Allgemeine Informationen zur Überwachungsstelle
Die Basis des allgemeinen Datenschutzrechts in der EU und Österreich ist seit dem 25. Mai 2018 die Datenschutz-Grundverordnung (DSGVO) [1]. Im Zentrum steht dabei der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, wobei das nationale Datenschutzgesetz eine Ergänzung zur DSGVO darstellt [1].
Grundsätzlich ist die DSGVO von allen Verantwortlichen und Auftragsverarbeitern verpflichtend, selbstverantwortlich umzusetzen und direkt anwendbar. Darüber hinaus können sogenannte datenschutzrechtliche Verhaltensregeln gemäß Art. 40 DSGVO erarbeitet werden, die branchenspezifische Verhaltensweisen präzisieren [2].
Im Fokus steht dabei die Standardisierung und die Beseitigung von Rechtsunsicherheiten in diesem Kontext [2].
Deshalb haben Österreichs E-Wirtschaft und die Vereinigung österreichischer Elektrizitätswerke Verhaltensregeln für die Verarbeitung von personenbezogenen Daten, die mittels intelligenten Messgeräten („Smart Metern“) erhoben werden, geschaffen. Dabei geht es um die Konkretisierung, wie Verarbeitungsvorgänge in Bezug auf den Betrieb intelligenter Messgeräte datenschutzgerecht umgesetzt werden sollen. Bei diesen Verhaltensregeln handelt es sich um Vorgaben im Sinne einer branchenspezifischen sehr guten datenschutzrechtlichen Praxis.
Nach Genehmigung durch die österreichische Datenschutzbehörde im Mai 2019, sowie weiterer genehmigter Abänderungen im Oktober 2021, jeweils gemäß Art 40 Abs 5 DSGVO, gelten diese Verhaltensregeln von der Datenschutzbehörde als bestätigt [3]. Die Einhaltung dieser Regeln wird durch die eingerichtete Überwachungsstelle kontrolliert.
Die primäre Aufgabe der Überwachungsstelle ist somit die unabhängige Prüfung und Bescheinigung, dass die genehmigten Verhaltensregeln für Netzbetreiber bei der Verarbeitung von mit intelligenten Messgeräten erhobenen personenbezogenen Daten von Endverbrauchern eingehalten werden.
Einer Prüfung unterzogen werden ausschließlich „Teilnehmende“, d.h. sich der Überwachungsstelle freiwillig unterstellende Netzbetreiber.
Eine erfolgreich durchgeführte Konformitätsprüfung bei den teilnehmenden Netzbetreibern und die periodische Kontrolle alle drei Jahre führt in weiterer Folge auch zu einem gesteigerten Vertrauen bei Unternehmen, Kunden, Behörden und Gerichten, sowie Nichtregierungsorganisationen. Damit wird ebenfalls dieses übergeordnete Ziel der datenschutzrechtlichen Verhaltensregeln erreicht.
Die Österreichs E-Wirtschaft Service GmbH regelt den Betrieb einer Überwachungsstelle iSd Art 41 Abs 1 DSGVO iVm § 2 Abs 1 Überwachungsstellenakkreditierungs-Verordnung (ÜStAkk-V).
Bis Ende 2024 sind 95 % aller Zählpunkte im österreichischen Stromnetz mit intelligenten Messgeräten („Smart Meter“) auszustatten. Dabei handelt es sich um technische Einrichtungen, die den tatsächlichen Energieverbrauch und Nutzungszeitraum messen und dem Netzbetreiber über eine fernauslesbare, bidirektionale Datenübertragung zur Verfügung stellen.
Die österreichischen Stromnetzbetreiber verarbeiten somit tägliche Verbrauchswerte und ggf. auch Viertelstundenwerte der einzelnen Zählpunkte. Hierbei handelt es sich um personenbezogene Daten iSd Art 4 Z 1 DSGVO. Diese personenbezogenen Daten sind ganz besonders zu schützen. Trotz des allgemeinen Interesses an einem modernen und digitalen Stromnetz gilt es, die Privatsphäre der Stromkund*innen zu wahren.
In der Abbildung oberhalb ist die Organisationsstruktur der Überwachungsstelle mit den involvierten Akteuren dargestellt.
Die durch die Datenschutzbehörde akkreditierte Überwachungsstelle („Überwachungsstelle für Verhaltensregeln nach Art 40 DSGVO“) kommt ihren Aufgaben unter Berücksichtigung der genehmigten Verhaltensregeln nach.
Für die Aufgabenerfüllung ist diese mit folgenden Tätigkeiten beauftragt:
- Durchführung des Konformitätsbewertungsverfahrens und Wahrnehmen der Überwachungs- und der Prüftätigkeit;
- Bereitstellung und Durchführung eines Streitbeilegungsverfahrens nach Maßgabe des Art 41 DSGVO;
- Setzen von Maßnahmen gegen Teilnehmende nach Maßgabe des Maßnahmenkatalogs in den Verhaltensregeln und der Verfahrensrichtlinie;
- Mitwirkung an der Feststellung eines Änderungsbedarfs der Verhaltensregeln in Zusammenarbeit mit der Organisation gemäß § 9 ÜStAkk-V;
- Wahrnehmung der Berichtspflichten gegenüber der Datenschutzbehörde gemäß § 8 ÜStAkk-V;
- Führen eines Verzeichnisses mit Mitgliedern und Ersatzmitgliedern des entscheidungsbefugten Organs („Leitungsorgan“). Dies sind jene natürliche Person, die vom „Arbeitskreis Datenschutz“ des Vereins Österreichs E-Wirtschaft vorgeschlagen und vom „Lenkungsausschuss Netze“ des Vereins Österreichs E-Wirtschaft als solche ernannt wurden.
- Führung eines Verzeichnisses aller Teilnehmenden;
- Führung eines Verzeichnisses über die bei der Überwachungsstelle eingegangenen Beschwerden, den Status und der gegebenenfalls dadurch ergriffenen Maßnahmen;
- Abschluss von Rahmenvereinbarungen und das Führen des entsprechenden Registers der Sachverständigen inkl. deren abgeschlossenen und laufenden Verfahren nach Maßgabe der Verfahrensrichtlinie;
- Bereitstellung von Informationen auf Anfrage von interessierten Verantwortlichen oder Auftragsverarbeitern bzw. von interessierten Personen über die Verhaltensregeln, die Aufgaben der Überwachungsstelle, ihren Aufbau, ihre Finanzierung und die angewandten Verfahren iSd Verfahrensrichtlinie;
- Einrichtung und Aufrechterhaltung eines Managementsystems nach Maßgabe der „Richtlinie über den Betrieb und die Aufrechterhaltung eines Managementsystems“;
- Erstellen von standardisierten Fragebögen für die jeweiligen Verfahren sowie Erstellen von Verfahrensdokumentationen.