Source: https://secur-data.at/index.php?id=88
Timestamp: 2019-05-22 01:25:17+00:00

Document:
Secur-Data: Jahrgang 1995
DSG-Info-Service Jahrgang 1995
Ausgabe Nr. 9 Jänner 1995
Ausgabe Nr. 10 April 1995
Ausgabe Nr. 11 Juli 1995
Ausgabe Nr. 12 Oktober 1995
DSG-Info-Service Nr. 9
In der Ausgabe Nr. 7 (Juli 1994) unseres DSG-Info-Service haben wir die Datenschutzbestimmungen des österreichischen Fernmeldegesetzes (FG) 1993 erläutert. Mittlerweile hat die EU-Kommission neuerlich einen geänderten Entwurf für eine EU-Richtlinie vorgelegt, die sich mit Datenschutzproblemen in digitalen Telekommunikationsnetzen befaßt.
In der vorliegenden Ausgabe stellen wir diesen Richtlinienentwurf vor und untersuchen die Unterschiede zum derzeit gültigen österreichischen nationalen Recht.
ISDN-Richtlinie
Am 13. Juni 1994 legte die Kommission einen geänderten Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates zum Schutz personenbezogener Daten und der Privatsphäre in digitalen Telekommunikationsnetzen, insbesondere im dienstintegrierenden digitalen Telekommunikationsnetz (ISDN) und digitalen Mobilfunknetzen vor.
Obwohl sich diese Richtlinie auf alle Arten von digitalen Netzen bezieht, wird sie meist kurz als "ISDN-Richtlinie" bezeichnet.
In Österreich erlangt diese Richtlinie insofern weitreichende Bedeutung, als die Post sukzessive das gewachsene analoge Telefonnetz auf ein digitales Netz (OES genannt) umstellt, in dem ISDN-Anschlüsse und analoge Anschlüsse gleichwertig nebeneinander bestehen.
Im übrigen ist in Artikel 3 Abs 3 des Richtlinienentwurfes zusätzlich festgehalten, daß - soweit technisch möglich - die Bestimmungen auch auf analoge Telefonnetze anzuwenden sind.
In der Präambel der Richtlinie wird deren Notwendigkeit u.a. wie folgt begründet:
Mit der beschleunigten Digitalisierung der öffentlichen Telekommunikationsnetze in der Europäischen Gemeinschaft könnte es - ohne angemessenen Datenschutz - möglich werden, anrufspezifische Daten wie etwa die Herkunft des Anrufs systematisch zu speichern und zu verfolgen.
Gleichzeitig ermöglichen die digitalen Netze die Einführung neuer intelligenter Telekommunikationsfunktionen, wie sie als ISDN-Zusatzdienste definiert sind. Diese Funktionen bieten dem Teilnehmer wesentliche zusätzliche Dienstmerkmale, die zur Verbesserung der Dienstqualität und des Verbraucherschutzes beitragen, wie z.B. den Einzelgebührennachweis und die Anrufweiterschaltung. Sie erfordern jedoch spezielle Maßnahmen und Vorschriften, um den Schutz der Privatsphäre in dem neuen Umfeld zu gewährleisten.
Ein Vergleich der bestehenden einzelstaatlichen Bestimmungen zeigt erhebliche Diskrepanzen in bezug auf Inhalt und Art der verwendeten rechtlichen Kodifizierung. Unter diesen Umständen entwickelt sich in der Gemeinschaft eine rechtliche Unsicherheit im Bereich der Telekommunikationsnetze, dienste und geräte.
Die Richtlinie soll die Bedingungen für die Bereitstellung von Diensten im Zusammenhang mit digitalen Telekommunikationsnetzen in bezug auf den Schutz personenbezogener Daten und der Privatsphäre harmonisieren, um die Schaffung eines Binnenmarktes im Bereich Telekommunikation zu erleichtern. Die vorgeschlagenen Maßnahmen beschränken sich im wesentlichen auf das unbedingt notwendige Maß für die Bereitstellung neuer europaweiter digitaler Telekommunikationsdienste, die die Übertragung personenbezogener Daten zwischen zwei Mitgliedstaaten einbegreifen, da das Niveau des Schutzes personenbezogener Daten und der Privatsphäre in den einzelnen Mitgliedstaaten unterschiedlich ist.
Einzelne interessante Bestimmungen
Besteht ein besonderes Risiko der Verletzung der Netzsicherheit, so hat die Telekommunikationsorganisation die Teilnehmer darüber zu informieren und ihnen Verschlüsselungsmöglichkeiten anzubieten.
Artikel 5: Daten für die Gebührenabrechnung
Die Speicherung dieser Daten ist zeitlich beschränkt bis zum Ablauf der gesetzlichen Frist, während derer die Rechnung angefochten werden kann. Der Zugriff auf diese Daten ist auf jenen Personenkreis beschränkt, der für die Gebührenabrechnung verantwortlich ist.
Artikel 7 bis 9: Einzelgebührennachweis, Anzeige der Rufnummer des Anrufers
Die Privatsphäre von anrufenden Benutzern und angerufenen Teilnehmern muß gewahrt bleiben. Insbesondere muß dem anrufenden Teilnehmer - kostenfrei - die Möglichkeit geboten werden, auf einfache Weise die Anzeige seiner Teilnehmernummer beim gerufenen Teilnehmer generell oder im Einzelfall zu verhindern.
Generelle Ausnahmen sind für Organisationen, die Notrufe beantworten, vorgesehen. Darüberhinaus kann in Einzelfällen und für einen begrenzten Zeitraum auf gerichtliche Anordnung die Unterdrückung der Rufnummernanzeige aufgehoben werden.
Fangschaltung: Auf begründeten Antrag des Teilnehmers können die Rufnummern des Anrufers gespeichert, jedoch nur der zur Strafverfolgung/Verhinderung zuständigen Behörde bekanntgegeben werden.
Umgekehrt muß der angerufene Teilnehmer - ebenfalls kostenfrei - die Entgegennahme ankommender Verbindungen auf diejenigen beschränken können, die die Anzeige ihrer Rufnummer nicht ausgeschlossen haben.
Artikel 10: Anrufweiterschaltung
Es sind Verfahren vorzusehen, eine Anrufweiterschaltung zu einem Dritten von dessen Zustimmung abhängig zu machen.
Artikel 11: Teilnehmerverzeichnisse
Die personenbezogenen Daten des Teilnehmerverzeichnisses müssen - außer bei entsprechender Zustimmung - auf das für die Identifizierung des Teilnehmers unbedingt notwendige Maß beschränkt werden.
Der Teilnehmer muß kostenfrei berechtigt sein, seine Aufnahme in das Teilnehmerverzeichnis zu unterbinden oder ohne Geschlechtsangabe durchführen zu lassen.
Artikel 12: Überwachung der Kommunikation
Es ist sicherzustellen, daß - abgesehen von Ausnahmen wie Fangschaltungen - die Inhalte von Telefongesprächen nur nach Zustimmung der Betroffenen über Lautsprecher oder sonstige Geräte Dritten zugänglich gemacht oder - selbst für eigenen Gebrauch - auf Band aufgezeichnet werden.
Artikel 13: Unerbetene Anrufe
Durch geeignete Maßnahmen muß gewährleistet sein, daß Teilnehmer, die das nicht wünschen, keine unerbetenen Anrufe oder Faxe erhalten, mit denen Werbung, Verkaufsförderung oder Verkaufsforschung betrieben wird.
Automatisierte Ansagen oder Faxe zu Verkaufs oder Werbezwecken dürfen überhaupt nur gegenüber Teilnehmern benutzt werden, die dafür ihre Zustimmung erteilt haben.
Abgesehen von der teilweise abweichenden Sprachregelung - die beibehalten werden kann - sind wesentliche Teile der EU-Richtlinie im österreichischen FG 1993 bereits realisiert.
Die restriktiven Bestimmungen über den gespeicherten Datenumfang und die Datenverwendung im FG 1993 entsprechen der EU-Richtlinie. Die von der EU-Richtlinie geforderte Gebührenfreiheit für eine Nicht-Eintragung im Teilnehmerverzeichnis ist noch nicht realisiert.
Die im FG 1993 verkürzte Darstellung der rufenden Teilnehmernummer im Einzelentgeltnachweis ist noch dem ersten Richtlinienentwurf aus 1990 entnommen. Ob diese Form der Anonymisierung auch dem aktuellen Entwurf entspricht, kann nicht definitiv gesagt werden.
Technische Verfahren, die Anrufweiterschaltung an eine Zustimmung des betroffenen Dritten zu knüpfen, sind im FG 1993 ebensowenig vorgesehen wie eine "Robinsonliste" des Telefonmarketing oder eine geschlossene Benutzergruppe für Serien-Fax-Aussendungen.
Eine Verhinderung der Lautsprecherverwendung ist schwer vorzustellen, gehört ein Lautsprecher doch bereits zur Standardausführung der von der Post selbst vertriebenen Komfortapparate. Diese Frage kann - wie auch das Verbot von Bandaufzeichnungen - wohl nur durch gesetzliche Verbote ohne entsprechende Kontrollmaßnahmen gelöst werden.
Das FG 1993 verpflichtet die Post, innerhalb eines Jahres nach Inkrafttreten, somit bis spätestens 1. April 1995, die neuen Geschäftsbedingungen zu erlassen. Es wird sich zeigen, ob sich diese über die Bestimmungen des FG 1993 hinausgehend auch am EU-Richtlinienentwurf orientieren.
DSG-Info-Service Nr. 10
Nach mehr als zweijähriger Pause ist in der EU die Verabschiedung der Datenschutzrichtlinie wieder in Bewegung geraten.
Es ist vielleicht weniger bekannt, daß der erste Entwurf für eine Richtlinie zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten dem Rat bereits am 18. Juli 1990 von der Kommission vorgelegt wurde.
Am 11. März 1992 wurde der Richtlinienentwurf vom Europäischen Parlament in erster Lesung behandelt. Es wurden zahlreiche Abänderungen vorgeschlagen.
Am 15. Oktober 1992 hat die Kommission einen geänderten Richtlinienentwurf vorgelegt. Dieser Entwurf kann in der Jännerausgabe 1993 unseres DSG-Info-Services nachgelesen werden.
Am 20. Februar 1995 hat der Rat den neuerlich modifizierten Richtlinienentwurf verabschiedet. Es ist zu erwarten, daß das Europäische Parlament keine Änderungen mehr vornehmen wird.
Änderungen seit dem Entwurf vom 15. Oktober 1992
Seit dem Entwurf vom 15. Oktober 1992 wurden folgende Änderungen eingearbeitet (Zitate nach heutiger Numerierung):
In die Definitionen (Artikel 2) wurde der Begriff "Empfänger" aufgenommen [Art 2 g]. Im übrigen wurden die Definitionen neu formuliert; die geänderte Form ist wesentlich prägnanter als der Erstentwurf [Art 2].
Die Übergangsbestimmungen erlauben eine Frist bis zu 12 Jahre für die Anwendung der Richtlinie auf solche manuelle Dateien, die schon vor dem Inkrafttreten bestanden [Art 32 (2)]. Ansonsten ist eine Frist von 3 Jahren vorgesehen.
Vom Verbot der Verarbeitung besonders sensibler Daten [Art 8] wurden folgende Fälle ausgenommen: zur Einhaltung arbeitsrechtlicher Vorschriften; zum Schutz lebenswichtiger Interessen in Fällen, wo der Betroffene außerstande ist, eine Zustimmung zu erteilen; bei vom Betroffenen selbst publizierten Daten; zur Vorlage bei Gericht; bei medizinischen Erfordernissen, aber unter Einhaltung der ärztlichen Schweigepflicht.
Die Pflicht zur Unterrichtung der betroffenen Person wurde flexibler gestaltet [Art 10 und 11].
Der bisherige Artikel 10 wurde in den [Art 21] integriert. Dort ist die Öffentlichkeit des Datenverarbeitungs-Registers geregelt.
Die Bestimmungen über die Vertraulichkeit [Art 16] wurden aus dem bisherigen Artikel 17 herausgeschält.
Die Bestimmungen über die Sicherheit [Art 17] wurden neu formuliert. Bemerkenswert ist der Umstand, daß wirtschaftliche Aspekte in die Angemessenheit des erzielbaren Schutzniveaus eingehen.
Neu geregelt wurde die Frage der Meldepflicht [Art 18 bis 21]: Es können unbedenkliche Verarbeitungskategorien festgelegt und von der Meldepflicht befreit werden (Anmerkung: Die derzeitigen Standardverarbeitungen könnten Kandidaten für meldefreie Datenverarbeitungen darstellen); Datenverarbeitungen zum Zweck der Führung eines öffentlichen Registers können von der Meldepflicht befreit werden; die Bestellung eines unabhängigen Datenschutzbeauftragten kann von der Meldepflicht befreien.
Änderungsbedarf für das Datenschutzgesetz
Unter der Annahme, daß die EU-Richtlinie in unveränderter Form Rechtskraft erlangt, ist das österreichische Datenschutzgesetz innerhalb von drei Jahren in folgender Weise zu adaptieren:
Die EU-Richtlinie befaßt sich ausschließlich mit personenbezogenen Daten natürlicher Personen [Art 2 a)]. Es steht den Mitgliedsländern frei, strengere Bestimmungen als der EU-Richtlinie entsprechend beizubehalten. Da aber dem Schutz juristischer Personen lange nicht die hohe Bedeutung zukommt wie dem Schutz natürlicher Personen und da die mangelnde Harmonisierung innerhalb der Gemeinschaft für Österreich erhebliche wirtschaftliche Nachteile verursachen könnte, ist es naheliegend und zweckmäßig, entsprechend der Richtlinie auf den Schutz juristischer Personen zu verzichten.
Manuelle Daten
Die EU-Richtlinie unterscheidet nur in Detailfragen (Registrierungsverfahren [Art 18 (1)]) zwischen manuell und automationsgestützt geführten Daten bzw. Verarbeitungen. Darüberhinaus könnte auch für manuell geführte Datenverarbeitungen ein Registrierungsverfahren eingeführt werden [Art 18 (5)].
Wesentliche Bestimmungen - wie Zulässigkeit der Datenverarbeitung, Auskunftsrecht, Informationspflichten oder Abstützung von Daten auf einer Zustimmung des Betroffenen - werden sich künftig auch auf alle manuell geführten Datensammlungen erstrecken.
Mit der Erhebung personenbezogener Daten wird künftig eine Information des Betroffenen über die Identität des Verantwortlichen (Auftraggeber iSd DSG), den Zweck der Verarbeitung, den Empfängerkreis der Daten und eventuelle Folgen einer Nichtbeantwortung einhergehen müssen [Art 10].
Kritisch wird die Informationspflicht in Fällen, wo die Daten nicht direkt vom Betroffenen erhoben werden. Wir drucken den entsprechenden Artikel in vollem Wortlaut ab:
(1) Für den Fall, daß die Daten nicht bei der betroffenen Person erhoben wurden, sehen die Mitgliedstaaten vor, daß die betroffene Person bei Beginn der Speicherung der Daten bzw. im Fall einer beabsichtigten Weitergabe der Daten an Dritte spätestens bei der ersten Übermittlung vom Verantwortlichen der Verarbeitung oder seinem Vertreter zumindest die nachstehenden Informationen erhält, sofern diese ihr noch nicht vorliegen:
a) Die Identität des Verantwortlichen der Verarbeitung und gegebenenfalls seines Vertreters,
b) die Zweckbestimmung der Verarbeitung,
-die Datenkategorien, die verarbeitet werden,
-die Empfänger oder Kategorien der Empfänger der Daten,
-das Bestehen von Auskunfts und Berichtigungsrechten bezüglich sie betreffender Daten,
sofern sie unter Berücksichtigung der spezifischen Umstände, unter denen die Daten verarbeitet werden, notwendig sind, um gegenüber der betroffenen Person eine Verarbeitung nach Treu und Glauben zu gewährleisten.
Es bleibt abzuwarten, wie die Umsetzung der Ausnahmebestimmung hinsichtlich des unverhältnismäßigen Aufwandes erfolgen wird.
Der Verantwortliche einer Datenverarbeitung ist schadenersatzpflichtig, wenn die Vorschriften des DSG nicht eingehalten werden oder eine Verarbeitung überhaupt rechtswidrig ist [Art 23].
Der Dienstleistervertrag ist "schriftlich oder in einer anderen gleichwertigen Form zu dokumentieren" [Art 17 (4)].
Die endgültige Feststellung, inwieweit ein Drittland ein angemessenes Schutzniveau bietet, und Verhandlungen zur Abhilfe obliegen der Kommission [Art 25 (4) bis (5)].
Bei fehlender Gleichwertigkeit können folgende neue Übermittlungen erlaubt werden [Art 26 (1)]:
zur Erfüllung eines Vertrages mit dem Betroffenen oder für vorvertragliche Maßnahmen auf Antrag des Betroffenen;
zum Abschluß oder zur Erfüllung eines Vertrages zwischen dem Verantwortlichen und einem Dritten, der im Interesse des Betroffenen liegt;
zur Wahrung öffentlicher Interessen oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen vor Gericht;
zur Wahrung lebenswichtiger Interessen des Betroffenen.
Es sind Zuständigkeiten für folgende Agenden zu definieren:
Entscheidungsbefugnis der Kontrollstelle, Ausnahmen vom Verbot der Verarbeitung sensitiver Daten zuzulassen [Art 8 (4)];
Vorabkontrolle sensitiver Datenverarbeitungen vor deren Aufnahme [Art 20];
Schnittstellen zur Kommission, insbesondere in bezug auf Fragen des internationalen Datenverkehrs [Art 25, Art 26 (3) und (4)];
Verhaltensregeln einzelner Berufsverbände und Vereinigungen und Abstimmung mit Kommission und EU-Datenschutzgruppe [Art 27];
Kontrollrechte, Untersuchungs und Anordnungsbefugnisse sowie Klagerecht der Kontrollstelle (auch für den privaten Bereich) [Art 28].
Darüberhinaus sind an mehreren Stellen "geeignete Garantien" im Falle von Ausnahmeregelungen vorgesehen. Aus diesem Titel könnten sich weitere Behördenzuständigkeiten ergeben.
DSG-Info-Service Nr. 11
In den bisherigen Folgen unseres DSG-Info-Service haben wir nicht nur das kommende EU-Recht auf dem unmittelbaren Datenschutz-Sektor erläutert, sondern auch Randbereiche wie etwa das Telekommunikationsrecht (siehe Ausgabe Nr. 9 "ISDN-Richtlinie").
Kaum bekannt dürfte sein, daß die EU auch an einer Richtlinie über den "Verbraucherschutz bei Vertragsabschlüssen im Fernabsatz" arbeitet. Es ist Ziel dieser Richtlinie, dem Konsumenten im Fernabsatz (Telefonverkauf, Versandhandel u.ä.) Schutz zu bieten und zwar auch EU-weit im grenzüberschreitenden Verkehr.
Der aktuelle Entwurf dieser Richtlinie datiert mit 7. Oktober 1993 und wurde von der Kommission vorgelegt.
Am 7. April 1992 hat die Kommission einen Vorschlag über eine Richtlinie des Rates über den Verbraucherschutz bei Vertragsabschlüssen im Fernabsatz angenommen. Dieser Vorschlag wurde am 9. Juni 1992 dem Rat übermittelt.
Zwischen dem Juli 1992 und der Sitzung des Europäischen Parlements am 25. Mai 1993 wurde die Materie ausführlich von Kommission und Parlament behandelt.
Aufgrund der Stellungnahmen dieser Institutionen wurde von der Kommission der nun vorliegende geänderte Richtlinienentwurf ausgearbeitet und am 7. Oktober 1993 neuerlich vorgelegt.
Zweck und Gegenstand der Richtlinie
Neben den in der EU allgemein angestrebten Zielen wie Festigung des Binnenmarkts oder freier Warenverkehr ("Es ist für das reibungslose Funktionieren des einheitlichen Binnenmarkts unabdingbar, daß die Verbraucher sich an ein Unternehmen außerhalb ihres Landes wenden können") werden unter anderem ausdrücklich die Punkte Verbraucherschutz, Schutz des Privatlebens, Schutz personenbezogener Daten, Rücktrittsrecht angeführt.
Als ein "im Fernabsatz abgeschlossener Vertrag" gilt jeder ein Erzeugnis oder eine Dienstleistung betreffende Vertrag, der nach einer Aufforderung durch den Lieferer im Rahmen eines Vertriebssystems bzw. eines Systems zur Erbringung von Dienstleistungen
ohne gleichzeitige körperliche Anwesenheit des Lieferers/Leistungserbringers und des Verbrauchers
unter Verwendung einer Telekommunikationstechnik zur Übermittlung der Aufforderung zu Vertragsabschluß und Bestellung
Unter den genannten Begriff der Telekommunikationstechnik fallen ausdrücklich auch Drucksachen, Standardbriefe, Kataloge mit Bestellschein, Kleinanzeigen, Telefax, Videokassetten, Telefonate von Personen oder Automaten und viele mehr, sodaß in der Praxis jeder Vertrag, der ohne gleichzeitige Anwesenheit beider Vertragspartner entsteht, auch die zweite Bedingung erfüllen dürfte.
Die Richtlinie gilt nicht für Warenautomaten, automatisierte Geschäftsräume und Lieferungen von Lebensmitteln, Getränken und sonstigen Haushaltsgütern des täglichen Bedarfs, die von Händlern häufig und in regelmäßigen Abständen durchgeführt werden.
Beschränkung für die Verwendung bestimmter Fermeldekommunikationstechniken
Über die Bestimmungen des Datenschutzes (angesprochen ist die EU-Datenschutzrichtlinie) hinausgehend muß durch einzelstaatliche Regelungen sichergestellt werden, daß Verbraucher, die darauf hingewiesen haben, daß sie keine Aufforderungen zum Vertragsabschluß erhalten wollen, effektiv von dieser Art von Aufforderungen geschützt werden können.
[Eine entsprechende "Robinson-Liste" ist in Österreich bereits institutionalisiert, siehe DSG-Info-Service Nr. 3 "Neue datenschutzrechtliche Bestimmungen für Adressenverlage und Direktwerbeunternehmen".]
Darüberhinaus ist die Verwendung folgender Fermeldekommunikationstechniken nur bei vorheriger Zustimmung des Verbrauchers zulässig:
Post hat AGB Telefon und neue Tarife erlassen
In Ausgabe Nummer 7 unseres DSG-Info-Service aus dem Juli 1994 haben wir das Fermeldegesetz 1993 kurz vorgestellt und auf die Verpflichtung der PTV hingewiesen, bis 1. April 1995 die neuen Geschäftsbedingungen zu erlassen.
In der Tat wurden die neuen AGB am 30. Juni 1995 im Post und Telegraphenverordnungblatt Nr. 19 veröffentlicht und sind seit 1. Juli 1995 in Kraft, zugleich mit jeder Menge von Leistungsbeschreibungen und Tarifen, insgesamt 38 Dokumente.
§ 22. (1) enthält folgende Bestimmung:
Die PTV ermittelt und verarbeitet die im § 28 Z 2 und Z 3 FG 1993 genannten Stamm und Vermittlungsdaten.
Die Begriffe Stamm und Vermittlungsdaten haben wir in unserem DSG-Info-Service, Ausgabe 7, Juli 1994, Seite 9, erläutert.
Im Sinne der Bestimmungen des FG 1993 ermittelte Stamm und Vermittlungsdaten werden für Zwecke der Besorgung der Telefondienste und der damit im Zusammenhang stehenden Leistungen verarbeitet. Stammdaten werden gemäß den Bestimmungen des FG 1993 gelöscht. Im Sinne der Bestimmungen des FG 1993 gespeicherte Vermittlungsdaten werden binnen acht Monaten nach Bezahlung der entsprechenden Entgelte gelöscht. Im Falle von Einwendungen gegen in Rechnung gestellte Entgeltforderungen werden die Daten binnen sechs Monaten nach Vorliegen einer rechtskräftigen Entscheidung gelöscht.
Somit ist die spezielle Auskunftspflicht gem. § 29 (3) unserer Meinung nach weitgehend erfüllt. Auf die Inhaltsdaten geht die AGB Telefon sicherheitshalber gar nicht ein. Da lt. § 33(1) FG 1993 Inhaltsdaten grundsätzlich nicht gespeichert werden dürfen, sondern sofort nach Erledigung der Verbindung gelöscht werden müssen, ist das in Ordnung.
Vergleich mit geplantem EU-Recht
In Ausgabe Nr. 9 unseres DSG-Info-Service, Jänner 1995, haben wir die geplante ISDN-Richtlinie vorgestellt.
Zwar ist festzustellen, daß dieser Richtlinienentwurf noch nicht geltendes EU-Recht ist, es steht aber außer Zweifel, daß dieser oder ein ähnlicher Entwurf in absehbarer Zeit gelten wird.
Umso bemerkenswerter ist es, daß sich die Post auch mit den neuen AGB nicht in allen Fällen zu jener Liberalität durchringen konnte, die von der EU in diesem Bereich angestrebt wird.
So schreiben auch die neuen Bedingungen bzw. die neu erlassenen Tarife eine Gebühr für die Nichteintragung in das Telefonbuch vor, obwohl ausdrückliches Ziel der EU ist, daß jeder Teilnehmer kostenfrei berechtigt sein muß, seine Aufnahme in das Teilnehmerverzeichnis zu unterbinden oder ohne Geschlechtsangabe durchführen zu lassen.
Andere Bestimmungen, wie z.B. Artikel 5 der EU-Richtlinie, sind nach unserer Meinung voll erfüllt.
DSG-Info-Service Nr. 12
Bereits in der Ausgabe Nr. 7 unseres DSG-Info-Service haben wir kurz darauf hingewiesen, daß das neue Sicherheitspolizeigesetz (SPG) eigene Datenschutzbestimmungen enthält.
Eine intensive und umfassende Auseinandersetzung mit dem SPG würde den Rahmen unseres Info-Service sprengen. Wir wollen Ihnen jedoch in der vorliegenden Ausgabe die wichtigsten Datenschutzbestimmungen, die das SPG enthält, näherbringen.
Die Verabschiedung der EU-Datenschutzrichtlinie ist mittlerweile abgeschlossen, wobei es noch geringfügige Änderungen seit dem Entwurf vom 20. Februar 1995 (siehe DSG-Info-Service Nr. 10 vom April 1995) gegeben hat.
Sobald die Richtlinie im Amtsblatt der EU veröffentlicht ist, werden wir selbstverständlich den endgültigen Text in unserem DSG-Info-Service vorstellen. Voraussichtlich wird dies in der Jänner-Ausgabe 1996 der Fall sein.
Datenschutzbestimmungen im Sicherheitspolizeigesetz (SPG)
Das SPG enthält folgende 8 Teile:
1. Allgemeines, Organisation
4. Verwenden personenbezogener Daten
6. Besonderer Rechtsschutz
7. Sicherheitsbericht
Datenschutzbestimmungen finden sich vor allem in Teil 4, der sich in 3 Hauptstücke gliedert:
3. Erkennungsdienst
Darüberhinaus ist in § 90 (Teil 6) das Beschwerdeverfahren bei der Datenschutzkommission geregelt.
(1) Die Sicherheitsbehörden haben beim Verwenden (Ermitteln, Verarbeiten, Benützen, Übermitteln und Überlassen oder einer dieser Vorgänge) personenbezogener Daten die Verhältnismäßigkeit (§ 29) zu beachten. Jedenfalls haben sie auf die Wahrung schutzwürdiger Interessen der Betroffenen an der Geheimhaltung und auf den Vorrang vertraulicher Behandlung der Daten bedacht zu sein.
(2) Sofern nicht ausdrücklich anders angeordnet, finden die Bestimmungen des Datenschutzgesetzes, BGBl. Nr. 565/1978, mit Ausnahme des § 6, 2. Tatbestand, und des § 7 Abs 2 Anwendung.
(3) Die Bestimmungen dieses Teiles gelten auch für das nicht automationsunterstützte Verwenden personenbezogener Daten.
Der zitierte § 29 legt grob gesagt fest, daß bei Eingriffen in die Rechte des Betroffenen generell die schonendste Variante zu wählen ist bzw. der Eingriff auf möglichst kurze Zeit zu beschränken ist. Die Beschränkung des § 6 DSG in bezug auf den 2. Tatbestand und des § 7 Abs 2 ist in Wahrheit eine Verschärfung des DSG insofern, als jede Datenverarbeitung (§ 6) bzw. Übermittlung (§ 7) einer ausdrücklichen gesetzlichen Ermächtigung bedarf nicht allein damit begründet werden darf, zur Erfüllung gesetzlicher Aufgaben wesentlich zu sein.
Bemerkenswert ist der 3. Absatz. Hier wird erstmalig der Datenschutz ausdrücklich auch auf nicht-automationsunterstützt geführte Daten erweitert. Der Verweis auf das DSG, wie er im 2. Absatz enthalten ist, dürfte sich aber primär auf die automationsunterstützten Datenverarbeitungen beziehen, da das DSG derzeit Handkarteien u.dgl. noch nicht abdeckt und für diese insbesondere noch keine Registrierungspflicht kennt. Im übrigen sei darauf verwiesen, daß wesentliche Datenverarbeitungen im Sicherheitsbereich schon aufgrund des § 4 Abs 3 DSG nicht registrierungspflichtig sind.
§ 53 Zulässigkeit der Ermittlung und Verarbeitung
Hier sind Regeln festgelegt, unter welchen Umständen und für welche Zwecke personenbezogene Daten ermittelt und verarbeitet werden dürfen bzw. wann auf bereits bestehende Daten zurückgegriffen werden darf. Zu diesem Zweck ist auch eine allgemeingefaßte Übermittlungsanordnung an andere öffentliche Auftraggeber festgelegt:
(3) Die Sicherheitsbehörden sind berechtigt, von Dienststellen der Gebietskörperschaften, den anderen Körperschaften des öffentlichen Rechtes und den von diesen betriebenen Anstalten die Auskünfte zu verlangen, die sie als wesentliche Voraussetzung für die Abwehr gefährlicher Angriffe oder für die Abwehr bandenmäßiger oder organisierter Kriminalität benötigen. Die ersuchte Stelle ist verpflichtet, die Auskunft zu erteilen; sie muß sich jedoch auf Namen, Geschlecht, Wohnanschrift, Geburtsdatum und Geburtsort sowie auf die von der Sicherheitsbehörde zum Gegenstand der Anfrage gemachten Umstände beschränken. Eine Verweigerung der Auskunft unter Berufung darauf, daß es sich um automationsunterstützt verarbeitete personenbezogene Daten handelt, ist nur zulässig, wenn die Auskunftsbeschränkung ausdrücklich auch Sicherheitsbehörden gegenüber gilt. Eine Verweigerung der Auskunft ist außerdem zulässig, soweit andere öffentliche Interessen die Abwehrinteressen deutlich überwiegen. Über die Amtsverschwiegenheit (Art 20 Abs 3 B-VG) hinausgehende sonstige gesetzliche Verpflichtungen zur Verschwiegenheit bleiben unberührt.
Diese Bestimmungen beziehen sich auf die zweckgebundene Datenbeschaffung in Einzelfällen. Eine generelle Verknüpfung verschiedener Datenbestände ist nicht zulässig.
§ 57 Zentrale Informationssammlung
Der erste Absatz legt fest, für welche genau umrissenen Fahndungszwecke eine zentrale Informationssammlung zulässig ist:
(1) Die Sicherheitsbehörden dürfen Namen, Geschlecht, frühere Namen, Staatsangehörigkeit, Geburtsdatum, Geburtsort und Wohnanschrift, Namen der Eltern und Aliasdaten eines Menschen ermitteln und im Rahmen einer zentralen Informationssammlung samt dem für die Speicherung maßgeblichen Grund, allenfalls vorhandenen erkennungsdienstlichen Daten und einem allenfalls erforderlichen Hinweis auf das gebotene Einschreiten für Auskünfte auch an andere Behörden verarbeiten, wenn
1. gegen einen Betroffenen ein inländischer richterlicher Befehl oder eine Anordnung des Vorsitzenden eines finanzbehördlichen Spruchsenates zur Ermittlung des Aufenthaltes oder zur Festnahme besteht;
2. gegen den Betroffenen ein sicherheitsbehördlicher Befehl zur Festnahme gemäß § 177 Abs 1 Z 2 StPO besteht;
3. gegen den Betroffenen ein Vorführbefehl nach dem Strafvollzugsgesetz, BGBl Nr. 144/1969, besteht;
4. gegen den Betroffenen ein ausländischer richterlicher Befehl zur Festnahme oder eine andere, nach den Formvorschriften des ersuchenden Staates getroffene Anordnung mit gleicher Rechtswirksamkeit besteht, die im Inland wirksam ist;
5. gegen den Betroffenen im Zusammenhang mit der Abwehr oder Aufklärung gefährlicher Angriffe oder mit der Abwehr bandenmäßiger oder organisierter Kriminalität ermittelt wird;
10. der Betroffene Opfer einer gerichtlich strafbaren Handlung wurde und die Speicherung, der er ausdrücklich schriftlich zugestimmt haben muß, der Klärung der Tat oder der Verhinderung anderer Taten dient.
Der zweite Absatz regelt die Datensammlung über die oben festgelegten Fahndungszwecke hinaus. Voraussetzung ist die Beschränkung auf den jeweiligen Zweck der Datenverarbeitung und der Verzicht auf Selektionsmöglichkeiten:
(2) Wenn der Zweck einer Datenverarbeitung nicht in der Speicherung von Personendatensätzen gemäß Abs 1 besteht, dürfen die Sicherheitsbehörden Namen, Geschlecht, Geburtsdatum sowie Geburtsort und Wohnanschrift von Menschen erfassen und zusammen mit Sachen oder rechtserheblichen Tatsachen im Rahmen der zentralen Informationssammlung für Auskünfte auch an andere Behörden speichern, sofern dies für die Erreichung des Zweckes der Datenverarbeitung erforderlich ist. Hiebei darf die Auswählbarkeit dieser personenbezogenen Daten aus der Gesamtmenge der gespeicherten Daten nicht vorgesehen sein.
Der 3. Absatz regelt die Übermittlungsbefugnisse. Hier ist, abgesehen von Fahndung und Strafrechtspflege, eine ausdrückliche gesetzliche Ermächtigung vonnöten:
(3) Die Sicherheitsbehörden sind ermächtigt, die von ihnen in der Zentralen Informationssammlung gespeicherten personenbezogenen Daten zu benützen und daraus Auskünfte zu erteilen; letzteres ist an andere als Sicherheitsbehörden und Finanzstrafbehörden für deren Tätigkeit im Dienste der Strafrechtspflege sowie an Sicherheitsbehörden und an österreichische Vertretungsbehörden im Ausland in Angelegenheiten der Sicherheitsverwaltung nur zulässig, wenn hiefür eine ausdrückliche gesetzliche Ermächtigung besteht.
§ 58 Sperr-Regelungen
Es bestehen ausdrückliche Regelungen und Fristen, wann der Zugriff auf die Daten, die gemäß § 57 Abs 1 evident gehalten werden, gesperrt werden muß; im wesentlichen betreffen diese Regelungen den Wegfall des Zwecks oder der Anordnung, die zu der Datenerfassung geführt haben. Zwei Jahre nach der Sperre sind die Daten auch physisch zu löschen.
Darüberhinaus haben die Behörden in bestimmten Fällen nach Ablauf von 5 Jahren von Amts wegen zu prüfen, ob die Voraussetzungen für die Datenhaltung noch vorliegen.
§ 62 und § 63 Auskunftsrecht, Richtigstellung, Löschung
Die Regelungen sind dem Datenschutzgesetz analog. Abweichend vom DSG beträgt die Auskunftsfrist 3 Monate, sofern es sich um nicht automationsgestützt verarbeitete Daten handelt.
Darüberhinaus ist ein Verfahren normiert für den Fall, daß eine Auskunft dem Zweck der Datenverarbeitung widerspricht. Der Antragsteller kann aber die Gesetzmäßigkeit der Auskunft bei der Datenschutzkommission prüfen lassen.

References: § 22
 § 28
 § 29
 § 33
 § 90
 § 6
 § 7
 § 29
 § 6
 § 7
 § 4

§ 53

§ 57
 § 177

§ 58
 § 57

§ 62
 § 63