124. Verordnung: Durchführung des Datenschutzgesetzes im Wirkungsbereich des Bundesministeriums für Arbeit und Soziales (Datenschutzverordnung)

Auf Grund des § 9 des Datenschutzgesetzes

(DSG), BGBl. Nr. 565/1978, zuletzt geändert

durch das Bundesgesetz BGBl. Nr. 370/1986, wird

verordnet

Geltungsbereich

§ 1. Diese Verordnung gilt für alle Auftraggeber

und Dienstleister im Wirkungsbereich des Bundesministeriums

für Arbeit und Soziales.

Auftraggeber und Aufgabengebiete

§ 2. (1) Auftraggeber sind nach Maßgabe ihrer

örtlichen und sachlichen Zuständigkeit

1. das Bundesministerium für Arbeit und Soziales

2. die Landesarbeitsämter

3. die Arbeitsämter

4. die Landesinvalidenämter

5. die Arbeitsinspektorate

(2) Die im Abs. 1 genannten Auftraggeber können

auch Dienstleister sein.

§ 3. (1) Aufgabengebiete im Sinne dieser Verordnung

sind

1. Durchführung der Aufgaben der Arbeitsmarktverwaltung

in Vollziehung des Bundesgesetzes

über die Gewährung von Überbrückungshilfen

an ehemalige Bundesbedienstete,

BGBl. Nr. 174/1963, des Arbeitsmarktförderungsgesetzes,

BGBl. Nr. 31/

1969, des Sonderunterstützungsgesetzes,

BGBl. Nr. 642/1973, des Ausländerbeschäftigungsgesetzes,

BGBl. Nr. 218/1975, und

des Arbeitslosenversicherungsgesetzes 1977,

BGBl. Nr. 609,

2. Vollziehung des Opferfürsorgegesetzes,

BGBl. Nr. 183/1947,

3. Vollziehung des Bauarbeiter-Schlechtwetterentschädigungsgesetzes

1957, BGBl.

Nr. 129,

4. Vollziehung des Kriegsopferversorgungsgesetzes

1957, BGBl. Nr. 152,

5. Vollziehung des Heeresversorgungsgesetzes,

BGBl. Nr. 27/1964,

6. Vollziehung des Invalideneinstellungsgesetzes

1969, BGBl. Nr. 22/1970,

7. Vollziehung des Bundesgesetzes vom 9. Juli

1972, BGBl. Nr. 288, über die Gewährung

von Hilfeleistungen an Opfer von Verbrechen,

8. Vollziehung des Arbeitsinspektionsgesetzes

1974, BGBl. Nr. 143, bzw. Vollziehung des

Bundesbediensteten-Schutzgesetzes, BGBl.

Nr. 164/1977,

9. Vollziehung des Insolvenz-Entgeltsicherungsgesetzes,

BGBl. Nr. 324/1977,

10. Vollziehung des Nationalfondsgesetzes,

BGBl. Nr. 361/1982,

11. Vollziehung des Bundesministeriengesetzes,

BGBl. Nr. 76/1986,

jeweils in der geltenden Fassung;

12. Personalverwaltung

Vollziehung des Dienst- und Besoldungsrechtes

für die aktiven Bundesbediensteten

einschließlich der Rechtsvorschriften über

die Ausbildung und Planstellenbewirtschaftung;

13. Haushaltsführung einschließlich der damit

im Zusammenhang stehenden Neben- und

Hilfsverrechnungen sowie der Betriebsabrechnungen;

14. Büroinformationssystem

Erstellung, Verteilung und Archivierung von

Dateien;

15. Führung der Zentralen Hilfsmittelberatungsstelle;

16. Verwaltung von Versicherungsunterlagen.

(2) Ein Aufgabengebiet unterliegt dieser Verordnung

nur hinsichtlich jener Daten, die zumindest in

einer Phase des Verfahrensablaufs Gegenstand

eines automationsunterstützten Vorganges sind.

Datensicherheitsmaßnahmen

§ 4. (1) Die in § 2 genannten Auftraggeber oder

Dienstleister haben für die Organisationseinheiten

ihres örtlichen und sachlichen Zuständigkeitsbereiches,

die Daten verwenden, Datensicherheitsmaßnahmen

schriftlich anzuordnen, den jeweiligen

technischen und organisatorischen Änderungen

umgehend anzupassen und zu dokumentieren.

(2) Der Auftraggeber oder Dienstleister hat für

die zu verwendenden Datenarten entsprechend

dem Grad der Schutzwürdigkeit Sensibilitätsklassen

festzulegen. Die Sicherheitsmaßnahmen haben

sich nach den Sensibilitätsklassen zu bestimmen.

(3) Der Auftraggeber oder Dienstleister hat jene

Organisationseinheit zu bestimmen, die die

Zutrittsberechtigungen zu den Räumlichkeiten, in

denen die Datenverarbeitung stattfindet, vergibt,

ändert, kontrolliert und entzieht.

(4) Das Bundesministerium für Arbeit und Soziales

hat jene Organisationseinheit zu bestimmen, die

Zugriffsberechtigungen vergibt, ändert, kontrolliert

und entzieht. Hiebei ist eine Identifikation jedes

Zugriffsberechtigten vorzusehen. Der Zugriff auf

das Betriebssystem einschließlich System- und

Netzwerksoftware ist darüber hinaus durch geeignete

Maßnahmen zu sichern.

(5) Die für die Verarbeitung notwendigen Daten

und Programme einschließlich der dazugehörigen

Dokumentation sind auch außerhalb der Verarbeitungsstätte

gesichert aufzubewahren.

(6) Die Vernichtung unbrauchbarer oder nicht

mehr benötigter Ausdrucke und sonstiger Datenträger

ist vom Auftraggeber oder Dienstleister

durch entsprechende personelle oder vertragliche

Maßnahmen sicherzustellen.

(7) Jeder Bedienstete, dem in Ausübung seines

Dienstes Daten anvertraut oder zugänglich sind, ist

über seine Pflichten nach dem Datenschutzgesetz,

der Datenschutzverordnung und den innerorganisatorischen

Datenschutzvorschriften, insbesondere

über die von ihm einzuhaltenden Datensicherheitsvorschriften,

nachweislich zu belehren und von

deren Änderungen umgehend und nachweislich in

Kenntnis zu setzen.

Grundsätze für die Ermittlung, Verarbeitung und

Benützung

§ 5. (1) Die Ermittlung und Verarbeitung von

Daten ist dann als wesentliche Voraussetzung für

die Wahrnehmung der gesetzlich übertragenen

Aufgaben zu erachten, wenn andere Möglichkeiten,

die gesetzlich übertragenen Aufgaben wahrzunehmen,

nicht vorliegen oder sie auf Grund des zu

erwartenden Aufwandes dem Auftraggeber aus

Wirtschaftlichkeits- und Zweckmäßigkeitserwägungen

nicht zuzumuten sind.

(2) Wird zur Ermittlung von Daten Amtshilfe in

Anspruch genommen, so ist das Amtshilfeersuchen

so zu begründen, daß die ersuchte Stelle die Zulässigkeit

der Übermittlung gemäß § 7 DSG beurteilen

kann. Insbesondere ist darzulegen, durch welche

gesetzlichen Bestimmungen dem Auftraggeber jene

Aufgaben übertragen sind, zu deren Wahrnehmung

die zu ermittelnden Daten eine wesentliche Voraussetzung

bilden. Die Begründung kann entfallen,

wenn die Zulässigkeit der Übermittlung für die

ersuchte Stelle offenkundig ist oder anläßlich eines

vorangegangenen Amtshilfeersuchens gleicher Art

festgestellt wurde.

§ 6. (1) Jedes Programm ist vor seinem Einsatz in

der Verarbeitung personenbezogener Daten von

der durch das Bundesministerium für Arbeit und

Soziales zu bestimmenden Organisationseinheit

freizugeben. Wird das Bundesrechenamt auf Grund

einer ausdrücklichen gesetzlichen Bestimmung als

Dienstleister für Auftraggeber im Bereich des Bundesministeriums

für Arbeit und Soziales tätig, so

gilt dies nicht, sofern es sich lediglich um programmtechnische

Optimierungen handelt.

(2) Den Daten eines Aufgabengebietes ist nach

Maßgabe der Sensibilitätsklassen der zu verarbeitenden

Daten (§ 4 Abs. 2) gleichartiger Schutz zu

gewähren. Die Daten und Programme sind vor

Entstellung, Zerstörung und Verlust sowie gegen

unbefugte Verwendung und Weitergabe zu schützen.

(3) Wird ein Aufgabengebiet für mehrere Auftraggeber

mit Hilfe derselben technischen Einrich-

tung oder im Netzwerkverbund vollzogen, so ist

sicherzustellen, daß jedem Auftraggeber die in die

Zuständigkeit eines anderen Auftraggebers fallenden

Daten nur in den in § 7 DSG genannten Fällen

zugängig gemacht werden. Dasselbe gilt, wenn die

Daten für verschiedene Aufgabengebiete mit Hilfe

derselben technischen Einrichtung oder im Netzwerkverbund

verarbeitet werden.

(4) Daten dürfen nur nach Genehmigung des

Bundesministeriums für Arbeit und Soziales und

nur auf Grund von schriftlichen Aufträgen verarbeitet

werden. Der Auftrag zur Verarbeitung von

Daten im Rahmen eines genehmigten Verfahrens

kann als Einzel- oder Dauerauftrag sowie im Rahmen

von Verfahrensvorschriften erteilt werden.

(5) Der Auftraggeber hat die Richtigkeit der

Verarbeitungsergebnisse durch Stichproben oder

sonstige geeignete Methoden zu überprüfen, soweit

ihm dies mit vertretbarem Arbeitsaufwand möglich

ist.

(6) Wird ein Fehler festgestellt, so hat der Auftraggeber

die Fehlerbehebung umgehend einzuleiten

und die Fehlerursache zu beheben. Der betreffende

Dienstleister ist unverzüglich zu verständigen,

wenn zu vermuten ist, daß die Fehlerursache

in seinem Tätigkeitsbereich liegt.

(7) Die Benützung der Daten darf nur in der Art

und in dem Umfang erfolgen, als hiefür eine ausdrückliche

gesetzliche Ermächtigung besteht oder

dies für den Auftraggeber zur Wahrnehmung der

ihm gesetzlich übertragenen Aufgaben eine wesentliche

Voraussetzung bildet.

(8) Die Bediensteten des Auftraggebers dürfen

nur jene Daten benützen, die sie zur Erfüllung der

ihnen übertragenen Aufgaben benötigen.

Grundsätze für die Übermittlung von Daten

§ 7. (1) Übermittlungen von Daten durch den

Auftraggeber oder Dienstleister bedürfen, sofern

sie sich nicht auf eine ausdrückliche gesetzliche

Ermächtigung stützen, eines schriftlichen Auftrages

des Bundesministeriums für Arbeit und Soziales.

Der Auftrag kann als Einzel- oder Dauerauftrag

sowie im Rahmen von Verfahrensvorschriften

erteilt werden. Im Auftrag ist anzugeben, auf

Grund welcher Bestimmungen des § 7 DSG die

Übermittlung zulässig ist.

(2) Die Zustimmung des Betroffenen zur Datenübermittlung

gemäß § 7 Abs. 1 Z 2 DSG gilt dann

als erteilt, wenn der Betroffene sein Einverständnis

zur Datenübermittlung ausdrücklich mit seiner

Unterschrift getrennt von etwaigen sonstigen Vereinbarungen

abgegeben hat. Eine Zustimmungserklärung

liegt nur dann vor, wenn die zu übermittelnden

Datenarten und die Übermittlungsempfänger

ausdrücklich genannt sind und der Betroffene

in allgemein verständlicher Form über den Übermittlungszweck

informiert wird. Der Betroffene ist

nachweislich über die Möglichkeit des schriftlichen

Widerrufes seiner Zustimmung zu informieren.

(3) Der Auftraggeber hat zu veranlassen, daß

vom Österreichischen Statistischen Zentralamt im

Anschluß an die anonymisierte Verarbeitung

gemäß § 7 Abs. 1 Z 3 DSG die personenbezogenen

Daten dem übermittelnden Organ zurückgegeben,

gelöscht oder auftragsgemäß aufbewahrt oder verarbeitet

werden.

(4) Nicht registrierte Übermittlungen sind gemäß

§ 7 Abs. 4 DSG so zu protokollieren, daß dem

Betroffenen Auskunft gemäß § 11 DSG gegeben

werden kann. Übermittlungen gemäß § 8 Abs. 3

DSG bedürfen keiner Protokollierung.

§ 8. Einem Ersuchen um Übermittlung von

Daten darf nur entsprochen werden, wenn die ersuchende

Stelle an der Klärung der für die Beurteilung

der Zulässigkeit der Übermittlung maßgeblichen

Sach- und Rechtslage mitwirkt. Um die Mitwirkung

ist erforderlichenfalls zu ersuchen, es sei

denn, die Zulässigkeit der Übermittlung ist offenkundig.

§ 9. (1) Eine Übermittlung in den Fällen des § 7

Abs. 3 DSG ist zulässig, wenn andere Möglichkeiten,

das berechtigte Interesse des Dritten zu wahren,

nicht vorliegen oder nicht zumutbar sind. Auch

in diesem Fall ist die Übermittlung nur zulässig,

wenn das schutzwürdige Interesse des Betroffenen

an der Geheimhaltung nicht überwiegt.

(2) Daten gelten im Sinne des § 32 Abs. 2 Z 3

DSG dann als veröffentlicht, wenn sie einem generell

bestimmten Personenkreis zugänglich gemacht

wurden.

Grundsätze für die Überlassung von Daten

§ 10. (1) Die in § 2 genannten Auftraggeber können

unter den in § 13 DSG genannten Voraussetzungen

Dienstleister in Anspruch nehmen. Eine solche

Inanspruchnahme bedarf der schriftlichen

Genehmigung des Bundesministeriums für Arbeit

und Soziales.

(2) Die Überlassung der Daten durch einen

Dienstleister an einen weiteren ist nur mit vorheriger

Genehmigung des Bundesministeriums für

Arbeit und Soziales zulässig.

(3) Wurde dem Auftraggeber von der Datenschutzkommission

die Auffassung mitgeteilt, daß

der Inanspruchnahme eines Dienstleisters schutzwürdige

Interessen Betroffener oder öffentliche

Interessen entgegenstehen, so hat der Auftraggeber

entweder der Rechtsanschauung der Datenschutzkommission

zu entsprechen oder andernfalls die

begründete Entscheidung über die weitere Vorgangsweise

zu dokumentieren.

Auskunftsrecht

§ 11. (1) Eine Auskunft gemäß § 11 DSG darf

nur auf Grund eines unbedenklichen Identitätsnachweises

und gegen Empfangsbestätigung ausgefolgt

oder zu eigenen Handen zugestellt werden.

(2) Der Betroffene hat in seinem Antrag auf Auskunft

gemäß § 11 DSG diejenigen Datenverarbeitungen

im Sinne des § 8 DSG zu bezeichnen,

bezüglich derer er die Auskunft wünscht, oder

durch Vorlage von Unterlagen oder die Beschreibung

von Lebensumständen glaubhaft zu machen,

aus welchen Gründen anzunehmen ist, daß seine

Daten irrtümlich oder mißbräuchlich in Datenbeständen

des Auftraggebers enthalten sind.

(3) Fehlen in einem Auskunftsantrag die in

Abs. 2 angeführten Angaben, so ist der Betroffene

unverzüglich schriftlich zur Verbesserung seines

Antrages auf Auskunft gemäß § 11 DSG aufzufordern.

(4) Der aktuelle Datenbestand im Sinne des § 11

Abs. 4 DSG umfaßt jene Daten, die in der betreffenden

Datenverarbeitung dem Direktzugriff

unterliegen, oder — mangels eines solchen — den

letztgültigen Datenbestand.

(5) Werden oder wurden Daten übermittelt, so

sind dem Betroffenen auf Verlangen die Empfänger

der übermittelten Daten bekanntzugeben. Handelt

es sich um registrierte Übermittlungen und verursacht

die Feststellung der Empfänger übermittelter

Daten im Einzelfall unverhältnismäßig hohe

Kosten oder einen nicht zumutbaren Arbeitsaufwand,

so sind dem Betroffenen die auf Grund der

Verfahrensorganisation bzw. der Sach- und

Rechtslage für solche Übermittlungen in Betracht

kommenden Empfänger mitzuteilen.

§ 12. (1) Für die Erteilung einer entgeltlichen

Auskunft im Sinne des § 11 Abs. 4 DSG werden

folgende pauschalierte Kostenersätze festgelegt

1. für die Auskunft über den aktuellen Stand der

Daten des Antragstellers, wenn dieser im laufenden

Jahr bereits ein Auskunftsbegehren

über dasselbe Aufgabengebiet gestellt hat,

100 S je Datenverarbeitung;

2. für jede darüber hinausgehende Auskunft

500 S je Datenverarbeitung; in jenen Fällen,

in denen die Auskunftserteilung einen besonders

hohen technischen oder organisatorischen

Aufwand erfordert, 1000 S je Datenverarbeitung.

(2) Die in Abs. 1 angeführten Kostenersätze sind

nicht zu entrichten, wenn der Aufwand für die Auskunftserteilung

geringfügig ist.

(3) Dem Antragsteller ist der zu entrichtende

Kostenersatz unverzüglich mitzuteilen.

(4) Von der Bearbeitung eines Auskunftsantrages

ist abzusehen, wenn der gemäß Abs. 3 mitgeteilte

Kostenersatz nicht entrichtet wurde oder der

Betroffene am Verfahren nicht ausreichend mitgewirkt

hat.

(5) Die in § 11 Abs. 1 DSG enthaltene Frist für

die Erteilung von entgeltlichen Auskünften beginnt

mit dem Einlangen des Kostenersatzes zu laufen.

Ist eine Mitwirkung des Betroffenen im Auskunftsverfahren

erforderlich, beginnt diese Frist erst nach

Einlangen der erforderlichen Unterlagen zu laufen,

sofern ein allfälliger Kostenersatz nicht später entrichtet

wird.

Richtigstellung und Löschung

§ 13. (1) Ist im Rahmen einer Datenverarbeitung

ein Zugriff auf logisch richtiggestellte oder

gelöschte Daten standardmäßig möglich oder vorgesehen,

so hat die logische Richtigstellung oder

Löschung durch solche Maßnahmen zu erfolgen,

die bei einer Abfrage die Unrichtigkeit der verarbeiteten

Daten angeben und auf die richtigen

Daten verweisen oder den Umstand der Löschung

anzeigen.

(2) Die für Zwecke der Dokumentation oder der

internen Kontrolle aufzubewahrenden Daten dürfen

nur durch einen entsprechenden Vermerk richtiggestellt

und vor Ablauf der Aufbewahrungsfrist

nur mit einem Löschungsvermerk versehen werden.

(3) Durch geeignete organisatorische Maßnahmen

ist sicherzustellen, daß im Falle eines Rückgriffes

auf die zu Sicherungszwecken aufbewahrten

Datenbestände allfällige Richtigstellungen und

Löschungen wirksam bleiben.

(4) Ein Betroffener, dessen Daten nach einer

Übermittlung richtiggestellt oder gelöscht werden,

hat ein Begehren auf Verständigung des Empfängers

von der Richtigstellung bzw. Löschung schriftlich

zu stellen.

Angabe der Registernummer

§ 14. (1) Der Auftraggeber hat die ihm zugeteilte

Registernummer bei Übermittlungen von Daten

und Mitteilungen an den Betroffenen auf jedem

Schriftstück, das automationsunterstützt verarbeitete

Daten enthält, anzuführen.

(2) Bei Übermittlungen im Sinne des § 3 Z 9

DSG und Mitteilungen an den Betroffenen auf nur

maschinell lesbaren Datenträgern ist die Registernummer

entweder auf den Begleitpapieren oder auf

dem Datenträger anzugeben.

Schlußbestimmung

§ 15. Die Verordnung des Bundesministers für

soziale Verwaltung vom 19. Juli 1980, BGBl.

Nr. 359, zur Durchführung des Datenschutzgesetzes

im Bereich des Bundesministeriums für soziale

Verwaltung tritt außer Kraft.