NÖ Datenschutzgesetz 2018 (NÖ DSG 2018)

1. Abschnitt
Allgemeines, Anwendungsbereich, Datengeheimnis und Anwendung von Bestimmungen des Datenschutzgesetzes

§ 1Paragraph eins

Allgemeines

1. (1)Absatz eins,Dieses Gesetz regelt

   • -Strichaufzählung
     den Schutz nichtautomatisiert verarbeiteter personenbezogener Daten, die in Dateisystemen gespeichert sind oder gespeichert werden sollen, in Angelegenheiten, in denen die Gesetzgebung Landessache ist, sowie
   • -Strichaufzählung
     die Benennung eines oder einer bzw. mehrerer Datenschutzbeauftragten für den Wirkungsbereich des Landes.
2. (2)Absatz 2,Dieses Gesetz gilt nicht für Angelegenheiten, in denen die Gesetzgebung Bundessache ist.

§ 2Paragraph 2

Anwendungsbereich

1. (1)Absatz eins,Die Bestimmungen der §§ 2 bis 6 dieses Gesetzes sind auf die im Rahmen des § 1 erfolgende Verarbeitung personenbezogener Daten natürlicher Personen anzuwenden.Die Bestimmungen der Paragraphen 2 bis 6 dieses Gesetzes sind auf die im Rahmen des Paragraph eins, erfolgende Verarbeitung personenbezogener Daten natürlicher Personen anzuwenden.
2. (2)Absatz 2,Dieses Gesetz ist auf die Verarbeitung personenbezogener Daten durch natürliche Personen für ausschließlich persönliche oder familiäre Tätigkeiten nicht anzuwenden.

§ 3Paragraph 3

Anwendung von Bestimmungen des Datenschutzgesetzes

1. (1)Absatz eins,Die Verpflichtung des bzw. der Verantwortlichen und des Auftragsverarbeiters bzw. der Auftragsverarbeiterin (Art. 4 Z 7 und 8 DSGVO) sowie von deren Mitarbeitern zur Geheimhaltung von Daten, die diesen auf Grund ihrer berufsmäßigen Beschäftigung bekannt geworden sind, richtet sich nach § 6 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 in der Fassung BGBl. I Nr. 24/2018 (im Folgenden: DSG).Die Verpflichtung des bzw. der Verantwortlichen und des Auftragsverarbeiters bzw. der Auftragsverarbeiterin (Artikel 4, Ziffer 7 und 8 DSGVO) sowie von deren Mitarbeitern zur Geheimhaltung von Daten, die diesen auf Grund ihrer berufsmäßigen Beschäftigung bekannt geworden sind, richtet sich nach Paragraph 6, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr. 24 aus 2018, (im Folgenden: DSG).
2. (2)Absatz 2,Datenverarbeitung zu spezifischen Zwecken sind nach den Bestimmungen des §§ 7 bis 10 DSG zulässig. Weiters ist die Bestimmung des § 4 Abs. 2, 3, 5 und 6 DSG bei Datenverarbeitungen nach diesem Gesetz anwendbar.Datenverarbeitung zu spezifischen Zwecken sind nach den Bestimmungen des Paragraphen 7 bis 10 DSG zulässig. Weiters ist die Bestimmung des Paragraph 4, Absatz 2, 3, 5 und 6 DSG bei Datenverarbeitungen nach diesem Gesetz anwendbar.

2. Abschnitt
Datenschutzbehörde und Rechtsschutz

§ 4Paragraph 4

Aufgaben und Befugnisse der Datenschutzbehörde

1. (1)Absatz eins,Die Datenschutzbehörde nach § 18 Abs. 1 DSG ist Aufsichts- und Strafbehörde; ihr obliegt im Rahmen ihrer Zuständigkeit die Verhängung von Geldbußen gegenüber natürlichen und juristischen Personen.Die Datenschutzbehörde nach Paragraph 18, Absatz eins, DSG ist Aufsichts- und Strafbehörde; ihr obliegt im Rahmen ihrer Zuständigkeit die Verhängung von Geldbußen gegenüber natürlichen und juristischen Personen.
2. (2)Absatz 2,Zum Zweck der Einschau ist die Datenschutzbehörde nach Verständigung des Inhabers oder der Inhaberin der Räumlichkeiten und des oder der Verantwortlichen bzw. des Auftragsverarbeiters oder der Auftragsverarbeiterin berechtigt,

   • -Strichaufzählung
     Räume, in welchen Datenverarbeitungen vorgenommen werden, zu betreten,
   • -Strichaufzählung
     die zu überprüfenden Verarbeitungen durchzuführen sowie
   • -Strichaufzählung
     Kopien von Datenträgern in dem für die Ausübung der Kontrollbefugnisse unbedingt erforderlichen Ausmaß herzustellen.
3. (3)Absatz 3,Informationen, die der Datenschutzbehörde oder ihren Beauftragten bei der Kontrolltätigkeit zukommen, dürfen ausschließlich für die Kontrolle im Rahmen der Vollziehung datenschutzrechtlicher Vorschriften verwendet werden. Die Pflicht zur Verschwiegenheit besteht auch gegenüber Gerichten und Verwaltungsbehörden, insbesondere Abgabenbehörden, soweit in Abs. 4 nichts Gegenteiliges bestimmt ist.Informationen, die der Datenschutzbehörde oder ihren Beauftragten bei der Kontrolltätigkeit zukommen, dürfen ausschließlich für die Kontrolle im Rahmen der Vollziehung datenschutzrechtlicher Vorschriften verwendet werden. Die Pflicht zur Verschwiegenheit besteht auch gegenüber Gerichten und Verwaltungsbehörden, insbesondere Abgabenbehörden, soweit in Absatz 4, nichts Gegenteiliges bestimmt ist.
4. (4)Absatz 4,Ergibt die Einschau den Verdacht

   • -Strichaufzählung
     einer strafbaren Handlung nach § 6 dieses Gesetzes odereiner strafbaren Handlung nach Paragraph 6, dieses Gesetzes oder
   • -Strichaufzählung
     einer strafbaren Handlung nach §§ 118a, 119, 119a, 126a bis 126c, 148a oder 278a StGB, BGBl. Nr. 60/1974, odereiner strafbaren Handlung nach Paragraphen 118 a, 119, 119 a, 126 a bis 126 c, 148 a oder 278a StGB, Bundesgesetzblatt Nr. 60 aus 1974,, oder
   • -Strichaufzählung
     eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt,

   ist Anzeige zu erstatten und hinsichtlich solcher Verbrechen und Vergehen auch dem Ersuchen der Strafgerichte nach § 76 StPO, BGBl. Nr. 631/1975, zu entsprechen.ist Anzeige zu erstatten und hinsichtlich solcher Verbrechen und Vergehen auch dem Ersuchen der Strafgerichte nach Paragraph 76, StPO, Bundesgesetzblatt Nr. 631 aus 1975,, zu entsprechen.
5. (5)Absatz 5,Die Befugnisse des § 22 Abs. 1, 4 und 6 DSG sind sinngemäß anzuwenden.Die Befugnisse des Paragraph 22, Absatz eins, 4 und 6 DSG sind sinngemäß anzuwenden.
6. (6)Absatz 6,Die Datenschutzbehörde hat dem Art. 59 der Datenschutz-Grundverordnung entsprechende Tätigkeitsberichte auch der Landesregierung vorzulegen, wenn der Bericht dieses Gesetz betreffende Ausführungen beinhaltet.Die Datenschutzbehörde hat dem Artikel 59, der Datenschutz-Grundverordnung entsprechende Tätigkeitsberichte auch der Landesregierung vorzulegen, wenn der Bericht dieses Gesetz betreffende Ausführungen beinhaltet.
7. (7)Absatz 7,§ 23 Abs. 2 DSG ist auch auf Entscheidungen dieses Gesetz betreffend anzuwenden.Paragraph 23, Absatz 2, DSG ist auch auf Entscheidungen dieses Gesetz betreffend anzuwenden.

§ 5Paragraph 5

Rechtsbehelfe, Haftung und Sanktionen

1. (1)Absatz eins,Für Rechtsbehelfe, Haftung und Sanktionen, einschließlich des Rechts der Beschwerde an das Bundesverwaltungsgericht, sind die Bestimmungen der §§ 11 und 24 bis 30 DSG anzuwenden, soweit die folgenden Absätze nichts Besonderes bestimmen.Für Rechtsbehelfe, Haftung und Sanktionen, einschließlich des Rechts der Beschwerde an das Bundesverwaltungsgericht, sind die Bestimmungen der Paragraphen 11 und 24 bis 30 DSG anzuwenden, soweit die folgenden Absätze nichts Besonderes bestimmen.
2. (2)Absatz 2,Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die Datenschutz-Grundverordnung oder dieses Gesetz verstößt.
3. (3)Absatz 3,Jede Person, der wegen eines Verstoßes gegen die Datenschutz-Grundverordnung oder dieses Gesetz ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen Verantwortliche oder gegen Auftragsverarbeiter nach Art. 82 der Datenschutz-Grundverordnung. Im Einzelnen gelten für diesen Schadenersatzanspruch die allgemeinen Bestimmungen des bürgerlichen Rechts.Jede Person, der wegen eines Verstoßes gegen die Datenschutz-Grundverordnung oder dieses Gesetz ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen Verantwortliche oder gegen Auftragsverarbeiter nach Artikel 82, der Datenschutz-Grundverordnung. Im Einzelnen gelten für diesen Schadenersatzanspruch die allgemeinen Bestimmungen des bürgerlichen Rechts.
4. (4)Absatz 4,Geldbußen gegen juristische Personen können von der Datenschutzbehörde verhängt werden, wenn Verstöße gegen die Datenschutz-Grundverordnung oder dieses Gesetz von in § 30 DSG näher bezeichneten Personen begangen wurden.Geldbußen gegen juristische Personen können von der Datenschutzbehörde verhängt werden, wenn Verstöße gegen die Datenschutz-Grundverordnung oder dieses Gesetz von in Paragraph 30, DSG näher bezeichneten Personen begangen wurden.
5. (5)Absatz 5,Die Datenschutzbehörde hat von der Bestrafung eines Verantwortlichen gemäß § 9 des Verwaltungsstrafgesetzes 1991 – VStG, BGBl. Nr. 52/1991, abzusehen, wenn für denselben Verstoß bereits eine Verwaltungsstrafe gegen die juristische Person verhängt wird.Die Datenschutzbehörde hat von der Bestrafung eines Verantwortlichen gemäß Paragraph 9, des Verwaltungsstrafgesetzes 1991 – VStG, Bundesgesetzblatt Nr. 52 aus 1991,, abzusehen, wenn für denselben Verstoß bereits eine Verwaltungsstrafe gegen die juristische Person verhängt wird.
6. (6)Absatz 6,Die gemäß § 22 Abs. 5 DSG verhängten Geldbußen im Anwendungsbereich des § 2 fließen dem Land zu.Die gemäß Paragraph 22, Absatz 5, DSG verhängten Geldbußen im Anwendungsbereich des Paragraph 2, fließen dem Land zu.

§ 6Paragraph 6

Verwaltungsstrafbestimmungen

1. (1)Absatz eins,Sofern die Tat nicht einen Tatbestand nach Art. 83 der Datenschutz-Grundverordnung verwirklicht oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, die mit Geldstrafe bis zu 50.000 Euro zu ahnden ist,Sofern die Tat nicht einen Tatbestand nach Artikel 83, der Datenschutz-Grundverordnung verwirklicht oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, die mit Geldstrafe bis zu 50.000 Euro zu ahnden ist,

wer

1. 1.Ziffer eins
   sich vorsätzlich widerrechtlichen Zugang zu einem Dateisystem verschafft oder einen erkennbar widerrechtlichen Zugang vorsätzlich aufrechterhält,
2. 2.Ziffer 2
   Daten vorsätzlich in Verletzung des Datengeheimnisses (§ 3 Abs. 1 in Verbindung mit § 6 DSG) übermittelt, insbesondere Daten, die ihm gemäß § 3 Abs. 2 in Verbindung mit §§ 7 oder 8 DSG anvertraut wurden, vorsätzlich für andere unzulässige Zwecke verarbeitet,Daten vorsätzlich in Verletzung des Datengeheimnisses (Paragraph 3, Absatz eins, in Verbindung mit Paragraph 6, DSG) übermittelt, insbesondere Daten, die ihm gemäß Paragraph 3, Absatz 2, in Verbindung mit Paragraphen 7, oder 8 DSG anvertraut wurden, vorsätzlich für andere unzulässige Zwecke verarbeitet,
3. 3.Ziffer 3
   sich unter Vortäuschung falscher Tatsachen vorsätzlich personenbezogene Daten gemäß § 3 Abs. 2 in Verbindung mit § 10 DSG verschafft,sich unter Vortäuschung falscher Tatsachen vorsätzlich personenbezogene Daten gemäß Paragraph 3, Absatz 2, in Verbindung mit Paragraph 10, DSG verschafft,
4. 4.Ziffer 4
   die Einschau gemäß § 4 Abs. 2 verweigert.die Einschau gemäß Paragraph 4, Absatz 2, verweigert.

1. (2)Absatz 2,Der Versuch ist strafbar.
2. (3)Absatz 3,Gegen juristische Personen können bei Verwaltungsübertretungen nach Abs. 1 und 2 Verwaltungsstrafen nach Maßgabe des § 5 Abs. 4 in Verbindung mit § 30 DSG verhängt werden.Gegen juristische Personen können bei Verwaltungsübertretungen nach Absatz eins und 2 Verwaltungsstrafen nach Maßgabe des Paragraph 5, Absatz 4, in Verbindung mit Paragraph 30, DSG verhängt werden.
3. (4)Absatz 4,Die Datenschutzbehörde ist zuständig für Entscheidungen nach Abs. 1 bis 3. Gegen Bescheide der Datenschutzbehörde ist Beschwerde an das Bundesverwaltungsgericht zulässig.Die Datenschutzbehörde ist zuständig für Entscheidungen nach Absatz eins bis 3, Gegen Bescheide der Datenschutzbehörde ist Beschwerde an das Bundesverwaltungsgericht zulässig.
4. (5)Absatz 5,Gegen Behörden und öffentliche Stellen, wie insbesondere in Formen des öffentlichen Rechts sowie des Privatrechts eingerichtete Stellen, die im gesetzlichen Auftrag handeln, und gegen Körperschaften des öffentlichen Rechts, können keine Verwaltungsstrafen verhängt werden.

3. Abschnitt
Datenschutzbeauftragter oder Datenschutzbeauftragte

§ 7Paragraph 7

Datenschutzbeauftragter oder Datenschutzbeauftragte

1. (1)Absatz eins,Im Wirkungsbereich des Landes sind unter Bedachtnahme auf Art und Umfang der Datenverarbeitungen sowie je nach Einrichtung der Dienststellen ein oder eine bzw. mehrere Datenschutzbeauftragter oder Datenschutzbeauftragte zu bestellen, wenn dies nach Art. 37 Abs. 1 der Datenschutz-Grundverordnung verpflichtend vorgesehen ist.Im Wirkungsbereich des Landes sind unter Bedachtnahme auf Art und Umfang der Datenverarbeitungen sowie je nach Einrichtung der Dienststellen ein oder eine bzw. mehrere Datenschutzbeauftragter oder Datenschutzbeauftragte zu bestellen, wenn dies nach Artikel 37, Absatz eins, der Datenschutz-Grundverordnung verpflichtend vorgesehen ist.
2. (2)Absatz 2,Der oder die Datenschutzbeauftragte kann unbefristet oder befristet für die Dauer von maximal fünf Jahren bestellt werden. Wiederbestellungen sind zulässig.
3. (3)Absatz 3,Der oder die Datenschutzbeauftragte ist in Ausübung der Aufgaben an keine Weisungen gebunden.
4. (4)Absatz 4,Der oder die Datenschutzbeauftragte hat das bestellende Organ auf Verlangen über alle Gegenstände der Geschäftsführung zu informieren. Dem ist vom oder von der Datenschutzbeauftragten nur insoweit zu entsprechen, als dies nicht der Unabhängigkeit des oder der Datenschutzbeauftragten im Sinne von Art. 38 Abs. 3 der Datenschutz-Grundverordnung widerspricht.Der oder die Datenschutzbeauftragte hat das bestellende Organ auf Verlangen über alle Gegenstände der Geschäftsführung zu informieren. Dem ist vom oder von der Datenschutzbeauftragten nur insoweit zu entsprechen, als dies nicht der Unabhängigkeit des oder der Datenschutzbeauftragten im Sinne von Artikel 38, Absatz 3, der Datenschutz-Grundverordnung widerspricht.
5. (5)Absatz 5,Der oder die Datenschutzbeauftragte und die für ihn oder sie tätigen Personen sind unbeschadet sonstiger Verschwiegenheitspflichten bei der Erfüllung der Aufgaben zur Geheimhaltung verpflichtet. Dies gilt insbesondere in Bezug auf die Identität betroffener Personen, die sich an den Datenschutzbeauftragten oder an die Datenschutzbeauftragte gewandt haben, sowie über Umstände, die Rückschlüsse auf diese Personen zulassen, es sei denn, es erfolgte eine ausdrückliche Entbindung von der Verschwiegenheit durch die betroffene Person. Der oder die Datenschutzbeauftragte und die für ihn oder sie tätigen Personen dürfen die zugänglich gemachten Informationen ausschließlich für die Erfüllung der Aufgaben verwenden und sind auch nach Ende ihrer Tätigkeit zur Geheimhaltung verpflichtet.
6. (6)Absatz 6,Erhält ein Datenschutzbeauftragter oder eine Datenschutzbeauftragte bei seiner oder ihrer Tätigkeit Kenntnis von Daten, für die einer der Kontrolle des oder der Datenschutzbeauftragten unterliegenden Stelle beschäftigten Person ein gesetzliches Aussageverweigerungsrecht zusteht, steht dieses Recht auch dem oder der Datenschutzbeauftragten und den für ihn oder sie tätigen Personen insoweit zu, als die Person, der das gesetzliche Aussageverweigerungsrecht zusteht, davon Gebrauch gemacht hat. Im Umfang des Aussageverweigerungsrechts des oder der Datenschutzbeauftragten unterliegen seine oder ihre Akten und andere Schriftstücke einem Sicherstellungs- und Beschlagnahmeverbot. Die Befugnisse der Aufsichtsbehörde nach Art. 58 der Datenschutz-Grundverordnung, § 22 DSG bzw. diesem Gesetz werden davon nicht berührt.Erhält ein Datenschutzbeauftragter oder eine Datenschutzbeauftragte bei seiner oder ihrer Tätigkeit Kenntnis von Daten, für die einer der Kontrolle des oder der Datenschutzbeauftragten unterliegenden Stelle beschäftigten Person ein gesetzliches Aussageverweigerungsrecht zusteht, steht dieses Recht auch dem oder der Datenschutzbeauftragten und den für ihn oder sie tätigen Personen insoweit zu, als die Person, der das gesetzliche Aussageverweigerungsrecht zusteht, davon Gebrauch gemacht hat. Im Umfang des Aussageverweigerungsrechts des oder der Datenschutzbeauftragten unterliegen seine oder ihre Akten und andere Schriftstücke einem Sicherstellungs- und Beschlagnahmeverbot. Die Befugnisse der Aufsichtsbehörde nach Artikel 58, der Datenschutz-Grundverordnung, Paragraph 22, DSG bzw. diesem Gesetz werden davon nicht berührt.
7. (7)Absatz 7,Die Funktion als Datenschutzbeauftragter oder Datenschutzbeauftragte endet, wenn

   • -Strichaufzählung
     er oder sie die Aufgaben nicht mehr ausüben kann,
   • -Strichaufzählung
     die Voraussetzungen für die Bestellung nachträglich weggefallen sind,
   • -Strichaufzählung
     die Bestelldauer nach Abs. 2 abgelaufen ist, soweit keine Wiederbestellung erfolgt,die Bestelldauer nach Absatz 2, abgelaufen ist, soweit keine Wiederbestellung erfolgt,
   • -Strichaufzählung
     er oder sie aus dem Dienststand ausscheidet,
   • -Strichaufzählung
     er oder sie eine (Eltern-)Karenz (einen Karenzurlaub) von mehr als drei Monaten antritt oder
   • -Strichaufzählung
     er oder sie auf die Bestellung verzichtet, wobei der Verzicht gegenüber dem bestellenden Organ geltend zu machen ist und mit dem Einlangen bei diesem wirksam wird.

4. Abschnitt
Durchführungshinweis, Schluss- und Übergangsbestimmungen

§ 8Paragraph 8

Durchführungshinweis

Dieses Gesetz dient der Durchführung der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. L 119 vom 4. Mai 2016, S. 1.Dieses Gesetz dient der Durchführung der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), Amtsblatt , L 119 vom 4. Mai 2016, S. 1.

§ 9Paragraph 9

Schlussbestimmungen

1. (1)Absatz eins,Verordnungen dürfen bereits nach der Kundmachung des Gesetzes erlassen werden. Diese Verordnungen dürfen aber frühestens mit dem im Abs. 1 bezeichneten Zeitpunkt in Kraft gesetzt werden.Verordnungen dürfen bereits nach der Kundmachung des Gesetzes erlassen werden. Diese Verordnungen dürfen aber frühestens mit dem im Absatz eins, bezeichneten Zeitpunkt in Kraft gesetzt werden.
2. (2)Absatz 2,Mit dem Inkrafttreten dieses Gesetzes tritt das NÖ Datenschutzgesetz, LGBl. 0901, außer Kraft.Mit dem Inkrafttreten dieses Gesetzes tritt das NÖ Datenschutzgesetz, Landesgesetzblatt 0901, außer Kraft.
3. (3)Absatz 3,Verfahren, die zum 25. Mai 2018 noch anhängig sind, sind nach den Bestimmungen dieses Gesetzes und der Datenschutz-Grundverordnung fortzuführen. Ein strafbarer Tatbestand, der vor dem Inkraftreten dieses Gesetzes verwirklicht wurde, ist nach jener Rechtslage zu beurteilen, die für den Täter in ihrer Gesamtauswirkung günstiger ist; dies gilt auch für das Rechtsmittelverfahren.
4. (4)Absatz 4,Besondere Bestimmungen über die Verarbeitung von personenbezogenen Daten in anderen Landesgesetzen bleiben unberührt.

Der Präsident

Wilfing

Die Landeshauptfrau

Mikl-Leitner