Entscheidung:
GerichtVerfassungsgerichtshofEntscheidungsdatum12.03.2013GeschäftszahlG76/12Sammlungsnummer19738LeitsatzVerfassungswidrigkeit der im Sicherheitspolizeigesetz normierten gesetzlichen Ermächtigung zur Ermittlung von DNA-Daten im Rahmen einer erkennungsdienstlichen Behandlung mangels hinreichender Präzisierung bzw Differenzierung verschiedener Deliktstypen; verfassungskonforme Auslegung der Bestimmung über die Löschung erkennungsdienstlicher Daten von Amts wegen möglich angesichts der nicht ausgeschlossenen allgemeinen Grundsätze über die Verwendung von Daten inklusive dem Verhältnismäßigkeitsgrundsatz; Aufhebung jedoch der abschließenden Regelung über die Löschung der Daten auf Antrag des BetroffenenRechtssatzAufhebung des §67 Abs1 erster Satz SicherheitspolizeiG - SPG idF BGBl I 104/2002 (betr die DNA-Ermittlung).Aufhebung des §67 Abs1 erster Satz SicherheitspolizeiG - SPG in der Fassung Bundesgesetzblatt Teil eins, 104 aus 2002, (betr die DNA-Ermittlung).Selbst dann, wenn die bei der DNA-Untersuchung erhobenen Daten "nur" geeignet sind, einer bestimmten Person zugeordnet zu werden (dh diese zu identifizieren), handelt es sich dabei um einen Eingriff in Rechte, der ausschließlich unter verfassungsrechtlich vorgegebenen Kautelen zulässig ist. Im vorliegenden Verfahren geht es nicht um die "technische Seite" der DNA-Analyse, sondern darum, ob in diesem Sinne die Eingriffsvoraussetzungen durch den Gesetzgeber hinreichend normiert werden. Es kommt nicht darauf an, ob die erhobenen und gespeicherten DNA-Daten für jedermann nutzbar sind.Die Speicherung von Daten, die das Privatleben einer Person betreffen, stellt einen Eingriff in Art8 EMRK sowie in §1 DSG 2000 dar; allenfalls bei einem entsprechenden Unionsrechtsbezug darüber hinaus auch einen Eingriff in Art8 GRC. Dies gilt im Besonderen für DNA-Daten.Beschränkungen des Grundrechtes auf Datenschutz sind nach dem Gesetzesvorbehalt des §1 Abs2 DSG 2000 (abgesehen von lebenswichtigen Interessen des Betroffenen an der Verwendung personenbezogener Daten oder seiner Zustimmung hiezu) bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen zulässig, die aus den in Art8 Abs2 EMRK genannten Gründen notwendig sind und die ausreichend präzise, also für jedermann vorhersehbar, regeln, unter welchen Voraussetzungen die Ermittlung bzw die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben erlaubt ist.Der VfGH verkennt nicht, dass grundsätzlich weder ein den vollziehenden Behörden eingeräumtes Ermessen noch die Verwendung unbestimmter Gesetzesbegriffe verfassungsrechtlich ausgeschlossen ist. Ebenso wenig verkennt der Gerichtshof, dass das SPG an mehreren Stellen (§28a Abs3, §29 Abs1, §51 Abs1 SPG) die Verhältnismäßigkeit als einen allgemeinen und stets zu beachtenden Grundsatz festschreibt. §67 Abs1 erster Satz SPG normiert als wesentliche Voraussetzung für die Ermittlung der DNA, dass "der Betroffene in Verdacht steht, einen gefährlichen Angriff begangen zu haben". Durch diese Anknüpfung an die in §16 SPG vorgenommene Begriffsbestimmung des gefährlichen Angriffes werden jedoch selbst Vorsatztaten der leichtesten Vermögenskriminalität erfasst. Damit verabsäumt es der Gesetzgeber, mit Blick auf den mit einer DNA-Ermittlung verbundenen Grundrechtseingriff hinsichtlich der verschiedenen Deliktstypen hinreichend zu differenzieren oder manche überhaupt auszunehmen. Dazu kommt, dass §67 Abs1 erster Satz SPG keine hinreichenden Kriterien enthält, welche die im Einzelfall vorzunehmende Prognoseentscheidung ("wenn in Hinblick auf diese Tat oder die Persönlichkeit des Betroffenen erwartet werden kann, dieser werde bei Begehung weiterer gefährlicher Angriffe Spuren hinterlassen, die seine Wiedererkennung auf Grund der ermittelten genetischen Information ermöglichen würden") entsprechend determinieren würden. Schon die besondere Sensibilität eines DNA-Profiles, dessen künftige Verwendbarkeit bzw Aussagekraft heute noch gar nicht absehbar ist (vgl EGMR 04.12.2008, Fall S. und Marper, Appl 30562/04 ua), sowie die Möglichkeit einer zweckentfremdeten Nutzbarmachung verlangen aber eine gesetzliche Ermächtigungsnorm, die hinsichtlich der verschiedenen Deliktstypen hinreichend differenziert oder manche überhaupt ausnimmt und zudem entsprechend präzise ist.Schon die besondere Sensibilität eines DNA-Profiles, dessen künftige Verwendbarkeit bzw Aussagekraft heute noch gar nicht absehbar ist vergleiche EGMR 04.12.2008, Fall Sitzung und Marper, Appl 30562/04 ua), sowie die Möglichkeit einer zweckentfremdeten Nutzbarmachung verlangen aber eine gesetzliche Ermächtigungsnorm, die hinsichtlich der verschiedenen Deliktstypen hinreichend differenziert oder manche überhaupt ausnimmt und zudem entsprechend präzise ist.Keine Verfassungswidrigkeit des §73 Abs1 Z4 SPG.§73 SPG regelt grundsätzlich das Löschen erkennungsdienstlicher Daten von Amts wegen. In seinem Abs1 legt §73 SPG unterschiedliche Tatbestände fest, bei deren Erfüllung die Behörden jedenfalls zur Löschung der erkennungsdienstlichen Daten verpflichtet sind. Die Aufzählung der verschiedenen Tatbestände erlaubt den Schluss, dass der Gesetzgeber mit dieser Bestimmung häufig vorkommende Konstellationen gleichsam exemplarisch erfassen wollte, um - so die Argumentation der Bundesregierung - eine "automatisierte Löschungsauswerfung" zu ermöglichen. Bei verfassungskonformem Verständnis des §73 Abs1 SPG und insbesondere auch der in Prüfung gezogenen Z4 ist daher eine Auslegung dahingehend möglich, dass zu den im SPG vorgesehenen Löschungstatbeständen die allgemeinen Grundsätze über die Verwendung von Daten inklusive dem Verhältnismäßigkeitsgrundsatz gemäß dem DSG 2000 hinzutreten (vgl auch §51 Abs2 SPG). §73 SPG regelt grundsätzlich das Löschen erkennungsdienstlicher Daten von Amts wegen. In seinem Abs1 legt §73 SPG unterschiedliche Tatbestände fest, bei deren Erfüllung die Behörden jedenfalls zur Löschung der erkennungsdienstlichen Daten verpflichtet sind. Die Aufzählung der verschiedenen Tatbestände erlaubt den Schluss, dass der Gesetzgeber mit dieser Bestimmung häufig vorkommende Konstellationen gleichsam exemplarisch erfassen wollte, um - so die Argumentation der Bundesregierung - eine "automatisierte Löschungsauswerfung" zu ermöglichen. Bei verfassungskonformem Verständnis des §73 Abs1 SPG und insbesondere auch der in Prüfung gezogenen Z4 ist daher eine Auslegung dahingehend möglich, dass zu den im SPG vorgesehenen Löschungstatbeständen die allgemeinen Grundsätze über die Verwendung von Daten inklusive dem Verhältnismäßigkeitsgrundsatz gemäß dem DSG 2000 hinzutreten vergleiche auch §51 Abs2 SPG). Dies bewirkt, dass es §73 Abs1 SPG erlaubt, im Einzelfall eine angemessene Abwägung und Gewichtung des Interesses des Betroffenen an der Geheimhaltung bzw Löschung seiner personenbezogenen Daten und dem Interesse des Staates am Fortbestehen des Eingriffs durch Fortsetzung der Speicherung vorzunehmen, um den Grundrechtsverbürgungen des §1 DSG 2000 im Zusammenhang mit Art8 Abs2 EMRK zu genügen.Aufhebung jedoch des §74 Abs1 und Abs2 SPG (betr Datenlöschung auf Antrag).Der Ansicht der Bundesregierung, wonach §74 Abs1 und Abs2 SPG den allgemeinen datenschutzrechtlichen Löschungsanspruch ebenfalls nicht ausschließen würde, kann nicht gefolgt werden.§74 Abs1 SPG ist insofern deutlich, als einem Antrag auf Löschung nur stattgegeben werden kann, "wenn der Verdacht, der für ihre Verarbeitung maßgeblich ist, schließlich nicht bestätigt werden konnte oder wenn die Tat nicht rechtswidrig war". Ausgehend davon, dass sich ein Verdacht stets bestätigt hat und eine Tat stets rechtswidrig war, wenn schließlich eine strafgerichtliche Verurteilung erfolgte, kann §74 Abs1 SPG nur so verstanden werden, dass ermittelte Daten im Falle einer Verurteilung nicht gelöscht werden müssen. Der VfGH kann daher das Argument der Bundesregierung nicht nachvollziehen, es bliebe hier Raum für eine den Erkenntnissen VfSlg 16150/2001 und vom 29.06.2012, G7/12, vergleichbare Interpretation.(Anlassfall B702/10, E v 12.03.2013, Aufhebung des angefochtenen Bescheides).

Relevante Rechtsvorschrift:
Verstöße  gegen  Bestimmungen  der  DSGVO  und  des  § 1  oder  Artikel 2  1. Hauptstück  durch  Personen
begangen wurden, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und
eine Führungsposition innerhalb der juristischen Person aufgrund
1. der Befugnis zur Vertretung der juristischen Person,
2. der Befugnis, Entscheidungen im Namen der juristischen Person zu treffen, oder
3. einer Kontrollbefugnis innerhalb der juristischen Person
innehaben.
(2) Juristische Personen können wegen Verstößen gegen Bestimmungen der DSGVO und des § 1 oder
Artikel 2 1. Hauptstück auch verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle
durch eine in Abs. 1 genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige
Person ermöglicht hat, sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden
strafbaren Handlung bildet.
(3) Die  Datenschutzbehörde  hat  von  der  Bestrafung  eines  Verantwortlichen  gemäß  § 9  des
Verwaltungsstrafgesetzes 1991 – VStG, BGBl. Nr. 52/1991 , abzusehen, wenn für denselben Verstoß bereits
eine Verwaltungsstrafe gegen die juristische Person verhängt wird.