Keine Ableitung konkreter Ansprüche aus Art. 32 DS-GVO

Nach Auffassung der österreichischen Datenschutzbehörde DSB lassen sich aus Art. 32 DS-GVO für den Betroffenen keine Ansprüche auf konkrete Sicherheitsmaßnahmen gegen den Verantwortlichen ableiten. Im konkreten Fall monierte die Betroffene, dass das Bundeskanzleramt und das österreichische Bundesministerium für Europa, Integration und Äußeres Daten und Informationen zum Sexualleben und Gesundheit („sensible persönliche Daten“) in elektronischer Form über sie speichern würden.

Dem vordringlich geforderten Löschbegehren der Betroffenen wäre nach eigenem Bekunden der Betroffenen auch gedient, wenn eine Pseudonymisierung dieser Daten durchgeführt werden würde. Die unterlassene Pseudonymisierung sei eine Verletzung des Grundrechts auf Datenschutz. Es wäre unverhältnismäßig, wenn Daten in einer nicht pseudonymisierten Form aufbewahrt würden. Die Beschwerdeführerin befürchte, dass ihre Identität in den folgenden Jahrzehnten bei jedem Zugriff auf die Daten offengelegt werde, was nicht mehr mit dem öffentlichen Interesse begründet werden könne.

Auch aus der DSGVO wäre eine Ableitung möglich

Insbesondere wären ihre Daten bei einem erfolgreichen Hacker-Angriff auf die Server der Beschwerdegegner sofort öffentlich zugänglich. Wenn Daten aufbewahrt werden würden, um „österreichische Rechtsansprüche“ gegen die Neueinbringung einer gleichartigen Beschwerde durch sie bei einem anderen Tribunal zu verteidigen, dann werde der Dokumentationszweck durch die geforderte Pseudonymisierung nicht beschränkt. Auch aus der DSGVO wäre abzuleiten, dass weitgehende Datenschutzmaßnahmen der Regelfall für die Archivierung sein müssten. So normiere Art. 5 Abs. 1 lit c DS-GVO das Prinzip der Datenminimierung und als Instrument dazu führe Art. 25 Abs. 1 DS-GVO die Pseudonymisierung an. Die Unterlassung dieser oder vergleichbarer Schutzmaßnahmen wäre ein mit dem Grundrecht auf Datenschutz unvereinbarer leichtfertiger Umgang mit sensiblen Daten.

Nach Auffassung der österreichischen Datenschutzbehörde könne in Bezug auf die von der Betroffenen gerügte Verletzung des Grundrechts auf Geheimhaltung durch eine „unterlassene Pseudonymisierung“ aus der DS-GVO kein Recht abgeleitet werden, wonach eine betroffene Person spezifische Datensicherheitsmaßnahmen i.S.v Art. 32 DS-GVO von einem Verantwortlichen verlangen könnte. Ebenso wenig könne eine betroffene Person – wie von der Beschwerdeführerin begehrt – spezifische Maßnahmen zur Datenminimierung i.S.v Art. 5 Abs. 1 lit. c DS-GVO verlangen.

Wie nämlich aus Art. 32 DS-GVO ersichtlich sei, treffe die Verpflichtung zur Sicherheit der Verarbeitung personenbezogener Daten den Verantwortlichen bzw. den Auftragsverarbeiter, wobei diese Sicherheit – unter Berücksichtigung der in Abs. 1 dieser Bestimmung genannten Elemente – auf mehrere Arten gewährleistet sein könne.

Auch aus dem Blickwinkel einer systematischen Interpretation der DSGVO könne nicht geschlossen werden, dass der Gesetzgeber einer betroffenen Person ein subjektives Recht auf Einhaltung bestimmter Datensicherheitsmaßnahmen gewähren wollte…“. Im Ergebnis liege weder eine (bereits erfolgte) Verletzung des Grundrechts auf Geheimhaltung vor, noch könne eine spezifische Datensicherheitsmaßnahme (konkret: Pseudonymisierung) im Rahmen eines Beschwerdeverfahrens geltend gemacht werden.

Bundesministerium für Digitalisierung und Wirtschaftsstandort

 

Letztes Update:13.11.18

  • Folge 41: So hält das Urheberrecht den Anforderungen der KI stand

    Beim Einsatz generativer KI spielt neben dem Datenschutzrecht das Urheberrecht eine wichtige Rolle. Die Rechtsbereiche dürfen nicht miteinander vermischt werden. Welche Rechte bei der Erstellung von neuen Inhalten bzw. beim Training der KI tangiert sind (Input), und zum anderen, welche Rechte mit den von KI-(mit)erzeugten Inhalten verbunden sind, gleich ob Musik, Text oder Bild, und

    Mehr erfahren
  • Missbrauch Auskunft

    Grenzen des Missbrauchs beim Auskunftsrecht

    In der jüngeren Vergangenheit hat sich der EuGH mit zahlreichen Vorlagefragen zu datenschutzrechtlichen Themen befassen müssen. Darunter waren auch etliche Fragestellungen, die sich mit dem Inhalt und der Weite des Auskunftsanspruchs aus Artikel 15 DS-GVO befassten. Der EuGH konkretisierte bspw. im Rahmen seines Urteils, ob im Rahmen des Auskunftsrechts die Identität der Empfänger offenzulegen sind.

    Mehr erfahren
  • Personalakte und Risikodaten

    Besonders schützenswerte Daten in Personalakten

    Besonders sensible personenbezogene Daten dürfen nur in sehr begrenzten Ausnahmefällen im Rahmen von Beschäftigungsverhältnissen verarbeitet werden. Diese Daten umfassen beispielsweise Informationen, die Rückschlüsse auf den Gesundheitszustand oder die politische Überzeugung der Beschäftigten zulassen, sowie Hinweise auf religiöse Diskriminierung oder rassistische Verfolgung bieten können. Auch Informationen über Gewerkschaftszugehörigkeiten fallen unter diesen speziellen Schutz. Wie ist datenschutzrechtlich

    Mehr erfahren