Datenschutzgrundverordnung DSGVO

Erstellt von OBR d. LFV Michael Jost am 07.03.2018

Die EU-Verordnung Nr. 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist mit 25. Mai 2016 in Kraft getreten und ist nach einer 24-monatigen Frist mit 25. Mai 2018 anzuwenden. Sie vereinheitlicht die Regelungen für die Verarbeitung von personenbezogenen Daten durch private Unternehmen und öffentliche Stellen EU-weit. Die Datenschutz-Grundverordnung gilt ohne Umsetzungsakt unmittelbar in allen EU-Mitgliedstaaten. Die wesentlichen Kriterien der DSVGO sind:

• Stärkung der Betroffenenrechte (mehr Transparenz; Verankerung des Rechts auf Vergessen werden; Einwilligung gilt nur falls freiwillig, aktiv und eindeutig)
• Neuer Fokus auf die Datensicherheit (verpflichtende angemessene Sicherheitsvorkehrungen; Datenmissbräuche und Sicherheitsverletzungen müssen den Aufsichtsbehörden gemeldet werden)
• Bestellung von Datenschutzbeauftragten im öffentlichen Bereich
• Erhöhter Strafrahmen: Strafen bis zu 20 Millionen Euro beziehungsweise 4 Prozent des Konzernumsatzes sind möglich

Seitens des Österreichischen Bundesfeuerwehrverbandes wurde eine Expertise ausgearbeitet, in welchen Bereichen die Landesfeuerwehrverbände von der DSVGO direkt betroffen sind und welche Anpassungen im Bereich der Datenverarbeitung durchgeführt werden müssen.

Expertise des ÖBFV

1. Bedeutung für das Feuerwehrwesen:

Die datenschutzrechtliche Verantwortlichkeit für die Kernaufgabe „Mitgliederverwaltung“ liegt im Wesentlichen bei den Feuerwehren und nur zu einem kleineren Teil beim LFV (z.B. Lehrgangsverwaltung, Eintragung absolvierter Lehrgänge in die Stammblätter, bestimmte Datenverarbeitungen bei höheren Feuerwehrführern und Bediensteten des LFV).

Der LFV stellt den Feuerwehren entsprechende EDV-Programme zentral zur Verfügung und ist Auftragsverarbeiter, der personenbezogene Daten im Auftrag der Feuerwehren verarbeitet.

Der Zugang zu personenbezogenen Daten ist auf ein unbedingt notwendiges Maß zu beschränken. Das bedeutet insbesondere:

• Es dürfen nur jene Daten ermittelt werden, die tatsächlich für den Feuerwehrdienst notwendig sind und für die eine ausreichende gesetzliche Grundlage besteht.
  Z.B.:Nicht relevant sind z.B.: Religionsbekenntnis, Familienstand, Datum der Eheschließung.
  Identitätsdaten eines Unfallopfers (Name, Geburtsdatum, Wohnadresse) dürfen ermittelt werden, weitere Daten nur bei konkreter Notwendigkeit.
• Jede Feuerwehr darf grundsätzlich nur Zugriff auf ihre eigenen Daten haben (auch der Administrator der Feuerwehr). Darüber hinaus darf sie Zugriff auf Daten anderer Feuerwehren und des LFV nur insoweit haben, als sie diese zur Wahrnehmung ihrer Aufgaben benötigt. Der allgemeine Zugriff auf Mitgliederdaten der eigenen Feuerwehr oder anderer Feuerwehren (wie z.B. Geburtsdatum, Telefon-Nummern und E-Mail-Adressen) ist datenschutzrechtlich nicht zulässig.
• Innerhalb der Feuerwehr sind Rollen für die Festlegung von Zugangsberechtigungen zu definieren: insb. für FwKdt, Verwalter, Kassier, Jugendbeauftragten, Gerätewart. Vorgesetzte dürfen (nur) insoweit Zugriff auf Daten der ihnen unterstellten Feuerwehrmitglieder bzw. Feuerwehren haben, als sie diese Daten zur Ausübung ihrer Funktion brauchen (z.B. AFwKdt nur auf notwendige Daten seines Abschnitts, BFwKdt auf notwendige Daten seines Bezirks).

• Datenzugriffe sind zu protokollieren.

• Die rechtlichen Anforderungen an die Datenverarbeitung sind vom IT-System (insb. FDisk) unabhängig.

• Die Kommunikation zwischen den datenschutzrechtlichen Verantwortlichen (ÖBFV, LFV und Feuerwehren) und der Datenschutzbehörde hat im Wege der Datenschutzbeauftragten zu erfolgen.

2. Konkreter Handlungsbedarf:

• Die in den Verbänden eingeführten IT-Systeme (insb. FDisk) sind auf Vereinbarkeit mit dem Datenschutzrecht, insb. der DSGVO, zu überprüfen und ggf. anzupassen. Sie dürfen nur unter Beachtung der datenschutzrechtlichen Regelungen betrieben und weiterentwickelt werden. Dies wird dzt. durchgeführt.

• Die Entwicklung neuer Anwendungen hat in Zukunft erst nach positiver datenschutzrechtlicher Prüfung (verbandsintern und ggf. im Einvernehmen mit der Datenschutzbehörde) stattzufinden.

• Bestellung von Datenschutzbeauftragten (DSB) auf Landes- und Bereichsebene (eventuell BFV-EDV-Beauftragter)

• Verzeichnisse aller verwendeten Programme und deren Notwendigkeit sind vom Datenschutzbeauftragten in einem Verfahrensverzeichnis zu erfassen

• Datenschnittstellen ohne Freigabe (Alarminfo-Apps) sind in Zukunft nicht mehr erlaubt