Mit Bescheid vom 9. Dezember 2021 setzte sich die Datenschutzbehörde mit der Zulässigkeit eines Antrags auf Genehmigung von Verhaltensregeln für einen Universaldienstbetreiber auseinander („Universaldienstbetreiber-CoC“). Der Antrag wurde vom Universaldienstbetreiber selbst gestellt.
Zu den Voraussetzungen eines Antrags auf Genehmigung von Verhaltensregeln war zunächst festzuhalten, dass dieser nach dem Wortlaut von Art. 40 Abs. 2 und Abs. 5 DSGVO nur von Verbänden und anderen Vereinigungen, die Kategorien von Verantwortlichen oder Auftragsverarbeitern vertreten, gestellt werden kann. Es ist demnach ausgeschlossen, dass ein einzelnes Unternehmen (stellvertretend für eine Branche) einen solchen Antrag stellt.
Darüber hinaus ist es dem Konzept von datenschutzrechtlichen Verhaltensregeln fremd, dass diese im Ergebnis ausschließlich für ein einzelnes Unternehmen – also dem aktuellen Universaldienstbetreiber in Österreich – Geltung haben. Aus dem Wortlaut von Art. 40 Abs. 2 DSGVO ergibt sich, dass Verhaltensregeln für mehrere Unternehmen von Relevanz sein müssen. Dies kommt auch in ErwGr 98 der Verordnung zum Ausdruck, wonach bei der Ausarbeitung von Verhaltensregeln den „besonderen Bedürfnissen der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen Rechnung zu tragen ist“.
Dem Vorbringen des Antragstellers, dass es in Zukunft auch weitere Unternehmen
gemäß § 12 PMG geben könnte, war zu entgegnen, dass es zum maßgeblichen Entscheidungszeitpunkt der Datenschutzbehörde nur einen Universaldienstbetreiber in Österreich gibt und dass dieser nicht befugt ist, mögliche weitere Universaldienstbetreiber zu vertreten.
Nach Auffassung der Datenschutzbehörde sind Verhaltensregeln, die nur für ein Unternehmen Geltung haben, nicht mit den Vorgaben der DSGVO vereinbar. Dem genannten Universaldienstbetreiber ist die Teilnahme an datenschutzrechtlichen Verhaltensregeln dadurch nicht verwehrt, da er sich (bestehenden oder zukünftigen) Verhaltensregeln unterwerfen kann, die für seine Tätigkeitsbereiche relevant sind.
Im Ergebnis war der Antrag bescheidmäßig zurückzuweisen. Dieser Bescheid ist nicht rechtskräftig.