100
}
Bei Gefahr im Verzug kann die Datenschutzkommission darüber hinaus die
Weiterführung der entsprechenden Datenanwendung durch Bescheid
untersagen. Bei Nichteinhaltung dieses Bescheides ist Strafanzeige zu
erstatten.
3.5.1.3
Besondere Genehmigungspflichten
Anders als das deutsche und das schweizerische Datenschutzrecht kennt das
AT-DSG eine Genehmigungspflicht, die zudem beim Cloud-Computing häufig
zum Tragen kommen dürfte: Die grenzüberschreitende Datenauslagerung
(
Datenüberlassung an den Cloud-Anbieter) spielt gerade beim Cloud-
Computing eine große Rolle, da die Daten oftmals physisch über Grenzen
und Ressourcen verteilt sind. Werden Daten auf diese Weise ins EU-
Drittland transferiert, ist dieser Vorgang genehmigungspflichtig, es sei denn,
das Zielland weist einen gleichwertigen Schutzstandard auf wie Österreich.
Die Genehmigung ist bei der Datenschutzkommission zu beantragen. Die
Genehmigungspflicht hat zur Folge, dass die grenzüberschreitende
Datenauslagerung erst dann vorgenommen werden darf, wenn die Behörde
dies durch entsprechenden Bescheid gestattet. Das Verfahren kann
allerdings bis zu sechs Monate, in der Praxis oftmals länger, dauern.
Entscheidet sich zum Beispiel ein Unternehmer dazu, seinen Mitarbeitern
eine interne Kommunikationsplattform zur Verfügung zu stellen und
bezieht er diesen Service über einen Cloud-Anbieter, so ist bereits die
Kommunikationsplattform als Datenanwendung entsprechend bei der
Datenschutzbehörde zu melden (siehe dazu Abschnitt 3.5.1.1). Werden die
Daten sodann dem Cloud-Anbieter auftragsgemäß überlassen (z. B. durch
Datenspeicherung) und hat dieser keinen Sitz im Inland bzw. EWR-Raum, so
unterliegt die Datenüberlassung zusätzlich der Genehmigungspflicht der
Datenschutzkommission.
Das Gesetz sieht jedoch weitere Ausnahmen von der Genehmigungspflicht
vor, dazu zählen insbesondere, wenn
die Datenüberlassung an Anbieter mit Sitz in einem Drittland, wo das
Datenschutzniveau von der Europäischen Kommission als
angemessen bescheinigt wurde (wie z. B. Argentinien, Schweiz,
Kanada), erfolgt, oder
die Datenüberlassung an ein US-amerikanisches Unternehmen, das
sich den Regeln der so genannten Safe-Harbour-Grundsätze
unterworfen hat, erfolgt oder
