Verordnung des Bundesministers für Land- und Forstwirtschaft vom 27. Mai 1988 zur Durchführung des Datenschutzgesetzes im Wirkungsbereich des Bundesministeriums für Land- und Forstwirtschaft (Datenschutzverordnung des Bundesministers für Land- und Forstwirtschaft - LFDSV)

Präambel/Promulgationsklausel

Auf Grund des § 9 Abs. 1 des Datenschutzgesetzes (DSG), BGBl. Nr. 565/1978, in der Fassung des Bundesgesetzes BGBl. Nr. 314/1981, der Kundmachung BGBl. Nr. 577/1982, des Bundesgesetzes BGBl. Nr. 370/1986, des Bundesgesetzes BGBl. Nr. 605/1987 und des Bundesgesetzes BGBl. Nr. 233/1988 wird verordnet:

Persönlicher und sachlicher Geltungsbereich

§ 1. (1) Die Bestimmungen dieser Verordnung gelten für alle Auftraggeber (§ 3 Z 3 DSG) und Dienstleister (§ 3 Z 4 DSG) im Wirkungsbereich des Bundesministeriums für Land- und Forstwirtschaft.

(2) Die Pflichten des Auftraggebers sind vom Leiter der nach der Geschäftseinteilung für die Ermittlung der Daten zuständigen Organisationseinheit wahrzunehmen. § 10 Abs. 3 des Bundesministeriengesetzes 1986, BGBl. Nr. 76, in der geltenden Fassung bleibt unberührt; diese Bestimmung ist im Wirkungsbereich der in § 2 Z 1 bis 4 genannten Organe bei Vollziehung dieser Verordnung sinngemäß anzuwenden.

(3) Dienstleister im Sinne des Abs. 1 sind die in § 2 genannten Auftraggeber, soweit sie Tätigkeiten im Sinne des § 3 Z 4 DSG verrichten.

§ 2. Auftraggeber im Sinne des § 1 sind nach Maßgabe ihrer sachlichen und örtlichen Zuständigkeit:

§ 3. (1) Die in § 2 Z 1 genannten Aufgabengebiete bedeuten im Rahmen dieser Verordnung:

(2) Ein Aufgabengebiet unterliegt dieser Verordnung nur hinsichtlich jener Daten (§ 3 Z 1 DSG), die zumindest in einer Phase des Verfahrensablaufes Gegenstand einer automationsunterstützten Verarbeitung sind.

(3) Wird ein Aufgabengebiet für mehrere Auftraggeber mit Hilfe derselben technischen Einrichtungen oder im Netzwerkverbund vollzogen, so ist sicherzustellen, daß jeder Auftraggeber nur über die in seine Zuständigkeit fallenden Daten verfügen kann. Dasselbe gilt, wenn die Daten für verschiedene Aufgabengebiete mit Hilfe derselben technischen Einrichtungen oder im Netzwerkverbund verarbeitet werden.

Dienstleistungsvertrag

§ 4. Zwischen Auftraggeber und Dienstleister ist eine schriftliche Vereinbarung über die Dienstleistungen abzuschließen, in der jedenfalls Art und Umfang der Dienstleistungen und der vom Dienstleister zu treffenden Datensicherheitsmaßnahmen sowie die Grundsätze und Vorkehrungen betreffend die Datenverwendung in seinem Bereich festzulegen sind.

Datensicherheitsmaßnahmen

§ 5. (1) Die in § 2 genannten Auftraggeber oder Dienstleister haben für die Organisationseinheiten ihres örtlichen und sachlichen Zuständigkeitsbereiches, die Daten verwenden, Datensicherheitsmaßnahmen schriftlich anzuordnen, den jeweiligen technischen und organisatorischen Änderungen umgehend anzupassen und zu dokumentieren.

(2) Der Auftraggeber oder Dienstleister hat für die zu verwendenden Datenarten entsprechend dem Grad der Schutzwürdigkeit Sensibilitätsklassen festzulegen. Die Sicherheitsmaßnahmen sind adäquat nach dem Grad der Schutzwürdigkeit zu treffen.

(3) Der Auftraggeber oder Dienstleister hat jene Organisationseinheit zu bestimmen, die die Zutrittsberechtigungen zu den Datenverarbeitungsräumlichkeiten festlegt.

(4) Der Auftraggeber oder Dienstleister hat jene Organisationseinheit zu bestimmen, die die Art der Festlegung der Zugriffsberechtigungen mittels geschützter Benutzeridentifikationen und deren Verwaltung regelt. Hiebei ist eine Identifikation jedes Zugriffsberechtigten zu gewährleisten. Der Zugriff auf das Betriebssystem einschließlich System- und Netzwerksoftware ist darüber hinaus durch geeignete Maßnahmen zu sichern.

(5) Der Auftraggeber oder Dienstleister hat jene Organisationseinheit zu bestimmen, die die für die Verarbeitung notwendigen Daten und Programme einschließlich der einschlägigen Dokumentation außerhalb der Verarbeitungsstätte gesichert aufzubewahren hat.

(6) Die Vernichtung unbrauchbarer oder nicht mehr benötigter Ausdrucke und sonstiger Datenträger ist vom Auftraggeber oder Dienstleister durch entsprechende personelle oder vertragliche Maßnahmen sicherzustellen.

(7) Jeder Bedienstete, dem in Ausübung seines Dienstes Daten anvertraut oder zugänglich sind, ist jedenfalls über seine Pflichten nach dem Datenschutzgesetz, dieser Verordnung und den innerorganisatorischen Datenschutzvorschriften, insbesondere über die von ihm einzuhaltenden Datensicherheitsvorschriften sowie über die Rechtsfolgen allfälliger Rechtsverletzungen nachweislich zu belehren und von deren Änderungen umgehend und nachweislich in Kenntnis zu setzen. In anderen Rechtsvorschriften auferlegte Verschwiegenheitsgebote bleiben hievon unberührt.

Grundsätze für die Ermittlung

§ 6. (1) Die Ermittlung der Daten obliegt dem sachlich und örtlich zuständigen Auftraggeber (§ 1 Abs. 2). Er kann sich hiebei des Dienstleisters bedienen; dies ist nur mit Genehmigung des Bundesministers für Land- und Forstwirtschaft zulässig und im jeweiligen Dienstleistungsvertrag festzulegen.

(2) Eine ausdrückliche gesetzliche Ermächtigung für eine Ermittlung im Sinne des § 6 DSG liegt nur dann vor, wenn in dieser zumindest die zu ermittelnden Datenarten, die Betroffenenkreise und die Empfänger der Daten enthalten sind.

(3) Die Ermittlung von Daten stellt dann eine wesentliche Voraussetzung für die Wahrnehmung der gesetzlich übertragenen Aufgaben dar, wenn andere Möglichkeiten, die gesetzlich übertragenen Aufgaben wahrzunehmen, nicht vorliegen oder sie auf Grund des zu erwartenden Aufwandes dem Auftraggeber aus Wirtschaftlichkeits- und Zweckmäßigkeitserwägungen nicht zumutbar erscheinen.

(4) Werden Daten beim Betroffenen selbst ermittelt, so ist dieser vor der Ermittlung darüber zu informieren, ob eine gesetzliche Verpflichtung zur Offenlegung seiner personenbezogenen Daten besteht oder ob die Ermittlung durch seine freiwillige Mitwirkung zustande kommt.

(5) Wird zur Ermittlung von Daten Amtshilfe in Anspruch genommen, so ist das Amtshilfeersuchen derart zu begründen, daß die ersuchte Stelle die Zulässigkeit der Übermittlung gemäß § 7 DSG beurteilen kann. Insbesondere sind jene gesetzlichen Bestimmungen anzuführen, die eine ausdrückliche Ermächtigung im Sinne des Abs. 2 enthalten oder die dem Auftraggeber jene Aufgaben übertragen, zu deren Wahrnehmung die zu ermittelnden Daten eine wesentliche Voraussetzung bilden.

Grundsätze für die Verarbeitung

§ 7. (1) § 6 Abs. 2 und 3 gelten für die Verarbeitung von Daten sinngemäß.

(2) Den Daten eines Aufgabengebietes ist bei jedem Verarbeiter nach Maßgabe der von ihm vorzunehmenden Verarbeitungsschritte ein gleichartiger und sensibilitätsadäquater Schutz zu gewähren. Die Daten und Programme sind vor Entstellung, Zerstörung und Verlust sowie gegen unbefugte Verwendung zu schützen.

(3) Der Auftraggeber hat durch schriftlich anzuordnende Datensicherheitsmaßnahmen (§ 4) die entsprechenden Sicherheitsstandards festzulegen, die bei der Verarbeitung einzuhalten sind.

(4) Werden Daten für verschiedene Aufgabengebiete mit Hilfe derselben technischen Einrichtungen oder im Netzwerkverbund verarbeitet, ist sicherzustellen, daß Übermittlungen von Daten verschiedener Aufgabengebiete zu ihrer technischen Verknüpfung unbeschadet weiterreichender gesetzlicher Geheimhaltungsvorschriften nur in den in § 7 DSG genannten Fällen erfolgen und daß jeder Auftraggeber nur über die in seine Zuständigkeit fallenden Daten verfügen kann.

(5) Daten dürfen nur auf Grund von schriftlichen Aufträgen des Auftraggebers verarbeitet werden. Soweit es zur Abwendung nicht wieder gutzumachender schwerwiegender Nachteile bei der Vollziehung unumgänglich ist, kann eine vorläufige mündliche Auftragserteilung erfolgen, welche binnen vier Wochen bei sonstiger Unwirksamkeit der Auftragserteilung und Verpflichtung zur Löschung der verarbeiteten Daten durch einen schriftlichen Auftrag zu bestätigen ist; Datenerfassungsunterlagen sind zu überprüfen und aufzubewahren.

(6) Die Vernichtung unbrauchbarer oder nicht mehr benötigter Datenträger ist vom Auftraggeber anzuordnen und zu überwachen. Die Verpflichtung trifft den Dienstleister, soweit sich die Datenträger in seiner Verfügungsgewalt befinden.

(7) Der Auftraggeber hat die Richtigkeit der Verarbeitungsergebnisse durch Stichproben oder sonst geeignete Methoden und Maßnahmen zu überprüfen.

(8) Wird ein Fehler festgestellt, so hat der Auftraggeber unverzüglich geeignete Maßnahmen zu ergreifen, um das Schadensausmaß möglichst gering zu halten, dem Betroffenen unnötige Mühe zu sparen, die Fehlerbehebung einzuleiten, die Fehlerursache zu beheben und Folgefehler zu verhindern. Ist zu vermuten, daß die Fehlerursache im Tätigkeitsbereich des Dienstleisters liegt, ist dieser unverzüglich zu verständigen und zur Fehlerbehebung zu verpflichten.

Grundsätze für die Benützung

§ 8. (1) Die Benützung von Daten darf nur in der Art und in dem Umfang erfolgen, als dies für den Auftraggeber zur Wahrnehmung der ihm gesetzlich übertragenen Aufgaben erforderlich ist.

(2) Die Bediensteten des Auftraggebers und Dienstleisters dürfen nur jene Daten benützen, die zur Erfüllung der ihnen durch die jeweilige Geschäftseinteilung und Geschäftsordnung sowie durch Weisung übertragenen Aufgaben erforderlich sind.

Grundsätze für die Übermittlung

§ 9. (1) Der Auftraggeber hat Übermittlungen - unbeschadet des § 7 Abs. 5 - gemäß § 7 DSG schriftlich anzuordnen (Übermittlungsauftrag); der Übermittlungsauftrag kann als Einzel- oder Dauerauftrag erteilt werden.

(2) Im Übermittlungsauftrag ist anzugeben, auf Grund welcher Bestimmungen des § 7 DSG die Übermittlung zulässig ist. Gründet sich der Auftrag auf

(3) Einem Ersuchen um Übermittlung von Daten ist nur dann zu entsprechen, wenn die ersuchende Stelle an der Klärung der für die Beurteilung der Zulässigkeit der Übermittlung maßgeblichen Sach- und Rechtslage mitwirkt; auf diese Mitwirkungspflicht ist erforderlichenfalls hinzuweisen.

(4) Zur Übermittlung von Daten kann sich der Auftraggeber eines Dienstleisters bedienen. Abs. 1 bis 3 sind sinngemäß anzuwenden.

(5) Übermittlungen sind jedenfalls und so zu protokollieren, daß insbesondere Zweck, Rechtsgrundlage und Zeitpunkt der Übermittlung sowie Empfänger der Daten bestimmt oder bestimmbar sind.

Grundsätze für die Überlassung

§ 10. (1) Die in § 2 genannten Auftraggeber können unter den in § 13 DSG genannten Voraussetzungen Dienstleister in Anspruch nehmen.

(2) Der Auftraggeber hat dem Dienstleister die beabsichtigte Heranziehung eines weiteren Dienstleisters zu untersagen, wenn dies öffentliche Interessen verlangen oder zu befürchten ist, daß schutzwürdige Interessen des Betroffenen verletzt werden.

(3) Teilt die Datenschutzkommission dem Auftraggeber mit, daß der Inanspruchnahme eines Dienstleisters schutzwürdige Interessen Betroffener oder öffentliche Interessen entgegenstehen, so hat der Auftraggeber der Auffassung der Datenschutzkommission Rechnung zu tragen oder eine begründete Entscheidung über eine abweichende Vorgangsweise zu dokumentieren.

Auskunftsverfahren

§ 11. (1) Eine Auskunft gemäß § 11 Abs. 1 DSG ist dem Betroffenen nur bei Nachweis seiner Identität und schriftlich zu erteilen.

(2) Die Auskunft ist so zu erteilen, daß bei Anlegung einer Durchschnittsbetrachtung an Inhalt, Aussage und Verständlichkeit der Auskunft keine Zweifel bestehen.

(3) Wird einem Auskunftsantrag nicht oder nicht vollinhaltlich stattgegeben, so ist dies dem Betroffenen unter Angabe der Gründe mitzuteilen.

(4) Die Mitteilung, in der dem Betroffenen die gewünschte Auskunft erteilt oder in der die Verweigerung der Auskunft begründet wird, ist ihm nur gegen Empfangsbestätigung auszufolgen oder zu eigenen Handen zuzustellen.

(5) Der Betroffene hat durch einen ausreichend präzisierten Auskunftsantrag am Verfahren mitzuwirken, indem er

(6) Der Auftraggeber hat den Betroffenen ohne unnötigen Aufschub über diese Verpflichtung zur Mitwirkung aufzuklären und auf die Rechtsfolgen der mangelnden Mitwirkung (§ 12 Abs. 5) hinzuweisen.

(7) Dem Betroffenen gegenüber sind, unbeschadet der ihm nach den maßgeblichen Verfahrensvorschriften zustehenden Rechte, wegen überwiegenden öffentlichen Interesses geheimzuhalten:

§ 12. (1) Die Erteilung einer Auskunft über den aktuellen Datenbestand hat unentgeltlich zu erfolgen, wenn der Betroffene im laufenden Jahr (einlangend beim Auftraggeber) noch keinen Auskunftsantrag betreffend dasselbe Aufgabengebiet gestellt hat. Der aktuelle Datenbestand umfaßt jene Daten, die in der betreffenden Datenverarbeitung dem Direktzugriff unterliegen oder - mangels eines solchen - den letztgültigen Datenbestand.

(2) Für eine über Abs. 1 hinausgehende Erteilung einer Auskunft sind folgende Kostensätze zu entrichten (Kostenersatz):

(3) Die in Abs. 2 angeführten Kostensätze sind nicht zu entrichten, wenn der Aufwand für die Auskunftserteilung gering ist.

(4) Dem Betroffenen sind unverzüglich nach oder anläßlich der Antragstellung die für die Auskunftserteilung zu entrichtenden Kostensätze und die Zahlstelle mitzuteilen.

(5) Von der Bearbeitung eines Auskunftsantrages ist abzusehen, wenn der Kostenersatz gemäß Abs. 2 nicht geleistet wurde oder der Betroffene trotz einer diesbezüglichen Aufforderung des Auftraggebers am Verfahren nicht oder nicht ausreichend mitgewirkt hat.

(6) Der geleistete Kostenersatz ist dem Betroffenen unverzüglich rückzuerstatten, wenn die Daten, die Gegenstand des Auskunftsverfahrens sind, in dessen Folge richtigzustellen sind (§ 14) oder eine rechtswidrige Verwendung der Daten festgestellt wird.

(7) Die in § 11 Abs. 1 DSG enthaltene Frist für die Erteilung von Auskünften beginnt bei unentgeltlichen Auskünften mit Einlangen eines ausreichend präzisierten Auskunftsantrages, bei entgeltlichen Auskünften mit Einlangen des Kostenersatzes. Die Auskunft ist nach Fristbeginn ohne unnötigen Verzug zu erteilen.

§ 13. Durch die §§ 11 und 12 werden besondere Regelungen des Auskunftsrechtes in Rechtsvorschriften des Bundes außerhalb des Datenschutzgesetzes nicht berührt.

Richtigstellung und Löschung

§ 14. (1) Rechtsverbindlich festgestellte Daten dürfen nur auf Grund einer Entscheidung des für die Feststellung zuständigen Organs richtiggestellt oder gelöscht werden.

(2) Daten, die für Zwecke der Dokumentation oder der internen Kontrolle aufbewahrt werden, dürfen nicht richtiggestellt und vor Ablauf der Aufbewahrungsfrist nicht gelöscht werden; sie sind mit einem entsprechenden Vermerk betreffend ihre Unrichtigkeit oder die Unzulässigkeit ihrer Ermittlung oder Verarbeitung zu versehen.

(3) Eine logische Richtigstellung oder Löschung von Daten hat durch solche Maßnahmen zu erfolgen, die bei einer Abfrage die Unrichtigkeit der verarbeiteten Daten anzeigen und auf die richtigen Daten verweisen oder den Umstand der Löschung anzeigen.

(4) Durch geeignete technisch-organisatorische Maßnahmen ist sicherzustellen, daß im Falle eines Rückgriffes auf zu Sicherungszwecken aufbewahrte Datenbestände allfällige Richtigstellungen und Löschungen wirksam bleiben.

(5) Das Verlangen des Betroffenen nach Verständigung von Empfängern, an die richtiggestellte oder gelöschte Daten vor Richtigstellung oder Löschung übermittelt worden sind, ist schriftlich an den Auftraggeber und unter Angabe seines berechtigten Interesses an dieser Verständigung zu stellen.

Angabe der Registernummer

§ 15. (1) Bei Übermittlungen und bei Mitteilungen an den Betroffenen, die in schriftlicher Form ergehen und automationsunterstützt verarbeitete Daten enthalten, ist auf jedem Schriftstück die Registernummer des Auftraggebers anzuführen.

(2) Bei Übermittlungen und bei Mitteilungen an den Betroffenen auf lesbaren Datenträgern ist die Registernummer auf den Begleitpapieren oder auf dem Datenträger anzugeben.

Inkrafttreten

§ 16. Die Verordnung des Bundesministers für Land- und Forstwirtschaft vom 18. November 1984, BGBl. Nr. 468, zur Durchführung des Datenschutzgesetzes im Wirkungsbereich des Bundesministeriums für Land- und Forstwirtschaft (Datenschutz-Durchführungsverordnung des Bundesministers für Land- und Forstwirtschaft - LFDSV) tritt außer Kraft.