Die Datenschutz-Grundverordnung der EU ist zwar bereits formal gültig und direkt anwendbar, deren Anwendung wurde von der EU-Kommission aber bis 25. Mai 2018 ausgesetzt, um den Mitgliedsstaaten mehr Zeit für die nationale Umsetzung zu geben.
Jetzt hat auch das österreichische Parlament die EU-Datenschutz-Grundverordnung (DSGVO) umgesetzt und das sogenannte Datenschutz-Anpassungsgesetz 2018 beschlossen. Zustimmung kam nur von der Koalition. Die Opposition beklagte vor allem die überstürzte Vorgangsweise, sei doch der Gesetzesentwurf schon eingebracht worden, als noch nicht einmal die Begutachtung zu Ende gegangen war.
Auch Behörden brauchen Datenschutzbeauftragten
Direkt in der Datenschutz-Grundverordnung geregelt sind etwa die Pflicht zur Ernennung eines Datenschutzbeauftragten und zur Durchführung von Datenschutz-Folgenabschätzungen, wobei die Bestimmungen sowohl die öffentliche Hand als auch den privaten Sektor betreffen. Es müssen etwa öffentliche Behörden und Stellen, die Datenverarbeitungen durchführen, sowie Unternehmen, in denen Datenverarbeitungen zur Kerntätigkeit zählen, in jedem Fall einen Datenschutzbeauftragten benennen.
Hohe Strafen möglich
Was die Datenschutz-Folgenabschätzungen betrifft, kann die Datenschutzbehörde zur Unterstützung von Unternehmen Positiv- bzw. Negativlisten erstellen. Damit soll ersichtlich werden, bei welchen Datenverarbeitungen eine derartige Folgenabschätzung jedenfalls erforderlich ist und in welchen Fällen eine solche als nicht nötig erachtet wird.
Die Datenschutzbehörde wird künftig sowohl als Aufsichtsbehörde gemäß der EU-Datenschutz-Grundverordnung als auch als Aufsichtsbehörde gemäß der EU-Datenschutz-Richtlinie zur inneren Sicherheit fungieren. In diesem Sinn wird ihr auch die Einhebung von Geldbußen für Verstöße gegen die EU-Verordnung obliegen. Die Strafen für Unternehmen richten sich zum Teil nach dem Umsatz und können, je nach Schwere des Vergehens, bis zu mehreren Millionen Euro betragen.
Spezielle Verwaltungsstrafen sieht das Gesetz bei Verstößen gegen das Datengeheimnis sowie gegen die besonderen Bestimmungen zu Bildverarbeitungen und anderen spezifischen Datenverarbeitungen vor. Sie sollen dann zur Anwendung kommen, wenn die Datenschutz-Grundverordnung oder andere nationale Verwaltungsstrafbestimmungen nicht greifen. Es drohen Personen, die sich vorsätzlich widerrechtlichen Zugang zu Daten verschaffen oder ihnen anvertraute Daten unberechtigt weiterleiten oder unzulässige Videoaufzeichnungen machen, Geldstrafen bis zu 50.000 Euro.