Datenschutzgesetz 2000 Überblick

1. Datenschutzgesetz 2000 Überblick Claudia Rosenmayr-Klemenz

2. Entwicklung des Datenschutzrechts • DS der ersten Generation: Bedrohung der Persönlichkeitsrechte durch staatliche Großrechner • DS der zweiten Generation: Betroffenenrechte ( DSG 1978) • DS der dritten Generation: informationelles Selbstbestimmungsrecht ( EG-Datenschutzrichtlinie; DSG 2000) • Spezifische Datenschutzregelungen:- neue Technologien (zB Telekommunikationsgesetz)- besonderes Gefährdungspotential

3. Wesentliche Rechtsquellen • Richtlinie 95/46/EG vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr • Bundesgesetz über den Schutz personenbezogener Daten (Datenschutzgesetz 2000 - DSG 2000) vom 17.8.1999, BGBl I Nr 165/1999 • Datenverarbeitungsregister-Verordnung 2002 (DVRV), BGBl III Nr 24/2002 • Standard- und Muster-Verordnung 2000 (StMV), BGBl II Nr 201/2000

4. Anwendungsbereich des Datenschutzes (wesentliche Begriffe) • Personenbezogene Daten: Identität der Betroffenen bestimmbar • Betroffene: physische oder juristische Personen • Auftraggeber - Dienstleister • Verwenden von Daten: Verarbeiten (jede Art der „Handhabung“, zB Ermitteln, Speichern, Verknüpfen usw) und Übermitteln

5. Entscheidung über Verarbeitung von Daten Überlassung von Daten an einen anderen zur Her-stellung eines auf-getragenen Werkes Verwendung von Daten, die zur Herstellung eines aufgetragenen Werkes überlassen wurden Auftraggeber oder Dienstleister

6. Pflichten des Auftraggebers • Beachtung der Zulässigkeitskriterien für die Datenverwendung (§§ 6 ff) • Datensicherheitsmaßnahmen (§ 14) • Datengeheimnis (§ 15) • Meldung an das Datenverarbeitungsregister (§ 17) • Informationspflicht, Offenlegungspflicht (§ 24, § 25) • Auskunft (§ 26) • Richtigstellung und Löschung (§ 27)

7. Pflichten des Dienstleisters (§ 11) Insbesondere • Verwendung der Daten ausschließlich im Rahmen der Aufträge des Auftraggebers • Datensicherheitsmaßnahmen treffen • nach Beendigung der Dienstleistung alle Daten dem Auftraggeber übergeben bzw in dessen Auftrag aufbewahren oder vernichten • Dienstleistervertrag (Muster: www.bka.gv.at/datenschutz)

8. Verwenden von Daten • Verarbeiten: Ermitteln, Erfassen, Speichern, Aufbewahren, Ordnen, Vergleichen, Verändern, Verknüpfen, Vervielfältigen, Ausgeben, Abfragen, Benützen, Überlassen, Sperren, Löschen, Vernichten (§ 4 Z 9) • Übermitteln: Weitergabe, Veröffentlichen, Verwendung für anderes Aufgabengebiet (§ 4 Z 12)

9. Zulässigkeit der Datenverwendung • Grundsätze (§ 6)  Treu und Glauben  Zweckbindung • gesetzliche Zuständigkeit/rechtliche Befugnis des Auftraggebers (Empfängers) (§ 7) • Verhältnismäßigkeit • Nichtverletzung schutzwürdiger Geheim-haltungsinteressen (§§ 8, 9)

10. Grundsätze der Datenverwendung (§ 6) • Nach Treu und Glauben • auf rechtmäßige Weise • für festgelegte, eindeutige, rechtmäßige Zwecke; wesentlich für diese Zwecke • sachliche Richtigkeit, Aktualität • Aufbewahrung solange zur Erreichung des Zwecks erforderlich

11. Wahrung schutzwürdiger Geheimhaltungsinteressen (nicht sensibler Daten § 8) • Ausdrückliche gesetzliche Ermächtigung oder Verpflichtung • Zustimmung des Betroffenen (jederzeitiges Widerrufsrecht) • zulässigerweise veröffentlichte Daten • lebenswichtige Interessen des Betroffenen • überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten (zB Vertragserfüllung, Rechtsdurchsetzung, vorvertragliche Maßnahmen)

12. Sensible DatenDaten natürlicher Personen über • Rassische und ethnische Herkunft • politische Meinung • Gewerkschaftszugehörigkeit • religiöse oder philosophische Überzeugung • Gesundheit • Sexualleben taxativer Zulässigkeitskatalog (§ 9)

13. Datensicherheit Je nach der Art der verwendeten Daten und nach Um-fang und Zweck der Verwendung ist unter Bedacht-nahme auf den Stand der technischen Möglichkeiten und die wirtschaftliche Vertretbarkeit sicherzustellen, dass • Daten vor zufälliger oder unrechtmäßiger Zerstörung oder Verlust geschützt sind • Verwendung der Daten ordnungsgemäß erfolgt • Daten Unbefugten nicht zugänglich sind

14. Datensicherheit § 14 • Kompetenzklarheit • Auftragsgebundenheit • Belehrungspflicht • Zutrittsbeschränkung • Zugriffsbeschränkung • Betriebsbeschränkung • Protokollierungspflicht • Dokumentationspflicht

15. Datengeheimnis • Verpflichtung für Auftraggeber, Dienstleister und ihre Mitarbeiter zur Geheimhaltung von Daten, die ihnen aufgrund ihrer berufsmäßigen Beschäftigung bekannt geworden sind (soweit kein rechtlich zulässiger Grund für eine Über-mittlung besteht). • Übermittlung von Daten durch Mitarbeiter nur aufgrund einer ausdrücklichen Anordnung ihres Arbeitgebers (Dienstgebers)  vertragliche Verpflichtung.

16. Verpflichtungserklärung gem § 15 Abs 2 DSG 2000 Ich verpflichte mich, personenbezogene Daten aus Datenanwendungen, die mir zugänglich geworden sind, geheim zu halten, soweit kein rechtlich zulässiger Grund für eine Übermittlung besteht. Ich verpflichte mich, Daten nur aufgrund einer ausdrücklichen Anordnung zu übermitteln (und nehme die für meinen Arbeitsplatz geltenden allgemeinen Übermittlungsanordnungen (Blg A) sowie die Liste anordnungsbefugter Personen (Blg B) zur Kenntnis). Ich verpflichte mich, das Datengeheimnis auch nach Beendigung des Dienstverhältnisses einzuhalten und nehme zur Kenntnis, dass ein Verstoß dagegen nicht nur arbeitsrechtliche sondern auch (verwaltungs)strafrechtliche Folgen haben kann und allenfalls schadenersatzpflichtig machen kann. Durch die Verpflichtungserklärung wird die gesetzlich gem § ..... angeordnete Verschwiegenheitspflicht nicht berührt.

17. Meldung an die DSK § 16 Datenverarbeitungsregister bei der Datenschutzkommission Meldeformulare: www.bka.gv.at/datenschutz  Formblatt und „Angaben zum Auftraggeber“  Formblatt „Meldung einer Datenanwendung“  Formblatt „Meldung einer Musteranwendung“  Formblatt „Allgemeine Angaben zu ergriffenen Datensicherheitsmaßnahmen“

18. Wirtschaftsrelevante Ausnahmen von der Meldepflicht  Ausschließlich veröffentlichte Daten (zB Firmenbuchdaten, veröffentlichte Bilanzdaten)  Standardanwendungen - SA 001 Rechnungswesen und Logistik - SA 002 Personalverwaltung für privatrechtliche Dienst- verhältnisse - SA 003 Mitgliederverwaltung - SA 007 Verwaltung von Benutzerkennzeichen - SA 022 Kundenbetreuung und Marketing für eigene Zwecke

19. DVR-Nummer  bei erstmaliger Registrierung im Datenverarbeitungsregister vergeben  siebenstellige Registernummer  bei Übermittlungen an Betroffene zu führen (DVR: 0000000)

20. Informationspflicht des Auftraggebers • Anlässlich der Datenermittlung • bei meldepflichtigen Datenanwendungen  Zweck der Datenanwendung  Name und Adresse des Auftraggebers  weitere Informationen nach Treu und Glauben (zB Informationsverbundsystem)

21. Auskunftsrecht (§ 26) Auf Verlangen des Betroffenen hat der Auftraggeber binnen 8 Wochen Auskunft zu geben über - die verarbeiteten Daten - die verfügbaren Informationen über ihre Herkunft - allfällige Empfänger oder Empfängerkreise von Übermittlungen - den Zweck der Datenverwendung und die Rechtsgrundlagen hiefür Mitwirkungspflicht des Betroffenen!

22. Auskunft ist nicht zu erteilen - soweit dies zum Schutz des Betroffenen aus besonderen Gründen notwendig ist (insb medizinische Gründe) - soweit überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten der Auskunftserteilung entgegenstehen (zB Schutz von Berufs- oder Betriebsgeheimnissen)

23. Recht auf Richtigstellung oder Löschung (§ 27) - antragsunabhängige Richtigstellungs- oder Löschungspflicht des Auftraggebers sobald ihm die Unrichtigkeit von Daten oder die Unzulässigkeit ihrer Verarbeitung bekannt wird - Richtigstellung oder Löschung auf begründeten Antrag des Betroffenen binnen 8 Wochen

24. Widerspruchsrecht § 28 • Verletzung überwiegender schutzwürdiger Geheimhaltungsinteressen infolge besonderer Situation des Betroffenen (nicht rechtswidrig!!) • Aufnahme in öffentliche Datei ohne gesetzliche Grundlage • binnen 8 Wochen Löschung, Übermittlungsverbot

25. Rechtsschutz §§ 30 - 34 • Kontrolle durch die DSK (§ 30) • Beschwerde an die DSK (§ 31) • Anrufung der Gerichte (§ 32) • Schadenersatz (§ 33)

26. Strafsanktionen § 51 DSG Datenverwendung in Gewinn- oder Schädigungs-absicht §§ 121, 126a, 310 StGB etc (Verletzung von Berufsge-heimnissen, Datenbeschädi-gung, Verletzung des Amts-geheimnisses) § 52 DSG Verwaltungsstraftatbestände 18.890 €/9445 €

27. Datenverkehr mit dem Ausland • genehmigungsfrei • genehmigungspflichtig

28. Genehmigungsfrei I • Mitgliedstaaten der EU • Datenschutzangemessenheits-Verordnung (BGBl II 521/1999) - Schweiz - Ungarn • EU-Kommissions-Entscheidungen: - US-Safe Harbour - Kanada

29. Genehmigungsfrei II • im Inland zulässigerweise veröffentlichte Daten • indirekt personenbezogene Daten • gesetzlich vorgesehen • private oder publizistische Zwecke • Zustimmung des Betroffenen • Erfüllung eines Vertrags • Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen vor ausländischen Behörden • in Standard- oder Musterverordnung vorgesehen • Datenverkehr mit österr Dienststellen im Ausland • nicht meldepflichtige Datenanwendungen gem § 17 Abs 3

30. Genehmigungsfrei mit nachträglicher Mitteilung an DSK Bei besonderer Dringlichkeit • wichtiges öffentliches Interesse • lebenswichtiges Interesse einer Person

31. Genehmigungspflichtig: In sonstigen Fällen ist die Genehmigung durch DSK zu erteilen, wenn • beim Empfänger im konkreten Einzelfall ein „angemessener Datenschutz“ besteht, oder • der Auftraggeber das Vorliegen ausreichender Garantien für den Schutz der Betroffenenrechte im Ausland glaubhaft macht.