Datenschutzgesetz 2000
Bundesgesetz über den Schutz personenbezogener Daten (Datenschutzgesetz 2000 – DSG 2000)
StF: BGBl. I Nr. 165/1999; Änderung idF: BGBl. I Nr. 136/2001, BGBl. I Nr. 13/2005
Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland
§ 13. (1) Soweit der Datenverkehr mit dem Ausland nicht gemäß § 12 genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (§§ 35 ff) einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden.
(2) Die Genehmigung ist unter Beachtung der gemäß § 55 Z 2 ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des § 12 Abs. 5 vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus,
- für die im Genehmigungsantrag angeführte Übermittlung oder Überlassung im konkreten Einzelfall angemessener Datenschutz besteht; dies ist unter Berücksichtigung aller Umstände zu beurteilen, die bei der Datenverwendung eine Rolle spielen, wie insbesondere die Art der verwendeten Daten, die Zweckbestimmung sowie die Dauer der geplanten Verwendung, das Herkunfts- und das Endbestimmungsland und die in dem betreffenden Drittland geltenden allgemeinen oder sektoriellen Rechtsnormen, Standesregeln und Sicherheitsstandards; oder
- der Auftraggeber glaubhaft macht, daß die schutzwürdigen Geheimhaltungsinteressen der vom geplanten Datenverkehr Betroffenen auch im Ausland ausreichend gewahrt werden. Hiefür können insbesondere auch vertragliche Zusicherungen des Empfängers an den Antragsteller über die näheren Umstände der Datenverwendung im Ausland von Bedeutung sein.
(3) Im Genehmigungsverfahren haben Auftraggeber des öffentlichen Bereichs auch hinsichtlich der Datenanwendungen, die sie in Vollziehung der Gesetze durchführen, Parteistellung.
(4) Bei meldepflichtigen Datenanwendungen hat die Datenschutzkommission eine Ausfertigung jedes Bescheides, mit dem eine Übermittlung oder Überlassung von Daten in das Ausland genehmigt wurde, zum Registrierungsakt zu nehmen und die Erteilung der Genehmigung im Datenverarbeitungsregister (§ 16) anzumerken.
(5) Abweichend von Abs. 1 kann auch ein inländischer Dienstleister die Genehmigung beantragen, wenn er zur Erfüllung seiner vertraglichen Verpflichtungen gegenüber mehreren Auftraggebern jeweils einen bestimmten weiteren Dienstleister im Ausland heranziehen will. Die tatsächliche Überlassung darf jeweils nur mit Zustimmung des Auftraggebers erfolgen. Der Auftraggeber hat der Datenschutzkommission mitzuteilen, aus welcher seiner meldepflichtigen Datenanwendungen die dem Dienstleister genehmigte Überlassung erfolgen soll; dies ist im Datenverarbeitungsregister anzumerken.
(6) Die Übermittlung von Daten an ausländische Vertretungsbehörden oder zwischenstaatliche Einrichtungen in Österreich gilt hinsichtlich der Pflicht zur Einholung von Genehmigungen nach Abs. 1 als Datenverkehr mit dem Ausland.
(7) Hat der Bundeskanzler trotz Fehlens eines im Empfängerstaat generell geltenden angemessenen Schutzniveaus durch Verordnung festgestellt, dass für bestimmte Kategorien des Datenverkehrs mit diesem Empfängerstaat die Voraussetzungen gemäß Abs. 2 Z 1 zutreffen, tritt an die Stelle der Verpflichtung zur Einholung einer Genehmigung die Pflicht zur Anzeige an die Datenschutzkommission. Die Datenschutzkommission hat binnen sechs Wochen ab Einlangen der Anzeige mit Bescheid den angezeigten Datenverkehr zu untersagen, wenn er keiner der in der Verordnung geregelten Kategorien zuzurechnen ist oder den Voraussetzungen gemäß § 12 Abs. 5 nicht entspricht; andernfalls ist die Übermittlung oder Überlassung der Daten in das Ausland zulässig.
Betriebsrat für das wissenschaftliche Personal
- Information:
- Diese Informationen entstammen dem Rechtsinformationssystem des Bundes, Applikation Bundesrecht (Bundesrechtsdokumentation).
Diese Applikation des Rechtsinformationssystems (RIS) beinhaltet das österreichische Bundesrecht in konsolidierter Fassung.
Konsolidierung bedeutet die Zusammenfassung einer Rechtsnorm und deren Änderungen zu einem einzigen rechtlich nicht verbindlichen Text. Diese Dokumente dienen lediglich der Information. - Aktualität:
- Diese Zusammenstellung wurde am 19.08.2005 erstellt.
Für die jeweils aktuelle Version konsultieren Sie bitte das Rechtsinformationssystem des Bundes.
Datenschutzgesetz 2000
Bundesgesetz über den Schutz personenbezogener Daten (Datenschutzgesetz 2000 – DSG 2000)
StF: BGBl. I Nr. 165/1999; Änderung idF: BGBl. I Nr. 136/2001, BGBl. I Nr. 13/2005
Präambel/Promulgationsklausel
Inhaltsverzeichnis
Artikel 1 (Verfassungsbestimmung)
Artikel 2
1. Abschnitt: Allgemeines
2. Abschnitt: Verwendung von Daten
- § 6 Grundsätze
- § 7 Zulässigkeit der Verwendung von Daten
- § 8 Schutzwürdige Geheimhaltungsinteressen bei Verwendung nicht-sensibler Daten
- § 9 Schutzwürdige Geheimhaltungsinteressen bei Verwendung sensibler Daten
- § 10 Zulässigkeit der Überlassung von Daten zur Erbringung von Dienstleistungen
- § 11 Pflichten des Dienstleisters
- § 12 Genehmigungsfreie Übermittlung und Überlassung von Daten in das Ausland
- § 13 Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland
3. Abschnitt: Datensicherheit
4. Abschnitt: Publizität der Datenverarbeitungen
- § 16 Datenverarbeitungsregister
- § 17 Meldepflicht des Auftraggebers
- § 18 Aufnahme der Verarbeitung
- § 19 Notwendiger Inhalt der Meldung
- § 20 Prüfungs- und Verbesserungsverfahren
- § 21 Registrierung
- § 22 Richtigstellung des Registers
- § 23 Pflicht zur Offenlegung nichtmeldepflichtiger Datenanwendungen
- § 24 Informationspflicht des Auftraggebers
- § 25 Pflicht zur Offenlegung der Identität des Auftraggebers
5. Abschnitt: Die Rechte des Betroffenen
- § 26 Auskunftsrecht
- § 27 Recht auf Richtigstellung oder Löschung
- § 28 Widerspruchsrecht
- § 29 Die Rechte des Betroffenen bei Verwendung nur indirekt personenbezogener Daten
6. Abschnitt: Rechtsschutz
- § 30 Kontrollbefugnisse der Datenschutzkommission
- § 31 Beschwerde an die Datenschutzkommission
- § 32 Anrufung der Gerichte
- § 33 Schadenersatz
- § 34 Gemeinsame Bestimmungen
7. Abschnitt: Kontrollorgane
- § 35 Datenschutzkommission und Datenschutzrat
- § 36 Zusammensetzung der Datenschutzkommission
- § 37 Weisungsfreiheit der Datenschutzkommission
- § 38 Organisation und Geschäftsführung der Datenschutzkommission
- § 39 Beschlüsse der Datenschutzkommission
- § 40 Wirkung von Bescheiden der Datenschutzkommission und des geschäftsführenden Mitglieds
- § 41 Einrichtung und Aufgaben des Datenschutzrates
- § 42 Zusammensetzung des Datenschutzrates
- § 43 Vorsitz und Geschäftsführung des Datenschutzrates
- § 44 Sitzungen und Beschlußfassung des Datenschutzrates
8. Abschnitt: Besondere Verwendungszwecke von Daten
- § 45 Private Zwecke
- § 46 Wissenschaftliche Forschung und Statistik
- § 47 Zurverfügungstellung von Adressen zur Benachrichtigung und Befragung von Betroffenen
- § 48 Publizistische Tätigkeit
- § 48a. Verwendung von Daten im Katastrophenfall
9. Abschnitt: Besondere Verwendungsarten von Daten
10. Abschnitt: Strafbestimmungen
11. Abschnitt: Übergangs- und Schlußbestimmungen
- § 53 Befreiung von Gebühren, Verwaltungsabgaben und vom Kostenersatz
- § 54 Mitteilungen an die anderen Mitgliedstaaten der Europäischen Union und an die Europäische Kommission
- § 55 Feststellungen der Europäischen Kommission
- § 56 Verwaltungsangelegenheiten gemäß Art. 30 B-VG
- § 57 Sprachliche Gleichbehandlung
- § 58 Manuelle Dateien
- § 59 Umsetzungshinweis
- § 60 Inkrafttreten
- § 61 Übergangsbestimmungen
- § 62 Verordnungserlassung
- § 63 Verweisungen
- § 64 Vollziehung
- Anmerkung
- Das Inhaltsverzeichnis wurde der Novelle BGBl. I Nr. 13/2005 angepasst.
Datenschutzgesetz 2000
Bundesgesetz über den Schutz personenbezogener Daten (Datenschutzgesetz 2000 – DSG 2000)
StF: BGBl. I Nr. 165/1999; Änderung idF: BGBl. I Nr. 136/2001, BGBl. I Nr. 13/2005
Genehmigungsfreie Übermittlung und Überlassung von Daten in das Ausland
§ 12. (1) Die Übermittlung und Überlassung von Daten an Empfänger in Mitgliedstaaten der Europäischen Union ist keinen Beschränkungen im Sinne des § 13 unterworfen. Dies gilt nicht für den Datenverkehr zwischen Auftraggebern des öffentlichen Bereichs in Angelegenheiten, die nicht dem Recht der Europäischen Gemeinschaften unterliegen.
(2) Keiner Genehmigung gemäß § 13 bedarf weiters der Datenverkehr mit Empfängern in Drittstaaten mit angemessenem Datenschutz. Welche Drittstaaten angemessenen Datenschutz gewährleisten, wird unter Beachtung des § 55 Z 1 durch Verordnung des Bundeskanzlers festgestellt. Maßgebend für die Angemessenheit des Schutzes ist die Ausgestaltung der Grundsätze des § 6 Abs. 1 in der ausländischen Rechtsordnung und das Vorhandensein wirksamer Garantien für ihre Durchsetzung.
(3) Darüberhinaus ist der Datenverkehr ins Ausland dann genehmigungsfrei, wenn
- die Daten im Inland zulässigerweise veröffentlicht wurden oder
- Daten, die für den Empfänger nur indirekt personenbezogen sind, übermittelt oder überlassen werden oder
- die Übermittlung oder Überlassung von Daten ins Ausland in Rechtsvorschriften vorgesehen ist, die im innerstaatlichen Recht den Rang eines Gesetzes haben und unmittelbar anwendbar sind, oder
- Daten aus Datenanwendungen für private Zwecke (§ 45) oder für publizistische Tätigkeit (§ 48) übermittelt werden oder
- der Betroffene ohne jeden Zweifel seine Zustimmung zur Übermittlung oder Überlassung seiner Daten ins Ausland gegeben hat oder
- ein vom Auftraggeber mit dem Betroffenen oder mit einem Dritten eindeutig im Interesse des Betroffenen abgeschlossener Vertrag nicht anders als durch Übermittlung der Daten ins Ausland erfüllt werden kann oder
- die Übermittlung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen vor ausländischen Behörden erforderlich ist und die Daten rechtmäßig ermittelt wurden, oder
- die Übermittlung oder Überlassung in einer Standardverordnung (§ 17 Abs. 2 Z 6) oder Musterverordnung (§ 19 Abs. 2) ausdrücklich angeführt ist oder
- es sich um Datenverkehr mit österreichischen Dienststellen im Ausland handelt oder
- Übermittlungen oder Überlassungen aus Datenanwendungen erfolgen, die gemäß § 17 Abs. 3 von der Meldepflicht ausgenommen sind.
(4) Wenn eine Übermittlung oder Überlassung von Daten ins Ausland in Fällen, die von den vorstehenden Absätzen nicht erfaßt sind,
- zur Wahrung eines wichtigen öffentlichen Interesses oder
- zur Wahrung eines lebenswichtigen Interesses einer Person notwendig und so dringlich ist, daß die gemäß § 13 erforderliche Genehmigung der Datenschutzkommission nicht eingeholt werden kann, ohne die genannten Interessen zu gefährden, darf sie ohne Genehmigung vorgenommen werden, muß aber der Datenschutzkommission umgehend mitgeteilt werden.
(5) Voraussetzung für die Zulässigkeit jeder Übermittlung oder Überlassung in das Ausland ist die Rechtmäßigkeit der Datenanwendung im Inland gemäß § 7. Bei Überlassungen ins Ausland muß darüber hinaus die schriftliche Zusage des ausländischen Dienstleisters an den inländischen Auftraggeber – oder in den Fällen des § 13 Abs. 5 an den inländischen Dienstleister – vorliegen, daß er die Dienstleisterpflichten gemäß § 11 Abs. 1 einhalten werde. Dies entfällt, wenn die Dienstleistung im Ausland in Rechtsvorschriften vorgesehen ist, die im innerstaatlichen Recht den Rang eines Gesetzes haben und unmittelbar anwendbar sind.
Datenschutzgesetz 2000
Bundesgesetz über den Schutz personenbezogener Daten (Datenschutzgesetz 2000 – DSG 2000)
StF: BGBl. I Nr. 165/1999; Änderung idF: BGBl. I Nr. 136/2001, BGBl. I Nr. 13/2005
3. Abschnitt: Datensicherheit
Datensicherheitsmaßnahmen
§ 14. (1) Für alle Organisationseinheiten eines Auftraggebers oder Dienstleisters, die Daten verwenden, sind Maßnahmen zur Gewährleistung der Datensicherheit zu treffen. Dabei ist je nach der Art der verwendeten Daten und nach Umfang und Zweck der Verwendung sowie unter Bedachtnahme auf den Stand der technischen Möglichkeiten und auf die wirtschaftliche Vertretbarkeit sicherzustellen, daß die Daten vor zufälliger oder unrechtmäßiger Zerstörung und vor Verlust geschützt sind, daß ihre Verwendung ordnungsgemäß erfolgt und daß die Daten Unbefugten nicht zugänglich sind.
(2) Insbesondere ist, soweit dies im Hinblick auf Abs. 1 letzter Satz erforderlich ist,
- die Aufgabenverteilung bei der Datenverwendung zwischen den Organisationseinheiten und zwischen den Mitarbeitern ausdrücklich festzulegen,
- die Verwendung von Daten an das Vorliegen gültiger Aufträge der anordnungsbefugten Organisationseinheiten und Mitarbeiter zu binden,
- jeder Mitarbeiter über seine nach diesem Bundesgesetz und nach innerorganisatorischen Datenschutzvorschriften einschließlich der Datensicherheitsvorschriften bestehenden Pflichten zu belehren,
- die Zutrittsberechtigung zu den Räumlichkeiten des Auftraggebers oder Dienstleisters zu regeln,
- die Zugriffsberechtigung auf Daten und Programme und der Schutz der Datenträger vor der Einsicht und Verwendung durch Unbefugte zu regeln,
- die Berechtigung zum Betrieb der Datenverarbeitungsgeräte festzulegen und jedes Gerät durch Vorkehrungen bei den eingesetzten Maschinen oder Programmen gegen die unbefugte Inbetriebnahme abzusichern,
- Protokoll zu führen, damit tatsächlich durchgeführte Verwendungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, im Hinblick auf ihre Zulässigkeit im notwendigen Ausmaß nachvollzogen werden können,
- eine Dokumentation über die nach Z 1 bis 7 getroffenen Maßnahmen zu führen, um die Kontrolle und Beweissicherung zu erleichtern.
Diese Maßnahmen müssen unter Berücksichtigung des Standes der Technik und der bei der Durchführung erwachsenden Kosten ein Schutzniveau gewährleisten, das den von der Verwendung ausgehenden Risiken und der Art der zu schützenden Daten angemessen ist.
(3) Nicht registrierte Übermittlungen aus Datenanwendungen, die einer Verpflichtung zur Auskunftserteilung gemäß § 26 unterliegen, sind so zu protokollieren, daß dem Betroffenen Auskunft gemäß § 26 gegeben werden kann. In der Standardverordnung (§ 17 Abs. 2 Z 6) oder in der Musterverordnung (§ 19 Abs. 2) vorgesehene Übermittlungen bedürfen keiner Protokollierung.
(4) Protokoll- und Dokumentationsdaten dürfen nicht für Zwecke verwendet werden, die mit ihrem Ermittlungszweck – das ist die Kontrolle der Zulässigkeit der Verwendung des protokollierten oder dokumentierten Datenbestandes – unvereinbar sind. Unvereinbar ist insbesondere die Weiterverwendung zum Zweck der Kontrolle von Betroffenen, deren Daten im protokollierten Datenbestand enthalten sind, oder zum Zweck der Kontrolle jener Personen, die auf den protokollierten Datenbestand zugegriffen haben, aus einem anderen Grund als jenem der Prüfung ihrer Zugriffsberechtigung, es sei denn, daß es sich um die Verwendung zum Zweck der Verhinderung oder Verfolgung eines Verbrechens nach § 278a StGB (kriminelle Organisation) oder eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt, handelt.
(5) Sofern gesetzlich nicht ausdrücklich anderes angeordnet ist, sind Protokoll- und Dokumentationsdaten drei Jahre lang aufzubewahren. Davon darf in jenem Ausmaß abgewichen werden, als der von der Protokollierung oder Dokumentation betroffene Datenbestand zulässigerweise früher gelöscht oder länger aufbewahrt wird.
(6) Datensicherheitsvorschriften sind so zu erlassen und zur Verfügung zu halten, daß sich die Mitarbeiter über die für sie geltenden Regelungen jederzeit informieren können.