BUNDESGESETZBLATT
FÜR DIE REPUBLIK ÖSTERREICH

Jahrgang 2009

Ausgegeben am 30. Dezember 2009

Teil I

133. Bundesgesetz:

DSG-Novelle 2010

(NR: GP XXIV RV 472 AB 531 S. 49. BR: 8220 AB 8225 S. 780.)

133. Bundesgesetz, mit dem das Datenschutzgesetz 2000 und das Sicherheitspolizeigesetz geändert werden (DSG-Novelle 2010)

Der Nationalrat hat beschlossen:

Artikel 1

Änderung des Datenschutzgesetzes 2000

Das Datenschutzgesetz 2000 – DSG 2000, Bundesgesetzblatt Teil eins, Nr. 165 aus 1999,, zuletzt geändert durch das Bundesgesetz Bundesgesetzblatt Teil eins, Nr. 2 aus 2008,, wird wie folgt geändert:

Novellierungsanordnung 1, Im Inhaltsverzeichnis entfällt die Zeile

㤠2

Zuständigkeit“

Novellierungsanordnung 2, Im Inhaltsverzeichnis lautet Paragraph 22 :,

㤠22

Richtigstellung des Registers und Rechtsnachfolge“

Novellierungsanordnung 3, Im Inhaltsverzeichnis wird nach Paragraph 22, eingefügt:

㤠22a

Verfahren zur Überprüfung der Erfüllung der Meldepflicht“

Novellierungsanordnung 4, Im Inhaltsverzeichnis wird nach Paragraph 31, eingefügt:

㤠31a

Begleitende Maßnahmen im Beschwerdeverfahren“

Novellierungsanordnung 5, Im Inhaltsverzeichnis wird nach Paragraph 50, eingefügt:

„9a. Abschnitt: Videoüberwachung

Paragraph 50 a,

Allgemeines

Paragraph 50 b,

Besondere Protokollierungs- und Löschungspflicht

Paragraph 50 c,

Meldepflicht und Registrierungsverfahren

Paragraph 50 d,

Information durch Kennzeichnung

Paragraph 50 e,

Auskunftsrecht“

Novellierungsanordnung 6, Paragraph 4, Absatz eins, Ziffer 4, lautet:

  1. Ziffer 4
    Auftraggeber: natürliche oder juristische Personen, Personengemeinschaften oder Organe einer Gebietskörperschaft beziehungsweise die Geschäftsapparate solcher Organe, wenn sie allein oder gemeinsam mit anderen die Entscheidung getroffen haben, Daten zu verwenden (Ziffer 8,), unabhängig davon, ob sie die Daten selbst verwenden (Ziffer 8,) oder damit einen Dienstleister (Ziffer 5,) beauftragen. Sie gelten auch dann als Auftraggeber, wenn der mit der Herstellung eines Werkes beauftragte Dienstleister (Ziffer 5,) die Entscheidung trifft, zu diesem Zweck Daten zu verwenden (Ziffer 8,), es sei denn dies wurde ihm ausdrücklich untersagt oder der Beauftragte hat auf Grund von Rechtsvorschriften oder Verhaltensregeln über die Verwendung eigenverantwortlich zu entscheiden;“

Novellierungsanordnung 7, Paragraph 4, Absatz eins, Ziffer 5, lautet:

  1. Ziffer 5
    Dienstleister: natürliche oder juristische Personen, Personengemeinschaften oder Organe einer Gebietskörperschaft beziehungsweise die Geschäftsapparate solcher Organe, wenn sie Daten nur zur Herstellung eines ihnen aufgetragenen Werkes verwenden (Ziffer 8,);“

Novellierungsanordnung 8, In Paragraph 4, Absatz eins, Ziffer 7, entfällt der Klammerausdruck „(früher „Datenverarbeitung“)“.

Novellierungsanordnung 9, Paragraph 4, Absatz eins, Ziffer 8, lautet:

  1. Ziffer 8
    Verwenden von Daten: jede Art der Handhabung von Daten, also sowohl das Verarbeiten (Ziffer 9,) als auch das Übermitteln (Ziffer 12,) von Daten;“

Novellierungsanordnung 10, Paragraph 4, Absatz eins, Ziffer 9, lautet:

  1. Ziffer 9
    Verarbeiten von Daten: das Ermitteln, Erfassen, Speichern, Aufbewahren, Ordnen, Vergleichen, Verändern, Verknüpfen, Vervielfältigen, Abfragen, Ausgeben, Benützen, Überlassen (Ziffer 11,), Sperren, Löschen, Vernichten oder jede andere Art der Handhabung von Daten mit Ausnahme des Übermittelns (Ziffer 12,) von Daten;“

Novellierungsanordnung 11, Paragraph 4, Absatz eins, Ziffer 10, entfällt.

Novellierungsanordnung 12, Paragraph 4, Absatz eins, Ziffer 11, lautet:

  1. Ziffer 11
    Überlassen von Daten: die Weitergabe von Daten zwischen Auftraggeber und Dienstleister im Rahmen des Auftragsverhältnisses (Ziffer 5,);“

Novellierungsanordnung 13, Paragraph 4, Absatz eins, Ziffer 12, lautet:

  1. Ziffer 12
    Übermitteln von Daten: die Weitergabe von Daten an andere Empfänger als den Betroffenen, den Auftraggeber oder einen Dienstleister, insbesondere auch das Veröffentlichen von Daten; darüber hinaus auch die Verwendung von Daten für ein anderes Aufgabengebiet des Auftraggebers;“

Novellierungsanordnung 14, In Paragraph 8, Absatz eins, wird die Wortfolge „Gemäß Paragraph eins, Absatz eins, bestehende schutzwürdige Geheimhaltungsinteressen“ durch die Wortfolge „Schutzwürdige Geheimhaltungsinteressen“ ersetzt.

Novellierungsanordnung 15, In Paragraph 8, Absatz 2, zweiter Satz wird das Wort „solcher“ durch die Wortfolge „zulässigerweise veröffentlichter“ ersetzt.

Novellierungsanordnung 16, . In Paragraph 8, Absatz 4, wird der Punkt am Ende der Ziffer 3, durch das Wort „oder“ ersetzt und danach die folgende Ziffer 4, angefügt:

  1. Ziffer 4
    die Datenweitergabe zum Zweck der Erstattung einer Anzeige an eine zur Verfolgung der angezeigten strafbaren Handlungen (Unterlassungen) zuständige Behörde erfolgt.“

Novellierungsanordnung 17, In Paragraph 12, Absatz eins, erster Satz wird die Wortfolge „Mitgliedstaaten der Europäischen Union“ durch die Wortfolge „Vertragsstaaten des Europäischen Wirtschaftsraumes“ ersetzt.

Novellierungsanordnung 18, Paragraph 13, Absatz 2, Ziffer 2, letzter Satz lautet:

„Hiefür können insbesondere auch vertragliche Zusicherungen des Empfängers sowie einseitige Zusagen des Antragstellers (Paragraph 19, Absatz 2,) im Genehmigungsantrag über die näheren Umstände der Datenverwendung im Ausland von Bedeutung sein. Einseitige Zusagen des Antragstellers werden für diesen mit der Registrierung durch die Datenschutzkommission verbindlich.“

Novellierungsanordnung 19, Paragraph 13, Absatz 3, entfällt. Die bisherigen Absätze 4 bis 7 erhalten die Absatzbezeichnungen 3 bis 6.

Novellierungsanordnung 20, Paragraph 16, Absatz eins, lautet:

  1. Absatz einsDie Datenschutzkommission hat ein Register der Auftraggeber mit den von ihnen betriebenen Datenanwendungen zum Zweck der Information der Betroffenen zu führen.“

Novellierungsanordnung 21, Der letzte Satz von Paragraph 16, Absatz 3, entfällt.

Novellierungsanordnung 22, Paragraph 17, Absatz eins, lautet:

  1. Absatz einsJeder Auftraggeber hat, soweit in den Absatz 2 und 3 nicht anderes bestimmt ist, vor Aufnahme einer Datenanwendung eine Meldung an die Datenschutzkommission mit dem in Paragraph 19, festgelegten Inhalt zum Zweck der Registrierung im Datenverarbeitungsregister zu erstatten. Diese Meldepflicht gilt auch für Umstände, die nachträglich die Unrichtigkeit und Unvollständigkeit einer Meldung bewirken (Änderungsmeldung). Für manuelle Dateien besteht eine Meldepflicht nur, soweit die Inhalte zumindest einen der Tatbestände des Paragraph 18, Absatz 2, Ziffer eins bis 3 erfüllen.“

Novellierungsanordnung 23, Nach Paragraph 17, Absatz eins, wird der folgende Absatz eins a, eingefügt:

  1. Absatz eins aDie Meldung ist in elektronischer Form im Wege der vom Bundeskanzler bereit zu stellenden Internetanwendung einzubringen. Die Identifizierung und Authentifizierung kann insbesondere durch die Bürgerkarte (Paragraph 2, Ziffer 10, des E-Government-Gesetzes, Bundesgesetzblatt Teil eins, Nr. 10 aus 2004,) erfolgen. Nähere Bestimmungen über die Identifizierung und Authentifizierung sind in die gemäß Paragraph 16, Absatz 3, zu erlassende Verordnung aufzunehmen. Eine Meldung in Form von E-Mail oder in nicht-elektronischer Form ist für manuelle Dateien sowie bei einem längeren technischen Ausfall der Internetanwendung zulässig.“

Novellierungsanordnung 24, Nach Paragraph 19, Absatz eins, Ziffer 3, wird folgende Ziffer 3 a, eingefügt:

  1. Ziffer 3 a
    die Erklärung, ob die Datenanwendung einen oder mehrere der in Paragraph 18, Absatz 2, Ziffer eins bis 4 oder Paragraph 50 c, Absatz eins, zweiter Satz genannten Tatbestände für die Vorabkontrollpflicht erfüllt, und“

Novellierungsanordnung 25, Die bisherigen Absatz 2 und 3 des Paragraph 19, werden zu Absatz 3 und 4. Folgender Absatz 2, wird in Paragraph 19, eingefügt:

  1. Absatz 2Der Auftrageber kann bei Einbringung der Meldung oder danach bis zum Abschluss des Registrierungsverfahrens zusagen, dass er sich beim Betrieb der Datenanwendung bestimmten Auflagen oder Bedingungen unterwerfen oder die Datenanwendung nur befristet betreiben wird. Eine derartige Zusage wird für den Auftraggeber mit der Registrierung durch die Datenschutzkommission rechtsverbindlich. Eine Registrierung darf nur erfolgen, wenn die zugesagte Auflage, Bedingung oder Befristung derart bestimmt ist, dass sie auch von der Datenschutzkommission nach Paragraph 21, Absatz 2, ausgesprochen werden könnte.“

Novellierungsanordnung 26, Die Paragraphen 20 bis 22 samt Überschriften lauten:

„Prüfungs- und Verbesserungsverfahren

Paragraph 20,

  1. Absatz einsMeldungen von Datenanwendungen, die nach Angabe des Auftraggebers nicht einen der Tatbestände des Paragraph 18, Absatz 2, Ziffer eins bis 4 erfüllen, sind nur automationsunterstützt auf ihre Vollständigkeit und Plausibilität zu prüfen. Ist demnach die Meldung nicht fehlerhaft, so ist sie sofort zu registrieren.
  2. Absatz 2Wird bei der automationsunterstützten Prüfung ein Fehler der Meldung festgestellt, so ist dem Auftraggeber die Möglichkeit zur Verbesserung einzuräumen. Gleichzeitig ist er darauf hinzuweisen, dass die Meldung als nicht eingebracht gilt, wenn keine Verbesserung erfolgt oder er auf der Einbringung der unverbesserten Meldung besteht. Im letztgenannten Fall kann der Einbringer die Meldung schriftlich unter Anschluss der ausgedruckten Fehlermeldung der Datenschutzkommission übermitteln, welche die Meldung auf Mangelhaftigkeit im Sinn des Paragraph 19, Absatz 4, zu prüfen hat.
  3. Absatz 3Meldungen, die der Auftraggeber als vorabkontrollpflichtig bezeichnet hat oder von diesem zulässigerweise nicht im Wege der Internetanwendung (Paragraph 17, Absatz eins a,) eingebracht wurden, sind auf Mangelhaftigkeit im Sinn des Paragraph 19, Absatz 4, zu prüfen.
  4. Absatz 4Ergibt die Prüfung nach Paragraph 19, Absatz 4, eine Mangelhaftigkeit der Meldung, so ist dem Auftraggeber innerhalb von zwei Monaten nach Einlangen der Meldung die Verbesserung unter Setzung einer angemessenen Frist aufzutragen. Im Verbesserungsauftrag ist auf die Rechtsfolgen einer Nichtbefolgung nach Absatz 5, hinzuweisen.
  5. Absatz 5Wird dem Verbesserungsauftrag nicht entsprochen, ist die Registrierung der Meldung durch eine schriftliche Mitteilung abzulehnen. In die Mitteilung sind aufzunehmen:
    1. Ziffer eins
      die Punkte, in denen der Verbesserungsauftrag nicht erfüllt wurde und
    2. Ziffer 2
      der Hinweis, dass innerhalb von zwei Wochen ab Zustellung bei der Datenschutzkommission ein Antrag gestellt werden kann, über die Ablehnung mit Bescheid abzusprechen.
    Nach Absendung der Mitteilung erstattete Verbesserungen sind nicht zu berücksichtigen.

Registrierung

Paragraph 21,

  1. Absatz einsMeldungen gemäß Paragraph 19, sind in das Datenverarbeitungsregister einzutragen, wenn
    1. Ziffer eins
      das Prüfungsverfahren nach Paragraph 20, Absatz eins, keinen Fehler ergeben hat oder
    2. Ziffer 2
      das Prüfungsverfahren nach Paragraph 20, Absatz 2 und 3 keine Mangelhaftigkeit der Meldung ergeben hat oder
    3. Ziffer 3
      nach Einlangen einer auf Mangelhaftigkeit zu prüfenden Meldung bei der Datenschutzkommission zwei Monate verstrichen sind, ohne dass ein Verbesserungsauftrag gemäß Paragraph 20, Absatz 4, erteilt wurde oder
    4. Ziffer 4
      der Auftraggeber die aufgetragenen Verbesserungen (Paragraph 20, Absatz 2 und 4) vorgenommen hat.
    Die in der Meldung enthaltenen Angaben über Datensicherheitsmaßnahmen sind im Register nicht ersichtlich zu machen.
  2. Absatz 2Bei Datenanwendungen, die gemäß Paragraph 18, der Vorabkontrolle unterliegen, können auf Grund der Ergebnisse des Prüfungsverfahrens dem Auftraggeber Auflagen, Bedingungen oder Befristungen für die Vornahme der Datenanwendung durch Bescheid erteilt werden, soweit dies zur Wahrung der durch dieses Bundesgesetz geschützten Interessen der Betroffenen notwendig ist.
  3. Absatz 3Der Auftraggeber ist von der Durchführung und vom Inhalt der Registrierung in geeigneter Weise zu verständigen.
  4. Absatz 4Jedem Auftraggeber ist bei der erstmaligen Registrierung eine Registernummer zuzuteilen.
  5. Absatz 5Hat die automationsunterstützte Prüfung nach Paragraph 20, Absatz eins, keine Fehlerhaftigkeit der Meldung ergeben, so ist in die Registrierung ein Vermerk aufzunehmen, dass der Meldungsinhalt nur automationsunterstützt geprüft wurde.

Richtigstellung des Registers und Rechtsnachfolge

Paragraph 22,

  1. Absatz einsStreichungen aus dem Register und sonstige Änderungen des Registers sind auf Grund einer Änderungsmeldung des registrierten Auftraggebers oder von Amts wegen in den Fällen des Absatz 2,, des Paragraph 22 a, Absatz 2 und des Paragraph 30, Absatz 6 a, vorzunehmen. Derartige Änderungen sind für die Dauer von sieben Jahren ersichtlich zu machen.
  2. Absatz 2Gelangen der Datenschutzkommission aus amtlichen Verlautbarungen Änderungen in der Bezeichnung oder der Anschrift des Auftraggebers zur Kenntnis, so sind die Eintragungen von Amts wegen zu berichtigen. Ergibt sich aus einer amtlichen Verlautbarung der Wegfall der Rechtsgrundlage des Auftraggebers, ist dieser von Amts wegen aus dem Register zu streichen. Außerdem ist eine registrierte Datenanwendung zu streichen, wenn eine Befristung des Betriebes (Paragraph 19, Absatz 2,, Paragraph 21, Absatz 2,) abgelaufen ist oder der Datenschutzkommission zur Kenntnis gelangt, dass die Datenanwendung dauerhaft nicht mehr betrieben wird.
  3. Absatz 3Berichtigungen oder Streichungen nach Absatz 2, sind ohne weiteres Ermittlungsverfahren durch Mandatsbescheid (Paragraph 38,) zu verfügen.
  4. Absatz 4Der Rechtsnachfolger eines registrierten Auftraggebers kann einzelne oder alle registrierten Meldungen des Rechtsvorgängers übernehmen, wenn er innerhalb von sechs Monaten nach Wirksamkeit der Rechtsnachfolge eine entsprechend glaubhaft gemachte Erklärung gegenüber der Datenschutzkommission abgibt. Dem Rechtsnachfolger kann auf Antrag auch die Registernummer des Rechtsvorgängers übertragen werden, wenn der Rechtsvorgänger jegliche Verarbeitung personenbezogener Daten in Auftraggebereigenschaft eingestellt hat.“

Novellierungsanordnung 27, Nach Paragraph 22, wird der folgende Paragraph 22 a, samt Überschrift eingefügt:

„Verfahren zur Überprüfung der Erfüllung der Meldepflicht

Paragraph 22 a,

  1. Absatz einsDie Datenschutzkommission kann jederzeit die Erfüllung der Meldepflicht durch einen Auftraggeber prüfen. Dies gilt sowohl für die Mangelhaftigkeit einer registrierten Meldung im Sinn des Paragraph 19, Absatz 4, als auch für die rechtswidrige Unterlassung von Meldungen.
  2. Absatz 2Bei Vorliegen des Verdachtes der Nichterfüllung der Meldepflicht infolge Mangelhaftigkeit einer registrierten Meldung (Absatz eins,) oder Unterlassung der Meldung, die über die Fälle des Paragraph 22, Absatz 2, hinausgeht, ist ein Verfahren zur Berichtigung des Datenverarbeitungsregisters durchzuführen. Das Verfahren wird durch begründete Verfahrensanordnung eingeleitet, die dem meldepflichtigen Auftraggeber mit einem Auftrag zur Verbesserung (Paragraph 20, Absatz 4,) oder einer Aufforderung zur Nachmeldung (Paragraph 17, Absatz eins,) innerhalb gesetzter Frist zuzustellen ist.
  3. Absatz 3Wird einem im Verfahren nach Absatz 2, erteilten Verbesserungsauftrag nicht entsprochen, so ist die Streichung der Meldung mit Bescheid der Datenschutzkommission zu verfügen. Die Streichung kann sich, wenn dies technisch möglich, im Hinblick auf den Zweck der Datenanwendung sinnvoll und zur Herstellung des rechtmäßigen Zustandes ausreichend ist, auch nur auf Teile der Meldung beschränken.
  4. Absatz 4Wird einer im Verfahren nach Absatz 2, erteilten Aufforderung zur Nachmeldung nicht entsprochen und die Unterlassung einer Meldung entgegen Paragraph 17, Absatz eins, erwiesen, so ist mit Bescheid der Datenschutzkommission der weitere Betrieb der Datenanwendung, soweit er vom Registerstand abweicht, zu untersagen und gleichzeitig Anzeige nach Paragraph 52, Absatz 2, Ziffer eins, an die zuständige Behörde zu erstatten.
  5. Absatz 5Ergibt das Verfahren nach Absatz 2, alleine die Unangemessenheit oder die Nichteinhaltung von nach Paragraph 19, Absatz eins, Ziffer 7, erklärten Datensicherheitsmaßnahmen, so ist dies mit Bescheid festzustellen und gleichzeitig eine angemessene Frist zur Herstellung ausreichender Datensicherheit zu setzen. Der Auftraggeber hat innerhalb dieser Frist der Datenschutzkommission die getroffenen Maßnahmen mitzuteilen. Sind diese nicht ausreichend, so ist die Streichung der Datenanwendung zu verfügen.
  6. Absatz 6Die Einleitung und der Stand eines Berichtigungsverfahrens nach Absatz 2, ist bei registrierten Meldungen im Datenverarbeitungsregister bis zur Einstellung oder bis zur Herstellung eines rechtmäßigen Zustandes durch Maßnahmen nach den Absatz 3 bis 6 geeignet anzumerken.“

Novellierungsanordnung 28, Nach Paragraph 24, Absatz 2, wird folgender Absatz 2 a, eingefügt:

  1. Absatz 2 aWird dem Auftraggeber bekannt, dass Daten aus einer seiner Datenanwendungen systematisch und schwerwiegend unrechtmäßig verwendet wurden und den Betroffenen Schaden droht, hat er darüber unverzüglich die Betroffenen in geeigneter Form zu informieren. Diese Verpflichtung besteht nicht, wenn die Information angesichts der Drohung eines nur geringfügigen Schadens der Betroffenen einerseits oder der Kosten der Information aller Betroffenen andererseits einen unverhältnismäßigen Aufwand erfordert.“

Novellierungsanordnung 28a, In Paragraph 24, Absatz 4, wird nach dem Wort „Informationspflicht“ die Wortfolge „nach Absatz eins “, eingefügt.

Novellierungsanordnung 29, Paragraph 26, Absatz eins, lautet:

  1. Absatz einsEin Auftraggeber hat jeder Person oder Personengemeinschaft, die dies schriftlich verlangt und ihre Identität in geeigneter Form nachweist, Auskunft über die zu dieser Person oder Personengemeinschaft verarbeiteten Daten zu geben. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen eines Betroffenen sind auch Namen und Adressen von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Wenn zur Person des Auskunftswerbers keine Daten vorhanden sind, genügt die Bekanntgabe dieses Umstandes (Negativauskunft). Mit Zustimmung des Auskunftswerbers kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.“

Novellierungsanordnung 30, In Paragraph 26, Absatz 2 bis 7 wird jeweils das Wort „Betroffener“, gleich in welcher grammatikalischen Form, durch das Wort „Auskunftswerber“ in der richtigen grammatikalischen Form ersetzt.

Novellierungsanordnung 31, Am Ende von Paragraph 26, Absatz 7, wird folgender Satz angefügt:

„Diese Frist gilt nicht, wenn einem Löschungsantrag des Auskunftswerbers nach Paragraph 27, Absatz eins, Ziffer 2, oder Paragraph 28, zu entsprechen ist.“

Novellierungsanordnung 32, Paragraph 26, Absatz 8, lautet:

  1. Absatz 8In dem Umfang, in dem eine Datenanwendung für eine Person oder Personengemeinschaft hinsichtlich der zu ihr verarbeiteten Daten von Gesetzes wegen einsehbar ist, hat diese das Recht auf Auskunft nach Maßgabe der das Einsichtsrecht vorsehenden Bestimmungen. Für das Verfahren der Einsichtnahme (einschließlich deren Verweigerung) gelten die näheren Regelungen des Gesetzes, das das Einsichtsrecht vorsieht. In Absatz eins, genannte Bestandteile einer Auskunft, die vom Einsichtsrecht nicht umfasst sind, können dennoch nach diesem Bundesgesetz geltend gemacht werden.“

Novellierungsanordnung 33, Paragraph 26, Absatz 10, lautet:

  1. Absatz 10Ergibt sich eine Auftraggeberstellung auf Grund von Rechtsvorschriften, obwohl die Datenverarbeitung für Zwecke der Auftragserfüllung für einen Dritten erfolgt (Paragraph 4, Absatz eins, Ziffer 4, letzter Satz), kann der Auskunftswerber sein Auskunftsbegehren zunächst auch an denjenigen richten, der die Herstellung des Werkes aufgetragen hat. Dieser hat dem Auskunftswerber, soweit ihm dies nicht ohnehin bekannt ist, binnen zwei Wochen unentgeltlich Namen und Adresse des tatsächlichen Auftraggebers mitzuteilen, damit der Auskunftswerber sein Auskunftsrecht gemäß Absatz eins, gegen diesen geltend machen kann. Wird ein Auskunftsbegehren an einen Dienstleister gerichtet und lässt dieses erkennen, dass der Auskunftswerber ihn irrtümlich für den Auftraggeber der von ihm betriebenen Datenanwendung hält, hat der Dienstleister das Auskunftsbegehren unverzüglich an den Auftraggeber weiterzuleiten und dem Auskunftswerber mitzuteilen, dass in seinem Auftrag keine Daten verwendet werden. Der Auftraggeber hat innerhalb von acht Wochen ab Einlangen des Auskunftsbegehrens beim Dienstleister dem Auskunftswerber Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. In jenen Bereichen der Vollziehung, die mit der Wahrnehmung der in Absatz 2, Ziffer eins bis 5 bezeichneten Aufgaben betraut sind, ist, soweit dies zum Schutz jener öffentlichen Interessen notwendig ist, von einer Auskunftserteilung abzusehen. Wird jedoch in weiterer Folge das Ersuchen direkt an den Auftraggeber gestellt, so hat dieser nach Absatz 5, vorzugehen. Für Betreiber von Informationsverbundsystemen gilt jedoch ausschließlich Paragraph 50, Absatz eins Punkt “,

Novellierungsanordnung 34, In Paragraph 28, Absatz 2, wird das Wort „Datei“ durch„Datenanwendung“ersetzt.

Novellierungsanordnung 35, Nach Paragraph 28, Absatz 2, wird der folgende Absatz 3, angefügt:

  1. Absatz 3Paragraph 27, Absatz 4 bis 6 gelten auch in den Fällen der Absatz eins und 2.“

Novellierungsanordnung 36, Nach Paragraph 30, Absatz 2, wird der folgende Absatz 2 a, eingefügt:

  1. Absatz 2 aSofern sich eine zulässige Eingabe nach Absatz eins, oder ein begründeter Verdacht nach Absatz 2, auf eine meldepflichtige Datenanwendung (Datei) bezieht, kann die Datenschutzkommission die Erfüllung der Meldepflicht überprüfen und erforderlichenfalls nach den Paragraphen 22 und 22a vorgehen.“

Novellierungsanordnung 37, Paragraph 30, Absatz 5, lautet:

  1. Absatz 5Informationen, die der Datenschutzkommission oder ihren Beauftragten bei der Kontrolltätigkeit zukommen, dürfen ausschließlich für die Kontrolle im Rahmen der Vollziehung datenschutzrechtlicher Vorschriften verwendet werden. Dazu zählt auch die Verwendung für Zwecke der gerichtlichen Rechtsverfolgung durch den Einschreiter oder die Datenschutzkommission nach Paragraph 32, Im Übrigen besteht die Pflicht zur Verschwiegenheit auch gegenüber Gerichten und Verwaltungsbehörden, insbesondere Abgabenbehörden; dies allerdings mit der Maßgabe, dass dann, wenn die Einschau den Verdacht einer strafbaren Handlung nach den Paragraphen 51, oder 52 dieses Bundesgesetzes, einer strafbaren Handlung nach den Paragraphen 118 a,, 119, 119a, 126a bis 126c, 148a oder Paragraph 278 a, des Strafgesetzbuches, Bundesgesetzblatt Nr. 60 aus 1974,, oder eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt, ergibt, Anzeige zu erstatten ist und hinsichtlich solcher Verbrechen und Vergehen auch Ersuchen nach Paragraph 76, der Strafprozessordnung, Bundesgesetzblatt Nr. 631 aus 1975,, zu entsprechen ist.“

Novellierungsanordnung 38, Paragraph 30, Absatz 6, lautet:

  1. Absatz 6Zur Herstellung des rechtmäßigen Zustandes kann die Datenschutzkommission, sofern nicht Maßnahmen nach den Paragraphen 22 und 22a oder nach Absatz 6 a, zu treffen sind, Empfehlungen aussprechen, für deren Befolgung erforderlichenfalls eine angemessene Frist zu setzen ist. Wird einer solchen Empfehlung innerhalb der gesetzten Frist nicht entsprochen, so kann die Datenschutzkommission je nach der Art des Verstoßes von Amts wegen insbesondere
    1. Ziffer eins
      Strafanzeige nach Paragraphen 51, oder 52 erstatten, oder
    2. Ziffer 2
      bei schwerwiegenden Verstößen durch Auftraggeber des privaten Bereichs Klage vor dem zuständigen Gericht gemäß Paragraph 32, Absatz 5, erheben, oder
    3. Ziffer 3
      bei Verstößen von Auftraggebern, die Organe einer Gebietskörperschaft sind, das zuständige oberste Organ befassen. Dieses Organ hat innerhalb einer angemessenen, jedoch zwölf Wochen nicht überschreitenden Frist entweder dafür Sorge zu tragen, dass der Empfehlung der Datenschutzkommission entsprochen wird, oder der Datenschutzkommission mitzuteilen, warum der Empfehlung nicht entsprochen wurde. Die Begründung darf von der Datenschutzkommission der Öffentlichkeit in geeigneter Weise zur Kenntnis gebracht werden, soweit dem nicht die Amtsverschwiegenheit entgegensteht.“

Novellierungsanordnung 39, Nach Paragraph 30, Absatz 6, wird der folgende Absatz 6 a, eingefügt:

  1. Absatz 6 aLiegt durch den Betrieb einer Datenanwendung eine wesentliche unmittelbare Gefährdung schutzwürdiger Geheimhaltungsinteressen der Betroffenen (Gefahr im Verzug) vor, so kann die Datenschutzkommission die Weiterführung der Datenanwendung mit Bescheid gemäß Paragraph 57, Absatz eins, des Allgemeinen Verwaltungsverfahrensgesetzes 1991 – AVG, Bundesgesetzblatt Nr. 51, untersagen. Wenn dies technisch möglich, im Hinblick auf den Zweck der Datenanwendung sinnvoll und zur Beseitigung der Gefährdung ausreichend scheint, kann die Weiterführung auch nur teilweise untersagt werden. Wird einer Untersagung nicht sogleich Folge geleistet, ist Strafanzeige nach Paragraph 52, Absatz eins, Ziffer 3, zu erstatten. Nach Rechtskraft einer Untersagung nach diesem Absatz ist ein Berichtigungsverfahren nach Paragraph 22 a, Absatz 2, formlos einzustellen. Die Datenanwendung ist im Umfang der Untersagung aus dem Register zu streichen.“

Novellierungsanordnung 40, Paragraph 31, samt Überschrift lautet:

„Beschwerde an die Datenschutzkommission

Paragraph 31,

  1. Absatz einsDie Datenschutzkommission erkennt über Beschwerden von Personen oder Personengemeinschaften, die behaupten, in ihrem Recht auf Auskunft nach Paragraph 26, oder nach Paragraph 50, Absatz eins, dritter Satz oder in ihrem Recht auf Darlegung einer automatisierten Einzelentscheidung nach Paragraph 49, Absatz 3, verletzt zu sein, soweit sich das Auskunftsverlangen (der Antrag auf Darlegung oder Bekanntgabe) nicht auf die Verwendung von Daten für Akte im Dienste der Gesetzgebung oder der Gerichtsbarkeit bezieht.
  2. Absatz 2Die Datenschutzkommission erkennt weiters über Beschwerden von Personen oder Personengemeinschaften, die behaupten, in ihrem Recht auf Geheimhaltung (Paragraph eins, Absatz eins,) oder in ihrem Recht auf Richtigstellung oder auf Löschung (Paragraphen 27 und 28) verletzt zu sein, sofern der Anspruch nicht nach Paragraph 32, Absatz eins, vor einem Gericht geltend zu machen ist oder sich gegen ein Organ im Dienste der Gesetzgebung oder der Gerichtsbarkeit richtet.
  3. Absatz 3Die Beschwerde hat zu enthalten:
    1. Ziffer eins
      die Bezeichnung des als verletzt erachteten Rechts,
    2. Ziffer 2
      soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),
    3. Ziffer 3
      den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,
    4. Ziffer 4
      die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
    5. Ziffer 5
      das Begehren, die behauptete Rechtsverletzung festzustellen und
    6. Ziffer 6
      die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.
  4. Absatz 4Einer Beschwerde nach Absatz eins, sind außerdem das zu Grunde liegende Auskunftsverlangen (der Antrag auf Darlegung oder Bekanntgabe) und eine allfällige Antwort des Beschwerdegegners anzuschließen. Einer Beschwerde nach Absatz 2, sind außerdem der zu Grunde liegende Antrag auf Richtigstellung oder Löschung und eine allfällige Antwort des Beschwerdegegners anzuschließen.
  5. Absatz 5Die der Datenschutzkommission durch Paragraph 30, Absatz 2 bis 4 eingeräumten Kontrollbefugnisse kommen ihr auch in Beschwerdeverfahren nach Absatz eins und 2 gegenüber dem Beschwerdegegner zu. Ebenso besteht auch hinsichtlich dieser Verfahren die Verschwiegenheitspflicht nach Paragraph 30, Absatz 5,
  6. Absatz 6Im Fall der Einbringung einer zulässigen Beschwerde nach Absatz eins, oder 2 ist ein auf Grund einer Eingabe nach Paragraph 30, Absatz eins, über denselben Gegenstand eingeleitetes Kontrollverfahren durch eine entsprechende Information (Paragraph 30, Absatz 7,) zu beenden. Die Datenschutzkommission kann aber dennoch auch während der Anhängigkeit des Beschwerdeverfahrens von Amts wegen nach Paragraph 30, Absatz 2, vorgehen, wenn ein begründeter Verdacht einer über den Beschwerdefall hinausgehenden Verletzung datenschutzrechtlicher Verpflichtungen besteht. Paragraph 30, Absatz 3, bleibt unberührt.
  7. Absatz 7Soweit sich eine Beschwerde nach Absatz eins, oder 2 als berechtigt erweist, ist ihr Folge zu geben und die Rechtsverletzung festzustellen. Ist eine festgestellte Verletzung im Recht auf Auskunft (Absatz eins,) einem Auftraggeber des privaten Bereichs zuzurechnen, so ist diesem auf Antrag zusätzlich die – allenfalls erneute – Reaktion auf das Auskunftsbegehren nach Paragraph 26, Absatz 4,, 5 oder 10 in jenem Umfang aufzutragen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.
  8. Absatz 8Ein Beschwerdegegner, gegen den wegen Verletzung in Rechten nach den Paragraphen 26 bis 28 Beschwerde erhoben wurde, kann bis zum Abschluss des Verfahrens vor der Datenschutzkommission durch Reaktionen gegenüber dem Beschwerdeführer gemäß Paragraph 26, Absatz 4, oder Paragraph 27, Absatz 4, die behauptete Rechtsverletzung nachträglich beseitigen. Erscheint der Datenschutzkommission durch derartige Reaktionen des Beschwerdegegners die Beschwerde als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzkommission das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (Paragraph 13, Absatz 8, AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.“

Novellierungsanordnung 41, Nach Paragraph 31, wird der folgende Paragraph 31 a, samt Überschrift eingefügt:

„Begleitende Maßnahmen im Beschwerdeverfahren

Paragraph 31 a,

  1. Absatz einsSofern sich eine zulässige Beschwerde nach Paragraph 31, Absatz 2, auf eine meldepflichtige Datenanwendung (Datei) bezieht, kann die Datenschutzkommission die Erfüllung der Meldepflicht überprüfen und erforderlichenfalls nach den Paragraphen 22 und 22a vorgehen.
  2. Absatz 2Macht der Beschwerdeführer im Rahmen einer Beschwerde nach Paragraph 31, Absatz 2, eine wesentliche Beeinträchtigung seiner schutzwürdigen Geheimhaltungsinteressen durch die Verwendung seiner Daten glaubhaft, so kann die Datenschutzkommission nach Paragraph 30, Absatz 6 a, vorgehen.
  3. Absatz 3Ist in einem Verfahren nach Paragraph 31, Absatz 2, die Richtigkeit von Daten strittig, so ist vom Beschwerdegegner bis zum Abschluss des Verfahrens ein Bestreitungsvermerk anzubringen. Erforderlichenfalls hat dies die Datenschutzkommission auf Antrag des Beschwerdeführers mit Mandatsbescheid anzuordnen.
  4. Absatz 4Beruft sich ein Auftraggeber des öffentlichen Bereichs bei einer Beschwerde wegen Verletzung des Auskunfts-, Richtigstellungs- oder Löschungsrechts gegenüber der Datenschutzkommission auf die Paragraphen 26, Absatz 5, oder 27 Absatz 5,, so hat diese nach Überprüfung der Notwendigkeit der Geheimhaltung die geschützten öffentlichen Interessen in ihrem Verfahren zu wahren. Kommt sie zur Auffassung, dass die Geheimhaltung von verarbeiteten Daten gegenüber dem Betroffenen nicht gerechtfertigt war, ist die Offenlegung der Daten mit Bescheid aufzutragen. Gegen diese Entscheidung der Datenschutzkommission kann die belangte Behörde Beschwerde an den Verwaltungsgerichtshof erheben. Wurde keine derartige Beschwerde eingebracht und wird dem Bescheid der Datenschutzkommission binnen acht Wochen nicht entsprochen, so hat die Datenschutzkommission die Offenlegung der Daten gegenüber dem Betroffenen selbst vorzunehmen und ihm die verlangte Auskunft zu erteilen oder ihm mitzuteilen, welche Daten bereits berichtigt oder gelöscht wurden. Die ersten beiden Sätze gelten in Verfahren nach Paragraph 30, sinngemäß.“

Novellierungsanordnung 42, Paragraph 32, Absatz eins, lautet:

  1. Absatz einsAnsprüche wegen Verletzung der Rechte einer Person oder Personengemeinschaft auf Geheimhaltung, auf Richtigstellung oder auf Löschung gegen natürliche Personen, Personengemeinschaften oder Rechtsträger, die in Formen des Privatrechts eingerichtet sind, sind, soweit diese Rechtsträger bei der behaupteten Verletzung nicht in Vollziehung der Gesetze tätig geworden sind, auf dem Zivilrechtsweg geltend zu machen.“

Novellierungsanordnung 43, Paragraph 32, Absatz 4, lautet:

  1. Absatz 4Für Klagen und Anträge auf Erlassung einer einstweiligen Verfügung nach diesem Bundesgesetz ist in erster Instanz das mit der Ausübung der Gerichtsbarkeit in bürgerlichen Rechtssachen betraute Landesgericht zuständig, in dessen Sprengel der Kläger (Antragsteller) seinen gewöhnlichen Aufenthalt oder Sitz hat. Klagen (Anträge) können aber auch bei dem Landesgericht erhoben werden, in dessen Sprengel der Beklagte seinen gewöhnlichen Aufenthalt oder Sitz oder eine Niederlassung hat.“

Novellierungsanordnung 44, Paragraph 32, Absatz 6, lautet:

  1. Absatz 6Die Datenschutzkommission hat, wenn ein Einschreiter (Paragraph 30, Absatz eins,) es verlangt und es zur Wahrung der nach diesem Bundesgesetz geschützten Interessen einer größeren Zahl von natürlichen Personen geboten ist, einem Rechtsstreit auf Seiten des Einschreiters als Nebenintervenient (Paragraphen 17, ff ZPO) beizutreten.“

Novellierungsanordnung 45, Nach Paragraph 32, Absatz 6, wird folgender Absatz 7, angefügt:

  1. Absatz 7Anlässlich einer zulässigen Klage nach Absatz eins,, die sich auf eine nach Ansicht des Gerichts meldepflichtige Datenanwendung bezieht, kann das Gericht die Datenschutzkommission um Überprüfung nach den Paragraphen 22 und 22a ersuchen. Die Datenschutzkommission hat das Gericht vom Ergebnis der Überprüfung zu verständigen. Dieses ist sodann vom Gericht auch den Parteien bekannt zu geben, sofern das Verfahren noch nicht rechtskräftig beendet ist.“

Novellierungsanordnung 46, In Paragraph 34, Absatz eins, wird das Wort „abzuweisen“ durch das Wort „zurückzuweisen“ ersetzt.

Novellierungsanordnung 47, Paragraph 34, Absatz 3, lautet:

  1. Absatz 3Ist ein von der Datenschutzkommission zu prüfender Sachverhalt gemäß Paragraph 3, nach der Rechtsordnung eines anderen Vertragsstaates des Europäischen Wirtschaftsraumes zu beurteilen, so kann die Datenschutzkommission die zuständige ausländische Datenschutzkontrollstelle um Unterstützung ersuchen.“

Novellierungsanordnung 48, In Paragraph 34, Absatz 4, wird die Wortfolge „Mitgliedstaaten der Europäischen Union“ durch „Vertragsstaaten des Europäischen Wirtschaftsraumes“ ersetzt.

Novellierungsanordnung 49, In Paragraph 36, Absatz 3, wird das Wort „Bundesbeamten“ durch das Wort „Bundesbediensteten“ ersetzt.

Novellierungsanordnung 50, Nach Paragraph 36, Absatz 3, wird der folgende Absatz 3 a, eingefügt:

  1. Absatz 3 aDie Mitglieder der Datenschutzkommission üben diese Funktion neben ihnen sonst obliegenden beruflichen Tätigkeiten aus.“

Novellierungsanordnung 51, Paragraph 36, Absatz 6, werden die folgenden Sätze angefügt:

„Die Mitgliedschaft des richterlichen Mitglieds sowie des Mitglieds aus dem Kreis der rechtskundigen Bundesbediensteten endet auch, wenn diese aus ihren Dienstverhältnissen zum Bund ausscheiden, in den Ruhestand übertreten oder in den Ruhestand versetzt werden. Bei Richtern steht dem Ausscheiden eine Dienstzuteilung nach Paragraph 78, des Richter- und Staatsanwaltschaftsdienstgesetzes, Bundesgesetzblatt Nr. 305 aus 1961,, gleich. Die Mitgliedschaft der übrigen Mitglieder endet am 31. Dezember des Jahres, in dem sie das 65. Lebensjahr vollenden.“

Novellierungsanordnung 52, Paragraph 36, Absatz 9, lautet:

  1. Absatz 9Die Mitglieder und Ersatzmitglieder der Datenschutzkommission haben für die Anreise zu den Sitzungen der Datenschutzkommission sowie für in Ausübung ihrer Funktion erforderliche sonstige Dienstreisen Anspruch auf Ersatz der Reisekosten (Gebührenstufe 3) durch den Bundeskanzler nach Maßgabe der für Bundesbedienstete geltenden Rechtsvorschriften. Sie haben ferner Anspruch auf eine der Zeit und dem Arbeitsaufwand entsprechende Vergütung, die auf Antrag des Bundeskanzlers von der Bundesregierung durch Verordnung festzusetzen ist.“

Novellierungsanordnung 53, Paragraph 38, Absatz 2, wird der folgende Satz angefügt:

„Er hat das Recht, sich jederzeit über alle Gegenstände der Geschäftsführung der Datenschutzkommission beim Vorsitzenden und dem geschäftsführenden Mitglied zu unterrichten.“

Novellierungsanordnung 54, Paragraph 39, wird der folgende Absatz 5, angefügt:

  1. Absatz 5Beschlüsse der Datenschutzkommission werden vom Vorsitzenden ausgefertigt.“

Novellierungsanordnung 55, Paragraph 40, Absatz eins und 2 lauten:

  1. Absatz einsGegen Bescheide, die das geschäftsführende Mitglied der Datenschutzkommission gemäß Paragraph 22, Absatz 3,, Paragraph 30, Absatz 6 a, oder Paragraph 31 a, Absatz 3, in Verbindung mit Paragraph 38, Absatz eins, erlassen hat, ist die Vorstellung an die Datenschutzkommission gemäß Paragraph 57, Absatz 2, AVG zulässig. Eine Vorstellung gegen einen gemäß Paragraph 22, Absatz 3, ergangenen Bescheid hat aufschiebende Wirkung.
  2. Absatz 2Gegen Bescheide der Datenschutzkommission ist kein Rechtsmittel zulässig. Sie unterliegen nicht der Aufhebung oder Abänderung im Verwaltungsweg. Auftraggeber des öffentlichen Bereichs haben in Verfahren vor der Datenschutzkommission stets Parteistellung. Die Anrufung des Verwaltungsgerichtshofes durch die Parteien des Verfahrens ist zulässig. Dies gilt jedoch nicht für Auftraggeber des öffentlichen Bereichs als Beschwerdegegner im Verfahren nach Paragraph 31,, es sei denn es ist durch besondere gesetzliche Regelung die Möglichkeit einer Amtsbeschwerde (Artikel 131, Absatz 2, B-VG) vorgesehen.“

Novellierungsanordnung 56, Nach Paragraph 41, Absatz 2, Ziffer 4, wird folgende Ziffer 4 a, eingefügt:

  1. Ziffer 4 a
    hat der Datenschutzrat das Recht, von der Datenschutzkommission Auskünfte und Berichte sowie Einsicht in Unterlagen zu verlangen;“

Novellierungsanordnung 57, Paragraph 42, Absatz eins, Ziffer eins, lautet:

  1. Ziffer eins
    Vertreter der politischen Parteien: Von der im Hauptausschuss des Nationalrates am stärksten vertretenen Partei sind vier Vertreter, von der am zweitstärksten vertretenen Partei sind drei Vertreter und von jeder anderen im Hauptausschuss des Nationalrates vertretenen Partei ist ein Vertreter in den Datenschutzrat zu entsenden, wobei es allein auf die Stärke im Zeitpunkt der Entsendung ankommt. Bei Mandatsgleichheit zweier Parteien im Hauptausschuss ist die Stimmenstärke bei der letzten Wahl zum Nationalrat ausschlaggebend;“

Novellierungsanordnung 58, Paragraph 42, Absatz 5, wird der folgende Satz angefügt:

„Mitglieder nach Absatz eins, Ziffer eins, scheiden außerdem aus, sobald der Hauptausschuss nach den Paragraphen 29 und 30 des Geschäftsordnungsgesetzes 1975, Bundesgesetzblatt Nr. 410, neu gewählt wurde, und sie nicht neuerlich entsendet werden.“

Novellierungsanordnung 59, In Paragraph 46, Absatz eins, Ziffer 2, werden die Worte „der Auftraggeber“ durch das Wort „er“ ersetzt. In Paragraph 46, Absatz eins, Ziffer 3, werden die Worte „den Auftraggeber“ durch das Wort „ihn“ ersetzt.

Novellierungsanordnung 60, In Paragraph 46, Absatz 2, entfällt die Wortfolge „, die nicht öffentlich zugänglich sind,“.

Novellierungsanordnung 61, In Paragraph 46, Absatz 3, wird vor den Worten „zu erteilen“ die Wortfolge „auf Antrag des Auftraggebers der Untersuchung“ eingefügt. Das Wort „übermittelt“ wird durch das Wort „ermittelt“ und das Wort „Empfänger“ durch die Wortfolge „Auftraggeber der Untersuchung“ ersetzt.

Novellierungsanordnung 62, In Paragraph 46, wird nach Absatz 3, der folgende Absatz 3 a, eingefügt:

  1. Absatz 3 aEinem Antrag nach Absatz 3, ist jedenfalls eine vom Verfügungsbefugten über die Datenbestände, aus denen die Daten ermittelt werden sollen, oder einem sonst darüber Verfügungsbefugten unterfertigte Erklärung anzuschließen, dass er dem Auftraggeber die Datenbestände für die Untersuchung zur Verfügung stellt. Anstelle dieser Erklärung kann auch ein diese Erklärung ersetzender Exekutionstitel (Paragraph 367, Absatz eins, der Exekutionsordnung – EO, RGBl. Nr. 79/1896) vorgelegt werden.“

Novellierungsanordnung 63, In Paragraph 47, Absatz 4, wird nach der Wortfolge „Die Datenschutzkommission hat“ die Wortfolge „auf Antrag eines Auftraggebers, der Adressdaten verarbeitet,“ eingefügt.

Novellierungsanordnung 64, Paragraph 49, Absatz 3, wird der folgende Satz angefügt:

„§ 26 Absatz 2 bis 10 gilt sinngemäß.“

Novellierungsanordnung 65, Nach Paragraph 50, Absatz eins, dritter Satz wird der folgende Satz eingefügt:

„Abgesehen von der abweichenden Frist gilt Paragraph 26, Absatz 3 bis 10 sinngemäß.“

Novellierungsanordnung 66, Paragraph 50, Absatz 2, lautet:

  1. Absatz 2Durch entsprechenden Rechtsakt können auch weitere Auftraggeberpflichten, insbesondere auch die Vornahme der Meldung des Informationsverbundsystems, auf den Betreiber übertragen werden. Allein für die Übertragung der Meldepflicht ist die Vorlage von Vollmachten nach Paragraph 10, AVG nicht erforderlich. Soweit der Pflichtenübergang nicht durch Gesetz angeordnet ist, ist er gegenüber Dritten nur wirksam, wenn er – auf Grund einer entsprechenden Meldung an die Datenschutzkommission – aus der Registrierung im Datenverarbeitungsregister ersichtlich ist.“

Novellierungsanordnung 67, Nach Paragraph 50, Absatz 2, wird der folgende Absatz 2 a, eingefügt:

  1. Absatz 2 aWird ein Informationsverbundsystem auf Grund einer Meldung von zumindest zwei Auftraggebern registriert, so können Auftraggeber, die in der Folge die Teilnahme an dem Informationsverbundsystem anstreben, die Meldung im Umfang des Paragraph 19, Absatz eins, Ziffer 3 bis 7 auf einen Verweis auf den Inhalt der Meldung eines bereits registrierten Auftraggebers beschränken, wenn sie eine Teilnahme im genau gleichen Umfang anstreben.“

Novellierungsanordnung 68, Nach Paragraph 50, wird der folgende 9a. Abschnitt eingefügt:

„9a. Abschnitt
Videoüberwachung

Allgemeines

Paragraph 50 a,

  1. Absatz einsVideoüberwachung im Sinne dieses Abschnittes bezeichnet die systematische, insbesondere fortlaufende Feststellung von Ereignissen, die ein bestimmtes Objekt (überwachtes Objekt) oder eine bestimmte Person (überwachte Person) betreffen, durch technische Bildaufnahme- oder Bildübertragungsgeräte. Für derartige Überwachungen gelten die folgenden Absätze, sofern nicht durch andere Gesetze Besonderes bestimmt ist.
  2. Absatz 2Für Videoüberwachung gelten die Paragraphen 6 und 7, insbesondere der Verhältnismäßigkeitsgrundsatz (Paragraph 7, Absatz 3,). Rechtmäßige Zwecke einer Videoüberwachung, insbesondere der Auswertung und Übermittlung der dabei ermittelten Daten, sind jedoch vorbehaltlich des Absatz 5, nur der Schutz des überwachten Objekts oder der überwachten Person oder die Erfüllung rechtlicher Sorgfaltspflichten, jeweils einschließlich der Beweissicherung, im Hinblick auf Ereignisse nach Absatz eins, Persönlichkeitsrechte nach Paragraph 16, ABGB bleiben unberührt.
  3. Absatz 3Ein Betroffener ist durch eine Videoüberwachung dann nicht in seinen schutzwürdigen Geheimhaltungsinteressen (Paragraph 7, Absatz 2, Ziffer 3,) verletzt, wenn
    1. Ziffer eins
      diese im lebenswichtigen Interesse einer Person erfolgt, oder
    2. Ziffer 2
      Daten über ein Verhalten verarbeitet werden, das ohne jeden Zweifel den Schluss zulässt, dass es darauf gerichtet war, öffentlich wahrgenommen zu werden, oder
    3. Ziffer 3
      er der Verwendung seiner Daten im Rahmen der Überwachung ausdrücklich zugestimmt hat.
  4. Absatz 4Ein Betroffener ist darüber hinaus durch eine Videoüberwachung ausschließlich dann nicht in seinen schutzwürdigen Geheimhaltungsinteressen (Paragraph 7, Absatz 2, Ziffer 3,) verletzt, wenn sie nicht im Rahmen der Vollziehung hoheitlicher Aufgaben erfolgt und
    1. Ziffer eins
      bestimmte Tatsachen die Annahme rechtfertigen, das überwachte Objekt oder die überwachte Person könnte das Ziel oder der Ort eines gefährlichen Angriffs werden, oder
    2. Ziffer 2
      unmittelbar anwendbare Rechtsvorschriften des Völker- oder des Gemeinschaftsrechts, Gesetze, Verordnungen, Bescheide oder gerichtliche Entscheidungen dem Auftraggeber spezielle Sorgfaltspflichten zum Schutz des überwachten Objekts oder der überwachten Person auferlegen, oder
    3. Ziffer 3
      sich die Überwachung in einer bloßen Echtzeitwiedergabe von das überwachte Objekt/die überwachte Person betreffenden Ereignisse erschöpft, diese also weder gespeichert (aufgezeichnet) noch in sonst einer anderen Form weiterverarbeitet werden (Echtzeitüberwachung), und sie zum Zweck des Schutzes von Leib, Leben oder Eigentum des Auftraggebers erfolgt.
  5. Absatz 5Mit einer Videoüberwachung nach Absatz 4, dürfen nicht Ereignisse an Orten festgestellt werden, die zum höchstpersönlichen Lebensbereich eines Betroffenen zählen. Weiters ist die Videoüberwachung zum Zweck der Mitarbeiterkontrolle an Arbeitsstätten untersagt.
  6. Absatz 6Schutzwürdige Geheimhaltungsinteressen Betroffener sind auch dann nicht verletzt, wenn durch Videoüberwachung aufgezeichnete Daten über eine Verwendung entsprechend den Absatz 2 bis 4 hinaus in folgenden Fällen übermittelt werden:
    1. Ziffer eins
      an die zuständige Behörde oder das zuständige Gericht, weil beim Auftraggeber der begründete Verdacht entstanden ist, die Daten könnten eine von Amts wegen zu verfolgende gerichtlich strafbare Handlung dokumentieren, oder
    2. Ziffer 2
      an Sicherheitsbehörden zur Ausübung der diesen durch Paragraph 53, Absatz 5, des Sicherheitspolizeigesetzes – SPG, Bundesgesetzblatt Nr. 566 aus 1991,, eingeräumten Befugnisse,
    auch wenn sich die Handlung oder der Angriff nicht gegen das überwachte Objekt oder die überwachte Person richtet. Die Befugnisse von Behörden und Gerichten zur Durchsetzung der Herausgabe von Beweismaterial und zur Beweismittelsicherung sowie damit korrespondierende Verpflichtungen des Auftraggebers bleiben unberührt.
  7. Absatz 7Mit einer Videoüberwachung gewonnene Daten von Betroffenen dürfen nicht automationsunterstützt mit anderen Bilddaten abgeglichen und nicht nach sensiblen Daten als Auswahlkriterium durchsucht werden.

Besondere Protokollierungs- und Löschungspflicht

Paragraph 50 b,

  1. Absatz einsJeder Verwendungsvorgang einer Videoüberwachung ist zu protokollieren. Dies gilt nicht für Fälle der Echtzeitüberwachung.
  2. Absatz 2Aufgezeichnete Daten sind, sofern sie nicht aus konkretem Anlass für die Verwirklichung der zu Grunde liegenden Schutz- oder Beweissicherungszwecke oder für Zwecke nach Paragraph 50 a, Absatz 6, benötigt werden, spätestens nach 72 Stunden zu löschen. Paragraph 33, Absatz 2, AVG gilt. Eine beabsichtigte längere Aufbewahrungsdauer ist in der Meldung anzuführen und zu begründen. In diesem Fall darf die Datenschutzkommission die Videoüberwachung nur registrieren, wenn dies aus besonderen Gründen zur Zweckerreichung regelmäßig erforderlich ist.

Meldepflicht und Registrierungsverfahren

Paragraph 50 c,

  1. Absatz einsVideoüberwachungen unterliegen der Meldepflicht gemäß den Paragraphen 17, ff. Sofern der Auftraggeber nicht in der Meldung zusagt, die Videoüberwachungsdaten zu verschlüsseln und unter Hinterlegung des einzigen Schlüssels bei der Datenschutzkommission sicherzustellen, dass eine Auswertung der Videoaufzeichnungen nur im begründeten Anlassfall durch eine bestimmte Stelle stattfindet, unterliegen sie der Vorabkontrolle (Paragraph 18, Absatz 2,). Bestimmte Tatsachen im Sinn von Paragraph 50 a, Absatz 4, Ziffer eins, müssen bei Erstattung der Meldung glaubhaft gemacht werden. Soweit gemäß Paragraph 96 a, des Arbeitsverfassungsgesetzes 1974 – ArbVG, Bundesgesetzblatt Nr. 22, Betriebsvereinbarungen abzuschließen sind, sind diese im Registrierungsverfahren vorzulegen.
  2. Absatz 2Eine Videoüberwachung ist über Paragraph 17, Absatz 2 und 3 hinaus von der Meldepflicht ausgenommen
    1. Ziffer eins
      in Fällen der Echtzeitüberwachung oder
    2. Ziffer 2
      wenn eine Speicherung (Aufzeichnung) nur auf einem analogen Speichermedium erfolgt.
  3. Absatz 3Mehrere überwachte Objekte oder überwachte Personen, für deren Videoüberwachung derselbe Auftraggeber eine gesetzliche Zuständigkeit oder rechtliche Befugnis (Paragraph 7, Absatz eins,) hat, können auf Grund ihrer gleichartigen Beschaffenheit oder ihrer räumlichen Verbundenheit in einer Meldung zusammengefasst werden, wenn sich diese auf die gleiche Rechtsgrundlage stützt.

Information durch Kennzeichnung

Paragraph 50 d,

  1. Absatz einsDer Auftraggeber einer Videoüberwachung hat diese geeignet zu kennzeichnen. Aus der Kennzeichnung hat jedenfalls der Auftraggeber eindeutig hervorzugehen, es sei denn, dieser ist den Betroffenen nach den Umständen des Falles bereits bekannt. Die Kennzeichnung hat örtlich derart zu erfolgen, dass jeder potentiell Betroffene, der sich einem überwachten Objekt oder einer überwachten Person nähert, tunlichst die Möglichkeit hat, der Videoüberwachung auszuweichen.
  2. Absatz 2Keine Kennzeichnungsverpflichtung besteht bei Videoüberwachungen im Rahmen der Vollziehung hoheitlicher Aufgaben, die nach Paragraph 17, Absatz 3, von der Meldepflicht ausgenommen sind.

Auskunftsrecht

Paragraph 50 e,

  1. Absatz einsAbweichend von Paragraph 26, Absatz eins, ist dem Auskunftswerber, nachdem dieser den Zeitraum, in dem er möglicherweise von der Überwachung betroffen war, und den Ort möglichst genau benannt und seine Identität in geeigneter Form nachgewiesen hat, Auskunft über die zu seiner Person verarbeiteten Daten durch Übersendung einer Kopie der zu seiner Person verarbeiteten Daten in einem üblichen technischen Format zu gewähren. Alternativ kann der Auskunftswerber eine Einsichtnahme auf Lesegeräten des Auftraggebers verlangen, wobei ihm auch in diesem Fall die Ausfolgung einer Kopie zusteht. Die übrigen Bestandteile der Auskunft (verfügbare Informationen über die Herkunft, Empfänger oder Empfängerkreise von Übermittlungen, Zweck, Rechtsgrundlagen sowie allenfalls Dienstleister) sind auch im Fall der Überwachung schriftlich zu erteilen, wenn nicht der Auskunftswerber einer mündlichen Auskunftserteilung zustimmt.
  2. Absatz 2Paragraph 26, Absatz 2, ist mit der Maßgabe anzuwenden, dass in dem Fall, dass eine Auskunft wegen überwiegender berechtigter Interessen Dritter oder des Auftraggebers nicht in der in Absatz eins, geregelten Form erteilt werden kann, der Auskunftswerber Anspruch auf eine schriftliche Beschreibung seines von der Überwachung verarbeiteten Verhaltens oder auf eine Auskunft unter Unkenntlichmachung der anderen Personen hat.
  3. Absatz 3In Fällen der Echtzeitüberwachung ist ein Auskunftsrecht ausgeschlossen.“

Novellierungsanordnung 69, In Paragraph 51, Absatz eins, entfällt die Absatzbezeichnung „(1)“. Die Wortfolge „in der Absicht, sich einen Vermögensvorteil zu verschaffen oder einem anderen einen Nachteil zuzufügen“ wird durch die Wortfolge „mit dem Vorsatz, sich oder einen Dritten dadurch unrechtmäßig zu bereichern, oder mit der Absicht, einen anderen dadurch in seinem von Paragraph eins, Absatz eins, gewährleisteten Anspruch zu schädigen“ ersetzt.

Novellierungsanordnung 70, Paragraph 51, Absatz 2, entfällt.

Novellierungsanordnung 71, In Paragraph 52, Absatz eins, wird die Zahl „18 890“durch „25 000“ ersetzt.

Novellierungsanordnung 72, In Paragraph 52, Absatz 2, wird die Zahl „9 445“ durch „10 000“ ersetzt.

Novellierungsanordnung 73, Paragraph 52, Absatz 2, Ziffer eins bis 7 lautet:

  1. Ziffer eins
    Daten ermittelt, verarbeitet oder übermittelt, ohne seine Meldepflicht gemäß den Paragraphen 17, oder 50c erfüllt zu haben oder eine Datenanwendung auf eine von der Meldung abweichende Weise betreibt oder
  2. Ziffer 2
    Daten ins Ausland übermittelt oder überlässt, ohne die erforderliche Genehmigung der Datenschutzkommission gemäß Paragraph 13, Absatz eins, eingeholt zu haben oder
  3. Ziffer 3
    gegen gemäß Paragraph 13, Absatz 2, Ziffer 2,, Paragraph 19, oder Paragraph 50 c, Absatz eins, abgegebene Zusagen oder von der Datenschutzkommission gemäß Paragraph 13, Absatz eins, oder Paragraph 21, Absatz 2, erteilte Auflagen verstößt oder
  4. Ziffer 4
    seine Offenlegungs- oder Informationspflichten gemäß den Paragraphen 23,, 24, 25 oder 50d verletzt oder
  5. Ziffer 5
    die gemäß Paragraph 14, erforderlichen Sicherheitsmaßnahmen gröblich außer Acht lässt oder
  6. Ziffer 6
    die gemäß Paragraph 50 a, Absatz 7 und Paragraph 50 b, Absatz eins, erforderlichen Sicherheitsmaßnahmen außer Acht lässt oder
  7. Ziffer 7
    Daten nach Ablauf der in Paragraph 50 b, Absatz 2, vorgesehene Löschungsfrist nicht löscht.“

Novellierungsanordnung 74, Nach Paragraph 52, Absatz 2, wird folgender Absatz 2a eingefügt:

  1. Absatz 2 aSofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, die mit einer Strafe bis zu 500 Euro zu ahnden ist, wer Daten entgegen den Paragraphen 26,, 27 oder 28 nicht fristgerecht beauskunftet, richtigstellt oder löscht.“

Novellierungsanordnung 75, Paragraph 52, Absatz 4, lautet:

  1. Absatz 4Die Strafe des Verfalls von Datenträgern und Programmen sowie Bildübertragungs- und Bildaufzeichnungsgeräten kann ausgesprochen werden (Paragraphen 10,, 17 und 18 VStG), wenn diese Gegenstände mit einer Verwaltungsübertretung nach Absatz eins, oder 2 in Zusammenhang stehen.“

Novellierungsanordnung 76, In Paragraph 55, wird der Ausdruck „§ 2 Absatz 3, BGBlG, BGBl. Nr. 660/1996“ durch den Ausdruck „§ 4 des Bundesgesetzblattgesetzes, BGBl. römisch eins Nr. 100/2003“ ersetzt.

Novellierungsanordnung 77, Dem neuen Paragraph 60, Absatz 4, werden folgende Absatz 5 und 6 angefügt:

  1. Absatz 5Das Inhaltsverzeichnis, Paragraph 4, Absatz eins, Ziffer 4,, 5, 7 bis 9, 11 und 12, Paragraph 8, Absatz eins,, 2 und 4, Paragraph 12, Absatz eins,, die Umnummerierung der Absätze in Paragraph 13,, Paragraph 16, Absatz eins und 3, Paragraph 17, Absatz eins,, 1a und 4, Paragraph 19, Absatz eins, Ziffer 3 a und Absatz 2,, die Umnummerierung der Absätze in Paragraph 19,, die Paragraphen 20 bis 22a samt Überschriften, Paragraph 24, Absatz 2 a,, Paragraph 24, Absatz 4,, Paragraph 26, Absatz eins bis 8 und 10, Paragraph 28, Absatz 3,, Paragraph 30, Absatz 2 a,, 5 bis 6a, die Paragraphen 31 und 31a samt Überschriften, Paragraph 32, Absatz eins,, 4, 6 und 7, Paragraph 34, Absatz eins,, 3 und 4, Paragraph 36, Absatz 3,, 3a und 9, Paragraph 39, Absatz 5,, Paragraph 40, Absatz eins und 2, Paragraph 41, Absatz 2, Ziffer 4 a,, Paragraph 42, Absatz eins, Ziffer eins,, Paragraph 42, Absatz 5,, Paragraph 46, Absatz eins, Ziffer 2 und 3, Absatz 2 bis 3a, Paragraph 47, Absatz 4,, Paragraph 49, Absatz 3,, Paragraph 50, Absatz eins bis 2a, der 9a. Abschnitt, Paragraph 51,, Paragraph 52, Absatz 2 und 4, Paragraph 55,, Paragraph 61, Absatz 6 bis 9 sowie Paragraph 64, in der Fassung des Bundesgesetzes Bundesgesetzblatt Teil eins, Nr. 133 aus 2009, treten mit 1. Jänner 2010 in Kraft. Gleichzeitig treten Paragraph 4, Absatz eins, Ziffer 10,, Paragraph 13, Absatz 3, sowie Paragraph 51, Absatz 2, außer Kraft.
  2. Absatz 6Paragraph 36, Absatz 6, in der Fassung des Bundesgesetzes Bundesgesetzblatt Teil eins, Nr. 133 aus 2009, tritt am 1. Juli 2010 in Kraft.“

Novellierungsanordnung 78, Paragraph 61, Absatz 6, lautet:

  1. Absatz 6Videoüberwachungen, die vor dem Inkrafttreten der Paragraphen 50 a bis 50e registriert wurden, bleiben in ihrer registrierten Form rechtmäßig, wenn sie den am 31. Dezember 2009 geltenden datenschutzrechtlichen Bestimmungen genügen und die Datenschutzkommission keine Befristung verfügt hat. Hat die Datenschutzkommission hingegen eine Befristung einer solchen Videoüberwachung verfügt, bleibt diese bis zum Ablauf der Befristung, längstens aber bis zum 31. Dezember 2012 rechtmäßig.“

Novellierungsanordnung 79, Nach Paragraph 61, Absatz 7, wird folgender Absatz 8, angefügt:

  1. Absatz 8Die Verordnung nach Paragraph 16, Absatz 3, ist vom Bundeskanzler nach Maßgabe der technischen Möglichkeiten des Datenverarbeitungsregisters bis spätestens 1. Jänner 2012 neu zu erlassen. Bis zum Inkrafttreten dieser Verordnung sind die Paragraphen 16 bis 22, Paragraph 30, Absatz 3 und 6 sowie Paragraph 40, Absatz eins, (letzterer mit Ausnahme des Verweises auf Paragraph 31 a, Absatz 3,) in der Fassung vor dem Bundesgesetz Bundesgesetzblatt Teil eins, Nr. 133 aus 2009, anzuwenden; Paragraph 22 a,, Paragraph 30, Absatz 2 a und 6a, Paragraph 31 a, Absatz eins und 2 sowie Paragraph 32, Absatz 7, sind bis dahin nicht anzuwenden. Paragraph 31, Absatz 3, in der Fassung vor dem Bundesgesetz Bundesgesetzblatt Teil eins, Nr. 133 aus 2009, ist bis dahin zusätzlich weiter anzuwenden. Die Erklärung, ob eine Datenanwendung einen oder mehrere der in Paragraph 18, Absatz 2, Ziffer eins bis 4 genannten Tatbestände erfüllt (Paragraph 19, Absatz eins, Ziffer 3 a,), ist der Datenschutzkommission bei im Zeitpunkt des Inkrafttretens der neuen Verordnung nach Paragraph 16, Absatz 3, registrierten Datenanwendungen anlässlich der ersten über eine Streichung hinausgehenden Änderungsmeldung zu melden, die nach diesem Zeitpunkt erstattet wird. Eine Meldung allein im Hinblick auf Paragraph 19, Absatz eins, Ziffer 3 a, ist nicht erforderlich.“

Novellierungsanordnung 80, Paragraph 64, lautet:

„Paragraph 64,

Mit der Vollziehung dieses Bundesgesetzes sind, soweit sie nicht der Bundesregierung obliegt, der Bundeskanzler und die anderen Bundesminister im Rahmen ihres Wirkungsbereiches betraut.“

Artikel 2

Änderung des Sicherheitspolizeigesetzes

Das Sicherheitspolizeigesetz – SPG, Bundesgesetzblatt Nr. 566 aus 1991,, zuletzt geändert durch das Bundesgesetz Bundesgesetzblatt Teil eins, Nr. 131 aus 2009,, wird wie folgt geändert:

Novellierungsanordnung 1, Dem Paragraph 54, wird folgender Absatz 8, angefügt:

  1. Absatz 8Die Sicherheitsbehörden sind ermächtigt, zur Echtzeitüberwachung Bildübertragungsgeräte einzusetzen, sofern sie zum Einsatz von Bildaufzeichnungsgeräten befugt sind oder dies zur Erfüllung einer sicherheitspolizeilichen Aufgabe oder zur Unterstützung des Streifendienstes erforderlich ist.“

Novellierungsanordnung 2, Dem Paragraph 94, wird folgender Absatz 29, angefügt:

  1. Absatz 29Paragraph 54, Absatz 8, in der Fassung des Bundesgesetzes Bundesgesetzblatt Teil eins, Nr. 133 aus 2009, tritt mit 1. Jänner 2010 in Kraft“

Fischer

Faymann