Tourismusverbände in Österreich … Notwendigkeit der Benennung eines Datenschutzbeauftragten.
Ab 25.05.2018 sind alle Behörden und öffentliche Stellen verpflichtet, einen Datenschutzbeauftragten zu benennen (Art 37 Abs 1 DSGVO).
Ein Tourismusverband ist zwar keine Behörde, aber in manchen Bundesländern eine Körperschaft öffentlichen Rechts und in anderen Bundesländern per Gesetz eingerichtet.
Burgenland: § 13 Abs 1 Tourismusgesetz:
Die Wahrnehmung der regionalen und örtlichen Belange des Tourismus obliegt den als Körperschaften öffentlichen Rechts eingerichteten Tourismusverbänden
Kärnten: § 4 Abs 1 Gesetz über die Neuregelung der Organisation und Finanzierung des Tourismus in Kärnten:
Die Wahrnehmung der örtlichen Belange des Tourismus obliegt den nach den Bestimmungen des II. Teils dieses Gesetzes als Körperschaften öffentlichen Rechts eingerichteten Tourismusverbänden.
Niederösterreich: § 5 NÖ. Tourismusgesetz 2010:
Der Tourismusverband ist eine Vereinigung von in einem geographisch geschlossenen Gebiet liegenden Gemeinden mit Rechtspersönlichkeit.
Oberösterreich § 10 Abs 1 OÖ. TourismusG:
Die Landesregierung hat zur Wahrnehmung der örtlichen und regionalen öffentlichen touristischen Interessen für die Gebiete der Tourismusgemeinden marktrelevante und effiziente (ein- oder mehrgemeindige) Tourismusverbände zu errichten. Diese sind Körperschaften öffentlichen Rechts und besitzen Rechtspersönlichkeit. Die Errichtung erfolgt nach Anhörung aller betroffenen Tourismusgemeinden und Tourismusverbände durch Verordnung der Landesregierung. In der Verordnung ist für jeden Tourismusverband festzulegen, welche Bezeichnung er führt, für welche Tourismusgemeinde(n) er errichtet wird und in welcher Gemeinde er den Sitz hat.
Salzburg, § 1 (2) Salzburger Tourismusgesetz:
Der Tourismusverband ist eine Vereinigung von in einem geographisch geschlossenen Gebiet liegenden Gemeinden mit Rechtspersönlichkeit.
Steiermark, § 4 (2) Steiermärkisches Tourismusgesetz:
Ein Tourismusverband ist eine Körperschaft des öffentlichen Rechts und besitzt Rechtspersönlichkeit.
Tirol, § 1 (2) Tiroler Tourismusgesetz:
Tourismusverbände sind Körperschaften des öffentlichen Rechts.
Vorarlberg:
In Vorarlberg werden die Aufgaben durch „Tourismusgemeinden“ wahrgenommen.
Wien: § 2 Wiener Tourismusförderungsgesetz
(1) In Wien besteht als Landesorganisation für
Tourismus der "Wiener Tourismusverband", Kurzbezeichnung "Wien-Tourismus", in der Folge kurz "Verband" genannt.
(2) Der Verband besitzt Rechtspersönlichkeit.
Die DSGVO definiert nicht, was öffentliche Stellen sind.
Die österreichische Datenschutzbehörde hat dazu in ihrem Leitfaden zur Umsetzung der DSGVO Stellung genommen:
Was ist eine „öffentliche Stelle“?
Die Datenschutzbehörde kann keine konkrete Einzelfallprüfung vor- bzw. vorwegnehmen, ob eine Stelle als öffentliche Stelle anzusehen ist oder nicht.
Grundsätzlich obliegt es dem Verantwortlichen selbst diese Einordnung entsprechend der gegebenen Rechtsgrundlagen vorzunehmen. Neben diversen deutschsprachigen Kommentaren (siehe dazu Punkt 13 dieses Leitfadens) sowie der Leitlinie der Art. 29-Gruppe zum Datenschutzbeauftragten, welche Anhaltspunkte für die Auslegung des Begriffs der öffentlichen Stelle liefern, ist insbesondere das Datenschutzanpassungsgesetz 2018 heranzuziehen. Darin findet sich in § 26 Abs. 1 DSG eine Definition für den Verantwortlichen des öffentlichen Bereichs. Darunter fallen alle Verantwortliche,
· die in Formen des öffentlichen Rechts eingerichtet sind oder
· zwar in Form des Privatrechts eingerichtet sind, jedoch in Vollziehung der Gesetze tätig werden (so genannte „beliehene Rechtsträger“ sowie Fälle der schlichten Hoheitsverwaltung).
Nach derzeitiger Ansicht der Datenschutzbehörde kann
diese Definition als Beurteilungskriterium herangezogen werden. Sie entspricht auch weitgehend jener Definition, die das deutsche Bundesdatenschutzgesetz vorsieht, welches den Begriff der
„öffentlichen Stelle“ schon jetzt kennt.
Sofern diese Merkmale vom jeweiligen Verantwortlichen nicht erfüllt werden, wird schwerlich eine Einordnung als öffentliche Stelle möglich sein.
Als „Körperschaft öffentlichen Rechts“ ist ein Tourismusverband in einer Form des öffentlichen Rechts eingerichtet, und damit als „öffentliche Stelle“ iSd Art 37 Abs 1 lit a DSGVO zu qualifizieren. Ein Tourismusverband ist daher verpflichtet, einen Datenschutzbeauftragten (DSBA) zu benennen.
Die Aufgaben eines DSBA umfassen:
· Unterrichtung und Beratung des Verantwortlichen und der (datenverarbeitenden) Beschäftigten
· Überwachung der Einhaltung der DSGVO
· Zuweisung von Zuständigkeiten, Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter
· Auf Anfrage die Beratung im Zusammenhang mit der Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung
· Zusammenarbeit mit der Aufsichtsbehörde sowie
· Tätigkeit als Anlaufstelle für die Aufsichtsbehörde
Mehrere öffentliche Stellen können einen gemeinsamen Datenschutzbeauftragen benennen, sofern dies aufgrund der Organisationsstruktur und der Größe möglich ist. Es ist daher davon auszugehen, dass Tourismusverbände, die eine gleichartige Struktur aufweisen, und im Wesentlichen gleiche oder ähnliche Aufgaben wahrnehmen und gleichartige Verarbeitungsvorgänge durchführen, einen gemeinsamen DSBA bestellen können. (siehe Art 37 Abs 3 DSGVO).
Ein DSBA kann ein Beschäftigter des Verantwortlichen sein; es kann aber auch eine externe Person auf Basis eine Dienstleistungsvertrages die Aufgaben wahrnehmen. (siehe Art 37 Abs 6 DSGVO).
dataprotect | Dr. Thomas Schweiger, LL.M. (Duke), CIPP/E steht als externer DSBA gerne zur Verfügung.
Kommentar schreiben