Basierend auf welcher Rechtsgrundlage dürfen die personenbezogenen Daten verarbeitet werden?

Personenbezogene Daten

Die Rechtmäßigkeit des Verarbeitens personenbezogener Daten im Rahmen eines Hinweisgebersystems lässt sich schon allein wegen der im HinweisgeberInnenschutzgesetz (HSchG) verankerten Pflichten ohne große Schwierigkeiten argumentieren. Die Datenverarbeitung kann demnach jedenfalls auf der Grundlage einer rechtlichen Verpflichtung des Verantwortlichen (Art 6 Abs 1 lit c DSGVO) stattfinden. Öffentliche Rechtsträger (und private Rechtsträger, die öffentliche Aufgaben erfüllen) können sich mitunter auch darauf berufen, dass die Datenverarbeitung der Wahrnehmung einer Aufgabe dient, die im öffentlichen Interesse liegt oder für die öffentliche Gewalt ausgeübt wird (Art 6 Abs 1 lit e DSGVO; vgl 3087/A XXVII. GP, 33). In der Praxis werden diese beiden Rechtsgrundlagen zumindest für die Rechtsträger, die für ihre Meldestelle im Sinne des HinweisgeberInnenschutzgesetzes (HSchG) datenschutzrechtlich verantwortlich sind, ausreichen, um das Verarbeiten „herkömmlicher“ Daten mit Personenbezug zu rechtfertigen (ein berechtigtes Interesse iSd Art 6 Abs 1 lit f DSGVO käme zwar grundsätzlich auch infrage, ist aber schon wegen der notwendigen Interessenabwägung nicht praktikabel).

Hinweis:

Hinsichtlich des Verarbeitens personenbezogener Daten durch Rechtsträger, die für ihre Meldestellen im Sinne des HinweisgeberInnenschutzgesetzes (HSchG) datenschutzrechtlich verantwortlich sind, hat der österreichische Gesetzgeber einen gewissen Spielraum bei der Gestaltung der datenschutzrechtlichen Rechtsgrundlage (Art 6 Abs 3 DSGVO). Diese Ausnahme gilt allerdings nur dann, wenn die Datenverarbeitung auf Art 6 Abs 1 lit c oder e DSGVO basiert. Für die Hinweisgeber, die im Rahmen einer Hinweisgebung ebenfalls personenbezogene Daten verarbeiten, kann diese Einschränkung der Ausnahme allerdings zu Problemen führen (siehe unten).

Für die Hinweisgeber dürfte die Rechtsgrundlage allerdings weniger klar sein. Denn nach dem Gesetz können sie zwar Hinweise bei der Meldestelle einreichen, müssen es aber nicht (siehe dazu auch die grundsätzliche Ermächtigung in § 8 Abs 3 Z 1 HSchG). Eine rechtliche Verpflichtung des Verantwortlichen (Art 6 Abs 1 lit c DSGVO) scheidet somit als Rechtfertigung der Datenverarbeitung durch Hinweisgeber (üblicherweise bestehend aus dem Sammeln, Speichern und Übertragen an die Meldestelle) aus. Für die Hinweisgeber wird die Datenverarbeitung aber auch nicht damit zu rechtfertigen sein, dass sie die personenbezogenen Daten zur Wahrnehmung einer Aufgabe verarbeiten, die im öffentlichen Interesse liegt oder für die öffentliche Gewalt ausgeübt wird (Art 6 Abs 1 lit e DSGVO). Ob Hinweisgeber stattdessen ihre arbeitsvertragliche Treuepflicht gegenüber dem Arbeitgeber (Art 6 Abs 1 lit b DSGVO) oder ein berechtigtes Interesse (Art 6 Abs 1 lit f DSGVO) an der Aufklärung der beobachteten Rechtsverletzungen als Rechtsgrundlage ihrer Datenverarbeitung nutzen können, ist derzeit noch nicht geklärt.

Besondere Kategorien personenbezogener Daten

Oft wird es außerdem notwendig sein, im Rahmen eines Hinweisgebersystems auch „sensible“ Daten („besondere Kategorien personenbezogener Daten“ iSd Art 9 DSGVO) und personenbezogene Daten über Straftaten (Art 10 DSGVO) zu verarbeiten. Wegen ihres besonderen Schutzbedarfs sind für solche Daten eigene Rechtfertigungsgründe vorgesehen.

Dass im Rahmen eines Hinweisgebersystems (auch) besondere Kategorien personenbezogener Daten iSd Art 9 DSGVO verarbeitet werden dürfen, wird sich dann rechtfertigen lassen, wenn erhebliche öffentliche Interessen zugrunde liegen, wirksame Maßnahmen zum Schutz der betroffenen Personen vorgesehen sind und die Datenverarbeitung insgesamt verhältnismäßig ist (§ 8 Abs 5 HSchG iVm Art 9 Abs 2 lit g DSGVO; vgl 3087/A XXVII. GP, 33).

Personenbezogene Daten über Straftaten

Personenbezogene Daten über Straftaten iSd Art 10 DSGVO können Informationen über gerichtlich oder verwaltungsbehördlich strafbare Handlungen oder Unterlassungen (unabhängig davon, ob tatsächlich oder mutmaßlich begangen) und strafrechtliche Verurteilungen oder vorbeugende Maßnahmen behandeln. Solche Daten dürfen im Rahmen eines Hinweisgebersystems nur dann verarbeitet werden, wenn es unbedingt erforderlich ist (§ 8 Abs 6 HSchG iVm Art 10 DSGVO; vgl 3087/A XXVII. GP, 33). Wegen des besonderen Risikos für die betroffenen Personen, das mit dem Verarbeiten solcher Daten einhergeht, gelten dabei jedoch besonders strenge Anforderungen an die Dokumentation und die Speicherbegrenzung (siehe unten).

Einschränkung durch den Anwendungsbereich des HinweisgeberInnenschutzgesetzes (HSchG)

Alle diese Rechtsgrundlagen greifen aber nur dann, wenn eine Datenverarbeitung auch wirklich unter das HinweisgeberInnenschutzgesetz (HSchG) fällt. Die darin vorgesehenen Einschränkungen des sachlichen Anwendungsbereiches (§ 3 HSchG) wirken sich deshalb direkt auf die Rechtmäßigkeit der Datenverarbeitung aus, obwohl sie auf den ersten Blick keinen datenschutzrechtlichen Regelungsgehalt aufweist.

Das HinweisgeberInnenschutzgesetz (HSchG) erfasst nicht jedes „whistleblowing“, sondern greift nur dann, wenn die in der Hinweisgebung erhobenen Anschuldigungen einen Verstoß gegen eine (oder mehrere) der im Gesetz abschließend aufgezählten Rechtsmaterien betreffen (§ 3 Abs 1 HSchG).

Hinweis:

Unter das HinweisgeberInnenschutzgesetz (HSchG) fallen nur solche Hinweisgebungen, die zumindest eine der folgenden Rechtsmaterien betreffen (§ 3 Abs 3 bis 5 HSchG):

Öffentliches Auftragswesen, Finanzdienstleistungen und Finanzprodukte, Finanzmärkte, Geldwäsche und Terrorismusfinanzierung, Produktsicherheit und -konformität, Verkehrssicherheit, Umweltschutz, Strahlenschutz und nukleare Sicherheit, Lebensmittel- und Futtermittelsicherheit, Tiergesundheit und Tierschutz, öffentliche Gesundheit, Verbraucherschutz, Datenschutz, Verhinderung der Verfolgung bestimmter Korruptionsstraftaten, bestimmte Rechtsverletzungen zum Nachteil der finanziellen Interessen der Europäischen Union, Verletzung der (körperschaftsteuerlichen) Binnenmarktvorschriften, Verletzung der unionsrechtlichen Wettbewerbsvorschriften und Verletzung der Unionsvorschriften über staatliche Beihilfen.

Betrifft ein „whistleblowing“ hingegen keine der in § 3 Abs 3 bis 5 HSchG aufgezählten Rechtsmaterien, besteht nach dem HinweisgeberInnenschutzgesetz (HSchG) auch keine Pflicht, die damit einhergehenden Datenverarbeitungen durchzuführen. Deshalb kann das Verarbeiten personenbezogener Daten in diesem Fall nicht (ohne Weiteres) auf eine gesetzliche Verpflichtung des Verantwortlichen iSd Art 6 Abs 1 lit c DSGVO gestützt werden (außer ein anderes Materiengesetz, das auf den zu beurteilenden Fall anwendbar ist, sieht ähnliche Pflichten vor).

Einschränkungen durch die Datenschutzbestimmung des HinweisgeberInnenschutzgesetzes (HSchG)

Neben der Beschränkung seines sachlichen Anwendungsbereiches sieht das HinweisgeberInnenschutzgesetz (HSchG) auch speziell den Datenschutz betreffende Einschränkungen vor, die sich, obwohl sie auf den ersten Blick andere datenschutzrechtliche Themen betreffen, ebenfalls (nur) darauf auswirken (können), ob die Datenverarbeitung im Rahmen eines Hinweisgebersystems rechtmäßig ist.

Die erste dieser Einschränkungen ergibt sich daraus, dass § 8 Abs 4 HSchG festlegt, wer für das Verarbeiten der personenbezogenen Daten verantwortlich sein soll. Der hier gezogene Kreis der datenschutzrechtlich Verantwortlichen umfasst:

Hinweisgeber iSd § 2 Abs 1, 2 und 4 HSchG hinsichtlich der personenbezogenen Daten, von denen sie wissen, dass sie nicht erforderlich sind, um dem Hinweis nachzugehen
Den Rechtsträger, dem die Meldestelle zuzurechnen ist, und
Behörden hinsichtlich der Daten, die sie infolge eines übermittelten Hinweises verarbeiten müssen

Nun ist die Frage, wer für eine Datenverarbeitung datenschutzrechtlich verantwortlich ist, aber nicht unter formellen Gesichtspunkten, sondern anhand der tatsächlichen Gegebenheiten zu beantworten. Maßgeblich ist dabei, wer tatsächlich über die Mittel und Zwecke einer Datenverarbeitung bestimmt. Die rein gesetzliche Beschränkung des Kreises der datenschutzrechtlich Verantwortlichen erscheint vor diesem Hintergrund auf den ersten Blick seltsam. Denn entgegen § 8 Abs 4 HSchG wäre etwa auch ein eifriger Freizeitdetektiv, der mangels beruflicher Verbindung zu einem Rechtsträger zwar kein Hinweisgeber iSd § 2 Abs 1, 2 und 4 HSchG sein kann, aber dennoch Informationen für ein „whistleblowing“ sammelt, hinsichtlich der darin enthaltenen Daten mit Personenbezug ohne Zweifel datenschutzrechtlich verantwortlich.

Welchen Sinn die in § 8 Abs 4 HSchG vorgesehene Einschränkung hat, erschließt sich allerdings dann, wenn sie auf die Rechtsgrundlage der Datenverarbeitung bezogen wird. Nur die in § 8 Abs 4 HSchG genannten Personen können sich auf die im HinweisgeberInnenschutzgesetz (HSchG) verankerten Pflichten und Ermächtigungen berufen, um das Verarbeiten personenbezogener Daten zu rechtfertigen. Anderen Personen (wie dem beispielhaft genannten Freizeitdetektiv) steht diese Möglichkeit nicht offen. Sie müssen stattdessen eine andere Rechtsgrundlage finden, damit sie personenbezogene Daten für ein „whistleblowing“ verarbeiten dürfen.

Hinweis:

Trotzdem ist nicht nachvollziehbar, warum Hinweisgeber laut § 8 Abs 4 HSchG nur hinsichtlich der personenbezogenen Daten, von denen sie wissen, dass sie nicht zur weiteren Bearbeitung des Hinweises erforderlich sind, datenschutzrechtlich verantwortlich sein sollen. Denn zumindest so lange, bis der Hinweis bei der Meldestelle eingereicht wird (und falls sie die Daten nicht gleichzeitig löschen auch darüber hinaus), bestimmen die Hinweisgeber über den Zweck und die Mittel einer mit der Hinweisgebung einhergehenden Datenverarbeitung.

Ebenso wenig nachvollziehbar ist, in welchem Verhältnis § 8 Abs 4 HSchG zu § 8 Abs 3 HSchG steht, der die Hinweisgeber dazu ermächtigt, alle Daten zu verarbeiten, die für eine Hinweisgebung erforderlich sind. Gemeinsam würden diese beiden Bestimmungen dazu führen, dass Hinweisgeber personenbezogene Daten verarbeiten dürfen, ohne dafür verantwortlich zu sein, was allerdings nicht mit den Grundsätzen des Datenschutzrechts vereinbar sein dürfte.

Neben dem Kreis der datenschutzrechtlich Verantwortlichen regelt das HinweisgeberInnenschutzgesetz (HSchG) auch, welche Personen von der Verarbeitung personenbezogener Daten betroffen sein können. Laut § 8 Abs 1 HSchG umfasst der Kreis der möglicherweise betroffenen Personen:

Die Hinweisgeber iSd § 2 Abs 1, 2 und 4 HSchG
Von der Hinweisgebung betroffene Personen (zB die darin Beschuldigten)
Personen, die Hinweisgeber iSd § 2 Abs 1, 2 und 4 HSchG bei der Hinweisgebung unterstützen
Personen im Umfeld der Hinweisgeber, die von den nachteiligen Folgen einer Hinweisgebung betroffen sein können und
Personen, die von den Folgemaßnahmen betroffen oder darin involviert sind

Natürlich bestimmen die tatsächlichen Gegebenheiten (und nicht formelle Gesichtspunkte), wer von einer Datenverarbeitung betroffen ist. Deshalb ist auch § 8 Abs 1 HSchG als Einschränkung der Rechtsgrundlage für das Verarbeiten personenbezogener Daten zu verstehen, und die im HinweisgeberInnenschutzgesetz (HSchG) verankerten Pflichten und Ermächtigungen können eine Datenverarbeitung nur dann rechtfertigen, wenn dabei die personenbezogenen Daten der in § 8 Abs 1 HSchG aufgezählten Personen verarbeitet werden. Um personenbezogene Daten anderer Personengruppen für ein „whistleblowing“ verarbeiten zu dürfen, ist folglich eine andere Rechtsgrundlage notwendig.