← Österreich

{'item': 'K178.231/0007-DSK/2007'}

RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum21.03.2007 GeschäftszahlK178.231/0007-DSK/2007 Text[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] B E S C H E I DB E S C H E römisch eins D Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. KOTSCHY, Dr. BLAHA, Dr. ROSENMAYR-KLEMENZ, Mag. ZIMMER und Dr. STAUDIGL sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom

  1. März 2007 folgenden Beschluss gefasst: S p r u c h Der Antrag der D**** Zweigniederlassung Österreich in Wien vom
  2. Mai 2006, modifiziert mit Schreiben vom
  3. Feber 2007, betreffend die Übermittlung von Personaldaten in die USA zwecks statistischer Auswertung wird gemäß § 13 Abs. 1 und 2 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999 idF BGBl. I Nr. 13/2005, abgewiesen.Der Antrag der D**** Zweigniederlassung Österreich in Wien vom
  4. Mai 2006, modifiziert mit Schreiben vom
  5. Feber 2007, betreffend die Übermittlung von Personaldaten in die USA zwecks statistischer Auswertung wird gemäß Paragraph 13, Absatz eins und 2 des Datenschutzgesetzes 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr. 13 aus 2005,, abgewiesen. B e g r ü n d u n g
  6. Sachverhalt: Die Antragstellerin hat mit Schreiben vom
  7. Mai 2006 einen Antrag auf Genehmigung der Übermittlung von Personaldaten an die Konzermutter der Antragstellerin, die D**** Limited, USA, gestellt. Der Zweck der Übermittlung wurde wie folgt angegeben: "Die Datenübermittlung dient hauptsächlich statistischen Auswertungen, jedoch erfolgen nicht sämtliche Auswertungen anonym, sondern es sind für Bearbeitungen und Planungen auch personenbezogene Daten notwendig". Die Datenschutzkommission hat die Antragsstellerin zur Verbesserung ihres Vorbringens aufgefordert, weil viele der im Antrag genannten Daten für statistische Auswertungen nicht relevant erschienen. Im Verbesserungs-Schreiben vom
  8. Feber 2007, GZ K178.231/0002- DSK/2007 finden sich widersprüchliche Angaben hinsichtlich der Aufrechterhaltung des Genehmigungsantrags betreffend einzelner Datenarten. So stimmen die vom Antragstellervertreter selbst vorgenommenen Streichungen und Hinzufügungen in der Liste der zu übermittelnden Datenarten nicht überein mit seinen generellen Anmerkungen zu den zu übermittelnden Datenarten und diesbezüglichen Antragszurückziehungen. Zur Glaubhaftmachung des angemessenen Datenschutzes beim Empfänger der Daten in den USA wurde ein Vertrag zwischen Datenexporteur und dem Datenimporteur in den USA vorgelegt, in dem der Zweck der Übermittlung wie folgt angegeben wurde: "Übermittlungszwecke: Aufbau und Pflege von einer weltweiten Datenbank mit Informationen der Beschäftigten zur einheitlichen statistischen Auswertung und Bearbeitung. (vgl. Annex B zum Vertrag. Im englischen Original lautet die Beschreibung des Übermittlungszweckes "...for worldwide statistic reports and editing").Zur Glaubhaftmachung des angemessenen Datenschutzes beim Empfänger der Daten in den USA wurde ein Vertrag zwischen Datenexporteur und dem Datenimporteur in den USA vorgelegt, in dem der Zweck der Übermittlung wie folgt angegeben wurde: "Übermittlungszwecke: Aufbau und Pflege von einer weltweiten Datenbank mit Informationen der Beschäftigten zur einheitlichen statistischen Auswertung und Bearbeitung. vergleiche Annex B zum Vertrag. Im englischen Original lautet die Beschreibung des Übermittlungszweckes "...for worldwide statistic reports and editing"). Diese Beschreibung des Übermittlungszwecks wurde nach Vorhalt durch die Datenschutzkommission im Schreiben vom
  9. Feber 2007, GZ K178.231/0002-DSK/2007, vom Antragstellervertreter dahingehend kommentiert, dass "kein editing in den USA erfolge".
  10. Anzuwendende Rechtsvorschriften: § 13 Abs. 1 und 2 DSG 2000 lautet unter der Überschrift "Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland" wie folgt:Paragraph 13, Absatz eins und 2 DSG 2000 lautet unter der Überschrift "Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland" wie folgt: "§ 13.

(1)Soweit der Datenverkehr mit dem Ausland nicht gemäß § 12"§ 13.
(1)Soweit der Datenverkehr mit dem Ausland nicht gemäß Paragraph 12 genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (§§ 35
  1. ff)einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden.genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (Paragraphen 35,
  2. ff)einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden.
(2)Absatz 2,Die Genehmigung ist unter Beachtung der gemäß § 55 Z 2 ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des § 12 Abs. 5 vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus,Die Genehmigung ist unter Beachtung der gemäß Paragraph 55, Ziffer 2, ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des Paragraph 12, Absatz 5, vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus, 1.Ziffer eins für die im Genehmigungsantrag angeführte Übermittlung oder Überlassung im konkreten Einzelfall angemessener Datenschutz besteht; dies ist unter Berücksichtigung aller Umstände zu beurteilen, die bei der Datenverwendung eine Rolle spielen, wie insbesondere die Art der verwendeten Daten, die Zweckbestimmung sowie die Dauer der geplanten Verwendung, das Herkunfts- und das Endbestimmungsland und die in dem betreffenden Drittland geltenden allgemeinen oder sektoriellen Rechtsnormen, Standesregeln und Sicherheitsstandards; oder 2.Ziffer 2 der Auftraggeber glaubhaft macht, daß die schutzwürdigen Geheimhaltungsinteressen der vom geplanten Datenverkehr Betroffenen auch im Ausland ausreichend gewahrt werden. Hiefür können insbesondere auch vertragliche Zusicherungen des Empfängers an den Antragsteller über die näheren Umstände der Datenverwendung im Ausland von Bedeutung sein."
  1. Rechtlich war zu erwägen: 3.
  2. Zur Genehmigungspflicht: Die beantragte Übermittlung von Daten ist gemäß § 13 Abs. 1 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999, genehmigungspflichtig, da die angegebenen Übermittlungszwecke keinem der in § 12 Abs. 3 aufgezählten Fälle zugeordnet werden können (- die Daten sollen trotz des angegebenen Hauptzwecks "Statistik" voll personenbezogen übermittelt werden -) und weiters die USA nicht zu jenen Staaten zählen, die gemäß § 12 Abs. 2 DSG 2000 von der Genehmigungspflicht ausgenommen sind.Die beantragte Übermittlung von Daten ist gemäß Paragraph 13, Absatz eins, Datenschutzgesetz 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999,, genehmigungspflichtig, da die angegebenen Übermittlungszwecke keinem der in Paragraph 12, Absatz 3, aufgezählten Fälle zugeordnet werden können (- die Daten sollen trotz des angegebenen Hauptzwecks "Statistik" voll personenbezogen übermittelt werden -) und weiters die USA nicht zu jenen Staaten zählen, die gemäß Paragraph 12, Absatz 2, DSG 2000 von der Genehmigungspflicht ausgenommen sind. 3.
  3. Zur Rechtsgrundlage der Übermittlung: Gemäß § 12 Abs. 5 DSG 2000 ist zunächst Voraussetzung für die Genehmigung einer geplanten Übermittlung, dass die Bedingungen des § 7 Abs. 2 DSG 2000 erfüllt sind. Besonders wichtig ist hierbei die Frage nach einer tauglichen Rechtsgrundlage für die konkrete Übermittlung. Um diese beurteilen zu können, muss der Zweck der Übermittlung definiert sein.Gemäß Paragraph 12, Absatz 5, DSG 2000 ist zunächst Voraussetzung für die Genehmigung einer geplanten Übermittlung, dass die Bedingungen des Paragraph 7, Absatz 2, DSG 2000 erfüllt sind. Besonders wichtig ist hierbei die Frage nach einer tauglichen Rechtsgrundlage für die konkrete Übermittlung. Um diese beurteilen zu können, muss der Zweck der Übermittlung definiert sein. Beantragt ist in der verbesserten Fassung vom
  4. Februar 2007 die Genehmigung der Übermittlung einer großen - aber im Einzelnen noch nicht vollkommen klaren - Menge von Personaldaten in die USA zum Zweck statistischer Auswertungen. Während Übermittlungen für rein statistische Auswertungen keine besondere Bedrohung für die Datenschutzinteressen der Betroffenen darstellen, ist im vorliegenden Fall im Vertrag zwischen dem Datenexporteur und dem Datenimporteur ein weiterer Zweck "Bearbeitung [editing]" der weltweiten Personendatenbank genannt. Dieser ist so unbestimmt, dass eine Rechtsgrundlage für diesen unbegrenzten Zweck nicht gefunden werden kann. Die Angaben des Vertreters des Antragstellers im Verbesserungsschreiben (mail vom
  5. Februar 2007), dass der im Vertrag genannte weitere Übermittlungszweck "Bearbeitung ('editing')" der weltweiten Personaldatenbank zurückgezogen werde und dass kein 'editing' in den USA erfolge, kann hier nicht alle Bedenken beseitigen: Wenn die vertragliche Basis der Übermittlung der Daten ins Ausland dem Daten-Importeur eine erheblich andere Datenverwendung erlaubt als die vom Exporteur beantragte Genehmigung, wird die von der Genehmigung eingeschränkte Verwendung schwer durchsetzbar sein. Man muss in der speziellen Organisationsstruktur eines Konzerns auch noch berücksichtigen, dass die Rechtsdurchsetzung des österreichischen Exporteurs gegenüber dem Datenimporteur, der ihm im Konzern übergeordnet und weisungsberechtigt ist, realistischerweise keine aussichtsreiche Perspektive eröffnet. Daraus entsteht eine Konstellation, in der die Wahrung der Betroffeneninteressen mehr gefährdet erscheint als unter Vertragspartnern, die von einander strukturell und rechtlich unabhängig sind. Dies wiegt im vorliegenden Fall umso schwerer, als die beabsichtigte Übermittlung sowohl hinsichtlich des Umfangs der betroffenen Personaldaten als auch hinsichtlich ihres Eingriffspotentials als umfassend bzw. gravierend bezeichnet werden muss. Im Gegensatz zu einem Fall, in dem die DSK eine Übermittlung von Personaldaten zwecks statistischer Auswertungen genehmigt hat (GZ K178.211), liegt hier auch keine ausdrückliche Erklärung der Konzernspitze darüber vor, dass sie sich verpflichtet, die übermittelten Daten tatsächlich nur für statistische Zwecke zu verwenden, sodass die nunmehrige Angabe eines beschränkten Übermittlungszwecks gegenüber der im Vertrag deklarierten Verwendungsabsicht für die weltweite Datenbank nicht glaubhaft ist. 3.
  6. Zur Glaubhaftmachung angemessenen Datenschutzes beim Empfänger Der in der Zweckformulierung betonte weltweite Charakter der geplanten Personaldatenbank wirft zusätzlich das Problem auf, dass nur eine Übermittlung in die USA beantragt ist, in Wahrheit aber offenbar die weltweite Benutzung dieser Datenbank (offenbar durch alle affiliates von D****) beabsichtigt ist, sei es auch möglicherweise nur zu dem Zweck, einheitliche Statistiken zu erstellen. Dies zeigt deutlich, dass der bilaterale Vertrag zwischen der österreichischen Zweigniederlassung von D**** und D**** Limited, USA, im vorliegenden Fall kein geeignetes Mittel zum angemessenen Schutz der aus Österreich exportierten Personaldaten darstellt, es müsste vielmehr ein Instrument wie etwa Binding Corporates Rules gewählt werden, das die Gewähr dafür bietet, dass der gesamte Konzern, also die Konzernspitze und alle affiliates in allen Staaten der Welt, sich auf die Einhaltung eines datenschutzrechtlichen Mindeststandards verpflichten. 3.
  7. Schlussfolgerung: Das Zusammentreffen eines unklaren und weitgespannten Übermittlungszwecks, für den eine dem § 12 Abs. 5 DSG 2000 genügende Rechtsgrundlage nicht bestimmbar ist, mit der Vorlage eines Rechtsinstruments, das in der vorliegenden Konstellation den effektiven Schutz der zu übermittelnden Daten nicht ausreichend gewährleisten kann, und einem umfangreichen Übermittlungskatalog von z. T. sehr eingriffsintensiven Personaldaten, muss zu dem Schluss führen, dass im vorliegenden Fall die Voraussetzungen für die Genehmigung der beantragten Datenübermittlung gemäß § 12 Abs. 5 und § 13 DSG 2000 nicht vorliegen, weshalb wie im Spruch zu entscheiden war.Das Zusammentreffen eines unklaren und weitgespannten Übermittlungszwecks, für den eine dem Paragraph 12, Absatz 5, DSG 2000 genügende Rechtsgrundlage nicht bestimmbar ist, mit der Vorlage eines Rechtsinstruments, das in der vorliegenden Konstellation den effektiven Schutz der zu übermittelnden Daten nicht ausreichend gewährleisten kann, und einem umfangreichen Übermittlungskatalog von z. T. sehr eingriffsintensiven Personaldaten, muss zu dem Schluss führen, dass im vorliegenden Fall die Voraussetzungen für die Genehmigung der beantragten Datenübermittlung gemäß Paragraph 12, Absatz 5 und Paragraph 13, DSG 2000 nicht vorliegen, weshalb wie im Spruch zu entscheiden war.

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.