis war ein Bescheid, der nicht weniger als vierzehn (!) einzelne Mängel auflistet.

Eine Zusammenfassung dieser 14 Mängel sowie ein Beitrag von mir über diesen wurden im „Rechtspanorama“ der „Presse“ vom 18. März publiziert – ZUM BEITRAG – www.kt.at

Den Bescheid selbst finden Sie im Volltext hier, ihn genau zu studieren kann ich nur dringlich empfehlen – ZUM VOLLTEXT – www.ris.bka.gv.at

Auch die polnische Aufsichtsbehörde hat für Aufsehen gesorgt: Für die Verletzung der Informationspflicht nach Art 14 DSGVO verhängte diese eine Geldbuße in Höhe von umgerechnet EUR 220.000,-. Das gegenständliche Unternehmen teilte die nach Art 14 DSGVO erforderlichen Informationen lediglich jenen betroffenen Personen mit, von denen sie über eine E-Mail-Adresse verfügte. Hinsichtlich der übrigen – 6 Millionen – betroffenen Personen beschränkte sich das Unternehmen auf eine Informationserteilung über die Webseite, obwohl dem Unternehmen Postanschriften und Telefonnummern dieser Personen bekannt waren. Nach Ansicht der polnischen Aufsichtsbehörde war die Veröffentlichung auf der Webseite jedoch unzureichend, da das Unternehmen die Informationen den betroffenen Personen postalisch oder telefonisch bereitstellen hätte können. Den Einwand des Unternehmens, dass die persönliche Informationserteilung zu teuer sei, verwarf die polnische Aufsichtsbehörde mit dem Hinweis, dass die Information nicht per Einschreiben erfolgen müsse.

Unternehmen sollten daher in sich gehen und überlegen, ob sie betroffene Personen in geeigneter Form informiert haben oder sich hierfür zusätzlich anderer Kanäle bedienen sollten.

Die Begründung der polnischen Aufsichtsbehörde kann in der Pressemitteilung des Europäischen Datenschutzausschusses nachgelesen werden – ZUR PRESSEMITTEILUNG – edpb.europa.eu

Gesamter Newsletter April 2019
zum Download