# Verordnung der o.ö. Landesregierung betreffend den Datenschutz im Bereich der Gemeindeverwaltung sowie die Festsetzung eines Kostenersatzes für die Erteilung von Auskünften nach # dem Datenschutzgesetz (O.ö. Gemeinde-Datenschutzverordnung - O.ö. Gem-DVO) 1.die Gemeindeämter und Magistrate, und zwar auch als Geschäftsapparate von Organen der Gemeinden und Städte mit eigenem Statut (Bür germeister, Gemeindevorstand bzw. Stadtsenat, Gemeinderat); b)von Sonderbehörden, wie z. B. Gemeinde wahlbehörden (Gemeindewahlordnung 1967, LGBl. Nr. 24, i. d. g. F. und Statutargemeinden- Wahlordnung 1961, LGBl. Nr. 29, i. d. g. F.) undBezirksgrundverkehrskommissionen (O. ö. Grundverkehrsgesetz 1975, LGBl. Nr. 53); c)von Organen von Selbstverwaltungskörpern, wie z. B. aa) der Sprengelwahlbehörden nach dem 0. ö. Landwirtschaftskammergesetz 1967, LGBl. Nr. 55; bb) der Sprengelwahlbehörden nach dem 0. ö. Landarbeiterkammergesetz 1967, LGBl. Nr. 56; Seite 192 Landesgesetzblatt für Oberösterreich, Jahrgang 1980, 27. Stück, Nr. 84 zung oder Übermtitlung von Daten bzw. die organisationsinterne Ermächtigung hiezu; 4.Daten: personenbezogene Daten im Sinne des Datenschutzgesetzes; 5.Verarbeiter: a)bei einem Gemeindeamt oder Magistrat, bei Einrichtungen, Sonderbehörden, Organen von Selbstverwaltungskörpern und Geschäftsstel len (§ 1 Z. 2 und 3), bei denen eine Anlage zum Verarbeiten von Daten im oder für den automationsunterstützten Datenverkehr einge richtet ist, diejenige Stelle, die nach den Or ganisationsvorschriften mit der Durchführung der Verarbeitung unmittelbar betraut ist; b)Dritte, die mit der Verarbeitung von Daten beauftragt sind (z. B. private Datenverarbei- ter). §4 Datengeheimnis und Datensicherheit (1)Allen Bediensteten ist es unbeschadet sonsti ger Verschwiegenheitspflichten untersagt, a)sich Daten unbefugt zu beschaffen, b)Daten zu einem anderen als dem zur übertra genen Aufgabenbesorgung gehörigen Zweck zu verwenden, c)unbefugten Personen oder Stellen Daten mitzu teilen oder ihnen die Kenntnisnahme zu ermög lichen. (2)Die im Abs. 1 genannten Personen sind auf die Pflicht zur Einhaltung dieser Verbote besonders hin zuweisen. Die Pflicht zur Geheimhaltung besteht nach Beendigung ihrer Tätigkeit oder ihres Dienst verhältnisses weiter. (3)Alle einzelnem Personen nach dieser Verord nung zukommenden; Befugnisse und Aufgaben sind im Sinne des Datenschutzgesetzes und der sonsti gen datenschutzrechtlichen Vorschriften auszuüben bzw. wahrzunehmen. (4)Zur Gewährleistung einer ordnungsgemäßen und sicheren Ermittlung, Verarbeitung, Benützung und Übermittlung von Daten sind bei den auftrag gebenden Stellen und' bei den Verarbeitern geeig nete organisatorische, personelle, technische und bauliche Maßnahmen zu setzen. Für jeden Verar beiter sind nähere Bestimmungen in einer Betriebs ordnung festzulegen bzw. im Falle der Beauftragung eines Dritten/ mit diesem zu vereinbaren. Für die auftraggebenden Stellen sind die erforderlichen Dienstanweisungen zu erlassen. (5)Maßnahmen nach Abs. 4 haben in einem an gemessenen Verhältnis zum Aufwand zu stehen und bestehende Risken in allen schutzbedürftigen Be langen möglichst ausgewogen zu senken. (Ö) Die nach Abs. 4 erforderlichen grundlegenden Dienstanweisungen einschließlich der Betriebsordnungen sind vom zentralen Organ zu erlassen. Die nach Abs. 4 zur näheren Durchführung für die auf- traggebenden Stellen erforderlichen Dienstanweisungen sind vom Leiter der auftraggebenden Steile, die zur näheren Durchführung von Betriebsordnungen erforderlichen Dienstanweisungen vom Leiter der Organisationseinheit bzw. Stelle, die Daten verarbeitet, zu erlassen. Solche Dienstanweisungen bedürfen der Genehmigung des Bürgermeisters bzw. bei Gemeindeverbänden des Vorstandes der Geschäftsstelle. (7) Für jede Anlage zur Verarbeitung von Daten bei Verarbeitern im Sinne des § 3 Z. 5 lit. a und b hat der Leiter der Verarbeitung eine Sammlung der einschlägigen Dienstanweisungen', Verfügungen und technischen Erläuterungen herauszugeben und auf dem laufenden Stand zu halten ("Betriebs-Handbuch"). (s) Die Überprüfung der Beachtung der in den Betriebsordnungen (Abs. 4) und Dienstanweisungen (Abs. 4 und; 6) enthaltenen Bestimmungen hat durch die Leiter der auftraggebenden Stellen bzw. die Leiter der Stellen, die die Daten verarbeiten, oder durch besondere, von diesen mit Genehmigung des zentralen Organes bestimmte Beauftragte zu erfolgen. (9) Verstöße gegen die Pflichten nach Abs. 1 und gegen die Maßnahmen nach Abs, 3 sind entsprechend den einschlägigen innerdienstlichen Vorschriften zu melden. §5 Verfügung über Daten (1)Das zentrale Organ hat das Verfügungsrecht über alle Daten für Zwecke der Leitung des inne ren Dienstes sowie zur Sicherstellung eines einheit lichen und geregelten Geschäftsganges und der Kon trolle der Einhaltung der Datenschutzbestimmungen bei allen Auftraggebern gemäß § 1. (2)Das Verfügungsrecht auftraggebender Stellen über Daten ist durch das zentrale Organ unter Be rücksichtigung der Organisationsbestimmungen und unter Bedachtnahme auf den Grad der Sensibilität und der Schutzwürdigkeit der verarbeiteten Daten sowie unter Bedachtnahme auf die Zweckmäßigkeit und Wirtschaftlichkeit der Verwaltung näher zu re geln. Wird durch eine solche Regelung mehreren auf traggebenden Stellen^ ein Verfügungsrecht einge räumt, so ist sicherzustellen, daß eine gegenseitige Beeinträchtigung der beteiligten auftraggebenden Stellen bei Besorgung der übertragenen Aufgaben nicht eintritt. (3)Dem Verarbeiter ist eine Verfügung über Da ten, hinsichtlich derer er nicht selbst zugleich Auf traggeber ist, nicht gestattet. (4)Das Verfügungsrecht der einzelnen in der auf traggebenden Stelle tätigen Bediensteten' hat der Leiter bzw. Vorstand der betreffenden Organisations einheit nach den Erfordernissen des Datengeheim nisses unter Bedachtnahme auf den Grad der Sen sibilität und die Schutzwürdigkeit der verarbeiteten Daten sowie unter Bedachtnahme auf die Zweck mäßigkeit der Verwaltung durch Dienstanweisung festzulegen;. Landesgesetzblatt für Oberösterreich, Jahrgang 1980, 27. Stück, Nr. 84 Seite 193 § 6 Vertragliche Inanspruchnahme von Dienstleistungen im Datenverkehr (1)Die Vergabe von Aufträgen durch auftragge bende Stellen zur Erbringung von Dienstleistungen im Datenverkehr bedarf der Genehmigung des ge mäß den Bestimmungen der O. ö. Gemeindeordnung 1979 bzw. gemäß den Statuten der Statutarstädte zu ständigen Organes. Die Geschäftsführungsbefugnis se der Auftraggeber gemäß § 1 Z. 1 und 2 IIt. a bis c werden durch den Bürgermeister bzw. dessen Be auftragten, bei Gemeindeverbänden gemäß § 1 Z. 3 vom Geschäftsstellenleiter wahrgenommen-. (2)In die mit den Auftragnehmern zu schließenden Verträge im Sinne des Abs. 1 sind mindestens die nach dem Datenschutzgesetz sowie nach dieser Ver ordnung von den Stellen der Gemeindeverwaltung einzuhaltenden Verpflichtungen aufzunehmen. §7 Datenverarbeitungsprojekte (1)Datenverarbeitungsprojekte (beinhaltend die Ermittlung, Verarbeitung, Benützung oder Übermitt lung von Daten) sind unter genauer Festlegung des Vorhabens, insbesondere hinsichtlich des Zweckes der Verarbeitung und der erfaßten Datenarten, und unter Festlegung des Inhaltes und Umfanges der Daten, und unter Festlegung der Verfahren in den wesentlichen Schritten von der auftraggebenden Stelle im Dienstweg dem Bürgermeister bzw. Ge schäftsstellenleiter (§ 1 Z. 3) zur Genehmigung vor zulegen. In der Vorlage sind alle für die Beurteilung der Zulässigkeit der Verarbeitung notwendigen' An gaben anzuführen. Soll ein Datenverarbeitungspro jekt in der Verfügung von zwei oder mehreren auf traggebenden Stellen stehen, so sind in der Vorlage die jeweiligen Aufgabenbereiche und Verfügungs^ rechte eindeutig abzugrenzen. (2)Die Genehmigung des Datenverarbeitungspro jektes ist der ansuchenden auftraggebenden Stelle sowie der verarbeitenden Stelle schriftlich zu über mitteln. (3)Sollen Datenverarbeitungsprojekte geändert werden oder soll eine bestehende Datenverarbeitung oder ein genehmigtes Datenverarbeitungsprojekt nicht mehr weitergeführt werden, so ist Abs. 1 sinn gemäß anzuwenden. ABSCHNITT II Ermittlung §8 Das zentrale Organ hat zu prüfen, ob die Voraus^ Setzungen gemäß § 6 DSG hinsichtlich der Zulässigkeit der Ermittlung vorliegen. Das Ergebnis dieser Prüfung' ist in der Vorlage des Datenverarbeitungsprojektes zur Genehmigung (§ 7 Abs. 1 bzw. Abs. 3) anzuführen. ABSCHNITT III Verarbeitung §9 Aufgaben des zentralen Organes Das zentrale Organ hat zu prüfen, ob die Voraussetzungen gemäß § 6 DSG hinsichtlich der Verarbeitung vorliegen. Das Ergebnis dieser Prüfung ist in der Vorlage des Datenverarbeitungsprojektes zur Genehmigung (§ 7 Abs. 1 bzw. Abs. 3) anzuführen. § 10 Aufgaben der auftraggebenden Stelle (1)Der Auftrag der auftraggebenden Stelle zur Durchführung eines Datenverarbeitungsverfahrens hat schriftlich zu ergehen und dieses Verfahren so wie die anfällige Weiterleitung der Ergebnisse im einzelnen festzulegen. Es dürfen nur solche Ver arbeiter beauftragt werden, deren Sicherheitsmaß nahmen der Sensibilität der konkreten Verarbeitung entsprechen. (2)Die Datenverarbeitungsaufträge sind grund sätzlich vom Leiter der Organisationseinheit, die auf traggebende Stelle ist, zu unterzeichnen. (3)Die auftraggebende Stelle hat die fachlich rich tige Verarbeitung von Daten zu überprüfen. § 11 Verarbeitung für mehrere auftraggebende Stellen Sind an einem Datenverarbeitungsprojekt oder Datenverarbeitungsverfahren mehrere auftraggeben-de Stellen beteiligt, so haben diese - unbeschadet des Erfordernisses der Genehmigung des Projektes durch den Bürgermeister bzw. Geschäftsstellenleiter (§1 Z. 3)- im gegenseitigen Einvernehmen eine eindeutige Abgrenzung der Aufgaben nach § 10 festzulegen. § 12 Aufgaben der Verarbeiter (1)Die Verarbeiter dürfen Datenverarbeitungsver fahren nur auf Grund von Datenverarbeitungsauf trägen (§ 10) durchführen. Sie haben die Datenver arbeitungsaufträge auf ihre Übereinstimmung mit dem genehmigten Datenverarbeitungsprojekt (§ 7) zu prüfen. Bestehen Zweifel über die Deckung eines Datenverarbeitungsauftrages im genehmigten Daten verarbeitungsprojekt, so hat der Verarbeiter den Nachweis der Genehmigung des Bürgermeisters bzw. Geschäftsstellenleiters (§ 1 Z. 3) durch die auf traggebende Stelle zu verlangen. (2)Die Verarbeiter haben Datenverarbeitungsauf träge auftragsgemäß, sicher undi zu wirtschaftlichen Bedingungen unter Beachtung der Betriebsordnung und der sonstigen einschlägigen Dienstanweisungen und Verfügungen durchzuführen oder für eine solche Durchführung Sorge zu tragen. § 13 Gemeinsame Aufgaben der auftraggebenden Stellen und Verarbeiter Aufträge gemäß §10' Abs. 1 und 2 können im Falle Seite 194 Landesgesetzblatt für Oberösterreich, Jahrgang 1980, 27. Stück, Nr. 84 periodischer Datenverarbeitungsverfahren durch Durchführungspläne ersetzt werden, die von der auftraggebenden Stelle und dem Verarbeiter einvernehmlich festgelegt werden. ABSCHNITT IV Benützung § 14 Aufgaben der auftraggebenden Stelle Zusätzlich zu den in den Dienstanweisungen und Verfügungen gemäß § 4 Abs. 4, 6 und 7 zu treffenden Maßnahmen sind im Falle der Einrichtung einer Datenfernverarbeitung zur Sicherung der Verwendung von Daten nur durch die Stellen, denen ein Verfügungsrecht zukommt, gesondert Bedienerkennzeichen über die jeweils offenstehenden Arten der Verwendung von Daten (Einsicht, Veränderung, eigenständige Erstellung und Steuerung von Datenverarbeitungsverfahren usw.) und die Stufen dieser Verwendung in bezug auf den Datenumfang festzulegen. ABSCHNITT V Übermittlung § 15 (1)Das zentrale Organ hat zu prüfen, ob die Vor aussetzungen gemäß § 7 DSG hinsichtlich der Zu lässigkeit der Übermittlung vorliegen. Das Ergebnis der Überprüfung ist in der Vorlage des Datenver arbeitungsprojektes zur Genehmigung (§ 7 Abs. 1 bzw. Abs. 3) anzuführen. (2)Ersuchen um Übermittlung von Daten, die an eine auftraggebende Stelle gerichtet werden, dürfen nur dann bearbeitet werden, wenn die Rechtsgrund lage sowie alle für die Beurteilung vom Standpunkt des Datenschutzgesetzes erforderlichen Angaben im Ersuchen enthalten sind. Dies gilt auch für Ersuchen im Rahmen der Amtshilfe. (3)In Ersuchen um Übermittlung von Daten, die von einer auftraggebenden Stelle gestellt werden, sind die Rechtsgrundlagen sowie alle für die Beur teilung vom Standpunkt des Datenschutzgesetzes er forderlichen1 Angaben anzuführen. Dies gilt auch für Ersuchen im Rahmen der Amtshilfe. ABSCHNITT VI Verarbeitungsverzeichnis § 16 (1)Das zentrale Organ hat ein Verarbeitungsverzeichmis zu führen, in das jede Verarbeitung (§ 8 DSG) unter Angabe des Zweckes der Verarbeitung und einer Kurzumschreibung aufzunehmen ist. (2)Das Verarbeitungsverzeichnis ist bei jedem Auftraggeber insbesondere zur Ermittlung von Ko stenersätzen für die Erteilung von Auskünften nach dem Datenschutzgesetz in geeigneter Weise so auf- zulegen, daß Betroffene darin Einsicht nehmen können. ABSCHNITT VII Kostenersatz § 17 Höhe des Kostenersatzes (1)Für die Erteilung einer Auskunft im Sinne des § 11 Abs. 1 DSG werden folgende pauschalierte Kostenersätze festgesetzt: 1.für jede Auskunft über Daten des Betroffenen aus aktuellen. Datenbeständen: 100,- S je Ver arbeitung. Aktuelle Datenbestände sind solche, die im Kalenderjahr des Einfangens des Antrages angelegt oder fortgeführt werden, überdies bei Einlangen des Antrages im Jänner auch die Da tenbestände des unmittelbar vorangehenden Ka lenderjahres; 2.für jede Auskunft über Daten des Betroffenen aus früheren als den in Z. 1 angeführten Daten- beständem: 500,- S je Verarbeitung; in jenen Fällen, in denen die Auskunftserteilung einen besonders hohen technischen oder organisato rischen Aufwand erfordert, jedoch 1000,- S je Verarbeitung. (2)Die im Abs. 1 angeführten Sätze können in berücksichtigungswürdigen Fällen ermäßigt oder ganz nachgesehen werden, 1.wenn der Antragsteller nachweist, daß sein mo natliches Einkommen die Richtsätze der Aus gleichszulagen nach dem ASVG nicht über schreitet, 2.wenn der Betroffene durch geeignete, ihm zu mutbare Angaben (z. B. durch die Vorlage von automationsunterstützt hergestellten, aus der be treffenden Verarbeitung stammenden Belegen) mithilft, diie Auskunft einfach und kostensparend zu gestalten, oder 3.wenn der Aufwand für die Auskunftserteilung geringfügig ist. (3)Auch eine Auskunft, daß keine Daten des Be troffenen In einer Verarbeitung vorhanden sind bzw. waren, unterliegt der Kostenersatzpflicht im Sinne dieser Verordnung. § 18 Antrag auf Auskunftserteilung (1)Bei der schriftlichen Antragstellung auf Aus kunft sind Formulare zu verwenden, aus denen die Höhe des von einem Antragsteller zu leistenden Kostenersatzes hervorgeht. Die Identität des Antrag steilers mit dem Betroffenen ist bei der Antragstel lung nachzuweisen. (2)Dem Antragsteller ist hierauf der vom Auftrag geber für die Erteilung der Auskunft gemäß § 17 festgesetzte Kostenersatz zur Einzahlung bekanntzu geben. Er ist auf die Folge des Unterbleibens der Vorlage des Beleges über die erfolgte Einzahlung (Abs. 3) hinzuweisen. Landesgesetzblatt für Oberösterreich, Jahrgang 1980, 27. Stück, Nr. 84 Seite 195 (3)Unbeschadet der Bestimmungen des § 17 Abs. 2 ist bei der Stellung des Auskunftsantrages die Ent richtung des Kosten ersatzes durch Vorlage des Ein zahlungsbeleges nachzuweisen. Andernfalls hat eine Bearbeitung des Auskunftsantrages zu unterbleiben und beginnt die Frist gemäß § 11 DSG für die Aus kunftserteilung nicht zu laufen. (4)Die Vordrucke für die Antragsteliung sind von den Auftraggebern zur kostenfreien Abgabe für die Antragstellung bereitzuhalten. § 19 Rückerstattung des Kostenersatzes (1)Ein geleisteter Kostenersatz ist je Verarbeitung zurückzuerstatten, wenn Daten dieser Verarbeitung rechtswidrig ermittelt, verarbeitet oder übermittelt werden bzw. wurden oder wenn die Auskunft sonst zu einer Richtigstellung geführt hat. Nicht als Rich tigstellung ist es anzusehen, wenn die zu ändernden Daten auf Angaben des Betroffenen selbst beruhen, es sei denn, daß eine bereits eingebrachte Ände rungsmeldung nicht berücksichtigt wurde. (2)Ein Anlaß zu einer Richtigstellung ist nicht ge geben, wenn eine Abweichung in der Art der Dar stellung der Daten durch den Stand der Technik im automationsunterstützten Datenverkehr oder durch die zweckmäßige und wirtschaftliche Gestaltung eines Datenverarbeitungsverfahrens bedingt ist. § 20 Auskünfte nach anderen gesetzlichen Bestimmungen Die Bestimmungen der §§ 17, 18 und 19 sind auf diejenigen Fälle nicht anzuwenden, in denen keine Auskunft auf Grund des Datenschutzgesetzes, sondern Auskunft auf Grund besonderer gesetzlicher Regelungen außerhalb des Datenschutzgesetzes erteilt wird. ABSCHNITT VIII Schlußbestimmungen § 21 Wirksamkeit Es treten in Kraft: