Das Datenschutzgesetz (DSG) regelt gemeinsam mit der Datenschutz-Grundverordnung den Schutz personenbezogener Daten in Österreich. Die Datenschutzbehörde, das Parlamentarische Datenschutzkomitee und der Datenschutzrat sind durch dieses Gesetz eingerichtet.

Kompetenzgrundlage ist Abs. 1 Z 13 B-VG, wonach allgemeine Angelegenheiten des Schutzes personenbezogener Daten in Gesetzgebung und Vollziehung Bundessache sind.

Datenschutzgesetz 1978 Das erste Datenschutzgesetz wurde mit dem installiert. Österreich war damit einer der ersten europäischen Staaten mit einer eigenen Behörde für den Datenschutz. dsb.gv.at Mit diesem wurde auch die Datenschutzkommission geschaffen.

Datenschutzgesetz 2000 Das Datenschutzgesetz 2000 () setzte die Richtlinie 95/46/EG (Datenschutzrichtlinie) in nationales Recht um und wurde 2005 grundlegend novelliert. Mit der DSG-Novelle 2013 ( vom 23. Mai 2013) wurde die Datenschutzkommission durch die Datenschutzbehörde abgelöst.

Definitionen § 4 DSG 2000 enthielt folgende Definitionen: Personenbezogene Daten sind Angaben zu Personen, deren Identität bestimmt oder zumindest bestimmbar sind. z. B. Name, SV-Nr., Adressen Nur indirekt personenbezogen sind Daten, bei denen der Personenbezug der Daten vom Auftraggeber, Dienstleister oder Empfänger mit rechtlich zulässigen Mitteln nicht bestimmt werden kann. Sensible Daten sind gesetzlich definiert: Daten über rassische oder ethnische Herkunft, politische Meinung, Gewerkschaftszugehörigkeit, religiöse oder philosophische Überzeugung, Gesundheit oder Sexualleben. Zustimmung ist die gültige, ohne Zwang abgegebene Willenserklärung der betroffenen Person zur konkreten Verwendung der Daten „in Kenntnis der Sachlage“. Diese kann schriftlich, mündlich oder auch schlüssig abgegeben werden (keine Formvorschrift).

Räumlicher Anwendungsbereich Die Bestimmungen sind in Österreich anzuwenden.

Darüber hinaus auf die Verwendung von Daten im Ausland, soweit in anderen Mitgliedstaaten der Europäischen Union für Zwecke einer in Österreich gelegenen Haupt- oder Zweigniederlassung eines Auftraggebers (§ 3 DSG 2000).

Öffentliche, private Daten Laut § 1 des Datenschutzgesetzes 2000 hat jedermann Anspruch auf Geheimhaltung personenbezogener Daten. Eine öffentliche Verfügbarkeit dieser Daten schließt diesen Anspruch jedoch aus. Im öffentlich-rechtlichen Bereich (Gerichte, Ämter usw.) besteht jedoch eine gewisse Auskunftspflicht (siehe Amtshilfe, Vollzugshilfe).

Datensicherheit

Datensicherheitsmaßnahmen sind organisatorische, personelle und technische Maßnahmen zur Datensicherheit, um eine ordnungsgemäße Datenverwendung zu sichern, die Daten vor Zerstörung und Verlust zu schützen, dass ihre Verwendung ordnungsgemäß erfolgt und dass die Daten Unbefugten nicht zugänglich sind.

Datengeheimnis (Verschwiegenheitspflicht)

Das Datengeheimnis nach § 15 des Datenschutzgesetzes 2000 verpflichtete Auftraggeber, Dienstleister und ihre Mitarbeiter Daten aus Datenanwendungen, die ihnen ausschließlich auf Grund ihrer berufsmäßigen Beschäftigung anvertraut wurden oder zugänglich geworden sind, unbeschadet sonstiger gesetzlicher Verschwiegenheitspflichten, geheim zu halten, soweit kein rechtlich zulässiger Grund für eine Übermittlung der anvertrauten oder zugänglich gewordenen Daten besteht.

Mitarbeiter durften Daten nur auf Grund einer ausdrücklichen Anordnung ihres Arbeitgebers übermitteln. Auftraggeber und Dienstleister hatten, sofern eine solche Verpflichtung ihrer Mitarbeiter nicht schon kraft Gesetzes besteht, diese vertraglich zu verpflichten, dass sie Daten aus Datenanwendungen nur auf Grund von Anordnungen übermitteln und das Datengeheimnis auch nach Beendigung des Arbeitsverhältnisses zum Auftraggeber oder Dienstleister einhalten werden.

Einrichtungen nach dem DSG 2000

Datenverarbeitungsregister

Das Datenverarbeitungsregister vergab eine siebenstellige Registernummer, die DVR-Nummer, an Unternehmen. In Österreich bestand bis zum Inkrafttreten der Datenschutz-Grundverordnung grundsätzlich Meldepflicht jeder Datenanwendung, allerdings mit einer Reihe von Ausnahmen im Einzelfall. Seit Inkrafttreten der DSGVO ist das Datenverarbeitungsregister obsolet und erhält keine neuen Einträge mehr.

Datenschutzbehörde

Der Datenschutzbehörde steht ein Leiter vor. Dieser wird vom Bundespräsidenten auf Vorschlag der Bundesregierung für eine Dauer von fünf Jahren bestellt. Die Geschäftsstelle der Datenschutzbehörde ist im Bundeskanzleramt eingerichtet, die Datenschutzbehörde ist jedoch nicht an Weisungen gebunden.

Kontrollbefugnisse der Datenschutzbehörde

Die Kontrollbefugnisse ergaben sich aus § 30 des Datenschutzgesetzes 2000:

Jedermann kann sich wegen einer behaupteten Verletzung seiner Rechte oder ihn betreffender Pflichten eines Auftraggebers oder Dienstleisters an die Datenschutzbehörde wenden. Die Datenschutzbehörde ist berechtigt, Räume des Auftraggebers oder Dienstleisters zu betreten, Datenverarbeitungsanlagen in Betrieb zu setzen, Verarbeitungen durchzuführen und Kopien von Datenträgern herzustellen. Die Datenschutzbehörde kann zur Herstellung des rechtmäßigen Zustandes Empfehlungen aussprechen, für deren Befolgung eine angemessene Frist gesetzt werden kann. Wird einer solchen Empfehlung nicht innerhalb der gesetzten Frist entsprochen, kann die Datenschutzbehörde u. a. ein Verfahren zur Überprüfung der Registrierung einleiten, Strafanzeige nach § 51 oder 52 erstatten, Klage vor dem zuständigen Gericht nach § 32 Abs. 5 erheben.

Gegen Bescheide der Datenschutzbehörde war kein Rechtsmittel zulässig. Die Anrufung des Verwaltungsgerichtshofes war zulässig.

Datenschutzrat

Der Datenschutzrat ist beim Bundeskanzleramt eingerichtet. Er berät die Bundesregierung und die Landesregierungen auf deren Ersuchen in rechtspolitischen Fragen des Datenschutzes.

Die wesentlichen materiellen Pflichten

Grundrecht auf Datenschutz

Alle Pflichten, die sich aus dem Datenschutzrecht ergeben, sind letztlich Ausfluss des Grundrechts auf DatenschutzStephan Gärtner: Harte Negativmerkmale auf dem Prüfstand des Datenschutzrechts. Ein Rechtsvergleich zwischen deutschem, englischem und österreichischem Recht, Verlag Dr. Kovac, Hamburg, 2011, S. 329–330. Dieses steht in § 1 des Datenschutzgesetzes im Verfassungsrang und lautet:

Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

Der sachliche Schutzbereich dieses Grundrechts umfasst die Geheimhaltung personenbezogener Daten. Konsequenterweise wird dieses Grundrecht aus Ergänzung zu Artikel 8 EMRK angesehen. Der persönliche Schutzbereich umfasst natürliche Personen und juristische Personen.

Indirekt ergibt sich daraus der Ansatz des Datenschutzrechts, dass personenbezogene Daten an sich nicht verwendet werden sollen, außer es liegt eine Ausnahme vor, die dies zulässt. Die Lösung datenschutzrechtlicher Probleme ist somit immer eine Suche nach Ausnahmen, um herauszufinden, ob die Verwendung von Daten zulässig ist oder nicht. Insoweit spricht auch das Österreichische Datenschutzrecht von dem datenschutzrechtlichen Verbot mit Erlaubnisvorbehalt.

Datenschutzgrundsätze

Die Datenschutzgrundsätze, nach denen die Datenverarbeitung erfolgen musste, waren in § 6 DSG 2000 geregelt. festgelegt. Dabei handelt es sich um den Grundsatz von Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Zweckbindung, Richtigkeit und der Speicherbegrenzung.

Die formellen Pflichten

Genehmigung für internationalen Datenverkehr durch DSK

Die Übermittlung und Überlassung von Daten an Empfänger in Mitgliedstaaten der Europäischen Union ist keinen Beschränkungen im Sinne des § 13 DSG 2000 unterworfen. Dies gilt nicht für den Datenverkehr zwischen Auftraggebern des öffentlichen Bereichs in Angelegenheiten, die nicht dem Recht der Europäischen Gemeinschaften unterliegen (§ 12 Abs. 1 DSG 2000).

Keiner Genehmigung gemäß § 13 DSG 2000 bedarf weiters der Datenverkehr mit Empfängern in Drittstaaten mit angemessenem Datenschutz (§ 12 Abs. 2 DSG 2000). Welche Drittstaaten angemessenen Datenschutz gewährleisten, wird durch Verordnung des Bundeskanzlers festgestellt. Aufgrund einer Datenschutz-Angemessenheits-Verordnung sowie EU-Entscheidungen sind dies Argentinien, Canada, Schweiz, Guernsey, Isle of Man sowie US-Unternehmen, die sich den Bestimmungen der Safe-Harbor-Vereinbarung unterworfen haben.http://ec.europa.eu/justice_home/fsj/privacy/thridcountries/index_en.htm

Darüber hinaus ist nach § 12 Abs. 3 des Datenschutzgesetzes 2000 der Datenverkehr ins Ausland dann genehmigungsfrei, wenn die Daten im Inland zulässigerweise veröffentlicht wurden oder Daten, die für den Empfänger nur indirekt personenbezogen sind, übermittelt oder überlassen werden oder die Übermittlung oder Überlassung von Daten ins Ausland in Rechtsvorschriften vorgesehen ist, die im innerstaatlichen Recht den Rang eines Gesetzes haben und unmittelbar anwendbar sind, oder Daten aus Datenanwendungen für private Zwecke (§ 45 DSG 2000) oder für publizistische Tätigkeit (§ 48 DSG 2000) übermittelt werden oder der Betroffene ohne jeden Zweifel seine Zustimmung zur Übermittlung oder Überlassung seiner Daten ins Ausland gegeben hat oder ein vom Auftraggeber mit dem Betroffenen oder mit einem Dritten eindeutig im Interesse des Betroffenen abgeschlossener Vertrag nicht anders als durch Übermittlung der Daten ins Ausland erfüllt werden kann oder die Übermittlung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen vor ausländischen Behörden erforderlich ist und die Daten rechtmäßig ermittelt wurden, oder die Übermittlung oder Überlassung in einer Standardverordnung (§ 17 Abs. 2 Z 6 DSG 2000) oder Musterverordnung (§ 19 Abs. 2 DSG 2000) ausdrücklich angeführt ist oder es sich um Datenverkehr mit österreichischen Dienststellen im Ausland handelt oder Übermittlungen oder Überlassungen aus Datenanwendungen erfolgen, die gemäß § 17 Abs. 3 DSG 2000 von der Meldepflicht ausgenommen sind.

Alle anderen Datenübermittlungen oder Datenüberlassungen sind nach § 13 des Datenschutzgesetzes 2000 von der Datenschutzkommission vorher mittels Bescheid zu genehmigen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen knüpfen.

Die Genehmigung ist, wenn im Empfängerstaat ein generell geltenden angemessenen Datenschutzniveaus fehlt, dann zu genehmigen, wenn für die im Genehmigungsantrag angeführte Übermittlung oder Überlassung im konkreten Einzelfall angemessener Datenschutz besteht; oder der Auftraggeber glaubhaft macht, dass die schutzwürdigen Geheimhaltungsinteressen der vom geplanten Datenverkehr Betroffenen auch im Ausland ausreichend gewahrt werden.

Typischerweise geschieht dies unter Zuhilfenahme der „Standardvertragsklauseln“ der EU, die zwischen Sender und Empfänger der Daten unterzeichnet werden und dann bei der Datenschutzkommission mit dem Genehmigungsantrag mitgesandt werden.

Gerade in internationalen Konzernen ist die Genehmigung der verschiedensten Datenströme aufgrund des Fehlens eines „Konzernprivilegs“ zur Zeit- und Kostenintensiven Aufgabe gewachsen, was auf Kritik derselben stößt. (PDF) Jüngste Entwicklung ist die Einführung so genannter Verbindlicher Unternehmensvorschriften („Binding Corporate Rules“ – BCRs), die ein einheitliches Datenschutzniveau schaffen sollen und dadurch eine Verbesserung bei den Genehmigungsverfahren.

Genehmigung von Informationsverbundssystemen durch DSK