Jusletter IT

Bei Verwendung¹ strafrechtlich relevanter Daten durch Auftraggeber des privaten Bereichs², etwa in Zusammenhang mit Whistleblowing-Hotlines³ oder im Rahmen einer unternehmensinternen Untersuchung⁴, um Verdachtsfälle auf Straftaten im Unternehmen zu entkräften oder zu erhärten, wird neben dem überwiegenden berechtigten Interesse des Auftraggebers oft auch die Zustimmung der Betroffenen – im Fall der unternehmensinternen Untersuchung etwa die der Arbeitnehmer – als datenschutzrechtlicher Rechtfertigungsgrund avisiert.

Das österreichische Datenschutzgesetz 2000 (DSG) normiert in § 8 Rechtfertigungsgründe für die Verwendung personenbezogener Daten und in § 9 Rechtfertigungsgründe für die Verwendung sensibler Daten i.S.d. § 4 Z 2 DSG. Ein Unterschied in der Aufzählung der Rechtfertigungsgründe besteht darin, dass § 8 DSG eine demonstrative Aufzählung darstellt, wohingegen § 9 DSG die möglichen Rechtfertigungsgründe taxativ aufzählt.

Weiters finden sich in § 8 Abs 4 DSG Rechtfertigungsgründe für die Verwendung von Daten über gerichtlich oder verwaltungsbehördlich strafbare⁵ Handlungen oder Unterlassungen, insbesondere auch über den Verdacht der Begehung von Straftaten, sowie über strafrechtliche Verurteilungen oder vorbeugende Maßnahmen (strafrechtlich relevante Daten). Diese Aufzählung ist dem eindeutigen Wortlaut entsprechend⁶ abschließend. Bemerkenswert ist, dass die datenschutzrechtliche Zustimmung darin als möglicher Rechtfertigungsgrund für die Verwendung strafrechtlich relevanter Daten nicht aufscheint.

Der Begriff der strafrechtlich relevanten Daten beruht auf Art 8 Abs 5 der Richtlinie 95/46/EG (Datenschutzrichtlinie – DSRL)⁷, diese stellen eine eigenständige Datenkategorie dar⁸, wobei den Staaten bei der Umsetzung ein Gestaltungsspielraum geblieben ist.⁹ Unter diese Datenkategorie fallen alle Angaben, mit denen eine Person als Täter einer Straftat bezeichnet wird.¹⁰ Weiters sind nach dem Zweck des Art 8 Abs 5 DSRL auch Angaben davon umfasst, welche eine Person als tatverdächtig bezeichnen, «da mit deren Verarbeitung gleich schwere Risiken verbunden sind».¹¹ Bloße Anschuldigungen fallen nicht in diese Datenkategorie; Ermittlungen, die dem Zweck dienen, den Verdacht gegen eine bestimmte Person zu begründen, jedoch sehr wohl.¹² Strafrechtlich relevante Daten stehen «auf Grund des besonderen und qualifizierten Missbrauchspotentials»¹³ «in mancher Beziehung unter erhöhtem Schutz»¹⁴ und nehmen somit «eine mittlere Position in der Skala der Schutzwürdigkeit nach dem DSG»¹⁵ ein. So unterliegt die Verwendung strafrechtlich relevanter Daten im DSG weiteren besonderen Bestimmungen, wie etwa der Vorabkontrolle nach § 18 Abs 2 Z 2 DSG.

Fraglich ist, ob für die Begriffsbestimmung der strafrechtlich relevanten Daten lediglich auf die Datenkategorie oder auch auf den Verwendungszusammenhang, welcher sich aus dem Zweck der Datenanwendung ergibt, abzustellen ist. Im Zusammenhang mit sensiblen Daten wird vertreten, dass auf Grund der europarechtlichen Vorgaben von einem abstrakt-objektiven Verständnis des Begriffs der sensiblen Daten auszugehen ist und somit zur Abgrenzung von sensiblen Daten nur auf die Art der Daten und nicht auf die Verwendung der Daten abzustellen ist.¹⁶ Diese Ansicht kann m.E. auch durch die objektivierte Festlegung der einzelnen Kategorien von personenbezogenen Daten gestützt werden.¹⁷

Eine solche objektivierte Festlegung einzelner Kategorien besteht bei strafrechtlich relevanten Daten nur bedingt. § 8 Abs 4 DSG zählt zwar auch bestimmte Arten von strafrechtlich relevanten Daten auf, jedoch ist ein abstrakt-objektives Verständnis nur bei einzelnen Kategorien uneingeschränkt möglich, so bei Daten über strafrechtliche Verurteilungen und vorbeugende Maßnahmen. Hingegen muss bei den übrigen Kategorien strafrechtlich relevanter Daten zur Beurteilung, ob strafrechtlich relevante Daten vorliegen, auch der jeweilige Verwendungszusammenhang berücksichtigt werden.¹⁸ Als Beispiel sei hier an unternehmensinterne Untersuchungen erinnert, um Verdachtsfälle im Unternehmen zu entkräften oder zu erhärten. Da eine solche Untersuchung zum größten Teil die bereits im Unternehmen vorhandenen Daten umfasst, wäre bei einer abstrakt-objektiven Betrachtung ein Teil des vorhandenen Datenbestandes¹⁹ immer als strafrechtlich relevant zu qualifizieren, woraus für die betroffenen Datenanwendungen bereits weit vor Durchführung der internen Untersuchung nach § 18 Abs 2 Z 2 DSG eine Genehmigungspflicht durch die Datenschutzkommission (DSK)²⁰ resultieren würde und zwar auch, wenn das Unternehmen lediglich sogenannte nicht-meldepflichtige Standardanwendungen²¹ betreibt. Dies würde zu einer (vom Gesetzgeber so nicht beabsichtigten) enormen Ausweitung des Anwendungsbereichs der strafrechtlich relevanten Daten führen.²² Hier ist auch kein Rechtsschutzdefizit ersichtlich, da ohnehin jede Änderung des Verwendungszweckes eine neue Datenanwendung darstellt²³ und dementsprechend neu zu melden und gegebenenfalls durch die DSK zu genehmigen ist. Als Zwischenergebnis ist daher festzuhalten, dass für das Vorliegen strafrechtlich relevanter Daten der Verwendungszweck maßgeblich ist²⁴, sofern es sich nicht um Daten über strafrechtliche Verurteilungen und vorbeugende Maßnahmen handelt.

In der Aufzählung der Rechtfertigungsgründe in § 8 Abs 4 DSG fällt auf, dass die Möglichkeit der datenschutzrechtlichen Zustimmung dort nicht aufgeführt ist. Nun ist zu klären, ob datenschutzrechtliche Zustimmung zur Verwendung strafrechtlich relevanter Daten trotz Fehlens einer expliziten Nennung im taxativen Rechtfertigungskatalog des § 8 Abs 4 DSG grundsätzlich möglich ist. Die Position, dass Zustimmung in diesem Kontext kein tauglicher Rechtfertigungsgrund ist, wäre wohl leichter zu vertreten, da sich diese auf den insoweit eindeutigen Wortlaut der Aufzählung in § 8 Abs 4 DSG stützen kann. Jedoch ist – wie im Folgenden auf Grund rechtsdogmatischer Überlegungen gezeigt wird – die Zustimmung zur Verwendung strafrechtlich relevanter Daten als Rechtfertigungsgrund ebenfalls möglich, mehr noch, sie folgt sogar zwingend aus der Konzeption des DSG. Auch die DSK geht – zwar im Kontext des § 46 DSG und ohne jegliche Begründung – jedenfalls davon aus, dass Zustimmung als datenschutzrechtlicher Rechtfertigungsgrund zur Verwendung strafrechtlich relevanter Daten grundsätzlich möglich ist.²⁵

Als ersten möglichen Ansatz zur Begründung der Zustimmung als gültigen Rechtfertigungsgrund zur Verwendung strafrechtlich relevanter Daten kann auf den geschriebenen Rechtfertigungsgrund des § 8 Abs 4 Z 3 DSG abgestellt werden. Diese Bestimmung richtet sich ausschließlich an Auftraggeber des privaten Bereichs.²⁶ Nach dieser Bestimmung verstößt eine Datenanwendung nicht gegen schutzwürdige Geheimhaltungsinteressen des Betroffenen, wenn sich die Zulässigkeit der Verwendung dieser Daten entweder aus gesetzlichen Sorgfaltspflichten oder sonstigen, die schutzwürdigen Geheimhaltungsinteressen des Betroffenen überwiegenden berechtigten Interessen des Auftraggebers ergibt. Darüber hinaus muss die Art und Weise, in der die Datenanwendung vorgenommen wird, die Wahrung der Interessen der Betroffenen nach dem DSG gewährleisten. § 8 Abs 4 Z 3 DSG ermöglicht somit die Verwendung strafrechtlich relevanter Daten, wenn sich die Zulässigkeit der Verwendung entweder aus gesetzlichen Sorgfaltspflichten ergibt oder eine durchzuführende Interessenabwägung zu Gunsten des Auftraggebers ausschlägt.²⁷

Die durchzuführende Interessenabwägung entspricht im Wesentlichen jener, die für personenbezogene Daten in § 8 Abs 1 Z 4 DSG festgelegt ist.²⁸ Als berechtigt ist jedes Interesse anzusehen, das nicht gegen rechtliche Grundsätze, einschließlich des Gebots der Achtung von Treu und Glauben, verstößt.²⁹ Als Beispiel dafür sei im vorliegenden Kontext etwa die Anwerbung für bestimmte berufliche Tätigkeiten genannt, die eine besondere Vertrauenswürdigkeit des Bewerbers und daher den Nachweis seiner Unbescholtenheit fordern.³⁰ Weiters sind jedenfalls berechtigte Interessen von Unternehmen und Privatpersonen anzunehmen, sich vor Straftaten zu schützen und bei erfolgter Schädigung Genugtuung zu suchen.³¹ Die Interessenposition des Betroffenen ergibt sich unmittelbar aus dem Grundrecht auf Datenschutz.³² Überwiegende berechtigte Interessen müssen aus dem Recht oder der Gesamtrechtsordnung abgeleitet werden können.³³ Schließlich sind die Gegeninteressen mit dem ihnen sachlich zukommenden Gewicht zu erfassen und in die Abwägung einzubeziehen.³⁴ In der Literatur werden überwiegende berechtigte Interessen des Auftraggebers im vorliegenden Kontext etwa bei der Einstellung von Sicherheitsbeauftragten, Geheimnisträgern, Bankkassierern oder ähnlichen Positionen bejaht.³⁵

Nun ist wohl mit guten Gründen argumentierbar, dass das berechtigte Interesse des Auftraggebers bei Zustimmung des Betroffenen zur Verwendung seiner strafrechtlich relevanten Daten das schutzwürdige Geheimhaltungsinteresse des Betroffenen überwiegt. Immerhin hat der Betroffene bei Vorliegen einer gültigen datenschutzrechtlichen Zustimmung im Rahmen seiner Privatautonomie³⁶ und der ihm durch das Grundrecht auf Datenschutz eingeräumten Befugnis, selbst zu entscheiden, wann und innerhalb welcher Grenzen «persönliche Lebenssachverhalte offenbart» werden³⁷, seine ihm verfassungsrechtlich zustehenden schutzwürdigen Geheimhaltungsinteressen den berechtigten Interessen des Auftraggebers untergeordnet. Wesentlich wird hierfür sein, dass die Zustimmung des Betroffenen die Voraussetzungen des § 4 Z 14 DSG erfüllt.

Jedoch bedeutet ein Hineinlegen des Rechtfertigungsgrundes der datenschutzrechtlichen Zustimmung in den Rechtfertigungsgrund des § 8 Abs 4 Z 3 DSG denklogisch, dass immer – gleichsam als erster Prüfungsschritt – berechtigte Interessen des Auftraggebers vorliegen müssen. Beim Rechtfertigungsgrund der Zustimmung muss hingegen ein berechtigtes Interesse des Auftraggebers nicht zwingend vorhanden sein. Auch die Interessenabwägung kommt beim reinen Rechtfertigungsgrund Zustimmung nicht zur Anwendung.³⁸ Obwohl dieser Ansatz es zwar in einigen Fällen³⁹ schafft, die datenschutzrechtliche Zustimmung über den Umweg des § 8 Abs 4 Z 3 DSG als taugliche Rechtfertigung für die Verwendung strafrechtlich relevanter Daten zu begründen, ist dieser Ansatz mangels Universalität aus eben dargelegten Gründen nicht weiter zu verfolgen.

Da die geschriebenen Rechtfertigungsgründe des § 8 Abs 4 DSG die Möglichkeit der Zustimmung als tauglichen Rechtfertigungsgrund nicht in allen Fällen herzustellen vermögen, stellt sich die Frage der Verfassungsmäßigkeit von § 8 Abs 4 DSG, da ein einfachgesetzlicher Ausschluss der Zustimmung als Rechtfertigungsgrund auf Grund der Bestimmung des § 1 Abs 2 DSG nicht möglich ist.⁴⁰

Wie bereits unter Punkt 3.1 ausgeführt, ist nach Judikatur der DSK die Zustimmung der Betroffenen als Rechtfertigungsgrund zur Verwendung strafrechtlich relevanter Daten grundsätzlich möglich. Ebenfalls geht der Gesetzgeber an anderer Stelle selbst davon aus, dass Zustimmung als Rechtfertigungsgrund des Verwendens strafrechtlich relevanter Daten grundsätzlich möglich ist, wenn er in § 151 Abs 4 letzter Satz GewO normiert, dass strafrechtlich relevante Daten durch Adressverlage und Direktmarketingunternehmen für Marketingzwecke nur bei Vorliegen einer ausdrücklichen Zustimmung verwendet werden dürfen. Bei dieser Bestimmung handelt es sich nicht um eine unmittelbare gewerberechtliche Ordnungsvorschrift, sondern um eine lex specialis zum DSG.⁴¹ Da dem Gesetzgeber die Erlassung von verfassungswidrigen Gesetzen nicht per se zu unterstellen ist⁴² – und im Übrigen in Bezug auf die konkrete Bestimmung auch aus den Materialien nicht ersichtlich wäre –, ist von einer planwidrigen Lücke auszugehen, welche mittels Analogieschluss zu schließen ist. Die Möglichkeit des Rechtfertigungsgrundes der Zustimmung zur Verwendung strafrechtlich relevanter Daten besteht demnach als ungeschriebener Rechtfertigungsgrund neben den in § 8 Abs 4 DSG ausdrücklich aufgezählten Rechtfertigungsgründen.

Vertreten wird – jedoch ohne weitere Begründung –, dass die Zulässigkeit der Verwendung strafrechtlich relevanter Daten aus dem Rechtfertigungsgrund der Zustimmung unmittelbar aus der Verfassungsbestimmung des § 1 Abs 2 DSG abzuleiten ist.⁴³ Festzuhalten ist, dass sich die Zulässigkeit einer Datenanwendung unmittelbar aus § 1 DSG ergeben kann⁴⁴ und es als verfassungsunmittelbarer Eingriffsermächtigung keiner sonstigen Rechtsgrundlage bedarf, wenn eine Zustimmung des Betroffenen vorliegt.⁴⁵ Mit der Zustimmung des Betroffen darf daher stets in das Grundrecht nach § 1 DSG eingegriffen werden.⁴⁶ Somit kann das Verwenden strafrechtlich relevanter Daten unmittelbar auf den Rechtfertigungsgrund des § 1 Abs 2 DSG gestützt werden.

So folgt aus den vorherigen Überlegungen zwingend die Möglichkeit der datenschutzrechtlichen Zustimmung der Betroffenen als ungeschriebener Rechtfertigungsgrund zur Verwendung strafrechtlich relevanter Daten. Ein Fehlen dieses Rechtfertigungsgrundes würde § 8 Abs 4 DSG einen verfassungswidrigen Inhalt unterstellen, der so vom Gesetzgeber nicht gewollt war. Selbst wenn die Ansicht vertreten wird, dass die taxative Aufzählung des § 8 Abs 4 DSG nicht im Wege des Lückenschlusses durch Analogie durch ungeschriebene Rechtfertigungsgründe erweitert werden darf, ändert sich im Ergebnis nichts, da der Rechtfertigungsgrund der Zustimmung zur Verwendung strafrechtlich relevanter Daten auch direkt aus § 1 Abs 2 DSG ableitbar ist.

Da der Rechtfertigungsgrund der Zustimmung nicht ausdrücklich normiert ist, stellt sich nun die Frage, welche der im DSG verwendeten Zustimmungsformen für die Verwendung strafrechtlich relevanter Daten maßgeblich ist. Das DSG kennt drei Formen der Zustimmung: Die «einfache» Zustimmung in § 8 Abs 1 Z 2 DSG, die Zustimmung ohne jeden Zweifel in § 12 Abs 3 Z 5 DSG und die ausdrückliche Zustimmung in § 9 Z 6 DSG. Dass die verfassungsrechtliche Zustimmung des § 1 Abs 2 DSG nur ausdrücklich erteilt werden kann⁴⁷, kann im Hinblick auf die Konzeption des DSG nicht aufrecht erhalten werden. Da die einfachgesetzlichen Bestimmungen des DSG das Grundrecht auf Datenschutz näher ausführen⁴⁸, wäre diesfalls etwa die Zustimmung des § 8 Abs 1 Z 2 DSG (mangels Ausdrücklichkeit) wohl als verfassungswidrig anzusehen.

Eine einfache Zustimmung kann auf Grund des höheren Schutzniveaus und der expliziten Sonderstellung in § 8 DSG nicht ausreichen. Eine ausdrückliche Zustimmung – wie für sensible Daten vorgesehen – ist hingegen aus systematischen Interpretationsüberlegungen nicht erforderlich.⁴⁹ Wie schon erwähnt stehen strafrechtlich relevante Daten zwischen «normalen» personenbezogenen Daten und sensiblen Daten. Dies ist auch hinsichtlich der Form der Zustimmung zu berücksichtigen, weshalb vorgeschlagen wird, für strafrechtlich relevante Daten nur eine Zustimmung ohne jeden Zweifel als taugliche Rechtfertigung zuzulassen. Dies unabhängig davon, ob unmittelbar auf die verfassungsrechtliche Zustimmung zurückgegriffen oder die Zustimmung als ungeschriebener Rechtfertigungsgrund mittels Analogie gewonnen wird. Für die Zustimmung ohne jeden Zweifel wird es darauf ankommen, dass die Betroffenen in voller Kenntnis der Tragweite beweisbar zugestimmt haben.⁵⁰ Darunter können auch konkludente Willenserklärungen fallen, sofern diese zweifelsfrei vorliegen.⁵¹

Ein Grund, der für eine Zustimmung spricht, ist die Schaffung von Transparenz für die Betroffenen.⁵² Bei einer unternehmensinternen Untersuchung jedoch wird etwa eine Zustimmung der betroffenen Mitarbeiter zur Rechtfertigung genau aus diesem Grund wohl nur in Einzelfällen in Betracht kommen, da solche internen Untersuchungen oft unter strengster Geheimhaltung abgewickelt werden, weshalb weder Mitarbeiter noch Vertragspartner über die interne Untersuchung in Kenntnis sind. Weiteres Problem der Zustimmung bei unternehmensinternen Untersuchungen ist die Tatsache, dass von allen Betroffenen Zustimmungserklärungen einzuholen sind. Dies ist bei der Durchsicht der kundenbezogenen E-Mails in der Regel nicht möglich, da sich eine Zustimmung des betroffenen Mitarbeiters nicht auf die personenbezogenen Daten des Kunden als Adressat der E-Mail beziehen kann.⁵³ Leichter ist die Zustimmung als Rechtfertigungsgrund wohl bei rein internen Datenanwendung einzurichten, die bereits auf Zustimmung der Betroffenen basieren und nun auch für strafrechtliche Zwecke – etwa Vorbeugung und Dokumentation von Missbrauchsfällen⁵⁴ – verwendet werden sollen.

Selbstverständlich bestehen auch bei der Rechtfertigung der Verwendung strafrechtlich relevanter Daten mit dem Rechtfertigungsgrund der datenschutzrechtlichen Zustimmung dieselben Probleme, welche der datenschutzrechtlichen Zustimmung bei allen Datenarten inhärent sind. So empfiehlt sich zu Beweiszwecken vor dem Hintergrund, dass die Zustimmung ohne jeden Zweifel zu erfolgen hat, noch umso mehr, Zustimmungserklärungen schriftlich einzuholen.⁵⁵ Weiters stehen gerade bei unternehmensinternen Untersuchungen eingeholte Zustimmungen unter dem Damoklesschwert potentiell erzwungener und somit ungültiger Zustimmungserklärungen im Abhängigkeitsverhältnis.⁵⁶ Gegen die Zustimmung als Rechtfertigungsgrund ist auch hier der große Verwaltungsaufwand und vor allem die jederzeitige Widerrufbarkeit anzuführen⁵⁷, dafür die (zumindest temporäre) Rechtssicherheit bei solchen Datenanwendungen, bei denen nicht ganz klar ist, inwiefern diese etwa aufgrund überwiegender berechtigter Interessen durchgeführt werden dürfen.⁵⁸

Für das Vorliegen strafrechtlich relevanter Daten ist der Verwendungszweck maßgeblich, sofern es sich nicht um Daten über strafrechtliche Verurteilungen und vorbeugende Maßnahmen handelt. Wenngleich die Zustimmung nicht als expliziter Rechtfertigungsgrund in § 8 Abs 4 DSG aufgeführt ist, ergibt sich die Zulässigkeit der Zustimmung als ungeschriebener Rechtfertigungsgrund per analogiam durch den Schluss einer sonst verfassungswidrigen Lücke oder durch unmittelbaren Rückgriff auf die verfassungsrechtliche Zustimmung in § 1 Abs 2 DSG. Zu beachten ist, dass die Zustimmung zur Verwendung strafrechtlich relevanter Daten ohne jeden Zweifel vorliegen muss. Bei Wahl der Zustimmung als Rechtfertigungsgrund zur Verwendung strafrechtlich relevanter Daten gilt es, die aus dem Zweck solcher Datenanwendungen entsprechenden Einschränkungen hinsichtlich der tatsächlichen Verwendbarkeit zu beachten.

Gernot Fritz, Associate, Freshfields Bruckhaus Deringer LLP.

Dieser Beitrag gibt ausschließlich die persönliche Meinung des Autors wieder.