370. Verordnung: Durchführung des Datenschutzgesetzes im Bereich des Bundesministeriums für Justiz

Auf Grund des Datenschutzgesetzes (DSG),

BGBl. Nr. 565/1978, wird verordnet

1. ABSCHNITT

ALLGEMEINE BESTIMMUNGEN

Gegenstand der Verordnung

§ 1. (1) Gegenstand dieser Verordnung sind

die Grundsätze, nach denen personenbezogene

Daten je nach ihrer Art unter Wahrung des

Grundrechtes auf Datenschutz durch die zum

Wirkungsbereich des Bundesministeriums für

Justiz gehörigen Auftraggeber und Verarbeiter

— soweit sie nicht für Zwecke der Strafrechtspflege

tätig sind — ermittelt, verarbeitet,

benützt und übermittelt werden.

(2) Die Begriffsbestimmungen des § 3 DSG

sind auch für diese Verordnung maßgeblich.

Geltungsbereich

§ 2. (1) Auftraggeber im Sinn des § 1 sind

nach Maßgabe ihrer sachlichen und örtlichen

Zuständigkeit

1. das Bundesministerium für Justiz für

a) die Personalverwaltung;

b) die Haushaltsführung;

c) die Umstellung des Grundbuches auf automationsunterstützte

Datenverarbeitung und

hinsichtlich der Mitwirkung am Betrieb der

umgestellten Grundbücher;

d) die Datenerfassung und die Anonymisierung

im Rahmen der automationsunterstützten

Dokumentation der Entscheidungen

des Obersten Gerichtshofs;

2. der Präsident des Obersten Gerichtshofs für

die unter Z 1 lit. a und b bezeichneten

Aufgaben;

3. die Generalprokuratur für die unter Z 1 lit. a

bezeichnete Aufgabe;

4. die Präsidenten der Oberlandesgerichte für

die unter Z 1 lit. a und b sowie im Unterhaltsvorschußgesetz,

BGBl. Nr. 250/1976, bezeichneten

Aufgaben;

5. die Oberstaatsanwaltschaften für die in Z 1

lit. a bezeichnete Aufgabe;

6. die Gerichte, deren Grundbücher auf automationsunterstützte

Datenverarbeitung umgestellt

werden, hinsichtlich der Mitwirkung

an der Umstellung und für den Betrieb der

umgestellten Grundbücher.

(2) Verarbeiter im Sinn des § 1 sind die im

Abs. 1 genannten Auftraggeber, soweit sie Tätigkeiten

im Sinn des § 3 Z 6 DSG verrichten,

insbesondere die Eingabe und Abfrage von Daten

im Rahmen der Datenfernverarbeitung für sich

oder andere Auftraggeber.

(3) Für die Umstellung des Grundbuches auf

automationsunterstützte Datenverarbeitung und

für die umgestellten Grundbücher sind die in dieser

Verordnung festgelegten Aufgaben des Auftraggebers,

soweit es sich nicht um Akte der

Gerichtsbarkeit handelt, von der nach der Geschäftseinteilung

des Bundesministeriums für

Justiz zuständigen Stelle wahrzunehmen. Die

Betrauung von Organwaltern bei den Grundbuchsgerichten

mit einzelnen dieser Aufgaben

bleibt vorbehalten.

(4) Ein Aufgabengebiet unterliegt dieser Verordnung

nur hinsichtlich jener Daten, die zumindest

in einer Phase des Verfahrensablaufs

Gegenstand eines automationsunterstützten Vorganges

sind.

Verfügung über Daten

§ 3. (1) In allen Phasen des Datenverkehrs

darf über Daten nur schriftlich und nur von jenen

Bediensteten verfügt werden, die auf Grund der

Organisationsvorschriften (Bundesministeriengesetz

1973, Gerichtsorganisationsrecht, Geschäftsordnung

für die Gerichte I. und II. Instanz),

der Geschäftseinteilung, der Geschäftsordnung,

der Geschäftsverteilung und der Betriebsordnung

sowie etwaiger besonderer Dienstanweisungen

hiezu berechtigt sind.

(2) Wind eine Aufgabe für mehrere Auftraggeber

mit Hilfe derselben technischen Einrichtungen

vollzogen, ist sicherzustellen, daß jeder

Auftraggeber hur über die in seine Zuständigkeit

fallenden Daten verfügen kann. Dasselbe gilt,

wenn die Daten verschiedener Aufgabengebiete

mit Hilfe derselben technischen Einrichtung

verarbeitet werden.

Datengeheimnis

§ 4. (1) Allen Bediensteten und sonstigen

Personen, denen automationsunterstützt verarbeitete

oder zu verarbeitende Daten auf Grund

ihrer Beschäftigung beim oder für den Auftraggeber

anvertraut werden oder zugänglich geworden

sind, ist es — unbeschadet sonstiger

Verschwiegenheitspflichten — untersagt,

1. sich Daten unzuständigerweise oder unbefugt

zu beschaffen;

2. Daten zu einem anderen Zweck zu verwenden,

als zur Erfüllung der ihnen übertragenen

Aufgaben;

3. Daten aus den für die Verarbeitung bestimmten

Räumen wegzubringen, soweit

dies nicht der Erfüllung der ihnen übertragenen

Aufgaben dient;

4. unbefugten Personen oder unzuständigen

Stellten Daten mitzuteilen oder ihnen die

Kenntnisnahme zu ermöglichen.

(2) Die im Abs. 1 genannten Personen sind

zur Einhaltung dieser Verbote auch nach Beendigung

ihrer Tätigkeit (Verwendung, Zuteilung)

oder ihres Dienstverhältnisses verpflichtet.

(3) Sofern die in Abs. 1 genannten Personen

nicht in einem Dienstverhältnis zur Republik

Österreich stehen und mit Leistungen im Bereich

der automationsunterstützten Datenverarbeitung

befaßt sind, ist dafür zu sorgen, daß sie sich

vor Aufnahme ihrer Tätigkeit dem Auftraggeber

gegenüber schriftlich zur Wahrung des Datengeheimnisses

im Sinn der Abs. 1 und 2 verpflichten.

Schutzmaßnahmen

§ 5. Der Auftraggeber hat geeignete Maßnahmen

zu treffen, um die Daten vor unbefugter

Verwendung und Weitergabe, vor unzulässiger

Veränderung und Löschung sowie vor Verlust

zu schützen. Diese Maßnahmen sind hinsichtlich

einer etwaigen besonderen Schutzbedürftigkeit

bestimmter Datenarten abzustufen. Ansonst ist

Daten eines Aufgabengebietes bei jedem Verarbeiter

nach Maßgabe der von ihm vorzunehmenden

Verarbeitungsschritte gleichartiger

Schutz zu gewähren.

2. ABSCHNITT

BESTIMMUNGEN ÜBER EINZELNE VORGÄNGE

DES DATENVERKEHRS

Ermittlung

§ 6. (1) Wird zur Ermittlung von Daten

Rechts- oder Amtshilfe in Anspruch genommen,

so ist das Ersuchen in sinngemäßer Anwendung

des § 11 Abs. 1 zu begründen.

(2) Macht ein Bediensteter gegenüber einer

Dienstbehörde im Wirkungsbereich des Bundesministeriums

für Justiz über seine persönlichen

Verhältnisse, ohne gesetzlich hiezu verpflichtet

zu sein, Angaben und sollen diese dem automationsunterstützten

Datenverkehr zugeführt

werden, so ist er auf diesen Umstand aufmerksam

zu machen, bevor es zur Ermittlung dieser

Daten kommt.

Verarbeitung

§ 7. (1) Sofern nicht Dienstleistungen eines

unter § 4 Albs. 1 DSG fallenden Verarbeiters

in Anspruch genommen werden, sind Merkmale

und Menge der einem Verarbeitungsvorgang zuzuführenden

Daten und die Verarbeitungsregeln

vom Auftraggeber im einzelnen festzulegen.

(2) Daten dürfen nur auf Grund von schriftlichen

Aufträgen des gemäß § 3 Abs. 1 hiezu

berechtigten Bediensteten eingegeben werden.

Diese Aufträge und die Aufzeichnungen über

die Durchführung sind zu überprüfen und aufzubewahren.

(3) Werden Dienstleistungen eines nicht unter

§ 4 Abs. 1 DSG fallenden Verarbeiters in Anspruch

genommen, darf die Zurverfügungstellung

der Daten und die Durchführung des Datenverkehrs

nur auf Grund eines schriftlichen Auftrages

des Auftraggebers erfolgen. Bei periodisch

wiederkehrenden Verarbeitungen können diese

Aufträge durch einvernehmlich festgelegte Durchführungspläne

ersetzt wenden.

(4) Sollen die Daten zweier oder mehrerer

Auftraggeber gemeinsam verarbeitet wenden, ist

eine eindeutige Abgrenzung der Aufgaben und

Verantwortlichkeiten festzulegen.

(5) Vorbehaltlich der Regelung der Speicherung

sind die Daten nach Durchführung der Verarbeitung

unverzüglich zu löschen, es sei denn,

daß im Verhältnis zwischen Auftraggeber und

Venarbeiter ihre Rückgabe auf Datenträgern vorgesehen

ist. Ausdrucke und sonstige Aufzeichnungen

sind zu vernichten.

Speicherung

§ 8. Der Auftraggeber hat, wenn nicht Dienstleistungen

eines unter § 4 Abs. 1 DSG fallenden

Verarbeiters in Anspruch genommen werden,

die Art und die Dauer der Speicherung der

Daten festzuliegen. Dabei sind, sofern über die

Aufbewahrung von Akten und anderen Unterlagen

nicht schon durch andere Rechtsvorschriften

etwas bestimmt ist, die Art der Daten, die

Dauer der Durchführung des Datenverkehrs —

allenfalls nach Phasen getrennt — und die voraussichtliche

Dauer und Wahrscheinlichkeit des

Bedarfes an Überprüfungsmöglichkeiten zu berücksichtigen;

auf die wirtschaftliche Vertretbarkeit

und die technischen Möglichkeiten ist

Bedacht zu nehmen.

Behandlung von Fehlern

§ 9. (1) Der Auftraggeber hat die Richtigkeit

der Verarbeitungsergebnisse durch Stichproben

zu überprüfen.

(2) Wird ein Fehler festgestellt, hat der Auftraggeber

unverzüglich alles Erforderliche zu

unternehmen, um das Schadensausmaß gering zu

halten, den Betroffenen unnötige Mühe zu ersparen,

die Fehlenbehebung naschest einzuleiten

und Folgefehler zu verhindern. Der zuständige

Verarbeiter ist unverzüglich zu verständigen,

wenn zu vermuten ist, daß die Fehlerursache in

seinem Tätigkeitsbereich gelegen ist.

Benützung

§ 10. (1) Der Auftraggeber darf Daten nur

in der Art und in dem Umfang benützen, als

dies für ihn zur Wahrnehmung der ihm gesetzlich

übertragenen Aufgaben eine wesentliche Voraussetzung

bildet.

(2) Die Bediensteten des Auftraggebers dürfen

nur die Daten benützen, die sie zur Erfüllung

der ihnen in der Geschäftseinteilung, Geschäftsverteilung

und Geschäftsordnung übertragenen

Aufgaben benötigen.

Übermittlung

§ 11. (1) Übermittlungen von Daten durch

den Auftraggeber, deren Zulässigkeit sich auf § 7

Abs. 1 Z 2 bis 5 oder Abs. 2 DSG gründet, bedürfen

eines schriftlichen Auftrages des gemäß

§ 3 Abs. 1 hiezu berechtigten Bediensteten. Der

Auftrag kann als Einzel- oder Dauerauftrag

erteilt werden.

(2) Im Auftrag ist anzugeben, auf Grund welcher

Bestimmungen des § 7 DSG die Übermittlung

zulässig ist. Gründet sich der Auftrag auf

§ 7 Abs. 2 DSG, ist festzuhalten, durch welche

gesetzlichen Bestimmungen dem Empfänger jene

Aufgaben übertragen sind, zu deren Wahrnehmung

die zu übermittelnden Daten eine wesentliche

Voraussetzung bilden. Im Fall des § 7

Abs. 1 Z 3 DSG hat der für die Auftragserteilung

zuständige Bedienstete zu prüfen, ob die

zur Anonymisierung der Daten getroffenen Maßnahmen

gewährleisten, daß der Betroffene nicht

bestimmt werden kann.

(3) Einem Ersuchen um Übermittlung von

Daten darf im Zweifelsfall nur entsprochen werden,

wenn die ersuchende Stelle an der Klärung

der für die Beurteilung der Zulässigkeit der

Übermittlung maßgeblichen Sach- und Rechtslage

mitwirkt. Um die Mitwirkung ist erforderlichenfalls

zu ersuchen.

(4) Werden die Daten für verschiedene Aufgabengebiete

mit Hilfe derselben technischen

Einrichtungen verarbeitet, so ist sicherzustellen,

daß Verknüpfungen von Daten verschiedener

Aufgabengebiete nur in den im § 7 DSG genannten

Fällen erfolgen.

(5) Übermittlungen sind, soweit dies zur Auskunftserteilung

über die Empfänger der Daten

erforderlich ist, aktenkundig zu machen; dies

gilt nicht in den Fällen des § 13 Abs. 2 und 3.

Registernummer

§ 12. (1) Bei Übermittlungen im Sinn des

§ 3 Z 8 DSG und Mitteilungen an den Betroffenen,

die in schriftlicher Form ergehen und

verarbeitete Daten zum Inhalt haben, ist die

Registernummer auf jedem Schriftstück anzugeben.

(2) Bei Übermittlungen im Sinn des § 3 Z 8

DSG und Mitteilungen an den Betroffenen mittels

maschinell lesbarer Datenträger ist, soweit

es sich nicht um maschinell lesbare Schriftstücke

handelt, die Registernummer auf den Begleitpapieren

anzugeben.

(3) Erfolgte eine Übermittlung im Sinn des

§ 3 Z 8 DSG oder eine Mitteilung an den Betroffenen

im Namen mehrerer Auftraggeber, so

ist lediglich die Registernummer eines der Auftraggeber

mit dem Zusatz „ua." anzugeben.

3. ABSCHNITT

VERKEHR MIT DEN BETROFFENEN

Auskunftsverfahren

§ 13. (1) Eine Auskunft gemäß § 11 DSG darf

nur auf Grund eines Identitätsnachweises erteilt

werden; sie ist nur gegen Empfangsbestätigung

auszufolgen oder zu eigenen Handen zuzustellen.

(2) Werden oder wurden Daten übermittelt,

so sind dem Betroffenen auf Verlangen die

Empfänger der übermittelten Daten bekanntzugeben.

Handelt es sich um Übermittlungen,

die im Rahmen eines automationsunterstützten

Verfahrens organisatorisch vorgesehen sind, oder

verursacht die Feststellung der Empfänger übermittelter

Daten im Einzelfall unverhältnismäßig

hohe Kosten oder einen nicht zumutbaren Arbeitsaufwand,

so sind dem Betroffenen die auf

Grund der Verfahrensorganisation bzw. der

Sach- und Rechtslage für solche Übermittlungen

in Betracht kommenden Empfänger mitzuteilen.

(3) Dem Betroffenen ist, unbeschadet der ihm

nach den maßgeblichen Verfahrensvorschriften

zustehenden Rechte, keine Auskunft über die

Empfänger übermittelter Daten zu erteilen, wenn

diese Übermittlung für Zwecke eines gerichtlichen

oder verwaltungsbehördlichen Strafverfahrens

oder eines Disziplinarverfahrens durchgeführt

wurde und ein überwiegendes öffentliches

Interesse die Geheimhaltung erfordert. In

anderen Rechtsvorschriften festgelegte Auskunftsbeschränkungen

werden hiedurch nicht

berührt.

Richtigstellung und Löschung

§ 14. (1) Rechtsverbindlich festgelegte Daten

dürfen nur auf Grund einer Entscheidung des

für die Feststellung zuständigen Organs richtiggestellt

oder gelöscht werden.

(2) Daten, die für Zwecke der Dokumentation

und der internen Kontrolle aufbewahrt

werden, dürfen nicht richtiggestellt und vor

Ablauf der Aufbewahrungsfrist nicht gelöscht

werden.

(3) Durch geeignete organisatorische Maßnahmen

ist sicherzustellen, daß im Fall eines

Rückgriffs auf die zu Sicherungszwecken aufbewahrten

Datenbestände allfällige Richtigstellungen

und Löschungen wirksam bleiben.

4. ABSCHNITT

INANSPRUCHNAHME VON DIENSTLEISTUNGEN

Vorgangsweise

§ 15. (1) Die Inanspruchnahme von Dienstleistungen

gemäß § 13 Abs. 1 DSG bedarf, soweit

sie nicht auf Grund einer gesetzlichen Bestimmung

erfolgt, unbeschadet der in § 13 DSG

genannten Voraussetzungen, der Zustimmung

des Behördenleiters.

(2) Wenn Dienstleistungen auf Grund einer

gesetzlichen Bestimmung in Anspruch genommen

oder wenn sie gemäß § 51 Abs. 1 DSG

erbracht werden, hat der Auftraggeber vorzusorgen,

daß bei der Verarbeitung und Übermittlung

je nach Art der Daten und der Aufgabenstellung

allenfalls notwendige besondere

Vorkehrungen getroffen werden.

(3) Der Auftraggeber hat sich, sofern nicht

Dienstleistungen eines unter § 4 Abs. 1 DSG

fallenden Verarbeiters in Anspruch genommen

werden, regelmäßig von der Einhaltung der

Datenschutzbestimmungen durch den Verarbeiter

zu überzeugen.

Vertragliche Sicherstellung

§ 16. (1) Verträge (Verwaltungsübereinkommen)

gemäß § 13 Abs. 2 DSG (Datenschutzverträge)

haben neben der Bedachtnahme auf

die Vorschriften des DSG und der auf Grund

dieses Gesetzes erlassenen Durchführungsbestimmungen

zumindest die sich aus dieser Verordnung

ergebenden Verpflichtungen sowie die je

nach Art der Daten und der Aufgabenstellung

allenfalls notwendigen besonderen Vorkehrungen

zu enthalten. Ferner ist, soweit nicht

Dienstleistungen eines unter § 4 Abs. 1 DSG

fallenden Verarbeiters in Anspruch genommen

werden, darauf zu achten, daß die folgenden

Punkte vertraglich sichergestellt werden

1. Der Verarbeiter darf Daten, die ihm im

Zusammenhang mit dem Auftrag übergeben

oder sonst zugänglich geworden sind

oder die sich aus der Verarbeitung ergeben

haben, zu keinem anderen Zweck als dem

der Erfüllung des Vertrages verwenden.

2. Alle Personen, die vom Verarbeiter im Zusammenhang

mit der Vertragserfüllung

herangezogen werden und denen die in Z 1

genannten Daten zugänglich werden können,

haben sich gegenüber dem Verarbeiter

in sinngemäßer Anwendung des § 4 Abs. 3

schriftlich zur Wahrung des Datengeheimnisses

zu verpflichten.

3. Die Erfüllung der Ansprüche der Betroffenen

nach den §§ 11 und 12 DSG und

die Vollstreckbarkeit von Entscheidungen

der Datenschutzkommission und der Gerichte

müssen gewahrt bleiben.

4. Der Auftraggeber kann, wenn er eine

Rechtswidrigkeit zu besorgen hat, einzelne

oder alle dem Verarbeiter übergebenen

Daten zurücknehmen.

5. Dem Auftraggeber ist jederzeit der Zutritt

zu den Räumen, in denen die Verarbeitung

stattfindet, gestattet, um sich von der

Einhaltung der vorstehend beschriebenen

Regelung zu überzeugen.

(2) Fällt der Verarbeiter unter § 4 Abs. 1

DSG, kann dessen Betriebsordnung dem Datenschutzvertrag

zugrunde gelegt werden, wobei je

nach Art der Daten und der Aufgabenstellung

etwaige Varianten (Kategorien) dieser Betriebsordnung

festzulegen sind. Ferner ist zu vereinbaren,

daß

1. der Auftraggeber im Bedarfsfall, insbesondere

bei Änderung der tatsächlichen oder

rechtlichen Gegebenheiten, eine neue Einstufung

vornehmen kann;

2. eine Änderung der Betriebsordnung, wie

sie zum Zeitpunkt des Vertragsabschlusses

gegolten hat, gegenüber dem Auftraggeber

nur wirksam wird, wenn dieser binnen

einer zu bestimmenden Frist nach Bekanntgabe

der beabsichtigten Änderung dagegen

keinen Widerspruch erhoben hat.

5. ABSCHNITT

KOSTENERSATZ FÜR DIE ERTEILUNG

VON AUSKÜNFTEN

Pauschalierter Kostenersatz

§ 17. Für die Erteilung einer Auskunft im

Sinn des § 11 Abs. 1 DSG sind folgende pauschalierte

Kostenersätze zu entrichten

1. für jede Auskunft über den aktuellen Stand

der Daten des Antragstellers 100 S je Zweck

der Verarbeitung;

2. für jede darüber hinaus gehende Auskunft

500 S je Zweck der Verarbeitung; in jenen

Fällen, in denen die Auskunftserteilung

einen besonders hohen technischen oder

organisatorischen Aufwand erfordert,

1000 S je Zweck der Verarbeitung.

Befreiung von Kostenersätzen

§ 18. Die in § 17 angeführten Kostenersätze

sind nicht zu entrichten, wenn

1. der Antragsteller nachweist, daß sein monatliches

Einkommen die Richtsätze der Ausgleichszulagen

nach dem ASVG nicht überschreitet,

oder

2. der Aufwand für die Auskunftserteilung

geringfügig ist.

Mitteilung des Kostenersatzbetrages

§ 19. (1) Dem Antragsteller ist der Betrag

des für die Auskunftserteilung zu entrichtenden

Kostenersatzes mitzuteilen.

(2) Von der Bearbeitung eines Auskunftsantrages

ist abzusehen, wenn der gemäß Abs. 1

mitgeteilte Betrag nicht entrichtet wurde.

Berechnung der Frist des § 11 Abs. 1 DSG

§ 20. Die in § 11 Abs. 1 DSG enthaltene Frist

für die Erteilung von Auskünften beginnt erst

zu laufen, sobald die Entrichtung des mitgeteilten

Kostenersatzbetrages nachgewiesen ist.

Ausnahmen

§ 21. Die Bestimmungen dieses Abschnittes

sind auf Fälle nicht anzuwenden, für die in

Rechtsvorschriften des Bundes besondere Auskunftsrechte

außerhalb des DSG festgelegt sind.

6. ABSCHNITT

Inkrafttreten

§ 22. Die Bestimmungen des 1. bis 4. Abschnittes

dieser Verordnung treten mit

20. Feber 1981 in Kraft, diejenigen des 5. Abschnittes

mit 20. August 1980.