Begutachtung 132/ME · XXVIII. GP

GZ: D055.1413 2026-0.641.303 Sachbearbeiter: Mag. Markus STERNISTE Barichgasse 40-42 A-1030 Wien Tel.: +43-1-52152 0 E-Mail: dsb@dsb.gv.at Stellungnahme der Datenschutzbehörde per E-Mail: medienrecht@bmwkms.gv.at; Post.VII-2@bka.gv.at Betrifft: Stellungnahme der Datenschutzbehörde zum Bundesgesetz, mit dem das Audiovisuelle Mediendienste-Gesetz und das KommAustria-Gesetz geändert werden Die Datenschutzbehörde nimmt in o.a. Angelegenheit aus Sicht ihres Wirkungsbereiches wie folgt Stellung: I. Allgemeines Die Europäische Kommission hat rezent im Zuge eines Notifizierungsverfahrens (zu 2026/185/FR) betreffend einen französischen Gesetzesentwurf, mit dem Minderjährigen unter 15 Jahren der Zugang zu sozialen Online-Netzwerken untersagt werden soll, (auszugsweise) festgehalten, dass der „notifizierte Entwurf – um nicht in die durch das Gesetz über digitale Dienste vollständig harmonisierten Bereiche einzugreifen – nicht so ausgelegt werden sollte, dass er den Anbietern von Online-Plattformen Verpflichtungen auferlegt. […] Sollten diese Antworten der französischen Behörden darauf hindeuten, dass der notifizierte Entwurf rechtliche Verpflichtungen für Anbieter von Vermittlungsdiensten im Hinblick auf die Umsetzung des Verbots des Zugangs Minderjähriger unter 15 Jahren zu bestimmten sozialen Netzwerken enthält, würde die Kommission diese Verpflichtungen […] als mit der maximalen Harmonisierungswirkung des Gesetzes über digitale Dienste und insbesondere mit seinen Artikeln 28, 34 und 35 unvereinbar ansehen“ (vgl. dazu die zur Notifizierung 2026/185/FR ergangene ausführliche Stellungnahme der Europäischen Kommission vom 6.7.2026, C(2026) 4682 final). Angesichts dieser Einschätzung der Europäischen Kommission wird angeregt, den gegenständlichen Entwurf im Hinblick auf die Vereinbarkeit mit der Verordnung (EU) 2022/2065 des europäischen Parlaments und des Rates vom 19. Oktober 2022 über einen Binnenmarkt für digitale Dienste und zur Änderung der Richtlinie 2000/31/EG (Gesetz über digitale Dienste) einer (nochmaligen) Überprüfung zu unterziehen. Schließlich stellt der vorliegende Entwurf in § 54e Abs. 3 Z 5 iVm Abs. 3a (und den - 2 – Erläuterungen) klar darauf ab, dass die Plattform-Anbieter verpflichtet werden, zur wirksamen Zugangskontrolle eine Altersverifikationsmethode einzusetzen. Im Übrigen merkt die Datenschutzbehörde an, dass dem gegenständlichen Entwurf keine Ausführungen zum Verhältnis zu Art. 8 DSGVO zu entnehmen sind. Damit bleibt unklar, in welchem Verhältnis der Entwurf zu Art. 8 DSGVO steht. Sofern Art. 8 DSGVO anwendbar ist, hat dies eine Vollzugszuständigkeit der Datenschutzbehörde zur Folge. II. Zu Art. 1 Z 6 (§ 54e Abs. 3a) Die Datenschutzbehörde weist zunächst – im Lichte der Erklärung 1/2025 des EDSA zur Altersfeststellung (angenommen am 11. Februar 2025) – ausdrücklich darauf hin, dass angesichts der Vielfalt und Schwere der Risiken, die mit Altersfeststellungssystemen verbunden sind, insbesondere wenn Ausweisdokumente oder besondere Kategorien personenbezogener Daten wie biometrische Daten verarbeitet werden, größte Aufmerksamkeit darauf verwendet werden sollte, jeden unnötigen Zugang zu personenbezogenen Daten sowie jede unnötige Verarbeitung, gemeinsame Nutzung und Speicherung von personenbezogenen Daten zu vermeiden. Zudem bieten Sicherheitsmaßnahmen im Rahmen der Altersfeststellung auch keine Garantie dafür, dass ein berechtigter oder unberechtigter Zugriff auf personenbezogene Daten nicht doch die Rechte natürlicher Personen beeinträchtigt. Im Sinn des Grundsatzes der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO dürfen nur jene personenbezogenen Daten verarbeitet werden, die aus technischer Sicht zwingend für die Durchführung der Altersverifikation erforderlich sind. Die Datenschutzbehörde begrüßt vor diesem Hintergrund und sieht es als wesentlich an, dass – wie im Entwurf auch zum Ausdruck gebracht wird – einem Plattform-Anbieter nur das erforderliche Altersprädikat (etwa 14 Jahre oder älter) mitgeteilt wird, weil sich eine Übermittlung weiterer personenbezogener Daten (etwa des genauen Alters oder des Namens) zur Erfüllung der verpflichteten Zugangskontrolle nicht als erforderlich erweist. Zur Klarheit könnte angedacht werden, den Passus „Für den Nachweis des Alters gegenüber einer Video-Sharing- Plattform“ (Beginn des vierten Satzes) dahingehend anzupassen, dass das Überschreiten des (vorgesehenen) Mindestalters gegenüber einer Video-Sharing-Plattform nachgewiesen werden muss. Die Datenschutzbehörde begrüßt aus datenschutzrechtlicher Sicht auch die im gegenständlichen Entwurf an die Altersverifikationsmethoden gestellten Anforderungen und die Trennung zwischen Plattform-Anbietern und den Anbietern von Altersverifikationsmethoden. Es wird im Zusammenhang mit dieser Trennung jedoch angemerkt, dass dem Entwurf keine Benennung eines datenschutzrechtlich Verantwortlichen zu entnehmen ist. Dies ist zwar im Lichte der Rechtsprechung des EuGH nicht erforderlich, weil die Vorgabe der Zwecke und Mittel der Verarbeitung und gegebenenfalls die Benennung des Verantwortlichen durch das nationale Recht nicht nur explizit, sondern auch implizit erfolgen kann. Im letzteren Fall ist es jedoch erforderlich, dass sich diese Vorgabe mit hinreichender - 3 – Bestimmtheit aus der Rolle, dem Auftrag und den Aufgaben der betroffenen Person oder Einrichtung ergibt (vgl. EuGH 27.2.2025, C-638/23, Amt der Tiroler Landesregierung, Rn. 30). Angesichts der Bedeutung für die betroffenen Personen (vgl. dazu auch die [bereits genannte] Erklärung 1/2025 des EDSA zur Altersfeststellung) wären aus Sicht der Datenschutzbehörde zumindest in den Erläuterungen Ausführungen zur datenschutzrechtlichen Rollenverteilung zu begrüßen. III. Zu Art. 1 Z 6 (§ 54e Abs. 3b) Die Altersverifikationsmethode soll nach dem gegenständlichen Entwurf – dies in Einklang stehend mit dem Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO – auf datensparsamsten Weg erfolgen. Dass die im Zuge mit der Altersverifikation verarbeiteten Daten sachlich richtig sein müssen, ergibt sich aus datenschutzrechtlicher Sicht bereits aus Art. 5 Abs. 1 lit. d DSGVO. Vor dem Hintergrund, dass mit der Altersverifikationsmethode alleinig bezweckt wird, Minderjährigen bis zum Überschreiten einer Altersgrenze den Zugang zu bestimmten Plattformen zu verwehren, ist für die Datenschutzbehörde nicht (völlig) nachvollziehbar, weshalb – im Sinn des § 54e Abs. 3b – eine „verlässliche“ Altersfeststellung dem im Finanzmarkt-Geldwäschegesetz (betreffend die Verhinderung der Geldwäscherei und Terrorismusfinanzierung) vorgesehenen Sorgfaltsmaßstab entsprechend bzw. gleichwertig sein muss. Eine diesbezügliche Überprüfung wird angeregt. IV. Zu Art. 1 Z 13 (§ 67a) Die Evaluierungsbestimmung des § 67a sieht in Abs. 1 Z 2 leg. cit. vor, dass (bis zum Ablauf des 30. Juni 2028) der Bundesminister für Wohnen, Kunst, Kultur, Medien und Sport im Einvernehmen mit dem Bundeskanzler und der Bundesministerin für Justiz auf der Grundlage eines von der Datenschutzbehörde vorgelegten Berichts über die Anwendung des § 54e Abs. 3a und 3b eine Evaluierung der Vorschriften über die Altersverifikation vorzunehmen hat, welche insbesondere die Entwicklung auf europäischer Ebene berücksichtigt. Die Datenschutzbehörde erinnert vor diesem Hintergrund daran, dass sie zuletzt im Tätigkeitsbericht für das Jahr 2025 festgehalten hat, dass die Zusatzaufgaben im Zusammenhang mit der KI-VO, der Verordnung über die Transparenz und das Targeting in der politischen Werbung, dem IFG sowie der Richtlinie über Plattformarbeit ohne zusätzliches Personal nicht (vollständig) wahrgenommen werden können. Eine weitere Zusatzaufgabe in Form der hier vorgesehenen Berichterstellung zur Evaluierung der Vorschriften über die Altersverifikation führt – ohne entsprechende personelle Ausstattung der Datenschutzbehörde – unvermeidbar zu einer weiteren Anspannung der Personalsituation. Neben den erforderlichen personellen Ressourcen müssten der Datenschutzbehörde zudem die relevanten Daten von den Plattform-Anbietern (die oftmals in Drittstaaten ansässig sind) zur Verfügung gestellt werden, um einen gehaltvollen Bericht nach § 67a erstellen zu können. Im gegenständlichen - 4 – Entwurf sind jedoch (soweit ersichtlich) weder Informationspflichten an die Datenschutzbehörde vorgesehen, noch besteht gegenüber der Datenschutzbehörde eine Mitwirkungspflicht der Plattform-Anbieter bzw. der Anbieter einer Altersverifikationsmethode im Zusammenhang mit der Zurverfügungstellung des entsprechenden Datenmaterials. Die Datenschutzbehörde wäre daher bei der Erstellung dieses Berichts (im Fall einer unzureichenden Mitwirkung dieser Akteure) vordergründig auf öffentlich verfügbare Informationen angewiesen. Ob damit dem Ziel der vorgesehenen Evaluierungsbestimmung Genüge getan wird, ist nach Auffassung der Datenschutzbehörde zweifelhaft. Selbst wenn Mitwirkungspflichten vorgesehen wären, bleibt fraglich, inwiefern diese gegenüber – oftmals in Drittstaaten ansässigen – Anbietern durchgesetzt werden können. Aufgrund der Erfahrungen der Datenschutzbehörde bei der erstmaligen Evaluierung nach § 15 Abs. 2 IFG kann bereits jetzt festgehalten werden, dass eine Evaluierung ohne korrespondiere Mitwirkungspflicht nicht sinnvoll durchgeführt werden kann. Im Sinne der Grundsätze der Sparsamkeit, Wirtschaftlichkeit und Zweckmäßigkeit der Verwaltung sowie aufgrund der bereits jetzt angespannten Personalsituation ersucht die Datenschutzbehörde dringend, von der Zuweisung weiterer Aufgaben – die, wie vorliegend, zudem aller Voraussicht nach nicht zielführend durchgeführt werden können – Abstand zu nehmen. Eine Kopie der Erledigung geht an den Präsidenten des Nationalrates 9. September 2026 Der Leiter der Datenschutzbehörde: SCHMIDL