Rechtsquellen

Trotz der unmittelbaren Geltung der DSGVO bedarf es in bestimmten Bereichen einer Durchführung im nationalen Recht (zB Einrichtung von Aufsichtsbehörden gemäß Art. 51 DSGVO, Verfahrensrecht). Zudem sieht die DSGVO zahlreiche Öffnungsklauseln vor, die den Mitgliedstaaten bestimmte nationale Regelungsspielräume einräumt. Während die notwendige Durchführung der DSGVO überwiegend im Datenschutzgesetz (DSG) erfolgt, werden die Öffnungsklauseln auch in anderen nationalen Gesetzen (hinsichtlich Datenverarbeitungen im Bereich der Gesetzgebung zB im InfOG, GOG-NR, RHG, VAG) umgesetzt.

Im Datenschutzgesetz (DSG) wird das (nationale) Grundrecht auf Datenschutz (§ 1 DSG) verfassungsrechtlich verankert. § 1 Abs. 1 DSG verbürgt einen Anspruch auf Geheimhaltung von personenbezogenen Daten. Die Voraussetzungen für einen Eingriff in das Grundrecht auf Datenschutz werden in § 1 Abs. 2 DSG geregelt. Im Gegensatz zur DSGVO schützt § 1 DSG nicht nur natürliche Personen, sondern auch juristische Personen. Dem Grundrecht auf Datenschutz kommt unmittelbare Drittwirkung zu; es verpflichtet daher sowohl den Staat als auch Private. Verletzungen des Grundrechts auf Datenschutz im Zuständigkeitsbereich des Parlamentarischen Datenschutzkomitees (PDK) können mittels Beschwerde an das PDK geltend gemacht werden (§ 35f Abs. 1 DSG). Auf grundrechtlicher Ebene garantieren zudem Art. 8 der Europäischen Menschenrechtskonvention (EMRK) sowie Art. 7 und 8 der Grundrechtecharta (GRC) zentrale datenschutzrelevante Rechte.

Im DSG finden sich zudem Durchführungsbestimmungen und ergänzende Regelungen zur DSGVO (Artikel 2 1. Hauptstück DSG). Im Zuständigkeitsbereich des PDK sind insbesondere folgende Bestimmungen von Relevanz:

• Bestimmungen über das Parlamentarische Datenschutzkomitee (6. Abschnitt des DSG: §§ 35a bis 35j, § 69 Abs. 10 und 11 DSG),
• Regelungen betreffend den Datenschutzbeauftragten (§ 5 DSG),
• Datengeheimnis (§ 6 DSG),
• Regelungen im Zusammenhang mit Datenverarbeitungen zu spezifischen Zwecken (§§ 7 bis 9 DSG, § 35e Abs. 1 DSG),
• Ergänzende Regelungen betreffend Aufgaben und Befugnisse des Parlamentarische Datenschutzkomitees (§ 21 Abs. 1 und § 22 in Verbindung mit § 35e Abs. 2 DSG),
• Ergänzende Regelungen betreffend die Beschwerde an das Parlamentarische Datenschutzkomitee (§ 24 Abs. 2 bis 9 und Abs. 10 Z 1 in Verbindung mit § 35f DSG),
• Ausschluss der Verhängung von Geldbußen gegen Behörden, öffentliche Stellen und Körperschaften öffentlichen Rechts (§ 30 Abs. 5 in Verbindung mit § 35e Abs. 2 DSG),
• Regelungen betreffend die Beschwerde gegen Entscheidungen des PDK an das Bundesverwaltungsgericht (§ 27 Abs. 1 in Verbindung mit § 35h DSG),
• Verwaltungsstrafbestimmung (§ 62 Abs. 1 bis 4 und 6 DSG).

Im Geschäftsordnungsgesetz 1975 (GOG-NR) wird in datenschutzrechtlicher Hinsicht ua. Folgendes geregelt:

In der Anlage 1 zum GOG-NR ist die Verfahrensordnung für parlamentarische Untersuchungsausschüsse (VO-UA) geregelt. In der VO-UA finden sich ua. Bestimmungen zur Veröffentlichung von personenbezogenen Daten im Rahmen eines Untersuchungsausschusses (zB wörtliche Protokolle über öffentliche Befragungen von Auskunftspersonen und Sachverständigen, Ladungslisten, schriftliche Stellungnahmen von Auskunftspersonen) (§ 20 VO-UA) und zur Möglichkeit der Erhebung von Einwendungen gegen wörtliche Protokolle über die Befragung von Auskunftspersonen und Sachverständigen (§ 19 Abs. 3 VO-UA).

In der Geschäftsordnung des Bundesrates (GO-BR) wird in datenschutzrechtlicher Hinsicht ua. Folgendes geregelt:

• Veröffentlichung personenbezogener Daten durch den Präsidenten des Bundesrates (§ 7 Abs. 10 GO-BR),
• Entscheidung des Präsidenten des Bundesrates über datenschutzrechtliche Anträge von betroffenen Personen für den Bundesrat und Vertretung des Bundesrates in behördlichen oder gerichtlichen Verfahren in datenschutzrechtlichen Angelegenheiten des Bundesrates (§ 7 Abs. 11 GO-BR),
• Rechtsgrundlagen für die Übertragung von öffentlichen Verhandlungen des Plenums des Bundesrates (§ 36 Abs. 1 GO-BR) und des EU-Ausschusses (§ 13b Abs. 3 GO-BR) mittels Livestream,
• Veröffentlichung von Eingaben (Petitionen) an den Bundesrat sowie der während der parlamentarischen Behandlung einer Eingabe abgegebenen Stellungnahmen auf der Website des Parlaments (§ 25 Abs. 1 und 4 GO-BR),
• Bestellmodus der gemeinsamen Datenschutzbeauftragten für den Nationalrat und Bundesrat (§ 14a GO-BR).