BGBl I 62/2024

62. Bundesgesetz, mit dem das Datenschutzgesetz geändert wird

Der Nationalrat hat beschlossen:

Das Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG), BGBl. I Nr. 165/1999, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 148/2021 und die Kundmachung BGBl. I Nr. 2/2023, wird wie folgt geändert:

1. In § 8 Abs. 2 Z 2 lit. b wird das Wort „keiner“ durch das Wort „keine“ ersetzt.

2. In § 8 Abs. 3 Z 1 wird die Wortfolge „des Betroffenen“ durch die Wortfolge „der betroffenen Personen“ ersetzt.

3. § 9 Abs. 1 lautet:

„§ 9. (1) Für die Verarbeitung personenbezogener Daten durch Medieninhaber, Herausgeber, Medienmitarbeiter und Arbeitnehmer eines Medienunternehmens oder Mediendienstes im Sinne des Mediengesetzes – MedienG, BGBl. Nr. 314/1981, sowie durch sonstige Personen, die in einem Medienunternehmen oder Mediendienst auf Grundlage eines Vertrages an der inhaltlichen Gestaltung eines Mediums oder der inhaltlichen Gestaltung der Mitteilungen eines Mediendienstes journalistisch mitwirken, zu journalistischen Zwecken des Medienunternehmens oder Mediendienstes gelten die Bestimmungen der DSGVO sowie dieses Bundesgesetzes mit folgenden Maßgaben:

1. 1. Der Verantwortliche ist gegenüber der betroffenen Person nicht zur Offenlegung von Informationen verpflichtet, die dem Schutz des Redaktionsgeheimnisses (§ 31 MedienG) unterliegen (datenschutzrechtliches Redaktionsgeheimnis); § 31 Abs. 2 MedienG ist anzuwenden. In Verfahren vor Gerichten und Behörden, die Angelegenheiten des Datenschutzes zum Gegenstand haben, gilt § 31 MedienG mit der Maßgabe, dass der Verantwortliche die Beantwortung von Fragen im Sinne des § 31 Abs. 1 MedienG nicht nur als Zeuge, sondern auch als sonst Verfahrensbeteiligter verweigern darf. § 321 Abs. 1 der Zivilprozessordnung – ZPO, RGBl. Nr. 113/1895, ist sinngemäß anzuwenden. Die Datenschutzbehörde hat bei Ausübung ihrer Befugnisse den Schutz des Redaktionsgeheimnisses zu beachten.
2. 2. Der Verantwortliche ist berechtigt, personenbezogene Daten einschließlich der in Art. 9 Abs. 1 DSGVO genannten besonderen Kategorien personenbezogener Daten sowie personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln (Art. 10 DSGVO) zu verarbeiten, soweit dies für journalistische Zwecke erfolgt. Art. 10 letzter Satz DSGVO bleibt unberührt. Die §§ 12 und 13 dieses Bundesgesetzes sind nicht anwendbar.
3. 3. Art. 5 Abs. 1 lit. a DSGVO gilt in Bezug auf den Grundsatz der Transparenz mit der Maßgabe, dass die Verarbeitung personenbezogener Daten für die betroffene Person nur insoweit nachvollziehbar sein muss, als dadurch die Meinungsäußerungs- und Informationsfreiheit nicht unverhältnismäßig beeinträchtigt wird, und nur insoweit, als die Bestimmungen dieses Absatzes nicht anderes vorsehen.
4. 4. Die Art. 13 und 14 (Informationspflicht) sowie Art. 21 Abs. 1 (Widerspruchsrecht) DSGVO sind nicht anwendbar.
5. 5. Das Auskunftsrecht (Art. 15 DSGVO) ist in Bezug auf personenbezogene Daten, auf deren Grundlage noch keine Veröffentlichung erfolgt ist, nicht anwendbar. Im Übrigen gilt das Auskunftsrecht (Art. 15 DSGVO) mit der Maßgabe, dass die betroffene Person Auskünfte nur in Bezug auf bestimmte, im Antrag auf Auskunft konkret zu bezeichnende Veröffentlichungen verlangen darf und ihre Betroffenheit individuell zu begründen hat und der Verantwortliche abweichend von Art. 12 Abs. 5 erster Satz DSGVO berechtigt ist, für die Bearbeitung von Auskunftsersuchen ein Entgelt von 9 Euro zu verlangen; unterlässt die betroffene Person die konkrete Bezeichnung einer Veröffentlichung, die individuelle Begründung ihrer Betroffenheit oder legt sie keinen Nachweis für die Bezahlung des Entgelts vor, so kann der Verantwortliche sich weigern, aufgrund des Antrags tätig zu werden. Der Verantwortliche ist berechtigt, die Auskunft zu verweigern, soweit dies im Einzelfall zum Schutz der Meinungsäußerungs- und Informationsfreiheit erforderlich und verhältnismäßig ist; in solchen Fällen muss der Verantwortliche bei der Beantwortung des Auskunftsersuchens gegenüber der betroffenen Person nicht offenlegen, ob ihre personenbezogenen Daten verarbeitet werden, soweit dadurch der Zweck der Auskunftsverweigerung unterlaufen würde. Das Recht auf Kopie (Art. 15 Abs. 3 DSGVO) ist ausgeschlossen.
6. 6. Art. 16 (Recht auf Berichtigung), Art. 17 (Recht auf Löschung) und Art. 18 (Recht auf Einschränkung der Verarbeitung) DSGVO sind nicht anzuwenden
   1. a) in Bezug auf personenbezogene Daten, auf deren Grundlage noch keine Veröffentlichung erfolgt ist;
   2. b) in Bezug auf personenbezogene Daten, die in einem Medium im Sinne des § 1 Abs. 1 Z 1 MedienG veröffentlicht wurden;
   3. c) soweit eine konkurrierende Anspruchsgrundlage wegen Verletzung der Persönlichkeitsrechte der betroffenen Person nach bürgerlichem Recht, insbesondere nach § 20 oder § 1330 des Allgemeinen bürgerlichen Gesetzbuches, JGS Nr. 946/1811, oder nach § 78 des Urheberrechtsgesetzes, BGBl. I Nr. 111/1936, besteht.

   In allen anderen Fällen ist der Verantwortliche im Falle einer Geltendmachung der in Art. 16 und 18 DSGVO genannten Rechte durch die betroffene Person berechtigt, die Berichtigung oder die Einschränkung der Verarbeitung zu verweigern, soweit dies im Einzelfall zum Schutz der Meinungsäußerungs- und Informationsfreiheit erforderlich und verhältnismäßig ist.

1. 7. In den Fällen der Z 5 zweiter und dritter Satz, Z 6 zweiter Satz und Art. 17 Abs. 3 DSGVO ist die betroffene Person berechtigt, eine Überprüfung der Rechtmäßigkeit der Verweigerung der Auskunft, Berichtigung, Einschränkung der Verarbeitung oder Löschung durch die Datenschutzbehörde zu verlangen. Der Verantwortliche hat die betroffene Person über dieses Recht zu unterrichten. Wird dieses Recht ausgeübt, hat der Verantwortliche das Vorliegen der Voraussetzungen der bezüglichen Einschränkung glaubhaft zu machen. § 25 Abs. 3 ist mit der Maßgabe anzuwenden, dass die Datenschutzbehörde die betroffene Person nur darüber zu unterrichten hat, dass alle erforderlichen Prüfungen oder eine Überprüfung durch die Datenschutzbehörde erfolgt sind, es sei denn, dass die Datenschutzbehörde zum Ergebnis gelangt, dass die betreffende Einschränkung unzulässig war. Die Datenschutzbehörde hat zudem die betroffene Person über ihr Recht zu unterrichten, Beschwerde an das Bundesverwaltungsgericht zu erheben.
2. 8. Zum Schutz des datenschutzrechtlichen Redaktionsgeheimnisses, sowie soweit dies sonst zum Schutz der Meinungsäußerungs- und Informationsfreiheit, insbesondere im Hinblick auf Z 4 sowie Einschränkungen nach Z 5, erforderlich und verhältnismäßig ist, sind Verantwortliche im Sinne des Abs. 1 erster Satz sowie weitere Verantwortliche, die gemeinsam mit diesen personenbezogene Daten zu den in Abs. 1 erster Satz genannten Zwecken verarbeiten, nicht zur Offenlegung gemäß Art. 26 Abs. 2 zweiter Satz DSGVO verpflichtet.
3. 9. Art. 33 DSGVO (Meldung einer Datenschutzverletzung an die Aufsichtsbehörde) ist mit der Maßgabe anzuwenden, dass eine Verletzung des Schutzes personenbezogener Daten nur dann an die Datenschutzbehörde zu melden ist, wenn sie voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat. Eine Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person gemäß Art. 34 DSGVO ist nur nach Maßgabe einer Anweisung der Datenschutzbehörde gemäß Art. 58 Abs. 2 lit. e DSGVO und, soweit das datenschutzrechtliche Redaktionsgeheimnis dadurch nicht beeinträchtigt wird, erforderlich.
4. 10. Art. 38 DSGVO (Stellung des Datenschutzbeauftragten) gilt mit der Maßgabe, dass der Verantwortliche oder der Auftragsverarbeiter den Zugang des Datenschutzbeauftragten zu personenbezogenen Daten, die zu journalistischen Zwecken verarbeitet werden, einschränken kann, soweit dies zum Schutz der Meinungsäußerungs- und Informationsfreiheit erforderlich und verhältnismäßig ist.
5. 11. Der Verantwortliche und der Auftragsverarbeiter sind nicht zur Einhaltung der Vorschriften des Kapitel V der DSGVO (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen) verpflichtet. Unbeschadet des Art. 24 DSGVO (Verantwortung des für die Verarbeitung Verantwortlichen) haben der Verantwortliche und der Auftragsverarbeiter geeignete Maßnahmen zu treffen, um sicherzustellen, dass die Rechte und Freiheiten der betroffenen Person im Falle einer Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen nicht unverhältnismäßig beeinträchtigt werden.
6. 12. In Verhaltensregeln gemäß Art. 40 Abs. 2 DSGVO können Einschränkungen gemäß Z 5 dritter Satz und Z 6 zweiter Satz sowie geeignete Maßnahmen im Sinne der Z 11 zweiter Satz dieses Absatzes näher präzisiert werden. Die Datenschutzbehörde hat in Verfahren gemäß Art. 40 Abs. 5 DSGVO eine Stellungnahme der Kommunikationsbehörde Austria („KommAustria“) (§ 1 Abs. 1 KommAustriaG – KOG, BGBl. I Nr. 32/2001) zum Entwurf der Verhaltensregeln bzw. zum Entwurf zu deren Änderung oder Erweiterung einzuholen.
7. 13. Art. 56 (Zuständigkeit der federführenden Aufsichtsbehörde) und Kapitel VII der DSGVO (Zusammenarbeit und Kohärenz) sind nicht anwendbar.“

4. Nach § 9 Abs. 1 wird folgender Abs. 1a eingefügt:

„(1a) Für die nicht von Abs. 1 erfasste Verarbeitung personenbezogener Daten zu journalistischen Zwecken gilt Abs. 1 Z 1, 4 und 13; Abs. 1 Z 3 gilt mit der Maßgabe, dass sich der Verweis auf die Bestimmungen in Abs. 1 Z 1, 4 und 13 und Abs. 1a bezieht. Der Verantwortliche ist berechtigt, personenbezogene Daten, aus denen politische Meinungen oder religiöse oder weltanschauliche Überzeugungen hervorgehen (Art. 9 Abs. 1 DSGVO), sowie personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln (Art. 10 DSGVO) zur Wahrung berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) zu verarbeiten, soweit dies zur Ausübung der Meinungsäußerungs- und Informationsfreiheit erforderlich und verhältnismäßig ist. Art. 10 letzter Satz DSGVO bleibt unberührt. In Bezug auf personenbezogene Daten, die in einem Medium im Sinne des § 1 Abs. 1 Z 1 MedienG veröffentlicht wurden, sind die Art. 16 (Recht auf Berichtigung), 17 (Recht auf Löschung) und 18 (Recht auf Einschränkung der Verarbeitung) DSGVO nicht anzuwenden. Im Übrigen ist der Verantwortliche berechtigt, in Bezug auf zu journalistischen Zwecken verarbeitete personenbezogene Daten, auf deren Grundlage noch keine Veröffentlichung erfolgt ist, im Falle einer Geltendmachung der in den Art. 15 bis 18 DSGVO genannten Rechte durch die betroffene Person die Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung zu verweigern, soweit dies im Einzelfall zum Schutz der Meinungsäußerungs- und Informationsfreiheit erforderlich und verhältnismäßig ist; § 25 Abs. 3 ist anzuwenden. Derartige Einschränkungen können in Verhaltensregeln gemäß Art. 40 Abs. 2 DSGVO näher präzisiert werden. Die Datenschutzbehörde hat in Verfahren gemäß Art. 40 Abs. 5 DSGVO eine Stellungnahme der KommAustria zum Entwurf der Verhaltensregeln bzw. zum Entwurf zu deren Änderung oder Erweiterung einzuholen.“

5. In § 14 Abs. 1, § 15 Abs. 3, Abs. 5 Z 1 und 2, Abs. 6, 7 und 8 und § 16 Abs. 3 Z 2 und Abs. 5 erster und dritter Satz entfällt die Wortfolge „Verfassung, Reformen, Deregulierung und“.

6. In § 15 Abs. 1 Z 5 und § 23 Abs. 1 zweiter Satz wird die Wortfolge „vom Bundesminister für Verfassung, Reformen, Deregulierung und Justiz“ durch die Wortfolge „von der Bundesministerin für Justiz“ ersetzt.

7. In § 15 Abs. 5 Z 2 wird das Wort „schriftliche“ durch das Wort „schriftlichen“ ersetzt.

8. In § 16 Abs. 5 zweiter Satz und § 19 Abs. 3 wird die Wortfolge „Der Bundesminister für Verfassung, Reformen, Deregulierung und Justiz“ durch die Wortfolge „Die Bundesministerin für Justiz“ ersetzt.

9. In § 19 Abs. 2 und § 23 Abs. 1 erster Satz wird die Wortfolge „dem Bundesminister für Verfassung, Reformen, Deregulierung und Justiz“ durch die Wortfolge „der Bundesministerin für Justiz“ ersetzt.

10. In § 28 wird das Wort „Organisationen“ durch das Wort „Organisation“ ersetzt.

11. In § 36 Abs. 2 Z 10 erster Satz wird das Wort „denen“ durch das Wort „der“ ersetzt.

12. In § 36 Abs. 2 Z 15 entfällt das Wort „ist“.

13. In § 37 Abs. 1 wird in Z 2 nach der Wortfolge „erhoben und“ das Wort „dürfen“ eingefügt und in Z 3 die Wortfolge „und müssen“ durch den Ausdruck „, dafür“ ersetzt.

14. In § 68 wird die Wortfolge „der Bundesminister für Verfassung, Reformen, Deregulierung und Justiz“ durch die Wortfolge „die Bundesministerin für Justiz“ ersetzt.

15. Dem § 70 wird folgender Abs. 15 angefügt:

„(15) § 9 Abs. 1 und 1a in der Fassung des Bundesgesetzes BGBl. I Nr. 62/2024 tritt mit 1. Juli 2024 in Kraft. § 8 Abs. 2 Z 2 lit. b und Abs. 3 Z 1, § 14 Abs. 1, § 15 Abs. 1 Z 5, Abs. 3, Abs. 5 Z 1 und 2, Abs. 6, 7 und 8, § 16 Abs. 3 Z 2 und Abs. 5, § 19 Abs. 2 und 3, § 23 Abs. 1 erster und zweiter Satz, § 28, § 36 Abs. 2 Z 10 erster Satz und Z 15, § 37 Abs. 1 Z 2 und 3 und § 68 in der Fassung des Bundesgesetzes BGBl. I Nr. 62/2024 treten mit Ablauf des Tages der Kundmachung in Kraft.“