250. Verordnung: Änderung der Verordnung zur Durchführung des Datenschutzgesetzes im Wirkungsbereich der Post- und Telegraphenverwaltung

num: 1
paragraphs: Artikel I Die Verordnung des Bundesministers für Verkehr vom 3. Oktober 1980, BGBl. Nr. 451, zur Durchführung des Datenschutzgesetzes im Wirkungsbereich der Post- und Telegraphenverwaltung wird wie folgt geändert: 1. Dem Titel der Verordnung wird folgender Kurztitel angefügt: „(Datenschutzverordnung-PTV)" 2. § 1 Abs. 1 lautet: „§ 1. (1) Die Bestimmungen dieser Verordnung gelten für die Auftraggeber (§ 3 Z 3 DSG) und Dienstleister (§ 3 Z 4 DSG) im Wirkungsbereich der Post- und Telegraphenverwaltung, sofern personenbezogene Daten (§ 3 Z 1 DSG) verwendet werden (§ 3 Z 12 DSG)." 3. Im § 1 Abs. 2 Z 1 werden nach den Worten „das Bundesministerium für" die Worte „öffentliche Wirtschaft und" eingefügt. 4. § 2 Z 4 lautet: „4. Datenschutzbeauftragter: Der/Die für eine Organisationseinheit eines Auftraggebers oder Dienstleisters nach der Geschäftseinteilung oder den Datensicherheitsvorschriften für die Wahrnehmung des Datenschutzes und der Datensicherheit zuständige(n) Organwalter." 5. § 3 lautet: „§ 3. (1) Die Ermittlung personenbezogener Daten obliegt dem sachlich und örtlich zuständigen Auftraggeber (§ 1 Abs. 2). Er kann sich hiebei auch eines Dienstleisters bedienen. (2) Vor der erstmaligen Ermittlung personenbezogener Daten für Zwecke der Datenverarbeitung hat die auftraggebende Stelle die Zulässigkeit nach den Bestimmungen des § 6 DSG zu prüfen und das Ergebnis dieser Prüfung in einem Geschäftsstück festzuhalten. Hiebei ist zu beachten: 1. Eine ausdrückliche gesetzliche Ermächtigung zur Ermittlung und Verarbeitung von Daten im Sinne des § 6 DSG liegt nur dann vor, wenn in dieser die zu ermittelnden und verarbeitenden Datenarten sowie die Betroffenenkreise genannt sind. 2. Eine wesentliche Voraussetzung, die den Auftraggeber berechtigt Daten zur Wahrnehmung der ihm gesetzlich übertragenen Aufgaben im Sinne des § 6 DSG zu ermitteln und zu verarbeiten, liegt nur dann vor, wenn im Einzelfall andere Möglichkeiten zur Wahrnehmung nicht bestehen oder auf Grund des zu erwartenden Aufwandes nicht zumutbar sind. (3) Die Ermittlung darf erst nach Feststellung der Zulässigkeit und auf schriftliche Weisung des Leiters der auftraggebenden Stelle aufgenommen werden." 6. § 4 lautet: „§ 4. (1) Sollen Daten für Zwecke einer gleichartigen Datenverarbeitung bei zumindest zwei der in § 1 Abs. 2 genannten Auftraggeber ermittelt werden, ist die Zulässigkeit von jedem zuständigen Auftraggeber gemäß § 3 zu prüfen. Das Ergebnis der Prüfung ist der Generaldirektion zu berichten. (2) Die für die beabsichtigte Datenverarbeitung gemeinsam zuständige auftraggebende Stelle der Generaldirektion hat die Zulässigkeit nach den Bestimmungen des DSG zu überprüfen und über die Zulässigkeit zu entscheiden. (3) Die Ermittlung im Bereich eines jeden Auftraggebers darf nur auf Grund einer schriftlichen Weisung des Leiters der gemeinsam zuständigen auftraggebenden Stelle der Generaldirektion aufgenommen werden." 7. § 5 Abs. 1 lautet: „§ 5. (1) Nach Feststellung der Zulässigkeit der Ermittlung ist die in Aussicht genommene Datenverarbeitung für die Erfordernisse des Datenschutzes zu dokumentieren. Diese Dokumentation hat Aussagen zu treffen über: 1. Art der Daten 2. Sensibilität der Daten 3. Herkunft der Daten 4. Aufgabengebiet 5. Kreis der Betroffenen 6. Zweck der Ermittlung und Datenverarbeitung 7. Zulässigkeit der Ermittlung und Datenverarbeitung 8. Übermittlungen im Inland 9. Überlassungen im Inland 10. Übermittlungen und Überlassungen in das Ausland 11. Benützungs- und Zugriffsberechtigungen 12. Geheimhaltung gegenüber den Betroffenen." 8. Im § 5 Abs. 2 zweiter Satz wird das Wort „Verarbeiter" durch das Wort „Dienstleister" ersetzt. 9. Im § 5 Abs. 3 erster Satz wird das Wort „Verarbeitungen" durch das Wort „Datenverarbeitungen" ersetzt. 10. § 6 lautet: „Datenverarbeitung § 6. (1) Auf der Grundlage der gemäß § 5 erstellten Dokumentation hat die Datenschutzkoordination die Datenverarbeitung dem Datenverarbeitungsregister gemäß § 8 DSG zu melden. (2) Der Zeitpunkt der Meldung ist von der Datenschutzkoordination der (den) auftraggebenden Stelle(n) und den für die Datenverarbeitung zuständigen Organisationseinheiten schriftlich bekanntzugeben. Vor diesem Zeitpunkt ist die Aufnahme der Datenverarbeitung unzulässig." 11. Im § 7 erster Satz werden die Worte „Verarbeitung von Daten" durch das Wort „Datenverarbeitung" ersetzt. 12. § 8 lautet: „§ 8. (1) Die zuständigen Organisationseinheiten des Auftraggebers und/oder des Dienstleisters haben für die ordnungsgemäße Durchführung der ihnen übertragenen Datenverarbeitungen unter Bedachtnahme auf die für sie geltenden Datensicherheitsvorschriften zu sorgen. (2) Der Auftraggeber hat, soweit dies mit vertretbarem Arbeitsaufwand möglich ist, die Richtigkeit der Verarbeitungsergebnisse durch Stichproben zu überprüfen." 13. § 9 lautet: „Benützung § 9. Daten dürfen nur von jenen Organisationseinheiten und Organwaltern des/der Auftraggeber (s) oder Dienstleister(s) der Post- und Telegraphenverwaltung benützt werden, soweit sie diese zur Erfüllung der ihnen gemäß Geschäftseinteilung bzw. Arbeitsplatzbeschreibung zukommenden Aufgaben benötigen und soweit dies für den jeweiligen Auftraggeber zur Wahrnehmung der ihm gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bildet." 14. § 10 lautet: „Überlassung § 10. (1) Organisationseinheiten der Post- und Telegraphenverwaltung dürfen Daten für Dienstleistungen nach Maßgabe des § 13 DSG nur dann überlassen werden, wenn diese Organisationseinheiten auf Grund einer ausdrücklichen gesetzlichen Ermächtigung oder gemäß der Geschäftseinteilung diese Dienstleistungen zu besorgen haben. (2) Die Dienstleister im Sinne des Abs. 1 dürfen die Daten nur der auftraggebenden Stelle oder jenen Organisationseinheiten des Auftraggebers überlassen, die vom Auftraggeber festgelegt wurden. (3) Die Überlassung der Daten durch einen Dienstleister im Sinne des Abs. 1 an einen anderen Dienstleister ist nur über Auftrag des zuständigen Auftraggebers zulässig." 15. § 11 lautet: „§ 11. (1) Dienstleistern, die zu Auftraggebern der Post- und Telegraphenverwaltung (§ 1 Abs. 2) nicht in einem Unter- oder Überordnungsverhältnis stehen und die auch nicht auf Grund einer ausdrücklichen gesetzlichen Ermächtigung zu Dienstleistungen herangezogen werden, dürfen Daten nach Maßgabe des § 13 DSG nur zur Erfüllung der ihnen erteilten Aufträge überlassen werden. (2) Dienstleister im Sinne des Abs. 1 dürfen nur vom zuständigen Auftraggeber zu Dienstleistungen herangezogen werden. (3) Die beabsichtigte Heranziehung eines Dienstleisters im Sinne des Abs. 1 ist von der zuständigen auftraggebenden Stelle (§ 2 Z l) der Datenschutzkommission zu melden. Äußert die Datenschutzkommission Bedenken, daß dieser Heranziehung schutzwürdige Interessen Betroffener oder öffentliche Interessen entgegenstehen und können diese Bedenken auch bei einer neuerlichen Befassung der Datenschutzkommission nicht ausgeräumt werden, ist von der Heranziehung des Dienstleisters Abstand zu nehmen." 16. Nach § 11 ist folgender § 11 a einzufügen: „§ 11 a. Dienstleister dürfen die überlassenen Daten nur in dem Umfang benützen, als dies zur Erfüllung ihres Auftrages erforderlich ist. Dienstleister, die zu Auftraggebern der Post- und Telegraphenverwaltung nicht in einem Unter- oder Überordnungsverhältnis stehen und die auch nicht auf Grund einer ausdrücklichen gesetzlichen Ermächtigung zu Dienstleistungen herangezogen werden, sind auf die in § 19 DSG normierten Verpflichtungen ausdrücklich hinzuweisen." 17. § 12 lautet: „§ 12. (1) Daten dürfen nur nach Maßgabe des § 7 DSG übermittelt werden. Hiebei ist zu beachten: 1. Eine ausdrückliche gesetzliche Übermittlungsermächtigung im Sinne des § 7 Abs. 1 Z 1 DSG liegt nur dann vor, wenn die zu übermittelnden Datenarten, die Betroffenenkreise, der Übermittlungszweck und die Datenempfänger festgelegt sind. 2. Eine ausdrückliche schriftliche Zustimmung des Betroffenen im Sinne des § 7 Abs. 1 Z 2 DSG liegt nur dann vor, wenn der Betroffene sein Einverständnis zur Datenübermittlung ausdrücklich mit Unterschrift, getrennt von etwaigen anderen Vereinbarungen abgegeben hat und in der Zustimmungserklärung die zu übermittelnden Datenarten, die Datenempfänger sowie in allgemein verständlicher Form der Übermittlungszweck genannt werden und der Betroffene über die Möglichkeit des Widerrufs nachweislich informiert wurde. 3. Die Daten sind für den Empfänger nur dann eine wesentliche Voraussetzung zur Wahrnehmung der ihm gesetzlich übertragenen Aufgaben im Sinne des § 7 Abs. 2 DSG, wenn anders für den Empfänger deren Wahrnehmung nicht möglich oder nicht zumutbar ist. 4. Übermittlungen im Sinne des § 7 Abs. 3 DSG sind nur dann zulässig, wenn andere Möglichkeiten, das berechtigte Interesse des Dritten zu wahren, nicht vorliegen oder nicht zumutbar sind und das schutzwürdige Interesse des Betroffenen an der Geheimhaltung nicht überwiegt. (2) Regelmäßige Übermittlungen von Daten dürfen überdies nur in dem Umfang erfolgen, als sie in der entsprechenden Registrierungseingabe Deckung finden. (3) Bei Ersuchen um Übermittlung im Rahmen der Amtshilfe hat das ersuchende Organ die Rechtsgrundlage für die geforderte Übermittlung bekanntzugeben. Die Übermittlung darf nur erfolgen, wenn die Notwendigkeit im Sinne des § 7 Abs. 2 DSG glaubhaft gemacht wurde. Hierüber entscheidet der Leiter der auftraggebenden Stelle. (4) Bei sonstigen Übermittlungen im Einzelfall obliegt die Genehmigung dem Leiter der auftraggebenden Stelle." 18. § 13 Abs. 1 erster Satz lautet: „§ 13. (1) Art und Umfang der Protokollierung sind für alle Organisationseinheiten des Auftraggebers oder Dienstleisters in den Datensicherheitsvorschriften zu regeln." 19. § 13 Abs. 4 lautet: „(4) Gemäß § 7 DSG zulässige Übermittlungen, die über Verlangen oder mit Einverständnis der Betroffenen erfolgen (zB Mitteilungen an Finanzämter, Sozialversicherungsträger, Kreditinstitute), können anstatt in Geschäftsstücken auch in den diesbezüglichen Hilfsaufzeichnungen vermerkt werden. Diese Übermittlungen müssen in den Hilfsaufzeichnungen derart festgehalten werden, daß dem Auskunftsrecht des Betroffenen gemäß § 11 DSG entsprochen werden kann." 20. Nach § 13 ist folgender § 13 a einzufügen: „§ 13 a. (1) Die gemäß § 10 DSG erforderlichen Maßnahmen zur Gewährleistung der Datensicherheit sind durch die auftraggebende Stelle oder durch den/die Dienstleister zu treffen, wobei vom/ von den Dienstleister(n) die Zustimmung der auftraggebenden Stelle einzuholen ist. Hiebei ist sicherzustellen, daß auf der Grundlage des § 10 DSG jene Maßnahmen zur Gewährleistung der Datensicherheit getroffen werden, die für die Art des Datenverkehrs (Verwenden von Daten) in der jeweiligen Organisationseinheit unter Bedachtnahme auf die Sensibilität der Daten (§ 5) erforderlich und angemessen sind. (2) Die Datensicherheitsvorschriften sind entsprechend den Bestimmungen der Kanzleiordnung für die Post- und Telegraphenverwaltung zu erlassen." 21. § 15 Abs. 1 erster Halbsatz lautet: „§ 15. (1) Für die Erteilung einer Auskunft im Sinne des § 11 Abs. 1 DSG werden, sofern diese nicht gemäß § 11 Abs. 4 DSG unentgeltlich zu erfolgen hat, folgende pauschalierte Kostenersätze festgelegt:" 22. § 15 Abs. 4 lautet: „(4) Von der Bearbeitung eines Auskunftsersuchens ist abzusehen, wenn der Betroffene nicht am Verfahren mitwirkt (§ 11 Abs. 2 DSG) oder der mitgeteilte Kostenersatz nicht entrichtet wurde." 23. § 15 Abs. 5 lautet: „(5) Die in § 11 DSG genannte Frist für die Erteilung von Auskünften beginnt ab dem Zeitpunkt zu laufen, ab dem der Betroffene am Verfahren mitgewirkt hat und ein mitgeteilter Kostenersatz entrichtet wurde." 24. § 17 Abs. 1 lautet: „§ 17. (1) Richtigstellungen und Löschungen gemäß § 12 DSG hat der Auftraggeber zu veranlassen. Daten sind in erster Linie physisch zu löschen oder richtigzustellen. Wenn dies im Hinblick auf den damit verbundenen Aufwand nicht gerechtfertigt ist oder nur zu bestimmten Zeitpunkten erfolgen kann, sind die Daten zunächst logisch zu löschen oder richtigzustellen. Die physische Löschung oder Richtigstellung hat spätestens beim nächsten Reorganisationslauf zu erfolgen. Hiebei ist zu beachten, daß rechtsverbindlich festgestellte Daten wegen ihrer Unrichtigkeit nur auf Grund einer Entscheidung des für die Feststellung zuständigen Organs richtiggestellt oder gelöscht werden dürfen." 25. Im § 18 Abs. 1, 2 und 3 wird die Ziffer „8" jeweils durch die Ziffer „9" ersetzt.
num: 2
paragraphs: Artikel II Diese Verordnung tritt mit 1. Juli 1987 in Kraft. Streicher