124. Verordnung: Durchführung des Datenschutzgesetzes im Wirkungsbereich des Bundesministeriums für Arbeit und Soziales (Datenschutzverordnung)

num: 1
paragraphs: § 1. Diese Verordnung gilt für alle Auftraggeber und Dienstleister im Wirkungsbereich des Bundesministeriums für Arbeit und Soziales. Auftraggeber und Aufgabengebiete
num: 2
paragraphs: § 2. (1) Auftraggeber sind nach Maßgabe ihrer örtlichen und sachlichen Zuständigkeit: 1. das Bundesministerium für Arbeit und Soziales 2. die Landesarbeitsämter 3. die Arbeitsämter 4. die Landesinvalidenämter 5. die Arbeitsinspektorate (2) Die im Abs. 1 genannten Auftraggeber können auch Dienstleister sein.
num: 3
paragraphs: § 3. (1) Aufgabengebiete im Sinne dieser Verordnung sind: 1. Durchführung der Aufgaben der Arbeitsmarktverwaltung in Vollziehung des Bundesgesetzes über die Gewährung von Überbrückungshilfen an ehemalige Bundesbedienstete, BGBl. Nr. 174/1963, des Arbeitsmarktförderungsgesetzes, BGBl. Nr. 31/ 1969, des Sonderunterstützungsgesetzes, BGBl. Nr. 642/1973, des Ausländerbeschäftigungsgesetzes, BGBl. Nr. 218/1975, und des Arbeitslosenversicherungsgesetzes 1977, BGBl. Nr. 609, 2. Vollziehung des Opferfürsorgegesetzes, BGBl. Nr. 183/1947, 3. Vollziehung des Bauarbeiter-Schlechtwetterentschädigungsgesetzes 1957, BGBl. Nr. 129, 4. Vollziehung des Kriegsopferversorgungsgesetzes 1957, BGBl. Nr. 152, 5. Vollziehung des Heeresversorgungsgesetzes, BGBl. Nr. 27/1964, 6. Vollziehung des Invalideneinstellungsgesetzes 1969, BGBl. Nr. 22/1970, 7. Vollziehung des Bundesgesetzes vom 9. Juli 1972, BGBl. Nr. 288, über die Gewährung von Hilfeleistungen an Opfer von Verbrechen, 8. Vollziehung des Arbeitsinspektionsgesetzes 1974, BGBl. Nr. 143, bzw. Vollziehung des Bundesbediensteten-Schutzgesetzes, BGBl. Nr. 164/1977, 9. Vollziehung des Insolvenz-Entgeltsicherungsgesetzes, BGBl. Nr. 324/1977, 10. Vollziehung des Nationalfondsgesetzes, BGBl. Nr. 361/1982, 11. Vollziehung des Bundesministeriengesetzes, BGBl. Nr. 76/1986, jeweils in der geltenden Fassung; 12. Personalverwaltung: Vollziehung des Dienst- und Besoldungsrechtes für die aktiven Bundesbediensteten einschließlich der Rechtsvorschriften über die Ausbildung und Planstellenbewirtschaftung; 13. Haushaltsführung einschließlich der damit im Zusammenhang stehenden Neben- und Hilfsverrechnungen sowie der Betriebsabrechnungen; 14. Büroinformationssystem: Erstellung, Verteilung und Archivierung von Dateien; 15. Führung der Zentralen Hilfsmittelberatungsstelle; 16. Verwaltung von Versicherungsunterlagen. (2) Ein Aufgabengebiet unterliegt dieser Verordnung nur hinsichtlich jener Daten, die zumindest in einer Phase des Verfahrensablaufs Gegenstand eines automationsunterstützten Vorganges sind. Datensicherheitsmaßnahmen
num: 4
paragraphs: § 4. (1) Die in § 2 genannten Auftraggeber oder Dienstleister haben für die Organisationseinheiten ihres örtlichen und sachlichen Zuständigkeitsbereiches, die Daten verwenden, Datensicherheitsmaßnahmen schriftlich anzuordnen, den jeweiligen technischen und organisatorischen Änderungen umgehend anzupassen und zu dokumentieren. (2) Der Auftraggeber oder Dienstleister hat für die zu verwendenden Datenarten entsprechend dem Grad der Schutzwürdigkeit Sensibilitätsklassen festzulegen. Die Sicherheitsmaßnahmen haben sich nach den Sensibilitätsklassen zu bestimmen. (3) Der Auftraggeber oder Dienstleister hat jene Organisationseinheit zu bestimmen, die die Zutrittsberechtigungen zu den Räumlichkeiten, in denen die Datenverarbeitung stattfindet, vergibt, ändert, kontrolliert und entzieht. (4) Das Bundesministerium für Arbeit und Soziales hat jene Organisationseinheit zu bestimmen, die Zugriffsberechtigungen vergibt, ändert, kontrolliert und entzieht. Hiebei ist eine Identifikation jedes Zugriffsberechtigten vorzusehen. Der Zugriff auf das Betriebssystem einschließlich System- und Netzwerksoftware ist darüber hinaus durch geeignete Maßnahmen zu sichern. (5) Die für die Verarbeitung notwendigen Daten und Programme einschließlich der dazugehörigen Dokumentation sind auch außerhalb der Verarbeitungsstätte gesichert aufzubewahren. (6) Die Vernichtung unbrauchbarer oder nicht mehr benötigter Ausdrucke und sonstiger Datenträger ist vom Auftraggeber oder Dienstleister durch entsprechende personelle oder vertragliche Maßnahmen sicherzustellen. (7) Jeder Bedienstete, dem in Ausübung seines Dienstes Daten anvertraut oder zugänglich sind, ist über seine Pflichten nach dem Datenschutzgesetz, der Datenschutzverordnung und den innerorganisatorischen Datenschutzvorschriften, insbesondere über die von ihm einzuhaltenden Datensicherheitsvorschriften, nachweislich zu belehren und von deren Änderungen umgehend und nachweislich in Kenntnis zu setzen. Grundsätze für die Ermittlung, Verarbeitung und Benützung
num: 5
paragraphs: § 5. (1) Die Ermittlung und Verarbeitung von Daten ist dann als wesentliche Voraussetzung für die Wahrnehmung der gesetzlich übertragenen Aufgaben zu erachten, wenn andere Möglichkeiten, die gesetzlich übertragenen Aufgaben wahrzunehmen, nicht vorliegen oder sie auf Grund des zu erwartenden Aufwandes dem Auftraggeber aus Wirtschaftlichkeits- und Zweckmäßigkeitserwägungen nicht zuzumuten sind. (2) Wird zur Ermittlung von Daten Amtshilfe in Anspruch genommen, so ist das Amtshilfeersuchen so zu begründen, daß die ersuchte Stelle die Zulässigkeit der Übermittlung gemäß § 7 DSG beurteilen kann. Insbesondere ist darzulegen, durch welche gesetzlichen Bestimmungen dem Auftraggeber jene Aufgaben übertragen sind, zu deren Wahrnehmung die zu ermittelnden Daten eine wesentliche Voraussetzung bilden. Die Begründung kann entfallen, wenn die Zulässigkeit der Übermittlung für die ersuchte Stelle offenkundig ist oder anläßlich eines vorangegangenen Amtshilfeersuchens gleicher Art festgestellt wurde.
num: 6
paragraphs: § 6. (1) Jedes Programm ist vor seinem Einsatz in der Verarbeitung personenbezogener Daten von der durch das Bundesministerium für Arbeit und Soziales zu bestimmenden Organisationseinheit freizugeben. Wird das Bundesrechenamt auf Grund einer ausdrücklichen gesetzlichen Bestimmung als Dienstleister für Auftraggeber im Bereich des Bundesministeriums für Arbeit und Soziales tätig, so gilt dies nicht, sofern es sich lediglich um programmtechnische Optimierungen handelt. (2) Den Daten eines Aufgabengebietes ist nach Maßgabe der Sensibilitätsklassen der zu verarbeitenden Daten (§ 4 Abs. 2) gleichartiger Schutz zu gewähren. Die Daten und Programme sind vor Entstellung, Zerstörung und Verlust sowie gegen unbefugte Verwendung und Weitergabe zu schützen. (3) Wird ein Aufgabengebiet für mehrere Auftraggeber mit Hilfe derselben technischen Einrich- tung oder im Netzwerkverbund vollzogen, so ist sicherzustellen, daß jedem Auftraggeber die in die Zuständigkeit eines anderen Auftraggebers fallenden Daten nur in den in
num: 7
paragraphs: § 7 DSG genannten Fällen zugängig gemacht werden. Dasselbe gilt, wenn die Daten für verschiedene Aufgabengebiete mit Hilfe derselben technischen Einrichtung oder im Netzwerkverbund verarbeitet werden. (4) Daten dürfen nur nach Genehmigung des Bundesministeriums für Arbeit und Soziales und nur auf Grund von schriftlichen Aufträgen verarbeitet werden. Der Auftrag zur Verarbeitung von Daten im Rahmen eines genehmigten Verfahrens kann als Einzel- oder Dauerauftrag sowie im Rahmen von Verfahrensvorschriften erteilt werden. (5) Der Auftraggeber hat die Richtigkeit der Verarbeitungsergebnisse durch Stichproben oder sonstige geeignete Methoden zu überprüfen, soweit ihm dies mit vertretbarem Arbeitsaufwand möglich ist. (6) Wird ein Fehler festgestellt, so hat der Auftraggeber die Fehlerbehebung umgehend einzuleiten und die Fehlerursache zu beheben. Der betreffende Dienstleister ist unverzüglich zu verständigen, wenn zu vermuten ist, daß die Fehlerursache in seinem Tätigkeitsbereich liegt. (7) Die Benützung der Daten darf nur in der Art und in dem Umfang erfolgen, als hiefür eine ausdrückliche gesetzliche Ermächtigung besteht oder dies für den Auftraggeber zur Wahrnehmung der ihm gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bildet. (8) Die Bediensteten des Auftraggebers dürfen nur jene Daten benützen, die sie zur Erfüllung der ihnen übertragenen Aufgaben benötigen. Grundsätze für die Übermittlung von Daten § 7. (1) Übermittlungen von Daten durch den Auftraggeber oder Dienstleister bedürfen, sofern sie sich nicht auf eine ausdrückliche gesetzliche Ermächtigung stützen, eines schriftlichen Auftrages des Bundesministeriums für Arbeit und Soziales. Der Auftrag kann als Einzel- oder Dauerauftrag sowie im Rahmen von Verfahrensvorschriften erteilt werden. Im Auftrag ist anzugeben, auf Grund welcher Bestimmungen des § 7 DSG die Übermittlung zulässig ist. (2) Die Zustimmung des Betroffenen zur Datenübermittlung gemäß § 7 Abs. 1 Z 2 DSG gilt dann als erteilt, wenn der Betroffene sein Einverständnis zur Datenübermittlung ausdrücklich mit seiner Unterschrift getrennt von etwaigen sonstigen Vereinbarungen abgegeben hat. Eine Zustimmungserklärung liegt nur dann vor, wenn die zu übermittelnden Datenarten und die Übermittlungsempfänger ausdrücklich genannt sind und der Betroffene in allgemein verständlicher Form über den Übermittlungszweck informiert wird. Der Betroffene ist nachweislich über die Möglichkeit des schriftlichen Widerrufes seiner Zustimmung zu informieren. (3) Der Auftraggeber hat zu veranlassen, daß vom Österreichischen Statistischen Zentralamt im Anschluß an die anonymisierte Verarbeitung gemäß § 7 Abs. 1 Z 3 DSG die personenbezogenen Daten dem übermittelnden Organ zurückgegeben, gelöscht oder auftragsgemäß aufbewahrt oder verarbeitet werden. (4) Nicht registrierte Übermittlungen sind gemäß § 7 Abs. 4 DSG so zu protokollieren, daß dem Betroffenen Auskunft gemäß § 11 DSG gegeben werden kann. Übermittlungen gemäß
num: 8
paragraphs: § 8 Abs. 3 DSG bedürfen keiner Protokollierung. § 8. Einem Ersuchen um Übermittlung von Daten darf nur entsprochen werden, wenn die ersuchende Stelle an der Klärung der für die Beurteilung der Zulässigkeit der Übermittlung maßgeblichen Sach- und Rechtslage mitwirkt. Um die Mitwirkung ist erforderlichenfalls zu ersuchen, es sei denn, die Zulässigkeit der Übermittlung ist offenkundig.
num: 9
paragraphs: § 9. (1) Eine Übermittlung in den Fällen des § 7 Abs. 3 DSG ist zulässig, wenn andere Möglichkeiten, das berechtigte Interesse des Dritten zu wahren, nicht vorliegen oder nicht zumutbar sind. Auch in diesem Fall ist die Übermittlung nur zulässig, wenn das schutzwürdige Interesse des Betroffenen an der Geheimhaltung nicht überwiegt. (2) Daten gelten im Sinne des § 32 Abs. 2 Z 3 DSG dann als veröffentlicht, wenn sie einem generell bestimmten Personenkreis zugänglich gemacht wurden. Grundsätze für die Überlassung von Daten
num: 10
paragraphs: § 10. (1) Die in § 2 genannten Auftraggeber können unter den in § 13 DSG genannten Voraussetzungen Dienstleister in Anspruch nehmen. Eine solche Inanspruchnahme bedarf der schriftlichen Genehmigung des Bundesministeriums für Arbeit und Soziales. (2) Die Überlassung der Daten durch einen Dienstleister an einen weiteren ist nur mit vorheriger Genehmigung des Bundesministeriums für Arbeit und Soziales zulässig. (3) Wurde dem Auftraggeber von der Datenschutzkommission die Auffassung mitgeteilt, daß der Inanspruchnahme eines Dienstleisters schutzwürdige Interessen Betroffener oder öffentliche Interessen entgegenstehen, so hat der Auftraggeber entweder der Rechtsanschauung der Datenschutzkommission zu entsprechen oder andernfalls die begründete Entscheidung über die weitere Vorgangsweise zu dokumentieren. Auskunftsrecht
num: 11
paragraphs: § 11. (1) Eine Auskunft gemäß § 11 DSG darf nur auf Grund eines unbedenklichen Identitätsnachweises und gegen Empfangsbestätigung ausgefolgt oder zu eigenen Handen zugestellt werden. (2) Der Betroffene hat in seinem Antrag auf Auskunft gemäß § 11 DSG diejenigen Datenverarbeitungen im Sinne des § 8 DSG zu bezeichnen, bezüglich derer er die Auskunft wünscht, oder durch Vorlage von Unterlagen oder die Beschreibung von Lebensumständen glaubhaft zu machen, aus welchen Gründen anzunehmen ist, daß seine Daten irrtümlich oder mißbräuchlich in Datenbeständen des Auftraggebers enthalten sind. (3) Fehlen in einem Auskunftsantrag die in Abs. 2 angeführten Angaben, so ist der Betroffene unverzüglich schriftlich zur Verbesserung seines Antrages auf Auskunft gemäß § 11 DSG aufzufordern. (4) Der aktuelle Datenbestand im Sinne des § 11 Abs. 4 DSG umfaßt jene Daten, die in der betreffenden Datenverarbeitung dem Direktzugriff unterliegen, oder — mangels eines solchen — den letztgültigen Datenbestand. (5) Werden oder wurden Daten übermittelt, so sind dem Betroffenen auf Verlangen die Empfänger der übermittelten Daten bekanntzugeben. Handelt es sich um registrierte Übermittlungen und verursacht die Feststellung der Empfänger übermittelter Daten im Einzelfall unverhältnismäßig hohe Kosten oder einen nicht zumutbaren Arbeitsaufwand, so sind dem Betroffenen die auf Grund der Verfahrensorganisation bzw. der Sach- und Rechtslage für solche Übermittlungen in Betracht kommenden Empfänger mitzuteilen.
num: 12
paragraphs: § 12. (1) Für die Erteilung einer entgeltlichen Auskunft im Sinne des § 11 Abs. 4 DSG werden folgende pauschalierte Kostenersätze festgelegt: 1. für die Auskunft über den aktuellen Stand der Daten des Antragstellers, wenn dieser im laufenden Jahr bereits ein Auskunftsbegehren über dasselbe Aufgabengebiet gestellt hat, 100 S je Datenverarbeitung; 2. für jede darüber hinausgehende Auskunft 500 S je Datenverarbeitung; in jenen Fällen, in denen die Auskunftserteilung einen besonders hohen technischen oder organisatorischen Aufwand erfordert, 1000 S je Datenverarbeitung. (2) Die in Abs. 1 angeführten Kostenersätze sind nicht zu entrichten, wenn der Aufwand für die Auskunftserteilung geringfügig ist. (3) Dem Antragsteller ist der zu entrichtende Kostenersatz unverzüglich mitzuteilen. (4) Von der Bearbeitung eines Auskunftsantrages ist abzusehen, wenn der gemäß Abs. 3 mitgeteilte Kostenersatz nicht entrichtet wurde oder der Betroffene am Verfahren nicht ausreichend mitgewirkt hat. (5) Die in § 11 Abs. 1 DSG enthaltene Frist für die Erteilung von entgeltlichen Auskünften beginnt mit dem Einlangen des Kostenersatzes zu laufen. Ist eine Mitwirkung des Betroffenen im Auskunftsverfahren erforderlich, beginnt diese Frist erst nach Einlangen der erforderlichen Unterlagen zu laufen, sofern ein allfälliger Kostenersatz nicht später entrichtet wird. Richtigstellung und Löschung
num: 13
paragraphs: § 13. (1) Ist im Rahmen einer Datenverarbeitung ein Zugriff auf logisch richtiggestellte oder gelöschte Daten standardmäßig möglich oder vorgesehen, so hat die logische Richtigstellung oder Löschung durch solche Maßnahmen zu erfolgen, die bei einer Abfrage die Unrichtigkeit der verarbeiteten Daten angeben und auf die richtigen Daten verweisen oder den Umstand der Löschung anzeigen. (2) Die für Zwecke der Dokumentation oder der internen Kontrolle aufzubewahrenden Daten dürfen nur durch einen entsprechenden Vermerk richtiggestellt und vor Ablauf der Aufbewahrungsfrist nur mit einem Löschungsvermerk versehen werden. (3) Durch geeignete organisatorische Maßnahmen ist sicherzustellen, daß im Falle eines Rückgriffes auf die zu Sicherungszwecken aufbewahrten Datenbestände allfällige Richtigstellungen und Löschungen wirksam bleiben. (4) Ein Betroffener, dessen Daten nach einer Übermittlung richtiggestellt oder gelöscht werden, hat ein Begehren auf Verständigung des Empfängers von der Richtigstellung bzw. Löschung schriftlich zu stellen. Angabe der Registernummer
num: 14
paragraphs: § 14. (1) Der Auftraggeber hat die ihm zugeteilte Registernummer bei Übermittlungen von Daten und Mitteilungen an den Betroffenen auf jedem Schriftstück, das automationsunterstützt verarbeitete Daten enthält, anzuführen. (2) Bei Übermittlungen im Sinne des § 3 Z 9 DSG und Mitteilungen an den Betroffenen auf nur maschinell lesbaren Datenträgern ist die Registernummer entweder auf den Begleitpapieren oder auf dem Datenträger anzugeben. Schlußbestimmung
num: 15
paragraphs: § 15. Die Verordnung des Bundesministers für soziale Verwaltung vom 19. Juli 1980, BGBl. Nr. 359, zur Durchführung des Datenschutzgesetzes im Bereich des Bundesministeriums für soziale Verwaltung tritt außer Kraft. Dallinger