Source: https://secur-data.at/index.php?id=174
Timestamp: 2019-05-22 01:17:45+00:00

Document:
Secur-Data: Jahrgang 2014
DSG-Info-Service Jahrgang 2014
Ausgabe Nr. 75 Jänner 2014
Ausgabe Nr. 76 Juli 2014
DSG-Info-Service Nr. 75
Mit dem vorliegenden DSG-Info-Service wollen wir Sie über den aktuellen Stand der Diskussion zur EU-Datenschutz-Grundverordnung sowie über Neuerungen im österreichischen Datenschutzrecht informieren.
Im Zusammenhang mit der Schaffung einer neuen Standardanwendung „SA036 Hinweisgebersystem gemäß § 99g BWG“ (besser bekannt unter dem Begriff „Whistleblowing“), die allerdings nur für Kreditinstitute und CRR-Wertpapierfirmen verwendet werden kann, und moderner Managementkonzepte, die das Thema „Whistleblowing“ als integralen Bestandteil des Risikomanagements ansehen, gehen wir auf die datenschutzrechtlichen Problemkreise bei der Einführung eines solchen Systems ein.
1. EU-Datenschutz-Grundverordnung
In der Ausgabe Nr. 74 unseres DSG-Info-Services hatten wir Sie über den aktuellen Diskussionsstand der EU-Datenschutz-Grundverordnung informiert. Am 21. Oktober 2013 hat der Ausschuss für Bürgerliche Freiheiten, Justiz und Inneres (LIBE) des Europaparlaments unter dem Vorsitz des deutschen Grünen-Politikers Jan-Philipp Albrecht den „Entwurf zur Änderung der durch die EU-Kommission vorgelegten Datenschutz-Grundverordnung (KOM(2012) 11, DS-GVO)“ angenommen und die Aufnahme von Verhandlungen mit dem Rat der Europäischen Union gemäß Art. 70 beschlossen.
Es ist erstaunlich, mit welchem Tempo der vom parlamentarischen Berichterstatter Albrecht erstellte Kompromissvorschlag angenommen wurde. Statt einer geplanten Sitzungsdauer von 4 Stunden dauerte die Sitzung nur 10 Minuten. Der verabschiedete Entwurf berücksichtigt ca. 5.000 Änderungsvorschläge des europäischen Parlaments auf den Vorschlag der europäischen Kommission. Albrecht erhielt ein Verhandlungsmandat für die Trilog-Gespräche (Rat/Kommission/Parlament).
Wir gehen bewusst nicht auf die einzelnen Details dieses Kompromissvorschlags ein (mit einer Ausnahme: der Kompromissvorschlag sieht unter anderem eine Erhöhung des Strafrahmens bei schweren Datenschutzverstößen von ursprünglich 1 Million Euro bzw. 2 % des weltweiten Konzernumsatzes eines Unternehmens auf utopische 100 Millionen bzw. 5 % des weltweiten Umsatzes vor), da es derzeit laufend Beratungen in den 28 Mitgliedstaaten gibt, die nur sehr schleppend vorangehen, und weitere Änderungen zu erwarten sind. Über einzelne Bestimmungen herrscht noch überhaupt keine Einigkeit.
Staaten wie Dänemark, Ungarn, Slowenien und das nicht unbedingt datenschutzfreundliche Großbritannien blockieren derzeit die Verhandlungen. Auch Deutschland steht auf der Bremse. So will der deutsche Bundesinnenminister Thomas de Maizière die staatliche Datenverarbeitung aus dem Vorschlag der EU-Datenschutz-Grundverordnung überhaupt ausklammern, da seiner Meinung nach der Schutz des Bürgers vor Datenschutzverletzungen durch den Staat bereits sehr hoch entwickelt ist!
Die Novelle werde nicht mehr vor der Europawahl im Mai — in Österreich findet diese am 25. Mai 2014 statt — verabschiedet werden, führte sogar die EU-Justizkommissarin Reding kürzlich vor einem Treffen der EU-Justizminister aus.
Wir werden Sie über den Stand der Diskussion weiter am Laufenden halten.
2. Änderung der Standard- und Musterverordnung 2004
Mit der Datenschutzanpassungs-Verordnung 2013 (BGBl. Nr. II 2013/213 vom 19. Juli 2013) erfolgten Änderungen nachfolgender Standardanwendungen für den öffentlichen Bereich:
SA005 Haushaltsführung der Gebietskörperschaften und sonstigen juristischen Personen öffentlichen Rechts
SA008 Personenstandsbücher
SA009 Staatsbürgerschaftsevidenz
Darüber hinaus wurden die beiden folgenden Standardanwendungen neu geschaffen:
SA008a Personenstandsregister
SA009a Staatsbürgerschaftsregister
Mit BGBl. Nr. II 2013/514 vom 30. Dezember 2013 erfolgte eine weitere Änderung der Standard- und Musterverordnung 2004. Noch knapp vor Jahresende wurde die bereits in der Einleitung erwähnte
SA036 Hinweisgebersysteme gemäß § 99g BWG
für Kreditinstitute und CRR-Wertpapierfirmen geschaffen.
Details können der Homepage der Datenschutzbehörde (www.dsb.gv.at) entnommen werden.
Vor allem die US-amerikanischen börsennotierten Konzerne sind aufgrund der Bestimmungen des Sarbanes-Oxley Act (SOX) aus dem Jahr 2002 gesetzlich gezwungen, auch bei ihren europäischen Tochtergesellschaften sogenannte Whistleblowing-Systeme einzurichten. Dabei werden die Mitarbeiter verpflichtet, das Fehlverhalten von Kollegen den Vorgesetzten zu melden.
Grundsätzlich gibt es zwei unterschiedliche technische Systeme: Die Einrichtung einer Whistleblowing-Hotline via Telefon, oder das Auflegen von Meldeformularen, die über das Internet angeboten werden.
Dass die Implementierung von Whistleblowing-Systemen aus datenschutzrechtlicher Sicht einige Probleme aufwirft, bedarf wohl keiner weiteren Erläuterung. Im Einzelnen werden vor der Einrichtung eines solchen Systems folgende Problemkreise zu prüfen sein:
Grundsatz der Datenverwendung
Die folgenden Ausführungen behandeln Gesichtspunkte, die bei der Ausführung der obengenannten Problemkreise zu berücksichtigen sind.
Die Datenschutzkommission (ab 1. Jänner 2014 Datenschutzbehörde) anerkannte bis zu ihrer Auflösung grundsätzlich ein überwiegendes Aufgabeninteresse eines Unternehmens an der Einführung einer Whistleblowing-Hotline, d.h. als Rechtsgrundlage kann § 8 Abs. 1 Z 4 DSG 2000 herangezogen werden. Als weitere Rechtsgrundlage kann der interne „Code of Conduct“ eingesetzt werden, sowie nach Auffassung des Verfassers auch das Übereinkommen der Vereinten Nationen gegen Korruption (BGBl. Nr. III 47/2006).
Bei Tochtergesellschaften US-amerikanischer Konzerne wird als Rechtsgrundlage der bereits erwähnte Sarbanes-Oxley Act anerkannt. Allerdings ist eine detaillierte Beschreibung des Systems erforderlich, wobei die Meldung auf das Aufzeigen „erheblicher“ Missstände eingeschränkt und diese auf definierte Bereiche eingegrenzt werden sollten.
Die bisher bei der DSK eingereichten Meldungen verwendeten die im WP 117 der 29er-Datenschutzgruppe angeführten Bereiche, und zwar: Rechnungslegung, interne Rechnungslegungskontrollen, Fragen der Wirtschaftsprüfung, Bekämpfung von Korruption, Banken- und Finanzkriminalität. Der Schwerpunkt der datenschutzrechtlichen Vorschriften liegt naturgemäß beim Schutz der Personen, die durch ein Verfahren zur Meldung von Missständen belastet werden.
2. Grundsätze der Datenverwendung
Wie bei jeder Datenanwendung ist auch bei der Einführung einer Whistleblowing-Hotline eine Prüfung der Verhältnismäßigkeit durchzuführen. Die 29er-Datenschutzgruppe leitet aus diesem Titel folgende Grundsätze ab:
Sowohl der Personenkreis der Anzeigeberechtigten wie auch jener, der angezeigt werden kann, ist zahlenmäßig zu begrenzen.
In besonderen Fällen können alle Mitarbeiter als Beschuldigte umfasst sein.
Es darf keine anonymen Anzeiger geben, der Anzeiger muss zumindest bestimmbar sein.
Anonymität ist auch insofern keine gute Lösung, da eine erhobene Beschwerde schwierig zu überprüfen ist, wenn keine Möglichkeit besteht, Anschlussfragen zu stellen. Weiters besteht die Gefahr der Vernaderung sowie die Gefahr, dass im Unternehmen eine Kultur böswilliger Meldungen entsteht.
Auch widerspricht die anonyme Meldung dem Datenschutzgrundsatz, dass personenbezogene Daten nur nach Treu und Glauben erhoben werden dürfen. Die bisherigen Entscheidungen der DSK führen allerdings in diesem Zusammenhang aus: „Die Erstattung anonymer Anzeigen ist zwar grundsätzlich möglich, darf jedoch vom Auftraggeber nicht gefördert werden.“
Dem Beschuldigten muss Zugang zu den Anschuldigungen gewährt werden. Die Identität des Anzeigers darf nur dann offengelegt werden, wenn sich herausstellt, dass die Meldung bewusst falsch erstattet wurde. Ansonsten ist dem Anzeiger volle Vertraulichkeit zu gewähren.
Die Aufbewahrungsdauer ist zu beschränken. Die DSK akzeptierte 2 Monate nach Abschluss des Verfahrens.
3. Datensicherheitsmaßnahmen
Auf die Datensicherheitsmaßnahmen ist besonderes Augenmerk zu legen. Vor allem gilt dies, wenn ein Dienstleister mit dem Betrieb der Whistleblowing-Hotline beauftragt werden soll.
Wichtig ist die Einrichtung einer zentralen Stelle, die für die Handhabung der Meldungen der Hinweisgeber und die Durchführung der Untersuchung verantwortlich ist. Die Zugriffsrechte sind auf diese Stelle zu beschränken.
4. DVR-Meldung
Eine Whistleblowing-Hotline unterliegt grundsätzlich der Meldepflicht der §§ 17 ff DSG 2000 sowie der Vorabkontrolle des § 18 Abs. 2 DSG 2000.
Bei den bisherigen Meldungen wurde folgende Bezeichnung der Datenanwendung gewählt: „Internes Verfahren zur Erfassung von Meldungen über mutmaßliche Missstände im Unternehmen in den Bereichen Rechnungslegung, interne Rechnungskontrolle, Fragen der Wirtschaftsprüfung, Bekämpfung von Korruption, Banken- und Finanzkriminalität“.
Die Meldung umfasst 3 Betroffenenkreise:
Hinweisgeber, die ihre Identität offengelegt haben,
im Hinweis genannte Personen, sowie
andere Personen (Zeugen oder sonstige Auskunftspersonen).
5. Arbeitsrechtliche Würdigung
Wird durch die Whistleblowing-Hotline ein Zustand ununterbrochener Kontrolle erreicht, so besteht kein Zweifel, dass die Menschenwürde berührt wird und somit eine Zustimmung des Betriebsrates (§ 96 Abs. 1 Z 3 ArbVG) bzw. im Falle des Fehlens eines solchen die Zustimmung jedes einzelnen Mitarbeiters (§ 10 AVRAG) erforderlich ist.
Wird das System jedoch so eingeschränkt, dass nur bei Vorliegen eines konkreten Verdachts auf Unregelmäßigkeiten die Entscheidungsträger alarmiert werden, um eine entsprechende Klärung herbeizuführen, liegt kein Kontrollsystem iSd ArbVG vor. In diesem Fall ist daher der Abschluss einer Betriebsvereinbarung bzw. die Zustimmung jedes einzelnen Mitarbeiters entbehrlich.
DSG-Info-Service Nr. 76
Mit dem vorliegenden DSG-Info-Service wollen wir Sie über einige interessante Entwicklungen im europäischen und österreichischen Datenschutzrecht informieren. Zu allererst einige Informationen, wie es um die EU-Datenschutz-Grundverordnung (EU-DSG-VO) steht, anschließend das Ende der Vorratsdatenspeicherung. Last, but not least folgen einige Anmerkungen in Bezug auf das kürzlich vom EuGH ergangene Urteil in der Causa „Google“.
1. Wie steht es um die EU-Datenschutz-Grundverordnung?
Bekanntlich hat der Ausschuss für bürgerliche Freiheiten, Justiz und Inneres (LIBE) des Europaparlaments am 21. Oktober 2013 unter dem Vorsitz des deutschen Grün-Politikers Jan-Philipp Albrecht den „Entwurf zur Änderung der durch die EU-Kommission vorgelegten Datenschutz-Grundverordnung (KOM (2012)) 11, DSG-VO“ angenommen und die Aufnahme von Verhandlungen mit dem Rat der Europäischen Union gemäß Art. 70 beschlossen. Diesem Entwurf gingen intensive Verhandlungen voraus, so wurden allein zum Berichtsentwurf von MEP Jan-Philipp Albrecht mehrere tausend Änderungsanträge eingebracht. Insgesamt enthält der Entwurf ein Paket von 91 Kompromiss-Vorschlägen. Dieses Kompromiss-Paket wurde am 12. März 2014 vom Plenum des Europäischen Parlaments bestätigt (der angenommene Text befindet sich unter: http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+TA+P7-TA-2014-0212+0+DOC+XML+V0//DE&language=DE).
Wir möchten anhand von zwei Beispielen exemplarisch aufzeigen, mit welcher „Qualität“ die Diskussionen geführt werden:
Als Beispiel, wie lange Diskussionen zum gleichen Ergebnis führen können (oder kennen Sie den Unterschied zwischen „expliziter“ und „ausdrücklicher“ Zustimmung? Wir jedenfalls nicht!):
Art. 4 (8), ursprünglicher Text:
„Einwilligung der betroffenen Person“ jede ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgte explizite Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.
Art. 4 (8), derzeitiger Text:
„Einwilligung der betroffenen Person“ jede ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgte ausdrückliche Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.
Als Beispiel, wie man auf Grund langer Diskussionen von einem Extrem in das andere fallen kann:
Art 35 (1): Ursprünglich sah der Entwurf die verpflichtende Bestellung eines Datenschutzbeauftragten durch Unternehmen vor, die 250 oder mehr Mitarbeiter beschäftigen. Diese Grenzziehung erfolgte analog der europäischen Unternehmensdefinition und hätte in Österreich von insgesamt rund 350.000 Unternehmen gerade einmal 1000 Unternehmen betroffen. Der geänderte Text sieht nunmehr die verpflichtende Bestellung eines Datenschutzbeauftragten für alle Unternehmen vor, die eine Datenanwendung betreiben, die sich auf mehr als 5000 Betroffene innerhalb eines Zeitraums von 12 aufeinander folgenden Monaten bezieht. Unter diese Regelung würde auch ein EPU fallen, das eine Adressdatei in dieser Größenordnung betreibt. Ob dieser Vorschlag praktikabel ist, muss stark bezweifelt werden.
Der Beschluss des Europäischen Parlaments vom 12. März 2014 allein reicht bekanntlich nicht aus. Erst wenn im sogenannten Trilog, sprich zwischen EU-Parlament, dem Rat (auch EU-Ministerrat genannt) und der Europäischen Kommission Einigung erzielt wird, kann die EU-DS-GVO verabschiedet werden.
Eine Einigung im EU-Ministerrat ist allerdings derzeit nicht absehbar, da die dort vertretenen Mitgliedsstaaten erheblich unterschiedliche Sichtweisen haben. Vor allem Deutschland fürchtet um sein hohes Datenschutzniveau und will nicht akzeptieren, dass die DS-GVO auch für den öffentlichen Bereich gelten soll und nicht auf den privaten Bereich beschränkt wird. Weiters befürchtet Deutschland, dass die Rechtsstellung des in Deutschland derzeit schon verpflichtend zu bestellenden Datenschutzbeauftragten geschwächt wird. Auch sehen manche Datenschützer den derzeitigen Entwurf der DS-GVO bereits als veraltet an, da sie die neuen Herausforderungen wie z. B. Big Data oder das Internet der Dinge nicht entsprechend abbildet.
Mit welchem Datum nun die DS-GVO in Kraft treten wird, steht in den Sternen. Bekanntlich spielen auf EU-Ebene nicht nur sachliche Erwägungen eine Rolle, siehe z. B. die Streitereien um die Besetzung des Kommissionspräsidenten. Aus Brüssel ist zu hören, dass man die Verabschiedung einer EU-DSG-VO für das erste oder spätestens zweite Halbjahr 2015 für denkbar hält. Bei einer üblicherweise zweijährigen Umsetzungsfrist wäre also mit dem Inkrafttreten mit Beginn 2018 zu rechnen.
2. Das Ende der Vorratsdatenspeicherung
Mit der Entscheidung des Europäischen Gerichtshofes (EuGH) vom 8. April 2014 wurde die umstrittene Richtlinie über die Vorratsspeicherung von Daten 2006/24/EG vom 15. März 2006 für nichtig erklärt. Der Anlass zur Klage ging primär von Österreich aus. Die Richtlinie verpflichtete bekanntlich Provider — unter ausdrücklicher Ausnahme von Inhaltsdaten — zur Speicherung von Verkehrs- und Standort-Daten und deren Herausgabe an die national zuständigen Behörden.
Der EuGH sieht in erster Linie einen Verstoß gegen das Grundrecht auf Achtung des Privatlebens (Art. 8 EMRK), weil aus den Verkehrsdaten Rückschlüsse auf deren Inhalt gezogen werden können. Weiters weist der EuGH darauf hin, dass die Definition der schweren Straftaten nicht entsprechend differenziert ist und darüber hinaus die Speicherdauer — zwischen 6 und 24 Monate — zu lange sei.
Nachdem der EuGH die Richtlinie aufgehoben hatte, hat auch der österreichische Verfassungsgerichtshof (VfGH) mit Urteil vom 27. Juni 2014 das Gesetz zur Vorratsdatenspeicherung als verfassungswidrig erklärt. Der VfGH begründet das Urteil in seiner Presse-Information vom 27. Juni 2014 wie folgt:
Die Verfassungsrichterinnen und Verfassungsrichter begründen ihre Entscheidung — knapp zusammengefasst — wie folgt:
Ein so gravierender Eingriff in die Grundrechte, wie er durch die Vorratsdatenspeicherung erfolgt, muss so gestaltet sein, dass er mit dem Datenschutzgesetz und der Menschenrechtskonvention im Einklang steht.
Die „Streubreite“ der Vorratsdatenspeicherung übertrifft die bisher in der Rechtsprechung des Verfassungsgerichtshofes zu beurteilenden Eingriffe in das Grundrecht auf Datenschutz, und zwar sowohl hinsichtlich des betroffenen Personenkreises — nahezu die gesamte Bevölkerung ist davon betroffen — als auch der Art der betroffenen Daten, sowie der Modalität der Datenverwendung.
3. EuGH verurteilt Google
Der EuGH hat mit Urteil vom 13. Mai 2014 festgestellt, dass der Betreiber einer Internetsuchmaschine bei personenbezogenen Daten, die auf von Dritten veröffentlichten Internetseiten erscheinen, für die von ihm vorgenommene Verarbeitung verantwortlich ist.
Google hat inzwischen reagiert und ein Online-Antragsformular für die Löschung datenschutzwidriger Inhalte zur Verfügung gestellt. Dem Urteil lag das Verfahren eines spanischen Bürgers zu Grunde, der sich gegen Google Spain und Google Inc. mit der Begründung wandte, dass der bei Eingabe seines Namens erscheinende Bericht über finanzielle Schwierigkeiten aus dem Jahr 1998 einen Verstoß gegen datenschutzrechtliche Vorgaben darstelle. Er forderte daher die Löschung dieses Berichts.
Die Reaktionen auf dieses Urteil sind gemischt: Eine Gruppe sieht das im Entwurf der EU-DS-GVO vorgesehene „Recht auf Vergessen“ bereits vorweg genommen, andere Gruppen sehen Probleme in Bezug auf die faktische Abkehr vom bisher gültigen Sitzlandprinzip, wie es die Richtlinie 95/46/EG in Art. 4 vorsieht. Weiters wird befürchtet, dass der Aufbau einer parallelen „Sperr-Datenbank“ notwendig wird, wo die beanstandeten Inhalte gespeichert werden. Außerdem führt nach Meinung vieler Kritiker das Urteil des EuGH zu einem Konflikt zwischen datenschutzrechtlichen Vorgaben einerseits und dem Anspruch auf freien und globalen Zugang zu Information andererseits.
Jedenfalls wird spannend, wie sich dieses Urteil auf die weiteren Diskussionen in Zusammenhang mit der EU-DS-GVO auswirken wird.

References: § 99
 Art. 70
 § 99
 § 8
 § 18
 EuGH 
 Art. 70

Art. 4

Art. 4
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 Art. 4
 EuGH