Source: https://www.parlament.gv.at/PAKT/VHG/XXV/I/I_01664/fnameorig_640101.html
Timestamp: 2017-08-19 15:07:50+00:00

Document:
Die Richtlinie (EU) 2016/680 bedarf einer Umsetzung ins innerstaatliche Recht. Nachdem der Rahmenbeschluss bisher im DSG 2000 umgesetzt ist, soll die Richtlinie auch im neuen DSG in einem eigenen Hauptstück geregelt werden. Dabei soll im Rahmen der Umsetzung – soweit möglich – auf die zum Teil wortgleichen Regelungen in der DSGVO sowie auf die Durchführungsregelungen zur DSGVO (zB hinsichtlich der Einrichtung der Datenschutzbehörde) verwiesen werden und damit eine möglichst schlanke Umsetzung der Richtlinie erreicht werden. Weiters soll das für diesen Bereich bisher im DSG 2000 festgelegte und innerstaatlich langjährig etablierte Datenschutzniveau im Rahmen der vorzunehmenden Richtlinienumsetzung nicht abgesenkt werden. Wie auch schon nach der geltenden Rechtslage sollen die einschlägigen materienspezifischen Regelungen zu Datenverarbeitungen (leges speciales) den allgemeinen Regelungen des neuen DSG vorgehen.
Die Mitgliedstaaten können gemäß Art. 6 Abs. 2 DSGVO spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften der DSGVO in Bezug auf die Verarbeitung zur Erfüllung von Art. 6 Abs. 1 lit. c und e DSGVO beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX der DSGVO. In diesem Rahmen sollen die im DSG 2000 geregelten besonderen Verwendungszwecke von Daten (zB §§ 47 bis 48a DSG 2000) und Regelungen zur Videoüberwachung (vgl. §§ 50a bis 50e DSG 2000) ins neue DSG aufgenommen und im Zuge dessen an die geänderten Erfordernisse angepasst werden. Im Rahmen dieser Vorgaben der DSGVO können auch spezifische Datenverarbeitungen in Materiengesetzen geregelt werden; bestehende Regelungen müssen – soweit sie den Vorgaben der DSGVO nicht entsprechen – angepasst werden. Eine allgemeine Festlegung der Kriterien für die Zulässigkeit von Datenverarbeitungen – wie sie bisher in §§ 8 und 9 DSG 2000 geregelt ist –, erscheint im Lichte der unmittelbaren Geltung der DSGVO und vor dem Hintergrund des Transformationsverbots jedoch nicht mehr zulässig.
Der vorliegende Entwurf stützt sich auf Art. 10 Abs. 1 Z 1 B‑VG.
Der Entwurf kann gemäß Art. 44 Abs. 1 B‑VG vom Nationalrat nur in Anwesenheit von mindestens der Hälfte der Mitglieder und mit einer Mehrheit von zwei Dritteln der abgegebenen Stimmen beschlossen werden und bedarf überdies gemäß Art. 44 Abs. 2 B‑VG der in Anwesenheit von mindestens der Hälfte der Mitglieder und mit einer Mehrheit von zwei Dritteln der abgegebenen Stimmen zu erteilenden Zustimmung des Bundesrates.
Im Sinne der Konzentration aller Kompetenzbestimmungen im B‑VG sollen die derzeit in § 2 DSG 2000 enthaltenen kompetenzrechtlichen Regelungen in das B‑VG in modifizierter Form integriert werden.
Die landesgesetzlichen Vorschriften in den allgemeinen Angelegenheiten des Datenschutzes in Bezug auf den nicht-automationsunterstützten Datenverkehr treten außer Kraft; davon umfasst sind folgende Landesgesetze bzw. Teile von Landesgesetzen: Burgenländisches Datenschutzgesetz (Bgld. DSG), LGBl. Nr. 87/2005; Kärntner Informations- und Statistikgesetz (K-ISG), LGBl. Nr. 70/2005; NÖ Datenschutzgesetz, LGBl. 0901-2; Oö. Auskunftspflicht-, Datenschutz- und Informationsweiterverwendungsgesetz, LGBl. Nr. 46/1988; Salzburger Gesetz über Auskunftspflicht, Dokumentenweiterverwendung, Datenschutz, Landesstatistik und Geodateninfrastruktur (ADDSG-Gesetz), LGBl. Nr. 73/1988; Steiermärkisches Datenschutzgesetz (StDSG), LGBl. Nr. 39/2001; Tiroler Datenschutzgesetz 2014 (TDSG 2014), LGBl. Nr. 158/2013; Vorarlberger Landes-Datenschutzgesetz, LGBl. Nr. 19/2000; Wiener Datenschutzgesetz (Wr. DSG), LGBl. Nr. 125/2001.
Zudem soll auch die Vollziehung des Datenschutzrechts zur Gänze beim Bund liegen und von diesem in unmittelbarer Bundesverwaltung (Art. 102 Abs. 2 B‑VG) vollzogen werden können.
Keine Vollziehung des Datenschutzrechts stellt die bloße Verarbeitung von personenbezogenen Daten durch Länder und Gemeinden als Verantwortliche dar (so zutreffend auch Ennöckl, Der Schutz der Privatsphäre in der elektronischen Datenverarbeitung [2014], 339 ff, 341). Da es für die faktische Handhabung personenbezogener Daten durch Behörden insofern keiner allgemeinen datenschutzrechtlichen Vollzugskompetenz, sondern lediglich einer Zuständigkeit aus einem „Materiengesetz“ bedarf, und der Vollzug des DSG bzw. der DSGVO ausschließlich bei der unabhängigen Aufsichtsbehörden liegen soll, hat § 2 Abs. 2 DSG 2000 keine Entsprechung im künftigen DSG.
Zu Artikel 2 (Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten
(Datenschutzgesetz – DSG))
In § 1 soll das Grundrecht auf Datenschutz im Verfassungsrang verankert werden. Das bereits in § 1 DSG 2000 verankerte Grundrecht und Art. 8 Abs. 2 EMRK dienen hierbei als Basis. Jedoch soll die komplexe Formulierung des § 1 Abs. 2 DSG 2000, die in der Praxis zahlreiche Fragestellungen aufgeworfen hat, vermieden werden und eine verständlichere Ausgestaltung der Voraussetzungen für einen Eingriff in das Grundrecht vorgesehen werden. Weiters wird von der DSGVO die juristische Person nicht erfasst; demgemäß soll das Grundrecht auch nur natürliche Personen umfassen. Weiterhin beibehalten werden soll die Drittwirkung des Grundrechts, die sich schon aus der bisherigen Formulierung des § 1 Abs. 1 DSG 2000 ergeben hat und nun auch in Abs. 3 ausdrücklich geregelt wird.
Im Grundrecht soll auf das Recht auf Löschung unzulässigerweise verarbeiteter Daten abgestellt werden. Zwar kennt die DSGVO auch ein Recht auf Beschränkung (statt Löschung); dies erscheint jedoch nicht in jedem Fall als gleichwertige Alternative zum Löschungsrecht.
Eine gesetzliche Grundlage nach § 1 Abs. 2 ist ein Gesetz oder ein Staatsvertrag, der unmittelbar anwendbar ist. Die gesetzliche Grundlage muss ausreichend präzise – also für jedermann vorhersehbar – sein. Ein Gesetz, das die Verarbeitung personenbezogener Daten regelt, hat gemäß den Vorgaben des Art. 8 Abs. 2 der Richtlinie (EU) 2016/680 zumindest die Ziele der Verarbeitung, die personenbezogenen Daten, die verarbeitet werden sollen, und die Zwecke der Verarbeitung zu enthalten. Datenverarbeitungen im Rahmen der Vollziehung hoheitlicher oder schlicht hoheitlicher Aufgaben benötigen eine gesonderte gesetzliche Rechtsgrundlage (§ 1 DSG und Art. 18 B‑VG).
Darüber hinaus müssen Bestimmungen über die Speicherung personenbezogener Daten gemäß den Vorgaben des Art. 5 der Richtlinie (EU) 2016/680 im Hinblick auf den angestrebten Zweck verhältnismäßige Fristen für die Speicherung bzw. die regelmäßige Überprüfung der Notwendigkeit der Speicherung vorsehen. Diese Regelungen – ebenso wie die verfahrensrechtlichen Vorkehrungen zur Einhaltung dieser Fristen – müssen in den entsprechenden Materiengesetzen, die die Datenverarbeitung regeln, getroffen werden.
Eingriffe in das Grundrecht sind mit Einwilligung der betroffenen Person oder in dessen lebenswichtigem Interesse zulässig. Die „Einwilligung“ in § 1 Abs. 2 soll der „Einwilligung“ nach Art. 4 Z 11 DSGVO entsprechen. Eine Einwilligung der betroffenen Person ist demnach jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.
Darüber hinaus können Eingriffe im öffentlichen Interesse aufgrund einer gesetzlichen Grundlage oder im überwiegenden berechtigten Interesse eines anderen erfolgen. Ausschließlich diese vier Eingriffstatbestände in das Grundrecht auf Datenschutz sollen zulässig sein und sind gleichrangig. Für Eingriffe im öffentlichen Interesse ist eine gesetzliche Grundlage erforderlich. Auch Gesetze, die eine Interessenabwägung zugunsten oder zulasten Privater vornehmen (zB Verarbeitung von genetischen Daten durch Versicherungen) können im öffentlichen Interesse liegen.
Eingriffe aufgrund eines überwiegenden berechtigten Interesses eines anderen benötigen hingegen nicht zwingend eine gesetzliche Grundlage. Besondere gesetzliche Regelungen zur Einwilligung (zB § 17 Abs. 2 des E-Government-Gesetzes, BGBl. I Nr. 10/2004) ebenso wie das absolute Verbot einer Einwilligung (zB § 67 des Gentechnikgesetzes (GTG), BGBl. Nr. 510/1994) bleiben weiterhin zulässig.
Auch im Falle zulässiger Verarbeitung von vom Abs. 1 umfassten Daten darf der Eingriff in das Grundrecht jeweils nur dem Zweck angemessen und sachlich relevant sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“).
Im Übrigen gilt Art. 8 Abs. 2 der Charta der Grundrechte der Europäischen Union, ABl. C 83 vom 30.3.2010, S. 389, auch ohne ausdrückliche Anordnung für diesen Bereich.
§ 2 legt den sachlichen Anwendungsbereich fest. Der räumliche Anwendungsbereich wird unmittelbar in der DSGVO festgelegt.
Die Weisungsfreistellung des Datenschutzbeauftragten im öffentlichen Bereich stützt sich auf Art. 20 Abs. 2 Z 8 B‑VG. Hinsichtlich der Grenzen des gemäß Art. 20 Abs. 2 B‑VG vorzusehenden Unterrichtungsrechts wird auf Art. 38 Abs. 3 DSGVO verwiesen.
Art. 54 Abs. 1 DSGVO legt den Mitgliedstaaten jedoch auf, die in den lit. a bis f genannten Vorgaben durch Rechtsvorschriften im nationalen Recht vorzusehen. § 7 Abs. 1 legt in diesem Sinne die Datenschutzbehörde als einzige nationale Aufsichtsbehörde gemäß Art. 51 DSGVO fest. Diesbezüglich ist von einer Kontinuität der nach den Vorgaben des DSG 2000 eingerichteten Datenschutzbehörde auszugehen. Mit Geltung der DSGVO (25. Mai 2018) soll die bestehende Datenschutzbehörde somit nationale Aufsichtsbehörde gemäß Art. 51 DSGVO werden.
Der Fortsetzung der laufenden Funktionsperiode der Leitung der Datenschutzbehörde wird in § 76 geregelt.
Für die Ausübung der in der DSGVO festgelegten Aufgaben und Befugnisse gegenüber den in Art. 19 B‑VG bezeichneten obersten Organen der Vollziehung ist eine Verfassungsbestimmung erforderlich. Die in § 35 Abs. 2 DSG 2000 geregelte Verfassungsbestimmung soll dementsprechend in das neue DSG übernommen werden.
Art. 52 Abs. 6 DSGVO, der eine Finanzkontrolle der Aufsichtsbehörde verlangt, soll ebenfalls nicht unmittelbar im DSG geregelt werden, da sich derartige Regelungen bereits aus dem Rechnungshofgesetz 1948 (RHG), BGBl. Nr. 144/1948, ergeben. Der Rechnungshof hat bei der Prüfung der Datenschutzbehörde die in Art. 52 Abs. 6 DSGVO festgelegten Grundsätze einzuhalten.
§ 8 Abs. 3 entspricht inhaltlich weitgehend dem bisherigen § 37 Abs. 3 DSG 2000; im Sinne einer unionsrechtskonformen Auslegung des Art. 20 Abs. 2 B‑VG (siehe das Urteil des EuGH vom 16. Oktober 2012 in der Rs C-614/10 zur Datenschutz-Richtlinie) wird das Unterrichtungsrecht dahingehend eingeschränkt, dass die Ausübung dieses Rechts den Vorgaben für die Unabhängigkeit in Art. 52 DSGVO nicht widersprechen darf.
Nach Art. 53 Abs. 1 DSGVO müssen die Mitgliedstaaten vorsehen, dass jedes Mitglied ihrer Aufsichtsbehörden im Wege eines transparenten Verfahrens ernannt wird, und zwar vom Parlament, von der Regierung, vom Staatsoberhaupt oder von einer unabhängigen Stelle, die nach dem Recht des Mitgliedstaats mit der Ernennung betraut wird. Weiters sehen Art. 54 Abs. 1 lit. c, d und e DSGVO vor, dass die Mitgliedstaaten die Vorschriften und Verfahren für die Ernennung des Mitglieds oder der Mitglieder jeder Aufsichtsbehörde durch Rechtsvorschriften regeln, eine Amtszeit von mindestens vier Jahren festlegen und regeln, ob das Mitglied oder die Mitglieder jeder Aufsichtsbehörde wiederernannt werden können. Diese Vorgaben sollen in Abs. 1 durchgeführt werden. Dabei werden inhaltlich die in § 36 Abs. 1 DSG 2000 geregelten Vorgaben weitgehend übernommen. Auf die Ausschreibung finden die Regelungen des Ausschreibungsgesetzes 1989 (AusG), BGBl. Nr. 85/1989, Anwendung. Eine – auch mehrmalige – Wiederbestellung zum Leiter der Datenschutzbehörde soll zulässig sein.
Mit Abs. 3 wird hinsichtlich von verbotenen Handlungen und beruflichen Tätigkeiten Art. 54 Abs. 1 lit. f durchgeführt. Für die Berechnung der Zwei-Jahres-Frist gemäß Abs. 3 Z 2 ist – wie bereits bei der inhaltsgleichen Regelung in § 36 Abs. 3 Z 2 DSG 2000 – auf den Zeitpunkt der Bestellung abzustellen.
Im Übrigen finden aufgrund der allgemeinen Anordnung in § 7 Abs. 2 auf den Stellvertreter des Leiters der Datenschutzbehörde die Regelungen des Leiters der Datenschutzbehörde sinngemäß Anwendung.
Zudem kann sich die Datenschutzbehörde – wie in Art. 57 Abs. 3 lit. b DSGVO vorgesehen – zum Zwecke der Förderung der Bewusstseinsbildung in Datenschutzfragen an die Öffentlichkeit wenden.
Die Befugnisse der Aufsichtsbehörde werden in Art. 58 DSGVO festgelegt und sind weitgehend nicht durchführungsbedürftig. Jedoch bedarf es weiterer Konkretisierungen insbesondere hinsichtlich der Überprüfung von Datenverarbeitungen und des Einschau- bzw. Betretungsrechts. Dies soll in den Abs. 1 und 2 unter Anlehnung an die bisherigen Regelungen in § 30 Abs. 2 und 4 DSG 2000 vorgesehen werden.
Erforderlich erscheint zudem die Festlegung einer – zum Teil auf dem bisherigen § 30 Abs. 5 DSG 2000 basierenden – Verschwiegenheitsregelung für Informationen, die der Datenschutzbehörde oder ihren Beauftragten bei der Kontrolltätigkeit zukommen; dies soll in Abs. 3 geregelt werden. Informationen, die der Datenschutzbehörde oder den von ihr Beauftragten bei der Kontrolltätigkeit zukommen, dürfen ausschließlich für die Kontrolle im Rahmen der Vollziehung datenschutzrechtlicher Vorschriften verwendet werden. Für das Strafverfahren stellt § 76 Abs. 2 StPO das Verhältnis zwischen Amtshilfe und Verschwiegenheitspflichten insofern klar, als Ersuchen von kriminalpolizeilichen Behörden, Staatsanwaltschaften und Gerichten, die sich auf Straftaten bestimmter Personen beziehen, grundsätzlich ohne Rücksicht auf bestehende Verschwiegenheitspflichten zu beantworten sind. Nach dem Willen des Gesetzgebers wird damit ein Vorrang strafgerichtlicher Erhebungsersuchen vor der Amtsverschwiegenheit statuiert (Lendl in Fuchs/Ratz, WK StPO § 76 Rz 30) und auch Ersuchen, die sich auf automationsunterstützt verarbeitete personenbezogene Daten erstrecken, dürfen nicht bloß mit dem Hinweis auf die besondere Qualität der Datenermittlung und -verarbeitung abgelehnt werden.
Ebenfalls aus dem DSG 2000 (§ 30 Abs. 6a) übernommen werden soll in Abs. 4 die Möglichkeit bei Gefahr im Verzug, die Weiterführung der Datenverarbeitung mit Bescheid gemäß § 57 Abs. 1 des Allgemeinen Verwaltungsverfahrensgesetzes 1991 – AVG, BGBl. Nr. 51, untersagen zu können.
Die Verpflichtung zur Erstellung eines Tätigkeitsberichtes ergibt sich bereits grundsätzlich aus Art. 59 DSGVO. Jedoch erscheint es erforderlich zu konkretisieren, dass die Datenschutzbehörde bis zum 31. März eines jeden Jahres einen den Vorgaben des Art. 59 DSGVO entsprechenden Tätigkeitsbericht zu erstellen und vorzulegen hat. Damit wird grundsätzlich die Regelung des § 37 Abs. 5 DSG 2000 übernommen.
In § 13 sollen im Rahmen der Durchführung des Art. 77 DSGVO das Recht auf Beschwerde bei einer Aufsichtsbehörde sowie die Grundsätze des Verfahrens vor der Aufsichtsbehörde geregelt werden. Diesbezüglich werden die bereits in § 31 Abs. 3, 4, 7 und 8 DSG 2000 vorgesehenen Regelungen zum Teil übernommen.
Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten. Diese Unterstützung entspricht inhaltlich und umfänglich der gemäß § 13 Abs. 3 des Allgemeinen Verwaltungsverfahrensgesetzes 1991 (AVG), BGBl. Nr. 51/1991, zu leistenden Manuduktionspflicht.
Im Übrigen soll die Datenschutzbehörde gemäß Abs. 10 auch ausdrücklich die Möglichkeit bekommen, Amtssachverständige im Verfahren beiziehen zu können.
Abs. 10 orientiert sich hinsichtlich der Entscheidungsfristen gemäß § 73 AVG an der Regelung in § 8 Abs. 2 Z 1 des Verwaltungsgerichtsverfahrensgesetzes (VwGVG), BGBl. I Nr. 33/2013. Im Fall der Datenschutzbehörde soll auch während eines Verfahrens nach Art. 56 und 60 DSGVO die Entscheidungsfrist gehemmt werden. Dies betrifft insbesondere die Verfahren der federführenden Aufsichtsbehörde im Fall des Vorliegens eines sog. „Lokalen Falles“ gemäß Art. 56 Abs. 2 ff DSGVO sowie die Verfahren im Rahmen der Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den anderen betroffenen Aufsichtsbehörden gemäß Art. 60 DSGVO und den Fall des Kohärenzverfahrens gemäß Art. 63 DSGVO.
Mit § 14 sollten weitere verfahrensrechtliche Regelungen im Verfahren vor der Datenschutzbehörde festgelegt werden.
In diesem Sinne werden die Regelungen des bisherigen § 31a Abs. 2 bis 4 DSG 2000 zum Teil in die Abs. 1 und 2 übernommen und entsprechend angepasst. Inhaltlich teilweise übernommen werden soll auch § 34 Abs. 1 und 2 DSG 2000.
§ 16 soll den Rechtsmittelzug von der Datenschutzbehörde zum Bundesverwaltungsgericht regeln und übernimmt dabei weitgehend die bereits bestehenden Regelungen in § 39 DSG 2000 zum Verfahren vor dem Bundesverwaltungsgericht.
§ 18 sieht erforderliche Konkretisierungen zu der in Art. 82 DSGVO geregelten Haftung und dem Recht auf Schadenersatz vor. Dabei wird – neben dem allgemeinen Anspruch auf Schadenersatz in Abs. 1 – das für Klagen zuständige Gericht in Abs. 2 festgelegt.
§ 23 regelt die Einberufung der Sitzungen und die Form der Beschlussfassung sowie die Möglichkeit, Arbeitsausschüsse zu bilden sowie Sachverständige beizuziehen.
Zu den §§ 30 bis 33:
Einige der im 9a. Abschnitt enthaltenen Sonderregelungen für Videoüberwachungen haben sich in der Praxis nicht bewährt und sollen daher nicht beibehalten werden. So wurde etwa das Hinterlegen des Schlüssels zur Videoüberwachung bei der Datenschutzbehörde nach § 50c Abs. 1 DSG 2000 in der Praxis nicht eingeführt. Ferner erscheint eine Unterscheidung zwischen einer digitalen und einer analogen Aufzeichnung nach § 50c Abs. 2 DSG 2000 nicht mehr zweckmäßig. Das von § 50e DSG 2000 – in Abweichung vom § 26 Abs. 1 DSG 2000 – vorgesehene Auskunftsrecht hat sich in der Praxis als zum Teil undurchführbar erwiesen, da es eine Sichtung der Videoaufnahmen über den Auskunftswerber hinaus von anderen Personen voraussetzte, in deren Rechte dadurch eingegriffen wurde.
Die neue Regelung zielt darauf ab, grundsätzlich alle Bildaufnahmen durch Verantwortliche des privaten Bereichs (so zB auch das Anfertigen von Fotografien zu beruflichen Zwecken) diesen Bestimmungen unterliegen zu lassen, sofern diese nicht ohnehin aufgrund von Art. 2 Abs. 2 lit. c DSGVO („Haushaltsausnahme“) vom Anwendungsbereich ausgenommen sind und auch nicht andere Gesetze hierzu Besonderes vorsehen. Davon umfasst sind auch Aufnahmen im Rahmen der Privatwirtschaftsverwaltung (zB Überwachung von öffentlichen Gebäuden, soweit diese im Rahmen der Privatwirtschaftsverwaltung erfolgt). Aufnahmen zur Vollziehung hoheitlicher oder schlicht hoheitlicher Aufgaben sollen hingegen nicht von diesem Abschnitt erfasst sein; diese benötigen weiterhin eine gesonderte gesetzliche Rechtsgrundlage (§ 1 DSG und Art. 18 B‑VG).
Mit „Objekten“ nach § 30 Abs. 3 Z 3 sind etwa KFZ-Kennzeichen oder Fahrzeugaufschriften gemeint.
Bildaufnahmen, mit denen in den höchstpersönlichen Lebensbereich einer betroffenen Person eingegriffen wird, sollen ausschließlich mit ausdrücklicher Einwilligung zulässig sein. Damit sollen etwa auch kommerzielle Filmaufnahmen ermöglicht werden. Abgesehen vom Kernbereich der Privatsphäre (§ 31 Abs. 4 Z 1) soll auch ein unverhältnismäßiger Eingriff in deren Vorfeld unzulässig sein. Zu denken ist hier etwa an die Kontrolle von Zugängen zu Räumlichkeiten, in denen typischerweise höchstpersönliche Verhaltensweisen verwirklicht werden (zB medizinische Einrichtungen, Sakralräume, Hygieneräume). Erweisen sich solche Zutrittskontrollen jedoch im Einzelfall als für die Wahrung überwiegender Interessen als erforderlich und sind sie verhältnismäßig ausgestaltet, liegt kein Fall des § 31 Abs. 4 Z 1 vor.
Zum automatisierten Abruf bereit gehaltene personenbezogene Daten müssen entsprechend laufend vollständig und aktuell gehalten werden. Unter einem „automatisierten Abruf“ gemäß § 37 Abs. 3 ist insbesondere die Abfrage von Datenbanken zu verstehen.
Die Pflichten nach Abs. 5 können je nach Fall sowohl den Empfänger als auch den Übermittler treffen (zB bei unrichtigen Daten).
§ 39 Z 2 regelt die Verarbeitung von Daten, die die betroffene Person offensichtlich selbst öffentlich gemacht hat. Dies ist nur für einen der in § 34 genannten Zwecke zulässig; überdies muss die Verarbeitung unbedingt erforderlich sein und es müssen wirksame Maßnahmen auf gesetzlicher Ebene zum Schutz der Rechte und Freiheiten der betroffenen Personen getroffen werden. „Öffentlich machen“ setzt einen offensichtlich willentlichen und aktiv gesetzten Schritt der betroffenen Person zur Veröffentlichung, etwa im Internet oder in Zeitungen, voraus. Die bloße Teilnahme am öffentlichen Leben (zB als Angehöriger einer Minderheit oder als Teilnehmer an einer politischen Kundgebung) kann hingegen nicht darunter verstanden werden. Das Erfordernis einer gesetzlichen Grundlage gemäß Art. 18 B‑VG bleibt davon unberührt. Von § 39 Z 2 nicht umfasst ist zudem die Weiterverarbeitung (zB das Abgleichen der offensichtlich von der betroffenen Person selbst öffentlich gemachten Daten mit Datenbanken), wofür eine entsprechende gesetzliche Grundlage erforderlich wäre.
Das in Abs. 3 enthaltene Diskriminierungsverbot bezieht sich auf Art. 21 GRC. Zu beachten ist, dass Profiling aufgrund besonderer Datenkategorien (zB im Rahmen einer Fahndung nach einer Person mit einer bestimmten Hautfarbe) nicht grundsätzlich ausgeschlossen ist; untersagt ist lediglich diskriminierendes Profiling, dh. wenn das Abstellen auf das jeweilige Merkmal nicht aus sachlich gerechtfertigten Gründen erfolgt. In Abs. 3 wird die Definition der besonderen Kategorien personenbezogener Daten aus Art. 9 Abs. 1 DSGVO übernommen (siehe auch Art. 10 der Richtlinie (EU) 2016/680).
Die zur Umsetzung des Art. 17 Abs. 1 der Richtlinie (EU) 2016/680 erforderliche Zuständigkeit der Datenschutzbehörde wird durch die Festlegung einer neuen Aufgabe in § 63 Abs. 1 Z 10 geschaffen.
Die Protokollierung in Bezug auf nicht automatisierte Verarbeitungssysteme muss nicht im gleichen Umfang erfolgen wie bei automatisierten Verarbeitungssystemen, da ein automatisches Logging nicht möglich ist. Aus diesem Grund soll für nicht automatisierte Verarbeitungssysteme eine deutlich abgeschwächte – dem § 14 Abs. 2 Z 7 DSG 2000 nachgebildete – Protokollierungspflicht gelten; es muss aber sichergestellt sein, dass der in Abs. 1 festgelegte Zweck der Nachvollziehbarkeit und Überprüfbarkeit der Zulässigkeit der Verarbeitung erreicht wird (vgl. auch Erwägungsgrund 56 der Richtlinie (EU) 2016/680: „Der Verantwortliche oder der Auftragsverarbeiter, der personenbezogene Daten in nicht automatisierten Verarbeitungssystemen verarbeitet, sollte über wirksame Methoden zum Nachweis der Rechtmäßigkeit der Verarbeitung, zur Ermöglichung der Eigenüberwachung und zur Sicherstellung der Integrität und Sicherheit der Daten, wie etwa Protokolle oder andere Formen von Verzeichnissen, verfügen.“).
Übermittlungen personenbezogener Daten an Drittländer oder internationale Organisationen zu den in § 34 genannten Zwecken dürfen nur an für die genannten Zwecke zuständige Behörden im jeweiligen Drittland bzw. in der jeweiligen internationalen Organisation erfolgen. Eine Übermittlung an sonstige Empfänger (zB private Unternehmen) ist hingegen grundsätzlich ausgeschlossen; um allfällige personenbezogene Daten an Private zu übermitteln, sind die in Rechtsschutzabkommen vorgesehenen offiziellen Kanäle einzuhalten.
Datenübermittlungen in Drittländer oder internationale Organisationen können aufgrund einer Angemessenheitsentscheidung der Europäischen Kommission, mit der ein angemessenes Datenschutzniveau festgestellt wird (§ 59), falls eine solche nicht vorhanden ist aufgrund geeigneter Garantien (§ 60) oder falls auch diese nicht vorliegen in bestimmten Ausnahmefällen erfolgen (§ 61).
Mit dieser Bestimmung wird Art. 36 der Richtlinie (EU) 2016/680 umgesetzt, soweit er an die Mitgliedstaaten gerichtet ist.
Angemessenheitsbeschlüsse gemäß Art. 36 Abs. 3 der Richtlinie (EU) 2016/680 können von der Europäischen Kommission gemäß Abs. 5 leg.cit. in Form von Durchführungsrechtsakten widerrufen, geändert oder ausgesetzt werden, wenn entsprechende Informationen dahingehend vorliegen, dass ein Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in einem Drittland oder eine internationale Organisation kein angemessenes Schutzniveau mehr gewährleistet; Übermittlungen aufgrund angemessener Garantien gemäß § 60 sowie in Ausnahmefällen gemäß § 61 bleiben davon jedoch unberührt.
Die Kommission veröffentlicht gemäß Art. 36 Abs. 8 der Richtlinie (EU) 2016/680 im Amtsblatt der Europäischen Union und auf ihrer Website eine Liste aller Drittländern beziehungsweise Gebiete und spezifischen Sektoren in einem Drittland und aller internationalen Organisationen, bei denen sie durch Beschluss festgestellt hat, dass diese ein beziehungsweise kein angemessenes Schutzniveau für personenbezogene Daten bieten. Ein zusätzlicher innerstaatlicher Umsetzungsakt ist nicht erforderlich, da § 59 Abs. 1 unmittelbar an das Vorliegen eines Angemessenheitsbeschlusses der Europäischen Kommission gemäß Art. 36 Abs. 3 der Richtlinie (EU) 2016/680 anknüpft.
Mit dieser Bestimmung wird Art. 37 der Richtlinie (EU) 2016/680 umgesetzt.
Rechtsverbindliche Instrumente iSd Abs. 1 Z 1 können insbesondere Polizei- und Rechtshilfeabkommen sein, die betroffenen Personen subjektive Rechte einräumen und wirksame verwaltungsrechtliche und gerichtliche Rechtsbehelfe vorsehen; bei der Beurteilung der Umstände im Zusammenhang mit der Datenübermittlung gemäß Abs. 1 Z 2 kann der Verantwortliche insbesondere Kooperationsvereinbarungen zwischen Europol oder Eurojust und Drittländern sowie Geheimhaltungspflichten berücksichtigen. Personenbezogene Daten sollten zudem nicht verwendet werden, um die Todesstrafe oder eine Form der grausamen und unmenschlichen Behandlung zu beantragen, zu verhängen oder zu vollstrecken (vgl. Erwägungsgrund 71).
Nach Art. 45 Abs. 2 der Richtlinie (EU) 2016/680 sieht jeder Mitgliedstaat vor, dass jede Aufsichtsbehörde nicht für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen zuständig ist. Die Mitgliedstaaten können vorsehen, dass ihre Aufsichtsbehörde nicht für die Überwachung der von anderen unabhängigen Justizbehörden im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen zuständig ist. § 62 Abs. 1 setzt diese Vorgaben des Art. 45 Abs. 2 der Richtlinie (EU) 2016/680 um.
Die Datenschutzbehörde hat im Tätigkeitsbericht nach § 12 auch über ihre Tätigkeiten nach dem 3. Hauptstück zu berichten.
§ 68 verweist für die Rechtsbehelfe, Haftung und Sanktionen auf den entsprechenden 3. Abschnitt des 2. Hauptstücks. Die Verhängung von Geldbußen gemäß § 19 soll ausgeschlossen sein, da Geldbußen gegen „zuständige Behörden“ (§ 35 Z 7) nicht verhängt werden können.
Im Rahmen des Art. 6 Abs. 2 und 3 sowie Art. 23 DSGVO und Kapitel IX der DSGVO iVm Erwägungsgrund 10 können die Mitgliedstaaten spezifischere Vorschriften zum Schutz Privater beibehalten oder erlassen. Derartige Regelungen sollen hinsichtlich der Datenverarbeitungen zu spezifischen Zwecken und der Bildverarbeitungen (5. und 6. Abschnitt des 2. Hauptstücks) vorgesehen werden. Darüber hinaus soll – wie bereits im DSG 2000 – auch das Datengeheimnis (§ 6) in das neue DSG aufgenommen werden. Um bei Verstößen gegen diese Verarbeitungen auch entsprechende Maßnahmen ergreifen zu können, sieht § 69 die Möglichkeit der Verhängung von Verwaltungsstrafen vor.
§ 71 enthält den Durchführungs- und Umsetzungshinweis.
Verordnungen dürfen unter den in § 73 genannten Voraussetzungen bereits von dem Tag an erlassen werden, der der Kundmachung der durchzuführenden Gesetzesbestimmungen folgt. Davon umfasst sind die Verordnungsermächtigungen der Datenschutzbehörde nach § 10 Abs. 2 und 3.
Zu § 76:
Im neuen DSG gibt es keine Möglichkeit für die Erlassung einer Standard- und Musterverordnung; an Stelle dessen hat die Datenschutzbehörde aufgrund von Art. 35 Abs. 4 DSGVO die Möglichkeit, eine Liste der Verarbeitungsvorgänge, für die eine Datenschutz-Folgenabschätzung durchzuführen ist, zu erstellen und zu veröffentlichen. Die Datenschutzbehörde kann des Weiteren gemäß Art. 35 Abs. 5 DSGVO eine Liste der Arten von Verarbeitungsvorgängen erstellen und veröffentlichen, für die keine Datenschutz-Folgenabschätzung erforderlich ist.
Ein strafbarer Tatbestand, der vor dem Inkrafttreten dieses Bundesgesetzes verwirklicht wurde, ist nach jener Rechtslage zu beurteilen, die für den Täter in ihrer Gesamtauswirkung günstiger ist; dies gilt auch für das Rechtsmittelverfahren. Dies betrifft nur Anträge an die Datenschutzbehörde. Neue Klagen können bei den ordentlichen Gerichten (§ 5 Abs. 4 DSG 2000) ab dem 25. Mai 2018 daher generell nicht mehr eingebracht werden; stattdessen ist der Antrag an die Datenschutzbehörde zu richten. Der Rechtsmittelzug soll sich für diese ab dem 25. Mai 2018 eingebrachten Fälle ebenfalls nach den Regelungen des neuen DSG richten.
Abs. 7 regelt die Übergangsbestimmung für den Datenschutzrat. Die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes entsendeten Mitglieder und Ersatzmitglieder des Datenschutzrates sollen bis zum Eintritt einer der Voraussetzungen des § 21 Abs. 5 Z 1 bis 3 in ihrer Funktion bleiben. Mit dieser Bestimmung ist die Kontinuität des Gremiums gesichert. Gleiches gilt sinngemäß auch für den Vorsitzenden des Datenschutzrates und die stellvertretenden Vorsitzenden, die bis zum Eintritt einer der Voraussetzungen des § 22 Abs. 3 Z 1 bis 3 in ihrer Funktion bleiben sollen.
Abs. 8 stellt klar, dass – wie auch schon nach der geltenden Rechtslage – die einschlägigen materienspezifischen Regelungen zu Datenverarbeitungen (leges speciales) den allgemeinen Regelungen des neuen DSG vorgehen (zB die Verarbeitung personenbezogener Daten im Rahmen der Sicherheitspolizei nach dem 4. Teil des Sicherheitspolizeigesetzes (SPG), BGBl. Nr. 566/1991, oder die organisatorische Einrichtung des Rechtsschutzbeauftragten gemäß § 91a Abs. 1 SPG).
Zu Artikel 3 (Anpassungsbestimmungen)
Das DSG 2000 samt den darauf basierenden Verordnungen soll mit Inkrafttreten dieses Bundesgesetzes aufgehoben werden. Auf bestimmte Fälle, die noch einen zeitlichen Bezug zum DSG 2000 haben, kann das DSG 2000 weiterhin beschränkt Anwendung finden (Übergangsregelungen).
In § 1 sollen terminologische und inhaltliche Anpassungen an die DSGVO vorgenommen werden. Diesbezüglich soll der in § 4 Z 4 DSG 2000 definierte Begriff „Auftraggeber“ in allen Bundesgesetzen – wenn in der jeweiligen Bestimmung der „Auftraggeber“ in datenschutzrechtlicher Hinsicht bezeichnet wird – durch den in Art. 4 Z 7 DSGVO definierten Begriff „Verantwortlicher“ in der jeweils grammatikalisch richtigen Form ersetzt werden. Ebenso soll der in § 4 Z 5 DSG 2000 definierte Begriff „Dienstleister“ durch den in Art. 4 Z 8 DSGVO definierten Begriff „Auftragsverarbeiter“ ersetzt werden. Durch die unmittelbare Geltung der DSGVO können die bisher verwendeten Begriffe nicht mehr aufrechterhalten werden.
Hinsichtlich des in Art. 9 DSGVO verwendeten Begriffs der „besonderen Kategorien von personenbezogenen Daten“ wird auf eine Anpassung in Bundesgesetzen verzichtet, zumal der – bislang in der österreichischen Rechtsordnung – verwendete Begriff der „sensiblen Daten“ auch im Erwägungsgrund 10 der DSGVO mit dem Begriff „besondere Kategorien von personenbezogenen Daten“ gleichgesetzt wird.
Die Richtlinie 95/46/EG wird mit Wirkung vom 25. Mai 2018 aufgehoben. Gemäß Art. 94 Abs. 2 DSGVO gelten Verweise auf die aufgehobene Richtlinie als Verweise auf die DSGVO. Eine diesbezügliche Anordnung für das innerstaatliche Recht kann daher unterbleiben.

References: Art. 6
 Art. 6
 Art. 10
 Art. 44
 Art. 44
 § 2
 § 2
 § 1
 § 1
 Art. 8
 § 1
 § 1
 § 1
 Art. 8
 Art. 18
 Art. 5
 § 1
 Art. 4
 § 17
 § 67
 Art. 8

§ 2
 Art. 20
 Art. 20
 Art. 38

Art. 54
 § 7
 Art. 51
 Art. 51
 § 76
 Art. 19
 § 35

Art. 52
 Art. 52

§ 8
 § 37
 Art. 20
 EuGH 
 Art. 52
 Art. 53
 Art. 54
 § 36
 Art. 54
 § 36
 § 7
 Art. 57
 Art. 58
 § 30
 § 30
 § 76
 § 76
 § 57
 Art. 59
 Art. 59
 § 37
 § 13
 Art. 77
 § 31
 § 13
 § 73
 § 8
 Art. 56
 Art. 56
 Art. 60
 Art. 63
 § 14
 § 31
 § 34

§ 16
 § 39

§ 18
 Art. 82

§ 23
 § 50
 § 50
 § 50
 § 26
 Art. 2
 Art. 18
 § 30
 § 31
 § 37

§ 39
 § 34
 Art. 18
 § 39
 Art. 21
 Art. 9
 Art. 10
 Art. 17
 § 63
 § 14
 § 34
 Art. 36
 Art. 36
 § 60
 § 61
 Art. 36
 § 59
 Art. 36
 Art. 37
 Art. 45
 § 62
 Art. 45
 § 12

§ 68
 § 19
 Art. 6
 Art. 23
 § 69

§ 71
 § 73
 § 10
 § 76
 Art. 35
 Art. 35
 § 21
 § 22
 § 91
 § 1
 § 4
 Art. 4
 § 4
 Art. 4
 Art. 9
 Art. 94