DSGVO für Tabaktrafikanten - Gesammelte Informationen für Niederösterreichs Tabaktrafikanten

Seit 25.5.2018 ist die Datenschutzgrundverordnung bzw. deren nationale Ausführungsgesetze umzusetzen. Auch wenn der Gesetzgeber in letzter Minute einige wesentliche Problempunkte entschärft hat, sind alle TrafikantInnen gut beraten, sich mit dem Thema auseinander zu setzen.

Das Landesgremium Niederösterreich hat daher gemeinsam mit Trafikanten und externen Experten einen Dokumentensatz entwickelt, der die Datenverarbeitungen in einer Trafik abbildet.

Sie finden diesen Dokumentensatz hier. Der Dokumentensatz ist so aufgebaut, dass in den einzelnen Dokumenten meist nur mehr die Personalisierung auf Ihr Unternehmen zu erfolgen hat und bei einzelnen gelb unterlegten Punkten Streichungen oder geringfügige Ergänzungen notwendig sind. 

Nicht in jeder Trafik werden sämtliche Dokumente benötigt, Ordner 1 enthält nur allgemeine Informationen, hier ist keine Bearbeitung notwendig. Werden keine Kundendaten in Drittsystemen verarbeitet (beispielsweise Trafik-Plus, Ö-Ticket, Asfinag usw.), dann ist keine Zustimmungserklärung (Ordner 4) erforderlich. Beschäftigen Sie keine Mitarbeiter, dann entfallen die Dokumente in Ordner 6 und große Teile des Ordners 5.

Zentraler Punkt ist das standardisierte Verarbeitungsverzeichnis in Ordner 2 sowie - wenn Sie Daten an Dritte (beispielsweise Steuerberater für Buchhaltung und Personalverrechnung) weitergeben, der Auftragsverarbeiter-Vertrag in Ordner 3.  

Bitte Vorsicht: Der Dokumentensatz berücksichtigt die datenschutzrechtlich relevanten Umstände im Tabakfachgeschäft. Für Tabakverkaufsstellen sind in der Regel (umfangreiche) Ergänzungen erforderlich, die zusätzliche Verarbeitungstätigkeiten im über die Trafik hinausgehenden Gewerbe abbilden.

Dokumentsatz Datenschutzgrundverordnung

• Inhaltsverzeichnis
  • Inhaltsverzeichnis Dokumentensatz
    
    
• Ordner 1 Informationen_DSGVO
  • DSGVO Info-Folder-WKO
  • Speicher und Aufbewahrungsfristen
  • Webshop Ablauf
  • Webshops-Verbraucherrechte
    
    
• Ordner 2 Verarbeitungsverzeichnis
  • Verzeichnis der Verarbeitungstätigen - Überblick
    
  • Verzeichnis der Verarbeitungstätigen - Auftragsverwaltung
  • Verzeichnis der Verarbeitungstätigen - Buchhaltung
    
  • Verzeichnis der Verarbeitungstätigen - Kontaktdatenbank
  • Verzeichnis der Verarbeitungstätigen - Personalverwaltung
  • Verzeichnis der Verarbeitungstätigen - Alarmsysteme
  • Verzeichnis der Verarbeitungstätigen - Wertkartenregistrierung
    
    
• Ordner 3 Auftragsverarbeiter-Vertrag
  • Auftragsverarbeiter-Vertrag
    
    
• Ordner 4 Datenschutzerklaerung_Zustimmungserklaerung
  • Zustimmungserklaerung Datenverarbeitung
    
    
• Ordner 5 Auskunft_Betroffene+DSB_DataBreach
  • Aushang Beantwortung von Anfragen
  • Beantwortung Datenschutzanfrage
  • DataBreach Behoerde
  • DataBreach Betroffene
  • Dienstanweisung Datenschutzanfrage Mitarbeiter
  • Dienstanweisung Vorgehen Datenschutzverletzungen
  • Erteilung Auskunft
  • Logbuch Datenschutzanfragen
    
    
• Ordner 6 Mitarbeiter
  • Datenschutzerklaerung Mitarbeiter
  • Datenschutzrichtlinie Mitarbeiter
  • Verpflichtung Datengeheimnis
  • WKO Schulungsunterlagen DSGVO
     
• Haftungsausschluss

Auftragsverarbeiter-Verträgen mit Ihrem Steuerberater  

Viele Steuerberater weigern sich, einen derartigen Vertrag abzuschließen, weil Sie angeblich selbst Verantwortlicher ist. Was tun? 

Leider liegt zu dieser Frage, (noch) keine Aussage seitens der Datenschutzbehörde vor. 

Fakt dürfte sein, dass die Mehrheit der Steuerberater (wenn nicht alle) der Empfehlung der KSW folgt und keine Auftragsverarbeiter-Verträge abschließt. Da die Frage nach wie vor ungeklärt ist, dürften in der derzeitigen Situation beide Rechtsansichten (Steuerberater als Auftragsverarbeiter oder Verantwortlicher) als vertretbar angesehen werden können. Da es in der derzeitigen Situation auch kaum möglich sein dürfte, eine andere steuerliche Vertretung, die bereit wäre, einen Auftragsverarbeiter-Vertrag zu schließen, zu beauftragen bzw. zu finden, bleibt faktisch nur die Möglichkeit, zur Vermeidung allfälliger Strafen die Rechtsansicht Ihres Steuerberaters und der KSW zu dokumentieren und die Vertragsbeziehung so zu gestalten, wie sie die Steuerberatungskanzlei vorgibt, nämlich mit dem Steuerberater als Verantwortlichen.  

Abgesehen von der Grundsatzfrage, ob hier nicht ein Auftragsverarbeitervertrag geschlossen werden müsste, dürften Ihnen aus der Vorgangsweise keine unmittelbaren Nachteile drohen, da Sie auch bei einem Auftragsverarbeitervertrag Verantwortlicher bleiben. So trifft die Position des Verantwortlichen zusätzlich den Steuerberater. Als Rechtsgrund für die Datenübermittlung an den Steuerberater könnte man iSv Art 6 Abs lit e DSGVO ein „berechtigtes Interesse an steuerlicher, rechtlicher und sonstiger Beratung“ heranziehen. 

Da Sie sich der Macht des Faktischen werden beugen müssen, empfehle wir, alles zu dokumentieren und/oder sich vom Steuerberater bestätigen zu lassen, dass er nach seiner Ansicht oder nach Ansicht seiner Kammer kein Auftragsverarbeiter ist, alles gut aufzuheben und ohne Auftragsverarbeiter-Vertrag zu arbeiten. 

Postpartner

Für Postpartner ergibt sich auf Grund der ganz spezifischen Tätigkeiten ein deutlicher zusätzlicher Dokumentationsaufwand. Hier wurden bereits Gespräche mit der Österreichischen Post geführt und es ist davon auszugehen, dass zumindest ein entsprechender Auftragsverarbeiter-Vertrag seitens der Österreichischen Post entwickelt wird.

Zusätzlich sind aber zahlreiche Ergänzungen im Verfahrensverzeichnis, im Bereich der Kundeninformation/Einverständniserklärung sowie bei der Mitarbeiterinformation notwendig. Hier empfiehlt es sich, auf externe Berater zurückzugreifen.