Jusletter IT

Sowohl die Datenschutzrichtlinie (DSRL) als auch die Datenschutz-Grundverordnung (DSGVO) sehen zusätzlich zu den Vorschriften für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten gesonderte Vorschriften für die Verarbeitung besonderer Kategorien personenbezogener Daten vor. Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist (grundsätzlich) untersagt.¹ Diese «sensiblen Daten»² dürfen nur auf Grundlage von besonders strikten Erlaubnistatbeständen verarbeitet werden.³ Zudem unterliegt die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten besonderen Voraussetzungen.⁴

Im vorliegenden Artikel soll die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß DSRL und DSGVO sowie gemäß Datenschutzgesetz 2000 (DSG 2000) und Datenschutz-Anpassungsgesetz 2018 (DSG 2018) genauer untersucht werden. Aktuell hat die Verarbeitung besonderer Kategorien personenbezogener Daten neue Aufmerksamkeit erlangt, weil der französische Conseil d’État dem EuGH mehrere Fragen bezüglich der Verarbeitung sensibler und strafrechtsbezogener Daten durch Suchmaschinen zur Vorabentscheidung vorlegte.⁵ Im Folgenden sollen ausgewählte Aspekte der Vorlagefragen näher betrachtet werden und insbesondere die Problematik der Verarbeitung besonderer Kategorien personenbezogener Daten außerhalb des Medienprivilegs untersucht werden.⁶ Die Vorlagefragen sind in einer entmediatisierten Welt, in der sich Personen über das Internet direkt an eine potenziell unbegrenzte Anzahl von Personen wenden können, über die Anwendung auf Suchmaschinen hinaus relevant. Denn der EuGH hat zwar in der Rechtssache Satamedia ausgesprochen, dass eine Verarbeitung personenbezogener Daten allein zu journalistische Zwecken erfolgt, wenn sie ausschließlich zum Ziel hat, Informationen, Meinungen oder Ideen in der Öffentlichkeit zu verbreiten.⁷ Das Medienprivileg betrifft aber nicht jede Meinungsäußerung, da zumindest eine gewisse redaktionelle Tätigkeit des Verantwortlichen verlangt sein wird.⁸

Der EuGH entschied in der Rechtssache C-131/12 Google Spain⁹, dass die DSRL sowohl sachlich, als auch räumlich auf die Tätigkeit einer Suchmaschine anwendbar ist. Der Suchmaschinenanbieter kann dazu verpflichtet werden, Links aus der Ergebnisliste seiner Suchmaschine zu entfernen, die im Anschluss an eine Suche anhand des Namens einer natürlichen Person angezeigt werden, wenn die Rechte der betroffenen Person auf Privatsphäre und Schutz der personenbezogenen Daten gegenüber dem Recht der Allgemeinheit am Zugang zu der Information überwiegen. Die Entfernung der Links kann unabhängig davon angeordnet werden, ob die Informationen auch auf der Ursprungswebseite zu löschen sind und gegebenenfalls auch dann, wenn ihre Veröffentlichung auf der Webseite als solche rechtmäßig ist.

Die Rechtmäßigkeit der Verarbeitung besonderer Kategorien personenbezogener Daten durch Suchmaschinenanbieter, die Gegenstand der EuGH Rechtssache C-136/17 ist, betrifft eine Problematik, die bereits seit den Schlussanträgen von Generalanwalt Jääskinen in der Rechtssache Google Spain bekannt ist. Generalanwalt Jääskinen ging davon aus, dass der Suchmaschinenanbieter nicht «für die Verarbeitung Verantwortlicher» sei, weil er weder rechtlich noch tatsächlich die in den Art. 6, 7 und 8 DSRL vorgesehenen Pflichten erfüllen könne. Er argumentierte, dass insbesondere die Verarbeitung besonderer Kategorien personenbezogener Daten automatisch rechtswidrig wäre, sofern nicht die strengen Voraussetzungen für deren Verarbeitung erfüllt seien.¹⁰ Generalanwalt Jääskinen lehnte einen Anspruch auf Entfernung von Links aus der Ergebnisliste einer Suchmaschine u.a. mit der Begründung ab, dass andernfalls Rechte wie die Freiheit der Meinungsäußerung und die Informationsfreiheit «geopfert» würden¹¹, setzte sich mit dieser Ansicht aber nicht durch.

Der EuGH ging im Google Spain Urteil nicht gesondert auf die Verarbeitung besonderer Kategorien personenbezogener Daten durch den Suchmaschinenanbieter ein. Die Artikel 29-Datenschutzgruppe und Googles Expertenbeirat¹² nahmen übereinstimmend an, dass das Vorliegen von besonderen Kategorien personenbezogener Daten auf der Ursprungswebseite bei der Interessenabwägung zu berücksichtigen sei und eher für eine Entfernung der Links spreche.¹³ Eine Differenzierung in Hinblick auf den Normgehalt des Art. 8 DSRL erfolgte – ohne nähere Begründung – nicht. In der zum Google Spain Urteil ergangenen Literatur wurde die Frage nach der Verarbeitung besonderer Kategorien personenbezogener Daten zumeist entweder ausgelassen oder zumindest offengelassen.¹⁴

Der EuGH urteilte in der Rechtssache Google Spain, dass der Suchmaschinenbetreiber über die Zwecke und Mittel der Verarbeitung im Rahmen seiner Tätigkeit entscheidet und somit als «für die Verarbeitung Verantwortlicher» anzusehen ist.¹⁵ Die Verarbeitung des Suchmaschinenanbieters fällt nicht unter das Medienprivileg.¹⁶ Der EuGH führte aber auch aus, dass der Suchmaschinenbetreiber «in seinem Verantwortungsbereich im Rahmen seiner Befugnisse und Möglichkeiten» die Einhaltung der DSRL zu gewährleisten habe.¹⁷ Der Conseil d’État möchte daher wissen, ob Art. 8 Abs. 1 und 5 DSRL, die die Verarbeitung besonderer Kategorien personenbezogener Daten regeln, in Anbetracht «des speziellen Verantwortungsbereichs, der speziellen Befugnisse und der speziellen Möglichkeiten des Betreibers einer Suchmaschine» auf einen Suchmaschinenbetreiber anwendbar sind.

Google könnte – ähnlich zu ihrer Argumentation in der Rechtssache Google Spain – vorbringen, dass im Rahmen der Möglichkeiten der Suchmaschine nicht zwischen der Verarbeitung von personenbezogenen Daten und der Verarbeitung besonderer Kategorien personenbezogener Daten unterschieden werden könne. Im Urteil Google Spain entschied der EuGH allerdings, dass es nicht darauf ankommt, ob der Suchmaschinenbetreiber zwischen nicht-personenbezogenen und personenbezogenen Daten bei der Verarbeitung unterscheiden kann. Die DSRL ist anwendbar, wenn auch personenbezogene Daten verarbeitet werden.¹⁸ Ob der Suchmaschinenanbieter subjektiv zwischen personenbezogenen und nicht-personenbezogenen Daten bei der Verarbeitung unterscheiden kann ist daher unerheblich. Es wäre konsequent, wenn der EuGH auch die Verarbeitung besonderer Kategorien personenbezogener Daten nicht von subjektiven Elementen abhängig macht.

Wie Dammann/Simitis richtigerweise feststellen, kann die Sensibilität («Sensitivität») von Daten niemals abstrakt anhand einzelner Daten definiert werden, sondern immer nur konkret mit Hilfe des je spezifischen Verarbeitungszusammenhangs.¹⁹ Ob der Verwendungszusammenhang bei der Verarbeitung von Daten durch Suchmaschinen sensibel ist, hängt wesentlich von der Verarbeitung der Information auf der Ursprungswebseite ab. Der EuGH stellte in der Rechtssache Google Spain allerdings klar, dass die Verarbeitung der Suchmaschine zusätzlich zu derjenigen eines Websitebetreibers erfolgt und zur weltweiten Verbreitung personenbezogener Daten beiträgt, wodurch die Grundrechte auf Achtung des Privatlebens und des Schutzes personenbezogener Daten erheblich beeinträchtigt werden können.²⁰ Insbesondere bei der Verbreitung besonderer Kategorien personenbezogener Daten kann der Gerichtshof m.E. nicht zu einem entgegengesetzten Ergebnis kommen. Die Verarbeitung besonderer Kategorien personenbezogener Daten muss daher auch bei einem Suchmaschinenbetreiber gemäß Art. 8 DSRL rechtmäßig sein.²¹

Der EuGH gründete sein Google Spain Urteil ausdrücklich auf das Recht auf Löschung und das Widerspruchsrecht. Der für die Verarbeitung Verantwortliche hat demnach Daten, deren Verarbeitung nicht den Bestimmungen der Richtlinie entspricht, je nach Fall zu berichtigen, zu löschen oder zu sperren und im Fall eines berechtigten Widerspruchs kann sich die vom für die Verarbeitung Verantwortlichen vorgenommene Verarbeitung nicht mehr auf diese Daten beziehen. Der Conseil d’État ersucht den EuGH um Vorabentscheidung zu der Frage, ob der Suchmaschinenbetreiber aufgrund von Art. 8 Abs. 1 und 5 DSRL verpflichtet ist, vorbehaltlich der in der Richtlinie vorgesehenen Ausnahmen, Anträgen auf Entfernung von Links zu Internetseiten, auf denen besondere Kategorien personenbezogener Daten verarbeitet werden, systematisch stattzugeben.²²

Die Verarbeitung besonderer Kategorien personenbezogener Daten richtet sich nach Art. 6²³, 7²⁴ und Art. 8 DSRL²⁵. Art. 8 Abs. 1 DSRL sieht ein grundsätzliches Verbot für die Verarbeitung sensibler Daten vor. In Art. 8 Abs. 2 und 3 DSRL werden Ausnahmen vom Verbot der Verarbeitung normiert. Anders als bei der Verarbeitung nicht-sensibler Daten ist die Verarbeitung allein aufgrund eines berechtigten Interesses des für die Verarbeitung Verantwortlichen oder eines Dritten nicht vorgesehen.²⁶ Art. 8 Abs. 4 DSRL eröffnet den Mitgliedstaaten die Möglichkeit «aus Gründen eines wichtigen öffentlichen Interesses entweder im Wege einer nationalen Rechtsvorschrift oder im Wege einer Entscheidung der Kontrollstelle» weitere Ausnahmetatbestände zu schaffen. Für die Verarbeitung strafrechtsbezogener Daten²⁷ können die Mitgliedstaaten gemäß Art. 8 Abs. 5 DS-RL Erlaubnistatbestände im Rahmen angemessener Garantien festlegen.

Sind die Voraussetzungen für die Rechtmäßigkeit der Verarbeitung sensibler Daten nicht erfüllt, müsste der betroffenen Person aufgrund des Verbots aus Art. 8 Abs. 1 DS-RL grundsätzlich das Recht auf Entfernung der Links aus der Ergebnisliste gemäß Art. 12 lit. b DSRL zustehen. Eine Interessenabwägung ist nicht vorgesehen. Auf Art. 14 lit. a DSRL bräuchte sich die betroffene Person nicht zu stützen, weil die Verarbeitung besonderer Kategorien personenbezogener Daten durch den Suchmaschinenanbieter schon grundsätzlich nicht im Rahmen der Richtlinie erfolgen würde und daher gemäß Art. 12 lit. b DSRL einzustellen wäre. Man könnte daher argumentieren, der Suchmaschinenanbieter habe – vorbehaltlich der in der Richtlinie vorgesehenen Ausnahmen – Anträgen auf Entfernung von Links zu Internetseiten, auf denen besondere Kategorien personenbezogener Daten verarbeitet werden, systematisch stattzugeben.

Wie der EuGH allerdings in der Rechtssache Lindqvist klargestellt hat, enthalten die Bestimmungen der DSRL als solche keine Beschränkung, die im Widerspruch zum allgemeinen Grundsatz der Meinungsfreiheit oder zu anderen innerhalb der Europäischen Union geltenden Rechten und Freiheiten stehen. Es ist demnach Sache der nationalen Behörden und Gerichte, die für die Anwendung der die DSRL umsetzenden nationalen Regelung zuständig sind, ein angemessenes Gleichgewicht zwischen den betroffenen Rechten und Interessen einschließlich der Grundrechte sicherzustellen.²⁸ Eine Auslegung des Art. 8 DSRL dahin, dass alle Links zu Webseiten, auf denen sensible oder strafrechtsbezogene Daten angezeigt werden, systematisch entfernt werden müssen, wäre mit der Freiheit der Meinungsäußerung und Informationsfreiheit nicht vereinbar.²⁹

Der Conseil d’État ersucht den EuGH ferner um Auslegung der in Art. 8 Abs. 2 lit. a und e DSRL vorgesehenen Ausnahmen bei der Anwendung auf einen Suchmaschinenbetreiber und möchte wissen, ob ein Suchmaschinenbetreiber die Entfernung von Links ablehnen kann, wenn die Links auf Inhalte mit sensiblen Daten führen, aber deren Verarbeitung unter die in Art. 8 Abs. 2 DSRL genannten Ausnahmen fällt.³⁰

Fällt die Verarbeitung – auch besonderer Kategorien personenbezogener Daten – unter einen entsprechenden Erlaubnistatbestand der DSRL, kann der Suchmaschinenanbieter die Entfernung der Links ablehnen. Der Erlaubnistatbestand des Art. 8 Abs. 2 lit. a DSRL wird allerdings regelmäßig nicht erfüllt sein, da dieser eine ausdrückliche Einwilligung der betroffenen Person zur Verarbeitung seiner Daten gegenüber dem Suchmaschinenbetreiber verlangt. Ebenso wenig ist die Verarbeitung von personenbezogenen Daten in der Ergebnisliste einer Suchmaschine zur Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche vor Gericht erforderlich. Auch eine Interpretation dieser Erlaubnistatbestände im Lichte der Freiheit der Meinungsäußerung und Information kann zu keinem anderen Ergebnis führen.

Die Verarbeitung durch den Suchmaschinenbetreiber ist aber auch dann zulässig, wenn sich die Verarbeitung auf Daten bezieht, die die betroffene Person offenkundig öffentlich gemacht hat. Art. 8 Abs. 2 lit. e (erste Alternative) DSRL wird von der h.L. restriktiv ausgelegt.³¹ Demnach muss die betroffene Person die Daten selbst veröffentlichen oder veröffentlichen lassen. Nach der h.L. könne man selbst bei Pressemitteilungen nicht unzweifelhaft davon ausgehen, dass die betroffene Person die Daten mit diesem Inhalt offensichtlich öffentlich gemacht habe. Der Begriff «öffentlich machen» ist jedoch weiter als der Begriff «veröffentlichen». Informationen werden öffentlich gemacht, wenn sie einem potenziell unbegrenzten Adressatenkreis zur Verfügung gestellt werden.

Im Rahmen einer grundrechtskonformen Interpretation könnte Art. 8 Abs. 2 lit. e DSRL daher so verstanden werden, dass nicht ausschließlich eine bewusste Veröffentlichung durch die betroffene Person Daten offenkundig öffentlich macht, sondern dass die betroffene Person bereits dann Daten offenkundig öffentlich macht, wenn sie mit den betreffenden Informationen in die Öffentlichkeit tritt. Als offensichtlich öffentlich gemacht müssten m.E. u.a. Informationen angesehen werden, die eine in der Öffentlichkeit stehende Person im Rahmen öffentlichkeitswirksamer Handlungen preisgibt.³² Gleichermaßen wäre aber auch eine beschränkte Rolle in der Öffentlichkeit, wie sie etwa Straftätern zukommen kann, entsprechend zu berücksichtigen.

Die vorgestellte Auslegung widerspräche dem Wortlaut des Art. 8 Abs. 2 lit. e DSRL nicht. Sie würde auch nicht zu einer grenzenlosen Ausuferung des Erlaubnistatbestandes führen. Denn die Rechtmäßigkeit der Verarbeitung besonderer Kategorien personenbezogener Daten wäre weiterhin an den Grundsätzen der Art. 6 und 7 DSRL zu messen. Ein der Rechtmäßigkeit der Verarbeitung entgegenstehendes überwiegendes berechtigtes Interesse der betroffenen Person, die mit der Information eindeutig in die Öffentlichkeit getreten ist, wäre gemäß Art. 7 lit. f DSRL zu berücksichtigen.³³ Gemäß Art. 6 DSRL könnte eine Verarbeitung von Informationen, mit denen eine Person eindeutig in die Öffentlichkeit getreten ist, im Laufe der Zeit nicht mehr den Bestimmungen der DSRL entsprechen, wenn sie dem Verarbeitungszweck in Anbetracht der verstrichenen Zeit nicht entsprechen, dafür nicht oder nicht mehr erheblich sind oder darüber hinausgehen.³⁴

Eine solche weite Auslegung des Art. 8 Abs. 2 lit. e DSRL würde auch mit der Rechtsprechung des EGMR übereinstimmen. Der EGMR stellt bei der Frage, inwieweit die Privatsphäre (auch im öffentlichen Bereich) geschützt ist, u.a. darauf ab, ob die betroffene Person vernünftigerweise erwarten durfte, sich in einer von der Privatsphäre umfassten Situation zu befinden («reasonable expectation of privacy»).³⁵ Die betroffene Person könnte demnach nicht erwarten, dass ihre sensiblen oder strafrechtsbezogenen Daten nicht verarbeitet werden dürfen, trotzdem dass sie diese selbst in die Öffentlichkeit getragen hat.

Die Umsetzung der Art. 8 Abs. 2 und 3 DSRL erfolgte in § 9 DSG 2000. Entsprechend den Vorgaben der DSRL ist ein taxativer Katalog³⁶ von Tatbeständen angeführt, bei deren Einhaltung die schutzwürdigen Geheimhaltungsinteressen als nicht verletzt gelten. Zu den in Art. 8 Abs. 2 und 3 DSRL genannten Ausnahmen treten noch weitere hinzu. Diese Vorgehensweise ist aufgrund des Art. 8 Abs. 4 DSRL und im Rahmen des Art. 5 DSRL zulässig. Für die Verarbeitung sensibler Daten durch Suchmaschinenanbieter sind insbesondere § 9 Z 3 und 5 DSG 2000 relevant.

Gemäß § 9 Z 5 DSG 2000 dürfen sensible Daten verwendet werden, die ausschließlich die Ausübung einer öffentlichen Funktion durch den Betroffenen zum Gegenstand haben. Dieser Tatbestand ist m.E. als besondere Ausgestaltung der Verwendung offensichtlich öffentlich gemachter Daten anzusehen.³⁷ Wie die DSK richtigerweise festhielt, bedingt ein öffentliches Amt (oder die Kandidatur) das öffentliche In-Erscheinung-Treten des Betroffenen, was wiederum zwingend mit einem gewissen Maß an Verzicht auf Privatsphäre verbunden ist.³⁸ Daten, die im Zusammenhang der Ausübung einer öffentlichen Funktion stehen, begründen zudem regelmäßig ein Interesse der Allgemeinheit an diesen Informationen.

In § 9 Z 3 DSG 2000 findet sich ein sehr weitreichender Erlaubnistatbestand, der die Verwendung sensibler Daten erlaubt, wenn sich die Ermächtigung oder Verpflichtung zur Verwendung aus gesetzlichen Vorschriften ergibt, soweit diese der Wahrung eines wichtigen öffentlichen Interesses dienen. Es wird nicht auf ausdrückliche gesetzliche Ermächtigungen oder Verpflichtungen abgestellt, sondern darauf, dass die Verwendung aus dem Gesetz abgeleitet werden kann.³⁹ Damit wird Art. 8 Abs. 4 DSRL, der an die Mitgliedstaaten gerichtet ist, auf die gesamte österreichische Rechtsordnung umgelegt.⁴⁰

Die Verwendung rechtmäßig veröffentlichter strafrechtsbezogener Daten verstößt gemäß § 8 Abs. 4 i.V.m. § 8 Abs. 2 DSG 2000 nicht gegen schutzwürdige Geheimhaltungsinteressen. § 8 Abs. 2 DSG 2000 widerspricht allerdings insofern dem Unionsrecht, als er die Verwendung zulässigerweise veröffentlichter personenbezogener Daten generell von den schutzwürdigen Geheimhaltungsinteressen ausnimmt, ohne dass eine Abwägung im Einzelfall vorzunehmen wäre⁴¹ und hat daher unangewendet zu bleiben.⁴² Die Verwendung strafrechtsbezogener Daten ist daher insbesondere zulässig, wenn sich die Zulässigkeit der Verwendung dieser Daten aus gesetzlichen Sorgfaltspflichten oder sonstigen, die schutzwürdigen Geheimhaltungsinteressen des Betroffenen überwiegenden berechtigten Interessen des Auftraggebers ergibt.⁴³

Die sehr strikten Regelungen der DSRL zur Verwendung besonderer Kategorien personenbezogener Daten werden im DSG 2000 sinnvoll ergänzt. Das DSG 2000 eröffnet damit die Möglichkeit, einen Ausgleich zwischen dem Recht auf Achtung des Privatlebens und dem Schutz personenbezogener Daten auf der einen Seite und dem Recht auf Freiheit der Meinungsäußerung und Information auf der anderen Seite zu schaffen. Auf Grundlage der österreichischen Rechtsordnung wäre das Vorabentscheidungsersuchen zu Rechtssache C-136/17 daher wohl nicht zum EuGH gelangt.

Die Verarbeitung besonderer Kategorien von personenbezogenen Daten ist auch gemäß Art. 9 DSGVO nur auf Grundlage von besonders restriktiven Erlaubnistatbeständen zulässig.⁴⁴ Die Verarbeitung ist insbesondere mit ausdrücklicher Einwilligung der betroffenen Person zulässig sowie dann, wenn sich die Verarbeitung auf personenbezogene Daten bezieht, die die betroffene Person offensichtlich öffentlich gemacht hat. Die DSGVO sieht darüber hinaus Öffnungsklauseln vor, die den Mitgliedstaaten erlauben, eigene Vorschriften vorzusehen.⁴⁵ Art. 10 DSGVO überlässt den Mitgliedstaaten eine genauere Regelung der Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten.

Art. 85 Abs. 1 DSGVO bestimmt, dass die Mitgliedstaaten das Recht auf Schutz personenbezogener Daten mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit in Einklang bringen. Art. 85 Abs. 1 DSGVO geht über die Vorgaben des Medienprivilegs⁴⁶ hinaus. Zudem sind in Art. 17 Abs. 3 DSGVO nun explizit Ausnahmen vom Recht auf Löschung vorgesehen. Daten dürfen nicht gelöscht werden, soweit die Verarbeitung zur Ausübung des Rechts auf freie Meinungsäußerung und Information erforderlich ist. Art. 85 Abs. 1 und Art. 17 Abs. 3 lit. a DSGVO sind keine eigenständigen Erlaubnistatbestände, die eine Verarbeitung besonderer Kategorien personenbezogener Daten gegenüber Privaten rechtfertigen können, sie sind jedoch von den Mitgliedstaaten sowie Behörden und Gerichten zu berücksichtigen. Auch gemäß DSGVO ist somit eindeutig, dass eine systematische Entfernung von Links aus der Suchergebnisliste nicht mit dem Recht auf Freiheit der Meinungsäußerung und Information vereinbar ist.

Die Verarbeitung sensibler Daten sowie personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten⁴⁷ ist – ohne die Öffnungsklauseln – außerhalb des Medienprivilegs nur schwer mit dem Recht auf Freiheit der Meinungsäußerung und Information in Einklang zu bringen. Die zu Art. 8 Abs. 2 lit. e DSRL vorgestellte grundrechtskonforme Auslegung könnte aufgrund des gleichlautenden Art. 9 Abs. 2 lit. e DSGVO Abhilfe schaffen. Im Übrigen ist es erneut den Mitgliedstaaten überlassen einen angemessenen Ausgleich der gegenüberstehenden Grundrechte zu erzielen.

Der österreichische Gesetzgeber hat die Erlaubnistatbestände für die Verarbeitung sensibler Daten nach § 9 Z 3 und 5 DSG 2000 nicht in das DSG 2018 übernommen. Dadurch können sich erhebliche Schwierigkeiten bei der Rechtfertigung der Veröffentlichung oder der Verarbeitung öffentlicher sensibler Daten ergeben, die etwa aufgrund eines erheblichen öffentlichen Interesses erforderlich sind und nicht unter die Ausnahmen des Medienprivilegs fallen. Die Verarbeitung strafrechtsbezogener Daten ist weiterhin aufgrund ausdrücklicher gesetzlicher Ermächtigung oder Verpflichtung zulässig oder wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, und ermöglicht damit einen Ausgleich des Schutzes personenbezogener Daten mit dem Recht auf Freiheit der Meinungsäußerung und Information.⁴⁸

Die DSRL und die DSGVO sehen jeweils sehr strikte Voraussetzungen für die Rechtmäßigkeit der Verarbeitung besonderer Kategorien personenbezogener Daten vor. In der Rechtssache C-136/17 kristallisieren sich zahlreiche Auslegungsfragen zur Verarbeitung besonderer Kategorien personenbezogener Daten, da Suchmaschinen für die Verarbeitung dieser Daten verantwortlich sind und nicht unter das Medienprivileg fallen. Die Vorlagefragen sind aber auch über den Anwendungsbereich auf Suchmaschinen hinaus relevant für den Ausgleich des Rechts auf Schutz personenbezogener Daten und des Rechts auf Freiheit der Meinungsäußerung und Information.

Weder die DSRL, noch die DSGVO verstoßen gegen das Recht auf Freiheit der Meinungsäußerung und Information. DSRL und DSGVO sind von den mitgliedstaatlichen Behörden und Gerichten dementsprechend auszulegen. Im vorliegenden Artikel wurde eine weite Auslegung des Art. 8 Abs. 2 lit. e DSRL im Lichte der Freiheit der Meinungsäußerung und Information vorgeschlagen, bei der Daten bereits dann als offensichtlich öffentlich gemacht gelten, wenn die betroffene Person mit den Informationen eindeutig in die Öffentlichkeit getreten ist.

Den Mitgliedstaaten kommt sowohl nach der DSRL, als auch gemäß DSGVO die Aufgabe zu, einen Ausgleich des Schutzes personenbezogener Daten mit der Freiheit der Meinungsäußerung und Information zu erzielen. Der österreichische Gesetzgeber hat im DSG 2000 weite Erlaubnistatbestände für die Verarbeitung besonderer Kategorien personenbezogener Daten geschaffen, die es ermöglichen, einen Ausgleich zwischen den gegenüberstehenden Grundrechten zu schaffen. Bedauerlicherweise wurde im Rahmen des DSG 2018 nicht ausreichend Gebrauch von den Öffnungsklauseln der DSGVO zur Verarbeitung sensibler Daten gemacht. Für die Verarbeitung strafrechtsbezogener Daten besteht allerdings ein flexibler Erlaubnistatbestand.