Begriffserklärungen zur DSGVO

Wenn Unternehmen personenbezogene Daten verarbeiten, müssen sie die Anforderungen der DSGVO erfüllen. Die folgenden Begriffserklärungen bilden die Grundlage, um die gesetzlichen Anforderungen zu verstehen – kompakt und praxisnah erklärt. 

1. Datenschutz-Grundverordnung (DSGVO)

Die DSGVO ist eine Verordnung der Europäischen Union und gilt unmittelbar in allen Mitgliedstaaten. Dieses „Datenschutzgesetz der EU“ gilt somit auch in Österreich. Die DSGVO legt die zentralen Regeln für den Schutz personenbezogener Daten fest.

2. Datenschutzgesetz (DSG)

Die DSGVO regelt den Schutz personenbezogener Daten nicht abschließend. In bestimmten Bereichen besteht für die nationalen Gesetzgeber weiterhin die Möglichkeit, ergänzende Datenschutzregelungen zu erlassen. In Österreich sind einige dieser ergänzenden Bestimmungen im DSG umgesetzt. Zudem garantiert § 1 DSG ein Grundrecht auf Datenschutz, das in Österreich Verfassungsrang hat. Ein zentraler Aspekt dieses Grundrechts ist das Grundrecht auf Geheimhaltung personenbezogener Daten. Ein wesentlicher Unterschied zwischen DSG und DSGVO besteht darin, dass das Grundrecht auf Datenschutz nach dem DSG auch die Daten von juristischen Personen schützt.

3. Europäischer Gerichtshof (EuGH)

Der EuGH ist ein Organ der Europäischen Union und sorgt unter anderem dafür, dass das Unionsrecht einheitlich und korrekt ausgelegt sowie angewandt wird. Vereinfacht formuliert ist der EuGH das „Gericht der EU“. Wenn in den Dokumenten des Projekts DSGVO4KMU daher auf die „Judikatur des EuGH“ verwiesen wird, handelt es sich um Urteile des EuGH, in denen er sich mit der Auslegung des Datenschutzrechts (also der DSGVO) beschäftigt und eine Entscheidung getroffen hat.

4. Personenbezogene Daten (Art. 4 Z 1 DSGVO)

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen. Eine Person gilt als (unmittelbar) identifiziert, wenn ihr vollständiger Name vorliegt oder durch den Kontext eindeutig ist, um wen es sich handelt. Identifizierbar ist eine Person, wenn sich ihre Identität mithilfe zusätzlicher Informationen ermitteln lässt.

Beispiel
Steht auf einer Rechnung nur eine Kundennummer, kann aber im Unternehmenssystem problemlos nachvollzogen werden, welcher Kundin diese Nummer zugeordnet ist, dann gilt die Person als identifizierbar. Die auf der Rechnung enthaltenen Daten sind daher als personenbezogene Daten einzustufen.

Die Frage der Identifizierbarkeit ist manchmal schwierig – etwa bei Online-Kennungen oder IP-Adressen –, aber bei KMU stellt sich diese Frage in der Praxis meist nicht: Kund:innen oder Beschäftigte sind oft mit Klarnamen (also dem echten Namen), Geburtsdatum, Adresse oder ähnlichen Angaben erfasst, sodass es sich eindeutig um personenbezogene Daten handelt.

Beispiele für „personenbezogene Daten“ sind daher: Name, Adresse, Telefonnummer, Sozialversicherungsnummer, E-Mailadressen, Fotos, Videoaufnahmen, Tonbandaufzeichnungen, Zahlungsdaten, Kundennummer, Online-Kennungen (z. B. Benutzername und Passwort eines Online-Kontos), usw.

5. Kategorien personenbezogener Daten

Unter „Kategorien personenbezogener Daten“ im Sinne der DSGVO versteht man Gruppen ähnlicher personenbezogener Daten, z. B. Kontaktdaten, Zahlungsdaten oder Bestelldaten.

6. Verarbeitung (Art. 4 Z 2 DSGVO)

Im Datenschutz geht es immer um die Verarbeitung personenbezogener Daten. Der Begriff „Verarbeitung“ ist ein Oberbegriff, der sämtliche Vorgänge im Zusammenhang mit personenbezogenen Daten umfasst. Das bedeutet, dass so gut wie jede mögliche Verwendung personenbezogener Daten, unabhängig von der dabei verwendeten Technik eine Verarbeitung darstellt.

Beispiele
Kopieren, Speichern, Senden, Weiterleiten, Erheben, Erfassen (Aufnehmen oder Filmen), Ordnen, Anpassen oder Verändern, Auslesen, Abfragen, Benutzen, Offenlegen bzw. Bekanntgeben, Verbreiten oder eine andere Form des Bereitstellens, Abgleichen oder Verknüpfen, Einschränken, Löschen oder Vernichten, usw.

7. Verarbeitungstätigkeit

Eine Verarbeitungstätigkeit ist ein bestimmter Ablauf im Unternehmen, bei dem personenbezogene Daten verwendet werden. Es geht dabei immer um einen abgrenzbaren Vorgang (z. B. Lohnverrechnung, Kundenverwaltung oder Online-Shop-Bestellabwicklung).

8. Verarbeitungszweck

Der Verarbeitungszweck beschreibt, warum personenbezogene Daten verarbeitet werden. Jede Verarbeitungstätigkeit umfasst üblicherweise diverse Verarbeitungszwecke (z. B. umfasst die Verarbeitungstätigkeit „Personalverwaltung“ u.a. die Verarbeitungszwecke „Gehaltsabrechnung“ und „Arbeitszeiterfassung“).

9. Dateisystem (Art. 4 Z 6 DSGVO)

Die DSGVO kann auch bei nicht elektronischer Verwendung von personenbezogenen Daten gelten. Nämlich dann, wenn personenbezogene Daten in einem sogenannten „Dateisystem“ organisiert werden. Ein Dateisystem kann man sich einfach gesagt als Karteisystem vorstellen: Entscheidend ist, dass die Daten

• nach bestimmten Kriterien systematisch geordnet sind und
• relativ einfach und ohne großen Aufwand gefunden werden können.

Beispiele

• Ein Unternehmen führt eine Datei in Papierform. In dieser Datei sind Daten zu Kund:innen oder Patient:innen alphabetisch nach Namen sortiert. Zu jeder Person sind Name, Adresse und Telefonnummer notiert.
• Ausgedruckte Unterlagen bzw. Dokumente in Papierform zu Mitarbeiter:innen, die in einem Ordner abgelegt werden;
• Schnellhefter, in denen Kundennamen nach der Reihenfolge, in der Hausbesuche durchgeführt werden sollen, aufgelistet sind; usw.

10. Pseudonymisierung (Art. 4 Z 5 DSGVO)

„Pseudonymisierung“ bedeutet, dass personenbezogene Daten in einer Weise verarbeitet werden, dass ein Bezug zu einer Person nur mithilfe zusätzlicher Informationen möglich ist. So etwa wenn Namen Ihrer Kund:innen oder Patient:innen durch Nummern ersetzt werden. Das Dokument, das die Nummer mit der konkreten Person verknüpft, ist separat aufbewahrt und entsprechend vor unbefugten Zugriffen geschützt.

Beispiel
In einem medizinischen Labor werden Blutproben von Patient:innen  nicht mit deren Namen, sondern mit einer Proben-ID wie (z. B. „Probe 123“) versehen. Die Liste, welche Proben-ID welcher Person zugeordnet ist, wird getrennt und sicher verwahrt.

Verwendet man pseudonymisierte Daten kann man die Risiken für die betroffenen Personen (etwa bei Diebstahl, Verlust, unbefugtem Zugriff oder Offenlegung von personenbezogenen Daten) senken. Denn diese Daten bleiben bei Datenschutzverletzungen wie Diebstahl, Verlust oder unbefugtem Zugriff besser geschützt. Pseudonymisierung empfiehlt sich insbesondere für $LINK sensible Daten.

11. Anonymisierung

Im Gegensatz zur Pseudonymisierung sind anonymisierte Daten nicht mehr personenbezogen, weil ein Bezug zu einer Person nicht mehr hergestellt werden kann. Daher befindet man sich bei anonymisierten Daten nicht im Anwendungsbereich der DSGVO.

Beispiel
Ein Name wird geschwärzt oder durch Ziffern bzw. Zeichen (z. B. XXX) ersetzt, die genaue Adresse wird durch die Postleitzahl ersetzt, usw. Wenn dabei aus dem Kontext nicht hervorgeht, um wen (welche konkrete Person) es sich handelt, ist die DGSGVO nicht mehr anwendbar, weil eben keine Daten verarbeitet werden, die eine Person identifizieren bzw. identifizierbar machen.

12. Verantwortlicher (Art. 4 Z 7 DSGVO)

$Link zu Verantwortlicher und Auftragsverarbeiter_Verantwortlicher 

„Verantwortliche“ entscheiden, weshalb und wie personenbezogene Daten verarbeitet werden. Anders ausgedrückt, bestimmen Verantwortliche über „Zweck“ und „Mittel“. Dabei ist deren Rechtsform unerheblich, also ob es sich um eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle handelt.

Da das Unternehmen regelmäßig über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet, wird es auch regelmäßig der Verantwortliche sein. Dasselbe gilt, wenn im Namen des Unternehmens (z. B. als Geschäftsführer:in, Gesellschafter:in, Eigentümer:in oder Mitarbeiter:in) gehandelt wird.

Beispiel
Die Betreiberin eines Online-Shops entscheidet, dass Daten von Kund:innen verarbeitet werden, um einen monatlichen Newsletter per E-Mail zu verschicken. Damit legt die Betreiberin das „Weshalb“ und das „Wie“ der Verarbeitung fest.

13. Gemeinsam Verantwortliche (Art. 4 Z 7 DSGVO) 

$Link zu Verantwortlicher und Auftragsverarbeiter_Verantwortlicher_FAQ zum Verantwortlichen_Was sind „gemeinsam Verantwortliche“?

Entscheiden zwei oder mehr Unternehmen gemeinsam über die Zwecke und Mittel der Verarbeitung personenbezogener Daten, gelten sie als „gemeinsam Verantwortliche“.
Gemeinsam Verantwortliche ist Ihr Unternehmen daher dann, wenn Sie zusammen mit anderen unternehmensexternen Personen, Organisationen oder Unternehmen entscheiden, weshalb personenbezogene Daten verarbeitet werden und wie die Verarbeitung konkret durchgeführt wird. Dabei ist es nicht notwendig, dass alle gemeinsam Verantwortlichen die Mittel und Zwecke im gleichen Ausmaß mitentscheiden.

Hierfür bedarf es einer Vereinbarung über die gemeinsame Verantwortlichkeit.

Beispiel
Sie führen zusammen mit einem anderen Unternehmen ein Gewinnspiel durch. Sie legen gemeinsam fest, dass aus den übermittelten Daten ein Gewinner oder eine Gewinnerin ausgelost wird. Das Gewinnspiel dient der gemeinsamen Vermarktung, um die Bekanntheit beider Unternehmen zu erhöhen.

14. Vereinbarung über die gemeinsame Verantwortlichkeit (Art. 26 DSGVO)

Im Fall einer gemeinsamen Verantwortlichkeit sind die gemeinsam Verantwortlichen verpflichtet, eine schriftliche Vereinbarung abzuschließen. In dieser Vereinbarung wird festgelegt, wer welche Pflichten nach der DSGVO übernimmt – insbesondere im Hinblick auf die Wahrnehmung der Rechte der betroffenen Personen.

Ein Muster erhalten Sie unter $LINK Muster Vereinbarung gemeinsam Verantwortliche.

15. Auftragsverarbeiter (Art. 4 Z 8 DSGVO) 

$Link zu Verantwortlicher und Auftragsverarbeiter_Auftragsverarbeiter

Der „Auftragsverarbeiter“ ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Auftragsverarbeiter verarbeiten personenbezogene Daten ausschließlich im Auftrag und auf Weisung des Verantwortlichen. Weshalb und auf welche Weise personenbezogene Daten verarbeitet werden bestimmt allein der Verantwortliche.

Beispiel
Ein Unternehmen beauftragt ein externes IT-Dienstleistungsunternehmen, um Kundendaten in der Cloud zu speichern. Das externe IT-Dienstleistungsunternehmen nutzt die Daten nicht für eigene Zwecke, sondern beschränkt sich ausschließlich auf die Speicherung und Sicherung der Daten. Das externe IT-Dienstleistungsunternehmen ist daher Auftragsverarbeiter.

Zwischen Verantwortlichem und Auftragsverarbeiter ist ein Vertrag über die Auftragsverarbeitung abzuschließen.   

16. Vertrag über die Auftragsverarbeitung (Art. 28 DSGVO)

Im Fall einer Auftragsverarbeitung muss zwischen dem Verantwortlichen und dem Auftragsverarbeiter ein Vertrag zur Auftragsverarbeitung abgeschlossen werden (häufig auch Auftragsverarbeiter-Vereinbarung, kurz AV-Vereinbarung, genannt). Eine Ausnahme gilt nur, wenn die Auftragsverarbeitung gesetzlich vorgeschrieben oder geregelt ist. Im privaten Sektor und speziell bei KMU kommt eine „gesetzlich geregelte Auftragsverarbeitung“ aber grundsätzlich nicht vor.

Im Vertrag werden die Einzelheiten der Auftragsverarbeitung geregelt. Der Vertrag muss bestimmte Pflichtinhalte enthalten, die in Art. 28 DSGVO festgelegt sind. Ein Muster erhalten Sie unter $LINK Muster Auftragsverarbeitervertrag.

17. Betroffene Person (Art. 4 Z 1 DSGVO)

Eine „betroffene Person“ (der bzw. die „Betroffene“) ist jene (lebende) natürliche Person, deren personenbezogene Daten verwendet werden – sprich: die durch personenbezogene Daten konkret identifizierbare oder identifizierte Person.

Beispiel
Sie senden einen Newsletter an die E-Mailadresse einer Kundin. Diese Kundin ist die betroffene Person.

Bitte beachten sie, dass die DSGVO auf juristische Personen $LINK Infoblatt_§ 1 DSG keine Anwendung findet, sondern hier das österreichische DSG einschlägig sein kann.

18. Kategorie betroffener Personen 

Unter „Kategorien betroffener Personen“ versteht man Gruppen von natürlichen Personen, deren personenbezogene Daten verarbeitet werden, z. B. Kund:innen, Mitarbeiter:innen oder externe Dienstleister:innen.

19. Betroffenenrechte (Art. 12 ff DSGVO) 

$LINK Betroffenenrechte_Startseite

Die DSGVO kennt eine Reihe sogenannter Betroffenenrechte (Englisch: „data subject rights“). Dazu zählen unter anderem das Recht auf Auskunft, das Recht auf Berichtigung sowie das Recht auf Löschung der eigenen personenbezogenen Daten. Aus Sicht des Verantwortlichen stellen diese Rechte aber Verpflichtungen gegenüber den betroffenen Personen dar, die es zu erfüllen gilt, häufig aber erst auf Antrag des Betroffenen. 

20. Dritter (Art. 4 Z 10 DSGVO)

„Dritter“ ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten.

21. Empfänger (Art. 4 Z 9 DSGVO)

Als „Empfänger“ gilt jemand, dem personenbezogene Daten offengelegt bzw. bekannt gemacht werden. Es kann sich dabei um eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle handeln. Irrelevant ist, ob es sich um einen Dritten handelt oder nicht.

Beispiel
Die Betreiberin eines Online-Shops übermittelt die Adresse einer Kundin an ein Versandunternehmen, damit die bestellte Ware ausgeliefert werden kann. Das Versandunternehmen ist in diesem Fall der Empfänger.

22. Kategorien von Empfängern

Unter „Kategorien von Empfängern“ versteht man Gruppen von juristischen Personen, Einrichtungen oder Organisationen, an die personenbezogene Daten weitergegeben werden. Diese werden üblicherweise nach Funktion oder Art gegliedert, z. B. Steuerberater:innen, Banken, Postdienstleister, E-Mail-Dienstleister.

23. Datenschutzrechtlicher Vertreter (Art. 4 Z 17, Art. 27 DSGVO)

Ein Vertreter ist eine Person oder ein Unternehmen mit Sitz in der EU, das vom Verantwortlichen oder Auftragsverarbeiter schriftlich benannt wird. Er vertritt den Verantwortlichen oder Auftragsverarbeiter und dient als Ansprechpartner für die Aufsichtsbehörden in der EU. Dieser kann bei der zuständigen Aufsichtsbehörde gemeldet werden. 

24. Rechtmäßigkeit der Verarbeitung (Art. 6 Abs. 1 DSGVO)

Um personenbezogene Daten verwenden zu dürfen, braucht es immer eine rechtliche Erlaubnis. Im Datenschutz spricht man davon, dass eine passende Grundlage (häufig auch „Erlaubnistatbestand“ oder „Rechtfertigungsgrund“) für die Verarbeitung von personenbezogenen Daten vorliegen muss, damit die Verarbeitung auch „rechtmäßig“ ist.
Als passende Grundlagen kommen nur die in Art. 6 Abs. 1 DSGVO genannten Berechtigungen in Frage (z. B. Einwilligung der betroffenen Person, Vertragserfüllung usw).

25. Einwilligung (Art. 4 Z 11 DSGVO)

Mit ihrer Einwilligung gibt die betroffene Person zu erkennen, dass sie mit der Verarbeitung ihrer personenbezogenen Daten einverstanden ist. Diese „Willensbekundung“ muss folgende Voraussetzungen erfüllen:
• Freiwillig: Die Einwilligung darf nicht erzwungen oder unter Druck erfolgen.
• Für einen bestimmten Zweck: Es muss klar sein, wofür die Daten verarbeitet werden.
• Informiert: Die Person muss alle relevanten Informationen ($LINK_Informationspflichten) vorher erhalten. Es ist daher eine Datenschutzerklärung zur Verfügung zu stellen. 
• Unmissverständliche, eindeutig bestätigende Handlung: Die Person muss aktiv einwilligen (z. B. durch Anklicken oder Unterschreiben).

Die Einwilligung kann schriftlich, elektronisch oder auch mündlich erfolgen.

26. Einwilligung eines Kindes (Art. 8 Abs. 1 DSGVO)

Es gibt Online-Dienste, die sich unmittelbar an Kinder richten (z. B. Streaming-Plattformen für kindgerechte Filme und Serien, Online-Lernplattformen für Schüler:innen). Die DSGVO spricht in diesem Zusammenhang von „Diensten der Informationsgesellschaft“. In Österreich kann ein Kind unter den genannten Voraussetzungen ab dem 14. Geburtstag gültig einwilligen. Bei Kindern unter 14 Jahren hat die Einwilligung durch die obsorgeberechtigte Person (z. B. Eltern) zu erfolgen. Laut DSGVO müssen Kinder mindestens 16 Jahre alt sein, um bei diesen Diensten rechtmäßig einwilligen zu können. EU-Mitgliedsstaaten können - wie auch Österreich - eigene Altersgrenzen definieren.

• Welche Besonderheiten gelten bei der Einwilligung von Kindern?

27. Besondere Kategorien personenbezogener Daten (Art. 9 Abs. 1 DSGVO)

Besondere Kategorien personenbezogener Daten werden auch sensible Daten genannt und sind besonders schutzwürdig, weil es sich bei ihnen um Informationen handelt, die oft sehr persönliche und intime Aspekte des Lebens beinhalten. Denn aus ihnen können folgende Umstände hervorgehen:

• die rassische und ethnische Herkunft, 
• politische Meinungen,
• religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit,
• genetische Daten, biometrische Daten zur eindeutigen Identifizierung eines Menschen, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung.

Beispiel
Krankenstandstage oder Gewerkschaftsmitgliedschaft in der Personaldatenbank, Fingerabdruck, Iris-Scan, Krankengeschichte usw.
Daher gelten für die Verarbeitung sensibler Daten nach der DSGVO besonders strenge Anforderungen. Weitere Informationen erhalten Sie unter Rechtmäßige Verarbeitung von sensiblen Daten.

28. Gesundheitsdaten (Art. 4 Z 15 DSGVO)

Als „Gesundheitsdaten“ sind personenbezogene Daten zu verstehen, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen. Der Begriff „Gesundheitsdaten“ ist durchaus weit zu verstehen, und umfasst daher auch das Fehlen von Krankheiten.

Beispiele

• Eine Arbeitsunfähigkeitsmeldung fällt unter den Begriff der „Gesundheitsdaten“. Auch wenn eine solche Meldung (in der Regel) keine konkrete Diagnose enthält, beinhaltet sie dennoch die Information, dass eine Person aus körperlichen oder geistigen Gründen in einem bestimmten Zeitraum nicht arbeitsfähig war.
• Der Blutbefund eines Patienten ist vollkommen unauffällig, der Patient ist daher gesund und nicht krank. Der Blutbefund enthält trotzdem sensible Daten. 
  

Gesundheitsdaten gehören zur Gruppe der „sensiblen Daten“ nach Art. 9 Abs. 1 DSGVO und daher gelten auch für ihre Verwendung strengere Anforderungen. 

29. Biometrische Daten (Art. 4 Z 14 DSGVO)

Unter „biometrische Daten“ versteht die DSGVO

• mit speziellen technischen Verfahren gewonnene
• personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer Person,
• welche die eindeutige Identifizierung dieser Person ermöglichen oder bestätigen.
  

Beispiel
Fingerabdrücke, Gesichtserkennung, Iris-Scan (etwa zur Zutrittsgewährung)
Biometrische Daten gehören zur Gruppe der „sensiblen Daten“ nach Art. 9 Abs. 1 DSGVO und daher gelten auch für ihre Verwendung strengere Anforderungen. 

30. Strafrechtlich relevante Daten

Strafrechtlich relevante Daten sind personenbezogene Daten über gerichtlich oder verwaltungsbehördlich strafbare Handlungen oder Unterlassungen, insbesondere auch über den Verdacht der Begehung von Straftaten, sowie über strafrechtliche Verurteilungen oder vorbeugende Maßnahmen.

Beispiele

• Aufzeichnungen über Strafzettel, welche den jeweiligen Außendienstmitarbeitenden aufgrund von Fahrten mit Dienstfahrzeugen weiterverrechnet werden
• Strafregisterbescheinigung mit Vorstrafen
• Aufzeichnung der Videoüberwachungsanlage, auf der man Tat und Täter:in erkennt

31. Profiling (Art. 4 Z 4 DSGVO)

($Link_Art 22 und Profiling)

Beim „Profiling“ werden personenbezogene Daten automatisiert verarbeitet, um insbesondere folgende persönliche Aspekte zu analysieren oder vorherzusagen:

• Arbeitsleistung
• Wirtschaftliche Lage
• Gesundheit
• Persönliche Vorlieben
• Interessen
• Zuverlässigkeit
• Verhalten
• Aufenthaltsort oder Ortswechsel
  

Beispiel
Die Betreiberin eines Online-Shops wertet das Kaufverhalten und die Surfgewohnheiten eines Nutzers aus, um ihm personalisierte Werbung oder Produktempfehlungen anzuzeigen, die auf seinen individuellen Interessen basieren.

32. Automatisierte Einzelfallentscheidung (Art. 22 DSGVO) 

($Link_Art 22 und Profiling)

Eine automatisierte Einzelfallentscheidung liegt vor, wenn die

• Entscheidung vollständig automatisiert, also ohne menschliches Eingreifen, erfolgt, und
• eine rechtliche Wirkung gegenüber einer Person entfaltet, oder
• diese Person in ähnlicher Weise erheblich beeinträchtigt.
  

Beispiel: Automatische Ablehnung eines Online-Kreditantrags oder das Recruiting erfolgt mittels Algorithmus, ohne dass die Personalabteilung eingreift.

Nach der DSGVO unterliegt die „automatisierte Entscheidungsfindung“ strengen Vorgaben. Welche Vorgaben daher einzuhalten sind und welche Rechte betroffenen Personen bei einer automatisierten Entscheidungsfindung zustehen, erfahren Sie unter ($CTA und $Link zu "Art 22 und Profiling").

33. Datenschutzbeauftragte:r (Art. 37-39 DSGVO) 

$Link_Datenschutzbeauftragter

Unter gewissen Voraussetzungen müssen Sie für Ihr Unternehmen eine:n Datenschutzbeauftragte:n bestellen. Dabei handelt es sich um die zentrale Ansprechperson für Datenschutzfragen im Unternehmen. Eine Kernaufgabe von Datenschutzbeauftragten ist es, die Geschäftsleitung in datenschutzrechtlichen Angelegenheiten zu beraten.

 Datenschutzbeauftragte müssen über Fachwissen und Erfahrung im Bereich Datenschutz verfügen. Sind Sie als Verantwortlicher verpflichtet, eine:n Datenschutzbeauftragte:n zu bestellen, haben Sie die Wahl, ob Sie eine:n geeignete:n Mitarbeiter:in damit betrauen oder eine externe Stelle.

34. Datensicherheit und risikobasierter Ansatz (Art. 32 DSGVO)

$Link_Datensicherheitsmaßnahmen

Beim Thema Datensicherheit folgt die DSGVO dem sogenannten „risikobasierten Ansatz“, der sich in vielen Verpflichtungen der DSGVO wiederfindet. Einfach gesagt bedeutet das, dass bestimmte Pflichten immer dann greifen, wenn das mit der Datenverarbeitung verbundene Risiko entsprechend hoch ist. 

Insbesondere im Bereich Datensicherheit gilt: Je größer das Risiko für die Rechte und Freiheiten der betroffenen Personen ist, desto umfangreicher sind die rechtlichen Anforderungen.

Beispiel
Ein kleiner Einzelhändler, der lediglich einen Newsletter über neue Produkte versendet, muss aufgrund des geringen Risikos (etwa für den Fall eines Datendiebstahls oder der unabsichtlichen Offenlegung der Daten) deutlich weniger in die Datensicherheit investieren als eine Arztpraxis. In der Arztpraxis werden nämlich naturgemäß „sensible Daten“ (Gesundheitsdaten) verarbeitet, weshalb auch deutlich höhere Schutzmaßnahmen erforderlich sind.

35. Datenschutzverletzung / Data Breach (Art. 4 Z 12 und Art. 33 DSGVO) 

$Link_Data Breach-Infoseite

Eine Datenschutzverletzung (auch Data Breach oder Sicherheitsvorfall genannt) liegt vor, wenn Sie die Sicherheit der Daten nicht (mehr) gewährleisten können. Dies ist der Fall, wenn Ihr Unternehmen personenbezogene Daten unbeabsichtigt oder unrechtmäßig

• vernichtet,
• verliert,
• verändert,
• offenlegt, oder
• Dritten Zugang gewährt.
  

In diesen Fällen kommt es zu einem ungewollten Umgang mit personenbezogenen Daten. 
Beispiel: Verlust eines Laptops, Hackerangriff auf eine Datenbank, Fehlversand einer E-Mail (z. B. Gehaltsabrechnung) an einen unbefugten Empfänger.

Kommt es zu einer Datenschutzverletzung, sind einige Punkte – insbesondere Meldepflichten ($Link_Data Breach-Infoseite_ Häufig gestellte Fragen zur Meldepflicht an die Datenschutzbehörde bei Datenschutzverletzungen) – zu beachten.

36. Übermittlung von personenbezogenen Daten in Drittländer (Art. 44 ff DSGVO)

$Link_DSGVO im internationalen Datenverkehr

Jede Datenübermittlung in ein Drittland braucht eine rechtlich zulässige Grundlage - auch „Transferinstrument“ genannt. Denn im internationalen Datenverkehr gelten besondere Regeln. Diese sollen das hohe Datenschutzniveau nach der DSGVO auch bei Übermittlung in Drittländer sicherstellen (z. B. USA, Indien oder China).

37. Aufsichtsbehörde (Art. 51 ff DSGVO und §§ 18 ff DSG)

Jeder Mitgliedstaat der EU muss mindestens eine Aufsichtsbehörde benennen, die unter anderem die Einhaltung der DSGVO überwacht.

In Österreich ist für das gesamte Bundesgebiet grundsätzlich die Datenschutzbehörde (DSB) zuständig.

Zusätzlich wurde für die Aufsicht im Bereich der Gesetzgebung im Jahr 2025 das sogenannte Parlamentarische Datenschutzkomitee (PDK) eingerichtet. In der Praxis werden KMU mit dem PDK aber kaum in Berührung kommen.

Kontakt für Rückfragen

Sie haben weitere Fragen zum Datenschutz oder zu DSGVO4KMU? Wir unterstützen Sie gerne. 

• Zur Kontaktseite