RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum19.11.2020 Geschäftszahl2020-0.743.659 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2020-0.743.659 vo

Art. 7(Achtung des Privat und Familienlebens) oder Art.

8 (Schutz personenbezogener Daten) EU-GRC eingreifen, klare und präzise Regeln für die Tragweite und die Anwendung dieser Maßnahme vorsehen und Mindestanforderungen aufstellen, sodass die Personen, deren personenbezogene Daten betroffen sind, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer Daten vor Missbrauch sowie vor jedem unberechtigten Zugang zu diesen Daten und jeder unberechtigten Nutzung, ermöglichen. Das Erfordernis solcher Garantien ist umso bedeutsamer, wenn die personenbezogenen Daten automatisch verarbeitet werden und eine erhebliche Gefahr des unberechtigten Zugangs zu ihnen besteht (vgl. EuGH vom 6. Oktober 2015, C-362-14, Rz. 91 mwN). i) Nach ständiger Rechtsprechung des EuGH müssen Regelungen,

Artikel 7

, (Achtung des Privat und Familienlebens) oder Artikel 8, (Schutz personenbezogener Daten) EU-GRC eingreifen, klare und präzise Regeln für die Tragweite und die Anwendung dieser Maßnahme vorsehen und Mindestanforderungen aufstellen, sodass die Personen, deren personenbezogene Daten betroffen sind, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer Daten vor Missbrauch sowie vor jedem unberechtigten Zugang zu diesen Daten und jeder unberechtigten Nutzung, ermöglichen. Das Erfordernis solcher Garantien ist umso bedeutsamer, wenn die personenbezogenen Daten automatisch verarbeitet werden und eine erhebliche Gefahr des unberechtigten Zugangs zu ihnen besteht vergleiche EuGH vom

1. Oktober 2015, C-362-14, Rz. 91 mwN). Diese Garantien sind umso wichtiger, wenn Daten automationsunterstützt verarbeitet werden und wenn es sich um sensible Daten handelt (vgl. EuGH vom
2. Oktober 2020, verb. Rs C-511/18, C-512/18 und C-520/18, Rz 132).Diese Garantien sind umso wichtiger, wenn Daten automationsunterstützt verarbeitet werden und wenn es sich um sensible Daten handelt vergleiche EuGH vom
3. Oktober 2020, verb. Rs C-511/18, C-512/18 und C-520/18, Rz 132). Bei den auf Basis von § 5 Abs. 3 EpiG iVm der Wiener Contact-Tracing Verordnung zu verarbeitenden Daten handelt es sich – wie oben näher ausgeführt – um Gesundheitsdaten nach Art. 4 Z 15 DSGVO.Bei den auf Basis von Paragraph 5, Absatz 3, EpiG in Verbindung mit der Wiener Contact-Tracing Verordnung zu verarbeitenden Daten handelt es sich – wie oben näher ausgeführt – um Gesundheitsdaten nach Artikel 4, Ziffer 15, DSGVO. Auch der ständigen Rechtsprechung des Verfassungsgerichtshofes zur Qualität einer Eingriffsnorm im Sinne des § 1 Abs. 2 DSG ist zu entnehmen, dass diese bestimmte Anforderungen zu erfüllen hat (vgl. dazu zuletzt die Erkenntnisse vom
4. Dezember 2019, G 72/2019 u.a, und vom
5. Dezember 2019, G 164/2019 u.a.).Auch der ständigen Rechtsprechung des Verfassungsgerichtshofes zur Qualität einer Eingriffsnorm im Sinne des Paragraph eins, Absatz 2, DSG ist zu entnehmen, dass diese bestimmte Anforderungen zu erfüllen hat vergleiche dazu zuletzt die Erkenntnisse vom
6. Dezember 2019, G 72 aus 2019, u.a, und vom
7. Dezember 2019, G 164 aus 2019, u.a.). Die Datenschutzbehörde stellt aber ausdrücklich klar, dass es weder ihre Aufgabe ist – und auch von ihrer Kompetenz nicht erfasst ist –, abschließend festzustellen, ob die verfahrensgegenständlichen Bestimmungen im Widerspruch zu § 1 Abs. 2 DSG bzw. Art. 8 EU-GRC stehen.Die Datenschutzbehörde stellt aber ausdrücklich klar, dass es weder ihre Aufgabe ist – und auch von ihrer Kompetenz nicht erfasst ist –, abschließend festzustellen, ob die verfahrensgegenständlichen Bestimmungen im Widerspruch zu Paragraph eins, Absatz 2, DSG bzw. Artikel 8, EU-GRC stehen. Allerdings ist die Datenschutzbehörde verpflichtet, innerstaatliche Regelungen, die in einem offenkundigen Widerspruch zum Unionsrecht stehen, im Konfliktfall unangewendet zu lassen. Es gilt der Grundsatz des Vorrangs des Unionsrechts gegenüber nationalem Recht (Anwendungsvorrang). Besondere Bedeutung hat dieser dort, wo unmittelbar anwendbares Unionsrecht – wie bspw. die DSGVO – auf entgegenstehendes nationales Recht trifft. Der Anwendungsvorrang bedeutet, dass im Konfliktfalle der Regel des (unmittelbar anwendbaren) Unionsrechts, nicht jener des österreichischen Rechts zu folgen ist (vgl. VfSlg. 15.448/1999, 19.661/2012 mwN; Mayer/Kucsko-Stadlmayer/Stöger, Bundesverfassungsrecht11 [2015] Rz 246/9). Es gilt der Grundsatz des Vorrangs des Unionsrechts gegenüber nationalem Recht (Anwendungsvorrang). Besondere Bedeutung hat dieser dort, wo unmittelbar anwendbares Unionsrecht – wie bspw. die DSGVO – auf entgegenstehendes nationales Recht trifft. Der Anwendungsvorrang bedeutet, dass im Konfliktfalle der Regel des (unmittelbar anwendbaren) Unionsrechts, nicht jener des österreichischen Rechts zu folgen ist vergleiche VfSlg. 15.448 aus 1999,, 19.661 aus 2012, mwN; Mayer/Kucsko-Stadlmayer/Stöger, Bundesverfassungsrecht11 [2015] Rz 246/9). Dieser Grundsatz ist von allen österreichischen Behörden zu beachten, sie haben das nationale Recht in solchen Fällen daher unangewendet zu lassen. Auf den Rang des österreichischen Rechts kommt es nicht an, Unionsrecht geht im Konfliktfall auch nationalem Verfassungsrecht vor (vgl. VfSlg. 15.427/1999; 17.347/2003; Mayer/Kucsko-Stadlmayer/Stöger, Bundesverfassungsrecht11 [2015] Rz 246/9). Dieser Grundsatz ist von allen österreichischen Behörden zu beachten, sie haben das nationale Recht in solchen Fällen daher unangewendet zu lassen. Auf den Rang des österreichischen Rechts kommt es nicht an, Unionsrecht geht im Konfliktfall auch nationalem Verfassungsrecht vor vergleiche VfSlg. 15.427 aus 1999,; 17.347 aus 2003,; Mayer/Kucsko-Stadlmayer/Stöger, Bundesverfassungsrecht11 [2015] Rz 246/9). Die Tragweite eines Eingriffs muss sich aus dem Normtext selbst zweifelsfrei ergeben. Wenn aber zur Sinnermittlung subtile datenschutzrechtliche Kenntnisse, qualifizierte juristische Befähigung und Erfahrung und geradezu archivarischer Fleiß – v.a. durch intensives Studium von Gesetzesmaterialien und sonstigen Hilfsmitteln – von Nöten ist (vgl. dazu sinngemäß VfSlg. 12.420/1990), kann nicht gesagt werden, dass sich die Auswirkungen einer gesetzlich statuierten Datenverarbeitung einfach nachvollziehen lassen.Die Tragweite eines Eingriffs muss sich aus dem Normtext selbst zweifelsfrei ergeben. Wenn aber zur Sinnermittlung subtile datenschutzrechtliche Kenntnisse, qualifizierte juristische Befähigung und Erfahrung und geradezu archivarischer Fleiß – v.a. durch intensives Studium von Gesetzesmaterialien und sonstigen Hilfsmitteln – von Nöten ist vergleiche dazu sinngemäß VfSlg. 12.420 aus 1990,), kann nicht gesagt werden, dass sich die Auswirkungen einer gesetzlich statuierten Datenverarbeitung einfach nachvollziehen lassen. Die (einfache) Nachvollziehbarkeit ist aber wiederum Voraussetzung für Betroffene, sich der Tragweite eines Eingriffs bewusst zu werden und ihre Rechte in Anspruch nehmen zu können. Dies wird bereits in Art. 5 Abs. 1 lit. a DSGVO festgelegt (Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz).Die (einfache) Nachvollziehbarkeit ist aber wiederum Voraussetzung für Betroffene, sich der Tragweite eines Eingriffs bewusst zu werden und ihre Rechte in Anspruch nehmen zu können. Dies wird bereits in Artikel 5, Absatz eins, Litera a, DSGVO festgelegt (Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz). Nach der Rechtsprechung des EuGH genügt es nicht, wenn eine Datenverarbeitung auf einen der in Art. 6 DSGVO – oder wie hier: Art. 9 Abs. 2 – abschließend genannten Rechtmäßigkeitstatbestände gestützt werden kann; es müssen zusätzlich alle Grundsätze für die Verarbeitung personenbezogener Daten nach Art. 5 DSGVO eingehalten werden (vgl. noch zur Rechtslage nach der RL 95/46/EG das Urteil vom
8. Dezember 2019, C-708/18, Rz 36).Nach der Rechtsprechung des EuGH genügt es nicht, wenn eine Datenverarbeitung auf einen der in Artikel 6, DSGVO – oder wie hier: Artikel 9, Absatz 2, – abschließend genannten Rechtmäßigkeitstatbestände gestützt werden kann; es müssen zusätzlich alle Grundsätze für die Verarbeitung personenbezogener Daten nach Artikel 5, DSGVO eingehalten werden vergleiche noch zur Rechtslage nach der RL 95/46/EG das Urteil vom
9. Dezember 2019, C-708/18, Rz 36). ii) Umgelegt auf den vorliegenden Fall bedeutet dies Folgendes: Die in § 5 Abs. 3 EpiG iVm § 1 Abs. 2 lit. e der Wiener Contact-Tracing Verordnung normierte Datenverarbeitung für Inhaber von Betriebsstätten der Gastronomie enthält – wie sich aus den obigen Ausführungen ergibt – weder klare noch präzise Regeln für die Tragweite und Anwendung dieser Maßnahme. Insbesondere sind für Betroffene die Umstände, wann es zu einem Eingriff in das in § 1 DSG bzw. Art. 8 EU-GRC verfassungs- bzw. primärrechtlich gewährleiste Recht auf Datenschutz kommt und ob diese Daten zwingend bekannt zu geben sind (siehe dazu die obigen Ausführungen), nicht klar ersichtlich.Die in Paragraph 5, Absatz 3, EpiG in Verbindung mit Paragraph eins, Absatz 2, Litera e, der Wiener Contact-Tracing Verordnung normierte Datenverarbeitung für Inhaber von Betriebsstätten der Gastronomie enthält – wie sich aus den obigen Ausführungen ergibt – weder klare noch präzise Regeln für die Tragweite und Anwendung dieser Maßnahme. Insbesondere sind für Betroffene die Umstände, wann es zu einem Eingriff in das in Paragraph eins, DSG bzw. Artikel 8, EU-GRC verfassungs- bzw. primärrechtlich gewährleiste Recht auf Datenschutz kommt und ob diese Daten zwingend bekannt zu geben sind (siehe dazu die obigen Ausführungen), nicht klar ersichtlich. Im Lichte der Rechtsprechung des EuGH, der – insbesondere wenn es um die Verarbeitung sensibler Daten geht – an Regelungen,

Art. 7(Achtung des Privat und Familienlebens) oder Art.

8 (Schutz personenbezogener Daten) EU-GRC eingreifen, klare und präzise Anforderungen für die Tragweite und die Anwendung dieser Maßnahme normiert, haben die Bestimmungen des § 5 Abs. 3 EpiG iVm der Wiener Contact-Tracing Verordnung auf Grund des Vorranges des Unionsrechts gegenständlich unangewendet zu bleiben, sodass eine Verpflichtung zur Verarbeitung personenbezogener Daten darauf nicht gestützt werden kann.Im Lichte der Rechtsprechung des EuGH, der – insbesondere wenn es um die Verarbeitung sensibler Daten geht – an Regelungen,

Artikel 7

, (Achtung des Privat und Familienlebens) oder Artikel 8, (Schutz personenbezogener Daten) EU-GRC eingreifen, klare und präzise Anforderungen für die Tragweite und die Anwendung dieser Maßnahme normiert, haben die Bestimmungen des Paragraph 5, Absatz 3, EpiG in Verbindung mit der Wiener Contact-Tracing Verordnung auf Grund des Vorranges des Unionsrechts gegenständlich unangewendet zu bleiben, sodass eine Verpflichtung zur Verarbeitung personenbezogener Daten darauf nicht gestützt werden kann. Die Beschwerde erweist sich daher auch aus diesem Blickwinkel als berechtigt.

1. d)Verletzung des Grundsatzes von „Treu und Glauben“
2. i)Die Beschwerde erweist sich jedoch auch aus weiteren folgenden Überlegungen als berechtigt: Die Beschwerdegegnerin bringt vor, der Beschwerdeführer habe seine Daten freiwillig zur Verfügung gestellt. Wie in den Feststellungen in ihrer Datenschutzerklärung ersichtlich, verknüpft sie die Erhebung der Daten ihrer Kunden jedoch mit dem Zutritt zu ihrer Betriebsstätte bzw. führt sie darin aus, dass einem Kunden, der sich weigert seine Daten zur Verfügung zu stellen, der Zutritt verweigert werden kann. Zudem verweist sie in ihrer Datenschutzerklärung hinsichtlich der Rechtsgrundlage für die Verarbeitung auf Art. 6 Abs. 1 lit. c DSGVO iVm § 1 Z 2 lit. e der Wiener Contact-Tracing Verordnung.Die Beschwerdegegnerin bringt vor, der Beschwerdeführer habe seine Daten freiwillig zur Verfügung gestellt. Wie in den Feststellungen in ihrer Datenschutzerklärung ersichtlich, verknüpft sie die Erhebung der Daten ihrer Kunden jedoch mit dem Zutritt zu ihrer Betriebsstätte bzw. führt sie darin aus, dass einem Kunden, der sich weigert seine Daten zur Verfügung zu stellen, der Zutritt verweigert werden kann. Zudem verweist sie in ihrer Datenschutzerklärung hinsichtlich der Rechtsgrundlage für die Verarbeitung auf Artikel 6, Absatz eins, Litera c, DSGVO in Verbindung mit Paragraph eins, Ziffer 2, Litera e, der Wiener Contact-Tracing Verordnung.
3. ii)Wie bereits ausgeführt, genügt es nicht, dass eine Datenverarbeitung auf einen Erlaubnistatbestand gestützt werden kann, sondern muss diese auch allen Grundsätzen des Art. 5 DSGVO entsprechend erfolgen. Nach Art. 5 Abs. 1 lit. a DSGVO müssen Daten nach Treu und Glauben in einer für den Betroffenen nachvollziehbaren Weise verarbeitet werden.
4. ii)Wie bereits ausgeführt, genügt es nicht, dass eine Datenverarbeitung auf einen Erlaubnistatbestand gestützt werden kann, sondern muss diese auch allen Grundsätzen des Artikel 5, DSGVO entsprechend erfolgen. Nach Artikel 5, Absatz eins, Litera a, DSGVO müssen Daten nach Treu und Glauben in einer für den Betroffenen nachvollziehbaren Weise verarbeitet werden. Im Ergebnis erweist sich die Praxis der Beschwerdeführerin, sich hinsichtlich der Verarbeitung auf eine – unzureichende – gesetzliche Verpflichtung zur Verarbeitung zu berufen, die Erhebung jedoch gleichzeitig von der freiwilligen Angabe durch Ihre Kunden abhängig zu machen, als irreführend. Denn es wird beim Betroffenen auf diese Weise der Eindruck hervorgerufen, Kontrolle über die Verarbeitung ausüben zu können. Insoweit hat die Beschwerdegegnerin gegen den Grundsatz des Art. 5 Abs. 1 lit. a DSGVO („Treu und Glauben“) verstoßen und den Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung gemäß § 1 DSG verletzt (vgl. dazu bereits oben; Bescheid DSB vom 31. Oktober 2018, GZ: DSB-D123.076/0003-DSB/2018).Insoweit hat die Beschwerdegegnerin gegen den Grundsatz des Artikel 5, Absatz eins, Litera a, DSGVO („Treu und Glauben“) verstoßen und den Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung gemäß Paragraph eins, DSG verletzt vergleiche dazu bereits oben; Bescheid DSB vom 31. Oktober 2018, GZ: DSB-D123.076/0003-DSB/2018). 4. Ergebnis Die Beschwerde erweist sich daher, soweit eine Verletzung im Recht auf Geheimhaltung behauptet wird, weil die Beschwerdegegnerin Vor- und Nachname sowie Telefonnummer des Beschwerdeführers ohne Rechtsgrundlage ermittelt hat, als berechtigt, weshalb spruchgemäß zu entscheiden war. Zu Spruchunkt 2: Soweit sich die Beschwerde gegen die Verarbeitung anderer als der in der Auskunft angeführten Daten des Beschwerdeführers richtet, erweist sie sich mangels tatsächlicher Verarbeitung als unbegründet. Es war daher spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:DSB:2020:2020.0.743.659