Beiträge & Analysen.
Aktuelle Beiträge zum Datenschutzrecht für Unternehmen in Österreich.
Mag. Bernhard Brandauer, Rechtsanwalt
BRANDAUER Rechtsanwälte
Mag. Bernhard Brandauer begleitet Unternehmen bei der rechtlichen Einordnung und bei der Umsetzung datenschutzrechtlicher Anforderungen.
Verschwiegenheit des Datenschutzbeauftragten nach § 5 DSG
§ 5 DSG schützt die Identität ratsuchender Personen und verpflichtet den Datenschutzbeauftragten auch nach dem Ende seiner Tätigkeit zur Geheimhaltung.
Genetische Analysen bei Versicherung und Bewerbung: Verbot und Typ-1-Ausnahme
§ 67 GTG schützt Bewerber, Arbeitnehmer und Versicherungsnehmer. Wann dürfen Versicherer Ergebnisse genetischer Analysen des Typs 1 verwenden?
Behördlicher Eilstopp für Datenbestände: Mandatsbescheid nach § 22 DSG
Mandatsbescheid nach § 22 Abs. 4 DSG: Wann die Datenschutzbehörde eine Datenverarbeitung sofort oder teilweise untersagen kann und was Unternehmen bei Befolgung und Vorstellung prüfen müssen.
Consent-or-pay bei Online-Plattformen: Wann ist die Einwilligung noch freiwillig?
Consent-or-pay-Modelle großer Online-Plattformen: kostenlose werbefreie Alternative, Gebühr, Zweckgranularität und freiwillige Einwilligung nach DSGVO.
Personenbezogene Daten im M&A-Datenraum: Zweckbindung, Empfänger und Löschung
Welche personenbezogenen Daten in einen M&A-Datenraum gehören, wer sie sehen darf und wie Zweck, Empfänger, Drittlandzugriff und Löschung dokumentiert werden.
Drei Monate ohne Verfahrensnachricht: Unterrichtung durch die Datenschutzbehörde einfordern
Nach einer Datenschutzbeschwerde bleiben drei Monate ohne Nachricht? § 24 Abs 7 und 8 DSG ordnen die Unterrichtung und den Weg zum BVwG ein.
Verstorbene in Kundenakten: Datenschutzregeln und Nachlasszugriff trennen
Daten Verstorbener in Kundenakten und digitalen Konten: Erwägungsgrund 27 DSGVO, Daten lebender Personen, Geheimhaltung und Nachlasszugriff richtig trennen.
Nachgelieferte Datenkopie im DSB-Verfahren: Offene Antragsteile konkret benennen
Nach einer Datenschutzbeschwerde liefert der Verantwortliche erstmals Unterlagen. So benennen Betroffene konkret, welche Teile ihres ursprünglichen Antrags offenbleiben.
Medienprivileg im Unternehmensblog: Grenze zwischen Journalismus und Werbung
Medienprivileg im Unternehmensblog: § 9 DSG, journalistischer Zweck, Medienrolle und die Abgrenzung zu kommerzieller Werbung für Unternehmen erklärt.
Juristische Personen im Datenschutz: Geheimhaltung nach § 1 DSG
Eine GmbH oder ein Verein kann in Österreich den Schutz des § 1 DSG geltend machen. Entscheidend sind schutzwürdiges Interesse, Datenbezug und die Abgrenzung zur DSGVO.
Permissioned Blockchain mit mehreren Nodes: Verantwortliche und Auftragsverarbeiter abgrenzen
Rollen in einer permissioned Blockchain prüfen: Konsortium, Node-Betreiber und technische Dienstleister nach Art. 4, 26 und 28 DSGVO einordnen.
Prozessbeweis benötigt: Einschränkung der Verarbeitung nach Art. 18
Benötigt eine betroffene Person eigene Daten noch als Prozessbeweis, kann sie unter den Voraussetzungen des Art. 18 Abs. 1 lit. c DSGVO die Einschränkung der Verarbeitung verlangen.
Auskunft ohne vorhandenen Identifikator: Muss der Verantwortliche neu zuordnen?
Art. 11 DSGVO bei Auskunftsbegehren: Wann vorhandene Daten zuordenbar sind, wann zusätzliche Informationen nötig werden und was Unternehmen dokumentieren müssen.
Auftragsverarbeiter und Subunternehmer: Auditkette und Weisungsnachweis sichern
Auftragsverarbeiter und Subunternehmer prüfen: Auditkette, Weisungen, Schutzmaßnahmen, Untervertrag und Nachweise nach Art. 28 DSGVO.
Auskunftsantrag mit Daten Dritter: Schwärzen statt pauschal verweigern
Ein Auskunftsantrag enthält Daten anderer Personen: Identität, Suchumfang, Schwärzungen, Datenkopie und Frist nach Art. 12 und Art. 15 DSGVO richtig prüfen.
Lieferantenbonität prüfen: Rechtsgrundlage, Information und Löschfrist
Lieferantenbonität im B2B-Einkauf prüfen: Personenbezug, Rechtsgrundlage, Information aus Datenbanken, Datenrichtigkeit und angemessene Löschfrist.
Patientendaten für Forschungsprojekte: Zweckprivileg und Schutzmaßnahmen
Patientendaten für Forschungsprojekte: Rechtsgrundlage, Zweckprivileg, Art. 89 DSGVO, Anonymisierung und Schutzmaßnahmen bei der Sekundärnutzung.
Kundenkonto als Kaufpflicht: Wann ein Onlineshop Gastbestellungen ermöglichen muss
Kundenkonto im Onlineshop: Wann Art. 6 DSGVO ein Pflichtkonto trägt, wann eine Gastbestellung genügt und wie Shopbetreiber Alternativen dokumentieren.
Datenschutz-Prüfzeichen im IT-Vertrag: Was wurde tatsächlich zertifiziert?
Datenschutz-Prüfzeichen im IT-Vertrag richtig bewerten: zertifizierter Verarbeitungsvorgang, akkreditierte Stelle, genehmigte Kriterien und Grenzen des Nachweises.
Unterauftragsverarbeiter austauschen: Vorabinformation und Reaktionsfrist im Datenschutzvertrag
Unterauftragsverarbeiter wechseln: Vorabinformation, angemessene Reaktionsfrist, Widerspruch und Datenschutzpflichten nach Art. 28 DSGVO.
Datenschutz bei Cloud-Backups: Löschung, Wiederherstellung und Nachweis
Cloud-Backups datenschutzkonform organisieren: Löschung, Überschreibung, Wiederherstellung, Zugriffsschutz und Nachweis nach der DSGVO.
Datenschutzschulung dokumentieren: Teilnahme, Inhalt und Aufbewahrung
Datenschutzschulungen nach der DSGVO dokumentieren: Teilnahme, Inhalte, Versionen, besondere Angaben und Aufbewahrung richtig ordnen.
Löschverlangen trotz Aufbewahrungspflicht: Einschränkung und Sperrvermerk
Löschverlangen trotz gesetzlicher Aufbewahrungspflicht: Datenbestand prüfen, Verarbeitung einschränken, Sperrvermerk dokumentieren und richtig antworten.
Zugriffsprotokolle in der internen Untersuchung: Zweckwechsel, Beschäftigtendaten und Beweisgrenzen
Betriebliche Zugriffsprotokolle in einer internen Untersuchung: Zweckwechsel, Beschäftigtendaten, Rollen, Beweisumfang, Information und Löschung nach der DSGVO.
Vernetzte Firmenfahrzeuge: Fahrzeugdaten und Beschäftigtendatenschutz
Vernetzte Firmenfahrzeuge und Telematik: GPS-Ortung, Beschäftigtendaten, Data Act, Zugriffe, Transparenz, Löschung und DSFA.
Löschantrag in der Blockchain: Unveränderbarkeit, Sperrung und Nachweis
Löschantrag bei Blockchain-Daten: Personenbezug, technische Grenzen, Off-Chain-Löschung, Zugriffssperre und nachvollziehbarer Nachweis nach der DSGVO.
Anonymisierung und Pseudonymisierung: Re-Identifizierung vermeiden
Anonymisierung und Pseudonymisierung nach DSGVO: Personenbezug, Zusatzwissen, EDPB-Prüfkriterien und Nachweise gegen Re-Identifizierung.
Echtdaten im Softwaretest: Zweckbindung und Testlöschung
Echtdaten in Test- und Staging-Systemen: Zweckbindung, Datenminimierung, Pseudonymisierung, Zugriffe und dokumentierte Löschung nach der DSGVO.
Gesundheitsdaten im betrieblichen Präventionsprogramm: Teilnahme und Zugriffsgrenzen
Gesundheitsdaten im freiwilligen Präventionsprogramm: Teilnahme, Rechtsgrundlage, Zugriffsgrenzen, Anbieter und Löschung nach der DSGVO.
Videoidentifizierung und biometrische Daten: Identität prüfen ohne Übermaß
Videoidentifizierung bei der Vertragsanbahnung: biometrische Daten, Rechtsgrundlage, Transparenz, Löschung und Dienstleister nach der DSGVO.
Cookie-Consent-Management: Nachweis, Widerruf und Einwilligungsprotokoll
Wie Unternehmen Cookie-Einwilligungen nach der DSGVO freiwillig und granular erfassen, den Nachweis führen und Widerrufe technisch umsetzen.
Bewerbungsunterlagen nach Absage löschen: Frist, Einwilligung und Nachweis
Bewerbungsunterlagen nach einer Absage löschen: Zweckende, Löschkriterien, Talentpool-Einwilligung, Rechtsansprüche und Nachweis nach der DSGVO.
Hinweisgeberkanal und DSGVO: Vertraulichkeit, Zugriff und Löschfristen
Hinweisgeberkanal und DSGVO: So trennen Unternehmen Identität, Meldungsakte, Zugriffe und Löschfristen nach HSchG und DSGVO.
KI-Bonitätsprüfung: menschliche Kontrolle und Rechtsbehelf
KI-Bonitätsprüfung nach Art. 22 DSGVO: automatisierte Entscheidung, menschliche Kontrolle, Information und wirksamer Rechtsbehelf.
Weisungsfreiheit des Datenschutzbeauftragten: Bericht, Ressourcen und Leitung
Weisungsfreiheit des Datenschutzbeauftragten nach Art. 38 DSGVO: Berichtslinie, ausreichende Ressourcen, Budgetänderung und direkter Zugang zur höchsten Managementebene.
Strafregisterauszug im Recruiting: Sonderregel für strafrechtliche Daten
Strafregisterauszug im Recruiting: Art. 10 DSGVO, Stellenbezug, erforderlicher Umfang, Bewerberinformation und Zugriffsschutz.
Resthohes Risiko nach DSFA: Vorabkonsultation vor Verarbeitungsbeginn
Wann ein hohes Risiko nach der DSFA eine Vorabkonsultation nach Art. 36 DSGVO verlangt und welche Angaben Unternehmen vor dem Verarbeitungsbeginn vorbereiten sollten.
Verzeichnis von Verarbeitungstätigkeiten: Art. 30 DSGVO praktisch führen
Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO praktisch führen: Pflichtangaben, Rollen, Drittlandtransfers, Löschfristen und Pflegeprozess.
Fingerabdruck im Betriebszutritt: Besondere Datenkategorie, Alternativen und Löschung
Fingerabdruck beim Betriebszutritt: Art. 9 DSGVO, Alternativen, Datenschutz-Folgenabschätzung, Schutzmaßnahmen und Löschung im Arbeitsverhältnis.
Videoüberwachung im Geschäft: Speicherdauer, Zugriff und Auskunft rechtssicher festlegen
Wie Unternehmen Videoüberwachung in Geschäft und Kassenbereich rechtmäßig planen, kurz speichern, Zugriffe protokollieren und Auskunftsbegehren bearbeiten.
Werbewiderspruch im CRM: Warum eine Sperrliste die erneute Ansprache verhindert
Wer Direktwerbung widerspricht, muss zuverlässig aus CRM, Newsletter und Kampagnen entfernt werden. So bauen Unternehmen eine datensparsame Sperrliste auf.
Datenpanne beim Auftragsverarbeiter: Meldung, Vertrag und gemeinsamer Ablauf
Datenpanne beim Auftragsverarbeiter: Meldung nach Art. 33 Abs. 2 DSGVO, Vertragsklauseln, 72-Stunden-Frage und gemeinsamer Ablauf.
Zugriffsrechte auf Beschäftigtendaten: Rollen, Protokolle und Kontrollen
Zugriffsrechte auf Beschäftigtendaten richtig ordnen: Rollen, Protokolle, privilegierte Konten und regelmäßige Kontrollen für Unternehmen.
Gemeinsame Verantwortlichkeit mit Agentur oder Plattform: Art. 26 DSGVO in der Praxis
Art. 26 DSGVO in der Praxis: gemeinsame Verantwortlichkeit mit Agentur oder Plattform erkennen, Aufgaben verteilen und Betroffene transparent informieren.
Drittlandtransfer mit SCC und TIA: Was Unternehmen dokumentieren müssen
Drittlandtransfer mit SCC und TIA: Welche Datenflüsse, Zusatzmaßnahmen, Rechtsrisiken und Nachweise Unternehmen dokumentieren sollten.
DSFA bei neuer Software und KI: Wann Unternehmen vorab prüfen müssen
Wann eine Datenschutz-Folgenabschätzung bei neuer Software oder KI erforderlich ist, welche Risiken zählen und wie Unternehmen die Prüfung vor dem Rollout dokumentieren.
Löschkonzept für Kunden- und Lead-Daten: Fristen, Sperren und Nachweise
Löschkonzept für Kunden- und Lead-Daten: Zwecke, Fristen, gesetzliche Aufbewahrung, Sperrvermerke und nachvollziehbare Löschprozesse.
TOM nach Art. 32 DSGVO: Sicherheitsmaßnahmen nachvollziehbar dokumentieren
TOM nach Art. 32 DSGVO nachvollziehbar dokumentieren: Risiken, Maßnahmen, Zuständigkeiten, Wirksamkeitstests und Nachweise für Unternehmen.
SaaS-Vertrag: Verantwortlicher oder Auftragsverarbeiter?
Wie Unternehmen bei SaaS-Verträgen Verantwortliche und Auftragsverarbeiter trennen und Rollen, Zwecke, Unterauftragnehmer und Weisungen sauber regeln.
E-Mail an falschen Empfänger: Wann liegt eine Datenpanne vor?
E-Mail an falschen Empfänger: Datenpanne, Risikobewertung, 72-Stunden-Frist und Pflichten gegenüber Datenschutzbehörde und Betroffenen.
Auskunftsbegehren nach Art. 15 DSGVO: Identität, Frist und Datenkopie
Wie Unternehmen Auskunftsbegehren nach Art. 15 DSGVO prüfen, die Identität klären, Fristen berechnen und die Datenkopie richtig vorbereiten.
Datenschutzrechtliche Frage klären
Adresse
BRANDAUER Rechtsanwälte GmbH Giselakai 51 5020 Salzburg Österreich
Telefon
+43 662 6280000