Source: http://www.argedaten.at/php-generiert/_D%C3%BCrfen_personenbezogene_Daten_ohne_Registrierung_verwendet_werden.html
Timestamp: 2017-11-22 08:54:51+00:00

Document:
Dürfen personenbezogene Daten ohne Registrierung verwendet werden?
DSG 2000 § 4, § 7, § 17, § 52
Grundsätzlich ist die Registrierung beim Datenverarbeitungsregister (DVR) - Voraussetzung für die Verwendung personenbezogener Daten in Unternehmen (vgl. § 17 DSG 2000) - Die Verwendung von Daten umfasst dabei das Ermitteln, das Verarbeiten und die Übermittlung von personenbezogenen Daten (vgl. § 4 DSG 2000).
Um zu verhindern, dass jede Organisation / jedes Unternehmen für alltägliche Aufgaben jeweils Registrierungen vornehmen muss, wurden sogenannte Standardanwendungen definiert, die von der Registrierungspflicht ausgenommen sind. Im Unternehmensbereich sind dies insbesondere die Verwaltung von Personaldaten, Kunden- und Lieferantendaten. Im Vereinsbereich ist es die Mitgliederverwaltung. Solange diese Daten im Rahmen der Standardanwendungen verwendet werden, ist keine Registrierung notwendig.
Die Standardanwendungen geben auch vor, an wen solche Daten übermittelt werden dürfen. In diesen vorgegebenen Fällen ist auch die Übermittlung von Daten ohne Registrierung zulässig.
Eine praktisch sehr bedeutsame Ausnahme von der Registrierungspflicht sind die Adressdaten von Kunden. Diese dürfen von Unternehmen an Adressverlage und Direktwerbeunternehmen übermittelt werden, ohne dass eine Registrierung notwendig wäre.
Die Verwendung von Datenarten, die nicht von einer Standardanwendung erfasst sind, bzw. die Übermittlung an Empfänger, die in einer Standardanwendung nicht vorgesehen sind, bedarf in jedem Fall einer Registrierung. Für bestimmte Daten, insbesondere sensible Daten, ist sogar eine Vorabkontrolle durch die Datenschutzbehörde vorgesehen. Jede Ermittlung, Verarbeitung oder Übermittlung solcher Daten ohne Registrierung ist unzulässig. Ebenso unzulässig wäre natürlich eine Verwendung von Daten, die über den in der Registrierung festgelegten Rahmen hinausgeht. Für die unzulässige Verwendung von personenbezogenen Daten sind im DSG 2000 Verwaltungsstrafen bis zu EUR 18.890 vorgesehen.
Um die Zulässigkeit der Verwendung von Daten ohne Registrierung festzustellen, ist also eine genaue Analyse der jeweiligen Umstände notwendig.
Die Unterscheidung lässt sich auch an einem Beispiel zeigen: Wenn das Unternehmen A personenbezogene Daten von eigenen Kunden an ein Unternehmen B übermittelt, ist dies zulässig, weil in diesem Fall die oben genannte Ausnahme greift. Die Übermittlung z.B. von Interessentendaten wäre hingegen nicht zulässig, weil zwar Unternehmen selbst Daten von Interessenten verarbeiten dürfen, eine Übermittlung ohne Registrierung allerdings in der Standardanwendung nicht vorgesehen ist. Außerdem wäre in einem solchen Fall auch die Verwendung durch das Unternehmen B als Übermittlungsempfänger nicht zulässig (vgl. § 7 DSG 2000).
Für Betroffene ist die Zulässigkeit der Verwendung von personenbezogenen Daten ohne Registrierung bei der Durchsetzung ihrer Betroffenenrechte ein Nachteil. Durch die fehlende Registrierung wird ein Überblick über die bei verschiedenen Auftraggebern verarbeiteten Daten und eventuelle Übermittlungen erschwert.
Das Datenverarbeitungsregister ist Teil der Datenschutzbehörde.
- Dienstleister - Datenschutzkommission - DSK - Cloud Computing - Vorratsdatenspeicherung - hacker - RFID - Web 2.0 - datenschutz tagung - e-government - phishing - data protection - privacy - data safety - data protection law - Inhouse - Austria - internet

References: § 4
 § 7
 § 17
 § 52
 § 17
 § 4
 § 7