316. Verordnung: Durchführung des Datenschutzgesetzes im Wirkungsbereich des Bundesministeriums für Inneres (Datenschutzverordnung)

Auf Grund des § 9 des Datenschutzgesetzes

(DSG), BGBl. Nr. 565/1978, in der Fassung der

Bundesgesetze BGBl. Nr. 341/1981, 577/1982 und

370/1986 wird verordnet

Geltungsbereich

§ 1. Diese Verordnung gilt für alle Auftraggeber

und Dienstleister im Wirkungsbereich des Bundesministeriums

für Inneres.

Auftraggeber und Aufgabengebiete

§ 2. Auftraggeber sind nach Maßgabe ihrer sachlichen

und örtlichen Zuständigkeit im Hinblick auf

die Vollziehung der in § 3 genannten Aufgabengebiete

1. das Bundesministerium für Inneres,

2. die Sicherheitsdirektionen,

3. die Bundespolizeidirektionen,

4. die Dienststellen der Bundesgendarmerie.

§ 3. Aufgabengebiete im Sinne dieser Verordnung

sind

1. Vollziehung des Dienst- und Besoldungsrechtes

für die aktiven Bundesbediensteten

einschließlich der Rechtsvorschriften über

die Ausbildung und Planstellenbewirtschaftung

(Personalverwaltung),

2. Haushaltsführung einschließlich der damit

im Zusammenhang stehenden Neben- und

Hilfsverrechnungen sowie der Betriebsabrechnungen,

3. Führung des Strafregisters,

4. Vollziehung des Kraftfahrgesetzes, BGBl.

Nr. 267/1967, und des Verwaltungsstrafgesetzes,

BGBl. Nr. 172/1950, in bezug auf

Angelegenheiten des Zulassungswesens,

sowie des Verwaltungsstrafverfahrens im

Bereiche des Kraftfahrrechtes sowie des Verkehrsrechtes,

5. Vollziehung des Fremdenpolizeigesetzes,

BGBl. Nr. 75/1954,

6. Vollziehung des Paßgesetzes, BGBl.

Nr. 422/1969,

7. Vollziehung des Waffengesetzes, BGBl.

Nr. 121/1967,

8. Vollziehung des Meldegesetzes, BGBl.

Nr. 30/1973,

9. Vollziehung des Wählerevidenzgesetzes,

BGBl. Nr. 601/1973,

10. Vollziehung des Zivildienstgesetzes, BGBl.

Nr. 187/1974,

11. Vollziehung des Bundesministeriengesetzes,

BGBl. Nr. 76/1986,

jeweils in der geltenden Fassung.

Datensicherheitsmaßnahmen

§ 4. (1) Die in § 2 genannten Auftraggeber oder

Dienstleister haben für die Organisationseinheiten

ihres örtlichen und sachlichen Zuständigkeitsbereiches,

die Daten verwenden, Datensicherheitsmaßnahmen

derart anzuordnen, den jeweiligen technischen

und organisatorischen Änderungen umgehend

anzupassen und zu dokumentieren, daß für

die verwendeten Daten die nach ihrer Art angemessene

Schutzwirkung erreicht wird. Liegen Daten

mit unterschiedlicher Schutzwürdigkeit vor, so dürfen

Daten mit geringerer Schutzwürdigkeit mit

Daten höherer Schutzwürdigkeit gleichbehandelt

werden.

(2) Der Auftraggeber oder Dienstleister hat jene

Organisationseinheit zu bestimmen, die die

Zutrittsberechtigungen zu den Räumlichkeiten, in

denen die Datenverarbeitung stattfindet, vergibt,

ändert, kontrolliert und entzieht. Er hat durch die

geeigneten organisatorischen, personellen, technischen

und baulichen Maßnahmen die Inbetriebnahme

von Einrichtungen für die Verarbeitung,

insbesondere von Dateneingabe- und Abfragegeräten

durch nichtberechtigte Personen zu verhindern.

(3) Der Leiter der Organisationseinheit, die

Daten verwendet, legt unter Bedachtnahme auf die

Art der Daten fest, welche Bediensteten die jeweiligen

Daten verwenden dürfen.

(4) Das Bundesministerium für Inneres hat jene

Organisationseinheit zu bestimmen, die die Zugriffsberechtigungen

vergibt, ändert, kontrolliert

und entzieht. Dabei ist darauf Bedacht zu nehmen,

daß sowohl die Organisationseinheit als auch der

einzelne Zugriffsberechtigte unterscheidbar sind.

Der Zugriff auf das Betriebssystem ist darüber hinaus

durch geeignete Maßnahmen zu sichern.

(5) Die für die Verarbeitung notwendigen Daten

und Programme einschließlich der dazugehörigen

Dokumentation sind auch außerhalb der Verarbeitungsstätte

gesichert aufzubewahren.

(6) Die Vernichtung unbrauchbarer oder nicht

mehr benötigter Ausdrucke und sonstiger Datenträger

ist vom Auftraggeber oder Dienstleister

durch entsprechende personelle oder vertragliche

Maßnahmen sicherzustellen.

(7) Jeder Bedienstete, dem in Ausübung seines

Dienstes Daten anvertraut werden oder zugänglich

sind, ist über seine Pflichten nach dem Datenschutzgesetz,

der Datenschutzverordnung und den

innerorganisatorischen Datenschutzvorschriften,

insbesondere über die von ihm einzuhaltenden

Datensicherheitsvorschriften, nachweislich zu

belehren und von deren Änderungen umgehend

und nachweislich in Kenntnis zu setzen.

Grundsätze für die Ermittlung, Verarbeitung und

Benützung

§ 5. (1) Wird zur Ermittlung und Verarbeitung

von Daten Amtshilfe in Anspruch genommen, so ist

das Amtshilfeersuchen so zu begründen, daß die

ersuchte Stelle die Zulässigkeit der Übermittlung

gemäß § 7 DSG beurteilen kann. Die Begründung

kann entfallen, wenn die Zulässigkeit der Übermittlung

für die ersuchte Stelle offenkundig ist oder

anläßlich eines vorangegangenen Amtshilfeersuchens

gleicher Art festgestellt wurde.

(2) Die Ermittlung und Verarbeitung von Daten

ist dann als wesentliche Voraussetzung für die

Wahrnehmung der gesetzlich übertragenen Aufgaben

zu erachten, wenn andere Möglichkeiten, die

gesetzlich übertragenen Aufgaben wahrzunehmen,

nicht vorliegen oder sie auf Grund des zu erwartenden

Aufwandes dem Auftraggeber nicht zuzumuten

sind.

(3) Werden Daten vom Betroffenen ermittelt, so

ist dieser vor der Ermittlung darüber zu informieren,

ob eine gesetzliche Verpflichtung zur Offenlegung

seiner personenbezogenen Daten besteht oder

ob die Ermittlung durch seine freiwillige Mitwirkung

zustande kommt.

§ 6. (1) Jedes Programm ist vor seinem Einsatz in

der Verarbeitung personenbezogener Daten von

der durch das Bundesministerium für Inneres zu

bestimmenden Organisationseinheit freizugeben.

(2) Die Daten und Programme sind vor Entstellung,

Zerstörung und Verlust sowie gegen unbefugte

Verwendung und Weitergabe zu schützen.

(3) Wird ein Aufgabengebiet für mehrere Auftraggeber

mit Hilfe derselben technischen Einrichtung

oder im Netzwerkverbund vollzogen, so ist

sicherzustellen, daß jedem Auftraggeber die in die

Zuständigkeit eines anderen Auftraggebers fallenden

Daten nur in den im § 7 DSG genannten Fällen

zugängig gemacht werden. Dasselbe gilt, wenn die

Daten für verschiedene Aufgabengebiete mit Hilfe

derselben technischen Einrichtung oder im Netzwerkverbund

verarbeitet werden.

(4) Daten dürfen nur auf Grund von schriftlichen

Aufträgen verarbeitet werden. Die Aufträge

dürfen auch fernmündlich oder im Funkwege ergehen,

wenn die kurzfristige Durchführung des Auftrages

für die erfolgreiche Durchführung einer

Amtshandlung notwendig ist. Die Eingabeprotokolle

aller Arten von Verarbeitungsaufträgen sind

zu überprüfen und aufzubewahren.

(5) Der Auftraggeber hat, soweit ihm dies mit

vertretbarem Arbeitsaufwand möglich ist, die Richtigkeit

der Verarbeitungsergebnisse durch Stichproben

oder sonstige geeignete Methoden zu überprüfen.

(6) Wird ein Fehler festgestellt, so hat der Auftraggeber

die Fehlerbehebung umgehend einzuleiten

und die Fehlerursache zu beheben. Der betreffende

Dienstleister ist unverzüglich zu verständigen,

wenn zu vermuten ist, daß die Fehlerursache

in seinem Tätigkeitsbereich liegt.

(7) Die Benützung der Daten darf nur in der Art

und in dem Umfang erfolgen, als hiefür eine ausdrückliche

gesetzliche Ermächtigung besteht oder

dies für den Auftraggeber für die Wahrnehmung

der ihm gesetzlich übertragenen Aufgaben eine

wesentliche Voraussetzung bildet.

(8) Die Bediensteten des Auftraggebers dürfen

nur jene Daten benützen, die sie zur Erfüllung der

ihnen übertragenen Aufgaben benötigen.

Grundsätze für die Übermittlung von Daten

§ 7. (1) Übermittlungen von Daten durch den

Auftraggeber oder Dienstleister bedürfen, sofern

sie sich nicht auf eine ausdrückliche gesetzliche

Ermächtigung stützen, einer schriftlichen Genehmigung

des zuständigen Organs. Die Genehmigung

kann für den Einzelfall oder generell erteilt werden.

(2) Der Auftraggeber hat zu veranlassen, daß

vom Österreichischen Statistischen Zentralamt im

Anschluß an die anonymisierte Verarbeitung

gemäß § 7 Abs. 1 Z 3 DSG die personenbezogenen

Daten dem übermittelnden Organ zurückgegeben,

gelöscht oder auftragsgemäß aufbewahrt oder verarbeitet

werden.

§ 8. Einem Ersuchen um Übermittlung von

Daten darf nur entsprochen werden, wenn die ersuchende

Stelle an der Klärung der für die Beurteilung

der Zulässigkeit der Übermittlung maßgeblichen

Sach- und Rechtslage mitwirkt. Um die Mitwirkung

ist erforderlichenfalls zu ersuchen, es sei

denn, die Zulässigkeit der Übermittlung ist offenkundig.

§ 9. (1) Eine Übermittlung in den Fällen des § 7

Abs. 3 DSG ist zulässig, wenn andere Möglichkeiten,

das berechtigte Interesse des Dritten zu wahren,

nicht vorliegen oder nicht zumutbar sind. Auch

in diesem Fall ist die Übermittlung nur zulässig,

wenn das schutzwürdige Interesse des Betroffenen

an der Geheimhaltung nicht überwiegt. Derartige

Übermittlungen sind zu protokollieren.

(2) Daten gelten dann als veröffentlicht, wenn sie

einem generell bestimmten Personenkreis zugänglich

gemacht wurden.

Grundsätze für die Überlassung von Daten

§ 10. (1) Die in § 2 genannten Organisationseinheiten

der Auftraggeber können unter den in § 13

DSG genannten Voraussetzungen nach Genehmigung

durch das Bundesministerium für Inneres

Dienstleister in Anspruch nehmen.

(2) Die Überlassung der Daten durch einen

Dienstleister an einen weiteren ist nur mit vorheriger

Genehmigung des Bundesministeriums für

Inneres zulässig.

Auskunftsrecht

§ 11. (1) Der Betroffene hat in seinem Antrag auf

Auskunft gemäß § 11 DSG diejenigen Datenverarbeitungen

im Sinne des § 8 DSG zu bezeichnen,

bezüglich derer er die Auskunft wünscht, oder

durch Vorlage von Unterlagen oder die Beschreibung

von Lebensumständen glaubhaft zu machen,

aus welchen Gründen anzunehmen ist, daß seine

Daten irrtümlich oder mißbräuchlich in Datenbeständen

des Auftraggebers enthalten sind. Eine allfällige

Aufforderung zur Verbesserung eines Antrages

auf Auskunft gemäß § 11 DSG hat ohne unnötigen

Verzug zu erfolgen.

(2) Der aktuelle Datenbestand im Sinne des § 11

Abs. 4 DSG umfaßt jene Daten, die in der betreffenden

Datenverarbeitung dem Direktzugriff

unterliegen oder — mangels eines solchen — den

letztgültigen Datenbestand.

(3) Eine Auskunft gemäß § 11 DSG darf nur auf

Grund eines unbedenklichen Identitätsnachweises

und gegen Empfangsbestätigung ausgefolgt oder

zu eigenen Handen zugestellt werden. Eine Auskunftserteilung

ist hinsichtlich des Aufgabengebietes und des Zeitpunktes der Erledigung zu dokumentieren.

§ 12. (1) Für die Erteilung einer Auskunft im

Sinne des § 11 Abs. 4 DSG werden folgende pauschalierte

Kostenersätze festgelegt

1. für die Auskunft über den aktuellen Stand der

Daten des Antragstellers, wenn dieser im laufenden

Jahr bereits ein Auskunftsbegehren

über dasselbe Aufgabengebiet gestellt hat,

100 S je Datenverarbeitung;

2. für jede darüber hinausgehende Auskunft

500 S je Datenverarbeitung; in jenen Fällen,

in denen die Auskunftserteilung einen besonders

hohen technischen oder organisatorischen

Aufwand erfordert, 1000 S je Datenverarbeitung.

(2) Die in Abs. 1 angeführten Kostenersätze sind

nicht zu entrichten, wenn der Aufwand für die Auskunftserteilung

geringfügig ist.

(3) Dem Antragsteller ist der zu entrichtende

Kostenersatz unverzüglich mitzuteilen.

(4) Von der Bearbeitung eines Auskunftsantrages

ist abzusehen, wenn der gemäß Abs. 3 mitgeteilte

Kostenersatz nicht entrichtet wurde oder der

Betroffene am Verfahren nicht ausreichend mitgewirkt

hat.

(5) Die in § 11 Abs. 1 DSG enthaltene Frist für

die Erteilung von entgeltlichen Auskünften beginnt

mit dem Einlangen des Kostenersatzes. Die Auskunft

ist nach Einlangen des Kostenersatzes ohne

unnötigen Verzug zu erteilen.

Richtigstellung und Löschung

§ 13. (1) Eine logische Richtigstellung oder

Löschung von Daten hat durch solche Maßnahmen

zu erfolgen, die bei einer Abfrage die Unrichtigkeit

der verarbeiteten Daten angeben und auf die richtigen

Daten verweisen oder den Umstand der

Löschung anzeigen.

(2) Die für Zwecke der Dokumentation oder der

internen Kontrolle aufzubewahrenden Daten dürfen

nur durch einen entsprechenden Vermerk richtiggestellt

und vor Ablauf der Aufbewahrungsfrist

nur mit einem Löschungsvermerk versehen werden.

(3) Durch geeignete organisatorische Maßnahmen

ist sicherzustellen, daß im Falle eines Rückgriffes

auf die zu Sicherungszwecken aufbewahrten

Datenbestände allfällige Richtigstellungen und

Löschungen wirksam bleiben.

(4) Ein Betroffener, dessen Daten nach einer

Übermittlung richtiggestellt oder gelöscht werden,

hat ein Begehren auf Verständigung des Empfängers

von der Richtigstellung bzw. Löschung schriftlich

zu stellen.

Angabe der Registernummer

§ 14. (1) Bei Übermittlungen im Sinne des § 3

Z 8 DSG und Mitteilungen an den Betroffenen, die

in schriftlicher Form ergehen und automationsunterstützt

verarbeitete Daten enthalten, ist die Registernummer

anzugeben.

(2) Bei Übermittlungen im Sinne des § 3 Z 8

DSG und Mitteilungen an den Betroffenen auf nur

maschinell lesbaren Datenträgern ist die Registernummer

entweder auf den Begleitpapieren oder auf

dem Datenträger anzugeben.

Schlußbestimmung

§ 15. Die Verordnung des Bundesministers für

Inneres BGBl. Nr. 296/1980 in der Fassung der

Verordnungen BGBl. Nr. 636/1986 und BGBl.

Nr. 358/1980 tritt außer Kraft.