397. Verordnung: Durchführung des Datenschutzgesetzes im Bereich des Bundesministeriums für Gesundheit und Umweltschutz

Auf Grund der §§ 9 Abs. 1 und 11 Abs. 3 des

Datenschutzgesetzes (DSG), BGBl. Nr. 565/1978,

wird verordnet

1. Abschnitt

Geltungsbereich

§ 1. Diese Verordnung gilt hinsichtlich der beim

Datenverarbeitungsregister registrierten Verarbeitungen

für folgende im öffentlichen Bereich tätigen

Auftraggeber

1. das Bundesministerium für Gesundheit und

Umweltschutz;

2. die Bundesanstalt für Lebensmitteluntersuchung

und -forschung.

Begriffsbestimmungen

§ 2. (1) Im Sinne dieser Verordnung bedeutet

1. Auftraggabende Stelle: jene Stelle (Organisationseinheit)

eines Auftraggebers gemäß

§ 1, der nach den Organisationsvorschriften

(zB Geschäftseinteilung des Bundesministeriums

für Gesundheit und Umweltschutz) die

Besorgung der einzelnen Verwaltungsangelegenheit

übertragen ist und die die Ermittlung,

Verarbeitung, Benützung oder Übermittlung

von Daten veranlaßt oder selbst

durchführt;

2. Verfügung: den Auftrag zur Ermittlung,

Verarbeitung, Benützung oder Übermittlung

von Daten;

3. Sensible Daten: medizinische Daten, sowie

in den Betriebsordnungen besonders festgelegte

Daten;

4. Datenverarbeitungsvenfahren: vom Bundesministerium

für Gesundheit und Umweltschutz

festgelegte Verfahren zur Abwicklung

einzelner Verarbeitungen.

(2) Im übrigen entsprechen die in dieser Verordnung

verwendeten Begriffe denen des Datenschutzgesetzes.

Datengeheimnis und Datensicherheit

§ 3. (1) Allen bei einem Auftraggeber gemäß

§ 1 tätigen Bediensteten ist unbeschadet sonstiger

Verschwiegenheitsverpflichtungen untersagt,

a) sich Daten unbefugt zu beschaffen;

b) Daten zu einem anderen als dem zur übertragenen

Aufgabenbesorgung gehörigen

Zweck zu verwenden;

c) unzuständigen Stellen oder unbefugten Personen

Daten mitzuteilen oder ihnen die

Kenntnisnahme zu ermöglichen.

(2) Die im Abs. 1 genannten Personen sind

zur Einhaltung dieser Verbote besonders zu verpflichten.

Die Pflicht zur Geheimhaltung besteht

nach Beendigung der Tätigkeit im Bundesdienst

weiter.

(3) Alle Befugnisse und Aufgaben aufgrund

dieser Verordnung sind im Sinne des Datenschutzgesetzes

und der sonstigen datenschutzrechtlichen

Vorschriften auszuüben bzw. wahrzunehmen.

(4) Zur Gewährleistung einer ordnungsgemäßen

und sicheren Ermittlung, Verarbeitung, Benützung

und Übermittlung von Daten sind bei den

auftraggebenden Stellen und bei den Verarbeitern

geeignete organisatorische, personelle, technische

und bauliche Maßnahmen zu setzen. Für jeden

Verarbeiter sind in einer Betriebsordnung nähere

Bestimmungen festzulegen, für die auftraggebenden

Stellen sind die erforderlichen Dienstanweisungen

zu erlassen.

(5) Maßnahmen nach Abs. 4 haben in einem

angemessenen Verhältnis zum Aufwand zu stehen

und bestehende Risiken in allen schutzbedürftigen

Belangen möglichst ausgewogen zu senken.

Verfügung über Daten

§ 4. (1) Die Verfügung über Daten steht grundsätzlich

den auftraggebenden Stellen zu. Insbesondere

ist dem Venarbeiter eine Verfügung über

Daten, hinsichtlich derer er nicht selbst zugleich

auftraggebende Stelle ist, nicht gestattet.

(2) Das Bundesministerium für Gesundheit und

Umweltschutz hat das Verfügungsrecht über alle

Daten für Zwecke der Leitung des inneren Dien-

stes, zur Sicherstellung eines einheitlichen und geregelten

Geschäftsganges und zur Kontrolle der

Einhaltung der Datenschutzbestimmungen.

(3) Für die Verfügung über sensible Daten sind

in den Betriebsordnungen zusätzliche Regelungen

zu erlassen, um dem erhöhten Schutzbedürfnis

derartiger Daten Rechnung zu tragen.

Vertragliche Inanspruchnahme von Dienstleistungen

im Datenverkehr

§ 5. Die Vergabe von Aufträgen durch auftraggebende

Stellen zur Erbringung von Dienstleistungen

im Datenverkehr bedarf der Genehmigung

des Bundesministeriums für Gesundheit und

Umweltschutz.

Datenverarbeitungsprojekte

§ 6. Datenverarbeitungsprojekte (beinhaltend

die Ermittlung, Verarbeitung, Benützung oder

Übermittlung von Daten) sind unter genauer

Festlegung des Projektes, insbesondere des Inhaltes

und Umfanges der Daten und unter Festlegung

der Verfahren in den wesentlichen Schritten,

von der auftraggebenden Stelle dem Bundesministerium

für Gesundheit und Umweltschutz

zur Genehmigung vorzulegen. Die Anträge müssen

auch alle zur Beurteilung der Zulässigkeit

vom Standpunkt des Datenschutzes erforderlichen

Angaben enthalten.

2. Abschnitt

Grundsätze für die Ermittlung

§ 7. (1) Die Ermittlung der Daten obliegt dem

Auftraggeber im Rahmen seiner sachlichen und

örtlichen Zuständigkeit. Er kann sich hiebei des

Verarbeiters bedienen, soweit die Ermittlung

automationsunterstützt durchgeführt werden

kann; dies ist nur mit Genehmigung des Bundesministeriums

für Gesundheit und Umweltschutz

zulässig.

(2) Wird zur Ermittlung von Daten Amtshilfe

in Anspruch genommen, so ist das Amtshilfeersuchen

derart zu begründen, daß die ersuchte Stelle

die Zulässigkeit der Übermittlung gemäß § 7 DSG

beurteilen kann. Die Begründung kann entfallen,

wenn die Zulässigkeit der Übermittlung für die

ersuchte Stelle offenkundig ist oder anläßlich

eines vorangegangenen Amtshilfeersuchens gleicher

Art festgestellt wurde.

Grundsätze für die Verarbeitung

§ 8. (1) Daten dürfen nur auf Grund von

schriftlichen Aufträgen eingegeben werden; vorhandene

Eingabeprotokolle sind zu überprüfen

und 'aufzubewahren. Die Ermächtigung zur Erteilung

von Verarbeitungsaufträgen ist in den jeweiligen

Vorschriften für die Verfahren zur Abwicklung

einzelner Verarbeitungen enthalten.

Diese sind vom Bundesministerium für Gesundheit

und Umweltschutz zu erlassen.

(2) Werden Daten für verschiedene Zwecke der

Verarbeitung mit Hilfe derselben technischen Einrichtungen

verarbeitet, so ist sicherzustellen, daß

Verknüpfungen von Daten verschiedener Zwecke

der Verarbeitung nur in den im § 7 DSG genannten

Fällen erfolgen.

(3) Den Daten ist bei jedem Verarbeiter nach

Maßgabe der von ihm vorzunehmenden Verarbeitungsschritte

der gleiche Schutz zu gewähren.

Die Daten sind vor Entstellung, Zerstörung

und Verlust sowie gegen unbefugte Verwendung

und Weitergabe zu schützen.

(4) Der Vernichtung unbrauchbarer oder nicht

mehr benötigter Ausdrucke und sonstiger Datenträger

hat zumindest ein Bediensteter des Auftraggebers

oder des Verarbeiters als Zeuge beizuwohnen.

Besteht für den Fall der Vernichtung

von Datenträgern durch Dritte diese Möglichkeit

nicht, so ist der Dritte zur NichtVerwendung der

Daten, zur ehebaldigsten Vernichtung und zur

Geheimhaltung sowie zu einem allfälligen Schadenersatz

zu verpflichten.

§ 9. (1) Der Auftraggeber hat, soweit ihm das

mit vertretbarem Arbeitsaufwand möglich ist, die

Richtigkeit der Verarbeitungsergebnisse durch

Stichproben zu überprüfen.

(2) Wird ein Fehler festgestellt, so hat der Auftraggeber

alles zu unternehmen, um das Schadensausmaß

gering zu halten, den Betroffenen unnötige

Mühe zu ersparen, die Fehlerbehebung raschest

einzuleiten und Folgefehler zu verhindern.

Der zuständige Verarbeiter ist unverzüglich zu

verständigen, wenn zu vermuten ist, daß die Fehlerursache

in seinem Tätigkeitsbereich gelegen ist.

Grundsätze für die Benützung

§ 10. (1) Die Benützung der Daten darf nur in

der Art und in dem Umfang erfolgen, als dies für

den Auftraggeber zur Wahrnehmung der ihm

gesetzlich übertragenen Aufgaben eine wesentliche

Voraussetzung bildet.

(2) Beim Auftraggeber dürfen die Bediensteten

nur jene Daten benützen, die sie zur Erfüllung

der ihnen übertragenen Aufgaben benötigen.

§ 11. In den Betriebsordnungen gemäß § 3 sind

besondere Maßnahmen vorzusehen, die sicherstellen,

daß Daten nur durch Verfügungsberechtigte

verwendet wenden.

Grundsätze für die Übermittlung

§ 12. (1) Übermittlungen von Daten, die nicht

bereits in einem genehmigten Datenverarbeitungsverfahren

bzw. den dazu ergangenen Vorschrif-

ten vorgesehen sind, bedürfen der gesonderten

Genehmigung des Bundesministeriums für Gesundheit

und Umweltschutz.

(2) Ersuchen um Übermittlung von Daten sind

erst dann dem Bundesministerium für Gesundheit

und Umweltschutz vorzulegen, wenn die Rechtsgrundlage

sowie alle für die Beurteilung vom

Standpunkt des Datenschutzes erforderlichen Angaben

im Ersuchen enthalten sind. Dies gilt auch

für Ersuchen im Rahmen 'der Amtshilfe.

(3) Zur Durchführung von Übermittlungen

kann sich der Auftraggeber des Verarbeiters bedienen.

Dies ist nur mit Genehmigung des Bundesministeriums

für Gesundheit und Umweltschutz

zulässig.

(4) Übermittlungen sind, soweit dies zur Auskunftserteilung

über die Empfänger der Daten

erforderlich ist, aktenkundig zu machen; dies gilt

nicht in den Fällen des § 14.

3. Abschnitt

Auskunft

§ 13. (1) Eine Auskunft gemäß § 11 DSG darf

nur auf Grund eines unbedenklichen Identitätsnachweises

erteilt werden; sie ist nur gegen Empfangsbestätigung

auszufolgen oder zu eigenen

Handen zuzustellen.

(2) In anderen Rechtsvorschriften festgelegte

Auskunftsbeschränkungen werden durch § 11

DSG nicht berührt.

§ 14. Werden oder wurden Daten übermittelt,

so sind dem Betroffenen auf Verlangen die

Empfänger der übermittelten Daten bekanntzugeben.

Würde die Feststellung der Empfänger

übermittelter Daten im Einzelfall unverhältnismäßig

hohe Kosten oder einen im Verhältnis zu

den Interessen der Betroffenen nicht zumutbaren

Arbeitsaufwand verursachen, insbesondere bei im

Rahmen eines automationsunterstützten Verfahrens

organisatorisch vorgesehenen Übermittlungen,

so sind den Betroffenen die aufgrund der

Verfahrensorganisation oder der Sach- und

Rechtslage in Betracht kommenden Empfänger

mitzuteilen.

§ 15. (1) Für die Erteilung einer Auskunft

werden folgende pauschalierte Kostenersätze festgelegt

1. für jede Auskunft über den aktuellen Stand

der Daten des Antragstellers 100 S je Zweck

der Verarbeitung (§ 8 Abs. 2 DSG);

2. für jede darüber hinausgehende Auskunft

500 S je Zweck der Verarbeitung; in jenen

Fällen, in denen die Kosten 1000 S wesentlich

übersteigen, 1000 S je Zweck der Verarbeitung.

(2) Auch eine Auskunft, daß Daten des Betroffenen

in einem Zweck einer Verarbeitung nicht

vorhanden sind, unterliegt der Kostenersatzpflicht

je Zweck der Verarbeitung im Sinne dieser Verordnung.

(3) Die im Albs. 1 angeführten Kastenersätze

sind nicht zu entrichten,

1. wenn der Antragsteller nachweist, daß sein

monatliches Einkommen die Richtsätze für

Ausgleichszulagen nach dem ASVG nicht

überschreitet, oder

2. wenn der Aufwand für die Auskunftserteilung

geringfügig ist.

(4) Dem Antragsteller ist der für die Auskunftserteilung

zu entrichtende Kostenersatz mitzuteilen.

Von der Bearbeitung eines Auskunftsantrages

ist abzusehen, wenn der mitgeteilte

Kostenersatz nicht entrichtet wurde.

(5) Die in § 11 DSG enthaltene Frist für die

Auskunftserteilung beginnt erst zu laufen, sobald

die Entrichtung des mitgeteilten Kostenersatzes

nachgewiesen wird.

§ 16. (1) Ein für eine Auskunft geleisteter

Kostenersatz ist zurückzuerstatten, wenn Daten

rechtswidrig ermittelt, verarbeitet oder übermittelt

wurden oder wenn die Auskunft sonst zu

einer Richtigstellung geführt hat.

(2) Nicht als Richtigstellung ist es anzusehen,

wenn die zu ändernden Daten auf Angaben des

Betroffenen selbst beruhen.

(3) Ein Anlaß zu einer Richtigstellung ist nicht

gegeben, wenn eine Abweichung in der Art der

Darstellung der Daten durch den Stand der

Technik im automationsunterstützten Datenverkehr

oder durch die zweckmäßige und wirtschaftliche

Gestaltung eines Datenverarbeitungsverfahrens

bedingt ist.

Richtigstellung und Löschung

§ 17. (1) Richtigstellungen und Löschungen

gemäß § 12 DSG hat die auftraggebende Stelle

unter Anwendung des für den Zweck der Verarbeitung

vorgesehenen Änderungsdienstes durchzuführen

oder zu veranlassen.

(2) Rechtsverbindlich festgestellte Daten dürfen

nur auf Grund einer Entscheidung des für die

Feststellung zuständigen Organs richtiggestellt

oder gelöscht werden.

(3) Daten, die für Zwecke der Dokumentation

und der internen Kontrolle aufbewahrt werden,

dürfen nicht richtiggestellt und vor Ablauf der

Aufbewahrungsfrist nicht gelöscht werden.

(4) Durch geeignete organisatorische Maßnahmen

ist sicherzustellen, daß im Falle eines Rückgriffes

auf die zu Sicherungszwecken sowie zu

Zwecken der Dokumentation und der internen

Kontrolle aufbewahrten Datenbestände allfällige

Richtigstellungen und Löschungen wirksam bleiben.

Angabe der Registernummer

§ 18. (1) Bei Übermittlungen und Mitteilungen

an den Betroffenen, die in schriftlicher Form ergehen

und verarbeitete Daten zum Inhalt haben,

ist die Registernummer auf jedem Schriftstück anzugeben.

Dies gilt nicht für die vom Datenverarbeitungsregister

bekanntgegebene Bearbeitungsnummer.

(2) Bei Übermittlungen mittels maschinell lesbarer

Datenträger ist die Registernummer auf den

Begleitpapieren anzugeben.

(3) Erfolgt eine Übermittlung oder eine Mitteilung

an den Betroffenen im Namen mehrerer

Auftraggeber, so ist lediglich die Registernummer

eines der Auftraggeber mit dem Zusatz „ua." anzugeben.

4. Abschnitt

Inkrafttreten

§ 19. Diese Verordnung tritt am 1. April 1981

in Kraft. Mit Wirksamkeit vom gleichen Zeitpunkt

wird die Verordnung des Bundesministers

für Gesundheit und Umweltschutz vom 20. Dezember

1979, BGBl. Nr. 577, aufgehoben.