Ihre Kanzlei für Datenschutz und Compliance in Österreich

In einer zunehmend digitalisierten Geschäftswelt sind rechtssichere Datenschutzerklärungen das Fundament für Vertrauen und die Compliance. Wir bieten Ihnen eine umfassende und maßgeschneiderte Beratung bei der Erstellung und Optimierung von Datenschutzerklärungen für Webseiten, Online-Shops und mobile Applikationen (Apps).

Wir analysieren präzise Ihre individuellen Datenflüsse und unterstützen Sie bei der komplexen Rollenverteilung zwischen eigenständiger Verantwortlichkeit und Auftragsverarbeitung. Dabei formulieren wir transparente und gesetzeskonforme Informationen für Ihre Nutzer, insbesondere im Hinblick auf die Erhebung von IP-Adressen, Standortdaten (Geolocation) und weiterer personenbezogener Daten.

Um Haftungsrisiken im Verbraucherbereich (B2C) effektiv zu minimieren, stimmen wir Ihre Datenschutzerklärungen präzise mit Ihren Allgemeinen Geschäftsbedingungen (AGB) ab.

Gerne überprüfen oder updaten wir auch bereits vorhandene Datenschutzerklärungen anhand aktueller Judikatur und konkreter Verarbeitungstätigkeiten.

Bei der rechtskonformen Gestaltung von Cookie-Bannern zur Erfüllung der Anforderungen der DSGVO sowie des TKG und der Informationsverpflichtung steht Ihnen unsere Kanzlei beratend zur Seite.

Einige „Faustregeln“, die immer zu beachten sind:

1. Achten auf die Farbgebung: Zur Einhaltung des Transparenzgrundsatzes muss das Akzeptieren und das Ablehnen-Feld gleich „auffällig“ sein. Ob tatsächlich die gleiche Farbe verwendet werden muss, darüber herrscht noch keine konkrete Einigkeit unter Datenschutzrechtlern. Auf der sicheren Seite ist man jedenfalls, wenn beide Felder die gleiche Farbe aufweisen.
2. Achten auf die First Layer: Die Einwilligung muss so einfach zu erteilen sein wie die Ablehnung. Nach dem VfGH muss eine „echte Wahlmöglichkeit“ bestehen. Nicht zulässig ist es, die Ablehnung auf dem Second-Layer „zu verstecken“. Es sollte sohin gleich auf der ersten möglichen Landungsplattform eine Ablehnfunktion angeboten werden.
3. Wichtig ist zudem, die Cookies zu beschreiben, nämlich Funktion, Dauer der Verarbeitung und Name sind die Mindestinformationen, die nach Artikel 13 DSGVO zu erteilen sind. Weitere Informationen beinhalten den Verantwortlichen, etc.
4. Einwilligung: Dem Einwilligungstext sollte ebenso die entsprechende Aufmerksamkeit zukommen. Der User muss ganz klar informiert werden, zu welcher Datenverarbeitung er durch Anklicken des Akzeptieren-Feldes einwilligt. Da viele Homepagebetreiber als Verantwortliche iSd DSGVO selbst nicht darüber in Kenntnis sind, welche Funktion die einzelnen Cookies haben, muss man sich unbedingt im Vorfeld über die technische Funktionalität der zu setzenden Cookies informieren.

Es ist unbedingt erforderlich, dem Thema Cookies bei der Betreibung einer Homepage die gehörige Aufmerksamkeit zu schenken, um nicht in Gefahr zu laufen, einen Datenschutzverstoß zu begehen, in eine „Abmahnwelle“ zu geraten und hohe Strafzahlungen zu riskieren.

Die Dr. Leitinger & Dr. Leitinger Rechtsanwälte GmbH berät spezifisch Steuerberater, Bilanzbuchhalter und Lohnverrechner beim DSGVO-konformen Umgang mit Daten.

Zu den wichtigsten Fragen zählen:

• Wie können wir Mandantendaten rechtssicher digital verarbeiten und speichern?
• Welche Anforderungen gelten für Cloud-Lösungen?
• Welche Auftragsverarbeitungsverträge benötigen wir mit IT-Dienstleistern, Rechenzentren, Softwareanbietern oder externen Buchhaltern?
• Wie sind die Verschwiegenheitspflicht und Datenschutzrecht aufeinander abgestimmt?
• Wie müssen wir auf Auskunfts- oder Löschungsanträge reagieren? Welche Daten müssen herausgegeben werden und welche nicht?
• Welche Anforderungen gelten für E-Mail-Kommunikation mit Mandanten?
• Wie lange müssen oder dürfen wir Mandantendaten aufbewahren?

Diese Fragen entstehen besonders häufig in unserer Beratungspraxis für Steuerberatungskanzleien, die große Mengen Finanz-, Steuer- und Personaldaten verarbeiten und gleichzeitig strengen berufsrechtlichen Verschwiegenheitspflichten unterliegen. Unsere Kanzlei berät speziell Steuerberater zu diesen Fragen und darüber hinaus zu Themen wie Auftragsverarbeitung, Datensicherheit, Cloud-Nutzung, KI-Einsatz und die Schnittstelle zwischen Berufsrecht und Datenschutz.

Bei Datenschutzverletzungen ist es wichtig, rasch zu reagieren und dabei gleichzeitig einen kühlen Kopf zu bewahren. Folgenden Punkteplan empfehlen wir unseren Mandanten und unterstützen bei der Umsetzung:

• Vorfall erkennen und dokumentieren
• Betroffene Daten identifizieren
• Risiko bewerten
• Meldepflicht bei der Aufsichtsbehörde prüfen
• Meldepflicht bei den betroffenen Personen prüfen
• Interne Aufarbeitung zur Vermeidung zukünftiger Vorfälle und Dokumentation

Empfehlenswert ist es bei jeder Verletzung des Datenschutzes, beispielsweise wenn ein Email an den unrichtigen Empfänger übermittelt wird, eine vollständige Dokumentation für Nachweis- und Prüfzwecke erstellen.

Unsere Kanzlei unterstützt Sie gerne – auch kurzfristig – im Fall eines solchen Data Breaches sowie bei der Meldung bei der Datenschutzbehörde sowie der Kommunikation mit den Betroffenen.

Die Entwicklung einer App bringt zahlreiche datenschutzrechtliche Anforderungen mit sich – von der rechtmäßigen Verarbeitung personenbezogener Daten über die Gestaltung von Datenschutzerklärungen bis hin zur Einbindung von Analyse-, Tracking- und Drittanbieterdiensten. Bereits in der Entwicklungsphase sollten datenschutzrechtliche Risiken erkannt und minimiert werden.

Wir unterstützen App-Entwickler bei der datenschutzkonformen Gestaltung ihrer Anwendungen und beraten zu den Anforderungen der DSGVO, Privacy-by-Design, zur DSGVO-konformen Einwilligung, internationalen Datentransfers sowie Verträgen mit Dienstleistern und Cloud-Anbietern.

Das Ziel unserer Kanzlei ist es, Ihre rechtlichen Risiken frühzeitig zu identifizieren und praxistaugliche Lösungen zu entwickeln, damit die App nicht nur technisch überzeugt, sondern auch den datenschutzrechtlichen Anforderungen entspricht.

Unsere Kanzlei unterstützt bei der DSGVO-konformen Umsetzung von Videoüberwachungen. Meist geht es dabei um präventiven Schutz vor Einbrüchen, Diebstahl oder sonstigen Straftaten, die ein berechtigtes Interesse nach Art 6 Abs 1 lit f DSGVO begründen können.

Die Videoüberwachung ist Privatpersonen – vor allem in Österreich – tendenziell ein Dorn im Auge, die zu Recht auf die Achtung ihrer Privatsphäre bedacht sind. Eine gut ausgewogene Abwägung der Interessen ist somit jedenfalls erforderlich, um keine Datenschutzverletzung zu riskieren.

Neben dem Zweck der Videoüberwachung müssen auch weitere Maßnahmen definiert werden, wie etwa datenschutzfreundliche Voreinstellungen. Dazu dürfen Videoaufnahmen grundsätzlich nicht länger als 72 Stunden gespeichert werden, wobei Ausnahmen fallweise zur Geltung kommen.

Wichtig ist auch die Erstellung eines Konzepts, die Wahrnehmung der Informationspflichten (Warnschild), Definition der Berechtigungen, die Zugang zu den Videoaufnahmen haben sowie Dokumentation des Bilderfassungskreises.

Zuletzt müssen Verantwortliche darauf achten, dass sie mit der Videoüberwachung tatsächlich das gelindeste Mittel wählen und keine andere – weniger die Rechte und Freiheiten der Betroffenen einschränkende – Maßnahme möglich oder zumutbar ist, um den beabsichtigten Zweck zu erreichen.

Die beliebte Juristenantwort „es kommt darauf an“ ist auf diese Frage besonders zynisch. Das Dickicht an verschiedenen Datenverarbeitungstätigkeiten erlaubt es Verantwortlichen allerdings tatsächlich nur sehr schwer, eine Antwort auf diese Frage zu finden, was dazu führt, dass Daten leider sehr oft unbegrenzt („auf ewig“) gespeichert bleiben.

Dies ist jedoch ein grober Datenschutzverstoß und kann zu hohen Strafen führen.

Grundsätzlich dürfen personenbezogene Daten so lange gespeichert werden, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Generell ist es nicht zulässig, eine allgemeine Aufbewahrungsfrist für sämtliche Verarbeitungen zu wählen, sondern die Frist muss für jede Verarbeitungstätigkeit gesondert festgelegt werden.

Für einige Datenverarbeitungen gibt es gesetzliche Speicherfristen, wie etwa die Aufbewahrungspflicht für steuerrelevante Daten und Unterlagen von grundsätzlich sieben Jahren.

Weiters ist für einige Datenverarbeitungsvorgänge bereits Rechtsprechung in Zusammenhang mit der Aufbewahrung ergangen, die für Rechtssicherheit gesorgt hat. So dürfen etwa Daten von Bewerbern sieben Monate nach Eingang der Bewerbung aufbewahrt werden.

Unsere Kanzlei Dr. Leitinger & Dr. Leitinger Rechtsanwälte unterstützt Sie gerne bei der Prüfung von Löschfristen.

Dass Newsletter einen „Abmelde-Button“ enthalten müssen, ist landläufig bekannt. Aber darf ich überhaupt an eine mir bekannte Emailadresse versenden?

Eine Emailadresse stellt ein personenbezogenes Datum dar, wenn sie einer identifizierbaren natürlichen Person zuzuordnen ist, was fast immer der Fall ist. Darüber hinaus fällt der Versand von Newslettern – unabhängig von der DSGVO die nur für natürliche Personen gilt – auch unter das für juristische Personen gültige TKG, weshalb strenge Anforderungen für den Versand von Newslettern zu beachten sind.

Grundsätzlich gilt, dass ein Newsletter nur mit Einwilligung versandt werden darf. Das bedeutet nur mit einer vorherigen, aktiven und freiwilligen Einwilligung (Opt-In) ist der Newsletterversand DSGVO-konform. Diese Einwilligung darf nicht an den Abschluss eines Vertrages gekoppelt sein und muss jederzeit genauso einfach widerrufbar sein.

Die Ausnahme von der Einwilligung nach § 174 Abs 4 TKG 2021 besteht nur dann, wenn

1. der Absender die Kontaktinformation für die Nachricht im Zusammenhang mit dem Verkauf oder einer Dienstleistung an seine Kunden erhalten hat und
2. diese Nachricht zur Direktwerbung für eigene ähnliche Produkte oder Dienstleistungen erfolgt und
3. der Empfänger klar und deutlich die Möglichkeit erhalten hat, eine solche Nutzung der elektronischen Kontaktinformation bei deren Erhebung und zusätzlich bei jeder Übertragung kostenfrei und problemlos abzulehnen und
4. der Empfänger die Zusendung nicht von vornherein, insbesondere nicht durch Eintragung in die in § 7 Abs. 2 E-Commerce-Gesetz genannte Liste (in die sogenannte „Robinson-Liste“), abgelehnt hat.

Unsere Kanzlei unterstützt Sie gerne beim Umsatz des DSGVO-konformen Newsletterversands.

Wenn Sie eine Entscheidung der Datenschutzbehörde erhalten haben, ist es wichtig, rasch zu handeln, da die Zustellung der Entscheidung den Fristenlauf auslöst. Wir unterstützen Sie bei der Prüfung von Bescheiden und Erkenntnissen der Datenschutzbehörde, prüfen die Erfolgsaussichten von Rechtsmitteln und verfassen Beschwerden.

Nach der bereits hinlänglich bekannten DSGVO (Datenschutzgrundverordnung) hat die EU mit dem AI Act (Verordnung (EU) 2024/1689) und dem Data Act (Verordnung (EU) 2023/2854) zwei weitere wichtige Gesetzte, die die Verarbeitung von Daten betreffen, erlassen. Diese Regelwerke sollen die Rahmenbedingungen für Künstliche Intelligenz und Datenwirtschaft abstecken.

Der AI Act als Rechtsrahmen für KI ist nach dem sogenannten „risikobasierten Ansatz“ gestaltet. Abhängig von der Risikoklasse, wobei der AI Act vier vorsieht, sollen KI Systeme anhand ihres potentiellen Risikos eingeordnet und Verarbeitungstätigkeiten entweder gänzlich verboten oder reglementiert werden.

Der Data Act soll die Datenwirtschaft „fairer“ gestalten, er reguliert insbesondere den Bereich „Internet of Things“ (IoT).

Ein weiterer neuer Digitalisierungsrechtsakt ist etwa der Data Governance Act (DGA), viele weitere folgend.