Keine Ableitung konkreter Ansprüche aus Art. 32 DS-GVO

Nach Auffassung der österreichischen Datenschutzbehörde DSB lassen sich aus Art. 32 DS-GVO für den Betroffenen keine Ansprüche auf konkrete Sicherheitsmaßnahmen gegen den Verantwortlichen ableiten. Im konkreten Fall monierte die Betroffene, dass das Bundeskanzleramt und das österreichische Bundesministerium für Europa, Integration und Äußeres Daten und Informationen zum Sexualleben und Gesundheit („sensible persönliche Daten“) in elektronischer Form über sie speichern würden.

Beschwerdeführerin fürchtet um ihre Daten

Dem vordringlich geforderten Löschbegehren der Betroffenen wäre nach eigenem Bekunden der Betroffenen auch gedient, wenn eine Pseudonymisierung dieser Daten durchgeführt werden würde. Die unterlassene Pseudonymisierung sei eine Verletzung des Grundrechts auf Datenschutz. Es wäre unverhältnismäßig, wenn Daten in einer nicht pseudonymisierten Form aufbewahrt würden. Die Beschwerdeführerin befürchte, dass ihre Identität in den folgenden Jahrzehnten bei jedem Zugriff auf die Daten offengelegt werde, was nicht mehr mit dem öffentlichen Interesse begründet werden könne.

Insbesondere wären ihre Daten bei einem erfolgreichen Hacker-Angriff auf die Server der Beschwerdegegner sofort öffentlich zugänglich. Wenn Daten aufbewahrt werden würden, um „österreichische Rechtsansprüche“ gegen die Neueinbringung einer gleichartigen Beschwerde durch sie bei einem anderen Tribunal zu verteidigen, dann werde der Dokumentationszweck durch die geforderte Pseudonymisierung nicht beschränkt. Auch aus der DSGVO wäre abzuleiten, dass weitgehende Datenschutzmaßnahmen der Regelfall für die Archivierung sein müssten. So normiere Art. 5 Abs. 1 lit c DS-GVO das Prinzip der Datenminimierung und als Instrument dazu führe Art. 25 Abs. 1 DS-GVO die Pseudonymisierung an. Die Unterlassung dieser oder vergleichbarer Schutzmaßnahmen wäre ein mit dem Grundrecht auf Datenschutz unvereinbarer leichtfertiger Umgang mit sensiblen Daten.

Nach Auffassung der österreichischen Datenschutzbehörde könne in Bezug auf die von der Betroffenen gerügte Verletzung des Grundrechts auf Geheimhaltung durch eine „unterlassene Pseudonymisierung“ aus der DS-GVO kein Recht abgeleitet werden, wonach eine betroffene Person spezifische Datensicherheitsmaßnahmen i.S.v Art. 32 DS-GVO von einem Verantwortlichen verlangen könnte. Ebenso wenig könne eine betroffene Person – wie von der Beschwerdeführerin begehrt – spezifische Maßnahmen zur Datenminimierung i.S.v Art. 5 Abs. 1 lit. c DS-GVO verlangen.

Wie nämlich aus Art. 32 DS-GVO ersichtlich sei, treffe die Verpflichtung zur Sicherheit der Verarbeitung personenbezogener Daten den Verantwortlichen bzw. den Auftragsverarbeiter, wobei diese Sicherheit – unter Berücksichtigung der in Abs. 1 dieser Bestimmung genannten Elemente – auf mehrere Arten gewährleistet sein könne.

Auch aus dem Blickwinkel einer systematischen Interpretation der DSGVO könne nicht geschlossen werden, dass der Gesetzgeber einer betroffenen Person ein subjektives Recht auf Einhaltung bestimmter Datensicherheitsmaßnahmen gewähren wollte…“. Im Ergebnis liege weder eine (bereits erfolgte) Verletzung des Grundrechts auf Geheimhaltung vor, noch könne eine spezifische Datensicherheitsmaßnahme (konkret: Pseudonymisierung) im Rahmen eines Beschwerdeverfahrens geltend gemacht werden.

Bundesministerium für Digitalisierung und Wirtschaftsstandort

Letztes Update:13.11.18

  • Datenschutz International – wirksame Umsetzung bei grenzüberschreitenden Datentransfers

    Wirksamer Datenschutz muss auch den internationalen Datentransfer berücksichtigen. Deutsche Unternehmen sind häufig stark exportorientiert und global tätig. In der Konsequenz werden auch große Mengen an Daten ausgetauscht. Bei grenzüberschreitenden Datentransfers innerhalb und außerhalb des Unternehmens oder des Konzerns sind eine Vielzahl gesetzlicher Anforderungen zu erfüllen. Dies stellt für viele Unternehmen eine große Herausforderung dar. Die

    Mehr erfahren
  • GDD sammelt Datenpannen

    Der Europäische Datenschutzausschuss hat eine Konsultation zu Beispielsfällen einer Datenschutzverletzung initiiert (Guidelines 01/2021 on Examples regarding Data Breach Notification). Die GDD möchte durch eine Umfrage weitere Fallkonstellationen aus der Praxis sammeln und an den Europäischen Datenschutzausschuss über eine Stellungnahme von CEDPO zurückspielen. Immerhin besteht bei den datenverarbeitenden Stellen die große Herausforderung, eine Meldepflicht zu identifizieren. Dies zeigt

    Mehr erfahren
  • Korrekt Löschen nach DS-GVO

    Die Datenschutz-Grundverordnung (DS-GVO) als gesetzliche Regelung zur Verarbeitung personenbezogener Daten hat den Datenschutz nachhaltig verändert und geprägt. Sie verpflichtet jedes Unternehmen – unabhängig von seiner Größe – zur Implementierung eines Datenschutzmanagementsystems (DSMS). Jeder Verantwortliche hat deswegen eine Datenschutzorganisation vorzuweisen, die in der Lage ist, die Einhaltung datenschutzrechtlicher Pflichten zu gewährleisten. Eine der maßgeblichen Anforderungen ist

    Mehr erfahren