Juristische Personen im Datenschutz: Geheimhaltung nach § 1 DSG

Eine juristische Person kann sich in Österreich auf den Schutz des § 1 DSG berufen. Eine GmbH, ein Verein oder eine andere Organisation kann daher die Geheimhaltung eigener personenbezogener Daten verlangen, wenn ein schutzwürdiges Interesse besteht.

Dieser Schutz macht die Organisation nicht automatisch zu einer betroffenen Person nach der DSGVO. Die DSGVO bezieht sich bei personenbezogenen Daten auf natürliche Personen. Für die Einordnung kommt es deshalb zuerst darauf an, wem die Information zugeordnet ist und welche rechtliche Grundlage für ihre Verwendung besteht.

§ 1 Abs 1 DSG spricht vom Anspruch „Jedermanns“ auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse besteht. Die österreichische Datenschutzbehörde weist ausdrücklich darauf hin, dass dieser Schutz auch juristische Personen umfasst. Er kann daher Daten einer GmbH, eines Vereins oder einer anderen Organisation erfassen.

Der Anspruch knüpft an konkrete Daten und ein schutzwürdiges Interesse an. Er ist kein allgemeines Gütesiegel für jede Information, die ein Unternehmen als vertraulich bezeichnet. Zu prüfen bleibt, ob die Daten der juristischen Person zugeordnet werden können und ob die gesetzliche Ausnahme für allgemein verfügbare oder nicht rückführbare Daten greift.

Für die erste Prüfung hilft eine genaue Beschreibung: Geht es um die Firma selbst, ihre interne Organisation, einen Vertrag, eine wirtschaftliche Kennzahl oder um Informationen über eine Geschäftsführerin, einen Mitarbeiter oder einen Kunden? Schon diese Zuordnung entscheidet, ob neben § 1 DSG auch die DSGVO und weitere Schutzvorschriften zu prüfen sind.

Art. 4 Z 1 DSGVO definiert personenbezogene Daten als Informationen über eine identifizierte oder identifizierbare natürliche Person. Die DSGVO schützt daher keine juristische Person als solche. Eine GmbH kann trotzdem Verantwortliche sein und Pflichten gegenüber den natürlichen Personen erfüllen, deren Daten sie verarbeitet. Diese Rolle ist von der eigenen Stellung als geschützte Organisation zu trennen.

Ein Unternehmen kann deshalb zugleich zwei unterschiedliche Perspektiven haben. Es kann Geheimhaltung für eigene Daten nach § 1 DSG beanspruchen und als Verantwortlicher die Rechte von Kunden, Beschäftigten oder Vertragspartnern nach der DSGVO beachten. Aus der ersten Perspektive folgt keine automatische Auskunft, Löschung oder Datenübertragbarkeit nach der DSGVO für die juristische Person.

Umgekehrt darf ein Unternehmen einen Antrag einer natürlichen Person nicht mit dem Hinweis abweisen, die Unterlagen beträfen auch die Firma. Enthalten die Unterlagen Daten über eine identifizierte Person, sind die einschlägigen Betroffenenrechte eigenständig zu prüfen. Der [Begriff personenbezogene Daten](/lexikon/personenbezogene-daten/) hilft bei dieser ersten Trennung.

§ 1 Abs 1 DSG setzt ein schutzwürdiges Interesse an der Geheimhaltung voraus. Dafür braucht es eine Betrachtung des konkreten Datenbestands und der möglichen Folgen seiner Verwendung. Die bloße Bezeichnung als Geschäftsgeheimnis ersetzt diese Prüfung nicht. Umgekehrt kann eine Information schutzwürdig sein, auch wenn sie nicht in eine einzelne gesetzliche Kategorie fällt.

Der Anspruch ist nach dem Gesetz ausgeschlossen, wenn Daten wegen ihrer allgemeinen Verfügbarkeit oder wegen mangelnder Rückführbarkeit keinem Geheimhaltungsanspruch zugänglich sind. Eine bereits frei zugängliche Firmenbuchangabe ist daher anders zu beurteilen als eine interne Preisstrategie, eine nicht veröffentlichte Kundenliste oder eine vertrauliche technische Dokumentation. Maßgeblich bleibt der konkrete Datenbezug.

Prüfen Sie außerdem, ob die Information tatsächlich der juristischen Person oder einer natürlichen Person zugeordnet wird. Der Name einer Geschäftsführerin, eine private Telefonnummer oder eine personenbezogene E-Mail-Adresse können trotz ihres Auftretens in einem Unternehmensdokument personenbezogene Daten einer natürlichen Person sein. Die Einordnung darf solche Daten nicht in Unternehmensdaten auflösen.

§ 1 Abs 2 DSG beschreibt, unter welchen Voraussetzungen der Anspruch auf Geheimhaltung beschränkt werden darf. Maßgeblich sind insbesondere ein lebenswichtiges Interesse, die Zustimmung oder überwiegende berechtigte Interessen eines anderen. Bei staatlichen Eingriffen verlangt die Bestimmung zusätzlich eine gesetzliche Grundlage und die dort genannten Voraussetzungen.

Für private Datenweitergaben bedeutet das: Ein berechtigtes Interesse muss gegenüber dem Geheimhaltungsinteresse abgewogen werden. Für Behörden reicht eine allgemeine Zweckmäßigkeit nicht aus. Die konkrete gesetzliche Ermächtigung, die Schutzbedürftigkeit der Daten und die Verhältnismäßigkeit des Eingriffs sind getrennt zu prüfen.

Das Gesetz verlangt auch bei einem zulässigen Eingriff die gelindeste, zum Ziel führende Art. In der Praxis kann daher zu fragen sein, ob eine vollständige Offenlegung erforderlich ist oder ob eine begrenzte Datenmenge, ein beschränkter Empfängerkreis oder eine weniger eingriffsintensive Form ausreicht. Eine pauschale Freigabe aller Unternehmensunterlagen folgt daraus nicht.

§ 1 Abs 3 DSG nennt für „Jedermann“ unter gesetzlichen Voraussetzungen ein Recht auf Auskunft darüber, wer welche Daten verarbeitet, woher sie stammen, wozu sie verwendet und an wen sie übermittelt werden. Außerdem nennt die Bestimmung die Richtigstellung unrichtiger Daten und die Löschung unzulässigerweise verarbeiteter Daten.

Diese Regelung ist von den Betroffenenrechten der DSGVO zu unterscheiden. Sie erlaubt keine pauschale Aussage, dass eine juristische Person sämtliche Rechte aus den Artikeln 12 bis 22 DSGVO wie eine natürliche Person geltend machen kann. Umfang, Verfahren und Einschränkungen richten sich nach der jeweils einschlägigen gesetzlichen Bestimmung und dem konkreten Datenbestand.

Ein Antrag sollte deshalb präzise formuliert werden. Geht es um die Herkunft einer Unternehmensinformation, um eine unrichtige Firmenangabe, um eine unzulässige Weitergabe oder um Daten einer natürlichen Person? Die Seite [Betroffenenrechte und Auskunft](/themen/betroffenenrechte-auskunft/) erklärt die DSGVO-Perspektive für natürliche Personen und ersetzt die Prüfung nach § 1 DSG nicht.

In der Praxis liegen Unternehmensdaten und Daten natürlicher Personen häufig in derselben Datei. Ein Lieferantenvertrag kann die Firma als Vertragspartnerin, den Namen einer Kontaktperson und private Kontaktdaten enthalten. Eine interne Untersuchung kann Geschäftskennzahlen ebenso wie Aussagen einzelner Mitarbeiter dokumentieren. Jede Information braucht ihre eigene Zuordnung.

Bei einer Weitergabe ist daher zu trennen: Welche Daten betreffen die juristische Person, welche die natürliche Person und welche Rechte Dritter stehen einer Offenlegung entgegen? Eine Schwärzung kann für einzelne personenbezogene Angaben erforderlich sein. Sie ersetzt aber keine Prüfung, ob der verbleibende Unternehmensbestand nach § 1 DSG geheim zu halten ist.

Auch ein Auskunftsantrag darf nicht automatisch zur Übergabe der gesamten Akte führen. Der [Beitrag zum Auskunftsantrag mit Daten Dritter](/aktuell/auskunftsantrag-daten-dritter-schwaerzung/) zeigt die Abgrenzung für natürliche Personen. Bei Unternehmensdaten kommen daneben gesellschaftsrechtliche, vertragliche, wettbewerbsrechtliche oder strafrechtliche Fragen in Betracht, die jeweils gesondert zu prüfen sind.

Für eine belastbare Einordnung sollten Sie den konkreten Datensatz, seine Herkunft, den Zweck der Verwendung und den geplanten Empfänger festhalten. Ergänzend sind der Zeitpunkt der Erhebung, die bisherige Veröffentlichung, die technische Zuordnung und die Frage wichtig, ob einzelne Angaben auf eine natürliche Person zurückführen.

Bei einer beanstandeten Weitergabe gehören die ursprüngliche Mitteilung, die Empfängerliste, die interne Freigabe und die behaupteten Folgen in die Prüfung. Bei einer Richtigstellung oder Löschung ist zu dokumentieren, welche Angabe unrichtig oder unzulässig ist und in welchen Systemen sie vorkommt. Die [Datenschutz-Governance für Unternehmen](/themen/compliance-governance/) bietet den organisatorischen Rahmen für solche Nachweise.

Die Unterlagen ermöglichen eine rechtliche Bewertung, ersetzen sie aber nicht. Besonders wichtig sind die Tatsachen, die den Datenbezug, das schutzwürdige Interesse und die Verhältnismäßigkeit des Eingriffs belegen. Erst danach lässt sich entscheiden, ob eine begrenzte Korrektur, eine Einschränkung der Weitergabe oder ein weitergehender Schritt sinnvoll ist.

Wir prüfen, ob die beanstandeten Informationen der juristischen Person oder natürlichen Personen zuzuordnen sind, ob ein schutzwürdiges Interesse nach § 1 DSG besteht und welche Beschränkungen der Geheimhaltung rechtlich in Betracht kommen. Für die erste Einordnung helfen der konkrete Datensatz, seine Herkunft, die geplante oder bereits erfolgte Weitergabe und die betroffenen Empfänger. Kontaktieren Sie uns, wenn die Abgrenzung zwischen Unternehmensdaten und Betroffenenrechten für eine Entscheidung benötigt wird.