Was bedeutet mein Recht auf Datenschutz?

Im Datenschutzrecht unterscheidet man zwischen folgenden zwei Parteien:

• der „Verantwortliche“:  jene natürliche oder juristische Person, die eine Datenverarbeitung durchführt und über die Zwecke und Mittel der Datenverarbeitung entscheidet
• die „betroffene Person“: jene natürliche Person, deren personenbezogene Daten verarbeitet werden.

Dabei richtet sich das Datenschutzrecht vor allem an den „Verantwortlichen“. Sobald eine Person, Behörde, Einrichtung oder andere Stelle (Verantwortliche) personenbezogene Daten einer natürlichen Person (der betroffenen Person) verarbeitet, unterliegt dieser „Verantwortliche“ dem Datenschutzrecht und muss sich an die Regeln des Datenschutzrechts halten.

Das Datenschutzrecht regelt die Verarbeitung von  Daten, die sich auf eine bestimmte oder bestimmbare Person beziehen ("Was sind personenbezogene Daten?"). Mit Daten sind nicht nur bestimmten Zahlen, Nummern, Namen oder Adressen usw. gemeint, sondern alle Arten von Informationen, die sich auf eine bestimmte Person beziehen. Es müssen nicht notwendigerweise sensible oder private Informationen sein. Auch digitale Bilder von Personen stellen personenbezogen Daten (nämlich Bilddaten) von Personen dar, die dem Datenschutzrecht unterliegen.

Unter einer Datenverarbeitung versteht man jeden Vorgang im Zusammenhang mit persönlichen Daten wie das Erheben, das Erfassen, das Ordnen, die Speicherung, die Veränderung, das Auslesen, das Abfragen, die Verwendung, die Übermittlung, die Verbreitung, den Abgleich, die Verknüpfung oder etwa das Löschen von Daten. Unter „Datenverarbeitung“ ist also nicht nur eine Analyse oder eine Auswertung von Daten zu verstehen. Auch das bloße Erheben, Löschen oder Übermitteln gilt schon als Datenverarbeitung, die nur nach den Regeln des Datenschutzrechts erfolgen darf. Bei einer Datenverarbeitung müssen auch nicht viele Daten verarbeitet werden, sondern es reicht schon die Verarbeitung einer einzelnen persönlichen Information.

Die Regeln für eine Datenverarbeitung sind in der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten („EU-Datenschutz-Grundverordnung“ oder „DSGVO“) festgelegt. Sie gilt als zentrales Regelwerk des Datenschutzrechts in allen EU-Mitgliedstaaten gleichermaßen und ist direkt anwendbar. Zusätzlich besteht in Österreich auch ein Datenschutzgesetz (DSG), in dem ein paar zusätzliche Vorschriften (z. B. Verfahrensregeln) erlassen wurden und das in Österreich gemeinsam mit der DSGVO anzuwenden ist. Das Datenschutzgesetz enthält aber keine grundlegenden Regelungen und darf vom Regelungsinhalt der DSGVO auch nicht abweichen.

Nach Art 6 Abs 1 DSGVO ist eine Datenverarbeitung nur dann zulässig, wenn mindestens eine von sechs Rechtsgrundlagen (Erlaubnistatbeständen) vorliegt ("Wann dürfen meine Daten verarbeitet werden?"). Eine Datenverarbeitung setzt also nicht unbedingt voraus, dass Sie einer Datenverarbeitung zugestimmt haben. Eine Datenverarbeitung kann etwa auch dann zulässig sein, wenn sie zur Erfüllung einer vertraglichen Verpflichtung notwendig ist oder wenn die datenverarbeitende Person (Verantwortlicher) sich auf berechtigte Interessen stützen kann, die Ihr Recht auf Datenschutz überwiegen. Das Recht auf den Schutz personenbezogener Daten ist also kein unbeschränktes Recht. Es muss mit anderen Interessen (z. B. Meinungs- und Informationsfreiheit oder das Grundrecht auf freie Berufsausübung) in Einklang gebracht werden.

Auch Unternehmen mit Sitz außerhalb der EU müssen sich an das europäische Datenschutzrecht halten, wenn sie auf dem EU-Markt tätig werden (d. h. ihre Angebote oder Services auch Nutzer:innen in der EU anbieten) oder das Verhalten betroffener Personen in der EU beobachten. Daher müssen sich auch Unternehmen mit Sitz in den USA an das europäische Datenschutzrecht halten, wenn Nutzer:innen in der EU deren Dienste nützen können. Die großen amerikanischen Social Media - Unternehmen bieten ihre Dienste in der EU aber ohnehin über eigene Tochtergesellschaften mit Sitz in der EU an.