Source: https://www.jusline.at/entscheidung/541677
Timestamp: 2019-12-11 00:40:07
Document Index: 47011336

Matched Legal Cases: ['§ 13', '§ 13', '§ 13', '§ 12', '§ 10', '§ 13']

Entscheidung TE Dsk BescheidInternatDatenverkehr 2013/12/13 K178.557/0005-DSK/2013 - JUSLINE Österreich
TE Dsk BescheidInternatDatenverkehr 2013/12/13 K178.557/0005-DSK/2013
I. Der D**** GmbH wird aufgrund ihres Antrages vom 10. September 2013 gemäß § 13 Abs. 1 und 2 des Datenschutzgesetzes 2000 - DSG 2000 die Genehmigung erteilt, in folgendem Ausmaß Daten an die D**** Limited (Republik Indien) zur Speicherung (Hosting), Wartung, Erbringung von Supportleistungen und zur Auswertung zu überlassen:
I.a Aus der Standardanwendung SA001 "Rechnungswesen und Logistik" dürfen folgende Datenarten überlassen werden:
Von Kunden oder Lieferanten des Auftraggebers (Empfänger und Erbringer von Lieferungen oder Leistungen):
03 Anrede/Geschlecht
06 Geburtsjahr (soweit zur Identifikation unbedingt notwendig) 07 Geburtstag und -monat (soweit zur Identifikation unbedingt notwendig)
08 Firmenbuchdaten
09 Daten zur Bonität
10 Sperrkennzeichen (z. B. Kontaktsperre, Rechnungssperre, Liefersperre, Buchungssperre, Zahlungssperre)
11 Zuordnung zu einer bestimmten Kunden- und Lieferantenkategorie (einschließlich regionale Zuordnung, usw.) 12 Kenn-Nummern für Zwecke amtlicher Statistik wie UID-Nummer
und Intrastat-Kenn-Nummer
13 Zugehörigkeit zu einem bestimmten Einkaufsverband, Konzern 14 Korrespondenzsprachen, sonstige Vereinbarungen und Schlüssel zum Datenaustausch
15 Gegenstand der Lieferung oder Leistung
16 Bonus-, Provisionsdaten und dgl.
17 Kontaktperson beim Betroffenen zur Abwicklung der Lieferung oder
18 Bei der Leistungserbringung mitwirkende Dritte
einschließlich Angaben über die Art der Mitwirkung 19 Liefer- und Leistungsbedingungen (einschließlich Angaben über den Ort der Lieferung oder Leistung, Verpackung, usw.) 20 Daten zur Verzollung (z. B. Ursprungsland, Zolltarifnummer)
und Exportkontrolle
21 Daten zur Versicherung der Lieferung oder Leistung und
22 Daten zur Steuerpflicht und Steuerberechnung
23 Finanzierungs- und Zahlungsbedingungen
24 Bankverbindung
25 Kreditkartennummern und -unternehmen
26 Daten zum Kreditmanagement (z. B. Kreditlimit, Wechsellimit)
27 Daten zum Zahlungs- oder Leistungsverhalten des Betroffenen
28 Mahndaten/Klagsdaten
29 Konto- und Belegdaten
30 Leistungsspezifische Aufwände und Erträge
31 Sonderhauptbuchvorgänge (z. B. Einzelwert-berichtigung, Wechselforderung, Anzahlung, Bankgarantie)
Von Sachbearbeitern oder Kontaktpersonen beim Auftraggeber:
32 Ordnungsnummer
34 Zusätzliche Daten zur Adressierung beim Auftraggeber
35 Korrespondenzsprachen, sonstige Vereinbarungen und Schlüssel
37 Umfang der Vertretungsbefugnis
Von an der Geschäftsabwicklung mitwirkenden Dritten:
39 Ordnungsnummer
40 Name bzw. Bezeichnung
41 Anrede/Geschlecht
42 Anschrift
43 Telefon- und Faxnummer und andere zur Adressierung
erforderliche Informationen, die sich durch moderne Kommunikationstechniken ergeben
44 Geburtsjahr (soweit zur Identifikation unbedingt notwendig) 45 Geburtstag und -monat (soweit zur Identifikation unbedingt notwendig)
46 Firmenbuchdaten
47 Daten zur Bonität
48 Sperrkennzeichen (z. B. Kontaktsperre, Rechnungs-sperre, Liefersperre, Buchungssperre, Zahlungssperre)
49 Zuordnung zu einer bestimmten Kategorie der Leistungserbringer (einschließlich regionale Zuordnung, usw.) 50 Kenn-Nummern für Zwecke amtlicher Statistik wie UID-Nummer
51 Zugehörigkeit zu einem bestimmten Einkaufsverband, Konzern 52 Korrespondenzsprachen, sonstige Vereinbarungen und Schlüssel
53 Gegenstand der Lieferung oder Leistung
54 Bonus-, Provisionsdaten und dgl.
55 Kontaktperson beim Betroffenen zur Abwicklung der Lieferung
56 Liefer- und Leistungsbedingungen (einschließlich Angaben über den Ort der Lieferung oder Leistung, Verpackung, usw. ) 57 Daten zur Verzollung (z. B. Ursprungsland, Zolltarifnummer)
58 Daten zur Versicherung der Lieferung oder Leistung und zu
ihrer Finanzierung
59 Daten zur Steuerpflicht und Steuerberechnung
60 Finanzierungs- und Zahlungsbedingungen
61 Bankverbindung
62 Kreditkartennummern und -unternehmen
63 Daten zum Kreditmanagement (z. B. Kreditlimit, Wechsellimit)
64 Daten zum Zahlungs- oder Leistungsverhalten des Betroffenen
65 Mahndaten/Klagsdaten
66 Konto- und Belegdaten
67 Leistungsspezifische Aufwände und Erträge
68 Sonderhauptbuchvorgänge (z. B. Einzelwertberichtigung, Wechselforderung, Anzahlung, Bankgarantie)
Von Kontaktpersonen beim Kunden, Lieferanten oder an der Geschäftsabwicklung mitwirkenden Dritten:
69 Ordnungsnummer
70 Name, Anrede/Geschlecht
71 Zugehöriger Kunde, Lieferant oder Dritter
72 Zusätzliche Daten zur Adressierung beim Kunden, Lieferanten
oder Dritten
73 Korrespondenzsprachen, sonstige Vereinbarungen und Schlüssel
74 Funktion des Betroffenen beim Leistungsempfänger oder
75 Umfang der Vertretungsbefugnis
76 Vom Betroffenen bearbeitete Geschäftsfälle
Von bloßen Zustell-, Lieferungs-, Rechnungsadressaten und dgl.:
77 Ordnungsnummer
78 Name oder Bezeichnung, Anrede/Geschlecht
79 Anschrift
80 Telefon- und Faxnummer und andere zur Adressierung
81 Korrespondenzsprachen, sonstige Vereinbarungen und Schlüssel zum Datenaustausch
82 Angaben über besondere Bedingungen für die Annahme der Zustellung, Lieferung oder Leistung
Ib. Weiters dürfen alle Datenarten der Standardanwendungen
SA002 "Personalverwaltung für privatrechtliche Dienstverhältnisse" und
SA033 "Datenübermittlung im Konzern-A. Konzernweite Kontakt- und Termindatenbank"
Mit Schriftsatz vom 10. September 2013 hat die D**** GmbH (in weiterer Folge "Antragstellerin") bei der Datenschutzkommission einen Antrag gemäß § 13 DSG 2000 auf Überlassung von personenbezogenen Daten an einen Dienstleister in Indien gestellt.
De Überlassung betrifft die Daten Standardanwendungen SA002 "Personalverwaltung für privatrechtliche Dienstverhältnisse" und SA033 "Datenübermittlung im Konzern-A. Konzernweite Kontakt- und Termindatenbank" sowie Teile der Standardanwendung SA001 "Rechnungswesen und Logistik" (Datenarten 01-82).
Der Dienstleister soll für die Antragstellerin die Daten speichern (Hosting), warten, Support-Leistungen erbringen und auch die Daten für die Antragstellerin auswerten.
Die beantragte Überlassung an ein Unternehmen mit Sitz in der Republik Indien ist gemäß § 13 Abs. 1 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF, genehmigungspflichtig, da zum einen der Empfänger seinen Sitz in einem Staat hat, für den keine Feststellung des Vorhandenseins eines angemessenen Datenschutzniveaus gemäß Datenschutzangemessenheits-Verordnung (DSAV) BGBl. II Nr. 521/1999 idgF., besteht und da zum anderen auch kein Fall eines gemäß § 12 Abs. 3 DSG 2000 genehmigungsfreien Datenverkehrs vorliegt.
Der Antrag bezieht sich auf Daten, die in Österreich rechtmäßig verarbeitet werden. Die Daten stammen aus Datenanwendungen, deren Umfang von den Standardanwendungen SA001 "Rechnungswesen und Logistik", SA002 "Personalverwaltung für privatrechtliche Dienstverhältnisse" und SA033 "Datenübermittlung im Konzern-A. Konzernweite Kontakt- und Termindatenbank" der Standard- und Muster-Verordnung 2004 (StMV 2004), BGBl. II Nr. 312/2004, abgedeckt ist.
Die Antragstellerin hat auch den von § 10 Abs. 1 DSG 2000 verlangten Dienstleistervertrag in Form von Standardvertragsklauseln vorgelegt. Der im Antrag genannte Umfang von Überlassungszwecken ist vom vorgelegten Dienstleistervertrag gedeckt.
Zur Glaubhaftmachung des angemessenen Datenschutzes bei den Empfängern im Ausland haben die Antragsstellerin und die Empfänger jeweils einen Vertrag abgeschlossen, der den durch Entscheidung der Europäischen Kommission geschaffenen Standardvertragsklauseln für die Übermittlung (in österreichischer Terminologie: "Überlassung") personenbezogener Daten an Auftragsverarbeiter (in österreichischer Terminologie: "Dienstleister") in Drittländern (2010/87/EG) entspricht. Gemäß Artikel 1 dieser Entscheidung gelten die Standardvertragsklauseln als angemessene Garantien hinsichtlich des Schutzes der Privatsphäre, der Grundrechte und der Grundfreiheiten der Personen sowie hinsichtlich der Ausübung der damit verbundenen Rechte für die Überlassung personenbezogener Daten durch österreichische Auftraggeber an Dienstleister außerhalb der europäischen Gemeinschaft. Der Nachweis ausreichenden Datenschutzes bei den ausländischen Datenempfängern gilt daher als erbracht im Sinne des § 13 Abs. 2 Z 2 DSG 2000.
IDVK, Indien, Überlassung, Genehmigungspflicht, Datenverwendung im Konzern, Rechnungswesen und Logistik, Speicherung, Hosting, Wartung, Erbringung von Supportleistungen, Auswertung, Standardvertragsklauseln