Datenschutz - eine Standortbestimmung (Teil IV)

1. Die zur Rechtsdurchsetzung berufenen Behörden

Entsprechend dem Grundrecht auf Datenschutz in der Ausprägung des Art 8 EU-Grundrechtecharta sieht die DSGVO vor, dass die Mitgliedstaaten eine (oder mehrere) unabhängige Datenschutzaufsichtsbehörden eingerichtet haben müssen. Die Einrichtung der österreichischen Aufsichtsbehörde, der "Datenschutzbehörde", erfolgte durch § 18 DSG.

Den Aufsichtsbehörden kommen die in den Art 57 und 58 DSGVO aufgelisteten Kompetenzen (Aufgaben und Befugnisse) zu. Der 2. und 3. Abschnitt des 2. Hauptstücks des DSG enthält jene ergänzenden Regelungen zur DSGVO, die für Organisation und Verfahren der Datenschutzbehörde erforderlich sind.¹ Die Datenschutzbehörde wendet - neben allfälligen besonderen Bestimmungen des DSG - als österreichische Verwaltungsbehörde hinsichtlich der Beschwerdeverfahren (sowie Genehmigungs-, Akkreditierungsverfahren und dgl) das AVG,² hinsichtlich der Strafverfahren (insb auch im Verfahren zur Verhängung von Geldbußen) das VStG³ an.

Neben der Datenschutzbehörde sind durch das nationale Recht Gerichte zur Rechtsdurchsetzung in Datenschutzangelegenheiten zu berufen, um iSv Art 47 EU-Grundrechtecharta bzw Art 6 EMRK das Recht auf ein faires Verfahren durch "wirksamen gerichtlichen Rechtsschutz" zu gewährleisten.⁴ Art 79 DSGVO verlangt die Einrichtung eines wirksamen gerichtlichen Rechtsschutzes sogar "unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei der Aufsichtsbehörde gemäß Art 77" DSGVO.⁵

2. Rechtsdurchsetzung aus der Sicht der betroffenen Person

Zur Erhebung einer Beschwerde wegen einer behaupteten Verletzung der DSGVO durch die Verarbeitung von Daten des Beschwerdeführers ist gem Art 77 DSGVO und § 24 Abs 1 DSG jede betroffene Person - richtiger: jede Person, die behauptet betroffen zu sein - berechtigt. Dabei kann jede Verletzung der DSGVO unabhängig vom Ort des Ereignisses und des Ortes der Niederlassung des Beschuldigten bei der österreichischen Datenschutzbehörde anhängig gemacht werden.⁶ Enthält ein Beschwerdefall grenzüberschreitende Aspekte,⁷ ist ein Kooperationsverfahren nach Art 60 DSGVO mit allen anderen betroffenen Datenschutzbehörden zur gemeinsamen Erledigung des Falles durchzuführen.⁸

Im Falle der Geltendmachung eines Betroffenenrechtes nach den Art 15-22 DSGVO ist Voraussetzung der Anrufung der Datenschutzbehörde die vorherige Auseinandersetzung mit dem Verantwortlichen.⁹ Nur wenn dieser dem Begehren der betroffenen Person nicht oder nicht vollinhaltlich entsprochen hat, steht dem Betroffenen der Beschwerdeweg an die Datenschutzbehörde offen - mangels vorheriger Befassung des Verantwortlichen wäre die Beschwerde in diesen Fällen zurückzuweisen. Die vorherige Befassung des Verantwortlichen ist jedoch dann nicht erforderlich, wenn in einer Beschwerde kein Leistungsauftrag, sondern die Feststellung der Rechtswidrigkeit einer Datenverarbeitung verlangt wird.¹⁰

---

§ 24 Abs 4 DSG enthält auch eine Bestimmung über die Verjährung der Möglichkeit, Datenschutzverletzungen geltend zu machen: "Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt."

Der notwendige Inhalt einer Beschwerde ist in § 24 Abs 2 DSG näher geregelt. Die Datenschutzbehörde stellt Formulare für die Geltendmachung von Rechten der Betroffenen gegenüber einem Verantwortlichen sowie für die Erhebung einer Beschwerde an die Datenschutzbehörde auf ihrer Homepage zur Verfügung; diese Texte sind unverbindlich, geben aber wichtige Hinweise auf den notwendigen Inhalt solcher Anbringen.

In Übereinstimmung mit Art 78 DSGVO steht dem Einbringer einer Beschwerde ein Rechtsmittel sowohl gegen Entscheidungen als auch gegen Säumnis der Datenschutzbehörde¹¹ in Form der Anrufung des Bundesverwaltungsgerichts zur Verfügung sowie in der Folge das Rechtsmittel der Revision an den Verwaltungsgerichtshof.¹² Angesichts der vollen Überprüfbarkeit der Entscheidungen der Datenschutzbehörde durch das Bundesverwaltungsgericht, sowohl betreffend Sachverhalt als auch Rechtsfragen, wird den Erfordernissen des Art 78 DSGVO hinsichtlich eines "wirksamen gerichtlichen Rechtsschutzes" Rechnung getragen.¹³

Zur Frage, ob das DSG auch dem Art 79 DSGVO vollinhaltlich entspricht, wonach ein wirksamer gerichtlicher Rechtsschutz "unbeschadet ... des Rechts auf Beschwerde bei einer Aufsichtsbehörde" bestehen muss, hat der EuGH vor Kurzem im Fall Puskar¹⁴ die Auffassung vertreten, dass die zwingende Vorschaltung einer Verwaltungsbehörde vor einer Anrufung des Gerichtes nicht an sich gegen das Gebot eines wirksamen gerichtlichen Rechtsschutzes verstoße; Voraussetzung sei freilich, dass die wesentlichen Kriterien dieses Gebots eingehalten werden, dh, dass die Vorschaltung der Verwaltungsbehörde im Interesse der Effizienz der Rechtsprechung erfolgt und dass sich außerdem keine erheblichen zeitlichen Verzögerungen und keine ins Gewicht fallenden Zusatzkosten im Verhältnis zu einer unmittelbaren Befassung des zuständigen Gerichts ergeben. Angesichts der im relevanten Punkt (des bestehenden Rechts auf Beschwerde bei einer Aufsichtsbehörde) letztlich gleichartigen Formulierung von Art 22 DS-RL und Art 79 Abs 1 DSGVO ist wohl davon auszugehen, dass die im Fall Puskar geäußerte Rechtsmeinung des EuGH auch auf die Rechtslage nach Art 79 DSGVO anwendbar ist, sodass die im DSG vorgesehene Art der Rechtsdurchsetzung DSGVO-konform und vor allem konform mit dem Grundsatz des fairen Verfahrens nach Art 47 der EU Grundrechtecharta und Art 6 EMRK ist.

Zum Verhältnis zwischen Art 77 und Art 79 ist somit festzuhalten, dass

-	eine betroffene Person gem Art 77 nach nationalem Verfahrensrecht in den von Art 58 geregelten Fällen jedenfalls die Datenschutzaufsichtsbehörde anrufen können muss,
-	dass die zwingende Möglichkeit, ein Gericht anrufen zu können, im nationalen Recht auch bloß konsekutiv eingeräumt werden darf (siehe den Fall Puskar),
-	dass aber auch eine nach nationalem Recht vorgesehene Möglichkeit der echt alternativen Anrufung einer Aufsichtsbehörde oder eines Gerichtes angesichts des Art 79 zulässig ist.15

Für Rechtsansprüche, für die Art 58 DSGVO keine Durchsetzungskompetenz der Aufsichtsbehörden vorsieht, muss vom nationalen Gesetzgeber hingegen jedenfalls eine unmittelbare Anrufung der Gerichte vorgesehen werden. Dies gilt vor allem für das in Art 82 ausgesprochene Recht auf Schadenersatz. Dementsprechend bestimmt § 29 DSG ausdrücklich, dass für Schadenersatzklagen die ordentlichen Gerichte zuständig sind. Ob dies auch für die häufig zusammen mit der Schadenersatzklage eingebrachte Unterlassungsklage gilt, ist hingegen weniger eindeutig beantwortbar, da fraglich ist, ob Art 58 Abs 2 DSGVO eine Abhilfebefugnis der Datenschutzbehörde enthält, die im Effekt dem Ergebnis einer erfolgreichen Unterlassungsklage gleichkäme, dh dem Betroffenen einen exekutionsfähigen Anspruch auf Unterlassung einer bestimmten Datenverarbeitungshandlung verschafft. Sollte dies nicht der Fall sein, weil es zwar ein Recht auf Löschung von Daten, aber kein Recht der betroffenen Person auf dauerhafte Einschränkung/Unterlassung der Verarbeitung gibt, wäre davon auszugehen, dass die Erhebung einer Unterlassungsklage bei Gericht nach wie vor zulässig ist. Diesbezüglich wird die Judikatur der ordentlichen Gerichte abzuwarten sein.

3. Rechtsdurchsetzung aus der Sicht des Verantwortlichen oder Auftragsverarbeiters

3.1. Die Herstellung des rechtskonformen Zustands durch die Aufsichtsbehörde

Auch unabhängig vom Vorliegen einer Beschwerde - und über die bloße Erledigung des Beschwerdebegehrens hinaus - sind die Datenschutzaufsichtsbehörden zur Bekämpfung der rechtswidrigen Verarbeitung von personenbezogenen Daten berufen

---

und haben hiefür alle in Art 58 DSGVO aufgezählten Untersuchungs- und Abhilfebefugnisse. Näherhin handelt es sich bei den Abhilfebefugnissen um die Befugnis,

-	den Verantwortlichen oder Auftragsverarbeiter auf Unzukömmlichkeiten hinzuweisen und ihn insb zu warnen, dass ein Verarbeitungsvorgang voraussichtlich gegen die DSGVO verstößt (Art 58 Abs 2 lit a),
-	die Anordnung zu treffen, dass bestimmte Handlungen von einem Verantwortlichen oder Auftragsverarbeiter zu setzen oder zu unterlassen sind (Art 58 Abs 2 lit c-g und j),
-	den Widerruf von Akkreditierungen und Genehmigungen auszusprechen (Art 58 Abs 2 lit h),
-	eine Verwarnung zu erteilen, weil eine Verarbeitung gegen die DSGVO verstoßen hat (Art 58 Abs 2 lit b),
-	eine Geldbuße nach Art 83 zu verhängen (Art 58 Abs 2 lit i).

Die Auswahl des oder der geeigneten Einwirkungsmittel obliegt der Datenschutzaufsichtsbehörde nach den Grundsätzen der Erforderlichkeit und der Verhältnismäßigkeit. Was die Verhängung von Strafen betrifft, kommen neben den in Art 83 vorgesehenen Geldbußen auch andere gem Art 84 DSGVO durch nationale Rechtsvorschriften geschaffene Sanktionen für Datenschutzverletzungen infrage, soweit die Anwendung dieser Sanktionen in den nationalen Rechtsvorschriften den Aufsichtsbehörden übertragen wurde.

Obwohl Geldbußen nach Art 83 DSGVO von einer Verwaltungsbehörde verhängt werden, ergibt sich aus der exorbitanten Höhe des Strafrahmens, dass diese Geldbußen im grundrechtlichen Sinne strafrechtliche Sanktionen darstellen: Nach Art 6 EMRK ist nicht die Bezeichnung der Sanktion oder die Bezeichnung der zu verhängenden Stelle maßgeblich, sondern vor allem der aus der Schwere der Strafe erkennbare repressive Zweck einer Sanktion.¹⁶ Dementsprechend müssen bei der Verhängung von Sanktionen nach Art 83 DSGVO die Garantien eines fairen Verfahrens im strafrechtlichen Bereich (Art 6 EMRK, "criminal limb") eingehalten werden.¹⁷

Daraus ergeben sich insb die folgenden Verteidigungsrechte: das Recht auf Unschuldsvermutung, auf Waffengleichheit, auf Anhörung, Akteneinsicht, Verbot des Zwangs zur Selbstbezichtigung, Verbot der Doppelbestrafung (ne bis in idem), Recht auf Begründung der Entscheidung und - von besonderer Bedeutung angesichts der Entscheidung durch eine Verwaltungsbehörde¹⁸ - das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, dh vor allem: Prüfung der Entscheidung auch hinsichtlich der Sachverhaltsfeststellungen und nicht nur hinsichtlich der Rechtsfragen.¹⁹ Die Notwendigkeit dieser Garantien wird in Art 78 DSGVO ("Recht auf wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde") und in Art 83 Abs 8 wiederholt.

3.2. Die Verhängung einer Geldbuße in Österreich

Die Verhängung von Geldbußen ist durch Art 58 und Art 83 DSGVO den Datenschutzaufsichtsbehörden vorbehalten. Dies wird in § 22 Abs 5 DSG für die österreichische Datenschutzbehörde wiederholt.²⁰ Dass das VStG anzuwendende Verfahrensordnung ist, ergibt sich aus dem EGVG.²¹ Das DSG enthält einzelne Sonder-Verfahrensbestimmungen, insb in § 30.

Jene Tatbestände, die mit Geldbuße geahndet werden können, sind in Art 83 Abs 4-6 in Form des Verweises auf die Verletzung bestimmter Artikel der DSGVO beschrieben. Weiters wird in Art 83 Abs 4-6 das Ausmaß der jeweiligen Höchststrafe festgelegt sowie in Art 83 Abs 2 jene Kriterien, die bei der Strafbemessung "im Einzelfall gebührend berücksichtigt" werden müssen. Ziel ist die Festsetzung eines Strafausmaßes, das "verhältnismäßig, wirksam und abschreckend" ist.²² Nationale Rechtsvorschriften über die Strafbemessung oder über das Absehen von einer Strafe, wie sie in § 11 DSG oder § 33a VStG enthalten sind, müssen im Lichte des Art 83 Abs 1 und Abs 2 DSGVO ausgelegt werden und können die dort vorgesehene Strafbemessung nicht korrigieren.²³

Hinsichtlich der zu Bestrafenden nennt Art 83 in den Absätzen 2 und 3 zunächst "Verantwortliche" und "Auftragsverarbeiter", in den Absätzen 4 und 5 aber auch "Unternehmen". Entgegen den Regelungen des § 9 VStG, wonach nur natürliche Personen bestraft werden können, eröffnet § 30 Abs 1 und 2 DSG der Datenschutzbehörde daher im Hinblick auf Art 83 die Möglichkeit, auch juristische Personen zu belangen, da "Unternehmen" als zu Bestrafende schon definitionsgemäß auch juristische Personen sein können.²⁴ Aus § 30 DSG ergibt sich konkret Folgendes: Ist der Verantwortliche (oder der Auftragsverarbeiter) eine juristische Person, kann die Datenschutzbehörde entweder

---

-	gem § 9 Abs 1 VStG den nach außen Vertretungsberechtigten (den Geschäftsführer) bzw den nach § 9 Abs 2 VStG allenfalls bestellten besonderen Verantwortlichen oder
-	gem § 30 Abs 1 oder Abs 2 DSG bei Vorliegen gewisser Voraussetzungen die juristische Person, die datenschutzrechtlicher Verantwortlicher oder Auftragsverarbeiter ist, bestrafen.

In Abwandlung des Doppelbestrafungsverbots darf allerdings bei einer Datenschutzverletzung nicht sowohl nach § 30 DSG als auch nach § 9 VStG bestraft werden.²⁵

Durch den Verweis auf den "weltweit erzielten Jahresumsatz" eines Unternehmens erhebt sich die Frage, ob bei Konzernunternehmen dies automatisch die Bestrafung "des Konzerns" - und nicht des einzelnen Konzernunternehmens - zur Folge hat. Hier ist zu berücksichtigen, dass Art 83 die Bestrafung "des Verantwortlichen" (bzw "des Auftragsverarbeiters") vorsieht, dh, dass geprüft werden muss, inwieweit für eine konkrete Datenschutzverletzung (nur) das einzelne Konzernunternehmen oder zusätzlich auch die Konzernspitze in Form entsprechender Einflussnahme verantwortlich ist, also gemeinsame Verantwortlichkeit vorliegt.

Gem § 30 Abs 5 DSG können "gegen Behörden und öffentliche Stellen, wie insbesondere in Formen des öffentlichen Rechts sowie des Privatrechts eingerichtete Stellen, die im gesetzlichen Auftrag handeln, und gegen Körperschaften des öffentlichen Rechts ... keine Geldbußen verhängt werden". Aus dieser - reichlich unklaren - Formulierung wird gemeinhin geschlossen, dass die Ausnahme des öffentlichen Bereichs von der Anwendbarkeit des Art 83 auch für die Datenverarbeitung für privatwirtschaftliche Zwecke des öffentlichen Bereichs gilt.²⁶

Eine weitere wichtige Besonderheit des Verfahrens zur Verhängung von Geldbußen ist der Umstand, dass entgegen der Bestimmung des § 22 Abs 2 VStG keine Kumulierung von Strafen erfolgt, sondern gem Art 83 Abs 3 bei mehreren Verstößen gegen die DSGVO im Zuge von "gleichen oder mit einander verbundenen Verarbeitungsvorgängen" nur die Geldbuße für den schwerstwiegenden Verstoß maßgeblich ist.

Insgesamt ist festzuhalten, dass das VStG, das als Verfahrensvorschrift für die Bestrafung von Tatbeständen mit minderem Unrechtsgehalt konzipiert ist, für die Verhängung von Strafen mit dem in Art 83 vorgesehenen extrem hohen Strafrahmen nicht ideal geeignet ist. Das zeigt sich bei ganz grundsätzlichen Systemkomponenten wie der Ersatzfreiheitsstrafe, die im vorliegenden Zusammenhang nicht sinnvoll angewendet werden kann;²⁷ dies zeigt sich zB aber auch bei der Beweislastregelung des § 5 Abs 1 VStG²⁸ oder auch bei der doch sehr kurzen Verfolgungsverjährungsfrist des § 31 Abs 1 VStG. Es ergeben sich hier Wertungswidersprüche, die möglicherweise über das hinausgehen, was im Wege der Rechtsprechung aufgelöst werden kann.

3.3. Die Verhängung anderer Strafen

Wie bereits erwähnt, sieht Art 84 DSGVO vor, dass in Vorschriften der Mitgliedstaaten, abgesehen von den Geldbußen nach Art 83, "andere Sanktionen für Verstöße gegen diese Verordnung festgelegt werden".²⁹ Im österreichischen DSG widmet sich das 4. Hauptstück unter dem Titel "Besondere Strafbestimmungen" diesem Thema und benennt weitere Fälle von Verwaltungsstrafdelikten (mit einem Strafrahmen bis zu 50.000 €)³⁰ sowie ein dem bisher geltenden § 51 DSG³¹ 2000 entsprechendes Bündel an gerichtlich strafbaren Tatbeständen,³² die mit Höchststrafe bis zu einem Jahr Freiheitsstrafe bzw Geldstrafe bis zu 720 Tagessätzen bedroht sind.³³ Diese gerichtliche Strafbestimmung ist nicht nur deshalb problematisch, weil sie sich bei der Beschreibung der

---

Tatbilder einer Terminologie bedient, die der datenschutzrechtlichen Nomenklatur fremd ist, was zu Interpretationsschwierigkeiten führt, sondern auch, weil ein weiterer erheblicher Wertungswiderspruch dadurch auftritt, dass die Maximalstrafe für die gerichtlich strafbaren Datenschutzverletzungen nur 3,6 Mio € beträgt, während für die Verwaltungsstrafen des Art 83 Höchststrafen von 10 bzw 20 Mio € vorgesehen sind, die für Unternehmen bei entsprechendem Umsatz noch höher ausfallen können.

Für das Verhältnis zwischen Strafen nach Art 83 und Art 84 ist nochmals besonders auf das sich aus Art 6 EMRK und Art 47 EU-Grundrechtecharta ergebende Verbot der Doppelbestrafung hinzuweisen.

Gegen jede von der Datenschutzbehörde verhängte Strafe kann im Sinne des von Art 78 zwingend vorgeschriebenen wirksamen gerichtlichen Rechtsschutzes Beschwerde beim Bundesverwaltungsgericht³⁴ und in der Folge Revision an den Verwaltungsgerichtshof³⁵ erhoben werden.