337. Verordnung: Durchführung des Datenschutzgesetzes im Wirkungsbereich des Bundesministeriums für Bauten und Technik

Auf Grund der §§ 6, 7, 9, 10 und 11 des Datenschutzgesetzes,

BGBl. Nr. 565/1978, wird verordnet

Zweck

§ 1. Durch diese Vierordnung werden die Ermittlung,

Übermittlung, Verarbeitung und Benützung

personenbezogener Daten zum Zweck

des automationsunterstützten Datenverkehrs für

die im § 2 genannten Auftraggeber geregelt.

Geltungsbereich

§ 2. Auftraggeber im Sinne des § 1 sind, soweit

sie Aufgaben ihres sachlichen und örtlichen Wirkungsbereiches

wahrnehmen

1. das Bundesministerium für Bauten und Technik

2. die Bundesgebäudeverwaltung I Wien

3. die Bundesgebäudeverwaltung II Wien

4. die Bundesgebäudeverwaltung II Klagenfurt

5. die Bundesgebäudeverwaltung II Graz

6. die Bundesgebäudeverwaltumg II Linz/Salzburg

7. die Bundesgebäudeverwaltung II Innsbruck

8. die Bundesmobilienverwaltung

9. die Schloßverwaltung zu Innsbruck und Ambras

10. die Schloßhauptmannschaft Schönbrunn

11. die Burghauptmannschaft in Wien

12. die Bundesversuchs- und Forschungsanstalt

Arsenal

13. das Bundesstrombauamt

14. das Bundesamt für Eich- und Vermessungswesen

15. die Vermessungsämter.

Begriffsbestimmungen

§ 3. Im Sinne dieser Verordnung bedeutet

1. auftraggebende Stelle: jene organisatorische

Einrichtung des Auftraggebers oder der sachlich

in Betracht kommenden Oberbehörde, der nach

den Organisationsvorschriften die Besorgung der

einzelnen Verwaltungsangelegenheiten übertragen

ist und die die Ermittlung, Übermittlung, Verarbeitung

oder Benützung von Daten unmittelbar

veranlaßt oder selbst durchführt.

2. Verfügung: die organisationsinterne Ermächtigung

zur Ermittlung, Übermittlung, Verarbeitung

oder Benützung von Daten.

Geheimhaltungspflichten

§ 4. (1) Allen Bediensteten und sonstigen Personen,

denen automationsunterstützt verarbeitete

oder zu verarbeitende Daten auf Grund einer

Beschäftigung beim oder für den Auftraggeber

anvertraut werden oder zugänglich geworden

sind, ist es unbeschadet sonstiger Verschwiegenheitspflichten

untersagt

1. Daten zu einem anderen als dem zur übertragenen

Aufgabenbesorgung gehörigen

Zweck zu verwenden;

2. unbefugten Personen oder unzuständigen

Stellen Daten mitzuteilen oder ihnen die

Kenntnisnahme zu ermöglichen;

3. sich Daten unbefugt zu beschaffen.

(2) Die im Abs. 1 genannten Personen sind

zur Einhaltung dieser Verbote auch nach Beendigung

ihrer Tätigkeit oder ihres Dienstverhältnisses

verpflichtet.

(3) Zur Gewährleistung einer ordnungsgemäßen

und sicheren Ermittlung, Übermittlung, Verarbeitung

'und Benützung von Daten sind in den

Dienststellen (organisatorischen Einrichtungen)

des Auftraggebers und bei den Verarbeitern geeignete

organisatorische, personelle, technische

und bauliche Maßnahmen zu setzen. Für jeden

Verarbeiter sind in einer Betriebsordnung nähere

Bestimmungen festzulegen.

(4) Maßnahmen nach Abs. 3 haben in einem

angemessenen Verhältnis zum Aufwand zu stehen

und bestehende Risken in allen schutzbedürftigen

Belangen möglichst gleichmäßig zu senken.

Insbesondere ist dabei der Grad der Sensibilität

und der Schutzwürdigkeit der betroffenen Daten

zu berücksichtigen.

(5) Dem Leiter der auftraggebenden Stelle obliegt

die Kontrolle der Einhaltung der Datenschutzbestimmungen.

Verfügungsrecht

§ 5. (1) Dem Verarbeiter ist eine Verfügung

über Daten, hinsichtlich welcher er nicht selbst

zugleich Auftraggeber ist, nicht gestattet.

(2) Der Leiter der auftraggebenden Stelle hat

die Verfügungsberechtigung für die einzelnen

Bediensteten nach den Erfordernissen des Datengeheimnisses

unter Bedachtnahme auf die Zweckmäßigkeit

der Verwaltung durch schriftliche

Dienstanweisung festzulegen.

Datenverarbeitungsvorhaben

§ 6. (1) Inhalt und Umfang der im Rahmen

eines Datenverarbeitungsvorhabens zu verarbeitenden

Daten sind von der auftraggebenden Stelle

festzulegen. Dabei dürfen nur Daten einbezogen

werden, die zur Erfüllung der ihr oder einem

anderen Auftraggeber im Sinne des § 51 DSG

zur Besorgung aufgetragenen Aufgaben erforderlich

sind.

(2) Die auftraggebende Stelle hat die fachlich

richtige Verarbeitung von Daten zu überprüfen.

(3) Für Datenverarbeitungsvorhaben mit mehreren

auftraggebenden Stellen ist im gegenseitigen

Einvernehmen dieser Stellen eine eindeutige

Abgrenzung der Aufgaben festzulegen.

(4) Die auftraggebende Stelle hat die Notwendigkeit

der Protokollierung von Übermittlungen

festzulegen. Dabei sind die Sensibilität und die

Schutzwürdigkeit der Daten und der mit der

Protokollierung verbundene wirtschaftliche Aufwand

zu berücksichtigen.

(5) Die auftraggebende Stelle hat die Dauer

der Speicherung von Daten festzulegen. Diese ist

so zu bemessen, daß die Speicherung nur für die

Zeit erfolgt, in der die Daten zur Erfüllung der

der auftraggebenden Stelle oder einem anderen

Auftraggeber im Sinne des § 51 DSG zur Besorgung

aufgetragenen Aufgaben erforderlich sind.

Datenfernverarbeitungsstellen

§ 7. Zusätzlich zu den in den Dienstanweisungen

gemäß § 4 Abs. 3 zu treffenden Maßnahmen

ist im Falle der Einrichtung einer Datenfernverarbeitung

zur Sicherung der Verwendung von

Daten von den Stellen, denen ein Verfügungsrecht

zukommt, für jeden Benützungsberechtigten

gesondert festzulegen

1. Bedienerkennzeichen über die jeweils offenstehenden

Arten der Verwendung von Daten

(Einsicht, Veränderung, eigenständige Erstellung

und Steuerung von Datenverarbeitungsverfahren

usw.) und die Stufen dieser

Verwendung in bezug auf den Datenumfang;

2. Identifikationsmerkmale, die geheimzuhalten

und periodisch zu verändern sind.

Ermittlung

§ 8. Die Ermittlung der Daten obliegt dem

sachlich und örtlich zuständigen Auftraggeber.

Wird zur Ermittlung von Daten Amtshilfe in

Anspruch genommen, so ist das Amtshilfeersuchen,

sofern die Zulässigkeit der Übermittlung

der Daten gemäß § 7 DSG nicht offenkundig ist,

so ausreichend zu begründen, daß die ersuchte

Stelle die Zulässigkeit beurteilen kann.

Übermittlung

§ 9. Die Zulässigkeit der Übermittlung von

Daten gemäß § 7 DSG ist von der auftraggebenden

Stelle zu überprüfen.

§ 10. Übermittlungen von Daten und Mitteilungen

an den Betroffenen dürfen nur unter Zusatz

der Registernummer erfolgen. Wiedergaben

und Abschriften der übemittelten Daten haben

die Registernummer zu enthalten.

Verarbeitung

§ 11. (1) Die automationsunterstützte Erledigung

von Aufgaben ist nur zulässig, wenn der

Bundesminister für Bauten und Technik nach Befassung

der ADV-Koordinationsstellen zustimmt.

(2) Die Zulässigkeit der Verarbeitung von

Daten ist von der auftraggebenden Stelle zu

prüfen. Über die Verarbeitungen ist ein Verzeichnis

mit Angaben über den Zweck der Verarbeitung

zu führen.

§ 12. Die Benützung der Daten darf nur in der

Art und in dem Umfang erfolgen, als dies für

den Auftraggeber zur Wahrnehmung der ihm

gesetzlich übertragenen Aufgaben eine wesentliche

Voraussetzung bildet. Die Bediensteten der Auftraggeber

dürfen nur jene Daten benützen, die

sie zur Erfüllung der ihnen übertragenen Aufgaben

benötigen.

Richtigstellung und Löschung

§ 13. (1) Unbeschadet der Bestimmungen des

§ 12 DSG sind von der Richtigstellung oder Löschung

Daten ausgenommen, die für Zwecke der

Dokumentation und der Kontrolle aufbewahrt

werden, solange die dafür bestimmte Frist ihrer

Speicherung nicht abgelaufen ist.

(2) Durch die Richtigstellung oder die Löschung

ist sicherzustellen, daß unrichtige oder gelöschte

Daten nicht wieder verarbeitet, benützt oder

übermittelt werden.

(3) Richtigstellungen oder Löschungen sind unter

Angabe des Zeitpunktes zu protokollieren.

Auskünfte

§ 14. (1) Der Antrag auf Auskunft gemäß § 11

DSG ist schriftlich beim Auftraggeber einzubringen.

Dem Antrag sind geeignete Nachweise, aus

denen die Identität des Antragstellers zweifelsfrei

hervorgeht, anzuschließen. Falls der Antrag von

einem Vertreter eingebracht wird, ist sicherzustellen,

daß sich die Vertretungsbefugnis auch auf

die Stellung eines solchen Antrages erstreckt.

(2) Auskünfte sind nicht zu erteilen über Daten,

die auf Grund eines Gesetzes auch dem Betroffenen

gegenüber geheimzuhalten sind oder

bei denen das öffentliche Interesse an der Geheimhaltung

das Schutzinteresse des Betroffenen

übersteigt.

§ 15. Die §§ 1 bis 5 der Verordnung des Bundeskanzlers

vom 20. Dezember 1979, BGBl.

Nr. 574, gemäß § 11 Abs. 3 des Datenschutzgesetzes

über einen pauschalierten Kostenersatz

für die Erteilung von Auskünften sind für den

Bereich der im § 2 genannten Auftraggeber anzuwenden.

Inkrafttreten

§ 15. (1) Diese Verordnung tritt am 1. Jänner

1981 in Kraft.

(2) Mit deren Inkrafttreten tritt die Verordnung

des Bundesministers für Bauten und Technik

vom 21. Dezember 1979, BGBl. Nr. 575, bezüglich

der im § 2 genannten Auftraggeber außer

Kraft.