Fachinfos - Judikaturauswertungen 12.04.2021

Datenübermittlung an U-Ausschuss wegen Verletzung der DSGVO untersagt

Sachverhalt

In der 38. Sitzung des Ibiza-Untersuchungsausschusses (UsA) am 10. März 2021 wurde ein Verlangen einer Minderheit der Mitglieder des UsA an die Österreichische Gesundheitskasse (ÖGK) betreffend Bedienstete der Novomatic wirksam: Die ÖGK wurde damit verpflichtet, binnen einer Woche die Namen, Geburtsdaten und Adressen der zum Stichtag 18. Dezember 2017 bei der Novomatic AG, der Novomatic Gaming Industries sowie der Admiral Sportwetten beschäftigten Personen an den UsA zu übermitteln.

Mit Mandatsbescheid vom 15. März 2021 verfügte die Datenschutzbehörde (DSB) gegenüber der ÖGK als Verantwortliche mit sofortiger Wirkung die Untersagung der Datenverarbeitung zum Zweck der Beantwortung dieses Verlangens.

Entscheidung der Datenschutzbehörde

Zur Begründung ihrer Entscheidung führte die DSB aus, sie sei im Falle einer wesentlichen unmittelbaren Gefährdung schutzwürdiger Geheimhaltungsinteressen von betroffenen Personen (Gefahr im Verzug) im Sinne des Schutzes personenbezogener Daten und der Einhaltung der DSGVO befugt, eine Beschränkung der Verarbeitung ohne vorausgegangenes Ermittlungsverfahren zu verfügen.

Gemäß Art. 6 Abs. 1 lit. c DSGVO sei eine solche Verarbeitung (hier: Übermittlung an den UsA) von personenbezogenen Daten nur dann rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich sei. Eine solche Verpflichtung könne zwar dem Grunde nach in der Beweisanforderung durch das Minderheitsverlangen im UsA gesehen werden. Die zur Erfüllung dieser rechtlichen Verpflichtung geforderte Datenoffenlegung stehe allerdings nicht im Einklang mit den gemäß Art. 5 Abs. 1 DSGVO normierten Grundsätzen:

Dem Verlangen auf Aktenvorlage aus dem UsA könne nicht entnommen werden, in welchem konkreten Umfang die relevanten Daten tatsächlich benötigt und verarbeitet würden. Das Verlangen sei insbesondere in Hinblick auf den Verarbeitungszweck zu unpräzise formuliert und genüge dem Grundsatz der Zweckbindung der Datenverarbeitung nicht. Es sei auch für die betroffenen Personen nicht nachvollziehbar, wie, wozu und inwiefern ihre personenbezogenen Daten benötigt und verwendet würden.

Das Aktenvorlageverlangen stelle zudem pauschal auf die Übermittlung der genannten personenbezogenen Daten ab. Bei dieser Formulierung seien mehrere tausend Personen von der Offenlegung betroffen. Wegen dieser hohen Anzahl an Personen sei davon auszugehen, dass (jedenfalls) ein Großteil der Betroffenen einen ungerechtfertigten Grundrechtseingriff durch die Herausgabe der Daten erdulden müsste. Ein derart undifferenziertes Aktenvorlageverlangen genüge daher auch nicht dem Grundsatz der Datenminimierung (Beschränkung der Verarbeitung auf ein angemessenes und notwendiges Maß).

Da der ÖGK aufgetragen worden sei, innerhalb von einer Woche die Datenübermittlung an den UsA durchzuführen, sei eine unmittelbare Gefährdung gegeben. Ein „Abwarten auf die Offenlegung“ durch die ÖGK sei daher nicht möglich.

Hinweis: Der gegenständliche Mandatsbescheid wurde (noch) nicht veröffentlicht.