Datenschutz-Deregulierungs-Gesetz 2018: Keine Strafe für Datensünder?

Gleichzeitig mit der Datenschutz-Grundverordnung (DSGVO) ist am 25.5.2018 auch das Datenschutz-Deregulierungs-Gesetz 2018 in Kraft getreten. Gemeinsam mit dem Datenschutz-Anpassungsgesetz 2018, welches ebenfalls am 25.5.2018 in Kraft getreten ist, wurden damit Änderungen im Datenschutzgesetz (DSG) vorgenommen, die durch Inkrafttreten der DSGVO notwendig geworden waren.

Verwarnung vor Geldbuße?

Medial die größte Aufmerksamkeit hat die durch das Datenschutz-Deregulierungs-Gesetz 2018 geänderte Bestimmung des § 11 DSG erregt, derzufolge die Datenschutzbehörde insbesondere bei erstmaligen Verstößen gegen die neuen datenschutzrechtlichen Bestimmungen von ihren Abhilfebefugnissen Gebrauch machen wird, wobei der Gesetzgeber nach dem Wortlaut des § 11 DSG insbesondere die Verwarnung im Auge hat. Grundsätzlich sieht die DSGVO die Möglichkeit der Verhängung von Geldbußen in Höhe von bis zu EUR 20 Mio oder 4 % des letzten Gesamtjahresumsatzes vor. Je nach den Umständen des Einzelfalles können gemäß Art 58 DSGVO auch bei Erstverstößen bereits Geldbußen verhängt werden.

Damit die Datenschutzbehörde an Stelle der Verhängung einer Geldbuße eine Verwarnung aussprechen kann, bedarf es grundsätzlich keiner ausdrücklichen Anordnung durch den Gesetzgeber. Vielmehr ist diese Befugnis bereits in Art 58 DSGVO normiert. Zudem stellt sich die Frage, ob eine solche Anordnung nicht einen unzulässigen Eingriff in die Unabhängigkeit der Datenschutzbehörde darstellt, die durch Art 52 DSGVO ausdrücklich gewährleistet wird.

Auch ohne ausdrücklicher Normierung in § 11 DSG ist allerdings davon auszugehen, dass die Aufsichtsbehörde den Umstand eines erstmaligen Verstoßes gemäß Art 83 Abs 2 DSGVO entsprechend strafmildernd berücksichtigen und in vielen Fällen von der Möglichkeit der Verwarnung anstelle einer Geldbuße Gebrauch machen wird. Dies gebietet schon allein der Grundsatz der Verhältnismäßigkeit, an den die Datenschutzbehörde auch schon bisher gebunden war. Auch nach Art 84 Abs 1 DSGVO müssen die von der Datenschutzbehörde verhängten Sanktionen wirksam, verhältnismäßig und abschreckend sein.

Handelt es sich daher um einen keinen schwerwiegenden Verstoß, und hat zudem das betroffene Unternehmen entsprechende Vorkehrungen zum Schutz personenbezogener Daten getroffen, wird dies entsprechend strafmildernd zu berücksichtigen sein. Umgekehrt ist davon auszugehen, dass die Datenschutzbehörde bei schwerwiegenden Verstößen und dann, wenn keine entsprechenden Vorkehrungen getroffen worden sind, um personenbezogene Daten zu schützen, jedenfalls Geldbußen verhängen und es nicht bei einer Verwarnung belassen wird.

Einschränkung des Auskunftsrechtes betroffener Personen.

Medial weniger im Fokus aber nicht weniger von Bedeutung ist eine andere Ergänzung des DSG durch das Datenschutz-Deregulierungs-Gesetz 2018, die das Auskunftsrecht des Betroffenen gegenüber dem Verantwortlichen gemäß Art 15 Abs 1 DSGVO betreffen. In Art 15 DSGVO selbst findet sich zwar keine Beschränkung dieses Auskunftsrechtes. Im Datenschutz-Deregulierungs-Gesetz 2018 hat der österreichische Gesetzgeber allerdings von der ihm durch die DSGVO eröffneten Möglichkeit Gebrauch gemacht, weitere Beschränkungen vorzusehen. Neben einer Beschränkung des Auskunftsrechtes für den Bereich der allgemeinen Verwaltung (§ 4 Abs 5 DSG neu) hat der Betroffene nunmehr auch gegenüber dem Verantwortlichen kein Auskunftsrecht, wenn durch die Auskunftserteilung ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen bzw Dritter gefährdet wäre (§ 4 Abs 6 DSG). Dies entspricht im Wesentlichen jener Beschränkung, die gemäß Art 15 Abs 4 DSGVO bei der Zurverfügungstellung von Kopien personenbezogener Daten zu beachten ist.

Freiheit der Meinungsäußerung und Informationsfreiheit.

Ebenfalls mit dem Datenschutz-Deregulierungs-Gesetz 2018 neu eingefügt wurde die Bestimmung des § 9 Abs 1 DSG. Eine Ausnahme von der DSGVO und dem DSG besteht demnach auch für die Verarbeitung personenbezogener Daten durch Medieninhaber, Herausgeber, Medienmitarbeiter und Arbeitnehmer eines Medienunternehmens oder Mediendienstes im Sinne des Mediengesetzes zu journalistischen Zwecken. Auf diese finden das DSG sowie die Kapitel II bis VII und IX der DSGVO keine Anwendung. Gleiches (mit Ausnahme einiger taxativ genannter Artikel der DSGVO) gilt für die Verarbeitung personenbezogener Daten zu wissenschaftlichen, künstlerischen oder literarischen Zwecken, soweit dies erforderlich ist, um das Recht auf Schutz der personenbezogenen Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen (§ 9 Abs 2 DSG).

Fazit.

Die Änderungen des DSG durch das Datenschutz-Deregulierungs-Gesetz 2018 halten sich in Grenzen. Sie sollen offenbar eher der Beruhigung und Kosmetik dienen. So hat etwa die Bestimmung des § 11 DSG, wonach die Datenschutzbehörde insbesondere bei erstmaligen Verstößen gegen die neuen datenschutzrechtlichen Bestimmungen von ihren Abhilfebefugnissen Gebrauch machen wird, mehr programmatischen Charakter. Eine Bindungswirkung wird sie wegen der durch die DSGVO garantierten Unabhängigkeit der Datenschutzbehörde hingegen aller Voraussicht nach nicht entfalten.

Auch die in § 4 Abs 5 und 6 DSG vorgesehene Beschränkung des Auskunftsrechtes nach Art 15 DSGVO bringt wenig Neues, entspricht sie doch im Wesentlichen jener Beschränkung, die gemäß Art 15 Abs 4 DSGVO bei der Zurverfügungstellung von Kopien personenbezogener Daten zu beachten ist.

Die in § 9 DSG normierte Ausnahme der Meinungsäußerung und Informationsfreiheit von der Anwendbarkeit des DSG und der DSGVO erfolgt in Umsetzung von Art 85 DSGVO. Ob diese im Einklang mit den darin normierten Vorgaben steht oder überschießend ist, da der österreichische Gesetzgeber eine generelle Ausnahme dieser Bereiche von den wesentlichen Kapiteln der DSGVO und des DSG vorsieht, wird sich zeigen.

Print Friendly, PDF & Email

Liked this post? Follow this blog to get more.