Verhältnismäßigkeit

Ausführliche Erklärung

Die Verhältnismäßigkeit ist zunächst ein allgemeiner Rechtsgrundsatz des Verfassungs-, Verwaltungs- und Unionsrechts und erst in zweiter Linie eine Datenschutzregel. Geprüft wird in drei Stufen: Geeignetheit (taugt die Maßnahme überhaupt zur Zielerreichung?), Erforderlichkeit (gibt es ein gleich wirksames, milderes Mittel?) und Angemessenheit (stehen Nachteile und Nutzen in einem vertretbaren Verhältnis?). In Österreich ist dieser Grundsatz für den Datenschutz sogar ausdrücklich im Verfassungsrang verankert: § 1 Abs. 2 Datenschutzgesetz bestimmt, dass ein Eingriff in das Grundrecht auf Datenschutz „jeweils nur in der gelindesten, zum Ziel führenden Art“ vorgenommen werden darf. Für staatliche Eingriffe gilt daneben Art. 8 Abs. 2 EMRK.

Im Unionsrecht adressiert Art. 5 des EU-Vertrags die Verhältnismäßigkeit des Handelns der Union selbst; Erwägungsgrund 170 der DSGVO stellt in diesem Sinn fest, dass die Verordnung nicht über das zur Zielerreichung erforderliche Maß hinausgeht. Für Unternehmen entstehen die konkreten Pflichten aber nicht aus dem Erwägungsgrund, sondern aus den Artikeln selbst: der Datenminimierung nach Art. 5 Abs. 1 lit. c, der Interessenabwägung beim berechtigten Interesse nach Art. 6 Abs. 1 lit. f sowie den risikoangemessenen technischen und organisatorischen Maßnahmen nach Art. 24 und Art. 32, die ausdrücklich den Stand der Technik und die Implementierungskosten berücksichtigen.

Die Verhältnismäßigkeit wirkt dabei in beide Richtungen. Sie begrenzt nicht nur, was ein Unternehmen darf, sondern auch, was von ihm verlangt wird: Die Informationspflicht nach Art. 14 DSGVO entfällt gemäß Abs. 5 lit. b, wenn die Information einen unverhältnismäßigen Aufwand erfordern würde, und dieselbe Grenze gilt nach Art. 19 für die Mitteilung von Berichtigungen und Löschungen an Empfänger. Wer sich darauf beruft, muss die Abwägung allerdings begründen und dokumentieren können – das folgt aus der Rechenschaftspflicht.

Besonders praxisrelevant ist der Grundsatz im Arbeitsverhältnis und beim Einsatz von KI. Biometrische Daten sind als besondere Kategorie nach Art. 9 DSGVO grundsätzlich gesperrt und nur unter engen Voraussetzungen zulässig, weshalb ein biometrisches System selten das gelindeste Mittel ist, wenn eine PIN oder ein Ausweis denselben Zweck erfüllt. Zusätzlich verlangt § 96 Abs. 1 Z 3 ArbVG für die Einführung von Kontrollmaßnahmen und technischen Systemen zur Kontrolle der Arbeitnehmer, die die Menschenwürde berühren, die Zustimmung des Betriebsrats; in Betrieben ohne Betriebsrat müssen die betroffenen Mitarbeitenden selbst zustimmen. Dokumentieren Sie die geprüften Alternativen, bevor Sie sich für die eingriffsintensivere Variante entscheiden.