Author Archive

Wir sind COVID-19-Beauftragte

Posted by Birgit von Maurnböck

Durch die Lockerung der COVID-19-Maßnahmen können unter anderem wieder Lokale besucht werden, Events stattfinden und Sportstätten geöffnet werden. Die Regeln zur „Rückkehr“ sind jedoch streng. Zusätzlich zur Test- und Maskenpflicht wird in vielen Fällen ein COVID-19-Beauftragter benötigt – Geschäftsführerin Birgit von Maurnböck ist dazu ausgebildet und unterstützt Sie gerne.

Lockerung der COVID-19-Maßnahmen

Nach langem Warten kehrt wieder ein Stück Normalität zurück nach Österreich: Mit dem 19. Mai kommt es zu Lockerungen der COVID-19-Maßnahmen. So ist es unter anderem wieder möglich, Lokale und Restaurants sowie Sportstätten und Veranstaltungen zu besuchen. Ganz „normal“ läuft das Ganze jedoch noch nicht ab – all diese Schritte sind mit strengen Regelungen verbunden. Zusätzlich zu einer FFP2-Maskenpflicht in allgemeinen Bereichen oder außerhalb des eigenen Sitzplatzes, muss

beim Betreten entweder ein Test gemacht werden, ein gültiges negatives Testergebnis, eine Bestätigung über eine bereits durchgemachte COVID-19-Erkrankung (sechs Monate danach) oder ein Impfzertifikat (22 Tage nach der Erstimpfung) vorgewiesen werden. Genauere Regelungen können Sie auf der Website des Sozialministeriums nachlesen.
Auf eine Regulierung gehen wir jedoch nun genauer ein: In der Gastronomie, im Tourismus, in der Kultur, bei Veranstaltungen, bei Kongressen, bei Messen sowie in Sport- und Freizeitbetrieben muss ein Präventionskonzept erstellt und ein COVID-19-Beauftragter ernannt werden.

Birgit von Maurnböck ist COVID-19-Beauftragte

Unsere Geschäftsführerin hat die Ausbildung zur COVID-19-Beauftragten beim Wiener Roten Kreuz – Österreichs einzigem zertifizierten Ausbildungszentrum für Veranstaltungssicherheit – absolviert und weiß nun genauestens Bescheid über Hygiene-Maßnahmen wie Mundschutz, Händewaschen und Desinfektion, die Regelung von Besucherströmen und Abständen, die Beurteilung von Risiken sowie auch über das Verhalten im Ernstfall, also bei einem Verdachtsfall oder einer tatsächlich vorliegenden Infektion.
Da von nun an österreichweit personenbezogene Daten aller Besucher erfasst werden, ist es selbstverständlich von besonderem Vorteil, als COVID-19-Beauftragte und somit als Verantwortliche für die Verarbeitung dieser Daten eine Datenschutzbeauftragte und einen Profi im Bereich Datenschutz einzusetzen.

Welche Vorteile haben Sie durch eine COVID-19-Beauftragte?

Sie sind rechtskonform unterwegs. Die Bestellung eines solchen Beauftragten ist verpflichtend vorgeschrieben.
Außerdem profitieren nicht nur sämtliche Besucher und Teilnehmer sowie Mitarbeitende von den Maßnahmen zur Reduktion des Corona-Infektionsrisikos, sondern schlussendlich wir alle!

Sollten Sie eine COVID-19-Beauftragte benötigen, kontaktieren Sie uns. Wir unterstützen Sie gerne beim Erstellen eines Präventionskonzepts und fungieren in der offiziellen Rolle als COVID-19-Beauftragte.

Wir freuen uns auf Ihre Anfragen und wünschen Ihnen gelungene, erfolgreiche, gesunde Öffnungsschritte!

Schwere Datenpanne mit sensiblen Daten

Posted by Birgit von Maurnböck

In Bremerhaven hat sich eine schwere Datenpanne ereignet, bei der vom Integrationsamt eine Namensliste zu kündigender Hafenmitarbeiter verschickt wurde. Lesen Sie in diesem Beitrag, wie es genau dazu gekommen ist und was Sie in Ihrem Unternehmen tun können und müssen, um solche Vorfälle gar nicht erst passieren zu lassen.

Auslöser der Datenpanne

Das Bremerhavener Integrationsamt hat versehentlich eine Namensliste verschickt, auf der 140 Menschen mit einer schweren Beeinträchtigung erfasst waren, die vom insolventen Gesamthafenbetriebsverein (GHBV) gekündigt werden sollten. Bei Kündigungen, die Menschen mit einer schweren Beeinträchtigung betreffen, ist eine Zustimmung durch das Amt notwendig. Beim Austausch mit den Betroffenen wurde unbeabsichtigt die gesamte Liste mit allen Namen ausgesendet. Darauf waren personenbezogene Daten wie das Geburtsdatum, sowie auch die Betriebszugehörigkeit einzusehen. Und natürlich ist die Information, dass jemand behindert ist, ein sensibles Gesundheitsdatum!

Reaktionen auf die Datenpanne

In einem darauffolgenden Schreiben ersuchte das Amt darum, die Daten nicht weiterzugeben. Dieser Schritt kam jedoch zu spät und war wenig effektiv: Die Daten waren bereits abfotografiert und ins Internet hochgeladen worden. Die gekündigten Arbeiter, die zum einen aufgrund der Datenpanne, zum anderen aber besonders auch wegen ihrer Kündigung wütend waren, werfen dem Amt schweren Datenmissbrauch vor.

Folgen der Datenpanne

Die Geschäftsführung des GHBV hat sich vorschriftsgemäß an den Landesdatenschutzbeauftragten gewandt und die Panne gemeldet. Die datenschutzrechtlichen Folgen sind noch nicht klar, die Datenpanne wurde erst letzte Woche publik.

Unsere Praxistipps

Checken Sie bei jedem Email, das Sie versenden:

Wir sind bei Rückfragen oder für mehr praktische Umsetzungstipps stets sehr gerne für Sie da. Kontaktieren Sie uns.

Das Auskunftsbegehren: So ist es rechtskonform!

Posted by Birgit von Maurnböck

Seit Inkraftreten der DSGVO vor mittlerweile beinahe drei Jahren erhalten Unternehmen eine Vielzahl an Anfragen von betroffenen Personen mit dem Wortlaut: Welche Daten haben Sie von mir in Verarbeitung? Wissen alle Personen in Ihrem Unternehmen Bescheid, wie auf eine solche Anfrage zu antworten ist?

Entscheidung über Auskunftsbegehren

In Deutschland gab es dazu im letzten Jahr eine wichtige und sehr relevante Entscheidung über das Auskunftsbegehren: Die Behörde äußerte, dass nicht nur die Datenquelle mitgeteilt, sondern zusätzlich auch angegeben werden muss, wann und mit welchem genauen Inhalt, personenbezogene Daten aus einer Quelle übermittelt werden.

Das ist besonders dann ein Thema, wenn man Daten nicht von der betroffenen Person direkt bekommt, sondern durch einen Dritten (Vermittler, Berater, Makler und ähnliches).  

Auskunftsbegehren: Das muss man laut DSGVO bekanntgeben

  1. Verarbeitungszwecke,
  2. Kategorien personenbezogener Daten, die verarbeitet werden,
  3. Empfänger oder Kategorien von Empfängern,
  4. Speicherdauer,
  5. Hinweis auf die Betroffenenrechte: Berichtigung, Löschung, Einschränkung, Widerspruch,
  6. Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde,
  7. Wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, werden alle verfügbaren Informationen über die Herkunft der Daten gebraucht,
  8. Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling,
  9. Geeignete Garantien bei Datenübermittlung in ein Drittland und
  10. Kopie der personenbezogenen Daten (Kopien dürfen aber die Rechte und Freiheiten anderer Personen nicht beeinträchtigen).

So weitreichend, wie die Behörde in ihrer Entscheidung, war die DSGVO davor nicht auszulegen. Die Nennung der Quelle hätte aus unserer Sicht ausreichen sollen. Nachdem sich die Behörden aller Länder an den Urteilen ihrer Kollegen EU-weit orientieren, ist also noch größere Sorgfalt und Detaillierung bei der Beantwortung in Zukunft geboten.

Unsere Praxistipps

 

COVID-19 Tests: Vorsorge statt Nachsorge

Posted by Birgit von Maurnböck

Wollen Sie oder bieten Sie bereits in Ihrem Betrieb Antigen-Schnelltests an? Alles was Sie zu den COVID-19 Tests in Ihrem Unternehmen wissen müssen, erfahren Sie hier.

Angebote und Regelungen für COVID-19 Tests

Seit 8.2.2021 können Frisöre, Kosmetikstudios und andere körpernahe Dienstleistungsbetriebe mit einem negativen „Zutrittstest“ besucht werden. Das kostenlose Angebot für COVID-19-Tests in Österreich wird nun auch schrittweise ausgebaut: Es reicht von Teststraßen der Länder, Angeboten der Gemeinden, Gratis-Tests in Apotheken bis zu Testprogrammen in Betrieben.

Was gilt als „Zutrittstest“?

Als „Zutrittstests“ gelten laut Aussendung des Gesundheitsministeriums alle negativen PCR- und Antigen-Tests, die im Rahmen von behördlichen Stellen durchgeführt wurden. Dazu zählen

Selbsttests können nicht als Zutrittstests verwendet werden, da hierbei die Kontrolle fehlt. Auch Ergebnisse von Schultests zählen nicht als Zutrittstests.

COVID-19 Tests in Betrieben

Auch Sie werden künftig bei der Testung ihrer Mitarbeiterinnen und Mitarbeiter unterstützt. Seit dem 15. Februar gibt es für Antigen- oder PCR-Testungen einen Kostenersatz von 10 € pro durchgeführtem Test. Auch betriebsfremde Personen wie Angehörige, Kunden und Mitarbeiter können dabei in Ihrem Unternehmen einen COVID-19 Test machen. Dadurch werden Betriebe zu Testzentren und helfen dabei, die Pandemie einzudämmen.

Um eine Teststraße zu werden, müssen sich Betriebe hier registrieren: https://www.wko.at/service/corona-betriebliches-testen.html

Unsere Praxistipps

Achten Sie unbedingt auf den Datenschutz! Testergebnisse sind Gesundheitsdaten und damit höchst vertraulich zu behandeln!

Das Rennen um die betrieblichen COVID-19 Impfungen

Posted by Birgit von Maurnböck

Das Rennen um den Corona Impfstoff hat im Jänner begonnen. Nach wie vor gibt es wenig genaue Informationen darüber, wer wann geimpft werden soll. Viele Betriebe, die wegen ihrem Tätigkeitsbereich zur sogenannten kritischen Infrastruktur zählen, haben sich daher bereits im Vorfeld mit der Regierung in Verbindung gesetzt, damit Ihre Mitarbeitenden möglichst früh Vakzine erhalten. Erste „Eilmeldungen“ wurden bereits aufgegeben, geimpft wird aber noch nicht. Wie sieht es nun konkret mit den betrieblichen COVID-19 Impfungen aus? Welche Voraussetzungen müssen gegeben sein? Was ist datenschutzrechtlich zu beachten? Alle aktuellen Informationen dazu bekommen Sie bei uns.

Voraussetzungen für betriebliche COVID-19 Impfungen

Generell soll ab Verfügbarkeit der Impfstoffe eine rasche Versorgung der Bevölkerung gewährleistet werden. Dabei können Unternehmen mit eigener Betriebsärztin oder eigenem Betriebsarzt einen entscheidenden Beitrag leisten (grundsätzlich ab 50 Mitarbeitenden gesetzlich vorgesehen). Für Unternehmen entstehen abseits der betrieblichen Organisation der COVID-19 Impfungen keine Kosten. Weitere Voraussetzungen, die allerdings zu prüfen sind gibt es trotzdem:

Datenschutzkonform bei den betrieblichen COVID-19 Impfungen

Unser Fazit

Personengruppen mit einer chronischen Vorerkrankung, die sogenannte Risikogruppe, können sich beim Arzt ihres Vertrauens vormerken lassen.

Weiters informieren Sie am besten Ihre Mitarbeitenden darüber, dass es seit dem 1.Februar 2021 die Möglichkeit einer unverbindlichen Vormerkung für COVID-19-Impfungen auf den Impfplattformen der Bundesländern unter https://www.oesterreich-impft.at/ gibt.

Wir unterstützen mit unserem datenschutzrechtlichen Knowhow bereits viele Unternehmen, die in ihrem Betrieb COVID-19 Impfungen durchführen lassen wollen. Gerne beraten wir auch Sie ausführlich zu diesem Thema persönlich und erstellen individuelle Konzepte für Ihr Unternehmen. Kontaktieren Sie uns gerne direkt hier.

Datenpannen-Meldung: Achtung,72-Stunden-Frist!

Posted by Birgit von Maurnböck

Dass das Melden einer Datenpanne – auch Data Breach Notification genannt – unter gewissen Voraussetzungen sehr wichtig ist, kann gar nicht oft genug erwähnt werden. Wieso es außerdem von so großer Bedeutung ist, die dafür vorgeschriebene Frist von 72 Stunden einzuhalten, und was passieren kann, wenn diese versäumt wird, erfahren Sie in diesem Beitrag.

Datenpanne in Polen

Bei einer pädiatrischen Prüfung an der Medizinischen Universität Katowice in Polen hat sich eine Datenpanne ereignet. Die Studierenden wurden während dem Schreiben gefilmt und die Videoaufzeichnungen wurden versehentlich über die Lernplattform der Hochschule öffentlich zugänglich gemacht. Somit konnten nicht nur die Studierenden selbst sowie die Dozenten darauf zugreifen, sondern all jene, die für die Lehrveranstaltung registriert waren. Einige der Betroffenen konnten durch ihre bei der Prüfung vorgelegten Studien-Ausweise identifiziert werden. Insgesamt nahmen an der Prüfung sechs Klassen mit jeweils 26 Personen teil. Die polnische Datenschutzbehörde verhängte eine DSGVO-Strafe von 5.498,- €. Das interessante an dieser Entscheidung ist, dass das Bußgeld nicht aufgrund des Vorfalles an sich verhängt wurde, sondern deshalb, weil die Datenpanne nicht ordnungsgemäß und laut DSGVO-Vorschrift an die Datenschutzbehörde sowie an die Betroffenen gemeldet worden war. Einige der Studierenden erfuhren erst durch ihre Studienkollegen von dem Vorfall.

Diese Entscheidung zeigt deutlich, dass es besonders wichtig ist, die vorgeschriebene Frist einzuhalten. Eine Datenpanne muss innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Datenschutzbehörde gemeldet werden. Einige prominente Fragen, die sich dazu häufig stellen, beantworten wir nun in diesem Beitrag:

Muss jede Datenpanne gemeldet werden?

Nein, eine Datenpanne muss nur dann an die Datenschutzbehörde gemeldet werden, wenn ein Risiko für Gesundheit, Ruf oder Vermögen der betroffenen Person(en) besteht. Aber auch Datenschutzverletzungen, die nicht meldepflichtig sind, müssen unbedingt unternehmensintern dokumentiert werden.

Wer informiert wen? Wer kontaktiert bei einer Datenpanne die Behörde?

Die Person im Unternehmen, die die Datenpanne zuerst bemerkt, sollte sich schnellstmöglich an die für den Datenschutz zuständige Person sowie gegebenenfalls an die Geschäftsführung wenden. Hat das Unternehmen einen Datenschutzbeauftragten, so sollte dieser im ersten Schritt kontaktiert werden. Geschäftsführung und alle für den Datenschutz zuständigen Personen entscheiden gemeinsam über die weiteren Schritte und evaluieren, ob eine Behördenmeldung sowie eine Kontaktaufnahme mit den betroffenen Personen notwendig ist.

Wie ist die Behörde nach einer Datenpanne zu kontaktieren?

Auf der Website der österreichischen Datenschutzbehörde „www.dsb.gv.at“ wird ein Formular zur Verfügung gestellt, das speziell für die Meldung von Datenpannen vorgesehen ist. Dieses wird vom Datenschutzbeauftragten oder, wenn keiner vorhanden ist, vom unternehmensinternen Datenschutzkoordinator ausgefüllt und fristgerecht, also innerhalb von 72 Stunden, abgeschickt.

Welche Informationen beinhaltet eine Behördenmeldung bei einer Datenpanne?

All diese Punkte müssen bei der Behördenmeldung angeführt werden:

All diese Fragen sind im Formular auf der Webseite der österreichischen Datenschutzbehörde beinhaltet.

Unsere Praxistipps

RAINBOWS: Spenden und Gutes tun

Posted by Birgit von Maurnböck

Kennen Sie bereits den Verein RAINBOWS, der sich um Kinder in Krisensituationen kümmert? Da besonders die Weihnachtszeit in einer solchen Situation sehr schwierig ist, hat RAINBOWS sich eine ganz spezielle Spendenaktion ausgedacht. Lesen Sie in diesem Beitrag, wie diese aussieht.

RAINBOWS unterstützen

Da die meisten betrieblichen Weihnachtsfeiern in diesem Jahr aufgrund der COVID-19-Situation nicht stattfinden können, hat RAINBOWS folgende Alternative im Sinne des guten Zwecks entwickelt:

Einige Unternehmen geben anstatt einer Weihnachtsfeier Gastro-Gutscheine an ihre Mitarbeitenden aus. Um RAINBOWS zu unterstützen, könnten Sie Ihren Mitarbeitenden freistellen, ob Sie anstelle dessen den Betrag oder einen Teil davon spenden möchten.

Ebenso besteht die Möglichkeit, eine fiktive Partnerschaft für die Teilnahme eines Kindes an einer RAINBOWS-Gruppe oder Trauerbegleitung in besonders schweren Zeiten.

Selbstverständlich ist auch wie immer eine klassische Spende an RAINBOWS möglich.

Auf der RAINBOWS-Website können Sie nachlesen, was der Verein alles zu bieten hat und wieso Ihre Spende so wichtig ist.

Info: Spenden an RAINBOWS sind steuerlich absetzbar!
RAINBOWS-Spendenkonto:
Verein RAINBOWS, BAWAG/PSK, AT806000000092186444

Unser Tipp

Unterstützen Sie und Ihre Mitarbeitenden zu Weihnachten diesen guten Zweck und helfen Sie Kindern in schwierigen Situation. Schließlich ist auch für die Kleinsten unter uns dieses Jahr besonders herausfordernd.

COVID-19-Schutzmaßnahmen im Büro

Posted by Birgit von Maurnböck

Wissen Sie, welche Maßnahmen Sie im Büro wie umsetzen müssen, um sich und Ihre Mitarbeitenden vor einer COVID-19-Infektion zu schützen? Wir geben Ihnen in diesem Beitrag einen Überblick über die wichtigsten Regeln und Maßnahmen.

Unsere Tipps zu den Schutzmaßnahmen im Büro

Unser Fazit

Die Coronakrise ist für uns alle Neuland und stellt eine Herausforderung dar. Gerne sind wir auch in solchen Situationen für Sie da und unterstützen wo wir können. Geschäftsführerin, Birgit von Maurnböck steht Ihnen als COVID-19-Beauftragte gerne für Ratschläge und Umsetzungstipps zur Seite. Kontaktieren Sie uns dazu.

Deutschland: DSGVO-Strafe über 35 Millionen Euro gegen H&M

Posted by Birgit von Maurnböck

Sind Sie sicher, dass Sie ausschließlich Daten erheben und speichern, deren Verarbeitung gerechtfertigt ist? H&M muss aufgrund eines Verstoßes gegen diesen Grundsatz nun einer DSGVO-Strafe von 35 Millionen Euro entgegensehen. Lesen Sie in diesem Beitrag, welches Vergehen sich die Modekette genau vorzuwerfen hat.

Fall H&M

H&M ist eines der bekanntesten Textilhandelsunternehmen weltweit und dürfte wohl jedem ein Begriff sein. Aktuell ist die Kette jedoch nicht durch einen besonders aufregenden Werbespot oder durch herausragende Rabatte in aller Munde – sondern wegen einer schweren Datenpanne, die bereits vor einigen Monaten bekannt wurde.

Das Unternehmen hat über Jahre hinweg Daten der Beschäftigten erhoben und gespeichert, die nicht in Zusammenhang mit dem Arbeitsverhältnis standen, sondern das Privatleben der Arbeitenden betrafen.
Nach Urlauben oder Krankenständen wurden sogenannte „Welcome Back Talks“ geführt, in denen die Betroffenen unter anderem über konkrete Erlebnisse und Ereignisse in Urlauben oder über genaue Diagnosen sowie Krankheitssymptome befragt wurden. Diese „Besprechungen“ fanden beispielsweise als lockere Einzelgespräche im Gang statt. Dabei wurden von Problemen im Privatleben über religiöse Bekenntnisse bis hin zum Gesundheitszustand umfangreiche Daten erhoben und anschließend gespeichert.

Diese waren dann bis zu 50 Führungskräften zugänglich und wurden zu einer systematischen Auswertung der persönlichen Arbeitsleistung sowie auch für Entscheidungen in Bezug auf das Arbeitsverhältnis herangezogen.

Strafe an H&M

Für dieses Vorgehen wurde nun vom Hamburgischen Datenschutzbeauftragten eine Geldstrafe von rund 35 Millionen Euro gegen die Modekette verhängt.
Mildernd kam hinzu, dass H&M einige Maßnahmen umgesetzt hat. Dazu zählen unter anderem die Vorlegung eines umfassenden Datenschutz-Konzepts sowie eine Entschuldigung und Schadenersatz-Zahlung an die betroffenen Mitarbeitenden.

Unsere Praxistipps