🎧 Versicherung gehackt – Millionen gepeckt

Herzlich willkommen zurück im Datenschutztheater, wo Birgit und Murphy heute einen besonders drastischen Fall vorstellen, bzw. Murphy stellt ihn vor und Birgit redet gescheit mit:

Die spanische Datenschutzbehörde AEPD hat Generali España zu 5 Millionen Euro Strafe verdonnert, wegen einer massiven Datenpanne, bei der über 1 Million Kundendaten abgeflossen sind.

Ein kompromittiertes Maklerkonto, fehlende Sicherheitsmaßnahmen, mangelhafte Protokollierung und eine Unternehmenskultur, die Datenschutz nicht ernst genug nahm: All das führte zu einer Rekordstrafe und zeigt, wie eng IT-Sicherheit und Datenschutz zusammenspielen müssen.

🔍 Was erwartet euch in dieser Folge?

✅ Wie konnte ein einziges Maklerkonto zum Einfallstor für über 1 Million Datensätze werden?

✅ Warum sind besonders Gesundheitsdaten so heikelund warum bewertet die DSGVO hier Verstöße so streng?

✅ Welche DSGVO-Verstöße die Behörde im Detail festgestellt hat (von Art. 5 bis Art. 35).

✅ Was die Generali vorbrachte und warum die Argumente nicht überzeugten.

✅ Die Rolle von Vermittlern, fehlende Audits und „Versäumniskultur“.

✅ Wie die Strafe berechnet wurde und warum es am Ende noch einen „Rabatt“ gab.

✅ Welche Lehren Unternehmen und auch Kundinnen und Kunden aus dem Fall ziehen sollten.

📄 Zum Hintergrund des Falls:

Ein Maklerkonto eines Vermittlers der Generali wurde kompromittiert. Darüber wurden automatisierte Abfragen gestartet, bei denen auch Daten ehemaliger Kunden zugänglich waren, darunter Vertragsdaten, Telefonnummern und in manchen Fällen sogar Bankverbindungen und Gesundheitsdaten.

Das Unternehmen konnte das Ausmaß lange nicht einschätzen, da Protokolle und Logs fehlten. Erst als die Daten im Darknet und auf Telegram auftauchten, wurde das volle Ausmaß sichtbar.

Die AEPD stellte zahlreiche Verstöße gegen die DSGVO fest, von fehlender Datensparsamkeit bis hin zur unterlassenen Datenschutz-Folgenabschätzung.

🧠 Für wen ist diese Folge spannend?

Unser Fazit:

Datenschutz sollte keine lästige Pflicht, sondern eine Führungsaufgabe sein.

Wer Verantwortlichkeiten verschleppt, keine Logs führt und Geschäftspartnern unkontrollierten Zugriff einräumt, riskiert Millionenstrafen und einen massiven Vertrauensverlust.

Wir wünschen viel Vergnügen beim Zuhören, und wenn Sie Ihr Datenschutzmanagement überprüfen lassen wollen, Sie wissen, wo Sie Birgit und Murphy finden: Die beiden und ihr fantastisches Team unterstützen Sie gerne. 😉

Präsentiert von MeineBerater

Moderation: Birgit und Erich von Maurnböck

Produziert von DAS POD (https://daspod.at/).

Herzliche Willkommen zurück im Datenschutztheater, wo die heutige Folge den Online-Shopperinnen und Online-Shoppern gewidmet ist.

„Zahlung auf Rechnung – abgelehnt.“

Was für viele nur ein kurzer Ärger im Online-Shop ist, wurde für einen österreichischen Konsumenten ein Fall für die Datenschutzbehörde.

Er wollte wissen: Hat da etwa ein Algorithmus über mich entschieden? Und falls ja, ist das überhaupt erlaubt?

In dieser Folge nehmen uns Birgit und Murphy mit in einen echten Datenschutzfall, der es in sich hat und stellen die Frage:

Wann ist eine Entscheidung wirklich automatisiert im Sinne der DSGVO und wann ist sie einfach nur… kundenunfreundlich?

🔍 Was erwartet euch in dieser Folge?

✅ Was zählt als automatisierte Entscheidung?

✅ Welche Rolle spielt der Mensch im System?

✅ Was bedeutet „rechtliche Wirkung“ oder „erhebliche Beeinträchtigung“?

✅ Was sagt die Datenschutzbehörde konkret?

📄 Zum Hintergrund des Falls:

Ein Verbraucher bestellte online, wählte als Zahlungsart „Kauf auf Rechnung“ und erhielt eine Ablehnung, weil seine Lieferadresse nicht verifiziert werden konnte.

Er vermutete eine automatisierte Entscheidung und stellte ein Auskunftsersuchen nach Art. 15 DSGVO.

Die Antwort des Unternehmens fiel dürftig aus:

Der Mann beschwerte sich bei der Datenschutzbehörde mit der Hoffnung auf ein aufklärendes Verfahren.

Doch der Bescheid fiel anders aus:

🧠 Für wen ist diese Folge spannend?

Wie immer leichtfüßig, humorvoll und lehrreich, dieses Mal für beide Seiten, sowohl für Konsumenten als auch für Unternehmen.

Unser Fazit:

Ärgern Sie sich nicht, wenn Kauf auf Rechnung abgelehnt wird. Und beschweren Sie sich nicht bei der Behörde, die wird Ihnen da nämlich nicht helfen.

Wir wünschen viel Vergnügen beim Zuhören, und wenn Sie mal Post von der Datenschutzbehörde bekommen, bleiben Sie ganz ruhig, Sie kennen ja Birgit und Murphy: Die beiden und ihr fantastisches Team helfen Ihnen gerne. 😉

Präsentiert von MeineBerater

Moderation: Birgit und Erich von Maurnböck

Produziert von DAS POD (https://daspod.at/).

Welcome to the privacy theatre!

Birgit und Murphy beschäftigen sich heute mit einem Fall, bei dem "ein einziger Klick" auf ein Medikament zu einem Verstoß gegen die DSGVO wurde.

Eine finnische Universitätsapotheke setzte jahrelang Tracking-Tools auf ihrer Website ein, ohne Zustimmung der Surfer und Surferinnen, wo sensiblen Daten den großen Datenkraken serviert wurden und dies mit einem Bußgeld in Millionenhöhe honoriert wurde.

In dieser Folge gehen wir der Frage nach:

Was passiert, wenn man beim Online-Stöbern nach Medikamenten auf einmal im Marketing-Radar von Meta & Co. landet?

🔍 Was erwartet Sie in dieser Folge?

✅ Tracking auf Gesundheitswebsites – wie heikel ist das?

Einblicke in den Fall „Yliopiston Apteekki“ und warum eine einzige IP-Adresse mehr verraten kann, als man denkt.

✅ Wann ist ein Datenleck ein Datenschutzverstoß?

Die Rolle von HAR-Dateien, sec-ch-ua-Headern und warum ein Klick auf „Nasenspray“ plötzlich sensibel wird.

✅ Art. 9 DSGVO und besondere Datenkategorien

Welche Informationen bereits in den Bereich der Gesundheitsdaten fallen.

✅ Die rechtliche Bewertung der finnischen Behörde

Datenminimierung? Fehlanzeige. Technischer Schutz? Unzureichend. Einwilligung? Gab’s nicht.

✅ 1,1 Millionen Euro Bußgeld und das ohne Vorsatz!

Was Unternehmen daraus lernen sollten, und warum auch guter Wille im Nachhinein nicht reicht.

📄 Zum Hintergrund des Falls:

Die Universitätsapotheke Yliopiston Apteekki betrieb eine Website mit Online-Shop und setzte dabei u. a. Google Analytics, Meta Pixel, Google Fonts und New Relic ein.

Problematisch:

Ruchbar wurde dieser Datenschutzverstoß jedoch nicht durch die Anzeige einer Kundin oder eines Kunden, nein, durch eine wissenschaftliche Untersuchung.

Der Fall landete bei der Datenschutzbehörde und endete mit einer saftigen Strafe in Millionenhöhe.

🧠 Für wen ist diese Folge spannend?

Für alle, die sich fragen: „Zählt mein Klick auf ein Medikament schon als Gesundheitsinfo?“

💬 Unser Fazit:

Tracking und Gesundheit sind eine explosive Mischung, besonders wenn US-Tools im Spiel sind.

Consent-Banner sind nicht zum Spaß da, und Datenschutz ist keine Formsache.

Die Argumentation, es kaufen ja eh nur 2 % der Besucher/Besucherinnen etwas, schützt nicht vor einer Strafe.

🎙 Viel Vergnügen beim Besuch des Datenschutztheaters und denken Sie dran:

Wenn Ihre Website mit Meta spricht, bevor der Nutzer es tut, spricht vielleicht bald die Behörde mit Ihnen. ;-)

Präsentiert von MeineBerater

Moderation: Birgit und Erich von Maurnböck

Produziert von DAS POD (https://daspod.at/).

Die Vorhänge des Datenschutztheaters haben sich wieder gehoben: Willkommen, bienvenue, welcome ;-)

Birgit und Murphy haben sich wieder im Studio eingefunden, und diesmal wird’s… sagen wir mal: unterhaltsam konfliktreich.

Denn dieser "Murphy-Fall" hat alles: Videokameras, Besitzstörungen, hohe Zahlungsforderungen und eine Firma, die auf Briefe der Datenschutzbehörde ungefähr so gut reagiert wie ein Smartphone auf ein Funkloch.

Was war passiert?

Eine Firma, die Parkplätze überwacht, hat nicht nur gefilmt, sondern sich auch noch sehr aktiv mit sogenannten „Besitzstörungsanzeigen“ beschäftigt – inklusive saftiger Rechnungen an Autofahrer, die vermeintlich falsch geparkt hatten.

Klingt nach einem spannenden Geschäftsmodell? Murphy findet: Ja. Birgit eher nicht.

Aber jetzt kommt der datenschutzrechtliche Teil:

👉 Die Datenschutzbehörde (im folgenden "man" ;-)) hatte schon mehrere Beschwerden über diese Firma erhalten.

👉 Man hat versucht, mit der Firma zu sprechen. Mehrfach.

👉 Man hat Briefe geschrieben. Auch mehrfach.

👉 Man hat sogar den Geschäftsführer vorgeladen. Er kam nicht.

Was macht die Behörde, wenn niemand antwortet? Richtig: Sie entscheidet trotzdem. Und stellt fest:

📌 Die Firma hat die Zusammenarbeit verweigert.

📌 Die Pflicht zur Mitwirkung nach Art. 31 DSGVO wurde verletzt.

📌 Das Ganze war nicht das erste Mal.

Und weil aller guten Dinge offenbar nicht drei, sondern vier sind, setzte es diesmal eine saftige Geldstrafe in Höhe von 16.000 €. Plus 1.600 € Verfahrenskosten, macht zusammen 17.600 €. Ein echter Parkplatz-Kassenschlager.

Murphy findet das gerecht. Birgit freut sich über eine wunderschöne juristische Begründung, warum die Mitwirkungspflicht auch dann gilt, wenn man nicht weiß, was man sagen soll.

Denn: Die DSGVO verlangt nicht, dass man gern antwortet, nur dass man es tut.

Natürlich gibt’s auch in dieser Folge wieder Praxistipps, direkt aus dem Theater:

⭐ Wenn Sie von der Behörde Post bekommen: Bitte aufmachen.

⭐ Auch wenn Sie glauben, die DSGVO gelte für Sie nicht. Sie tut es doch.

⭐ Wiederholte Verstöße machen nichts billiger: Ganz im Gegenteil.

⭐ Kommunikation ist kein Risiko, sondern Pflicht.

Und was lernt das Publikum?

Wer nicht hören will, muss zahlen. ;-)

Wer zum vierten Mal ignoriert, bekommt keine Einladung mehr, sondern einen Strafbescheid mit Zahlschein.

In diesem Sinne:

Wer Parkplätze überwacht, sollte nicht vergessen, auch die eigenen Pflichten zu überwachen.

Wir wünschen viel Vergnügen beim Zuhören, und wenn Sie mal Post von der Datenschutzbehörde bekommen, rufen Sie ruhig Birgit und Murphy an: Die beiden helfen Ihnen gerne. 😉

Präsentiert von MeineBerater

Moderation: Birgit und Erich von Maurnböck

Produziert von DAS POD (https://daspod.at/).

Herzlich Willkommen im Datenschutztheater – diesmal mit einer Folge, in der es um einen gut gemeinten Bettelbrief, eine unzulässige Datenverwendung und ein klares „Nicht erlaubt!“ vom Bundesverwaltungsgericht geht. 🎭

Birgit ist heute so richtig in Fahrt. Wieso? Weil es um etwas geht, das für viele Organisationen ganz harmlos wirkt, datenschutzrechtlich aber einen ziemlichen Knall erzeugt hat: Ein Spendenbrief nach einem Rettungseinsatz. Ja genau, ein Brief, der ein Dankeschön enthielt und auch eine Datenschutzverletzung.

Was war passiert?

Eine Betroffene wurde von einem Rettungsdienst transportiert, Name und Adresse wurden erfasst, logisch, denn es ging um eine medizinische Betreuung. Einige Wochen später erhielt sie Post von genau diesem Rettungsdienst. Inhalt: ein sehr freundliches Schreiben mit Spendenbitte. Und zack sind wir schon mitten in der DSGVO. Nicht nur im Datenschutztheater ;-).

Denn was auf den ersten Blick wie eine harmlose Geste aussieht, entpuppte sich als Verarbeitung von Gesundheitsdaten ohne Rechtsgrundlage. Warum? Weil der Brief in der Form gar nicht verschickt hätte werden dürfen. Ein klarer Rückschluss darauf, dass die Dame krank oder verletzt, eben nicht gesund war. Und damit fiel die gesamte Verarbeitung der Daten in den Art. 9 DSGVO. Dafür bräuchte man auch entsprechende Rechtsgrundlagen, die so nicht vorhanden waren.

Und damit? Volltreffer. Die Datenschutzbehörde sagte: Das geht so nicht. Die Organisation meinte: Aber wir haben eh nur einen Teil der Daten verwendet und außerdem brauchen wir Spenden. Doch das Gericht war eindeutig:

Keine Einwilligung, kein Zweck, keine Ausnahme, keine Chance.

Der Rettungsdienst hätte diese Daten für die Abrechnung verwenden dürfen, NICHT für Spendenbriefe. Selbst eine „nachträgliche Info“ zur Zweckänderung reichte nicht. Denn: Informationspflichten müssen vor oder spätestens mit der Verarbeitung erfüllt werden, nicht irgendwann danach.

Und so diskutieren unsere Lieblings-Datenschützer wieder über Lieblingsparagrafen, Zweckbindung, Transparenz und Zweckänderung, und Birgit freut sich über den schönen Satz des Gerichts, dass es sich hier um Gesundheitsdaten handelt, selbst wenn der Zusammenhang nur durch Nachdenken erkennbar ist. (Kleiner Tipp von Birgit: Genau so funktioniert Datenschutz.

Natürlich gibt’s auch Praxistipps:

⭐ Nicht alles, was nett gemeint ist, ist auch erlaubt.

⭐ Den Datenkontext immer mitdenken: Was ergibt sich aus der Kombination?

⭐ Zweckänderung ist ein Minenfeld: Nicht einfach selbst was draus machen, könnte böse enden!

⭐ Gesundheitsdaten? Immer höchste Vorsicht und wenn unsicher: Lieber löschen als riskieren.

Was lernen wir daraus?

👉 Wer helfen will, soll helfen, aber bitte datenschutzkonform.

👉 Spendenbriefe? Die sollten niemals den Eindruck erwecken, dass man weiß, warum jemand Hilfe gebraucht hat.

Birgit und Murphy sind sich einig: Ein sehr lehrreicher Fall mit einem klaren Signal an Organisationen im Gesundheitsbereich.

Wir alle dürfen uns über eine neue Lieblingsentscheidung des BVwG freuen, denn die Frage, was alles in den Bereich der Gesundheitsdaten fällt, wurde hier ganz wunderbar erklärt.

Wenn Sie Fragen zu Ihren Spendenbriefen haben, rufen Sie besser Birgit und Murphy an, bevor das Bundesverwaltungsgericht es tut. 😉

Wir wünschen gute Unterhaltung!

Präsentiert von MeineBerater

Produziert von DAS POD (https://daspod.at/).

Nachdem die Urlaubszeit näher rückt haben sich unsere Lieblingsdatenschützer wieder ins Studio geschwungen, um ein neues Thema anzugehen: Ein Datenleck, das ein friendly Hacker aufgedeckt hat und trotz massiver technischer Mängel zu keiner Strafe geführt hat (noch nicht!). Was hat das jetzt mit Urlaub zu tun? Ganz einfach: Es betraf ein Hotel ;-).

Was erzählt uns Murphy in "seiner" Folge 28? Ein Herr, der beim Computer Chaos Club beschäftigt ist, buchte bei einem Hotel Startup namens NUMA ein Zimmer in einem Berliner Hotel. Das (mittlerweile) zu einer Hotelkette angewachsene Unternehmen machte bereits dadurch von sich reden, dass alles digital erfolgt: Buchung, Check-In, Zimmertür öffnen, Check-Out, Abrechnung.

Das mögen unsere beiden Protagonisten nicht so gerne, sie sprechen gerne, wenn sie in ein Hotel einchecken, mit Menschen. Und Birgit erfreut sich im Stammhotel in Wien sogar eines mit ihrem Namen bestickten Polsters, so oft hat sie dort schon geschlafen! Ein personenbezogenes Kopfkissen, einfach super.

Aber zurück zum Fall: Der Hotelgast war und ist gezwungen eine Ausweiskopie hochzuladen, um einchecken zu können. Und das obwohl seit einiger Zeit deutsche Staatsbürger in deutschen Hotels keine Personalausweise oder Reisepässe mehr vorweisen müssen. Laut deutschem Meldegesetz. Wie das in der Praxis funktionieren kann, noch dazu, wo alles elektronisch durchgeführt wird, ist Birgit ein Rätsel. Das wäre eine weitere eigene Folge wert, vor allem, die Rechtsgrundlagen dazu.

Aber Murphy kann Birgit in ihrer philosophischen Reise stoppen und erzählt sehr technisch, was der Computer Chaos Club aufgedeckt hat und dass man über die Manipulation eines Rechnungs-Links Zugriff auf die Daten von mehr als 500.000 Gästen haben hätte können (gut gebucht die Location, offensichtlich) :-).

Birgit lernt ein paar neue technische Begriffe, Murphy freut sich über ihr überraschtes Gesicht und das Hotel hat inzwischen ein paar technische Änderungen vorgenommen, damit dieser Datenzugriff Unberechtigten nicht mehr so leicht fällt. Zusätzlich wurde die Berliner Datenschutzbehörde verständigt und auch die Betroffenen.

Etliche Praxistipps später, wie zum Beispiel:

⭐️ Datenminimierung und Löschung (gerne nochmal Folge 4 anhören!)

⭐️ Links checken

⭐️ Technisch immer aufpassen - wer billig programmiert, zahlt eventuell mit einer Strafe oder Rufschädigung dafür,

sind sich die beiden wie immer einig:

Auf Daten, die man gar nicht hat, braucht man auch nicht aufpassen.

Na wenn das nicht einer der besten Tipps ever ist ;-). So einfach und so logisch!

Spannend wird sein, ob die Behörde eine Strafe verhängt, das hat es nämlich schon bei einem anderen Hotel gegeben, das widerrechtlich Ausweiskopien gespeichert hatte.

Und wo werden Sie, geneigte Hörerinnen und Hörer, so es eine Strafe auch noch geben wird, dies hören?

Ganz klar: In einer launigen Folge, wenn es wieder heißt: Mein Datenschutztheater, der Podcast von MeineBerater!

Wir wünschen gute Unterhaltung und wenn Sie Unterstützung brauchen, freuen sich Birgit und Murphy über ihren Anruf ;-)

Präsentiert von MeineBerater

Produziert von DAS POD (https://daspod.at/).

Herzlich Willkommen im Datenschutztheater, wo sich heute ein Mix aus einer Komödie und einer Tragödie abspielt ;-).

Scherz beiseite, unsere beiden Lieblingsdatenschützer haben wieder viel Spaß miteinander und ein sehr interessantes Thema: Darf ein Datenschutzbeauftragter vor der Datenschutzbehörde die Aussage verweigern?

Gewidmet haben sie diese Folge auch jemandem, und zwar einem Mitarbeiter ihres Teams, der sich gern über schlechte Gesetze aufregt. Zu Recht oder Unrecht, das ist hier die Frage.

Worum ging es in der Sache selbst?

Ja das wissen wir nicht.

Diese Folge dreht sich um eine Geldstrafe, die ein Datenschutzbeauftragter ausgefasst hat, weil er der Meinung war, Reden ist Silber, Schweigen ist Gold.

Das sah unsere Behörde jedoch nicht so und verhängte eine "Ordnungsstrafe".

Dies ließ sich die belangte Person jedoch nicht gefallen und wandte sich ans Bundesverwaltungsgericht, das tatsächlich die Strafe aufhob.

Warum?

Zusammengefasst, weil unser Gesetz schlecht ist. Nämlich unser Datenschutzgesetz, das im § 5 schreibt, ein Datenschutzbeauftragter hat ein Aussageverweigerungsrecht. Punkt.

Darauf bezog sich auch die belangte Person, die nicht wusste, dass es in den Erläuterungen zum Gesetz eine Formulierung gibt, die besagt, dass diese Aussageverweigerungsrecht NICHT vor der Datenschutzbehörde gilt!

Na wer soll sowas wissen? ;-)

Vielleicht sehr nerdige Juristen, nicht jedoch Menschen ohne juristische Ausbildung. Unsere BVerwG steht jedenfalls auf diesem Standpunkt, dass eine unkundige Person nicht in den Erläuterungen nachlesen muss.

Und dass das Gesetz schlecht geschrieben sei. Mit lieben Grüßen an den Mitarbeiter.

Vielleicht gibt’s ja irgendwann eine Adaptierung, soll öfter vorkommen, wenn es um Gesetze geht.

Wir wünschen viel Vergnügen mit viel Redezeit auf Seiten unserer Birgit und klugen Fragen, die Murphy in diese Folge einbringt. ;-)

Präsentiert von MeineBerater

Produziert von DAS POD (https://daspod.at/).

Murphy und Birgit ziehen die Vorhänge des Datenschutztheaters wieder mit großer Freude auf und - zu Recht - erhofft sich Murphy mehr Redezeit. Wieso? Es geht um ein zahlenlastiges Thema, das freut den CFO und Zahlenmenschen ganz besonders. Ob Birgit es schafft, sich vornehm in Zurückhaltung zu üben, wird diese Folge zeigen ;-).

Worum geht es genau?

Bonitätsscores von Wirtschaftsauskunfteien – Diese "kleinen" Zahlen aus der Welt der Wirtschaftsauskunfteien haben sich in der Praxis aus vielen Gründen zu unverzichtbaren Werkzeugen entwickelt.

Sie helfen Unternehmen, sich durch einen Dschungel aus Sorgfaltspflicht-Erfüllung, Kreditbetrug-Verhinderung und Risikokalkulierung zu navigieren. Immerhin gehen Unternehmen, die ihren Kunden Geld leihen oder Waren auf Kredit verkaufen, auch ein gewisses Risiko ein – der Kunde von heute ist möglicherweise der Insolvenzfall von morgen.

Der EuGH hat in seiner Schufa-Rechtsprechung (C-634/21, C-26/22, C-64/22) klargestellt, dass ein Unternehmen, das bei seiner Entscheidung „maßgeblich“ auf das Score-Ergebnis einer Auskunftei setzt, eine automatisierte Einzelentscheidung trifft.

Und schon sind wir wieder mitten drin im Datenschutz, und in einem eher kompliziert klingenden Betroffenenrechte: Dem Recht nicht ausschließlich einer automatisierten Entscheidung unterworfen zu werden.

Endlich darf sich Birgit dann auch einbringen und eine Anekdote zum Besten geben. Ein gut situierter Bekannter wollte einen Mobilfunkvertrag, vulgo Handyvertrag, abschließen und wurde auf ein Prepaid-Handy reduziert! Wo gibt’s denn sowas?

Dort, wo sich Unternehmen nur auf Scores von Kreditauskunfteien verlassen!

Transparenz ist Pflicht und am Ende hat jeder Mensch das Recht durch einen Menschen beurteilt zu werden. Ob das immer gut ausgeht? ;-)

KSV, CRIF, SCHUFA oder wie sie alle heißen, nach dem letzten EuGH-Urteil müssen nun auch die Berechnungsmethoden offen gelegt werden. Und Firmen, die sich auf die Scores verlassen, dürfen ihre Datenschutzerklärungen ergänzen. Dabei helfen wir Ihnen doch gerne ;-)

Hören Sie rein und verstehen Sie, wie Sie rechtskonform unterwegs bleiben.

Wir wünschen dabei viel Vergnügen!

Präsentiert von MeineBerater

Produziert von DAS POD (https://daspod.at/).

Und wieder sind wir mitten drin im Datenschutztheater, dieses Mal in einer (zugegeben) kleinen Tragödie, die Strafe war dann aber eh nicht so hoch :-).

Unsere beiden Lieblingsdatenschutz-Podcaster stellen einen Fall eines Rechtsanwalts vor, der versuchte, sich aus einem Auskunftsbegehren mit interessanten juristischen Argumentationen rauszuwinden. Gelang ihm nicht wirklich und das Mitleid von Birgit hält sich da in überschaubaren Grenzen.

Warum? Weil Anwälte ja in der Lage sind, Gesetze zu lesen und zu interpretieren.

Kaum etwas ist mittlerweile genauer kommentiert und ausjudiziert wie die Erfüllung der Betroffenenrechte.

Der arme Murphy hat wirklich wenig Redezeit und kann den Redefluss seiner Frau kaum stoppen. Das kennt er aber nach 18 Jahren Zweisamkeit eh bestens ;-).

Was war geschehen: Eine Dame, die die Gegnerin des Mandanten des Anwalts in einem Erbstreit war, wollte von ihm Auskunft über die von ihm verarbeiteten Daten. So weit so zulässig.

Sie verwendete für das Auskunftsbegehren ein Formular der Datenschutzbehörde, das sich mit dem Auskunftsrecht gegenüber der Sicherheitspolizei befasst.

Das war ein gefundenes Fressen für den Rechtsvertreter, er meinte, er dürfe diesen "Verwaltungsrechtsakt" gar nicht umdeuten in ein korrektes Auskunftsbegehren und müsse darauf nicht mal reagieren.

Tja, Pech gehabt, weder die Datenschutzbehörde noch das Bundesverwaltungsgericht sahen diese Argumentation als gerechtfertigt an. Auch weil ein Anwalt nicht "mit Imperium ausgestattet ist". Worüber sich Birgit königlich amüsiert, sie liebt ja wie wir wissen juristische Formulierungen.

Aber genau so auch das Übersetzen dieser auf Deutsch, es heißt nichts anderes, als dass ein Anwalt keine Verwaltungsbehörde mit entsprechenden Befugnissen ist.

Fazit: Auch wenn ein Auskunftsbegehren noch so komisch, eigenartig oder unverständlich formuliert ist, muss man es als Verantwortlicher zu Gunsten der betroffenen Person interpretieren und - natürlich - rechtskonform erfüllen.

Macht man das nicht, kostet das (in diesem Fall) 400 Euro Strafe plus Verfahrenskosten. Eine unnötige Investition bei einer Rechtsfrage, die keine mehr ist, weil schon längst klargestellt.

Wir wünschen viel Vergnügen und - alle, die uns öfter im Theater besuchen, wissen - wir verhindern Strafen ;-)

Gute Unterhaltung!

Präsentiert von MeineBerater

Produziert von DAS POD (https://daspod.at/).

Herzlich willkommen bei einer neuen Strafenfolge. Sie, liebe Hörerinnen und liebe Hörer, die öfter ein Theater besuchen, wissen, dass sich dort Komödien und Tragödien abspielen. Und so ist es auch im Datenschutztheater.

Murphy und Birgit gelingt es ganz gut aus Tragödien trotzdem Komödien zu machen und vor allem eines: Ihnen Rüstzeug mitzugeben, damit der Datenschutz in Ihrem Unternehmen niemals eine Tragödie epischen Ausmaßes wird ;-).

Wie gelingt das? Indem sich die beiden Mikrophon - und auch sonst - lovers gemeinsam anschauen, warum Unternehmen überhaupt Strafen kassieren und was man tun kann, um dies zu verhindern.

In der aktuellen Folge muss sich Birgit liebevoll über einen Kollegen etwas amüsieren, nur weil man Mag. Dr. und LLM der Rechtswissenschaften ist und eine Ausbildung zum Datenschutzbeauftragten angefangen hat, ist man für das wichtige Amt des Datenschutzbeauftragten noch lange nicht geeignet.

Murphy streut sein juristisches Fachwissen ein - und das ganz ohne jemals eine Studium in diese Richtung gemacht zu haben. Ein naturbegabter Jurist, unser IT-Guru.

Was war passiert: Ein Unternehmen, das die Kleinigkeit von 45.000 Gesundheitsdaten pro Tag in Form von Labortests verarbeitete, hatte den Geschäftsführer zum Datenschutzbeauftragten gekürt. Oder vielleicht sogar bestellt, dies jedoch nicht der Behörde gemeldet.

Man war sich im Unternehmen länger nicht bewusst, dass eine entscheidungsbefugte Person nicht die kontrollierende Person gleichzeitig sein darf.

Das hätte man schön nachlesen können, dazu gibt es genug veröffentlichte Literatur. Und gerade für einen mit vielen einschlägigen Studienabschlüssen hochdekorierten Juristen wäre es doch ein Einfaches gewesen, sich einschlägig zu informieren. War nicht geschehen, kostet am Ende 5.000. Euro. Plus 500 Euro Verfahrenskosten. Aber natürlich sind auch wir Juristen keinesfalls vor Falschauslegungen von Gesetzen gefeit. Was dann echt teuer werden kann ;-).

Um diesen Betrag hätte man die Funktion nämlich auch auslagern können, sogar für einen längeren Zeitraum. An MeineBerater natürlich, die das - Achtung, es handelt sich keinesfalls um Werbung - besonders gerne und gut machen ;-).

Hören Sie rein und checken Sie nach dieser Folge:

Wer ist bei Ihnen Datenschutzbeauftragte/r. Hat die Person zeitliche und finanzielle Ressourcen zur Verfügung? Und ist keinesfalls in der Geschäftsleitung angesiedelt? Oder als Head of IT, Marketing oder Personal erfolgreich unterwegs?

Wenn dem so ist, was die Ressourcen betrifft und nicht, was die Position betrifft - alles richtig gemacht. Hat die Person jedoch das 27. Funktions-Kapperl im Unternehmen auf, weil sie sich nicht schnell genug vor der Bestellung retten konnte? Dann wahrscheinlich nicht alles richtig gemacht ;-).

Wir wünschen gute Unterhaltung und gutes Aufschlauen - wenn es heißt: Mein Datenschutztheater, der Podcast von MeineBerater ;-)

Präsentiert von MeineBerater

Produziert von DAS POD (https://daspod.at/).