Datenschutz: Eine erste Bilanz

Das Recht auf Auskunftserteilung über personenbezogene Daten innerhalb von höchstens drei Monaten, das Recht auf Löschung, das Recht auf Richtigstellung: Seit 25. Mai gilt die Datenschutzgrundverordnung (DSGVO) der Europäischen Union, die datenverarbeitende Betriebe viel stärker in die Datenschutzpflicht nimmt als bisher. Die erwartbare Welle an Beschwerden ist bei der Datenschutzbehörde bereits angerollt. Seien im gesamten Jahr 2017 insgesamt 531 Beschwerden eingelangt, seien es allein seit dem Inkrafttreten der DSGVO am 25. Mai bereits 750 (Stand 4. September) gewesen, teilt Andrea Jelinek, die Leiterin der Datenschutzbehörde, auf Anfrage der OÖN mit.

"Durch die DSGVO sind das Bewusstsein und das Interesse für das Thema Datenschutz gestiegen", sagt Jelinek. Das Informationsbedürfnis sei hoch: Seien im Vorjahr 2192 Rechtsauskünfte erteilt worden, seien es allein seit dem Inkrafttreten der DSGVO schon 1428 gewesen. "Wir beraten so, wie es das Gesetz vorsieht. Eine Beratungsstelle sind wir als Behörde freilich nicht", betont die Chefin der Datenschutzbehörde.

Bei Verstößen, etwa gegen das Recht auf Auskunftserteilung eines Kunden, drohen Unternehmen bekanntlich drakonische Geldbußen von theoretisch bis zu 20 Millionen Euro. Bislang sind bei der Datenschutzbehörde 112 Verwaltungsstrafverfahren anhängig, Strafbescheide seien bisher aber noch keine erlassen worden, sagt Jelinek.

Welche Erfahrungen die Behörde bisher mit dem im österreichischen Ausführungsgesetz zur DSGVO verankerten – und nicht unumstrittenen – Prinzip "beraten statt strafen" gemacht hat, beantwortet die Behördenchefin eher ausweichend: Die DSGVO selbst sehe auch Verwarnungen vor, und "Strafen müssen demnach stets verhältnismäßig sein", betont sie.

Hat der österreichische Gesetzgeber mit seinen Ausführungsvorschriften den EU-Datenschutz gar "verwässert", wie Kritiker behaupten? Wie berichtet hat die EU-Justizkommissarin Vera Jourova gegenüber Justizminister Josef Moser ihre Bedenken geäußert. Moser rechnet allerdings nicht damit, dass ein EU-Vertragsverletzungsverfahren auf die Republik Österreich zukommen könnte.

Thema Datenschutzverträge

Nach dem Inkrafttreten der DSGVO sind auch weiterhin Anwälte gefragte Ratgeber. "Ich beschäftige mich derzeit neben dem externen Datenschutzmanagement auch viel mit Datenschutzverträgen", sagt Michael Pachinger, Rechtsanwalt in der Kanzlei SCWP. Wer trägt die Verantwortung, wenn mehrere Unternehmen zusammenarbeiten und dadurch eine Kette von Datenverarbeitungen entsteht? "Ein typisches Beispiel wäre ein Reisebüro, das Kundendaten ans Hotel und die Fluglinie weiterleiten muss", sagt der Datenschutzexperte. Wer gegenüber dem Kunden letztendlich verantwortlich ist für Auskunftserteilungen oder auch Löschungsbegehren, können die kooperierenden Unternehmen vertraglich regeln. "Das ist eine große Chance, den Datenschutz proaktiv zu gestalten", sagt Pachinger.

Sind Auskünfte gebührenpflichtig?

Weil er via Online-Banking eine Transaktion nicht mehr nachvollziehen konnte, forderte ein Kunde von seiner Bank, ihm – im Sinne der DSGVO – Auskunft über alle Überweisungen der vergangenen fünf Jahre zu erteilen. Die Bank übermittelte ihm aber nur Nachweise für ein Jahr. Für die restlichen Jahre verlangte die Bank eine Gebühr von 30 Euro pro Jahr.

Die Datenschutzbehörde gab kürzlich der Beschwerde des Kunden statt und verpflichtete die Bank, die begehrten Auskünfte gebührenfrei zu erteilen. Bemerkenswert sind die Begründungen der Behörde: Grundsätzlich seien Auskünfte zwar kostenlos zu erteilen.

In speziellen Fällen haben Unternehmen aber doch das Recht, Gebühren vorzuschreiben oder die Auskunft ganz zu verweigern: wenn der Kunde "offenkundig unbegründet, anlasslos bzw. exzessiv" von seinem Recht Gebrauch macht, sodass die Auskunftserteilung "unzumutbar" sei. Dafür müsse aber eine gewisse "Intensität" vorliegen, sagt der Datenschutz-Rechtsexperte Michael Pachinger. Im vorliegenden Fall habe der Kunde aber nur ein einziges Mal Auskunft verlangt. Weil er über sein Online-Banking die gewünschte Info nicht erlangen konnte, sei er daher auf die Mitwirkung der Bank angewiesen gewesen.