Legalize / Österreich / Sonstige

Bundesgesetz vom 18. Oktober 1978 über den Schutz personenbezogenerDaten (Datenschutzgesetz - DSG)

Typ Sonstige

Veröffentlichung 1980-01-01

Status Aufgehoben · 1999-12-31

Ministerium BKA (Bundeskanzleramt)

Quelle RIS

Artikel 118

Änderungshistorie JSON API

Abkürzung

DSG

Verfassungsbestimmung

Artikel 1

(Verfassungsbestimmung)

GRUNDRECHT AUF DATENSCHUTZ

§ 1. (1) Jedermann hat Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit er daran ein schutzwürdiges Interesse, insbesondere im Hinblick auf Achtung seines Privat- und Familienlebens, hat.

(2) Beschränkungen des Rechtes nach Abs. 1 sind nur zur Wahrung berechtigter Interessen eines anderen oder auf Grund von Gesetzen zulässig, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten (BGBl. Nr. 210/1958) genannten Gründen notwendig sind. Auch im Falle solcher Beschränkungen muß der vertraulichen Behandlung personenbezogener Daten Vorrang gegeben werden.

(3) Jedermann hat, soweit Daten über ihn automationsunterstützt verarbeitet werden, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer Daten über ihn ermittelt oder verarbeitet, woher die Daten stammen, welcher Art und welchen Inhaltes die Daten sind und wozu sie verwendet werden.

(4) Jedermann hat, soweit Daten über ihn automationsunterstützt verarbeitet werden, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Richtigstellung unrichtiger und das Recht auf Löschung unzulässigerweise ermittelter oder verarbeiteter Daten.

(5) Beschränkungen der Rechte nach Abs. 3 und 4 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.

(6) Soweit Rechtsträger in Formen des Privatrechts tätig sind, ist das Grundrecht auf Datenschutz im ordentlichen Rechtsweg geltend zu machen.

Verfassungsbestimmung

ZUSTÄNDIGKEIT ZUR GESETZGEBUNG UND VOLLZIEHUNG

§ 2. (1) Bundessache ist die Gesetzgebung in Angelegenheiten des Schutzes personenbezogener Daten im automationsunterstützten Datenverkehr.

(2) Die Vollziehung solcher Bundesgesetze steht dem Bund zu. Soweit solche Daten von einem Land, im Auftrag eines Landes, von oder im Auftrag von juristischen Personen, die durch Gesetz eingerichtet sind und deren Einrichtung hinsichtlich der Vollziehung in die Zuständigkeit der Länder fällt, ermittelt, verarbeitet oder übermittelt werden, sind diese Bundesgesetze von den Ländern zu vollziehen, soweit nicht durch Bundesgesetz die Datenschutzkommission, der Datenschutzrat oder Gerichte mit der Vollziehung betraut werden.

Artikel 2

Abschnitt

ALLGEMEINE BESTIMMUNGEN

§ 3. Im Sinne dieses Bundesgesetzes bedeuten:

Daten: auf einem Datenträger gespeicherte Angaben, die Informationen über eine bestimmte oder mit Wahrscheinlichkeit bestimmbare natürliche oder juristische Person oder handelsrechtliche Personengesellschaft darstellen (personenbezogene Daten);

Betroffene: natürliche oder juristische Personen oder handelsrechtliche Personengesellschaften, über die Daten ermittelt, verarbeitet oder übermittelt werden;

Auftraggeber: der Rechtsträger, der die Ermittlung, Verarbeitung oder Übermittlung von Daten veranlaßt oder selbst durchführt. Im öffentlichen Bereich (2. Abschnitt) ist darunter das örtlich und sachlich zuständige Organ eines Rechtsträgers zu verstehen;

Verarbeiter: die Einrichtung, die Daten verarbeitet;

Ermitteln von Daten (Ermittlung): das Erheben oder sonstige Beschaffen von Daten ohne Rücksicht auf die dabei angewendeten Verfahren;

Verarbeiten von Daten (Verarbeitung): das Erfassen, Speichern, Ordnen, Verändern, Verknüpfen, Vervielfältigen, Ausgeben oder Löschen von Daten im oder für den automationsunterstützten Datenverkehr;

Benützen von Daten (Benützung): das Verwenden von Daten durch den Auftraggeber der Verarbeitung;

Übermitteln von Daten (Übermittlung): das Weitergeben, Übertragen, Bekanntgeben, Veröffentlichen oder sonstige Offenbaren von verarbeiteten Daten an andere Empfänger als den Betroffenen, den Auftraggeber oder den Verarbeiter. Einer Übermittlung ist gleichzuhalten das Verknüpfen von für ein Aufgabengebiet ermittelten oder verarbeiteten Daten mit solchen Daten eines anderen Aufgabengebietes;

Löschen von Daten (Löschen): das Unkenntlichmachen von erfaßten oder gespeicherten Daten ohne die Möglichkeit ihrer Rekonstruktion;

10.

Datenverkehr: das Ermitteln, Verarbeiten, Benützen und Übermitteln von Daten oder einer dieser Vorgänge.

Artikel 2

Abschnitt

ALLGEMEINE BESTIMMUNGEN

§ 3. Im Sinne der folgenden Bestimmungen dieses Bundesgesetzes bedeuten:

Daten: auf einem Datenträger festgehaltene Angaben über bestimmte oder mit hoher Wahrscheinlichkeit bestimmbare Betroffene (personenbezogene Daten);

Betroffener: jede vom Auftraggeber (Z 3) verschiedene natürliche oder juristische Person oder Personengemeinschaft, deren Daten verwendet (Z 12) werden; juristische Personen des öffentlichen Rechts und ihre Organe gelten bei der Besorgung behördlicher Aufgaben nicht als Betroffene;

Auftraggeber: jeder Rechtsträger oder jedes Organ einer Gebietskörperschaft, von dem Daten selbst oder unter Heranziehung von Dienstleistern (Z 4) automationsunterstützt verarbeitet werden;

Dienstleister: jeder Rechtsträger oder jedes Organ einer Gebietskörperschaft, von dem Daten für einen Auftraggeber im Rahmen eines solchen Auftrages verwendet werden, dessen wesentlicher Inhalt die automationsunterstützte Verarbeitung dieser Daten ist;

Datenverarbeitung: der Ablauf von Verarbeitungsschritten (Z 7), die zur Erreichung eines inhaltlich bestimmten Ergebnisses (Zweckes) geordnet sind und zur Gänze oder auch nur teilweise automationsunterstützt, also maschinell und programmgesteuert erfolgen, wobei die Auswählbarkeit von personenbezogenen Daten aus der Gesamtmenge der gespeicherten Daten nach mindestens einem Merkmal in der jeweils eingesetzten Maschinen- und Programmausstattung vorgesehen ist;

Ermitteln von Daten: das Erheben oder sonstige Beschaffen von Daten für eine Datenverarbeitung (Z 5);

Verarbeiten von Daten: das Erfassen, Speichern, Ordnen, Vergleichen, Verändern, Verknüpfen, Vervielfältigen, Ausgeben oder Löschen von Daten im Rahmen einer Datenverarbeitung;

Benützen von Daten: jede Form der Handhabung von Daten einer Datenverarbeitung beim Auftraggeber oder Dienstleister, die nicht Ermitteln, Verarbeiten oder Übermitteln ist;

Übermitteln von Daten: die Weitergabe von Daten aus einer Datenverarbeitung an andere Empfänger als den Betroffenen, den Auftraggeber oder einen Dienstleister, insbesondere auch das Veröffentlichen solcher Daten sowie ihre Verwendung für ein anderes Aufgabengebiet des Auftraggebers;

10.

Überlassen von Daten: die Weitergabe von Daten zwischen Auftraggeber und Dienstleister oder zwischen Dienstleistern;

11.

Löschen von Daten:

das Unkenntlichmachen von Daten in der Weise, daß eine Rekonstruktion nicht möglich ist (physisches Löschen);

die Verhinderung des Zugriffs auf Daten durch programmtechnische Maßnahmen (logisches Löschen);

12.

Datenverkehr (Verwenden von Daten): das Ermitteln, Verarbeiten, Benützen, Übermitteln und Überlassen von Daten oder einer dieser Vorgänge.

§ 4. (1) Die Bestimmungen des 2. Abschnittes sind auf den Datenverkehr von oder im Auftrag von Rechtsträgern anzuwenden, die durch Gesetz eingerichtet sind, soweit es sich nicht um Rechtsträger nach § 5 handelt.

(2) Durch Verordnung der Bundesregierung sind nach Anhörung des Datenschutzrates Rechtsträger im Sinne des Abs. 1, soweit sie in Formen des Privatrechts tätig sind, für diese Tätigkeitsbereiche von der Anwendung des 2. Abschnittes auszunehmen. Für diese Bereiche findet der 3. Abschnitt Anwendung. Verordnungen nach dem ersten Satz bedürfen der Zustimmung des Hauptausschusses des Nationalrates.

(3) Die §§ 8, 9, 11 und 12 finden keine Anwendung auf die Verarbeitung von Daten, soweit diese notwendig ist:

für Zwecke des Schutzes der verfassungsmäßigen Einrichtungen der Republik Österreich und für Zwecke der Strafrechtspflege, oder

für Zwecke der Sicherung der Einsatzbereitschaft des Bundesheeres, oder

für Zwecke der umfassenden Landesverteidigung. Diese Ausnahme bedarf einer von der Bundesregierung nach Anhörung des Datenschutzrates im Einvernehmen mit dem Hauptausschuß des Nationalrates zu erlassenden Verordnung. In dieser Verordnung sind die Ausnahmen wie Arten der Daten, Elemente der Verarbeitung, im einzelnen zu bestimmen.

(2) Durch Verordnung der Bundesregierung können nach Anhörung des Datenschutzrates Rechtsträger im Sinne des Abs. 1 von der Anwendung des 2. Abschnittes ausgenommen werden, soweit dies im Hinblick auf den Umfang der von ihnen in Formen des Privatrechts ausgeübten Tätigkeit geboten ist und schutzwürdige Interessen der Betroffenen dadurch nicht gefährdet sind; solche Verordnungen bedürfen der Zustimmung des Hauptausschusses des Nationalrates. Für diese Rechtsträger gilt der 3. Abschnitt.

(3) Die §§ 8, 9, 11 und 12 finden keine Anwendung auf eine Datenverarbeitung, soweit diese notwendig ist:

für Zwecke des Schutzes der verfassungsmäßigen Einrichtungen der Republik Österreich und für Zwecke der Strafrechtspflege, oder

für Zwecke der Sicherung der Einsatzbereitschaft des Bundesheeres, oder

(3) Die §§ 8, 9, 11 und 12 finden keine Anwendung auf eine Datenverarbeitung, soweit diese notwendig ist:

für Zwecke des Schutzes der verfassungsmäßigen Einrichtungen der Republik Österreich und für Zwecke der Strafrechtspflege, oder

für Zwecke der Sicherung der Einsatzbereitschaft des Bundesheeres, oder

§ 5. (1) Auf die Verarbeitung von Daten von oder im Auftrage von Ländern oder von Rechtsträgern, die durch Gesetze eingerichtet sind, und deren Einrichtung hinsichtlich der Vollziehung in die Zuständigkeit der Länder fällt, sowie von oder im Auftrage von Gemeinden oder Gemeindeverbänden sind die Bestimmungen des 2. Abschnittes mit der Maßgabe anzuwenden, daß die Datenschutzverordnung (§ 9) und die Höhe der Verwaltungsabgabe für die Erteilung einer Auskunft (§ 11 Abs. 3) durch die Landesregierung festzulegen sind.

(2) In einer nach Anhörung des Datenschutzrates zu erlassenden Verordnung der Landesregierung sind Rechtsträger im Sinne des Abs. 1, soweit sie in Formen des Privatrechts tätig sind, für diese Tätigkeitsbereiche von der Anwendung des 2. Abschnittes auszunehmen. Für diese Bereiche findet der 3. Abschnitt Anwendung.

§ 5. (1) Auf Datenverarbeitungen von oder im Auftrage von Ländern oder von Rechtsträgern, die durch Gesetze eingerichtet sind, und deren Einrichtung hinsichtlich der Vollziehung in die Zuständigkeit der Länder fällt, sowie von oder im Auftrage von Gemeinden oder Gemeindeverbänden sind die Bestimmungen des 2. Abschnittes mit der Maßgabe anzuwenden, daß die Datenschutzverordnung (§ 9) und die Höhe der Verwaltungsabgabe für die Erteilung einer Auskunft (§ 11 Abs. 4) durch die Landesregierung festzulegen sind.

(2) Durch Verordnung der Landesregierung können nach Anhörung des Datenschutzrates Rechtsträger im Sinne des Abs. 1 von der Anwendung des 2. Abschnittes ausgenommen werden, soweit dies im Hinblick auf den Umfang der von ihnen in Formen des Privatrechts ausgeübten Tätigkeit geboten ist und schutzwürdige Interessen der Betroffenen dadurch nicht gefährdet sind. Für diese Rechtsträger gilt der

Abschnitt.

Abschnitt

ÖFFENTLICHER BEREICH

ZULÄSSIGKEIT DER ERMITTLUNG UND VERARBEITUNG

§ 6. Daten dürfen zum Zwecke des automationsunterstützten Datenverkehrs nur ermittelt und verarbeitet werden, wenn dafür eine ausdrückliche gesetzliche Ermächtigung besteht, oder soweit dies für den Auftraggeber zur Wahrnehmung der ihm gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bildet.

ZULÄSSIGKEIT DER ÜBERMITTLUNG

§ 7. (1) Verarbeitete Daten dürfen nur übermittelt werden, soweit

eine ausdrückliche gesetzliche Ermächtigung hiefür besteht, oder

der Betroffene der Übermittlung ausdrücklich schriftlich zugestimmt hat, wobei ein schriftlicher Widerruf möglich ist, oder

sie ausschließlich zu statistischen Zwecken an das Österreichische Statistische Zentralamt übermittelt und dort anonymisiert verarbeitet werden.

(2) Eine Übermittlung von Daten an Organe des Bundes, der Länder, der Gemeinden, einschließlich der Körperschaften des öffentlichen Rechts ist weiters insoweit zulässig, als die Daten für den Empfänger zur Wahrnehmung der ihm gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bilden.

(3) Daten dürfen an andere als die in Abs. 2 genannten Empfänger nur übermittelt werden, soweit dies zur Wahrung eines berechtigten Interesses an der Übermittlung erforderlich ist, das die schutzwürdigen Interessen des Betroffenen an der Geheimhaltung überwiegt. Im Zweifel ist der vertraulichen Behandlung personenbezogener Daten der Vorrang zu geben.

(4) Nicht registrierte Übermittlungen sind so zu protokollieren, daß dem Betroffenen Auskunft gemäß § 11 gegeben werden kann. Übermittlungen gemäß § 8 Abs. 3 bedürfen keiner Protokollierung.

Abkürzung

DSG

MELDUNG DER VERARBEITUNG

§ 8. (1) Jeder Auftraggeber hat vor der Aufnahme einer Echtverarbeitung von Daten dem Datenverarbeitungsregister (§ 47) eine schriftliche Meldung gemäß Abs. 2 zu erstatten.

(2) In der Meldung sind die Rechtsgrundlage, der Zweck der Ermittlung, der Verarbeitung und der Übermittlung der Daten, die Art der Daten und der Kreis der Betroffenen anzugeben.

MELDUNGEN VON DATENVERARBEITUNGEN UND ÜBERMITTLUNGEN

§ 8. (1) Jeder Auftraggeber hat bei Aufnahme einer Datenverarbeitung dem Datenverarbeitungsregister (§ 47) eine Meldung zu erstatten.

(2) In der Meldung sind neben der Bezeichnung, der Anschrift und der allenfalls bereits zugeteilten Registernummer des Auftraggebers der Zweck der zu registrierenden Datenverarbeitung, ihre Rechtsgrundlage sowie die Kreise der von der Datenverarbeitung Betroffenen und die über sie verarbeiteten Datenarten anzuführen. Übermittlungen von Daten sind gemäß § 23 Abs. 2 Z 5 und 6 zur Registrierung zu melden.

(3) Für Typen von Datenverarbeitungen und Übermittlungen aus diesen, die von einer großen Anzahl von Auftraggebern in gleichartiger Weise vorgenommen werden und deren Inhalt durch Gesetz oder Vertrag mit den Betroffenen vorgegeben ist, kann durch Verordnung des Bundeskanzlers nach Anhörung des Datenschutzrates unter den näheren Voraussetzungen des § 23 Abs. 4 festgesetzt werden, daß sie nicht der Pflicht zur Meldung nach Abs. 2 unterliegen. Werden solche Datenverarbeitungen vorgenommen, sind jedoch die Bezeichnung, die Anschrift und die allenfalls bereits zugeteilte Registernummer des Auftraggebers unter Anführung der Standardverarbeitungen dem Datenverarbeitungsregister mitzuteilen.

(4) Die Absätze 1 bis 3 gelten sinngemäß für Änderungen gemeldeter Sachverhalte.

(5) Der Auftraggeber hat die ihm bei der Eintragung zugeteilte Registernummer bei der Übermittlung von Daten und bei Mitteilungen an den Betroffenen zu führen.

REGISTRIERUNG

§ 8a. (1) Das Datenverarbeitungsregister hat innerhalb einer Frist von höchstens zwei Monaten dem Auftraggeber die Verbesserung unter gleichzeitiger Setzung einer angemessenen Verbesserungsfrist aufzutragen, wenn eine Meldung mangelhaft im Sinne des Abs. 2 ist.

(2) Eine Meldung ist mangelhaft, wenn Angaben fehlen, offenbar unrichtig, unstimmig oder so unzureichend sind, daß Einsichtnehmer im Hinblick auf die Wahrnehmung ihrer Rechte nach diesem Bundesgesetz keine hinreichende Information darüber gewinnen können, ob durch die Datenverarbeitung ihre schutzwürdigen Geheimhaltungsinteressen verletzt sein könnten. Unstimmigkeit liegt insbesondere auch dann vor, wenn der Inhalt gemeldeter Datenverarbeitungen durch die gemeldeten Rechtsgrundlagen nicht gedeckt ist.

(3) Kommt das Datenverarbeitungsregister bei Prüfung der Meldung zur Auffassung, daß mangels Rechtsgrundlage einer Datenverarbeitung schutzwürdige Geheimhaltungsinteressen der Betroffenen wesentlich gefährdet erscheinen, so hat es dies der Datenschutzkommission unverzüglich mitzuteilen; die Datenschutzkommission hat, wenn sie die Bedenken des Datenverarbeitungsregisters teilt, diese Bedenken dem zuständigen obersten Verwaltungsorgan zur Kenntnis zu bringen.

(4) Wird einem Verbesserungsauftrag des Datenverarbeitungsregisters nicht fristgerecht entsprochen, so hat das Datenverarbeitungsregister die Meldung der Datenschutzkommission vorzulegen. Dabei sind die behaupteten Mängel zu begründen. Stellt die Datenschutzkommission die Mangelhaftigkeit der Meldung fest, so hat sie die Registrierung mit Bescheid abzulehnen; andernfalls hat sie dem Datenverarbeitungsregister die Registrierung aufzutragen.

(5) Im übrigen gilt für die Registrierung § 23b.

DATENSCHUTZVERORDNUNG

§ 9. (1) Die obersten Organe des Bundes und der Länder haben, unbeschadet der Bestimmungen des Abs. 2, für jeden ihrer Aufsicht unterstehenden Auftraggeber nach Anhörung der Datenschutzkommission eine Datenschutzverordnung zu erlassen, in der je nach Art der zu verarbeitenden Daten die Grundsätze für deren Ermittlung, Verarbeitung, Benützung und Übermittlung bei möglichstem Schutz der personenbezogenen Daten festzulegen sind.

(2) Selbstverwaltungskörper sind, soweit sie Daten verarbeiten, zur Erlassung einer Datenschutzverordnung nach Abs. 1 verpflichtet. Die Verordnung bedarf aufsichtsbehördlicher Genehmigung. Die Aufsichtsbehörde hat die Datenschutzkommission anzuhören. Die Genehmigung ist zu erteilen, wenn die Verordnung gesetzlichen Bestimmungen entspricht.

DATENSCHUTZVERORDNUNG

§ 9. (1) Die obersten Organe des Bundes und der Länder haben, unbeschadet der Bestimmungen des Abs. 2, für jeden ihrer Aufsicht unterstehenden Auftraggeber nach Anhörung der Datenschutzkommission eine Datenschutzverordnung zu erlassen, in der je nach Art der zu verarbeitenden Daten die Grundsätze für deren Ermittlung, Verarbeitung, Benützung, Übermittlung und Überlassung bei möglichstem Schutz der personenbezogenen Daten festzulegen sind.

BETRIEBSORDNUNG

§ 10. (1) Für jeden Verarbeiter ist von dem für die Durchführung der Verarbeitung zuständigen Organ eine Betriebsordnung zu erlassen, die der Zustimmung der Datenschutzkommission bedarf. Diese Zustimmung ist, gegebenenfalls mit Auflagen oder Bedingungen, zu erteilen, wenn die Betriebsordnung gesetzlichen Bestimmungen und den auf Grund dieses Bundesgesetzes erlassenen Verordnungen entspricht.

(2) In dieser Betriebsordnung sind unter Bedachtnahme auf die wirtschaftliche Vertretbarkeit und auf die technischen Möglichkeiten jene Maßnahmen organisatorischer, personeller, technischer und baulicher Art festzulegen, die je nach der Art der Daten und der technischen Durchführung sowie des Umfanges der Verarbeitung und Übermittlung notwendig sind, um sicherzustellen, daß die Verarbeitung ordnungsgemäß erfolgt, und daß die Daten Dritten rechtswidrig weder zur Kenntnis gelangen noch übermittelt noch durch dazu nicht berechtigte Personen eingesehen, verarbeitet oder übermittelt werden können.

(3) Die Betriebsordnung hat insbesondere Bestimmungen zu enthalten über:

den Zutritt zu den Räumlichkeiten, in denen Daten verarbeitet werden, und zu den Datenträgern,

die technischen und baulichen Sicherheitsvorkehrungen zur Verhinderung einer unbefugten, fahrlässigen oder zufälligen Verarbeitung oder Übermittlung von Programmen und Daten,

Maschinen- und Programmtests mit Daten,

die Genehmigung von Programmen und Programmänderungen vor der Aufnahme der Echtverarbeitung von Daten,

die Protokollierung von Übermittlungen und die Dauer der Aufbewahrung der Protokolle,

die zur Verarbeitung und Übermittlung berechtigten Personengruppen und deren Verpflichtung zur Geheimhaltung der ihnen im Zusammenhang mit der Verarbeitung bekanntgewordenen Tatsachen und Informationen sowie

die Dauer der Speicherung der Daten.

(4) Sollen Daten unter Voraussetzung des § 7 Abs. 1 Z 3 übermittelt werden, so hat die Betriebsordnung Bestimmungen über die Sicherstellung der Anonymisierung der Daten zu enthalten.

(5) Weiters ist in der Betriebsordnung unter Bedachtnahme auf § 7 die Übermittlung in einer Weise zu regeln, daß dadurch die Rechte der Betroffenen an der Geheimhaltung ihrer Daten gewährleistet werden.

(6) Die Betriebsordnung ist dem Stand der jeweiligen technischen Entwicklung anzupassen, sofern es die im Abs. 2 und Abs. 5 genannten Zwecke erfordern.

DATENSICHERHEITSMASSNAHMEN

§ 10. (1) Für alle Organisationseinheiten eines Auftraggebers oder Dienstleisters, die Daten verwenden, sind Maßnahmen zur Gewährleistung der Datensicherheit zu treffen. Dabei ist je nach der Art der verwendeten Daten, nach Umfang und Zweck der Verwendung und unter Bedachtnahme auf den Stand der technischen Möglichkeiten sowie auf die wirtschaftliche Vertretbarkeit sicherzustellen, daß die Verwendung der Daten ordnungsgemäß erfolgt und daß die Daten Unbefugten nicht zur Kenntnis gelangen.

(2) Insbesondere ist, soweit dies im Hinblick auf Abs. 1 zweiter Satz erforderlich ist,

die Aufgabenverteilung bei der Datenverwendung zwischen den Organisationseinheiten und zwischen den Mitarbeitern ausdrücklich festzulegen,

die Verwendung von Daten an das Vorliegen gültiger Aufträge der anordnungsbefugten Organisationseinheiten und Mitarbeiter zu binden,

jeder Mitarbeiter über seine nach diesem Bundesgesetz und nach innerorganisatorischen Datenschutzvorschriften einschließlich der Datensicherheitsvorschriften bestehenden Pflichten zu belehren,

die Zutrittsberechtigung zu den Räumlichkeiten des Auftraggebers oder Dienstleisters zu regeln,

die Zugriffsberechtigung auf Daten und Programme und der Schutz der Datenträger vor der Einsicht und Verwendung durch Unbefugte zu regeln,

die Berechtigung zum Betrieb der Datenverarbeitungsgeräte festzulegen und jedes Gerät durch Vorkehrungen bei den eingesetzten Maschinen oder Programmen gegen die unbefugte Inbetriebnahme abzusichern,

zu prüfen, ob die erforderlichen Datensicherheitsmaßnahmen getroffen sind; zu diesem Zweck sind Aufzeichnungen zu führen, die es erlauben, die Verarbeitungsvorgänge nachzuvollziehen.

(3) Datensicherheitsvorschriften sind so zu erlassen und zur Verfügung zu halten, daß sich die Bediensteten über die für sie geltenden Regelungen jederzeit informieren können.

AUSKUNFTSRECHT

§ 11. (1) Dem Betroffenen sind bei Nachweis seiner Identität auf schriftlichen Antrag beim Auftraggeber seine Daten in allgemein verständlicher Form sowie deren Herkunft und die Rechtsgrundlage für deren Ermittlung, Verarbeitung, Benützung und Übermittlung binnen vier Wochen schriftlich mitzuteilen, soweit es sich dabei nicht um solche Daten handelt, die auf Grund eines Gesetzes oder einer Verordnung bei überwiegendem öffentlichem Interesse auch ihm gegenüber geheimzuhalten sind. Werden oder wurden Daten übermittelt, kann der Betroffene auch Auskunft über den Empfänger verlangen.

(2) Wird einem Antrag nach Abs. 1 nicht oder nicht vollinhaltlich stattgegeben, so ist dies dem Betroffenen binnen vier Wochen unter Angabe des Grundes schriftlich mitzuteilen.

(3) Für die Erteilung einer Auskunft kann in der Datenschutzverordnung nach Anhörung des Datenschutzrates ein pauschalierter Kostenersatz vorgeschrieben werden. Die Festsetzung der Höhe dieses Kostenersatzes ist derart vorzunehmen, daß die notwendigen aus der Verarbeitung des Auskunftsantrages tatsächlich erwachsenden Kosten gedeckt sind. Von der Bearbeitung des Auskunftsersuchens kann abgesehen werden, wenn der festgesetzte Kostenersatz nicht entrichtet wurde. Ein etwa geleisteter Kostenersatz ist ungeachtet weiterer Schadenersatzansprüche zurückzuerstatten, wenn Daten rechtswidrig ermittelt, verarbeitet oder übermittelt wurden, oder wenn die Auskunft sonst zu einer Richtigstellung geführt hat.

AUSKUNFTSRECHT

(2) Der Betroffene hat am Verfahren mitzuwirken. Er hat diejenigen Datenverarbeitungen zu bezeichnen, bezüglich derer er Betroffener sein kann, oder glaubhaft zu machen, daß er irrtümlich oder mißbräuchlich in Datenbeständen des Auftraggebers enthalten ist.

(3) Wird einem Antrag nach Abs. 1 nicht oder nicht vollinhaltlich stattgegeben, so ist dies dem Betroffenen binnen vier Wochen unter Angabe des Grundes schriftlich mitzuteilen.

(4) Die Erteilung einer Auskunft nach Abs. 1 hat unentgeltlich zu erfolgen, wenn sie den aktuellen Datenbestand betrifft und wenn der Auskunftswerber im laufenden Jahr noch kein Auskunftsersuchen an den Auftraggeber betreffend dasselbe Aufgabengebiet gestellt hat. Für alle anderen Fälle kann in der Datenschutzverordnung nach Anhörung des Datenschutzrates ein pauschalierter Kostenersatz vorgeschrieben werden. Die Höhe dieses Kostenersatzes ist so festzulegen, daß die notwendigen aus der Bearbeitung des Auskunftsersuchens tatsächlich erwachsenden Kosten gedeckt sind. Von der Bearbeitung des Auskunftsersuchens kann abgesehen werden, wenn der Betroffene nicht gemäß Abs. 2 am Verfahren mitwirkt oder der festgesetzte Kostenersatz nicht entrichtet wurde. Ein etwa geleisteter Kostenersatz ist ungeachtet weiterer Schadenersatzansprüche zurückzuerstatten, wenn Daten rechtswidrig verwendet wurden oder wenn die Auskunft sonst zu einer Richtigstellung geführt hat.

PFLICHT ZUR RICHTIGSTELLUNG ODER LÖSCHUNG

(2) Eine Richtigstellung oder Löschung nach Abs. 1 ist durchzuführen oder zu veranlassen

von Amts wegen, oder

auf begründeten Antrag des Betroffenen, oder

auf Grund einer Entscheidung der für die Feststellung der Daten sachlich zuständigen Behörde, oder

auf Grund einer Entscheidung der Datenschutzkommission, oder

auf Grund einer Entscheidung des Verwaltungsgerichtshofes.

(3) Erfolgt binnen zwölf Wochen nach dem Einlangen eines Antrages des Betroffenen nicht die Feststellung des der Verarbeitung zugrunde zu legenden Sachverhaltes, so ist dies dem Antragsteller unter Angabe des Grundes unverzüglich schriftlich mitzuteilen.

(4) Wird ein Antrag des Betroffenen (Abs. 2 Z 2) abgelehnt, so ist ihm dies schriftlich binnen vier Wochen unter Angabe des Grundes mitzuteilen.

(5) Der Beweis der Richtigkeit der Daten obliegt dem Auftraggeber, soweit die Daten nicht ausschließlich auf Grund von Angaben des Betroffenen ermittelt wurden.

(6) Ist die Richtigstellung oder Löschung auf Antrag des Betroffenen oder auf Grund einer Entscheidung der Datenschutzkommission durchgeführt worden, so ist hievon der Betroffene, im Falle einer Richtigstellung oder Löschung auf Grund einer Entscheidung der Datenschutzkommission auch diese, vom Auftraggeber zu verständigen.

(7) Wurden im Sinne des Abs. 1 richtiggestellte oder gelöschte Daten vor der Richtigstellung oder Löschung übermittelt, so hat der Auftraggeber die Empfänger dieser Daten hievon zu verständigen, sofern der Betroffene es verlangt, ein berechtigtes Interesse glaubhaft macht und die Empfänger noch feststellbar sind.

(8) Eine Richtigstellung und eine Löschung sind ausgeschlossen, wenn die Daten im Zeitpunkt ihrer Ermittlung richtig und vollständig waren und der Zweck der Ermittlung oder der Verarbeitung eine Veränderung der Daten in Entsprechung von Änderungen des ihnen zugrunde liegenden Sachverhaltes ausschließt.

(9) Erfolgt eine Richtigstellung oder Löschung auf Grund einer Entscheidung der für die Feststellung der Daten sachlich zuständigen Behörde, so ist der Auftraggeber an diese Entscheidung gebunden.

(10) Bei der Übermittlung und Benützung von Daten, deren Richtigkeit vom Betroffenen bestritten wurde, und bei denen sich weder die Richtigkeit noch die Unrichtigkeit feststellen ließ, ist über Verlangen des Betroffenen ein Vermerk über die Bestreitung beizufügen. Der Auftraggeber kann bei der Datenschutzkommission die Feststellung beantragen, ob der Bestreitungsvermerk aufrechtzubleiben hat.

Ausnahmen: BGBl. Nr. 135/1983 (Mahnverfahren)

BGBl. Nr. 234/1984 (Patentangelegenheiten) § 55 (Strafregister)

PFLICHT ZUR RICHTIGSTELLUNG ODER LÖSCHUNG

§ 12. (1) Jeder Auftraggeber hat unrichtige oder entgegen den Bestimmungen des § 6 ermittelte oder verarbeitete Daten unverzüglich, längstens jedoch binnen zwei Wochen nach Feststellung des der Verarbeitung zugrunde zu legenden Sachverhaltes richtigzustellen, zu löschen oder die Richtigstellung oder Löschung zu veranlassen. Wenn aus Gründen der Wirtschaftlichkeit die physische Löschung oder Richtigstellung von Daten auf ausschließlich automationsunterstützt lesbaren Datenträgern nur zu bestimmten Zeitpunkten vorgenommen werden kann, sind diese Daten bis dahin logisch und sodann physisch zu löschen oder richtigzustellen.

(2) Eine Richtigstellung oder Löschung nach Abs. 1 ist durchzuführen oder zu veranlassen

von Amts wegen, oder

auf begründeten Antrag des Betroffenen, oder

auf Grund einer Entscheidung der für die Feststellung der Daten sachlich zuständigen Behörde, oder

auf Grund einer Entscheidung der Datenschutzkommission, oder

auf Grund einer Entscheidung des Verwaltungsgerichtshofes.

(4) Wird ein Antrag des Betroffenen (Abs. 2 Z 2) abgelehnt, so ist ihm dies schriftlich binnen vier Wochen unter Angabe des Grundes mitzuteilen.

(5) Der Beweis der Richtigkeit der Daten obliegt dem Auftraggeber, soweit die Daten nicht ausschließlich auf Grund von Angaben des Betroffenen ermittelt wurden.

VERTRAGLICHE INANSPRUCHNAHME VON DIENSTLEISTUNGEN IM DATENVERKEHR

DURCH DIE IN § 4 UND IN § 5 GENANNTEN RECHTSTRÄGER

§ 13. (1) Soweit Auftraggeber nach § 6 zur Ermittlung und Verarbeitung berechtigt sind, dürfen sie andere Verarbeiter desselben Rechtsträgers oder andere Rechtsträger für Dienstleistungen im Datenverkehr in Anspruch nehmen. Eine solche Inanspruchnahme darf nur erfolgen, soweit dies aus Gründen der Zweckmäßigkeit und Wirtschaftlichkeit der Verwaltung geboten ist und wenn weder schutzwürdige Interessen von Betroffenen noch öffentliche Interessen entgegenstehen.

(2) Im Falle der Inanspruchnahme nach Abs. 1 haben die in § 4 und in § 5 genannten Rechtsträger, soweit die Inanspruchnahme nicht auf Grund einer gesetzlichen Bestimmung erfolgt, vertraglich sicherzustellen, daß bei der Verarbeitung die gesetzlichen Bestimmungen und die Bestimmungen der auf Grund dieses Bundesgesetzes erlassenen Verordnungen eingehalten werden. In solchen Verträgen ist insbesondere eine den Bestimmungen des § 10 entsprechende Betriebsordnung zu vereinbaren.

(3) Vor dem Abschluß eines Vertrages im Sinne des Abs. 2 durch einen in § 4 genannten Rechtsträger sind die Datenschutzkommission und - ausgenommen im Anwendungsbereich des § 9 Abs. 2 - das Bundeskanzleramt anzuhören; Inanspruchnahmen durch in § 5 und in § 9 Abs. 2 genannte Rechtsträger sind der Datenschutzkommission mitzuteilen.

DIENSTLEISTUNG IM DATENVERKEHR

§ 13. (1) Soweit Auftraggeber nach § 6 zur Ermittlung und Verarbeitung berechtigt sind, dürfen sie bei ihren Datenverarbeitungen Dienstleister in Anspruch nehmen, wenn dies aus Gründen der Zweckmäßigkeit und Wirtschaftlichkeit der Verwaltung geboten ist und schutzwürdige Interessen Betroffener oder öffentliche Interessen nicht entgegenstehen.

(2) Sofern über die Pflichten einzelner Dienstleister nicht besondere gesetzliche Regelungen bestehen, gilt für Dienstleister des privaten Bereiches § 19 und für Dienstleister, die dem öffentlichen Bereich zuzurechnen sind, § 19 sinngemäß.

(3) Die beabsichtigte Heranziehung eines Dienstleisters ist der Datenschutzkommission mitzuteilen, es sei denn, daß die Inanspruchnahme des Dienstleisters auf Grund ausdrücklicher gesetzlicher Ermächtigung erfolgt oder als Dienstleister eine Organisationseinheit tätig wird, die mit dem Auftraggeber oder einem diesem übergeordneten Organ in einem Über- oder Unterordnungsverhältnis steht. Kommt die Datenschutzkommission zur Auffassung, daß der Inanspruchnahme eines Dienstleisters schutzwürdige Interessen Betroffener oder öffentliche Interessen entgegenstehen, so hat sie dies dem Auftraggeber unverzüglich mitzuteilen.

RECHTSSCHUTZ DES BETROFFENEN

§ 14. (1) Die Datenschutzkommission (§ 36) erkennt, soweit nicht der Antrag des Betroffenen auf Auskunft (§ 11), Richtigstellung oder Löschung (§ 12) bereits Gegenstand eines Verfahrens vor der sachlich zuständigen Behörde ist, über Beschwerden wegen Verletzung von Bestimmungen dieses Bundesgesetzes oder der auf Grund dieses Bundesgesetzes erlassenen Durchführungsbestimmungen, soweit der Beschwerdeführer behauptet, dadurch in seinen Rechten verletzt worden zu sein, sowie über Anträge gemäß Abs. 3.

(2) Erfolgte eine Richtigstellung oder Löschung auf Grund einer Entscheidung der für die Feststellung der Daten sachlich zuständigen Behörde, so ist die Datenschutzkommission an die rechtskräftige Entscheidung gebunden.

(3) Wird in einem Verwaltungsverfahren, in dem verarbeitete Daten benützt werden, die Verletzung von Bestimmungen dieses Bundesgesetzes oder der auf Grund dieses Bundesgesetzes erlassenen Durchführungsbestimmungen behauptet, so ist das Verwaltungsverfahren, außer bei Gefahr im Verzug, bis zur Entscheidung der Datenschutzkommission auszusetzen (§ 38 AVG 1950). Gleichzeitig ist ein solches Verfahren zu beantragen.

Rechtsschutz des Betroffenen

§ 14. (1) Die Datenschutzkommission erkennt über Beschwerden von Personen, die behaupten, in ihren Rechten nach diesem Bundesgesetz oder den hiezu ergangenen Verordnungen verletzt zu sein, sowie über Anträge gemäß Abs. 3.

(2) Bei Gefahr im Verzug für den Beschwerdeführer kann die Datenschutzkommission die Benützung oder Übermittlung von Daten oder einzelne Verarbeitungsvorgänge untersagen.

(3) Wird in einem vor einer anderen Verwaltungsbehörde durchgeführten Verwaltungsverfahren von einer Partei behauptet, in ihren Rechten nach diesem Bundesgesetz oder den hiezu ergangenen Verordnungen verletzt zu sein, so hat die Verwaltungsbehörde, außer bei Gefahr im Verzug, ihr Verfahren bis zur Entscheidung dieser Vorfrage durch die Datenschutzkommission auszusetzen und gleichzeitig die Entscheidung bei der Datenschutzkommission zu beantragen.

AMTSWEGIGE VERFAHREN

§ 15. (1) Ergibt ein Verfahren nach § 14, daß auch andere Personen in ihren Rechten nach den Bestimmungen dieses Bundesgesetzes oder der auf Grund dieses Bundesgesetzes erlassenen Durchführungsbestimmungen verletzt wurden, so hat dies die Datenschutzkommission bescheidmäßig auszusprechen und dem Auftraggeber und dem Verarbeiter mitzuteilen. Dieser Bescheid ist von der Datenschutzkommission im Amtsblatt zur Wiener Zeitung kundzumachen.

(2) Der Auftraggeber oder der Verarbeiter haben dem Bescheid der Datenschutzkommission binnen einer von dieser festzusetzenden, angemessenen Frist zu entsprechen.

AMTSWEGIGE VERFAHREN

§ 15. (1) Ergibt ein Verfahren nach § 14, daß auch andere Personen in ihren Rechten nach den Bestimmungen dieses Bundesgesetzes oder der auf Grund dieses Bundesgesetzes erlassenen Durchführungsbestimmungen verletzt wurden, so hat dies die Datenschutzkommission bescheidmäßig auszusprechen und dem Auftraggeber und dem Dienstleister mitzuteilen. Dieser Bescheid ist von der Datenschutzkommission im Amtsblatt zur Wiener Zeitung kundzumachen.

(2) Der Auftraggeber oder der Dienstleister haben dem Bescheid der Datenschutzkommission binnen einer von dieser festzusetzenden, angemessenen Frist zu entsprechen.

VERBINDUNG EINGELEITETER VERFAHREN

§ 16. Wenn die Zweckmäßigkeit, Raschheit, Einfachheit und Kostenersparnis von Verfahren es erfordern, hat die Datenschutzkommission eingeleitete Verfahren, die denselben Auftraggeber oder Verarbeiter betreffen, zu verbinden.

Erscheint durch § 39 Abs. 2 AVG, BGBl. Nr. 51/1991, seit dem

1999 ganz oder teilweise derogiert, vgl. § 82 Abs. 7 AVG

idF BGBl. I Nr. 158/1998.

VERBINDUNG EINGELEITETER VERFAHREN

Abschnitt

PRIVATER BEREICH

ZULÄSSIGKEIT DER ERMITTLUNG UND VERARBEITUNG

§ 17. Daten dürfen zum Zwecke des automationsunterstützten Datenverkehrs durch einen nicht den Bestimmungen der §§ 4 und 5 unterliegenden Rechtsträger nur ermittelt und verarbeitet werden, soweit sich dies in Art und Umfang auf den berechtigten Zweck des Rechtsträgers beschränkt und hiebei schutzwürdige Interessen des Betroffenen, insbesondere im Hinblick auf Achtung seines Privat- und Familienlebens, beachtet werden.

Abschnitt

PRIVATER BEREICH

ZULÄSSIGKEIT DER ERMITTLUNG UND VERARBEITUNG

§ 17. (1) Daten dürfen von einem nicht den §§ 4 oder 5 unterliegenden Rechtsträger nur ermittelt und verarbeitet werden, soweit Inhalt und Zweck der Datenverarbeitung in seinem berechtigten Zweck gedeckt sind und hiebei schutzwürdige Interessen des Betroffenen, insbesondere im Hinblick auf die Achtung seines Privat- und Familienlebens, nicht verletzt werden.

(2) Für ausschließlich private Zwecke dürfen Daten dann verarbeitet werden, wenn sie dem Auftraggeber vom Betroffenen selbst mitgeteilt wurden oder dem Auftraggeber als Privatperson sonst rechtmäßigerweise, insbesondere in Übereinstimmung mit den §§ 7 und 18, zugekommen sind.

ZULÄSSIGKEIT DER ÜBERMITTLUNG

§ 18. (1) Die Übermittlung von Daten durch nicht den Bestimmungen der §§ 4 und 5 unterliegende Rechtsträger ist unter Beachtung der im § 17 genannten Bedingungen nur zulässig, soweit:

der Betroffene der Übermittlung ausdrücklich schriftlich zugestimmt hat, wobei ein schriftlicher Widerruf dieser Zustimmung möglich ist, oder

die Übermittlung von Daten zum berechtigten Zweck des Rechtsträgers gehört, oder

die Übermittlung zur Wahrung überwiegender berechtigter Interessen eines Dritten notwendig ist, oder

durch geeignete Maßnahmen sichergestellt ist, daß der Betroffene für den Empfänger der Daten nicht mehr bestimmbar ist.

(2) Abs. 1 findet keine Anwendung, soweit gesetzliche Verpflichtungen zur Übermittlung bestehen.

(3) Bestehende Verschwiegenheitspflichten werden durch die Zulässigkeit der Übermittlung gemäß Abs. 1 nicht berührt.

ZULÄSSIGKEIT DER ÜBERMITTLUNG

§ 18. (1) Die Übermittlung von gemäß § 17 Abs. 1 ermittelten und verarbeiteten Daten ist nur zulässig, soweit:

der Betroffene der Übermittlung ausdrücklich schriftlich zugestimmt hat, wobei ein schriftlicher Widerruf dieser Zustimmung möglich ist, oder

die Übermittlung von Daten zum berechtigten Zweck des Rechtsträgers gehört, oder

die Übermittlung zur Wahrung überwiegender berechtigter Interessen eines Dritten notwendig ist.

(2) Die Übermittlung von gemäß § 17 Abs. 2 verarbeiteten Daten ist nur mit Zustimmung des Betroffenen zulässig.

(3) Die Abs. 1 und 2 gelten nicht, wenn gesetzliche Verpflichtungen zur Übermittlung bestehen.

(4) Bestehende Verschwiegenheitspflichten werden durch die Zulässigkeit von Übermittlungen gemäß Abs. 1 oder 2 nicht berührt.

(5) Nicht registrierte Übermittlungen sind so zu protokollieren, daß dem Betroffenen Auskunft gemäß § 25 gegeben werden kann. Übermittlungen gemäß § 23 Abs. 4 bedürfen keiner Protokollierung.

DIENSTLEISTUNGEN IM DATENVERKEHR

§ 19. (1) Werden Daten zum Zwecke einer Dienstleistung einem anderen als dem gemäß § 17 berechtigten Rechtsträger überlassen, so hat der Verarbeiter die Daten und etwaige Ergebnisse der Verarbeitung ausschließlich dem Auftraggeber zurückzugeben oder nach dessen Auftrag zu übermitteln. Bei der Auftragserteilung sind die einzuhaltenden Verschwiegenheitspflichten und die besonderen Sorgfaltspflichten festzulegen.

(2) Gesetzliche oder vertragliche Verschwiegenheitspflichten, die der Auftraggeber zu beachten hat, sind auch vom Verarbeiter und seinen beschäftigten Personen einzuhalten. Diese Personen sind vor Aufnahme ihrer Tätigkeit zur Einhaltung der Verschwiegenheitspflichten ausdrücklich zu verpflichten.

DIENSTLEISTUNG IM DATENVERKEHR

§ 19. Dienstleister haben bei der Verwendung von Daten für den Auftraggeber folgende Pflichten:

die Daten ausschließlich im Rahmen der Aufträge des Auftraggebers zu verwenden; insbesondere ist die Übermittlung der verwendeten Daten ohne Auftrag des Auftraggebers verboten;

alle gemäß § 21 erforderlichen Sicherheitsmaßnahmen zu treffen;

den Auftraggeber von der beabsichtigten Heranziehung eines weiteren Dienstleisters so rechtzeitig zu verständigen, daß er dies allenfalls untersagen kann;

sofern dies nach der Art der Dienstleistung in Frage kommt - im Einvernehmen mit dem Auftraggeber die notwendigen technischen und organisatorischen Voraussetzungen für die Erfüllung der Auskunfts-, Richtigstellungs- und Löschungspflicht des Auftraggebers zu schaffen;

nach Beendigung der Dienstleistung alle Verarbeitungsergebnisse und Unterlagen, die Daten enthalten, dem Auftraggeber zu übergeben bzw. in dessen Auftrag zu vernichten oder für ihn weiter aufzubewahren;

dem Auftraggeber jene Informationen zur Verfügung zu stellen, die zur Kontrolle der Einhaltung der unter Z 1 bis 5 genannten Verpflichtungen notwendig sind.

DATENGEHEIMNIS

§ 20. (1) Automationsunterstützt verarbeitete Daten, die ausschließlich auf Grund einer berufsmäßigen Beschäftigung anvertraut wurden oder zugänglich geworden sind, dürfen unbeschadet sonstiger Verschwiegenheitspflichten nur auf Grund einer ausdrücklichen Anordnung des Auftrag- oder Arbeitgebers oder deren Beauftragten übermittelt werden (Datengeheimnis).

(2) Personen, denen berufsmäßig Daten anvertraut sind oder zugänglich gemacht werden, sind vor Aufnahme ihrer Tätigkeit zur Einhaltung des Datengeheimnisses ausdrücklich zu verpflichten. Die Pflicht zur Wahrung des Datengeheimnisses besteht auch nach Beendigung ihrer Tätigkeit.

(3) Weiterreichende gesetzliche Verschwiegenheitspflichten bleiben unberührt.

(4) Aus der Verweigerung der Ausführung eines Auftrages, der gegen das Datengeheimnis verstoßen würde, darf dem Arbeitnehmer kein Nachteil erwachsen.

(5) In einem behördlichen Verfahren nach diesem Bundesgesetz kann sich niemand seiner Zeugenpflichten unter Berufung auf das Datengeheimnis entschlagen.

DATENGEHEIMNIS

§ 20. (1) Daten aus Datenverarbeitungen, die ausschließlich auf Grund einer berufsmäßigen Beschäftigung anvertraut wurden oder zugänglich geworden sind, dürfen unbeschadet sonstiger Verschwiegenheitspflichten nur auf Grund einer ausdrücklichen Anordnung des Auftrag- oder Arbeitgebers oder dessen Vertreters übermittelt werden (Datengeheimnis).

(2) Auftraggeber und Dienstleister haben sich von ihren Mitarbeitern vertraglich ausdrücklich zusichern zu lassen, daß sie Daten aus Datenverarbeitungen nur auf Grund der Anordnungen gemäß Abs. 1 übermitteln werden und daß sie das Datengeheimnis auch nach Beendigung des Mitarbeiterverhältnisses zum Auftraggeber oder Dienstleister einhalten werden.

(3) Den Arbeitgeber trifft die Verantwortung für die Vollständigkeit und die datenschutzrechtliche Zulässigkeit der Übermittlungsanordnungen sowie darüber hinaus auch dafür, daß die Mitarbeiter über die für sie geltenden Übermittlungsanordnungen ausreichend informiert sind.

(4) Aus der Verweigerung der Ausführung eines Auftrages, der gegen § 18 verstoßen würde, darf dem Mitarbeiter kein Nachteil erwachsen.

(5) In einem behördlichen Verfahren kann sich niemand seiner Zeugenpflicht unter Berufung auf das Datengeheimnis entschlagen.

DATENSICHERUNG

§ 21. (1) Der Verarbeiter hat für den Datenverkehr unter Bedachtnahme auf die wirtschaftliche Vertretbarkeit und auf die technischen Möglichkeiten organisatorische, personelle, technische und bauliche Sicherungsmaßnahmen zu treffen. Diese Maßnahmen sollen je nach Art der Daten und der technischen Ausstattung sowie des Umfanges der Verarbeitung und Übermittlung sicherstellen, daß Daten Dritten rechtswidrig weder zur Kenntnis gelangen, noch übermittelt, noch durch nicht berechtigte Personen eingesehen, verarbeitet oder übermittelt werden können.

(2) Im Falle einer Dienstleistung nach § 19 hat der Verarbeiter von sich aus jene notwendigen Datensicherungsmaßnahmen (Abs. 1) zu treffen, die eine Durchführung des Auftrages entsprechend den ihm obliegenden gesetzlichen Verschwiegenheits- und besonderen Sorgfaltspflichten (§ 19 Abs. 1 letzter Satz) sicherstellen.

(3) Durch Verordnung des Bundeskanzlers können nach Anhörung des Datenschutzrates ÖNORMEN über das Mindestausmaß von Datensicherungsmaßnahmen nach den Abs. 1 oder 2, die unter sinngemäßer Anwendung des § 10 festgelegt wurden, für bestimmte Arten von Daten, für bestimmte Methoden der Verarbeitung oder Übermittlung oder für bestimmte Arten von Rechtsträgern für verbindlich erklärt werden.

(4) Die Verpflichtungen nach Abs. 1 und 2 gelten als erfüllt, wenn der Verarbeiter die nach Abs. 3 für solche Verarbeitungen oder Übermittlungen verbindlich erklärten ÖNORMEN eingehalten hat.

DATENSICHERHEITSMASSNAHMEN

§ 21. Auftraggeber und Dienstleister des privaten Bereichs haben die im Sinne des § 10 erforderlichen Datensicherheitsmaßnahmen zu treffen.

VERARBEITUNG FÜR EIGENE ZWECKE

§ 22. (1) Werden Daten von Personen verarbeitet, die mit dem Auftraggeber dieser Verarbeitung in einem Vertragsverhältnis stehen oder gestanden sind, so sind die Betroffenen bei der Aufnahme der Verarbeitung der Daten aus solchen Rechtsverhältnissen für eigene Zwecke darüber ausdrücklich deutlich lesbar zu informieren; dasselbe gilt für Vereine hinsichtlich der Daten ihrer Mitglieder.

(2) Diese Information hat außerdem folgende Angaben zu enthalten:

Name und Adresse des Auftraggebers, und

die Art der Daten, und

den Zweck der Verarbeitung, und

daß Übermittlungen nur zulässig sind bei gesetzlichen Verpflichtungen, für den Geld- und Zahlungsverkehr sowie - nach besonderer Zustimmung des Betroffenen - im Einzelfall an genau bezeichnete Empfänger.

(3) Übermittlungen aus Verarbeitungen gemäß Abs. 1 sind nur zulässig:

bei gesetzlichen Pflichten, oder

zur Abwicklung des Geld- und Zahlungsverkehrs, oder

bei besonderer Zustimmung des Betroffenen im Einzelfall und an einen dem Betroffenen genau bezeichneten Empfänger.

(4) Der Bundeskanzler kann nach Anhörung des Datenschutzrates durch Verordnung bestimmte Arten von Verarbeitungsbereichen, die unter Abs. 1 fallen, einer Registrierungspflicht nach § 23 unterwerfen, wenn die Wahrung der im § 1 dieses Bundesgesetzes genannten Rechte es erforderlich erscheinen läßt. Solche Verarbeitungen unterliegen dann nicht der Informationspflicht des Abs. 1.

(5) Auftraggeber können für Verarbeitungen, die unter Abs. 1 fallen, die Registrierung nach § 23 beantragen. Mit der Registrierung entfällt die Informationspflicht nach Abs. 1.

MELDUNG VON AUFTRAGGEBERN

§ 22. (1) Jeder Auftraggeber einer Datenverarbeitung im Sinne des § 17 Abs. 1 hat bei der erstmaligen Aufnahme einer Datenverarbeitung dem Datenverarbeitungsregister seinen Namen (sonstige Bezeichnung), die Anschrift und den berechtigten Zweck zur Eintragung zu melden und die zur Glaubhaftmachung dieser Angaben notwendigen Unterlagen vorzulegen. Änderungen dieser Umstände sind unverzüglich zu melden.

(2) Falls der Auftraggeber Standardverarbeitungen (§ 23 Abs. 4) durchführt, hat er darüber hinaus anzugeben, welche Standardverarbeitungen er vornimmt.

(3) Der Auftraggeber hat die ihm bei der Eintragung zugeteilte Registernummer (§ 23 b Abs. 2) bei der Übermittlung von Daten und bei Mitteilungen an den Betroffenen zu führen.

REGISTRIERUNG VON VERARBEITUNGEN

§ 23. (1) Auftraggeber von anderen als nach § 22 zulässigen Verarbeitungen haben beim Datenverarbeitungsregister (§ 47) vor der Aufnahme der Echtverarbeitung von Daten die Registrierung zu beantragen.

(2) Der Antrag hat folgende Angaben zu enthalten:

Name und Anschrift des Auftraggebers;

die gesetzlichen Bestimmungen, behördlichen Bescheide oder sonstigen Vorschriften, aus denen sich der berechtigte Zweck des Rechtsträgers ergibt (§ 17);

den Zweck der Verarbeitung;

die Art der zu verarbeitenden Daten und den Kreis der Betroffenen;

ob und welcher Art und an welchen Kreis von Empfängern Übermittlungen vorgesehen sind.

(3) Jeder im Rahmen einer Dienstleistung (§ 19) tätige Verarbeiter hat - sofern er nicht über eine Gewerbeberechtigung nach § 103 Abs. 1 lit. a Z 2 der Gewerbeordnung 1973 verfügt - beim Datenschutzregister vor der erstmaligen Übernahme von Verarbeitungen die Registrierung zu beantragen. Auf diesen Antrag sind Abs. 2 Z 2 und 3 sinngemäß anzuwenden; weiters ist im Antrag der Kreis der Auftraggeber, für den Dienstleistungen verrichtet werden sollen, anzugeben. Eintragungen in die Gewerberegister, die sich auf Gewerbe nach § 103 Abs. 1 lit. a Z 2 der Gewerbeordnung 1973 beziehen, sind dem Datenverarbeitungsregister mitzuteilen.

(4) Die Registrierung ist binnen sechs Wochen nach Einlangen des Antrages vorzunehmen.

(5) Die Ablehnung der Registrierung hat nach Anhörung des Österreichischen Statistischen Zentralamtes durch Bescheid der Datenschutzkommission zu erfolgen, wenn

die beabsichtigte Verarbeitung einer behördlichen Bewilligung nach dem 4. Abschnitt bedürfte und diese nicht erteilt ist, oder

der Antrag unvollständig ist und dieser Mangel binnen angemessener Frist nicht behoben wird.

MELDUNG VON DATENVERARBEITUNGEN UND ÜBERMITTLUNGEN

§ 23. (1) Auftraggeber haben, außer in den Fällen des Abs. 4, bei Aufnahme einer Datenverarbeitung diese dem Datenverarbeitungsregister zur Registrierung zu melden.

(2) Die Meldung hat zu enthalten:

den Namen (die sonstige Bezeichnung) und die Anschrift des Auftraggebers;

die Registernummer des Auftraggebers, sofern ihm eine solche bereits zugeteilt wurde;

den Zweck der zu registrierenden Datenverarbeitung;

die Kreise der von der Datenverarbeitung Betroffenen und die über sie verarbeiteten Datenarten;

im Falle vorgesehener Datenübermittlungen - die Kreise der von der Übermittlung Betroffenen, die zu übermittelnden Datenarten und die zugehörigen Empfängerkreise sowie - wenn Übermittlungen ins Ausland vorgesehen sind - die Angabe des Empfängerstaates;

soweit eine Genehmigung für den internationalen Datenverkehr gemäß den §§ 32 bis 34 einzuholen war - die Geschäftszahl der Genehmigung der Datenschutzkommission.

(3) Die Abs. 1 und 2 gelten sinngemäß für Änderungen in gemeldeten Datenverarbeitungen.

(4) Der Bundeskanzler kann durch Verordnung nach Anhörung des Datenschutzrates Typen von Datenverarbeitungen und Übermittlungen aus diesen zu Standardverarbeitungen erklären, wenn sie von einer großen Anzahl von Auftraggebern in gleichartiger Weise vorgenommen werden und ihr Inhalt durch Gesetz oder durch Vertrag mit dem Betroffenen vorgegeben ist. Diese Standardverarbeitungen sind von der Meldungspflicht ausgenommen. In dieser Verordnung kann aber ausnahmsweise die Meldungspflicht angeordnet werden, wenn dies im Hinblick auf schutzwürdige Geheimhaltungsinteressen der Betroffenen geboten erscheint.

MÄNGELRÜGEVERFAHREN

§ 23a. (1) Das Datenverarbeitungsregister hat innerhalb einer Frist von höchstens zwei Monaten dem Auftraggeber die Verbesserung unter gleichzeitiger Setzung einer angemessenen Verbesserungsfrist aufzutragen, wenn eine Meldung mangelhaft im Sinne des § 8a Abs. 2 erscheint.

(2) Kommt das Datenverarbeitungsregister bei Prüfung der Meldung zur Auffassung, daß mangels Rechtsgrundlage einer Datenverarbeitung schutzwürdige Geheimhaltungsinteressen der Betroffenen wesentlich gefährdet erscheinen, so hat es dies der Datenschutzkommission unverzüglich mitzuteilen; die Datenschutzkommission hat, wenn sie die Bedenken des Datenverarbeitungsregisters teilt, die vorläufige Einstellung der gesamten oder eines Teiles der Datenverarbeitung mit Bescheid zu verfügen.

(3) Bescheide gemäß Abs. 2 verlieren ihre Wirksamkeit mit der Erledigung des Mängelrügeverfahrens gemäß Abs. 4, längstens aber nach 6 Monaten.

(4) Wird einem Verbesserungsauftrag des Datenverarbeitungsregisters nicht fristgerecht entsprochen, so hat das Datenverarbeitungsregister die Meldung der Datenschutzkommission vorzulegen. Dabei sind die behaupteten Mängel zu begründen. Stellt die Datenschutzkommission die Mangelhaftigkeit der Meldung fest, so hat sie mit Bescheid die Registrierung abzulehnen und die Weiterführung der Datenverarbeitung zu untersagen; andernfalls hat sie dem Datenverarbeitungsregister die Registrierung aufzutragen.

REGISTRIERUNG

§ 23b. (1) Meldungen nach den §§ 8, 22 und 23 sind in das Datenverarbeitungsregister einzutragen, wenn

nicht innerhalb von zwei Monaten nach Einlangen der Meldung ein Verbesserungsauftrag erteilt wurde,

der Auftraggeber die verlangten Verbesserungen fristgerecht vorgenommen hat, oder

die Registrierung dem Datenverarbeitungsregister von der Datenschutzkommission aufgetragen wurde.

(2) Dem Auftraggeber ist die Durchführung der Registrierung unter Beifügung des ihn betreffenden Registerauszuges schriftlich mitzuteilen. Die Mitteilung hat auch die dem Auftraggeber zugeteilte Registernummer zu enthalten.

(3) Durch die Eintragung einer Datenverarbeitung im Register wird der Entscheidung der zuständigen Behörde über die Rechtmäßigkeit der registrierten Datenverarbeitung nicht vorgegriffen.

(4) Streichungen und Änderungen sind im Datenverarbeitungsregister auf Antrag des Eingetragenen oder auf Grund eines im Verfahren nach Abs. 5 ergangenen Bescheides der Datenschutzkommission vorzunehmen.

(5) Werden dem Datenverarbeitungsregister nachträglich Umstände bekannt, die eine Mangelhaftigkeit von registrierten Meldungen bewirken, so hat das Datenverarbeitungsregister von Amts wegen ein Mängelrügeverfahren einzuleiten. Hiefür gilt § 23a mit der Maßgabe, daß die Datenschutzkommission im Falle der Änderung von Namen oder Adressen mit Bescheid eine Berichtigung verfügen kann. Die Durchführung eines Mängelrügeverfahrens ist bis zum Abschluß dieses Verfahrens im Register anzumerken.

(6) Der Bundeskanzler hat nach Anhörung des Datenschutzrates durch Verordnung nähere Bestimmungen über die Registrierung zu erlassen. Dabei ist auf die Übersichtlichkeit der Eintragungen und die Einfachheit der Einsichtnahme in das Register Bedacht zu nehmen.

GEBÜHREN

§ 24. Mit dem Antrag auf Registrierung (§ 23) ist eine Gebühr zu entrichten, deren Höhe durch eine vom Bundeskanzler nach Anhörung des Datenschutzrates zu erlassende Verordnung festzulegen ist. Die Gebühren sind so festzulegen, daß der mit den Aufgaben der Registrierung verbundene Verwaltungsaufwand im Durchschnitt gedeckt wird.

REGISTRIERUNGSGEBÜHR

§ 24. (1) Für die Inanspruchnahme des Datenverarbeitungsregisters gemäß §§ 22 und 23 ist eine Gebühr zu entrichten, deren Bezahlung bei Vorlage der Meldung nachzuweisen ist. Die Art der Entrichtung der Gebühr ist vom Bundeskanzler nach Anhörung des Datenschutzrates durch Verordnung zu regeln. Die Gebühr beträgt für jede Erstmeldung, die sich nicht ausschließlich auf Standardverarbeitungen bezieht, 700 S, für jede Änderungsmeldung und für jede Meldung, die sich ausschließlich auf Standardverarbeitungen bezieht, 150 S.

(2) Die Registrierungsgebühr ist von der Datenschutzkommission mit Bescheid vorzuschreiben, wenn ihre Bezahlung bei Vorlage der Meldung nicht nachgewiesen wird.

(3) Meldungen, die die gänzliche Streichung des Auftraggebers aus dem Register oder bloße Namens- oder Adreßänderungen beim Auftraggeber zum Gegenstand haben, sind gebührenfrei.

AUSKUNFTSRECHT

§ 25. (1) Ein Betroffener kann bei Nachweis seiner Identität beim Auftraggeber Auskunft über die zu seiner Person gespeicherten Daten und über deren Herkunft verlangen. Wurden diese Daten übermittelt, kann der Betroffene auch Auskunft über die Empfänger verlangen. Die Auskunft ist binnen vier Wochen schriftlich in allgemein verständlicher Form zu erteilen, sofern der Betroffene nicht mit einer mündlichen Auskunft einverstanden ist. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft die Einsichtnahme und die Möglichkeit der Abschrift oder Ablichtung gegeben werden.

(2) Werden Daten nach § 19 verarbeitet, so sind in der Auskunft auch Name und Anschrift des Verarbeiters anzugeben.

(3) Für die schriftliche Auskunft kann ein Entgelt verlangt werden, das über die notwendigen aus der Verarbeitung des Auskunftsantrages tatsächlich erwachsenden Kosten nicht hinausgehen darf. Ein etwa geleistetes Entgelt ist ungeachtet weiterer Schadenersatzansprüche zurückzuerstatten, wenn Daten rechtswidrig ermittelt, verarbeitet oder übermittelt wurden oder wenn die Auskunft sonst zu einer Richtigstellung führte.

(4) Gesetzliche Verschwiegenheitspflichten bleiben unberührt.

(5) Eine Auskunft muß nicht erteilt werden, soweit dadurch überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten gefährdet werden und dies dem Betroffenen gegenüber begründet wird.

(6) Wird dem Ersuchen um Auskunft nicht nachgekommen, so ist dies dem Betroffenen unter Angabe der Gründe binnen vier Wochen schriftlich mitzuteilen.

AUSKUNFTSRECHT

(2) Werden Daten nach § 19 verarbeitet, so sind in der Auskunft auch Name und Anschrift des Dienstleisters anzugeben.

(3) Der Betroffene hat am Verfahren mitzuwirken. Er hat diejenigen Datenverarbeitungen zu bezeichnen, bezüglich derer er Betroffener sein kann, oder glaubhaft zu machen, daß er irrtümlich oder mißbräuchlich in Datenbeständen des Auftraggebers enthalten ist.

(4) Die Erteilung einer Auskunft nach Abs. 1 hat unentgeltlich zu erfolgen, wenn sie den aktuellen Datenbestand betrifft und wenn der Auskunftswerber im laufenden Jahr noch kein Auskunftsersuchen an den Auftraggeber betreffend dasselbe Aufgabengebiet gestellt hat. In allen anderen Fällen kann für die Auskunft ein Entgelt verlangt werden, das über die notwendigen aus der Verarbeitung des Auskunftsantrages tatsächlich erwachsenden Kosten nicht hinausgehen darf. Von der Bearbeitung des Auskunftsersuchens kann abgesehen werden, wenn der Betroffene nicht gemäß Abs. 3 am Verfahren mitwirkt oder das Entgelt nicht entrichtet wurde. Ein etwa geleistetes Entgelt ist ungeachtet weiterer Schadenersatzansprüche zurückzuerstatten, wenn Daten rechtswidrig verwendet wurden oder wenn die Auskunft sonst zu einer Richtigstellung geführt hat.

(5) Gesetzliche Verschwiegenheitspflichten bleiben unberührt.

(6) Eine Auskunft muß nicht erteilt werden, soweit dadurch überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten gefährdet werden und dies dem Betroffenen gegenüber begründet wird.

(7) Wird dem Ersuchen um Auskunft nicht nachgekommen, so ist dies dem Betroffenen unter Angabe der Gründe binnen vier Wochen schriftlich mitzuteilen.

(8) Ab dem Zeitpunkt der Kenntnis eines Auskunftsverlangens darf der Auftraggeber - außerhalb regelmäßig stattfindender und im vorhinein angeordneter Löschungsvorgänge - diese Daten innerhalb eines Zeitraumes von vier Monaten, im Falle der Klage gemäß § 29 bis zum rechtskräftigen Abschluß des Verfahrens nicht löschen.

PFLICHT ZUR RICHTIGSTELLUNG

§ 26. (1) Daten sind über begründetes Ansuchen des Betroffenen richtigzustellen, wenn sie unrichtig oder unvollständig sind. § 12 Abs. 3, 5, 7 und 8 sind sinngemäß anzuwenden.

(2) Bei der Übermittlung und Benützung von Daten, deren Richtigkeit vom Betroffenen bestritten wurde, und bei denen keine Einigung über ihre Richtigkeit oder Unrichtigkeit erzielt werden konnte, ist über Verlangen des Betroffenen ein Vermerk über die Bestreitung beizufügen. Dieser Vermerk darf ohne Zustimmung des Betroffenen nur auf Grund eines rechtskräftigen Urteils gelöscht werden. Ist das Richtigstellungsbegehren (Abs. 1) gerichtlich geltend gemacht, die Klage aber abgewiesen worden, so ist über Verlangen des Auftraggebers im Urteil die Löschung des Vermerks anzuordnen. Der Auftraggeber kann auch unter Nachweis der Richtigkeit der Daten (§ 12 Abs. 5) den Anspruch auf Löschung des Bestreitungsvermerkes gerichtlich geltend machen.

PFLICHT ZUR RICHTIGSTELLUNG

§ 26. (1) Daten sind über begründetes Ansuchen des Betroffenen richtigzustellen, wenn sie unrichtig oder unvollständig sind. § 12 Abs. 3, 5, 7 und 8 sind sinngemäß anzuwenden. Wenn aus Gründen der Wirtschaftlichkeit die physische Richtigstellung von Daten auf ausschließlich automationsunterstützt lesbaren Datenträgern nur zu bestimmten Zeitpunkten vorgenommen werden kann, so sind diese Daten bis dahin logisch und sodann physisch richtigzustellen.

PFLICHT ZUR LÖSCHUNG

§ 27. Daten sind zu löschen, wenn

ihre Erfassung oder Speicherung rechtswidrig ist, oder

auf Antrag des Betroffenen, wenn ihre Erfassung oder Speicherung für die Erfüllung der Zwecke der Verarbeitung nicht mehr erforderlich ist und dem nicht überwiegende berechtigte Interessen des Auftraggebers, eines Dritten oder gesetzliche Aufbewahrungspflichten entgegenstehen.

PFLICHT ZUR LÖSCHUNG

§ 27. (1) Daten sind zu löschen, wenn

ihre Erfassung oder Speicherung rechtswidrig ist, oder

auf Antrag des Betroffenen, wenn ihre Erfassung oder Speicherung für die Erfüllung der Zwecke der Datenverarbeitung nicht mehr erforderlich ist und dem nicht überwiegende berechtigte Interessen des Auftraggebers, eines Dritten oder gesetzliche Aufbewahrungspflichten entgegenstehen.

(2) Wenn aus Gründen der Wirtschaftlichkeit die physische Löschung von Daten auf ausschließlich automationsunterstützt lesbaren Datenträgern nur zu bestimmten Zeitpunkten vorgenommen werden kann, so sind diese Daten bis dahin logisch und sodann physisch zu löschen.

ZIVILRECHTLICHE HAFTUNG

§ 28. (1) Ansprüche gegen nicht den Bestimmungen der §§ 4 und 5 unterliegende Rechtsträger, wie sie sich aus diesem Abschnitt dieses Bundesgesetzes ergeben, sind auf dem ordentlichen Rechtsweg geltend zu machen.

(2) Sind Daten entgegen den Bestimmungen dieses Bundesgesetzes oder den auf Grund dieses Bundesgesetzes erlassenen Durchführungsbestimmungen verarbeitet, benützt oder übermittelt worden, so hat der Betroffene, unbeschadet etwaiger Ansprüche auf Schadenersatz, Anspruch auf Unterlassung und Beseitigung des diesem Bundesgesetz oder den auf Grund dieses Bundesgesetzes erlassenen Durchführungsbestimmungen widerstreitenden Zustandes.

ZIVILGERICHTLICHES VERFAHREN

§ 29. (1) Für Klagen nach diesem Bundesgesetz ist in erster Instanz das mit der Ausübung der Gerichtsbarkeit in bürgerlichen Rechtssachen betraute Landesgericht des Landes, in dem der Betroffene seinen gewöhnlichen Aufenthalt oder Sitz hat, zuständig. Klagen des Betroffenen können auch beim Landesgericht des Landes erhoben werden, in dem der Auftraggeber seinen gewöhnlichen Aufenthalt oder Sitz hat. Liegt der gewöhnliche Aufenthalt oder Sitz in Niederösterreich, ist das Landesgericht für Zivilrechtssachen Wien ausschließlich zuständig. Dieses Gericht ist auch zuständig, wenn sonst keine Zuständigkeit im Inland nach dem ersten Satz gegeben ist.

(2) Die Datenschutzkommission hat in gerichtlichen Verfahren, die Ansprüche aus diesem Bundesgesetz zum Gegenstand haben, sofern sie nicht selbst Parteistellung hat, über Ersuchen des Gerichtes Gutachten über technische und organisatorische Fragen des Datenschutzes abzugeben.

(3) Die Datenschutzkommission hat, wenn ein Betroffener es verlangt und es zur Wahrung der nach diesem Bundesgesetz geschützten Interessen des Datenschutzes und einer größeren Zahl von Betroffenen geboten ist, einem Rechtsstreit auf Seiten des Betroffenen als Nebenintervenient (§§ 17 ff. ZPO) beizutreten.

(4) Das Gericht kann im Urteil aussprechen, daß Entscheidungen im Datenverarbeitungsregister einzutragen sind, wenn es zur Wahrung der nach diesem Bundesgesetz geschützten Interessen des Datenschutzes und einer größeren Zahl von Betroffenen geboten ist.

ZIVILGERICHTLICHES VERFAHREN

(2) Auf Klagen nach diesem Bundesgesetz, die eine Arbeitsrechtssache im Sinne des § 50 des Arbeits- und Sozialgerichtsgesetzes, BGBl. Nr. 104/1985, zum Gegenstand haben, ist das genannte Gesetz anzuwenden; hinsichtlich der Zuständigkeit ist jedoch der Abs. 1 sinngemäß anzuwenden.

(3) Die Datenschutzkommission hat in gerichtlichen Verfahren, die Ansprüche aus diesem Bundesgesetz zum Gegenstand haben, sofern sie nicht selbst Parteistellung hat, über Ersuchen des Gerichtes Gutachten über technische und organisatorische Fragen des Datenschutzes abzugeben.

(4) Die Datenschutzkommission hat, wenn ein Betroffener es verlangt und es zur Wahrung der nach diesem Bundesgesetz geschützten Interessen des Datenschutzes und einer größeren Zahl von Betroffenen geboten ist, einem Rechtsstreit auf Seiten des Betroffenen als Nebenintervenient (§§ 17 ff. ZPO) beizutreten.

(5) Das Gericht kann im Urteil aussprechen, daß Entscheidungen im Datenverarbeitungsregister einzutragen sind, wenn es zur Wahrung der nach diesem Bundesgesetz geschützten Interessen des Datenschutzes und einer größeren Zahl von Betroffenen geboten ist.

ZIVILGERICHTLICHES VERFAHREN

§ 29. (1) Für Klagen nach diesem Bundesgesetz ist in erster Instanz nur das mit der Ausübung der Gerichtsbarkeit in bürgerlichen Rechtssachen betraute Landesgericht zuständig, in dessen Sprengel der Betroffene seinen gewöhnlichen Aufenthalt oder Sitz hat. Klagen des Betroffenen können aber auch bei dem Landesgericht erhoben werden, in dessen Sprengel der Auftraggeber oder der Dienstleister seinen gewöhnlichen Aufenthalt oder Sitz hat.

EINSTWEILIGE VERFÜGUNGEN

§ 30. Zur Sicherung der auf dieses Bundesgesetz gestützten Ansprüche auf Unterlassung können einstweilige Verfügungen erlassen werden, auch wenn die im § 381 EO bezeichneten Voraussetzungen nicht zutreffen. Zuständig zur Erlassung von einstweiligen Verfügungen, die vor Einleitung eines Rechtsstreites beantragt werden, ist das im § 29 Abs. 1 bezeichnete Landesgericht.

EINSTWEILIGE VERFÜGUNGEN

Zuständig zur Erlassung von einstweiligen Verfügungen, die vor Einleitung eines Rechtsstreites beantragt werden, sind die im § 29 Abs. 1 und 2 bezeichneten Landesgerichte, in Arbeitsrechtssachen als Arbeits- und Sozialgerichte, beziehungsweise das Arbeits- und Sozialgericht Wien.

RECHTE DES BETRIEBSRATES

§ 31. Die Einsichtsrechte des Betriebsrates nach § 89 Z 1 und, bei Zustimmung des Arbeitnehmers, nach § 89 Z 4 des Arbeitsverfassungsgesetzes (BGBl. Nr. 22/1974) und die Zustimmungsrechte des Betriebsrates nach § 96 Abs. 1 des Arbeitsverfassungsgesetzes werden durch dieses Bundesgesetz nicht berührt. Das Datengeheimnis ist auch von den Mitgliedern des Betriebsrates zu wahren.

RECHTE DES BETRIEBSRATES

§ 31. Die dem Betriebsrat nach dem Arbeitsverfassungsgesetz zustehenden Befugnisse werden durch dieses Bundesgesetz nicht berührt. Das Datengeheimnis (§ 20) ist auch von den Mitgliedern des Betriebsrates zu wahren.

Abschnitt

INTERNATIONALER DATENVERKEHR

VORAUSSETZUNGEN FÜR ÜBERLASSUNGEN

VON DATEN IN DAS AUSLAND

§ 32. (1) Die Überlassung von automationsunterstützt verarbeiteten Daten aus Österreich durch die in den §§ 4, 5 und 17 genannten Rechtsträger in das Ausland ist unter den in § 7 oder § 18 genannten Voraussetzungen zulässig. Sie bedarf der Genehmigung der Datenschutzkommission.

(2) In folgenden Fällen bedarf jedoch die Überlassung durch unter den 3. Abschnitt fallende Rechtsträger keiner Genehmigung der Datenschutzkommission:

wenn es sich um Überlassungen von Daten des Auftraggebers als Betroffenen handelt, oder

wenn die Überlassung in einen Staat, in dem auf die Daten ein diesem Bundesgesetz vergleichbarer Datenschutz Anwendung findet, erfolgt, oder

wenn dies in völkerrechtlichen Vereinbarungen vorgesehen ist.

(3) Eine nach Abs. 1 notwendige Genehmigung ist zu erteilen, wenn

nicht öffentliche Interessen einschließlich völkerrechtlicher Verpflichtungen entgegenstehen, und

die Überlassung den Erfordernissen des § 7 oder § 18 entspricht, und

glaubhaft gemacht wird, daß durch die Überlassung in das Ausland schutzwürdige Interessen des Betroffenen nicht beeinträchtigt werden, und

soweit eine Überlassung in das Ausland zum Zwecke der Verarbeitung als Dienstleistung (§ 19) erfolgt, durch entsprechende Vereinbarungen sichergestellt wird, daß den Bestimmungen des § 19 entsprochen wird.

(4) Soweit gemäß §§ 8 oder 23 eine Registrierungspflicht besteht, bedürfen auch Überlassungen in das Ausland einer Registrierung (§ 47 Abs. 4 und 5).

(5) Durch Verordnung des Bundeskanzlers ist nach Anhörung der Datenschutzkommission festzustellen, inwieweit eine Gleichwertigkeit ausländischer Datenschutzbestimmungen (Abs. 1 Z 2) gegeben ist. Dabei ist insbesondere auf die Wahrung der schutzwürdigen Interessen der Betroffenen Bedacht zu nehmen.

Abschnitt

INTERNATIONALER DATENVERKEHR

ÜBERMITTLUNG UND ÜBERLASSUNG VON DATEN IN DAS AUSLAND

§ 32. (1) Die Übermittlung und Überlassung von Daten in Staaten mit Datenschutzbestimmungen, die den österreichischen gleichwertig sind, bedürfen keiner Genehmigung durch die Datenschutzkommission. Inwieweit diese Gleichwertigkeit gegeben ist, wird durch Verordnung des Bundeskanzlers nach Anhörung der Datenschutzkommission festgestellt.

(2) Übermittlungen und Überlassungen in andere Staaten sind genehmigungsfrei, wenn

sie auf Grund gesetzlicher oder völkerrechtlicher Bestimmungen erfolgen, in welchen die zu übermittelnden oder zu überlassenden Datenarten und die Empfänger ausdrücklich genannt sind, oder

der Betroffene um die Übermittlung schriftlich ersucht hat, wobei dieses Ersuchen schriftlich widerrufen werden kann, oder

die Daten im Inland zulässigerweise veröffentlicht wurden oder

es sich um solche Übermittlungen oder Überlassungen handelt, die durch Verordnung des Bundeskanzlers nach Anhörung des Datenschutzrates für genehmigungsfrei erklärt wurden, weil sie von einer großen Anzahl von Auftraggebern in gleichartiger Weise vorgenommen werden, ihr Inhalt durch Gesetz oder durch Vertrag mit dem Betroffenen vorgegeben ist und im Hinblick auf schutzwürdige Geheimhaltungsinteressen der Betroffenen eine Prüfung durch die Datenschutzkommission nicht dennoch geboten erscheint (Standardübermittlungen und Standardüberlassungen).

(3) Voraussetzung für die Zulässigkeit von genehmigungsfreien Übermittlungen und Überlassungen in das Ausland ist jedoch die Einhaltung der §§ 6, 7, 17 und 18 sowie - bei Überlassungen ins Ausland - die schriftliche Zusage des Dienstleisters, die im § 19 aufgezählten Pflichten einzuhalten.

VERARBEITUNG IN ÖSTERREICH FÜR DAS AUSLAND

§ 33. Die Verarbeitung von Daten in Österreich für ausländische Rechtsträger ist dem Datenverarbeitungsregister zu melden (§ 47 Abs. 4 und 5). Sie unterliegt einer Genehmigung der Datenschutzkommission, soweit dies in völkerrechtlichen Vereinbarungen vorgesehen ist.

GENEHMIGUNG VON ÜBERMITTLUNGEN IN DAS AUSLAND

§ 33. (1) In den nicht dem § 32 unterliegenden Fällen ist vor der Übermittlung von Daten in das Ausland eine Genehmigung der Datenschutzkommission einzuholen.

(2) Die Genehmigung ist zu versagen, wenn

die Datenverarbeitung, aus der in das Ausland übermittelt werden soll, rechtswidrig ist oder

die Voraussetzungen der §§ 7 oder 18 nicht gegeben sind oder

Bedenken bestehen, daß schutzwürdige Geheimhaltungsinteressen der Betroffenen durch den Datenverkehr im Ausland gefährdet sind oder

öffentliche Interessen einschließlich völkerrechtlicher Verpflichtungen entgegenstehen.

(3) Die Datenschutzkommission hat eine Ausfertigung jedes Bescheides, mit dem eine Übermittlung von Daten in das Ausland genehmigt wurde, dem Datenverarbeitungsregister zuzumitteln; die Bescheidausfertigung ist zum Registrierungsakt zu nehmen.

DIREKTER ZUGRIFF ZU DATEN

§ 34. (1) § 32 findet auch Anwendung, wenn nur ein Arbeitsgang der Verarbeitung im Ausland oder für das Ausland stattfindet oder ein direkter Zugriff auf im Bundesgebiet gelegene Anlagen der automationsunterstützten Datenverarbeitung aus dem Ausland möglich ist.

(2) Wenn vom Bundesgebiet aus ein direkter Zugriff auf in Anlagen der automationsunterstützten Verarbeitung im Ausland gespeicherte Daten möglich ist, findet § 33 Anwendung.

GENEHMIGUNG VON DIENSTLEISTUNGEN IM AUSLAND

§ 34. (1) In den nicht dem § 32 unterliegenden Fällen ist vor der Überlassung von Daten in das Ausland zum Zweck der Erbringung einer Dienstleistung eine Genehmigung der Datenschutzkommission einzuholen.

(2) Die Genehmigung ist zu versagen, wenn

die Datenverarbeitung, aus der in das Ausland übermittelt werden soll, rechtswidrig ist oder

der Dienstleister im Ausland dem Antragsteller die Einhaltung der im § 19 aufgezählten Pflichten nicht schriftlich zugesagt hat oder

Bedenken bestehen, daß schutzwürdige Geheimhaltungsinteressen der Betroffenen durch den Datenverkehr im Ausland gefährdet sind oder

öffentliche Interessen einschließlich völkerrechtlicher Verpflichtungen entgegenstehen.

(3) Die Datenschutzkommission hat eine Ausfertigung jedes Bescheides, mit dem eine Überlassung von Daten in das Ausland genehmigt wurde, dem Datenverarbeitungsregister zuzumitteln; die Bescheidausfertigung ist zum Registrierungsakt zu nehmen.

Abschnitt

DATENSCHUTZKOMMISSION, DATENSCHUTZRAT UND

DATENVERARBEITUNGSREGISTER

KONTROLLORGANE

§ 35. (1) Zur Wahrung des Datenschutzes im Sinne dieses Bundesgesetzes - unbeschadet der Zuständigkeit der ordentlichen Gerichte - werden eine Datenschutzkommission und ein Datenschutzrat eingerichtet.

(2) Die Geschäftsführung der in Abs. 1 genannten Organe obliegt dem Bundeskanzleramt. Der Bundeskanzler hat diesen Organen das notwendige Personal auf Vorschlag des Datenschutzrates zur Verfügung zu stellen. Im Rahmen ihrer Tätigkeit für diese Organe sind solche Personen an die Weisungen des jeweiligen Vorsitzenden oder der in den Geschäftsordnungen bezeichneten Mitglieder der in Abs. 1 genannten Organe gebunden.

Abs. 2 und 5: Verfassungsbestimmung

AUFGABEN DER DATENSCHUTZKOMMISSION

§ 36. (1) Der Datenschutzkommission obliegen - abgesehen von den in den § 9 Abs. 1, § 9 Abs. 2, § 10 Abs. 1, § 12 Abs. 2 Z 4, § 13 Abs. 3, § 16, § 37, § 38 Abs. 6, § 39 Abs. 1, § 44 Abs. 2, § 45 Abs. 3 und 4, § 50 Abs. 5 und § 52 Abs. 3 genannten Befugnissen - folgende Aufgaben:

die Durchführung von Beschwerdeverfahren (§ 14) und von Verfahren nach § 12 Abs. 10;

die amtswegige Einleitung und Durchführung von Verfahren nach § 15;

die Erlassung von mit Eintragungen in das Datenverarbeitungsregister zusammenhängenden Bescheiden (§ 47);

die Erteilung der für den internationalen Datenverkehr notwendigen Bewilligungen (§§ 32 bis 34);

die Erlassung ihrer Geschäftsordnung.

(2) (Verfassungsbestimmung) Weiters obliegen der Datenschutzkommission die Abfassung der Berichte nach § 46 Abs. 1, von Empfehlungen nach § 41, Gutachten oder Zustimmungen zu Entwürfen von Rechtsvorschriften, die die Verarbeitung personenbezogener Daten betreffen, und zu Maßnahmen nach § 13 sowie Beteiligungen an gerichtlichen Verfahren.

(3) Auf das behördliche Verfahren der Datenschutzkommission ist das AVG 1950, im Verfahren nach § 50 Abs. 5 das VStG 1950 anzuwenden.

(4) Entscheidungen der Datenschutzkommission unterliegen nicht der Aufhebung oder Abänderung im Verwaltungswege. Die Beschwerde an den Verwaltungsgerichtshof ist zulässig.

(5) (Verfassungsbestimmung) Die Beschwerde an den Verwaltungsgerichtshof ist auch zulässig in den Fällen des Art. 130 Abs. 1 lit. c B-VG.

Abs. 4: Verfassungsbestimmung

AUFGABEN DER DATENSCHUTZKOMMISSION

§ 36. (1) Der Datenschutzkommission obliegen - abgesehen von den in den §§ 8a, 9, 12, 13, 16, 23a, 23b, 24, 32, 37, 38, 39, 44, 45, 50 und 52 genannten Befugnissen - folgende Aufgaben:

die Durchführung von Beschwerdeverfahren (§ 14) und von Verfahren nach § 12 Abs. 10;

die amtswegige Einleitung und Durchführung von Verfahren nach § 15;

die Erlassung von mit Eintragungen in das Datenverarbeitungsregister zusammenhängenden Bescheiden (§ 47);

die Erteilung der für den internationalen Datenverkehr notwendigen Bewilligungen (§§ 32 bis 34);

die Erlassung ihrer Geschäftsordnung.

(2) Weiters obliegen der Datenschutzkommission die Abfassung der Berichte nach § 46 Abs. 1, von Empfehlungen nach § 41, sowie Beteiligungen an gerichtlichen Verfahren.

(3) Entscheidungen der Datenschutzkommission unterliegen nicht der Aufhebung oder Abänderung im Verwaltungswege. Die Beschwerde an den Verwaltungsgerichtshof ist zulässig.

(4) (Verfassungsbestimmung) Die Beschwerde an den Verwaltungsgerichtshof ist auch zulässig in den Fällen des Art. 130 Abs. 1 lit. c B-VG.

Abs. 1: Verfassungsbestimmung

AUFGABEN DER DATENSCHUTZKOMMISSION

§ 36. (1) (Verfassungsbestimmung) Die Datenschutzkommission entscheidet:

Dieses Dokument ersetzt nicht die offizielle Publikation im Bundesgesetzblatt. Für eventuelle Ungenauigkeiten bei der Übertragung in dieses Format wird keine Haftung übernommen.

Dieser Text wird zu den eigenen Weiterverwendungsbedingungen von RIS veröffentlicht, nicht unter einer Legalize-Lizenz oder einer Public-Domain-Lizenz. RIS
CC BY 4.0 (Creative Commons Namensnennung 4.0 International)
Quelle: RIS – Rechtsinformationssystem des Bundes, Bundeskanzleramt der Republik Österreich (https://www.ris.bka.gv.at/). Lizenziert unter CC BY 4.0 (Creative Commons Namensnennung 4.0 International). Aus den Daten können keinerlei Rechtsansprüche abgeleitet werden.