Source: http://www.drda.at/cms/X06/X06_3.18.6.b
Timestamp: 2018-12-15 07:57:14
Document Index: 382323911

Matched Legal Cases: ['Art 88', '§ 11', 'Art 88', 'Art 288', 'Art 9', '§ 4', 'Art 9', 'Art 4', '§ 4', 'Art 4', 'Art 4', 'Art 7', 'Art 7', 'Art 30', 'Art 30', 'Art 35', 'Art 36', 'Art 10', 'Art 37', 'Art 38', 'Art 38', 'Art 38', '§ 879', 'Art-29', 'Art 35', '§ 21', 'Art 33', 'Art 34', '§ 24', 'Art 13', 'Art 5', '§ 6', 'Art 5', 'Art 5', 'Art 25', 'Art 5', '§ 6', 'Art 5', 'Art 5', '§ 27', 'Art 5', 'e contrario', 'Art 17', 'Art 5', '§ 8', 'Art 6', '§ 8', 'Art 6', 'Art 6', '§ 8', 'Art 7', 'Art 6', 'Art 9', '§ 9', '§ 105', 'Art 4', 'Art 4', 'Art 4', '§ 105', '§ 11', 'Art 88', 'Art 88', 'Art 88', '§ 11', '§ 11', 'Art 88', '§ 11', 'Art. 88', '§ 89', '§ 9', 'Art 88', '§ 89', 'Art 88', '§ 11', '§ 11', '§ 89', 'Art 88', 'Art 83', 'Art 83', '§ 11', '§ 11', 'Art. 83', 'Art. 58', 'Art 58', '§ 11', 'Art 88', 'Art 88', 'Art 88', 'Art 88', '§ 96', '§ 10', 'Art 88', 'Art 83', 'EuG', '§ 10', '§ 10', 'EuG', 'Art 88', 'Art 288', 'Art 288', 'Art 288', 'Art 288', 'Art 288', 'Art 4', 'Art 9', 'Art 9', 'Art 4', 'Art 4', 'Art 7', 'Art 7', 'Art 8', 'Art 6', 'Art 9', 'Art 7', 'Art 7', 'Art 7', 'Art 30', 'Art 30', 'Art 30', 'Art 30', 'Art 10', 'Art 35', 'Art 37', 'Art 83', 'Art 4', 'Art 33', 'Art 5', 'Art 5', 'Art 6', '§ 6', 'OGH', 'Art 5', '§ 8', 'Art 6', 'Art 6', 'Art 6', 'Art 6', 'Art 9', 'Art 9', '§ 9', 'Art 88', 'Art 88', '§ 11', 'OGH', 'Art 88', 'Art 88', 'Art 82', 'Art 88']

Das Recht der Arbeit - DRdA Entscheidungsbesprechung
DRdA Entscheidungsbesprechung
Datenschutz und Arbeitsrecht – Was ändert sich durch die Datenschutz-Grundverordnung?1)
Wolfgang Brodil (Wien)
Was ändert sich durch die Datenschutz-Grundverordnung? Nichts und Alles – oder Alles bleibt anders.2) Ein Blick in die Praxis zeigt derzeit jedenfalls pure Hysterie. Dabei zeigt sich eine fast schon traditionelle Facette von Datenschutz – die nahezu völlige Mystifizierung des normativen Inhalts, die durch die traditionell höchst unbestimmten Rechtsbegriffe der europarechtlichen Rechtsquellen bestens befeuert wird.
IdZ ist jedenfalls festzuhalten, dass in weiten Bereichen des Datenschutzes höchstgradige Rechtsunsicherheit besteht. Vieles ist kaum mit hinreichender Sicherheit vorauszusagen – auch in der Literatur finden sich gehäuft Worte wie „möglicherweise“ oder sämtliche Formen des Konjunktivs. Ebenso vieles wird von der Spruchpraxis zunächst der österreichischen Datenschutzbehörde (DSB) abhängen, wobei aufgrund der bereits erwähnten Unterdeterminierung der Rechtsnormen ein weites Feld an möglichen Ergebnissen denkbar ist.
2.2. Wesentliche Neuerungen in der DSGVO
2.3. Materiellrechtliche Grundlagen der Datenverarbeitung im Arbeitsverhältnis
Ausgewählte Problemstellungen
3.1. Betriebsrat als Verantwortlicher
3.2. Die Öffnungsklausel des Art 88 DSGVO und das Datenschutzgesetz
3.2.1. § 11 Datenschutz-Anpassungsgesetz 2017
3.2.2. Die „endgültige“ Umsetzung im Datenschutz-Deregulierungsgesetz 2018
3.3. Die Notifikationspflicht des Art 88 Abs 3 DSGVO
1. Die Datenschutz-Grundverordnung (DSGVO)
Bis Ende Mai galt noch das „alte“ DSG 2000, das auf der DS-RL aus den 1990er-Jahren fußte. Nunmehr trat mit 25.5.2018 eine gänzlich andere Rechtsquelle an deren Stellen: Die im April 2016 beschlossene VO (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der RL 95/46/EG3) – die Datenschutz-Grundverordnung (DSGVO).4)
Eine Verordnung der EU gem Art 288 AEUV entfaltet bekanntlich völlig andere Wirkungen als eine Richtlinie. Sie ist unmittelbar anzuwenden und dient an sich dem Zweck der Vollharmonisierung.5) Warum diese Änderung?! Der 9. und 10. Erwägungsgrund halten fest, dass die DS-RL kein einheitliches Datenschutzniveau gewährleisten konnte, weil zu viele Unterschiede beim Schutzniveau in den einzelnen Mitgliedstaaten gegeben waren. Daher sollte das Schutzniveau durch eine Verordnung vereinheitlicht werden, „das Schutzniveau für die Rechte und Freiheiten von natürlichen Personen bei der Verarbeitung dieser Daten in allen Mitgliedstaaten gleichwertig sein“.6)
Nur mit diesem Ansatz wäre die rigide Eingriffsintensität der Rechtsquelle Verordnung überhaupt sinnvoll zu begreifen. Allerdings enthält die DSGVO wieder über 60 Öffnungsklauseln, die den Mitgliedstaaten – zum Teil obligatorisch – weitere oder spezifischere Regelungen überlassen. Dazu erwägt 8. Erwägungsgrund: „Wenn in dieser Verordnung Präzisierungen oder Einschränkungen ihrer Vorschriften durch das Recht der Mitgliedstaaten vorgesehen sind, können die Mitgliedstaaten Teile dieser Verordnung in ihr nationales Recht aufnehmen, soweit dies erforderlich ist, um die Kohärenz zu wahren und die nationalen Rechtsvorschriften für die Personen, für die sie gelten, verständlicher zu machen.“
Damit ist aber die angestrebte Vollharmonisierung nicht zu erreichen. Es handelt sich also um eine sogenannte hinkende Verordnung oder eine Verordnung „mit Richtlinien-Charakter“.7) Die völlig aus dem Rahmen gelaufene Zahl der Öffnungsklauseln ist schlicht der Tatsache geschuldet, dass sich die Mitgliedstaaten in diesen Fällen nicht auf eine gemeinsame Linie einigen konnten und die Öffnungsklauseln es weiterhin ermöglichen, dass viele Dinge in der Gestaltungsmacht der Mitglieder verbleiben.8) Gleichzeitig finden sich in manchen Bereichen auch dezente Verschlechterungen iSe Aufweichung des Schutzniveaus – mit ein Grund, warum Österreich im schriftlichen Verfahren im Rat gegen die DSGVO gestimmt hat.9)
Alles in allem verbleibt nun – nach rund vier Jahren Verhandlungen mehr als 3000 (!) Abänderungsanträgen, Einflussnahmen, auch durch außereuropäische Lobbying-Organisationen – eine Verordnung, die in manchen Bereichen mehr Fragen aufwirft als sie beantwortet. Die 173 Erwägungsgründe tun das Übrige dazu, den Norminhalt nicht leicht zu erfassen.
Daneben hat der österreichische Gesetzgeber mit dem Datenschutz-Anpassungs- bzw Deregulierungsgesetz 201810) ein innerstaatliches Begleitgesetz geschaffen. Es trat ebenso am 25.5. in Kraft. Dieses neue Datenschutzgesetz enthält einiges an arbeitsrechtlichem „Sprengstoff“. Sonst enthält dieses DSG neben diversen organisatorischen Regelungen – etwa über Datenschutzbehörde und -rat – besondere Vorschriften über die Videoüberwachung, die in der DSGVO nicht geregelt wurde. Zudem finden sich Vorschriften über die Datenverwendung für Zwecke der Sicherheitspolizei.11) Darauf – sowie auf andere Facetten, etwa den Datenschutz für juristische Personen12) – wird hier nicht näher eingegangen. Festzuhalten ist aber, dass das Gesetz wohl einige „Doppelungen“ enthält, deren Wirksamkeit angesichts der unmittelbaren Wirkung der DSGVO fraglich ist.
2. Die wesentlichen Neuerungen
2.1. Terminologische Änderungen
Deutliche Änderungen betreffen zunächst Begriffe und Terminologien, was ein Umlernen notwendig macht. Der schon bisher sehr weite Datenbegriff wird ein wenig modifiziert.13) Weiterhin sind „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen, personenbezogene Daten“ iSd DSGVO. Die vormals sensiblen Daten stehen nunmehr unter dem Überbegriff besondere Kategorien schutzwürdiger Daten (Art 9 Abs 1 DSGVO). Sie umfassen wie bisher personenbezogene Daten über rassische und ethnische Herkunft, politische Meinung, religiöse oder weltanschauliche Überzeugung oder die Gewerkschaftszugehörigkeit sowie Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung. Neu hinzu gekommen sind nunmehr „genetische und biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person“. Schon nach alter Rechtslage konnten derartige Daten mE dem Begriff der Gesundheitsdaten im weitesten Sinne subsumiert werden. Wie bisher bleibt es bezüglich dieser – wohl weiterhin als sensibel bezeichneten – Daten bei einem grundsätzlichen Verarbeitungsverbot.14)
Anhand zweier einschlägiger Beispiele seien die Schwierigkeiten der Interpretation datenschutzrechtlicher Normen gegeben. Dies betrifft etwa die philosophische Überzeugung – bisher in § 4 Z 2 DSG 2000 als sensibles Datum definiert. In Art 9 DSGVO fehlt dieses nunmehr, obwohl etwa die englische Fassung der DSGVO weiterhin von „religious or philosophical beliefs“ spricht. Allerdings wird eine profunde innere Haltung zu Schopenhauer oder Nietzsche in sinnvoller Subsumption dem Begriff der Weltanschauung untergeordnet werden können.15)
In steter Diskussion ist weiters die Frage sogenannter Mischdaten.16) Dies betrifft Daten, die sich nicht ex ante zweifelsfrei einer der beiden Datenkategorien zuordnen lassen oder in ihrer Eigenschaft zwischen sensibel und nicht-sensibel chamäleonartig wechseln können.
Dies sind einmal Fotografien von Personen. Fraglich ist, ob nicht jedes Bild sozusagen immanent eine Auskunft über ethnische und rassische Herkunft, allenfalls auch Gesundheitsdaten oder Religion „inkludiert“17) – also ein Foto immer als sensible Information anzusehen ist.18) Diese Ansicht relativiert aber der 51. Erwägungsgrund. Dort heißt es: „Die Verarbeitung von Lichtbildern sollte nicht grundsätzlich als Verarbeitung besonderer Kategorien von personenbezogenen Daten angesehen werden, da Lichtbilder nur dann von der Definition des Begriffs „biometrische Daten“ erfasst werden, wenn sie mit speziellen technischen Mitteln verarbeitet werden, die die eindeutige Identifizierung oder Authentifizierung einer natürlichen Person ermöglichen.“
Es erscheint klar, dass sämtliche Fälle von Gesichtserkennungsprogrammen eine biometrische Datenverarbeitung darstellen.19) Genetische und biometrische Daten sind bloß dann sensible Verwendungen, wenn es um die Identifizierung natürlicher Personen geht. In allen sonstigen Zusammenhängen sind genetische Daten sodann wohl bloß im Lichte der Gesundheitsdaten relevant – bspw wenn ein Gentest einer bereits identifizierten natürlichen Person zum Zweck der Feststellung einer genetischen Krankheitsprädisposition durchgeführt wird.
Leider stellt auch die Neuregelung in der DSGVO derartige Fragestellungen nicht klar. Ob nun ein Bild eines Menschen immer auch eine ethnische Information beinhaltet oder nicht, ist weiterhin offen. Dasselbe wird übrigens auch für den Namen diskutiert – letztlich kann auch daraus allenfalls auf ethnische Herkunft, womöglich auch die Religion geschlossen werden.20) Nach mancher Ansicht21) ist davon auszugehen, dass bei bloßem Namen das datenschutzrechtliche Kriterium der „hinlänglichen Sicherheit“ idR nicht vorliegen wird. Jedenfalls zeigt bereits die Tatsache, dass darüber diskutiert wird, welche Schwierigkeiten Auslegungsfragen des Datenschutzrechts mit sich bringen können.
Im arbeitsrechtlichen Kontext spielt diese Frage bspw eine Rolle bei der Internetnutzung von AN im Betrieb. So können log-files, die im Rahmen jeder Nutzung anfallen und über die URL auch die aufgerufenen Websites beinhalten, einmal nicht-sensible Daten – bspw das Abrufen der Wettervorhersage – enthalten. Ebenso ist aber der Anfall sensibler Daten denkbar – etwa, wenn sich ein Mitarbeiter durch Einloggen in eine Datenbank der Gewerkschaft als deren Mitglied ausweist. In einem solchen Fall scheitert auch die in der Literatur vorgeschlagene Methode einer Einteilung nach objektiven Gesichtspunkten iSv Erkennbarkeit.22) Vielmehr ist sodann nach richtiger Ansicht die gesamte Verarbeitung vorab der strengeren Regelung für sensible Daten zu unterwerfen, weil es sich um „an sich sensible“ oder „potentiell sensible“ Daten handelt.
An weiteren terminologischen Neuerungen ist zu erwähnen, dass aus dem Auftraggeber nunmehr der Verantwortliche gem Art 4 Z 7 DSGVO wird. Aus dem vormaligen Dienstleister wird jetzt ein Auftragsverarbeiter – eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.23) Die bisherige Datenverwendung des § 4 Z 8 DSG 2000 wird zur „Verarbeitung“ gem Art 4 Z 2 DSGVO. Allerdings ist weiterhin von einem sehr weiten Begriff auszugehen, als „das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung“ und anderes jedenfalls eine Verarbeitung darstellt.
Eine weitere Neuerung der DSGVO: Aus der Zustimmung wird nunmehr die Einwilligung. Allerdings hat sich inhaltlich abseits einer Art „Intensivierung“ der Bewusstheit des Erklärenden nicht allzu viel geändert. Die Einwilligung ist gem Art 4 Z 11 DSGVO nunmehr „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“. Freiwilligkeit der Einwilligung ist nur gegeben, wenn die betroffene Person tatsächlich eine Wahlmöglichkeit hat, also ohne Nachteile auf die Erteilung der Einwilligung verzichten kann.24)
In Art 7 erweitert und präzisiert die DSGVO die Anforderungen an die Einwilligung. Sie überbürdet dem Verantwortlichen die Beweislast für die Existenz einer Einwilligung sowie die Vorabinformation über das Widerrufsrecht.25) Das Ersuchen um Einwilligung hat in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist.26) Wie bisher kann die Einwilligung in die Verarbeitung nicht sensibler Daten auch konkludent erteilt werden – die Einwilligung in die Verwendung sensibler Daten hat weiterhin immer ausdrücklich zu erfolgen.27)
Überdies besteht nunmehr ein Koppelungsverbot. Die Einwilligung muss auf Freiwilligkeit beruhen und darf nicht mit der Einwilligung zu etwas anderem „erzwungen“ werden. Eine Koppelung mit einer Einwilligung zu einem anderen Sachverhalt hindert also die Freiwilligkeit der datenschutzrechtlichen Zustimmung.28) Angesichts diverser kritischer Haltungen der Datenschutz-Community zur Einwilligung im Arbeitsverhältnis – manche meinen gar, dass eine solche Einwilligung wegen des vorhandenen „Drucks“ nach angeblich hA „kaum wirksam erteilt werden“ könne29) – stellt sich die Frage, inwieweit eine Zustimmung im Arbeitsvertrag nicht immer den Hauch einer Koppelung in sich trägt. ME steht zu befürchten, dass Einwilligungen in Arbeitsverträgen prima facie regelmäßig als Koppelung anzusehen sein wird.
Allerdings hat das Einwilligungsmodell im Arbeitsverhältnis immer schon grundlegende Schwächen und ist mE untauglich. Neben der Frage, ob die so ernsthaft geforderte Freiwilligkeit in allen Fällen gewährleistet ist, bleibt die Tatsache, dass eine erteilte Einwilligung gem Art 7 Abs 3 DSGVO jederzeit widerruflich ist und zur Unzulässigkeit der weiteren Datenverwendung führt.30) Damit ist eine homogene Rechtslage im Unternehmen kaum herzustellen. Daher sind mE andere, einwilligungsunabhängige Zulässigkeitstatbestände der DSGVO tauglicher. Existieren Einwilligungen im betrieblichen Kontext, so sind sie – gem dem 171. Erwägungsgrund – im Übergang auf die DSGVO nur dann anzupassen, also wohl neuerlich einzuholen, sofern die Einwilligung „den Bedingungen dieser Verordnung entspricht, so dass der Verantwortliche die Verarbeitung nach dem Zeitpunkt der Anwendung der vorliegenden Verordnung fortsetzen kann“. MaW: Eine Adaptierung ist notwendig, wenn die bisherigen Einwilligungen den Erfordernissen der DSGVO nicht entsprechen.
Gänzlich neu ist die Verlagerung weg von der Registrierungs- bzw Genehmigungspflicht bei der DSB hin zu einer Eigenverantwortung bzw -verpflichtung des Verantwortlichen.31) Dies beginnt mit der Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten (Art 30 DSGVO).32) Es handelt sich um eine obligatorische Dokumentation sämtlicher Verarbeitungstätigkeiten, die der Zuständigkeit des Verantwortlichen unterliegen. Das Verzeichnis hat relevante Daten des Verantwortlichen, allenfalls weitere Verantwortliche, die Zwecke der Verarbeitung, eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten oder gegebenenfalls Übermittlungen uam zu enthalten.33) Dasselbe gilt für Auftragsverarbeiter.34)
Arbeitsrechtlich interessant ist die Tatsache, dass in Unternehmen mit „weniger als 250“ Mitarbeitern die Erstellung eines solchen Verzeichnisses unterbleiben kann, sofern die von ihnen vorgenommene Verarbeitung nicht ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, die Verarbeitung nicht nur gelegentlich erfolgt oder nicht die Verarbeitung sensibler Daten einschließt35) (Art 30 Abs 5 DSGVO).
In manchen Fällen kommt zur Pflicht zur Erstellung dieses Verzeichnisses gem Art 35 DSGVO noch eine weitere hinzu: „Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch“ – die sogenannte Datenschutz-Folgenabschätzung.36) Sollte aus dieser Datenschutz-Folgenabschätzung hervorgehen, dass die geplante Verarbeitung tatsächlich ein hohes Risiko zur Folge hätte und der Verantwortliche dieses nicht durch geeignete Abhilfemaßnahmen eindämmen kann – also trotz getroffener risikominimierender Maßnahmen weiterhin ein hohes Risiko besteht –, ist vor der Verarbeitung zusätzlich die DSB zu konsultieren (sogenannte Vorherige Konsultation nach Art 36 DSGVO).37)
Verpflichtend ist weiters ein Datenschutzbeauftragter zu bestellen, sofern
die Kerntätigkeit ua eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich macht, oder
die Kerntätigkeit in der umfangreichen Verarbeitung von sensiblen Daten (oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gem Art 10) besteht.38)
Kerntätigkeit heißt offenbar, dass sich diese Kerntätigkeit stets auf die Datenverarbeitung als Haupttätigkeit, nicht aber als Nebentätigkeit bezieht. MaW: Die Personalverwaltung in einem Unternehmen ist typischerweise als Nebentätigkeit anzusehen, selbst wenn dort sensible Daten erhoben werden.39)
Der Datenschutzbeauftragte ist sodann mit allen datenschutzrechtlichen Fragen zu befassen, einzubinden, unterliegt umfassenden Verschwiegenheitspflichten, ist vor Interessenkonflikten zu schützen und kann auch DN des Verantwortlichen sein (Art 37 Abs 6 sowie Art 38 DSGVO). Voraussetzung der Bestellung ist in jedem Fall, dass die Person Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt. Gem Art 38 Abs 3 DSGVO ist der Datenschutzbeauftragte in dieser Funktion weisungsfrei. Ebenso darf er wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden (Art 38 Abs 3 DSGVO). Er ist aber nicht besonders bestandgeschützt. Allerdings wird eine Kündigung überwiegend wegen der Ausübung dieser Tätigkeit ein klassisches verpöntes Motiv iSv § 879 ABGB darstellen.40)
Ein Datenschutzbeauftragter kann auch freiwillig bestellt werden. Allerdings müssen sodann auch all jene Pflichten eingehalten und Vorkehrungen (zB hinsichtlich der Unabhängigkeit des Datenschutzbeauftragten) getroffen werden, die sich aus einer verpflichtenden Bestellung ergeben.41) Die Art-29-Datenschutzgruppe hat jedenfalls Leitlinien zum Thema Datenschutzbeauftragter erarbeitet, die als Orientierungshilfe dienen können.42)
In einer Gesamtbetrachtung der eben skizzierten neuen Pflichten von AG als Verantwortliche fällt sofort die Tatsache auf, dass der exakte Umfang all dieser Pflichten – deren Nichteinhaltung unter Strafe steht43) – derzeit und ex ante nicht präzise vorhersehbar ist.
Eine Ausnahme ist in Art 35 Abs 4 DSGVO zu sehen, wonach die nationale DSB eine Liste von Verarbeitungen zu veröffentlichen hat, für die eine Datenschutz-Folgenabschätzung jedenfalls erforderlich ist – sogenannte „schwarze Listen“44) – und umgekehrt auch in sogenannten „weißen Listen“ Verarbeitungen zu definieren hat, für die keine Datenschutz-Folgenabschätzung erforderlich ist.45) Gem § 21 Abs 2 DSG hat die DSB solche Listen in Form einer Verordnung, die im Bundesgesetzblatt zu veröffentlichen ist, zu erlassen. Unsinnigerweise trat diese Verordnungsermächtigung ebenso mit 25.5. in Kraft, sodass erst danach derartige „Indices“ geschaffen wurden.46)
Weiters verpflichtet Art 33 DSGVO Verantwortliche dazu, Fälle von Data Breaching – also der Verletzung des Schutzes personenbezogener Daten47) – unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde, der DSB zu melden. Diese Meldung kann unterbleiben, wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt (sic!), womit sich wiederum die hochgradige Ungewissheit einstellt, wann dies denn der Fall ist. Ebenso besteht unter gewissen Voraussetzungen eine Verständigungspflicht den betroffenen Personen gegenüber (Art 34 DSGVO) – allerdings nur, wenn voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen besteht. Telos ist offenkundig, dass sich die Betroffenen vor den Folgen des Data Breaching schützen können.48)
Die schon bisher in § 24 DSG 2000 bestehende Informationspflicht dem Betroffenen gegenüber wurde deutlich ausgebaut (vgl Art 13 f DSGVO). Die Information des Betroffenen zählt bekanntlich zu den Kernvoraussetzungen zur Wahrnehmung der aus dem Datenschutz erfließenden Rechte. Auf nähere Details sei im hier gegebenen Zusammenhang verzichtet. Allerdings zeigt schon ein kurzer Blick etwa ein Problem, das im Mangel an Übergangsvorschriften liegt. So ist unklar, was zu gelten hat, wenn die personenbezogenen Daten bereits vor der Geltung der DSGVO am 25.5.2018 erhoben wurden; ob den Verantwortlichen die aufgezählten Informationspflichten also auch bei bereits abgeschlossenen Erhebungen treffen?49) Im Zweifel empfiehlt es sich, der erweiterten Informationspflicht nochmals bzw neuerlich nachzukommen.
Was gilt nun materiell für die Verarbeitung von AN-Daten? Wirft man einen genaueren Blick, hat sich im Kern der Verarbeitungsvoraussetzungen gar nicht viel verändert. Die Bestimmungen sind detaillierter. Der tatbestandlichen Präzisierung dient das allerdings nicht in allen Fällen. Kernbestimmung ist Art 5 der DSGVO, der grundsätzlich den bisherigen §§ 6 und 7 des DSG 2000 entspricht bzw nur eine milde Fortentwicklung mit sich bringt.
Art 5 Abs 1 zählt folgende zwingende Grundsätze der Datenverarbeitung auf:
Rechtmäßigkeit – Verarbeitung nur aufgrund eines Rechtsgrundes nach Treu und Glauben.50) Wobei der Rechtsbegriff „Treu und Glauben“ spezifisch europarechtlich iSd Gewährleistung einer „fairen“ Verarbeitung zu verstehen ist (englische Version „fairly“).51)
Transparenz – Jede Verarbeitung muss für den Betroffenen nachvollziehbar sein
Zweckbindung – Nur für festgelegte, eindeutige und legitime Zwecke samt grundsätzlichem Verbot einer darüberhinausgehenden Weiterverwendung.52) Diesbezüglich hat sich an der Rechtslage praktisch nichts geändert.
Datenminimierung – Jede Verarbeitung ist in Anbetracht des jeweiligen Verarbeitungszwecks auf das unbedingt erforderliche Maß zu beschränken.
Richtigkeit – Es sollen nur sachlich richtige Daten verarbeitet werden; unrichtige Daten sind unverzüglich zu löschen bzw zu berichtigen.
Speicherbegrenzung – Personenbezogene Daten dürfen weiterhin nicht länger als für die Zweckerreichung nötig gespeichert werden.
Integrität und Vertraulichkeit – Personenbezogene Daten sind vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung zu schützen.53)
Den oder die Verantwortliche/n trifft gem Art 5 Abs 2 DSGVO eine umfängliche Rechenschaftspflicht – insb auch der Behörde gegenüber. Daneben finden sich noch andere, teilweise neue Regelungen – etwa die in Art 25 DSGVO festgehaltenen Grundsätze des Datenschutzes durch Technikgestaltung und datenschutzfreundliche Voreinstellungen – Privacy by Design and Default.54)
Vergleicht man nunmehr Art 5 Abs 1 lit e DSGVO mit der „Vorgängerregelung“ des § 6 DSG 2000, erklärt sich das arbeitsrechtliche Problem der Erfassung datenschutzrechtlicher Vorschriften. Leg cit – in der DSGVO sodann unter dem Schlagwort „Speicherbegrenzung“ verortet – regelt die Zulässigkeit der Speicherdauer von personenbezogenen Daten: „Daten müssen in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist“ (Art 5 Abs 1 lit e DSGVO). Zum DSG 2000 hat sich im Kern praktisch nichts geändert.55) Auch in der DSGVO lautet die normative Kernaussage der datenschutzrechtlichen Regelung: Daten dürfen so lange gespeichert werden, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist.
Dieser vollkommen unbestimmte Tatbestand ist nun mit Mitteln der Interpretation mit Leben zu erfüllen, wobei grundsätzlich die Regelungen der „Sitzmaterie“ – also hier des Arbeitsrechts – heranzuziehen sind. Gleichzeitig ist erkennbar, dass man auf Grundlage einer derartigen Bestimmung einander diametral entgegenstehende Ergebnisse methodisch unangreifbar begründen kann.
ZB sind Ermahnungen (iSe späteren beharrlichen Pflichtverletzung) in der Praxis oftmals „ewig“ im Personalakt. Geschützt durch arbeitsrechtliche Verschwiegenheitspflichten verbleibt eine solche Ermahnung mit wenigen Ausnahmen bis zum Ende der Existenz des gesamten Personalakts darin.
Nun kann einmal vertreten werden, eine solche Ermahnung ist jedenfalls zu löschen, wenn sie die Kraft verloren hat, Grundlage einer Entlassung wegen beharrlicher Pflichtverletzung zu sein. Zu denken ist bspw an jenen Fall, wo ein Mitarbeiter nach einem Jahre zurückliegenden Verstoß gegen ein betriebliches Alkoholverbot samt damaliger Ermahnung Jahre später wiederum gegen das Verbot verstößt. In diesem Fall ist eine Entlassung wegen einer beharrlichen Pflichtverletzung nicht mehr möglich. Wann sodann eine Löschungspflicht betreffend die damalige Ermahnung entsteht, ist aber arbeitsrechtlich unklar. Möglicherweise liegt der Zeitraum bei in etwa einem Jahr. Bei Zugrundelegung der Ansicht, die Erforderlichkeit als Tatbestandsvoraussetzung fiele sodann weg, wären derartige Ermahnungen tatsächlich gem Art 5 Abs 1 lit e DSGVO zu löschen.
Allerdings ist auch das vollkommen konträre Ergebnis ebenso mit guten Gründen vertretbar, wirft man einen Blick auf die Angestellten-Entlassungsgründe in § 27 AngG. Nach stRsp56) ist bei der Feststellung der allgemeinen Vertrauensunwürdigkeit das bisherige Gesamtverhalten im Arbeitsverhältnis zu berücksichtigen. Daher kann es durchaus auch nach Verlust der Ermahnungsqualität als Grundlage für eine beharrliche Pflichtverletzung darüber hinaus von Bedeutung – also „erforderlich“ iSd Datenschutzes – sein, eine solche Ermahnung im Personalakt zu behalten. Bis zum Ende des Arbeitsverhältnisses ist eine Entlassung immer möglich und sodann ist die Erforderlichkeit der weiteren Speicherung als Tatbestandsvoraussetzung des Art 5 Abs 1 lit e DSGVO gegeben. Auch dieses Interpretationsergebnis ist methodisch nicht zu kritisieren und vom Datenschutz gedeckt! ME ist letzteres Ergebnis aus arbeitsrechtlichem Verständnis zu bevorzugen.
Ist die Erforderlichkeit der weiteren Speicherung nicht mehr gegeben, sind die Daten jedenfalls zu löschen. Dieses Ergebnis war mE schon auf Grundlage des DSG 2000 zwingend und bleibt es auch im Geltungsbereich der DSGVO. In all diesen Fällen wird die dennoch erfolgte weitere Aufbewahrung grundrechtswidrig, was eine Löschungsverpflichtung e contrario impliziert. In der DSGVO ist nunmehr in Art 17 recht plakativ von einem „Recht auf Vergessenwerden“ als Recht auf Löschung die Rede. Dieses greift auf Antrag des Betroffenen gem Abs 1 lit a leg cit, wenn die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind. Darin muss eine Art normativer Doppelung erblickt werden, weil sich aus Art 5 DSGVO bereits eine Löschungsverpflichtung des Verantwortlichen ergibt.57)
Werfen wir einen Blick auf die alte und neue Rechtsgrundlage für die Verwendung von nicht-sensiblen Daten auch im Arbeitsverhältnis: § 8 DSG 2000 und nunmehr Art 6 DSGVO.58) Bisher war abseits der Zustimmung bzw Einwilligung und der gesetzlichen Anordnung zur Datenverwendung – etwa sozialversicherungsrechtliche Meldepflichten – eine Verwendung zulässig, sofern „überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten die Verwendung erfordern“ (§ 8 Abs 1 Z 4 DSG 2000).59) Hier bringt Art 6 Abs 1 DSGVO leichte Präzisierungen, als lit b jetzt deutlicher60) jeden Vertrag zur tauglichen Rechtsgrundlage einer Datenverarbeitung macht. Die Verarbeitung muss somit für die Vertragszwecke – sowohl in Wahrnehmung von Rechten als auch Pflichten – notwendig sein.61)
Weiters ist in lit c eine sonstige rechtliche Verpflichtung erwähnt, die sich sowohl aus Unionsrecht als auch dem Recht der Mitgliedstaaten ergeben kann.62) Ebenso findet sich nunmehr eine Interessenabwägung als eine Art Generalklausel in Art 6 Abs 1 lit f DSGVO. Ohne auf andere Details näher einzugehen, ist aber festzuhalten, dass sich diese Regelung dezent, aber doch von § 8 Abs 1 Z 4 DSG 2000 unterscheidet. Bisher war nämlich eine Datenverarbeitung nur zulässig, wenn der Auftraggeber gegenüber dem Betroffenen ein überwiegendes Interesse an der Datenverwendung geltend machen konnte. Nunmehr reichen berechtigte Interessen des Verantwortlichen, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen. Darin sei eine Verschlechterung zu erblicken, weil das bloße berechtigte Interesse des Verantwortlichen niemals eine Datenverarbeitung rechtfertigen kann.63) Dieses Konzept eines Gleichstandes, bei welchem sodann Zulässigkeit der Verarbeitung besteht, sei daher systemwidrig verschlechternd, ua weil es in benachteiligender Weise dem Betroffenen die Beweislast für das Überwiegen seines Interesses aufbürde.64) Diese Verschlechterung war einer der Gründe für Österreichs Gegenstimme im Rat.
Auch weiterhin ist jedenfalls eine Interessenabwägung vorzunehmen. In deren Rahmen sind zudem auch die aus Art 7 und 8 GRC zustehenden Grundrechte beachtlich. Zudem seien alle Interessen des Betroffenen zu berücksichtigen, ohne dass diese Interessen „berechtigt“ sein müssen.65) Auch hier spielen die vernünftigen Erwartungen („reasonable expectations“) der betroffenen Person eine bedeutsame Rolle.66)
Hinzuweisen ist allerdings auf eine „Regelung“ im 48. Erwägungsgrund, die sich auf Art 6 Abs 1 lit f DSGVO bezieht und als „kleines Konzernprivileg“ bezeichnet wird. „Verantwortliche, die Teil einer Unternehmensgruppe oder einer Gruppe von Einrichtungen sind, die einer zentralen Stelle zugeordnet sind, können ein berechtigtes Interesse haben, personenbezogene Daten innerhalb der Unternehmensgruppe für interne Verwaltungszwecke, einschließlich der Verarbeitung personenbezogener Daten von Kunden und Beschäftigten, zu übermitteln.“ Durch die hier ausdrückliche Erwähnung des anerkannten Interesses von Unternehmensgruppen an internem Datenaustausch zwecks Verwaltungsoptimierung und -vereinfachung sollen Datenflüsse innerhalb einer Konzerngruppe zukünftig leichter zu rechtfertigen sein.67)
Für die schon erwähnten sensiblen Daten gilt der taxative Katalog an Durchbrechungen des Verarbeitungsverbotes nach Art 9 DSGVO, der im Übrigen auch nicht durch Sondernormen der Mitgliedstaaten verändert werden darf.68) Im arbeitsrechtlichen Kontext ist – abseits der Einwilligung nach Abs 2 lit a – ausschließlich Abs 2 lit b von Relevanz.69) Und auch hier zeigt sich, dass sich am materiell-rechtlichen Gehalt nicht allzu viel geändert hat. Weiterhin verweist das Datenschutzrecht völlig unverhohlen auf Regelungen des Arbeitsrechts und sagt nicht mehr oder weniger, als es dazu selbst keinerlei Wertungen enthält. Die Verarbeitung sensibler Daten ist somit zulässig, wenn die „Verarbeitung erforderlich ist, damit der Verantwortliche oder die betroffene Person die ihm bzw ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und Pflichten nachkommen kann“.
Im Ergebnis kommt es durch die DSGVO sogar zu einer Art Verbesserung als die mehr oder weniger irrtümlich in § 9 Z 11 DSG 2000 aufgenommene Voraussetzung einer kumulativ existenten „besonderen Rechtsvorschrift“ nunmehr wegfällt.70) Es reicht nunmehr die Erforderlichkeit aufgrund arbeitsrechtlicher Wertungen. Dabei ist schon nach dem Wortlaut der Bestimmung ein strenger Maßstab anzulegen.
3. Ausgewählte Problemstellungen
Zum Abschluss sei noch exemplarisch auf einige Fragestellungen eingegangen, die in Hinkunft wohl noch Probleme bereiten werden.
Ein bisher noch gar nicht beachtetes Problemfeld ist idZ die Frage, wie bspw die Belegschaftsvertretung selbst in das System der DSGVO einzubetten ist – schließlich verarbeitet auch der BR in vielen Fällen personenbezogene AN-Daten. Wird er etwa von der beabsichtigten Kündigung eines konkreten AN im Rahmen des betrieblichen Vorverfahrens nach § 105 ArbVG verständigt, so enthält diese Information regelmäßig eine Reihe von personenbezogenen Daten des betroffenen AN. Damit beginnt beim Organ der Belegschaft allerdings eine Verarbeitung iSd DSGVO.
Es ist mangels Wahrnehmung der Öffnungsklausel in Art 4 Z 7 DSGVO zu beachten, dass uU der BR oder die Belegschaft selbst Träger der Pflichten aus der DSGVO werden können. Versteht man den Begriff „andere Stelle“ in Art 4 Z 7 DSGVO im europarechtlichen Kontext weit – was dem traditionellen Verständnis des Datenschutzes entspricht –, muss der BR wohl tatsächlich Verantwortlicher sein. Andernfalls wäre davon auszugehen, dass die DSGVO die Teilrechtfähigkeit der Belegschaft um die Position des Verantwortlichen erweitert. Die gem Art 4 Z 7 DSGVO vorgesehene Zweckfestsetzung durch das Recht der Mitgliedstaaten liegt sodann bspw in der Ausübung des Mitwirkungsrechts im Rahmen des Kündigungsschutzes nach § 105 ArbVG. Es kann jedenfalls nicht damit enden, dass die Datenverarbeitung durch die Belegschaftsorgane nicht in den Geltungsbereich der DSGVO fällt.71)
3.2.1. § 11 Datenschutz-Anpassungsgesetz 201772)
Art 88 Abs 1 der DSGVO eröffnet den Mitgliedstaaten die Möglichkeit, „durch Rechtsvorschriften oder durch Kollektivvereinbarungen spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext zu schaffen73) “. Diese Vorschriften umfassen „angemessene und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person“ uam (Art 88 Abs 2 DSGVO). Nach dem 155. Erwägungsgrund fallen auch Betriebsvereinbarungen unter die spezifischeren Vorschriften iSv Art 88 DSGVO.74)
Der österreichische Gesetzgeber hat von dieser Öffnungsklausel im Sommer 2017 in § 11 des Datenschutz-Anpassungsgesetzes 201875) Gebrauch gemacht. Dieses Gesetz gehörte zu den eher verblüffenden Normtexten der jüngeren Rechtsgeschichte – die Regierungsvorlage76) hatte mit dem später beschlossenen Gesetzestext nur wenig zu tun. Die wichtigsten Materialien sind dem Ausschussbericht77) zu entnehmen.
§ 11 DSG enthielt eine Anordnung, die per se und in sich widersprüchlich war. So wurde zwar die Betriebsverfassung als Sonderregelung des Datenschutzes iSv Art 88 deklariert, gleichzeitig aber weiterhin die Neutralität des Datenschutzes zur Betriebsverfassung angeordnet, die seit dem DSG 1978 Bestandteil des österreichischen Rechts war:
§ 11 DSG 2017: „Das Arbeitsverfassungsgesetz ... ist, soweit es die Verarbeitung personenbezogener Daten regelt, eine Vorschrift im Sinne des Art. 88 DSGVO. Die dem Betriebsrat nach dem ArbVG zustehenden Befugnisse bleiben unberührt.“
Die Materialien des Verfassungsausschusses78) sagen dazu Folgendes: „Nachdem weder das DSG 2000 – noch zuvor das DSG 1978 – eine systematische Regelung des Beschäftigtendatenschutzes enthalten hat, sondern sich derartige Regelungen in arbeitsrechtlichen Vorschriften (§§ 89, 91, 96, 96a und 97 im ArbVG) finden, wird von einer inhaltlich Ausgestaltung des Beschäftigtendatenschutzes im DSG Abstand genommen. Fortgeschrieben werden soll jedoch das bestehende Verhältnis zwischen dem DSG 2000 (§ 9 Z 11 DSG 2000) und dem ArbVG.“79) Daher sollte dieses gem Art 88 Abs 3 DSGVO der EU notifiziert werden. Und weiter sagen die Materialien: „Den bestehenden Mitwirkungsrechten der Belegschaft (§§ 89, 91, 92 und 96 bis 106 ArbVG) wird nicht derogiert.“
Ohne hier auf Details eingehen zu können, hätte Österreich damit wohl Betriebsvereinbarungen iSv „spezifischeren“ Vorschriften des Art 88 DSGVO zu „individual-datenschutzrechtlich“ wirkenden Regelungen erhoben.80)
Kurz vor Ostern 2018 haben allerdings ÖVP, SPÖ und FPÖ einen Initiativantrag an den Verfassungsausschuss des Nationalrates (NR) gerichtet,81) das Datenschutzgesetz noch vor Inkrafttreten am 25.5. zu ändern – ein Datenschutz-Deregulierungsgesetz 2018. Neben der sinnvollen Novellierung der Verfassungsbestimmungen mit der notwendigen Mehrheit sollte aber auch der dargelegte § 11 geändert werden.
§ 11 DSG sollte demgemäß lauten: „Die Befugnisse der Arbeitnehmerschaft nach dem 3. Hauptstück des Arbeitsverfassungsgesetzes, insbesondere nach dessen §§ 89, 91, 96, 96a und 97, sowie die Mitwirkungsrechte in Bezug auf die Personalvertretung bleiben, soweit sie die Verarbeitung personenbezogener Daten betreffen, unberührt.“
Die dazu gehörigen Materialien82) sagten dazu: „Das Arbeitsverfassungsgesetz ... ist, soweit es die Verarbeitung personenbezogener Daten regelt, eine Vorschrift im Sinne des Art 88 DSGVO“ – was dem Normtext der derzeit beschlossenen Fassung entspricht! „Die dem Betriebsrat nach dem ArbVG zustehenden Befugnisse bleiben unberührt. Es ist aber selbstverständlich, dass nicht jegliche Übertretung des ArbVG zu einer Strafbarkeit nach Art 83 DSGVO führt, sondern nur Übertretungen von Schutzvorschriften des ArbVG betreffend die Verarbeitung personenbezogener Daten dem Regime des Art 83 DSGVO unterliegen.“
Aufgrund eines weiteren Abänderungsantrags – nur mehr von ÖVP und FPÖ getragen – lautet die am 20.4.2018 im NR beschlossene – nunmehr „letzte“ – Fassung des § 11 DSG:
„Verwarnung durch die Datenschutzbehörde
§ 11. Die Datenschutzbehörde wird den Katalog des Art. 83 Abs. 2 bis 6 DSGVO so zur Anwendung bringen, dass die Verhältnismäßigkeit gewahrt wird. Insbesondere bei erstmaligen Verstößen wird die Datenschutzbehörde im Einklang mit Art. 58 DSGVO von ihren Abhilfebefugnissen insbesondere durch Verwarnen Gebrauch machen.“
Damit ist von der ersten bzw zweiten Version nichts mehr übrig. Der neue „Vorrang“ von Ermahnungen vor Strafen ist jedenfalls DSGVO-konform auszulegen, um ihm überhaupt Geltung zu erhalten. Wo die DSGVO Strafen vorsieht, ist demgemäß zu strafen und nicht zu ermahnen (vgl Art 58, 83 DSGVO).83)
Der endgültige Normtext des § 11 DSG hat jedenfalls einen völlig neuen Inhalt als die zunächst beschlossenen bzw intendierten Versionen. Insb fehlt nunmehr jeder arbeitsrechtliche Bezug.84) Es ist somit davon auszugehen, dass Österreich die Öffnungsklausel des Art 88 DSGVO überhaupt nicht wahrnimmt und auf spezifischere Regelungen im arbeitsrechtlichen Bereich verzichtet. Inwieweit der damit ebenso einhergehende Verzicht auf das ausdrückliche Festhalten an der Neutralität des Datenschutzes zur Betriebsverfassung Auswirkungen zeigt, muss an anderer Stelle untersucht werden.
Zuletzt ist auf das Problem hinzuweisen, dass Art 88 Abs 3 DSGVO eine Notifikation der spezifischeren Regelungen an die EU anordnet und Österreich bis zum 25.5. keinerlei einschlägige Normen notifiziert bzw gemeldet hat. In der Literatur finden sich höchst widersprüchliche Ansichten zu den Rechtsfolgen dieses Unterbleibens.85) Insb bleibt die Frage, welche Rechtsfolgen die Existenz von „spezifischeren“ Vorschriften bei gleichzeitiger Nicht-Notifikation auslöst. Ist die Notifikation somit konstitutiv für die Geltung von innerstaatlich spezifischeren Normen oder nicht?86)
In der deutschen Literatur wird – soweit überblickt – oftmals mit dem Verlust der Rechtsetzungskompetenz bzw dem Eintritt von Nichtanwendbarkeit argumentiert. Einmal wird darin eine Art Sanktion für Mitgliedstaaten, die keine Rechtsvorschriften melden, erblickt, als diese hinsichtlich Art 88 DSGVO ihre „Rechtsetzungskompetenz“ verlieren.87) Überdies sorge die Ausschlussfrist des 25.5. dafür, dass generell keine Erlassung neuer Vorschriften zum Beschäftigtendatenschutz mehr möglich wäre.88) Es wären lediglich Änderungen an einer schon vor Ablauf der Meldefrist bestehenden, gegebenenfalls als bloßer „Rumpf“ ordnungsgemäß gemeldeten Vorschrift, aber keine Neuschöpfungen und wohl auch keine Veränderung nicht gemeldeter Vorschriften mehr möglich. Zum anderen wird davon ausgegangen, dass nicht gemeldete Vorschriften zum Beschäftigtendatenschutz aufgrund des Anwendungsvorranges der DSGVO ihre Anwendbarkeit verlieren und in diesem Bereich nur mehr die allgemeinen Vorschriften der (insofern vollharmonisierenden) DSGVO zu beachten wären.89) Allerdings finden sich auch komplett konträre Ansichten.90)
Ich habe diese Frage an anderer Stelle91) ausführlicher untersucht und gehe davon aus, dass vieles für die Rechtsfolge „Verlust der Rechtsetzungskompetenz“ spricht. Österreich hat die Öffnungsklausel des Art 88 DSGVO nicht wahrgenommen und folglich auch nichts notifiziert. So haben wir eben keinerlei spezifischere Vorschriften, also keinen individualrechtlichen Beschäftigtendatenschutz geschaffen. Damit verlieren wir die Rechtsetzungsbefugnis für spezifischere Normen im Beschäftigungskontext und die DSGVO gilt unmodifiziert sozusagen in ihrer „reinsten“ Form. Konsequenterweise können sodann bestehende Bestimmungen – wie bspw §§ 96, 96a ArbVG oder auch § 10 AVRAG – nicht als spezifischere Bestimmungen iSv Art 88 DSGVO angesehen werden.92) Dies schließt sodann auch eine Strafbarkeit bei Verstößen gegen diese Bestimmungen nach Art 83 DSGVO aus.
Dieses Ergebnis folgt jedenfalls am klarsten und konsequentesten Konzept und Funktion einer Verordnung der EU. Zum anderen griffen andere Ansätze massivst in die österreichische Arbeitsrechtsordnung ein. Diese Absicht kann dem europäischen und dem österreichischen Gesetzgeber nicht unterstellt werden. Welchem Ansatz letztlich die Behörden bzw der EuGH folgen werden, lässt sich kaum prognostizieren.
IZm § 10 AVRAG ist mE davon auszugehen, dass leg cit mit Geltung der DSGVO nicht mehr anzuwenden ist. Leg cit enthält keinerlei spezifischere Vorschriften oder angemessene und besondere Maßnahmen93) zur Datenverarbeitung, sondern entspricht dem in der DSGVO unmittelbar geregelten Modell der Einwilligung in die Datenverarbeitung und ist daher überflüssig. § 10 Abs 2 AVRAG enthält eine der DSGVO widersprechende Regelung über eine einzuhaltende Kündigungsfrist bei schriftlicher Vereinbarung und ist somit ebenso hinfällig.
Es bleibt tatsächlich alles anders. Die DSGVO ändert an den Grundsätzen der Datenverarbeitung nur wenig. Änderungen finden sich im Detail und sind oft plakativer Natur. Letzten Endes wird vieles von der Spruchpraxis der DSB bzw folgend des EuGH abhängen. Der Gerichtshof hat qua Verordnung nunmehr quasi-meritorisch selbst zu entscheiden, was mittelfristig allenfalls eine Art gefestigter Judikatur versprechen mag. Wie immer im Datenschutz ist allerdings Skepsis angebracht. Die Normqualität der Bestimmungen der DSGVO ist aufgrund der mannigfachen politischen Kompromisse hochgradig unterdeterminiert. Was vor der DSB im arbeitsrechtlichen Kontext passiert, ist ebenso kritisch zu beleuchten.
Die innerstaatliche Umsetzung im arbeitsrechtlichen Kontext im DSG 2018 muss qualitativ als eher minderwertig bezeichnet werden. Was die Wahrnehmung der Öffnungsklausel des Art 88 DSGVO betrifft, wäre es spannend (gewesen), einmal grundlegend darüber nachzudenken, in wenigen Bestimmungen tatsächlich einen AN-Datenschutz zu schaffen – Ansätze gäbe es genug.
1) Der Beitrag stellt die um Fußnoten ergänzte Fassung des Vortrags dar, den der Autor bei der 53. Tagung der Österreichischen Gesellschaft für Arbeitsrecht und Sozialrecht gehalten hat.
2) Vgl https://www.compliancebusiness-magazin.de/2016/06/23/eu-datenschutzgrundverordnung-bleibt-alles-%c2%adanders/ (26.3.2018); siehe auch Brodil in Körber-Risak/Brodil (Hrsg), Datenschutz und Arbeitsrecht (2018) 1.
3) ABl L 2016/119, 1.
4) Dazu jüngst ua Grünanger, Auswirkungen der DSGVO auf den Arbeitnehmer-Datenschutz in Österreich, ZAS 2017, 284; Pachinger/Heinrich, Ausgewählte Aspekte der DSGVO und nationales Arbeitsrecht, Dako 2018/35; Gerhartl, Die Datenschutz-Grundverordnung, JAP 2017/2018/21; ders, Datenverarbeitung im Arbeitsverhältnis, ecolex 2018, 496.
5) Nettesheim in Grabitz/Hilf/Nettesheim, Das Recht der Europäischen Union, Art 288 AEUV Rz 90; Schroeder in Streinz, EUV/AEUV – Vertrag über die Europäische Union und Vertrag über die Arbeitsweise der Europäischen Union2, Art 288 AEUV Rz 53.
6) 10. ErwG erster Satz.
7) Dazu etwa Nettesheim in Grabitz/Hilf/Nettesheim, Recht der EU, Art 288 Rz 101; Ruffert in Calliess/Ruffert, EUV.AEUV – Mit Europäischer Grundrechtecharta5, Art 288 AEUV Rz 21; Schroeder in Streinz, EUV/AEUV2, Art 288 AEUV Rz 61
8) Zur politischen Entstehungsgeschichte siehe instruktiv Schrems, Die DSGVO als Produkt von Lobbyismus und Tauschhandel, in Knyrim (Hrsg), Datenschutz-Grundverordnung (2016) 33.
9) Dazu Fercher/Riedl, Entstehungsgeschichte und Problemstellungen aus österreichischer Sicht, in Knyrim (Hrsg), Datenschutz-Grundverordnung 7 (17).
10) BGBl I 2018/120.
11) Mit der EU-Datenschutzreform wurde nicht nur die DSGVO, sondern auch eine Richtlinie geschaffen: die RL (EU) 680/2016 = Datenschutz-RL Polizei und Justiz, die im DSG 2018 umgesetzt wurde.
12) Vgl die RL (EU) 943/2016 über den Schutz vertraulichen Know-Hows und vertraulicher Geschäftsinformationen vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung. Dazu instruktiv Korenjak, Neue Anforderungen an den Geheimnisschutz im Arbeitsrecht, ZAS 2017, 289.
13) Vgl Art 4 Z 1 DSGVO.
14) Vgl Art 9 Abs 1 DSGVO aE.
15) Wohl zutreffend Bergauer, Personenbezogene Daten – Begriff und Kategorien, in Knyrim (Hrsg), Datenschutz-Grundverordnung 43.
16) Bergauer, Personenbezogene Daten – Begriff und Kategorien, in Knyrim (Hrsg), Datenschutz-Grundverordnung 59; grundlegend Jahnel, Handbuch Datenschutzrecht 2010 Rz 3/90.
17) Vgl dazu etwa Tretzmüller, Private Enforcement – Immaterieller Schadenersatz bei Datenschutzverletzungen, Jahrbuch Datenschutzrecht 2017, 199 bei FN 56; Knyrim, Bilddaten: immer sensibel? jusIT 6/2016, 235.
18) AA allerdings die öDSB 8.10.2015, DSB-D122.347/0005-DSB/2015 uam.
19) Siehe auch Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung (2017) Art 9 Rn 22.
20) Bergauer, Personenbezogene Daten – Begriff und Kategorien, in Knyrim (Hrsg), Datenschutz-Grundverordnung 61 mwN bei FN 48, 49.
21) Bergauer, Personenbezogene Daten – Begriff und Kategorien, in Knyrim (Hrsg), Datenschutz-Grundverordnung 59; Jahnel, Handbuch Rz 3/92.
22) Bergauer, Personenbezogene Daten – Begriff und Kategorien, in Knyrim (Hrsg), Datenschutz-Grundverordnung 60 mwN; siehe auch Grünanger/Goricnik, Arbeitnehmer-Datenschutz und Mitarbeiterkontrolle (2014) 19.
23) Art 4 Z 8 DSGVO.
24) Klabunde in Ehmann/Selmayr, Datenschutz-Grundverordnung, Art 4 Rn 37.
25) Art 7 Abs 1 DSGVO.
26) Art 7 Abs 2 DSGVO; zudem gibt es in Art 8 DSGVO nähere Bestimmungen die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft betreffend.
27) Vgl Art 6 Abs 1 lit a iVm Art 9 Abs 2 lit a DSGVO.
28) Art 7 Abs 4 DSGVO; vgl dazu Heckmann/Paschke in Ehmann/Selmayr, Datenschutz-Grundverordnung, Art 7 Rn 49.
29) Angerler/Reven, DSGVO und nationales Arbeitsrecht, in Knyrim (Hrsg), Datenschutz-Grundverordnung 347 (351) allerdings ohne jeden Nachweis der „hA“.
30) Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Die betroffene Person wird vor Abgabe der Einwilligung hiervon in Kenntnis gesetzt. Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein (Art 7 Abs 3 DSGVO); vgl auch Graf/Krizanaz, Einführung in die Datenschutz-Grundverordnung, ecolex 2017, 912 (915).
31) Eingehend Englader, Vom Status Quo zur Compliance – Ein Handlungsleitfaden zur Umsetzung der DSGVO, in Körber-Risak/Brodil (Hrsg), Datenschutz und Arbeitsrecht 13.
32) Dazu ausführlich Bertermann in Ehmann/Selmayr, Datenschutz-Grundverordnung, Art 30 mzwN; Selk, Verzeichnis von Verarbeitungstätigkeiten (Art 30 DSGVO): Wer muss es haben, wie hat es auszusehen, in Knyrim (Hrsg), Datenschutz-Grundverordnung 181.
33) Vgl den Katalog des Art 30 Abs 1 DSGVO.
34) Art 30 Abs 2 DSGVO.
35) Bzw die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten iSd Art 10.
36) Vgl dazu Baumgartner in Ehmann/Selmayr, Datenschutz-Grundverordnung, Art 35 mzwN.
37) Graf/Krizanaz, ecolex 2017, 917; eingehend Trieb, Datenschutz-Folgeabschätzung und vorherige Konsultation der Aufsichtsbehörde – Von der Registrierungspflicht zur weitgehenden Selbstregulierung, in Knyrim (Hrsg), Datenschutz-Grundverordnung 217.
38) Art 37 Abs 1 lit b und c DSGVO; dazu König, Der Datenschutzbeauftragte – Die interne Beratungs- und Kontrollfunktion, in Knyrim (Hrsg), Datenschutz-Grundverordnung 231; ders, Der Datenschutzbeauftragte im Unternehmen, ecolex 2018, 489.
39) König in Knyrim (Hrsg), Datenschutz-Grundverordnung 234; vgl auch den 97. Erwägungsgrund.
40) Vgl dazu auch Winter, Betrieblicher Datenschutzbeauftragter und verantwortlicher Beauftragter, in Grünanger/Goricnik, Arbeitnehmer-Datenschutz und Mitarbeiterkontrolle2 (in Druck).
41) Graf/Krizanaz, ecolex 2017, 917
42) Guidelines on Data Protection Officers („DPOs“) vom 13.12.2016, zuletzt revidiert am 5.4.2017, 16/EN (WP 243 rev.01). https://www.dsb.gv.at/documents/22758/112500/Guidelines_on_Data_Protection_Officers_(DPOs).pdf/21b32ade-ed56-4046-b555-a8a7788a2dc7 (25.3.2018).
43) Vgl Art 83 Abs 4 DSGVO.
44) Vgl auch Graf/Krizanaz, ecolex 2017, 917.
45) Die verpflichtende „schwarze Liste“ gibt es derzeit nicht, wohl aber eine Datenschutz-Folgenabschätzung-Ausnahme-VO (DSFA-AV) BGBl II 2018/108, die im Wesentlichen der bisherigen Standard- und Muster-VO entspricht.
46) Vgl bspw die VO BGBl II 108/2018 – „weiße Liste“. Die dortigen Ausnahmen entsprechen im Wesentlichen den bisherigen Ausnahmen von der Meldepflicht gem der Standard- und Muster-VO.
47) Zum Begriff Art 4 Z 12 DSGVO; dazu Hladjk in Ehmann/Selmayr, Datenschutz-Grundverordnung, Art 33 mzwN.
48) Vgl auch den 86. Erwägungsgrund der DSGVO.
49) Graf/Krizanaz, ecolex 2017, 919.
50) Verarbeitung nach Treu und Glauben impliziert auch Kongruenz zwischen vernünftiger Erwartungshaltung des Betroffenen und konkreter Verwendung; vgl Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung, Art 5 Rn 10.
51) Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung, Art 5 Rn 9.
52) Eine (Weiter-)Verwendung personenbezogener Daten zu anderen Zwecken ist nach der DSGVO, anders als nach bisherigem Recht, aber gem Art 6 Abs 4 (in eingeschränktem Maß) möglich.
53) Graf/Krizanaz, ecolex 2017, 914.
54) Dazu Hötzendorfer, Privacy by Design and Default, in Knyrim (Hrsg), Datenschutz-Grundverordnung 137.
55) Vgl den „alten“ § 6 Abs 1 Z 5 DSG.
56) Vgl OGH 9 ObA 12/16d RdW 2016, 691; vgl auch RIS-Justiz RS0029790.
57) Zur Löschung vgl auch Warter, Rechtliche Vorgaben für ein Löschkonzept, DaKo 2018/26; ders, Umsetzung eines Löschkonzepts, DaKo 2018/32.
58) Dazu auch Kastelitz, Grundsätze und Rechtmäßigkeit der Verarbeitung personenbezogener Daten (Art 5-11 DSGVO), in Knyrim (Hrsg), Datenschutz-Grundverordnung 99.
59) Vgl auch die Präzisierung in Abs 3 leg cit.
60) Siehe aber § 8 Abs 3 Z 4 DSG 2000.
61) Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung, Art 6 Rn 13.
62) Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung, Art 6 Rn 15.
63) Fercher/Riedl in Knyrim (Hrsg), Datenschutz-Grundverordnung 20 bei FN 86.
64) Fercher/Riedl in Knyrim (Hrsg), Datenschutz-Grundverordnung 20.
65) Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung, Art 6 Rn 24.
66) Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung, Art 6 Rn 24.
67) https://www.datenschutzbeauftragter-info.de/das-konzernprivileg-aenderungen-durch-die-dsgvo/ (26.3.2018).
68) Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung, Art 9 Rn 27; siehe auch Lindner, Datenübermittlung innerhalb des Konzerns und ins Ausland, in Körber-Risak/Brodil (Hrsg), Datenschutz und Arbeitsrecht 67.
69) Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung, Art 9 Rn 33.
70) Unter vielen zuletzt Brodil, Sensible Daten im Arbeitsverhältnis – Nochmals zur Erfassung von § 9 Z 11 DSG 2000, in Kietaibl/Schörghofer/Schrammel (Hrsg), Rechtswissenschaft und Rechtskunde – Liber Amicorum für Robert Rebhahn (2014) 1 mwN; Grünanger/Goricnik, Arbeitnehmer-Datenschutz und Mitarbeiterkontrolle 18.
71) Zur Strafbarkeit nach der DSGVO allgemein Stöger, Strafrechtliche Aspekte des Datenschutzes, in Brodil (Hrsg), Arbeitsrechtliche Probleme des neuen Datenschutzrechts (in Druck).
72) Das Folgende bereits bei Brodil in Körber-Risak/Brodil, Datenschutz und Arbeitsrecht 9; ebenso Brodil, Arbeitnehmerdatenschutz und Datenschutz-Grundverordnung (DSGVO), ecolex 2018, 486 (488).
73) Zur Frage, was die DSGVO unter „Beschäftigung“ versteht, Selk in Ehmann/Selmayr, Datenschutz-Grundverordnung, Art 88 Rn 31. AN ieS sind jedenfalls erfasst.
74) Vgl dazu Selk in Ehmann/Selmayr, Datenschutz-Grundverordnung, Art 88 Rn 74; zu Betriebsvereinbarungen als datenschutzrechtliche Grundlage der Datenverarbeitung siehe etwa vgl auch Köck, Digitalisierung der Arbeitswelt – Weiterbildung, Datenschutz, AN-Schutz und Betriebsverfassung, DRdA 2017, 339 (349); Goricnik, Anpassungsbedarf für bestehende Betriebsvereinbarungen vor dem Hintergrund der Europäischen Datenschutz-Grundverordnung? DRdA-infas 2017, 53.
75) BGBl I 2017/120.
76) 1664 ErläutRV 25. GP.
77) 1761 BlgNR 25. GP.
78) 1761 BlgNR 25. GP zu § 11.
79) Unter Berufung auf OGH 17.9.2014, 6 ObA1/14m, wo schlicht festgehalten wird, dass die dem BR nach dem Arbeitsverfassungsgesetz (ArbVG) zustehenden Befugnisse durch das DSG 2000 nicht berührt und auch nicht eingeschränkt werden. Ein Mitarbeiter kann daher gegen die Einsichtsrechte des BR keinen Widerspruch erheben. Vgl DaKo 2017, 45.
80) Dazu vgl Köck, Digitalisierung der Arbeitswelt – Weiterbildung, Datenschutz, AN-Schutz und Betriebsverfassung, DRdA 2017, 339 (349); siehe auch Goricnik, Anpassungsbedarf für bestehende Betriebsvereinbarungen vor dem Hintergrund der Europäischen Datenschutz-Grundverordnung? DRdA-infas 2017, 53 (57).
81) 189/A vom 22.3.2018 (26. GP).
82) 189/A vom 22.3.2018 (26. GP).
83) Brodil in Körber-Risak/Brodil, Datenschutz und Arbeitsrecht 10.
84) Vgl allerdings Goricnik, Wirkt sich die aktuelle gesetzgeberische Datenschutz-Deregulierung auf das Betriebsverfassungsrecht aus? DRdA-infas 2018, 187.
85) Dazu eingehend Brodil, Grundlegendes zur Datenschutz-Grundverordnung – Miscellen auch zu kollektivrechtlichen Aspekten, in Brodil (Hrsg), Arbeitsrechtliche Probleme des neuen Datenschutzrechts.
86) Für Letzteres im Ergebnis offenbar Goricnik, Anpassungsbedarf für bestehende Betriebsvereinbarungen vor dem Hintergrund der Europäischen Datenschutz-Grundverordnung? DRdA-infas 2017, 53 (57); differenziert Grünanger, ZAS 2017, 285.
87) Pötters in Gola, DS-GVO, Art 88 Rz 17.
88) So etwa Ehmann/Selmayr, Datenschutz-Grundverordnung, Art 88 Rz 130 ff.
89) Kort, Die Zukunft des deutschen Beschäftigtendatenschutzes ZD 2016, 555; Spelge, Der Beschäftigtendatenschutz nach Wirksamwerden der Datenschutz-Grundverordnung, DuD 2016, 775; Kühling/Martini, Die Datenschutz-Grundverordnung: Revolution oder Evolution im europäischen und deutschen Datenschutzrecht? EuZW 2016, 448; Gola/Pötters/Thüsing, Art 82 DSGVO: Öffnungsklausel für nationale Regelungen zum Beschäftigtendatenschutz, RDV 2016, 57.
90) Vgl die Nachweise bei Brodil, Grundlegendes zur Datenschutz-Grundverordnung – Miscellen auch zu kollektivrechtlichen Aspekten, in Brodil (Hrsg), Arbeitsrechtliche Probleme des neuen Datenschutzrechts.
91) Brodil, Grundlegendes zur Datenschutz-Grundverordnung – Miscellen auch zu kollektivrechtlichen Aspekten, in Brodil (Hrsg), Arbeitsrechtliche Probleme des neuen Datenschutzrechts.
92) AA Goricnik, DRdA-infas 2017, 53.
93) Vgl Art 88 Abs 1, 2 DSGVO.
AutorIn Wolfgang Brodil (Wien)
QuelleDRdA 6/2018 | Heft 379