451. Verordnung: Durchführung des Datenschutzgesetzes im Wirkungsbereich der Post- und Telegraphenverwaltung

Auf Grund des Datenschutzgesetzes (DSG),

BGBl. Nr. 565/1978, wird verordnet

Geltungsbereich und Aufgabengebiete

§ 1. (1) Die Bestimmungen dieser Verordnung

gelten für die Auftraggeber (§ 3 Z 3 DSG) und

Verarbeiter (§ 3 Z 4 DSG) im Wirkungsbereich

der Post- und Telegraphenverwaltung, sofern

personenbezogene Daten (§ 3 Z 1 DSG) automationsunterstützt

zur Verarbeitung gelangen.

(2) Auftraggeber im Sinne des Abs. 1 sind nach

Maßgabe ihrer sachlichen und örtlichen Zuständigkeit

1. das Bundesministerium für Verkehr, Generaldirektion

für die Post- und Telegraphenverwaltung,

im folgenden Generaldirektion

genannt,

2. die Post- und Telegraphendirektion für

Steiermark in Graz,

3. die Post- und Telegraphendirektion für Tirol

und Vorarlberg in Innsbruck,

4. die Post- und Telegraphendirektion für

Kärnten in Klagenfurt,

5. die Post- und Telegraphendirektion für

Oberösterreich und Salzburg in Linz,

6. die Post- und Telegraphendirektion für

Wien, Niederösterreich und Burgenland in

Wien.

(3) Aufgabengebiete im Bereich der Post- und

Telegraphenverwaltung sind

1. Fernmeldewesen

2. Postwesen

3. Postautowesen

4. Personalwesen

5. Wirtschaftswesen.

Begriffsbestimmungen

§ 2. In dieser Verordnung bedeuten

1. Auftraggebende Stelle: Die Abteilung des

Auftraggebers, die nach der Geschäftseinteilung

für die Besorgung einer bestimmten Verwaltungsmaterie

zuständig ist.

2. Datenschutzkoordination: Die für den Bereich

eines Auftraggebers nach der Geschäftseinteilung

für Koordination und allgemeine rechtliche

Belange des Datenschutzes zuständige Stelle.

3. ADV-Fachdienst: Die für die betreffende

Datenverarbeitung zuständige Abteilung der Generaldirektion.

4. Datenschutzbeauftragter: Das für den Bereich

eines Verarbeiters nach der Geschäftseinteilung

oder Betriebsordnung für die Wahrnehmung

des Datenschutzes und der Datensicherheit zuständige

Organ.

Ermittlung von Daten

§ 3. (1) Vor erstmaliger Ermittlung personenbezogener

Daten für Zwecke der automationsunterstützten

Verarbeitung hat die auftraggebende

Stelle die Zulässigkeit nach den Bestimmungen

des Datenschutzgesetzes zu prüfen und

das Ergebnis der Prüfung in einem schriftlichen

Bericht festzuhalten. Der Bericht ist der Datenschutzkoordination

zu übermitteln.

(2) Die Datenschutzkoordination hat nach Prüfung

der Rechtslage und Abgabe eines Gutachtens

dem Leiter des Auftraggebers eine Stellungnahme

zur Aufnahme der Ermittlung vorzulegen.

(3) Die Ermittlung darf nur auf Grund der

schriftlichen Weisung des Leiters des Auftraggebers

aufgenommen werden.

§ 4. (1) Sollen Daten für Zwecke einer gleichartigen

Verarbeitung bei zumindest zwei der in

§ 1 Abs. 2 genannten Auftraggeber ermittelt

werden, ist die Zulässigkeit von jedem zuständigen

Auftraggeber gemäß § 3 zu prüfen. Das Ergebnis

der Prüfung ist der Generaldirektion zu

berichten.

(2) Die für die beabsichtigte Verarbeitung gemeinsam

zuständige auftraggebende Stelle der

Generaldirektion hat die Zulässigkeit nach den

Bestimmungen des Datenschutzgesetzes zu überprüfen

und einen schriftlichen Bericht zu erstellen.

Dieser Bericht ist der Datenschutzkoordination

der Generaldirektion zu übermitteln.

(3) Die Datenschutzkoordination der Generaldirektion

hat dem Leiter der Generaldirektion

eine Erledigung über die Aufnahme der Ermittlung

vorzuschlagen.

(4) Die Ermittlung im Bereich eines jeden Auftraggebers

darf dessen Leiter nur auf Grund einer

schriftlichen Weisung des Leiters der Generaldirektion

anordnen.

§ 5. (1) Nach Feststellung der Zulässigkeit der

Ermittlung ist die in Aussicht genommene Verarbeitung

für die Erfordernisse des Datenschutzes

zu dokumentieren.

Diese Dokumentation hat alle in der Verarbeitung

vorkommenden Datenfelder zu enthalten

und Aussagen zu treffen über

1. Art der Daten

2. Sensibilität der Daten

3. Herkunft der Daten

4. Aufgabengebiet

5. Kreis der Betroffenen

6. Zweck der Ermittlung und Verarbeitung

7. Zulässigkeit der Ermittlung und Verarbeitung

8. Übermittlungen im Inland

9. Verknüpfungen mit anderen Aufgabengebieten

10. Überlassungen in das Ausland oder direkten

Zugriff aus dem Ausland

11. Benützungsberechtigungen

12. Geheimhaltung gegenüber dem Betroffenen.

(2) Die Ausarbeitung der nach Abs. 1 zu erstellenden

Dokumentation obliegt den auftraggebenden

Stellen. Der ADV-Fachdienst und/oder

Verarbeiter haben über Verlangen der auftraggebenden

Stellen beratend mitzuwirken und jegliche

Unterstützung zu gewähren.

(3) Im Falle gleichartiger Verarbeitungen für

mehr als einen Auftraggeber ist die Dokumentation

von der auftraggebenden Stelle der Generaldirektion

einvernehmlich mit den auftraggebenden

Stellen des betroffenen Auftraggebers zu

erstellen. Ansonsten gilt Abs. 2 sinngemäß.

Verarbeitung

§ 6. (1) Auf der Grundlage der gemäß § 5

erstellten Dokumentation hat die Datenschutzkoordination

— die Verarbeitung dem Datenverarbeitungsregister

gemäß § 8 DSG zu melden

— oder den Antrag auf Registrierung gemäß

§ 23 DSG zu stellen.

(2) Ist anstelle einer Eintragung in das Datenverarbeitungsregister

die Verständigung der Betroffenen

gemäß § 22 DSG rechtlich zulässig und

wird diese Möglichkeit gewählt, so hat der Leiter

des Auftraggebers die Verständigung der Betroffenen

anzuordnen.

(3) Der Zeitpunkt, zu dem die gesetzlichen

Voraussetzungen für die Aufnahme einer Echtverarbeitung

erfüllt sind, ist von der Datenschutzkoordination

der (den) auftraggebenden Stelle(n)

und den für die Verarbeitung zuständigen Organen

schriftlich bekanntzugeben.

Vor diesem Zeitpunkt ist die Aufnahme der

Echtverarbeitung unzulässig.

§ 7. Die Verarbeitung von Daten darf nur

nach den in Übereinstimmung mit der in § 5

Abs. 1 genannten Dokumentation erstellten und

von der (den) auftraggebenden Stelle(n) genehmigten

Programmen erfolgen. Die Feststellung der

Übereinstimmung der Programme mit der in § 5

Abs. 1 genannten Dokumentation obliegt dem

ADV-Fachdienst.

§ 8. Die Verarbeiter haben für die ordnungsgemäße

Durchführung der ihnen übertragenen

Verarbeitungsaufträge unter Bedachtnahme auf

die für sie geltende(n) Betriebsordnung(en) zu

sorgen.

§ 9. Werden für Dienstleistungen im Datenverkehr

nicht zur Post- und Telegraphenverwaltung

zugehörige Verarbeiter in Anspruch genommen,

ist vom Auftraggeber ein Vertrag gemäß § 13

Abs. 2 DSG abzuschließen.

Benützung

§ 10. (1) Daten dürfen nur von jenen Stellen

und Organwaltern benützt werden, die sie zur

Erfüllung der ihnen gemäß Geschäftseinteilung

zukommenden Aufgaben benötigen.

(2) Die auftraggebenden Stellen haben zu jeder

Verarbeitung im Rahmen der gemäß § 5 Abs. 1

zu erstellenden Dokumentation festzulegen,

welche Stellen des Auftraggebers die Daten benützen

dürfen und dementsprechend regelmäßig

Ausdrucke erhalten und/oder im Wege der

Datenfernverarbeitung Zugriff auf die Daten

einer Verarbeitung haben.

(3) Innerhalb der benützungsberechtigten Stellen

ist vom Leiter festzulegen, welche Organwalter

die Daten benützen dürfen.

(4) Eine im Einzelfall über die Bestimmungen

des Abs. 2 hinausgehende Benützung bedarf der

Zustimmung des Leiters der auftraggebenden

Stelle.

§ 11. Bei Zugriffsberechtigungen im Wege der

Datenfernverarbeitung sind personenbezogene

Daten durch Software-Einrichtungen mit Kennworten

zu schützen, die nur den Benützungsberechtigten

bekannt und periodisch zu ändern

sind.

Übermittlung

§ 12. (1) Regelmäßige Übermittlungen von

Daten dürfen nur in dem Umfang erfolgen, als

sie in der entsprechenden Registereintragung

Deckung finden. In Fällen des § 6 Abs. 2 ist die

Zulässigkeit regelmäßiger Übermittlungen unter

Beachtung der gesetzlichen Bestimmungen in der

Dokumentation festzulegen.

(2) Bei Ersuchen um Übermittlungen im Rahmen

der Amtshilfe hat das ersuchende Organ die

Rechtsgrundlage für die geforderte Übermittlung

bekanntzugeben. Die Übermittlung darf nur erfolgen,

wenn die Notwendigkeit im Sinne des § 7

Abs. 2 DSG glaubhaft gemacht wurde. Hierüber

entscheidet der Leiter der gemäß § 10 benützungsberechtigten

Stelle.

(3) Sonstige Übermittlungen im Einzelfall dürfen

nur im Rahmen der Zulässigkeit des § 7 DSG

erfolgen. Die Genehmigung obliegt dem Leiter

des Auftraggebers.

§ 13. (1) Art und Umfang der Protokollierung

sind für Verarbeiter im Sinne des DSG in der

Betriebsordnung, für sonstige Stellen durch Weisung

des Stellenleiters zu regeln. Hiebei ist

sicherzustellen, daß über die übermittelten Daten

und die Empfänger der Daten Auskunft gemäß

§ 11 DSG gegeben werden kann.

(2) Bei regelmäßigen oder systematischen Übermittlungen

kann eine gesonderte Protokollierung

entfallen, wenn sie so dokumentiert und organisiert

sind, daß eine Feststellung der Empfänger,

des Kreises der Betroffenen und der Art der

Daten möglich ist und dem Auskunftsrecht der

Betroffenen gemäß § 11 DSG Folge geleistet werden

kann.

(3) Übermittlungen im Rahmen der Amtshilfe

und sonstige Übermittlungen im Einzelfall sind

in den diesbezüglichen Geschäftsstücken derart

festzuhalten, daß dem Auskunftsrecht der Betroffenen

gemäß § 11 DSG entsprochen werden kann.

(4) Übermittlungen, die über Verlangen oder

mit Einverständnis der Betroffenen (zB Mitteilungen

an Finanzämter, Sozialversicherungsträger,

Kreditinstitute) erfolgen, können anstatt in Geschäftsstücken

auch in diesbezüglichen Hilfsaufzeichnungen

vermerkt werden.

Auskunftsverfahren

§ 14. (1) Auskunftsersuchen gemäß § 11 DSG

sind schriftlich beim jeweils zuständigen Auftraggeber

einzubringen. Auskünfte sind schriftlich

ausschließlich mit RSa-Brief und an die im entsprechenden

Arbeitsgebiet für den Betroffenen gespeicherte

Adresse zu erteilen. Verlangt der Betroffene

die Zustellung an eine andere als die gespeicherte

Adresse, so hat er seine Identität postordnungsgemäß

nachzuweisen.

(2) Dem Betroffenen gegenüber sind, unbeschadet

der ihm nach den maßgeblichen Verfahrensvorschriften

zustehenden Rechte, die Empfänger

übermittelter Daten geheimzuhalten, sofern die

Übermittlung für Zwecke eines gerichtlichen oder

verwaltungsbehördlichen Strafverfahrens oder

eines Disziplinarverfahrens durchgeführt wurde

und es sich um solche Daten handelt, die wegen

überwiegendem öffentlichen Interesses auch gegenüber

dem Betroffenen geheimzuhalten sind.

In anderen Rechtsvorschriften festgelegte Auskunftsbeschränkungen

werden hiedurch nicht berührt.

(3) Werden oder wurden Daten übermittelt,

so sind dem Betroffenen auf Verlangen die Empfänger

der übermittelten Daten bekanntzugeben.

§ 15. (1) Für die Erteilung einer Auskunft im

Sinne des § 11 Abs. 1 des Datenschutzgesetzes

werden folgende pauschalierte Kostenersätze festgelegt

1. für jede Auskunft über den aktuellen Stand

der Daten des Antragstellers 100 S je Zweck

der Verarbeitung;

2. für jede darüber hinausgehende Auskunft

500 S je Zweck der Verarbeitung; in jenen

Fällen, in denen die Auskunftserteilung einen

besonders hohen technischen oder organisatorischen

Aufwand erfordert, 1000 S je

Zweck der Verarbeitung.

(2) Die in Abs. 1 angeführten Kostenersätze

sind nicht zu entrichten

1. wenn der Antragsteller nachweist, daß sein

monatliches Einkommen die Richtsätze der

Ausgleichszulagen nach dem ASVG nicht

überschreitet oder

2. wenn der Aufwand für die Auskunftserteilung

geringfügig ist.

(3) Dem Antragsteller ist der für die Auskunftserteilung

zu entrichtende Kostenersatz

mitzuteilen.

(4) Von der Bearbeitung eines Auskunftsantrages

ist abzusehen, wenn der gemäß Abs. 3

mitgeteilte Kostenersatz nicht entrichtet wurde.

(5) Die in § 11 DSG enthaltene Frist für die

Erteilung von Auskünften beginnt erst zu laufen,

sobald die Entrichtung des mitgeteilten Kostenersatzes

nachgewiesen wird.

§ 16. Die Bestimmungen der §§ 14 und 15

sind, wenn der Auskunftswerber nicht ausdrücklich

eine Auskunft nach § 11 DSG verlangt, auf

die Fälle nicht anzuwenden, für die in Rechtsvorschriften

des Bundes oder sonstigen Dienstvorschriften

der Post- und Telegraphenverwaltung

besondere Auskunftsrechte außerhalb des

Datenschutzgesetzes festgelegt sind.

Richtigstellung und Löschung

§ 17. (1) Richtigstellungen und Löschungen

gemäß § 12 DSG hat der Auftraggeber zu veranlassen.

Hiebei ist zu beachten, daß rechtsverbindlich

festgestellte Daten wegen ihrer Unrichtigkeit

nur auf Grund einer Entscheidung des

für die Feststellung zuständigen Organs richtiggestellt

oder gelöscht werden dürfen.

(2) Daten, die für Zwecke der Dokumentation

und der internen Kontrolle aufbewahrt

werden, dürfen nicht richtiggestellt und vor Ablauf

der Aufbewahrungsfrist nicht gelöscht werden.

(3) Durch geeignete organisatorische Maßnahmen

ist sicherzustellen, daß im Falle eines Rückgriffes

auf die zu Sicherungszwecken aufbewahrten

Datenbestände allfällige Richtigstellungen

und Löschungen wirksam bleiben.

Angabe der Registernummer

§ 18. (1) Bei Übermittlungen im Sinne des

§ 3 Z 8 DSG und Mitteilungen an den Betroffenen,

die in schriftlicher Form ergehen und verarbeitete

Daten zum Inhalt haben, ist die Registernummer

auf jedem Schriftstück anzugeben.

(2) Bei Übermittlungen im Sinne des § 3

Z 8 DSG und Mitteilungen an den Betroffenen

mittels maschinell lesbarer Datenträger, soweit es

sich nicht um maschinell lesbare Schriftstücke

handelt, ist die Registernummer auf den Begleitpapieren

anzugeben.

(3) Erfolgte eine Übermittlung im Sinne des

§ 3 Z 8 DSG oder eine Mitteilung an den Betroffenen

im Namen mehrerer Auftraggeber, so

ist lediglich die Registernummer eines der Auftraggeber

mit dem Zusatz „ua" anzugeben.

Inkrafttreten

§ 19. Diese Verordnung tritt sechs Monate

nach ihrer Kundmachung im Bundesgesetzblatt

in Kraft.

Gleichzeitig tritt die Verordnung des Bundesministers

für Verkehr vom 21. Dezember 1979,

BGBl. Nr. 584, für den Wirkungsbereich der

Post- und Telegraphenverwaltung außer Kraft.