Datenschutz im Zusammenhang mit Kontrollamtsberichten Dr. Eva Souhrada-Kirchmayer Wien, 12. Juni 2013

Europarechtliche Grundlagen Art. 8 Europäische Menschenrechtskonvention (EMRK) Europarats-Konvention 108 („Datenschutz-Konvention“) und Zusatzprotokoll Art. 8 GRC – Grundrecht auf Datenschutz Art. 16 AEUV – Rechtsgrundlage für eine „Gesetzgebung“ auf dem Gebiet des Datenschutzes

Europarechtliche Grundlagen (Fortsetzung) Richtlinie 95/46/EG („Datenschutzrichtlinie“) Rahmenbeschluss „Datenschutz“ im Bereich der polizeilichen und justiziellen Zusammenarbeit in Strafsachen 2008/977/JI

Datenschutzrichtlinie 95/46/EG gilt nur für Daten natürlicher Personen gilt auch für nichtautomatisierte Verarbeitung personenbezogener Daten, die in einer Datei gespeichert sind oder gespeichert werden sollen

Datenschutzrichtlinie 95/46/EG (Fortsetzung) findet keine Anwendung auf die Verarbeitung von personenbezogenen Daten, die für die Ausübung von Tätigkeiten erfolgt, die nicht in den Anwendungsbereich des Gemeinschaftsrechts fallen, und auf Verarbeitungen personenbezogener Daten durch eine natürliche Person für die Ausübung ausschließlich persönlicher oder familiärer Tätigkeit

Datenschutzrichtlinie 95/46/EG (Fortsetzung) berührt nicht die Rechtsvorschriften zum Schutz juristischer Personen bei der Verarbeitung von Daten, die sich auf sie beziehen (Erwägungsgrund 23) in der RL enthaltene Grundsätze konkretisieren und erweitern die in der Europarats-Konvention ETS 108 enthaltenen Grundsätze (Erwägungsgrund 11)

Es gibt ein Grundrecht auf Datenschutz! Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht.

Wann darf in mein Grundrecht auf Datenschutz eingegriffen werden? im lebenswichtigen Interesse des Betroffenen (z. B. Unfall) Mit Zustimmung des Betroffenen (Soziale Netzwerke?) im überwiegenden Interesse eines anderen (z. B. Vertrag mit Unternehmen) Eingriff durch Behörden auf Grund von Gesetzen (z. B. Steuergesetze, Meldegesetz)

Wann darf in mein Grundrecht auf Datenschutz eingegriffen werden? Für sensible Daten gibt es besonderen Schutz! sensible Daten: Daten über rassische und ethnische Herkunft, politische Meinung, Gewerkschaftszugehörigkeit, religiöse oder philosophische Überzeugung, Gesundheit oder Sexualleben natürlicher Personen Gesetzliche Regelung notwendig, geeignete Garantien zum Schutz der Geheimhaltungsinteressen der Betroffenen Selbst wenn der Eingriff grundsätzlich gerechtfertigt ist, ist das jeweils gelindeste zum Ziel führende Mittel zu wählen!

Grundrecht auf Datenschutz (Fortsetzung) Betroffene haben das Recht auf Auskunftserteilung über die über sie verarbeiteten Daten! Betroffene haben das Recht auf Richtigstellung falscher Daten! Betroffene haben das Recht auf Löschung der über sie verarbeiteten Daten, die nicht mehr benötigt werden oder gar nie benötigt wurden! Das betrifft Daten in automationsunterstützten Datenanwendungen oder in manuellen Dateien.

Wo kann ich meine Rechte durchsetzen? Rechtsdurchsetzung gegen „Private“ (Firmen, Privatpersonen) : Zivilrechtsweg Ausnahme: Verletzungen des Auskunftsrechts sind immer bei der Datenschutzkommission geltend zu machen alle anderen Fälle: Zuständigkeit der Datenschutzkommission Ausnahme: Akte im Dienste der Gesetzgebung und Gerichtsbarkeit

Definitionen „Daten“ (personenbezogene Daten): Angaben über Betroffene, deren Identität bestimmt oder bestimmbar ist; nur indirekt personenbezogene Daten: Personenbezug ist so gestaltet, dass der Auftraggeber, Dienstleister oder Übermittlungsempfänger die Identität des Betroffenen mit rechtlich zulässigen Mitteln nicht bestimmen kann

Definitionen (vereinfacht) Auftraggeber: „HerrIn der Daten“ (trifft die Entscheidung Daten zu verarbeiten oder ist dazu gesetzlich verpflichtet) Dienstleister: verwenden Daten, die ihnen zur Herstellung eines aufgetragenen Werks übergeben wurden Verarbeiten von Daten: jede Art der Handhabung von Daten einer Datenanwendung durch den Auftraggeber oder Dienstleister mit Ausnahme des Übermittelns von Daten

Definitionen (Fortsetzung) Verarbeiten Übermitteln Verwenden

Öffentlicher und privater Bereich Auftraggeber des öffentlichen Bereiches: sind in Formen des öffentlichen Rechts eingerichtet oder sind trotz ihrer Einrichtung in Formen des Privatrechts in Vollziehung der Gesetze tätig

Verwendung von Daten – Grundsätze Verwendung nach Treu und Glauben und auf rechtmäßige Weise Ermittlung nur für festgelegte, eindeutige und rechtmäßige Zwecke; Übermittlung nicht für unvereinbare Zwecke Daten müssen für den Zweck der Datenanwendung wesentlich sein Daten müssen sachlich richtig und wenn nötig auf dem neuesten Stand sein Daten dürfen nur solange aufbewahrt werden, als dies für den Zweck erforderlich ist.

Zulässigkeit der Verwendung von Daten gesetzliche Zuständigkeit oder rechtliche Befugnis des jeweiligen Auftraggebers bzw. des Empfängers von Daten die schutzwürdigen Geheimhaltungsinteressen der Betroffenen werden nicht verletzt

Wann sind schutzwürdige Geheimhaltungsinteressen nicht verletzt Wann sind schutzwürdige Geheimhaltungsinteressen nicht verletzt? (bei nicht sensiblen Daten, § 8) Ausdrückliche gesetzliche Ermächtigung oder Verpflichtung zur Verwendung von Daten Zustimmung des Betroffenen (Widerruf ist möglich) lebenswichtige Interessen des Betroffenen erfordern die Verwendung überwiegende berechtige Interessen des Auftraggebers oder eines Dritten erfordern die Verwendung

Verwendung nicht-sensibler Daten Keine schutzwürdigen Geheimhaltungsinteressen werden verletzt, wenn die Verwendung der Daten für einen Auftraggeber öffentlichen Bereichs eine wesentliche Voraussetzung für die Wahrnehmung einer ihm gesetzlich übertragenen Aufgabe ist zur Amtshilfe notwendig ist im lebenswichtigen Interessen eine Dritten erforderlich ist zur Erfüllung einer vertraglichen Verpflichtung zwischen Auftraggeber und Betroffenen erforderlich ist

Verwendung nicht-sensibler Daten (Fortsetzung) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen des Auftraggebers vor einer Behörde; weiters wenn die Datenverwendung ausschließlich die Ausübung einer öffentlichen Funktion zum Gegenstand hat oder im Katastrophenfall notwendig ist. Die Verwendung von zulässigerweise veröffentlichten Daten oder von nur indirekt personenbezogenen Daten ist zulässig. – Es gibt aber ein Widerspruchsrecht

Andere Datenkategorien Sonderregelungen für strafrechtlich relevante Daten (§ 8 Abs. 4) Sonderregelungen für sensible Daten (abschließende Aufzählung aller Tatbestände im Gesetz, § 9)

Verwendung strafrechtlich relevanter Daten Ausdrückliche gesetzliche Ermächtigung oder die Verwendung ist für Auftraggeber des öffentlichen Bereichs eine wesentliche Voraussetzung zur Wahrnehmung einer ihm gesetzlich übertragenen Aufgabe oder ergibt sich aus gesetzlichen Sorgfaltspflichten oder sonstigen überwiegenden Interessen des Auftraggebers und die Art und Weise, in der die Datenverwendung vorgenommen wird, gewährleistet die Wahrung der Interessen der Betroffenen; Datenweitergabe zum Zweck der Erstattung einer Anzeige an eine zur Verfolgung der strafbaren Handlungen zuständigen Behörde.

Schutzwürdige Geheimhaltungsinteressen sind nicht verletzt (bei sensiblen Daten) wenn 1. der Betroffene die Daten offenkundig selbst öffentlich gemacht hat oder 2. die Daten in nur indirekt personenbezogener Form verwendet werden oder 3. sich die Ermächtigung oder Verpflichtung zur Verwendung aus gesetzlichen Vorschriften ergibt, soweit diese der Wahrung eines wichtigen öffentlichen Interesses dienen, oder 4. die Verwendung durch Auftraggeber des öffentlichen Bereichs in Erfüllung ihrer Verpflichtung zur Amtshilfe geschieht oder 5. Daten verwendet werden, die ausschließlich die Ausübung einer öffentlichen Funktion durch den Betroffenen zum Gegenstand haben, oder

Schutzwürdige Geheimhaltungsinteressen sind nicht verletzt (bei sensiblen Daten) (Fortsetzung) 6. der Betroffene seine Zustimmung zur Verwendung der Daten ausdrücklich erteilt hat, wobei ein Widerruf jederzeit möglich ist und die Unzulässigkeit der weiteren Verwendung der Daten bewirkt, oder 7. die Verarbeitung oder Übermittlung zur Wahrung lebenswichtiger Interessen des Betroffenen notwendig ist und seine Zustimmung nicht rechtzeitig eingeholt werden kann oder 8. die Verwendung der Daten zur Wahrung lebenswichtiger Interessen eines anderen notwendig ist oder 9. die Verwendung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen des Auftraggebers vor einer Behörde notwendig ist und die Daten rechtmäßig ermittelt wurden oder

Schutzwürdige Geheimhaltungsinteressen sind nicht verletzt (bei sensiblen Daten) (Fortsetzung) 10. Daten für private Zwecke gemäß § 45 oder für wissenschaftliche Forschung oder Statistik gemäß § 46, zur Benachrichtigung oder Befragung des Betroffenen gemäß § 47 oder im Katastrophenfall gemäß § 48a verwendet werden oder 11. die Verwendung erforderlich ist, um den Rechten und Pflichten des Auftraggebers auf dem Gebiet des Arbeits- oder Dienstrechts Rechnung zu tragen, und sie nach besonderen Rechtsvorschriften zulässig ist, wobei die dem Betriebsrat nach dem Arbeitsverfassungsgesetz zustehenden Befugnisse im Hinblick auf die Datenverwendung unberührt bleiben, oder

Schutzwürdige Geheimhaltungsinteressen sind nicht verletzt (bei sensiblen Daten) (Fortsetzung) 12.die Daten zum Zweck der Gesundheitsvorsorge, der medizinischen Diagnostik, der Gesundheitsversorgung oder -behandlung oder für die Verwaltung von Gesundheitsdiensten erforderlich ist, und die Verwendung dieser Daten durch ärztliches Personal oder sonstige Personen erfolgt, die einer entsprechenden Geheimhaltungspflicht unterliegen, oder

Schutzwürdige Geheimhaltungsinteressen sind nicht verletzt (bei sensiblen Daten) (Fortsetzung) 13. nicht auf Gewinn gerichtete Vereinigungen mit politischem, philosophischem, religiösem oder gewerkschaftlichem Tätigkeitszweck Daten, die Rückschlüsse auf die politische Meinung oder weltanschauliche Überzeugung natürlicher Personen zulassen, im Rahmen ihrer erlaubten Tätigkeit verarbeiten und es sich hiebei um Daten von Mitgliedern, Förderern oder sonstigen Personen handelt, die regelmäßig ihr Interesse für den Tätigkeitszweck der Vereinigung bekundet haben; diese Daten dürfen, sofern sich aus gesetzlichen Vorschriften nichts anderes ergibt, nur mit Zustimmung der Betroffenen an Dritte weitergegeben werden.

Gesetzliche Grundlage? – Beispiel Wien Wiener Stadtverfassung § 49 Abs. 3: Außerdem ist für die Behandlung der Berichte des Kontrollamtes an den Gemeinderat ein Gemeinderatsausschuss (Kontrollausschuss) einzurichten. Die Berichte sind zeitgleich mit der Versendung der Tagesordnung für die betreffende Sitzung des Gemeinderates bzw. des Kontrollausschusses im Internet zu veröffentlichen. Soweit für den Kontrollausschuss keine besonderen Bestimmungen bestehen (§ 55), gelten die für die Gemeinderatsausschüsse allgemein bestehenden Vorschriften. Die Veröffentlichung erfolgt gemäß der Geschäftsordnung für die Ausschüsse, Unterausschüsse und Kommissionen des Gemeinderates der Stadt Wien eine Woche vor der jeweiligen Sitzung.

Urteil des EuGH (BezBegrBVG) vom 20. 5. 2003, Rs Urteil des EuGH (BezBegrBVG) vom 20. 5. 2003, Rs. C-465/00, C-138/01 und C-139/01) Vorlage an EuGH durch VfGH und OGH RH gegen ORF, WK Steiermark, Marktgemeinde Kaltenleutgeben, Österreichische Nationalbank, Stadt Wiener Neustadt, Austrian Airlines etc. Neukomm und Lauermann gegen ORF Betrifft Veröffentlichung durch den RH von Bezügen gemäß § 8 Abs. 3 BezBegrBVG); sieht eine Veröffentlichung des Jahreseinkommens von Personen, die über einem gesetzlich festgelegten Limit liegende Bezüge erhalten, vor. Gesetzesmaterialien sprechen von einer „namentlichen“ Veröffentlichung

Urteil des EuGH (BezBegrBVG) - Vorlagefragen Stehen die gemeinschaftsrechtlichen Vorschriften, insbesondere jene über den Datenschutz (Art. 1, 2, 6, 7, und 22 der RL 95/46/EG) iVm Art 6 EUV und Art. 8 EMRK Regelungen entgegen, die eine öffentlich-rechtliche Rundfunkanstalt als Rechtsträger zur Mitteilung und ein staatliches Organ zur Erhebung und Weiterleitung von Einkommensdaten zum Zweck der Veröffentlichung der Namen und Einkommen der Arbeitnehmer einer öffentlich-rechtlichen Anstalt verpflichten? Sind die einschlägigen Bestimmungen der RL 95/46/EG unmittelbar anwendbar?

Urteil des EuGH (BezBegrBVG) - Antworten Art 6 Abs. 1 lit. c und 7 lit. c und e der RL 95/46/EG stehen einer nationalen Regelung wie im Ausgangsverfahren nicht entgegen, sofern erwiesen ist, dass die Offenlegung, die nicht nur die Höhe der Jahreseinkommen der Beschäftigten von der Kontrolle des RH unterliegenden Rechtsträgern betrifft, wenn diese Einkommen einen bestimmten Betrag überschreiten, sondern auch die Namen der Bezieher dieser Einkommen umfasst, im Hinblick auf das vom Verfassungsgesetzgeber verfolgte Ziel der ordnungsgemäßen Verwaltung der öffentlichen Mittel notwendig und angemessen ist, was die vorlegenden Gerichte zu prüfen haben. Art 6 Abs. 1 lit. c und 7 lit. c und e der RL 95/46/EG sind in dem Sinne unmittelbar anwendbar, dass sich ein Einzelner vor den nationalen Gerichten auf sie berufen kann, um die Anwendung entgegenstehender Vorschriften des innerstaatlichen Rechts zu verhindern.

Erkenntnis des VfGH (BezBegrBVG) vom 28.11.2003, VfSlg. 17065) Der RH ist befugt, zum Zweck der Überprüfung der Gebarung des ORF in sämtliche Unterlagen des ORF betreffend die von ihm in den Jahren 1998 und 1999 ausbezahlten Bezüge und Ruhebezüge Einsicht zu nehmen. Der ORF ist schuldig, diese Einsicht bei sonstiger Exekution zu ermöglichen. Der Antrag festzustellen, dass der RH befugt ist, zum Zwecke der namentlichen Einkommenssteuerberichterstattung gemäß § 8 Abs. 1 bis 3 des BezBegrBVG in sämtliche Unterlagen des ORF betreffend die von ihm in den Jahren 1998 und 1999 ausbezahlten Bezüge und Ruhebezüge Einsicht (Einschau) zu nehmen, wird abgewiesen.

Erkenntnis des VwGH (Veröffentlichung in NÖN) vom 12. 3 Erkenntnis des VwGH (Veröffentlichung in NÖN) vom 12.3.2010, GZ 2008/17/0136 Abweisung einer Beschwerde gegen einen (ebenfalls abweisenden) Bescheid der DSK Bürgermeister einer Gemeinde übermittelte Daten über ein baupolizeiliches Verfahren an die Niederösterreichischen Nachrichten (weitere Publikation auch in Gemeindemitteilungen) Keine ausdrückliche Namensnennung, aber personenbezogene Daten jedenfalls bei in der Öffentlichkeit wahrnehmbaren Ereignissen (wie hier die Bauführung) ist das Informationsbedürfnis der Öffentlichkeit und das Interesse von Verwaltungsbehörden, bei wie hier rechtswidrigen Bauführungen die korrekte Wahrnehmung ihrer Aufgaben dartun zu können, die Information über Verfahrensschritte wie Einleitung von Verfahren, prozessualer Stand des Verfahrens (insbesondere Einbringung von Rechtsmitteln und ähnliche Angaben) auch in datenschutzrechtlicher Hinsicht im Lichte des § 8 Abs. 1 Z 4 DSG 2000 gerechtfertigt.

Urteil des EuGH (Agrarförderungen) vom 9. 11. 2010, Rs Urteil des EuGH (Agrarförderungen) vom 9. 11. 2010, Rs. C-92/09 und C-93/09 Vorlage durch Verwaltungsgericht Wiesbaden in einem Verfahren der Beschwerdeführer Schecke und Eifert gegen das Land Hessen Veröffentlichung von Agrarförderungen unter dem Namen des Begünstigten im Internet aufgrund Art. 44a der Verordnung Nr. 1290/2005 und einer der Durchführungsverordnung der Europäischen Kommission (Nr. 259/2008). Die relevanten Vorlagefragen beziehen sich a) auf Gültigkeit der einschlägigen Bestimmungen und b) auf die Frage, ob im Hinblick auf die Meldepflicht und Vorabkontrollpflicht nach der RL 95/46/EG die Datenverarbeitung nicht erst nach der Meldung bzw. Genehmigung erfolgen darf.

Urteil des EuGH (Agrarförderungen) - Antworten Einschlägige Bestimmungen der genannten Verordnungen sind ungültig, soweit diese bei natürlichen Personen, die Empfänger der Agrarförderungen sind, die Veröffentlichung personenbezogener Daten hinsichtlich aller Empfänger vorschreiben, ohne nach einschlägigen Kriterien wie den Zeiträumen, während deren sie solche Beihilfen erhalten haben, der Häufigkeit oder auch nach Art und Umfang dieser Beihilfen zu unterscheiden. Wirkungen der Veröffentlichung der Listen vor Verkündung des Urteils bleiben aufrecht. Verzeichnis muss nicht vor Verarbeitung geführt werden, keine Vorabkontrolle notwendig.

Veröffentlichung personenbezogener Daten Ist die Veröffentlichung im Hinblick auf das mit der Bestimmung verfolgte, im Allgemeininteresse liegende Ziel sowohl notwendig als auch angemessen? Gibt es ein gelinderes zum Ziel führendes Mittel?

Danke für Ihre Aufmerksamkeit! Dr. Eva Souhrada-Kirchmayer Datenschutzkommission www.dsk.gv.at +43 1 53115/ 202525