Niederösterreich: NÖ Datenschutzgesetz 2018 (NÖ DSG 2018)

num: 1.
paragraphs: Abschnitt Allgemeines, Anwendungsbereich, Datengeheimnis und Anwendung von Bestimmungen des Datenschutzgesetzes
(1) Dieses Gesetz regelt-den Schutz nichtautomatisiert verarbeiteter personenbezogener Daten, die in Dateisystemen gespeichert sind oder gespeichert werden sollen, in Angelegenheiten, in denen die Gesetzgebung Landessache ist, sowie-die Benennung eines oder einer bzw. mehrerer Datenschutzbeauftragten für den Wirkungsbereich des Landes.(2) Dieses Gesetz gilt nicht für Angelegenheiten, in denen die Gesetzgebung Bundessache ist.
(1) Die Bestimmungen der §§ 2 bis 6 dieses Gesetzes sind auf die im Rahmen des § 1 erfolgende Verarbeitung personenbezogener Daten natürlicher Personen anzuwenden.(2) Dieses Gesetz ist auf die Verarbeitung personenbezogener Daten durch natürliche Personen für ausschließlich persönliche oder familiäre Tätigkeiten nicht anzuwenden.
(1) Die Verpflichtung des bzw. der Verantwortlichen und des Auftragsverarbeiters bzw. der Auftragsverarbeiterin (Art. 4 Z 7 und 8 DSGVO) sowie von deren Mitarbeitern zur Geheimhaltung von Daten, die diesen auf Grund ihrer berufsmäßigen Beschäftigung bekannt geworden sind, richtet sich nach § 6 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 in der Fassung BGBl. I Nr. 24/2018 (im Folgenden: DSG).(2) Datenverarbeitung zu spezifischen Zwecken sind nach den Bestimmungen des §§ 7 bis 10 DSG zulässig. Weiters ist die Bestimmung des § 4 Abs. 2, 3, 5 und 6 DSG bei Datenverarbeitungen nach diesem Gesetz anwendbar.
num: 2.
paragraphs: Abschnitt Datenschutzbehörde und Rechtsschutz
(1) Die Datenschutzbehörde nach § 18 Abs. 1 DSG ist Aufsichts- und Strafbehörde; ihr obliegt im Rahmen ihrer Zuständigkeit die Verhängung von Geldbußen gegenüber natürlichen und juristischen Personen.(2) Zum Zweck der Einschau ist die Datenschutzbehörde nach Verständigung des Inhabers oder der Inhaberin der Räumlichkeiten und des oder der Verantwortlichen bzw. des Auftragsverarbeiters oder der Auftragsverarbeiterin berechtigt,-Räume, in welchen Datenverarbeitungen vorgenommen werden, zu betreten,-die zu überprüfenden Verarbeitungen durchzuführen sowie-Kopien von Datenträgern in dem für die Ausübung der Kontrollbefugnisse unbedingt erforderlichen Ausmaß herzustellen.(3) Informationen, die der Datenschutzbehörde oder ihren Beauftragten bei der Kontrolltätigkeit zukommen, dürfen ausschließlich für die Kontrolle im Rahmen der Vollziehung datenschutzrechtlicher Vorschriften verwendet werden. Die Pflicht zur Verschwiegenheit besteht auch gegenüber Gerichten und Verwaltungsbehörden, insbesondere Abgabenbehörden, soweit in Abs. 4 nichts Gegenteiliges bestimmt ist.(4) Ergibt die Einschau den Verdacht-einer strafbaren Handlung nach § 6 dieses Gesetzes oder-einer strafbaren Handlung nach §§ 118a, 119, 119a, 126a bis 126c, 148a oder 278a StGB, BGBl. Nr. 60/1974, oder-eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt,ist Anzeige zu erstatten und hinsichtlich solcher Verbrechen und Vergehen auch dem Ersuchen der Strafgerichte nach § 76 StPO, BGBl. Nr. 631/1975, zu entsprechen.(5) Die Befugnisse des § 22 Abs. 1, 4 und 6 DSG sind sinngemäß anzuwenden.(6) Die Datenschutzbehörde hat dem Art. 59 der Datenschutz-Grundverordnung entsprechende Tätigkeitsberichte auch der Landesregierung vorzulegen, wenn der Bericht dieses Gesetz betreffende Ausführungen beinhaltet.(7) § 23 Abs. 2 DSG ist auch auf Entscheidungen dieses Gesetz betreffend anzuwenden.
(1) Für Rechtsbehelfe, Haftung und Sanktionen, einschließlich des Rechts der Beschwerde an das Bundesverwaltungsgericht, sind die Bestimmungen der §§ 11 und 24 bis 30 DSG anzuwenden, soweit die folgenden Absätze nichts Besonderes bestimmen.(2) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die Datenschutz-Grundverordnung oder dieses Gesetz verstößt.(3) Jede Person, der wegen eines Verstoßes gegen die Datenschutz-Grundverordnung oder dieses Gesetz ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen Verantwortliche oder gegen Auftragsverarbeiter nach Art. 82 der Datenschutz-Grundverordnung. Im Einzelnen gelten für diesen Schadenersatzanspruch die allgemeinen Bestimmungen des bürgerlichen Rechts.(4) Geldbußen gegen juristische Personen können von der Datenschutzbehörde verhängt werden, wenn Verstöße gegen die Datenschutz-Grundverordnung oder dieses Gesetz von in § 30 DSG näher bezeichneten Personen begangen wurden.(5) Die Datenschutzbehörde hat von der Bestrafung eines Verantwortlichen gemäß § 9 des Verwaltungsstrafgesetzes 1991 – VStG, BGBl. Nr. 52/1991, abzusehen, wenn für denselben Verstoß bereits eine Verwaltungsstrafe gegen die juristische Person verhängt wird.(6) Die gemäß § 22 Abs. 5 DSG verhängten Geldbußen im Anwendungsbereich des § 2 fließen dem Land zu.
(1) Sofern die Tat nicht einen Tatbestand nach Art. 83 der Datenschutz-Grundverordnung verwirklicht oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, die mit Geldstrafe bis zu 50.000 Euro zu ahnden ist,
wer
1.sich vorsätzlich widerrechtlichen Zugang zu einem Dateisystem verschafft oder einen erkennbar widerrechtlichen Zugang vorsätzlich aufrechterhält,2.Daten vorsätzlich in Verletzung des Datengeheimnisses (§ 3 Abs. 1 in Verbindung mit § 6 DSG) übermittelt, insbesondere Daten, die ihm gemäß § 3 Abs. 2 in Verbindung mit §§ 7 oder 8 DSG anvertraut wurden, vorsätzlich für andere unzulässige Zwecke verarbeitet,3.sich unter Vortäuschung falscher Tatsachen vorsätzlich personenbezogene Daten gemäß § 3 Abs. 2 in Verbindung mit § 10 DSG verschafft,4.die Einschau gemäß § 4 Abs. 2 verweigert.
(2) Der Versuch ist strafbar.(3) Gegen juristische Personen können bei Verwaltungsübertretungen nach Abs. 1 und 2 Verwaltungsstrafen nach Maßgabe des § 5 Abs. 4 in Verbindung mit § 30 DSG verhängt werden.(4) Die Datenschutzbehörde ist zuständig für Entscheidungen nach Abs. 1 bis 3. Gegen Bescheide der Datenschutzbehörde ist Beschwerde an das Bundesverwaltungsgericht zulässig.(5) Gegen Behörden und öffentliche Stellen, wie insbesondere in Formen des öffentlichen Rechts sowie des Privatrechts eingerichtete Stellen, die im gesetzlichen Auftrag handeln, und gegen Körperschaften des öffentlichen Rechts, können keine Verwaltungsstrafen verhängt werden.
num: 3.
paragraphs: Abschnitt Datenschutzbeauftragter oder Datenschutzbeauftragte
(1) Im Wirkungsbereich des Landes sind unter Bedachtnahme auf Art und Umfang der Datenverarbeitungen sowie je nach Einrichtung der Dienststellen ein oder eine bzw. mehrere Datenschutzbeauftragter oder Datenschutzbeauftragte zu bestellen, wenn dies nach Art. 37 Abs. 1 der Datenschutz-Grundverordnung verpflichtend vorgesehen ist.(2) Der oder die Datenschutzbeauftragte kann unbefristet oder befristet für die Dauer von maximal fünf Jahren bestellt werden. Wiederbestellungen sind zulässig.(3) Der oder die Datenschutzbeauftragte ist in Ausübung der Aufgaben an keine Weisungen gebunden.(4) Der oder die Datenschutzbeauftragte hat das bestellende Organ auf Verlangen über alle Gegenstände der Geschäftsführung zu informieren. Dem ist vom oder von der Datenschutzbeauftragten nur insoweit zu entsprechen, als dies nicht der Unabhängigkeit des oder der Datenschutzbeauftragten im Sinne von Art. 38 Abs. 3 der Datenschutz-Grundverordnung widerspricht.(5) Der oder die Datenschutzbeauftragte und die für ihn oder sie tätigen Personen sind unbeschadet sonstiger Verschwiegenheitspflichten bei der Erfüllung der Aufgaben zur Geheimhaltung verpflichtet. Dies gilt insbesondere in Bezug auf die Identität betroffener Personen, die sich an den Datenschutzbeauftragten oder an die Datenschutzbeauftragte gewandt haben, sowie über Umstände, die Rückschlüsse auf diese Personen zulassen, es sei denn, es erfolgte eine ausdrückliche Entbindung von der Verschwiegenheit durch die betroffene Person. Der oder die Datenschutzbeauftragte und die für ihn oder sie tätigen Personen dürfen die zugänglich gemachten Informationen ausschließlich für die Erfüllung der Aufgaben verwenden und sind auch nach Ende ihrer Tätigkeit zur Geheimhaltung verpflichtet.(6) Erhält ein Datenschutzbeauftragter oder eine Datenschutzbeauftragte bei seiner oder ihrer Tätigkeit Kenntnis von Daten, für die einer der Kontrolle des oder der Datenschutzbeauftragten unterliegenden Stelle beschäftigten Person ein gesetzliches Aussageverweigerungsrecht zusteht, steht dieses Recht auch dem oder der Datenschutzbeauftragten und den für ihn oder sie tätigen Personen insoweit zu, als die Person, der das gesetzliche Aussageverweigerungsrecht zusteht, davon Gebrauch gemacht hat. Im Umfang des Aussageverweigerungsrechts des oder der Datenschutzbeauftragten unterliegen seine oder ihre Akten und andere Schriftstücke einem Sicherstellungs- und Beschlagnahmeverbot. Die Befugnisse der Aufsichtsbehörde nach Art. 58 der Datenschutz-Grundverordnung, § 22 DSG bzw. diesem Gesetz werden davon nicht berührt.(7) Die Funktion als Datenschutzbeauftragter oder Datenschutzbeauftragte endet, wenn-er oder sie die Aufgaben nicht mehr ausüben kann,-die Voraussetzungen für die Bestellung nachträglich weggefallen sind,-die Bestelldauer nach Abs. 2 abgelaufen ist, soweit keine Wiederbestellung erfolgt,-er oder sie aus dem Dienststand ausscheidet,-er oder sie eine (Eltern-)Karenz (einen Karenzurlaub) von mehr als drei Monaten antritt oder-er oder sie auf die Bestellung verzichtet, wobei der Verzicht gegenüber dem bestellenden Organ geltend zu machen ist und mit dem Einlangen bei diesem wirksam wird.
num: 4.
paragraphs: Abschnitt Durchführungshinweis, Schluss- und Übergangsbestimmungen
Dieses Gesetz dient der Durchführung der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. L 119 vom 4. Mai 2016, S. 1.
(1) Verordnungen dürfen bereits nach der Kundmachung des Gesetzes erlassen werden. Diese Verordnungen dürfen aber frühestens mit dem im Abs. 1 bezeichneten Zeitpunkt in Kraft gesetzt werden.(2) Mit dem Inkrafttreten dieses Gesetzes tritt das NÖ Datenschutzgesetz, LGBl. 0901, außer Kraft.(3) Verfahren, die zum 25. Mai 2018 noch anhängig sind, sind nach den Bestimmungen dieses Gesetzes und der Datenschutz-Grundverordnung fortzuführen. Ein strafbarer Tatbestand, der vor dem Inkraftreten dieses Gesetzes verwirklicht wurde, ist nach jener Rechtslage zu beurteilen, die für den Täter in ihrer Gesamtauswirkung günstiger ist; dies gilt auch für das Rechtsmittelverfahren.(4) Besondere Bestimmungen über die Verarbeitung von personenbezogenen Daten in anderen Landesgesetzen bleiben unberührt.
Der Präsident
Wilfing
Die Landeshauptfrau
Mikl-Leitner