370. Verordnung: Durchführung des Datenschutzgesetzes im Bereich des Bundesministeriums für Justiz

num: 1
paragraphs: 1. ABSCHNITT ALLGEMEINE BESTIMMUNGEN Gegenstand der Verordnung § 1. (1) Gegenstand dieser Verordnung sind die Grundsätze, nach denen personenbezogene Daten je nach ihrer Art unter Wahrung des Grundrechtes auf Datenschutz durch die zum Wirkungsbereich des Bundesministeriums für Justiz gehörigen Auftraggeber und Verarbeiter — soweit sie nicht für Zwecke der Strafrechtspflege tätig sind — ermittelt, verarbeitet, benützt und übermittelt werden. (2) Die Begriffsbestimmungen des § 3 DSG sind auch für diese Verordnung maßgeblich. Geltungsbereich § 2. (1) Auftraggeber im Sinn des § 1 sind nach Maßgabe ihrer sachlichen und örtlichen Zuständigkeit: 1. das Bundesministerium für Justiz für a) die Personalverwaltung; b) die Haushaltsführung; c) die Umstellung des Grundbuches auf automationsunterstützte Datenverarbeitung und hinsichtlich der Mitwirkung am Betrieb der umgestellten Grundbücher; d) die Datenerfassung und die Anonymisierung im Rahmen der automationsunterstützten Dokumentation der Entscheidungen des Obersten Gerichtshofs;
num: 2
paragraphs: 2. der Präsident des Obersten Gerichtshofs für die unter Z 1 lit. a und b bezeichneten Aufgaben;
num: 3
paragraphs: 3. die Generalprokuratur für die unter Z 1 lit. a bezeichnete Aufgabe;
num: 4
paragraphs: 4. die Präsidenten der Oberlandesgerichte für die unter Z 1 lit. a und b sowie im Unterhaltsvorschußgesetz, BGBl. Nr. 250/1976, bezeichneten Aufgaben;
num: 5
paragraphs: 5. die Oberstaatsanwaltschaften für die in Z 1 lit. a bezeichnete Aufgabe;
num: 6
paragraphs: 6. die Gerichte, deren Grundbücher auf automationsunterstützte Datenverarbeitung umgestellt werden, hinsichtlich der Mitwirkung an der Umstellung und für den Betrieb der umgestellten Grundbücher. (2) Verarbeiter im Sinn des § 1 sind die im Abs. 1 genannten Auftraggeber, soweit sie Tätigkeiten im Sinn des § 3 Z 6 DSG verrichten, insbesondere die Eingabe und Abfrage von Daten im Rahmen der Datenfernverarbeitung für sich oder andere Auftraggeber. (3) Für die Umstellung des Grundbuches auf automationsunterstützte Datenverarbeitung und für die umgestellten Grundbücher sind die in dieser Verordnung festgelegten Aufgaben des Auftraggebers, soweit es sich nicht um Akte der Gerichtsbarkeit handelt, von der nach der Geschäftseinteilung des Bundesministeriums für Justiz zuständigen Stelle wahrzunehmen. Die Betrauung von Organwaltern bei den Grundbuchsgerichten mit einzelnen dieser Aufgaben bleibt vorbehalten. (4) Ein Aufgabengebiet unterliegt dieser Verordnung nur hinsichtlich jener Daten, die zumindest in einer Phase des Verfahrensablaufs Gegenstand eines automationsunterstützten Vorganges sind. Verfügung über Daten § 3. (1) In allen Phasen des Datenverkehrs darf über Daten nur schriftlich und nur von jenen Bediensteten verfügt werden, die auf Grund der Organisationsvorschriften (Bundesministeriengesetz 1973, Gerichtsorganisationsrecht, Geschäftsordnung für die Gerichte I. und II. Instanz), der Geschäftseinteilung, der Geschäftsordnung, der Geschäftsverteilung und der Betriebsordnung sowie etwaiger besonderer Dienstanweisungen hiezu berechtigt sind. (2) Wind eine Aufgabe für mehrere Auftraggeber mit Hilfe derselben technischen Einrichtungen vollzogen, ist sicherzustellen, daß jeder Auftraggeber hur über die in seine Zuständigkeit fallenden Daten verfügen kann. Dasselbe gilt, wenn die Daten verschiedener Aufgabengebiete mit Hilfe derselben technischen Einrichtung verarbeitet werden. Datengeheimnis § 4. (1) Allen Bediensteten und sonstigen Personen, denen automationsunterstützt verarbeitete oder zu verarbeitende Daten auf Grund ihrer Beschäftigung beim oder für den Auftraggeber anvertraut werden oder zugänglich geworden sind, ist es — unbeschadet sonstiger Verschwiegenheitspflichten — untersagt, 1. sich Daten unzuständigerweise oder unbefugt zu beschaffen; 2. Daten zu einem anderen Zweck zu verwenden, als zur Erfüllung der ihnen übertragenen Aufgaben; 3. Daten aus den für die Verarbeitung bestimmten Räumen wegzubringen, soweit dies nicht der Erfüllung der ihnen übertragenen Aufgaben dient; 4. unbefugten Personen oder unzuständigen Stellten Daten mitzuteilen oder ihnen die Kenntnisnahme zu ermöglichen. (2) Die im Abs. 1 genannten Personen sind zur Einhaltung dieser Verbote auch nach Beendigung ihrer Tätigkeit (Verwendung, Zuteilung) oder ihres Dienstverhältnisses verpflichtet. (3) Sofern die in Abs. 1 genannten Personen nicht in einem Dienstverhältnis zur Republik Österreich stehen und mit Leistungen im Bereich der automationsunterstützten Datenverarbeitung befaßt sind, ist dafür zu sorgen, daß sie sich vor Aufnahme ihrer Tätigkeit dem Auftraggeber gegenüber schriftlich zur Wahrung des Datengeheimnisses im Sinn der Abs. 1 und 2 verpflichten. Schutzmaßnahmen § 5. Der Auftraggeber hat geeignete Maßnahmen zu treffen, um die Daten vor unbefugter Verwendung und Weitergabe, vor unzulässiger Veränderung und Löschung sowie vor Verlust zu schützen. Diese Maßnahmen sind hinsichtlich einer etwaigen besonderen Schutzbedürftigkeit bestimmter Datenarten abzustufen. Ansonst ist Daten eines Aufgabengebietes bei jedem Verarbeiter nach Maßgabe der von ihm vorzunehmenden Verarbeitungsschritte gleichartiger Schutz zu gewähren. 2. ABSCHNITT BESTIMMUNGEN ÜBER EINZELNE VORGÄNGE DES DATENVERKEHRS Ermittlung § 6. (1) Wird zur Ermittlung von Daten Rechts- oder Amtshilfe in Anspruch genommen, so ist das Ersuchen in sinngemäßer Anwendung des § 11 Abs. 1 zu begründen. (2) Macht ein Bediensteter gegenüber einer Dienstbehörde im Wirkungsbereich des Bundesministeriums für Justiz über seine persönlichen Verhältnisse, ohne gesetzlich hiezu verpflichtet zu sein, Angaben und sollen diese dem automationsunterstützten Datenverkehr zugeführt werden, so ist er auf diesen Umstand aufmerksam zu machen, bevor es zur Ermittlung dieser Daten kommt. Verarbeitung § 7. (1) Sofern nicht Dienstleistungen eines unter § 4 Albs. 1 DSG fallenden Verarbeiters in Anspruch genommen werden, sind Merkmale und Menge der einem Verarbeitungsvorgang zuzuführenden Daten und die Verarbeitungsregeln vom Auftraggeber im einzelnen festzulegen. (2) Daten dürfen nur auf Grund von schriftlichen Aufträgen des gemäß § 3 Abs. 1 hiezu berechtigten Bediensteten eingegeben werden. Diese Aufträge und die Aufzeichnungen über die Durchführung sind zu überprüfen und aufzubewahren. (3) Werden Dienstleistungen eines nicht unter § 4 Abs. 1 DSG fallenden Verarbeiters in Anspruch genommen, darf die Zurverfügungstellung der Daten und die Durchführung des Datenverkehrs nur auf Grund eines schriftlichen Auftrages des Auftraggebers erfolgen. Bei periodisch wiederkehrenden Verarbeitungen können diese Aufträge durch einvernehmlich festgelegte Durchführungspläne ersetzt wenden. (4) Sollen die Daten zweier oder mehrerer Auftraggeber gemeinsam verarbeitet wenden, ist eine eindeutige Abgrenzung der Aufgaben und Verantwortlichkeiten festzulegen. (5) Vorbehaltlich der Regelung der Speicherung sind die Daten nach Durchführung der Verarbeitung unverzüglich zu löschen, es sei denn, daß im Verhältnis zwischen Auftraggeber und Venarbeiter ihre Rückgabe auf Datenträgern vorgesehen ist. Ausdrucke und sonstige Aufzeichnungen sind zu vernichten. Speicherung § 8. Der Auftraggeber hat, wenn nicht Dienstleistungen eines unter § 4 Abs. 1 DSG fallenden Verarbeiters in Anspruch genommen werden, die Art und die Dauer der Speicherung der Daten festzuliegen. Dabei sind, sofern über die Aufbewahrung von Akten und anderen Unterlagen nicht schon durch andere Rechtsvorschriften etwas bestimmt ist, die Art der Daten, die Dauer der Durchführung des Datenverkehrs — allenfalls nach Phasen getrennt — und die voraussichtliche Dauer und Wahrscheinlichkeit des Bedarfes an Überprüfungsmöglichkeiten zu berücksichtigen; auf die wirtschaftliche Vertretbarkeit und die technischen Möglichkeiten ist Bedacht zu nehmen. Behandlung von Fehlern § 9. (1) Der Auftraggeber hat die Richtigkeit der Verarbeitungsergebnisse durch Stichproben zu überprüfen. (2) Wird ein Fehler festgestellt, hat der Auftraggeber unverzüglich alles Erforderliche zu unternehmen, um das Schadensausmaß gering zu halten, den Betroffenen unnötige Mühe zu ersparen, die Fehlenbehebung naschest einzuleiten und Folgefehler zu verhindern. Der zuständige Verarbeiter ist unverzüglich zu verständigen, wenn zu vermuten ist, daß die Fehlerursache in seinem Tätigkeitsbereich gelegen ist. Benützung § 10. (1) Der Auftraggeber darf Daten nur in der Art und in dem Umfang benützen, als dies für ihn zur Wahrnehmung der ihm gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bildet. (2) Die Bediensteten des Auftraggebers dürfen nur die Daten benützen, die sie zur Erfüllung der ihnen in der Geschäftseinteilung, Geschäftsverteilung und Geschäftsordnung übertragenen Aufgaben benötigen. Übermittlung § 11. (1) Übermittlungen von Daten durch den Auftraggeber, deren Zulässigkeit sich auf § 7 Abs. 1 Z 2 bis 5 oder Abs. 2 DSG gründet, bedürfen eines schriftlichen Auftrages des gemäß § 3 Abs. 1 hiezu berechtigten Bediensteten. Der Auftrag kann als Einzel- oder Dauerauftrag erteilt werden. (2) Im Auftrag ist anzugeben, auf Grund welcher Bestimmungen des § 7 DSG die Übermittlung zulässig ist. Gründet sich der Auftrag auf § 7 Abs. 2 DSG, ist festzuhalten, durch welche gesetzlichen Bestimmungen dem Empfänger jene Aufgaben übertragen sind, zu deren Wahrnehmung die zu übermittelnden Daten eine wesentliche Voraussetzung bilden. Im Fall des § 7 Abs. 1 Z 3 DSG hat der für die Auftragserteilung zuständige Bedienstete zu prüfen, ob die zur Anonymisierung der Daten getroffenen Maßnahmen gewährleisten, daß der Betroffene nicht bestimmt werden kann. (3) Einem Ersuchen um Übermittlung von Daten darf im Zweifelsfall nur entsprochen werden, wenn die ersuchende Stelle an der Klärung der für die Beurteilung der Zulässigkeit der Übermittlung maßgeblichen Sach- und Rechtslage mitwirkt. Um die Mitwirkung ist erforderlichenfalls zu ersuchen. (4) Werden die Daten für verschiedene Aufgabengebiete mit Hilfe derselben technischen Einrichtungen verarbeitet, so ist sicherzustellen, daß Verknüpfungen von Daten verschiedener Aufgabengebiete nur in den im § 7 DSG genannten Fällen erfolgen. (5) Übermittlungen sind, soweit dies zur Auskunftserteilung über die Empfänger der Daten erforderlich ist, aktenkundig zu machen; dies gilt nicht in den Fällen des § 13 Abs. 2 und 3. Registernummer § 12. (1) Bei Übermittlungen im Sinn des § 3 Z 8 DSG und Mitteilungen an den Betroffenen, die in schriftlicher Form ergehen und verarbeitete Daten zum Inhalt haben, ist die Registernummer auf jedem Schriftstück anzugeben. (2) Bei Übermittlungen im Sinn des § 3 Z 8 DSG und Mitteilungen an den Betroffenen mittels maschinell lesbarer Datenträger ist, soweit es sich nicht um maschinell lesbare Schriftstücke handelt, die Registernummer auf den Begleitpapieren anzugeben. (3) Erfolgte eine Übermittlung im Sinn des § 3 Z 8 DSG oder eine Mitteilung an den Betroffenen im Namen mehrerer Auftraggeber, so ist lediglich die Registernummer eines der Auftraggeber mit dem Zusatz „ua." anzugeben. 3. ABSCHNITT VERKEHR MIT DEN BETROFFENEN Auskunftsverfahren § 13. (1) Eine Auskunft gemäß § 11 DSG darf nur auf Grund eines Identitätsnachweises erteilt werden; sie ist nur gegen Empfangsbestätigung auszufolgen oder zu eigenen Handen zuzustellen. (2) Werden oder wurden Daten übermittelt, so sind dem Betroffenen auf Verlangen die Empfänger der übermittelten Daten bekanntzugeben. Handelt es sich um Übermittlungen, die im Rahmen eines automationsunterstützten Verfahrens organisatorisch vorgesehen sind, oder verursacht die Feststellung der Empfänger übermittelter Daten im Einzelfall unverhältnismäßig hohe Kosten oder einen nicht zumutbaren Arbeitsaufwand, so sind dem Betroffenen die auf Grund der Verfahrensorganisation bzw. der Sach- und Rechtslage für solche Übermittlungen in Betracht kommenden Empfänger mitzuteilen. (3) Dem Betroffenen ist, unbeschadet der ihm nach den maßgeblichen Verfahrensvorschriften zustehenden Rechte, keine Auskunft über die Empfänger übermittelter Daten zu erteilen, wenn diese Übermittlung für Zwecke eines gerichtlichen oder verwaltungsbehördlichen Strafverfahrens oder eines Disziplinarverfahrens durchgeführt wurde und ein überwiegendes öffentliches Interesse die Geheimhaltung erfordert. In anderen Rechtsvorschriften festgelegte Auskunftsbeschränkungen werden hiedurch nicht berührt. Richtigstellung und Löschung § 14. (1) Rechtsverbindlich festgelegte Daten dürfen nur auf Grund einer Entscheidung des für die Feststellung zuständigen Organs richtiggestellt oder gelöscht werden. (2) Daten, die für Zwecke der Dokumentation und der internen Kontrolle aufbewahrt werden, dürfen nicht richtiggestellt und vor Ablauf der Aufbewahrungsfrist nicht gelöscht werden. (3) Durch geeignete organisatorische Maßnahmen ist sicherzustellen, daß im Fall eines Rückgriffs auf die zu Sicherungszwecken aufbewahrten Datenbestände allfällige Richtigstellungen und Löschungen wirksam bleiben. 4. ABSCHNITT INANSPRUCHNAHME VON DIENSTLEISTUNGEN Vorgangsweise § 15. (1) Die Inanspruchnahme von Dienstleistungen gemäß § 13 Abs. 1 DSG bedarf, soweit sie nicht auf Grund einer gesetzlichen Bestimmung erfolgt, unbeschadet der in § 13 DSG genannten Voraussetzungen, der Zustimmung des Behördenleiters. (2) Wenn Dienstleistungen auf Grund einer gesetzlichen Bestimmung in Anspruch genommen oder wenn sie gemäß § 51 Abs. 1 DSG erbracht werden, hat der Auftraggeber vorzusorgen, daß bei der Verarbeitung und Übermittlung je nach Art der Daten und der Aufgabenstellung allenfalls notwendige besondere Vorkehrungen getroffen werden. (3) Der Auftraggeber hat sich, sofern nicht Dienstleistungen eines unter § 4 Abs. 1 DSG fallenden Verarbeiters in Anspruch genommen werden, regelmäßig von der Einhaltung der Datenschutzbestimmungen durch den Verarbeiter zu überzeugen. Vertragliche Sicherstellung § 16. (1) Verträge (Verwaltungsübereinkommen) gemäß § 13 Abs. 2 DSG (Datenschutzverträge) haben neben der Bedachtnahme auf die Vorschriften des DSG und der auf Grund dieses Gesetzes erlassenen Durchführungsbestimmungen zumindest die sich aus dieser Verordnung ergebenden Verpflichtungen sowie die je nach Art der Daten und der Aufgabenstellung allenfalls notwendigen besonderen Vorkehrungen zu enthalten. Ferner ist, soweit nicht Dienstleistungen eines unter § 4 Abs. 1 DSG fallenden Verarbeiters in Anspruch genommen werden, darauf zu achten, daß die folgenden Punkte vertraglich sichergestellt werden: 1. Der Verarbeiter darf Daten, die ihm im Zusammenhang mit dem Auftrag übergeben oder sonst zugänglich geworden sind oder die sich aus der Verarbeitung ergeben haben, zu keinem anderen Zweck als dem der Erfüllung des Vertrages verwenden. 2. Alle Personen, die vom Verarbeiter im Zusammenhang mit der Vertragserfüllung herangezogen werden und denen die in Z 1 genannten Daten zugänglich werden können, haben sich gegenüber dem Verarbeiter in sinngemäßer Anwendung des § 4 Abs. 3 schriftlich zur Wahrung des Datengeheimnisses zu verpflichten. 3. Die Erfüllung der Ansprüche der Betroffenen nach den §§ 11 und 12 DSG und die Vollstreckbarkeit von Entscheidungen der Datenschutzkommission und der Gerichte müssen gewahrt bleiben. 4. Der Auftraggeber kann, wenn er eine Rechtswidrigkeit zu besorgen hat, einzelne oder alle dem Verarbeiter übergebenen Daten zurücknehmen. 5. Dem Auftraggeber ist jederzeit der Zutritt zu den Räumen, in denen die Verarbeitung stattfindet, gestattet, um sich von der Einhaltung der vorstehend beschriebenen Regelung zu überzeugen. (2) Fällt der Verarbeiter unter § 4 Abs. 1 DSG, kann dessen Betriebsordnung dem Datenschutzvertrag zugrunde gelegt werden, wobei je nach Art der Daten und der Aufgabenstellung etwaige Varianten (Kategorien) dieser Betriebsordnung festzulegen sind. Ferner ist zu vereinbaren, daß 1. der Auftraggeber im Bedarfsfall, insbesondere bei Änderung der tatsächlichen oder rechtlichen Gegebenheiten, eine neue Einstufung vornehmen kann; 2. eine Änderung der Betriebsordnung, wie sie zum Zeitpunkt des Vertragsabschlusses gegolten hat, gegenüber dem Auftraggeber nur wirksam wird, wenn dieser binnen einer zu bestimmenden Frist nach Bekanntgabe der beabsichtigten Änderung dagegen keinen Widerspruch erhoben hat. 5. ABSCHNITT KOSTENERSATZ FÜR DIE ERTEILUNG VON AUSKÜNFTEN Pauschalierter Kostenersatz § 17. Für die Erteilung einer Auskunft im Sinn des § 11 Abs. 1 DSG sind folgende pauschalierte Kostenersätze zu entrichten: 1. für jede Auskunft über den aktuellen Stand der Daten des Antragstellers 100 S je Zweck der Verarbeitung; 2. für jede darüber hinaus gehende Auskunft 500 S je Zweck der Verarbeitung; in jenen Fällen, in denen die Auskunftserteilung einen besonders hohen technischen oder organisatorischen Aufwand erfordert, 1000 S je Zweck der Verarbeitung. Befreiung von Kostenersätzen § 18. Die in § 17 angeführten Kostenersätze sind nicht zu entrichten, wenn 1. der Antragsteller nachweist, daß sein monatliches Einkommen die Richtsätze der Ausgleichszulagen nach dem ASVG nicht überschreitet, oder 2. der Aufwand für die Auskunftserteilung geringfügig ist. Mitteilung des Kostenersatzbetrages § 19. (1) Dem Antragsteller ist der Betrag des für die Auskunftserteilung zu entrichtenden Kostenersatzes mitzuteilen. (2) Von der Bearbeitung eines Auskunftsantrages ist abzusehen, wenn der gemäß Abs. 1 mitgeteilte Betrag nicht entrichtet wurde. Berechnung der Frist des § 11 Abs. 1 DSG § 20. Die in § 11 Abs. 1 DSG enthaltene Frist für die Erteilung von Auskünften beginnt erst zu laufen, sobald die Entrichtung des mitgeteilten Kostenersatzbetrages nachgewiesen ist. Ausnahmen § 21. Die Bestimmungen dieses Abschnittes sind auf Fälle nicht anzuwenden, für die in Rechtsvorschriften des Bundes besondere Auskunftsrechte außerhalb des DSG festgelegt sind. 6. ABSCHNITT Inkrafttreten § 22. Die Bestimmungen des 1. bis 4. Abschnittes dieser Verordnung treten mit 20. Feber 1981 in Kraft, diejenigen des 5. Abschnittes mit 20. August 1980. Broda