![datenschutz-rechtsakte.jpg](/static_processed/604412951d0c3a4cbf0e516cbf8f2a56/datenschutz-rechtsakte.jpg?{"image":"https://api.imh.at/fileadmin/images/blog/datenschutz-rechtsakte.jpg","outputFormat":{"format":"webp"},"edits":{"resize":{"width":640,"fit":"cover","height":1280}}})
Datenschutzrelevante Rechtsakte und Entwicklungen im Detail
Bleiben Sie regulatorisch einen Schritt voraus
Die Zahl datenschutzrelevanter Rechtsakte wird in den kommenden Jahren weiter zunehmen. Gleichzeitig steigen die Erwartungen der Aufsichtsbehörden an Governance, Dokumentation und nachweisbare Compliance.
Hier finden Sie eine Übersicht der wichtigsten datenschutzrelevanten Gesetze. Entdecken Sie bei imh auch topaktuelle Veranstaltungen rund um Datenschutz, KI, Compliance und Data Governance.
Inhalt
- Datenschutz-Grundverordnung (DSGVO)
- AI Act
- Data Act
- Data Governance Act
- NIS2
- Digital Operational Resilience Act (DORA)
- Cyber Resilience Act (CRA)
- Cloud & AI Development Act (Europäische Initiative)
- Forschungsorganisationsgesetz (FOG)
- European Health Data Space (EHDS)
- Informationsfreiheitsgesetz (IFG)
- Hinweisgeber:innenschutzgesetz (HSchG)
- Digital Services Act (DSA)
Datenschutz-Grundverordnung (DSGVO)
Die DSGVO bleibt das zentrale Datenschutzgesetz in Österreich und der Europäischen Union.
Aktuelle Entwicklungen betreffen insbesondere:
- Internationale Datentransfers nach dem Schrems-II-Urteil
- Einsatz von Cloud-Diensten
- Cookie-Compliance
- Videoüberwachung
- Beschäftigtendatenschutz
- Datenschutz-Folgenabschätzungen (DSFA)
- Löschkonzepte
- Betroffenenrechte
- Auskunftsbegehren
- Datenschutzverletzungen
- Dokumentationspflichten nach Art. 5 Abs. 2 DSGVO (Accountability)
Ebenso gewinnen Entscheidungen des Europäischen Datenschutzausschusses (EDSA), des Europäischen Gerichtshofes sowie der österreichischen Datenschutzbehörde laufend an Bedeutung.
AI Act
Mit dem europäischen AI Act entsteht erstmals ein umfassender Rechtsrahmen für den Einsatz Künstlicher Intelligenz.
Unternehmen müssen künftig unter anderem bewerten,
- welche KI-Systeme eingesetzt werden,
- ob Hochrisiko-Anwendungen vorliegen,
- welche Dokumentationspflichten bestehen,
- welche Transparenzpflichten einzuhalten sind,
- wie menschliche Aufsicht sichergestellt wird,
- wie Datenschutz und KI-Governance zusammenwirken.
Gerade Datenschutzbeauftragte und Compliance-Abteilungen übernehmen dabei zunehmend koordinierende Rollen.
Data Act
Der Data Act verändert die Nutzung industrieller und vernetzter Daten grundlegend.
Unternehmen müssen künftig Regelungen schaffen für
- Datenteilung zwischen Unternehmen
- Datenzugang für Nutzer
- Cloud-Wechsel
- Vertragsgestaltung
- Schutz von Geschäftsgeheimnissen
- Datenportabilität
Die Schnittstellen zwischen Datenschutzrecht und Datenwirtschaft gewinnen dadurch erheblich an Bedeutung.
Data Governance Act
Der Data Governance Act schafft neue Rahmenbedingungen für vertrauenswürdige Datennutzung innerhalb Europas.
Im Fokus stehen:
- Datenintermediäre
- Datenaltruismus
- sichere Datenteilung
- öffentliche Datenbestände
- europäische Datenräume
Für Datenschutzverantwortliche ergeben sich daraus neue Governance-Anforderungen.
NIS2
Mit der Umsetzung der NIS2-Richtlinie werden deutlich mehr Unternehmen von umfangreichen Cybersecurity-Anforderungen betroffen sein.
Datenschutz und Informationssicherheit wachsen dadurch stärker zusammen.
Schwerpunkte sind:
- Governance-Verantwortung
- Risikomanagement
- Incident Response
- Lieferkettenrisiken
- Meldepflichten
- Business Continuity
- Management-Haftung
Digital Operational Resilience Act (DORA)
Tiefergreifender als die NIS müssen Finanzunternehmen zusätzlich die Anforderungen des Digital Operational Resilience Act erfüllen.
Für Datenschutz und Compliance ergeben sich insbesondere Berührungspunkte bei
- IKT-Risikomanagement
- Cloud-Governance
- Auslagerungen
- Incident Reporting
- Drittparteienmanagement
- Resilienztests
Cyber Resilience Act (CRA)
Der Cyber Resilience Act schafft erstmals ein europaweit einheitliches Cybersicherheitsniveau für Produkte mit digitalen Elementen. Hersteller, Importeure und Händler werden verpflichtet, Sicherheitsanforderungen über den gesamten Produktlebenszyklus hinweg einzuhalten.
Für Unternehmen ergeben sich insbesondere neue Anforderungen an
- Secure-by-Design und Secure-by-Default
- Schwachstellenmanagement und Patch-Management
- Security Risk Assessments
- Dokumentations- und Konformitätsnachweise
- Meldepflichten bei aktiv ausgenutzten Sicherheitslücken
- Zusammenarbeit zwischen Produktentwicklung, IT-Sicherheit und Datenschutz
Der CRA ergänzt die DSGVO um produktsicherheitsrechtliche Anforderungen und gewinnt insbesondere für Softwarehersteller, IoT-Anbieter und Unternehmen mit digitalen Produkten erheblich an Bedeutung.
Cloud & AI Development Act (Europäische Initiative)
Mit der europäischen Cloud & AI Development Initiative verfolgt die Europäische Kommission das Ziel, leistungsfähige Cloud- und KI-Infrastrukturen innerhalb Europas aufzubauen und die digitale Souveränität der EU zu stärken.
Auch wenn sich die Initiative derzeit noch in der regulatorischen Entwicklung befindet, zeichnet sich bereits ab, dass Unternehmen künftig verstärkt Anforderungen berücksichtigen müssen hinsichtlich
- vertrauenswürdiger europäischer Cloud-Infrastrukturen
- Datenverfügbarkeit und Datenzugang
- interoperabler Cloud-Dienste
- Hochleistungsrechenzentren für KI-Anwendungen
- souveräner Datenräume
- Governance für KI- und Cloud-Ökosysteme
Datenschutz-, Compliance- und IT-Verantwortliche sollten diese Entwicklungen frühzeitig beobachten, da sie die zukünftige Daten- und Cloud-Strategie vieler Unternehmen maßgeblich beeinflussen werden.
Forschungsorganisationsgesetz (FOG)
Das österreichische Forschungsorganisationsgesetz (FOG) schafft den rechtlichen Rahmen für die Verarbeitung personenbezogener Daten zu wissenschaftlichen Forschungszwecken. Es ergänzt die DSGVO um nationale Regelungen und ermöglicht unter bestimmten Voraussetzungen die Verarbeitung sensibler Daten – insbesondere Gesundheitsdaten – für Forschung und Innovation.
Forschungseinrichtungen, Universitäten, Krankenanstalten sowie Unternehmen mit Forschungsaktivitäten müssen dabei Datenschutz, wissenschaftliche Freiheit und ethische Anforderungen in Einklang bringen.
European Health Data Space (EHDS)
Mit dem European Health Data Space (EHDS) schafft die Europäische Union einen einheitlichen europäischen Gesundheitsdatenraum. Ziel ist es, Gesundheitsdaten sowohl für die medizinische Versorgung (Primary Use) als auch für Forschung, Innovation, Gesundheitspolitik und Regulierung (Secondary Use) sicher und datenschutzkonform nutzbar zu machen.
Der EHDS bringt umfassende neue Anforderungen für Gesundheitseinrichtungen, Krankenanstalten, Forschungseinrichtungen, Pharmaunternehmen, Medizintechnikunternehmen und öffentliche Stellen mit sich.
Zu den zentralen Themen zählen
- Zugang zu elektronischen Gesundheitsdaten
- Sekundärnutzung von Gesundheitsdaten für Forschung und Innovation
- Data Governance im Gesundheitswesen
- Datensicherheit und Interoperabilität
- Datenschutz bei grenzüberschreitendem Datenaustausch
- Rollen und Verantwortlichkeiten der Dateninhaber
- Zusammenspiel von EHDS, DSGVO und Forschungsorganisationsgesetz
- Anforderungen an Gesundheitsdatenzugangsstellen (Health Data Access Bodies)
Der EHDS zählt zu den bedeutendsten europäischen Datenregulierungen der kommenden Jahre und wird die Verarbeitung von Gesundheitsdaten in Forschung, Versorgung und Industrie nachhaltig verändern.
Informationsfreiheitsgesetz (IFG)
Mit dem österreichischen Informationsfreiheitsgesetz entsteht ein Paradigmenwechsel im Umgang mit Informationen öffentlicher Stellen.
Datenschutz, Amtsverschwiegenheit und Informationsfreiheit müssen künftig sorgfältig gegeneinander abgewogen werden.
Gerade öffentliche Unternehmen und staatsnahe Organisationen stehen dadurch vor neuen datenschutzrechtlichen Fragestellungen.
Hinweisgeber:innenschutzgesetz (HSchG)
Mit dem österreichischen Hinweisgeber:innenschutzgesetz (HSchG) wurde die EU-Whistleblower-Richtlinie in nationales Recht umgesetzt. Unternehmen ab einer bestimmten Größe sowie zahlreiche öffentliche Stellen sind verpflichtet, sichere interne Meldesysteme einzurichten und Hinweisgeber:innen wirksam vor Benachteiligungen zu schützen.
Die Einführung und der Betrieb von Hinweisgebersystemen erfordern eine enge Abstimmung zwischen Datenschutz, Compliance, Legal und IT. Dabei sind insbesondere die Vorgaben der DSGVO hinsichtlich Vertraulichkeit, Datenminimierung, Speicherfristen und Betroffenenrechten zu berücksichtigen.
Das Hinweisgeber:innenschutzgesetz entwickelt sich zunehmend zu einem zentralen Bestandteil moderner Compliance-Management-Systeme und erfordert klare Governance-Strukturen sowie datenschutzkonforme Prozesse.
Digital Services Act (DSA)
Mit dem Digital Services Act (DSA) schafft die Europäische Union ein einheitliches Regelwerk für digitale Dienste und Online-Plattformen. Er ist ein zentraler Bestandteil der europäischen Digitalstrategie. Ziel ist es, ein sicheres, transparentes und verantwortungsvolles digitales Umfeld zu schaffen und die Rechte von Nutzer:innen im Internet zu stärken.
Im Fokus stehen insbesondere
- Transparenzpflichten für Online-Plattformen und Vermittlungsdienste
- Melde- und Abhilfeverfahren für rechtswidrige Inhalte
- Schutz der Grundrechte und der Privatsphäre von Nutzer:innen
- Anforderungen an Online-Werbung und Profiling
- Transparenz von Empfehlungs- und Ranking-Systemen
- Risikomanagement für sehr große Online-Plattformen (VLOPs) und Suchmaschinen
- Zusammenarbeit mit nationalen Aufsichtsbehörden und dem Digital Services Coordinator
- Schnittstellen zwischen DSA, DSGVO, AI Act und Data Act
Unternehmen müssen ihre internen Governance-, Compliance- und Datenschutzprozesse an die neuen Transparenz- und Sorgfaltspflichten anpassen, um regulatorische Risiken zu minimieren und den rechtskonformen Betrieb digitaler Dienste sicherzustellen.