451. Verordnung: Durchführung des Datenschutzgesetzes im Wirkungsbereich der Post- und Telegraphenverwaltung

num: 1
paragraphs: § 1. (1) Die Bestimmungen dieser Verordnung gelten für die Auftraggeber (§ 3 Z 3 DSG) und Verarbeiter (§ 3 Z 4 DSG) im Wirkungsbereich der Post- und Telegraphenverwaltung, sofern personenbezogene Daten (§ 3 Z 1 DSG) automationsunterstützt zur Verarbeitung gelangen. (2) Auftraggeber im Sinne des Abs. 1 sind nach Maßgabe ihrer sachlichen und örtlichen Zuständigkeit: 1. das Bundesministerium für Verkehr, Generaldirektion für die Post- und Telegraphenverwaltung, im folgenden Generaldirektion genannt, 2. die Post- und Telegraphendirektion für Steiermark in Graz, 3. die Post- und Telegraphendirektion für Tirol und Vorarlberg in Innsbruck, 4. die Post- und Telegraphendirektion für Kärnten in Klagenfurt, 5. die Post- und Telegraphendirektion für Oberösterreich und Salzburg in Linz, 6. die Post- und Telegraphendirektion für Wien, Niederösterreich und Burgenland in Wien. (3) Aufgabengebiete im Bereich der Post- und Telegraphenverwaltung sind: 1. Fernmeldewesen 2. Postwesen 3. Postautowesen 4. Personalwesen 5. Wirtschaftswesen. Begriffsbestimmungen
num: 2
paragraphs: § 2. In dieser Verordnung bedeuten: 1. Auftraggebende Stelle: Die Abteilung des Auftraggebers, die nach der Geschäftseinteilung für die Besorgung einer bestimmten Verwaltungsmaterie zuständig ist. 2. Datenschutzkoordination: Die für den Bereich eines Auftraggebers nach der Geschäftseinteilung für Koordination und allgemeine rechtliche Belange des Datenschutzes zuständige Stelle. 3. ADV-Fachdienst: Die für die betreffende Datenverarbeitung zuständige Abteilung der Generaldirektion. 4. Datenschutzbeauftragter: Das für den Bereich eines Verarbeiters nach der Geschäftseinteilung oder Betriebsordnung für die Wahrnehmung des Datenschutzes und der Datensicherheit zuständige Organ. Ermittlung von Daten
num: 3
paragraphs: § 3. (1) Vor erstmaliger Ermittlung personenbezogener Daten für Zwecke der automationsunterstützten Verarbeitung hat die auftraggebende Stelle die Zulässigkeit nach den Bestimmungen des Datenschutzgesetzes zu prüfen und das Ergebnis der Prüfung in einem schriftlichen Bericht festzuhalten. Der Bericht ist der Datenschutzkoordination zu übermitteln. (2) Die Datenschutzkoordination hat nach Prüfung der Rechtslage und Abgabe eines Gutachtens dem Leiter des Auftraggebers eine Stellungnahme zur Aufnahme der Ermittlung vorzulegen. (3) Die Ermittlung darf nur auf Grund der schriftlichen Weisung des Leiters des Auftraggebers aufgenommen werden.
num: 4
paragraphs: § 4. (1) Sollen Daten für Zwecke einer gleichartigen Verarbeitung bei zumindest zwei der in § 1 Abs. 2 genannten Auftraggeber ermittelt werden, ist die Zulässigkeit von jedem zuständigen Auftraggeber gemäß § 3 zu prüfen. Das Ergebnis der Prüfung ist der Generaldirektion zu berichten. (2) Die für die beabsichtigte Verarbeitung gemeinsam zuständige auftraggebende Stelle der Generaldirektion hat die Zulässigkeit nach den Bestimmungen des Datenschutzgesetzes zu überprüfen und einen schriftlichen Bericht zu erstellen. Dieser Bericht ist der Datenschutzkoordination der Generaldirektion zu übermitteln. (3) Die Datenschutzkoordination der Generaldirektion hat dem Leiter der Generaldirektion eine Erledigung über die Aufnahme der Ermittlung vorzuschlagen. (4) Die Ermittlung im Bereich eines jeden Auftraggebers darf dessen Leiter nur auf Grund einer schriftlichen Weisung des Leiters der Generaldirektion anordnen.
num: 5
paragraphs: § 5. (1) Nach Feststellung der Zulässigkeit der Ermittlung ist die in Aussicht genommene Verarbeitung für die Erfordernisse des Datenschutzes zu dokumentieren. Diese Dokumentation hat alle in der Verarbeitung vorkommenden Datenfelder zu enthalten und Aussagen zu treffen über: 1. Art der Daten 2. Sensibilität der Daten 3. Herkunft der Daten 4. Aufgabengebiet 5. Kreis der Betroffenen 6. Zweck der Ermittlung und Verarbeitung 7. Zulässigkeit der Ermittlung und Verarbeitung 8. Übermittlungen im Inland 9. Verknüpfungen mit anderen Aufgabengebieten 10. Überlassungen in das Ausland oder direkten Zugriff aus dem Ausland 11. Benützungsberechtigungen 12. Geheimhaltung gegenüber dem Betroffenen. (2) Die Ausarbeitung der nach Abs. 1 zu erstellenden Dokumentation obliegt den auftraggebenden Stellen. Der ADV-Fachdienst und/oder Verarbeiter haben über Verlangen der auftraggebenden Stellen beratend mitzuwirken und jegliche Unterstützung zu gewähren. (3) Im Falle gleichartiger Verarbeitungen für mehr als einen Auftraggeber ist die Dokumentation von der auftraggebenden Stelle der Generaldirektion einvernehmlich mit den auftraggebenden Stellen des betroffenen Auftraggebers zu erstellen. Ansonsten gilt Abs. 2 sinngemäß. Verarbeitung
num: 6
paragraphs: § 6. (1) Auf der Grundlage der gemäß § 5 erstellten Dokumentation hat die Datenschutzkoordination — die Verarbeitung dem Datenverarbeitungsregister gemäß § 8 DSG zu melden — oder den Antrag auf Registrierung gemäß § 23 DSG zu stellen. (2) Ist anstelle einer Eintragung in das Datenverarbeitungsregister die Verständigung der Betroffenen gemäß § 22 DSG rechtlich zulässig und wird diese Möglichkeit gewählt, so hat der Leiter des Auftraggebers die Verständigung der Betroffenen anzuordnen. (3) Der Zeitpunkt, zu dem die gesetzlichen Voraussetzungen für die Aufnahme einer Echtverarbeitung erfüllt sind, ist von der Datenschutzkoordination der (den) auftraggebenden Stelle(n) und den für die Verarbeitung zuständigen Organen schriftlich bekanntzugeben. Vor diesem Zeitpunkt ist die Aufnahme der Echtverarbeitung unzulässig.
num: 7
paragraphs: § 7. Die Verarbeitung von Daten darf nur nach den in Übereinstimmung mit der in § 5 Abs. 1 genannten Dokumentation erstellten und von der (den) auftraggebenden Stelle(n) genehmigten Programmen erfolgen. Die Feststellung der Übereinstimmung der Programme mit der in § 5 Abs. 1 genannten Dokumentation obliegt dem ADV-Fachdienst.
num: 8
paragraphs: § 8. Die Verarbeiter haben für die ordnungsgemäße Durchführung der ihnen übertragenen Verarbeitungsaufträge unter Bedachtnahme auf die für sie geltende(n) Betriebsordnung(en) zu sorgen.
num: 9
paragraphs: § 9. Werden für Dienstleistungen im Datenverkehr nicht zur Post- und Telegraphenverwaltung zugehörige Verarbeiter in Anspruch genommen, ist vom Auftraggeber ein Vertrag gemäß § 13 Abs. 2 DSG abzuschließen. Benützung
num: 10
paragraphs: § 10. (1) Daten dürfen nur von jenen Stellen und Organwaltern benützt werden, die sie zur Erfüllung der ihnen gemäß Geschäftseinteilung zukommenden Aufgaben benötigen. (2) Die auftraggebenden Stellen haben zu jeder Verarbeitung im Rahmen der gemäß § 5 Abs. 1 zu erstellenden Dokumentation festzulegen, welche Stellen des Auftraggebers die Daten benützen dürfen und dementsprechend regelmäßig Ausdrucke erhalten und/oder im Wege der Datenfernverarbeitung Zugriff auf die Daten einer Verarbeitung haben. (3) Innerhalb der benützungsberechtigten Stellen ist vom Leiter festzulegen, welche Organwalter die Daten benützen dürfen. (4) Eine im Einzelfall über die Bestimmungen des Abs. 2 hinausgehende Benützung bedarf der Zustimmung des Leiters der auftraggebenden Stelle.
num: 11
paragraphs: § 11. Bei Zugriffsberechtigungen im Wege der Datenfernverarbeitung sind personenbezogene Daten durch Software-Einrichtungen mit Kennworten zu schützen, die nur den Benützungsberechtigten bekannt und periodisch zu ändern sind. Übermittlung
num: 12
paragraphs: § 12. (1) Regelmäßige Übermittlungen von Daten dürfen nur in dem Umfang erfolgen, als sie in der entsprechenden Registereintragung Deckung finden. In Fällen des § 6 Abs. 2 ist die Zulässigkeit regelmäßiger Übermittlungen unter Beachtung der gesetzlichen Bestimmungen in der Dokumentation festzulegen. (2) Bei Ersuchen um Übermittlungen im Rahmen der Amtshilfe hat das ersuchende Organ die Rechtsgrundlage für die geforderte Übermittlung bekanntzugeben. Die Übermittlung darf nur erfolgen, wenn die Notwendigkeit im Sinne des § 7 Abs. 2 DSG glaubhaft gemacht wurde. Hierüber entscheidet der Leiter der gemäß § 10 benützungsberechtigten Stelle. (3) Sonstige Übermittlungen im Einzelfall dürfen nur im Rahmen der Zulässigkeit des § 7 DSG erfolgen. Die Genehmigung obliegt dem Leiter des Auftraggebers.
num: 13
paragraphs: § 13. (1) Art und Umfang der Protokollierung sind für Verarbeiter im Sinne des DSG in der Betriebsordnung, für sonstige Stellen durch Weisung des Stellenleiters zu regeln. Hiebei ist sicherzustellen, daß über die übermittelten Daten und die Empfänger der Daten Auskunft gemäß § 11 DSG gegeben werden kann. (2) Bei regelmäßigen oder systematischen Übermittlungen kann eine gesonderte Protokollierung entfallen, wenn sie so dokumentiert und organisiert sind, daß eine Feststellung der Empfänger, des Kreises der Betroffenen und der Art der Daten möglich ist und dem Auskunftsrecht der Betroffenen gemäß § 11 DSG Folge geleistet werden kann. (3) Übermittlungen im Rahmen der Amtshilfe und sonstige Übermittlungen im Einzelfall sind in den diesbezüglichen Geschäftsstücken derart festzuhalten, daß dem Auskunftsrecht der Betroffenen gemäß § 11 DSG entsprochen werden kann. (4) Übermittlungen, die über Verlangen oder mit Einverständnis der Betroffenen (zB Mitteilungen an Finanzämter, Sozialversicherungsträger, Kreditinstitute) erfolgen, können anstatt in Geschäftsstücken auch in diesbezüglichen Hilfsaufzeichnungen vermerkt werden. Auskunftsverfahren
num: 14
paragraphs: § 14. (1) Auskunftsersuchen gemäß § 11 DSG sind schriftlich beim jeweils zuständigen Auftraggeber einzubringen. Auskünfte sind schriftlich ausschließlich mit RSa-Brief und an die im entsprechenden Arbeitsgebiet für den Betroffenen gespeicherte Adresse zu erteilen. Verlangt der Betroffene die Zustellung an eine andere als die gespeicherte Adresse, so hat er seine Identität postordnungsgemäß nachzuweisen. (2) Dem Betroffenen gegenüber sind, unbeschadet der ihm nach den maßgeblichen Verfahrensvorschriften zustehenden Rechte, die Empfänger übermittelter Daten geheimzuhalten, sofern die Übermittlung für Zwecke eines gerichtlichen oder verwaltungsbehördlichen Strafverfahrens oder eines Disziplinarverfahrens durchgeführt wurde und es sich um solche Daten handelt, die wegen überwiegendem öffentlichen Interesses auch gegenüber dem Betroffenen geheimzuhalten sind. In anderen Rechtsvorschriften festgelegte Auskunftsbeschränkungen werden hiedurch nicht berührt. (3) Werden oder wurden Daten übermittelt, so sind dem Betroffenen auf Verlangen die Empfänger der übermittelten Daten bekanntzugeben.
num: 15
paragraphs: § 15. (1) Für die Erteilung einer Auskunft im Sinne des § 11 Abs. 1 des Datenschutzgesetzes werden folgende pauschalierte Kostenersätze festgelegt: 1. für jede Auskunft über den aktuellen Stand der Daten des Antragstellers 100 S je Zweck der Verarbeitung; 2. für jede darüber hinausgehende Auskunft 500 S je Zweck der Verarbeitung; in jenen Fällen, in denen die Auskunftserteilung einen besonders hohen technischen oder organisatorischen Aufwand erfordert, 1000 S je Zweck der Verarbeitung. (2) Die in Abs. 1 angeführten Kostenersätze sind nicht zu entrichten: 1. wenn der Antragsteller nachweist, daß sein monatliches Einkommen die Richtsätze der Ausgleichszulagen nach dem ASVG nicht überschreitet oder 2. wenn der Aufwand für die Auskunftserteilung geringfügig ist. (3) Dem Antragsteller ist der für die Auskunftserteilung zu entrichtende Kostenersatz mitzuteilen. (4) Von der Bearbeitung eines Auskunftsantrages ist abzusehen, wenn der gemäß Abs. 3 mitgeteilte Kostenersatz nicht entrichtet wurde. (5) Die in § 11 DSG enthaltene Frist für die Erteilung von Auskünften beginnt erst zu laufen, sobald die Entrichtung des mitgeteilten Kostenersatzes nachgewiesen wird.
num: 16
paragraphs: § 16. Die Bestimmungen der §§ 14 und 15 sind, wenn der Auskunftswerber nicht ausdrücklich eine Auskunft nach § 11 DSG verlangt, auf die Fälle nicht anzuwenden, für die in Rechtsvorschriften des Bundes oder sonstigen Dienstvorschriften der Post- und Telegraphenverwaltung besondere Auskunftsrechte außerhalb des Datenschutzgesetzes festgelegt sind. Richtigstellung und Löschung
num: 17
paragraphs: § 17. (1) Richtigstellungen und Löschungen gemäß § 12 DSG hat der Auftraggeber zu veranlassen. Hiebei ist zu beachten, daß rechtsverbindlich festgestellte Daten wegen ihrer Unrichtigkeit nur auf Grund einer Entscheidung des für die Feststellung zuständigen Organs richtiggestellt oder gelöscht werden dürfen. (2) Daten, die für Zwecke der Dokumentation und der internen Kontrolle aufbewahrt werden, dürfen nicht richtiggestellt und vor Ablauf der Aufbewahrungsfrist nicht gelöscht werden. (3) Durch geeignete organisatorische Maßnahmen ist sicherzustellen, daß im Falle eines Rückgriffes auf die zu Sicherungszwecken aufbewahrten Datenbestände allfällige Richtigstellungen und Löschungen wirksam bleiben. Angabe der Registernummer
num: 18
paragraphs: § 18. (1) Bei Übermittlungen im Sinne des § 3 Z 8 DSG und Mitteilungen an den Betroffenen, die in schriftlicher Form ergehen und verarbeitete Daten zum Inhalt haben, ist die Registernummer auf jedem Schriftstück anzugeben. (2) Bei Übermittlungen im Sinne des § 3 Z 8 DSG und Mitteilungen an den Betroffenen mittels maschinell lesbarer Datenträger, soweit es sich nicht um maschinell lesbare Schriftstücke handelt, ist die Registernummer auf den Begleitpapieren anzugeben. (3) Erfolgte eine Übermittlung im Sinne des § 3 Z 8 DSG oder eine Mitteilung an den Betroffenen im Namen mehrerer Auftraggeber, so ist lediglich die Registernummer eines der Auftraggeber mit dem Zusatz „ua" anzugeben. Inkrafttreten
num: 19
paragraphs: § 19. Diese Verordnung tritt sechs Monate nach ihrer Kundmachung im Bundesgesetzblatt in Kraft. Gleichzeitig tritt die Verordnung des Bundesministers für Verkehr vom 21. Dezember 1979, BGBl. Nr. 584, für den Wirkungsbereich der Post- und Telegraphenverwaltung außer Kraft. Lausecker