358. Verordnung: Zweite Datenschutz-Durchführungsverordnung des Bundesministers für Inneres

Auf Grund des Datenschutzgesetzes (DSG),

BGBl. Nr. 565/1978, wird verordnet

Geltungsbereich und Aufgabengebiete

§ 1. (1) Die Bestimmungen dieser Verordnung

gelten für die im Abs. 2 und 3 genannten Auftraggeber

(§ 3 Z 3 DSG) und Verarbeiter (§ 3

Z 4 DSG).

(2) Auftraggeber im Sinne des Abs. 1 sind nach

Maßgabe ihrer sachlichen und örtlichen Zuständigkeit

1. das Bundesministerium für Inneres,

2. die Sicherheitsdirektionen,

3. die Bundespolizeidirektionen,

4. die Landesgendarmeriekommanden,

5. die Gendarmeriezentralschule Mödling,

6. das Gendarmerieeinsatzkommando.

(3) Verarbeiter im Sinne des Abs. 1 sind das

Bundesministerium für Inneres und die Bundespolizeidirektion

Wien, soweit sie Tätigkeiten im

Sinne des § 3 Z 6 DSG verrichten, insbesondere

die Eingabe und Abfrage von Daten im Rahmen

der Datenfernverarbeitung für sich oder andere

Auftraggeber.

§ 2. (1) Aufgabengebiete im Sinne dieser Verordnung

sind

1. Vollziehung des Dienst- und Besoldungsrechtes

für die aktiven Bundesbediensteten

einschließlich der Rechtsvorschriften über

die Ausbildung und Planstellenbewirtschaftung

(Personalverwaltung),

2. Haushaltsführung einschließlich der damit

im Zusammenhang stehenden Neben- und

HilfsVerrechnungen sowie der Betriebsabrechnungen.

(2) Ein Aufgabengebiet unterliegt dieser Verordnung

nur hinsichtlich jener Daten (§ 3 Z 1

DSG), die zumindest in einer Phase des Verfahrensablaufes

Gegenstand eines automationsunterstützten

Vorganges sind.

(3) Wird ein Aufgabengebiet für mehrere Auftraggeber

mit Hilfe derselben technischen Einrichtungen

vollzogen, so ist sicherzustellen, daß

jeder Auftraggeber nur über die in seine Zuständigkeit

fallenden Daten verfügen kann. Dasselbe

gilt, wenn die Daten für verschiedene Aufgabengebiete

mit Hilfe derselben technischen

Einrichtungen verarbeitet werden.

Grundsätze für die Ermittlung und Verarbeitung

§ 3. Wird zur Ermittlung von Daten Amtshilfe

in Anspruch genommen, so ist das Amtshilfeersuchen

derart zu begründen, daß die ersuchte

Stelle die Zulässigkeit der Übermittlung

gemäß § 7 DSG beurteilen kann. Die Begründung

kann entfallen, wenn die Zulässigkeit der

Übermittlung für die ersuchte Stelle offenkundig

ist oder anläßlich eines vorangegangenen Amtshilfeersuchens

gleicher Art festgestellt wurde. Bei

der Ermittlung ist auf die Art der ermittelten

Daten Bedacht zu nehmen.

§ 4. (1) Den Daten eines Aufgabengebietes

ist bei jedem Verarbeiter nach Maßgabe der von

ihm vorzunehmenden Verarbeitungsschritte ein

gleichartiger Schutz zu gewähren. Die Daten sind

vor Entstellung, Zerstörung und Verlust sowie

gegen unbefugte Verwendung und Weitergabe

zu schützen. Die nach der Art der zu verarbeitenden

Daten erforderlichen Sicherheitsmaßnahmen

sind vom Auftraggeber im Einvernehmen

mit dem Verarbeiter festzulegen.

(2) Daten sind nur auf Grund von schriftlichen

Aufträgen der Auftraggeber oder von schriftlichen

Ersatzaufträgen des Buchhaltungsvorstandes

einzugeben. Die Eingabeprotokolle sind zu

überprüfen und aufzubewahren.

(3) Die Inbetriebnahme von Einrichtungen für

die Verarbeitung, insbesondere von Dateneingabe-

und Abfragegeräten durch nichtberechtigte Personen,

ist durch die geeigneten organisatorischen,

personellen, technischen und baulichen Maßnahmen

zu verhindern.

(4) Die Vernichtung unbrauchbarer oder nicht

mehr benötigter Ausdrucke und sonstiger Datenträger

ist sicherzustellen.

§ 5. (1) Der Auftraggeber hat die Richtigkeit

der Verarbeitungsergebnisse durch Stichproben

zu prüfen.

(2) Wird ein Fehler festgestellt, so hat der

Auftraggeber alles zu unternehmen, um das

Schadensausmaß gering zu halten, den Betroffenen

unnötige Mühe zu ersparen, die Fehlerbehebung

raschest einzuleiten und Folgefehler zu verhindern.

Der zuständige Verarbeiter ist unverzüglich

zu verständigen, wenn zu vermuten ist, daß die

Fehlerursache in seinem Tätigkeitsbereich gelegen

ist.

Grundsätze für die Benützung

§ 6. (1) Die Benützung der Daten darf nur

in der Art und in dem Umfang erfolgen, als dies

für den Auftraggeber zur Wahrnehmung der

ihm gesetzlich übertragenen Aufgaben eine wesentliche

Voraussetzung bildet.

(2) Beim Auftraggeber dürfen die Bediensteten

nur jene Daten benützen, die sie zur Erfüllung

der ihnen übertragenen Aufgaben benötigen. Die

Entscheidung hierüber hat der Dienststellenleiter

unter Bedachtnahme auf die Art der verarbeiteten

Daten zu treffen.

Grundsätze für die Übermittlung

§ 7. (1) Übermittlungen von Daten durch den

Auftraggeber, deren Zulässigkeit sich auf § 7

Abs. 1 Z 2 bis 5 oder Abs. 2 DSG gründet, bedürfen

eines schriftlichen Auftrages des nach der

Personal- und Geschäftseinteilung zuständigen

Organs, wobei auf die Art der verarbeiteten

Daten Bedacht zu nehmen ist; der Auftrag kann

als Einzel- oder Dauerauftrag erteilt werden. In

den Aufträgen ist anzugeben, auf Grund welcher

Bestimmungen des § 7 DSG die Übermittlung

zulässig ist. Gründet sich der Auftrag auf § 7

Abs. 2 DSG, ist darzulegen, durch welche gesetzlichen

Bestimmungen dem Empfänger jene Aufgaben

übertragen sind, zu deren Wahrnehmung

die zu übermittelnden Daten eine wesentliche

Voraussetzung bilden. Im Falle des § 7 Abs. 1

Z 3 DSG ist durch den für die Auftragserteilung

zuständigen Bediensteten zu prüfen, ob die zur

Anonymisierung der Daten getroffenen Maßnahmen

ausreichen, daß der Betroffene nicht bestimmt

werden kann.

(2) Zur Durchführung von Übermittlungen

kann sich der Auftraggeber eines Verarbeiters

bedienen.

(3) Einem Ersuchen um Übermittlung von

Daten darf im Zweifelsfall nur entsprochen werden,

wenn die ersuchende Stelle an der Klärung

der für die Beurteilung der Zulässigkeit der

Übermittlung maßgeblichen Sach- und Rechtslage

mitwirkt. Um die Mitwirkung ist erforderlichenfalls

zu ersuchen.

(4) Werden die Daten für verschiedene Aufgabengebiete

mit Hilfe derselben technischen

Einrichtungen verarbeitet, so ist sicherzustellen,

daß Verknüpfungen von Daten verschiedener

Aufgabengebiete nur unter den im § 7 DSG genannten

Voraussetzungen erfolgen.

{5) Übermittlungen sind, soweit dies zur Auskunftserteilung

über die Empfänger der Daten

erforderlich ist, aktenkundig zu machen; dies gilt

nicht in den Fällen des § 8 Abs. 2 und 3.

Auskunftsverfahren

§ 8. (1) Eine Auskunft gemäß § 11 DSG ist

nur gegen Empfangsbestätigung auszufolgen oder

zu eigenen Handen zuzustellen.

(2) Dem Betroffenen gegenüber sind, unbeschadet

der ihm nach den maßgeblichen Verfahrensvorschriften

zustehenden Rechte, wegen

überwiegenden öffentlichen Interesses die Empfänger

übermittelter Daten geheimzuhalten, sofern

die Übermittlung für Zwecke eines gerichtlichen

oder verwaltungsbehördlichen Strafverfahrens

oder eines Disziplinarverfahrens durchgeführt

wurde. In anderen Rechtsvorschriften festgelegte

Auskunftsbeschränkungen werden hiedurch

nicht berührt.

(3) Werden oder wurden Daten übermittelt, so

sind dem Betroffenen auf Verlangen die Empfänger

der übermittelten Daten bekanntzugeben.

Würde die Feststellung der Empfänger übermittelter

Daten im Einzelfall unverhältnismäßig

hohe Kosten oder einen im Verhältnis zu den

Interessen der Betroffenen nicht zumutbaren

Arbeitsaufwand verursachen, insbesondere bei im

Rahmen eines automationsunterstützten Verfahrens

organisatorisch vorgesehenen Übermittlungen,

so sind den Betroffenen die auf Grund

der Verfahrensorganisation oder der Sach- und

Rechtslage in Betracht kommenden Empfänger

mitzuteilen.

§ 9. (1) Für die Erteilung einer Auskunft im

Sinne des § 11 Abs. 1 DSG werden folgende

pauschalierte Kostenersätze festgelegt

1. für jede Auskunft über den aktuellen Stand

der Daten des Antragstellers 100 S je Zweck

der Verarbeitung;

2. für jede darüber hinausgellende Auskunft

500 S je Zweck der Verarbeitung; in jenen

Fällen, in denen die Auskunftserteilung einen

besonders hohen technischen oder organisatorischen

Aufwand erfordert, 1000 S je

Zweck der Verarbeitung.

(2) Die in Abs. 1 angeführten Kostenersätze

sind nicht zu entrichten

1. wenn der Antragsteller nachweist, daß sein

monatliches Einkommen die Richtsätze der

Ausgleichszulagen nach dem ASVG nicht

überschreitet oder

2. wenn der Aufwand für die Auskunftserteilung

geringfügig ist.

(3) Dem Antragsteller ist der für die Auskunftserteilung

zu entrichtende Kostenersatz mitzuteilen.

(4) Von der Bearbeitung eines Auskunftsantrages

ist abzusehen, wenn der gemäß Abs. 3

mitgeteilte Kostenersatz nicht entrichtet wurde.

(5) Die in § 11 DSG enthaltene Frist für die

Erteilung von Auskünften beginnt erst zu laufen,

sobald die Entrichtung des mitgeteilten

Kostenersatzes nachgewiesen wird.

(6) Die Bestimmungen der Abs. 1 bis 5

sind auf Fälle nicht anzuwenden, für die in

Rechtsvorschriften des Bundes besondere Auskunftsrechte

außerhalb des Datenschutzgesetzes

festgelegt sind.

Richtigstellung und Löschung

§ 10. (1) Richtigstellungen und Löschungen

gemäß § 12 DSG hat der Auftraggeber zu veranlassen.

Er hat hiebei zu beachten, daß rechtsverbindlich

festgestellte Daten nur auf Grund

einer Entscheidung des für die Feststellung zuständigen

Organs richtiggestellt oder gelöscht

werden dürfen.

(2) Daten, die für Zwecke der Dokumentation

und der internen Kontrolle aufbewahrt werden,

dürfen nicht richtiggestellt und vor Ablauf der

Aufbewahrungsfrist nicht gelöscht werden.

(3) Durch geeignete organisatorische Maßnahmen

ist sicherzustellen, daß im Falle eines Rückgriffes

auf die zu Sicherungszwecken aufbewahrten

Datenbestände allfällige Richtigstellungen und

Löschungen wirksam bleiben.

Angabe der Registernummer

§ 11. (1) Bei Übermittlungen im Sinne des

§ 3 Z 8 DSG und Mitteilungen an den Betroffenen,

die in schriftlicher Form ergehen und verarbeitete

Daten zum Inhalt haben, ist die Registernummer

auf jedem Schriftstück anzugeben.

(2) Bei Übermittlungen im Sinne des § 3 Z 8

DSG und Mitteilungen an den Betroffenen mittels

maschinell lesbarer Datenträger, soweit es sich

nicht um maschinell lesbare Schriftstücke handelt,

ist die Registernummer auf den Begleitpapieren

anzugeben.

(3) Erfolgt eine Übermittlung im Sinne des

§ 3 Z 8 DSG oder eine Mitteilung an den Betroffenen

im Namen mehrerer Auftraggeber, so

ist lediglich die Registernummer eines der

Auftraggeber mit dem Zusatz „ua." anzugeben.

Inkrafttreten

§ 12. (1) § 9 tritt am Tage nach der Kundmachung

in Kraft.

(2) Die übrigen Bestimmungen treten sechs

Monate nach Kundmachung in Kraft.