Durchführung der Verordnung der EU-DSGVO
Wie alle Verordnungen der EU ist auch die EU-DSGVO direkt in Österreich anwendbar und müsste eigentlich nicht in ein nationales Gesetz gegossen werden. Allerdings haben die Gesetzgeber in Brüssel den Mitgliedsstaaten in manchen Bereichen einigen Spielraum gelassen („Öffnungsklauseln“). So sieht Art. 8 Abs 1 EU-DSGVO beispielsweise vor, dass die Einwilligung eines Kindes zur Verarbeitung seiner personenbezogenen Daten nur wirksam ist, wenn das Kind bereits das sechzehnte Lebensjahr vollendet hat. Die Mitgliedstaaten können jedoch durch Rechtsvorschriften eine niedrigere Altersgrenze vorsehen, die jedoch nicht unter dem vollendeten dreizehnten Lebensjahr liegen darf. Da sich im DsAnpG keine Regelung zur Altersgrenze findet, wurde von dieser Öffnungsklausel kein Gebrauch gemacht und die Bestimmung in der EU-DSGVO ist anzuwenden.
Generell kann festgehalten werden, dass in weiten Teilen die Bestimmungen der EU-DSGVO übernommen wurden. Dies ist zu begrüßen, da mit der EU-DSGVO versucht wurde, das europäische Datenschutzrecht zu vereinheitlichen. Würde nun jeder Mitgliedsstaat von allen Öffnungsklauseln Gebrauch machen, wäre dieses Ziel verfehlt. Man stelle sich beispielsweise vor, um bei erwähnter Altersgrenze zu bleiben, dass Kinder in Österreich ab 13 Jahren in die Verarbeitung ihrer personenbezogenen Daten einwilligen könnten, in Deutschland ab 14 Jahren und in der Slowakei ab 16 Jahren. So wären grenzüberschreitend tätige Unternehmen nach wie vor mit verschiedenen nationalen Regelungen konfrontiert, trotz einheitlicher EU-Verordnung.
Umsetzung der EU-Richtlinie 2016/680
Im Gegensatz zu EU-Verordnungen gelten EU-Richtlinien nicht unmittelbar in den Mitgliedsstaaten. Daher ist der österreichische Gesetzgeber gezwungen, die Datenschutz-Richtlinie für Polizei und Justiz oder anders ausgedrückt: Die Richtlinie zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates in nationales Recht umzusetzen. Auch dies soll mit dem nun vorliegenden Entwurf geschehen. In einem weiteren Beitrag werden wir einen genauen Blick auf diese Richtlinie und ihre Umsetzung werfen.
Einheitliche Kompetenz in den allgemeinen Angelegenheiten des Schutzes personenbezogener Daten
Die Gesetzgebungskompetenz und die Vollzugskompetenz sind momentan zwischen Bund und Ländern geteilt. Bundessache ist die Gesetzgebung in Bezug auf den Schutz personenbezogener Daten im automationsunterstützen Datenverkehr. Die Vollziehung dieser Gesetze steht grundsätzlich dem Bund zu, allerdings gibt es Ausnahmen, in denen die Länder diese Bundesgesetze zu vollziehen haben. Für die Gesetzgebung in Bezug auf den Schutz manueller Daten sind generell die Länder zuständig. Ziel des DSG 2018 ist eine einheitliche Gesetzgebungs- und Vollziehungskompetenz des Bundes in allgemeinen Angelegenheit des Schutzes personenbezogener Daten.
In Teil 2 dieses Beitrags werden wir die drei weiteren Ziele des Datenschutz-Anpassungsgesetz 2018 vorstellen.