316. Verordnung: Durchführung des Datenschutzgesetzes im Wirkungsbereich des Bundesministeriums für Inneres (Datenschutzverordnung)

num: 1
paragraphs: § 1. Diese Verordnung gilt für alle Auftraggeber und Dienstleister im Wirkungsbereich des Bundesministeriums für Inneres. Auftraggeber und Aufgabengebiete
num: 2
paragraphs: § 2. Auftraggeber sind nach Maßgabe ihrer sachlichen und örtlichen Zuständigkeit im Hinblick auf die Vollziehung der in
num: 3
paragraphs: § 3 genannten Aufgabengebiete: 1. das Bundesministerium für Inneres, 2. die Sicherheitsdirektionen, 3. die Bundespolizeidirektionen, 4. die Dienststellen der Bundesgendarmerie. § 3. Aufgabengebiete im Sinne dieser Verordnung sind: 1. Vollziehung des Dienst- und Besoldungsrechtes für die aktiven Bundesbediensteten einschließlich der Rechtsvorschriften über die Ausbildung und Planstellenbewirtschaftung (Personalverwaltung), 2. Haushaltsführung einschließlich der damit im Zusammenhang stehenden Neben- und Hilfsverrechnungen sowie der Betriebsabrechnungen, 3. Führung des Strafregisters, 4. Vollziehung des Kraftfahrgesetzes, BGBl. Nr. 267/1967, und des Verwaltungsstrafgesetzes, BGBl. Nr. 172/1950, in bezug auf Angelegenheiten des Zulassungswesens, sowie des Verwaltungsstrafverfahrens im Bereiche des Kraftfahrrechtes sowie des Verkehrsrechtes, 5. Vollziehung des Fremdenpolizeigesetzes, BGBl. Nr. 75/1954, 6. Vollziehung des Paßgesetzes, BGBl. Nr. 422/1969, 7. Vollziehung des Waffengesetzes, BGBl. Nr. 121/1967, 8. Vollziehung des Meldegesetzes, BGBl. Nr. 30/1973, 9. Vollziehung des Wählerevidenzgesetzes, BGBl. Nr. 601/1973, 10. Vollziehung des Zivildienstgesetzes, BGBl. Nr. 187/1974, 11. Vollziehung des Bundesministeriengesetzes, BGBl. Nr. 76/1986, jeweils in der geltenden Fassung. Datensicherheitsmaßnahmen
num: 4
paragraphs: § 4. (1) Die in § 2 genannten Auftraggeber oder Dienstleister haben für die Organisationseinheiten ihres örtlichen und sachlichen Zuständigkeitsbereiches, die Daten verwenden, Datensicherheitsmaßnahmen derart anzuordnen, den jeweiligen technischen und organisatorischen Änderungen umgehend anzupassen und zu dokumentieren, daß für die verwendeten Daten die nach ihrer Art angemessene Schutzwirkung erreicht wird. Liegen Daten mit unterschiedlicher Schutzwürdigkeit vor, so dürfen Daten mit geringerer Schutzwürdigkeit mit Daten höherer Schutzwürdigkeit gleichbehandelt werden. (2) Der Auftraggeber oder Dienstleister hat jene Organisationseinheit zu bestimmen, die die Zutrittsberechtigungen zu den Räumlichkeiten, in denen die Datenverarbeitung stattfindet, vergibt, ändert, kontrolliert und entzieht. Er hat durch die geeigneten organisatorischen, personellen, technischen und baulichen Maßnahmen die Inbetriebnahme von Einrichtungen für die Verarbeitung, insbesondere von Dateneingabe- und Abfragegeräten durch nichtberechtigte Personen zu verhindern. (3) Der Leiter der Organisationseinheit, die Daten verwendet, legt unter Bedachtnahme auf die Art der Daten fest, welche Bediensteten die jeweiligen Daten verwenden dürfen. (4) Das Bundesministerium für Inneres hat jene Organisationseinheit zu bestimmen, die die Zugriffsberechtigungen vergibt, ändert, kontrolliert und entzieht. Dabei ist darauf Bedacht zu nehmen, daß sowohl die Organisationseinheit als auch der einzelne Zugriffsberechtigte unterscheidbar sind. Der Zugriff auf das Betriebssystem ist darüber hinaus durch geeignete Maßnahmen zu sichern. (5) Die für die Verarbeitung notwendigen Daten und Programme einschließlich der dazugehörigen Dokumentation sind auch außerhalb der Verarbeitungsstätte gesichert aufzubewahren. (6) Die Vernichtung unbrauchbarer oder nicht mehr benötigter Ausdrucke und sonstiger Datenträger ist vom Auftraggeber oder Dienstleister durch entsprechende personelle oder vertragliche Maßnahmen sicherzustellen. (7) Jeder Bedienstete, dem in Ausübung seines Dienstes Daten anvertraut werden oder zugänglich sind, ist über seine Pflichten nach dem Datenschutzgesetz, der Datenschutzverordnung und den innerorganisatorischen Datenschutzvorschriften, insbesondere über die von ihm einzuhaltenden Datensicherheitsvorschriften, nachweislich zu belehren und von deren Änderungen umgehend und nachweislich in Kenntnis zu setzen. Grundsätze für die Ermittlung, Verarbeitung und Benützung
num: 5
paragraphs: § 5. (1) Wird zur Ermittlung und Verarbeitung von Daten Amtshilfe in Anspruch genommen, so ist das Amtshilfeersuchen so zu begründen, daß die ersuchte Stelle die Zulässigkeit der Übermittlung gemäß § 7 DSG beurteilen kann. Die Begründung kann entfallen, wenn die Zulässigkeit der Übermittlung für die ersuchte Stelle offenkundig ist oder anläßlich eines vorangegangenen Amtshilfeersuchens gleicher Art festgestellt wurde. (2) Die Ermittlung und Verarbeitung von Daten ist dann als wesentliche Voraussetzung für die Wahrnehmung der gesetzlich übertragenen Aufgaben zu erachten, wenn andere Möglichkeiten, die gesetzlich übertragenen Aufgaben wahrzunehmen, nicht vorliegen oder sie auf Grund des zu erwartenden Aufwandes dem Auftraggeber nicht zuzumuten sind. (3) Werden Daten vom Betroffenen ermittelt, so ist dieser vor der Ermittlung darüber zu informieren, ob eine gesetzliche Verpflichtung zur Offenlegung seiner personenbezogenen Daten besteht oder ob die Ermittlung durch seine freiwillige Mitwirkung zustande kommt.
num: 6
paragraphs: § 6. (1) Jedes Programm ist vor seinem Einsatz in der Verarbeitung personenbezogener Daten von der durch das Bundesministerium für Inneres zu bestimmenden Organisationseinheit freizugeben. (2) Die Daten und Programme sind vor Entstellung, Zerstörung und Verlust sowie gegen unbefugte Verwendung und Weitergabe zu schützen. (3) Wird ein Aufgabengebiet für mehrere Auftraggeber mit Hilfe derselben technischen Einrichtung oder im Netzwerkverbund vollzogen, so ist sicherzustellen, daß jedem Auftraggeber die in die Zuständigkeit eines anderen Auftraggebers fallenden Daten nur in den im
num: 7
paragraphs: § 7 DSG genannten Fällen zugängig gemacht werden. Dasselbe gilt, wenn die Daten für verschiedene Aufgabengebiete mit Hilfe derselben technischen Einrichtung oder im Netzwerkverbund verarbeitet werden. (4) Daten dürfen nur auf Grund von schriftlichen Aufträgen verarbeitet werden. Die Aufträge dürfen auch fernmündlich oder im Funkwege ergehen, wenn die kurzfristige Durchführung des Auftrages für die erfolgreiche Durchführung einer Amtshandlung notwendig ist. Die Eingabeprotokolle aller Arten von Verarbeitungsaufträgen sind zu überprüfen und aufzubewahren. (5) Der Auftraggeber hat, soweit ihm dies mit vertretbarem Arbeitsaufwand möglich ist, die Richtigkeit der Verarbeitungsergebnisse durch Stichproben oder sonstige geeignete Methoden zu überprüfen. (6) Wird ein Fehler festgestellt, so hat der Auftraggeber die Fehlerbehebung umgehend einzuleiten und die Fehlerursache zu beheben. Der betreffende Dienstleister ist unverzüglich zu verständigen, wenn zu vermuten ist, daß die Fehlerursache in seinem Tätigkeitsbereich liegt. (7) Die Benützung der Daten darf nur in der Art und in dem Umfang erfolgen, als hiefür eine ausdrückliche gesetzliche Ermächtigung besteht oder dies für den Auftraggeber für die Wahrnehmung der ihm gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bildet. (8) Die Bediensteten des Auftraggebers dürfen nur jene Daten benützen, die sie zur Erfüllung der ihnen übertragenen Aufgaben benötigen. Grundsätze für die Übermittlung von Daten § 7. (1) Übermittlungen von Daten durch den Auftraggeber oder Dienstleister bedürfen, sofern sie sich nicht auf eine ausdrückliche gesetzliche Ermächtigung stützen, einer schriftlichen Genehmigung des zuständigen Organs. Die Genehmigung kann für den Einzelfall oder generell erteilt werden. (2) Der Auftraggeber hat zu veranlassen, daß vom Österreichischen Statistischen Zentralamt im Anschluß an die anonymisierte Verarbeitung gemäß § 7 Abs. 1 Z 3 DSG die personenbezogenen Daten dem übermittelnden Organ zurückgegeben, gelöscht oder auftragsgemäß aufbewahrt oder verarbeitet werden.
num: 8
paragraphs: § 8. Einem Ersuchen um Übermittlung von Daten darf nur entsprochen werden, wenn die ersuchende Stelle an der Klärung der für die Beurteilung der Zulässigkeit der Übermittlung maßgeblichen Sach- und Rechtslage mitwirkt. Um die Mitwirkung ist erforderlichenfalls zu ersuchen, es sei denn, die Zulässigkeit der Übermittlung ist offenkundig.
num: 9
paragraphs: § 9. (1) Eine Übermittlung in den Fällen des § 7 Abs. 3 DSG ist zulässig, wenn andere Möglichkeiten, das berechtigte Interesse des Dritten zu wahren, nicht vorliegen oder nicht zumutbar sind. Auch in diesem Fall ist die Übermittlung nur zulässig, wenn das schutzwürdige Interesse des Betroffenen an der Geheimhaltung nicht überwiegt. Derartige Übermittlungen sind zu protokollieren. (2) Daten gelten dann als veröffentlicht, wenn sie einem generell bestimmten Personenkreis zugänglich gemacht wurden. Grundsätze für die Überlassung von Daten
num: 10
paragraphs: § 10. (1) Die in § 2 genannten Organisationseinheiten der Auftraggeber können unter den in § 13 DSG genannten Voraussetzungen nach Genehmigung durch das Bundesministerium für Inneres Dienstleister in Anspruch nehmen. (2) Die Überlassung der Daten durch einen Dienstleister an einen weiteren ist nur mit vorheriger Genehmigung des Bundesministeriums für Inneres zulässig. Auskunftsrecht
num: 11
paragraphs: § 11. (1) Der Betroffene hat in seinem Antrag auf Auskunft gemäß § 11 DSG diejenigen Datenverarbeitungen im Sinne des § 8 DSG zu bezeichnen, bezüglich derer er die Auskunft wünscht, oder durch Vorlage von Unterlagen oder die Beschreibung von Lebensumständen glaubhaft zu machen, aus welchen Gründen anzunehmen ist, daß seine Daten irrtümlich oder mißbräuchlich in Datenbeständen des Auftraggebers enthalten sind. Eine allfällige Aufforderung zur Verbesserung eines Antrages auf Auskunft gemäß § 11 DSG hat ohne unnötigen Verzug zu erfolgen. (2) Der aktuelle Datenbestand im Sinne des § 11 Abs. 4 DSG umfaßt jene Daten, die in der betreffenden Datenverarbeitung dem Direktzugriff unterliegen oder — mangels eines solchen — den letztgültigen Datenbestand. (3) Eine Auskunft gemäß § 11 DSG darf nur auf Grund eines unbedenklichen Identitätsnachweises und gegen Empfangsbestätigung ausgefolgt oder zu eigenen Handen zugestellt werden. Eine Auskunftserteilung ist hinsichtlich des Aufgabengebietes und des Zeitpunktes der Erledigung zu dokumentieren.
num: 12
paragraphs: § 12. (1) Für die Erteilung einer Auskunft im Sinne des § 11 Abs. 4 DSG werden folgende pauschalierte Kostenersätze festgelegt: 1. für die Auskunft über den aktuellen Stand der Daten des Antragstellers, wenn dieser im laufenden Jahr bereits ein Auskunftsbegehren über dasselbe Aufgabengebiet gestellt hat, 100 S je Datenverarbeitung; 2. für jede darüber hinausgehende Auskunft 500 S je Datenverarbeitung; in jenen Fällen, in denen die Auskunftserteilung einen besonders hohen technischen oder organisatorischen Aufwand erfordert, 1000 S je Datenverarbeitung. (2) Die in Abs. 1 angeführten Kostenersätze sind nicht zu entrichten, wenn der Aufwand für die Auskunftserteilung geringfügig ist. (3) Dem Antragsteller ist der zu entrichtende Kostenersatz unverzüglich mitzuteilen. (4) Von der Bearbeitung eines Auskunftsantrages ist abzusehen, wenn der gemäß Abs. 3 mitgeteilte Kostenersatz nicht entrichtet wurde oder der Betroffene am Verfahren nicht ausreichend mitgewirkt hat. (5) Die in § 11 Abs. 1 DSG enthaltene Frist für die Erteilung von entgeltlichen Auskünften beginnt mit dem Einlangen des Kostenersatzes. Die Auskunft ist nach Einlangen des Kostenersatzes ohne unnötigen Verzug zu erteilen. Richtigstellung und Löschung
num: 13
paragraphs: § 13. (1) Eine logische Richtigstellung oder Löschung von Daten hat durch solche Maßnahmen zu erfolgen, die bei einer Abfrage die Unrichtigkeit der verarbeiteten Daten angeben und auf die richtigen Daten verweisen oder den Umstand der Löschung anzeigen. (2) Die für Zwecke der Dokumentation oder der internen Kontrolle aufzubewahrenden Daten dürfen nur durch einen entsprechenden Vermerk richtiggestellt und vor Ablauf der Aufbewahrungsfrist nur mit einem Löschungsvermerk versehen werden. (3) Durch geeignete organisatorische Maßnahmen ist sicherzustellen, daß im Falle eines Rückgriffes auf die zu Sicherungszwecken aufbewahrten Datenbestände allfällige Richtigstellungen und Löschungen wirksam bleiben. (4) Ein Betroffener, dessen Daten nach einer Übermittlung richtiggestellt oder gelöscht werden, hat ein Begehren auf Verständigung des Empfängers von der Richtigstellung bzw. Löschung schriftlich zu stellen. Angabe der Registernummer
num: 14
paragraphs: § 14. (1) Bei Übermittlungen im Sinne des § 3 Z 8 DSG und Mitteilungen an den Betroffenen, die in schriftlicher Form ergehen und automationsunterstützt verarbeitete Daten enthalten, ist die Registernummer anzugeben. (2) Bei Übermittlungen im Sinne des § 3 Z 8 DSG und Mitteilungen an den Betroffenen auf nur maschinell lesbaren Datenträgern ist die Registernummer entweder auf den Begleitpapieren oder auf dem Datenträger anzugeben. Schlußbestimmung
num: 15
paragraphs: § 15. Die Verordnung des Bundesministers für Inneres BGBl. Nr. 296/1980 in der Fassung der Verordnungen BGBl. Nr. 636/1986 und BGBl. Nr. 358/1980 tritt außer Kraft. Blecha