эколекс Russland Amtshaftungsansprüche Geschädigter AMIS-Anleger Abberufung des Vorstands der Privatstiftung

Transkript

1 FACHZEITSCHRIFT FÜR MAI эколекс Russland Amtshaftungsansprüche Geschädigter AMIS-Anleger Abberufung des Vorstands der Privatstiftung Mangelnde Strafwürdigkeit Geldbußen nach dem KartG Die Leiharbeits-RL und das Arbeits-Überlassungsgesetz Datenschutzrechtliche Grenzen der Finanzmarkt-Aufsicht Vorabentscheidungs-Ersuchen zum Gewährleistungsrechtlichen Austauschanspruch

2 Datenschutzrechtliche Grenzen der FMA-Prüfung Die aufsichtsrechtliche Kontrolltätigkeit der FMA hat in den Jahren an Strenge und Umfang zugenommen. Bedenklich ist, dass die Behörde dabei immer umfangreichere Einblicke in persönliche Daten der Anleger verlangt. Es stellt sich daher die Frage, inwiefern der Zugriff auf Kundendaten durch die behördliche Wertpapieraufsicht gerechtfertigt ist. ÖFFENTLICHES GELEITET VON CH. SCHMELZ ERNST BRANDL / MARTIN KNOLL A. Der Ausgangsfall Die Finanzmarktaufsichtsbehörde (FMA) forderte Anfang April 2009 an die 30 Wertpapierdienstleister (WPDL) per Bescheid dazu auf, ihr binnen sieben Tagen von sämtlichen, höchstens jedoch 1.000, Kunden die folgenden Daten zu übermitteln: Name, Adresse, Geburtsdatum, Anlagevolumen, Beginn des Kundenverhältnisses sowie die Bezeichnung des zuständigen Beraters ( Stammdaten-Liste ). B. Die Befugnis der FMA Um zu überprüfen, ob WPDL ihren gesetzlichen Pflichten nachkommen, darf die FMA jederzeit in deren Datenträger etc Einsicht nehmen und Kopien davon verlangen ( 91 Abs 3 WAG). Sie ist dazu befugt, bereits existierende Aufzeichnungen von Telefongesprächen und Datenübermittlungen anzufordern ( 91 Abs 3 Z 4 WAG). 91 Abs 4 WAG bestimmt, dass die FMA zur Verarbeitung von Daten isd Datenschutzgesetzes (DSG) ermächtigt ist. Das Übermitteln ist davon jedoch nicht umfasst ( 4 Z 9 u 12). Die FMA ist also grds dazu berechtigt, Daten einzufordern, die auch zufällig einzelne Angaben über Kunden enthalten können, 1 ) zb im Kontext von Auftragsbestätigungen uä. RA Dr. Ernst Brandl, LL. M. (Chicago), M.B.A. (Harvard), ist Partner, Mag. Martin Knoll ist wissenschaftlicher Mitarbeiter der Brandl & Talos Rechtsanwälte GmbH ( Die Autoren danken RA Dr. Rainer Knyrim für seine kritischen Anmerkungen. 1) Sedlak in Brandl/Saria, 91 WAG Rz 18 ff. 2) Brandl/Klausberger in Brandl/Saria, 47 WAG Rz 1. C. Die Pflichten der WPDL WPDL sind dazu verpflichtet, Aufzeichnungen über ihre Geschäfte zu führen, sodass die FMA prüfen kann, ob die Bestimmungen des WAG eingehalten werden ( 22 Abs 1 WAG). Die Aufzeichnungen sind auf einem Datenträger aufzubewahren, damit sie der FMA jederzeit zugänglich gemacht werden können ( 22 Abs 3 WAG). 47 WAG verpflichtet WPDL dazu, die Bedingungen, auf denen das Geschäftsverhältnis des Unternehmers zum Kunden basiert, schriftlich festzuhalten (etwa in Form einer Vertragsurkunde). 2 ) 66 WAG sieht schließlich eine relativ weitgehende Dokumentationspflicht vor (arg: Aufzeichnungen [müssen] die zur Identifikation von Kunden erforderlichen Angaben enthalten ), jedoch gilt diese nur für meldepflichtige Institute isd 64 WAG. Bei ihnen handelt es sich um Kreditinstitute, die Oesterreiecolex

3 ÖFFENTLICHES 444 ecolex 2009 chische Nationalbank und inländische Zweigstellen ausländischer WPDL, 3 ) sodass 66 WAG für den Anlassfall außer Betracht bleiben kann. D. Das Grundrecht auf Datenschutz 1. Die Bindung der FMA Der Befugnis der FMA steht das jedermann zukommende verfassungsrechtlich gewährleistete Grundrecht auf Datenschutz gegenüber ( 1 DSG). 4 ) Durch die Verfassungsbestimmung des 1 Abs 1 5 ) werden Daten als Rechtsgut in die Nähe einer absolut geschützten Rechtsposition gerückt. 6 ) Die FMA ist daher dem rechtsstaatlichen Prinzip folgend an die Bestimmungen des DSG gebunden. 7 ) Auch die Mi- FID, 8 ) die im WAG umgesetzt wurde, bestimmt in ErwGr 43, dass die MS das Recht auf Schutz der Privatsphäre bei der Verarbeitung personenbezogener Daten zu wahren haben. 2. Die Datenanwendungen der WPDL Da WPDL über Daten ihrer Kunden verfügen, gelten sie als Auftraggeber isd 4 Z 4, die in das Grundrecht ihrer Kunden (Betroffene, 4 Z 3) eingreifen. Das Verarbeiten von Daten ist nämlich grds verboten 9 ) und nur nach bestandener Verhältnismäßigkeitsprüfung und im Rahmen der Erlaubnistatbestände des DSG zulässig 10 ) (vgl 7 Abs 1). Für den Anlassfall reicht der Hinweis, dass die Datenanwendungen der WPDL im Regelfall zulässig sind. 3. Die Verantwortung der WPDL Herr der Daten bleibt in weiterer Folge stets der WPDL als Auftraggeber: Er ist dafür verantwortlich, die datenschutzrechtlichen Qualitätsgrundsätze einzuhalten ( 6), die Zulässigkeitsvoraussetzungen des 7 zu überprüfen und die schutzwürdigen Geheimhaltungsinteressen nach 8 und 9 der Betroffenen einzuhalten (Grundsatz der Auftraggeberverantwortung). 11 ) Diese umfangreichen Pflichten sind damit zu erklären, dass der Betroffene seine Daten in die Hände des Auftraggebers gelegt und dieser ihr Geheimhaltungsinteresse somit weiterzuführen hat. Fordert also ein Dritter (die FMA) den Auftraggeber dazu auf, ihm die Daten der Betroffenen zu übermitteln, trägt er ihnen gegenüber die gesamte Verantwortung. Das Geheimhaltungsrecht beinhaltet auch einen Ermittlungsschutz, 12 ) sodass die Betroffenen davon ausgehen dürfen, dass der Auftraggeber nicht zur Weitergabe ihrer Daten genötigt werden darf. 4. Grundsätze der Übermittlung Daten dürfen nur dann verwendet (übermittelt, 4 Z 8) werden, wenn die Grundsätze des 6 eingehalten werden ( 7 Abs 3), die Daten daher für den Zweck der Datenanwendung wesentlich sind und nur für festgelegte, eindeutige und rechtmäßige Zwecke 13 ) ermittelt werden. Das Übermitteln selbst ist gem 7 Abs 2 nur dann zulässig, wenn p die Daten aus einer zulässigen Datenanwendung stammen (für den gegenständlichen Fall vorausgesetzt), p der Empfänger seine ausreichende gesetzliche Zuständigkeit oder rechtliche Befugnis im Hinblick auf den Übermittlungszweck glaubhaft macht 14 ) und p durch Zweck und Inhalt der Übermittlung die schutzwürdigen Geheimhaltungsinteressen des Betroffenen nicht verletzt werden. 6 legt also die Grundsätze der Verwendung von Daten fest, und erst in einem zweiten Schritt wird die konkrete Zulässigkeit anhand des 7 geprüft. 15 ) Als dritte Schranke bestimmt 7 Abs 3, dass das Verwenden der Daten nur dann rechtmäßig ist, wenn der dadurch verursachte Eingriff in das Grundrecht im erforderlichen Ausmaß und mit den gelindesten zur Verfügung stehenden Mitteln erfolgt (vgl 1 Abs 2). Eingriffe einer staatlichen Beh dürfen überdies nur aufgrund von Gesetzen erfolgen, die aus den in Art 8 Abs 2 EMRK genannten Gründen notwendig sind. 5.DerZweckderWertpapieraufsicht a) Umfang der Wertpapieraufsicht Als Zweck der Übermittlung nennt die FMA die ihr übertragene Wertpapieraufsicht. Der konkrete Umfang dieser Befugnis ergibt sich aus 91 Abs 2 WAG. b) Wesentlichkeit der Datenübermittlung Gem 6 Abs 3 müssen die Daten für den Zweck der Datenanwendung wesentlich sein. Als Erstes stellt sich also die Frage, inwieweit die Stammdaten-Liste für die FMA wesentlich ist, um ihre Kontroll- und Aufsichtsrechte wahrnehmen zu können. Da Eingriffe einer staatlichen Beh nur aufgrund von Gesetzen, die aus den in Art 8 Abs 2 EMRK genannten Gründen notwendig sind, erfolgen dürfen, ist eine präzise, gesetzlich verankerte Zweckbestimmung jeder Datenermittlung erforderlich. 16 ) 3) Link in Brandl/Saria, 64 WAG Rz 4 ff. 4) Mayer-Schönberger/Brandl, Datenschutzgesetz 2 64 ff. 5) Paragrafenverweise ohne Nennung des Gesetzes beziehen sich in der Folge auf das DSG. 6) Schobel, Verletzung von Geheimhaltungspflichten durch Banken, ÖBA 2004, 9. 7) Öhlinger, Verfassungsrecht 7 Rz 74; Mayer-Schönberger/Brandl, DSG 2 24 f. 8) RL 2004/39/EG v über Märkte für Finanzinstrumente. 9) Knyrim, Datenschutzrecht ) Mayer-Schönberger/Brandl, DSG ) Dohr/Pollirer/Weiss, DSG 2 (2008) 4 Anm 5; Mayer-Schönberger/ Brandl, DSG ) VfSlg /1991; VfSlg /2001; DSK , K /0007-DSK/2005; Drobesch/Grosinger, Das neue österreichische Datenschutzgesetz ) Mayer-Schönberger/Brandl, DSG 2 19 f. 14) Knyrim, DSR 94; die gesetzliche Zuständigkeit bezieht sich auf Auftraggeber (bzw Übermittlungsempfänger) des öffentlichen Bereichs, die rechtliche Befugnis auf jene des privaten Bereichs. 15) Mayer-Schönberger/Brandl, DSG ) N. Raschauer, Das neu gestaltete strafprozessuale Insiderverfahren, ÖBA 2005, 381.

4 Am ehesten ließe sich der Sachverhalt Übermitteln von Kundenstammdaten unter den Tatbestand des 91 Abs 2 Z 2 WAG subsumieren (Wahrung der Anlegerinteressen). Diesen konkretisiert das Gesetz mit einem Verweis auf das zweite Hauptstück des WAG, das die wie sich schon aus seinem Titel ergibt organisatorischen Anforderungen an die WPDL festlegt. Zu den zentralen Anliegen des Kundenschutzes gem WAG zählen der Schutz des Kundenvermögens, Verhinderung von Interessenkonflikten und das Gebot der best practice. 17 ) Anhand einer einfachen Kundenstammdaten-Liste lässt sich für die Überprüfung der eben genannten Pflichten ue nichts gewinnen. c) Interne Organisationskontrolle Aus der internen Organisationskontrolle gem 91 WAG lässt sich nicht ohne Weiteres auf die Befugnis zum generellen Zugriff auf Kundendaten schließen. Zwar existieren einschlägige Aufzeichnungs- und Dokumentationspflichten (s dazu oben Pkt C.), jedoch beziehen sich diese eben nicht auf den Kunden selbst, sondern auf die Aufzeichnung von Dienstleistungen und Geschäften ( 22 WAG) und die Rechte und Pflichten der Vertragsparteien ( 47 WAG). Es ist für die Zwecke der Wertpapieraufsicht nicht notwendig, über Daten zu verfügen, aus denen sich bloß personenbezogene Angaben über die Anleger selbst ergeben (wie etwa Geburtsdaten). Zwar mag es sein, dass die FMA bei der Einsicht in die Bücher uä zwangsläufig Kenntnis etwa vom Namen eines einzelnen Kunden erlangt, jedoch eben nicht in der Form einer Datenanwendung, die ihr die gänzliche Offenlegung aller Kundenstammdaten gewährt. Fraglich ist, wieso gerade diese detaillierten Daten, und nicht etwa ein geringeres Datenausmaß, für die Überprüfung, ob bei der Erbringung von Wertpapierdienstleistungen und Anlagetätigkeiten [die] Interessen der Anleger gewahrt wurden ( 91 Abs 2 Z 2 WAG), notwendig und zweckmäßig sind. Die Notwendigkeit und Zweckmäßigkeit ( 7 Abs 2) muss glaubhaft gemacht werden, weshalb ein pauschaler Verweis auf 91 WAG als zu unbestimmt zu betrachten ist (vgl dazu auch Pkt D.6.). d) Verdacht auf unzulässige Vorratsdatenspeicherung Aus der Pflicht zur Zweckmäßigkeit einer Datenanwendung ( 6) ergibt sich auch, dass Daten grds nicht auf Vorrat gespeichert werden dürfen. Im Lichte dessen wäre es daher unzulässig, würde die FMA die Kundenlisten über einen längeren Zeitraum aufbewahren, um diese für erst Jahre später stattfindende Prüfungen heranziehen zu können. Der Auftraggeber (nach dem Erhalt der Daten: die FMA) muss untersuchen, ob alle Daten wirklich benötigt werden, um den erforderlichen Zweck zu erfüllen. 18 ) Dies bedeutet, dass das Anlegen eines Datenvorrats für eine allfällige spätere zum Zeitpunkt der Ermittlung jedoch nicht vorhersehbare Datenanwendung nicht erlaubt ist. 6. Gesetzliche Grundlage Als gesetzliche Grundlage isd 7 Abs 2 Z 2 ließe sich 91 WAG heranziehen. Als Rechtfertigung reicht jedoch nicht jede gesetzliche Grundlage, die auf irgendeine Weise das Verwenden von Daten gestattet. Wenn sich die Beh nämlich in denkunmöglicher Weise auf ein Gesetz stützt, zb auf ein solches, das einen Eingriff nicht ausreichend genau bestimmt, liegt ein Verstoß gegen das DSG vor 19 )( 1Abs2). Bei 91 WAG handelt es sich um solch eine bloß generelle Ermächtigung, die nichts über die von der FMA begehrten Kundenstammdaten aussagt. Sie trifft freilich die Pflicht zu bescheinigen, wieso gerade 91 WAG den Erhalt der Daten rechtfertigt ( 7 Abs 2 Z 2). Als Übermittlungsempfänger muss sie den WPDL ihre gesetzliche Zuständigkeit bescheinigen. 20 ) Die Beurteilung, ob die genannten Umstände vorliegen, obliegt dabei dem Übermittler (dem WPDL). 21 ) Daraus lässt sich schließen, dass er die Übermittlung verweigern darf, wenn er begründete Bedenken gegen die Ausführungen des Empfängers hegt. Das entspricht auch seiner Stellung als Herr der Daten, denn der WPDL kann schlussendlich für jedes unrechtmäßige Verwenden der Daten zur Verantwortung gezogen werden. Wie erwähnt, gewährt das Grundrecht auf Datenschutz nach der Rsp des VfGH 22 ) ein Verbot, jemanden zur Offenlegung geschützter Daten zu verpflichten (Auskunftsverweigerungsanspruch) sowie den Schutz vor Versuchen, Daten über einen Betroffenen in Erfahrung zu bringen (Ermittlungsschutz). 23 ) Dies bezieht sich auch auf die bloße Kenntnisnahme von Daten durch den Staat. 24 ) 7. Schutzwürdiges Geheimhaltungsinteresse der Kunden Daten dürfen nur dann übermittelt werden, wenn die schutzwürdigen Geheimhaltungsinteressen der Betroffenen nicht verletzt werden ( 7 Abs 2 Z 3). Dies ist ua dann der Fall, wenn eine ausdrückliche gesetzliche Ermächtigung oder Verpflichtung dazu besteht ( 8 Abs 1 Z 1). Es gilt daher grds dasselbe wie das unter Pkt D.6. zur gesetzlichen Zuständigkeit Gesagte: Eine Verpflichtung, die Daten in der von der FMA verlangten Tiefe, Breite und Form zu übermitteln, besteht nicht. Würde man dies dennoch bejahen, so wäre dafür eine höchst weite Interpretation des 91 WAG nötig, die sich jedoch gem 1 Abs 2 ivm Art 8 Abs 2 EMRK verbietet. Die ausdrückliche gesetzliche Ermächtigung muss auch Aussagen über die zu verarbeitenden Datenarten enthalten. 25 ) Regelungen in einzelnen Materiengesetzen, die zwar zur automationsunterstützten Datenverarbeitung bei Erfüllung bestimmter gesetzlicher Auf- 17) Sedlak in Brandl/Saria 91 WAG Rz 5. 18) Dohr/Pollirer/Weiss, DSG 2 6Anm8. 19) A. Lehner, Im Überblick: Grundrecht auf Datenschutz, ecolex 2008, ) DSK , ) Drobesch/Grosinger, Das neue österreichische Datenschutzgesetz 7 Anm 4. 22) VfSlg /1991; VfSlg / ) Morscher/Christ, Öffentliche Bücher, ZfV 2005, ) Kunnert, Die abschnittsbezogene Geschwindigkeitsüberwachung (Section Control) aus datenschutzrechtlicher Sicht, ZVR 2006, ) Dohr/Pollirer/Weiss, DSG 2 8Anm5. ÖFFENTLICHES ecolex

5 ÖFFENTLICHES 446 ecolex 2009 gaben ermächtigen, im Übrigen jedoch nicht entsprechend detaillierte Angaben enthalten, erfüllen diese Bedingungen nicht. 26 ) Sind mit der Erreichung bestimmter Zwecke der Verwaltung potenziell Eingriffe in die Rechte Dritter im Bereich des Datenschutzes verbunden, muss das Ersuchen um Weitergabe von Daten also möglichst konkret formuliert sein und weiters begründet werden, weshalb die Weitergabe für die Erreichung eines konkreten Zweckes notwendig ist, damit es zu keinen Verletzungen von Rechten Dritter bei der Zusammenarbeit oder der Kontrolle von Beh kommt. 27 ) Ein überwiegendes berechtigtes Interesse isd 8 Abs 1 Z 4 und Abs 3 Z 1, welches das schutzwürdige Geheimhaltungsinteresse des Betroffenen verdrängt, lässt sich hier nicht finden. Das Verwenden der von der FMA geforderten Daten ist keine wesentliche Voraussetzung für die Wahrnehmung einer [ihr] gesetzlich übertragenen Aufgabe. Wie bereits ausreichend dargelegt, lassen sich die gesetzlichen Aufgaben der FMA nicht anhand von Kundenstammdaten in Angriff nehmen. Es bleibt unklar, wie das Verwenden von Adressen, Geburtsdaten etc der Anleger wesentlich für die Überwachung des Kapitalmarkts sein soll. 8. Zur Verhältnismäßigkeit a) Das gelindeste Mittel 7 Abs 3 bestimmt schließlich, dass eine Übermittlung nur dann zulässig ist, wenn der Eingriff in das Grundrecht im erforderlichen Ausmaß und mit den gelindesten zur Verfügung stehenden Mitteln erfolgt 28 ) sowie die Grundsätze des 6 eingehalten werden. Da die FMA über die gesetzliche Kompetenz zu Vor-Ort-Prüfungen verfügt, wäre es jedenfalls ein gelinderes Mittel, würde sie selbst in den Räumlichkeiten der WPDL Einschau in die dort vorhandenen Kundendaten halten. Im Vergleich zwischen dem Erhalt sämtlicher Kundendaten auf einem dauerhaften Datenträger und der bloßen Sichtung einzelner Datensätze ist die letztgenannte Variante eindeutig das gelindeste Mittel, das auch geeignet ist, dem Zweck der Wertpapieraufsicht zu genügen. b) Datenschutzkonforme Alternative Im gegenständlichen Fall ist auf das in der Praxis der FMA bereits bewährte System des Meldewesens nach 64 WAG hinzuweisen: Demnach sind Banken verpflichtet, die durch sie getätigten Wertpapiergeschäfte börsetäglich an die FMA zu melden, welche diese Daten speichert. Insb aus den gegenständlich umschriebenen Gründen erfolgt die Meldung und Speicherung dieser Daten anonymisiert, dh dem jeweiligen Auftraggeber des Wertpapiergeschäfts ist eine einmalig vergebene Kunden-ID ( 6 Abs 3 Wertpapier- Meldeverordnung) zuzuordnen. Geschäfte sind lediglich unter Hinzufügung dieser Kunden-ID zu melden, sodass aus den bei der FMA gespeicherten Datensätzen keine Stammdaten von Kunden mit Ausnahme der anonymen Kunden-ID ersichtlich sind. Lediglich auf Anfrage durch die FMA in bestimmten, zu begründenden Verdachtsfällen werden die einzelnen Kunden offengelegt. Die Konzeption dieses Meldesystems erfolgte im Wesentlichen aus datenschutzrechtlichen Aspekten im Lichte des Grundrechts auf Datenschutz ( 1), da eine Speicherung von personenbezogenen Stammdaten (Name, Adresse, Geburtsdatum) durch die FMA gegen das Grundrecht auf Datenschutz verstoßen würde. Gleiches gilt im gegenständlichen Fall: Die FMA hätte auch hier die Möglichkeit, als gelinderes Mittel die Daten unter Hinzufügung einer Kunden-ID zu verlangen. Auch eine Prüfung anhand anonymisierter Kundendaten wäre zb gelinder als die geplante Vorgehensweise. E. Folgen des Eingriffs in geschützte Kundendaten UE widerspricht die Vorgehensweise der FMA dem DSG. Würde ein WPDL trotzdem die Kundendaten übermitteln, würde dies im konkreten Fall Verwaltungsstrafen nach sich ziehen ( 52) und uu Schadenersatzansprüche der Betroffenen ( 33) zur Folge haben. Im Hinblick darauf, dass der Bescheid somit in ein Grundrecht oder sonstige Rechte eingreift, stünde den WPDL die Möglichkeit zur Verfügung, sich mittels Beschwerde an den VfGH und/oder VwGH zur Wehr zu setzen. Im Falle einer gesetzeswidrigen Datenübermittlung würde darüber hinaus jedenfalls der Weg der Amtshaftung offenstehen (vgl auch 3 Abs 1 FMABG). 29 ) Das FMABG sieht zwar seit Ende Oktober 2008 vor, dass der Bund nur noch für solche Schäden haftet, welche die FMA den WPDL unmittelbar zugefügt hat 30 ) (was einem generellen Ausschluss der Haftung gleichkommt), jedoch ist fraglich, wie eng der Begriff der unmittelbaren Schädigung auszulegen ist und ob diese Bestimmung überhaupt einer allfälligen Prüfung durch den VfGH standhielte. 31 ) Die abschließende Beantwortung der Frage nach der Amtshaftung würde jedoch den Rahmen des gegenständlichen Artikels sprengen. 26) Drobesch/Grosinger, Datenschutzgesetz 8 Anm 1. 27) M. Pradler, Geheimhaltungsverpflichtungen der Finanzmarktaufsicht vor dem Untersuchungsausschuss, ZFR 2008, ) Jahnel, Die Meldung von Gesundheitsdaten an die Führerscheinbehörde aus datenschutzrechtlicher Sicht, jusit 2008, ) Vgl dazu OGH , 1 Ob 225/07 f, die Amtshaftung in einem ähnlich gelagerten Fall bejahend. 30) BGBl I 2008/ ) Wir verweisen in diesem Zusammenhang auf den beim VfGH zu G 53/09 anhängigen Individualantrag. SCHLUSSSTRICH Die gesetzliche Pflicht der FMA zur Wertpapieraufsicht beinhaltet nicht das Recht, die Daten der Kunden der WPDL zu empfangen. Das Grundrecht der Anleger auf Datenschutz wird durch die Kontrollrechte der FMA nicht durchbrochen.