Gastkommentar: Datenschutz-Deregulierungsgesetz

Noch bevor die DSGVO ab dem 25. Mai 2018 in Kraft tritt, nutzte der österreichische Gesetzgeber die Gelegenheit, um hinter verschlossenen Türen mit einer weiteren Novelle einige Detailänderungen des bisherigen Datenschutzgesetzes vorzunehmen. [...]

Nach einer Phase des Entsetzens ist nun zu hinterfragen, ob die aufgekommenen Bedenken der Datenschützer und die euphorische Haltung seitens der Wirtschaft tatsächlich gerechtfertigt sind. In der Tat birgt das neue Gesetz Änderungen, die für Unternehmen eine Erleichterung darstellen. Die Klarstellung, wonach das Grundrecht auf Datenschutz lediglich natürlichen Personen zugutekommt, beseitigt eine Menge Unsicherheiten. Auch die Regelung, wonach auf strafbare Tatbestände, die vor dem Inkrafttreten der DSGVO verwirklicht wurden, die für die Unternehmer günstigere Rechtslage anzuwenden ist, vereinfacht für viele den Umsetzungsprozess.

Erwähnenswert ist auch die Möglichkeit der Unternehmen, das Auskunftsrecht einer betroffenen Person zu verweigern, sollten dadurch die eigenen „Betriebsgeheimnisse“ oder die eines Dritten gefährdet sein. Trotz harscher Kritik ist die EU-Rechtskonformität zu bejahen, zumal die Wahrung der „Geschäfts- oder Betriebsgeheimnisse“ in der DSGVO erwähnt ist und der österreichische Gesetzgeber diesen zur „Klarstellung“ in das Datenschutzgesetz übernahm. Dennoch ist Vorsicht geboten, im Einzelfall ist diese Behauptung gegenüber der Datenschutzbehörde zu begründen!

Zufriedenstellend aus unternehmerischer Sicht ist, dass nicht mehr mittels „Sammelklage“ gegen Unternehmen auf Schadenersatz geklagt werden kann. Insbesondere NGOs steht zwar weiterhin die Möglichkeit der Inanspruchnahme dieses Rechtsinstruments offen, geklagt werden kann aber nur auf Auskunft, Berichtigung, Löschung, Einschränkung oder Übertragung personenbezogener Daten.

Das nun in das Gesetz gegossene Prinzip „Verwarnen statt Strafen“ führte zu einer Hochstimmung der österreichischen Wirtschaftswelt. Eine Verharmlosung der datenschutzrechtlichen Pflichten sowie der drakonischen Strafen wäre allerdings weit verfehlt, zumal lediglich der Zweck der DSGVO klargestellt wurde. Es wird festgelegt, dass die Datenschutzbehörde bei »erstmaligen Verstößen« gegen die Datenschutzbestimmungen die Verhältnismäßigkeit wahren und Ersttäter zunächst verwarnen soll. Erst im Wiederholungsfall soll es zu Geldstrafen kommen.

Absichtlich die durch die DSGVO gesetzten Pflichten zu missachten, bzw. ihnen nicht nachzukommen, ist jedenfalls nicht anzuraten. Es ist zu bezweifeln, dass die Behörde im Falle eines derartigen Verstoßes oder gar keinem Nachweis der Umsetzung der DSGVO lediglich verwarnen würde.

* Andreas Schütz ist Anwalt bei Taylor Wessing.