Die zentrale Rolle des Datenschutzrechts beim Persönlichkeitsschutz hängt ganz wesentlich mit dem geschützten Rechtsgut datenschutzrechtlicher Bestimmungen zusammen. Spätestens mit Einführung der Datenschutz-Grundverordnung (DSGVO) steht der Schutz personenbezogener Daten im Zentrum. Das Recht auf Privatsphäre wird durchgängig durch das Recht auf Schutz der personenbezogenen Daten ersetzt.* Die Bestimmungen dienen dem Schutz des Trägers dieses Datum gegen Beeinträchtigungen seiner Persönlichkeit durch einen missbräuchlichen Umgang mit seinen Daten.* Diese Fokussierung ist in der Tat eine bemerkenswerte Abkehr von einer langen Rechtstradition, in deren Zentrum stets der Schutz der Privatsphäre stand.*

Das Recht auf Datenschutz stellt einen breiten Schutzbereich zur Verfügung, können doch schutzwürdige Positionen aus verschiedensten Grundrechtsgarantien erwachsen. Diese sind nicht auf das Recht auf Privatsphäre beschränkt, sondern generisch auf den Schutz aller Grundrechte gerichtet. Datenschutz ist deshalb ein Grundrecht, das seinen Wesensgehalt aus der gesamten Grundrechtsordnung und letztlich dem Schutz der Würde des Menschen bezieht.*

Das Recht auf Datenschutz ist kein absolut geschütztes Grundrecht. Eingriffe können auf verschiedenste Art und Weise gerechtfertigt werden. Art 6 und Art 9 DSGVO stellen eine breite Palette an Rechtmäßigkeitstatbeständen bereit. Entgegen der nach wie vor weit verbreiteten (aber falschen) Vorstellung kommt der datenschutzrechtlichen Einwilligung dabei lediglich eine untergeordnete Rolle zu. Neben dem Grundsatz der Rechtmäßigkeit gelten bei Eingriffen in das Recht auf Datenschutz noch weitere Verarbeitungsgrundsätze* insb – weil es sich um ein Grundrecht handelt – der Grundsatz der Verhältnismäßigkeit.*

Aus rechtswissenschaftlicher Sicht lässt sich deshalb der Befund feststellen, dass das Datenschutzrecht (hinsichtlich der Rechtmäßigkeit einer Verarbeitung) ein feinfühliges Instrumentarium bereitstellt, welches eine ausreichende Berücksichtigung

der Interessen der betroffenen AN ermöglicht und im Einzelfall ein angemessenes Schutzniveau sicherstellt. Es bietet ausreichend Platz für differenzierte Überlegungen. Dies nicht zuletzt deshalb, weil sich die Bestimmungen der DSGVO ihrerseits am Grundrecht auf Datenschutz (Art 8 GRC) messen lassen müssen und deshalb grundrechtskonform auszulegen sind.* Diskutiert werden kann und soll freilich über Entscheidungen im Einzelnen, insb über die ausreichende Berücksichtigung und richtige Gewichtung der in Betracht kommenden Kriterien. Mit dieser Flexibilität ist aber ein großer, dem Arbeitsrecht freilich nicht unbekannter Nachteil verbunden: die Rechtsunsicherheit.

Dieser Befund gilt für Datenverarbeitungen im Beschäftigungskontext gleichermaßen. Zwar lässt die DSGVO hier spezifischere Bestimmungen zu, aber weder der nationale Gesetzgeber noch Normen der kollektiven Rechtsgestaltung können – weder positiv noch negativ – vom Schutzniveau der DSGVO abweichen.*

Trotz der noch vergleichsweisen jungen Bestimmungen der DSGVO und der noch vielfach fehlenden Judikatur lassen sich aber schon jetzt einige Problemfelder absehen, die nachfolgend (2.-6.) näher beschrieben werden sollen. 180

Die dargelegten Risiken zeigen, dass bei verantwortungsvoller Nutzung Big-Data ein nützliches182Werkzeug für rationale Entscheidungen sein kann. Die Schwierigkeit liegt darin, dass der Mensch die Welt durch die Brille von Ursache und Wirkung sieht, weshalb Big-Data konstant gefährdet ist, für kausale Zwecke missbraucht zu werden. Darüber hinaus ist für uns das Denken und Treffen von Entscheidungen auf Basis von Wahrscheinlichkeiten eine große Herausforderung.*

Bei falscher Verwendung kann Big-Data ein Instrument der Mächtigen werden. Problematisch ist die Verwendung von Big-Data-Analysen vor allem dann, wenn Macht unreflektiert an diese Systeme ausgelagert wird. Was Big-Data zu einer Waffe der Entmenschlichung macht, hat deshalb weniger mit Big-Data als mit uns selbst zu tun und damit, wie wir diese Vorhersagen verwenden.*

Von besonderer Wichtigkeit scheint deshalb Transparenz zu sein. Transparenz hinsichtlich der verwendeten Logiken und der möglichen Risiken und Fehlerquellen. In der Praxis besteht mE die latente Gefahr, dass Unternehmen externe Software zukaufen und die vom System ausgespuckten Ergebnisse unreflektiert anwenden, ohne die dahinter liegenden Logiken zu kennen. Ob die Berechnungsmethoden eines Algorithmus den Betroffenen aufgrund datenschutzrechtlicher Verpflichtungen beauskunftet werden müssen und wenn ja, in welchem Umfang (Stichwort Betriebsgeheimnis), ist derzeit noch ungeklärt.

Für Betroffene ist die fehlende Transparenz insb bei der Entkräftung von auf Wahrscheinlichkeiten und Korrelationen basierenden Ergebnissen problematisch. Während die Entkräftung von „hard facts“ zumindest praktisch vorstellbar erscheint, ist dies bei „soft facts“ idR nicht möglich.* Darüber hinaus zeigen sich Fehler des Systems oft erst im Betrieb, weshalb den Betroffenen in der Praxis zudem häufig der Nachweis der Verfehlung aufgebürdet wird.

Da Big-Data-Anwendungen in der Regel mitbestimmungspflichtig sind, ist mE die kollektive Rechtsetzung durch BV eine taugliche Möglichkeit, den Risiken und Fehlerquellen angemessen zu begegnen und rechtlich verbindliche Schutzvorkehrungen vorzusehen. Den Risiken einer missbräuchlichen Verwendung der auf Basis von Wahrscheinlichkeiten und Korrelationen ermittelten Ergebnisse kann insb mit verfahrensrechtlichen Vorschriften begegnet werden (Legitimation durch Verfahren).

Für AG hat diese Vorgehensweise den Vorteil der Rechtssicherheit, weil selbst wenn es sich nicht um eine europarechtlich „aufgeladene“ BV nach Art 88 Abs 1 DSGVO handelt,* das Vorliegen einer BV als gewichtiges Indiz für das Bestehen des Rechtmäßigkeitstatbestands des „berechtigten Interesses“ (Art 6 Abs 1 lit f DSGVO) zu sehen ist. Allerdings mag es Bereiche geben, wo in Anbetracht der Risiken das „Nein“ des BR erlaubt sein muss. Es genügt nicht Systeme zu evaluieren und Risiken zu minimieren, wenn die richtige Vorgehensweise wäre, es gar nicht erst einzuschalten. Ein „Nein“ richtet sich dabei nicht gegen die Technologie an sich, sondern dagegen, dass Technologie zusammen mit dem herrschenden System zur Ausbeutung und zum Nachteil der arbeitenden Personen eingesetzt wird.* Nicht alles was technisch möglich ist, ist auch rechtlich zulässig.

Inwieweit Big-Data-Anwendungen de lege lata überhaupt zulässig sind, ist unklar. Neben dem Grundsatz der Rechtmäßigkeit, bei dem die oben beschriebenen Risiken und Fehlerquellen ausreichend berücksichtigt werden müssen,* ist im Zusammenhang mit Big-Data-Analysen der Grundsatz der Zweckbindung (Art 5 Abs 1 lit b DSGVO) eine besondere Hürde des Datenschutzrechtes. Demnach dürfen personenbezogene Daten nur für (im Vorhinein) festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden.

In Zusammenhang mit Big-Data-Analysen ist somit

1. das Anlegen von Datenpools, um später aus einem breiten Fundus schöpfen zu können, unzulässig (Verbot der Vorratsdatenspeicherung).*

2. Ebenso unzulässig sind Verarbeitungen, ohne vorab einen Zweck zu definieren („die Daten sprechen lassen“).*

3. Problematisch ist zudem die Weiterverarbeitung bestehender Daten für andere Zwecke (Sekundärnutzung von Daten).*

Was den letzten Punkt betrifft, wurde der Zweckbindungsgrundsatz im Rahmen der DSGVO aber insoweit liberalisiert, als auch Weiterverarbeitungen zu anderen Zwecken zulässig sind, soweit sie mit dem ursprünglichen Zweck der Verarbeitung noch vereinbar sind. Diesbezüglich sieht Art 6 Abs 4 DSGVO einen „Kompatibilitätstest“ vor. Nicht mehr aufrecht erhalten werden kann daher die zum Datenschutzgesetz (DSG) ergangene Rsp 183 des VfGH, wonach das DSG von einer strengen Zweckbindung ausgeht.* Wie strikt der EuGH die Kriterien des Kompatibilitätstests auslegen wird (insb im Hinblick auf Art 8 Abs 2 GRC*), bleibt abzuwarten. Sieht man sich die Kriterien des Art 6 Abs 4 DSGVO an, ist es mE nicht ausgeschlossen, dass (zumindest in gewissen Konstellationen) ein nicht unwesentlicher Spielraum für Weiterverarbeitungen – und damit auch für Big-Data-Anwendungen – verbleibt.

Die Aufsichtsbehörden (auch in Österreich) kämpfen mit einer für eine effektive Rechtsdurchsetzung unzureichenden Ressourcenausstattung.* Dies liegt einerseits daran, dass durch die DSGVO das datenschutzrechtliche Bewusstsein der Bevölkerung gestiegen ist, weshalb Fälle und Anfragen mitunter deutlich zugenommen haben. Viel entscheidender sind in der Praxis aber das Macht- und das finanzielle Ungleichgewicht im Vergleich zu den zu überprüfenden IT-Unternehmen. Den meist schlecht ausgestatteten Aufsichtsbehörden stehen oft kapitalstarke Konzerne gegenüber, die mit Anwaltsarmeen den Rechtsweg bis zur höchsten Instanz ausreizen und damit wesentliche Teile der Ressourcen der Behörden binden.*

Die unzureichenden Ressourcen haben nicht nur überlange Verfahrensdauern und die Nichtbehandlung von Beschwerden zur Folge,* der Mangel führt sogar dazu, dass Datenschutzbehörden selbst bei offensichtlichem Fehlverhalten zögern, ihre Befugnisse gegen große Technologieunternehmen einzusetzen, da sie die Kosten für die rechtliche Verteidigung ihrer Entscheidungen nicht tragen können.* In erster Linie bleiben deshalb kleine Fische im Aufsichtsnetz hängen, während die wirklich großen Fische, die mit illegalen Methoden milliardenschwere Geschäftsmodelle verfolgen, unbehelligt bleiben. Je umfangreicher die Notwendigkeit der Recherche und je umfassender das Datenschutzproblem, umso geringer ist die Kontrolldichte der Behörden.*

Entsprechend dem aktuellen Regierungsprogramm soll die österreichische Datenschutzbehörde mit ausreichenden Ressourcen ausgestattet werden.* Ob es bei einer bloßen Ankündigung bleibt oder ob dieser auch Taten folgen, bleibt abzuwarten. Die Ausstattung der Aufsichtsbehörden mit den notwendigen finanziellen, technischen und finanziellen Ressourcen, um eine effektive Rechtsdurchsetzung sicherzustellen, liegt freilich nicht im Belieben der Mitgliedstaaten, sie ist in der DSGVO ausdrücklich vorgeschrieben.*

Neben einer unzureichenden Ressourcenausstattung besteht aktuell das Problem, dass die unionsrechtlichen Datenschutzbestimmungen in einigen Staaten offenbar politisch motiviert nicht (ausreichend) durchgesetzt werden. Dies ist nicht nur für die in diesem Land ansässigen, sondern bei grenzüberschreitenden Sachverhalten auch für Bürgerinnen und Bürger in anderen Mitgliedstaaten problematisch, da die DSGVO bei grenzüberschreitenden Datenverarbeitungen ein gemeinsames Verfahren („One-Stop-Shop“) unter Führung einer „federführenden Aufsichtsbehörde“ vorsieht.* Entgegen dem sonst prinzipiell geltenden Territorialitätsprinzip knüpft die Zuständigkeit der federführenden Aufsichtsbehörde an die Hauptniederlassung bzw einzige Niederlassung des Verantwortlichen bzw Auftragsverarbeiters an,* weshalb auch österreichische AN von der Untätigkeit ausländischer Aufsichtsbehörden betroffen sein können.*184

Wenig überraschend handelt es sich bei den betroffenen Ländern um solche, die schon in anderen Bereichen durch unsolidarisches Verhalten aufgefallen sind. An erster Stelle in diesem Zusammenhang ist Irland zu nennen, wo aufgrund von Steuervorteilen die meisten Internetkonzerne ihre europäischen Hauptniederlassungen haben.* Die irische Aufsichtsbehörde gilt als größter Flaschenhals bei der grenzüberschreitenden Durchsetzung der Bestimmungen der DSGVO.* Bei Beobachtung diverser Verfahren drängt sich der Verdacht auf, dass big-tech-Unternehmen aus politisch motivierten Gründen nicht weiter verfolgt werden sollen, um diese nicht zu vertreiben und ihnen in Irland vielmehr einen „Safe Harbour“ anzubieten.*

Mitte 2021 hat das Europäische Parlament eine Resolution* angenommen, in der die Europäische Kommission aufgefordert wird, ein Vertragsverletzungsverfahren gegen Irland aufgrund der mangelnden Durchsetzung der DSGVO einzuleiten. Die Einleitung wird auch von anderen NGOs, etwa dem Irish Council for Civil Liberties, gefordert.* Aufgrund der Untätigkeit der Kommission wurde mittlerweile auch ein Verfahren vor dem EU-Ombudsmann gegen die europäische Kommission eingeleitet.*

Hintergrund der Problematik sind die US-amerikanischen Überwachungsgesetze, insb Section 702 FISA (Foreign Intelligence Surveillance Act), welche den US-Sicherheitsbehörden Zugang zu personenbezogenen Daten von „Nicht-US-Personen“ gewähren. Auf diesen Bestimmungen basierende Überwachungsanordnungen müssen nicht spezifisch auf ein einzelnes Ziel ausgerichtet sein, sondern ermöglichen ein anlassloses und pauschales Überwachungsprogramm. Es gibt keine individualisierte gerichtliche Genehmigung für Nicht-USPersonen*. *

Auf Basis dieser Ausgangslage hat der EuGH 2015 nicht nur Datenübertragungen auf Basis des Safe-Harbour- Abkommens untersagt,* wegen der (potenziellen) Massenüberwachung durch US-amerikanische Sicherheitsbehörden wurde in der E Schrems II* zudem das Nachfolgeabkommen „Privacy-Shield“ für unwirksam erklärt sowie die Legitimation der Datenübermittlung in die USA mittels Standardvertragsklauseln unter kaum erfüllbare Bedingungen gestellt.* Ein Serverstandort in Europa reicht zur Problemvermeidung im Übrigen nicht aus, sind doch die Anbieter von Kommunikations- und Cloud-Dienstleistungen zur Preisgabe von Kundendaten an amerikanische Behörden verpflichtet, unabhängig davon, wo die Daten gehostet werden.*

De lege lata sind also Datenübermittlungen in die USA ohne besondere Sicherheitsvorkehrungen unzulässig. Aufgrund des Konflikts zwischen den Datenschutzbestimmungen der EU und den Überwachungsgesetzen der USA stehen IT-Anbieter regelmäßig vor einem Dilemma: Die EU-Bestimmungen erfordern den Schutz personenbezogener Daten, während die US-Gesetze eine Überwachung anordnen. De facto können Technologieunternehmen aber nicht beide Bestimmungen erfüllen.

Die Problematik wird nun aber vor allem dadurch verschärft, dass US-amerikanische IT-Dienstleister einen überwältigenden Marktanteil bei digitalen Produkten und Dienstleistungen einnehmen.* Ein (von den Behörden durchzusetzendes) Nutzungsverbot würde in der Praxis eine Vielzahl von Verantwortlichen vor enorme praktische Probleme stellen, zumal es an europäischen Alternativen fehlt. Es ist deshalb nicht verwunderlich, dass Unternehmen und Behörden auch nach der E des 185 EuGH weiterhin US-amerikanische Dienste verwenden. Sie sind größtenteils ratlos, wie die Aufrechterhaltung des operativen Geschäfts ohne US-amerikanische Dienstleister funktionieren soll.72)

In der Rechtswissenschaft wird nunmehr fieberhaft nach Gründen gesucht, warum etwa die Verhängung von Nutzungsverboten durch die Aufsichtsbehörden unzulässig wären. Argumentiert wird hier etwa mit der ungleichwertigen Verantwortlichkeit, dem Fehlen praktikabler bzw risikoärmeren Alternativen, dem Fehlen von Übergangsfristen oder unzureichenden Sachverhaltsermittlungen durch die Aufsichtsbehörden etc.* Viele der Argumentationen gleichen dem berühmten Klammern an den letzten Strohhalm und halten einer rechtlichen Prüfung oft nicht stand.*

Die oft schwerwiegenden Auswirkungen sind freilich auch den Datenschutzbehörden bewusst, weshalb diese weitgehend eine abwartende Haltung einnehmen. Bis auf wenige Ausnahmen* gab es keine selbständigen Ermittlungen, geschweige denn Entscheidungen, trotz zahlreicher Musterbeschwerden.*

Der dieser Frage zu Grunde liegende Konflikt kann nur gelöst werden, wenn entweder die USA oder die Europäische Union ihre gesetzlichen Bestimmungen ändern:

Auf Seiten der USA müssten die US-amerikanischen Überwachungsgesetze dahingehend reformiert werden, dass ein grundlegender Schutz personenbezogener Daten eingeführt werden müsste, der zumindest dem entspricht, der US-Personen bereits jetzt gewährt wird. Auf Basis dieser Grundlage könnte die Europäische Kommission neue stabile Instrumente erlassen, die Datentransfers in die USA erlauben würde, sofern auch angemessene Rechtsschutzmöglichkeiten bestehen. Langfristige Lösung könnte etwa ein „No-Spy“-Abkommen sein.*

Auf europäischer Seite könnten andererseits die Grundrechte (Art 7 und 8 GRC) abgeändert werden. Einer entsprechenden Änderung müssten alle Mitgliedstaaten zustimmen.* Zwar könnte die Europäische Kommission auch versuchen, erneut einen dritten Angemessenheitsbeschluss nach „Safe Harbour“ und „Privacy Shield“ zu verabschieden, ohne die notwendigen Reformen der US-amerikanischen Überwachungsgesetze wären derartige Vorhaben aber zum Scheitern verurteilt. Politisch wäre ein dritter Versuch wohl nicht akzeptabel.*

Nachdem eine notwendige Streichung oder Änderung der relevanten Bestimmungen der GRC nicht absehbar ist, liegt die Lösung der Problematik in erster Linie in den Händen des US-Gesetzgebers, der die geltenden US-Überwachungsgesetze anpassen oder zurücknehmen müsste. Tatsächlich dürften diesbezügliche Verhandlungen bereits begonnen haben,* ob diese allerdings Aussicht auf Erfolg haben, ist nicht abschätzbar. Ohne Androhung ernsthafter Durchsetzung in der EU oder eines Massenexodus von europäischer Kundinnen und Kunden wird die US-Industrie ihr politisches Kapital wohl nicht für den Schutz von Daten ausländischer Personen einsetzen.*