Überwachungsstellenakkreditierungs-Verordnung

Seite

2

von

2

Seite

1

von

1

Kurztitel

Überwachungsstellenakkreditierungs-Verordnung

Kundmachungsorgan

BGBl. II Nr. 264/2019

Typ

V

§/Artikel/Anlage

§ 0

Inkrafttretensdatum

31.08.2019

Abkürzung

ÜStAkk-V

Index

10/10 Grundrechte, Datenschutz, Auskunftspflicht

Langtitel

Verordnung der Datenschutzbehörde über die Anforderungen an eine Stelle für die Überwachung der Einhaltung von Verhaltensregeln (Überwachungsstellenakkreditierungs-Verordnung – ÜStAkk-V)

StF: BGBl. II Nr. 264/2019

Präambel/Promulgationsklausel

Auf Grund des § 21 Abs. 3 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 14/2019, wird verordnet

Zuletzt aktualisiert am

30.08.2019

Gesetzesnummer

20010753

Dokumentnummer

NOR40217282

§ 1. Diese Verordnung regelt in Konkretisierung der Vorgaben des Art. 41 Abs. 2 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S 1, in der Fassung der Berichtigung ABl. Nr. L 127 vom 23.5.2018 S 2, die Voraussetzungen für die Akkreditierung von Stellen, welche die Überwachung der Einhaltung von Verhaltensregeln gemäß Art. 40 DSGVO durchführen können (Überwachungsstellen).

§ 2. (1) Die Akkreditierung als Überwachungsstelle ist nicht von einer bestimmten Rechtsform des Antragstellers abhängig. Die Antragstellung ist auch für eine Organisationseinheit innerhalb jener Verbände und anderen Vereinigungen, welche die Verhaltensregeln gemäß Art. 40 Abs. 2 DSGVO ausgearbeitet, geändert oder erweitert haben, zulässig (interne Stellen).

(2) Die Akkreditierung als Überwachungsstelle erfolgt auf Grund eines schriftlichen Antrages an die Datenschutzbehörde.

(3) Der Antrag hat den Nachweis der Voraussetzungen nach §§ 3 bis 7 sowie folgende Angaben zu enthalten

(4) Die Angaben gemäß Abs. 3 sind durch Vorlage geeigneter Dokumente und Urkunden zu bescheinigen, sofern sich deren Verfügbarkeit nicht aus allgemein zugänglichen öffentlichen Registern ergibt.

(5) Sofern der Antrag auf Akkreditierung nicht in deutscher Sprache erfolgt, sind die Angaben gemäß Abs. 3 durch Vorlage geeigneter Dokumente und Urkunden in beglaubigter Übersetzung zu bescheinigen.

§ 3. (1) Der Antragsteller hat die Unabhängigkeit und das Fachwissen der entscheidungsbefugten Personen innerhalb der Überwachungsstelle nach Maßgabe der folgenden Bestimmungen durch Vorlage geeigneter Dokumente und Urkunden nachzuweisen.

(2) Unabhängigkeit liegt vor, wenn die Überwachungsstelle in keinem derart rechtlichen, wirtschaftlichen, finanziellen, organisatorischen, persönlichen oder fachlichen Abhängigkeits- oder Naheverhältnis zu den zu Überwachenden steht, das ihr Urteil und ihre Unabhängigkeit und Integrität bei ihrer Tätigkeit als Überwachungsstelle in Frage stellen könnte.

(3) Die Unabhängigkeit ist nachzuweisen durch

(4) Das Fachwissen ist nachzuweisen durch

(5) In die einschlägige praktische Verwendung nach Abs. 4 Z 2 können auch Zeiten einer gleichwertigen Tätigkeit bei einem Unternehmen mit einem anderen Fachbereich eingerechnet werden.

(6) Sofern die Antragstellung für eine interne Stelle erfolgt, ist für diese – zusätzlich zu den Bestimmungen des Abs. 3 und 4 – durch Vorlage geeigneter Unterlagen eine Organisationsstruktur nachzuweisen, die es ihr ermöglicht, ihre Aufgaben in finanzieller und organisatorischer Unabhängigkeit sowie ohne äußere Einflussnahme durch den Verband oder die Vereinigung zu erfüllen.

§ 4. (1) Eine Überwachungsstelle hat durch geeignete Maßnahmen und Mechanismen zu gewährleisten, dass ihre Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen.

(2) Die Eignung ist durch einen – gegenüber allen Mitarbeitern der Überwachungsstelle für verbindlich erklärten – Maßnahmenkatalog nachzuweisen, der jedenfalls folgendes vorzusehen hat

§ 5. (1) Eine Überwachungsstelle hat geeignete Verfahren vorzusehen, die es ihr ermöglichen, die Einhaltung der Verhaltensregeln zu überwachen und die Anwendung der Verhaltensregeln regelmäßig zu überprüfen. Dabei ist sicherzustellen, dass die Verantwortlichen oder die Auftragsverarbeiter, die sich zur Anwendung der Verhaltensregeln verpflichtet haben, der entsprechenden Kategorie oder dem entsprechenden Fachgebiet angehören.

(2) Ein Verfahren ist geeignet, wenn in den dafür vorzusehenden Prüfungsstandards festgelegt wird, wie der Prüfungs- oder Bewertungsprozess in der Praxis durchgeführt wird, nach welchen Kriterien die Überwachungstätigkeit geplant wird und das Verfahren laufend evaluiert wird. Die Überwachungsstelle hat in den Prüfungsstandards jedenfalls grundsätzliche Festlegungen zu folgenden Themenbereichen zu treffen

(3) Die Eignung des Verfahrens gemäß Abs. 2 ist durch eine konzeptionelle Darstellung des Überwachungsverfahrens nachzuweisen.

§ 6. (1) Die Überwachungsstelle hat nach Maßgabe der folgenden Bestimmungen Verfahrensrichtlinien über die Behandlung der bei ihr einlangenden Beschwerden über Verstöße gegen Verhaltensregeln oder über die Art und Weise, in der Verhaltensregeln vom Verantwortlichen oder Auftragsverarbeiter angewendet werden, festzulegen und das diesbezügliche Verfahren und die Strukturen durch Vorlage geeigneter Unterlagen nachzuweisen.

(2) Die Verfahrensrichtlinien haben zu gewährleisten, dass Streitigkeiten innerhalb angemessener Frist, einfach, transparent und auf der Grundlage einer objektiven Bewertung der Umstände der Beschwerde und unter gebührender Berücksichtigung der Rechte der Parteien beurteilt werden.

(3) In den Verfahrensrichtlinien sind insbesondere festzulegen

(4) Die Verfahrensrichtlinien sind nach erfolgter Akkreditierung der Überwachungsstelle in allgemein zugänglicher Weise zu veröffentlichen.

(5) Die Überwachungsstelle hat ein Verzeichnis über die bei ihr eingegangenen Beschwerden und die ergriffenen Maßnahmen zu führen und der Datenschutzbehörde jederzeit Zugang zu diesem zu gewähren.

§ 7. (1) Für den Fall einer Verletzung der Verhaltensregeln durch einen Verantwortlichen oder einen Auftragsverarbeiter hat die Überwachungsstelle Verfahren vorzusehen und durch Vorlage geeigneter Dokumente und Urkunden nachzuweisen, um Maßnahmen zu setzen, welche geeignet sind, einen Verstoß gegen die Verhaltensregeln verlässlich und endgültig abzustellen und eine Wiederholung zu vermeiden.

(2) Als Maßnahmen können vorgesehen werden

(3) Die ergriffene Maßnahme ist dem Verantwortlichen oder Auftragsverarbeiter schriftlich bekannt zu geben und zu begründen.

(4) Von der Setzung einer Maßnahme gemäß Abs. 2 kann abgesehen werden, wenn durch den Verantwortlichen oder Auftragsverarbeiter geeignete Maßnahmen gesetzt und der entsprechende Verstoß abgestellt wurde.

§ 8. (1) Die Überwachungsstelle hat der Datenschutzbehörde jährlich bis zum 31. März einen Bericht über die im vorangegangenen Jahr erfolgten Tätigkeiten vorzulegen. Die Berichtspflicht nach Art. 41 Abs. 4 letzter Satz DSGVO bleibt davon unberührt. Über schwerwiegende Maßnahmen, wie den vorläufigen oder endgültigen Ausschluss von den Verhaltensregeln, ist die Datenschutzbehörde jedenfalls unverzüglich zu informieren.

(2) Die Überwachungsstelle hat interne Berichtsmechanismen festzulegen, die eine regelmäßige Berichterstattung an die Datenschutzbehörde, insbesondere über die Ergebnisse von Überwachungsverfahren gemäß § 5, vorsehen.

(3) Unabhängig von der jährlichen Berichtspflicht gemäß Abs. 1 ist der Datenschutzbehörde jeder Umstand oder jede wesentliche Änderung bekanntzugeben, der oder die es der Überwachungsstelle nicht mehr ermöglicht, ihre Aufgaben wahrzunehmen.

§ 9. (1) Die Überwachungsstelle hat geeignete Verfahren vorzusehen, die es ihr ermöglichen, die Verhaltensregeln dahingehend zu überprüfen, ob für diese ein Änderungsbedarf besteht.

(2) Ein Verfahren ist geeignet, wenn diesem die Ergebnisse der Verfahren gemäß § 5 Abs. 2, die Anzahl der Beschwerdeverfahren und die Beschwerdegründe, sowie die gesetzten Maßnahmen bei Verstößen gegen die Verhaltensregeln zu Grunde gelegt werden.

§ 10. Bei den in dieser Verordnung verwendeten personenbezogenen Bezeichnungen gilt die gewählte Form für alle Geschlechter.

§ 11. Verweisungen in dieser Verordnung auf andere Bundesgesetze sind als Verweisungen auf die jeweils geltende Fassung zu verstehen.

§ 12. Diese Verordnung tritt mit Ablauf des Tages der Kundmachung im Bundesgesetzblatt in Kraft.