250. Verordnung: Änderung der Verordnung zur Durchführung des Datenschutzgesetzes im Wirkungsbereich der Post- und Telegraphenverwaltung

Auf Grund des Datenschutzgesetzes (DSG),

BGBl. Nr. 565/1978, zuletzt geändert durch das

Bundesgesetz BGBl. Nr. 370/1986, wird verordnet

Artikel I

Die Verordnung des Bundesministers für Verkehr

vom 3. Oktober 1980, BGBl. Nr. 451, zur

Durchführung des Datenschutzgesetzes im Wirkungsbereich

der Post- und Telegraphenverwaltung

wird wie folgt geändert

1. Dem Titel der Verordnung wird folgender

Kurztitel angefügt: „(Datenschutzverordnung-PTV)"

2. § 1 Abs. 1 lautet

㤠1. (1) Die Bestimmungen dieser Verordnung

gelten für die Auftraggeber (§ 3 Z 3 DSG) und

Dienstleister (§ 3 Z 4 DSG) im Wirkungsbereich

der Post- und Telegraphenverwaltung, sofern personenbezogene

Daten (§ 3 Z 1 DSG) verwendet

werden (§ 3 Z 12 DSG)."

3. Im § 1 Abs. 2 Z 1 werden nach den Worten

„das Bundesministerium für" die Worte „öffentliche

Wirtschaft und" eingefügt.

4. § 2 Z 4 lautet

„4. Datenschutzbeauftragter: Der/Die für eine

Organisationseinheit eines Auftraggebers

oder Dienstleisters nach der Geschäftseinteilung

oder den Datensicherheitsvorschriften

für die Wahrnehmung des Datenschutzes und

der Datensicherheit zuständige(n) Organwalter."

5. § 3 lautet

㤠3. (1) Die Ermittlung personenbezogener

Daten obliegt dem sachlich und örtlich zuständigen

Auftraggeber (§ 1 Abs. 2). Er kann sich hiebei auch

eines Dienstleisters bedienen.

(2) Vor der erstmaligen Ermittlung personenbezogener

Daten für Zwecke der Datenverarbeitung

hat die auftraggebende Stelle die Zulässigkeit nach

den Bestimmungen des § 6 DSG zu prüfen und das

Ergebnis dieser Prüfung in einem Geschäftsstück

festzuhalten. Hiebei ist zu beachten

1. Eine ausdrückliche gesetzliche Ermächtigung

zur Ermittlung und Verarbeitung von Daten

im Sinne des § 6 DSG liegt nur dann vor,

wenn in dieser die zu ermittelnden und verarbeitenden

Datenarten sowie die Betroffenenkreise

genannt sind.

2. Eine wesentliche Voraussetzung, die den Auftraggeber

berechtigt Daten zur Wahrnehmung

der ihm gesetzlich übertragenen Aufgaben

im Sinne des § 6 DSG zu ermitteln und

zu verarbeiten, liegt nur dann vor, wenn im

Einzelfall andere Möglichkeiten zur Wahrnehmung

nicht bestehen oder auf Grund des

zu erwartenden Aufwandes nicht zumutbar

sind.

(3) Die Ermittlung darf erst nach Feststellung

der Zulässigkeit und auf schriftliche Weisung des

Leiters der auftraggebenden Stelle aufgenommen

werden."

6. § 4 lautet

„§ 4. (1) Sollen Daten für Zwecke einer gleichartigen

Datenverarbeitung bei zumindest zwei der in

§ 1 Abs. 2 genannten Auftraggeber ermittelt werden,

ist die Zulässigkeit von jedem zuständigen

Auftraggeber gemäß § 3 zu prüfen. Das Ergebnis

der Prüfung ist der Generaldirektion zu berichten.

(2) Die für die beabsichtigte Datenverarbeitung

gemeinsam zuständige auftraggebende Stelle der

Generaldirektion hat die Zulässigkeit nach den

Bestimmungen des DSG zu überprüfen und über

die Zulässigkeit zu entscheiden.

(3) Die Ermittlung im Bereich eines jeden Auftraggebers

darf nur auf Grund einer schriftlichen

Weisung des Leiters der gemeinsam zuständigen

auftraggebenden Stelle der Generaldirektion aufgenommen

werden."

7. § 5 Abs. 1 lautet

„§ 5. (1) Nach Feststellung der Zulässigkeit der

Ermittlung ist die in Aussicht genommene Datenverarbeitung

für die Erfordernisse des Datenschutzes

zu dokumentieren.

Diese Dokumentation hat Aussagen zu treffen

über

1. Art der Daten

2. Sensibilität der Daten

3. Herkunft der Daten

4. Aufgabengebiet

5. Kreis der Betroffenen

6. Zweck der Ermittlung und Datenverarbeitung

7. Zulässigkeit der Ermittlung und Datenverarbeitung

8. Übermittlungen im Inland

9. Überlassungen im Inland

10. Übermittlungen und Überlassungen in das

Ausland

11. Benützungs- und Zugriffsberechtigungen

12. Geheimhaltung gegenüber den Betroffenen."

8. Im § 5 Abs. 2 zweiter Satz wird das Wort

„Verarbeiter" durch das Wort „Dienstleister"

ersetzt.

9. Im § 5 Abs. 3 erster Satz wird das Wort „Verarbeitungen"

durch das Wort „Datenverarbeitungen"

ersetzt.

10. § 6 lautet

„Datenverarbeitung

§ 6. (1) Auf der Grundlage der gemäß § 5 erstellten

Dokumentation hat die Datenschutzkoordination

die Datenverarbeitung dem Datenverarbeitungsregister

gemäß § 8 DSG zu melden.

(2) Der Zeitpunkt der Meldung ist von der

Datenschutzkoordination der (den) auftraggebenden

Stelle(n) und den für die Datenverarbeitung

zuständigen Organisationseinheiten schriftlich

bekanntzugeben.

Vor diesem Zeitpunkt ist die Aufnahme der Datenverarbeitung

unzulässig."

11. Im § 7 erster Satz werden die Worte „Verarbeitung

von Daten" durch das Wort „Datenverarbeitung"

ersetzt.

12. § 8 lautet

„§ 8. (1) Die zuständigen Organisationseinheiten

des Auftraggebers und/oder des Dienstleisters

haben für die ordnungsgemäße Durchführung der

ihnen übertragenen Datenverarbeitungen unter

Bedachtnahme auf die für sie geltenden Datensicherheitsvorschriften

zu sorgen.

(2) Der Auftraggeber hat, soweit dies mit vertretbarem

Arbeitsaufwand möglich ist, die Richtigkeit

der Verarbeitungsergebnisse durch Stichproben zu

überprüfen."

13. § 9 lautet

„Benützung

§ 9. Daten dürfen nur von jenen Organisationseinheiten

und Organwaltern des/der Auftraggeber

(s) oder Dienstleister(s) der Post- und Telegraphenverwaltung

benützt werden, soweit sie diese

zur Erfüllung der ihnen gemäß Geschäftseinteilung

bzw. Arbeitsplatzbeschreibung zukommenden Aufgaben

benötigen und soweit dies für den jeweiligen

Auftraggeber zur Wahrnehmung der ihm gesetzlich

übertragenen Aufgaben eine wesentliche Voraussetzung

bildet."

14. § 10 lautet

„Überlassung

§ 10. (1) Organisationseinheiten der Post- und

Telegraphenverwaltung dürfen Daten für Dienstleistungen

nach Maßgabe des § 13 DSG nur dann

überlassen werden, wenn diese Organisationseinheiten

auf Grund einer ausdrücklichen gesetzlichen

Ermächtigung oder gemäß der Geschäftseinteilung

diese Dienstleistungen zu besorgen haben.

(2) Die Dienstleister im Sinne des Abs. 1 dürfen

die Daten nur der auftraggebenden Stelle oder

jenen Organisationseinheiten des Auftraggebers

überlassen, die vom Auftraggeber festgelegt wurden.

(3) Die Überlassung der Daten durch einen

Dienstleister im Sinne des Abs. 1 an einen anderen

Dienstleister ist nur über Auftrag des zuständigen

Auftraggebers zulässig."

15. § 11 lautet

㤠11. (1) Dienstleistern, die zu Auftraggebern

der Post- und Telegraphenverwaltung (§ 1 Abs. 2)

nicht in einem Unter- oder Überordnungsverhältnis

stehen und die auch nicht auf Grund einer ausdrücklichen

gesetzlichen Ermächtigung zu Dienstleistungen

herangezogen werden, dürfen Daten

nach Maßgabe des § 13 DSG nur zur Erfüllung der

ihnen erteilten Aufträge überlassen werden.

(2) Dienstleister im Sinne des Abs. 1 dürfen nur

vom zuständigen Auftraggeber zu Dienstleistungen

herangezogen werden.

(3) Die beabsichtigte Heranziehung eines

Dienstleisters im Sinne des Abs. 1 ist von der

zuständigen auftraggebenden Stelle (§ 2 Z l) der

Datenschutzkommission zu melden. Äußert die

Datenschutzkommission Bedenken, daß dieser

Heranziehung schutzwürdige Interessen Betroffener

oder öffentliche Interessen entgegenstehen und

können diese Bedenken auch bei einer neuerlichen

Befassung der Datenschutzkommission nicht ausgeräumt

werden, ist von der Heranziehung des

Dienstleisters Abstand zu nehmen."

16. Nach § 11 ist folgender § 11 a einzufügen

„§ 11 a. Dienstleister dürfen die überlassenen

Daten nur in dem Umfang benützen, als dies zur

Erfüllung ihres Auftrages erforderlich ist. Dienstleister,

die zu Auftraggebern der Post- und Telegraphenverwaltung

nicht in einem Unter- oder Überordnungsverhältnis

stehen und die auch nicht auf

Grund einer ausdrücklichen gesetzlichen Ermächtigung

zu Dienstleistungen herangezogen werden,

sind auf die in § 19 DSG normierten Verpflichtungen

ausdrücklich hinzuweisen."

17. § 12 lautet

„§ 12. (1) Daten dürfen nur nach Maßgabe des

§ 7 DSG übermittelt werden. Hiebei ist zu beachten

1. Eine ausdrückliche gesetzliche Übermittlungsermächtigung

im Sinne des § 7 Abs. 1

Z 1 DSG liegt nur dann vor, wenn die zu

übermittelnden Datenarten, die Betroffenenkreise,

der Übermittlungszweck und die

Datenempfänger festgelegt sind.

2. Eine ausdrückliche schriftliche Zustimmung

des Betroffenen im Sinne des § 7 Abs. 1 Z 2

DSG liegt nur dann vor, wenn der Betroffene

sein Einverständnis zur Datenübermittlung

ausdrücklich mit Unterschrift, getrennt von

etwaigen anderen Vereinbarungen abgegeben

hat und in der Zustimmungserklärung die zu

übermittelnden Datenarten, die Datenempfänger

sowie in allgemein verständlicher Form

der Übermittlungszweck genannt werden und

der Betroffene über die Möglichkeit des

Widerrufs nachweislich informiert wurde.

3. Die Daten sind für den Empfänger nur dann

eine wesentliche Voraussetzung zur Wahrnehmung

der ihm gesetzlich übertragenen

Aufgaben im Sinne des § 7 Abs. 2 DSG, wenn

anders für den Empfänger deren Wahrnehmung

nicht möglich oder nicht zumutbar ist.

4. Übermittlungen im Sinne des § 7 Abs. 3 DSG

sind nur dann zulässig, wenn andere Möglichkeiten,

das berechtigte Interesse des Dritten

zu wahren, nicht vorliegen oder nicht zumutbar

sind und das schutzwürdige Interesse des

Betroffenen an der Geheimhaltung nicht

überwiegt.

(2) Regelmäßige Übermittlungen von Daten dürfen

überdies nur in dem Umfang erfolgen, als sie in

der entsprechenden Registrierungseingabe Deckung finden.

(3) Bei Ersuchen um Übermittlung im Rahmen

der Amtshilfe hat das ersuchende Organ die

Rechtsgrundlage für die geforderte Übermittlung

bekanntzugeben. Die Übermittlung darf nur erfolgen,

wenn die Notwendigkeit im Sinne des § 7

Abs. 2 DSG glaubhaft gemacht wurde. Hierüber

entscheidet der Leiter der auftraggebenden Stelle.

(4) Bei sonstigen Übermittlungen im Einzelfall

obliegt die Genehmigung dem Leiter der auftraggebenden

Stelle."

18. § 13 Abs. 1 erster Satz lautet

㤠13. (1) Art und Umfang der Protokollierung

sind für alle Organisationseinheiten des Auftraggebers

oder Dienstleisters in den Datensicherheitsvorschriften

zu regeln."

19. § 13 Abs. 4 lautet

„(4) Gemäß § 7 DSG zulässige Übermittlungen,

die über Verlangen oder mit Einverständnis der

Betroffenen erfolgen (zB Mitteilungen an Finanzämter,

Sozialversicherungsträger, Kreditinstitute),

können anstatt in Geschäftsstücken auch in den

diesbezüglichen Hilfsaufzeichnungen vermerkt

werden. Diese Übermittlungen müssen in den

Hilfsaufzeichnungen derart festgehalten werden,

daß dem Auskunftsrecht des Betroffenen gemäß

§ 11 DSG entsprochen werden kann."

20. Nach § 13 ist folgender § 13 a einzufügen

„§ 13 a. (1) Die gemäß § 10 DSG erforderlichen

Maßnahmen zur Gewährleistung der Datensicherheit

sind durch die auftraggebende Stelle oder

durch den/die Dienstleister zu treffen, wobei vom/

von den Dienstleister(n) die Zustimmung der auftraggebenden

Stelle einzuholen ist. Hiebei ist

sicherzustellen, daß auf der Grundlage des § 10

DSG jene Maßnahmen zur Gewährleistung der

Datensicherheit getroffen werden, die für die Art

des Datenverkehrs (Verwenden von Daten) in der

jeweiligen Organisationseinheit unter Bedachtnahme

auf die Sensibilität der Daten (§ 5) erforderlich

und angemessen sind.

(2) Die Datensicherheitsvorschriften sind entsprechend

den Bestimmungen der Kanzleiordnung

für die Post- und Telegraphenverwaltung zu erlassen."

21. § 15 Abs. 1 erster Halbsatz lautet

„§ 15. (1) Für die Erteilung einer Auskunft im

Sinne des § 11 Abs. 1 DSG werden, sofern diese

nicht gemäß § 11 Abs. 4 DSG unentgeltlich zu

erfolgen hat, folgende pauschalierte Kostenersätze

festgelegt:"

22. § 15 Abs. 4 lautet

„(4) Von der Bearbeitung eines Auskunftsersuchens

ist abzusehen, wenn der Betroffene nicht am

Verfahren mitwirkt (§ 11 Abs. 2 DSG) oder der

mitgeteilte Kostenersatz nicht entrichtet wurde."

23. § 15 Abs. 5 lautet

„(5) Die in § 11 DSG genannte Frist für die

Erteilung von Auskünften beginnt ab dem Zeitpunkt

zu laufen, ab dem der Betroffene am Verfahren

mitgewirkt hat und ein mitgeteilter Kostenersatz

entrichtet wurde."

24. § 17 Abs. 1 lautet

„§ 17. (1) Richtigstellungen und Löschungen

gemäß § 12 DSG hat der Auftraggeber zu veranlassen.

Daten sind in erster Linie physisch zu löschen

oder richtigzustellen. Wenn dies im Hinblick auf

den damit verbundenen Aufwand nicht gerechtfertigt

ist oder nur zu bestimmten Zeitpunkten erfolgen

kann, sind die Daten zunächst logisch zu

löschen oder richtigzustellen. Die physische

Löschung oder Richtigstellung hat spätestens beim

nächsten Reorganisationslauf zu erfolgen. Hiebei

ist zu beachten, daß rechtsverbindlich festgestellte

Daten wegen ihrer Unrichtigkeit nur auf Grund

einer Entscheidung des für die Feststellung zuständigen

Organs richtiggestellt oder gelöscht werden

dürfen."

25. Im § 18 Abs. 1, 2 und 3 wird die Ziffer „8"

jeweils durch die Ziffer „9" ersetzt.

Artikel II

Diese Verordnung tritt mit 1. Juli 1987 in Kraft.