Source: https://www.jusline.at/entscheidung/541661
Timestamp: 2019-10-17 07:03:22+00:00

Document:
Entscheidung TE Dsk BescheidInternatDatenverkehr 2014/7/10 DSB-D178.599/0003-DSB 2014 - JUSLINE Österreich
TE Dsk BescheidInternatDatenverkehr 2014/7/10 DSB-D178.599/0003-DSB 2014
GZ: DSB-D178.599/0003-DSB 2014 vom 10. Juli 2014
Die Datenschutzbehörde entscheidet über den Antrag der F*** GmbH vom 27. Mai 2014 (eingelangt bei der Datenschutzbehörde am 30. Mai 2014) auf Genehmigung im internationalen Datenverkehr wie folgt:
I. Der F*** GmbH in **** H***, J***weg **2, wird aufgrund ihres Antrages gemäß § 13 Abs. 1 und 2 des Datenschutzgesetzes 2000 (DSG 2000) die Genehmigung erteilt, die folgenden Daten aus der Datenanwendung „Anfrage-Informations-Management-Systems (Information Request Management System – Case Entry IRMS-CE)““ zum Zweck der Speicherung an die F*** Corporate Headquarters (USA) zu überlassen:
a) Von Kunden oder Lieferanten der Antragstellerin dürfen aus der Standardanwendung SA001 "Rechnungswesen und Logistik" folgende Daten, wobei auch die Daten zur Geschäftskorrespondenz inkludiert sind, überlassen werden:
b) Von Sachbearbeitern oder Kontaktperson bei der Antragstellerin dürfen aus der Standardanwendung SA001 "Rechnungswesen und Logistik" folgende Daten, wobei auch die Daten zur Geschäftskorrespondenz inkludiert sind, überlassen werden:
Jede Weiterverwendung der überlassenen Daten beim Empfänger für Zwecke, die in dem im Genehmigungsverfahren vorgelegten, von der Antragstellerin und dem Empfänger unterzeichneten Dienstleistungsvertrag nicht angeführt sind, insbesondere die Verwendung für eigene Zwecke des Empfängers, ist untersagt.
Mit Schriftsatz vom 27. Mai 2014 hat die F*** GmbH (in weiterer Folge „Antragstellerin“) einen Antrag gemäß § 13 DSG 2000 auf Überlassung von personenbezogenen Daten an einen Dienstleister in den USA gestellt.
Die Überlassung betrifft die im Spruch genannten Datenarten aus der Standardanwendung SA001 "Rechnungswesen und Logistik" und dient zur Speicherung. Die Überlassung der Geschäftskorrespondenz (Anfrage, Art der Anfrage, betroffenes Produkt, Antwort des Sachbearbeiters oder Kontaktperson bei der Antragstellerin) wurde ausdrücklich beantragt.
Die beantragte Überlassung an ein Unternehmen mit Sitz in den USA ist gemäß § 13 Abs. 1 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF, genehmigungspflichtig, da zum einen der Empfänger seinen Sitz in einem Staat hat, für den keine Feststellung des Vorhandenseins eines angemessenen Datenschutzniveaus gemäß Datenschutzangemessenheits-Verordnung (DSAV), BGBl. II Nr. 521/1999 idgF., besteht und da zum anderen auch kein Fall eines gemäß § 12 Abs. 3 DSG 2000 genehmigungsfreien Datenverkehrs vorliegt.
Der Antrag bezieht sich auf Daten, die in Österreich rechtmäßig verarbeitet werden. Die Daten stammen aus Datenanwendungen, deren Umfang von der Standardanwendung SA001 „Rechnungswesen und Logistik“, die gemäß § 17 Abs. 2 Z 6 DSG 2000 nicht meldepflichtig ist, abgedeckt ist.
Der Antrag umfasste auch Daten der Geschäftskorrespondenz, die bei der Standardanwendung im Zweck der Datenanwendung erwähnt und daher inkludiert sind ("…einschließlich automationsunterstützt erstellter und archivierter Textdokumente (wie z.B. Korrespondenz) in diesen Angelegenheiten"). Die Daten zur Geschäftskorrespondenz sind im Spruch explizit genannt, auch wenn sie ein integraler Bestandteil der Standardanwendung sind und daher nicht gesondert beantragt werden müssen.
Zur Glaubhaftmachung des angemessenen Datenschutzes beim Empfänger im Ausland haben die Antragstellerin und der Empfänger jeweils einen Vertrag abgeschlossen, der den durch Entscheidung der Europäischen Kommission geschaffenen Standardvertragsklauseln für die Übermittlung (in österreichischer Terminologie: „Überlassung“) personenbezogener Daten an Auftragsverarbeiter (in österreichischer Terminologie: „Dienstleister“) in Drittländern (2010/87/EG) entspricht. Gemäß Artikel 1 dieser Entscheidung gelten die Standardvertragsklauseln als angemessene Garantien hinsichtlich des Schutzes der Privatsphäre, der Grundrechte und der Grundfreiheiten der Personen sowie hinsichtlich der Ausübung der damit verbundenen Rechte für die Überlassung personenbezogener Daten durch österreichische Auftraggeber an Dienstleister außerhalb der europäischen Gemeinschaft. Der Nachweis ausreichenden Datenschutzes bei den ausländischen Datenempfängern gilt daher als erbracht im Sinne des § 13 Abs. 2 Z 2 DSG 2000.
IDVK, USA, Genehmigungspflicht, Datenüberlassung im Konzern, Hosting, Speicherung, Standardvertragsklauseln, Rechnungswesen und Logistik
ECLI:AT:DSB:2014:DSB.D178.599.0003.DSB.2014

References: § 13
 § 13
 § 13
 § 12
 § 17
 § 13