Privacy Act

Einwilligung nach dem australischen Privacy Act

Nicht jede Erhebung, Nutzung oder Offenlegung personenbezogener Informationen erfordert eine Einwilligung.

Die Anforderungen hängen von der Art der Informationen und der Verarbeitungstätigkeit ab.

So benötigen Organisationen in der Regel eine ausdrückliche Einwilligung, bevor sie mit sensiblen Informationen umgehen. Bei nicht sensiblen personenbezogenen Informationen ist eine ausdrückliche Einwilligung nicht immer erforderlich, allerdings muss die Organisation eine vernünftige Grundlage für jede stillschweigende Einwilligung haben, auf die sie sich stützt.

Eine Einwilligung sollte:

• Freiwillig sein
• Aktuell sein
• Konkret sein
• Informiert sein
• Verständlich sein
• Gegebenenfalls widerrufbar sein

Organisationen sollten unklare oder gebündelte Einwilligungsanfragen vermeiden, die es Personen unmöglich machen zu verstehen, welchen Verarbeitungstätigkeiten sie zustimmen.

Sensible Informationen

Der Privacy Act gewährt sensiblen Informationen zusätzlichen Schutz.

Zu den sensiblen Informationen gehören Kategorien wie:

• Rassische oder ethnische Herkunft
• Politische Meinungen
• Politische Zugehörigkeiten
• Religiöse Überzeugungen oder Zugehörigkeiten
• Weltanschauliche Überzeugungen
• Gewerkschaftszugehörigkeit
• Sexuelle Orientierung
• Vorstrafen
• Gesundheitsinformationen
• Genetische Informationen
• Biometrische Informationen, die zur automatisierten biometrischen Verifizierung oder Identifizierung verwendet werden
• Biometrische Templates

Organisationen benötigen zur Erhebung sensibler Informationen in der Regel die Einwilligung der betroffenen Person, sofern keine anwendbare Ausnahme greift.

Da sensible Informationen zusätzliche Datenschutzrisiken bergen, sollten Organisationen gesonderte Kontrollen für deren Erhebung, Nutzung, Offenlegung, Aufbewahrung und Sicherheit unterhalten.

Datenschutzhinweise und Erhebungshinweise

APP 5 verpflichtet Organisationen, bei der Erhebung personenbezogener Informationen angemessene Schritte zu unternehmen, um Personen über bestimmte Umstände zu benachrichtigen oder sicherzustellen, dass sie davon Kenntnis haben.

Zu den relevanten Informationen können gehören:

• Identität und Kontaktdaten der Organisation
• Die Tatsache und die Umstände der Erhebung
• Ob die Erhebung gesetzlich vorgeschrieben oder zulässig ist
• Zweck der Erhebung
• Folgen, wenn Informationen nicht bereitgestellt werden
• Beabsichtigte Offenlegungen
• Offenlegungen ins Ausland
• Relevante Informationen aus der Datenschutzrichtlinie
• Wie Personen Auskunft über ihre Informationen erhalten oder diese berichtigen können
• Wie Datenschutzbeschwerden eingereicht werden können

Datenschutzhinweise sollten klar, zugänglich und den Umständen angemessen sein.

Anforderungen an die Datenschutzrichtlinie

APP 1 verpflichtet erfasste Organisationen, eine klar formulierte und aktuelle Datenschutzrichtlinie zu unterhalten.

Die Richtlinie sollte erläutern, wie die Organisation personenbezogene Informationen verwaltet, und Informationen enthalten wie:

• Arten der erhobenen personenbezogenen Informationen
• Wie Informationen erhoben werden
• Zwecke der Erhebung, Nutzung und Offenlegung
• Offenlegungen ins Ausland
• Verfahren für Auskunft und Berichtigung
• Beschwerdeverfahren
• Informationen zur Datenschutz-Governance
• Sonstige nach den APPs erforderliche Angaben

Die Richtlinie sollte kostenlos in geeigneter Form verfügbar sein, in der Regel über die Website der Organisation.

Datenminimierung und Zweckbindung

Organisationen sollten personenbezogene Informationen nur erheben, soweit dies für ihre Aufgaben oder Tätigkeiten vernünftigerweise erforderlich ist.

Sie sollten prüfen:

• Welche Informationen erhoben werden
• Warum sie benötigt werden
• Ob sich derselbe Zweck mit weniger Informationen erreichen ließe
• Wie die Informationen genutzt werden
• Wer sie erhält
• Wie lange sie aufbewahrt werden

Organisationen sollten zudem vermeiden, Informationen für Zwecke zu nutzen oder offenzulegen, die mit dem ursprünglichen Erhebungszweck unvereinbar sind, es sei denn, die APPs erlauben die zusätzliche Nutzung oder Offenlegung.

Direktmarketing nach APP 7

APP 7 enthält besondere Beschränkungen für die Nutzung und Offenlegung personenbezogener Informationen zu Zwecken des Direktmarketings.

Grundsätzlich darf eine Organisation personenbezogene Informationen nicht für Direktmarketing nutzen oder offenlegen, sofern keine anwendbare Ausnahme greift.

Wo Direktmarketing zulässig ist, müssen Personen eine wirksame Möglichkeit zum Opt-out haben. Organisationen müssen gültige Opt-out-Anfragen innerhalb einer angemessenen Frist umsetzen. Nach den Leitlinien der OAIC sind dies in der Regel höchstens 30 Tage, wobei digitale Kommunikation eine schnellere Reaktion ermöglichen kann.

Organisationen sollten daher Folgendes unterhalten:

• Nachweise über Marketing-Einwilligungen oder -Erlaubnisse, soweit zutreffend
• Opt-out-Präferenzen
• Sperrlisten
• Synchronisierung von Präferenzen
• Kontrollen für Marketing durch Dritte
• Nachweise, dass Opt-out-Anfragen umgesetzt wurden

Cookies und Online-Tracking

Der australische Privacy Act schafft keine pauschale Pflicht zur Cookie-Einwilligung.

Stattdessen sollten Organisationen die von Cookies, Pixeln, SDKs, Werbetechnologien, Analysetools und anderen Trackern erhobenen Informationen anhand der APPs bewerten.

Zu den relevanten Überlegungen gehören:

• Ob die Technologie personenbezogene Informationen erhebt
• Ob die Informationen sensibel sind
• Der Zweck der Erhebung
• Ob die Informationen für Direktmarketing genutzt werden
• Ob sie gegenüber Dritten offengelegt werden
• Ob sie ins Ausland übermittelt werden
• Ob für die konkrete Verarbeitung eine Einwilligung erforderlich ist
• Ob Personen ordnungsgemäß benachrichtigt wurden

Eine Website sollte daher nicht automatisch davon ausgehen, dass jedes Analyse- oder Werbe-Cookie nach dem Privacy Act eine Opt-in-Einwilligung erfordert.

Offenlegung gegenüber Dritten

APP 6 regelt die Nutzung und Offenlegung personenbezogener Informationen.

Grundsätzlich sollten Organisationen personenbezogene Informationen nur für den primären Zweck nutzen oder offenlegen, zu dem sie erhoben wurden, sofern keine Ausnahme greift.

Werden Informationen für einen sekundären Zweck genutzt, können zusätzliche Anforderungen gelten.

Organisationen sollten Folgendes dokumentieren:

• Primärer Zweck
• Sekundäre Zwecke
• Empfänger bei Dritten
• Rechtsgrundlage oder Ausnahme
• Einwilligung, soweit erforderlich
• Vereinbarungen zur Datenweitergabe
• Empfänger im Ausland

Grenzüberschreitende Datenübermittlungen

APP 8 legt Regeln für die grenzüberschreitende Offenlegung personenbezogener Informationen fest.

Bevor eine APP-Stelle personenbezogene Informationen gegenüber einem Empfänger im Ausland offenlegt, muss sie in der Regel angemessene Schritte unternehmen, um sicherzustellen, dass der Empfänger in Bezug auf die Informationen nicht gegen die APPs verstößt.

Die australische Organisation kann für bestimmte Handlungen oder Praktiken des Empfängers im Ausland verantwortlich bleiben.

Organisationen sollten daher eine angemessene Sorgfaltsprüfung durchführen bei:

• Anbietern im Ausland
• Cloud-Anbietern
• Analyseplattformen
• Marketinganbietern
• Anbietern von Kundensupport
• Konzerngesellschaften
• Unterauftragsverarbeitern

Einwilligung in Offenlegungen ins Ausland

Nach APP 8 besteht eine Ausnahme, wenn eine Organisation die Person ausdrücklich über die Folgen einer Einwilligung in die Offenlegung ins Ausland informiert und die Person daraufhin einwilligt.

Die bereitgestellten Informationen sollten erläutern, dass die Organisation, wenn die Person einwilligt und der Empfänger im Ausland die Informationen anschließend unsachgemäß behandelt, nach dem Privacy Act möglicherweise nicht für diesen Umgang verantwortlich ist und die Person nach dem Gesetz möglicherweise nicht dieselben Rechtsbehelfe hat.

Eine zu diesem Zweck genutzte Einwilligung sollte:

• Freiwillig sein
• Aktuell sein
• Konkret sein
• Informiert sein
• Verständlich sein

Organisationen sollten keine unnötig weit gefasste Einwilligung für unbestimmte künftige Übermittlungen einholen.

Datensicherheit nach APP 11

APP 11 verpflichtet Organisationen, angemessene Schritte zu unternehmen, um personenbezogene Informationen zu schützen vor:

• Missbrauch
• Beeinträchtigung
• Verlust
• Unbefugtem Zugriff
• Unbefugter Änderung
• Unbefugter Offenlegung

Sicherheitsmaßnahmen sollten in einem angemessenen Verhältnis zu Faktoren stehen wie:

• Sensibilität der Informationen
• Menge der Informationen
• Möglicher Schaden
• Größe und Ressourcen der Organisation
• Technische Umgebung
• Verarbeitungstätigkeiten
• Zugriff durch Dritte

Die Leitlinien der OAIC nennen Maßnahmen wie Zugriffskontrollen, Prüfpfade, Datenschutz-Risikomanagement, Mitarbeiterschulungen und Verfahren zur Reaktion auf Datenschutzverletzungen als relevante Kontrollen der Datenschutz-Governance.

Meldung meldepflichtiger Datenschutzverletzungen

Australien betreibt ein System für meldepflichtige Datenschutzverletzungen, das Notifiable Data Breaches (NDB) scheme.

Hat eine Organisation begründeten Anlass, eine meldepflichtige Datenschutzverletzung zu vermuten, muss sie eine Bewertung vornehmen und, wenn es sich um eine meldepflichtige Datenschutzverletzung handelt, die betroffenen Personen und die OAIC wie vorgeschrieben benachrichtigen.

Eine meldepflichtige Datenschutzverletzung umfasst in der Regel unbefugten Zugriff auf personenbezogene Informationen, deren unbefugte Offenlegung oder deren Verlust, wenn die Umstände voraussichtlich zu einem schweren Schaden für die betroffenen Personen führen.

Organisationen sollten Folgendes unterhalten:

• Verfahren zur Erkennung von Datenschutzverletzungen
• Pläne zur Reaktion auf Vorfälle
• Prozesse zur Risikobewertung
• Verfahren zur Eindämmung
• Abläufe für Meldungen an die OAIC
• Vorlagen für Benachrichtigungen an Einzelpersonen
• Nachweise über Abhilfemaßnahmen
• Dokumentation von Vorfällen

Auskunft über personenbezogene Informationen

APP 12 gibt Personen vorbehaltlich anwendbarer Ausnahmen das Recht, Auskunft über die zu ihnen gespeicherten personenbezogenen Informationen zu verlangen.

Organisationen sollten einen klaren und zugänglichen Prozess vorsehen für:

1. 1Die Entgegennahme von Auskunftsanfragen
2. 2Die Überprüfung der Identität
3. 3Das Auffinden relevanter Informationen
4. 4Die Prüfung anwendbarer Ausnahmen
5. 5Die Gewährung der Auskunft
6. 6Die Dokumentation der Antwort

Datenschutzrichtlinien sollten erläutern, wie Personen Auskunft über ihre Informationen verlangen können.

Berichtigung personenbezogener Informationen

Nach APP 13 können Personen die Berichtigung personenbezogener Informationen verlangen, die unrichtig, veraltet, unvollständig, irrelevant oder irreführend sind.

Organisationen sollten Verfahren unterhalten für:

• Die Entgegennahme von Berichtigungsanfragen
• Die Überprüfung von Informationen
• Die Aktualisierung von Datensätzen
• Die Benachrichtigung relevanter Dritter, soweit erforderlich
• Die Dokumentation der Berichtigung

Anonymität und Pseudonymität

APP 2 gibt Personen die Möglichkeit, vorbehaltlich von Ausnahmen anonym oder unter einem Pseudonym mit einer Organisation zu interagieren, soweit dies praktikabel ist.

Organisationen sollten daher prüfen, ob die Identität für eine bestimmte Interaktion tatsächlich erforderlich ist, bevor sie identifizierende Informationen verlangen.

Aufbewahrung und Vernichtung von Daten

Organisationen sollten personenbezogene Informationen nicht unbegrenzt aufbewahren, wenn sie nicht mehr benötigt werden.

APP 11 enthält vorbehaltlich anwendbarer Ausnahmen und Aufbewahrungspflichten Pflichten zur Vernichtung oder Anonymisierung personenbezogener Informationen, die nicht mehr benötigt werden.

Organisationen sollten Folgendes unterhalten:

• Aufbewahrungspläne
• Löschverfahren
• Kontrollen für die sichere Vernichtung
• Verfahren zur Anonymisierung
• Gesetzliche Ausnahmen für die Aufbewahrung
• Nachweise über Entsorgungsvorgänge

Datenschutz-Folgenabschätzungen

Die OAIC empfiehlt Organisationen, eine Datenschutz-Folgenabschätzung (PIA) in Betracht zu ziehen, wenn sie Projekte einführen oder Praktiken ändern, die personenbezogene Informationen betreffen.

Eine PIA kann helfen, Datenschutzrisiken zu erkennen, bevor ein System, ein Produkt, eine Technologie oder ein Geschäftsprozess eingeführt wird.

Relevante Projekte können sein:

• Neue Kundendatenbanken
• KI-Systeme
• Werbetechnologien
• Groß angelegte Analysen
• Neue Cloud-Plattformen
• Biometrische Systeme
• Initiativen zur Datenweitergabe
• Internationale Datenübermittlungen

Die Leitlinien der OAIC nennen PIAs ausdrücklich als Praxis, die Organisationen im Rahmen ihrer Compliance-Systeme nach APP 1 in Betracht ziehen sollten.

Automatisierte Entscheidungen

Die Reformen des australischen Privacy Act führen neue Transparenzanforderungen für bestimmte automatisierte Entscheidungen ein.

Ab dem 10. Dezember 2026 haben APP-Stellen, die veranlassen, dass ein Computerprogramm personenbezogene Informationen verwendet, um Entscheidungen zu treffen oder wesentlich zu diesen beizutragen, die die Rechte oder Interessen einer Person vernünftigerweise erheblich beeinträchtigen können, zusätzliche Pflichten in Bezug auf ihre Datenschutzrichtlinie.

Datenschutzrichtlinien müssen bestimmte Informationen enthalten über:

• Arten personenbezogener Informationen, die von dem Computerprogramm verwendet werden
• Arten von Entscheidungen, die ausschließlich durch Computerprogramme getroffen werden
• Arten von Entscheidungen, zu denen Computerprogramme wesentlich und unmittelbar beitragen

Organisationen, die KI oder automatisierte Entscheidungssysteme einsetzen, sollten ihre Datenschutzrichtlinien daher vor dem Inkrafttreten im Dezember 2026 überprüfen.

Gesetzlicher Deliktstatbestand für schwerwiegende Eingriffe in die Privatsphäre

Ein gesetzlicher Deliktstatbestand für schwerwiegende Eingriffe in die Privatsphäre ist am 10. Juni 2025 in Kraft getreten.

Der neue Klagegrund kann Personen einen gesonderten Weg eröffnen, um bei bestimmten schwerwiegenden Eingriffen in die Privatsphäre Rechtsschutz zu suchen, darunter:

• Eindringen in die Abgeschiedenheit einer Person
• Missbrauch von Informationen über eine Person

Für den Deliktstatbestand gelten Voraussetzungen, Einwendungen, Ausnahmen und Erwägungen des öffentlichen Interesses, die von der gewöhnlichen Einhaltung der APPs getrennt sind. Gerichte können Rechtsbehelfe wie Schadensersatz, Unterlassungsanordnungen oder die Anordnung einer Entschuldigung gewähren.

Organisationen sollten Datenschutzrisiken daher umfassender betrachten, als nur zu prüfen, ob ihre Praktiken den APPs entsprechen.

Mitarbeiterunterlagen und sonstige Ausnahmen

Der Privacy Act enthält mehrere Ausnahmen und Sonderregelungen.

Organisationen sollten prüfen, ob bestimmte Tätigkeiten unter Ausnahmen fallen, die Bereiche betreffen wie:

• Mitarbeiterunterlagen
• Bestimmte politische Tätigkeiten
• Journalismus
• Kleine Unternehmen
• Registrierte politische Parteien
• Bestimmte sonstige gesetzlich geregelte Tätigkeiten

Ausnahmen können eng gefasst und vom Einzelfall abhängig sein. Organisationen sollten daher nicht davon ausgehen, dass ein ganzes Unternehmen ausgenommen ist, nur weil eine Verarbeitungstätigkeit unter eine Ausnahme fällt.