Jahrgang 1978 Ausgegeben am 28. November 1978 193. Stück

565. Bundesgesetz: Datenschutzgesetz -DSG
(NR: GP XIV RV 72 AB 1024 S. 104. BR: 1893 AB 1895 S.380.)

565. Bundesgesetz vom 18. Oktober 1978

über den Schutz personenbezogener Daten (Datenschutzgesetz -DSG)

GRUNDRECHT AUF DATENSCHUTZ § 1. (1) Jedermann hat Anspruch auf Geheimhaltung der ihn betreffenden personen bezogenen Daten, soweit er daran ein schutzwürdiges Interesse, insbesondere im Hinblick auf Achtung seines Privatund Familienlebens, hat.

(2)

Beschränkungen des Rechtes nach Abs. l' sind nur zur Wahrung berechtigter Interessen eines anderen oder auf Grund von Gesetzen zulässig, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten (BGB/. Nr.210/1958) genannten Gründen notwendig sind. Auch im Falle solcher Beschränkungen muß der vertraulichen Behandlung personen bezogener Daten Vorrang gegeben werden.

(3)

Jedermann hat, soweit Daten über ihn automationsunterstützt verarbeitet werden, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer Daten über ihn ermittelt oder verarbeitet, woher die Daten stammen, welcher Art und welchen Inhaltes die Daten sind und wozu sie verwendet werden.

(4)

Jedermann hat, soweit Daten über ihn automationsunterstützt verarbeitet werden, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Richtigstellung unrichtiger und das Recht auf Löschung unzulässigerweise ermittelter oder verarbeiteter Daten.

(5)

Beschränkungen der Rechte nach Abs. 3 und 4 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.

(6)

Soweit Rechtsträger in Formen des Privatrechts tätig sind, ist das Grundrecht auf Datenschutz Im ordentlichen Rechtsweg geltend zu machen.

ZUSTÄNDIGKEIT ZUR GESETZGEBUNG UND VOLLZIEHUNG

§ 2. (I) Bundessache ist die Gesetzgebung in Angelegenheiten des Schutzes personenbezogener Daten im automationsunterstützten Datenverkehr.

(2) Die Vollziehung solcher Bundesgesetze steht dem Bund zu. Soweit solche Daten von einem Land, im Auftrag eines Landes, von oder im Auftrag von juristischen Personen, die durch Gesetz eingerichtet sind und deren Einrichtung hinsichtlich der VolIziehung in die Zuständigkeit der Länder fällt, ermittelt, verarbeitet oder übermittelt werden, sind diese Bundesgesetze von den Ländern zu vollziehen, soweit nicht durch Bundesgesetz die Datenschutzkommission, der Datenschutzrat oder Gerichte mit der Vollziehung betraut werden.

14 350

3620 193. Stück -Ausgegeben am 28. November 1978 -Nr. 565

§ 4. (1) Die Bestimmungen des 2. Abschnittes sind auf den Datenverkehr von oder im Auftrag von Rechtsträgern anzuwenden, die durch Gesetz eingerichtet sind, soweit es sich nicht um Rechtsträger nach § 5 handelt.

(2)

Durch Verordnung der Bundesregierung sind nach Anhörung des Datenschutzrates Rechtsträger im Sinne des Abs. 1, soweit sie in Formen des Pri vatrechts tätig sind, für diese Tätigkeitsbereiche von der Anwendung des 2. Abschnittes auszuneh-. men. Für diese Bereiche findet der 3. Abschnitt Anwendung. Verordnungen nach dem ersten Satz bedürfen der Zustimmung des Hauptausschusses des Nationalrates.

(3)

Die §§ 8, 9, 11 und 12 finden keine Anwendung auf die Verarbeitung von Daten, soweit diese notwendig ist:

§ 5. (1) Auf die Verarbeitung von Daten von oder im Auftrage von Ländern oder von Rechtsträgern, die durch Gesetze eingerichtet sind, und deren Einrichtung hinsichtlich der Vollziehung in die Zuständigkeit der Länder fällt, sowie von oder im Auftrage von Gemeinden oder Gemeindeverbänden sind die Bestimmungen des 2. Abschnittes mit der Maßgabe anzuwenden, daß die Datenschutzverordnu.ng (§ 9) und die Höhe der Verwaltungsabgabe für die Erteilung einer Auskunft (§ 11 Abs. 3) durch die Landesregierung festzulegen sind.

(2) In einer nach Anhörung des Datenschutzrates zu erlassenden Verordnung der Landesregieru.ng sind Rechtsträger im Sinne des Abs. 1, soweit sie in Formen des Privatrechts tätig sind, für diese Tätigkeitsbereiche von der Anwendung des

2. Abschnittes auszunehmen. Für diese Bereiche findet der 3. Abschnitt Anwendung.

ZULÄSSI(!;KEIT DER ERMITTLUNG UND VERARBEITUNG

§ 6. Daten dürfen zum Zwecke des automationsunterstützten Datenverkehrs nur ermittelt und verarbeitet werden, wenn dafür eine ausdrückliche gesetzliche Ermächtigung besteht, oder soweit dies für den Auftraggeber zur Wahrnehmung der ihm gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bildet.

§ 7. (1) Verarbeitete Daten dürfen nur übermittelt werden, soweit

(2) Eine übermittlung von Daten an Organe des Bundes, der Länder, der Gemeinden, einschließlich der Körperschaften des öffentlichen Rechts ist weiters insoweit zulässig, als die Daten für den Empfänger zur Wahrnehmung der ihm gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bilden.

§ 8. (1) Jeder Auftraggeber hat vor der Aufnahme einer Echtverarbeitung von Daten dem Datenverarbeitungsregister (§ 47) eine schriftliche Meldung gemäß Abs. 2 zu erstatten.

(2) In der Meldung sind die Rechtsgrundlage, der Zweck der Ermittlung, der Verarbeitung und der übermittlung der Daten, die Art der Daten und der Kreis der Betroffenen anzugeben.

§ 9. (1) Die obersten Organe des Bundes und der Länder haben, unbeschadet der Bestimmungen des Abs. 2, für jeden ihrer Aufsicht unterstehenden Auftraggeber nach Anhörung der Datenschutzkommission eine Datenschutzverordnung zu erlassen, in der je nach Art der zu verarbeitenden Daten die Grundsätze für deren Ermittlung, Verarbeitung, Benützung und übermittlung bei möglichstem Schutz der personenbezogenen Daten festzulegen sind.

193. Stück -Ausgegeben am 28. November 1978 -Nr. 565

(2) Selbstverwaltungskörper sind, soweit sie Daten verarbeiten, zur Erlassung einer Datenschutzverordnung nach Abs. 1 verpflichtet. Die Verordnung bedarf aufsichtsbehördlicher Genehmigung. Die Aufsichtsbehörde hat die Datenschutzkommission anzuhören. Die Genehmigung ist zu erteilen, wenn die Verordnung gesetzlichen Bestimmungen entspricht.

§ 10. (1) Für jeden Verarbeiter ist von dem für die Durchführung der Verarbeitung zuständigen Organ eine Betriebsordnung zu erlassen, die der Zustimmung der Datenschutzkommission bedarf. Diese Zustimmung ist, gegebenenfalls mit Auflagen oder Bedingungen, zu erteilen, wenn die Betriebsordnung gesetzlichen Bestimmungen und den auf Grund dieses Bundesgesetzes erlassenen Verordnungen entspricht.

(2)

In dieser Betriebsordnung sind unter Bedachtnahme auf die wirtschaftliche Vertretbarkeit und auf die technischen Möglichkeiten jene Maßnahmen organisatorischer, personeller, technischer und baulicher Art festzulegen, die je nach der Art der Daten und der technischen Durchführung sowie des Umfanges der Verarbeitung und Übermittlung notwendig sind, um sicherzustellen, daß die Verarbeitung ordnungsgemäß erfolgt, und daß die Daten Dritten rechtswidrig weder zur Kenntnis gelangen noch übermittelt noch durch dazu nicht berechtigte Personen eingesehen, verarbeitet oder übermittelt werden können.

(3)

Die Betriebsordnung hat insbesondere Bestimmungen zu enthalten über:

(4)

Sollen Daten unter Voraussetzung des § 7 Abs. 1 Z. 3 übermittelt werden, so hat die Betriebsordnung Bestimmungen über die Sicherstellung der Anonymisierung der Daten zu enthalten.

(5)

Weiters ist in der Betriebsordnung unter Bedachtnahme auf § 7 die Übermittlung in einer Weise zu regeln, daß dadurch die Rechte der Betroffenen an der Geheimhaltung ihrer Daten gewährleistet werden.

(6) Die Betriebsordnung ist dem Stand der jeweiligen technischen Entwicklung anzupassen, sofern es die im Abs. 2 und Abs. 5 genannten Zwecke erfordern.

§ 11. (1) Dem Betroffenen sind bei Nachweis seiner Identität auf schriftlichen Antrag beim Auftraggeber seine Daten in allgemein verständlicher Form sowie deren Herkunft und die Rechtsgrundlage für deren Ermittlung, Verarbeitung, Benützung und übermittlung binnen vier Wochen schriftlich mitzuteilen, soweit es sich dabei nicht um solche Daten handelt, die auf Grund eines Gesetzes oder einer Verordnung bei überwiegendem öffentlichem Interesse auch ihm gegenüber geheimzuhalten sind. Werden oder wurden Daten übermittelt, kann der Betroffene auch Auskunft über den Empfänger verlangen.

(2)

Wird einem Antrag nach Abs. 1 nicht oder nicht vollinhaltlich stattgegeben, so ist dies dem Betroffenen binnen vier Wochen unter Angabe des Grundes schriftlich mitzuteilen.

(3)

Für die Erteilung einer Auskunft kann in der Datenschutzverordnung nach Anhörung des Datenschutzrates ein pauschalierter Kostenersatz vorgeschrieben werden. Die Festsetzung der Höhe dieses Kostenersatzes ist derart vorzunehmen, daß die notwendigen aus der Verarbeitung des Auskunftsantrages tatsächlich erwachsenden Kosten gedeckt sind. Von der Bearbeitung des Auskunftsersucnens kann abgesehen werden, wenn der festgesetzte Kostener

satz nicht entrichtet wurde. Ein etwa geleisteter Kostenersatz ist ungeachtet weiterer Schadenersatzansprüche zurückzuerstatten, wenn Daten rechtswidrig ermittelt, verarbeitet oder übermittelt wurden, oder wenn die Auskunft sonst zu einer Richtigstellung geführt hat.

193. Stück -Ausgegeben am 28. November 1978 -Nr. 565

Feststellung des ~er Verarbeitung zugrunde zu legenden Sachverhaltes, so ist dies dem Antragsteller unter Angabe des Grundes unverzüglich schriftlich mitzuteilen.

(4)

Wird ein Antrag des Betroffenen (Abs. 2 Z. 2) abgelehnt, so ist ihm dies schriftlich binnen vier Wochen unter Angabe des Grundes mitzuteilen.

(5)

Der Beweis der Richtigkeit der Daten obliegt dem Auftraggeber, soweit die Daten nicht ausschließlich auf Grund von Angaben des Betroffenen ermittelt wurden.

(6)

Ist die Richtigstellung oder Löschung auf Antrag des Betroffenen oder auf Grund einer Entscheidung der Datenschutzkommission durchgeführt worqen, so ist hievon der Betroffene, im Falle einer Richtigstellung oder Löschung auf Grund einer Entscheidung der Datenschutzkommission auch diese, \'om Auftraggeber zu verständigen.

(7)

Wurden im Sinne des Abs. 1 richtiggestellte oder gelöschte Daten vor der Richtigstellung oder Löschung übermittelt, so hat der Auftraggeber die Enlpfänger dieser Daten hievon zu verständigen, sofern der Betroffene es verlangt, ein berechtigtes Interesse glaubhaft macht und die Empfänger noch feststellbar sind.

(8)

Eine Richtigstellung und eine Löschung sind ausgeschlossen, wenn die Daten im Zeitpunkt ihrer Ermittlung richtig und vollständig waren und der Zweck der Ermittlung oder der Verarbeitung eine Veränderung der Daten in Entsprechung von Änderungen des ihnen zugrunde liegenden Sachverhaltes ausschließt.

(9)

Erfolgt eine Richtigstellung oder Löschung auf Grund einer Entscheidung der für die Feststellung der Daten sachlich zuständigen Behörde, so ist der Auftraggeber an diese Entscheidung gebunden.

(10)

Bei der übermittlung und Benützung von Daten, deren Richtigkeit vom Betroffenen bestritten wurde, und bei denen sich weder die Richtigkeit noch die Unrichtigkeit feststellen ließ, ist über Verlangen des Betroffenen ein Vermerk über die Bestreitung beizufügen. Der Auftraggeber kann bei der Datenschutzkommission die Feststellung beantragen, ob der Bestreitungsvermerk aufrechtzubleiben hat.

VERTRAGLICHE INANSPRUCHNAHME
VON DIENSTLEISTUNGEN IM DATENVER
KEHR DURCH DIE IN § 4 UND IN § 5
GENANNTEN RECHTSTRÄGER

§ 13. (1) Soweit Auftraggeber nach § 6 zur Ermittlung und Verarbeitung berechtigt sind, dürfen sie andere Verarbeiter desselben Rechtsträgers oder andere Rechtsträger für Dienstleistungen im Datenverkehr in Anspruch nehmen. Eine solche Inanspruchnahme darf nur erfolgen, soweit dies aus Gründen der Zweckmäßigkeit und Wirtschaftlichkeit der Verwaltung geboten ist und wenn weder schutzwürdige Interessen von Betroffenen noch öffentliche Interessen entgegenstehen.

(2) Im Falle der Inanspruchnahme nach Abs. 1 haben die in § 4 und in § 5 genannten Rechtsträger, soweit die Inanspruchnahme nicht auf Grund einer gesetzlichen Bestimmung erfolgt, vertraglich sicherzustellen, daß bei der Verarbeitung die gesetzlichen Bestimmungen und die Bestimmungen der auf Grund dieses Bundesgesetzes erlassenen Verordnungen eingehalten werden. In solchen Verträgen ist insbesondere eine den Bestimmungen des § 10 entsprechende Betriebsordnung zu vereinbaren.

(3) Vor dem Abschluß eines Vertrages im Sinne des Abs. 2 durch einen in § 4 genannten Rechtsträger sind die Datenschutzkommission und -ausgenommen im Anwendungsbereich des § 9 Abs. 2 -das Bundeskanzleramt anzuhören; Inanspruchnahmen durch in § 5 und in § 9 Abs. 2 genannte Rechtsträger sind der Datenschutzkommis:<ion mitzuteilen.

§ 14. (1) Die Datenschutzkommission (§ 36) erkennt, soweit nicht der Antrag des Betroffenen auf Auskunft (§ 11), Richtigstellung oder Löschung (§ 12) bereits Gegenstand eines Verfahrens vor der sachlich zuständigen Behörde ist, über Beschwerden wegen Verletzung von Bestimmungen dieses Bundesgesetzes oder der auf Grund dieses Bundesgesetzes erlassenen Durchführungsbestimmungen, soweit der Beschwerdeführer behauptet, dadurch in seinen Rechten verletzt worden zu sein, sowie über Anträge gemäß Abs. 3.

(2)

Erfolgte eine Richtigstellung oder Löschung auf Grund einer Entscheidung der für die Feststellung der Daten sachlich zuständigen Behörde, so ist die Datenschutzkommission an die rechtskräftige Entscheidung gebunden.

(3)

Wird in einem Verwaltungsverfahren, in dem verarbeitete Daten benützt werden, die Verletzung von Bestimrnungen dieses Bundesgesetzes oder der auf Grund dieses Bundesgesetzes erlassenen Durchführungsbestimmungen behauptet, so ist das Verwaltungsverfahren, außer bei Gefahr im Verzug, bis zur Entscheidung der Datenschutzkommission auszusetzen (§ 38 AVG 1950). Gleichzeitig ist ein solches Verfahren zu beantragen.

§ 15. (1) Ergibt ein Verfahren nach § 14, daß auch andere Personen in ihren Rechten nach den Bestimmungen dieses Bundesgesetzes oder der auf Grund dieses Bundesgesetzes erlassenen Durchführungsbestimmungen verletzt wurden, so hat dies die Datenschutzkommission bescheidmäßig auszusprechen und dem Auftraggeber und dem Verarbeiter mitzuteilen. Dieser Bescheid ist von der Datenschutzkommission im Amtsblatt zur Wiener Zeitung kundzumachen.

(2) Der Auftraggeber oder der Verarbeiter haben dem Bescheid der Datenschutzkommission binnen einer von dieser festzusetzenden, angemessenen Frist zu entsprechen.

193. Stück -Ausgegeben am 28. November 1978 -Nr. 565

VERBINDUNG EINGELEITETER VERFAHREN

§ 16; Wenn die Zweckmäßigkeit, Raschheit, Einfachheit und Kostenersparnis von Verfahren es erfordern, hat die Datensc~utzkommission eingeleitete Verfahren, die denselben Auftraggeber oder Verarbeiter betreffen, zu verbinden.

ZULÄSSIGKElT DER ERMITILUNG UND VERARBEITUNG

§ 17. Daten dürfen zum Zwecke des automationsunterstützten Datenverkehrs durch einen nicht den Bestimmungen der §§ 4 und 5 unterliegenden Rechtsträger nur ermittelt und verarbeitet werden,

(2) Gesetzliche oder vertragliche Verschwiegenheitspflichten, die der Auftraggeber zu beachten hat, sind auch vom Verarbeiter und seinen beschäftigten Personen einzuhalten. Diese Personen sind vor Aufnahme ihrer Tätigkeit zur Einhaltung der Verschwiegenheitspflichten ausdrücklich tu verpflichten.

§ 20. (1) Automationsunterstützt verarbeitete Daten, die ausschließlich auf Grund einer berufsmäßigen Beschäftigung anvertraut wurden oder zugänglich geworden sind, dürfen unbeschadet sonstiger Verschwiegenheitspflichten nur auf Grund einer

ausdrücklichen Anordnung des Auftrag-oder Arbeitgebers oder deren Beauftragten übermittelt werden (Datengeheimnis).

soweit sich dies in Art und Umfang auf den. sind oder zugänglich gemacht werden, sind vor

berechtigten Zweck des Rechtsträgers beschränkt und hiebei schutzwürdige Interessen des Betroffenen, insbesondere im Hinblick auf Achtung seines Privat

und Familienlebens, beachtet werden.

§ 18. (1) Die übermittlung von Daten durch nicht den Bestimmungen der §§ 4 und 5 unterliegende Rechtsträger ist unter Beachtung der im § 17 genannten Bedingungen nur zulässig, soweit:

(2)

Abs. 1 findet keine Anwendung, soweit gesetzliche Verpflichtungen zur übermittlung bestehen.

(3)

Bestehende Verschwiegenheitspflichten werden durch die Zulässigkeit der übermittlung gemäß Abs. 1 nicht berührt.

§ 19. (1) Werden Daten zum Zwecke einer Dienstleistung einem anderen als dem gemäß § 17 berechtigten Rechtsträger überlassen, so hat der Verarbeiter die Daten und etwaige Ergebnisse der Verarbeitung ausschließlich dem Auftraggeber zurückzugeben oder nach dessen Auftrag zu übermitteln. Bei der Auftragserteilung sind die einzuhaltenden Verschwiegenheitspflichten und die besonderen Sorgfaltspflichten festzulegen.

Aufnahme ihrer Tätigkeit zur Einhaltung des Datengeheimnisses ausdrücklich zu verpflichten. Die Pflicht zur Wahrung des Datengeheimnisses besteht

auch nach Beendigung ihrer Tätigkeit.

(3)

Weiterreichende gesetzliche Verschwiegenheitspflichten bleiben unberührt.

(4)

Aus der Verweigerung der Ausführung eines Auftrages, der gegen das Datengeheimnis verstoßen würde, darf dem Arbeitnehmer kein Nachteil erwachsen.

(5)

In einem behördlichen Verfahren nach diesem Bundesgesetz kann sich niemand seiner Zeugenpflichten unter Berufung auf das Datengeheimnis entschlagen.

§ 21. (1) Der Verarbeiter hat für den Datenverkehr unter Bedachtnahme auf die wirtschaftliche Vertretbarkeit und auf die technischen Möglichkeiten organisatorische, personelle, technische und bauliche Sicherungsmaßnahmen zu treffen. Diese Maßnahmen sollen je nach Art der Daten und der technischen Ausstattung sowie des Umfanges der Verarbeitung und übermittlung sicherstellen, daß Daten Dritten rechtswidrig weder zur Kenntnis gelangen, noch übermittelt, noch durch nicht berechtigte Personen eingesehen, verarbeitet oder übermittelt werden können.

(2)

Im Falle einer Dienstleistung nach § 19 hat der Verarbeiter von sich aus jene notwendigen Datensicherungsmaßnahmen (Abs. 1) zu treffen, die eine Durchführung des Auftrages entsprechend den ihm obliegenden gesetzlichen Verschwiegenheits-und besonderen Sorgfaltspflichten (§ 19 Abs. 1 letzter Satz) sicherstellen.

(3)

Durch Verordnung des Bundeskanzlers können nach Anhörung des Datenschutzrates öNORMEN über das Mindestausmaß von Datensicherungsmaßnahmen nach den Abs. 1 oder 2, die unter sinngemäßer Anwendung des § 10 festgelegt wurden, für bestimmte Arten von Daten, für bestimmte

193. Stück -Ausgegeben am 28. November 1978 -Nr. 565

Methoden der Verarbeitung oder übermittlung oder für bestimmte Arten von Rechtsträgern für verbindlich erklärt werden.

(4) Die Verpflichtungen nach Abs. 1 oder 2 gelten als erfüllt, wenn der Verarbeiter die nach Abs. 3 für solche Verarbeitungen oder übermittlungen verbindlich erklärten öNORMEN eingehalten hat.

§ 22. (1) Werden Daten von Personen ver.arbeitet, die mit dem Auftraggeber dieser Verarbeitung in einem Vertragsverhältnis stehen oder gestanden sind, so sind die Betroffenen bei der Aufnahme der Verarbeitung der Daten aus solchen Rechtsverhältnissen für eigene Zwecke darüber ausdrücklich deutlich lesbar zu informieren; dasselbe giit für Vereine hinsichtlich der Daten ihrer Mitglieder.

(2) Diese Information hat außerdem folgende Angaben zu enthalten:

(3) übermittlungen aus Verarbeitungen gemäß Abs. 1 sind nur zulässig:

(4)

Der Bundeskanzler kann nach Anhörung des Datenschutzrates durch Verordnung bestimmte Arten von Verarbeitungsbereichen, die unter Abs. 1 fallen, einer Registrierungspflicht nach § 23 unterwerfen, wenn die Wahrung der im § 1 dieses Bundesgesetzes genannten Rechte es erforderlich erscheinen läßt. Solche Verarbeitungen unterliegen dann nicht der Informationspflicht des Abs. 1.

(5)

Auftraggeber können für Verarbeitungen, die unter Abs. 1 fallen, die Registrierung nach § 23 beantragen. Mit der Registrierung entfällt die Informationspflicht nach Abs. 1.

REGISTRIERUNG VON VERARBEITUNGEN

§ 23. (1) Auftraggeber von anderen als nach § 22 zulässigen Verarbeitungen haben beim Datenverarbeitungsregister (§ 47) vor der Aufnahme der Echtverarbeitung von Daten die Registrierung zu beantragen.

(3)

Jeder im Rahmen einer Dienstleistung (§ 19) tätige Verarbeiter hat -sofern er nicht über eine Gewerbeberechtigung nach § 103 Abs. llit. a Z. 2 der Gewerbeordnung 1973 verfügt -beim Datenschutzregister vor der erstmaligen übernahme von Verarbeitungen die Registrierung zu beantragen. Auf diesen Antrag sind Abs. 2 Z. 2 und 3 sinngemäß anzuwenden; weiters ist im Antrag der Kreis der Auftraggeber, für den Dienstleistungen verrichtet werden sollen, anzugeben.. Eintragungen in die Gewerberegister, die sich auf Gewerbe nach § 103 Abs. 1 lit. a Z. 2 der Gewerbeordnung 1973 beziehen, sind dem Datenverarbeitungsregister mitzuteilen.

(4)

Die Registrierung ist binnen sechs Wochen nach Einlangen des Antrages vorzunehmen.

(5)

Die Ablehnung der Registrierung hat nach Anhörung des österreichischen Statistischen Zentralamtes durch Bescheid der Datenschutzkommission zu erfolgen, wenn

§ 24. Mit dem Antrag auf Registrierung (§ 23) ist eine Gebühr zu entrichten, deren Höhe durch eine vom Bundeskanzler nach Anhörung des Datenschutzrates zu erlassende Verordnung festzulegen ist. Die Gebühren sind so festzulegen, daß der mit den Aufgaben der Registrierung verbundene Verwaltungsaufwand im Durchschnitt gedeckt wird.

§ 25. (1) Ein Betroffener kann bei Nachweis seiner Identität beim Auftraggeber Auskunft über die zu seiner Person gespeicherten Daten und über deren Herkunft verlangen. Wurden diese Daten übermittelt, kann der Betroffene auch Auskunft über die Empfänger verlangen. Die Auskunft ist binnen vier Wochen schriftlich in allgemein verständlicher Form zu erteilen, sofern der Betroffene nicht mit einer mündlichen Auskunft einverstanden ist. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft die Einsichtnahme und die Möglichkeit der Abschrift oder Ablichtung gegeben werden.

(2)

Werden Daten nach § 19 verarbeitet, so sind in der Auskunft auch Name und Anschrift des Verarbeiters anzugeben.

(3)

Für die schriftliche Auskunft kann ein Entgelt verlangt werden, das über die notwendigen aus der Verarbeitung des Auskunftsantrages tatsächlich erwachsenden Kosten nicht hinausgehen darf. Ein

193. Stück -Ausgegeben am 28. November 1978 -Nr. 565

§ 28. (1) Ansprüche gegen nicht den Bestimmungen der §§ 4 und 5 unterliegende Rechtsträger, wie sie sich aus diesem Abschnitt dieses Bundesgesetzes ergeben, sind auf dem ordentlichen Rechtsweg geltend zu machen.

(2) Sind Daten entgegen den Bestimmungen dieses Bundesgesetzes oder den auf Grund dieses Bundesgesetzes erlassenen Durchführungsbestimmungen verarbeitet, benützt oder übermittelt worden, so hat der Betroffene, unbeschadet etwaiger Ansprüche auf Schadenersatz, Anspruch auf Unterlassung und Beseitigung des diesem Bundesgesetz oder den auf Grund dieses Bundesgesetzes erlassenen Durchführungsbestimmungen widerstreitenden Zustandes.

193. Stück -Ausgegeben am 28. November 1978 -Nr. 565

Betriebsrates nach § 96 Abs. 1 des Arbeitsverfassungsgesetzes werden durch dieses Bundesgesetz nicht berührt. Das Datengeheimnis ist auch von den Mitgliedern des Betriebsrates zu wahren.

VORAUSSETZUNGEN FüR üBERLASSUNGEN VON DATEN IN DAS AUSLAND

§ 32. (1) Die überlassung von automationsunterstützt verarbeiteten Daten aus österreich durch die in den §§ 4, 5 und 17 genannten Rechtsträger in das Ausland ist unter den in § 7 oder § 18 genannten Voraussetzungen zulässig. Sie bedarf der Genehmigung der Datenschutzkommission.

(2) In folgenden Fällen bedarf jedoch die überlassung durch unter den 3. Abschnitt fallende Rechtsträger keiner Genehmigung der Datenschutzkommission:

(3) Eine nach Abs. 1 notwendige Genehmigung ist zu erteilen, wenn

(4)

Soweit gemäß §§ 8 oder 23 eine Registrierungspflicht besteht, bedürfen auch überlassungen in das Ausland einer Registrierung (§ 47 Abs. 4 und i).

(5)

Durch Verordnung des Bundeskanzlers ist nach Anhörungder Datenschutzkommission festzustellen, inwieweiteine Gleichwertigkeit ausländischer Datenschutzbestimmungen (Abs. 2 Z. 2) gegeben ist. Dabei ist insbesondere auf die Wahrung derschutzwürdigen Interessen der Betroffenen Bedacht zu nehmen. ")

VERARBEITUNG IN öSTERREICH FüR DAS AUSLAND

§ 33. Die Verarbeitung von Daten in österreich für ausländische Rechtsträger ist dem Datenverarbei

tungsregister zu melden (§ 47 Abs. 4 und 5), Sie

unterliegt einer Genehmigung der Datenschutzkommission, soweit dies in völkerrechtlichen Vereinbarungen vorgesehen ist.

§ 34. (1) ,§ 32 findet auch Anwendung, wenn nur ein Arbeitsgang der Verarbeitung im Ausland oder für das Ausland stattfindet oder ein direkter Zugriff auf im Bundesgebiet gelegene Anlagen der automationsunterstützten Datenverarbeitung aus dem Ausland möglich ist.

(2) Wenn vom Bundesgebiet aus ein direkter Zugriff auf in Anlagen der automationsunterstützten Verarbeitung im Ausland gespeicherte Daten möglich ist, findet §' 33 Anwendung.

DATENSc:f.iUTZKOMMISSION, DATEN
SCHUTZRAT UND DATENVERARBEI
TUNGSREGISTER

§ 35. (1) Zur Wahrung des Datenschutzes im Sinne dieses Bundesgesetzes -unbeschadet der Zuständigkeit der ordentlichen Gerichte -werden eine Datenschutzkommission und ein Datenschutzrat eingerichtet.

(2) Die Geschäftsführung der in Abs. 1 genannten Organe obliegt dem Bundeskanzleramt. Der Bundeskanzler hat diesen Organen das notwendige Personal auf Vorschlag des Datenschutzrates zur Verfügung zu stellen. Im Rahmen ihrer Tätigkeit für diese Organe sind solche Personen an die Weisungen des jeweiligen Vorsitzenden oder der in den Geschäftsordnungen bezeichneten Mitglieder der in Abs. 1 genannten Organe gebunden.

AUFGABEN DER DATENSCHUTZKOMMISSION

§ 36. (1) Der Datenschutzkommission obliegen abgesehen von den in den § 9 Abs. 1, § 9 Abs. 2, § 10 Abs. 1, § 12 Abs. 2 Z. 4, § 13 Abs. 3, § 16, § 37, § 38 Abs.6, § 39 Abs. 1, § 44 Abs.2, § 45 Abs. 3 und 4, § 50 Abs. 5 und § 52 Abs. 3 genannten Befugnissen folgende Aufgaben:

den Bescheiden (§ 47);
4. die	Erteilung	der	für	den	internationalen
Datenverkehr		notwendigen			Bewilligungen
(§§ 32 bis 34);

(2) (Verfassungsbestimmung) Weiters obliegen der Datenschutzkommission die Abfassung der Berichte

193. Stück -Ausgegeben am 28. November 1978 -Nr. 565

193. Stück -Ausgegeben am 28. November 1978 -Nr. 565

WEISUNGSFREIHEIT DER MITGLIEDER DER DATENSCHUTZKOMMISSION

§ 40. (Verfassungsbestimmung) Die Mitglieder der Datenschutzkommission sind in Ausübung ihres Amtes unabhängig und an keine Weisungen gebunden.

EMPFEHLUNGEN DER DATENSCHUTZKOMMISSION

§ 41. Hat die Datenschutzkommission gegen die Rechtmäßigkeit einer Ermittlung, Verarbeitung, Benützung oder übermittlung von Daten von oder für Rechtsträger nach § 4 oder § 5 Bedenken, so hat sie diese Bedenken samt Begründung und einer Empfehlung über die Herstellung des rechtmäßigen Zustandes dem für den Auftrag zur betreffenden Verarbeitung zuständigen obersten Verwaltungsorgan mitzuteilen. Dieses Organ hat innerhalb einer angemessenen, jedoch zwölf Wochen nicht überschreitenden Frist entweder diesen Empfehlungen zu entsprechen und dies der Datenschutzkommission mitzuteilen oder schriftlich zu begründen, warum den Empfehlungen nicht entsprochen wurde.

§ 42. (1) Dem Datenschutzrat obliegen -abgesehen von den in den § 4 Abs. 2, § 4 Ab!;. 3 Z. 3, § 5 Abs. 2, § 11 Abs. 3, § 21 Abs. 3, § 22 Abs. 4, § 24, § 35 Abs. 2, § 44, § 45 Abs. 3 und 4, § 47 Abs. 3 und § 52 Abs. 3 genannten Befugnissen -folgende Aufgaben:

(2) Die zuständigen Bundesminister und Landesregierungen haben auf Ersuchen des Datenschutzrates diesem über Erfahrungen auf dem Gebiete des Datenschutzes aus ihrem Bereich zu berichten.

(3) Gerichtliche Entscheidungen und Vergleiche in Verfahren auf Grund dieses Bundesgesetzes sind dem Datenschutzrat zuzustellen.

ZUSAMMENSETZUNG DES DATENSCHUTZRATES

(2)

Die in Abs. 1 Z. 3, 4 und 5 genannten Vertreter sollen Erfahrung auf dem Gebiet der Verwaltungsinformatik haben.

(3)

Für jedes Mitglied ist ein Ersatzmitglied namhaft zu machen.

(4)

§ 38 Abs.5 ist sinngemäß anzuwenden.

(5)

Die Mitglieder gehören dem Datenschutzrat solange an, bis von den namhaft machenden Stellen (Abs. 1) andere Vertreter namhaft gemacht worden sind.

(6)

Die Tätigkeit der Mitglieder des Datenschutzrates ist ehrenamtlich. Mitglieder des Datenschutzrates, die außerhalb von Wien wohnen, haben im Fall der Teilnahme an Sitzungen des Datenschutzrates Anspruch auf Ersatz der Reisekosten (Gebührenstufe 5) nach Maßgabe der für Bundesbeamte der Allgemeinen Verwaltung geltenden Rechtsvorschriften.

VORSITZ UND GESCHÄFTSFüHRUNG DES PATENSCHUTZRATES

§ 44. (1) Der Datenschutzrat wählt aus seiner Mitte einen Vorsitzenden und zwei stellvertretende Vorsitzende. Die Funktionsperiode des Vorsitzenden (stellvertretenden Vorsitzenden) dauert, unbeschadet der Änderung der Vertretung gemäß § 43 Abs. 5, fünf Jahre. Wiederbestellungen sind zulässig.

(2) Die Sitzungen des Datenschutzrates sind nach Bedarf einzuberufen. Begehrt ein Mitglied oder die Datenschutzkommission die Einberufung einer Sitzung, so hat der Vorsitzende eine Sitzung einzuberufen, die binnen vier Wochen stattzufinden hat.

193. Stück -Ausgegeben am 28. November 1978 -Nr. 565

(3)

Für Beratungen und Beschlußfassungen im Datenschutzrat ist die Anwesenheit von mehr als der Hälfte seiner Mitglieder erforderlich. Zur Beschlußfassung genügt die einfache Mehrheit der abgegebenen Stimmen. Bei Stimmengleichheit gibt die Stimme des Vorsitzenden den Ausschlag. Stimmenthaltung ist unzulässig.

(4)

Die Beifügung von Minderheitenvoten ist zulässig.

(5)

Der Datenschutzrat kann aus seiner Mitte ständige oder nichtständige Arbeitsausschüsse bilden, denen er die Vorbereitung, Begutachtung und Bearbeitung einzelner Angelegenheiten übertragen kann. Er ist auch berechtigt, die Geschäftsführung, Vorbegutachtung und die Bearbeitung einzelner Angelegenheiten einem einzelnen Mitglied (Berichterstatter) zu übertragen.

(6)

Jedes Mitglied des Datenschutzrates ist verpflichtet, an den Sitzungen -außer im Fall der gerechtfertigten Verhinderung -teilzunehmen. Jedes Mitglied hat seine Verhinderung an der Teilnahme rechtzeitig bekanntzugeben, worauf das Ersatzmitglied einzuladen ist.

(7)

Mitglieder der Datenschutzkommission, die dem Datenschutzrat nicht angehören, sind berechtigt, an den Sitzungen des Datenschutzrates oder seiner Arbeitsausschüsse teilzunehmen. Ein Stimmrecht steht ihnen nicht zu.

GEMEINSAME BESTIMMUNGEN FüR
DATENSCHUTZKOMMISSION UND DATEN
SCHUTZRAT

§ 45. (1) (Verfassungsbestimmung) Alle Organe von Rechtsträgern nach §§ 4 und 5 haben die Datenschutzkommission und den Datenschutzrat bei der Besorgung ihrer Aufgaben zu unterstützen, ihnen Einsicht in Akten, Datenträger und sonstige Einrichtungen der Ermittlung, Verarbeitung und übermittlu.ng zu gewähren und auf Verlangen die erforderlichen Auskünfte zu erteilen.

(2)

(Verfassungsbestimmung) Die Beratungen der Datenschutzkommission und des Datenschutzrates sind vertraulich. Die Organe können die Vertraulichkeit ihrer Beratungen insoweit aufheben, als sie dies nach dem Gegenstand und dem Zwecke der Beratungen für notwendig erachten und nicht die Geheimhaltung im öffentlichen Interesse oder im Interesse einer Partei geboten ist.

(3)

Die Datenschutzkommission und der Datenschutzrat können nach Bedarf zur Beratung besonderer Fragen Sachverständige zuziehen.

(4)

Der Bundeskanzler beruft die jeweils erste Sitzung der Datenschutzkommission und des Datenschutzrates ein. Im Datenschutzrat führt das an Jahren älteste Mitglied bis zur Wahl des Vorsitzenden den Vorsitz.

§ 46. (1) Die Datenschutzkommission verfaßt jedes zweite Jahr einen Bericht über ihre Tätigkeit und die hiebei gesammelten Erfahrungen und übermittelt diesen Bericht dem Bundeskanzler.

(2)

Jedermann kann in das Datenverarbeitungsregister Einsicht nehmen, aus ihm Abschriften anfertigen oder Auszüge gegen Ersatz der tatsächlich notwendigen Kosten verlangen.

(3)

Der Bundeskanzler hat nach Anhörung des Datenschutzrates die näheren Bestimmungen über die Registrierung und die Führung des Registers durch Verordnung zu erlassen. Dabei ist auf die übersichtlichkeit der Eintragungen, auf die Vergabe einer Registernummer, auf die Einfachheit der Einsichtnahme in das Register sowie bei Eintragung gerichtlicher Entscheidungen auf die Anonymisierung von Daten Bedacht zu nehmen.

(4)

Für jeden Auftraggeber (§ 8, § 23 Abs. I) ist eine Registernummer zu vergeben. übermittlungen im Sinne des § 3 Z. 8 und Mitteilungen an den Betroffenen dürfen, unabhängig von ihrer Form, nur unter Zusatz der Registernummer des Auftraggebers erfolgen. Wiedergaben und Abschriften der übermittelten Daten haben die Registernummer zu enthalten.

(5)

Dem AnmeIder ist die Durchführung der Eintragung schriftlich mit einem Registerauszug mitzuteilen. Mit dieser Mitteilung kann die Echtverarbeitung aufgenommen werden. Durch die Registrierung wird allfälligen behördlichen Entscheidul"!gen über die Rechtmäßigkeit der Verarbeitungen nicht vorgegriffen.

(6)

Jede Änderung der für die Eintragung in das Datenverarbeitungsregister maßgeblichen Umstände ist dem Datenverarbeitungsregister unverzüglich zu melden. Die §§ 8 und 23 sowie Abs. 5 sind sinngemäß anzuwenden.

(7)

Eine Streichung aus dem Datenverarbeitungsregister ist auf Antrag des Eingetragenen oder durch Bescheid auf Grund eines die Rechtswidrigkeit der Verarbeitung aussprechenden gerichtlichen Urteils vorzunehmen.

(8)

Das Datenverarbeitungsregister kann mit automationsunterstützter Datenverarbeitung geführt werden. Wenn Ausfertigungen unter Verwendung

3630 193. Stück -Ausgegeben am 28. November 1978 -Nr. 565

der automationsunterstützten Datenverarbeitung erstellt werden, bedürfen sie weder einer Unterschrift noch einer Beglaubigung; sie haben aber den Namen des die Eingabe genehmigenden Organs zu enthalten.

STRAFBESTIMMUNGEN GEHEIMNISBRUCH § 48. (1) Wer Daten widerrechtlich offenbart oder verwertet, die ihm ausschließlich kraft seiner berufsmäßigen Beschäftigung mit Aufgaben der Verarbeitung anvertraut worden oder zugänglich geworden sind, und deren Offenbarung oder Verwertung geeignet ist, ein berechtigtes Interesse des Betroffenen zu verletzen, ist, wenn die Tat nicht nach einer anderen Bestimmung mit strengerer Strafe bedroht ist, vom Gericht mit Freiheitsstrafe bis zu einem Jahr zu bestrafen.

(2)

Der Täter ist nur auf Antrag eines in seinem Interesse an der Geheimhaltung Verletzten oder auf Antrag der Datenschutzkommission zu verfolgen.

(3)

Die öffentlichkeit in der Hauptverhandlung ist auszuschließen, wenn dies

UNBEFUGTE EINGRIFFE IN VERARBEITUNGEN

§ 49. Wer widerrechtlich einem anderen in seinen Rechten dadurch absichtlich einen Schaden zufügt, daß er automationsunterstützt verarbeitete Daten löscht, verfälscht oder sonst verändert oder daß e'r sich automationsunterstützt verarbeitete Daten verschafft, ist, wenn die Tat nicht nach einer anderen Bestimmung mit strengerer Strafe bedroht ist, vom Gericht mit Freiheitsstrafe bis zu einem Jahr zu bestrafen.

VERWALTUNGSSTRAFBESTIMMUNG § 50. (1) Eine Verwaltungsübertretung, die mit einer Geldstrafe bis zu 150000 S zu ahnden ist, begeht, wer Daten automationsunterstützt verarbeitet, ohne die ihm nach diesem Bundesgesetz obliegenden Genehmigungs-, Melde-, Informationsoder Registrierungspflichten erfüllt zu haben, oder wer Daten entgegen den Bestimmungen des § 47 Abs. 4 übermittelt.

(2)

Der Versuch ist strafbar.

(3)

Die Strafe des Verfalls von Datenträgern und Programmen kann ausgesprochen werden (§§ 10, 17 und 18 VStG 1950), wenn diese Gegenstände mit einer Verwaltungsübertretung nach Abs. 1 in Zusammenhang stehen.

(4)

Zuständig für Entscheidungen nach Abs. 1 bis 3 ist der Landeshauptmann.

(5)

(Verfassungsbestimmung) über Berufungen gegen Bescheide nach Abs. 4 entscheidet die Datenschutzkommission.

(6) Rechtskräftige Entscheidungen nach Abs. 4 sind der Datenschutzkommission zu übermitteln.

üBERGANGS- UND SCHLUSSBESTIMMUNGEN

GEMEINSAME VERARBEITUNG VON
DIENSTSTELLEN DESSELBEN VERWALTUNGSBEREICHES

§ 51. (1) Im Bereich der unmittelbaren Bundesverwaltung kann die Verarbeitung abweichend von § 6 von einem Bundesministerium als sachlich in Betracht kommende Oberbehörde für die Unterbehörden oder von einer Unterbehörde für andere Unterbehörden desselben Bundesministeriums geführt werden.

(2) Abs. 1 ist sinngemäß für die Landesverwaltung und die mittelbare Bundesverwaltung anzuwenden. Deren Datenverarbeitung kann durch die Landesregierung oder durch eine sonstige Einrichtung der Landesverwaltung geführt werden.

ERPROBUNG NEUER ARBEITSWEISEN UND TECHNIKEN DER VERWALTUNG

§ 52. (1) Die Bestimmungen der §§ 6, 7, 9 und 10 finden keine Anwendung auf Verarbeitungen, soweit diese von den in den §§ 4 und 5 genannten Rechtsträgern eingesetzt werden zur Erprobung neuer Arbeitsweisen und Techniken der Verwaltung, bevor diese zum allgemeinen Einsatz gelangen.

(2)

In sinngemäßer Anwendung des § \0 Abs. 2 und 3 sind für Verarbeitungen nach Abs. 1 die zum Schutz der, Rechte des Betroffenen notwendigen Sicherungsmaßnahmen zu treffen.

(3)

Für Maßnahmen nach Abs. 1 sind nach Anhörung der Datenschutzkommission und des Datenschutzrates Verordnungen zu erlassen. In diesen Verordnungen ist auf die Grundsätze der Zweckmäßigkeit und Sparsamkeit der Verwaltung Bedacht zu nehmen und der sachliche und räumliche Bereich von Modellversuchen nach Abs. 1 sowie die Art und die Verwendung der Daten anzugeben. Die Verordnungen sind zu befristen, wobei die Fristsetzung in Entsprechung der für die Beurteilung der Modellversuche notwendigen Zeit zu erfolgen hat.

(4)

Die Verordnungen nach Abs.3 sind zu erlassen:

ANWENDllING DES § 7 AUF VERWALTUNGSANGELEGfNHEITEN GEMÄSS ART. 30 B-VG

§ 53. § 7 findet auf Daten aus dem Bereich der dem Präsidenten des Nationalrates gemäß Art. 30 B-VG übertragenen Verwaltungsange19~. Stück -Ausgegeben am

§ 58. (1) Dieses Bundesgesetz tritt, soweit in den folgenden Absätzen nicht anderes bestimmt ist, mit

28. November 1978 -Nr. 565 3631