Verordnung des Bundesministers für Inneres vom 30. Juni 1987 zur Durchführung des Datenschutzgesetzes im Wirkungsbereich des Bundesministeriums für Inneres (Datenschutzverordnung)

Präambel/Promulgationsklausel

Auf Grund des § 9 des Datenschutzgesetzes (DSG), BGBl. Nr. 565/1978, in der Fassung der Bundesgesetze BGBl. Nr. 341/1981, 577/1982 und 370/1986 wird verordnet:

Geltungsbereich

§ 1. Diese Verordnung gilt für alle Auftraggeber und Dienstleister im Wirkungsbereich des Bundesministeriums für Inneres.

Auftraggeber und Aufgabengebiete

§ 2. Auftraggeber sind nach Maßgabe ihrer sachlichen und örtlichen Zuständigkeit im Hinblick auf die Vollziehung der in § 3 genannten Aufgabengebiete:

Auftraggeber und Aufgabengebiete

§ 2. Auftraggeber sind nach Maßgabe ihrer sachlichen und örtlichen Zuständigkeit im Hinblick auf die Vollziehung der in § 3 genannten Aufgabengebiete:

§ 3. Aufgabengebiete im Sinne dieser Verordnung sind:

§ 3. Aufgabengebiete im Sinne dieser Verordnung sind:

§ 3. Aufgabengebiete im Sinne dieser Verordnung sind:

Datensicherheitsmaßnahmen

§ 4. (1) Die in § 2 genannten Auftraggeber oder Dienstleister haben für die Organisationseinheiten ihres örtlichen und sachlichen Zuständigkeitsbereiches, die Daten verwenden, Datensicherheitsmaßnahmen derart anzuordnen, den jeweiligen technischen und organisatorischen Änderungen umgehend anzupassen und zu dokumentieren, daß für die verwendeten Daten die nach ihrer Art angemessene Schutzwirkung erreicht wird. Liegen Daten mit unterschiedlicher Schutzwürdigkeit vor, so dürfen Daten mit geringerer Schutzwürdigkeit mit Daten höherer Schutzwürdigkeit gleichbehandelt werden.

(2) Der Auftraggeber oder Dienstleister hat jene Organisationseinheit zu bestimmen, die die Zutrittsberechtigungen zu den Räumlichkeiten, in denen die Datenverarbeitung stattfindet, vergibt, ändert, kontrolliert und entzieht. Er hat durch die geeigneten organisatorischen, personellen, technischen und baulichen Maßnahmen die Inbetriebnahme von Einrichtungen für die Verarbeitung, insbesondere von Dateneingabe- und Abfragegeräten durch nichtberechtigte Personen zu verhindern.

(3) Der Leiter der Organisationseinheit, die Daten verwendet, legt unter Bedachtnahme auf die Art der Daten fest, welche Bediensteten die jeweiligen Daten verwenden dürfen.

(4) Das Bundesministerium für Inneres hat jene Organisationseinheit zu bestimmen, die die Zugriffsberechtigungen vergibt, ändert, kontrolliert und entzieht. Dabei ist darauf Bedacht zu nehmen, daß sowohl die Organisationseinheit als auch der einzelne Zugriffsberechtigte unterscheidbar sind. Der Zugriff auf das Betriebssystem ist darüber hinaus durch geeignete Maßnahmen zu sichern.

(5) Die für die Verarbeitung notwendigen Daten und Programme einschließlich der dazugehörigen Dokumentation sind auch außerhalb der Verarbeitungsstätte gesichert aufzubewahren.

(6) Die Vernichtung unbrauchbarer oder nicht mehr benötigter Ausdrucke und sonstiger Datenträger ist vom Auftraggeber oder Dienstleister durch entsprechende personelle oder vertragliche Maßnahmen sicherzustellen.

(7) Jeder Bedienstete, dem in Ausübung seines Dienstes Daten anvertraut werden oder zugänglich sind, ist über seine Pflichten nach dem Datenschutzgesetz, der Datenschutzverordnung und den innerorganisatorischen Datenschutzvorschriften, insbesondere über die von ihm einzuhaltenden Datensicherheitsvorschriften, nachweislich zu belehren und von deren Änderungen umgehend und nachweislich in Kenntnis zu setzen.

Grundsätze für die Ermittlung, Verarbeitung und Benützung

§ 5. (1) Wird zur Ermittlung und Verarbeitung von Daten Amtshilfe in Anspruch genommen, so ist das Amtshilfeersuchen so zu begründen, daß die ersuchte Stelle die Zulässigkeit der Übermittlung gemäß § 7 DSG beurteilen kann. Die Begründung kann entfallen, wenn die Zulässigkeit der Übermittlung für die ersuchte Stelle offenkundig ist oder anläßlich eines vorangegangenen Amtshilfeersuchens gleicher Art festgestellt wurde.

(2) Die Ermittlung und Verarbeitung von Daten ist dann als wesentliche Voraussetzung für die Wahrnehmung der gesetzlich übertragenen Aufgaben zu erachten, wenn andere Möglichkeiten, die gesetzlich übertragenen Aufgaben wahrzunehmen, nicht vorliegen oder sie auf Grund des zu erwartenden Aufwandes dem Auftraggeber nicht zuzumuten sind.

(3) Werden Daten vom Betroffenen ermittelt, so ist dieser vor der Ermittlung darüber zu informieren, ob eine gesetzliche Verpflichtung zur Offenlegung seiner personenbezogenen Daten besteht oder ob die Ermittlung durch seine freiwillige Mitwirkung zustande kommt.

§ 6. (1) Jedes Programm ist vor seinem Einsatz in der Verarbeitung personenbezogener Daten von der durch das Bundesministerium für Inneres zu bestimmenden Organisationseinheit freizugeben.

(2) Die Daten und Programme sind vor Entstellung, Zerstörung und Verlust sowie gegen unbefugte Verwendung und Weitergabe zu schützen.

(3) Wird ein Aufgabengebiet für mehrere Auftraggeber mit Hilfe derselben technischen Einrichtung oder im Netzwerkverbund vollzogen, so ist sicherzustellen, daß jedem Auftraggeber die in die Zuständigkeit eines anderen Auftraggebers fallenden Daten nur in den im § 7 DSG genannten Fällen zugängig gemacht werden. Dasselbe gilt, wenn die Daten für verschiedene Aufgabengebiete mit Hilfe derselben technischen Einrichtung oder im Netzwerkverbund verarbeitet werden.

(4) Daten dürfen nur auf Grund von schriftlichen Aufträgen verarbeitet werden. Die Aufträge dürfen auch fernmündlich oder im Funkwege ergehen, wenn die kurzfristige Durchführung des Auftrages für die erfolgreiche Durchführung einer Amtshandlung notwendig ist. Die Eingabeprotokolle aller Arten von Verarbeitungsaufträgen sind zu überprüfen und aufzubewahren.

(5) Der Auftraggeber hat, soweit ihm dies mit vertretbarem Arbeitsaufwand möglich ist, die Richtigkeit der Verarbeitungsergebnisse durch Stichproben oder sonstige geeignete Methoden zu überprüfen.

(6) Wird ein Fehler festgestellt, so hat der Auftraggeber die Fehlerbehebung umgehend einzuleiten und die Fehlerursache zu beheben. Der betreffende Dienstleister ist unverzüglich zu verständigen, wenn zu vermuten ist, daß die Fehlerursache in seinem Tätigkeitsbereich liegt.

(7) Die Benützung der Daten darf nur in der Art und in dem Umfang erfolgen, als hiefür eine ausdrückliche gesetzliche Ermächtigung besteht oder dies für den Auftraggeber für die Wahrnehmung der ihm gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bildet.

(8) Die Bediensteten des Auftraggebers dürfen nur jene Daten benützen, die sie zur Erfüllung der ihnen übertragenen Aufgaben benötigen.

Grundsätze für die Übermittlung von Daten

§ 7. (1) Übermittlungen von Daten durch den Auftraggeber oder Dienstleister bedürfen, sofern sie sich nicht auf eine ausdrückliche gesetzliche Ermächtigung stützen, einer schriftlichen Genehmigung des zuständigen Organs. Die Genehmigung kann für den Einzelfall oder generell erteilt werden.

(2) Der Auftraggeber hat zu veranlassen, daß vom Österreichischen Statistischen Zentralamt im Anschluß an die anonymisierte Verarbeitung gemäß § 7 Abs. 1 Z 3 DSG die personenbezogenen Daten dem übermittelnden Organ zurückgegeben, gelöscht oder auftragsgemäß aufbewahrt oder verarbeitet werden.

§ 8. Einem Ersuchen um Übermittlung von Daten darf nur entsprochen werden, wenn die ersuchende Stelle an der Klärung der für die Beurteilung der Zulässigkeit der Übermittlung maßgeblichen Sach- und Rechtslage mitwirkt. Um die Mitwirkung ist erforderlichenfalls zu ersuchen, es sei denn, die Zulässigkeit der Übermittlung ist offenkundig.

§ 9. (1) Eine Übermittlung in den Fällen des § 7 Abs. 3 DSG ist zulässig, wenn andere Möglichkeiten, das berechtigte Interesse des Dritten zu wahren, nicht vorliegen oder nicht zumutbar sind. Auch in diesem Fall ist die Übermittlung nur zulässig, wenn das schutzwürdige Interesse des Betroffenen an der Geheimhaltung nicht überwiegt. Derartige Übermittlungen sind zu protokollieren.

(2) Daten gelten dann als veröffentlicht, wenn sie einem generell bestimmten Personenkreis zugänglich gemacht wurden.

Grundsätze für die Überlassung von Daten

§ 10. (1) Die in § 2 genannten Organisationseinheiten der Auftraggeber können unter den in § 13 DSG genannten Voraussetzungen nach Genehmigung durch das Bundesministerium für Inneres Dienstleister in Anspruch nehmen.

(2) Die Überlassung der Daten durch einen Dienstleister an einen weiteren ist nur mit vorheriger Genehmigung des Bundesministeriums für Inneres zulässig.

Auskunftsrecht

§ 11. (1) Der Betroffene hat in seinem Antrag auf Auskunft gemäß § 11 DSG diejenigen Datenverarbeitungen im Sinne des § 8 DSG zu bezeichnen, bezüglich derer er die Auskunft wünscht, oder durch Vorlage von Unterlagen oder die Beschreibung von Lebensumständen glaubhaft zu machen, aus welchen Gründen anzunehmen ist, daß seine Daten irrtümlich oder mißbräuchlich in Datenbeständen des Auftraggebers enthalten sind. Eine allfällige Aufforderung zur Verbesserung eines Antrages auf Auskunft gemäß § 11 DSG hat ohne unnötigen Verzug zu erfolgen.

(2) Der aktuelle Datenbestand im Sinne des § 11 Abs. 4 DSG umfaßt jene Daten, die in der betreffenden Datenverarbeitung dem Direktzugriff unterliegen oder - mangels eines solchen - den letztgültigen Datenbestand.

(3) Eine Auskunft gemäß § 11 DSG darf nur auf Grund eines unbedenklichen Identitätsnachweises und gegen Empfangsbestätigung ausgefolgt oder zu eigenen Handen zugestellt werden. Eine Auskunftserteilung ist hinsichtlich des Aufgabengebietes und des Zeitpunktes der Erledigung zu dokumentieren.

§ 12. (1) Für die Erteilung einer Auskunft im Sinne des § 11 Abs. 4 DSG werden folgende pauschalierte Kostenersätze festgelegt:

(2) Die in Abs. 1 angeführten Kostenersätze sind nicht zu entrichten, wenn der Aufwand für die Auskunftserteilung geringfügig ist.

(3) Dem Antragsteller ist der zu entrichtende Kostenersatz unverzüglich mitzuteilen.

(4) Von der Bearbeitung eines Auskunftsantrages ist abzusehen, wenn der gemäß Abs. 3 mitgeteilte Kostenersatz nicht entrichtet wurde oder der Betroffene am Verfahren nicht ausreichend mitgewirkt hat.