Source: https://secur-data.at/index.php?id=95
Timestamp: 2019-11-20 20:39:00+00:00

Document:
Secur-Data: Jahrgang 2002
DSG-Info-Service Jahrgang 2002
Ausgabe Nr. 33 März 2002
Ausgabe Nr. 34 September 2002
Ausgabe Nr. 35 Oktober 2002
DSG-Info-Service Nr. 33
DSG-Info-Service Nr. 34
Besitzen Sie noch unser DSG-Info Nr. 3 vom Juli 1993? Jene Ausgabe hat sich mit den datenschutzrechtlichen Bestimmungen für Adressverlage und Direktwerbeunternehmen auseinandergesetzt. In Ausgabe Nr. 7 haben wir die Wiederverlautbarung der Gewerbeordnung unter der Bezeichnung GewO 1994 vermerkt, die eine Änderung der Paragraphennummer mit sich brachte.
Mit BGBl I Nr. 111/2002 wurde die Gewerbeordnung neuerlich komplett überarbeitet, nennt sich aber unverändert GewO 1994, was zu einiger Verwirrung führen kann. Da zum Teil völlig neue Bestimmungen enthalten sind, stellen wir Ihnen in der vorliegenden Ausgabe diesen Gesetzesteil komplett neu vor.
Neue datenschutzrechtliche Bestimmungen
für Adressverlage und Direktmarketingunternehmen
§ 151 GewO 1994 idF BGBl I Nr. 111/2002
Grundsätzlich ist das DSG 2000 auf die Verwendung personenbezogener Daten für Marketingzwecke durch Adressverlage und Direktmarketingunternehmen anzuwenden, aber mit folgenden Ausnahmen bzw. nach Maßgabe folgender Bestimmungen:
(Abs 2)
Die Tätigkeit als Mittler zwischen Inhabern und Nutzern von Kunden- und Interessentendateien (Listbroking) ist den in Abs. 1 genannten Gewerbetreibenden – das sind die Adressverlage und Direktmarketingunternehmen – vorbehalten.
Als Datenquellen sind erlaubt: öffentlich zugängliche Informationen, Befragung des Betroffenen, Kunden- und Interessentendateien Dritter oder Marketingdateien anderer Adressenverlage und Direktmarketingunternehmen. Die Daten sind zweckgebunden für die Vorbereitung und Durchführung von Marketingaktionen Dritter sowie das Listbroking.
(Abs 4)
Für sensible Daten iSd § 4 Z 2 DSG 2000 ist eine ausdrückliche Zustimmung des Betroffenen gefordert, desgleichen bei Daten über gerichtlich oder verwaltungsrechtlich strafbare Taten iSd § 8 Abs 4 DSG 2000.
Anmerkung dazu: Üblicherweise wird ein Adressverlag oder Direktwerbeunternehmen kaum derartige Daten besitzen oder benötigen. Sollte aber jemals erlaubt werden, dass Anwälte Werbung betreiben, so wäre ein derartiger Bestand durchaus interessant.
Es ist nur die Führung nachstehender Datenarten zulässig:
Zusätzlich hat der Dateiinhaber schriftlich zu erklären, dass der Betroffene auf die Möglichkeit der Ablehnung der Übermittlung hingewiesen wurde und eine solche nicht erfolgt ist.
Kennzeichnungspflicht und Auskunftspflicht
(Abs 7)
Es besteht eine Pflicht zur Kennzeichnung des ausgesendeten Werbematerials in Bezug auf die Identität des Auftraggebers der Datei (Ursprungsdatei). Anhand dieser Kennzeichnung kann der Betroffene innerhalb von drei Monaten nach der Werbeaussendung Auskunft verlangen, die dann innerhalb von 8 Wochen zu erteilen ist.
Auskunft muss über den Auftraggeber der Ursprungsdatei gegeben werden. Falls die Kennzeichnung unzureichend war, um den Gewerbetreibenden, der die Aussendung durchgeführt hat, zu identifizieren, so kann das Auskunftsbegehren an den Werbenden gestellt werden.
Aus diesem Grund sollte jedes werbende Unternehmen, das einen Adressverlag oder ein Direktwerbeunternehmen heranzieht, jede Aussendung derart identifizierbar halten, dass das Werbeunternehmen ohne Zeitverzug festgestellt werden kann. Bei ungenügender Berücksichtigung ist unserer Meinung nach der Auftraggeber mit verantwortlich für die Einhaltung der Auskunftsfrist von 8 Wochen.
(Abs 8)
Der Betroffene kann den Adressverlag bzw. das Direktwerbeunternehmen auffordern, seine Daten zu löschen. Diesem Antrag ist innerhalb von 8 Wochen zu entsprechen (Anmerkung: diese Frist lag bisher bei 4 Wochen).
Der Betroffene kann ausdrücklich auf einer physischen Löschung der Daten bestehen. Nach Vereinbarung zwischen Betroffenem und dem Werbeunternehmen ist aber das sogenannte „logische Löschen“, also die Sperrung für die weitere Verwendung der Daten, ausreichend.
(Abs 9 und 11)
Jedermann hat das Recht, für sich die Zustellung von adressiertem Werbematerial durch Untersagung der Verwendung seiner Daten für Werbezwecke auszuschließen.
Der Fachverband Werbung und Marktkommunikation führt eine Liste – und aktualisiert diese monatlich –, in welche Personen kostenlos einzutragen sind, die die Zustellung von Werbematerial für sich ausschließen wollen.
Die in der Liste enthaltenen Daten dürfen ausschließlich zum Zweck des Unterbindens der Zusendung von Werbemitteln verwendet werden. Adressverlage und Direktwerbeunternehmen dürfen an die in dieser Liste eingetragenen Personen keine adressierten Werbemittel versenden oder verteilen und deren Daten auch nicht vermitteln.
Die Eintragung erfolgt mittels schriftlicher Mitteilung (z.B. Postkarte) unter Angabe der genauen Anschrift einschließlich Vorname, Nachname und eventuell Titel an das Fachverbandsbüro (Fachverband Werbung und Marktkommunikation, Wiedner Hauptstraße 63, 1045 Wien).
(Abs 10)
Diese Bestimmung richtet sich nicht an die Adressverlage und Direktwerbeunternehmen, sondern an alle Inhaber von Kunden- und Interessentendateien, die ihre Daten für Zwecke des Listbroking zur Verfügung stellen.
Grundsätzlich dürfen die Dateninhaber ihre Daten nur im Umfang der in Abs 5 genannten Datenarten und nur dann zur Verfügung stellen, wenn
der Betroffene darüber informiert ist, dass er diese Datenübermittlung untersagen kann und
der Betroffene die Datenübermittlung nicht untersagt hat.
Eine Untersagung darf keinen Einfluss auf die Beziehung zwischen dem Betroffenen und dem Inhaber der Kunden- oder Interessentendatei haben.
Datenschutz und Europäische Union
Fundstelle: Amtsblatt Nr. L 201 vom 31. Juli 2002 S. 37 – 47
Es ist geplant, diese neue Richtlinie in unserer nächsten Ausgabe des DSG-Info detailliert vorzustellen. Eine Umsetzung dieser Richtlinie in nationales Recht ist bis spätestens 31. Oktober 2003 vorzunehmen.
Meinungsumfrage der Europäischen Kommission zur Gesetzgebung zum Schutz der Privatsphäre
Die Kommission hat eine Meinungsumfrage gestartet, um beispielsweise nachstehende Fragenkomplexe zu durchleuchten:
Sollten Arbeitgeber die E-Mails, die ihre Angestellten oder Arbeitnehmer am Arbeitsplatz empfangen und versenden, lesen können?
Haben die Kunden, die on-line einkaufen, Vertrauen darin, dass ihre persönlichen Daten nicht anderweitig ohne ihr Einverständnis benutzt werden?
Sind Unternehmen überlastet mit Anfragen von Leuten, die Zugang zu ihren persönlichen Daten haben möchten?
Details zu dieser Umfrage sind im Internet unter
DSG-Info-Service Nr. 35
Am 31. Dezember 2002 laufen die meisten Übergangsbestimmungen des DSG 2000 aus, bis zu diesem Termin müssen z.B. manuelle Datenanwendungen gemeldet werden oder Genehmigungen für den internationalen Datenverkehr neu beantragt werden.
Eine längere Übergangsfrist besteht nur für bestimmte Anwendungen im öffentlichen Bereich. Hier gilt, dass fehlende gesetzliche Rechtsgrundlagen noch bis 31. Dezember 2007 keine Unzulässigkeit der Datenanwendung bewirken.
Schwerpunkt dieser Ausgabe unseres DSG-Info-Service ist die Darlegung aller jener Aktivitäten, die vor dem 31. Dezember 2002 noch notwendig sind.
Darüber hinaus geben wir eine neuerliche Überarbeitung der Meldeformulare des DVR bekannt.
31. Dezember 2002 – ein wichtiger Termin
Übergangsbestimmungen des § 61 DSG 2000
„Soweit nach der neuen Rechtslage eine Genehmigung für die Übermittlung von Daten ins Ausland erforderlich ist, muß für Übermittlungen, für die eine Genehmigung vor Inkrafttreten dieses Bundesgesetzes erteilt wurde, eine Genehmigung vor dem 1. Jänner 2003 neu beantragt werden. Wird der Antrag rechtzeitig gestellt, dürfen solche Übermittlungen bis zur rechtskräftigen Entscheidung über den Genehmigungsantrag fortgeführt werden.“
Im DSG 1978 war jeder internationale Datenverkehr genehmigungspflichtig, der nicht in ein per Verordnung als genehmigungsfrei erklärtes Land erfolgte (und sofern personenbezogene Daten involviert waren, diesen Zusatz ersparen wir uns in den folgenden Ausführungen).
Im DSG 2000 gibt es nach wie vor per Verordnung genehmigungsfreie Länder – dies sind entsprechend der Datenschutz-Ange­messen­heitsverordnung (DSAV) derzeit die Mitgliedstaaten der EU sowie die Schweiz und Ungarn.
Darüber hinaus gibt es aber spezielle Arten von Daten oder Anwendungen, die – unabhängig vom Land des Empfängers – ohne Genehmigung übermittelt oder überlassen werden dürfen. Gem. § 12 Abs. 3 DSG 2000 ist das der Fall, wenn
1. die Daten im Inland zulässigerweise veröffentlicht wurden;
2. die Daten für den Empfänger nur indirekt personenbezogen sind;
3. dies in Rechtsvorschriften (wie z.B. Amtshilfeübereinkommen) vorgesehen ist;
4. die Daten aus Datenanwendungen für private Zwecke (§ 45) oder für publizistische Tätigkeit (§ 48) übermittelt werden;
5. der Betroffene ohne jeden Zweifel seine Zustimmung zur Übermittlung oder Überlassung seiner Daten ins Ausland gegeben hat;
6. ein vom Auftraggeber mit dem Betroffenen oder mit einem Dritten eindeutig im Interesse des Betroffenen abgeschlossener Vertrag nicht anders als durch Übermittlung der Daten ins Ausland erfüllt werden kann;
7. die Übermittlung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen vor ausländischen Behörden erforderlich ist;
8. die Übermittlung oder Überlassung in einer Standardverordnung oder Musterverordnung ausdrücklich angeführt ist;
9. es sich um Datenverkehr mit österreichischen Dienststellen im Ausland handelt;
10. gemäß § 17 Abs. 3 keine Meldepflicht besteht – dies ist bei Anwendungen der Fall, die
10.1. dem Schutz der verfassungsmäßigen Einrichtungen der Republik Österreich dienen;
10.2. der Sicherung der Einsatzbereitschaft des Bundesheeres dienen;
10.3. der Sicherstellung der Interessen der umfassenden Landesverteidigung dienen;
10.4. dem Schutz wichtiger außenpolitischer, wirtschaftlicher oder finanzieller Interessen der Republik Österreich oder der Europäischen Union dienen;
10.5. der Vorbeugung, Verhinderung oder Verfolgung von Straftaten dienen.
Für die tägliche Praxis einer kommerziellen Anwendung sind demnach folgende Ausnahmetatbestände zu prüfen:
· Sind die Daten zulässigerweise veröffentlicht oder nur indirekt personenbezogen?
· Gibt es eine nachweisbare Zustimmung des Betroffenen zur Datenübermittlung an den ausländischen Empfänger oder zur Überlassung an den ausländischen Dienstleister?
· Müssen die Daten zur Vertragserfüllung unbedingt an den ausländischen Empfänger übermittelt werden?
· Ist eine Übermittlung oder Überlassung in einer Standard- oder Musterverarbeitung angeführt?
In allen anderen Fällen ist eine Genehmigung durch die DSK zu beantragen. Man beachte, dass auf Grund von Entscheidungen der Europäischen Kommission unter bestimmten Voraussetzungen Übermittlungen oder Überlassungen in die USA (Stichwort „Safe Harbor“) oder nach Kanada (Stichwort „Personal Information Protection and Electronic Documents Act“) oder in beliebige Länder (bei Verwendung von Standardvertragstexten der EU) genehmigungsfrei sein sollten, diese Entscheidungen der EU aber in Österreich noch nicht umgesetzt wurden.
Sollte der Leser eine Datenübermittlung oder Überlassung in ein nach DSG 2000 bzw. DSAV genehmigungspflichtiges Land betreiben, die aber auf Grund der EU-Entscheidung genehmigungsfrei sein sollte, so ist zu empfehlen, einen Antrag an die DSK zu stellen und auf die EU-Entscheidung zu verweisen.
„Manuelle Datenanwendungen, die gemäß § 58 der Meldepflicht unterliegen, sind, soweit sie schon im Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bestanden haben, dem Datenverarbeitungsregister bis spätestens 1. Jänner 2003 zu melden. Dasselbe gilt für automationsunterstützte Datenanwendungen gemäß § 17 Abs. 3, für die durch die nunmehr geltende Rechtslage die Meldepflicht neu eingeführt wurde.“
Grundsätzlich unterliegen manuelle Datenanwendungen entweder dem DSG 2000 oder einem Landes-Datenschutzgesetz, je nachdem, unter welche Gesetzgebungskompetenz die Anwendung fällt.
Manuelle Datenanwendungen, die dementsprechend dem DSG 2000 unterliegen, sind aber nur dann meldepflichtig, wenn sie gem. § 18 Abs. 2 der Vorabkontrolle unterliegen, keiner Musteranwendung entsprechen und auch nicht die inneren Angelegenheiten einer anerkannten Kirche oder Religionsgesellschaft betreffen.
Für die tägliche Praxis einer kommerziellen Anwendung sind demnach folgende Tatbestände zu prüfen:
· Enthält eine manuelle Anwendung sensible Daten im Sinne von § 4 Abs. 2?
· Enthält eine manuelle Anwendung strafrechtlich relevante Daten im Sinne von § 8 Abs. 4?
· Dient eine manuelle Anwendung der Auskunft über die Kreditwürdigkeit eines Betroffenen?
· Wird eine manuelle Anwendung als Informationsverbundsystem geführt?
Bei Zutreffen eines dieser Tatbestände ist die Anwendung einer Vorabkontrolle durch die DSK zu unterziehen und beim DVR zu melden.
Übersicht über die sonstigen Übergangsbestimmungen in
Abs. 1 regelt die Weitergeltung von Meldun­gen, die vor Inkrafttreten des DSG 2000 erstattet wurden.
Abs. 3 regelt die Frage, nach welchen Rechtsgrundlagen Datenschutzverletzungen zu beurteilen sind, die vor Inkrafttreten des DSG 2000 stattgefunden haben – diese Frage verliert wegen Zeitablaufs zunehmend an Bedeutung.
Abs. 4 legt die Frist, bis zu der bestimmte Anwendungen des öffentlichen Bereichs auch ohne gesetzliche Grundlage betrieben werden dürfen, auf 31. Dezember 2007 fest.
Abs. 6 enthält die Übergangsbestimmungen für die Funktionsperiode der Datenschutzkommission.
Abs. 7 enthält eine Generalklausel über die sinnvolle Anwendung von Verweisen auf das alte DSG, die in Vorschriften aller Art enthalten sind.
Neue Meldeformulare für das DVR
Stand 10. Oktober 2002
Die Meldeformulare im Format Winword 6 auf der Homepage der Datenschutzkommission
http://www.dsk.gv.at/formd.htm
wurden überarbeitet. Das DVR ersucht, nach Möglichkeit nur mehr diese neuen Formulare (zu erkennen am Text „Stand 10. Oktober 2002“) zu verwenden und maschinell auszufüllen.
Für Benutzer ohne passende Textverarbeitung für das Winword-Format gibt es die Formulare auch im Format PDF, allerdings noch mit Stand 29. Jänner 2002. Diese Formulare können nicht am Computer ausgefüllt werden, sie müssen ausgedruckt und manuell ausgefüllt werden.
Der Unterschied zwischen den beiden Formularständen ist geringfügig, nur beim Formular 2 (Meldung einer Datenanwendung) wird in der neuen Auflage viel deutlicher zwischen Sachbearbeiter und Zustellempfänger unterschieden.
Der Vorteil der neuen Formulargeneration tritt beim Ausfüllen zu Tage, da nunmehr bei den ausfüllbaren Textfeldern eine sinnvolle Schriftgröße voreingestellt ist.

References: § 151
 § 4
 § 8
 § 61
 § 12
 § 17
 § 58
 § 17
 § 18
 § 4
 § 8