Datenverarbeitungsgesetz, Tiroler

Gesetz vom 13. Dezember 2018, mit dem ein Tiroler Datenverarbeitungsgesetz erlassen wird (Tiroler Datenverarbeitungsgesetz – TDVG)

StF: LGBl. Nr. 143/2018 - Landtagsmaterialien: 374/2018

Der Landtag hat beschlossen:

Im RIS seit

27.12.2018

§ 1 Im RIS seit

(1) Dieses Gesetz regelt bei Datenverarbeitungen, die das Land Tirol allein oder gemeinsam mit anderen Verantwortlichen betreibt oder beauftragt

(2) Dieses Gesetz regelt weiters

(3) Durch dieses Gesetz werden die Zuständigkeit des Bundes und abweichende Regelungen in anderen Landesgesetzen nicht berührt.

Im RIS seit

27.12.2018

§ 2 Im RIS seit

(1) Als Verantwortliche nach Art. 4 Z 7 der Datenschutz-Grundverordnung gelten:

(2) In den Fällen des Abs. 1 lit. b und c sind das Amt der Tiroler Landesregierung und der jeweils betreffende Verantwortliche gemeinsam Verantwortliche im Sinn des Art. 26 der Datenschutz-Grundverordnung.

(3) Das Amt der Tiroler Landesregierung ist immer alleiniger Verantwortlicher, wenn eine Datenverarbeitung vom Land Tirol betrieben oder beauftragt wird, soweit

Im RIS seit

27.12.2018

§ 3 Im RIS seit

(1) Die Informationspflichten nach den Art. 13 und 14 der Datenschutz-Grundverordnung sind jeweils von jenem Verantwortlichen wahrzunehmen, der die erste Anlaufstelle ist oder das entsprechende Verfahren führt.

(2) Die Erfüllung der Verpflichtungen nach den Art. 15 bis 22 der Datenschutz-Grundverordnung obliegt jedem Verantwortlichen hinsichtlich jener Daten, die im Zusammenhang mit den von ihm geführten Verfahren oder den von ihm gesetzten Maßnahmen verarbeitet werden. Ist einem Verantwortlichen die Erfüllung dieser Verpflichtungen nicht möglich, so hat er deren Erfüllung durch einen befähigten anderen Verantwortlichen zu veranlassen.

(3) Im Fall einer Verletzung des Schutzes personenbezogener Daten nach Art. 33 der Datenschutz-Grundverordnung haben die Verantwortlichen nach § 2 Abs. 1 lit. b oder c unverzüglich nach Bekanntwerden der Datenschutzverletzung das Amt der Tiroler Landesregierung zu informieren. Schadensbegrenzende Maßnahmen, eine allfällig erforderliche Meldung an die Datenschutzbehörde sowie die Benachrichtigung der von der Verletzung des Schutzes personenbezogener Daten betroffenen Personen nach Art. 34 der Datenschutz-Grundverordnung hat jener Verantwortliche vorzunehmen, in dessen Einflussbereich die Verletzung des Schutzes personenbezogener Daten aufgetreten ist.

(4) Die allfällige Durchführung der Datenschutz-Folgenabschätzung und die vorherige Konsultation der Datenschutzbehörde nach den Art. 35 und 36 der Datenschutz-Grundverordnung obliegen dem Amt der Tiroler Landesregierung.

(5) Das Amt der Tiroler Landesregierung ist, unbeschadet besonderer Regelungen über die Kostentragung und soweit nichts anderes vereinbart ist, verpflichtet, laufend die im Rahmen des Betriebes, der Weiterentwicklung und der Wartung erforderlichen technischen und organisatorischen Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus nach Art. 32 der Datenschutz-Grundverordnung selbst festzulegen und umzusetzen oder zu beauftragen. Unbeschadet dessen ist jeder gemeinsam Verantwortliche im Umfang seiner organisatorischen und technischen Möglichkeiten selbst für die Festlegung und Umsetzung von Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus verantwortlich.

(6) Das Amt der Tiroler Landesregierung kann über die Hinzuziehung von Auftragsverarbeitern allein entscheiden und die Garantien für die geeigneten technischen und organisatorischen Maßnahmen der beigezogenen Auftragsverarbeiter allein überprüfen.

Im RIS seit

27.12.2018

§ 4 Im RIS seit

(1) Das Amt der Tiroler Landesregierung kann im Einvernehmen mit Verantwortlichen nach § 2 Abs. 1 lit. b und c, unbeschadet ihrer datenschutzrechtlichen Verantwortung, die Führung des Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 der Datenschutz-Grundverordnung für diese übernehmen.

(2) Die Verzeichnisse nach Abs. 1 sowie das Verzeichnis von Verarbeitungstätigkeiten des Amtes der Tiroler Landesregierung nach Art. 30 Abs. 1 der Datenschutz-Grundverordnung

Im RIS seit

27.12.2018

§ 5 Im RIS seit

Bei Anwendungs-Hosting des Landes Tirol ist das Amt der Tiroler Landesregierung Auftragsverarbeiter nach Art. 4 Z 8 der Datenschutz-Grundverordnung im Verhältnis zu den Verantwortlichen nach § 2 Abs. 1 lit. c. Die Verpflichtungen nach Art. 28 der Datenschutz-Grundverordnung sind vom Amt der Tiroler Landesregierung als Auftragsverarbeiter wahrzunehmen.

Im RIS seit

27.12.2018

§ 6 Im RIS seit

(1) Das Recht auf Berichtigung nach Art. 16 und die Pflicht nach Art. 5 Abs. 1 lit. d der Datenschutz-Grundverordnung bestehen nicht hinsichtlich einer Berichtigung, Aktualisierung oder Vervollständigung von personenbezogenen Daten, die in einer Erledigung bzw. einem Geschäftsstück enthalten sind.

(2) Hinsichtlich der Verarbeitung personenbezogener Daten besteht kein Recht auf Einschränkung der Verarbeitung nach Art. 18 und kein Widerspruchsrecht nach Art. 21 der Datenschutz-Grundverordnung. Darüber sind die Betroffenen in geeigneter Weise zu informieren.

Im RIS seit

27.12.2018

§ 7 Im RIS seit

Für Protokoll- und Logdaten besteht kein Recht auf Auskunft nach Art. 15, auf Berichtigung nach Art. 16, auf Löschung nach Art. 17, auf Einschränkung der Verarbeitung nach Art. 18, auf Datenübertragung nach Art. 20 der Datenschutz-Grundverordnung sowie kein Widerspruchsrecht nach Art. 21 der Datenschutz-Grundverordnung.

Im RIS seit

27.12.2018

§ 8 Im RIS seit

(1) Das vom Land Tirol betriebene Portal Tirol ist ein Stammportal, insbesondere im Sinn des österreichischen Behördenportalverbundes, sowie ein Anwendungsportal zur Bereitstellung von Anwendungen, insbesondere für zugriffsberechtigte Stellen im Portalverbund.

(2) Verantwortlich für den Betrieb ist das Amt der Tiroler Landesregierung.

(3) Im Stammportal sind zu Zwecken der Nachvollziehbarkeit und Kontrolle der Zugriffsrechte Authentifizierungs- und Autorisierungsdaten der Benutzer in Form von Protokoll- bzw. Logdaten zu verarbeiten und zur Ermöglichung des Zugriffs auf Anwendungen im Portalverbund an die jeweils beteiligten Portalbetreiber bzw. die verwendeten Anwendungen zu übermitteln. Diese Daten sind nach einer Aufbewahrungsdauer von drei Jahren zu löschen.

(4) Im Anwendungsportal sind zu Zwecken der Nachvollziehbarkeit und Kontrolle der Zugriffsrechte Authentifizierungs- und Autorisierungsdaten der Benutzer in Form von Protokoll- bzw. Logdaten zu verarbeiten. Abs. 3 zweiter Satz ist anzuwenden.

Im RIS seit

27.12.2018

§ 9 Im RIS seit

(1) Unbeschadet besonderer gesetzlicher Abfrageberechtigungen und des § 10 sind das Amt der Tiroler Landesregierung, die Bezirksverwaltungsbehörden und die Verantwortlichen nach § 2 Abs. 1 lit. b in Angelegenheiten der Privatwirtschaftsverwaltung des Landes berechtigt, zum Zweck

(2) Hinsichtlich der Verarbeitung personenbezogener Daten nach Abs. 1 besteht keine Informationspflicht nach Art. 14 der Datenschutz-Grundverordnung.

Im RIS seit

27.12.2018

§ 10 Im RIS seit

(1) Sofern landesgesetzlich nichts Näheres bestimmt ist, sind Verantwortliche zur Verarbeitung von personenbezogenen Daten ermächtigt, soweit dies für die Wahrnehmung ihrer Aufgaben erforderlich ist und es sich nicht um besondere Kategorien personenbezogener Daten im Sinn des Art. 9 Abs. 1 der Datenschutz-Grundverordnung handelt.

(2) Verantwortliche sind zur Verarbeitung von personenbezogenen Daten über verwaltungsbehördlich strafbare Handlungen oder Unterlassungen, insbesondere auch über den Verdacht der Begehung solcher Straftaten und über verwaltungsstrafrechtliche Verurteilungen, ermächtigt, sofern die Verwendung derartiger Daten eine wesentliche Voraussetzung zur Wahrnehmung einer gesetzlich übertragenen Aufgabe ist.

(3) Verantwortliche dürfen Daten nach Abs. 2 den Bezirksverwaltungsbehörden und dem Amt der Tiroler Landesregierung zum Zweck der Durchführung von Verwaltungsstrafverfahren übermitteln.

Im RIS seit

27.12.2018

§ 11 Im RIS seit

Dieses Gesetz tritt mit dem Ablauf des Tages der Kundmachung in Kraft.

Im RIS seit

27.12.2018