260. Verordnung: Datenverarbeitungsregister (DVR-VO 1987)

Auf Grund der §§ 8, 8a, 22 bis 24, 33, 34 und 47

des Datenschutzgesetzes, BGBl. Nr. 565/1978, in

der Fassung des Bundesgesetzes BGBl. Nr. 370/

1986 wird verordnet

Begriffsbestimmungen

§ 1. (1) Das Datenverarbeitungsregister im Sinne

des § 47 DSG wird im folgenden als „Register"

bezeichnet.

(2) Meldungen von Auftraggebern, von Datenverarbeitungen

und von Übermittlungen gemäß

den §§ 8, 22 und 23 DSG werden im folgenden als

„Meldungen" bezeichnet.

Einrichtung des Registers

§ 2. (1) Das Register ist beim Österreichischen

Statistischen Zentralamt eingerichtet. Es ist nach

den Bestimmungen des DSG und dieser Verordnung

zu führen.

(2) Das Register besteht aus

1. einem automationsunterstützt geführten Verzeichnis

aller registrierten Auftraggeber (§ 4

Abs. 2),

2. den eingereichten Formblättern (§ 7) und den

Registerauszügen (§ 12 Abs. 3),

3. den gemäß den §§ 33 Abs. 3 und 34 Abs. 3

DSG zugemittelten Genehmigungsbescheiden

der Datenschutzkommission über internationalen

Datenverkehr und

4. den gerichtlichen Entscheidungen gemäß § 29

Abs. 4 DSG (§ 13).

Einsicht in das Register

§ 3. (1) Jedermann hat das Recht, in das Register

Einsicht zu nehmen. In die im Registrierungsakt

befindlichen Genehmigungsbescheide der Datenschutzkommission

über internationalen Datenverkehr

(§§ 33 Abs. 3 und 34 Abs. 3 DSG) ist Einsicht

zu gewähren, soweit der Einsichtswerber glaubhaft

macht, daß er Betroffener der genehmigten Übermittlung

oder Überlassung ist und soweit nicht

überwiegende schutzwürdige Geheimhaltungsinteressen

des Auftraggebers oder anderer Personen

entgegenstehen.

(2) Jedermann hat nach Maßgabe des Abs. 1 das

Recht, sich Abschriften aus dem Register selbst

anzufertigen oder, wenn es organisatorisch und

technisch möglich ist, Kopien vom Register anfertigen

zu lassen.

(3) Die Einsichtnahme in das Register ist gebührenfrei.

Für Abschriften aus dem Register, die der

Verfolgung der Rechte als Betroffener dienen, ist

kein Kostenersatz zu verlangen.

Führung des Registers

§ 4. (1) Das Register ist gegliedert nach Auftraggebern

zu führen.

(2) Die automationsunterstützte Verarbeitung

folgender mit Meldungen zusammenhängender

Daten ist zulässig

1. Registernummer,

2. Bearbeitungsnummer,

3. mit dem Ablauf des Registrierungsverfahrens

zusammenhängende Angaben,

4. Name (sonstige Bezeichnung), Anschrift und

berechtigter Zweck des Auftraggebers,

5. Zweck jeder zu registrierenden Datenverarbeitung,

6. die Angabe, ob Übermittlungen oder Überlassungen

in das Ausland vorgesehen sind,

7. die Angabe, ob eine gerichtliche Entscheidung

gemäß § 29 Abs. 4 DSG eingetragen ist,

8. anonymisierte Daten, soweit sie zur statistischen

Auswertung notwendig sind.

Verfahrensvorschriften

§ 5. Auf das Registrierungsverfahren findet

gemäß Art. II Abs. 2 lit. C Z 29 f EGVG 1950 das

AVG 1950 Anwendung, soweit das DSG nicht ausdrücklich

anderes bestimmt.

Meldungen

§ 6. (1) Meldungen sind beim Register einzubringen.

Der Inhalt von Meldungen im öffentlichen

Bereich ergibt sich aus § 8 DSG, der Inhalt von

Meldungen im privaten Bereich aus § 22 DSG

(Meldung des Auftraggebers) und aus § 23 DSG

(Meldung von Datenverarbeitungen und Übermittlungen).

Meldungen sind zu unterschreiben.

(2) Alle Umstände, durch die der Inhalt bisheriger

Meldungen unrichtig oder unvollständig wird,

sind vom Auftraggeber dem Register unverzüglich

zur Registrierung zu melden, und zwar derart, daß

kein Zweifel über das Ausmaß der im Register

durchzuführenden Änderung entstehen kann. Die

Registernummer (Bearbeitungsnummer), der Name

(sonstige Bezeichnung), die Anschrift des Auftraggebers

sowie der Meldungsgrund sind jedenfalls

anzugeben.

Formblätter

§ 7. (1) Zur Erleichterung und Vereinheitlichung

der Meldungen sind vom Register die Formblätter

„Meldung" und „Einlagebogen" gemäß den Anlagen

1 und 2 zu dieser Verordnung aufzulegen. Diesen

Formblättern sind Erläuterungen anzufügen.

Die Anlagen 1 und 2 sind verbindliche Bestandteile

dieser Verordnung.

(2) Meldungen sind mittels der aufgelegten

Formblätter vorzunehmen. Eine Meldung ist erst

dann erstattet, wenn das erforderliche Formblatt

beim Register einlangt. Dabei ist für jede Meldung

das Formblatt „Meldung" und zusätzlich dazu für

jede zu meldende Datenverarbeitung, die über

Standardverarbeitungen (§§ 8 Abs. 3 und 23 Abs. 4

DSG) hinausgeht, ein Formblatt „Einlagebogen"

zu verwenden. Die Typen und der Inhalt von Standardverarbeitungen

ergeben sich aus der Standard-

Verordnung, BGBl. Nr. 261/1987.

(3) Bei Meldung von Änderungen, die sich lediglich

auf Angaben im Formblatt „Einlagebogen"

beziehen, ist das Formblatt „Meldung" nur soweit

auszufüllen, als die Angaben nicht ohnedies im

Formblatt „Einlagebogen" enthalten sind.

(4) Meldungen, die die Streichung (§ 15) des

Auftraggebers aus dem Register oder bloße

Namens- oder Adreßänderungen des Auftraggebers

zum Gegenstand haben, können auch ohne

Verwendung von Formblättern erfolgen; in diesem

Fall ist die Vorlage eines Schriftstücks hinreichend,

das diese Änderung bezeichnet und die Unterschrift

des Auftraggebers trägt. Andere Änderungen

sind jedenfalls mittels der aufgelegten Formblätter

zu melden.

Beilagen zu den Meldungen

§ 8. (1) Den Meldungen gemäß § 22 DSG sind

die zur Glaubhaftmachung der Angaben notwendigen

Unterlagen — allenfalls in Form von Kopien

— beizulegen, soweit diese für die in den Meldungen

umschriebenen Datenverarbeitungen von

Bedeutung sind. Für Änderungen gilt dies insoweit,

als sie den berechtigten Zweck betreffen.

(2) Gleichzeitig mit der Meldung gemäß den

§§ 22 und 23 DSG ist ein Nachweis über die Entrichtung

der Registrierungsgebühr (§ 10) vorzulegen.

Bearbeitungsnummer, Registernummer

§ 9. (1) Bei Einlangen einer Meldung ist für das

jeweilige Verfahren eine Bearbeitungsnummer zu

vergeben. Die Bearbeitungsnummer ist dem Auftraggeber

unverzüglich mitzuteilen. Sie dient als

Nachweis für das Einlangen der Meldung.

(2) Die Bearbeitungsnummer besteht aus

1. einer siebenstelligen Zahl, die laufend nach

dem Datum des Einlangens der Meldung vergeben

wird; wurde vom Register für den Auftraggeber

bereits eine Registernummer vergeben,

so ist diese als erster Teil der Bearbeitungsnummer

zu verwenden; und

2. aus dem Datum des Einlangens der Meldung

in der Form TTMMJJ; es ist durch einen

Schrägstrich von der gemäß Z 1 vergebenen

Zahl zu trennen.

(3) Im Falle der erstmaligen Registrierung eines

Auftraggebers ist eine Registernummer zu vergeben.

Diese ist eine siebenstellige Zahl, die dem in

Abs. 2 Z 1 bezeichneten Teil der an den Auftraggeber

vergebenen Bearbeitungsnummer zu entsprechen

hat.

(4) An einen Auftraggeber darf nur eine einzige

Registernummer vergeben werden.

(5) Ein Auftraggeber darf nur eine Registernummer

führen. Bei Verwendung der Registernummer

gemäß den §§ 8 Abs. 5 und 22 Abs. 3 DSG ist sie

mit der näheren Kennzeichnung „DVR:" zu führen.

Zusätze zur Registernummer, die der internen

Bezeichnung von Datenverarbeitungen seitens des

Auftraggebers dienen, sind zulässig. Sie sind

getrennt von der Registernummer zu führen.

Registrierungsgebühr

§ 10. (1) Für die Inanspruchnahme des Registers

gemäß den §§ 22 und 23 DSG hat der Auftraggeber

eine Registrierungsgebühr nach folgenden Richtlinien

zu berechnen und vor dem Einbringen der

Meldung auf das im Formblatt „Meldung" angegebene

Konto einzuzahlen

1. für jede Meldung, bei der ein Auftraggeber

erstmals eine Datenverarbeitung (§ 23 DSG)

meldet, die sich nicht ausschließlich auf Standardverarbeitungen

(§ 23 Abs. 4 DSG)

beschränkt, eine Gebühr in der Höhe von

700 S;

2. für jede Meldung, die sich ausschließlich auf

Standardverarbeitungen (§ 23 Abs. 4 DSG)

bezieht, eine Gebühr in der Höhe von 150 S;

3. für jede Änderungsmeldung, die das Formblatt

„Meldung" betrifft, für jede Meldung

von Änderungen innerhalb einer Datenverarbeitung

und für jede Meldung einer weiteren

Datenverarbeitung eine Gebühr in der Höhe

von 150 S.

(2) Meldungen, die die gänzliche Streichung des

Auftraggebers aus dem Register oder bloße

Namens- oder Adreßänderungen des Auftraggebers

zum Gegenstand haben, sind gebührenfrei.

(3) Die Gebühr ist von der Datenschutzkommission

mit Bescheid vorzuschreiben, wenn ihre

Bezahlung nicht gleichzeitig mit der Vorlage der

Meldung nachgewiesen und auch kein entsprechender

Nachweis innerhalb der gemäß § 11 gesetzten

Frist vorgelegt wird.

Mängelrügeverfahren

§ 11. (1) Das Register hat innerhalb einer Frist

von höchstens zwei Monaten nach Einlangen der

Meldung dem Auftraggeber die Verbesserung

unter gleichzeitiger Setzung einer angemessenen

Verbesserungsfrist aufzutragen, wenn

1. Angaben fehlen,

2. Angaben offenbar unrichtig sind,

3. Angaben unstimmig sind, was insbesondere

dann vorliegt, wenn der Inhalt gemeldeter

Datenverarbeitungen durch die gemeldeten

berechtigten Zwecke beziehungsweise durch

die angeführten Rechtsgrundlagen nicht

gedeckt ist,

4. Angaben so unzureichend sind, daß Einsichtnehmer

im Hinblick auf die Wahrnehmung

ihrer Rechte nach dem DSG keine hinreichende

Information darüber gewinnen können,

ob durch die Datenverarbeitung oder

Übermittlung ihre schutzwürdigen Interessen

verletzt sein könnten,

5. die Meldung nicht den §§ 7 und 8 Abs. 1 entspricht

oder

6. kein Nachweis über die Entrichtung der

Gebühr vorgelegt wurde.

(2) Kommt das Register zur Auffassung, daß

mangels Rechtsgrundlage einer Datenverarbeitung

schutzwürdige. Geheimhaltungsinteressen der

Betroffenen wesentlich gefährdet erscheinen, so hat

es dies der Datenschutzkommission unverzüglich

mitzuteilen, die gemäß den §§ 8a Abs. 3 oder 23a

Abs. 2 DSG vorzugehen hat. Unabhängig von dieser

Mitteilung hat das Register das Verfahren

gemäß Abs. 3 weiterzuführen. Wird die Meldung

dabei entsprechend verbessert, so ist die Datenschutzkommission

hievon zu verständigen.

(3) Das Register hat der Datenschutzkommission

die Meldung zur endgültigen Entscheidung über

die Registrierung eines Auftraggebers oder einer

Datenverarbeitung vorzulegen, wenn einem Verbesserungsauftrag

des Registers gemäß Abs. 1 Z 1

bis 5 nicht fristgerecht entsprochen wird. Dabei

sind die behaupteten Mängel zu begründen. Stellt

die Datenschutzkommission die Mangelhaftigkeit

der Meldung fest, so hat sie mit Bescheid die Registrierung

des Auftraggebers oder der jeweiligen

Datenverarbeitung abzulehnen und Auftraggebern

gemäß § 22 DSG insoweit die Weiterführung der

Datenverarbeitung zu untersagen; andernfalls hat

sie dem Register die Registrierung aufzutragen.

Registrierung

§ 12. (1) Die Meldungen sind in das Register einzutragen

(Registrierung),

1. wenn innerhalb von zwei Monaten nach Einlangen

der Meldung kein Verbesserungsauftrag

erteilt wurde,

2. wenn der Auftraggeber die verlangten Verbesserungen

fristgerecht vorgenommen hat

oder

3. wenn die Registrierung dem Register von der

Datenschutzkommission aufgetragen wurde.

(2) Bei der erstmaligen Registrierung eines Auftraggebers

ist auch die Registernummer (§ 9 Abs. 3)

zu vergeben.

(3) Das Register hat dem Auftraggeber die

Durchführung der Registrierung mit dem ihn

betreffenden Registerauszug schriftlich mitzuteilen.

Der Registerauszug ist die teilweise Wiedergabe

jener Registereintragung, die auf Grund der Meldung

und des Registrierungsverfahrens vorgenommen

wurde. Der Registerauszug hat den jeweils

aktuellen Stand der Registrierung zu beschreiben

und insbesondere die zugeteilte Registernummer,

die Bezeichnung (Namen), die Anschrift und die

Bezeichnung der Datenverarbeitungen zu enthalten.

Registerauszüge sind von den Stempelgebühren

und von den Verwaltungsabgaben des Bundes

befreit.

(4) Durch die Registrierung wird der Entscheidung

der zuständigen Behörde über die Rechtmäßigkeit

der registrierten Datenverarbeitung nicht

vorgegriffen.

Weitere Eintragungen im Register

§ 13. (1) Gerichtliche Entscheidungen, die einen

Ausspruch gemäß § 29 Abs. 4 DSG enthalten, sind

im automationsunterstützten Teil des Registers

anzumerken und im Volltext beim Registrierungsakt

derart aufzubewahren, daß jederzeit unverzüglich

Einsicht gewährt werden kann. Dabei sind alle

Daten, aus denen die Identität beteiligter Personen

mit Ausnahme des registrierten Auftraggebers

erschlossen werden könnte, unter Aufrechterhaltung

der Verständlichkeit der Entscheidung durch

Symbole, die jeweils für natürliche oder juristische

Personen oder für örtliche Bezeichnungen zu vergeben

sind, zu ersetzen.

(2) Zu jeder gerichtlichen Entscheidung — mit

Ausnahme derjenigen des Obersten Gerichtshofes

— ist anzumerken, ob sie in Rechtskraft erwachsen

ist oder nicht. Wird eine Entscheidung durch eine

andere gerichtliche Entscheidung bestätigt, abgeändert

oder aufgehoben, so ist dies gleichfalls anzumerken.

(3) Ausfertigungen der gemäß den §§ 33 Abs. 3

und 34 Abs. 3 DSG zugemittelten Bescheide der

Datenschutzkommission, mit denen die Übermittlung

oder Überlassung von Daten in das Ausland

genehmigt wurde, sind zum Registrierungsakt zu

nehmen.

Änderung der Registrierung

§ 14. (1) Änderungen sind im Register auf Grund

einer gemäß § 6 Abs. 2 in Verbindung mit § 7

Abs. 2 bis 4 vorgenommenen Meldung des registrierten

Auftraggebers oder auf Grund eines im

Verfahren nach Abs. 2 ergangenen Bescheides der

Datenschutzkommission vorzunehmen.

(2) Werden dem Register außerhalb einer Meldung

gemäß § 6 Abs. 2 in Verbindung mit § 7

Abs. 2 bis 4 nachträglich Umstände bekannt, die

eine Mangelhaftigkeit von registrierten Meldungen

bewirken, so hat das Register von Amts wegen ein

Mängelrügeverfahren einzuleiten. Hiefür gilt § 11

mit der Maßgabe, daß die Datenschutzkommission

im Falle der Änderung von Namen oder Adressen

mit Bescheid eine Berichtigung verfügen kann. Die

Durchführung eines Mängelrügeverfahrens ist bis

zu seinem Abschluß im Register anzumerken.

Streichung aus dem Register

§ 15. (1) Wenn eine Meldung eines Registrierten

oder ein Bescheid der Datenschutzkommission die

Streichung eines Auftraggebers aus dem Register

zum Gegenstand hat, so ist im Register diese Streichung

bei der ursprünglichen Eintragung unter Beifügung

des Datums anzumerken. Nach Ablauf von

fünf Jahren ist im Register nur mehr die Registernummer

und der Name des Auftraggebers mit dem

Zusatz „gestrichen" zu belassen.

(2) Wird im privaten Bereich gleichzeitig mit der

Meldung der Streichung eine Meldung eines Auftraggebers,

der die Rechtsnachfolge hinsichtlich

aller vom Rechtsvorgänger registrierten Datenverarbeitungen

antritt, eingebracht und diese Rechtsnachfolge

gleichzeitig nachgewiesen, so ist auf

Ansuchen die Registernummer zu übertragen. In

allen anderen Fällen ist die Nummer nicht an einen

anderen Auftraggeber zu vergeben.

(3) Abs. 1 erster Satz gilt sinngemäß für Streichungen

von Datenverarbeitungen und von Übermittlungen

aus dem Register ohne Streichung des

Auftraggebers.

(4) § 12 Abs. 3 ist auf die mit einer Streichung

verbundenen Eintragungen sinngemäß anzuwenden.

Übergangsbestimmungen

§ 16. (1) Verfahren über Registrierungsmeldungen

und über Registrierungsanträge sind, soweit sie

im Zeitpunkt des Inkrafttretens dieser Verordnung

noch nicht beendet sind, nach den Bestimmungen

dieser Verordnung weiterzuführen.

(2) Die Frist zur Erhebung der Mängelrüge im

Sinne des § 11 beträgt für diese Fälle sechs Monate

und beginnt mit 1. Juli 1987. Wurden fehlerhafte

Eingaben nach dem § 23 Abs. 1 DSG in der Fassung

des Bundesgesetzes BGBl. Nr. 565/1978

bereits erfolglos bemängelt, so ist die Vorlage an

die Datenschutzkommission ohne neuerliches

Mängelrügeverfahren möglich.

(3) Laufende Verfahren über Registrierungsanträge

nach dem § 23 Abs. 3 DSG in der Fassung

des Bundesgesetzes BGBl. Nr. 565/1978 sind einzustellen.

Eintragungen im Register über Registrierungen

nach dem § 23 Abs. 3 DSG in der Fassung

des Bundesgesetzes BGBl. Nr. 565/1978 sind mit

1. Juli 1992 zu streichen.

(4) Auftraggeber von nicht registrierten Datenverarbeitungen,

die die Betroffenen nach dem § 22

DSG in der Fassung des Bundesgesetzes BGBl.

Nr. 565/1978 informiert haben, haben keine Meldung

gemäß dieser Verordnung vorzunehmen,

wenn diese Datenverarbeitungen über Standardverarbeitungen

(§ 23 Abs. 4 DSG) nicht hinausgehen.

Sie haben eine solche Meldung aber vorzunehmen,

wenn Betroffene in diese Datenverarbeitung einbezogen

werden, die nicht nach dem § 22 DSG in

der Fassung des Bundesgesetzes BGBl. Nr. 565/

1978 informiert wurden oder wenn die Datenverarbeitung

zum Zeitpunkt des Inkrafttretens dieser

Verordnung über eine Standardverarbeitung hinausgeht.

Im zuletzt genannten Fall ist diese Meldung

bis zum 31. Dezember 1987 vorzunehmen.

Die Frist zur Erhebung der Mängelrüge beträgt für

diesen Fall sechs Monate, wobei diese Frist frühestens

mit 1. Juli 1987 beginnen kann.

(5) Vor dem 1. Juli 1987 zugestellte Registerauszüge

und Genehmigungsbescheide betreffend den

internationalen Datenverkehr gelten als Registerauszüge

im Sinne des § 12 dieser Verordnung bzw.

als Genehmigungsbescheide im Sinne der §§ 33 und

34 DSG.

(6) Die bisher erfolgten Registrierungen gemäß

den §§ 8 und 23 Abs. 1 DSG in der Fassung des

Bundesgesetzes BGBl. Nr. 565/1978 sind weiterhin

Bestandteile des Registers.

(7) Auftraggeber, an die vor dem Inkrafttreten

dieser Verordnung zwei Registernummern vergeben

wurden, haben bis zum 1. Juli 1988 gegenüber

dem Register schriftlich zu erklären, welche dieser

Registernummern sie in Zukunft ausschließlich führen

werden. Die entsprechenden Registrierungen

und Registrierungsakten sind im Register zusammenzuführen.

(8) Meldungen, die sich auf Datenverarbeitungen

beziehen, die vor dem Inkrafttreten dieser Verordnung

registriert wurden, gelten als Meldungen

im Sinne des § 10 Abs. 1 Z 2 und Z 3.

Inkrafttreten

§ 17. (1) Diese Verordnung tritt mit 1. Juli 1987

in Kraft.

(2) Die Verordnung des Bundeskanzlers vom

20. Dezember 1979, BGBl. Nr. 573, über das

Datenverarbeitungsregister (DVR-VO), zuletzt

geändert durch die Verordnung BGBl. Nr. 128/

1985, tritt mit 1. Juli 1987 außer Kraft.