Datenschutz im Zusammenhang mit

Kontrollamtsberichten Dr. Eva Souhrada-Kirchmayer

Wien, 12. Juni 2013

Europarechtliche Grundlagen Art. 8 Europäische

Menschenrechtskonvention (EMRK) Europarats-Konvention 108 („Datenschutz-

Konvention“) und Zusatzprotokoll Art. 8 GRC – Grundrecht auf Datenschutz Art. 16 AEUV – Rechtsgrundlage für eine

„Gesetzgebung“ auf dem Gebiet des Datenschutzes

Europarechtliche Grundlagen (Fortsetzung)

Richtlinie 95/46/EG („Datenschutzrichtlinie“)

Rahmenbeschluss „Datenschutz“ im Bereich der polizeilichen und justiziellen Zusammenarbeit in Strafsachen 2008/977/JI

Datenschutzrichtlinie 95/46/EG

gilt nur für Daten natürlicher Personen

gilt auch für nichtautomatisierte Verarbeitung personenbezogener Daten, die in einer Datei gespeichert sind oder gespeichert werden sollen

Datenschutzrichtlinie 95/46/EG(Fortsetzung)

findet keine Anwendung auf die Verarbeitung von personenbezogenen Daten, die für die Ausübung von Tätigkeiten erfolgt, die nicht in den Anwendungsbereich des Gemeinschaftsrechts fallen, und auf Verarbeitungen personenbezogener Daten durch eine natürliche Person für die Ausübung ausschließlich persönlicher oder familiärer Tätigkeit

Datenschutzrichtlinie 95/46/EG (Fortsetzung)

berührt nicht die Rechtsvorschriften zum Schutz juristischer Personen bei der Verarbeitung von Daten, die sich auf sie beziehen (Erwägungsgrund 23)

in der RL enthaltene Grundsätze konkretisieren und erweitern die in der Europarats-Konvention ETS 108 enthaltenen Grundsätze (Erwägungsgrund 11)

Es gibt ein Grundrecht auf Datenschutz!

Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht.

Wann darf in mein Grundrecht auf Datenschutz eingegriffen werden?

im lebenswichtigen Interesse des Betroffenen (z. B. Unfall)

Mit Zustimmung des Betroffenen (Soziale Netzwerke?)

im überwiegenden Interesse eines anderen (z. B. Vertrag mit Unternehmen)

Eingriff durch Behörden auf Grund von Gesetzen (z. B. Steuergesetze, Meldegesetz)

Wann darf in mein Grundrecht auf Datenschutz eingegriffen werden?

• Für sensible Daten gibt es besonderen Schutz!

• sensible Daten: Daten über rassische und ethnische Herkunft, politische Meinung, Gewerkschaftszugehörigkeit, religiöse oder philosophische Überzeugung, Gesundheit oder Sexualleben natürlicher Personen

• Gesetzliche Regelung notwendig, geeignete Garantien zum Schutz der Geheimhaltungsinteressen der Betroffenen

• Selbst wenn der Eingriff grundsätzlich gerechtfertigt ist, ist das jeweils gelindeste zum Ziel führende Mittel zu wählen!

Grundrecht auf Datenschutz (Fortsetzung)

• Betroffene haben das Recht auf Auskunftserteilung über die über sie verarbeiteten Daten!

• Betroffene haben das Recht auf Richtigstellung falscher Daten!

• Betroffene haben das Recht auf Löschung der über sie verarbeiteten Daten, die nicht mehr benötigt werden oder gar nie benötigt wurden!

Das betrifft Daten in automationsunterstütztenDatenanwendungen oder in manuellen Dateien.

Wo kann ich meine Rechte durchsetzen? Rechtsdurchsetzung gegen „Private“

(Firmen, Privatpersonen) : Zivilrechtsweg Ausnahme: Verletzungen des

Auskunftsrechts sind immer bei der Datenschutzkommission geltend zu machen

alle anderen Fälle: Zuständigkeit der Datenschutzkommission

Ausnahme: Akte im Dienste der Gesetzgebung und Gerichtsbarkeit

Definitionen „Daten“ (personenbezogene Daten):

Angaben über Betroffene, deren Identität bestimmt oder bestimmbar ist;

nur indirekt personenbezogene Daten: Personenbezug ist so gestaltet, dass der Auftraggeber, Dienstleister oder Übermittlungsempfänger die Identität des Betroffenen mit rechtlich zulässigen Mitteln nicht bestimmen kann

Definitionen (vereinfacht)

Auftraggeber: „HerrIn der Daten“ (trifft die Entscheidung Daten zu verarbeiten oder ist dazu gesetzlich verpflichtet)

Dienstleister: verwenden Daten, die ihnen zur Herstellung eines aufgetragenen Werks übergeben wurden

Verarbeiten von Daten: jede Art der Handhabung von Daten einer Datenanwendung durch den Auftraggeber oder Dienstleister mit Ausnahme des Übermittelns von Daten

Definitionen (Fortsetzung)

Öffentlicher und privater Bereich

Auftraggeber des öffentlichen Bereiches:

1. sind in Formen des öffentlichen Rechts eingerichtet oder

2. sind trotz ihrer Einrichtung in Formen des Privatrechts in Vollziehung der Gesetze tätig

Verwendung von Daten – Grundsätze1. Verwendung nach Treu und Glauben und auf

rechtmäßige Weise2. Ermittlung nur für festgelegte, eindeutige und

rechtmäßige Zwecke; Übermittlung nicht für unvereinbare Zwecke

3. Daten müssen für den Zweck der Datenanwendung wesentlich sein

4. Daten müssen sachlich richtig und wenn nötig auf dem neuesten Stand sein

5. Daten dürfen nur solange aufbewahrt werden, als dies für den Zweck erforderlich ist.

Zulässigkeit der Verwendung von Daten

gesetzliche Zuständigkeit oder rechtliche Befugnis des jeweiligen Auftraggebers bzw. des Empfängers von Daten

die schutzwürdigen Geheimhaltungsinteressen der Betroffenen werden nicht verletzt

Wann sind schutzwürdige Geheimhaltungsinteressen nicht

verletzt? (bei nicht sensiblen Daten, § 8)

Ausdrückliche gesetzliche Ermächtigung oder Verpflichtung zur Verwendung von Daten

Zustimmung des Betroffenen (Widerruf ist möglich)

lebenswichtige Interessen des Betroffenen erfordern die Verwendung

überwiegende berechtige Interessen des Auftraggebers oder eines Dritten erfordern die Verwendung

Verwendung nicht-sensibler DatenKeine schutzwürdigen

Geheimhaltungsinteressen werden verletzt, wenn die Verwendung der Daten

für einen Auftraggeber öffentlichen Bereichs eine wesentliche Voraussetzung für die Wahrnehmung einer ihm gesetzlich übertragenen Aufgabe ist

zur Amtshilfe notwendig ist im lebenswichtigen Interessen eine

Dritten erforderlich ist zur Erfüllung einer vertraglichen

Verpflichtung zwischen Auftraggeber und Betroffenen erforderlich ist

Verwendung nicht-sensibler Daten (Fortsetzung)

zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen des Auftraggebers vor einer Behörde; weiters

wenn die Datenverwendung ausschließlich die Ausübung einer öffentlichen Funktion zum Gegenstand hat oder

im Katastrophenfall notwendig ist. Die Verwendung von zulässigerweise

veröffentlichten Daten oder von nur indirekt personenbezogenen Daten ist zulässig.

– Es gibt aber ein Widerspruchsrecht

Andere Datenkategorien

Sonderregelungen für strafrechtlich relevante Daten (§ 8 Abs. 4)

Sonderregelungen für sensible Daten (abschließende Aufzählung aller Tatbestände im Gesetz, § 9)

Verwendung strafrechtlich relevanter Daten Ausdrückliche gesetzliche Ermächtigung oder die Verwendung ist für Auftraggeber des

öffentlichen Bereichs eine wesentliche Voraussetzung zur Wahrnehmung einer ihm gesetzlich übertragenen Aufgabe oder

ergibt sich aus gesetzlichen Sorgfaltspflichten oder sonstigen überwiegenden Interessen des Auftraggebers und die Art und Weise, in der die Datenverwendung vorgenommen wird, gewährleistet die Wahrung der Interessen der Betroffenen;

Datenweitergabe zum Zweck der Erstattung einer Anzeige an eine zur Verfolgung der strafbaren Handlungen zuständigen Behörde.

Schutzwürdige Geheimhaltungsinteressen sind nicht verletzt (bei sensiblen Daten)

wenn1. der Betroffene die Daten offenkundig selbst öffentlich gemacht hat oder2. die Daten in nur indirekt personenbezogener Form verwendet werden oder3. sich die Ermächtigung oder Verpflichtung zur Verwendung aus gesetzlichen Vorschriften ergibt, soweit diese der Wahrung eines wichtigen öffentlichen Interesses dienen, oder4. die Verwendung durch Auftraggeber des öffentlichen Bereichs in Erfüllung ihrer Verpflichtung zur Amtshilfe geschieht oder5. Daten verwendet werden, die ausschließlich die Ausübung einer öffentlichen Funktion durch den Betroffenen zum Gegenstand haben, oder

Schutzwürdige Geheimhaltungsinteressen sind nicht verletzt (bei sensiblen Daten) (Fortsetzung)

6. der Betroffene seine Zustimmung zur Verwendung der Daten ausdrücklich erteilt hat, wobei ein Widerruf jederzeit möglich ist und die Unzulässigkeit der weiteren Verwendung der Daten bewirkt, oder7. die Verarbeitung oder Übermittlung zur Wahrung lebenswichtiger Interessen des Betroffenen notwendig ist und seine Zustimmung nicht rechtzeitig eingeholt werden kann oder8. die Verwendung der Daten zur Wahrung lebenswichtiger Interessen eines anderen notwendig ist oder9. die Verwendung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen des Auftraggebers vor einer Behörde notwendig ist und die Daten rechtmäßig ermittelt wurden oder

Schutzwürdige Geheimhaltungsinteressen sind nicht verletzt (bei sensiblen Daten)

(Fortsetzung)

10. Daten für private Zwecke gemäß § 45 oder für wissenschaftliche Forschung oder Statistik gemäß § 46, zur Benachrichtigung oder Befragung des Betroffenen gemäß § 47 oder im Katastrophenfall gemäß § 48a verwendet werden oder

11. die Verwendung erforderlich ist, um den Rechten und Pflichten des Auftraggebers auf dem Gebiet des Arbeits- oder Dienstrechts Rechnung zu tragen, und sie nach besonderen Rechtsvorschriften zulässig ist, wobei die dem Betriebsrat nach dem Arbeitsverfassungsgesetz zustehenden Befugnisse im Hinblick auf die Datenverwendung unberührt bleiben, oder

Schutzwürdige Geheimhaltungsinteressen sind nicht verletzt (bei sensiblen Daten) (Fortsetzung)

12.die Daten zum Zweck der Gesundheitsvorsorge, der medizinischen Diagnostik, der Gesundheitsversorgung oder -behandlung oder für die Verwaltung von Gesundheitsdiensten erforderlich ist, und die Verwendung dieser Daten durch ärztliches Personal oder sonstige Personen erfolgt, die einer entsprechenden Geheimhaltungspflicht unterliegen, oder

Schutzwürdige Geheimhaltungsinteressen sind nicht verletzt (bei sensiblen Daten) (Fortsetzung)

13. nicht auf Gewinn gerichtete Vereinigungen mit politischem, philosophischem, religiösem oder gewerkschaftlichem Tätigkeitszweck Daten, die Rückschlüsse auf die politische Meinung oder weltanschauliche Überzeugung natürlicher Personen zulassen, im Rahmen ihrer erlaubten Tätigkeit verarbeiten und es sich hiebei um Daten von Mitgliedern, Förderern oder sonstigen Personen handelt, die regelmäßig ihr Interesse für den Tätigkeitszweck der Vereinigung bekundet haben; diese Daten dürfen, sofern sich aus gesetzlichen Vorschriften nichts anderes ergibt, nur mit Zustimmung der Betroffenen an Dritte weitergegeben werden.

Gesetzliche Grundlage? – Beispiel WienWiener Stadtverfassung

§ 49 Abs. 3: Außerdem ist für die Behandlung der Berichte des Kontrollamtes an den Gemeinderat ein Gemeinderatsausschuss (Kontrollausschuss) einzurichten. Die Berichte sind zeitgleich mit der Versendung der Tagesordnung für die betreffende Sitzung des Gemeinderates bzw. des Kontrollausschusses im Internet zu veröffentlichen. Soweit für den Kontrollausschuss keine besonderen Bestimmungen bestehen (§ 55), gelten die für die Gemeinderatsausschüsse allgemein bestehenden Vorschriften.

Die Veröffentlichung erfolgt gemäß der Geschäftsordnung für die Ausschüsse, Unterausschüsse und Kommissionen des Gemeinderates der Stadt Wien eine Woche vor der jeweiligen Sitzung.

Urteil des EuGH (BezBegrBVG)vom 20. 5. 2003, Rs. C-465/00, C-138/01 und C-139/01)

Vorlage an EuGH durch VfGH und OGHRH gegen ORF, WK Steiermark, Marktgemeinde

Kaltenleutgeben, Österreichische Nationalbank, Stadt Wiener Neustadt, Austrian Airlines etc.

Neukomm und Lauermann gegen ORFBetrifft Veröffentlichung durch den RH von

Bezügen gemäß § 8 Abs. 3 BezBegrBVG); sieht eine Veröffentlichung des Jahreseinkommens von Personen, die über einem gesetzlich festgelegten Limit liegende Bezüge erhalten, vor. Gesetzesmaterialien sprechen von einer „namentlichen“ Veröffentlichung

Urteil des EuGH (BezBegrBVG) - Vorlagefragen

1. Stehen die gemeinschaftsrechtlichen Vorschriften, insbesondere jene über den Datenschutz (Art. 1, 2, 6, 7, und 22 der RL 95/46/EG) iVm Art 6 EUV und Art. 8 EMRK Regelungen entgegen, die eine öffentlich-rechtliche Rundfunkanstalt als Rechtsträger zur Mitteilung und ein staatliches Organ zur Erhebung und Weiterleitung von Einkommensdaten zum Zweck der Veröffentlichung der Namen und Einkommen der Arbeitnehmer einer öffentlich-rechtlichen Anstalt verpflichten?

2. Sind die einschlägigen Bestimmungen der RL 95/46/EG unmittelbar anwendbar?

Urteil des EuGH (BezBegrBVG) - Antworten

1. Art 6 Abs. 1 lit. c und 7 lit. c und e der RL 95/46/EG stehen einer nationalen Regelung wie im Ausgangsverfahren nicht entgegen, sofern erwiesen ist, dass die Offenlegung, die nicht nur die Höhe der Jahreseinkommen der Beschäftigten von der Kontrolle des RH unterliegenden Rechtsträgern betrifft, wenn diese Einkommen einen bestimmten Betrag überschreiten, sondern auch die Namen der Bezieher dieser Einkommen umfasst, im Hinblick auf das vom Verfassungsgesetzgeber verfolgte Ziel der ordnungsgemäßen Verwaltung der öffentlichen Mittel notwendig und angemessen ist, was die vorlegenden Gerichte zu prüfen haben.

2. Art 6 Abs. 1 lit. c und 7 lit. c und e der RL 95/46/EG sind in dem Sinne unmittelbar anwendbar, dass sich ein Einzelner vor den nationalen Gerichten auf sie berufen kann, um die Anwendung entgegenstehender Vorschriften des innerstaatlichen Rechts zu verhindern.

Erkenntnis des VfGH (BezBegrBVG) vom 28.11.2003, VfSlg. 17065)

Der RH ist befugt, zum Zweck der Überprüfung der Gebarung des ORF in sämtliche Unterlagen des ORF betreffend die von ihm in den Jahren 1998 und 1999 ausbezahlten Bezüge und Ruhebezüge Einsicht zu nehmen. Der ORF ist schuldig, diese Einsicht bei sonstiger Exekution zu ermöglichen.

Der Antrag festzustellen, dass der RH befugt ist, zum Zwecke der namentlichen Einkommenssteuerberichterstattung gemäß § 8 Abs. 1 bis 3 des BezBegrBVG in sämtliche Unterlagen des ORF betreffend die von ihm in den Jahren 1998 und 1999 ausbezahlten Bezüge und Ruhebezüge Einsicht (Einschau) zu nehmen, wird abgewiesen.

Erkenntnis des VwGH (Veröffentlichung in NÖN) vom 12.3.2010, GZ 2008/17/0136

Abweisung einer Beschwerde gegen einen (ebenfalls abweisenden) Bescheid der DSK

Bürgermeister einer Gemeinde übermittelte Daten über ein baupolizeiliches Verfahren an die Niederösterreichischen Nachrichten (weitere Publikation auch in Gemeindemitteilungen)

Keine ausdrückliche Namensnennung, aber personenbezogene Daten jedenfalls bei in der Öffentlichkeit wahrnehmbaren Ereignissen

(wie hier die Bauführung) ist das Informationsbedürfnis der Öffentlichkeit und das Interesse von Verwaltungsbehörden, bei wie hier rechtswidrigen Bauführungen die korrekte Wahrnehmung ihrer Aufgaben dartun zu können, die Information über Verfahrensschritte wie Einleitung von Verfahren, prozessualer Stand des Verfahrens (insbesondere Einbringung von Rechtsmitteln und ähnliche Angaben) auch in datenschutzrechtlicher Hinsicht im Lichte des § 8 Abs. 1 Z 4 DSG 2000 gerechtfertigt.

Urteil des EuGH (Agrarförderungen)vom 9. 11. 2010, Rs. C-92/09 und C-93/09

Vorlage durch Verwaltungsgericht Wiesbaden in einem Verfahren der Beschwerdeführer Schecke und Eifert gegen das Land Hessen

Veröffentlichung von Agrarförderungen unter dem Namen des Begünstigten im Internet aufgrund Art. 44a der Verordnung Nr. 1290/2005 und einer der Durchführungsverordnung der Europäischen Kommission (Nr. 259/2008).

Die relevanten Vorlagefragen beziehen sich a) auf Gültigkeit der einschlägigen Bestimmungen und b) auf die Frage, ob im Hinblick auf die Meldepflicht und Vorabkontrollpflicht nach der RL 95/46/EG die Datenverarbeitung nicht erst nach der Meldung bzw. Genehmigung erfolgen darf.

Urteil des EuGH (Agrarförderungen) - Antworten

Einschlägige Bestimmungen der genannten Verordnungen sind ungültig, soweit diese bei natürlichen Personen, die Empfänger der Agrarförderungen sind, die Veröffentlichung personenbezogener Daten hinsichtlich aller Empfänger vorschreiben, ohne nach einschlägigen Kriterien wie den Zeiträumen, während deren sie solche Beihilfen erhalten haben, der Häufigkeit oder auch nach Art und Umfang dieser Beihilfen zu unterscheiden.

Wirkungen der Veröffentlichung der Listen vor Verkündung des Urteils bleiben aufrecht.

Verzeichnis muss nicht vor Verarbeitung geführt werden, keine Vorabkontrolle notwendig.

Veröffentlichung personenbezogener Daten

Ist die Veröffentlichung im Hinblick auf das mit der Bestimmung verfolgte, im Allgemeininteresse liegende Ziel sowohl notwendig als auch angemessen?Gibt es ein gelinderes zum Ziel führendes Mittel?

Dr. Eva Souhrada-KirchmayerDatenschutzkommissionwww.dsk.gv.at+43 1 53115/ 202525

Danke für Ihre Aufmerksamkeit!