Beschwerderecht einer juristischen Person bei Verletzungen des Grundrechts auf Datenschutz

1. Grundrecht auf Datenschutz für juristische Personen

Vor der umfassenden Novellierung des DSG 2000⁵ waren personenbezogene Daten juristischer Personen vom gesamten Anwendungsbereich des Gesetzes umfasst. Im Hinblick auf die unmittelbar anwendbare DSGVO sollte ursprünglich das DSG 2000 aufgehoben und ein neues DSG erlassen werden, mit dem der Anwendungsbereich und daher auch das Grundrecht auf Datenschutz in § 1 DSG auf natürliche Personen beschränkt werden sollte.⁶ Da jedoch keine erforderliche Zweidrittelmehrheit für die Änderung dieser Verfassungsbestimmung gefunden werden konnte, wurde das DSG 2000 nicht aufgehoben, sondern es wurde nur der Titel geändert und die einfachgesetzlichen Bestimmungen der §§ 4 ff DSG an die DSGVO angepasst, § 1 DSG hingegen unverändert belassen.⁷ Auch die nachfolgenden Versuche zur Änderung der Verfassungsbestimmung blieben aufgrund unzureichender Quoren erfolglos.⁸ Das aktuelle DSG sieht daher weiterhin ein Grundrecht auf Datenschutz für juristische Personen vor. Es besteht aus dem zentralen Grundrecht auf Geheimhaltung personenbezogener Daten (§ 1 Abs 1 DSG) sowie den Rechten auf Auskunft, Richtigstellung unrichtiger Daten und Löschung unzulässigerweise verarbeiteter Daten (§ 1 Abs 3 DSG).

2. Beschwerderecht einer juristischen Person nach § 24 DSG

Das BVwG erkennt zwar das Grundrecht auf Datenschutz für juristische Personen in § 1 DSG an, erblickt jedoch keine Möglichkeit der Geltendmachung dieses subjektiven Rechts im Wege des verwaltungsbehördlichen Verfahrens, weil das Recht auf Beschwerde bei der Datenschutzbehörde in § 24 DSG auf natürliche Personen beschränkt ist. Begründend führt das BVwG aus, dass für die Reichweite des Schutzes des in § 1 Abs 1 DSG statuierten subjektiv-öffentlichen Rechts die Durchführungsbestimmung des § 4 Abs 1 DSG beachtlich ist, die auf die Bestimmungen der DSGVO verweist. Die Mat zum IA betreffend die Änderung des § 4 Abs 1 DSG legen auch dementsprechend dar, dass das Grundrecht auf Datenschutz iSd DSGVO ausgelegt werden muss, und daher "Betroffene" und "betroffene Personen" iSd Art 4 Z 1 DSGVO nur natürliche Personen sind.⁹ Zwar äußert das BVwG diesen Gedankengang nicht ausdrücklich; vor dem Hintergrund der voranstehenden Argumenta-

tion stützt sich das Gericht jedoch wohl auf den Wortlaut des § 24 Abs 1 DSG, der das Recht auf Beschwerde bei der Datenschutzbehörde jeder "betroffenen Person" festlegt, sowie auf die damit im Zusammenhang stehenden Mat zu § 4 Abs 1 DSG, wonach betroffene Personen - wie ausgeführt - nur natürliche Personen sind. Eine verfassungskonforme Interpretation von § 24 DSG iS einer Erweiterung entgegen dem Normengehalt ("betroffene Person") auf die Aktivlegitimation der juristischen Person komme laut BVwG nicht infrage, weil der Wortlaut der Bestimmung unzweideutig sei. Zudem sieht das BVwG keine planwidrige Lücke, weil der Gesetzgeber bei der Änderung des § 4 Abs 1 DSG den Anwendungsbereich des Art 1 und 2 DSGVO, der sich nur auf personenbezogene Daten natürlicher Personen bezieht, ausnehmen hätte können.¹⁰

Das BVwG lässt bei der Auslegung von § 24 DSG allerdings außer Acht, dass die versuchten Aufhebungen der aktuellen Verfassungsbestimmung mit der Intention, das Grundrecht auf Datenschutz nur natürlichen Personen zu gewähren, mehrfach gescheitert sind, weil keine erforderliche Verfassungsmehrheit gefunden wurde. Die einfachgesetzlichen Bestimmungen des DSG verwenden aber dennoch die Formulierung "betroffene Person", die aufgrund der Durchführungsbestimmung in § 4 DSG iVm Art 4 Z 1 DSGVO nur natürliche Personen meint, wodurch es an einer einfachgesetzlichen Umsetzung des Grundrechts auf Datenschutz für juristische Personen fehlt. Den persönlichen Schutzbereich des § 1 Abs 1 DSG aufgrund der vorgenommenen "Notlösung" des Verweises auf die DSGVO im einfachgesetzlichen § 4 DSG und der Mat zu § 4 DSG derart einzuschränken, würde allerdings zu einer Aushebelung des Verfassungsgesetzgebungsverfahrens führen.¹¹ Zudem bedingt der Pauschalverweis auf die DSGVO eine sachlich nicht gerechtfertigte Differenzierung zwischen natürlichen und juristischen Personen, die aufgrund des fortbestehenden Grundrechts auf Datenschutz für juristische Personen in § 1 DSG ebenfalls zu einer Verfassungswidrigkeit des § 4 Abs 1 DSG führen würde.¹² Auch die Datenschutzbehörde sieht in der Auslegung der §§ 4 und 24 DSG dahin gehend, nur natürlichen Personen die Möglichkeit einer Beschwerdeerhebung vor der Datenschutzbehörde einzuräumen, eine gleichheits- und damit verfassungswidrige Ungleichbehandlung.¹³

Lachmayer ¹⁴ und Schweiger ¹⁵ erblicken zudem infolge des ausdrücklichen Verweises im das Beschwerderecht regelnden § 24 Abs 1 DSG auf Verletzungen des § 1 DSG sogar ein unmittelbares Recht auf Erhebung einer Beschwerde bei der Datenschutzbehörde für die juristische Person. Auch wenn diese Argumentation zutreffend erschiene, könnte wohl damit dem vom BVwG ins Treffen geführten Umstand nicht begegnet werden, dass § 24 Abs 1 DSG von "betroffenen Personen" spricht.

Richtigerweise muss das Beschwerderecht bei der Datenschutzbehörde für juristische Personen daher durch eine verfassungskonforme Interpretation des Begriffs "betroffene Person" erzielt werden,¹⁶ wofür der Wortlaut des § 4 DSG den Weg öffnet. Die Anwendung der Bestimmungen der DSGVO ist gem § 4 Abs 1 DSG für die "ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten natürlicher Personen sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten natürlicher Personen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen", festgelegt. Demnach ist der Begriff der "betroffenen Personen" bei Vorliegen personenbezogener Daten juristischer Personen im Anwendungsbereich des Grundrechts gem § 1 DSG nicht iSd DSGVO, sondern als auch juristische Personen erfassend auszulegen.¹⁷

Dem Argument des BVwG, dass sich aus der Einschränkung des Beschwerderechts auf natürliche Personen kein (grob) unterschiedlicher Grundrechtsschutz für juristische Personen ergebe, weil laut EuGH in den Rs Schecke und Eifert ¹⁸ der Rechtsschutz betreffend Art 8 EMRK auch juristischen Personen zugutekommt, wenn eine juristische Person den Namen einer oder mehrerer natürlicher Personen enthält, kann aus mehreren Gründen nichts abgewonnen werden: Weder ergibt sich dadurch ein Beschwerderecht bei der Datenschutzbehörde für andere juristische Personen noch ein anderer vergleichbar einfacher und kostengünstiger Weg eines verwaltungsbehördlichen Administrativverfahrens zur Durchsetzung des Grundrechts auf Datenschutzrecht. Zudem geht es aber auch am dem Erk zugrunde liegenden Sachverhalt vorbei: Die im gegenständlichen Verfahren Beschwerde erhebende juristische Person trägt gerade keine Namen natürlicher Personen in ihrer Firma. Auf die vom BVwG zitierte Rsp des EuGH hätte sie sich daher auch nicht stützen können.

3. Beschränkung der Grundrechte in § 1 Abs 3 DSG

Ein ähnliches Problem ergibt sich für die in § 1 Abs 3 DSG - und damit ebenso im Verfassungsrang stehenden - genannten Teilgrundrechte, die einem Konkretisierungsvorbehalt mit Ausgestaltungsauftrag an den einfachen Gesetzgeber unterliegen. Die Verfassungsnorm umschreibt den Inhalt der Rechte nicht abschließend, sondern überlässt die nähere Ausformung dem einfachen Gesetzgeber und räumt ihm einen gewissen Spielraum für die Regelung der Art und Weise der Geltendmachung und Durchsetzung des Anspruchs ein. Inhaltliche Beschränkungen der Rechte sind laut VfGH nicht Gegenstand des in § 1 Abs 3 DSG enthaltenen Auftrages an den Gesetzgeber.¹⁹ §§ 26 ff DSG 2000 hatten noch einfachgesetzliche Ausführungsbestimmungen enthalten, die jedoch das Datenschutz-Anpassungsgesetz 2018 ersatzlos strich. Zwar ergeben sich für natürliche Personen keine Rechtsdurchsetzungsdefizite, weil sie sich auf die Rechte in der DSGVO berufen können; für juristische Personen scheidet eine unmittelbare Anwendung der

DSGVO allerdings aus. Zwar kann die Regelung der Art und Weise der Geltendmachung und Durchsetzung des Anspruchs laut VfGH eine Beschränkung des Grundrechts bewirken, es darf jedoch nicht dazu führen, den Erfordernissen des Art 8 Abs 2 EMRK zu widersprechen.²⁰ Der juristischen Person steht nun zwar ein Grundrecht auf Datenschutz inkl Rechte auf Auskunft, Richtigstellung und Löschung zu. Der einfache Gesetzgeber hat es bei der Novellierung des DSG jedoch verabsäumt, entsprechende Ausführungsbestimmungen zur Konkretisierung und Durchsetzung der Rechte gem § 1 Abs 3 DSG einzuführen. Nun könnte aufgrund des Ausgestaltungsvorbehalts argumentiert werden, dass § 4 Abs 1 DSG eine solche nähere Ausgestaltung darstellt. Allerdings kann dieser Vorbehalt nicht so ausgelegt werden, dass der einfache Gesetzgeber die Grundrechte quasi aushebelt. Infolge der Einschränkung in § 4 Abs 1 DSG fehlt juristischen Personen nämlich jede Möglichkeit, sich auf ihre Teilgrundrechte in § 1 Abs 3 DSG zu berufen, was zu einem Eingriff in das Grundrecht führte, der vom VfGH geprüft und im Falle einer Verletzung aufgehoben werden kann.²¹ Auch der juristischen Person muss daher ein Recht auf Einbringung einer Beschwerde vor der Datenschutzbehörde eingeräumt werden, wenn sie sich in den Teilgrundrechten des § 1 Abs 3 DSG verletzt fühlt.

4. Resümee

Nach dem Wortlaut des § 24 Abs 1 DSG steht das Recht auf Beschwerde an die Datenschutzbehörde "betroffenen Personen" zu. Aufgrund der Durchführungsbestimmung gem § 4 Abs 1 DSG und im Lichte der Mat zu dieser Bestimmung müsse der Begriff laut BVwG iSd Art 4 Z 1 DSGVO dergestalt ausgelegt werden, dass nur natürliche Personen umfasst sind. Es bleibt daher abzuwarten, ob der VwGH den Begriff der "betroffenen Personen" in § 24 Abs 1 DSG im Rahmen einer verfassungskonformen Auslegung im Anwendungsbereich des Grundrechts der juristischen Person gem § 1 DSG weiter interpretiert als nach Art 4 Z 1 DSGVO und damit auch der juristischen Person die Möglichkeit einer Beschwerde bei der Datenschutzbehörde erhalten bleibt.