Entscheidung:
GerichtVerfassungsgerichtshofEntscheidungsdatum14.12.2022GeschäftszahlG287/2022 ua (G287/2022-16, G288/2022-14)Sammlungsnummer20590LeitsatzAufhebung einer Bestimmung des DSG betreffend die Verarbeitung personenbezogener Daten durch Medienunternehmen oder Mediendienste zu journalistischen Zwecken wegen Verstoßes gegen das Grundrecht auf Datenschutz; Widerspruch des absoluten, gänzlichen und undifferenzierten Ausschlusses der Anwendung einfachgesetzlicher Bestimmungen des DSG sowie näher bezeichneter Kapitel der DS-GVO mit dem Erfordernis einer gesetzlichen, sachgerechten Abwägung des Interesses am Schutz personenbezogener Daten; Verhältnis von Datenschutz und Medienfreiheit ist Rechtssetzungsaufgabe der Mitgliedstaaten; Erforderlichkeit von nationalen gesetzlichen Abweichungen oder Ausnahmen für Datenverarbeitungen zu journalistischen Zwecken zum Schutz personenbezogener Daten; Unzulässigkeit des kategorischen Vorrangs des Medienprivileges sowie der Meinungsäußerungs- und Informationsfreiheit gegenüber dem Schutz personenbezogener DatenRechtssatzAufhebung des §9 Abs1 DSG idF BGBl I 24/2018; Fristsetzung: Die Aufhebung tritt mit Ablauf des 30.06.2024 in Kraft. Steht eine Vorschrift in offenkundigem Widerspruch mit unmittelbar anwendbarem Unionsrecht, ist der Vorrang des Unionsrechts auch im Normenprüfungsverfahren gemäß Art140 Abs1 Z1 lita B‑VG zu beachten und ein Antrag gemäß dieser Verfassungsbestimmung wegen mangelnder Präjudizialität zurückzuweisen. Ein Verstoß gegen Unionsrecht ist dann als offenkundig anzusehen, wenn er derart offen zutage liegt, dass für vernünftige Zweifel keinerlei Raum bleibt ("acte-clair-Doktrin"). Im Schrifttum werden erhebliche Zweifel an der Unionsrechtskonformität des §9 Abs1 DSG geäußert. Der Widerspruch des §9 Abs1 DSG mit Unionsrecht wird dabei im Hinblick auf Art85 Abs2 DSGVO begründet. Das antragstellende Bundesverwaltungsgericht (BVwG) geht nach Auffassung des VfGH denkmöglich davon aus, dass Art85 Abs2 DSGVO jedenfalls nicht der Anwendung des §9 Abs1 DSG entgegensteht. Das BVwG hat zudem – auf Grund des untrennbaren Zusammenhanges aller Bestimmungen in §9 Abs1 DSG (vgl B v 26.09.2022, G200/2022 ua) – die angefochtene Regelung in den Anlassverfahren zur Gänze denkmöglich anzuwenden.Aufhebung des §9 Abs1 DSG in der Fassung BGBl römisch eins 24/2018; Fristsetzung: Die Aufhebung tritt mit Ablauf des 30.06.2024 in Kraft. Steht eine Vorschrift in offenkundigem Widerspruch mit unmittelbar anwendbarem Unionsrecht, ist der Vorrang des Unionsrechts auch im Normenprüfungsverfahren gemäß Art140 Abs1 Z1 lita B‑VG zu beachten und ein Antrag gemäß dieser Verfassungsbestimmung wegen mangelnder Präjudizialität zurückzuweisen. Ein Verstoß gegen Unionsrecht ist dann als offenkundig anzusehen, wenn er derart offen zutage liegt, dass für vernünftige Zweifel keinerlei Raum bleibt ("acte-clair-Doktrin"). Im Schrifttum werden erhebliche Zweifel an der Unionsrechtskonformität des §9 Abs1 DSG geäußert. Der Widerspruch des §9 Abs1 DSG mit Unionsrecht wird dabei im Hinblick auf Art85 Abs2 DSGVO begründet. Das antragstellende Bundesverwaltungsgericht (BVwG) geht nach Auffassung des VfGH denkmöglich davon aus, dass Art85 Abs2 DSGVO jedenfalls nicht der Anwendung des §9 Abs1 DSG entgegensteht. Das BVwG hat zudem – auf Grund des untrennbaren Zusammenhanges aller Bestimmungen in §9 Abs1 DSG vergleiche B v 26.09.2022, G200/2022 ua) – die angefochtene Regelung in den Anlassverfahren zur Gänze denkmöglich anzuwenden.Verstoß des §9 Abs1 DSG gegen das Grundrecht auf Datenschutz gemäß §1 Abs1 DSG:§9 Abs1 DSG ordnet zunächst undifferenziert an, dass "die Bestimmungen dieses Bundesgesetzes" nicht anwendbar sind. Dies wird in Teilen der Literatur so verstanden, dass dadurch auch die Verfassungsbestimmung des §1 DSG (durch den einfachen Gesetzgeber) als nicht anwendbar erklärt wird. Eine solche Auslegung verbietet sich, weil der einfache Gesetzgeber die Verfassungsbestimmung als Maßstab für die Verfassungskonformität des angefochtenen §9 Abs1 DSG nicht auszuschließen vermag; der VfGH hat vielmehr zu prüfen, ob die angefochtene Bestimmung im Einklang mit der Verfassung, so auch mit §1 Abs1 DSG, steht.Das Grundrecht auf Datenschutz gemäß §1 Abs1 DSG gewährleistet jedermann Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit er daran ein schutzwürdiges Interesse, insbesondere im Hinblick auf die Achtung des Privatlebens, hat. §1 Abs2 DSG enthält hiezu einen materiellen Gesetzesvorbehalt. Abgesehen von der Verwendung personenbezogener Daten im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung sind Beschränkungen des Anspruchs auf Geheimhaltung demnach nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig. Aus §1 Abs1 iVm Abs2 DSG ergibt sich, dass grundsätzlich – sofern nicht die Zustimmung oder lebenswichtige Interessen des Betroffenen vorliegen – ein Eingriff in das Grundrecht auf Datenschutz gemäß §1 Abs1 DSG durch den Gesetzgeber nur dann zulässig ist, wenn ein solcher Eingriff zur Wahrung überwiegender berechtigter Interessen eines anderen notwendig ist. Der Gesetzgeber ist sohin auf Grund des Grundrechtes auf Datenschutz gemäß §1 Abs1 iVm Abs2 DSG stets gehalten, eine Abwägung zwischen dem Interesse des Betroffenen am Schutz seiner personenbezogenen Daten und den gegenläufigen (berechtigten) Interessen eines anderen vorzusehen. Nur wenn die Wahrung der gegenläufigen, berechtigten Interessen eines anderen das Recht auf Datenschutz des Betroffenen überwiegt, ist ein gesetzlicher Eingriff in das Grundrecht auf Datenschutz erlaubt.Das Grundrecht auf Datenschutz gemäß §1 Abs1 DSG gewährleistet jedermann Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit er daran ein schutzwürdiges Interesse, insbesondere im Hinblick auf die Achtung des Privatlebens, hat. §1 Abs2 DSG enthält hiezu einen materiellen Gesetzesvorbehalt. Abgesehen von der Verwendung personenbezogener Daten im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung sind Beschränkungen des Anspruchs auf Geheimhaltung demnach nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig. Aus §1 Abs1 in Verbindung mit Abs2 DSG ergibt sich, dass grundsätzlich – sofern nicht die Zustimmung oder lebenswichtige Interessen des Betroffenen vorliegen – ein Eingriff in das Grundrecht auf Datenschutz gemäß §1 Abs1 DSG durch den Gesetzgeber nur dann zulässig ist, wenn ein solcher Eingriff zur Wahrung überwiegender berechtigter Interessen eines anderen notwendig ist. Der Gesetzgeber ist sohin auf Grund des Grundrechtes auf Datenschutz gemäß §1 Abs1 in Verbindung mit Abs2 DSG stets gehalten, eine Abwägung zwischen dem Interesse des Betroffenen am Schutz seiner personenbezogenen Daten und den gegenläufigen (berechtigten) Interessen eines anderen vorzusehen. Nur wenn die Wahrung der gegenläufigen, berechtigten Interessen eines anderen das Recht auf Datenschutz des Betroffenen überwiegt, ist ein gesetzlicher Eingriff in das Grundrecht auf Datenschutz erlaubt.Der in §9 Abs1 DSG normierte, absolute und gänzliche – und damit undifferenzierte – Ausschluss der Anwendung aller (einfachgesetzlichen) Regelungen des Datenschutzgesetzes sowie der Kapitel II (Grundsätze), III (Rechte der betroffenen Person), IV (Verantwortlicher und Auftragsverarbeiter), V (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen), VI (Unabhängige Aufsichtsbehörden), VII (Zusammenarbeit und Kohärenz) und IX (Vorschriften für besondere Verarbeitungssituationen) der DSGVO auf näher definierte Datenverarbeitungen zu journalistischen Zwecken eines Medienunternehmens oder Mediendienstes widerspricht dem in §1 Abs2 DSG normierten Erfordernis, dass der Gesetzgeber das Interesse am Schutz personenbezogener Daten mit dem Interesse der Medieninhaber, Herausgeber, Medienmitarbeiter und Arbeitnehmer eines Medienunternehmens oder Mediendienstes (im Sinne des Mediengesetzes) im Rahmen ihrer journalistischen Tätigkeit sachgerecht abzuwägen hat.Der in §9 Abs1 DSG normierte, absolute und gänzliche – und damit undifferenzierte – Ausschluss der Anwendung aller (einfachgesetzlichen) Regelungen des Datenschutzgesetzes sowie der Kapitel römisch II (Grundsätze), römisch III (Rechte der betroffenen Person), römisch IV (Verantwortlicher und Auftragsverarbeiter), römisch fünf (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen), römisch VI (Unabhängige Aufsichtsbehörden), römisch VII (Zusammenarbeit und Kohärenz) und römisch IX (Vorschriften für besondere Verarbeitungssituationen) der DSGVO auf näher definierte Datenverarbeitungen zu journalistischen Zwecken eines Medienunternehmens oder Mediendienstes widerspricht dem in §1 Abs2 DSG normierten Erfordernis, dass der Gesetzgeber das Interesse am Schutz personenbezogener Daten mit dem Interesse der Medieninhaber, Herausgeber, Medienmitarbeiter und Arbeitnehmer eines Medienunternehmens oder Mediendienstes (im Sinne des Mediengesetzes) im Rahmen ihrer journalistischen Tätigkeit sachgerecht abzuwägen hat.Medien nehmen in einer demokratischen Gesellschaft als "public watchdog" eine zentrale Rolle im öffentlichen Interesse wahr. Eben diesem Umstand trägt auch die (Sonder-)Regelung des Art85 Abs1 DSGVO Rechnung, wonach der nationale Gesetzgeber Rechtsvorschriften zu erlassen hat, durch welche "das Recht auf Schutz personenbezogener Daten gemäß dieser Verordnung mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit, einschließlich der Verarbeitung zu journalistischen Zwecken […] in Einklang" gebracht werden soll. Für die Verarbeitung personenbezogener Daten, die im Zuge journalistischer Tätigkeit erfolgt, hat der nationale Gesetzgeber dementsprechend Abweichungen oder Ausnahmen von den in Art85 Abs2 DSGVO bezeichneten Kapiteln der DSGVO insoweit vorzusehen, als dies für die Wahrnehmung der Aufgaben der Medien und deren entsprechende journalistische Tätigkeit als erforderlich erscheint. Nach Auffassung des VfGH gebietet daher das Recht auf freie Meinungsäußerung und Informationsfreiheit, dass der Gesetzgeber von der Ermächtigung des bzw dem Auftrag iSd Art85 DSGVO Gebrauch macht und die Anwendbarkeit bestimmter datenschutzrechtlicher Bestimmungen, die mit den Besonderheiten der Ausübung journalistischer Tätigkeit nicht vereinbar sind, auf Datenverarbeitungen zu journalistischen Zwecken ausschließt. Die uneingeschränkte Anwendbarkeit sämtlicher datenschutzrechtlicher Bestimmungen auf Datenverarbeitungen zu journalistischen Zwecken durch Medienunternehmen und Mediendienste wäre nämlich geeignet, journalistische Tätigkeit in unverhältnismäßiger Weise zu behindern oder sogar zu verunmöglichen. Der Gesetzgeber ist aber gehalten, einen angemessenen, differenzierten Ausgleich zwischen den Interessen einzelner Personen auf Datenschutz auch gegenüber Medien und den durch Art10 EMRK geschützten Anforderungen journalistischer Tätigkeit vorzusehen.Zu denken ist in diesem Zusammenhang etwa an Einschränkungen in personeller (wie derzeit in §9 Abs1 DSG vorgesehen, zB hinsichtlich Medienunternehmen und Mediendiensten), zeitlicher (unter Umständen nur bis zur Veröffentlichung eines Berichtes) oder sachlicher (zB hinsichtlich bestimmter Datenverarbeitungen oder Betroffenenrechte) Hinsicht. Ebenso könnte der Gesetzgeber – als Ausgleich für den Ausschluss (bestimmter) datenschutzrechtlicher Bestimmungen – erhöhte Anforderungen an die interne Organisation, Dokumentation und technische Sicherung der verarbeiteten Daten vorsehen.Das Grundrecht auf Datenschutz gemäß Art1 Abs1 DSG erlaubt es aber nicht, dass der Gesetzgeber im Anwendungsbereich des Medienprivileges kategorisch, dh für die erfasste Tätigkeit zu journalistischen Zwecken schlechthin der Meinungsäußerungs- und Informationsfreiheit den Vorrang vor dem Schutz personenbezogener Daten einräumt, indem er die Anwendbarkeit sämtlicher datenschutzrechtlicher Regelungen inhaltlicher und verfahrensrechtlicher Natur nach der DSGVO und dem Datenschutzgesetz im gesamten Umfang ausschließt. Die in §9 Abs1 DSG angeordnete, kategorische Privilegierung eines Grundrechtes, nämlich des Rechtes auf freie Meinungsäußerung und Informationsfreiheit gegenüber dem Grundrecht auf Datenschutz entspricht nicht den verfassungsrechtlichen Vorgaben des §1 DSG und der dazu ergangenen Rsp des VfGH.Für die Verfassungskonformität des §9 Abs1 DSG kann im Übrigen nach Auffassung des VfGH auch nicht ins Treffen geführt werden, dass eine Geltendmachung von Datenschutzverletzungen durch Verarbeitungen zu journalistischen Zwecken zwar nicht vor der Datenschutzbehörde, aber vor den ordentlichen Gerichten möglich ist.In diese Richtung könnte die Rsp des OGH zum früheren Medienprivileg des §48 Abs1 DSG 2000 deuten. Diese Bestimmung sah vor, dass bei Verwendung von Daten durch Medienunternehmen, Mediendienste oder ihre Mitarbeiter unmittelbar für ihre publizistische Tätigkeit im Sinne des Mediengesetzes von den einfachgesetzlichen Bestimmungen des Datenschutzgesetzes 2000 nur die §§4 bis 6, 10, 11, 14 und 15 anzuwenden waren. Der OGH sprach aus, dass diese Bestimmung teleologisch zu reduzieren sei und die Geltendmachung von Unterlassungsansprüchen unmittelbar auf Grundlage des §1 Abs1 DSG 2000 nicht ausschließe (OGH 17.01.2018, 6 Ob 144/17w).Es ist allerdings offen, ob diese Rsp auf das nun in §9 Abs1 DSG geregelte Medienprivileg übertragen werden kann: Zum Ersten nimmt die zuletzt genannte Bestimmung – im Gegensatz zu §48 Abs1 DSG 2000 – nicht bloß einzelne einfachgesetzliche Bestimmungen von der Anwendbarkeit auf Datenverarbeitungen zu journalistischen Zwecken aus, sondern sämtliche Bestimmungen des Datenschutzgesetzes sowie die in der Bestimmung genannten Kapitel der DSGVO. Zum Zweiten würde die Gegenansicht den Willen des Gesetzgebers, die genannten Bestimmungen bei Datenverarbeitungen zu journalistischen Zwecken nicht zur Anwendung zu bringen, offenkundig unterlaufen (OGH 02.02.2022, 6 Ob 129/21w).Die Datenschutzbehörde weist in ihrer Äußerung grundsätzlich zutreffend darauf hin, dass Betroffenen – neben den Bestimmungen des Datenschutzgesetzes und der DSGVO – in bestimmten Konstellationen anderweitig Rechtsschutz gewährleistet wird. Zu denken ist in diesem Zusammenhang insbesondere an die §§7 ff MedienG oder Bestimmungen des ABGB (etwa §16 iVm §1330 ABGB). Im vorliegenden Zusammenhang geht es aber darum, welche speziellen datenschutzrechtlichen Regelungen der Gesetzgeber im Hinblick auf Art10 EMRK für journalistische Tätigkeit für nicht oder nur modifiziert anwendbar erklären kann, mit der Folge, dass diese Tätigkeit (bloß) den genannten medien- und zivilrechtlichen Regelungen, soweit sie im jeweiligen Einzelfall zur Anwendung kommen, unterfällt.Die Datenschutzbehörde weist in ihrer Äußerung grundsätzlich zutreffend darauf hin, dass Betroffenen – neben den Bestimmungen des Datenschutzgesetzes und der DSGVO – in bestimmten Konstellationen anderweitig Rechtsschutz gewährleistet wird. Zu denken ist in diesem Zusammenhang insbesondere an die §§7 ff MedienG oder Bestimmungen des ABGB (etwa §16 in Verbindung mit §1330 ABGB). Im vorliegenden Zusammenhang geht es aber darum, welche speziellen datenschutzrechtlichen Regelungen der Gesetzgeber im Hinblick auf Art10 EMRK für journalistische Tätigkeit für nicht oder nur modifiziert anwendbar erklären kann, mit der Folge, dass diese Tätigkeit (bloß) den genannten medien- und zivilrechtlichen Regelungen, soweit sie im jeweiligen Einzelfall zur Anwendung kommen, unterfällt.European Case Law IdentifierECLI:AT:VFGH:2022:G287.2022

Relevante Rechtsvorschrift:
Verstöße  gegen  Bestimmungen  der  DSGVO  und  des  § 1  oder  Artikel 2  1. Hauptstück  durch  Personen
begangen wurden, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und
eine Führungsposition innerhalb der juristischen Person aufgrund
1. der Befugnis zur Vertretung der juristischen Person,
2. der Befugnis, Entscheidungen im Namen der juristischen Person zu treffen, oder
3. einer Kontrollbefugnis innerhalb der juristischen Person
innehaben.
(2) Juristische Personen können wegen Verstößen gegen Bestimmungen der DSGVO und des § 1 oder
Artikel 2 1. Hauptstück auch verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle
durch eine in Abs. 1 genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige
Person ermöglicht hat, sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden
strafbaren Handlung bildet.
(3) Die  Datenschutzbehörde  hat  von  der  Bestrafung  eines  Verantwortlichen  gemäß  § 9  des
Verwaltungsstrafgesetzes 1991 – VStG, BGBl. Nr. 52/1991 , abzusehen, wenn für denselben Verstoß bereits
eine Verwaltungsstrafe gegen die juristische Person verhängt wird.