LegalizeVerordnung des Bundeskanzlers über das bei der Datenschutzkommission eingerichtete Datenverarbeitungsregister (Datenverarbeitungsregister-Verordnung 2012 – DVRV 2012)
Präambel/Promulgationsklausel
Auf Grund des § 16 Abs. 3 und des § 61 Abs. 8 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 51/2012, wird verordnet:
Abkürzung
DVRV 2012
Präambel/Promulgationsklausel
Auf Grund des § 16 Abs. 3 und des § 61 Abs. 8 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 51/2012, wird verordnet:
Abkürzung
DVRV 2012
Abschnitt
Allgemeines
Geltungsbereich
§ 1. Diese Verordnung regelt die Einrichtung und Führung des Datenverarbeitungsregisters, den Zugang und die Einsichtnahme in das Datenverarbeitungsregister, die Registrierung von Datenanwendungen im Datenverarbeitungsregister sowie das Verzeichnis der Informationsverbundsysteme.
Begriffsbestimmungen
§ 2. Im Sinne dieser Verordnung sind zu verstehen:
Datenverarbeitungsregister: das von der Datenschutzkommission gemäß § 16 Abs. 1 DSG 2000 zu führende Register der Auftraggeber mit den von ihnen betriebenen Datenanwendungen;
Meldung: Eingabe gemäß § 17 DSG 2000 an die Datenschutzkommission zum Zweck der Registrierung im Datenverarbeitungsregister;
Registrierte Meldung: in das Datenverarbeitungsregister aufgenommene Meldungen, bestehend aus den Anlagen 1 bis 3 ;
DVR-Online: Internetanwendung zur Meldung von Datenanwendungen an die Datenschutzkommission und zur Führung des Datenverarbeitungsregisters bei der Datenschutzkommission;
DVR-Online-Formulare: die inhaltlich den Formblättern der Anlage 1 bis 4 entsprechenden und im DVR-Online verwendeten Formulare;
DVR-Nummer: vom Datenverarbeitungsregister zugewiesene Registernummer;
bPK: bereichsspezifisches Personenkennzeichen gemäß §§ 9 ff des E Government-Gesetzes – E-GovG, BGBl. I Nr. 10/2004, in der Fassung des Bundesgesetzes BGBl. I Nr. 111/2010.
Abkürzung
DVRV 2012
Begriffsbestimmungen
§ 2. Im Sinne dieser Verordnung sind zu verstehen:
Datenverarbeitungsregister: das von der Datenschutzbehörde gemäß § 16 Abs. 1 DSG 2000 zu führende Register der Auftraggeber mit den von ihnen betriebenen Datenanwendungen;
Meldung: Eingabe gemäß § 17 DSG 2000 an die Datenschutzbehörde zum Zweck der Registrierung im Datenverarbeitungsregister;
Registrierte Meldung: in das Datenverarbeitungsregister aufgenommene Meldungen, bestehend aus den Anlagen 1 bis 3 ;
DVR-Online: Internetanwendung zur Meldung von Datenanwendungen an die Datenschutzbehörde und zur Führung des Datenverarbeitungsregisters bei der Datenschutzbehörde;
DVR-Online-Formulare: die inhaltlich den Formblättern der Anlage 1 bis 4 entsprechenden und im DVR-Online verwendeten Formulare;
DVR-Nummer: vom Datenverarbeitungsregister zugewiesene Registernummer;
bPK: bereichsspezifisches Personenkennzeichen gemäß §§ 9 ff des E Government-Gesetzes – E-GovG, BGBl. I Nr. 10/2004, in der Fassung des Bundesgesetzes BGBl. I Nr. 111/2010.
Abschnitt
Einrichtung und Inhalt des Datenverarbeitungsregisters
Einrichtung des Datenverarbeitungsregisters
§ 3. Das Datenverarbeitungsregister ist bei der Datenschutzkommission eingerichtet und wird in Form der Internetanwendung DVR-Online geführt. Auftraggeber des Datenverarbeitungsregisters ist die Datenschutzkommission.
Abkürzung
DVRV 2012
Abschnitt
Einrichtung und Inhalt des Datenverarbeitungsregisters
Einrichtung des Datenverarbeitungsregisters
§ 3. Das Datenverarbeitungsregister ist bei der Datenschutzbehörde eingerichtet und wird in Form der Internetanwendung DVR-Online geführt. Auftraggeber des Datenverarbeitungsregisters ist die Datenschutzbehörde.
Inhalt des Datenverarbeitungsregisters
§ 4. (1) Das Datenverarbeitungsregister besteht aus:
den registrierten Meldungen über Auftraggeber und Datenanwendungen,
einem gesonderten Verzeichnis der Informationsverbundsysteme sowie
den Registrierungsakten.
(2) In den Registrierungsakt sind aufzunehmen:
die nicht-registrierte Meldung, bestehend aus den DVR-Online-Formularen und Formblättern, sowie die angeschlossenen Beilagen,
Verbesserungsaufträge,
Genehmigungsbescheide gemäß § 13 DSG 2000,
Bescheide der Datenschutzkommission über Auflagen, die gemäß § 21 Abs. 2 DSG 2000 anlässlich des Prüfungsverfahrens erteilt wurden,
sonstige Bescheide der Datenschutzkommission im Registrierungsverfahren, und
Mitteilung nach § 20 Abs. 5 DSG 2000 über die Ablehnung der Registrierung.
Abkürzung
DVRV 2012
Inhalt des Datenverarbeitungsregisters
§ 4. (1) Das Datenverarbeitungsregister besteht aus:
den registrierten Meldungen über Auftraggeber und Datenanwendungen,
einem gesonderten Verzeichnis der Informationsverbundsysteme sowie
den Registrierungsakten.
(2) In den Registrierungsakt sind aufzunehmen:
die nicht-registrierte Meldung, bestehend aus den DVR-Online-Formularen und Formblättern, sowie die angeschlossenen Beilagen,
Verbesserungsaufträge,
Genehmigungsbescheide gemäß § 13 DSG 2000,
Bescheide der Datenschutzbehörde über Auflagen, die gemäß § 21 Abs. 2 DSG 2000 anlässlich des Prüfungsverfahrens erteilt wurden,
sonstige Bescheide der Datenschutzbehörde im Registrierungsverfahren, und
Mitteilung nach § 20 Abs. 5 DSG 2000 über die Ablehnung der Registrierung.
Abkürzung
DVRV 2012
Abschnitt
Zugang und Einsicht in das Datenverarbeitungsregister
Zugang zum Datenverarbeitungsregister
§ 5. Der Zugang zum Datenverarbeitungsregister erfolgt nach Maßgabe technischer und organisatorischer Möglichkeiten über DVR-Online. Für den Fall einer Betriebsstörung sowie für manuelle Dateien ist der Zugang nach Maßgabe technischer und organisatorischer Möglichkeiten auf alternativem Weg sicherzustellen.
Abkürzung
DVRV 2012
Einsichtnahme in das Datenverarbeitungsregister
§ 6. (1) Öffentlich einsehbar sind registrierte Meldungen, bestehend aus den Anlagen 1 bis 3, sowie das gesonderte Verzeichnis der Informationsverbundsysteme.
(2) In den Registrierungsakt ist Einsicht zu gewähren, wenn der Einsichtswerber glaubhaft macht, dass er Betroffener ist, und soweit nicht überwiegende schutzwürdige Geheimhaltungsinteressen des Auftraggebers oder anderer Personen entgegenstehen. Keiner Einsicht unterliegen die Angaben über Datensicherheitsmaßnahmen.
Abkürzung
DVRV 2012
Abschnitt
Meldungen an das Datenverarbeitungsregister
Form der Meldung
§ 7. (1) Die Meldung sowie die zugehörigen Beilagen sind in elektronischer Form über DVR-Online einzubringen. Eine Meldung in Form von E-Mail oder in nicht-elektronischer Form ist nur unter den Voraussetzungen des 8. Abschnittes zulässig. Die Meldung von manuellen Dateien kann entweder in elektronischer Form über DVR-Online oder unter den Voraussetzungen des 8. Abschnittes eingebracht werden.
(2) Zum Einbringen von Meldungen sowie für die Bearbeitung von Verbesserungsaufträgen ist eine Identifizierung und Authentifizierung erforderlich.
(3) Zur Teilnahme an einem Informationsverbundsystem, das bereits auf Grund einer Meldung von zumindest zwei Auftraggebern registriert worden ist, können weitere Auftraggeber in der Folge die Meldung im Umfang des § 19 Abs. 1 Z 3 bis 7 und Abs. 2 DSG 2000 auf einen Verweis durch Übernahme des Inhalts der Meldung eines bereits registrierten Auftraggebers beschränken, wenn sie eine Teilnahme im genau gleichen Umfang anstreben.
Anlass und Zeitpunkt der Meldung
§ 8. Zum Zweck der Registrierung hat der Auftraggeber einer Datenanwendung der Datenschutzkommission gemäß §§ 17 und 19 DSG 2000 zu melden:
seine Identität und seine Rechtsgrundlagen (rechtliche Befugnis oder gesetzliche Zuständigkeit) bei der erstmaligen Meldung einer Datenanwendung an die Datenschutzkommission,
jede meldepflichtige Datenanwendung vor deren Aufnahme,
jede Änderung einer meldepflichtigen, bereits registrierten Datenanwendung samt den Rechtsgrundlagen vor Aufnahme der geänderten Datenanwendung,
jede Änderung des Namens oder der sonstigen Bezeichnung oder der Anschrift des Auftraggebers, unverzüglich nach Eintritt der Änderung,
den Eintritt eines Grundes für die Streichung einer registrierten Datenanwendung, insbesondere den Wegfall ihrer Rechtsgrundlage, unverzüglich nachdem er sich ereignet hat,
den Wegfall einer geeigneten Rechtsgrundlage für die im Zusammenhang mit der Registrierung relevanten Tätigkeiten des Auftraggebers, unverzüglich nach Eintritt ihrer rechtlichen Wirksamkeit.
Abkürzung
DVRV 2012
Anlass und Zeitpunkt der Meldung
§ 8. Zum Zweck der Registrierung hat der Auftraggeber einer Datenanwendung der Datenschutzbehörde gemäß §§ 17 und 19 DSG 2000 zu melden:
seine Identität und seine Rechtsgrundlagen (rechtliche Befugnis oder gesetzliche Zuständigkeit) bei der erstmaligen Meldung einer Datenanwendung an die Datenschutzbehörde,
jede meldepflichtige Datenanwendung vor deren Aufnahme,
jede Änderung einer meldepflichtigen, bereits registrierten Datenanwendung samt den Rechtsgrundlagen vor Aufnahme der geänderten Datenanwendung,
jede Änderung des Namens oder der sonstigen Bezeichnung oder der Anschrift des Auftraggebers, unverzüglich nach Eintritt der Änderung,
den Eintritt eines Grundes für die Streichung einer registrierten Datenanwendung, insbesondere den Wegfall ihrer Rechtsgrundlage, unverzüglich nachdem er sich ereignet hat,
den Wegfall einer geeigneten Rechtsgrundlage für die im Zusammenhang mit der Registrierung relevanten Tätigkeiten des Auftraggebers, unverzüglich nach Eintritt ihrer rechtlichen Wirksamkeit.
Inhalt der Meldung
§ 9. Für jede Neu- oder Änderungsmeldung betreffend eine Datenanwendung sind im DVR-Online-Formular die Angaben nach der Anlage 2 vollständig anzugeben; bei der Meldung einer Musteranwendung sind hiefür im DVR-Online-Formular die Angaben nach der Anlage 3 vollständig anzugeben. Meldet ein Auftraggeber erstmalig an die Datenschutzkommission oder meldet er Änderungen zu den Angaben zum Auftraggeber, so hat er zusätzlich im DVR-Online-Formular die Angaben nach der Anlage 1 auszufüllen. Die gemäß § 19 Abs. 1 Z 7 DSG 2000 zu machenden allgemeinen Angaben über die getroffenen Datensicherheitsmaßnahmen sind über das DVR-Online-Formular gemäß Anlage 4 an die Datenschutzkommission zu übermitteln.
Abkürzung
DVRV 2012
Inhalt der Meldung
§ 9. Für jede Neu- oder Änderungsmeldung betreffend eine Datenanwendung sind im DVR-Online-Formular die Angaben nach der Anlage 2 vollständig anzugeben; bei der Meldung einer Musteranwendung sind hiefür im DVR-Online-Formular die Angaben nach der Anlage 3 vollständig anzugeben. Meldet ein Auftraggeber erstmalig an die Datenschutzbehörde oder meldet er Änderungen zu den Angaben zum Auftraggeber, so hat er zusätzlich im DVR-Online-Formular die Angaben nach der Anlage 1 auszufüllen. Die gemäß § 19 Abs. 1 Z 7 DSG 2000 zu machenden allgemeinen Angaben über die getroffenen Datensicherheitsmaßnahmen sind über das DVR-Online-Formular gemäß Anlage 4 an die Datenschutzbehörde zu übermitteln.
Abkürzung
DVRV 2012
Beilagen zur Meldung
§ 10. Den Meldungen ist insbesondere beizulegen:
bei Datenanwendungen des öffentlichen Bereiches der Nachweis der gesetzlichen Zuständigkeit des Auftraggebers und sonstiger allenfalls notwendiger Rechtsgrundlagen für die Datenanwendung, soweit deren Vorhandensein nicht außer Zweifel steht,
bei Datenanwendungen des privaten Bereiches der Nachweis der Befugnis für die Ausübung der Tätigkeit des Auftraggebers oder, wenn für diese keine Befugnis erforderlich ist, eine diesbezügliche Begründung.
Registrierung
⋯
Dieses Dokument ersetzt nicht die offizielle Publikation im Bundesgesetzblatt. Für eventuelle Ungenauigkeiten bei der Übertragung in dieses Format wird keine Haftung übernommen.