Informationen und Handlungshilfen zum grenzüberschreitenden ...

Falls sensible Daten verwendet werden, falls Daten zur Kreditwürdigkeit von Personen
verwendet werden, falls strafrechtlich relevante Daten verwendet werden (z.B. Vorstrafen,
Leumundszeugnisse), falls Gesundheitsdaten jenseits von Standardanwendungen verwendet
werden sollen und falls der Auftraggeber Daten in einem Informationsverbundsystem
verwendet möchte, muss die DSK die Anwendung erst einmal prüfen (§18 Abs. 2 DSG).
Diese so genannte „Vorabkontrolle“ ist ein ausführliches Genehmigungsverfahren.
Die DSK muss alle Meldungen innerhalb von zwei Monaten prüfen (§ 20 Abs. 1
DSG). Kommt von der DSK innerhalb von zwei Monaten kein Auftrag zur Abänderung
der Meldung, kann die Datenanwendung als gemeldet betrachtet werden und mit der Verwendung
begonnen werden. Ausgenommen von der Meldepflicht an die DSK sind Datentransfers
ins Ausland, bei denen die Daten (§ 12 DSG):
öffentlich zugänglich sind (z.B. Telefonbuch),
im Inland bereits zulässigerweise veröffentlicht wurden,
wichtige öffentliche Interessen betreffen (z.B. Terrorbekämpfung),
aufgrund von Gesetzen eingeholt und übermittelt werden müssen
(z.B. Sozial versicherungsnummer an die Sozialversicherung),
anonymisiert wurden, also nicht mehr personenbezogen sind,
aufgrund der ausdrücklichen Zustimmung der Betroffenen übermittelt werden,
lebenswichtige Interessen einer Person bestehen.
Ausnahmen von der allgemeinen
Meldepflicht
Eine Verletzung der Meldepflicht kann mit einer Verwaltungsstrafe von
bis zu EUR 10.000,- geahndet werden.
Strafen
Reicht ein Unternehmen eine Datenanwendung bei der DSK ein, so prüft diese aller
Wahrscheinlichkeit nach, ob eine Betriebsvereinbarung zum Datenschutz/-transfer vorliegt.
Befürwortet der/die Betriebsrat/rätn das Vorhaben, dass bestimmte personenbezogene
Daten den Betrieb verlassen und an Dritte überlassen oder übermittelt werden, so
ist er/sie gut beraten, vor diesem Datentransfer eine Betriebsvereinbarung abzuschließen.
strategische Mitsprache
des Betriebsrates
Eine Meldung an die DSK ist Voraussetzung dafür, dass ein Transfer sensibler Daten legal
durchgeführt werden kann. Der/die Betriebsrat/rätin hat somit die Möglichkeit, seine/ihre
Zustimmung zum Datentransfer davon abhängig machen, ob eine solche Meldung bereits
erfolgt ist. Die Geschäftsführung muss vorweisen, dass die Genehmigung der DSK vorliegt.Allerdings
ersetzt eine Zustimmung der DSK nicht zwangsläufig eine Zustimmung des
Betriebsrates aufgrund des ArbVG. Umgekehrt führt das Vorliegen einer BV nicht automatisch
dazu, dass der Datentransfer von der DSK genehmigt werden kann.
4.3 Genehmigungspflicht
Sensible Daten oder besonders schutzwürdige Daten dürfen in keinem Fall ohne
Meldung und Genehmigung verwendet werden! Informationsverbundsysteme
müssen ebenfalls von der DSK genehmigt werden. Sowohl sensible Daten als auch Datenverwendungen
in Informationsverbundsystemen unterliegen zusätzlich der Vorabkontrolle.
Verarbeitung sensibler
Daten muss genehmigt
werden
Sollen sensible Daten ins Ausland übermittelt werden, dann muss die DSK innerhalb der
zwei Monate entscheiden, ob und wenn ja welche Nachbesserungen vorgenommen
werden müssen. Und die DSK muss auch festlegen, ob und in welchem Ausmaß der
Datentransfer bereits durchgeführt werden darf.
Prüfung beim Transfer
sensibler Daten ins
Ausland
Die DSK muss ihren Bescheid innerhalb von sechs Monaten ausstellen (§ 73
AVG - Allgemeines Verwaltungsverfahrensgesetz). Gegen den Bescheid der DSK ist kein
weiteres Rechtsmittel zulässig. Es kann höchstens eine der handelnden Personen zum
Verwaltungsgerichtshof gehen.
21