Bei DSGVO-Verstoß

Bis zu 10 Mio. Euro Strafe für private "Corona-Sheriffs"

Die Corona-Situation führt teils zu skurrilen Aktivitäten. Laut ARGE Daten sind etwa immer mehr bedenkliche Formulare im Umlauf, die weit über die Grundrechte hinausgehen. Die Datenschützer empfehlen Sparsamkeit mit dem Umgang von persönlichen Daten und den Konsumenten zu mehr Achtsamkeit. Sie raten zu Anzeige bei der Datenschutzbehörde. 

ÖSTERREICH. Vor sechs Monaten ist der erste Corona-Fall in Österreich bekannt geworden, ein Ende ist nicht in Sicht.  Bildung, Kultur, Sport und Wirtschaft leiden unter den Maßnahmen, die Bevölkerung ist teils verängstigt. Und nun werden immer mehr dubiose Verordnungen in Umlauf gebracht, die - wie der Verfassungsgerichtshof (VfGH) nun schon mehrfach feststellt - keinen rechtlichen Mindeststandards entsprechen. Das gelte auch für Unternehmen, Betriebe und Organisationen. Immer mehr Bürger fühlen sich durch derartige Formulare in ihren Grundrechten verletzt, fürchten die unkontrollierte Preisgabe sensibler Daten und fühlen sich genötigt oder erpresst.

Arge Daten hat einige dieser Formulare geprüft und ist zum Ergebnis gekommen, dass viele davon in die persönlichen Rechte eingreifen. Hans G. Zeger, Obmann Arge Daten: "Uns erreichen immer mehr Anfragen verunsicherter Bürger, mit der Frage, wie sie sich angesichts derartiger - gut wienerisch - Käsezettel verhalten sollen."

Gefragt wird in einem österreichischen Hotel nach früheren Reisen, Gäste müssen einschätzen, ob es sich um "gefährliche" Gebiete handle oder ob man Kontakte zu anderen Personen aus "bedenklichen" Ländern gehabt habe. Dies stelle laut Experten einen unzulässigen Eingriff in die Reisefreiheit bzw. in das Familienleben dar. Es sei Privatsache, wohin man zuvor gereist war. Empfehlung: derartige Fragen grundsätzlich nicht bzw. mit nein beantworten. Auch Fragen nach allfälligen Corona-Symptomen oder Quarantäne seien rechtlich nicht in Ordnung und stellten einen "unzulässigen Versuch" dar gesundheitsbezogene Daten zu erheben (und offenbar zu interpretieren). Dies ist ausschließlich ausgebildeten Gesundheitsmittarbeitern vorbehalten.", heißt es vonseiten Arge Daten. Auch derartige Fragen seien grundsätzlich nicht bzw. mit "Nein" zu beantworten.

Die Forderung, "gesetzliche Bestimmungen zu COVID-19 einzuhalten", sei obsolet, da dies ohnehin vom Gesetz her verlangt werde. Sollte ein Hotelgast eine Erklärung unterschreiben müssen, allen Anweisungen des Betriebs zu folgen, wäre eine solche Forderung "unsinnig, da selbstverständlich rechtswidrigen Anweisungen nicht gefolgt werden muss."

Vorsicht vor personenbezogener Datenpreisgabe

Bei Formularen, in denen personenbezogene Daten verlangt werden, hätte der Gast das Recht zu erfahren, "wer der "Verantwortliche" ist, welche Auskunfts- und Informationsrechte bestehen, was mit den Daten tatsächlich geschieht, wie lange sie aufbewahrt werden, an wen sie weiter geleitet werden, wer Ansprechstelle für Beschwerden ist", etc., heißt es vonseiten Arge Daten. Denn: "Fehlen Angaben über Verwendungszweck, Verantwortlichen und Löschungsfristen, dann besteht die erhebliche Gefahr, dass diese Daten früher oder später in die Hände von Behörden, Organisationen und Personen kommen, für die sie definitiv nicht gedacht sind. Die Langzeitfolgen, etwa im Zusammenhang mit Versicherungen, Anstellungen, Behördenkontakten usw. sind unabsehbar." Private Stellen dürfen sich nicht anmaßen, behördliche Aufgaben zu übernehmen, ohne Kompetenz und Auftrag "mit dem Versuch einer offensichtlich rechtswidrigen Datenerhebung", warnen die Experten.

Storno und Schadenersatz möglich

Bucht man zum Beispiel ein Hotel und bekommt beim Check-In einen derartigen Corona-Zettel vorgelegt, muss man ihn keinesfalls ausfüllen. Wird im Anschluss daran die Beherbergung verweigert, hat man sowohl Anspruch auf kostenloses Storno, als auch auf Schadenersatz.

Der Schadenersatz umschließt sowohl die unmittelbaren Anreisekosten, bzw. Zusatzkosten für ein Ersatzquartier, auch entgangene Urlaubsfreuden können darunter fallen. Weiters ist für die Unannehmlichkeiten die durch dieses Formular entstanden sind auch ein Schadenersatz nach DSGVO möglich.

Anzeige ratsam  - Strafen bis zu 10 Mio. Euro

Wird ein  Formular durch einen Betroffenen NICHT ausgefüllt, so liege keine individuelle Datenschutzverletzung vor. Das Formular selbst sei jedoch DSGVO-widrig und die Datenschutzbehörde müsse in derartigen Fällen eine Strafe im Sinne der DSGVO aussprechen. Die Behörde könne bei Missachtung der Informations- und Aufklärungspflichten eine Strafe bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes verhängen.

Hans G. Zeger: "Auch wenn bei den meisten dieser Corona-Zettel nicht böse Absicht anzunehmen ist, sondern bloß Dummheit, Hysterie und Unkenntnis, wären selbst geringe Strafen ein wesentlicher Beitrag zur grundrechtlichen Gesundheit dieses Landes." 

Die korrekte Vorgangsweise

Grundsätzlich bestehe auch heute Anspruch auf eine nicht überwachte, anonyme Lebensführung. "Es ist weiterhin erlaubt anonym Einkaufen zu gehen, Spazieren zu gehen, Essen zu gehen, zu verreisen oder Freunde zu treffen", so Arge Daten. Wolle die Regierung das abstellen, dann müsse sie Verfassungsbestimmungen aufheben, inklusive Menschenrechtskonvention und EU-Grundrechtecharta. Private Einrichtungen oder subalterne Behörden in Selbstjustiz dürfen diese Rechte nicht aushebeln. Wer freiwillig seine Daten hergibt, etwa im Restaurant, dagegen sei aber nichts einzuwenden. 

Hygienemaßnahmen ok, selbst ernannte "Gesundheitssheriffs" nicht

Die Überwachung von unzulässigem Handeln positiv Getesteter sei ausschließlich Aufgabe der Gesundheitsbehörden und nicht selbst ernannter "Gesundheitssheriffs". Und die Datenschützer weiter: "Selbstverständlich dürfen Lokalbetreiber, Hotelbesiter, Kulturveranstalter Corona-Sicherheitskonzepte entwickeln. Diese können sich mit Hygieneregeln, Abständen, Masken, Grupengrößen, Öffnungszeiten und dergleichen beschäftigen, dürfen aber nicht die Grundrechte der Menschen aushebeln. Auch Datenerhebungen sind grundsätzlich möglich, müssen aber DSGVO-konform sein und dürfen nicht beliebige Daten umfassen. Keinesfalls dürfen Gesundheitsdaten zwingend erfasst werden. Derartige Erhebungen müssen zu Vertragsabschluss vollständig bekannt sein."