Informationen und Handlungshilfen zum grenzüberschreitenden ...

Angebot der OECD
Die Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD) hat ein
Instrument entwickelt, das automatisch derartige Selbstverpflichtungserklärungen kreiert,
den „OECD-Privacy Policy Generator“ (Link dazu findet sich im Anhang). Damit
können Anbieter im Internet - angepasst an ihre Webpages - eigene Statements kreieren.
ACHTUNG: dieses automatische Instrument garantiert nicht, dass damit auch den
nationalen Datenschutzregelungen entsprochen wird! Es gewährleistet auch nicht, dass
diese „Statements aus der Retorte“ dann auch wirklich eingehalten werden.
8.5 DatenschutzbeauftragteR (DSB)
internationale Rechtslage
Ausbildung der DSB
Aufgaben der DSB
Im Unterschied beispielsweise zum deutschen 6 , französischen, tschechischen, ungarischen
oder slowakischen Datenschutzgesetz kennt das österreichische Recht keine Verpflichtung
zur Ernennung oder Einstellung von Datenschutzbeauftragten (DSB). In einigen EU-
Ländern sind die Voraussetzungen für die Bestellung zum/zur Datenschutz -
beauftragten umfangreich gestaltet (z.B. Tschechische Republik, Slowakei). Die
KandidatInnen müssen ein Universitätsstudium absolviert haben, langjährige Berufs -
erfahrung im Fachgebiet vorweisen und unabhängig von politischen Parteien sein.
Sowohl in punkto Ausbildung als auch in punkto Unabhängigkeit haben die meisten
westlichen EU-Staaten hier Nachholbedarf.
Nachdem das österreichische Gesetz keine DSB vorsieht, kennt es auch keine
Ausbildungs grundsätze für DSB. Folglich ist die innerbetriebliche Ausbildungspraxis
höchst unterschiedlich. In einigen wenigen Betrieben sind Datenschutzbeauftragte
etabliert. Die DSB haben Seminare von einem halben Tag bis zu einer Woche absolviert,
um auf ihre Tätigkeit vorbereitet zu werden. Das ist eine höchst heterogene und unzureichende
Grundlage für so eine komplexe Materie.
Außerdem ist das Aufgabengebiet der DSB meist stärker auf KundInnendaten fokussiert
als auf MitarbeiterInnendaten. Es ergibt sich von selbst, dass diese Vorgehensweise
problematisch ist und die Interessen der ArbeitnehmerInnen nicht wirklich geschützt sind.
(Welche Rechte und welches Tätigkeitsprofil die GPA-djp für Datenschutzbeauftragte
fordert, ist in Kapitel 10 dargestellt.)
8.6 Sicherheitsmanagement
rechtliche Grundlage
Datenschutzrechtliche Sicherheitsbestimmungen sind im § 14 des DSG festgelegt. Der
Gesetzgeber verlangt, dass die Sicherheitsmaßnahmen im wesentlichen drei Kriterien
entsprechen. Sie müssen:
1. Angepasst an den Stand der Technik,
2. wirtschaftlich vertretbar sein und
3. ein angemessenes Schutzniveau erreichen.
Der „Stand der Technik“ ist gerade in der sich rasch wandelnden IKT-Branche schwierig
auszulegen. Der Ausdruck „wirtschaftlich vertretbar“ wird seitens der Geschäftsführung
gerne gleich gesetzt mit „darf nichts kosten“. Das kann allerdings nicht argumentiert werden
- es muss sehr wohl ein Budget für Sicherheitsmaßnahmen zur Verfügung gestellt
werden. Was fehlt, sind Verhaltensvorgaben sowie technische und organisatorische Standards
zum Datenschutz. Die Gesetzesbestimmungen zur Datensicherheit also nicht ausreichend.
7
6
In Deutschland ist der Datenschutzbeauftragte stark föderalistisch organisiert. Das bedeutet,
dass jedes Land eine eigene Gesetzgebung und eine eigene Behörde zum Datenschutz hat. Die
einzelnen Länder praktizieren daher unterschiedlich fortschrittliche Methoden im Datenschutz.
Schleswig-Holstein beispielsweise gilt als sehr modern.
7
Im Gegensatz zu Österreich hat Deutschland beispielsweise ein konkretes Gütezeichen zur IT-
Sicherheit.
46