361. Verordnung: Durchführung des Datenschutzgesetzes im Wirkungsbereich des Bundesministeriums für Wissenschaft und Forschung

Auf Grund des § 9 Abs. 1 des Datenschutzgesetzes

(DSG), BGBl. Nr. 565/1978, wird nach

Anhörung der Datenschutzkommission verordnet

Geltungsbereich und Aufgabengebiete

§ 1. (1) Die Bestimmungen dieser Verordnung

gelten für alle Auftraggeber (§ 3 Z 3 DSG) und

Verarbeiter (§ 3 Z 4 DSG) im Wirkungsbereich

des Bundesministeriums für Wissenschaft und

Forschung.

(2) Auftraggeber im Sinne des Abs. 1 sind

nach Maßgabe ihrer sachlichen und örtlichen

Zuständigkeit

1. das Bundesministerium für Wissenschaft und

Forschung für die Personalverwaltung, für

die Vollziehung des Universitäts-Organisationsgesetzes,

BGBl. Nr. 258/1975, in der

Fassung der Novelle BGBl. Nr. 443/1978,

des Allgemeinen Hochschul-Studiengesetzes,

BGBl. Nr. 177/1976, in der Fassung der

Bundesgesetze BGBl. Nr. 458/1972 und 561/

1978, des Bundesministeriengesetzes, BGBl.

Nr. 389/1973, sowie für die Haushaltsführung;

2. die Studienbeihilfenbehörde für die Vollziehung

des Bundesgesetzes über die Gewährung

von Studienbeihilfen und Begabtenstipendien

(Studienförderungsgesetz), BGBl.

Nr. 421/1969, in der Fassung der Bundesgesetze

BGBl. Nr. 330/1971, 286/1972, .335/

1975, 228/1977, 425/1979;

3. die nachgeordneten Dienststellen für die

Haushaltsführung, soweit es sich um anweisende

Stellen im Sinne der Haushaltsvorschriften

handelt.

(3) Im Bundesministerium für Wissenschaft

und Forschung ist die Funktion des Auftraggebers

vom Leiter der nach der Geschäftseinteilung

sachlich zuständigen Organisationseinheit

wahrzunehmen.

(4) Verarbeiter im Sinne des Abs. 1 sind die

in Abs. 2 genannten Auftraggeber, soweit sie

Tätigkeiten im Sinne des § 3 Z 6 DSG verrichten,

insbesondere die Eingabe und Abfrage

von Daten im Rahmen der Datenfernverarbeitung

für sich oder andere Auftraggeber.

§ 2. (1) Die im § 1 Abs. 2 genannten Aufgabengebiete

bedeuten im Sinne dieser Verordnung

1. Personalverwaltung: die Vollziehung des

Dienst- und Besoldungsrechtes des Bundes,

soweit sie in die Zuständigkeit des Bundesministers

für Wissenschaft und Forschung

fällt;

2. die Vollziehung des Universitäts-Organisationsgesetzes;

3. die Vollziehung des Allgemeinen Hochschul-

Studiengesetzes;

4. die Vollziehung des Bundesministeriengesetzes;

5. die Haushaltsführung einschließlich der damit

im Zusammenhang stehenden Neben-

und Hilfsverrechnungen.

(2) Ein Aufgabengebiet unterliegt dieser Verordnung

nur hinsichtlich jener Daten (§ 3 Z 1

DSG), die. zumindest in einer Phase des Verfahrensablaufes

Gegenstand eines automationsunterstützten

Vorganges sind.

(3) Wird ein Aufgabengebiet für mehrere

Auftraggeber mit Hilfe derselben technischen

Einrichtungen vollzogen, so ist sicherzustellen,

daß jeder Auftraggeber nur über die in seine

Zuständigkeit fallenden Daten verfügen kann.

Dasselbe gilt, wenn ,die Daten für verschiedene

Aufgabengebiete mit Hilfe derselben technischen

Einrichtungen verarbeitet werden.

Grundsätze für die Ermittlung und Verarbeitung

§ 3. Werden verarbeitete Daten im Wege der

Amtshilfe in Anspruch genommen, so ist das

Amtshilfeersuchen derart zu begründen, daß die

ersuchte Stelle die Zulässigkeit der Übermittlung

gemäß § 7 DSG beurteilen kann.

§ 4. (1) Den Daten eines Aufgabengebietes ist

bei jedem Verarbeiter nach Maßgabe der von

ihm vorzunehmenden Verarbeitungsschritte

gleichartiger Schutz zu gewähren. Die Daten

sind vor Entstellung, Zerstörung und Verlust

sowie gegen unbefugte Verwendung und Weitergabe

zu schützen.

(2) Daten dürfen nur auf Grund von schriftlichen

Aufträgen eingegeben werden.

(3) Die Vernichtung unbrauchbarer oder nicht

mehr benötigter Ausdrucke und sonstiger Datenträger

ist vom Auftraggeber oder Verarbeiter

durch entsprechende personelle oder vertragliche

Maßnahmen zu überwachen.

§ 5. (1) Der Auftraggeber hat, soweit ihm dies

mit vertretbarem Arbeitsaufwand möglich ist,

die Richtigkeit der Verarbeitungsergebnisse durch

Stichproben zu überprüfen.

(2) Wird ein Fehler festgestellt, so hat der

Auftraggeber alles zu unternehmen, um das

Schadensausmaß gering zu halten, den Betroffenen

unnötige Mühe zu ersparen, die Fehlerbehebung

raschest einzuleiten und Folgefehler zu verhindern.

Der zuständige Verarbeiter ist unverzüglich

zu verständigen, wenn zu vermuten ist,

daß die Fehlerursache in seinem Tätigkeitsbereich

gelegen ist.

Grundsätze für die Benützung

§ 6. (1) Die Benützung der Daten darf nur in

der Art und in dem Umfang erfolgen, als dies

für den Auftraggeber zur Wahrnehmung der ihm

gesetzlich übertragenen Aufgaben eine wesentliche

Voraussetzung bildet.

(2) Beim Auftraggeber dürfen die Bediensteten

nur jene Daten benützen, die sie zur Erfüllung

der ihnen in der Geschäftseinteilung übertragenen

Aufgaben benötigen.

Grundsätze für die Übermittlung

§ 7. (1) Übermittlungen von Daten, deren Zulässigkeit

sich auf § 7 Abs. 1 Z 2 bis 5 oder

Abs. 2 DSG gründet, bedürfen eines schriftlichen

Auftrages des Auftraggebers. Der Auftrag kann

als Einzel- oder Dauerauftrag erteilt werden.

Im Auftrag ist anzugeben, auf Grund welcher

Bestimmungen des § 7 DSG die Übermittlung

zulässig ist. Gründet sich der Antrag auf § 7

Abs. 2 DSG, ist darzulegen, durch welche gesetzlichen

Bestimmungen dem Empfänger jene Aufgaben

übertragen sind, zu deren Wahrnehmung

die zu übermittelnden Daten eine wesentliche

Voraussetzung bilden. Im Falle des § 7

Abs. 1 Z 3 DSG hat der für die Auftragserteilung

zuständige Bedienstete zu prüfen, ob die

zur Anonymisierung der Daten getroffenen Maßnahmen

ausreichen, daß der Betroffene nicht

bestimmt werden kann.

(2) Zur Durchführung von Übermittlungen

kann sich der Auftraggeber eines Verarbeiters

bedienen.

(3) Einem Ersuchen um Übermittlung von

Daten darf im Zweifelsfall nur entsprochen werden,

wenn die ersuchende Stelle an der Klärung

der für die Beurteilung der Zulässigkeit der

Übermittlung maßgeblichen Sach- und Rechtslage

mitwirkt. Um die Mitwirkung ist erforderlichenfalls

zu ersuchen.

(4) Werden die Daten für' verschiedene Aufgabengebiete

mit Hilfe derselben technischen Einrichtungen

verarbeitet, so ist sicherzustellen, daß

Verknüpfungen von Daten verschiedener Aufgabengebiete

nur in den im § 7 DSG genannten

Fällen erfolgen.

(5) Übermittlungen sind, soweit dies zur Auskunftserteilung

über die Empfänger der Daten

erforderlich ist, aktenkundig zu machen; dies

gilt nicht in den Fällen des § 8 Abs. 2 und 3.

Auskunftsverfahren

§ 8. (1) Eine Auskunft gemäß § 11 DSG

darf nur auf Grund eines Identitätsnachweises

erteilt werden; sie ist nur gegen Empfangsbestätigung

auszufolgen oder zu eigenen Handen zuzustellen.

(2) Dem Betroffenen gegenüber sind, unbeschadet

der ihm nach den maßgeblichen Verfahrensvorschriften

zustehenden Rechte, wegen

überwiegenden öffentlichen Interesses . die Empfänger

übermittelter Daten geheimzuhalten, sofern

die Übermittlung für Zwecke eines gerichtlichen

oder verwaltungsbehördlichen Strafverfahrens

oder eines Disziplinarverfahrens durchgeführt

wurde. In anderen Rechtsvorschriften

festgelegte Auskunftsbeschränkungen werden hiedurch

nicht berührt.

(3) Werden oder wurden Daten übermittelt, so

sind dem Betroffenen auf Verlangen die Empfänger

der übermittelten Daten bekanntzugeben.

Handelt es sich um Übermittlungen, die im Rahmen

eines automationsunterstützten Verfahrens

organisatorisch vorgesehen sind, oder verursacht

die Feststellung der Empfänger übermittelter

Daten im Einzelfall unverhältnismäßig hohe

Kosten oder einen nicht zumutbaren Arbeitsaufwand,

so sind dem Betroffenen die auf Grund

der Verfahrensorganisation bzw. der Sach- und

Rechtslage für solche Übermittlungen in Betracht

kommenden Empfänger mitzuteilen.

§ 9. (1) Für die Erteilung einer Auskunft im

Sinne des § 11 Abs. 1 DSG werden folgende

pauschalierte Kostenersätze festgelegt

1. für jede Auskunft über den aktuellen Stand

der Daten des Antragstellers 100 S je Zweck

der Verarbeitung;

2. für jede darüber hinausgehende Auskunft

500 S je Zweck der Verarbeitung; in jenen

Fällen, in denen die Auskunftserteilung einen

besonders hohen technischen oder organisatorischen

Aufwand erfordert, 1000 S je

Zweck der Verarbeitung.

(2) Die in Abs. 1 angeführten Kostenersätze

sind nicht zu entrichten

1. wenn der Antragsteller nachweist, daß sein

monatliches Einkommen die Richtsätze der

Ausgleichszulagen nach dem ASVG nicht

überschreitet oder

2. wenn der Aufwand für die Auskunftserteilung

geringfügig ist.

(3) Dem Antragsteller ist der für die Auskunftserteilung

zu entrichtende Kostenersatz mitzuteilen.

(4) Von der Bearbeitung eines Auskunftsantrages

ist abzusehen, wenn der gemäß Abs. 3

mitgeteilte Kostenersatz nicht entrichtet wurde.

(5) Die in § 11 DSG enthaltene Frist für die

Erteilung von Auskünften beginnt erst zu laufen,

sobald die Entrichtung des mitgeteilten

Kostenersatzes nachgewiesen wird.

§ 10. Die Bestimmungen der §§ 8 und 9 sind

auf die Fälle nicht anzuwenden, für die in Rechtsvorschriften

des Bundes besondere Auskunftsrechte

außerhalb des Datenschutzgesetzes festgelegt

sind.

Richtigstellung und Löschung

§ 11. (1) Rechtsverbindlich festgestellte Daten

dürfen nur auf Grund einer Entscheidung des für

die Feststellung zuständigen Organs richtiggestellt

oder gelöscht werden.

(2) Daten, die für Zwecke der Dokumentation

und der internen Kontrolle aufbewahrt werden,

dürfen nicht richtiggestellt und vor Ablauf der

Aufbewahrungsfrist nicht gelöscht werden.

(3) Durch geeignete organisatorische Maßnahmen

ist sicherzustellen, daß im Falle eines

Rückgriffes auf die zu Sicherungszwecken aufbewahrten

Datenbestände allfällige Richtigstellungen

und Löschungen wirksam bleiben.

Angabe der Registernummer

§ 12. (1) Bei Übermittlungen im Sinne des

§ 3 Z 8 DSG und Mitteilungen an den Betroffenen,

die in schriftlicher Form ergehen und verarbeitete

Daten zum Inhalt haben, ist die Registernummer

auf jedem Schriftstück anzugeben.

(2) Bei Übermittlungen im Sinne des § 3

Z 8 DSG und Mitteilungen an den Betroffenen

mittels maschinell lesbarer Datenträger, soweit es

sich nicht um maschinell lesbare Schriftstücke

handelt, ist die Registernummer auf den Begleitpapieren

anzugeben.

(3) Erfolgte eine Übermittlung im Sinne des

§ 3 Z 8 DSG oder eine Mitteilung an den Betroffenen

im Namen mehrerer Auftraggeber,

so ist lediglich die Registernummer eines der

Auftraggeber mit dem Zusatz „ua." anzugeben.

Inkrafttreten

§ 13. § 9 dieser Verordnung tritt am Tage

nach der Kundmachung in Kraft. Die übrigen

Bestimmungen treten sechs Monate nach der

Kundmachung in Kraft.