 |
1. Auskunft einholen
Zunächst kann ein Auskunftsbegehren gem. Art 15 DSGVO an das Unternehmen gerichtet werden, um zu prüfen ob personenbezogene Daten vom Unternehmen überhaupt verarbeitet werden und an wen diese gegebenenfalls weitergegeben wurden. Die Rechtmässigkeit der Datenverarbeitung ist zu prüfen.
Art 15 DSGVO sieht folgende Antwort vor, wenn Daten verarbeitet werden:
- Ob Daten über den Auskunftswerber verarbeitet werden;
- Welche Kategorien personenbezogener Daten verarbeitet werden;
- Die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden;
- Die Speicherdauer;
- Die Rechte der betroffenen Personen;
- Wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
- Eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung.
Ein Auskunftsbegehren hat den gesetzlichen Erfordernissen zu entsprechen, der Auskunftswerber hat sich zB eindeutig zu identifizieren.
Sollten personenbezogene Daten an Dritte übermittelt worden sein, kann ein Auskunftsbegehren an Übermittlungsempfänger gestellt werden.
Sollte der Betroffene eine Zustimmung zur Datenverarbeitung / Weitergabe erteilt haben, kann diese jederzeit widerrufen werden und die Löschung der Daten kann verlangt werden.
Auch kann ein Eintrag in die sogenannte "Robinson Liste " gem. § 151 Abs 9 Gewerbeordnung erfolgen (siehe .https://www.wko.at/branchen/information-consulting/werbung-marktkommunikation/Robinsonliste-Eintragung,-Bezug,-Rechte-und-Pflichten.html).
Die Auskunft sollte innerhalb von 1 Monat erfolgen bzw. sollte innerhalb 1 Monats jedenfalls eine Antwort erfolgen.
2. Beurteilung der Schadenersatzansprüche
Was sind die Konsequenzen, wenn die Auskunft eines Unternehmens tatsächlich sensible oa personenbezogene Daten oä über den Betroffenen enthält?
Sollten personenbezogene Daten verarbeitet worden sein, wäre im nächsten Schritt zu prüfen, ob die gesetzlichen Rahmenbedingungen für die Verarbeitung der beauskunfteten personenbezogenen Daten eingehalten wurden, etwa eine allenfalls notwendige Einwilligung vorliegt, diese Einwilligung rechtlich einwandfrei eingeholt wurde etc. Die Rechtsprechung des Obersten Gerichtshof zu den Voraussetzungen zur Einholung von datenschutzrechtlichen Einwilligungserklärungen ist streng - abhängig von der betroffenen Personengruppe, wie zB. Konsumenten. So muss der Betroffene etwa bei Einholung der Einwilligung in Kenntnis darüber gesetzt worden sein, welche Daten(arten) von der Einwilligung umfasst sind (vgl. OGH RS0115216). Einwilligungen können jederzeit ohne weiteres widerrufen werden. Auch ist zu prüfen, ob eine Einwilligung in Datenverarbeitungen möglich ist, deren Ergebnis eventuell nur eine Schätzung darstellt, dennoch aber sensible Informationen enthalten kann. Grundsätzlich sollen Datenverarbeitungen personenbezogener Daten mit Daten erfolgen, die richtig sind.
Betroffene könnten ein Recht auf Berichtigung / Löschung / Einschränkung der Verarbeitung / Berichtigung haben. Auch eine Beschwerde bei der Datenschutzbehörde wäre denkbar, sollten Zweifel an der Rechtmäßigkeit der Datenverarbeitung bestehen.
Jede Person, der wegen eines Verstoßes gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter nach Art. 82 DSGVO. Im Einzelnen gelten für diesen Schadenersatzanspruch die allgemeinen Bestimmungen des bürgerlichen Rechts (§ 29 Abs 1 DSG).
Wünschen Sie ein kombiniertes Auskunfts- und Widerspruchsschreiben, kontaktieren Sie uns.
Für Fragen die über diese allgemeine grundsätzliche Darstellung hinausgehen, kontaktieren Sie uns. Dieser Artikel ersetzt keine Rechtsberatung im Einzelfall.
Judikatur zum Datenschutzrecht finden Sie hier.
Aktuelle österr. Rsp in Zusammenhang zu datenschutzrechtlichen Zustimmungserklärungen:
15.10.2018 Entscheidung der Datenschutzbehörde: Eine Einwilligung zu Marketingzwecken (Art 6 Abs 1 lit a DSGVO) ist nur dann freiwillig, wenn durch das Formular nicht der Eindruck erweckt wird, dass nur der Kommunikationskanal gewählt werden kann. Die Platzierung des Unterschriftsfeld, direkt über der Unterschrift für die Anmeldung zur Mitgliedschaft (eines Vereins), entspricht ebenfalls nicht den Kriterien der DSGVO, da der Eindruck erweckt wird, die Einwilligung sei nötig (wodurch die notwendige Freiwilligkeit gem. DSGVO verloren geht). (siehe Newsletter Datenschutzbehörde).
05.11.2018 Entscheidung des OGH: Rechtssatz: "Bei der Koppelung der Einwilligung zu einer Verarbeitung vertragsunabhängiger personenbezogener Daten mit einem Vertragsabschluss ist grundsätzlich davon auszugehen, dass die Erteilung der Einwilligung nicht freiwillig erfolgt, wenn nicht im Einzelfall besondere Umstände für eine Freiwilligkeit der datenschutzrechtlichen Einwilligung sprechen." Näheres im Ris-Justiz.
06.12.2018 Entscheidung der Datenschutzbehörde: Online-Nachrichtenseiten dürfen uU ihrem Angebot eine Entscheidung zwischen "Paywall" und der Zustimmung zur Datenverarbeitung zu Werbezwecken vorschalten. Näheres im Ris-Justiz.