fokus.genba unterstützt Sie dabei, Kundenbeziehungen nicht nur erfolgreich, sondern auch rechtskonform ausgestalten. So erhöhen Sie Kundenzufriedenheit und vermeiden Strafen. Wenn Sie daran interessiert sind, erreichen Sie uns unter:
Kontakt: 0699/15 31 67 76 oder per eMail
Artikel 17 DSGVO sieht in Absatz 1 lit a vor, dass personenbezogene Daten zu löschen sind, sofern diese für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden nicht mehr notwendig [sind]
und sofern diese für die Verarbeitung nicht erforderlich sind (Artikel 17 Abs. 3 DSGVO). Das ist soweit unstrittig.
Durchaus strittig ist die Frage, ob Verantwortliche in solchen Fällen zu einer selbstständigen Löschung verpflichtet sind, also unabhängig von Löschanträgen Betroffener. Nicht weniger strittig ist, ob Verantwortliche, die der Löschpflicht nicht nachkommen, das Recht Betroffener auf Löschung verletzen und ob sich daraus ein Beschwerdegrund ableiten lässt.
Die CRIF GmbH ist in Sachen Datenschutz wenig auskunftsfreudig, selbst dort, wo das Datenschutzgesetz dies vorsieht. Ein konkretes Beispiel mag das veranschaulichen.
Die Österreichische Datenschutzbehörde ist der Beschwerde eines Betroffenen gefolgt, sah das Recht des Betroffenen verletzt und hat die CRIF GmbH aufgefordert, die verlangten Auskünfte nach Artikel 15 DSGVO zu erteilen. Die Beschwerde war eingereicht worden, nachdem die CRIF GmbH eine unvollständige und mangelhafte Auskunft gegeben hatte.
Gegen den Entscheid der Österreichischen Datenschutzbehörde hat die CRIF GmbH teilweise Beschwerde beim Bundesverwaltungsgericht (BVwG) eingereicht. Bei der Bescheidentsprechung in anderen Punkten erkannte der Beschwerdeführer weiterhin Mängel in der Auskunft.
Eine direkte Nachfrage bei der CRIF GmbH blieb ergebnislos.
Entsprechend wandte sich der Beschwerdeführer an die Datenschutzbehörde. Diese sah sich allerdings nicht mehr zuständig. Sie habe dem Beschwerdeführer mit dem Entscheid einen Exekutionstitel an die Hand gegeben, womit gegen die CRIF GmbH bei der zuständigen Bezirksverwaltungsbehörde eine Vollstreckung beantragt und der Entscheid der Datenschutzbehörde durchgesetzt werden könne, solange, bis die Auskünfte vollständig und spruchgemäß gegeben worden sind.
Grundsätzlich sind Auskunftsanfragen sowie Informationen gemäß Artikel 12 Abs. 5 DSGVO unentgeltlich zu erbringen. Nur für den Fall offenkundig unbegründeter oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder (a) ein angemessenes Entgelt verlangen […] oder (b) sich weigern aufgrund des Antrags tätig zu werden.
Darauf verweist die CRIF GmbH, selbst dann, wenn bei mangelhafter und unvollständiger Information und Auskunft nachgefragt und eine vollständige Auskunft gefordert wird. Darin sehen Betroffene oftmals einen Einschüchterungsversuch, was die CRIF GmbH hingegen als Hinweis verstanden wissen will.
Die Vollstreckung eines rechtsgültigen Entscheids der Datenschutzbehörde ist die letzte und wohl auch effektive Maßnahme, um Unternehmen dazu zu zwingen, einer Entscheidung der Datenschutzbehörde zugunsten Betroffener nachzukommen. Betroffenen gibt die Datenschutzbehörde in diesen Fällen einen Exektutionstitel an die Hand, der es erlaubt, bei der zuständigen Bezirksverwaltungsbehörde einen Vollstreckung zu betreiben und so die Ansprüche durchzusetzen.
Viele, die wegen Verletzung Ihrer Persönlichkeitsrechte nach dem Datenschutzgesetz bei der Datenschutzbehörde Beschwerde gegen ein Unternehmen oder eine Organisation eingereicht haben, mussten erleben, dass die gesetzliche Frist von sechs Monaten für eine Entscheidung nicht eingehalten wird. Viele Beschwerden sind selbst nach einem Jahr noch anhängig. Während dessen dauern die angezeigten mutmaßlichen Verstöße gegen das Datenschutzgesetz (DSGVO) an.
Was können Betroffene unternehmen, um zügig zu einer Entscheidung über ihre Beschwerden nach Artikel 77 DSGVO zu kommen?
Was läge näher, als sich bei der Verwendung von Cookies am Beispiel der Datenschutzbehörde selbst zu orientieren. Immerhin unterstellt man ihr, dass sie in Sachen Datenschutz vorbildlich und damit rechtskonform agiert. Bei einer kritischen Betrachtung zeigt sich aber, dass dem eher nicht so ist.
In Österreich hat der Nationalrat in einer Novelle zum Gesundheitstelematikgesetz im September 2020 den Elektronischen Impfpass (E-Impfpass) beschlossen. Damit sollen sämtliche Impfungen personenbezogen in einem zentralen Impfregister, das bei der ELGA GmbH eingerichtet werden soll, gespeichert und verarbeitet werden. Ziel sei es, so valide Daten zur Durchimpfungsrate zu gewinnen und die Impfversorgung der Bevölkerung optimieren zu können. Wie sieht es mit zentralen Datenschutzfragen dazu aus?
Tourismus ist ein Informationsgeschäft und Daten sind die Grundlage dieses Geschäfts.
Das meint der Generalsekretär der Österreichischen Hoteliervereinigung und trifft mit seiner Vermutung, dass mit der DSGVO auf die Tourismusbetriebe daher ein beträchtlicher Aufwand zukommt, ins Schwarze. Er formuliert es provokant: Geht der österreichische Tourismus in die Datenschutz-Falle?
Viele Bereiche des Gesundheitswesens sind weit davon entfernt, den Anforderungen des Datenschutzes zu entsprechen, personenbezogene Daten sicher, diskret und gesetzeskonform zu verarbeiten.
In einer losen Folge von Beiträgen zeigen wir einige Problemfelder auf, die häufig übergangen werden. Im Vordergrund stehen zunächst die Klient*innen- beziehungsweise Patient*innenenkommunikation in Krankenhäusern und Arztpraxen. Hier wird häufig gedankenlos, teilweise grob fahrlässig mit personenbezogenen Daten umgegangen, darunter sensible Daten, also Daten der besonderen Kategorie nach Artikel 9 DSGVO.
3 Jahre, 10 Monate und 15 Tage sind vergangen, seit der POST AG ein Auskunftsersuchen nach Artikel 15 DSGVO zugestellt wurde und es gibt diese Auskunft bis heute nicht. Was sagt das über die POST AG aus und was über das österreichische Rechtssystem?
Der Datenmissbrauchsskandal der POST AG gab Anlass für das Auskunftsersuchen. Die POST AG hatte personenbezogene Daten aggregiert und war dabei so weit gegangen die (vermutete) Parteinähe von Personen im Datensample zu verkaufen. Das Recherchenetzwerk Addendum deckte mehrere Datenskandale bei der Post auf. (Siehe Ist die Post das österreichische Cambridge Analytica?
)
Die Post AG und ihre Probleme mit dem Datenschutz Bei der Post AG hat Addendum skandalösen Datenmissbrauch aufgedeckt und Verstöße gegen den Datenschutz (DSGVO, DSG) aufgezeigt. Das Geschäftsmodell der Post AG wird immer fragwürdiger, trotz einer Beteiligungsmehrheit der ÖBAG, also des Bundes. Mehr lesen...
Nachdem die POST AG keine Auskunft nach Artikel 15 DSGVO gegeben hatte, wurde nach einem Monat Beschwerde bei der Datenschutzbehörde eingereicht. Die Datenschutzbehörde entschied, angestoßen durch eine Säumnisbeschwerde, am 9. Juli 2020 im Sinne des Beschwerdeführers und forderte die POST AG auf, die Auskunft zu erteilen. Die POST AG hat dagegen beim Bundesverwaltungsgericht (BVerwG) berufen. Dort ist der Vorgang seit August 2020 anhängig.
Es handelt sich bei diesem Vorgang keinesfalls um eine vertrackte, juristisch komplizierte Angelegenheit und daher ist nicht ganz nachvollziehbar, warum sich die Bearbeitung dieser Beschwerde derart in die Länge zieht. Die gesetzliche Entscheidungsfrist ist längst überzogen. Zwar könnte man auch hier eine Säumnisbeschwerde einlegen, aber da stellt sich die Frage: Warum EUR 240 Gerichtsgebühr zahlen, wenn doch das Versäumnis auf Seiten des BVwG liegt?
Folgende Beiträge könnten Sie auch interessieren:
Die Beschwerde nach Artikel 77 DSGVO Beschwerden nach Artikel 77 DSGVO. Hier wird auch der Verlauf der Beschwerde gegen die POST AG bei der österreischischen Datenschutzbehörde chronologisch dargestellt, um das Verfahren zu verfolgen und Rückschlüsse auf den Bearbeitungsprozess zu ermöglichen. Mehr lesen...
Die DSGVO und die österreichische POST AG | Art. 15 DSGVO Der POST AG konnte das Recherchenetzwerk Addendum massive Verstöße gegen den Datenschutz, Verletzung der DSGVO nachweisen. Darüber hinaus zeigt sich die POST AG bei der Erfüllung von Vorgaben der DSGVO mehr als unwillig. Damit brüskiert die österreichische. POST AG ihre Kunden durch Missachtung von Datenschutz und Verletzung von Persönlichkeitsrechten. Mehr lesen...
Weitgehend unbemerkt brachte der Nationalrat den Elektronischen Impfpass (E-Impfpass) mittels Novelle zum Gesundheitstelematikgesetz auf den Weg. In einer Presseaussendung der Parlamentsdirektion heißt es, dass dieser E-Impfass valide Daten liefern soll. Wie dieser E-Impfpass aus datenschutzrechtlicher Sicht beurteilt werden muss, wird nicht nachvollziehbar ausgeführt.