Source: https://www.dorda.at/node/2572
Timestamp: 2020-05-31 09:22:00
Document Index: 238375334

Matched Legal Cases: ['§ 1', '§ 4', '§ 22', '§ 7', 'Art 10', '§ 4']

Das neue österreichische Datenschutzregime | DORDA
Am 29.6.2017 wurde endlich das zukünftige DSG 2018 beschlossen: Die Anpassung des österreichischen Rechtsrahmens an die ab 25.5.2018 anwendbare EU-Datenschutzgrundverordnung (DSGVO) war nicht unumstritten. Anstatt dem ursprünglich mit der Regierungsvorlage verfolgten Plan einer kompletten Neufassung des Datenschutzgesetzes wurde aus realpolitischen Gründen ein ganz neuer Ansatz gewählt:
Als Konsequenz aus der mangelnden Verfassungsmehrheit, die für die Änderung der Verfassungsbestimmungen des DSG 200 erforderlich gewesen wären, wurde das Datenschutzgesetz 2000 nunmehr nicht wie ursprünglich geplant aufgehoben und neu erlassen, sondern lediglich – tatsächlich umfassend – abgeändert. Alle (sachlich eigentlich notwendigen) verfassungsrechtlichen Änderungen wurden aus dem Erstentwurf gestrichen. Tatsächlich wurde also die Novelle in die alte Hülle des DSG 2000 gepackt. Das macht das neue Gesetz allerdings nicht wirklich übersichtlich und schwerer lesbar, als der ursprünglich geplante Neustart.
Das im Schnellverfahren gegenüber der Regierungsvorlage inhaltlich nochmals geänderte Gesetz (den Volltext des vom Verfassungsausschuss angepassten Entwurfs können Sie hier nachlesen) lässt erkennen, dass zumindest die ersten Stellungnahmen punktuell berücksichtigt wurden. Im Vergleich zur Regierungsvorlage sind insbesondere folgende Neuerungen relevant:
Streichung aller zuvor beabsichtigten Verfassungsänderungen: Damit bleibt insbesondere das in § 1 DSG enthaltene Grundrecht auf Datenschutz – in offenem Widerspruch zur DSGVO und damit unionsrechtswidrig – unverändert und erfasst auch juristische Personen ("jedermann"). Außerdem bleiben auch weiterhin Landesdatenschutzgesetze aufgrund der nicht vorgenommenen Kompetenzverschiebung zum Bund bestehen und weiterhin möglich.
Senkung des Zustimmungsalters von Kindern auf 14 Jahre: Mit dem neuen § 4 Abs 4 DSG können Kinder nun in Datenverarbeitungen im Zusammenhang mit Informationsdiensten schon ab dem vollendeten 14. Lebensjahr einwilligen. Damit wird die von der DSGVO als unverbindliche Vorgabe vorgesehene Altersgrenze von 16 Jahren praxisnah gesenkt. Das ist, wie auch von uns in unserer Stellungnahme gefordert, im Interesse der Affinität der Jugend zu Diensten der Informationsgesellschaft (man denke etwa an Apps oder soziale Medien) jedenfalls zu begrüßen.
Datenschutzbehörde kann auch ohne "begründeten Verdacht" Datenverarbeitungen prüfen und Einschau halten: Im neuen § 22 Abs 1 DSG wurde die Einschränkung gestrichen, wonach die Behörde nur bei begründetem Verdacht Untersuchungsbefugnisse hat. Dementsprechend sind die Kontrollbefugnisse der Behörde ausgeweitet und gestärkt – das ist ein wesentlicher Praxispunkt.
Unverändert bleiben allerdings die angesichts der Höhe der Strafen verfassungsrechtlich kritischen Bestimmungen über die Verhängung der Geldbußen durch die neue Datenschutzbehörde. In den ebenfalls leicht abgeänderten Erläuterungen zum Entwurf wurde aber die ergänzend ein Vorrang der Haftung der juristischen Person vorgesehen. Dies hilft aber einem Einzelunternehmer nicht wirklich und stellt sich hier auch die Frage der Zulässigkeit und Verhältnismäßigkeit der Strafdrohung nach österreichischem Verfassungsrecht.
Weiters sollen praxisnahe Bestimmungen zur Erleichterung von Datenverarbeitungen im Bereich Wissenschaft und Forschung in entsprechenden Materiengesetzen folgen. Diese Ankündigung wurde nun auch in den Erläuterungen aufgenommen. Dabei soll von den Öffnungsklauseln der DSGVO Gebrauch gemacht werden. Bis dahin bleiben allerdings die starren und im europaweiten Vergleich strengen Bestimmungen des bisherigen DSG erhalten (jetzt § 7 DSG). Es bleibt zu hoffen, dass die auch von uns geforderten und für die Branche und den Wirtschaftsstandort Österreich wichtigen Regelungen tatsächlich im Nachgang zeitnahe umgesetzt werden.
Unklar ist weiters, ob bestehende, nach dem DSG gültige, Einwilligungserklärungen fortgelten. In den Erwägungen wird dazu nur auf Erwägungsgrund 171 der DSGVO verwiesen, wonach Einwilligungen weiter gültig sind, "sofern sie der DSGVO entsprechen". Damit wird keine ausreichende Rechtssicherheit geschaffen. Wir hatten in unserer Stellungnahme angeregt, dass nach deutschem Vorbild die nach dem DSG 2000 gültig erteilten Zustimmungserklärungen aufrecht bleiben (ohne doppelte Prüfung nach der DSGVO).
Neue Bestimmung über die Verarbeitung strafrechtlich relevanter Daten: Art 10 DSGVO sieht grundsätzlich vor, dass strafrechtliche Daten "nur unter behördlicher Aufsicht" verarbeitet werden dürfen, sofern die Mitgliedstaaten keine abweichenden Regelungen vorsehen. Das ist insbesondere beim Betrieb von Videoüberwachungsanlagen und Whistleblowing Hotlines für die Praxis problematisch, da mit diesen Systemen potentielle Straftäter ausfindig gemacht und damit strafrechtlich relevante Daten verarbeitet werden. Daher sieht die nun ergänzte Bestimmung des § 4 Abs 3 DSG vor, dass strafrechtliche Daten auch auf Basis überwiegend berechtigter Interessen des Verantwortlichen verarbeitet werden dürfen. Damit können die etablierten Compliance-Instrumente weiter betrieben werden.
Das Positive am nun erfolgten Beschluss des DSG ist, dass damit den österreichischen Unternehmen zumindest eine nationale Basis für ihre Umsetzungsprojekte zur Erzielung der Datenschutz-Compliance gegeben wird. Der große Wermutstropfen ist aber, dass durch die politischen Umstände statt der Neukodifizierung eine von der Gesetzestechnik schwächere Lösung umgesetzt wurde, die zudem auch weitere verfassungsrechtliche Themen aufwirft. Auch wurde die Chance vertan, aus dem an sich als Ausgangspunkt guten Erstentwurf durch den Praxisinput eine wirklich praxistaugliche, abschließende datenschutzrechtliche Rechtsgrundlage zu schaffen. So bleibt angesichts des Schnellschusses die Gefahr, dass tatsächliche und vermeintliche Versäumnisse statt im zentralen DSG in Materiengesetzen nachgeschoben werden und es so auch zu einer Rechtszersplitterung kommt.
Im Herbst 2017 wird das DORDA Datenschutzteam in weiteren Clarity Talks das neue österreichische DSG im Detail analysieren. Die Datenschutzexperten von DORDA Rechtsanwälte stehen für Rückfragen zwischenzeitig gerne zur Verfügung.
Die Entstehungsgeschichte des Entwurfs
Am 12.5.2017 wurde der im Hinblick auf die schon überfällige Vorbereitung lange erwartete und mehrfach verschobene erste Entwurf des neuen österreichischen Datenschutzgesetzes veröffentlicht. Die Frist für Stellungnahmen im Gesetzgebungsprozess endete am 23.6.2017. Überraschenderweise hat die Bundesregierung seinen Entwurf aber dem Nationalrat bereits am 7.6.2017 als Regierungsvorlage weitergeleitet – also während der laufenden Begutachtungsfrist. Diese Vorgehensweise ist absolut unüblich, wurde aber durch die weiteren Ergebnisse noch negativ überboten:
Während der rein faktisch verkürzten Begutachtungsfrist sind insgesamt 110 Äußerungen eingegangen. Daraus lässt sich das rege Interesse der Öffentlichkeit und doch einige offene Themen ableiten. Auch DORDA hat (als einzige Rechtsanwaltskanzlei) auf Basis unserer jahrelangen Datenschutzexpertise eine eigene Stellungnahme eingebracht um insbesondere für die Praxis besonders relevante Punkte aufzuzeigen.
Schon drei Tage nach Ablauf der Begutachtungsfrist passierte die Regierungsvorlage am 26.6.2017 den Verfassungsausschuss des Nationalrats. Dabei wurden kurzfristig noch Änderungen am Entwurf vorgenommen. In einer Plenarsitzung vom 29.6.2017 hat der Nationalrat die in letzter Minute geänderte Novelle des Datenschutzgesetzes nun tatsächlich verabschiedet.