Neues Datenschutzgesetz sieht Millionenstrafen vor

Das neue Datenschutzgesetz sieht Strafen von bis zu 20 Millionen Euro vor, sollten Unternehmen gegen die neuen, strengeren Bestimmungen verstoßen. Unter anderem soll es erschwert werden personenbezogene Daten für Werbezwecke zu verwenden. Auch US-Konzerne sollen sich an die neuen Regeln halten müssen.

Das neue Datenschutzgesetz, das am 7. Juni im Ministerrat beschlossen wurde, sieht empfindliche Strafen für Unternehmen vor, die gegen die neuen Datenschutz-Bestimmungen verstoßen. „Künftig wird ein Strafrahmen bis zu 20 Mio. Euro bestehen oder 4 Prozent vom globalen Konzernumsatz, je nach dem, was rechnerisch höher ist“, sagt der auf Datenschutzfragen spezialisierte Rechtsanwalt Rainer Knyrim.

Einheitliche europäische Verordnung gescheitert

Die geplanten gesetzlichen Änderungen gehen auf die vor etwas mehr als einem Jahr beschlossene Datenschutz-Grundverordnung (DSGVO) der EU zurück, die formal zwar gültig und direkt anwendbar ist, aber deren Anwendung bis 25. Mai 2018 ausgesetzt wurde. Man habe den Unternehmen zwei Jahre Zeit gegeben. Hier sei Brüssel sehr höflich, so Knyrim, der österreichische Gesetzgeber setze schließlich Gesetze zum Teil auch rückwirkend in Kraft.

Ursprünglich sei eine einheitliche europäische Verordnung geplant gewesen. Allerdings habe man sich auch nach vierjähriger Diskussion auf europäischer Ebene nicht über alle Punkte einigen können, darum habe man diese Punkte der nationalen Regelung überlassen. Ein solches Thema sei zum Beispiel der gesamte Bereich der Arbeitnehmerdatenverarbeitung, so Knyrim.

Ministerratsbeschluss im Schnellverfahren

Völlig überraschend sei nur zwei Tage nach dem Rücktritt vom Vizekanzler Reinhold Mitterlehner das „Datenschutz-Anpassungsgesetz 2018" als Entwurf des Bundeskanzleramtes bis 23. Juni in Begutachtung gegangen und am 7. Juni auch schon im Ministerrat beschlossen worden. Es liege bereits im Parlament, obwohl im Bundeskanzleramt noch das Begutachtungsverfahren läuft. Dies sei ein höchst ungewöhnlicher Vorgang,so Knyrim. Der Experte begrüßt das Tempo allerdings:"Wir brauchen dieses Gesetz dringend“.

Nutzung privater Daten für Werbezwecke wird erschwert

Zu beachten seien einige wenige Grundprinzipien. Das erste Prinzip sei, dass man immer eine Rechtsgrundlage brauche, um Daten überhaupt verarbeiten zu dürfen. Das Datenschutzgesetz sei eigentlich ein Verbotsgesetz. Es sei zunächst grundsätzlich alles verboten, außer es liegt eine entsprechende Ausnahme vor. Darüber hinaus dürften nicht mehr Daten abgefragt werden als wirklich notwendig, man müsse dafür sorgen, dass sie richtig und auf aktuellem Stand seien, ihre Integrität und Vertraulichkeit gewährleistet sei und sie auch nur so lange gespeichert werden, wie sie tatsächlich benötigt würden.

Ein wichtiger Punkt sei die Zweckbindung gesammelter Daten, erklärte Knyrim und führte als Beispiel den aktuellen Fall einer Tageszeitung an. Die Zeitung habe in den Geschäftsbedingungen für ein Testabo von den Kunden die Zustimmung eingeholt, Daten für Werbezwecke verwenden zu dürfen. Das habe die Datenschutzbehörde am 22. Mai als unzulässig beanstandet: „Das Unternehmen hat zwei Monate Zeit bekommen, die Empfehlung der Datenschutzbehörde umzusetzen. Tut es das nicht, dann könnte die Datenschutzbehörde, die derzeit noch nicht Strafbehörde ist, das Unternehmen bei der zuständigen Bezirksverwaltungsbehörde anzeigen." In Zukunft hätte die Datenschutzbehörde selbst die Möglichkeit, 20 Mio. Euro Strafe zu verhängen, so Knyrim.“

Ausnahmen für Justiz und Polizei

Unter das europäische Datenschutzrecht fallen auch Unternehmen aus Nicht-EU-Ländern, die auf dem europäischen Markt tätig sind. Auch US- Unternehmen wie Google seien also theoretisch an die neuen Bestimmungen gebunden, so der Jurist, der aber Zweifel an der Rechtsdurchsetzung hegt: „Es ist dann die Frage, wie man sich das Geld holt.“

Grundsätzlich gelte die Verordnung auch für Behörden und im öffentlichen Bereich. Es gebe aber parallel zur Verordnung eine Richtlinie, die die Agenden der Sicherheitsbehörden, etwa der Polizei oder der Justiz betreffen. Diese Richtlinie werde nun auch in österreichisches Recht umgesetzt.

Mehr zum Thema:

• Sprachassistenten Alexa & Co. auf dem Prüfstand
• Löchriger Datenschutz bei Fitness-Apps
• Dropbox & Co: Datenschutzalarm für US-Cloud-Dienste