Verhaltensregeln

Das Rechtsinstrument der „Verhaltensregeln“ war bereits ansatzweise im Datenschutzgesetz 2000 geregelt, spielte in der Praxis jedoch eine bisher untergeordnete Rolle.

Die Systematik der Datenschutz-Grundverordnung (DSGVO) geht insgesamt von einer durchaus weitreichenden Selbstverantwortung von Verantwortlichen (aber auch Auftragsverarbeiter:innen) aus und sieht mit der Schaffung von Verhaltensregeln („Codes of conduct“) gemäß Art. 40 DSGVO nunmehr eine Methode zur Selbstregulierung vor, um Rechtsunsicherheiten im Zusammenhang mit der DSGVO und der Verarbeitung personenbezogener Daten innerhalb einer spezifischen Branche zu beseitigen.

Verhaltensregeln stellen Leitlinien einer guten Datenschutzpraxis dar und können die datenschutzrechtliche Verhaltensweise von Verantwortlichen und Auftragsverarbeiter:innen einer bestimmten Branche standardisieren. Die Ausarbeitung von Verhaltensregeln soll vor allem den besonderen Bedürfnissen von Kleinstunternehmen sowie kleinen und mittleren Unternehmen dienen.

Verbände und andere Vereinigungen, die Kategorien von Verantwortlichen oder Auftragsverarbeiter:innen vertreten, können einen Antrag auf Genehmigung von branchenspezifischen Verhaltensregeln bei der Datenschutzbehörde stellen. Als Antragsteller:innen („Inhaber:innen der Verhaltensregeln“) insbesondere legitimiert sind somit

• Gesetzliche Interessenvertretungen (etwa Kammern oder Berufsverbände) oder


• Private Verbände und Vereinigungen (etwa freiwillige Zusammenschlüsse), die bescheinigen können, dass sie eine relevante Anzahl von Verantwortlichen oder Auftragsverarbeiter:innen vertreten.

Im Umkehrschluss bedeutet dies, dass einzelne oder bloß wenige Verantwortliche oder Auftragsverarbeiter:innen keine ausreichende Vertretungsrelevanz besitzen, um einen Antrag auf Genehmigung von Verhaltensregeln stellen zu können. Damit soll auch verhindert werden, dass unterschiedliche Verhaltensregeln innerhalb derselben Branche entworfen werden.

Ferner muss ausdrücklich mitgeteilt werden, ob die entworfenen Verhaltensregeln auf Verarbeitungstätigkeiten in mehreren Mitgliedstaaten abzielen („internationale Verhaltensregeln“) oder ob die Verhaltensregeln sich in der Erfassung von inländischen Verarbeitungstätigkeiten erschöpfen („nationale Verhaltensregeln“).

Während im zweiten Fall die Datenschutzbehörde die Genehmigung von Verhaltensregeln selbst erteilen kann, muss bei einem Antrag auf Genehmigung „internationaler Verhaltensregeln“ der Entwurf vor Genehmigung dem Europäischen Datenschutzausschuss vorgelegt werden.

Der mögliche Inhalt von Verhaltensregeln ist nicht abschließend vorgegeben. Nach Art. 40 Abs. 2 DSGVO kann die Anwendung der DSGVO jedenfalls in folgenden Bereichen präzisiert werden:

1. Faire und transparente Verarbeitung


2. Die berechtigten Interessen der:des Verantwortlichen in bestimmten Zusammenhängen


3. Erhebung personenbezogener Daten


4. Pseudonymisierung personenbezogener Daten


5. Unterrichtung der Öffentlichkeit und der betroffenen Personen


6. Ausübung der Rechte betroffener Personen


7. Unterrichtung und Schutz von Kindern und Art und Weise, in der die Einwilligung des Trägers der elterlichen Verantwortung für das Kind einzuholen ist


8. Die Maßnahmen und Verfahren gemäß den Artikeln 24 und 25 DSGVO und die Maßnahmen für die Sicherheit der Verarbeitung gemäß Artikel 32 DSGVO

Art. 24 DSGVO »
Art. 25 DSGVO »
Art. 32 DSGVO »


9. Die Meldung von Verletzungen des Schutzes personenbezogener Daten an Aufsichtsbehörden und die Benachrichtigung der betroffenen Person von solchen Verletzungen des Schutzes personenbezogener Daten


10. Die Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen oder


11. Außergerichtliche Verfahren und sonstige Streitbeilegungsverfahren zur Beilegung von Streitigkeiten zwischen Verantwortlichen und betroffenen Personen im Zusammenhang mit der Verarbeitung, unbeschadet der Rechte betroffener Personen gemäß den Artikeln 77 und 79 DSGVO

Art. 77 DSGVO »
Art. 79 DSGVO »

Verhaltensregeln können und sollen dabei durchaus strengere Regelungen als die DSGVO selbst vorsehen, ein Unterschreiten des Datenschutzniveaus sowie die Einschränkung von Betroffenenrechten außerhalb der Vorgaben der DSGVO ist jedoch unzulässig. Dabei ist insbesondere zu berücksichtigen, dass ein Verfahren zur Genehmigung von Verhaltensregeln keine Einzelfallüberprüfung wie ein Beschwerdeverfahren zum Gegenstand hat, sondern genehmigte Verhaltensregeln generell abstrakte Wirkung besitzen.

Es ist daher nicht möglich, einen bestimmten Verarbeitungsvorgang (etwa ein Geschäftsmodell, das die Datenweitergabe gegen Entgelt vorsieht) ganz allgemein für zulässig zu erklären („Die berechtigten Interessen der:des Verantwortlichen überwiegen jedenfalls“); es muss Spielraum für eine Beurteilung im Einzelfall gelassen werden.

Darüber hinaus darf sich der Inhalt von Verhaltensregeln nicht überwiegend in der bloßen Wiedergabe der DSGVO oder des DSG erschöpfen, sondern soll im Ergebnis einen gewissen branchenspezifischen Mehrwert schaffen. Bloß allgemeine Verweise („Soweit gemäß Art. 6 DSGVO zulässig“) oder unpräzise Vorgaben („Die Speicherfristen richten sich nach der BAO“) schaffen keinen relevanten Mehrwert.

Mit Unterwerfung unter Verhaltensregeln sind mehrere Wirkungen verbunden.

So

• indiziert die Teilnahme an Verhaltensregeln etwa die Erfüllung der Pflichten einer:eines Verantwortlichen (Art. 24 Abs. 3 und Art. 32 Abs. 3 DSGVO),


• können Verhaltensregeln „geeignete Garantien zur Datenübermittlung in ein Drittland oder an eine internationale Organisation darstellen (Art. 46 Abs. 2 lit. e DSGVO),


• sind Verhaltensregeln bei der Beurteilung der Auswirkungen eines beabsichtigten Verarbeitungsvorganges im Rahmen einer Datenschutz-Folgeabschätzung zu berücksichtigen (Art. 35 Abs. 8 DSGVO) und


• wird die Teilnahme an Verhaltensregeln bei einer etwaigen Geldbuße gebührend berücksichtigt (Art. 83 Abs. 2 lit. j DSGVO).

Zu beachten ist jedoch, dass nicht jeder Angehörige einer Branche mit Genehmigung von branchenspezifischen Verhaltensregeln automatisch an diesen Verhaltensregeln teilnimmt.

Eine Teilnahme ist fakultativ, weshalb sich Verantwortliche und Auftragsverarbeiter:innen proaktiv den genehmigten Verhaltensregeln unterwerfen müssen. Nur die ausdrückliche Unterwerfung unter genehmigten Verhaltensregeln, die durch eine akkreditierte Stelle überwacht werden, löst die oben genannten Wirkungen aus.

Die Datenschutzbehörde genehmigt Verhaltensregeln mit Bescheid und veröffentlicht diese auf ihrer Website.

Es gilt zu beachten, dass ein Antrag auf Genehmigung von Verhaltensregeln an die Datenschutzbehörde jedenfalls – dh. auch im Falle einer Zurückziehung – eine Gebührenpflicht auslöst. Bitte stellen Sie daher nicht unüberlegt einen Antrag auf Genehmigung von Verhaltensregeln.

Ein wesentliches Kriterium von Verhaltensregeln ist die obligatorische Überwachung von Verhaltensregeln. Es müssen daher Verfahren vorgesehen sein, die es einer Überwachungsstelle („monitoring body“) ermöglichen, die Bewertung sowie die regelmäßige Überprüfung der Einhaltung von Verhaltensregeln durchzuführen. Ebenso muss die Unterwerfung unter sowie der Ausschluss von Verhaltensregeln reguliert sein.

Eine Überwachungsstelle ist eine private Stelle, die unbeschadet der Aufgaben und Befugnisse der Aufsichtsbehörde mit dieser obligatorischen Überwachung betraut wird. Zu beachten ist jedoch, dass nur eine durch die Datenschutzbehörde akkreditierte Stelle als Überwachungsstelle eingesetzt werden kann. Eine Überwachungsstelle muss daher zunächst einen Antrag auf Akkreditierung stellen.

Zur effizienten Abwicklung der Verfahren ist es grundsätzlich sinnvoll, dass sich Antragsteller:innen auf Genehmigung von Verhaltensregeln und Antragsteller:innen, die die Akkreditierung einer entsprechenden Überwachungsstelle beantragen, koordinieren und zeitgleich ihre Anträge bei der Datenschutzbehörde einbringen.

Eine Überwachungsstelle kann organisatorisch von den Inhaber:innen von Verhaltensregeln getrennt sein (externe Überwachungsstelle) oder als Teil der Organisation der Inhaberin bzw. des Inhabers von Verhaltensregeln eingerichtet werden (interne Überwachungsstelle). Im letzteren Fall muss der Datenschutzbehörde nachgewiesen werden, dass die Entscheidungsträger:innen der Überwachungsstelle ihre Tätigkeit ohne Einflussnahme durch die Führung des Verbands oder der Vereinigung ausüben können.

Die Anforderungen an eine solche Akkreditierung wurden auf nationaler Ebene gemäß Art. 40 Abs. 3 DSGVO, Art. 57 Abs. 1 lit. p DSGVO und § 21 Abs. 3 DSG in der Überwachungsstellenakkreditierungs-Verordnung (ÜStAkk-V), BGBl. II Nr. 264/2019 idgF konkretisiert.

Die Datenschutzbehörde geht in Einklang mit den Leitlinien des Europäischen Datenschutzausschusses derzeit davon aus, dass es für dieselben branchenspezifischen Verhaltensregeln dem Grunde nach mehrere Überwachungsstellen geben kann. Wichtig ist jedoch, dass die Inhaber:innen von Verhaltensregeln und akkreditierte Überwachungsstellen in der Lage sein müssen, bei der Umsetzung der Verhaltensregeln in gutem Einvernehmen zusammenzuarbeiten.

Daher geht die Datenschutzbehörde davon aus, dass die Akkreditierung als Überwachungsstelle nur unter der Voraussetzung möglich ist, dass

• Die Inhaber:innen von Verhaltensregeln sich nicht gegen die Akkreditierung einer spezifischen Überwachungsstelle aussprechen oder


• ausdrücklich ihre Unterstützung für nur einen anderen Akkreditierungswerber:innen bekunden.

Die Entscheidung darüber, ob es für spezifische Verhaltensregeln mehrere Überwachungsstellen geben kann, liegt somit bei den Inhaber:innen von Verhaltensregeln (vgl. dazu mit näherer Begründung den Bescheid der Datenschutzbehörde vom 28. September 2020, GZ: 2020-0.605.768, abrufbar im RIS).

Die Inhaber:innen der Verhaltensregeln haben daher in den jeweiligen Verhaltensregeln anzugeben, welche Überwachungsstelle mit der Überwachung betraut werden soll und ob hierfür grundsätzlich auch mehrere Überwachungsstellen in Betracht kommen.

Sofern zwei oder mehr Überwachungsstellen mit der Überwachung von spezifischen Verhaltensregeln betraut sind, haben die Teilnehmer:innen (also jene Verantwortliche oder Auftragsverarbeiter:innen, die sich den Verhaltensregeln unterwerfen) anzugeben, welcher Überwachungsstelle sie sich unterwerfen.

Diese Angabe kann in der Unterwerfungserklärung erfolgen, die die Teilnehmer:innen abzugeben haben.

Damit sollen Kompetenzkonflikte zwischen Überwachungsstellen vermieden werden.

Gemäß § 8 Abs. 1 ÜStAkk-V hat eine Überwachungsstelle der Datenschutzbehörde (neben weiteren Berichtspflichten) jährlich bis zum 31. März einen schriftlichen Bericht über die im vorangegangenen Jahr erfolgten Tätigkeiten vorzulegen.

Die Bestimmung des § 8 Abs. 1 ÜStAkk-V sieht keine näheren Vorgaben hinsichtlich Form und Inhalt für einen solchen Bericht vor. Die nähere Gestaltung des Berichts obliegt daher grundsätzlich der jeweiligen Überwachungsstelle.

Die Datenschutzbehörde setzt jedoch voraus, dass in den Berichten jedenfalls die im Berichtszeitraum durchgeführten Überwachungsverfahren (§ 5 ÜStAkk-V), Streitbeilegungsverfahren (§ 6 ÜStAkk-V) und allfällig getroffene Maßnahmen (§ 7 ÜStAkk-V) aufgelistet werden.

Weiterführende Informationen sind in den Leitlinien 1/2019 über Verhaltensregeln und Überwachungsstellen gemäß der Verordnung (EU) 2016/679 des Europäischen Datenschutzausschusses zu finden.

Die genannten Leitlinien sind abrufbar unter:

Leitlinien 1/2019 »

Eine konkrete und verbindliche Stellungnahme zu Verhaltensregeln kann nur im Rahmen eines anhängigen Genehmigungsverfahrens abgegeben werden.

Es besteht aber die Möglichkeit, informell an die Datenschutzbehörde heranzutreten, um Grundsatzfragen zu besprechen (Gegenstand der Verhaltensregeln, grundsätzliche Struktur des Dokuments, Ablauf des Verfahrens). Diesbezüglich kann eine Anfrage an dsb-IV@dsb.gv.at gerichtet werden.