Ohne Einwilligung, ohne Chance: Das österreichische BVwG stärkt den Schutz personenbezogener Daten.
Das österreichische Bundesverwaltungsgericht (BVwG) hat sich in einem aktuellen Urteil (W176 2286887-1/16E vom 19. November 2024)* mit der Rechtmäßigkeit der Verarbeitung personenbezogener Daten beschäftigt. Die Entscheidung verdeutlicht, welche hohen Anforderungen die Datenschutz-Grundverordnung (DSGVO) an die Einwilligung als Rechtsgrundlage stellt und welche Konsequenzen drohen, wenn diese Vorgaben nicht eingehalten werden.
Sachverhalt
Ein österreichisches Unternehmen wurde beschuldigt, personenbezogene Daten ohne ausreichende Rechtsgrundlage verarbeitet zu haben. Die Datenschutzbehörde verhängte daraufhin eine Geldstrafe gemäß Art. 83 Abs. 5 lit. a DSGVO. Das Unternehmen legte gegen diese Entscheidung Beschwerde beim Bundesverwaltungsgericht ein.
Entscheidung
Das BVwG bestätigte die Entscheidung der Datenschutzbehörde und wies die Beschwerde des Unternehmens ab. Es wurde festgestellt, dass die Verarbeitung der personenbezogenen Daten ohne gültige Einwilligung der betroffenen Personen und ohne Vorliegen einer anderen Rechtsgrundlage erfolgte, was einen Verstoß gegen Art. 6 Abs. 1 DSGVO darstellt.
Begründung
Das Gericht führte aus, dass die Einwilligung der betroffenen Personen nicht den Anforderungen des Art. 7 DSGVO entsprach, da sie weder freiwillig noch informiert erteilt wurde. Zudem konnte das Unternehmen keine berechtigten Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO nachweisen, die die Datenverarbeitung gerechtfertigt hätten. Daher wurde die verhängte Geldstrafe als angemessen erachtet.
Fazit für Unternehmen und Datenschutzbeauftragte
Das Urteil des BVwG unterstreicht einmal mehr, wie entscheidend eine sorgfältige Prüfung der Rechtsgrundlagen für die Datenverarbeitung ist. Für Unternehmen bedeutet dies, ihre Prozesse und Dokumentationen regelmäßig auf DSGVO-Konformität zu überprüfen und sicherzustellen, dass Einwilligungen den gesetzlichen Anforderungen entsprechen.
Datenschutzbeauftragte sollten in ihrer beratenden Funktion darauf hinwirken, dass klare Richtlinien für die Einholung und Dokumentation von Einwilligungen erstellt werden. Darüber hinaus sollten sie Unternehmen für die Bedeutung von Datenschutz-Folgenabschätzungen (DSFA) sensibilisieren, insbesondere bei der Verarbeitung sensibler Daten oder in rechtlich unklaren Situationen.
Das Urteil bietet eine wertvolle Orientierung und macht deutlich, dass Verstöße nicht nur finanzielle, sondern auch rufschädigende Folgen haben können. Unternehmen und Datenschutzbeauftragte sollten es daher zum Anlass nehmen, die interne Compliance zu stärken.
Haben Sie Fragen oder benötigen Sie Unterstützung? Wir stehen Ihnen gerne zur Verfügung: consulting@AdOrgaSolutions.de
* Die Entscheidung des Bundesverwaltungsgericht Republik Österreich ist hier abrufbar: https://www.ris.bka.gv.at/Dokumente/Bvwg/BVWGT_20241119_W176_2286887_1_00/BVWGT_20241119_W176_2286887_1_00.pdf
