Mit dem Bundesgesetzblatt I 2019/14 vom 15. Jänner 2019 wurde das Bundesgesetz, mit dem (unter anderem) das Datenschutzgesetz geändert wird, verlautbart.
Damit wird das „Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG)“, zuletzt geändert durch das „Datenschutz-Deregulierungs-Gesetz 2018“ wiederum geändert. Erwähnenswert ist die mit 31.12.2019 erfolgende Aufhebung der Regelungen
- zur Zuständigkeit zwischen Bund und Ländern (§ 2 DSG), wobei materienspezifischer Datenschutz als Annexmaterie unberührt bleiben soll, und
- zum räumlichen Anwendungsbereich (§ 3 DSG).
Der § 3 DSG bringt bzw brachte aber ein „rechtssichereres Mehr“ gegenüber der Datenschutz-Grundverordnung (DSGVO). Er schaffte nämlich eine klare Abgrenzung der nationalen Datenschutzgesetze der Mitgliedsstaaten gegenüber dem österreichischen Datenschutzgesetz:
Die Bestimmungen des DSG sind auf die Verwendung von personenbezogenen Daten im Inland anzuwenden.
Darüber hinaus ist das DSG auf die Verwendung von Daten im Ausland anzuwenden, soweit diese Verwendung in anderen Mitgliedstaaten der Europäischen Union für Zwecke einer in Österreich gelegenen Haupt- oder Zweigniederlassung geschieht.
Abweichend von Vorherigem ist das Recht des Sitzstaates auf eine Datenverarbeitung im Inland anzuwenden, wenn in Österreich zu einem Zweck verwendet/ verarbeitet wird, der keiner in Österreich gelegenen Niederlassung zuzurechnen ist.
Weiters ist das DSG nicht anzuwenden, soweit personenbezogene Daten durch das Inland nur durchgeführt werden.
Ab 1.1.2020 ist dann nicht mehr ausdrücklich geregelt, wie die Anwendbarkeit der nationalen Datenschutzgesetze abgegrenzt werden soll. Anders sehen es die Erläuterung zur Aufhebung des § 3 DSG: „Der räumliche Anwendungsbereich ergibt sich bereits unmittelbar anwendbar aus Art. 3 DSGVO.“ Daraus ergibt sich uE aber gerade keine Abgrenzung des räulichen Anwendungsbereichs zwischen den nationalen Datenschutzgesetzen der EU-Mitgliedsstaaten.
Erwähnenswert ist schließlich, dass die in der Regierungsvorlage vorgesehene „Einschränkung“ des Grundrechts (mit Drittwirkung) auf Datenschutz auf natürliche Personen (also ohne juristische Personen) NICHT Gesetz geworden ist.