Datenschutzbehörde räumt acht Wochen Umsetzungsfrist ein.
Wien. Die Datenschutzbehörde hat im amtswegigen Prüfverfahren gegen ein Unternehmen, eine Allergie-Tagesklinik, 14 Pflichtverletzungen festgestellt. Die Datenschutz-Grundverordnung wurde in folgenden Punkten verletzt (DSB-D213.692/0001-DSB/2018):
Einwilligung. Das Unternehmen hat Betroffene mit seiner Einwilligungserklärung zu einer gesetzwidrigen Einwilligung verpflichtet. Denn a) erfasst die Erklärung Tatbestände, die keiner Einwilligung unterliegen, jedoch den Anschein erwecken, dass hierfür eine Einwilligung zu erteilen ist, und b) war ihr nicht mit hinreichender Klarheit zu entnehmen, für welche Datenverarbeitungen die Einwilligung die Rechtsgrundlage ist.
Informationspflichten. Das Unternehmen hat gegen die Informationspflichten verstoßen, da es im „Informationsblatt zum Datenschutz“ bzw. online a) nicht deutlich unterschieden hat, ob die Informationen nach Art 13 oder nach Art 14 DSGVO erteilt werden, b) den Namen und die Kontaktdaten eines nicht bestellten Datenschutzbeauftragten angegeben hat, c) die Rechtsgrundlagen für die Verarbeitung unvollständig angeführt hat, d) nicht angeführt hat, worin die berechtigten Interessen, die von der Verantwortlichen verfolgt werden, bestehen, e) nicht angeführt hat, dass die Einwilligung jederzeit widerrufen werden kann, ohne dass dadurch die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird.