Durch das Inkrafttreten der DSGVO mit 25. Mai 2018 herrscht in manchen Detailfragen immer noch Verwirrung, was man darf und was nicht. Wo bisher in Gemeindeämtern Datenlisten für unterschiedliche Zwecke angelegt wurden, ist man heute oftmals über die Rechtslage unsicher. Zahlreiche Kommunalnet-User haben uns daher ihre Fragen zukommen lassen.

Aufgrund des Umfangs und der Komplexität des Themas wurden die Fragen in Themen eingeteilt, die einzeln in Videos behandelt werden. FH-Prof. Mag. Dr. Peter Burgstaller beantwortete im Expertentalk die Fragen zum Thema „Datensammlung„. Im Video können Sie die Antworten im Wortlaut hören. Hier haben wir die wichtigsten Punkte nochmal für Sie schriftlich kurz zusammengefasst.

Für Wohnungsanfragen haben wir eine Liste mit allen privaten Vermietern und Genossenschaftswohnungen erstellt. Sollen wir uns eine schriftliche Einverständniserklärung von den Vermietern einholen? Wenn ja, muss auf einen § verwiesen werden?

Burgstaller erklärt, dass eine Einverständniserklärung auch in diesem Fall notwendig ist. Diese kann mündlich, schriftlich oder persönlich erfolgen. Verweise auf Paragraphen seien nicht notwendig. Eine schriftliche Zustimmungserklärung hat den Vorteil der Nachweisbarkeit. Denn gemäß Datenschutz-Grundverordnung muss der Verantwortliche, also jener, der Daten verarbeitet, nachweisen können, dass die betroffene Person, also jene Person, deren Daten verarbeitet werden, in die Verarbeitung der personenbezogenen Daten eingewilligt hat.

Vom Kulturausschuss und dem örtlichen Sportverein wird einmal jährlich ein sogenannter „Hügellauf“ veranstaltet. Wir haben bisher die Adressen (auch Emailadressen) der bisherigen Teilnehmer gesammelt, um sie auch im nächsten Jahr wieder über den Termin verständigen und zu dem Wettbewerb einladen zu können. Meine Frage: Benötigen wir in Zukunft für die Speicherung der Adressen die Zustimmung der Teilnehmer? Ich möchte ausdrücklich darauf hinweisen, dass bei den elektronischen Einladungen für die Empfänger keine Emailadressen sichtbar waren und die Adressen auch nicht an Dritte weitergegeben werden.

Bei solchen Angelegenheiten sollte man auf zwei Aspekte achten: Der erste befasst sich mit dem Datenschutzrecht: Die Daten für dieses Jahr dürfen gesammelt werden, da mit der Anmeldung eine Einwilligung besteht. Allerdings gilt dies grundsätzlich nicht mehr für das nächste Jahr. Es sollte daher bei der Anmeldung explizit gefragt werden, ob und welche Daten auch für das nächste Jahr zur Veranstaltungseinladung verwendet werden dürfen. Dies kann am besten in der Form „Ich stimme zu, dass meine Daten (Vor-, Nachname, Adresse, E-Mail-Adresse) zur Einladung im nächsten Jahr verwendet werden.“ geschehen.

Inwieweit in diesem Fall (Speicherung von Daten sowie Verständigung und Einladung für Folgeveranstaltungen) ein anderer Erlaubnistatbestand greift und daher eine Zustimmung nicht erforderlich ist, ist zuweilen umstritten. Als Erlaubnistatbestand neben der Einwilligung käme das „berechtigte Interesse“ des Vereins bzw. des Kulturausschusses in Frage. Dabei kommt es darauf an, ob die Verarbeitung der Daten zur Wahrung der berechtigten Interessen des Verantwortlichen (Verein, Kulturausschuss) erforderlich ist und zugleich die Interessen der betroffenen Person (Empfänger der Verständigungen, Einladungen) nicht überwiegen.

Zunächst ist daher zu prüfen, ob der Verein bzw. Kulturausschuss überhaupt ein „berechtigtes Interesse“ an der Datenverarbeitung hat, und zu prüfen, ob die Datenverarbeitung zur Wahrung dieses Interesses erforderlich ist. Das wird im Falle des Vereins jedenfalls den Vereinsmitgliedern gegenüber wohl zu bejahen sein, wohl aber auch hinsichtlich Dritter, die bereits Veranstaltungen besucht haben. Letztlich lebt der Verein von seinen Mitgliedern, von Veranstaltungen, von Wettbewerben etc. Hier spielt die Bewerbung von Veranstaltungen, Informationen, Einladungen eine bedeutende Rolle. Das berechtigte Interesse wie auch die Erforderlichkeit der Datenverarbeitung zur Wahrung dieses Interesses wird wohl zu bejahen sein.

In weiterer Folge muss eine Interessensabwägung vorgenommen werden. Dabei ist zu prüfen, ob das Interesse der betroffenen Person (dessen Daten verarbeitet werden) daran, dass die Daten gelöscht und keine Verständigungen und Einladungen versandt werden, dem berechtigten Interesse des Verantwortlichen (Vereins bzw. des Kulturausschusses), Daten zu speichern und Einladungen und Verständigungen auszusenden, überwiegt. Überwiegt das Interesse der betroffenen Person, dann ist die Datenverarbeitung (ohne Zustimmung) nicht erlaubt.

Einen Anhaltspunkt bietet der Erwägungsgrund 47 der Datenschutz-Grundverordnung: Darin heißt es:
„Ein berechtigtes Interesse könnte beispielsweise vorliegen, wenn eine maßgebliche und angemessene Beziehung zwischen der betroffenen Person und dem Verantwortlichen besteht, z. B. wenn die betroffene Person ein Kunde des Verantwortlichen ist oder in seinen Diensten steht. Auf jeden Fall wäre das Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen, wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen.“

Der zweite Aspekt beschäftigt sich mit der Einladung per E-Mail: Diese gilt als Werbe-Email und daher ist es grundsätzlich notwendig, auch eine Zustimmung nach dem Telekommunikationsgesetz einzuholen, es sei denn es gibt bereits eine „Geschäftsbeziehung“ (diese wird wohl gegenüber Vereinsmitgliedern zu bejahen sein). Zusätzlich zu oben genannter Einwilligung gehört also auch noch die gesonderte Zustimmung „Ich stimme zu, dass ich per E-Mail über den nächstjährigen Hügellauf informiert werde“.

Würde man die E-Mail Einladung zur Veranstaltung nicht als Werbe-Email ansehen, so ist zu bedenken, dass nach Telekommunikationsgesetz Massen-Emails bzw. Newsletter (an mehr als 50 Adressaten) ohne vorherige Zustimmung der Adressaten nicht versendet werden dürfen.

Dürfen ehemalige Dienstnehmer für beispielsweise spätere Einladungen zu Firmenfeiern auf Personallisten geführt werden?

Ohne Erlaubnistatbestand (Einwilligung, Rechtsgrundlage, berechtigtes Interesse etc.) dürfen die Daten nicht verwendet werden (siehe Expertentalk Teil 1 zur Datenweitergabe). In diesem Fall stellt der Arbeitsvertrag den Erlaubnistatbestand zur Datenverarbeitung dar. Bei einer Beendigung des Dienstverhältnisses fällt dieser jedoch weg und damit sind die Daten für diesen Zweck der Erfüllung des Arbeitsvertrages, worunter die Firmenfeiereinladung fällt, zu löschen. Für spezielle Zwecke, wie etwa die Ausstellung eines Dienstzeugnisses aber auch aus steuer- und sozialversicherungsrechtlichen, müssen die Daten eine Zeit lang weiter aufbewahrt werden.

Darf der Bürgermeister aus dem LMR Auswertungen abrufen (z.B. alle über 65 Jahre), um zu einem Seniorenausflug einzuladen?

Wenn es keine Rechtsgrundlage gibt, dann nicht. § 20 Abs. 3 letzter Satz Meldegesetz besagt, dass die Bürgermeister ermächtigt sind, die in ihrem Melderegister (LMR) enthaltenen Meldedaten zu verarbeiten, sofern diese zur Wahrnehmung der ihnen gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bilden.

Es ist daher zunächst zu prüfen, ob überhaupt eine Abfrage aus dem LMR erfolgen darf. Dies ist nur dann gegeben, wenn eine gesetzlich übertragene Aufgabe die Verarbeitung dieser Daten erfordert. Bei einer schlichten Einladung zu einem Seniorenausflug fehlt wohl die „gesetzlich übertragene Aufgabe“, die es dem Bürgermeister erlauben würde, Daten aus dem LMR abzurufen.

Sollte hingegen der Seniorenausflug als Informationsveranstaltung für Senioren der Gemeinde gedacht sein (etwa Information über seniorengerechte Bauvorhaben und Einbeziehung von Senioren in diese Thematik), dann würde diese Informationsveranstaltung zu den (gesetzlichen) Aufgabenbereichen des Bürgermeisters zählen und datenschutzrechtlich § 8 Datenschutzgesetz greifen, der in Fällen der „Benachrichtigung und Befragung von betroffenen Personen“ keine Beeinträchtigung von Geheimhaltungsinteressen sieht, wenn darüber hinaus an der „Benachrichtigung oder Befragung“ auch ein öffentliches Interesse besteht. Eine Einbindung von Senioren in Gemeindevorhaben oder ein Abfragen der Senioren nach Vorschlägen zur Verbesserung der Barrierefreiheit etwa läge wohl im öffentlichen Interesse.

Ähnliche Anfragen gibt es aus mehreren Gemeinden auch zu Einladungen zur Jungbürgerfeier, zu Stellungsessen oder der Überreichung eines Geschenkes an die Eltern von Neugeborenen.

Dabei gelten dieselben Richtlinien, wie beim Beispiel der Seniorenausflüge.  Bei der Einladung zu einer Jungbürgerinnenfeier wird wohl der Informationsgehalt dieser Veranstaltung die wesentliche Rolle spielen (Kennenlernen der Gemeinden, der Einrichtungen, Informationen über die Geschichte der Gemeinde, Bericht über Vereinswesens, Feste, Wettbewerbe in der Gemeinde etc.). Daher ist davon auszugehen, dass diese Information an Jungbürger zu den (gesetzlichen) Aufgaben des Bürgermeisters zählt und der oben beschriebene § 8 DSG greifen wird, wonach die Datenverarbeitung auch ohne Zustimmung der Betroffenen zulässig ist.Bei der Einladung zu einem Stellungsessen oder der Überreichung eines Geschenkes an die Eltern der Neugeborenen kommt es freilich auf die Intention an. So kann mit der Geschenküberreichung sogleich ein Informationspaket der Gemeinde verbunden sein (Mutterberatung, Informationen zu Tageseltern, Kinderbetreuung, Kinderarzt etc.), womit etwa Eltern Informationen erhalten können, ohne dass es einer Zustimmung zur Benachrichtigung (über das Infopaket und das Geschenk) bedarf.

Muss die Gemeindeverwaltung alle Personen, welche in der Outlook-Kontaktdatenbank (werden für interne Zwecke verwendet) gespeichert sind, um deren Einverständnis ersuchen?

Grundsätzlich hat die Gemeinde bereits die Einwilligung, da der Betroffene durch die Informationsverpflichtung über die Verwendung seiner Daten informiert wurde. Die betroffene Person hat nach wie vor das Recht, die Zustimmung jederzeit zu widerrufen. Eine gesonderte Zustimmung ist also nicht notwendig.

Immer wieder werden Plastikabfälle, Restmüll und auch Problemstoffe in BIO-Tonnen geworfen. Fallweise sind auch Schriftstücke mit Name und Anschrift dabei und die Verantwortlichen können ausgeforscht werden. Dürfen zur Vorschreibung der „Bußgelder“ ZMR/LMR-Abfragen getätigt werden.

Zahlreiche Landesgesetze sehen für derartige Fehlwürfe Verwaltungsstrafen vor. Zuständig für die Ahnung derartiger Verwaltungsübertretungen und für die Bestrafung ist weder der Bürgermeister noch die öffentliche Abfallwirtschaft. Derartige Übertretungen kann man daher jederzeit zur Anzeige bringen. Die Daten aufzunehmen zwecks Beweissicherung ist wohl als zulässig zu erachten, Vorsicht geboten ist – so absurd es klingt – wenn Abfragen aus dem ZMR/LMR zum Zwecke der Verwarnung an die betreffenden Personen getätigt werden. Burgstaller würde in dieser Situation vorerst mit einer generellen Aussendung reagieren, in der die Bevölkerung auf die Abfallordnung aufmerksam gemacht werden soll.

Bei Privatunternehmen hingegen könnte man in solchen Fällen mit dem berechtigten Interesse argumentieren, das es dem Privatunternehmen erlaubt, die Abfallsünder auf ihre Pflichten aufmerksam zu machen.