# Verordnung der o.ö. Landesregierung betreffend den Datenschutz im Bereich der Landesverwaltung sowie die Festsetzung eines Kostenersatzes für die Erteilung von Auskünften nach # dem Datenschutzgesetz (O.ö. Landes-Datenschutzverordnung - O.ö. L-DVO) A. das Amt der o. ö. Landesregierung, und zwar auch als Geschäftsapparat 1.des Landeshauptmannes; 2.der Landesregierung; 3.von Sonderbehörden des Landes, wie z. B. a)des Landesagrarsenates (Gesetz BGBl. Nr. 1/1951), b)der Landesgrundverkehrskommission (Gesetz LGBl. Nr. 53/1975), c)der Bezirksgrundverkehrskommissionen Linz und Urfahr-Umgebung (Grundverkehrsgesetz - Bezirkskommissionenverordnung, LGBl. Nr. 12/1958), d)der Obereinigungskommission nach der O. ö. Landarbeitsordnung 1979, LGBl. Nr. 84, e)der Disziplinaroberkommission für Landes lehrer für Berufsschulen und der Oberkom mission zur Leistungsfeststellung für Landes- lehrer für Berufsschulen nach dem O. ö. Landeslehrer-Diensthoheitsgesetz 1980, LGBl. Nr. 38, Seite 146 Landesgesetzblatt für Oberösterreich, Jahrgang 1980, 23. Stück, Nr. 74 C.die Bezirkshauptmannschaften in Oberösterreich (Gesetz RGBl. Nr. 44/1868), und zwar auch als Ge schäftsstelle b)sonstige Organisationseinheiten des Amtes der o. ö. Landesregierung, soweit bei ihnen Anlagen eingerichtet sind, die zum Verarbei ten von Daten im oder für den automations- unterstützten Datenverkehr dienen, c)bei einer Bezirkshauptmannschaft, bei der eine Anlage zum Verarbeiten von Daten im oder für den automationsunterstützten Daten verkehr eingerichtet ist, diejenige Stelle (Or ganisationseinheit), der nach den Organisa tionsvorschriften (Organisationsplan der Be zirkshauptmannschaft) die Durchführung der Verarbeitung übertragen ist, d)bei einer Agrarbezirksbehörde, bei der eine Anlage zum Verarbeiten von Daten im oder für den automationsunterstützten Datenver kehr eingerichtet ist, diejenige Stelle, der nach den Organisationsvorschriften die Durch führung der Verarbeitung übertragen ist, e)bei Auftraggebern gemäß § 1 Abschnitt B, bei denen eine Anlage zum Verarbeiten von Da ten im oder für den automationsunterstützten Datenverkehr eingerichtet ist, diejenige Stelle, der nach den Organisationsvorschriften (z. B. Satzung und Anstaltsordnung) die Durchfüh rung der Verarbeitung übertragen ist, f)Dritte, die mit der Verarbeitung von Daten beauftragt sind. §4 Datengeheimnis und Datensicherheit (1)Allen Bediensteten ist es unbeschadet sonstiger Verschwiegenheitspflichten untersagt, a)sich Daten unbefugt zu beschaffen, b)Daten zu einem anderen als dem zur übertra genen Aufgabenbesorgung gehörigen Zweck zu verwenden, c)unbefugten Personen oder Stellen Daten mitzu teilen oder ihnen die Kenntnisnahme zu ermög lichen. (2)Die im Abs. 1 genannten Personen sind auf die Pflicht zur Einhaltung dieser Verbote besonders hin zuweisen. Die Pflicht zur Geheimhaltung besteht nach Beendigung ihrer Tätigkeit oder ihres Dienst verhältnisses weiter. (3)Alle einzelnen Personen nach dieser Verord nung zukommenden Befugnisse und Aufgaben sind im Sinne des Datenschutzgesetzes und der sonstigen datenschutzrechtlichen Vorschriften auszuüben bzw. wahrzunehmen. (4)Zur Gewährleistung einer ordnungsgemäßen und sicheren Ermittlung, Verarbeitung, Benützung und Übermittlung von Daten sind bei den auftrag gebenden Stellen und bei den Verarbeitern geeig nete organisatorische, personelle, technische und bauliche Maßnahmen zu setzen. Für jeden Verar beiter sind nähere Bestimmungen in einer Betriebs ordnung festzulegen bzw. im Falle der Beauftragung eines Dritten mit diesem zu vereinbaren. Für die auftraggebenden Stellen sind die erforderlichen Dienstanweisungen zu erlassen. Landesgesetzblatt für Oberösterreich, Jahrgang 1980, 23. Stück, Nr. 74 Seite 147 (5)Maßnahmen nach Abs. 4 haben in einem an gemessenen Verhältnis zum Aufwand zu stehen und bestehende Risken in allen schutzbedürftigen Be langen möglichst ausgewogen zu senken. (6)Die nach Abs. 4 erforderlichen grundlegenden Dienstanweisungen einschließlich der Betriebsord nungen sind vom zentralen Organ zu erlassen. Sie bedürfen, soferne nicht der Landesamtsdirektor das zentrale Organ ist, der Genehmigung des Landes amtsdirektors. Die nach Abs. 4 zur näheren Durch führung für die auftraggebenden Stellen erforder lichen Dienstanweisungen sind vom Leiter der auf traggebenden Stelle, die zur näheren Durchführung von Betriebsordnungen erforderlichen Dienstanwei sungen vom Leiter der Organisationseinheit bzw. Stelle, die die Daten verarbeitet, zu erlassen. Solche Dienstanweisungen bedürfen der Genehmigung des Landesamtsdirektors. (7)Für das Rechenzentrum des Amtes der o. ö. Lan desregierung sowie für jeden Verarbeiter im Sinne des § 3 Z. 5 lit. b bis d hat das Rechenzentrum des Amtes der 0. ö. Landesregierung eine Sammlung der einschlägigen Dienstanweisungen, Verfügungen und technischen Erläuterungen herauszugeben und auf dem laufenden Stand zu halten ("Betriebs-Hand buch"). (8)Die Überprüfung der Beachtung der in den Be triebsordnungen (Abs. 4) und Dienstanweisungen (Abs. 4 und 6) enthaltenen Bestimmungen hat durch die Leiter der auftraggebenden Stellen bzw. die Lei ter der Stellen, die die Daten verarbeiten, oder durch besondere von diesen mit Genehmigung des zen tralen Organes bestimmte Beauftragte zu erfolgen. Der Landesamtsdirektor kann die Einhaltung dieser sowie der sonstigen Vorschriften auf dem Gebiete des Datenschutzes durch von ihm bestimmte Beauf tragte überprüfen. (9)Verstöße gegen die Pflichten des Abs. 1 und gegen die Maßnahmen nach Abs. 3 sind entspre chend den einschlägigen innerdienstlichen Vor schriften zu melden. §5 Verfügung über Daten (1)Der Landesamtsdirektor hat das Verfügungs recht über alle Daten für Zwecke der Leitung des inneren Dienstes sowie zur Sicherstellung eines ein heitlichen und geregelten Geschäftsganges und der Kontrolle der Einhaltung der Datenschutzbestimmun gen bei allen Auftraggebern gemäß § 1. (2)Das Verfügungsrecht auftraggebender Stellen über Daten ist durch das zentrale Organ unter Be rücksichtigung der Organisationsbestimmungen und unter Bedachtnahme auf den Grad der Sensibilität und der Schutzwürdigkeit der verarbeiteten Daten sowie unter Bedachtnahme auf die Zweckmäßigkeit und Wirtschaftlichkeit der Verwaltung näher zu regeln. Wird durch eine solche Regelung mehreren auftraggebenden Stellen ein Verfügungsrecht eingeräumt, so ist sicherzustellen, daß eine gegenseitige Beeinträchtigung der beteiligten auftraggebenden Stellen bei der Besorgung der übertragenen Aufgaben nicht eintritt. (3)Dem Verarbeiter ist eine Verfügung über Daten, hinsichtlich derer er nicht selbst zugleich Auftrag geber ist, nicht gestattet. (4)Das Verfügungsrecht der einzelnen in der auf traggebenden Stelle tätigen Bediensteten hat der Leiter der betreffenden Organisationseinheit des Amtes der 0. ö. Landesregierung bzw. der Bezirks hauptmann bzw. der Amtsvorstand der Agrarbezirks- behörde nach den Erfordernissen des Datengeheim nisses unter Bedachtnahme auf den Grad der Sen sibilität und die Schutzwürdigkeit der verarbeiteten Daten sowie unter Bedachtnahme auf die Zweck mäßigkeit der Verwaltung durch Dienstanweisung festzulegen. §6 Vertragliche Inanspruchnahme von Dienstleistungen im Datenverkehr (1)Der Abschluß von Verträgen zur Erbringung von Dienstleistungen im Datenverkehr bedarf der Genehmigung des Landesamtsdirektors. (2)In die mit den Auftragnehmern zu schließenden Verträge im Sinne des Abs. 1 sind mindestens die nach dem Datenschutzgesetz sowie nach dieser Ver ordnung von den Stellen der Landesverwaltung ein zuhaltenden Verpflichtungen aufzunehmen. § 7 Datenverarbeitungsprojekte (1)Datenverarbeitungsprojekte (beinhaltend die Ermittlung, Verarbeitung, Benützung oder Übermitt lung von Daten) sind unter genauer Festlegung des Vorhabens, insbesondere hinsichtlich des Zweckes der Verarbeitung und der erfaßten Datenarten, und unter Festlegung des Inhaltes und Umfanges der Daten, und unter Festlegung der Verfahren in den wesentlichen Schritten von der auftraggebenden Stelle im Dienstweg dem Landesamtsdirektor zur Genehmigung vorzulegen. In der Vorlage sind alle für die Beurteilung der Zulässigkeit der Verarbeitung notwendigen Angaben anzuführen. Soll ein Daten verarbeitungsprojekt in der Verfügung von zwei oder mehreren auftraggebenden Stellen stehen, so sind in der Vorlage die jeweiligen Aufgabenbereiche und Verfügungsrechte eindeutig abzugrenzen. (2)Die Genehmigung des Datenverarbeitungspro jektes ist der ansuchenden auftraggebenden Stelle sowie dem Verarbeiter schriftlich zu übermitteln. (3)Sollen Datenverarbeitungsprojekte geändert werden oder soll eine bestehende Datenverarbeitung oder ein genehmigtes Datenverarbeitungsprojekt nicht mehr weitergeführt werden, so ist Abs. 1 sinn gemäß anzuwenden. ABSCHNITT II Ermittlung §8 Das zentrale Organ hat zu prüfen, ob die Voraussetzungen gemäß § 6 DSG hinsichtlich der Zulässig- Seite 148 Landesgesetzblatt für Oberösterreich, Jahrgang 1980, 23. Stück, Nr. 74 keit der Ermittlung vorliegen. Das Ergebnis dieser Prüfung ist in der Vorlage des Datenverarbeitungsprojektes zur Genehmigung (§ 7 Abs. 1 bzw. Abs. 3) anzuführen. ABSCHNITT III Verarbeitung §9 Aufgaben des zentralen Organes Das zentrale Organ hat zu prüfen, ob die Voraussetzungen gemäß § 6 DSG hinsichtlich der Zulässigkeit der Verarbeitung vorliegen. Das Ergebnis dieser Prüfung ist in der Vorlage des Datenverarbeitungsprojektes zur Genehmigung (§ 7 Abs. 1 bzw. Abs. 3) anzuführen. § 10 Aufgaben der auftraggebenden Stelle (1)Der Auftrag der auftraggebenden Stelle zur Durchführung eines Datenverarbeitungsverfahrens hat schriftlich zu ergehen und dieses Verfahren so wie die allfällige Weiterleitung der Ergebnisse im einzelnen festzulegen. (2)Die Datenverarbeitungsaufträge sind grundsätz lich vom Leiter der Organisationseinheit, die auftrag gebende Stelle ist, zu unterzeichnen. (3)Die auftraggebende Stelle hat die fachlich rich tige Verarbeitung von Daten zu prüfen. § 11 Verarbeitung für mehrere auftraggebende Stellen Sind an einem Datenverarbeitungsprojekt oder Datenverarbeitungsverfahren mehrere auftraggebende Stellen beteiligt, so haben diese - unbeschadet des Erfordernisses der Genehmigung des Projekts durch den Landesamtsdirektor - im gegenseitigen Einvernehmen eine eindeutige Abgrenzung der Aufgaben nach § 10 festzulegen. § 12 Aufgaben der Verarbeiter (1)Die Verarbeiter dürfen Datenverarbeitungsver fahren nur auf Grund von Datenverarbeitungsauf trägen (§ 10) durchführen. Sie haben die Datenver arbeitungsaufträge auf ihre Übereinstimmung mit dem genehmigten Datenverarbeitungsprojekt (§7) zu prüfen. Bestehen Zweifel über die Deckung eines Datenverarbeitungsauftrages im genehmigten Daten verarbeitungsprojekt, so hat der Verarbeiter den Nachweis der Genehmigung des Landesamtsdirek tors durch die auftraggebende Stelle zu verlangen. (2)Die Verarbeiter haben Datenverarbeitungsauf träge auftragsgemäß, sicher und zu wirtschaftlichen Bedingungen unter Beachtung der Betriebsordnung und der sonstigen einschlägigen Dienstanweisungen und Verfügungen durchzuführen oder für eine solche Durchführung Sorge zu tragen. § 13 Gemeinsame Aufgaben der auftraggebenden Stellen und Verarbeiter Aufträge gemäß § 10 Abs. 1 und 2 können im Falle periodischer Datenverarbeitungsverfahren durch Durchführungspläne ersetzt werden, die von der auftraggebenden Stelle und dem Verarbeiter einvernehmlich festgelegt werden. ABSCHNITT IV Benützung § 14 Aufgaben der auftraggebenden Stelle Zusätzlich zu den in den Dienstanweisungen und Verfügungen gemäß § 4 Abs. 4, 6 und 7 zu treffenden Maßnahmen sind im Falle der Einrichtung einer Datenfernverarbeitung zur Sicherung der Verwendung von Daten nur durch die Stellen, denen ein Verfügungsrecht zukommt, gesondert Bedienerkennzeichen über die jeweils offenstehenden Arten der Verwendung von Daten (Einsicht, Veränderung, eigenständige Erstellung und Steuerung von Datenverarbeitungsverfahren usw.) und die Stufen dieser Verwendung in bezug auf den Datenumfang festzulegen. ABSCHNITT V Übermittlung § 15 (1)Das zentrale Organ hat zu prüfen, ob die Vor aussetzungen gemäß § 7 DSG hinsichtlich der Zu lässigkeit der Übermittlung vorliegen. Das Ergebnis dieser Prüfung ist in der Vorlage des Datenverar beitungsprojektes zur Genehmigung (§ 7 Abs. 1 bzw. Abs. 3) anzuführen. (2)Ersuchen um Übermittlung von Daten, die an eine auftraggebende Stelle gerichtet werden, dürfen nur dann bearbeitet werden, wenn die Rechtsgrund lage sowie alle für die Beurteilung vom Standpunkt des Datenschutzgesetzes erforderlichen Angaben im Ersuchen enthalten sind. Dies gilt auch für Ersuchen im Rahmen der Amtshilfe. (3)In Ersuchen um Übermittlung von Daten, die von einer auftraggebenden Stelle gestellt werden, sind die Rechtsgrundlagen sowie alle für die Be urteilung vom Standpunkt des Datenschutzgesetzes erforderlichen Angaben anzuführen. Dies gilt auch für Ersuchen im Rahmen der Amtshilfe. ABSCHNITT VI Verarbeitungsverzeichnis § 16 (1)Das zentrale Organ hat ein Verarbeitungsver zeichnis zu führen, in das jede Verarbeitung (§ 8 DSG) unter Angabe des Zweckes der Verarbeitung und einer Kurzumschreibung aufzunehmen ist. (2)Das Verarbeitungsverzeichnis ist bei jedem Auftraggeber insbesondere zur Ermittlung von Kostenersätzen für die Erteilung von Auskünften nach dem Datenschutzgesetz in geeigneter Weise so Landesgesetzblatt für Oberösterreich, Jahrgang 1980, 23. Stück, Nr. 74 Seite 149 aufzulegen, daß Betroffene darin Einsicht nehmen können. ABSCHNITT VII Kostenersatz § 17 Höhe des Kostenersatzes (1)Für die Erteilung einer Auskunft im Sinne des § 11 Abs. 1 DSG werden folgende pauschalierte Kostenersätze festgesetzt: 1.Für jede Auskunft über Daten des Betroffenen aus aktuellen Datenbeständen: 100 S je Verar beitung. Aktuelle Datenbestände sind solche, die im Kalenderjahr des Einlangens des Antrages angelegt oder fortgeführt werden, überdies bei Einlangen des Antrages im Jänner auch die Da tenbestände des unmittelbar vorangehenden Ka lenderjahres; 2.für jede Auskunft über Daten des Betroffenen aus früheren als den in Z. 1 angeführten Daten beständen: 500 S je Verarbeitung; in jenen Fällen, in denen die Auskunftserteilung einen besonders hohen technischen oder organisatorischen Auf wand erfordert, jedoch 1000 S je Verarbeitung. (2)Die im Abs. 1 angeführten Sätze können in be rücksichtigungswürdigen Fällen ermäßigt oder ganz nachgesehen werden, 1.wenn der Antragsteller nachweist, daß sein mo natliches Einkommen die Richtsätze der Aus gleichszulagen nach dem ASVG nicht über schreitet, 2.wenn der Betroffene durch geeignete, ihm zumut bare Angaben (z. B. durch die Vorlage von auto- mationsunterstützt hergestellten, aus der betref fenden Verarbeitung stammenden Belegen) mit hilft, die Auskunft einfach und kostensparend zu gestalten, oder 3.wenn der Aufwand für die Auskunftserteilung ge ringfügig ist. (3)Auch eine Auskunft, daß keine Daten des Be troffenen in einer Verarbeitung vorhanden sind bzw. waren, unterliegt der Kostenersatzpflicht im Sinne dieser Verordnung. § 18 Antrag auf Auskunftserteilung (1)Bei der schriftlichen Antragstellung auf Aus kunft sind Formulare zu verwenden, aus denen die Höhe des von einem Antragsteller zu leistenden Kostenersatzes hervorgeht. Die Identität des Antrag stellers mit dem Betroffenen ist bei der Antragstel lung nachzuweisen. (2)Dem Antragsteller ist hierauf der vom Auftrag geber für die Erteilung der Auskunft gemäß § 17 fest gesetzte Kostenersatz zur Einzahlung bekanntzu geben. Er ist auf die Folge des Unterbleibens der Vorlage des Beleges über die erfolgte Einzahlung (Abs. 3) hinzuweisen. (3)Unbeschadet der Bestimmungen des § 17 Abs. 2 ist bei der Stellung des Auskunftsantrages die Ent richtung des Kostenersatzes durch Vorlage des Ein zahlungsbeleges nachzuweisen. Andernfalls hat eine Bearbeitung des Auskunftsantrages zu unterbleiben und beginnt die Frist gemäß § 11 des Datenschutz gesetzes für die Auskunftserteilung nicht zu laufen. (4)Die Vordrucke für die Antragstellung sind von den Auftraggebern zur kostenfreien Abgabe für die Antragstellung bereitzuhalten. § 19 Rückerstattung des Kostenersatzes (1)Ein geleisteter Kostenersatz ist je Verarbeitung zurückzuerstatten, wenn Daten dieser Verarbeitung rechtswidrig ermittelt, verarbeitet oder übermittelt werden bzw. wurden oder wenn die Auskunft sonst zu einer Richtigstellung geführt hat. Nicht als Rich tigstellung ist es anzusehen, wenn die zu ändernden Daten auf Angaben des Betroffenen selbst beruhen, es sei denn, daß eine bereits eingebrachte Ände rungsmeldung nicht berücksichtigt wurde. (2)Ein Anlaß zu einer Richtigstellung ist nicht ge geben, wenn eine Abweichung in der Art der Dar stellung der Daten durch den Stand der Technik im automationsunterstützten Datenverkehr oder durch die zweckmäßige und wirtschaftliche Gestaltung ei nes Datenverarbeitungsverfahrens bedingt ist. § 20 Auskünfte nach anderen gesetzlichen Bestimmungen Die Bestimmungen der §§ 17, 18 und 19 sind auf diejenigen Fälle nicht anzuwenden, in denen keine Auskunft aufgrund des Datenschutzgesetzes, sondern Auskunft aufgrund besonderer gesetzlicher Regelungen außerhalb des Datenschutzgesetzes erteilt wird. ABSCHNITT VIII Schlußbestimmungen § 21 Wirksamkeit (1)Es treten in Kraft: 1.die Vorschriften der Abschnitte 1 bis 6 sechs Monate nach Ablauf des Tages der Kundmachung dieser Verordnung im Landesgesetzblatt für Oberösterreich; 2.die Vorschriften des Abschnittes 7 mit Ablauf des Tages der Kundmachung dieser Verordnung im Landesgesetzblatt für Oberösterreich. (2)Die Verordnung über die Festsetzung eines Kostenersatzes für die Erteilung von Auskünften nach dem Datenschutzgesetz, LGBI. Nr. 113/1979, tritt mit dem im Abs. 1 Z. 2 genannten Zeitpunkt außer Kraft.