Verordnung des Bundesministers für Arbeit und Soziales vom 10. Feber 1988 zur Durchführung des Datenschutzgesetzes im Wirkungsbereich des Bundesministeriums für Arbeit und Soziales (Datenschutzverordnung)

Präambel/Promulgationsklausel

Auf Grund des § 9 des Datenschutzgesetzes (DSG), BGBl. Nr. 565/1978, zuletzt geändert durch das Bundesgesetz BGBl. Nr. 370/1986 wird verordnet:

Geltungsbereich

§ 1. Diese Verordnung gilt für alle Auftraggeber und Dienstleister im Wirkungsbereich des Bundesministeriums für Arbeit und Soziales.

Auftraggeber und Aufgabengebiete

§ 2. (1) Auftraggeber sind nach Maßgabe ihrer örtlichen und sachlichen Zuständigkeit:

(2) Die im Abs. 1 genannten Auftraggeber können auch Dienstleister sein.

Auftraggeber und Dienstleister

§ 2. (1) Auftraggeber sind nach Maßgabe ihrer örtlichen und sachlichen Zuständigkeit:

(2) Die im Abs. 1 genannten Auftraggeber können auch Dienstleister sein.

§ 3. (1) Aufgabengebiete im Sinne dieser Verordnung sind:

(2) Ein Aufgabengebiet unterliegt dieser Verordnung nur hinsichtlich jener Daten, die zumindest in einer Phase des Verfahrensablaufs Gegenstand eines automationsunterstützten Vorganges sind.

Aufgabengebiete

§ 3. (1) Aufgabengebiete im Sinne dieser Verordnung sind:

(2) Ein Aufgabengebiet unterliegt dieser Verordnung nur hinsichtlich jener Daten, die zumindest in einer Phase des Verfahrensablaufs Gegenstand eines automationsunterstützten Vorganges sind.

Datensicherheitsmaßnahmen

§ 4. (1) Die in § 2 genannten Auftraggeber oder Dienstleister haben für die Organisationseinheiten ihres örtlichen und sachlichen Zuständigkeitsbereiches, die Daten verwenden, Datensicherheitsmaßnahmen schriftlich anzuordnen, den jeweiligen technischen und organisatorischen Änderungen umgehend anzupassen und zu dokumentieren.

(2) Der Auftraggeber oder Dienstleister hat für die zu verwendenden Datenarten entsprechend dem Grad der Schutzwürdigkeit Sensibilitätsklassen festzulegen. Die Sicherheitsmaßnahmen haben sich nach den Sensibilitätsklassen zu bestimmen.

(3) Der Auftraggeber oder Dienstleister hat jene Organisationseinheit zu bestimmen, die die Zutrittsberechtigungen zu den Räumlichkeiten, in denen die Datenverarbeitung stattfindet, vergibt, ändert, kontrolliert und entzieht.

(4) Das Bundesministerium für Arbeit und Soziales hat jene Organisationseinheit zu bestimmen, die Zugriffsberechtigungen vergibt, ändert, kontrolliert und entzieht. Hiebei ist eine Identifikation jedes Zugriffsberechtigten vorzusehen. Der Zugriff auf das Betriebssystem einschließlich System- und Netzwerksoftware ist darüber hinaus durch geeignete Maßnahmen zu sichern.

(5) Die für die Verarbeitung notwendigen Daten und Programme einschließlich der dazugehörigen Dokumentation sind auch außerhalb der Verarbeitungsstätte gesichert aufzubewahren.

(6) Die Vernichtung unbrauchbarer oder nicht mehr benötigter Ausdrucke und sonstiger Datenträger ist vom Auftraggeber oder Dienstleister durch entsprechende personelle oder vertragliche Maßnahmen sicherzustellen.

(7) Jeder Bedienstete, dem in Ausübung seines Dienstes Daten anvertraut oder zugänglich sind, ist über seine Pflichten nach dem Datenschutzgesetz, der Datenschutzverordnung und den innerorganisatorischen Datenschutzvorschriften, insbesondere über die von ihm einzuhaltenden Datensicherheitsvorschriften, nachweislich zu belehren und von deren Änderungen umgehend und nachweislich in Kenntnis zu setzen.

Datensicherheitsmaßnahmen

§ 4. (1) Die in § 2 genannten Auftraggeber oder Dienstleister haben für die Organisationseinheiten ihres örtlichen und sachlichen Zuständigkeitsbereiches, die Daten verwenden, Datensicherheitsmaßnahmen schriftlich anzuordnen, den jeweiligen technischen und organisatorischen Änderungen umgehend anzupassen und zu dokumentieren.

(2) Der Auftraggeber oder Dienstleister hat für die zu verwendenden Datenarten entsprechend dem Grad der Schutzwürdigkeit Sensibilitätsklassen festzulegen. Die Sicherheitsmaßnahmen haben sich nach den Sensibilitätsklassen zu bestimmen.

(3) Der Auftraggeber oder Dienstleister hat jene Organisationseinheit zu bestimmen, die die Zutrittsberechtigungen zu den Räumlichkeiten, in denen die Datenverarbeitung stattfindet, vergibt, ändert, kontrolliert und entzieht.

(4) Der Auftraggeber oder Dienstleister hat jene Organisationseinheit zu bestimmen, die Zugriffsberechtigungen vergibt, ändert, kontrolliert und entzieht. Hierbei ist eine Identifikation jedes Zugriffsberechtigten vorzusehen. Der Zugriff auf das Betriebssystem einschließlich System- und Netzwerksoftware ist darüber hinaus durch geeignete Maßnahmen zu sichern.

(5) Die für die Verarbeitung notwendigen Daten und Programme einschließlich der dazugehörigen Dokumentation sind auch außerhalb der Verarbeitungsstätte gesichert aufzubewahren.

(6) Die Vernichtung unbrauchbarer oder nicht mehr benötigter Ausdrucke und sonstiger Datenträger ist vom Auftraggeber oder Dienstleister durch entsprechende personelle oder vertragliche Maßnahmen sicherzustellen.

(7) Jeder Bedienstete, dem in Ausübung seines Dienstes Daten anvertraut oder zugänglich sind, ist über seine Pflichten nach dem Datenschutzgesetz, der Datenschutzverordnung und den innerorganisatorischen Datenschutzvorschriften, insbesondere über die von ihm einzuhaltenden Datensicherheitsvorschriften, nachweislich zu belehren und von deren Änderungen umgehend und nachweislich in Kenntnis zu setzen.

Grundsätze für die Ermittlung, Verarbeitung und Benützung

§ 5. (1) Die Ermittlung und Verarbeitung von Daten ist dann als wesentliche Voraussetzung für die Wahrnehmung der gesetzlich übertragenen Aufgaben zu erachten, wenn andere Möglichkeiten, die gesetzlich übertragenen Aufgaben wahrzunehmen, nicht vorliegen oder sie auf Grund des zu erwartenden Aufwandes dem Auftraggeber aus Wirtschaftlichkeits- und Zweckmäßigkeitserwägungen nicht zuzumuten sind.

(2) Wird zur Ermittlung von Daten Amtshilfe in Anspruch genommen, so ist das Amtshilfeersuchen so zu begründen, daß die ersuchte Stelle die Zulässigkeit der Übermittlung gemäß § 7 DSG beurteilen kann. Insbesondere ist darzulegen, durch welche gesetzlichen Bestimmungen dem Auftraggeber jene Aufgaben übertragen sind, zu deren Wahrnehmung die zu ermittelnden Daten eine wesentliche Voraussetzung bilden. Die Begründung kann entfallen, wenn die Zulässigkeit der Übermittlung für die ersuchte Stelle offenkundig ist oder anläßlich eines vorangegangenen Amtshilfeersuchens gleicher Art festgestellt wurde.

§ 6. (1) Jedes Programm ist vor seinem Einsatz in der Verarbeitung personenbezogener Daten von der durch das Bundesministerium für Arbeit und Soziales zu bestimmenden Organisationseinheit freizugeben. Wird das Bundesrechenamt auf Grund einer ausdrücklichen gesetzlichen Bestimmung als Dienstleister für Auftraggeber im Bereich des Bundesministeriums für Arbeit und Soziales tätig, so gilt dies nicht, sofern es sich lediglich um programmtechnische Optimierungen handelt.

(2) Den Daten eines Aufgabengebietes ist nach Maßgabe der Sensibilitätsklassen der zu verarbeitenden Daten (§ 4 Abs. 2) gleichartiger Schutz zu gewähren. Die Daten und Programme sind vor Entstellung, Zerstörung und Verlust sowie gegen unbefugte Verwendung und Weitergabe zu schützen.

(3) Wird ein Aufgabengebiet für mehrere Auftraggeber mit Hilfe derselben technischen Einrichtung oder im Netzwerkverbund vollzogen, so ist sicherzustellen, daß jedem Auftraggeber die in die Zuständigkeit eines anderen Auftraggebers fallenden Daten nur in den in § 7 DSG genannten Fällen zugängig gemacht werden. Dasselbe gilt, wenn die Daten für verschiedene Aufgabengebiete mit Hilfe derselben technischen Einrichtung oder im Netzwerkverbund verarbeitet werden.

(4) Daten dürfen nur nach Genehmigung des Bundesministeriums für Arbeit und Soziales und nur auf Grund von schriftlichen Aufträgen verarbeitet werden. Der Auftrag zur Verarbeitung von Daten im Rahmen eines genehmigten Verfahrens kann als Einzel- oder Dauerauftrag sowie im Rahmen von Verfahrensvorschriften erteilt werden.

(5) Der Auftraggeber hat die Richtigkeit der Verarbeitungsergebnisse durch Stichproben oder sonstige geeignete Methoden zu überprüfen, soweit ihm dies mit vertretbarem Arbeitsaufwand möglich ist.

(6) Wird ein Fehler festgestellt, so hat der Auftraggeber die Fehlerbehebung umgehend einzuleiten und die Fehlerursache zu beheben. Der betreffende Dienstleister ist unverzüglich zu verständigen, wenn zu vermuten ist, daß die Fehlerursache in seinem Tätigkeitsbereich liegt.

(7) Die Benützung der Daten darf nur in der Art und in dem Umfang erfolgen, als hiefür eine ausdrückliche gesetzliche Ermächtigung besteht oder dies für den Auftraggeber zur Wahrnehmung der ihm gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bildet.

(8) Die Bediensteten des Auftraggebers dürfen nur jene Daten benützen, die sie zur Erfüllung der ihnen übertragenen Aufgaben benötigen.

§ 6. (1) Jedes Programm ist vor seinem Einsatz in der Verarbeitung personenbezogener Daten von der durch den Auftraggeber zu bestimmenden Organisationseinheit oder Stelle freizugeben. Wird das Bundesrechenamt auf Grund einer ausdrücklichen gesetzlichen Bestimmung als Dienstleister für Auftraggeber im Bereich des Bundesministeriums für Arbeit und Soziales tätig, so gilt dies nicht, sofern es sich lediglich um programmtechnische Optimierungen handelt.

(2) Den Daten eines Aufgabengebietes ist nach Maßgabe der Sensibilitätsklassen der zu verarbeitenden Daten (§ 4 Abs. 2) gleichartiger Schutz zu gewähren. Die Daten und Programme sind vor Entstellung, Zerstörung und Verlust sowie gegen unbefugte Verwendung und Weitergabe zu schützen.

(3) Wird ein Aufgabengebiet für mehrere Auftraggeber mit Hilfe derselben technischen Einrichtung oder im Netzwerkverbund vollzogen, so ist sicherzustellen, daß jedem Auftraggeber die in die Zuständigkeit eines anderen Auftraggebers fallenden Daten nur in den in § 7 DSG genannten Fällen zugängig gemacht werden. Dasselbe gilt, wenn die Daten für verschiedene Aufgabengebiete mit Hilfe derselben technischen Einrichtung oder im Netzwerkverbund verarbeitet werden.

(4) Daten dürfen nur auf Grund von schriftlichen Aufträgen durch den Auftraggeber bzw. einer von ihm zu nominierenden Organisationseinheit oder Stelle verarbeitet werden. Der Auftrag zur Verarbeitung von Daten im Rahmen eines genehmigten Verfahrens kann als Einzel- oder Dauerauftrag sowie im Rahmen von Verfahrensvorschriften erteilt werden.

(5) Der Auftraggeber hat die Richtigkeit der Verarbeitungsergebnisse durch Stichproben oder sonstige geeignete Methoden zu überprüfen, soweit ihm dies mit vertretbarem Arbeitsaufwand möglich ist.

(6) Wird ein Fehler festgestellt, so hat der Auftraggeber die Fehlerbehebung umgehend einzuleiten und die Fehlerursache zu beheben. Der betreffende Dienstleister ist unverzüglich zu verständigen, wenn zu vermuten ist, daß die Fehlerursache in seinem Tätigkeitsbereich liegt.

(7) Die Benützung der Daten darf nur in der Art und in dem Umfang erfolgen, als hiefür eine ausdrückliche gesetzliche Ermächtigung besteht oder dies für den Auftraggeber zur Wahrnehmung der ihm gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bildet.

(8) Die Bediensteten des Auftraggebers dürfen nur jene Daten benützen, die sie zur Erfüllung der ihnen übertragenen Aufgaben benötigen.

Grundsätze für die Übermittlung von Daten