A. Vorbemerkung
Rz. 1
Auch Österreich hat sich dazu entschlossen, die in der DSGVO vorhandenen Öffnungsklauseln zu nutzen, um nationalen Besonderheiten im Rahmen der Datenverarbeitung Rechnung zu tragen. Unter dem 31.7.2017 ist das Datenschutz-Anpassungsgesetz 2018 (DSG 2018) im österreichischen Bundesgesetzblatt veröffentlicht worden; die Neuregelungen des DSG 2018 treten zusammen mit der DSGVO am 25.5.2018 in Kraft.
B. Aufbau des DSG 2018
Rz. 2
Anders als die Bundesrepublik Deutschland hat sich Österreich dazu entschlossen, mit dem DSG 2018 kein gänzlich neues Gesetz, sondern ein Änderungsgesetz zum bestehenden DSG 2000 zu verabschieden. Die Regelungen des Art. 1 (§§ 1 bis 3 DSG 2000) bleiben insoweit unverändert bestehen. Das österreichische Datenschutzrecht normiert in § 1 DSG 2018 damit weiterhin ein "Grundrecht auf Datenschutz". Die Kernregelungen der Datenverarbeitung finden sich im Übrigen in Art. 2 DSG 2018, der sich wiederum in fünf Hauptstücke untergliedert.
| ▪ |
Das 1. Hauptstück (§§ 4 – 13 DSG 2018) behandelt ergänzende Regelungen der Verarbeitung. |
| ▪ |
Das 2. Hauptstück (§§ 14 – 35 DSG 2018) befasst sich mit den in Österreich eingerichteten Aufsichtsbehörden und Kontrollmechanismen und enthält gleichsam konkretisierende Regelungen zu Rechtsbehelfen, Haftung und Sanktionen bei Datenschutzverstößen (§§ 24 – 30 DSG 2018). |
| ▪ |
Das 3. Hauptstück befasst sich mit der Verarbeitung personenbezogener Daten für Zwecke der Sicherheitspolizei einschließlich des polizeilichen Staatsschutzes, des militärischen Eigenschutzes, der Aufklärung und Verfolgung von Straftaten, der Strafvollstreckung und des Maßnahmenvollzug und normiert sowohl besondere Betroffenenrechte, als auch besondere Anforderungen an Verantwortliche und Auftragsverarbeiter. |
| ▪ |
Das 4. Hauptstück (§§ 62 und 63 DSG 2018) trifft Regelungen zu besonderen Strafbestimmungen. |
| ▪ |
Das 5. Hauptstück (§§ 64 – 70 DSG 2018) enthält vornehmlich Regelungen zur formellen Umsetzung, wie dem Inkrafttreten, sprachlichen Anpassungen usw. |
C. Regelungen im Einzelnen
I. Berichtigung und Löschung personenbezogener Daten, § 4 Abs. 2 DSG 2018
Rz. 3
Ähnlich der für Deutschland in § 28 Abs. 3 BDSG-Neu und § 35 BDSG-Neu enthaltenen Regelungen, hat sich auch österreichische Gesetzgeber dazu entschlossen, weitere "Bereichsausnahmen" zum Bestehen von Berichtigungs- und Löschungsverpflichtungen des Verantwortlichen zu normieren. In § 4 Abs. 2 DSG 2018 heißt es insoweit
Zitat
"Kann die Berichtigung oder Löschung von automationsunterstützt verarbeiteten personenbezogenen Daten nicht unverzüglich erfolgen, weil diese aus wirtschaftlichen oder technischen Gründen nur zu bestimmten Zeitpunkten vorgenommen werden kann, so ist die Verarbeitung der betreffenden personenbezogenen Daten mit der Wirkung nach Art. 18 Abs. 2 DSGVO bis zu diesem Zeitpunkt einzuschränken."
In den Erläuterungen des Ministerialentwurfs wird die Aufnahme dieser Ausnahmeregelung damit begründet, dass es sich "insbesondere bei einer etwa aus Sicherheitsgründen weit verteilten Speicherung von personenbezogenen Daten […] im Einzelfall als schwierig erweisen [könne], einzelne Datensätze sofort aus sämtlichen Kopien zu entfernen.", weswegen es sinnvoll erscheinen, die technikneutral formulierte Ausnahmeregelung in das Gesetz mit aufzunehmen. Weiter soll § 4 Abs. 2 DSG 2018 auf "Konstellationen im Zusammenhang mit der Verwendung von Backup-Datensicherungen und Löschungsroutinen" Anwendung finden.
Rz. 4
Dabei ist auch bezogen auf die österreichische Regelung äußert fraglich, ob die aufgenommenen Bestimmungen auf Grundlage einer entsprechenden Öffnungsklausel erlassen wurden. Der österreichische Gesetzgeber befasst sich mit dieser Frage explizit nicht. Angesichts der gefundenen Begründung für die Bereichsausnahme, dürfte ihre europarechtliche Zulässigkeit indes als äußert fraglich zu bewerten sein. Insbesondere die Annahme, dass es sich "im Einzelfall als schwierig erweisen [könne], einzelne Datensätze sofort aus sämtlichen Kopien zu entfernen" erscheint vor dem Hintergrund der Zielsetzungen der DSGVO kein tragender Gesichtspunkt zu sein. Die DSGVO selbst fordert vom Verantwortlichen Datensparsamkeit, so dass sich bereits die Frage stellt, ob sich die vom österreichischen Gesetzgeber adressierten "verteilten Speicherung von [identischen] personenbezogenen Daten" überhaupt als zulässige darstellen würde. Mit Blick auf die Vorgaben in Art. 25 DSGVO und den hier normierten Grundsatz des "Data Privacy by Design" könnte oder besser dürfte eine solche "verteilte Speicherung" aber jedenfalls nicht dazu führen, dass sich eine sofortige Entfernung als schwierig erweist. Zudem stellt sich die Frage, warum in einem solchen Fall zwar die "Einschränkung der Verarbeitung" des betroffenen Datenattributes durch...