Dürfen meine Daten weitergegeben werden?

Einen speziellen Fall der Datenübermittlung stellt das Weitergeben von personenbezogenen Daten an einen sogenannten Auftragsverarbeiter dar. Dieser wird als „verlängerter Arm“ des Verantwortlichen tätig. Ein Auftragsverarbeiter darf die personenbezogenen Daten nur im Rahmen des Auftrags des Verantwortlichen verarbeiten. Wie ein Auftragsverarbeiter diese Daten verarbeiten darf, ist in einer Vereinbarung mit dem Verantwortlichen festgelegt. Verarbeitet ein Auftragsverarbeiter die Daten für eigene Zwecke, wird dieser selbst zum Verantwortlichen. Personenbezogene Daten an einen Auftragsverarbeiter weiterzugeben, ist grundsätzlich zulässig. Dafür braucht es keine gesonderte Einwilligung. Die betroffene Person muss allerdings über den Einsatz von Auftragsverarbeitern informiert werden.

Werden personenbezogene Daten an Empfänger:innen übermittelt, die ihren Sitz in einem anderen Mitgliedstaat des Europäischen Wirtschaftsraums (EWR) haben, gelten dieselben Voraussetzungen wie bei einer Datenübermittlung innerhalb Österreichs. Die Datenübermittlung in einen Drittstaat, also Empfänger:innen mit Sitz außerhalb der EWR, darf hingegen nur in ganz bestimmten Fällen vorgenommen werden:

• Im Drittland besteht ein angemessenes Datenschutzniveau. Laut der Europäischen Kommission trifft dies derzeit auf folgende Staaten zu: Andorra, Argentinien, Färöer-Inseln, Guernsey, Insel Man, Israel, Jersey, Kanada, Neuseeland, Schweiz, Uruguay.
• Die oder der Verantwortliche hat geeignete Garantien vorgesehen. Zum Beispiel: verbindliche interne Datenschutzvorschriften, die von der zuständigen Aufsichtsbehörde genehmigt wurden; Standarddatenschutzklauseln, die von der Kommission genehmigt wurden. Ihnen als betroffene Person müssen gleichzeitig durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen.
• Bestimmte Ausnahmefälle, wie zum Beispiel: Die betroffene Person hat in die Datenübermittlung ausdrücklich eingewilligt, nachdem sie über die Risiken einer solchen Datenübermittlung unterrichtet wurde. Die Datenübermittlung ist für die Erfüllung eines Vertrages zwischen der betroffenen Person und dem Verantwortlichen erforderlich.

Abgesehen davon darf eine Übermittlung an ein Drittland nur dann erfolgen, wenn

• die Übermittlung nicht wiederholt erfolgt,
• die Übermittlung nur eine begrenzte Zahl von betroffenen Personen betrifft,
• die Übermittlung für die Wahrung der berechtigten Interessen der Verantwortlichen erforderlich ist und die Interessen oder Rechte der betroffenen Person nicht überwiegen,
• der Verantwortliche geeignete Garantien in Bezug auf den Schutz personenbezogener Daten vorgesehen hat. Der Verantwortliche muss die Aufsichtsbehörde und die betroffene Person von solchen Übermittlungen informieren.