Datenschutz in Österreich. von Walter Dohr

Transkript

1 Datenschutz in Österreich von Walter Dohr In Österreich gilt seit 1. Jänner 2002 ein neues Datenschutzgesetz das DSG Es löste das seit 1980 geltende alte Datenschutzgesetz ab und wurde notwendig, um die österreichische Rechtslage an die Vorgaben der Europäischen Union anzupassen. Die Frage stellt sich, warum die Europäische Union (EU) ihren Mitgliedsstaaten überhaupt Datenschutz vorschreibt. Der Datenschutz in der Europäischen Union Die Europäische Wirtschaftsgemeinschaft (EWG) hat in den siebziger und achtziger Jahren des vorigen Jahrhunderts dem Datenschutz gegenüber eine wennschon nicht ablehnende so doch im besten Fall neutrale Position eingenommen. Herrschende Meinung war damals, dass zu strenge Datenschutzregelungen in Europa die Wettbewerbssituation europäischer Computerkonzerne gegenüber ihren Mitbewerbern in den USA und Japan benachteiligen würden. Diese Auffassung änderte sich in den neunziger Jahren, als einerseits die Idee des Binnenmarktes umgesetzt wurde und andererseits sich die Europäischen Gemeinschaften nicht nur als reine Wirtschaftsgemeinschaft sondern auch als Wertegemeinschaft verstanden, die sich einem gemeinsamen Wertekatalog und Menschenrechtsstandards verpflichtet fühlten. Das inzwischen realisierte Binnenmarktkonzept beinhaltet die vier Freiheiten für Waren und Güter, Dienstleistungen, Kapital und Personen und bedeutet, dass ohne bürokratische Hürden und Zusatzgenehmigungen österreichische Unternehmen ihre Waren nicht nur in Österreich sondern auch in den anderen Mitgliedsstaaten der EU anbieten und verkaufen können. Das gleiche gilt für Dienstleistungen jeglicher Art, für Kapitaltransfers oder für die Freiheit, den Wohnsitz bzw. den Arbeitsort zu wählen. Der freie Fluss von Gütern, Dienstleistungen, Kapital und Personen macht jedoch nur Sinn, wenn auch die jeweils begleitende Information frei fließen kann. Unterschiedliche Datenschutzgesetze bzw. das Fehlen von Datenschutzregelungen in einem Mitgliedsstaat bergen das Risiko, dass die Übermittlung der Information mit dem Argument, im Empfängerland sei kein ausreichender Datenschutz gewährleistet, unterbunden wird. Die EU hat daher 1995 eine Datenschutzrichtlinie beschlossen, die den Mitgliedsstaaten ein relativ hohes Datenschutzniveau vorschreibt und den freien Fluss der Daten innerhalb der EU gewährleistet. Ebenso wichtig war der EU, den Datenschutz als ein Element des gemeinsamen Wertekatalogs zu etablieren. Das gemeinsame hohe Datenschutzniveau dient daher auch der Absicherung einer geschützten Privatsphäre vor dem Hintergrund einer elaborierten und damit auch risikobehafteten Informationstechnologie. Die (noch) nicht verbindliche Europäische Grundrechtscharta führt daher den Datenschutz als eigenen Grundwert im Rang eines Menschenrechtes ausdrücklich an. Im Arbeitsprogramm des seit März 2002 tagenden Europäischen Konvents ist die Schaffung eines verbindlichen Grundrechtskataloges, der auf der Grundrechtscharta aufbaut bzw. sie im wesentlichen wohl übernehmen wird, vorgesehen. Damit wäre der Datenschutz endgültig in der EU als individuelles Menschenrecht etabliert,

2 unabhängig von dem Schutz der Privatsphäre, den die Europäische Menschenrechtskonvention heute schon gewährt, ein Schutz, der auf Grund der jüngeren Judikatur des Europäischen Gerichtshofes für Menschenrechte in Strassburg auch den Datenschutz mit umfasst. Wozu Datenschutz? Wissen ist Macht. Mit diesem Aphorismus wollte Francis Bacon dartun, dass naturwissenschaftliches Wissen dem Menschen Macht über die Natur verleiht. Heute ist Wissen (Information, also Daten) über Menschen sowohl in tausenden Datenbanken als auch in händisch geführten Karteien bei staatlichen Behörden, Sozialversicherungsträgern, Kammern, Unternehmen, Vereinen, politischen Parteien, Religionsgesellschaften, privaten Personen etc. gespeichert, verfügbar, verknüpfbar und damit als Machtmittel über Menschen verwertbar. In einem von Grundrechten geprägten Rechtsstaat soll Datenschutz sicherstellen, dass dieses Wissen über Menschen, in der Sprache des DSG 2000 die personenbezogenen Daten nicht beliebig oder gar missbräuchlich verwendet sondern in einer für den Einzelnen vorhersehbaren, nachvollziehbaren und damit kontrollierbaren Weise genutzt wird. Neben dieser juristischen Sicht kann Datenschutz aber auch ökonomisch betrachtet werden: Zu den klassischen Produktionsfaktoren Arbeit, Kapital und Boden ist heute als weiterer Faktor die Information hinzugetreten. Wir sind gewohnt, dass die klassischen Produktionsfaktoren einem umfangreichen Regelgefüge unterworfen sind. Man denke etwa nur an die vielfältigen Vorschriften im Arbeitsrecht, an das Bankwesengesetz und an die Gesetze über Grunderwerb, Grundbuch usw. Ziel dieser Vorschriften ist, die Nutzung der Produktionsfaktoren zu ordnen und in einer sozial verträglichen Weise auszugestalten. Das Datenschutzgesetz (DSG) dient dem selben Ziel bezüglich des Produktionsfaktors Information. Ähnlich wie das Arbeitsrecht die Beschäftigung von Schwarzarbeitern verbietet und pönalisiert, untersagt und sanktioniert das DSG die Verwendung unzulässiger Daten. Dies setzt voraus, dass Kriterien für die Zulässigkeit der Datenverwendung aufgestellt werden. Damit sind wir beim Kernbereich des DSG Das Datenschutzgesetz 2000 Das DSG fordert für die Verwendung von Daten die Einhaltung bestimmter Grundsätze. Diese Grundsätze sind teilweise eher allgemein umschrieben, wie die Verwendung der Daten nur nach Treu und Glauben und auf rechtmäßige Weise, für festgelegte, eindeutige und rechtmäßige Zwecke, teilweise ist die Zulässigkeit der Verwendung insbesondere wenn sensible Daten im Spiel sind abschließend und sehr konkret geregelt. Generell ist das gesamte Datenschutzgesetz beherrscht von einer Interessensabwägung zwischen den Interessen des Betroffenen, das ist der verdatete Bürger und den Interessen des Auftraggebers, das ist derjenige, der die Daten verarbeitet oder bei einem Dienstleister verarbeiten lässt. Schon im Grundrecht auf Datenschutz ( 1 DSG) kommt diese Interessenabwägung deutlich zum Ausdruck, da das Grundrecht an das Vorliegen von schutzwürdigen Interessen anknüpft. Keine schutzwürdigen Interessen liegen vor, wenn die Daten allgemein verfügbar sind, wie z.b. Grundbuchsdaten oder Daten 2

3 die auf den/die einzelne/n BetroffeneN nicht mehr zurückgeführt werden können, weil sie teilanomymisiert sind, oder weil der/die Betroffene einer Weitergabe der Daten zugestimmt hat. Umgekehrt, wird die Schutzwürdigkeit insbesondere bei sensiblen Daten gegeben sein. Zu den sensiblen Daten zählen Informationen über die rassische und ethnische Herkunft, politische Meinung, Gewerkschaftszugehörigkeit, religiöse oder philosophische Überzeugung, Gesundheit oder Sexualleben. Grundsätzlich sieht das Datenschutzgesetz 2000 sogar ein Verbot von der Verarbeitung sensibler Daten vor. Von diesem Verbot muss es natürlich Ausnahmen geben, denkt man nur daran, dass in Krankenhäusern natürlich Gesundheitsdaten verarbeitet werden müssen. Diese Ausnahmen finden sich jedoch ausdrücklich in einzelnen Gesetzen, wie z.b. im Krankenanstaltengesetz. Am Beispiel der Gesundheit kann jedoch deutlich gezeigt werden, wie das Datenschutzgesetz zwischen zulässiger und unzulässiger Verwendung der Daten differenziert. So gebietet es die Rechtslage und damit auch die Interessenslage eines/einer ArbeitgeberIn, z.b. der schulischen Dienstbehörde, über Krankenstände von Lehrpersonen Bescheid zu wissen. Dies bedeutet, dass ein sensibles Datum (Prof. x ist seit heute krank) zulässigerweise verarbeitet und verwendet werden darf. Unzulässig wäre es jedoch, würde die Dienstbehörde auch die Art der Krankheit verarbeiten, da diese Information zur Administrierung der dienstrechtlichen Vorschriften nicht notwendig ist. Ändert sich jedoch die Interessenslage, dann kann dies auch zu einer Änderung der Zulässigkeit der Verarbeitung führen. Führen wir das obige Beispiel weiter, so ist vorstellbar, dass wegen sehr langer Krankenstände der/die DienstgeberIn vermeint, der/die DienstnehmerIn hat nicht mehr jene körperliche und geistige Eignung, die zur Erfüllung des Dienstes notwendig ist. In einem solchen Fall ist in einem rechtlichen Verfahren zu prüfen, ob der Gesundheitszustand des/der DienstnehmerIn das Weiterverbleiben im Dienst gestattet oder nicht. In diesem Verfahren wird somit die Art der Erkrankung zum Gegenstand eines rechtlichen Kalküls und darf daher verwendet werden. Konkret bedeutet dies z.b. dass der/die die Krankmeldung ausstellende ÄrztIn auf der Krankmeldung zwar die voraussichtliche Dauer der Krankheit, nicht aber die Diagnose selbst vermerken darf. Ein solcher Vermerk würde den/die betroffene/n DienstnehmerIn in seinem/ihrem Grundrecht auf Geheimhaltung von schutzwürdigen Daten verletzen. Auskunft über verarbeitete Daten Außer dem Recht auf Geheimhaltung vermittelt das Grundrecht aber auch noch die zentralen Rechte des Betroffenen auf Auskunft, Richtigstellung und Löschung der Daten. Das Auskunftsrecht bedeutet, dass jede/r vom/von der AuftraggeberIn Auskunft über die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür zu erhalten hat. Für die Erteilung der Auskunft hat der/die AuftraggeberIn 8 Wochen Zeit. Glaubt der/die Betroffene, dass die Daten, die tatsächlich verarbeitet werden, unrichtig sind oder unzulässig verarbeitet werden, kann und soll er/sie sein/ihr Recht auf Richtigstellung bzw. Löschung der Daten geltend machen. Ein solcher Antrag auf Richtigstellung ist natürlich zu begründen. Im übrigen trifft den Auftraggeber die 3

4 Pflicht, auch aus eigenem Antrieb, sobald ihm die Unrichtigkeit von Daten oder die Unzulässigkeit ihrer Verarbeitung bekanntgeworden ist, die Daten richtigzustellen bzw. zu löschen. Glaubt ein/e Betroffene/r, dass die allgemeine Interessenabwägung des Datenschutzgesetzes auf seinen/ihren Fall nicht zutrifft, weil aus seiner/ihrer besonderen Situation spezielle überwiegende schutzwürdige Geheimhaltungsinteressen gegeben seien, so kann er/sie das Widerspruchsrecht gegen eine grundsätzlich zulässige Datenverwendung geltend machen. Hier muss dann im Einzelfall die Interessensabwägung penibel vorgenommen werden. Handelt es sich bei der Datenbank, gegen die Widerspruch erhoben wird, jedoch um eine öffentlich zugängliche Datenbank, z.b. um ein von einem/einer privaten VerlegerIn herausgegebenes Verzeichnis von Fax-Nummern oder -Adressen, so bedarf der Widerspruch keiner Begründung. Die klassischen Datenschutzrechte auf Auskunft, Richtigstellung, Löschung und seit dem DSG 2000 auch auf Widerspruch können natürlich sinnvoll nur ausgeübt werden, wenn bekannt ist, wer überhaupt Daten verwendet. Die Publizität der Datenverwendung ist daher eine Grundvoraussetzung, um die Datenschutzrechte lebendig werden zu lassen. Die Publizität der Datenanwendungen wird durch 2 Instrumente gesichert. Zum einen besteht ein Datenverarbeitungsregister bei der Datenschutzkommission, in der fast jede/r AuftraggeberIn seine/ihre Datenanwendungen mit den Betroffenenkreisen und ÜbermittlungsempfängerInnen zu melden hat. Ausgenommen von dieser Meldepflicht sind nur öffentlich zugängliche Datenbanken, Daten die man auf dem Homecomputer für persönliche oder familäre Tätigkeiten speichert, Medienarchive und sogenannte Standardanwendungen. Das sind jene, die von vielen AuftraggeberInnen routinemäßig und in Übereinstimmung mit der Rechtsordnung durchgeführt werden wie z.b. das Rechnungswesen im kaufmännischen Bereich, die Personalverwaltung, die Mitgliederverwaltung von Vereinen, die Personenstandsbücher bei Standesämtern, die Staatsbürgerschaftsevidenzen, die Wählerevidenz aber auch die Personalverwaltung des Bundes. Will also z.b. eine Lehrperson wissen, welche Daten der/die DienstgeberIn tatsächlich speichert, kann er/sie sich erstmalig über den Umfang der Personalverwaltung des Bundes in der Standardverarbeitung Personalverwaltung informieren, die in einer Verordnung abgedruckt ist und darüber hinaus konkret seine/ihre Daten durch das Auskunftsrecht bei der Dienstbehörde erfahren. Als 2. Institut, das der Publizität der Datenanwendung dient, ist die Informationspflicht des/der AuftraggeberIn zu nennen. Sie besteht darin, dass jede/r AuftraggeberIn aus Anlass der Ermittlung von Daten die Betroffenen in geeigneter Weise über den Zweck der Datenanwendung, für die die Daten ermittelt werden, zu informieren hat. Diese Informationspflicht darf nur unterbleiben, wenn ein Gesetz dies ausdrücklich vorsieht, wenn die Betroffenen unmöglich erreichbar sind oder wenn die Kosten der Information aller Betroffenen einen unverhältnismäßigen Aufwand erfordern würde, und zugleich eine Beeinträchtigung der betroffenen Rechte durch das Unterbleiben der Information unwahrscheinlich ist. Kontrolle des Datenschutzes Als Kontrolleinrichtungen für den Datenschutz sind einerseits die Gerichte und andererseits die Datenschutzkommission vorgesehen. Die 4

5 Datenschutzkommission, die ihren Sitz im Bundeskanzleramt hat, ist weisungsfrei und unabhängig, sie kontrolliert im Wesentlichen die Datenverwendung im öffentlichen Bereich (Bundesverwaltung, Landesverwaltung, Gemeinden, Sozialversicherungsträger, Kammern). Ihr kommen aber auch Zuständigkeiten für AuftraggeberInnen des privaten Bereichs (Unternehmen, Vereine, politische Parteien) zu hinsichtlich der Durchsetzung des Auskunftsrechtes, der Meldung beim Datenverarbeitungsregister und bezüglich des Exportes von Daten in Drittstaaten. Für sonstige Datenschutzansprüche gegenüber privaten AuftraggeberInnen sind die Gerichte zuständig, die auch bei schweren Verstößen gegen den Datenschutz einen Schadenersatz für imaterielles Leid, also für die Verletzung der Privatshäre ohne dass ein Vermögensschaden eingetreten wäre, zusprechen kann. Der Datenschutzrat, ist ein beratendes Gremium der Bundesregierung. Er untersucht, grundsätzliche Fragen des Datenschutzes, wie z.b. die Frage von Schwarzen Listen im Bankenbereich, vor allem aber die Bundesregierung im Begutachtungsverfahren von Gesetzesentwürfen, die datenschutzrelevant sind. Statistik und Wissenschaft Das Datenschutzgesetz 2000 enthält aber nicht nur strengere Bestimmungen als sein Vorläufer das DSG aus dem Jahre 1978 sondern erleichtert insbesondere für Wissenschaft und Statistik den Zugang zu Daten. Hier trifft also der Gesetzgeber eine Interessensabwägung zwischen den schutzwürdigen Interessen der Betroffenen und der Interessenslage an Forschung und Statistik. Solche durch den Gesetzgeber getroffenen Interessensabwägungen finden sich z.b. in einem Statistikgesetz, das eine österreichweite umfassende Bildungsevidenz vorsieht, und der Statistik Austria ermöglichst, sämtliche Ausbildungsdaten gezielter als über die aufgrund der Volkszählung zur Verfügung stehenden Daten zu erfassen. Auch die Verwendung der Volkszählungsdaten aus dem Mai 2001 für den Aufbau eines zentralen Melderegister, was einem Grundsatz des Datenschutzes, nämlich der strengen Zweckbindung widerspricht, konnte nur erfolgen, weil der Bundesgesetzgeber dies ausdrücklich anordnet. Sollte der Gesetzgeber in einem solchen Fall exzessiv sein und die Interessensabwägung unsachgemäß und oder gar gleichheitswidrig vornehmen, so könnte dieses Gesetz vor dem Verfassungsgerichtshof wegen Verletzung des Grundrechtes auf Datenschutz angefochten werden. Sanktionen Das Datenschutzgesetz kennt sowohl Verwaltungsstrafbestimmungen z.b. wegen der Verarbeitung von Daten ohne sie beim Datenverarbeitungsregister gemeldet zu haben, die mit Höchststrafen bis zu ATS ,- (EUR ,93) sanktioniert sind. Bei Datenverwendungen in Gewinn- oder Schädigungsabsicht droht eine Freiheitsstrafe von höchstens einem Jahr. Walter Dohr ist Wiener Patientenanwalt, Mitglied des Datenschutzrates und war Leiter der Datenschutzabteilung des BKA-Verfassungsdienstes. Er ist unter der e- mail: erreichbar. 5

6 Rechtsquellen: Datenschutzgesetz 2000, Bundesgesetzblatt I 1999/165; EU- Datenschutzrichtlinie: Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom zum Schutz natürlicher Personen bei der Verarbeitung personen-bezogener Daten und zum freien Datenverkehr, Abl L 281; Wichtige Adressen: Offizielle Datenschutzwebsite des BKA und der Daten-schutzkommission 6