AgentNews Ausgabe 3/2017

Was kann der erste Schritt sein?
Nach Art 30 DSGVO ist ein sog. Verzeichnis
von Verarbeitungstätigkeiten (VV) zu
erstellen. Diese Verpflichtung wird nahezu
jedes Unternehmen treffen, denn nur Organisationen,
die personenbezogene Daten nur
gelegentlich verarbeiten, sind ausgenommen.
Das Verzeichnis von Verarbeitungstätigkeiten
enthält zumindest Folgendes:
• der Name und die Kontaktdaten des
Verantwortlichen sowie eines etwaigen
Datenschutzbeauftragten
• die Zwecke der Verarbeitung
• die Kategorien der Betroffenen und der
personenbezogenen Daten
• die Kategorien von Empfängern,
• gegebenenfalls Drittlandübermittlungen
sowie Garantien;
• die Löschungsfristen;
• eine allgemeine Beschreibung der technischen
und organisatorischen Maßnahmen
(TOMs)
Informationspflichten nach der DSGVO
Die betroffene Person ist zu informieren, welche
konkreten Daten (Kontaktdaten, inhaltliche
Daten) zu welchem Zweck (Erfüllung
des Vermittlungsvertrages) und aufgrund
welcher Rechtsgrundlage (Vertrag/Vertragsanbahnung)
diese erhoben werden, sowie an
welche Empfänger die Daten weitergegeben
(Versicherungsunternehmen) werden und
wie lange bestimmte Daten (sieben Jahre
gem. § 132 BAO / drei Jahre) aufbewahrt
werden. Auch über die Rechte als Betroffener
(z.B. Auskunftsrecht, Recht auf Löschung
oder Berichtigung, Beschwerderecht…) ist
zu informieren. Die Datenschutz-Information
sollte offline oder online bereitgestellt
werden. Der Versicherungsagent, der einen
Newsletter versendet, benötigt für diese „Verarbeitungstätigkeit“
einen eigenen Eintrag
im Verzeichnis von Verarbeitungstätigkeiten
sowie die (nachweisbare) Einwilligung.
Ist ein Datenschutzbeauftragter (DSB) zu bestellen?
Die DSGVO schreibt einen DSB vor, wenn
die Kerntätigkeit des Unternehmens die umfangreiche
Verarbeitung besonderer Datenkategorien
(z.B. sensible Daten) umfasst oder
umfangreiche regelmäßige und systematische
Überwachung von betroffenen Personen
erforderlich macht. Wenn daher Gesundheitsdaten
im Rahmen der Vermittlung von
Lebens- oder Unfallversicherung verarbeitet
werden, dann wird das uU eine Kerntätigkeit
des Versicherungsagenten sein. Wenn dies
„umfangreich“ erfolgt, dann besteht auch die
Verpflichtung einen DSB zu bestellen. Der
Terminus „umfangreich“ wird noch durch
die Entscheidungen der Aufsichtsbehörden
konkretisiert werden, aber es wird vermutlich
auf die Anzahl der Datensätze bzw. Kundenbeziehungen
ankommen. Auch, wenn diese
Voraussetzung nicht erfüllt ist, ist es sinnvoll,
dass jede Organisation jemanden benennt,
der sich um die Angelegenheiten des Datenschutzes
als „Daten-Koordinator“ kümmert.
Wann ist eine Datenschutz-Folgenabschätzung
notwendig?
Eine DSFA (oder englisch: DPIA oder PIA)
ist dann erforderlich, wenn mit der Verarbeitung
der Daten ein hohes Risiko für
die Rechte und Freiheiten natürlicher Personen
verbunden ist. Dies wird bei der überwiegenden
Zahl von Verarbeitungsvorgängen
bei Versicherungsagenten (Kundeninformationssystem,
Auftraggeberdatenverwaltung,
Newslettertool, Bewerberverwaltung, Personalverwaltung)
nicht der Fall sein.
Werden Gesundheitsdaten verarbeitet, dann
könnte dies ein hohes Risiko iSd Art 35
DSGVO darstellen, und die Notwendigkeit
einer Datenschutz-Folgenabschätzung auslösen.
Es sollte in jedem Fall dokumentiert werden,
wie das Risiko der Verarbeitung (in Bezug auf
die betroffenen Personen) eingeschätzt wird,
und wie das Unternehmen mit technischen
und organisatorischen Maßnahmen (z.B. Verschlüsselung)
sicherstellt, dass sich das Risiko
nicht verwirklicht.
Betroffenenrechte
Ein wesentlicher Punkt sind auch die Rechte
der Betroffenen nach der DSGVO, z.B. das
Recht auf Auskunft, Berichtigung, Löschung,
Einschränkung der Verarbeitung oder auch das
Recht auf Datenübertragbarkeit.
Um Anfragen von Betroffenen in diesem Zusammenhang
fristgerecht, dh binnen 1 Monat
erfüllen zu können, ist es notwendig zu wissen,
welche konkreten Daten wo gespeichert
und wie verwendet, insbesondere an wen
übermittelt werden, und insbes. auch wie
die Daten erhoben wurden (wenn dies nicht
beim Betroffenen selbst erfolgte).
Die Informationen sind auf Anfrage – nach
Prüfung der Identität - unentgeltlich zu erteilen,
außer die Anfrage erfolgte unbegründet
oder ist exzessiv.
Datenschutzverletzung – was ist zu tun?
Eine Datenschutzverletzung liegt zB vor,
wenn personenbezogene Daten an unbefugte
Personen zu gelangen drohen, so z.B. wenn
ein USB-Stick mit Daten über Kunden verloren
geht, oder bei einem Hacker-Angriff
oder der Versendung eines Newsletters ohne
Verwendung der bcc-Funktion im Email.
Datenschutzverletzungen sind binnen 72
Stunden der Datenschutzbehörde (außer es
ist kein Risiko für die Rechte und Freiheiten
natürlicher Personen gegeben) und auch den
betroffenen Personen (bei hohem Risiko) zu
melden. Professionelle Unterstützung ist in diesem
Zusammenhang immer empfehlenswert.
Die Geldbußen – sind sie wirklich so hoch?
Geht man von den derzeitigen verhängten
Geldstrafen (z.B. EUR 700,-- für eine nicht
registrierte Videoüberwachung) aus, dann
sind die potentiellen Geldbußen, die Unternehmern
nach dem 25.05.2018 drohen wesentlich
höher.
In der DSGVO werden die Strafzumessungsgründe
umfassend beschrieben und z.B. der
Grad des Verschuldens oder auch die Tatsache,
dass mit der Aufsichtsbehörde zusammengearbeitet
wird und auch die Auswirkungen
der Datenschutzverletzung spielen bei
der Strafbemessung eine Rolle.
Die Geldbußen sollen in jedem Einzelfall
wirksam, verhältnismäßig und abschreckend
sein, und die DSGVO kennt eine Vielzahl
von Strafzumessungsgründen. Die DSGVO
geht davon aus, dass sich die Unternehmen
an die Bestimmungen halten, dies auch dokumentieren
und dann gegenüber der Behörde
im Rahmen der Nachweisverpflichtung auch
Rechenschaft ablegen. In anderen EU-Staaten
sind die verhängten Geldbußen bereits jetzt –
vor Geltung der DSGVO – wesentlich höher
als in Österreich.
Wie verhindert man die Geldbußen?
Die Geldbußen drohen denjenigen Organisationen,
die sich nicht um die Bestimmungen
der DSGVO kümmern. Ein Unternehmen
sollte daher jedenfalls
• ein Verzeichnis von Verarbeitungstätigkeiten
(VV) erstellen,
• sich darum kümmern, dass die personenbezogen
Daten auf „need-to-know-
Basis“ verarbeitet werden, dh nur diejenigen
Personen Zugriff haben, die diese
Daten auch im Rahmen ihrer Tätigkeit
bearbeiten müssen,
• die technischen und organisatorischen
Maßnahmen (TOMs) dokumentieren
und auch deren Einhaltung kontrollieren,
• sicherstellen, dass die Informationsverpflichtungen
nach der DSGVO insbes.
bei der Erhebung der Daten eingehalten
werden können,
• sowie einen Leitfaden erstellen, wie die
Rechte der betroffenen Personen (Auskunft,
Löschung etc…) erfüllt werden
können
• und überdies dokumentieren, wie im Fall
einer Datenschutzverletzung rechtzeitig
reagiert werden und die Verpflichtung
zur Meldung erfüllt werden kann.
WWW.S-M-P.AT
AGENT NEWS | 2017 | Ausgabe 3 | 5