Die EU-Datenschutzgrundverordnung (DSGVO) sieht eine weitreichende Selbstverantwortung von Verantwortlichen und Auftragsverarbeitern vor.
Code of Conduct
Mit der Schaffung von sog. Verhaltensregeln („Codes of conduct“) für Verbände und Vereinigungen gemäß Art. 40 DSGVO besteht eine Methode zur Selbstregulierung, um Rechtsunsicherheiten im Zusammenhang mit der DSGVO und bei der Verarbeitung personenbezogener Daten innerhalb einer spezifischen Branche zu beseitigen. Die Datenschutzgrundverordnung sieht hierzu vor, dass die Ausarbeitung von Verhaltensregeln für Branchen (sog. Code of Conduct) grundsätzlich gefördert werden soll, die nach Maßgabe der Besonderheiten der einzelnen Verarbeitungsbereiche und der besonderen Bedürfnisse gerade von Kleinstunternehmen sowie kleinen und mittleren Unternehmen zur ordnungsgemäßen Anwendung der DSGVO beitragen sollen.
Branchenspezifische Verhaltensregeln für Verbände
Verbände und andere Vereinigungen, die bestimmte Gruppen von Verantwortlichen oder Auftragsverarbeitern vertreten, können eigene Verhaltensregeln ausarbeiten oder ändern oder erweitern, mit denen die Anwendung der DSGVO beispielsweise in den folgenden Bereichen präzisiert wird:
a) faire und transparente Verarbeitung;
b) die berechtigten Interessen des Verantwortlichen in bestimmten Zusammenhängen;
c) Erhebung personenbezogener Daten;
d) Pseudonymisierung personenbezogener Daten;
e) Unterrichtung der Öffentlichkeit und der betroffenen Personen;
f) Ausübung der Rechte betroffener Personen;
g) Unterrichtung und Schutz von Kindern und Art und Weise, in der die Einwilligung des Trägers der elterlichen Verantwortung für das Kind einzuholen ist;
h) die Maßnahmen und Verfahren gemäß den Artikeln 24 und 25 und die Maßnahmen für die Sicherheit der Verarbeitung gemäß Artikel 32;
i) die Meldung von Verletzungen des Schutzes personenbezogener Daten an Aufsichtsbehörden und die Benachrichtigung der betroffenen Person von solchen Verletzungen des Schutzes personenbezogener Daten;
j) die Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen oder
k) außergerichtliche Verfahren und sonstige Streitbeilegungsverfahren zur Beilegung von Streitigkeiten zwischen Verantwortlichen und betroffenen Personen im Zusammenhang mit der Verarbeitung, unbeschadet der Rechte betroffener Personen gemäß den Artikeln 77 und 79.
Rolle der Überwachungsstelle
Die Überwachung der Einhaltung von Verhaltensregeln gemäß Artikel 40 DSGVO von einer Stelle durchgeführt werden, die über das geeignete Fachwissen hinsichtlich des Gegenstands der Verhaltensregeln verfügt und die von der zuständigen Aufsichtsbehörde zu diesem Zweck akkreditiert wurde.
Eine entsprechende Überwachungsstelle kann zum Zwecke der Überwachung der Einhaltung von Verhaltensregeln akkreditiert werden, wenn sie
a) ihre Unabhängigkeit und ihr Fachwissen hinsichtlich des Gegenstands der Verhaltensregeln zur Zufriedenheit der zuständigen Aufsichtsbehörde nachgewiesen hat;
b) Verfahren festgelegt hat, die es ihr ermöglichen, zu bewerten, ob Verantwortliche und Auftragsverarbeiter die Verhaltensregeln anwenden können, die Einhaltung der Verhaltensregeln durch die Verantwortlichen und Auftragsverarbeiter zu überwachen und die Anwendung der Verhaltensregeln regelmäßig zu überprüfen;
c) Verfahren und Strukturen festgelegt hat, mit denen sie Beschwerden über Verletzungen der Verhaltensregeln oder über die Art und Weise, in der die Verhaltensregeln von dem Verantwortlichen oder dem Auftragsverarbeiter angewendet werden oder wurden, nachgeht und diese Verfahren und Strukturen für betroffene Personen und die Öffentlichkeit transparent macht, und
d) zur Zufriedenheit der zuständigen Aufsichtsbehörde nachgewiesen hat, dass ihre Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen.
Verbände und andere Vereinigungen, die in bestimmten Branchen Verantwortlichen oder Auftragsverarbeitern vertreten, haben somit die Möglichkeit, gemäß Art. 40 DSGVO eigene Verhaltensregeln ("Codes of Conduct - CoC") auszuarbeiten und für diese einen eigenen Antrag auf Genehmigung dieser Verhaltensregeln bei der Datenschutzbehörde zu stellen. Die Datenschutzbehörde prüft diese CoC, gibt zu den beantragten Verhaltensregeln eine Stellungnahme ab oder genehmigt diese mit Bescheid.
"Codes of Conduct" stellen somit für bestimmte Branchen Leitlinien für den Umgang mit Datenschutz in der Praxis dar. Diese können dazu dienen, datenschutzrechtliche Verhaltensweisen von Verantwortlichen oder Auftragsverarbeitern innerhalb einer bestimmten Branche anzugleichen und zu standardisieren.
Akkreditierte Überwachungsstelle gemäß Art 41 DSGVO
Am 1. Oktober 2020 wurde lawvision information systems GmbH als externe Überwachungsstelle für die Verhaltensregeln "Code of Conduct zum Datenschutz der Berufsvereinigung der ArbeitgeberInnen privater Bildungseinrichtungen" ("BABE-CoC") gemäß Art 41 Datenschutzgrundverordnung in Österreich nach den Vorgaben der Verordnung der Datenschutzbehörde über die Anforderungen an eine Stelle für die Überwachung der Einhaltung von Verhaltensregeln (Überwachungsstellenakkreditierungs-Verordnung – ÜStAkk-V) akkreditiert.
Richtlinien iSd § 6 ÜStAkk-V (Überwachungsstellen-Akkreditierungsverordnung)
Weitere Leistungen
Darüberhinaus bietet lawvision eine Reihe von Beratungsleistungen rund um das Thema Datenschutz, Datensicherheit und IT an. Weitere Informationen zum Datenschutz-Consulting & zu Datenschutz-Management-Systemen
Für weitere Fragen zum Angebot und zur Tätigkeit der Überwachungsstelle kontaktieren Sie uns unter +43 1 997 1190 oder schreiben Sie uns: Kontaktdaten
