296. Verordnung: Erste Datenschutz-Durchführungsverordnung des Bundesminister für Inneres

Auf Grund der §§ 6, 7, 9 und 11 des Datenschutzgesetzes,

BGBl. Nr. 565/1978, wird verordnet

Geltungsbereich

§ 1. (1) Die Bestimmungen dieser Verordnung

gelten für Auftraggeber (§ 3 Z 3 DSG) und Verarbeiter

(§ 3 Z 4 DSG) der im Abs. 2 angeführten

Behörden und Dienststellen.

(2) Auftraggeber im Sinne des Abs. 1 sind

nach Maßgabe ihrer sachlichen und örtlichen Zuständigkeit

hinsichtlich der Vollziehung des Bundesministeriengesetzes,

BGBl. Nr. 389/1973,

Strafregistergesetzes, BGBl. Nr. 277/1968, Tilgungsgesetzes,

BGBl. Nr. 68/1972, Kraftfahrgesetzes,

BGBl. Nr. 267/1967, Fremdenpolizeigesetzes,

BGBl. Nr. 75/1954, Waffengesetzes, BGBl.

Nr. 121/1967, Paßgesetzes, BGBl. Nr. 422/1969,

Meldegesetzes, BGBl. Nr. 30/1973 und Zivildienstgesetzes,

BGBl. Nr. 187/1974, jeweils in

der geltenden Fassung

1. das Bundesministerium für Inneres

2. die Sicherheitsdirektionen

3. die Bundespolizeidirektionen

4. die Dienststellen der Bundesgendarmerie.

(3) Verarbeiter im Sinne des Abs. 1 sind

1. die EDV-Zentrale des Bundesministeriums

für Inneres,

2. die Datenstationen und Terminalplätze der

im Abs. 2 genannten Auftraggeber,

3. die Fernschreibstellen der im Abs. 2 genannten

Auftraggeber, soweit sie im Rahmen

der Datenfernverarbeitung die Eingabe oder

Abfrage von Daten durchführen.

Aufgabengebiet

§ 2. (1) Verwaltungsangelegenheiten, die auf

Grund der im § 1 Abs. 2 angeführten Rechtsvorschriften

vollzogen werden und die zueinander

in einem engen sachlichen Zusammenhang

stehen, bilden ein Aufgabengebiet.

(2) Ein Aufgabengebiet unterliegt dieser Verordnung

nur hinsichtlich jener Daten (§ 3 Z 1

DSG), die zumindest in einer Phase des Verfahrensablaufes

Gegenstand eines automationsunterstützten

Vorganges sind.

(3) Die automationsunterstützte Vollziehung

eines Aufgabengebietes ist so einzurichten, daß im

Außenverhältnis, insbesondere für den Betroffenen,

die sachliche und örtliche Zuständigkeit des

Auftraggebers unberührt bleibt. Mit dem Betroffenen

hat ausschließlich der Auftraggeber zu

verkehren. Zusendungen dürfen auch durch den

Verarbeiter im Namen des Auftraggebers erfolgen,

wenn eine diesbezügliche schriftliche Ermächtigung

des Auftraggebers vorliegt.

(4) Wird ein Aufgabengebiet für mehrere Auftraggeber

mit Hilfe derselben technischen Einrichtungen

vollzogen, so ist sicherzustellen, daß

jeder Auftraggeber nur über die in seine Zuständigkeit

fallenden Daten verfügen kann.

(5) Wenn die Daten für verschiedene Aufgabengebiete

mit Hilfe derselben technischen Einrichtungen

verarbeitet werden, ist sicherzustellen,

daß jeder Auftraggeber nur über die in seine

Zuständigkeit fallenden Daten verfügen kann.

Grundsätze für die Ermittlung

§ 3. (1) Daten dürfen zum Zwecke des automationsunterstützten

Datenverkehrs nur ermittelt

werden, wenn dafür eine ausdrückliche

gesetzliche Ermächtigung besteht, oder soweit

dies für den Auftraggeber zur Wahrnehmung der

ihm gesetzlich übertragenen Aufgaben eine wesentliche

Voraussetzung bildet. Auf die Art der

ermittelten Daten ist dabei Bedacht zu nehmen.

(2) Wird zur Ermittlung von Daten Amtshilfe

in Anspruch genommen, so ist das Amtshilfeersuchen

derart zu begründen, daß die ersuchte

Stelle die Zulässigkeit der Übermittlung gemäß

§ 7 DSG beurteilen kann. Die Begründung kann

entfallen, wenn die Zulässigkeit der Übermittlung

für die ersuchte Stelle offenkundig ist oder anläßlich

eines vorangegangenen Amtshilfeersuchens

gleicher Art festgestellt wurde.

Grundsätze für Verarbeitung

§ 4. (1) Daten sind vor Entstellung, Zerstörung

und Verlust sowie gegen unbefugte Verwendung

und Weitergabe zu schützen, wobei auf die Art

der verarbeiteten Daten Bedacht zu nehmen ist.

(2) Bei der Organisation der Verarbeitung ist

auf die Unvereinbarkeit von Tätigkeiten Bedacht

zu nehmen.

(3) Daten dürfen nur auf Grund von schriftlichen

oder fernschriftlichen Aufträgen der Auftraggeber

verarbeitet werden. Die Aufträge

können auch fernmündllich oder im Funkwege

ergehen, wenn die kurzfristige Durchführung

des Auftrages für die erfolgreiche Durchführung

einer Amtshandlung notwendig ist. Die Eingabeprotokolle

sind zu überprüfen und aufzubewahren.

(4) Die Inbetriebnahme von Einrichtungen

für die Verarbeitung, insbesondere von Dateneingabe-

und abfragegeräten durch nichtberechtigte

Personen ist durch die geeigneten organisatorischen,

personellen, technischen und baulichen

Maßnahmen zu vierhindern.

(5) Die für die Verarbeitung notwendigen

Daten und die Programme einschließlich der dazugehörigen

Dokumentation sind auch außerhalb

der Verarbeitungsstätte gesichert aufzubewahren.

(6) Sofern es technisch und wirtschaftlich vertretbar

ist, sind Programme zum Schutz gegen

unbefugte Zugriffe einzusetzen.

(7) Die Vernichtung unbrauchbarer oder nicht

mehr 'benötigter Ausdrucke und sonstiger Datenträger

ist sicherzustellen.

§ 5. (1) Der Auftraggeber hat, soweit ihm das

mit vertretbarem Arbeitsaufwand möglich ist, die

Richtigkeit der Verarbeitungsergebnisse durch

Stichproben zu überprüfen.

(2) Wird ein Fehler festgestellt, so hat der Auftraggeber

im Rahmen seiner Befugnisse und

Möglichkeiten alles zu unternehmen, um das

Schadensausmaß gering zu halten, den Betroffenen

unnötige Mühe zu ersparen, die Fehlerbehebungen

raschest einzuleiten und Folgefehler zu

verhindern. Der zuständige Verarbeiter ist unverzüglich

zu verständigen, wenn zu vermuten ist,

daß die Fehlerursache in seinem Tätigkeitsbereich

gelegen ist.

Vergabe und Übernahme von Verarbeitungen

§ 6. Die Vergabe von Verarbeitungen an andere

als die in § 1 Abs. 3 genannten Verarbeiter und

die Übernahme von Verarbeitungen anderer als

im § 1 Abs. 2 genannten Auftraggeber bedarf der

Genehmigung des Bundesministers für Inneres;

ein Vertrag gemäß § 13 DSG darf erst nach Erteilung

dieser Genehmigung abgeschlossen werden.

Grundsätze für die Benützung

§ 7. (1) Die Benützung der Daten darf nur in

der Art und in dem Umfang erfolgen, als dies für

den Auftraggeber zur Wahrnehmung der ihm

gesetzlich übertragenen Aufgaben eine wesentliche

Voraussetzung bildet.

(2) Beim Auftraggeber dürfen die Bediensteten

nur jene Daten benützen, die sie zur Erfüllung

der ihnen übertragenen Aufgaben benötigen. Die

Entscheidung hierüber hat der Dienststellenleiter

unter Bedachtnahme auf die Art der verarbeiteten

Daten zu treffen.

Grundsätze für die Übermittlung

§ 8. (1) Datenübermittlungen durch den Auftraggeber

bedürfen, wenn sich die Zulässigkeit

der Übermittlung auf § 7 Abs. 2 DSG gründet,

einer schriftlichen Genehmigung des Dienststellenleiters,

wobei auf die Art der verarbeiteten

Daten besonders Bedacht zu nehmen ist. Diese

Genehmigung kann für den Einzelfall oder

generell erteilt werden. Der Dienststellenleiter

kann in der Personal- und Geschäftseinteilung

andere Bedienstete zur Erteilung der Genehmigungen

ermächtigen.

(2) Einem Ersuchen um Übermittlung von

Daten darf im Zweifelsfall nur entsprochen

werden, wenn die ersuchende Stelle an der

Klärung der für die Beurteilung der Zulässigkeit

der Übermittlung maßgeblichen Sach- und

Rechtslage mitwirkt. Um die Mitwirkung ist

erforderlichenfalls zu ersuchen.

(3) Die Verarbeiter dürfen Übermittlungen

nur über schriftlichen Auftrag und im Namen

der Auftraggeber durchführen; der Auftrag kann

als Einzel- oder Dauerauftrag erteilt werden.

(4) Übermittlungen sind, soweit dies zur Auskunftserteilung

über die Empfänger der Daten

erforderlich ist, durch Festhalten der Art der

Daten, des Betroffenen und des Empfängers

zu protokollieren.

(5) Werden die Daten für verschiedene Aufgabengebiete

mit Hilfe derselben technischen

Einrichtungen verarbeitet, so ist sicherzustellen,

daß Verknüpfungen von Daten verschiedener

Aufgabengebiete nur in den im § 7 DSG genannten

Fällen erfolgen.

Datengeheimnis

§ 9. (1) Jeder Dienststellenleiter hat allen Bediensteten,

denen in Ausübung ihres Berufes

Daten anvertraut werden oder zugänglich sind,

vor Aufnahme ihrer Tätigkeit nachweislich zur

Kenntnis zu bringen, daß Daten nur zur Erfüllung

der übertragenen Aufgaben zu verwenden

und stets vertraulich zu behandeln sind sowie

nicht unbefugt beschafft oder geoffenbart werden

dürfen.

(2) Personen, denen in Ausübung ihres Berufes

Daten anvertraut werden oder zugänglich

sind, ohne daß ein Dienstverhältnis zum Bund

besteht, sind vor Aufnahme ihrer Tätigkeit

zur Einhaltung des Datengeheimnisses schriftlich

zu verpflichten.

Auskunft

§ 10. (1) Eine Auskunft gemäß § 11 DSG ist

nur auf Grund eines unbedenklichen Identitätsnachweises

und gegen Empfangsbestätigung auszufolgen

oder zu eigenen Handen zuzustellen.

(2) Für die Erteilung einer Auskunft werden

folgende pauschalierte Kostenersätze festgelegt

1. für jede Auskunft über den aktuellen Stand

der Daten des Antragstellers 100 S je Zweck

der Verarbeitung,

2. für jede darüber hinausgehende Auskunft

500 S je Zweck der Verarbeitung; in jenen

Fällen, in denen die Auskunftserteilung

einen besonders hohen technischen oder

organisatorischen Aufwand erfordert, 1000 S

je Zweck der Verarbeitung.

(3) Die im Abs. 2 angeführten Kostenersätze

sind nicht zu entrichten,

1. wenn der Antragsteller nachweist, daß sein

monatliches Einkommen die Richtsätze der

Ausgleichszulagen nach dem ASVG nicht

überschreitet, oder

2. wenn der Aufwand für die Auskunftserteilung

geringfügig ist.

(4) Dem Antragsteller ist der für die Auskunftserteilung

zu entrichtende Kostenersatz

mitzuteilen. Von der Bearbeitung eines Auskunftsantrages

ist abzusehen, wenn der mitgeteilte

Kostenersatz nicht entrichtet wurde.

(5) Die in § 11 DSG enthaltene Frist für die

Erteilung von Auskünften beginnt erst zu laufen,

sobald die Entrichtung des mitgeteilten Kostenersatzes

nachgewiesen wird.

(6) Die Absätze 1 bis 5 sind auf Fälle nicht

anzuwenden, für die in Rechtsvorschriften des

Bundes besondere Auskunftsrechte außerhalb des

DSG festgelegt sind.

Richtigstellung und Löschung

§ 11. (1) Richtigstellungen und Löschungen

gemäß § 12 DSG hat der Auftraggeber zu veranlassen.

Er hat hiebei zu beachten, daß rechtsverbindlich

festgestellte Daten nur auf Grund

einer Entscheidung des für die Feststellung zuständigen

Organs richtiggestellt oder gelöscht

werden dürfen.

(2) Daten, die für Zwecke der Dokumentation

in der internen Kontrolle aufbewahrt werden,

dürfen nicht richtiggestellt und vor Ablauf der

Aufbewahrungsfrist nicht gelöscht werden.

(3) Wird bei der Verarbeitung auf die zu

Datensicherungszwecken ausgelagerten Datenbestände

zurückgegriffen, so ist durch geeignete

organisatorische Maßnahmen sicherzustellen, daß

im Datenbestand erfolgte Richtigstellungen und

Löschungen wirksam bleiben.

Angabe der Registernummer

§ 12. (1) Bei Übermittlungen im Sinne des

§ 3 Z 8 DSG und Mitteilungen an den Betroffenen,

die in schriftlicher Form ergehen und

verarbeitete Daten zum Inhalt haben, ist die

Registernummer anzugeben.

(2) Bei Übermittlungen im Sinne des § 3

Z 8 DSG und Mitteilungen an den Betroffenen

auf nur maschinell lesbaren Datenträgern ist

die Registernummer entweder auf den Begleitpapieren

oder auf dem Datenträger anzugeben.

Inkrafttreten

§ 13. (1) § 10 Abs. 2 bis 6 tritt am Tage nach

der Kundmachung in Kraft. Gleichzeitig wird

die Verordnung des Bundesministers für Inneres

vom 21. Dezember 1979, BGBl. Nr. 579, aufgehoben.

(2) Die übrigen Bestimmungen treten sechs

Monate nach Kundmachung in Kraft.