Die Prinzipien des Datenschutzgesetzes sind einfach und klar und können daher auch einfach und allgemein verständlich erläutert werden. Lassen Sie sich nicht verwirren von Stimmen, die behaupten, das wäre eine Spezialmaterie, ausschließlich verständlich für Fachleute. Der EU Gesetzgeber hat dieses verbindliche EU Datenschutzgesetz zum Schutz der Privatsphäre der Bürgerinnen in Europa erlassen, und daher war es auch beabsichtigt, dass es in seinen Grundprinzipien für alle diese Bürgerinnen verständlich bleibt.
Das Datenschutzgesetz ist im Kern ein Recht, das bereits in der Charta der Grundrechte der Europäischen Union formuliert ist. 1 Dort heißt es:
Artikel 7
Achtung des Privat- und Familienlebens
Jede Person hat das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihrer Kommunikation.
Artikel 8
Schutz personenbezogener Daten
(1) Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten.
(2) Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken.
(3) Die Einhaltung dieser Vorschriften wird von einer unabhängigen Stelle überwacht.
Der Österreichische Verfassungsgerichtshof (VfGh) hat 2012 in einer Grundsatzentscheidung festgestellt, dass die EU Grundrechtecharta wie die Verfassungsnormen des Staates Österreich wirksam sind, d.h. quasi als Teil der Verfassung gelten. 2 Dies wurde als „Meilenstein in der Entwicklung der Grundrechte-Judikatur” gewertet.
Salopp formuliert: Es braucht eine EU Datenschutz-Grundverordnung (EU DSGVO), weil sich viele Akteure, also angefangen von Unternehmen und Konzernen, Verbänden, Organisationen bis hin zu Vereinen aber auch Privatpersonen über dieses Grundrecht auf Schutz personenbezogener Daten hinwegsetzen. Selbst sensible personenbezogene Daten wurden ohne Zustimmung und Einwilligung der Betroffenen zunehmend zur Handelsware, zu wertvollen Assets. Die bisherige EU Richtlinie 95/46/EG erwies sich als wenig wirksame Maßnahme gegen den Missbrauch personenbezogener Daten. Mit der DSGVO gibt es nun eine in allen Mitgliedsländern der Europäischen Union gleicherweise geltende Rechtsvorschrift und die Möglichkeit Verstöße dagegen mit sehr hohen Strafen (bis zu 20 Millionen Euro beziehungsweise 4 Prozent des vorjährigen globalen Umsatzes) wirksam zu ahnden.
In Österreich gibt es seit 1978 ein Datenschutzgesetz, das wiederholt novelliert wurde, bevor es an die Normen der EU Datenschutz Grundverordnung angepasst werden musste. Mit Ausnahme von einigen wenigen, begrenzten nationalen Gestaltungsmöglichkeiten im Rahmen sogenannter „Öffnungsklauseln” ist die EU DSGVO auch in Österreich wie in sämtlichen anderen Mitgliedsstaaten der Europäischen Union verbindlich. Bis dahin wurden mehr oder weniger Verstöße gegen den Datenschutz wie Kavaliersdelikte behandelt, Strafen sehr selten verhängt und wenn, dann in einer Größenordnung, die zu den Vorteilen, die manche aus den Verstößen zogen, in keinem Verhältnis standen. Österreich hat sich gegen die DSGVO gestemmt und ist bei der Umsetzung sehr darauf bedacht, den status quo ante beizubehalten, also die DSGVO und vor allem die Sanktionen möglichst zu entschärfen — für Verantwortliche zum Nachteil Betroffener. (Siehe folgenden Beitrag Obrigkeitsstaat Österreich: Eine Behörde ist eine Behörde ist eine Behörde.
Eine erstaunliche österreichische Facette findet sich im Datenschutzgesetz (DSG). Hier wird der Schutz personenbezogener Daten über natürliche Personen hinaus auch auf juristische Personen erweitert. Das sei, so wird argumentiert, dem Umstand geschuldet, dass sich für eine Abschaffung dieser im Verfassungsrang stehende Sondersituation in Österreich keine entsprechende parlamentarische Mehrheit gefunden hätte. Das ist nicht die einzige Auffälligkeit bezüglich Umsetzung der DSGVO in Österreich. Unter Österreichs Sonderwege im Datenschutz können Sie dazu mehr lesen.
Grundsätzlich gilt: Niemand hat das Recht Ihre personenbezogenen Daten zu erheben, zu sammeln, zu speichern, zu verarbeiten oder weiterzugeben. Das Datenschutzgesetz ist ein sogenanntes Verbotsgesetz. Es verbietet die Nutzung von personenbezogenen Daten, es sei denn es gibt dafür eine ausreichende rechtliche Grundlage wie beispielsweise Ihre Einwilligung, eine gesetzliche Erfordernis oder sogenannte berechtigte Interessen.
Das Unternehmen, der Verband u.a. haben nach Einlangen der Auskunftsanfrage vier Wochen Zeit für eine Beantwortung. Diese Frist kann begründet auf bis zu drei Monate ausgeweitet werden. Für diesen Fall ist es erforderlich, dass das Unternehmen, der Verband u.a. Ihnen die Fristverlängerung schriftlich samt Begründung mitteilt.
Für den Fall, dass das Unternehmen, der Verband u.a. die Auskunft verweigern sollte, wäre Ihnen dies unter Angabe der Gründe unverzüglich und schriftlich mitzuteilen.
Im Datenschutzgesetz werden die zulässigen Gründe angeführt (§ 43 Abs. 4 DSG): Sofern die öffentliche oder nationale Sicherheit gefährdet wäre, verfassungsmäßige Einrichtungen der Republik Österreich, zum Schutz militärischer Eigensicherungen oder zum Schutz der Rechte und Freiheiten anderer. Auch dann kann die Auskunft aufgeschoben, eingeschränkt oder unterlassen werden, sofern dadurch die Verhütung, Aufdeckung, Ermittlung oder Verfolgung von Straftaten oder der Strafverfolgung beeinträchtigt werden könnte, besonders wenn behördliche, gerichtliche Untersuchungen, Ermittlungen oder Verfahren betroffen sind.
Sofern Ihr Auskunftsverlangen unbeantwortet bleibt, Ihnen weder schriftlich mitgeteilt wurde, dass die Frist auf drei Monate ausgedehnt wurde oder Ihr Auskunftsbegehren schriftlich begründet zurückgewiesen wurde, dann haben Sie das Recht gegen das Unternehmen, den Verband u.a. Beschwerde bei der Datenschutzbehörde einzubringen. In Österreich steht Ihnen – im Unterschied zu Deutschland und anderen EU Mitgliedsländern – ausschließlich der Weg einer Beschwerde an die Datenschutzbehörde offen. Eine Klage vor Gericht ist in Österreich nicht möglich.
Die Beschwerde kann formlos eingebracht werden, muss aber begründet sein. Die Voraussetzungen einer formal gültigen Beschwerde für Österreich nach §24 Abs. 2 DSG finden Sie in folgendem Beitrag: Österreichs Sonderwege im Datenschutz.
In Folge des Datenschutz-Anpassungsgesetzes und des Datenschutz-Deregluierungs-Gesetzes haben Sie für die Rechtsdurchsetzung als Betroffener in Österreich allein die Möglichkeit einer Beschwerde bei der Datenschutzbehörde. Nachdem es bislang keine Verfassungsanpassung an die Normen der EU DSGVO gab, bleibt in Österreich der direkte Weg zu Gericht verwehrt. Betroffene haben aber die Möglichkeit sich beim Bundesverwaltungsgericht über Bescheide oder Verletzung der Entscheidungspflicht der Datenschutzbehörde zu beschweren, d.h. sie haben ein Recht auf Rechtsbehelf gegen einen rechtsverbindlichen Beschluss der Datenschutzbehörde. Unabhängig davon können Schadensersatzklagen vor Gericht gebracht werden, sofern einem Betroffenen nachweisbar durch Missachtung seiner Betroffenenrechte ein materieller oder immaterieller Schaden entstanden ist.
Die Charta der Grundrechte der Europäischen Union (GRC) kodifiziert Grund- und Menschrechte im Rahmen der Europäischen Union (EU). Sie wurde 2009 erstmals proklamiert. ↩
Genau formuliert heißt es: In Verfahren, in denen Unionsrecht eine Rolle spielt, ist die EU-Grundrechte-Charta wie die Verfassung zu sehen.
↩