Fachhochschulen als Verantwortliche des öffentlichen oder privaten Bereichs aus der Perspektive der Datenschutz-Grundverordnung und dem Datenschutz-Anpassungsgesetz 2018

Die Datenschutzgrundverordnung (EU 2016/679, im Folgenden kurz: DSGVO) tritt mit 25.5.2018 in Kraft (Art 99 Abs 2 DSGVO). Die DSGVO ist ein ambitioniertes legistisches Projekt der Europäischen Union und soll die Datenschutzstandards innerhalb der Europäischen Union auf ein einheitliches – hohes – Niveau heben. Am 25.5.2018 werden die europäischen nationalen Datenschutzgesetze weitgehend obsolet sein. Die DSGVO wirkt als europäische Verordnung unmittelbar in allen Mitgliedsstaaten. Es bedarf keiner legistischen Umsetzung, wie es bei einer Richtlinie der Fall wäre. Die DSGVO wird alle Normadressaten vor große Herausforderungen stellen. Der österreichische Gesetzgeber hat auf die DSGVO mit der Anpassung des bestehenden Datenschutzgesetzes reagiert. Es trägt den Titel Datenschutz-Anpassungsgesetz 2018 (Bundesgesetz, mit dem das Datenschutzgesetz 2000 geändert wird, BGBl 2017/120). Das geänderte DSG 2000 lautet nunmehr: „Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten“ (in der Folge kurz: DSG).

Der vorliegende Beitrag untersucht – ungeachtet vieler anderer ungelöster Fragestellungen in diesem Bereich – einen Aspekt des Entwurfes zum Datenschutz-Anpassungsgesetz. § 26 DSG unterscheidet zwischen Verantwortlichen des öffentlichen und Verantwortlichen des privaten Bereiches. Sollten Fachhochschulen zum öffentlichen Bereich zählen, wäre dies mit der zwingenden Bestellung eines Datenschutzbeauftragten verbunden. Die Zuordnung zum privaten Bereich würde wiederum ein erhöhtes verwaltungsstrafrechtliches Risiko bedeuten. Der vorliegende Beitrag untersucht die Frage, welche Zuordnung für den FH-Sektor zweckmäßiger ist und welche Auslegung(en) § 26 DSG ermöglicht. Es wird aber auch ein Vorschlag de lege ferenda vorgestellt.

• Schweighofer, Christian