Datenschutzrecht. Mag. Michaela Wegscheider

Transkript

1 Datenschutzrecht Mag. Michaela Wegscheider Burggasse 14/IV, A-9020 Klagenfurt, Tel.: , Fax: ,

2 Datenschutzrecht Im Rahmen der Veranstaltung: Auskunft, Datenschutz und Datensicherheit Michaela Wegscheider 1

3 Fundstellen Normtexte: Entscheidungen und Informationen: 2

4 Rahmenbedingungen Amtsverschwiegen heit Auskunfts -pflicht Datenschutz recht 3

5 Amtsverschwiegenheit Alle mit Aufgaben der Bundes-, Landes- und Gemeindeverwaltung betrauten Organe sowie die Organe anderer Körperschaften des öffentlichen Rechts sind, soweit gesetzlich nicht anderes bestimmt ist, zur Verschwiegenheit über alle Tatsachen verpflichtet - die ihnen ausschließlich aus ihrer amtlichen Tätigkeit bekannt gewordenen sind und - deren Geheimhaltung im Interesse der Aufrechterhaltung der öffentlichen Ruhe, Ordnung und Sicherheit, der umfassenden Landesverteidigung, der auswärtigen Beziehungen, im wirtschaftlichen Interesse einer Körperschaft des öffentlichen Rechts, zur Vorbereitung einer Entscheidung oder im überwiegenden Interesse der Parteien geboten ist. (Art. 20 Abs. 3 B-VG) 4

6 Auskunftspflicht Alle mit Aufgaben der Bundes-, Landes- und Gemeindeverwaltung betrauten Organe sowie die Organe anderer Körperschaften des öffentlichen Rechts haben über Angelegenheiten ihres Wirkungsbereiches Auskünfte zu erteilen, soweit eine gesetzliche Verschwiegenheitspflicht dem nicht entgegensteht; berufliche Vertretungen sind nur gegenüber den ihnen jeweils Zugehörigen auskunftspflichtig und dies insoweit, als dadurch die ordnungsgemäße Erfüllung ihrer gesetzlichen Aufgaben nicht verhindert wird. (Art. 20 Abs. 4 B-VG; 1 Abs. 1 K-ISG) 5

7 Auskunftspflicht 2 Wissenserklärungen über Angelegenheiten, die dem zur Auskunft verpflichteten Organ zum Zeitpunkt der Einbringung des Auskunftsbegehrens aufgrund seiner amtlichen Tätigkeit bekannt sind und nicht erst zum Zweck der Erfüllung der Auskunftspflicht beschafft oder erarbeitet werden müssen. 6

8 Auskunftspflicht 3 Eine Auskunft ist nur in einem solchen Umfang zu erteilen, der die Besorgung der übrigen Aufgaben der Organe nicht wesentlich beeinträchtigt. Eine Auskunft ist nicht zu erteilen, wenn - sie offenkundig mutwillig verlangt wird, - die Auskunftserteilung umfangreiche Ausarbeitungen erfordern würde oder - die gewünschten Informationen dem Auskunftswerber auf andere Weise unmittelbar zugänglich sind. 7

9 Beispiele I Wie gehen Sie vor? Ein Redakteur der Kronenzeitung fragt telefonisch nach, ob es stimme, dass ein bekannter Bürger ihrer Gemeinde einen Schwarzbau errichtet habe und welche Strafen hierfür vorgesehen sind. Frau Maier ersucht um Auskunft, warum ihren Ehemann der Führerschein entzogen wurde. Sie sind Mitarbeiter im Bereich der Finanzverwaltung. Ein Bürger möchte von Ihnen wissen, wie Sie die Erhöhung der Gebühren für die Müllentsorgung finden. Ein Bürger ersucht Anfang Jänner 2014 um Mitteilung, wie hoch die Einnahmen aus der Hundeabgabenverordnung im Jahr 2012 in Ihrer Gemeinde waren. Welche Möglichkeiten haben Sie? Welche Möglichkeiten hat der Bürger? 8

10 Warum Datenschutzrecht? 9

11 Datenschutzrecht Datenschutzgesetz 2000 Grundrecht auf Datenschutz (Verfassungsbestimmung) Einfachgesetzliche Bestimmungen Kärntner Informationsund Statistikgesetz K- ISG 10

12 Bundesverfassungsrecht Stufenbau der Rechtsordnung (ohne Unionsrecht) Bescheid (einfache) Gesetze Verordnungen Zwangsakt Urteil Landesverfassungsrecht Vertrag 11

13 Grundrechte Verfassungsgesetzlich gewährleistete Rechte für den Einzelnen und Bindung für den (einfachen) Gesetzgeber Menschenrechte ( Jedermann ) Bürgerrechte ( Staatsbürger ) Abwehrrecht (gegenüber Staat) Drittwirkung (gegenüber Dritte); Schutzpflicht 12

14 Grundrecht auf Datenschutz ( 1) Jedermann hat Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Kein schutzwürdiges Geheimhaltungsinteresse besteht, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind. 13

15 Grundrecht auf Datenschutz 2 Die Verwendung der Daten ist nur zulässig - wenn sie im lebenswichtigen Interesse des Betroffenen ist; - mit seiner Zustimmung erfolgt; - wenn sie nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig ist (bei staatlichen Behörden nur aufgrund von Gesetzen). Zu beachten: Verhältnismäßigkeitsgebot (gelindester Mitteleinsatz) 14

16 Zuständigkeiten Gesetzgebung: Bund (automationsunterstützte und manuelle Dateien) Länder (manuelle Dateien: K-ISG) Rechtsdurchsetzung: Datenschutzbehörde (öffentlicher AG) Zivilgerichtsbarkeit (privater AG) Räumlicher Geltungsbereich Innerhalb Österreichs: Territorialitätsprinzip Innerhalb EU: Sitzstaatsprinzip Ausland: Territorialitätsprinzip 15

17 Wörterbuch Auftraggeber: Öffentlicher Auftraggeber in Formen des öffentlichen Rechtes eingerichtet; Organe einer Gebietskörperschaft; in Formen des Privatrechts eingerichtet sind, jedoch in Vollziehung der Gesetze (d.h. hoheitlich) tätig werden Privater Auftraggeber Personenbezogene Daten: Angaben über Betroffene, deren Identität bestimmt oder bestimmbar ist indirekt personenbezogene Daten anonyme Daten 16

18 Wörterbuch 2 sensible Daten: Daten natürlicher Personen über ihre rassische und ethnische Herkunft, politische Meinung, Gewerkschaftszugehörigkeit, religiöse oder philosophische Überzeugung, Gesundheit oder ihr Sexualleben Betroffener: natürliche oder juristische Person oder Personengemeinschaft, deren Daten verwendet werden Auftraggeber: entscheidet, Daten zu verwenden Verwenden: Verarbeiten + Übermitteln 17

19 Wörterbuch 3 Verarbeiten: Ermitteln, Speichern, Aufbewahren, Verknüpfen, Abfragen, Sperren, Löschen etc. Datei: strukturierte Sammlung von Daten, die nach mindestens einem Suchkriterium zugänglich sind Datenanwendung: Summe der in ihrem Ablauf logisch verbundenen Verwendungsschritte, die zur Erreichung eines inhaltlich bestimmten Ergebnisses (des Zweckes der Datenanwendung) geordnet sind und zur Gänze oder auch nur teilweise automationsunterstützt erfolgen Informationsverbundsystem: gemeinsame Verarbeitung von Daten in einer Datenanwendung durch mehrere AG (auch Zugriff auf Daten anderer AG) 18

20 Auftraggeber Dienstleister Übermitteln - Überlassen AG AG AG 19

21 Zustimmung Freiwillige (ohne Zwang) Willenserklärung, in Kenntnis der Sachlage und für den konkreten Fall, Widerrufbarkeit Beispiel: Ich stimme zu, dass VERBUND berechtigt ist, meine Daten nämlich Kundenname und Liefer- sowie Rechnungsadresse, -Adresse, Telefonnummer, Geburtsdatum, gewähltes Produkt und Verbrauchsdaten zum Zweck der Zusendung von produktspezifischen Informationen und Werbesendungen per Post oder mittels EDV zu speichern, zu verarbeiten und an die VERBUND Sales GmbH, 1010 Wien, Am Hof 6a, zum Zweck der Zusendung von produktspezifischen Informationen und Werbesendungen per Post oder zu übermitteln. Diese Zustimmung ist jederzeit widerruflich. 20

22 Prüfschritte 1 Beachtung der Grundsätze ( 6) 2 3 Zulässigkeit der Verwendung ( 7) Verletzung schutzwürdiger Geheimhaltungsinteressen ( 8 und 9) 4 Verhältnismäßigkeitsgebot ( 7 Abs. 3) 21

23 1. Grundsätze Datenverwendung nur nach Treu und Glauben und auf rechtmäßige Weise Zweckbindung für festgelegte, eindeutige und rechtmäßige Zwecke soweit für den Zweck wesentlich sachlich richtig und auf neuestem Stand Aufbewahrung nur solange für Zweck erforderlich 22

24 2. Zulässigkeit der Verwendung Zulässigkeit der Verarbeitung: 1. Deckung des Zwecks und der Inhalte von den gesetzlichen Zuständigkeiten oder rechtlichen Befugnissen des jeweiligen Auftraggebers, 2. keine Verletzung schutzwürdiger Geheimhaltungsinteressen. Zulässigkeit der Übermittlung: 1. zulässige Verarbeitung, 2. Empfänger legt gesetzliche Zuständigkeit oder rechtliche Befugnis für Übermittlung dar, 3. keine Verletzung schutzwürdiger Geheimhaltungsinteressen. 23

25 3. Schutzwürdige Geheimhaltungsinteressen Keine Verletzung schutzwürdiger Geheimhaltungsinteressen bei - nicht-sensiblen Daten: beispielhafte Aufzählung (Interpretationsspielraum) ( 8) - sensiblen Daten: taxative Aufzählung ( 9) 24

26 3. Schutzwürdige Geheimhaltungsinteressen 2 Keine Verletzung bei nicht-sensiblen Daten, wenn - eine ausdrückliche gesetzliche Ermächtigung oder Verpflichtung zur Verwendung der Daten besteht oder - der Betroffene der Verwendung seiner Daten zugestimmt hat, wobei ein Widerruf jederzeit möglich ist und die Unzulässigkeit der weiteren Verwendung der Daten bewirkt, oder - lebenswichtige Interessen des Betroffenen die Verwendung erfordern oder - überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten die Verwendung erfordern. 25

27 3. Schutzwürdige Geheimhaltungsinteressen 3 Keine Verletzung bei sensiblen Daten, wenn beispielsweise - Betroffener Daten offenkundig selbst veröffentlicht hat; - Daten nur in indirekt-personenbezogener Form verwendet werden; - sich Ermächtigung oder Verpflichtung aus gesetzlicher Vorschrift ergibt; - der Betroffene zugestimmt hat; - Verwendung zur Wahrung lebenswichtiger Interessen notwendig ist. Die in 9 geregelten Fälle sind abschließend. 26

28 3. Schutzwürdige Geheimhaltungsinteressen 4 Strafregisterdaten ( 8 Abs. 4) (Daten zu gerichtlich oder verwaltungsbehördlich strafbaren Handlungen oder Unterlassungen und strafrechtliche Verurteilungen) Ausdrückliche gesetzliche Ermächtigung oder Verpflichtung Verwendung ergibt sich aus gesetzlichen Sorgfaltspflichten oder anderen Interessen des AG, wenn Interessen des Betroffenen gewahrt bleiben Datenweitergabe bei Erstattung einer Anzeige 27

29 4. Verhältnismäßigkeit Eingriff in das Grundrecht auf Datenschutz darf nur erfolgen: - im erforderlichen Ausmaß - mit den gelindesten zur Verfügung stehenden Mitteln. 28

30 Musterbeispiel Ihre Gemeinde möchte eine einmalige soziale Unterstützung an Gemeindebürger mit einem Einkommen unter Euro brutto gewähren. Sie sind für die Abwicklung zuständig. Was gilt es datenschutzrechtlich zu beachten? Prüfschritt 1 Grundsätze Prüfschritt 2 Zulässigkeit der Verwendung Prüfschritt 3 Sind schutzwürdige Geheimhaltungsinteressen verletzt? Prüfschritt 4 - Verhältnismäßigkeit 29

31 Fallbeispiele Der Hotelbetrieb sendet seine neuesten Angebote an ein Verzeichnis aller Gäste der letzten 5 Jahre. Wie beurteilen Sie dieses Vorgehen? Eine Verkaufsplattform im Internet bietet Produkte von unterschiedlichen Händlern. Die Zusendung des Produkts erfolgt direkt über den Händler. Welche Daten über den Kunden dürfen an den Händler weitergegeben werden? Darf der Händler über die bisherigen Einkäufe des Kunden auf der Plattform informiert werden? 30

32 Fallbeispiele In der Gemeindezeitung findet sich auf der ersten Seite folgende Einleitung des Bürgermeister: Die Ferien 2009 sind leider vorbei, [ ] Leider wurden mir meine Ferien durch falsche Medienberichte, Tatsachenverdrehung, Unwahrheiten etc. getrübt. Ein Gemeindebürger (Herr Robert Ä***, 0000 X***, *straße *a) hat überdies gegen mich eine Anzeige bei der Staatsanwaltschaft *** nach 177 Abs. 1 Strafgesetzbuch (Fahrlässige Gemeingefährdung) eingebracht. Im Verurteilungsfall besteht ein Strafrahmen bis zu einem Jahr Haft. Was habe ich getan? Ich habe die Beschlüsse des Gemeinderates über die Zentrumsgestaltung in die Tat umgesetzt und im Rahmen einer großen Feierlichkeit mit Herrn LH *** seiner Bestimmung übergeben. Natürlich haben wir beim Bau alle gesetzlichen Normen, belegt durch [ ] penibelst eingehalten. Nach eingehender Prüfung der Sachverhaltsdarstellung durch die Staatsanwaltschaft wurde das Verfahren zwischenzeitig von der tatsächlich zuständigen Staatsanwaltschaft Wiener Neustadt klarerweise eingestellt. Ich frage Sie nun, liebe GemeindebürgerInnen, wie kommt man auf eine solche Idee zumal Herr Robert Ä* nicht ein einziges Mal in dieser Angelegenheit ein persönliches Gespräch gesucht hat. Wie beurteilen Sie dieses Schreiben datenschutzrechtlich? 31

33 Besondere Zwecke und Arten der Datenverwendung Private Zwecke ( 45) Wissenschaftliche Forschung und Statistik ( 46) Publizistische Tätigkeit ( 48) Verwendung von Daten im Katastrophenfall ( 48a) Informationsverbundsystem ( 50) 32

34 Adressenverwendung Adressübermittlung zur Benachrichtigung und Befragung ( 47) zulässig wenn Zustimmung vorliegt oder eine Beeinträchtigung der Geheimhaltungsinteressen unwahrscheinlich ist Beeinträchtigung der Geheimhaltungsinteressen wahrscheinlich: Genehmigung durch Datenschutzbehörde 33

35 Fallbeispiel Der Bürgermeister möchte den Gemeindebürgern zu ihren runden Geburtstagen Gratulationsschreiben schicken. Ist dies datenschutzrechtlich zulässig? 20 Abs. 3 Meldegesetz: [ ] Die Bürgermeister sind ermächtigt, die in ihrem Melderegister enthaltenen oder ihnen gemäß Abs. 2 übermittelten Meldedaten zu verwenden, sofern diese zur Wahrnehmung der ihnen gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bilden. 34

36 Fallbeispiel Das zuständige Mitglied des Gemeindevorstandes möchte den Bürger um die Meinung zum Verkauf eines Grundstückes befragen. Im Gemeinderat gibt es keine Mehrheit für eine Gemeindevolksbefragung. Darf das Mitglied des Gemeindevorstandes eine Bürgerumfrage durchführen und alle Personen im Umkreis von 5km zu diesem Grundstück anschreiben? 57 ff K-AGO: (1) Zur Erforschung des Willens der Gemeindebürger über Gegenstände aus dem eigenen Wirkungsbereich der Gemeinde, die von besonderer Bedeutung sind - ausgenommen Abgaben, Tarife und Gegenstände, die ausschließlich eine individuelle behördliche Entscheidung oder eine sonstige individuelle personenbezogene Maßnahme erfordern -, kann der Gemeinderat durch Verordnung eine Gemeindevolksbefragung anordnen. (2) Eine Gemeindevolksbefragung kann nach der Bedeutung des Gegenstandes für die ganze Gemeinde oder für Teile der Gemeinde, mindestens aber für den Bereich eines Wahlsprengels ( 51 der Kärntner Gemeinderats- und Bürgermeisterwahlordnung 2002) angeordnet werden. 35

37 Fallbeispiele Die Tourismuswerbung möchte eine Umfrage zum Thema Wohnen, wo andere Urlaub machen durchführen und benötigt dafür die Daten aller Zweitwohnsitzbesitzer in Ihrer Gemeinde. Da ein Zugriff auf das Melderegister nicht möglich ist, sollen die Informationen aus dem Kreis der Abgabepflichtigen für die Zweitwohnsitzabgabe kommen. Zulässig? 36

38 Videoüberwachung 9a. Abschnitt DSG 2000 ( 50a bis 50e) Begriff Systematische, insbesondere fortlaufende Feststellung von Ereignissen betreffend ein bestimmtes Objekt/Person durch technische Bildaufnahme- und Bildübertragungsgeräte Eigene Regelung, wann schutzwürdige Geheimhaltungsinteressen nicht verletzt werden (3. Prüfschritt) 37

39 Videoüberwachung 2 Unzulässig: an Orten des höchstpersönlichen Lebensbereiches zur Mitarbeiterkontrolle kein automationsunterstützer Abgleich mit anderen Bilddaten oder Suche nach sensiblen Daten Pflichten Protokollierung Verwendungsvorgänge nach 72h zu löschen Meldung Kennzeichnung 38

40 Pflichten des Auftraggebers Datensicherheit Publizitätspflichten Wahrung der Betroffenenrechte 39

41 Publizitätspflicht - Meldung Meldung an das Datenverarbeitungsregister (DVR) Einsicht in das DVR für jeden Einsicht in den Registrierungsakt für Betroffene vor Aufnahme einer Datenanwendung Vollbetrieb erst nach Abgabe der Meldung Ausnahmen Indirekt personenbezogene Daten Datenanwendungen für persönliche/familiäre Zwecke Standardanwendungen Erleichterung: Musteranwendungen Erschwerung: Vorabkontrolle 40

42 Datenverarbeitungsregister 41

43 Einsichtnahme 42

44 43

45 Standard- und Musteranwendungen In VO definierte Datenanwendungen Standardanwendungen: typisches Vorkommen geringes Gefährdungspotential keine Meldung Musteranwendungen Erleichterung bei der Meldung 44

46 Vorabkontrolle Datenanwendung darf erst nach Prüfung durch die DSB aufgenommen werden Betrifft Anwendungen, die sensible Daten enthalten; strafrechtlich relevante Daten enthalten; Informationen über die Kreditwürdigkeit enthalten als Informationsverbundsystem geführt werden 45

47 Weitere Publizitätspflichten Offenlegung nicht-meldepflichtiger Datenanwendungen: Mitteilung an jedermann, welche Standardanwendungen tatsächlich vorgenommen werden Informationspflichten: Information des Betroffenen über Zweck der Datenanwendung, Name und Adresse des AG (in geeigneter Weise); Informationspflicht bei Datenmissbrauch Offenlegung der Identität: bei Übermittlungen und bei Mitteilungen an Betroffenen (bei meldepflichtigen Datenanwendungen einschließlich DVR-Nummer) 46

48 Rechte der Betroffenen Grundrecht auf Datenschutz Auskunft Richtigstellung oder Löschung Widerspruch Unterlassung unzulässiger Verwendung Schadenersatz 47

49 Auskunftsrecht Auskunftsbegehren: schriftlich und unter Nachweis der Identität Inhalt der Auskunft: Verarbeitung welcher Daten; Herkunft der Daten; (event.) Empfänger der Daten; Zweck der Datenanwendung Rechtsgrundlage Name und Adresse des Dienstleisters 48

50 Auskunftsrecht 2 Ausnahmen: überwiegende berechtigte Interessen des AG oder eines Dritten überwiegende öffentliche Interessen Verweigerung der Mitwirkung durch den Betroffenen Grundsätze: ab Kenntnis des Auskunftsverlangens dürfen Daten nicht mehr vernichtet werden Auskunftserteilung schriftlich oder mündlich binnen 8 Wochen Mitwirkungspflicht kostenlos (außer wiederholte Begehren) 49

51 Recht auf Richtigstellung oder Löschung Dieses Recht umfasst: unrichtige Daten sind richtigzustellen. nicht benötigte Daten sind zu löschen. unvollständige Daten sind richtigzustellen, wenn daraus die Gesamtinformation unrichtig wird. Die Pflicht trifft den AG, wenn ihm selbst die Unrichtigkeit der Daten oder die Unzulässigkeit der Verwendung bekannt wird; ein Betroffener einen begründeten Antrag stellt. 50

52 Rechtsschutz Datenschutzbehörde (Beschwerdemöglichkeit an Bundesverwaltungsgericht) Kontrollrechte Betretungsrechte Recht, Kopien herzustellen Recht, Empfehlungen abzugeben Verletzung des Auskunftsrechts (öffentlicher+privater Bereich) Kontrolle des öffentlichen Bereichs Führung des DVR Ordentliche Gerichte Kontrolle des privaten Bereichs 51

53 Datenschutzbehörde Beschwerde Betroffene Verletzung des Rechts auf Auskunft gegen private und öffentliche AG Verletzung der Rechte auf Geheimhaltung, Richtigstellung oder Löschung gegen öffentliche AG allgemeines Kontroll- und Ombudsverfahren: kann bei begründeten Verdacht jede Datenanwendung prüfen kann ohne begründeten Verdacht Anwendungen prüfen, die der Vorabkontrolle unterliegen kann Erfüllung der Meldepflichten prüfen 52

54 Gerichtliches Strafrecht Zu bestrafen ist, wer in der Absicht (Vorsatz), sich oder einem Dritten einen Vermögensvorteil zu verschaffen oder einen anderen in seinen gewährleisteten Rechten zu schädigen Daten entweder selbst benützt, einem anderen zugänglich macht oder veröffentlicht, wenn diese Daten ihm ausschließlich aufgrund seiner berufsmäßigen Beschäftigung anvertraut oder zugänglich geworden sind oder er sie widerrechtlich verschafft hat. 53

55 Verwaltungsstrafbestimmungen Abs. 1 (tatsächliche Verletzung von Rechten hat stattgefunden) Strafrahmen bis zu Euro Abs. 2 (noch keine Verletzung, aber die Rechte bzw. deren Durchsetzung sind durch Unterlassungen gefährdet) Strafrahmen bis zu Euro Abs. 2a (nicht fristgerechte Auskunftserteilung, Richtigstellung oder Löschung) Strafrahmen bis zu 500 Euro Zuständigkeit: BVB Verwaltungsgericht 54

56 Vielen Dank für Ihre Aufmerksamkeit! 55