sowie die Festsetzung eines Kostenersatzes für die Erteilung von Auskünften nach

dem Datenschutzgesetz (O.ö. Gemeinde-Datenschutzverordnung - O.ö. Gem-DVO)

Landwirtschaftskammergesetz 1967, LGBl. Nr. 55,

bb) der Sprengelwahlbehörden nach dem O.ö.

Landarbeiterkammergesetz 1967, LGBl. Nr. 56;

3.Ämter (Geschäftsstellen) der Gemeindeverbände als

Hilfsorgan der Gemeindeverbandsorgane.

§2 Zweck

Seite 34

Landesgesetzblatt für Oberösterreich, Jahrgang 1987, 13.

Stück, Nr. 33

(1)Allen Bediensteten ist es unbeschadet sonstiger Verschwiegenheitspflichten untersagt,

1? sich Daten unbefugt zu beschaffen,

2? Daten zu einem anderen als dem zur übertragenen

Aufgabenbesorgung gehörigen Zweck zu verwenden,

3? unbefugten Personen oder Stellen Daten mitzuteilen oder ihnen die Kenntnisnahme zu ermöglichen.

?2? Alle einzelnen Personen nach dieser Verordnung

zukommenden Befugnisse und Aufgaben sind im Sinne

des Datenschutzgesetzes und der sonstigen datenschutzrechtlichen Vorschriften auszuüben bzw. wahrzunehmen.

?3? Zur Gewährleistung einer ordnungsgemäßen und sicheren Ermittlung, Verarbeitung, Benützung, Übermittlung und Überlassung von Daten sind nach Maßgabe der folgenden Bestimmungen bei den auftraggebenden und dienstleistenden Stellen geeignete organisatorische, personelle, technische und bauliche Maßnahmen zu setzen. ?4? Maßnahmen nach Abs. 3 haben unter Bedachtnahme auf die technischen Möglichkeiten in einem angemessenen Verhältnis zum Aufwand zu stehen und je nach Art der Daten und nach Umfang und Zweck ihrer Verwendung bestehende Risken in allen schutzwürdigen Belangen möglichst ausgewogen zu senken.

?5? Generelle und grundlegende Regelungen, die den

im Abs. 3 und 4 genannten Zielen dienen und von den auftraggebenden oder dienstleistenden Stellen zu erlassen sind, bedürfen der Genehmigung des zentralen Organes. Die nach Abs. 3 zur näheren Durchführung für die auftraggebenden Stellen erforderlichen Dienstanweisungen sind vom Leiter der auftraggebenden Stelle, die für die Dienstleister erforderlichen Dienstanweisungen vom Leiter der Organisationseinheit bzw. Stelle, die Daten verarbeitet, zu erlassen. Solche Dienstanweisungen bedürfen der Genehmigung des Bürgermeisters bzw. bei Gemeindeverbänden des Vorstandes der Geschäftsstelle.

?6? Von allen auftraggebenden und dienstleistenden

Stellen ist eine Sammlung der jeweils gültigen einschlägigen Dienstanweisungen und Verfügungen anzulegen

und so zur Verfügung zu halten, daß sich die Bediensteten über die für sie geltenden Regelungen jederzeit informieren können. Für auftraggebende Stellen, die Daten selbst verarbeiten, sowie für dienstleistende Stellen sind dieser Sammlung überdies technische Erläuterungen („Betriebs-Handbuch") anzuschließen, in denen der Ablauf der Verarbeitungsschritte festgelegt ist.

?7? Die Bediensteten sind über ihre nach dem Datenschutzgesetz, nach dieser Verordnung und den jeweiligen Dienstanweisungen einzuhaltenden Verpflichtungen zu belehren. Die Pflicht zur Geheimhaltung von Daten besteht nach Beendigung ihrer Tätigkeit oder ihres Dienstverhältnisses weiter.

?8? Die Überprüfung der Beachtung der in den Dienstanweisungen (Abs. 5 und 6) enthaltenen Bestimmungen hat durch die Leiter der auftraggebenden bzw. dienstleistenden Stellen oder durch besondere, von diesen mit Genehmigung des zentralen Organes bestimmte Beauftragte zu erfolgen.

?9? Verstöße gegen die Pflichten nach Abs. 1 und gegen die Maßnahmen nach Abs. 3 sind entsprechend den einschlägigen innerdienstlichen Vorschriften zu melden.

§5 Verwenden von Daten

(1)Das zentrale Organ hat das Verwendungsrecht über alle Daten für Zwecke der Leitung des inneren Dienstes sowie zur Sicherstellung eines einheitlichen und geregelten Geschäftsganges und der Kontrolle der Einhaltung der Datenschutzbestimmungen bei allen Auftraggebern gemäß § 1.

(2)Das Verwendungsrecht auftraggebender Stellen

über Daten ist durch das zentrale Organ unter Berücksichtigung der Organisationsbestimmungen und unter

Bedachtnahme auf den Grad der Sensibilität und der Schutzwürdigkeit der verarbeiteten Daten sowie unter Bedachtnahme auf die Zweckmäßigkeit und Wirtschaftlichkeit der Verwaltung näher zu regeln. Wird durch eine solche Regelung mehreren auftraggebenden Stellen ein Verwendungsrecht eingeräumt, so ist sicherzustellen, daß eine gegenseitige Beeinträchtigung der beteiligten auftraggebenden Stellen bei der Besorgung der übertragenen Aufgaben nicht eintritt.

(3)Das Verwendungsrecht der einzelnen in der auftrag-

gebenden Stelle tätigen Bediensteten hat der Leiter bzw.

Vorstand der betreffenden Organisationseinheit nach

den Erfordernissen des Datengeheimnisses unter Be-

dachtnahme auf den Grad der Sensibilität und die

Schutzwürdigkeit der verarbeiteten Daten sowie unter

Bedachtnahme auf die Zweckmäßigkeit der Verwaltung

durch Dienstanweisungen festzulegen.

§6

Vertragliche Inanspruchnahme von Dienstleistungen im Datenverkehr ?1? Der Abschluß von Verträgen zur Erbringung von Dienstleistungen durch Dritte (§ 3 Z. 6) bedarf der Genehmigung des gemäß den Bestimmungen der O.ö. Gemeindeordnung 1979, LGBl. Nr. 119, bzw. gemäß den Statuten der Statutarstädten zuständigen Organes. Die Geschäftsführungsbefugnisse der Auftraggeber gemäß § 1 Z. 1 und 2 lit. a bis c werden durch den Bürgermeister bzw. dessen Beauftragten, bei Gemeindeverbänden gemäß § 1 Z. 3 vom Geschäftsstellenleiter wahrgenommen. ?2? In die mit solchen Dienstleistern zu schließenden Verträge im Sinne des Abs. 1 sind mindestens die nach dem Datenschutzgesetz sowie nach dieser Verordnung

von den Stellen der Gemeindeverwaltung einzuhaltenden Verpflichtungen aufzunehmen.

?3? Dienstleister dürfen für auftraggebende Stellen nur in deren Auftrag Daten übermitteln. In diesem Auftrag sind die zu übermittelnden Daten (Datenbestände, Verarbeitungsergebnisse) und der Empfänger der Daten genau zu bezeichnen.

Landesgesetzblatt für Oberösterreich, Jahrgang 1987, 13.

Stück, Nr. 33

Seite 35

§7 Datenverarbeitungsprojekte

?1? Datenverarbeitungsprojekte (beinhaltend die Ermittlung, Verarbeitung, Benützung, Überlassung oder Übermittlung von Daten) sind unter genauer Festlegung des Vorhabens, insbesondere hinsichtlich des Zweckes der Verarbeitung und der erfaßten Datenarten, des Inhaltes und Umfanges der Daten sowie des Verfahrens in den

wesentlichen Schritten von der auftraggebenden Stelle im Dienstweg dem Bürgermeister bzw. Geschäftsstellenleiter (§ 1 Z. 3) zur Genehmigung vorzulegen. In der Vorlage sind alle für die Beurteilung der Zulässigkeit des Datenverkehrs (§ 3 Z. 12 DSG) notwendigen Angaben anzuführen. Soll sich ein Datenverarbeitungsprojekt auf zwei oder mehrere auftraggebende Stellen erstrecken, so sind in der Vorlage die jeweiligen Aufgabenbereiche und Verwendungsrechte eindeutig abzugrenzen.

?2? Die Genehmigung des Datenverarbeitungsprojektes ist der ansuchenden auftraggebenden Stelle schriftlich zu erteilen. Erfolgt die Datenverarbeitung nicht durch die auftraggebende Stelle selbst, sondern durch eine dienstleistende Stelle oder einen Dienstleister, so ist auch diese bzw. dieser von der Genehmigung zu informieren.

?3? Sollen Datenverarbeitungsprojekte hinsichtlich ihrer Rechtsgrundlage, ihres Zweckes, der Datenarten, der Kreise der von der Datenverarbeitung Betroffenen oder hinsichtlich vorgesehener Übermittlungen geändert werden oder soll eine bestehende Datenverarbeitung oder ein genehmigtes Datenverarbeitungsprojekt nicht mehr weitergeführt werden, so ist Abs. 1 sinngemäß anzuwenden.

§8 Verarbeitungsverzeichnis

?1? Das zentrale Organ hat ein Verarbeitungsverzeichnis zu führen, in das jede Verarbeitung (§ 8 DSG) unter Angabe des Zweckes der Verarbeitung und einer Kurzumschreibung aufzunehmen ist. Anstelle dieses Verzeichnisses können Durchschläge der Meldungen von Datenverarbeitungen an das Datenverarbeitungsregister treten.

?2? Das Verarbeitungsverzeichnis ist beim jeweiligen Auftraggeber insbesondere zur Ermittlung von Kostenersätzen für die Erteilung von Auskünften nach dem Datenschutzgesetz in geeigneterweise so aufzulegen, daß Betroffene darin Einsicht nehmen können.

ABSCHNITT II Datenverkehr

§9 Aufgaben der auftraggebenden Stellen

(1) Daten dürfen nur im Rahmen der gemäß § 7 erteil-ten Genehmigung und in Übereinstimmung mit der je-weils in Betracht kommenden Meldung beim Datenverar-beitungsregister verarbeitet werden. Die Benützung der Daten darf nur in der Art und in dem Umfang erfolgen, als dies für die auftraggebende Stelle zur Wahrnehmung der ihr gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bildet.

?2? Ersuchen um Übermittlung von Daten, die an eine auftraggebende Stelle gerichtet werden, dürfen nur dann erfüllt werden, wenn die Rechtsgrundlage sowie alle für die Beurteilung vom Standpunkt des Datenschutzgesetzes erforderlichen Angaben im Ersuchen enthalten sind. Dies gilt auch für Ersuchen im Rahmen der Amtshilfe. ?3? In Ersuchen um Übermittlung von Daten, die von einer auftraggebenden Stelle gestellt werden, sind die Rechtsgrundlagen sowie alle für die Beurteilung vom Standpunkt des Datenschutzgesetzes erforderlichen Angaben anzuführen. Dies gilt auch für Ersuchen im Rahmen öet Amtshilfe.

?4? Für jede auftraggebende Stelle ist in Form einer Aufgabenv^rteilung festzulegen, wer in welchem Umfang

1? die Ermittlung, Benützung und Übermittlung von Daten (einschließlich der allenfalls erforderlichen Protokollierung der Übermittlung),

2? die Erteilung von Verarbeitungsaufträgen (Abs. 5) und die Überlassung von Daten,

3? die fachliche Kontrolle der Verarbeitungsergebnisse, 4? die gegen unbefugte Einsichtnahme gesicherte Lagerung Archivierung und allenfalls Vernichtung von Datenträgern

wahrzunehmen hat. Entsprechende Vertretungsregelun-gen für den Verhinderungsfall von Bediensteten sind vor-zusehen.

(5)Werden Daten nicht durch die auftraggebende Stelle selbst, sondern durch eine dienstleistende Stelle oder durch einen Dienstleister verarbeitet, hat die auftraggebende Stelle einen ausdrücklichen Auftrag für die Verarbeitung zu erteilen. In diesem Auftrag sind insbesondere die auftraggebende Stelle zu bezeichnen und die angeforderten Auswertungen näher festzulegen. Die Übergabe bzw. Übernahme von Daten ist zu bestätigen. Die Berechtigung zur Erteilung von Datenverarbeitungsaufträgen ist durch den jeweiligen Leiter der auftraggebenden Stelle zu vergeben.

j

(6)Aufträge gemäß Abs. 5 können im Falle sich wiederholender Datenverarbeitungsverfahren durch Durchführungsplane ersetzt werden, die von der auftraggebenden Stelle und von der dienstleistenden Stelle (vom Dienstleister) einvernehmlich festgelegt werden.

§ 10 Verarbeitung durch auftraggebende Stellen

(1) Sofern von einer auftraggebenden Stelle Daten selbst verarbeitet werden, ist über die nach § 9 Abs. 4 und 5 zu treffende Regelung hinaus festzulegen,

1? wer welche Geräte zur Datenverarbeitung bedienen

darf,

2? in welchem Umfang (Einsichts- und Verwendungsrechte) für welche Aufgaben diese Berechtigung

besteht,

3? welche Maßnahmen im Fall der Störung von Geräten

zur Datenverarbeitung und im Brandfall zu treffen

sind.

Entsprechende Vertretungsregelungen für den Verhinde-rungsfall von Bediensteten sind vorzusehen. Der Zugriff auf Daten ausschließlich durch hiezu berechtigte Bedien-stete ist durch Zuteilung geheimzuhaltender Losungswor-te zu sichern, die periodisch zu verändern sind.

Seite 36

Landesgesetzblatt für Oberösterreich, Jahrgang 1987, 13.

Stück, Nr. 33

?2? Datenträger sind gegen unbefugte Benützung und Einsichtnahme und gegen Zerstörung gesichert aufzubewahren. Die Aufbewahrungsfrist von Datenträgern richtet sich — sofern nicht zwingende technische Gründe entgegenstehen oder gespeicherte Daten in Form von Ausdrucken vorliegen — nach den sonst geltenden innerdienstlichen Vorschriften über die Aufbewahrung von Akten und Belegen.

?3? Nach Erfordernis ist überdies unter Bedachtnahme auf die örtlichen Gegebenheiten, auf bestehenden Parteienverkehr u. ä. der unbefugte Zutritt zu Räumen, in denen sich Anlagen zur Datenverarbeitung befinden, zu untersagen oder durch Sperreinrichtungen zu verhindern, § 11 Verarbeitung für mehrere auftraggebende Stellen Sind an einem Datenverarbeitungsprojekt oder Datenverarbeitungsverfahren mehrere auftraggebende Stellen beteiligt, so haben diese — unbeschadet des Erfordernis-ses der Genehmigung des Projekts durch den Bürgermei-ster bzw. Geschäftsstellenleiter (§ 1 Z. 3) — im gegensei-tigen Einvernehmen eine eindeutige Abgrenzung der Auf-gaben nach den §§ 9 und 10 festzulegen.

§12 Aufgaben der dienstleistenden Stellen

?1? Die dienstleistenden Stellen (§ 3 Z. 5) dürfen Datenverarbeitungen nur auf Grund von Datenverarbeitungsaufträgen (§ 9 Abs. 5 und 6) durchführen. Sie haben die Datenverarbeitungsaufträge auf ihre Übereinstimmung mit dem genehmigten Datenverarbeitungsprojekt (§ 7) zu prüfen. Bestehen Zweifel über die Deckung eines Datenverarbeitungsauftrages im genehmigten Datenverarbeitungsprojekt, so hat die dienstleistende Stelle den Nachweis der Genehmigung des Bürgermeisters bzw. Geschäftsstellenleiters (§ 1 Z. 3) durch die auftraggebende Stelle zu verlangen.

?2? Die dienstleistenden Stellen gemäß Abs. 1 haben Datenverarbeitungsaufträge auftragsgemäß, sicher und zu wirtschaftlichen Bedingungen unter Beachtung der einschlägigen Dienstanweisungen und Verfügungen durchzuführen oder für eine solche Durchführung Sorge zu tragen.

?3? Unbeschadet der Bestimmungen des § 4 Abs. 6

sind die Bestimmungen des § 10 sinngemäß auf dienstleistende Stellen anzuwenden.

?4? Zusätzlich zu den in den Dienstanweisungen und

Verfügungen gemäß Abs. 3 zu treffenden Maßnahmen

sind im Falle der Einrichtung einer Datenfernverarbeitung

zur Sicherung der Verwendung von Daten nur durch die

Stellen, denen ein Verwendungsrecht zukommt, im Ein-

vernehmen mit der auftraggebenden Stellle gesondert

Bedienerkennzeichen über die jeweils offenstehenden

Arten der Verwendung von Daten (Einsicht, Verände-

rung, eigenständige Erstellung und Steuerung von

Datenverarbeitungsverfahren usw.) und die Stufen

dieser Verwendung in bezug auf den Datenumfang festzulegen.

ABSCHNITT III Auskunftsverfahren

§13 Antrag auf Auskunftserteilung

?1? Auskünfte gemäß § 11 DSG dürfen nur auf Grund

schriftlicher Anträge eines Betroffenen erteilt werden. Der Antragsteller hat durch Vorlage von Urkunden, aus denen Familien- und Vorname, das Geburtsdatum und

der Wohnort hervorgehen, den Nachweis seiner Identität mit dem Betroffenen zu erbringen. Im Falle eines Auskunftsbegehrens für juristische Personen oder Personengemeinschaften (§ 3 Z. 2 DSG) hat der Antragsteller überdies nachzuweisen, daß er zur Vertretung der juristischen Person oder Personengemeinschaft befugt ist.

?2? Der Antragsteller hat am Auskunftsverfahren dadurch mitzuwirken, daß er nach dem Verarbeitungsverzeichnis (§ 8) diejenigen Datenverarbeitungen bezeichnet, bezüglich derer er Betroffener sein kann, oder glaubhaft zu machen, daß er irrtümlich oder mißbräuchlich in Datenbeständen des Auftraggebers enthalten ist. Er hat zugleich bekanntzugeben, ob er Auskunft aus aktuellen (§ 14 Abs. 2 Z. 1) oder früheren (§ 14 Abs. 2 Z. 2) Datenbeständen verlangt.

?3? Dem Antragsteller ist hierauf so rasch als möglich der vom Auftraggeber für die Erteilung der Auskunft gemäß § 14 allenfalls festzusetzende Kostenersatz zur Einzahlung bekanntzugeben.

?4? Unbeschadet der Bestimmungen des § 14 Abs. 3

hat der Antragsteller die Entrichtung eines vorgeschriebenen Kostenersatzes durch Vorlage des Einzahlungsbeleges nachzuweisen. Die Frist gemäß § 11 Abs. 1 DSG für die Auskunftserteilung beginnt mit dem Nachweis der Entrichtung des Kostenersatzes zu laufen; ist ein Kostenersatz nicht vorzuschreiben, beginnt die Frist, sobald der Antragsteller seine Mitwirkungs- und Nachweispflichten erfüllt hat.

?5? Die Bearbeitung des Auskunftsantrages hat zu unterbleiben, wenn

1? der Antragsteller seine Identität mit dem Betroffenen nicht ausreichend nachweist (Abs. 1),

2? der Betroffene am Verfahren nicht ausreichend mitgewirkt hat (Abs. 2), oder

3? die Entrichtung eines vorgeschriebenen Kostenersatzes durch Vorlage des Einzahlungsbeleges nicht nachgewiesen wird (Abs. 4).

Der Antragsteller ist auf diese Rechtsfolgen jeweils aus-drücklich hinzuweisen.

(6)Die schriftliche Mitteilung, mit der dem Betroffenen Auskunft gemäß § 11 Abs. 1 DSG erteilt wird, ist zu eigenen Händen zuzustellen oder im Falle der persönlichen Übernahme unter gleichzeitigem Nachweis der Identität (Abs. 1) gegen eine Übernahmebestätigung auszufolgen.

§ 14 Kostenersatz

(1) Auskünfte erfolgen dann unentgeltlich, wenn der Auskunftswerber im laufenden Jahr noch kein Auskunfts-ersuchen an den Auftraggeber betreffend dasselbe Auf-gabengebiet gestellt hat. Ansonsten gilt Abs. 2.

Landesgesetzblatt für Oberösterreich, Jahrgang 1987, 13.

Stück, Nr. 33

Seite 37

(2)Unbeschadet des Abs. 1 werden für die Erteilung einer Auskunft im Sinne des § 11 Abs. 1 DSG folgende pauschalierte Kostenersätze festgesetzt:

1? Für jede Auskunft über Daten des Betroffenen aus aktuellen Datenbeständen: 100 S je Verarbeitung. Aktuelle Datenbestände sind solche, die dem Direktzugriff unterliegen, sowie solche, die im Kalenderjahr des Einlangens des Antrages angelegt oder fortgeführt werden, überdies bei Einlangen des Antrages im Jänner auch die Datenbestände des unmittelbar vorangehenden Kalenderjahres;

2? für jede Auskunft über Daten des Betroffenen aus früheren als den in Z. 1 angeführten Datenbeständen:

500 S je Verarbeitung; in jenen Fällen, in denen die Auskunftserteilung einen besonders hohen technischen oder organisatorischen Aufwand erfordert, jedoch 1.000 S je Verarbeitung.

(3)Die im Abs. 2 angeführten Kostenersätze können in berücksichtigungswürdigen Fällen ermäßigt oder ganz nachgesehen werden,

1? wenn der Antragsteller nachweist, daß sein monatliches Einkommen die Richtsätze der Ausgleichszulagen nach dem ASVG nicht überschreitet,

2? wenn der Aufwand für die Auskunftserteilung geringfügig ist.

(4)Auch eine Auskunft, daß keine Daten des Betroffenen in einer Verarbeitung vorhanden sind bzw. waren, unterliegt der Kostenersatzpflicht im Sinne dieser Verordnung.

§ 15 Rückerstattung des Kostenersatzes

(1) Ein geleisteter Kostenersatz ist je Verarbeitung zurückzuerstatten, wenn Daten dieser Verarbeitung rechts-widrig ermittelt, verarbeitet oder übermittelt werden bzw. wurden oder wenn die Auskunft sonst zu einer Richtig-stellung geführt hat. Nicht als Richtigstellung ist es anzu-sehen, wenn die zu ändernden Daten auf Angaben des Betroffenen selbst beruhen, es sei denn, daß eine bereits eingebrachte Änderungsmeldung nicht berücksichtigt wurde..

(2) Ein Anlaß zu einer Richtigstellung ist nicht gegeben, wenn eine Abweichung in der Art der Darstellung der Da-ten durch den Stand der Technik im automationsunter-stützten Datenverkehr oder durch die zweckmäßige und wirtschaftliche Gestaltung eines Datenverarbeitungsver-fahrens bedingt ist.

§ 16 Auskünfte nach anderen Gesetzen

Die §§13,14 und 15 sind auf jene Fälle nicht anzuwen-den, in denen

Auskunft auf Grund besonderer gesetzli-cher Regelungen außerhalb des Datenschutzgesetzes er-teilt wird.

ABSCHNITT IV Schlußbestimmungen

§17 Inkrafttreten

?1? Diese Verordnung tritt mit dem Ablauf des Tages ihrer Kundmachung im Landesgesetzblatt für Oberösterreich in Kraft.

?2? Gleichzeitig tritt die Verordnung der o.ö. Landesregierung, LGBl. Nr. 84/1980, betreffend den Datenschutz im Bereich der Gemeindeverwaltung sowie die Festsetzung eines Kostenersatzes für die Erteilung von Auskünften nach dem Datenschutzgesetz (O.ö. Gemeinde-Datenschutzverordnung — O.ö. Gem-DVO) außer Kraft.