Verordnung der o.ö. Landesregierung betreffend den Datenschutz im Bereich der Landesverwaltung sowie die Festsetzung eines Kostenersatzes für die Erteilung von Auskünften nach dem Datenschutzgesetz (O.ö. Landes-Datenschutzverordnung - O.ö. L-DVO)

Seite 28

Landesgesetzblatt für Oberösterreich, Jahrgang 1987, 12.

Stück, Nr. 32

§3 Begriffsbestimmungen

Im Sinne dieser Verordnung bedeutet:

(1)Allen Bediensteten ist es unbeschadet sonstiger Verschwiegenheitspflichten untersagt,

1? sich Daten unbefugt zu beschaffen,

2? Daten zu einem anderen als dem zur übertragenen

Aufgabenbesorgung gehörigen Zweck zu verwenden,

3? unbefugten Personen oder Stellen Daten mitzuteilen oder ihnen die Kenntnisnahme zu ermöglichen.

?2? Alle einzelnen Personen nach dieser Verordnung

zukommenden Befugnisse und Aufgaben sind im Sinne

des Datenschutzgesetzes und der sonstigen datenschutzrechtltchen Vorschriften auszuüben bzw. wahrzunehmen.

?3? Zur Gewährleistung einer ordnungsgemäßen und sicheren Ermittlung, Verarbeitung, Benützung, Übermittlung und Überlassung von Daten sind nach Maßgabe der folgenden Bestimmungen bei den auftraggebenden und dienstleistenden Stellen geeignete organisatorische, personelle, technische und bauliche Maßnahmen zu setzen.

?4? Maßnahmen nach Abs. 3 haben unter Bedachtnahme auf die technischen Möglichkeiten in einem angemessenen Verhältnis zum Aufwand zu stehen und je nach Art der Daten und nach Umfang und Zweck ihrer Verwendung bestehende Risken in allen schutzwürdigen Belangen möglichst ausgewogen zu senken.

?5? Generelle und grundlegende Regelungen, die den

im Abs. 3 und 4 genannten Zielen dienen und von den auftraggebenden oder dienstleistenden Stellen zu erlassen sind, bedürfen der Genehmigung des Landesamtsdirektors.

?6? Von allen auftraggebenden und dienstleistenden

Stellen ist eine Sammlung der jeweils gültigen einschlägigen Dienstanweisungen und Verfügungen anzulegen und so zur Verfügung zu halten, daß sich die Bediensteten über die für sie geltenden Regelungen jederzeit informieren können. Für auftraggebende Stellen, die Daten selbst verarbeiten, sowie für dienstleistende Stellen sind dieser Sammlung überdies technische Erläuterungen („Betriebs-Handbuch") anzuschließen.

?7? Die Bediensteten sind über ihre nach dem Datenschutzgesetz, nach dieser Verordnung und den jeweiligen Dienstanweisungen einzuhaltenden Verpflichtungen zu belehren. Die Pflicht zur Geheimhaltung von Daten besteht nach Beendigung ihrer Tätigkeit oder ihres Dienstverhältnisses weiter.

?8? Die Überprüfung der Beachtung der in den Dienstanweisungen (Abs. 5 und 6) enthaltenen Bestimmungen hat durch die Leiter der auftraggebenden bzw. dienstleistenden Stellen oder durch besondere, von diesen mit Genehmigung des zentralen Organes bestimmte Beauftragte zu erfolgen. Der Landesamtsdirektor kann die Einhaltung dieser sowie der sonstigen Vorschriften auf dem Gebiete des Datenschutzes durch von ihm bestimmte Beauftragte überprüfen.

?9? Verstöße gegen die Pflichten des Abs. 1 und gegen die Maßnahmen nach Abs. 3 sind entsprechend den einschlägigen innerdienstlichen Vorschriften zu melden.

§5 Verwenden von Daten

(1)Der Landesamtsdirektor hat das Verwendungsrecht über alle Daten für Zwecke der Leitung des inneren Dienstes sowie zur Sicherstellung eines einheitlichen und geregelten Geschäftsganges und der Kontrolle der Einhaltung der Datenschutzbestimmungen bei allen Auftraggebern gemäß § 1.

(2)Das Verwendungsrecht auftraggebender Stellen

über Daten ist durch das zentrale Organ unter Berücksichtigung der Organisationsbestimmungen und unter

Bedachtnahme auf den Grad der Sensibilität und der Schutzwürdigkeit der verarbeiteten Daten sowie unter Bedachtnahme auf die Zweckmäßigkeit und Wirtschaftlichkeit der Verwaltung näher zu regeln. Wird durch eine solche Regelung mehreren auftraggebenden Stellen ein Verwendungsrecht eingeräumt, so ist sicherzustellen, daß eine gegenseitige Beeinträchtigung der beteiligten auftraggebenden Stellen bei der Besorgung der übertragenen Aufgaben nicht eintritt.

(3)Das Verwendungsrecht der einzelnen in der auftrag-

gebenden Stelle tätigen Bediensteten hat der Leiter

der betreffenden Organisationseinheit des Amtes der

Landesgesetzblatt für Oberösterreich, Jahrgang 1987, 12.

Stück, Nr. 32

Seite 29

o.ö. Landesregierung bzw. der Bezirkshauptmann bzw. der Amtsvorstand der Agrarbezirksbehörde nach den Er-fordernissen des Datengeheimnisses unter Bedachtnah-me auf den Grad der Sensibilität und die Schutzwürdig-keit der verarbeiteten Daten sowie unter Bedachtnahme auf die Zweckmäßigkeit der Verwaltung durch Dienstanweisungen festzulegen.

§6

Vertragliche Inanspruchnahme von Dienstleistungen im Datenverkehr ?1? Der Abschluß von Verträgen zur Erbringung von Dienstleistungen durch Dritte (§ 3 Z. 6) bedarf der Genehmigung des Landesamtsdirektors.

?2? In die mit solchen Dienstleistern zu schließenden Verträge im Sinne des Abs. 1 sind mindestens die nach dem Datenschutzgesetz sowie nach dieser Verordnung

von den Stellen der Landesverwaitung einzuhaltenden Verpflichtungen aufzunehmen.

?3? Dienstleister dürfen für auftraggebende Stellen nur in deren Auftrag Daten übermitteln. In diesem Auftrag sind die zu übermittelnden Daten (Datenbestände, Verarbeitungsergebnisse) und der Empfänger der Daten genau zu bezeichnen.

§7 Datenverarbeitungsprojekte

?1? Datenverarbeitungsprojekte (beinhaltend die Ermittlung, Verarbeitung, Benützung, Überlassung oder Übermittlung von Daten) sind unter genauer Festlegung des Vorhabens, insbesondere hinsichtlich des Zweckes der Verarbeitung und der erfaßten Datenarten, des Inhaltes und Umfänges der Daten sowie des Verfahrens in den

wesentlichen Schritten von der auftraggebenden Stelle im Dienstweg dem Landesamtsdirektor zur Genehmigung vorzulegen. In der Vorlage sind alle für die Beurteilung der Zulässigkeit des Datenverkehrs (§ 3 Z. 12 DSG) notwendigen Angaben anzuführen. Soll sich ein Datenverarbeitungsprojekt auf zwei oder mehrere auftraggebende Stellen erstrecken, so sind in der Vorlage die jeweiligen Aufgabenbereiche und Verwendungsrechte eindeutig abzugrenzen.

?2? Die Genehmigung des Datenverarbeitungsprojektes ist der ansuchenden auftraggebenden Stelle schriftlich zu erteilen. Erfolgt die Datenverarbeitung nicht durch die auftraggebende Stelle selbst, sondern durch eine dienstleistende Stelle oder einen Dienstleister, so ist auch diese bzw. dieser von der Genehmigung zu informieren.

?3? Sollen Datenverarbeitungsprojekte hinsichtlich ihrer Rechtsgrundlage, ihres Zweckes, der Datenarten, der Kreise der von der Datenverarbeitung Betroffenen oder hinsichtlich vorgesehener Übermittlungen geändert werden oder soll eine bestehende Datenverarbeitung oder ein genehmigtes Datenverarbeitungsprojekt nicht mehr weitergeführt werden, so ist Abs. 1 sinngemäß anzuwenden.

§8 Verarbeitungsverzeichnis

(1) Das zentrale Organ hat ein Verarbeitungsverzeich-nis zu führen, in das jede Verarbeitung (§ 8 DSG) unter Angäbe des Zweckes der Verarbeitung und einer Kurz-umschreibung aufzunehmen ist. Anstelle dieses Verzeichnisses können Durchschläge der Meldungen von Datenverarbeitungen an das Datenverarbeitungsregister treten.

(2) Das Verarbeitungsverzeichnis ist beim jeweiligen Auftraggeber insbesondere zur Ermittlung von Kostener-sätzen für die Erteilung von Auskünften nach dem Daten-schutzgesetz in geeigneterWeise so aufzulegen, daß Be-troffene darin Einsicht nehmen können. ABSCHNITT II Datenverkehr

§9 Aufgaben der auftraggebenden Stellen

?1? Daten dürfen nur im Rahmen der gemäß § 7 erteilten Genehmigung und in Übereinstimmung mit der jeweils in Betracht kommenden Meldung beim Datenverarbeitungsregister verarbeitet werden. Die Benützung der Daten darf nur in der Art und in dem Umfang erfolgen, als dies für die auftraggebehde Stelle zur Wahrnehmung der ihr gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bildet.

?2? Ersuchen um Übermittlung von Daten, die an eine auftraggebende Stelle gerichtet werden, dürfen nur dann erfüllt werden, wenn die Rechtsgrundlage sowie alle für die Beurteilung vom Standpunkt des Datenschutzgesetzes erforderlichen Angaben im Ersuchen enthalten sind. Dies gilt auch für Ersuchen im Rahmen der Amtshilfe. ?3? In Ersuchen um Übermittlung von Daten, die von einer auftraggebenden Stelle gestellt werden, sind die Rechtsgrundlagen sowie alle für die Beurteilung vom Standpunkt des Datenschutzgesetzes erforderlichen Angaben anzuführen. Dies gilt auch für Ersuchen im Rahmen der Amtshilfe.

?4? Für jede auftraggebende Stelle ist in Form einer Aufgabenverteilung festzulegen, wer in welchem Umfang

1? die Ermittlung, Benützung und Übermittlung von Daten (einschließlich der allenfalls erforderlichen Protokollierung der Übermittlung),

2? die Erteilung von Verarbeitüngsaufträgen (Abs. 5) und die Überlassung von Daten,

3? die fachliche Kontrolle der Verarbeitungsergebnisse, 4? die gegen unbefugte Einsichtnahme gesicherte Lagerung, Archivierung und allenfalls Vernichtung von Datenträgern

wahrzunehmen hat. Entsprechende Vertretungsregelun-gen für den Verhinderungsfall von Bediensteten sind vor-zusehen. ?5? Werden Daten nicht durch die auftraggebende Stelle selbst, sondern durch eine dienstleistende Stelle oder durch einen Dienstleister verarbeitet, hat die auftraggebende Stelle einen ausdrücklichen Auftrag für die Verarbeitung zu erteilen. In diesem Auftrag sind insbesondere die auftraggebende Stelle zu bezeichnen und die angeforderten Auswertungen näher festzulegen. Die Übergabe bzW- Übernahme von Daten ist zu bestätigen. Die Berechtigung zur Erteilung von Datenverarbeitungsaufträgen ist durch den jeweiligen Leiter der auftraggebenden Stelle zu vergeben.

?6? Aufträge gemäß Abs. 5 können im Falle sich wiederholender Datenverarbeitungsverfahren durch Durchfüh-Seite 30

Landesgesetzblatt für Oberösterreich, Jahrgang 1987, 12.

Stück, Nr. 32

rungspläne ersetzt werden, die von der auftraggebenden Stelle und von der dienstleistenden Stelle (vom Dienstlei-ster) einvernehmlich festgelegt werden.

§ 10 Verarbeitung durch auftraggebende Stellen

(1)Sofern von einer auftraggebenden Stelle Daten

selbst verarbeitet werden, ist über die nach § 9 Abs. 4 und 5 zu treffende Regelung hinaus festzulegen,

1? wer welche Geräte zur Datenverarbeitung bedienen

darf,

2? in welchem Umfang (Einsichts- und Verwendungsrechte) für welche Aufgaben diese Berechtigung

besteht,

3? welche Maßnahmen im Fall der Störung von Geräten

zur Datenverarbeitung und im Brandfall zu treffen

sind.

Entsprechende Vertretungsregelungen für den Verhinde-rungsfall von Bediensteten sind vorzusehen. Der Zugriff auf Daten ausschließlich durch hiezu berechtigte Bedien-stete ist durch Zuteilung geheimzuhaltender Losungswor-te zu sichern, die periodisch zu verändern sind.

?2? Datenträger sind gegen unbefugte Benützung und Einsichtnahme und gegen Zerstörung gesichert aufzubewahren. Die Aufbewahrungsfrist von Datenträgern richtet sich — sofern nicht zwingende technische Gründe entgegenstehen oder gespeicherte Daten in Form von Ausdrucken vorliegen — nach den sonst geltenden innerdienstlichen Vorschriften über die Aufbewahrung von Akten und Belegen.

?3? Nach Erfordernis ist überdies unter Bedachtnahme auf die örtlichen Gegebenheiten, auf bestehenden Parteienverkehr u. ä. der unbefugte Zutritt zu Räumen, in denen sich Anlagen zur Datenverarbeitung befinden, zu untersagen oder durch Sperreinrichtungen zu verhindern.

§11 Verarbeitung für mehrere auftraggebende Stellen Sind an einem Datenverarbeitungsprojekt oder Datenverarbeitungsverfahren mehrere auftraggebende Stellen beteiligt, so haben diese — unbeschadet des Erfordernis-ses der Genehmigung des Projekts durch den Landes-amtsdirektor— im gegenseitigen Einvernehmen eine ein-deutige Abgrenzung der Aufgaben nach den §§ 9 und 10 festzulegen.

§12 Aufgaben der dienstleistenden Stellen

?1? Die dienstleistenden Stellen (§ 3 Z. 5) dürfen Datenverarbeitungen nur auf Grund von Datenverarbeitungsaufträgen (§ 9 Abs. 5 und 6) durchführen. Sie haben die Datenverarbeitungsaufträge auf ihre Übereinstimmung mit dem genehmigten Datenverarbeitungsprojekt (§ 7) zu prüfen. Bestehen Zweifel über die Deckung eines Datenverarbeitungsauftrages im genehmigten Datenverarbeitungsprojekt, so hat die dienstleistende Stelle den Nachweis der Genehmigung des Landesamtsdirektors durch

die auftraggebende Stelle zu verlangen.

?2? Die dienstleistenden Stellen gemäß Abs. 1 haben Datenverarbeitungsaufträge auftragsgemäß, sicher und zu wirtschaftlichen Bedingungen unter ^Beachtung der einschlägigen Dienstanweisungen und Verfügungen

durchzuführen oder für eine solche Durchführung Sorge zu tragen. ?3? Unbeschadet der Bestimmungen des § 4 Abs. 6

sind die Bestimmungen des § 10 sinngemäß auf dienstleistende Stellen anzuwenden.

?4? Zusätzlich zu den in den Dienstanweisungen und Verfügungen gemäß Abs. 3 zu treffenden Maßnahmen

sind im Falle der Einrichtung einer Datenfernverarbeitung zur Sicherung der Verwendung von Daten nur durch die Stellen, denen ein Verwendungsrecht zukommt, im Einvernehmen mit der auftraggebenden Stelle gesondert Bedienerkennzeichen über die jeweils offenstehenden Arten der Verwendung von Daten (Einsicht, Veränderung, eigenständige Erstellung und Steuerung von Datenverarbeitungsverfahren usw.) und die Stufen dieser Verwendung in bezug auf den Datenumfang festzulegen.

ABSCHNITT III Auskunftsverfahren

§13 Antrag auf Auskunftserteilung

?1? Auskünfte gemäß § 11 DSG dürfen nur auf Grund

schriftlicher Anträge eines Betroffenen erteilt werden. Der Antragsteller hat durch Vorlage von Urkunden, aus denen Familien- und Vorname, das Geburtsdatum und

der Wohnort hervorgehen, den Nachweis seiner Identität mit dem Betroffenen zu erbringen. Im Falle eines Auskunftsbegehrens für juristische Personen oder Personengemeinschaften (§ 3 Z. 2 DSG) hat der Antragsteller überdies nachzuweisen, daß er zur Vertretung der juristischen Person oder Personengemeinschaft befugt ist.

?2? Der Antragsteller hat am Auskunftsverfahren dadurch mitzuwirken, daß er nach dem Verarbeitungsverzeichnis (§ 8) diejenigen Datenverarbeitungen bezeichnet, bezüglich derer er Betroffener sein kann, oder glaubhaft zu machen, daß er irrtümlich oder mißbräuchlich in Datenbeständen des Auftraggebers enthalten ist. Er hat zugleich bekanntzugeben, ob er Auskunft aus aktuellen (§ 14 Abs. 2 Z. 1) oder früheren (§ 14 Abs. 2 Z. 2) Datenbeständen verlangt.

?3? Dem Antragsteller ist hierauf so rasch als möglich der vom Auftraggeber für die Erteilung der Auskunft gemäß § 14 allenfalls festzusetzende Kostenersatz zur Einzahlung bekanntzugeben.

?4? Unbeschadet der Bestimmungen des § 14 Abs. 3

hat der Antragsteller die Entrichtung eines vorgeschriebenen Kostenersatzes durch Vorlage des Einzahlungsbeleges nachzuweisen. Die Frist gemäß § 11 Abs. 1 DSG für die Auskunftserteilung beginnt mit dem Nachweis der Entrichtung des Kostenersatzes zu laufen; ist ein Kostenersatz nicht vorzuschreiben, beginnt die Frist, sobald der Antragsteller seine Mitwirkungs- und Nachweispflichten erfüllt hat.

• (5) Die Bearbeitung des Auskunftsantrages hat zu un-terbleiben, wenn

1? der Antragsteller seine Identität mit dem Betroffenen nicht ausreichend nachweist (Abs. 1),

2? der Betroffene am Verfahren nicht ausreichend mitgewirkt hat (Abs. 2), oder

Landesgesetzblatt für Oberösterreich, Jahrgang 1987, 12.

Stück, Nr. 32

Seite 31

3. die Entrichtung eines vorgeschriebenen Kostenersat-zes durch Vorlage des Einzahlungsbeleges nicht nachgewiesen wird (Abs. 4). Der Antragsteller ist auf diese Rechtsfolgen jeweils aus-drücklich hinzuweisen.

(6) Die schriftliche Mitteilung, mit der dem Betroffenen Auskunft gemäß § 11 Abs. 1 DSG erteilt wird, ist zu eige-nen Händen zuzustellen oder im Falle der persönlichen Übernahme unter gleichzeitigem Nachweis der Identität (Abs. 1) gegen eine Übemahmebestätigung auszufolgen.

§ 14 -Kostenersatz

?1? Auskünfte erfolgen dann unentgeltlich, wenn der Auskunftswerber im laufenden Jahr noch kein Auskunftsersuchen an den Auftraggeber betreffend dasselbe Aufgabengebiet gestellt hat. Ansonsten gilt Abs. 2.

?2? Unbeschadet des Abs. 1 werden für die Erteilung einer Auskunft im Sinne des § 11 Abs. 1 DSG folgende pauschalierte Kostenersätze festgesetzt:

1? Für jede Auskunft über Daten des Betroffenen aus aktuellen Datenbeständen: 100 S je Verarbeitung. Aktuelle Datenbestände sind solche, die dem Direktzugriff unterliegen, sowie solche, die im Kalenderjahr des Einlangens des Antrages angelegt oder fortgeführt werden, überdies bei Einlangen des Antrages im Jänner auch die Datenbestände des unmittelbar vorangehenden Kalenderjahres;

2? für jede Auskunft über Daten des Betroffenen aus früheren als den in Z. 1 angeführten Datenbeständen:

500 S je Verarbeitung; in jenen Fällen, in denen die Auskunftserteilung einen besonders hohen technischen oder organisatorischen Aufwand erfordert, jedoch 1.000 S je Verarbeitung.

(3)Die im Abs. 2 angeführten Kostenersätze können in berücksichtigungswürdigen Fällen ermäßigt oder ganz nachgesehen werden,

1? wenn der Antragsteller nachweist, daß sein monatliches Einkommen die Richtsätze der Ausgleichszulagen nach dem ASVG nicht überschreitet,

2? wenn der Aufwand für die Auskunftserteilung geringfügig ist.

(4)Auch eine Auskunft, daß keine Daten des Betroffenen in einer Verarbeitung vorhanden sind bzw. waren, unterliegt der Kostenersatzpflicht im Sinne dieser Verordnung.

§ 15 Rückerstattung des Kostenersatzes

?1? Ein geleisteter Kostenersatz ist je Verarbeitung zurückzuerstatten, wenn Daten dieser Verarbeitung rechtswidrig ermittelt, verarbeitet oder übermittelt werden bzw. wurden oder wenn die Auskunft sonst zu einer Richtigstellung geführt hat. Nicht als Richtigstellung ist es anzusehen, wenn die zu ändernden Daten auf Angaben des Betroffenen selbst beruhen, es sei denn, daß eine bereits eingebrachte Änderungsmeldung nicht berücksichtigt wurde.

?2? Ein Anlaß zu einer Richtigstellung ist nicht gegeben, wenn eine Abweichung in der Art der Darstellung der Daten durch den Stand der Technik im automationsunterstützten Datenverkehr oder durch die zweckmäßige und wirtschaftliche Gestaltung eines Datenverarbeitungsverfahrens bedingt ist.

§ 16 Auskünfte nach anderen Gesetzen

Die §§ 13,14 und 15 sind auf jene Fälle nicht anzuwen-den, in denen

Auskunft auf Grund besonderer gesetz-licher Regelungen außerhalb des Datenschutzgesetzes erteilt wird.

ABSCHNITT IV Schlußbestimmungen

§17 Inkrafttreten

?1? Diese Verordnung tritt mit dem Ablauf des Tages ihrer Kundmachung im Landesgesetzblatt für Oberösterreich in Kraft.

?2? Gleichzeitig tritt die Verordnung der o.ö. Landesregierung, LGBl. Nr. 74/1980, betreffend den Datenschutz im Bereich der Landesverwaltung sowie die Festsetzung eines Kostenersatzes für die Erteilung von Auskünften nach dem Datenschutzgesetz außer Kraft.