Informationen und Handlungshilfen zum grenzüberschreitenden ...

in Drittstaaten mit angemessenem Datenschutz (welche Drittstaaten angemessenen Datenschutz
gewährleisten wird von der EU verordnet und durch Verordnung des Bundeskanzlers
national festgelegt. Derzeit sind das: Norwegen, Island, Liechtenstein, Schweiz,
Argentinien, Kanada und die beiden Kanalinseln Isle of Man und Guernsey);
wenn die Übermittlung ins Ausland rechtlich vorgeschrieben ist;
wenn die Daten im Inland zulässigerweise veröffentlicht wurden;
wenn die Daten anonym sind;
wenn die Daten aus Datenanwendungen für private Zwecke oder für publizistische
Tätigkeit übermittelt werden;
wenn eine vertragliche Verpflichtung besteht, die Daten zu übermitteln; der Vertrag
muss zwar belegen, dass die Daten mit einem guten Datenschutzniveau übermittelt
werden, dennoch ist diese Bestimmung als „Gummiparagraph“ zu bewerten;
wenn eine Zustimmung der Betroffen vorliegt;
wenn das lebenswichtige Interesse einer Person an der Übermittlung besteht;
wenn ein wichtiges öffentliches Interesse an der Übermittlung besteht (z.B. Steuerfahndung,
Geldwäsche,…) - ein einfaches öffentliches Interesse ist nicht ausreichend.
Außerdem hat die EU-Kommission drei Entscheidungen getroffen, nach denen Daten
genehmigungsfrei ins Ausland gebracht werden können:
1. In der Safe-Harbor-Richtlinie sind Grundsätze des Datenschutzes festgelegt, denen
sich US-Unternehmen freiwillig unterwerfen können, damit die ausreichende Gewährleistung
eines angemessenen Datenschutzniveaus anerkannt wird (siehe Kapitel 7.2.1).
2. Standardvertragsklauseln ermöglichen eine Datenübermittlung an Auftraggeber in
Drittländer ohne angemessenes Schutzniveau, wenn die entsprechenden Vertrags klauseln
zwischen den VertragspartnerInnen vereinbart werden. Anstelle der Genehmigungspflicht
tritt die Pflicht zur Anzeige an die DSK (§ 13 Abs. 7 DSG) (siehe Kapitel 7.2.1).
3. Nach der Entscheidung über die Angemessenheit des Datenschutzniveaus in
Kanada und Argentinien zählen diese Länder nunmehr auch zu den Drittländern, in
die ein Datenexport ohne Genehmigung vorgenommen werden kann.
Im europäischen Vergleich sind die Sanktionen für Vergehen gegen das DSG relativ gering.
Die Kontrollbehörde (die Datenschutzkommission) hat wenig Sanktionsmöglichkeiten. Ein
tschechisches Unternehmen wurde beispielsweise gestraft, weil es der Kontrollbehörde den
Zugang zu den Daten verweigert hat. In Österreich sind für diesen Fall keine Sanktionen
vorgesehen. Die ARGE-Daten merkt zur Praxis österreichischer Gerichte bei der
Verurteilung von Delikten nach dem DSG an, dass Unternehmen beim ersten Vergehen
kaum gestraft werden. Üblicher Weise wird beim ersten mal nur abgemahnt, beim zweiten
Mal eine geringe Strafe verhängt beim dritten Mal eine etwas höhere Strafe.
Sanktionen
im EU-Vergleich
Strafen von bis zu EUR 25.000,- können verhängt werden, wenn jemand gegen das
DSG verstößt (§52 DSG). Wenn zum Beispiel eine verpflichtende Löschung oder Berichtigung
nicht durchgeführt wird, wenn jemand sich selbst oder anderen vorsätzlich und
widerrechtlich Zugang zu persönlichen Daten verschafft oder auch wenn das Daten -
geheimnis verletzt wird, dann zieht das eine Geldstrafe nach sich.
Sanktionen
in Österreich
Bei Unterlassungen zum DSG können Strafen von bis zu EUR 10.000,- verhängt
werden. Wenn also zum Beispiel die Meldepflicht an die DSK nicht erfüllt und die
Genehmigung zum Datentransfer ins Ausland nicht eingeholt wird, wenn Informationspflichten
verletzt oder wenn Datensicherheitsmaßnahmen grob außer Acht gelassen
werden, dann kann der/die Verantwortliche mit bis zu 9.495 EUR bestraft werden.
Zu Datenanwendung in Gewinn- und Schädigungsabsicht beträgt das Strafausmaß
maximal ein Jahr Freiheitsstrafe (§ 51 DSG).
Werden Daten gegen einen Betroffenen schuldhaft verwendet, steht dem/der Betroffenen
Schadensersatz zu (§ 33 DSG). Höhe ist im DSG keine festgesetzt.
27