Regierungsvorlage

Bundesgesetz, mit dem das Bundes-Verfassungsgesetz geändert, das Datenschutzgesetz erlassen und das Datenschutzgesetz 2000 aufgehoben wird (Datenschutz-Anpassungsgesetz 2018)

Der Nationalrat hat beschlossen:

Inhaltsverzeichnis

Art. 1

Änderung des Bundes-Verfassungsgesetzes

Art. 2

Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG)

Art. 3

Anpassungsbestimmungen

Artikel 1
(Verfassungsbestimmung)

Änderung des Bundes-Verfassungsgesetzes

Das Bundes-Verfassungsgesetz – B-VG, Bundesgesetzblatt Nr. 1 aus 1930,, zuletzt geändert durch das Bundesverfassungsgesetz Bundesgesetzblatt Teil eins, Nr. 62 aus 2016,, wird wie folgt geändert:

Novellierungsanordnung 1, In Artikel 10, Absatz eins, Ziffer 13, wird nach der Wortfolge „Volkszählungswesen sowie – unter Wahrung der Rechte der Länder, im eigenen Land jegliche Statistik zu betreiben – sonstige Statistik, soweit sie nicht nur den Interessen eines einzelnen Landes dient;“ der Ausdruck „allgemeine Angelegenheiten des Schutzes personenbezogener Daten;“ eingefügt.

Novellierungsanordnung 2, In Artikel 102, Absatz 2, wird nach dem Wort „Denkmalschutz;“ die Wortfolge „allgemeine Angelegenheiten des Schutzes personenbezogener Daten;“ eingefügt.

Novellierungsanordnung 3, Dem Artikel 151, wird folgender Absatz 60, angefügt:

  1. Absatz 60Artikel 10, Absatz eins, Ziffer 13 und Artikel 102, Absatz 2, in der Fassung des Bundesgesetzes Bundesgesetzblatt Teil eins, Nr. xxx aus 2017, treten mit 25. Mai 2018 in Kraft. Gleichzeitig treten in Geltung stehende landesgesetzliche Vorschriften in allgemeinen Angelegenheiten des Schutzes personenbezogener Daten im nicht-automationsunterstützten Datenverkehr außer Kraft.“

Artikel 2
Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG)

Inhaltsverzeichnis

1. Hauptstück
Grundrecht auf Datenschutz

Paragraph eins,

Grundrecht auf Datenschutz

2. Hauptstück
Durchführung der Datenschutz-Grundverordnung und ergänzende Regelungen

1. Abschnitt
Allgemeine Bestimmungen

Paragraph 2,

Anwendungsbereich

Paragraph 3,

Durchführungsbestimmung

Paragraph 4,

Gemeinsame Bestimmungen zu den Datenschutzbeauftragten

Paragraph 5,

Datenschutzbeauftragter im öffentlichen Bereich

Paragraph 6,

Datengeheimnis

2. Abschnitt
Datenschutzbehörde

Paragraph 7,

Einrichtung

Paragraph 8,

Unabhängigkeit

Paragraph 9,

Leiter der Datenschutzbehörde

Paragraph 10,

Aufgaben

Paragraph 11,

Befugnisse

Paragraph 12,

Tätigkeitsbericht und Veröffentlichung von Entscheidungen

3. Abschnitt
Rechtsbehelfe, Haftung und Sanktionen

Paragraph 13,

Beschwerde an die Datenschutzbehörde

Paragraph 14,

Begleitende Maßnahmen im Beschwerdeverfahren

Paragraph 15,

Verantwortliche des öffentlichen und des privaten Bereichs

Paragraph 16,

Beschwerde an das Bundesverwaltungsgericht

Paragraph 17,

Vertretung von betroffenen Personen

Paragraph 18,

Haftung und Recht auf Schadenersatz

Paragraph 19,

Allgemeine Bedingungen für die Verhängung von Geldbußen

4. Abschnitt
Datenschutzrat

Paragraph 20,

Einrichtung und Aufgaben

Paragraph 21,

Zusammensetzung

Paragraph 22,

Vorsitz und Geschäftsführung

Paragraph 23,

Sitzungen und Beschlussfassung

Paragraph 24,

Verschwiegenheitspflicht

5. Abschnitt
Datenverarbeitungen zu spezifischen Zwecken

Paragraph 25,

Verarbeitung zum Zweck der wissenschaftlichen Forschung und Statistik

Paragraph 26,

Zurverfügungstellung von Adressen zur Benachrichtigung und Befragung von betroffenen Personen

Paragraph 27,

Freiheit der Meinungsäußerung und Informationsfreiheit

Paragraph 28,

Verarbeitung personenbezogener Daten im Katastrophenfall

Paragraph 29,

Verarbeitung personenbezogener Daten im Beschäftigungskontext

6. Abschnitt
Bildverarbeitung

Paragraph 30,

Zulässigkeit der Bildaufnahme

Paragraph 31,

Zulässigkeit der Übermittlung der Bildaufnahme

Paragraph 32,

Besondere Datensicherheitsmaßnahmen

Paragraph 33,

Kennzeichnung

3. Hauptstück
Verarbeitung personenbezogener Daten für Zwecke der Sicherheitspolizei, des polizeilichen Staatsschutzes, des militärischen Eigenschutzes, der Aufklärung und Verfolgung von Straftaten, der Strafvollstreckung und des Maßnahmenvollzugs

1. Abschnitt
Allgemeine Bestimmungen

Paragraph 34,

Anwendungsbereich

Paragraph 35,

Begriffsbestimmungen

Paragraph 36,

Grundsätze für die Datenverarbeitung

Paragraph 37,

Kategorisierung und Datenqualität

Paragraph 38,

Rechtmäßigkeit der Verarbeitung

Paragraph 39,

Verarbeitung besonderer Kategorien personenbezogener Daten

Paragraph 40,

Verarbeitung für andere Zwecke und Übermittlung

Paragraph 41,

Automatisierte Entscheidungsfindung im Einzelfall

2. Abschnitt
Rechte der betroffenen Person

Paragraph 42,

Grundsätze

Paragraph 43,

Information der betroffenen Person

Paragraph 44,

Auskunftsrecht der betroffenen Person

Paragraph 45,

Recht auf Berichtigung oder Löschung personenbezogener Daten und auf Einschränkung der Verarbeitung

3. Abschnitt
Verantwortlicher und Auftragsverarbeiter

Paragraph 46,

Pflichten des Verantwortlichen

Paragraph 47,

Gemeinsam Verantwortliche

Paragraph 48,

Auftragsverarbeiter und Aufsicht über die Verarbeitung

Paragraph 49,

Verzeichnis von Verarbeitungstätigkeiten

Paragraph 50,

Protokollierung

Paragraph 51,

Zusammenarbeit mit der Datenschutzbehörde

Paragraph 52,

Datenschutz-Folgenabschätzung

Paragraph 53,

Vorherige Konsultation der Datenschutzbehörde

Paragraph 54,

Datensicherheitsmaßnahmen

Paragraph 55,

Meldung von Verletzungen an die Datenschutzbehörde

Paragraph 56,

Benachrichtigung der betroffenen Person von Verletzungen

Paragraph 57,

Benennung, Stellung und Aufgaben des Datenschutzbeauftragten

4. Abschnitt
Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen

Paragraph 58,

Allgemeine Grundsätze für die Übermittlung personenbezogener Daten

Paragraph 59,

Datenübermittlung auf der Grundlage eines Angemessenheitsbeschlusses

Paragraph 60,

Datenübermittlung vorbehaltlich geeigneter Garantien

Paragraph 61,

Ausnahmen

5. Abschnitt
Aufsichtsbehörde

Paragraph 62,

Datenschutzbehörde

Paragraph 63,

Aufgaben der Datenschutzbehörde

Paragraph 64,

Befugnisse der Datenschutzbehörde

Paragraph 65,

Meldung von Verstößen

Paragraph 66,

Tätigkeitsbericht

Paragraph 67,

Gegenseitige Amtshilfe

Paragraph 68,

Rechtsbehelfe, Haftung und Sanktionen

4. Hauptstück
Besondere Strafbestimmungen

Paragraph 69,

Verwaltungsstrafbestimmung

Paragraph 70,

Datenverarbeitung in Gewinn- oder Schädigungsabsicht

5. Hauptstück
Schlussbestimmungen

Paragraph 71,

Durchführung und Umsetzung von Rechtsakten der EU

Paragraph 72,

Sprachliche Gleichbehandlung

Paragraph 73,

Erlassung von Verordnungen

Paragraph 74,

Verweisungen

Paragraph 75,

Vollziehung

Paragraph 76,

Übergangs- und Schlussbestimmung

Paragraph 77,

Inkrafttreten

1. Hauptstück
Grundrecht auf Datenschutz

Grundrecht auf Datenschutz

Paragraph eins,

(Verfassungsbestimmung) (1) Jede natürliche Person hat Anspruch auf Geheimhaltung der sie betreffenden personenbezogenen Daten, auf Auskunft über die Verarbeitung solcher Daten sowie auf Richtigstellung unrichtiger Daten und auf Löschung unzulässigerweise verarbeiteter Daten.

  1. Absatz 2Beschränkungen sind nur mit Einwilligung der betroffenen Person, in deren lebenswichtigem Interesse, im öffentlichen Interesse, und zwar nur aufgrund einer gesetzlichen Grundlage, oder im überwiegenden berechtigten Interesse eines anderen zulässig. Diese Beschränkungen müssen notwendig und verhältnismäßig und, insbesondere im Hinblick auf den Zweck, die verarbeiteten Daten und die Art der Verarbeitung, für die betroffene Person vorhersehbar sein. Im Rahmen hoheitlicher Tätigkeiten dürfen Beschränkungen nur aufgrund von Gesetzen, die aus den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210 aus 1958,, genannten Gründen notwendig sind, vorgesehen werden.
  2. Absatz 3Das Grundrecht auf Datenschutz verpflichtet auch Private.

2. Hauptstück
Durchführung der Datenschutz-Grundverordnung und ergänzende Regelungen

1. Abschnitt
Allgemeine Bestimmungen

Anwendungsbereich

Paragraph 2,

Die Bestimmungen der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 Sitzung 1, (im Folgenden: DSGVO) und dieses Bundesgesetzes gelten für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, soweit nicht die spezifischeren Bestimmungen des 3. Hauptstücks dieses Bundesgesetzes vorgehen.

Durchführungsbestimmung

Paragraph 3,

Kann die Berichtigung oder Löschung von automationsunterstützt verarbeiteten personenbezogenen Daten nicht unverzüglich erfolgen, weil diese aus wirtschaftlichen oder technischen Gründen nur zu bestimmten Zeitpunkten vorgenommen werden kann, so ist die Verarbeitung der betreffenden personenbezogenen Daten mit der Wirkung nach Artikel 18, Absatz 2, DSGVO bis zu diesem Zeitpunkt einzuschränken.

Gemeinsame Bestimmungen zu den Datenschutzbeauftragten

Paragraph 4,

  1. Absatz einsDer Datenschutzbeauftragte und die für ihn tätigen Personen sind unbeschadet sonstiger Verschwiegenheitspflichten bei der Erfüllung der Aufgaben zur Geheimhaltung verpflichtet. Dies gilt insbesondere in Bezug auf die Identität betroffener Personen, die sich an den Datenschutzbeauftragten gewandt haben, sowie über Umstände, die Rückschlüsse auf diese Personen zulassen, es sei denn, es erfolgte eine ausdrückliche Entbindung von der Verschwiegenheit durch die betroffene Person. Der Datenschutzbeauftragte und die für ihn tätigen Personen dürfen die zugänglich gemachten Informationen ausschließlich für die Erfüllung der Aufgaben verwenden und sind auch nach Ende ihrer Tätigkeit zur Geheimhaltung verpflichtet.
  2. Absatz 2Erhält ein Datenschutzbeauftragter bei seiner Tätigkeit Kenntnis von Daten, für die einer der Kontrolle des Datenschutzbeauftragten unterliegenden Stelle beschäftigten Person ein gesetzliches Aussageverweigerungsrecht zusteht, steht dieses Recht auch dem Datenschutzbeauftragten und den für ihn tätigen Personen insoweit zu, als die Person, der das gesetzliche Aussageverweigerungsrecht zusteht, davon Gebrauch gemacht hat. Im Umfang des Aussageverweigerungsrechts des Datenschutzbeauftragten unterliegen seine Akten und andere Schriftstücke einem Sicherstellungs- und Beschlagnahmeverbot.

Datenschutzbeauftragter im öffentlichen Bereich

Paragraph 5,

  1. Absatz einsDer Datenschutzbeauftragte im öffentlichen Bereich ist bezüglich der Ausübung seiner Aufgaben weisungsfrei. Das oberste Organ hat das Recht, sich über die Gegenstände der Geschäftsführung beim Datenschutzbeauftragten im öffentlichen Bereich zu unterrichten. Dem ist vom Datenschutzbeauftragten nur insoweit zu entsprechen, als dies nicht der Unabhängigkeit des Datenschutzbeauftragten im Sinne von Artikel 38, Absatz 3, DSGVO widerspricht.
  2. Absatz 2Im Wirkungsbereich jedes Bundesministeriums sind unter Bedachtnahme auf Art und Umfang der Datenverarbeitungen sowie je nach Einrichtung des Bundesministeriums ein oder mehrere Datenschutzbeauftragte vorzusehen. Diese müssen dem jeweiligen Bundesministerium oder der jeweiligen nachgeordneten Dienststelle oder sonstigen Einrichtung angehören.
  3. Absatz 3Die Datenschutzbeauftragten im öffentlichen Bereich gemäß Absatz 2, pflegen einen regelmäßigen Erfahrungsaustausch, insbesondere im Hinblick auf die Gewährleistung eines einheitlichen Datenschutzstandards.

Datengeheimnis

Paragraph 6,

  1. Absatz einsDer Verantwortliche, der Auftragsverarbeiter und ihre Mitarbeiter – das sind Arbeitnehmer (Dienstnehmer) und Personen in einem arbeitnehmerähnlichen (dienstnehmerähnlichen) Verhältnis – haben personenbezogene Daten aus Datenverarbeitungen, die ihnen ausschließlich auf Grund ihrer berufsmäßigen Beschäftigung anvertraut wurden oder zugänglich geworden sind, unbeschadet sonstiger gesetzlicher Verschwiegenheitspflichten, geheim zu halten, soweit kein rechtlich zulässiger Grund für eine Übermittlung der anvertrauten oder zugänglich gewordenen personenbezogenen Daten besteht (Datengeheimnis).
  2. Absatz 2Mitarbeiter dürfen personenbezogene Daten nur auf Grund einer ausdrücklichen Anordnung ihres Arbeitgebers (Dienstgebers) übermitteln. Der Verantwortliche und der Auftragsverarbeiter haben, sofern eine solche Verpflichtung ihrer Mitarbeiter nicht schon kraft Gesetzes besteht, diese vertraglich zu verpflichten, personenbezogene Daten aus Datenverarbeitungen nur aufgrund von Anordnungen zu übermitteln und das Datengeheimnis auch nach Beendigung des Arbeitsverhältnisses (Dienstverhältnisses) zum Verantwortlichen oder Auftragsverarbeiter einzuhalten.
  3. Absatz 3Der Verantwortliche und der Auftragsverarbeiter haben die von der Anordnung betroffenen Mitarbeiter über die für sie geltenden Übermittlungsanordnungen und über die Folgen einer Verletzung des Datengeheimnisses zu belehren.
  4. Absatz 4Unbeschadet des verfassungsrechtlichen Weisungsrechts darf einem Mitarbeiter aus der Verweigerung der Befolgung einer Anordnung zur unzulässigen Datenübermittlung kein Nachteil erwachsen.
  5. Absatz 5Ein zugunsten eines Verantwortlichen bestehendes gesetzliches Aussageverweigerungsrecht darf nicht durch die Inanspruchnahme eines für diesen tätigen Auftragsverarbeiters, insbesondere nicht durch die Sicherstellung oder Beschlagnahme von automationsunterstützt verarbeiteten Dokumenten, umgangen werden.

2. Abschnitt
Datenschutzbehörde

Einrichtung

Paragraph 7,

  1. Absatz einsDie Datenschutzbehörde wird als nationale Aufsichtsbehörde gemäß Artikel 51, DSGVO eingerichtet.
  2. Absatz 2Der Datenschutzbehörde steht ein Leiter vor. In seiner Abwesenheit leitet sein Stellvertreter die Datenschutzbehörde. Auf ihn finden die Regelungen hinsichtlich des Leiters der Datenschutzbehörde Anwendung.
  3. Absatz 3(Verfassungsbestimmung) Die Datenschutzbehörde übt ihre Befugnisse auch gegenüber den in Artikel 19, B-VG bezeichneten obersten Organen der Vollziehung aus.

Unabhängigkeit

Paragraph 8,

  1. Absatz einsDie Datenschutzbehörde ist eine Dienstbehörde und Personalstelle.
  2. Absatz 2Der Leiter darf für die Dauer seines Amtes keine Tätigkeit ausüben, die
    1. Ziffer eins
      Zweifel an der unabhängigen Ausübung seines Amtes oder seiner Unbefangenheit hervorrufen könnte,
    2. Ziffer 2
      ihn bei der Erfüllung seiner dienstlichen Aufgaben behindert oder
    3. Ziffer 3
      wesentliche dienstliche Interessen gefährdet.
    Er ist verpflichtet, Tätigkeiten, die er neben seiner Tätigkeit als Leiter der Datenschutzbehörde ausübt, unverzüglich dem Bundeskanzler zur Kenntnis zu bringen.
  3. Absatz 3Der Bundeskanzler kann sich beim Leiter der Datenschutzbehörde über die Gegenstände der Geschäftsführung unterrichten. Dem ist vom Leiter der Datenschutzbehörde nur insoweit zu entsprechen, als dies nicht der völligen Unabhängigkeit der Aufsichtsbehörde im Sinne von Artikel 52, DSGVO widerspricht.

Leiter der Datenschutzbehörde

Paragraph 9,

  1. Absatz einsDer Leiter der Datenschutzbehörde wird vom Bundespräsidenten auf Vorschlag der Bundesregierung für eine Dauer von fünf Jahren bestellt; die Wiederbestellung ist zulässig. Dem Vorschlag hat eine Ausschreibung zur allgemeinen Bewerbung voranzugehen.
  2. Absatz 2Der Leiter der Datenschutzbehörde hat
    1. Ziffer eins
      das Studium der Rechtswissenschaften abgeschlossen zu haben,
    2. Ziffer 2
      die persönliche und fachliche Eignung durch eine entsprechende Vorbildung und einschlägige Berufserfahrung in den von der Datenschutzbehörde zu besorgenden Angelegenheiten aufzuweisen,
    3. Ziffer 3
      über ausgezeichnete Kenntnisse des österreichischen Datenschutzrechtes, des Unionsrechtes und der Grundrechte zu verfügen und
    4. Ziffer 4
      über eine mindestens fünfjährige juristische Berufserfahrung zu verfügen.
  3. Absatz 3Zum Leiter der Datenschutzbehörde dürfen nicht bestellt werden:
    1. Ziffer eins
      Mitglieder der Bundesregierung, Staatssekretäre, Mitglieder einer Landesregierung, Mitglieder des Nationalrates, des Bundesrates oder sonst eines allgemeinen Vertretungskörpers oder des Europäischen Parlaments, ferner Volksanwälte und der Präsident des Rechnungshofes,
    2. Ziffer 2
      Personen, die eine in Ziffer eins, genannte Funktion innerhalb der letzten zwei Jahre ausgeübt haben, und
    3. Ziffer 3
      Personen, die von der Wählbarkeit in den Nationalrat ausgeschlossen sind.
  4. Absatz 4Die Enthebung des Leiters ist auf Vorschlag der Bundesregierung durch den Bundespräsidenten vorzunehmen.
  5. Absatz 5Der Stellvertreter des Leiters der Datenschutzbehörde wird vom Bundespräsidenten auf Vorschlag der Bundesregierung nach Maßgabe der Absatz eins bis 3 bestellt. Auf die Enthebung des Stellvertreters findet Absatz 4, Anwendung.

Aufgaben

Paragraph 10,

  1. Absatz einsDie Datenschutzbehörde berät die Ausschüsse des Nationalrates und des Bundesrates, die Bundesregierung und die Landesregierungen auf deren Ersuchen über legislative und administrative Maßnahmen. Die Datenschutzbehörde ist vor Erlassung von Bundesgesetzen sowie von Verordnungen im Vollzugsbereich des Bundes, die Fragen des Datenschutzes unmittelbar betreffen, anzuhören.
  2. Absatz 2Die Datenschutzbehörde hat die Listen nach Artikel 35, Absatz 4 und 5 DSGVO im Wege einer Verordnung kundzumachen.
  3. Absatz 3Die Datenschutzbehörde hat die nach Artikel 57, Absatz eins, Litera p, DSGVO festzulegenden Kriterien im Wege einer Verordnung kundzumachen. Sie fungiert zugleich als einzige nationale Akkreditierungsstelle gemäß Artikel 43, Absatz eins, Litera a, DSGVO.

Befugnisse

Paragraph 11,

  1. Absatz einsDie Datenschutzbehörde kann im Fall eines begründeten Verdachtes auf Verletzung der in der DSGVO oder im 1. oder 2. Hauptstück genannten Rechte und Pflichten Datenverarbeitungen überprüfen. Dazu kann sie vom Verantwortlichen oder Auftragsverarbeiter der überprüften Datenverarbeitung insbesondere alle notwendigen Aufklärungen verlangen und Einschau in Datenverarbeitungen und diesbezügliche Unterlagen begehren. Der Verantwortliche oder Auftragsverarbeiter hat die notwendige Unterstützung zu leisten. Die Kontrolltätigkeit ist unter möglichster Schonung der Rechte des Verantwortlichen oder des Auftragsverarbeiters und Dritter auszuüben.
  2. Absatz 2Zum Zweck der Einschau ist die Datenschutzbehörde nach Verständigung des Inhabers der Räumlichkeiten und des Verantwortlichen oder des Auftragsverarbeiters berechtigt, Räume, in welchen Datenverarbeitungen vorgenommen werden, zu betreten, Datenverarbeitungsanlagen in Betrieb zu setzen, die zu überprüfenden Verarbeitungen durchzuführen sowie Kopien von Datenträgern in dem für die Ausübung der Kontrollbefugnisse unbedingt erforderlichen Ausmaß herzustellen.
  3. Absatz 3Informationen, die der Datenschutzbehörde oder den von ihr Beauftragten bei der Kontrolltätigkeit zukommen, dürfen ausschließlich für die Kontrolle im Rahmen der Vollziehung datenschutzrechtlicher Vorschriften verwendet werden. Im Übrigen besteht die Pflicht zur Verschwiegenheit auch gegenüber Gerichten und Verwaltungsbehörden, insbesondere Abgabenbehörden; dies allerdings mit der Maßgabe, dass dann, wenn die Einschau den Verdacht einer strafbaren Handlung gegen die DSGVO oder gegen das 1. oder 2. Hauptstück dieses Bundesgesetzes, einer strafbaren Handlung nach den Paragraphen 118 a,, 119, 119a, 126a bis 126c, 148a oder Paragraph 278 a, des Strafgesetzbuches, Bundesgesetzblatt Nr. 60 aus 1974,, oder eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt, ergibt, Anzeige zu erstatten ist und hinsichtlich solcher Verbrechen und Vergehen auch Ersuchen nach Paragraph 76, der Strafprozessordnung, Bundesgesetzblatt Nr. 631 aus 1975,, zu entsprechen ist.
  4. Absatz 4Liegt durch den Betrieb einer Datenverarbeitung eine wesentliche unmittelbare Gefährdung schutzwürdiger Geheimhaltungsinteressen der betroffenen Personen (Gefahr im Verzug) vor, so kann die Datenschutzbehörde die Weiterführung der Datenverarbeitung mit Bescheid gemäß Paragraph 57, Absatz eins, des Allgemeinen Verwaltungsverfahrensgesetzes 1991 – AVG, Bundesgesetzblatt Nr. 51 aus 1991,, untersagen. Wenn dies technisch möglich, im Hinblick auf den Zweck der Datenverarbeitung sinnvoll und zur Beseitigung der Gefährdung ausreichend scheint, kann die Weiterführung auch nur teilweise untersagt werden. Ebenso kann die Datenschutzbehörde auf Antrag einer betroffenen Person eine Einschränkung der Verarbeitung nach Artikel 18, DSGVO mit Bescheid gemäß Paragraph 57, Absatz eins, AVG anordnen, wenn der Verantwortliche einer diesbezüglichen Verpflichtung nicht fristgerecht nachkommt. Wird einer Untersagung nicht unverzüglich Folge geleistet, hat die Datenschutzbehörde nach Artikel 83, Absatz 5, DSGVO vorzugehen.
  5. Absatz 5Der Datenschutzbehörde obliegt im Rahmen ihrer Zuständigkeit die Verhängung von Geldbußen gegenüber natürlichen und juristischen Personen.
  6. Absatz 6Bestehen im Zuge einer auf Paragraph 18, gestützten Klage einer betroffenen Person, der sich von einer Einrichtung, Organisation oder Vereinigung im Sinne des Artikel 80, Absatz eins, DSGVO vertreten lässt, Zweifel am Vorliegen der diesbezüglichen Kriterien, trifft die Datenschutzbehörde auf Antrag des Einbringungsgerichtes entsprechende Feststellungen mit Bescheid. Diese Einrichtung, Organisation oder Vereinigung hat im Verfahren Parteistellung. Gegen einen negativen Feststellungsbescheid steht ihr die Beschwerde an das Bundesverwaltungsgericht offen.

Tätigkeitsbericht und Veröffentlichung von Entscheidungen

Paragraph 12,

  1. Absatz einsDie Datenschutzbehörde hat bis zum 31. März eines jeden Jahres einen dem Artikel 59, DSGVO entsprechenden Tätigkeitsbericht zu erstellen und dem Bundeskanzler vorzulegen. Der Bericht ist vom Bundeskanzler der Bundesregierung, dem Nationalrat und dem Bundesrat vorzulegen. Die Datenschutzbehörde hat den Bericht der Öffentlichkeit, der Europäischen Kommission, dem Europäischen Datenschutzausschuss (Artikel 68, DSGVO) und dem Datenschutzrat zugänglich zu machen.
  2. Absatz 2Entscheidungen der Datenschutzbehörde von grundsätzlicher Bedeutung für die Allgemeinheit sind von der Datenschutzbehörde unter Beachtung der Erfordernisse der Amtsverschwiegenheit in geeigneter Weise zu veröffentlichen.

3. Abschnitt
Rechtsbehelfe, Haftung und Sanktionen

Beschwerde an die Datenschutzbehörde

Paragraph 13,

  1. Absatz einsJede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen das 1. oder 2. Hauptstück verstößt.
  2. Absatz 2Die Beschwerde hat zu enthalten:
    1. Ziffer eins
      die Bezeichnung des als verletzt erachteten Rechts,
    2. Ziffer 2
      soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),
    3. Ziffer 3
      den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,
    4. Ziffer 4
      die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
    5. Ziffer 5
      das Begehren, die behauptete Rechtsverletzung festzustellen und
    6. Ziffer 6
      die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.
  3. Absatz 3Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.
  4. Absatz 4Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.
  5. Absatz 5Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben und die Rechtsverletzung festzustellen. Ist eine festgestellte Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem zusätzlich aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.
  6. Absatz 6Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (Paragraph 13, Absatz 8, AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.
  7. Absatz 7Der Beschwerdeführer wird von der Datenschutzbehörde innerhalb von drei Monaten ab Einbringung der Beschwerde über den Stand und das Ergebnis der Ermittlung unterrichtet.
  8. Absatz 8Jede betroffene Person kann das Bundesverwaltungsgericht befassen, wenn die Datenschutzbehörde sich nicht mit der Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt hat.
  9. Absatz 9Die Datenschutzbehörde kann – soweit erforderlich – Amtssachverständige im Verfahren beiziehen.
  10. Absatz 10In die Entscheidungsfrist gemäß Paragraph 73, AVG werden nicht eingerechnet:
    1. Ziffer eins
      die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist;
    2. Ziffer 2
      die Zeit während eines Verfahrens nach Artikel 56,, 60 und 63 DSGVO.

Begleitende Maßnahmen im Beschwerdeverfahren

Paragraph 14,

  1. Absatz einsMacht der Beschwerdeführer im Rahmen einer Beschwerde eine wesentliche Beeinträchtigung seiner schutzwürdigen Geheimhaltungsinteressen durch die Verarbeitung seiner personenbezogenen Daten glaubhaft, kann die Datenschutzbehörde nach Paragraph 11, Absatz 4, vorgehen.
  2. Absatz 2Ist in einem Verfahren die Richtigkeit von personenbezogenen Daten strittig, so ist vom Beschwerdegegner bis zum Abschluss des Verfahrens ein Bestreitungsvermerk anzubringen. Erforderlichenfalls hat dies die Datenschutzbehörde auf Antrag des Beschwerdeführers mit Bescheid gemäß Paragraph 57, Absatz eins, AVG anzuordnen.
  3. Absatz 3Beruft sich ein Verantwortlicher gegenüber der Datenschutzbehörde auf eine Beschränkung im Sinne des Artikel 23, DSGVO, so hat diese die Rechtmäßigkeit der Anwendung der Beschränkungen zu überprüfen. Kommt sie zur Auffassung, dass die Geheimhaltung von verarbeiteten personenbezogenen Daten gegenüber der betroffenen Person nicht gerechtfertigt war, ist die Offenlegung der personenbezogenen Daten mit Bescheid aufzutragen. Wird dem Bescheid der Datenschutzbehörde binnen acht Wochen nicht entsprochen, so hat die Datenschutzbehörde die Offenlegung der personenbezogenen Daten gegenüber der betroffenen Person selbst vorzunehmen und ihm die verlangte Auskunft zu erteilen oder ihm mitzuteilen, welche personenbezogenen Daten bereits berichtigt oder gelöscht wurden.
  4. Absatz 4Bescheide, mit denen Übermittlungen von personenbezogenen Daten ins Ausland genehmigt wurden, sind zu widerrufen, wenn die rechtlichen oder tatsächlichen Voraussetzungen für die Erteilung der Genehmigung nicht mehr bestehen.

Verantwortliche des öffentlichen und des privaten Bereichs

Paragraph 15,

  1. Absatz einsVerantwortliche des öffentlichen Bereichs sind alle Verantwortliche,
    1. Ziffer eins
      die in Formen des öffentlichen Rechts eingerichtet sind, insbesondere auch als Organ einer Gebietskörperschaft, oder
    2. Ziffer 2
      soweit sie trotz ihrer Einrichtung in Formen des Privatrechts in Vollziehung der Gesetze tätig sind.
  2. Absatz 2Verantwortliche des öffentlichen Bereichs sind Partei in Verfahren vor der Datenschutzbehörde.
  3. Absatz 3Verantwortliche des öffentlichen Bereichs können Beschwerde an das Bundesverwaltungsgericht und Revision beim Verwaltungsgerichtshof erheben.
  4. Absatz 4Die dem Absatz eins, nicht unterliegenden Verantwortlichen gelten als Verantwortliche des privaten Bereichs im Sinne dieses Bundesgesetzes.

Beschwerde an das Bundesverwaltungsgericht

Paragraph 16,

  1. Absatz einsDas Bundesverwaltungsgericht entscheidet durch Senat über Beschwerden gegen Bescheide, wegen der Verletzung der Unterrichtungspflicht gemäß Paragraph 13, Absatz 7 und der Entscheidungspflicht der Datenschutzbehörde.
  2. Absatz 2Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Die fachkundigen Laienrichter werden auf Vorschlag der Wirtschaftskammer Österreich und der Bundeskammer für Arbeiter und Angestellte bestellt. Es sind entsprechende Vorkehrungen zu treffen, dass zeitgerecht eine hinreichende Anzahl von fachkundigen Laienrichtern zur Verfügung steht.
  3. Absatz 3Die fachkundigen Laienrichter müssen eine mindestens fünfjährige einschlägige Berufserfahrung und besondere Kenntnisse des Datenschutzrechtes besitzen.
  4. Absatz 4Der Vorsitzende hat den fachkundigen Laienrichtern alle entscheidungsrelevanten Dokumente unverzüglich zu übermitteln oder, wenn dies untunlich oder zur Wahrung der Vertraulichkeit von Dokumenten unbedingt erforderlich ist, zur Verfügung zu stellen.
  5. Absatz 5Kommt es zu einem Verfahren gegen den Bescheid der Datenschutzbehörde, der eine Stellungnahme oder ein Beschluss des Europäischen Ausschusses im Rahmen des Kohärenzverfahrens vorangegangen ist, so leitet die Datenschutzbehörde diese Stellungnahme oder diesen Beschluss dem Bundesverwaltungsgericht zu.

Vertretung von betroffenen Personen

Paragraph 17,

Die betroffene Person hat das Recht, eine Einrichtung, Organisationen oder Vereinigung ohne Gewinnerzielungsabsicht, die ordnungsgemäß gegründet ist, deren satzungsmäßige Ziele im öffentlichem Interesse liegen und die im Bereich des Schutzes der Rechte und Freiheiten von betroffenen Personen in Bezug auf den Schutz ihrer personenbezogenen Daten tätig ist, zu beauftragen, in ihrem Namen eine Beschwerde einzureichen, in ihrem Namen die in den Paragraphen 13 bis 16 genannten Rechte wahrzunehmen und das Recht auf Schadenersatz gemäß Paragraph 18, in Anspruch zu nehmen.

Haftung und Recht auf Schadenersatz

Paragraph 18,

  1. Absatz einsJede Person, der wegen eines Verstoßes gegen die DSGVO oder gegen das 1. oder 2. Hauptstück ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter nach Artikel 82, DSGVO. Im Einzelnen gelten für diesen Schadenersatzanspruch die allgemeinen Bestimmungen des bürgerlichen Rechts.
  2. Absatz 2Für Klagen auf Schadenersatz ist in erster Instanz das mit der Ausübung der Gerichtsbarkeit in bürgerlichen Rechtssachen betraute Landesgericht zuständig, in dessen Sprengel der Kläger (Antragsteller) seinen gewöhnlichen Aufenthalt oder Sitz hat. Klagen (Anträge) können aber auch bei dem Landesgericht erhoben werden, in dessen Sprengel der Beklagte seinen gewöhnlichen Aufenthalt oder Sitz oder eine Niederlassung hat.

Allgemeine Bedingungen für die Verhängung von Geldbußen

Paragraph 19,

  1. Absatz einsDie Datenschutzbehörde kann Geldbußen gegen eine juristische Personen verhängen, wenn Verstöße gegen Bestimmungen der DSGVO und des 1. oder 2. Hauptstücks durch Personen begangen wurden, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und eine Führungsposition innerhalb der juristischen Person aufgrund
    1. Ziffer eins
      der Befugnis zur Vertretung der juristischen Person,
    2. Ziffer 2
      der Befugnis, Entscheidungen im Namen der juristischen Person zu treffen, oder
    3. Ziffer 3
      einer Kontrollbefugnis innerhalb der juristischen Person
    innehaben.
  2. Absatz 2Juristische Personen können wegen Verstößen gegen Bestimmungen der DSGVO und des 1. oder 2. Hauptstücks auch verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle durch eine in Absatz eins, genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige Person ermöglicht hat, sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet.
  3. Absatz 3Die Datenschutzbehörde hat von der Bestrafung eines Verantwortlichen gemäß Paragraph 9, des Verwaltungsstrafgesetzes 1991 – VStG, Bundesgesetzblatt Nr. 52 aus 1991,, abzusehen, wenn für denselben Verstoß bereits eine Verwaltungsstrafe gegen die juristische Person verhängt wird und keine besonderen Umstände vorliegen, die einem Absehen von der Bestrafung entgegenstehen.
  4. Absatz 4Die gemäß Paragraph 11, Absatz 5, verhängten Geldbußen fließen dem Bund zu und sind nach den Bestimmungen über die Eintreibung von gerichtlichen Geldstrafen einzubringen. Rechtskräftige Bescheide der Datenschutzbehörde sind Exekutionstitel. Die Bewilligung und der Vollzug der Exekution ist auf Grund des Exekutionstitels der Datenschutzbehörde bei dem Bezirksgericht, in dessen Sprengel der Verpflichtete seinen allgemeinen Gerichtsstand in Streitsachen hat (Paragraphen 66,, 75 der Jurisdiktionsnorm – JN, RGBl. Nr. 111/1895), oder bei dem in den Paragraphen 18 und 19 der Exekutionsordnung – EO, RGBl. Nr. 79/1896, bezeichneten Exekutionsgericht zu beantragen.
  5. Absatz 5Gegen Behörden und öffentliche Stellen können keine Geldbußen verhängt werden.

4. Abschnitt
Datenschutzrat

Einrichtung und Aufgaben

Paragraph 20,

  1. Absatz einsBeim Bundeskanzleramt ist ein Datenschutzrat eingerichtet. Dieser nimmt zu Fragen von grundsätzlicher Bedeutung für den Datenschutz Stellung, fördert die einheitliche Fortentwicklung des Datenschutzes und berät die Bundesregierung in rechtspolitischer Hinsicht bei datenschutzrechtlich relevanten Vorhaben.
  2. Absatz 2Zur Erfüllung seiner Aufgaben nach Absatz eins,
    1. Ziffer eins
      kann der Datenschutzrat Empfehlungen in datenschutzrechtlicher Hinsicht an die Bundesregierung und die Bundesminister richten;
    2. Ziffer 2
      kann der Datenschutzrat Gutachten erstellen oder in Auftrag geben;
    3. Ziffer 3
      ist dem Datenschutzrat Gelegenheit zur Stellungnahme zu Gesetzesentwürfen der Bundesministerien, soweit diese datenschutzrechtlich von Bedeutung sind, sowie zu Verordnungen im Vollzugsbereich des Bundes, die wesentliche Fragen des Datenschutzes betreffen, zu geben;
    4. Ziffer 4
      hat der Datenschutzrat das Recht, von Verantwortlichen des öffentlichen Bereichs Auskünfte und Berichte zu verlangen, soweit dies zur datenschutzrechtlichen Beurteilung von Vorhaben mit wesentlichen Auswirkungen auf den Datenschutz in Österreich notwendig ist;
    5. Ziffer 5
      kann der Datenschutzrat seine Beobachtungen, Bedenken und Anregungen veröffentlichen und den Verantwortlichen des öffentlichen Bereichs zur Kenntnis bringen.
  3. Absatz 3Absatz 2, Ziffer 3 und 4 gilt nicht, soweit innere Angelegenheiten der anerkannten Kirchen und Religionsgesellschaften betroffen sind.

Zusammensetzung

Paragraph 21,

  1. Absatz einsDem Datenschutzrat gehören an:
    1. Ziffer eins
      Vertreter der politischen Parteien: Von der im Hauptausschuss des Nationalrates am stärksten vertretenen Partei sind drei Vertreter, von der am zweitstärksten vertretenen Partei sind zwei Vertreter und von jeder anderen im Hauptausschuss des Nationalrates vertretenen Partei ist ein Vertreter in den Datenschutzrat zu entsenden, wobei es allein auf die Stärke im Zeitpunkt der Entsendung ankommt. Bei Mandatsgleichheit zweier Parteien im Hauptausschuss ist die Stimmenstärke bei der letzten Wahl zum Nationalrat ausschlaggebend;
    2. Ziffer 2
      je ein Vertreter der Bundeskammer für Arbeiter und Angestellte und der Wirtschaftskammer Österreich;
    3. Ziffer 3
      zwei Vertreter der Länder;
    4. Ziffer 4
      je ein Vertreter des Gemeindebundes und des Städtebundes;
    5. Ziffer 5
      ein vom Bundeskanzler zu entsendender Vertreter des Bundes;
    6. Ziffer 6
      ein von der Bundesregierung zu entsendender Vertreter aus dem Kreis der Datenschutzbeauftragten der Bundesministerien;
    7. Ziffer 7
      zwei vom Datenschutzrat nach seiner Konstituierung zu benennende nationale oder internationale Experten aus dem Bereich des Datenschutzes.
  2. Absatz 2Die in Absatz eins, genannten Vertreter sollen Kenntnisse sowie Erfahrungen auf den Gebieten des Datenschutzrechtes, des Unionsrechtes und der Grundrechte haben.
  3. Absatz 3Für jedes Mitglied gemäß Absatz eins, Ziffer eins bis 6 ist ein Ersatzmitglied zu entsenden, welches bei Verhinderung des Mitgliedes an dessen Stelle tritt. Die Entsendung der Mitglieder und Ersatzmitglieder ist dem Bundeskanzleramt schriftlich mitzuteilen.
  4. Absatz 4Nicht angehören können dem Datenschutzrat Mitglieder der Bundesregierung oder einer Landesregierung sowie Staatssekretäre und weiters Personen, die zum Nationalrat nicht wählbar sind.
  5. Absatz 5Die Funktionsperiode der Mitglieder und Ersatzmitglieder gemäß Absatz eins, Ziffer eins bis 6 beginnt mit deren Entsendung in den Datenschutzrat und endet
    1. Ziffer eins
      mit der Abberufung durch die entsendenden Stelle (Absatz eins,) im Wege einer schriftliche Mitteilung an das Bundeskanzleramt unter gleichzeitiger Namhaftmachung eines neuen Mitgliedes oder Ersatzmitgliedes,
    2. Ziffer 2
      mit der Bekanntgabe des Ausscheidens durch das Mitglied oder Ersatzmitglied im Wege einer schriftliche Mitteilung an das Bundeskanzleramt oder
    3. Ziffer 3
      spätestens mit der Neuwahl des Hauptausschusses des Nationalrates nach den Paragraphen 29 und 30 des Geschäftsordnungsgesetzes 1975, Bundesgesetzblatt Nr. 410 aus 1975,.
    Auf gemäß Absatz eins, Ziffer 7, benannte Mitglieder des Datenschutzrates findet Ziffer 3, Anwendung.
  6. Absatz 6Nach Neuwahl des Hauptausschusses des Nationalrates (Absatz 5, Ziffer 3,) führt das bisherige Präsidium gemäß Paragraph 23, Absatz 4, die Geschäfte bis zur konstituierenden Sitzung der neubestellten Mitglieder und Ersatzmitglieder fort. Binnen eines Zeitraumes von zwei Wochen ab der Neuwahl des Hauptausschusses des Nationalrates haben die entsendenden Stellen eine dem Absatz eins, entsprechende Anzahl von Mitgliedern und Ersatzmitgliedern dem Bundeskanzleramt schriftlich bekannt zu geben. Die Wiederbestellung von Mitgliedern und Ersatzmitgliedern ist zulässig.
  7. Absatz 7Die konstituierende Sitzung des Datenschutzrates hat frühestens sechs Wochen nach der Wahl des Hauptausschusses des Nationalrates stattzufinden und ist vom Bundeskanzleramt einzuberufen.
  8. Absatz 8Die Tätigkeit der Mitglieder und Ersatzmitglieder des Datenschutzrates ist ehrenamtlich. Mitglieder und Ersatzmitglieder des Datenschutzrates, die außerhalb von Wien wohnen, haben im Fall der Teilnahme an Sitzungen des Datenschutzrates Anspruch auf Ersatz der angemessenen Reisekosten nach Maßgabe der Reisegebührenvorschriften des Bundes. Die Vergütungen und Erstattungen sind im Nachhinein quartalsweise vom Bundeskanzleramt anzuweisen.

Vorsitz und Geschäftsführung

Paragraph 22,

  1. Absatz einsDer Datenschutzrat gibt sich mit Beschluss eine Geschäftsordnung.
  2. Absatz 2Der Datenschutzrat hat in der konstituierenden Sitzung aus den vorliegenden Wahlvorschlägen mit einfacher Mehrheit aus seiner Mitte einen Vorsitzenden und zwei stellvertretende Vorsitzende zu wählen. Stichwahlen sind zulässig. Die Wahlvorschläge sind den Mitgliedern und Ersatzmitgliedern gleichzeitig mit der Einladung zur konstituierenden Sitzung bekannt zu geben. Die Wiederwahl ist zulässig.
  3. Absatz 3Die Funktionsperiode des Vorsitzenden und der stellvertretenden Vorsitzenden endet
    1. Ziffer eins
      mit Eintritt einer der Voraussetzungen des Paragraph 21, Absatz 5, Ziffer eins bis 3,
    2. Ziffer 2
      mit Bekanntgabe der Zurücklegung der Funktion durch den Vorsitzenden oder einen der stellvertretenden Vorsitzenden im Wege einer Erklärung in der Sitzung des Datenschutzrates oder einer schriftlichen Mitteilung an das Bundeskanzleramt oder
    3. Ziffer 3
      nach Abwahl durch den Datenschutzrat mit einfacher Mehrheit der abgegebenen Stimmen und Anwesenheit von mehr als zwei Drittel seiner Mitglieder oder Ersatzmitglieder.
    Nach dem Ende der Funktionsperiode des Vorsitzenden oder eines stellvertretenden Vorsitzenden ist umgehend ein neuer Vorsitzender oder ein neuer stellvertretender Vorsitzender zu wählen.
  4. Absatz 4Der gemäß Absatz 2, gewählte Vorsitzende vertritt den Datenschutzrat nach außen.
  5. Absatz 5Die Geschäftsführung des Datenschutzrates obliegt dem Bundeskanzleramt. Der Bundeskanzler hat das hierfür notwendige Personal zur Verfügung zu stellen. Bei ihrer Tätigkeit für den Datenschutzrat sind die Bediensteten des Bundeskanzleramtes fachlich an die Weisungen des Vorsitzenden des Datenschutzrates gebunden.

Sitzungen und Beschlussfassung

Paragraph 23,

  1. Absatz einsDie Sitzungen des Datenschutzrates werden vom Vorsitzenden nach Bedarf einberufen. Jedes Mitglied des Datenschutzrates kann schriftlich die Einberufung des Datenschutzrates unter Angabe des gewünschten Verhandlungsgegenstandes begehren. Liegt ein solches Begehren vor, so hat der Vorsitzende die Sitzung so anzuberaumen, dass sie spätestens vier Wochen nach Einlangen des Begehrens stattfindet.
  2. Absatz 2Jedes Mitglied des Datenschutzrates ist – außer im Fall der gerechtfertigten Verhinderung – verpflichtet, an den Sitzungen des Datenschutzrates teilzunehmen. Nur bei Verhinderung des Mitglieds nimmt das Ersatzmitglied an der Sitzung teil.
  3. Absatz 3Für Beratungen und Beschlussfassung im Datenschutzrat ist die Anwesenheit von mehr als der Hälfte seiner Mitglieder oder Ersatzmitglieder erforderlich. Zur Beschlussfassung genügt die einfache Mehrheit der abgegebenen Stimmen. Bei Stimmengleichheit gibt die Stimme des Vorsitzenden den Ausschlag. Stimmenthaltung ist unzulässig. Minderheitenvoten sind zulässig.
  4. Absatz 4Bei dringlichen Angelegenheiten kann der Vorsitzende die stellvertretenden Vorsitzenden und je einen Vertreter der politischen Parteien (Paragraph 21, Absatz eins, Ziffer eins,) zu einer außerordentlichen Sitzung (Präsidium) einladen.
  5. Absatz 5Der Datenschutzrat kann aus seiner Mitte ständige oder nichtständige Arbeitsausschüsse bilden, denen er die Vorbereitung, Begutachtung und Bearbeitung einzelner Angelegenheiten übertragen kann. Er ist auch berechtigt, die Geschäftsführung, Vorbegutachtung und die Bearbeitung einzelner Angelegenheiten einem einzelnen Mitglied (Berichterstatter) zu übertragen.
  6. Absatz 6Der Leiter der Datenschutzbehörde ist berechtigt, an den Sitzungen des Datenschutzrates oder seiner Arbeitsausschüsse teilzunehmen. Ein Stimmrecht steht ihm nicht zu.
  7. Absatz 7Der Vorsitzende kann bei Bedarf Sachverständige zu den Sitzungen des Datenschutzrates oder zu Arbeitsausschüssen beiziehen. Auch zur Vorbereitung von Sitzungen des Datenschutzrates oder Arbeitsausschüssen kann der Vorsitzende des Datenschutzrates Experten des jeweiligen Fachgebietes beiziehen, soweit dies zur Klärung von Fragen von besonderer Bedeutung für den Datenschutz erforderlich ist.

Verschwiegenheitspflicht

Paragraph 24,

Die Beratungen in den Sitzungen des Datenschutzrates sind, soweit er nicht selbst anderes beschließt, nicht öffentlich. Die Mitglieder und Ersatzmitglieder des Datenschutzrates, der Leiter der Datenschutzbehörde sowie sein Stellvertreter und die zur Sitzung zugezogenen Sachverständigen sind zur Verschwiegenheit über alle ihnen ausschließlich aus ihrer Tätigkeit im Datenschutzrat bekanntgewordenen Tatsachen verpflichtet.

5. Abschnitt
Datenverarbeitungen zu spezifischen Zwecken

Verarbeitung zum Zweck der wissenschaftlichen Forschung und Statistik

Paragraph 25,

  1. Absatz einsFür Zwecke wissenschaftlicher oder statistischer Untersuchungen, die keine personenbezogenen Ergebnisse zum Ziel haben, darf der Verantwortliche der Untersuchung alle personenbezogenen Daten verarbeiten, die
    1. Ziffer eins
      öffentlich zugänglich sind,
    2. Ziffer 2
      er für andere Untersuchungen oder auch andere Zwecke zulässigerweise ermittelt hat oder
    3. Ziffer 3
      für ihn pseudonymisierte personenbezogene Daten sind und der Verantwortliche die Identität der betroffenen Person mit rechtlich zulässigen Mitteln nicht bestimmen kann.
  2. Absatz 2Bei Datenverarbeitungen für Zwecke wissenschaftlicher Forschung und Statistik, die nicht unter Absatz eins, fallen, dürfen personenbezogene Daten nur
    1. Ziffer eins
      gemäß besonderen gesetzlichen Vorschriften,
    2. Ziffer 2
      mit Einwilligung der betroffenen Person oder
    3. Ziffer 3
      mit Genehmigung der Datenschutzbehörde gemäß Absatz 3, verarbeitet werden.
  3. Absatz 3Eine Genehmigung der Datenschutzbehörde für die Verarbeitung von personenbezogenen Daten für Zwecke der wissenschaftlichen Forschung oder Statistik ist auf Antrag des Verantwortlichen der Untersuchung zu erteilen, wenn
    1. Ziffer eins
      die Einholung der Einwilligung der betroffenen Person mangels ihrer Erreichbarkeit unmöglich ist oder sonst einen unverhältnismäßigen Aufwand bedeutet,
    2. Ziffer 2
      ein öffentliches Interesse an der beantragten Verarbeitung besteht und
    3. Ziffer 3
      die fachliche Eignung des Verantwortlichen glaubhaft gemacht wird.
    Sollen besondere Kategorien personenbezogener Daten (Artikel 9, Absatz eins, DSGVO) ermittelt werden, muss ein wichtiges öffentliches Interesse an der Untersuchung vorliegen; weiters muss gewährleistet sein, dass die personenbezogenen Daten beim Verantwortlichen der Untersuchung nur von Personen verarbeitet werden, die hinsichtlich des Gegenstandes der Untersuchung einer gesetzlichen Verschwiegenheitspflicht unterliegen oder deren diesbezügliche Verlässlichkeit sonst glaubhaft ist. Die Datenschutzbehörde hat die Genehmigung an die Erfüllung von Bedingungen und Auflagen knüpfen, soweit dies zur Wahrung der schutzwürdigen Interessen der betroffenen Person notwendig ist.
  4. Absatz 4Einem Antrag nach Absatz 3, ist jedenfalls eine vom Verfügungsbefugten über die Datenbestände, aus denen die personenbezogenen Daten ermittelt werden sollen, unterfertigte Erklärung anzuschließen, dass er dem Verantwortlichen die Datenbestände für die Untersuchung zur Verfügung stellt. Anstelle dieser Erklärung kann auch ein diese Erklärung ersetzender Exekutionstitel (Paragraph 367, Absatz eins, EO) vorgelegt werden.
  5. Absatz 5Auch in jenen Fällen, in welchen die Verarbeitung von personenbezogenen Daten für Zwecke der wissenschaftlichen Forschung oder Statistik in personenbezogener Form zulässig ist, ist der Personenbezug unverzüglich zu verschlüsseln, wenn in einzelnen Phasen der wissenschaftlichen oder statistischen Arbeit mit personenbezogenen Daten gemäß Absatz eins, Ziffer 3, das Auslangen gefunden werden kann. Sofern gesetzlich nicht ausdrücklich anderes vorgesehen ist, ist der Personenbezug der Daten gänzlich zu beseitigen, sobald er für die wissenschaftliche oder statistische Arbeit nicht mehr notwendig ist.
  6. Absatz 6Rechtliche Beschränkungen der Zulässigkeit der Benützung von personenbezogenen Daten aus anderen, insbesondere urheberrechtlichen Gründen, bleiben unberührt.

Zurverfügungstellung von Adressen zur Benachrichtigung und Befragung von betroffenen Personen

Paragraph 26,

  1. Absatz einsSoweit gesetzlich nicht ausdrücklich anderes bestimmt ist, bedarf die Übermittlung von Adressdaten eines bestimmten Kreises von betroffenen Personen zum Zweck ihrer Benachrichtigung oder Befragung der Einwilligung der betroffenen Personen.
  2. Absatz 2Wenn allerdings eine Beeinträchtigung der Geheimhaltungsinteressen der betroffenen Personen angesichts der Auswahlkriterien für den Betroffenenkreis und des Gegenstands der Benachrichtigung oder Befragung unwahrscheinlich ist, bedarf es keiner Einwilligung, wenn
    1. Ziffer eins
      Daten desselben Verantwortlichen verarbeitet werden oder
    2. Ziffer 2
      bei einer beabsichtigten Übermittlung der Adressdaten an Dritte
      1. Litera a
        an der Benachrichtigung oder Befragung auch ein öffentliches Interesse besteht oder
      2. Litera b
        keiner der betroffenen Personen nach entsprechender Information über Anlass und Inhalt der Übermittlung innerhalb angemessener Frist Widerspruch gegen die Übermittlung erhoben hat.
  3. Absatz 3Liegen die Voraussetzungen des Absatz 2, nicht vor und würde die Einholung der Einwilligung der betroffenen Personen gemäß Absatz eins, einen unverhältnismäßigen Aufwand erfordern, ist die Übermittlung der Adressdaten mit Genehmigung der Datenschutzbehörde gemäß Absatz 4, zulässig, falls die Übermittlung an Dritte
    1. Ziffer eins
      zum Zweck der Benachrichtigung oder Befragung aus einem wichtigen Interesse des Betroffenen selbst,
    2. Ziffer 2
      aus einem wichtigen öffentlichen Benachrichtigungs- oder Befragungsinteresse oder
    3. Ziffer 3
      zur Befragung der betroffenen Personen für wissenschaftliche oder statistische Zwecke
    erfolgen soll.
  4. Absatz 4Die Datenschutzbehörde hat auf Antrag eines Verantwortlichen, der Adressdaten verarbeitet, die Genehmigung zur Übermittlung zu erteilen, wenn der Antragsteller das Vorliegen der in Absatz 3, genannten Voraussetzungen glaubhaft macht und überwiegende schutzwürdige Geheimhaltungsinteressen der betroffenen Personen der Übermittlung nicht entgegenstehen. Die Datenschutzbehörde hat die Genehmigung an die Erfüllung von Bedingungen und Auflagen knüpfen, soweit dies zur Wahrung der schutzwürdigen Interessen der betroffenen Personen notwendig ist.
  5. Absatz 5Die übermittelten Adressdaten dürfen ausschließlich für den genehmigten Zweck verarbeitet werden und sind zu löschen, sobald sie für die Benachrichtigung oder Befragung nicht mehr benötigt werden.
  6. Absatz 6Sofern es gemäß den vorstehenden Bestimmungen zulässig ist, Namen und Adresse von Personen, die einem bestimmten Betroffenenkreis angehören, zu übermitteln, dürfen auch die zum Zweck der Auswahl der zu übermittelnden Adressdaten notwendigen Verarbeitungen vorgenommen werden.

Freiheit der Meinungsäußerung und Informationsfreiheit

Paragraph 27,

Soweit dies erforderlich ist, um das Recht auf Schutz der personenbezogenen Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen, finden von der DSGVO die Kapitel römisch II (Grundsätze), mit Ausnahme des Artikel 5,, Kapitel römisch III (Rechte der betroffenen Person), Kapitel römisch IV (Verantwortlicher und Auftragsverarbeiter), mit Ausnahme der Artikel 28,, 29 und 32, Kapitel römisch fünf (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen), Kapitel römisch VI (Unabhängige Aufsichtsbehörden), Kapitel römisch VII (Zusammenarbeit und Kohärenz) und Kapitel römisch IX (Vorschriften für besondere Verarbeitungssituationen) auf die Verarbeitung, die zu journalistischen Zwecken oder zu wissenschaftlichen, künstlerischen oder literarischen Zwecken erfolgt, keine Anwendung. Von den Bestimmungen dieses Bundesgesetzes ist in solchen Fällen nur Paragraph 6, (Datengeheimnis) anzuwenden.

Verarbeitung personenbezogener Daten im Katastrophenfall

Paragraph 28,

  1. Absatz einsVerantwortliche des öffentlichen Bereichs und Hilfsorganisationen sind im Katastrophenfall ermächtigt, personenbezogene Daten gemeinsam zu verarbeiten, soweit dies zur Hilfeleistung für die von der Katastrophe unmittelbar betroffenen Personen, zur Auffindung und Identifizierung von Abgängigen und Verstorbenen und zur Information von Angehörigen notwendig ist.
  2. Absatz 2Wer rechtmäßig über personenbezogene Daten verfügt, darf diese an Verantwortliche des öffentlichen Bereichs und Hilfsorganisationen übermitteln, sofern diese die personenbezogenen Daten zur Bewältigung der Katastrophe für die in Absatz eins, genannten Zwecke benötigen.
  3. Absatz 3Eine Übermittlung von personenbezogenen Daten in das Ausland ist zulässig, soweit dies für die Erfüllung der in Absatz eins, genannten Zwecke unbedingt notwendig ist. Daten, die für sich allein die betroffene Person strafrechtlich belasten, dürfen nicht übermittelt werden, es sei denn, dass diese zur Identifizierung im Einzelfall unbedingt notwendig sind. Die Datenschutzbehörde ist von den veranlassten Übermittlungen und den näheren Umständen des Anlass gebenden Sachverhaltes unverzüglich zu verständigen. Die Datenschutzbehörde hat zum Schutz der Betroffenenrechte weitere Datenübermittlungen zu untersagen, wenn der durch die Datenweitergabe bewirkte Eingriff in das Grundrecht auf Datenschutz durch die besonderen Umstände der Katastrophensituation nicht gerechtfertigt ist.
  4. Absatz 4Auf Grund einer konkreten Anfrage eines nahen Angehörigen einer tatsächlich oder vermutlich von der Katastrophe unmittelbar betroffenen Person sind Verantwortliche ermächtigt, dem Anfragenden personenbezogene Daten zum Aufenthalt der betroffenen Person und dem Stand der Ausforschung zu übermitteln, wenn der Angehörige seine Identität und das Naheverhältnis glaubhaft darlegt. Besondere Kategorien personenbezogener Daten (Artikel 9, DSGVO) dürfen an nahe Angehörige nur übermittelt werden, wenn sie ihre Identität und ihre Angehörigeneigenschaft nachweisen und die Übermittlung zur Wahrung ihrer Rechte oder jener der betroffenen Person erforderlich ist. Die Sozialversicherungsträger und Behörden sind verpflichtet, die Verantwortlichen des öffentlichen Bereichs und Hilfsorganisationen zu unterstützen, soweit dies zur Überprüfung der Angaben des Anfragenden erforderlich ist.
  5. Absatz 5Als nahe Angehörige im Sinne dieser Bestimmung sind Eltern, Kinder, Ehegatten, eingetragene Partner und Lebensgefährten der betroffenen Personen zu verstehen. Andere Angehörige dürfen die erwähnten Auskünfte unter denselben Voraussetzungen wie nahe Angehörige dann erhalten, wenn sie eine besondere Nahebeziehung zu der von der Katastrophe tatsächlich oder vermutlich unmittelbar betroffenen Person glaubhaft machen.
  6. Absatz 6Die zu Zwecken der Bewältigung des Katastrophenfalles verarbeiteten personenbezogenen Daten sind unverzüglich zu löschen, wenn sie für die Erfüllung des konkreten Zwecks nicht mehr benötigt werden.

Verarbeitung personenbezogener Daten im Beschäftigungskontext

Paragraph 29,

Das Arbeitsverfassungsgesetz (ArbVG), Bundesgesetzblatt Nr. 22 aus 1974,, ist eine Vorschrift im Sinne des Artikel 88, DSGVO. Die dem Betriebsrat nach dem ArbVG zustehenden Befugnisse bleiben unberührt.

6. Abschnitt
Bildverarbeitung

Zulässigkeit der Bildaufnahme

Paragraph 30,

  1. Absatz einsEine Bildaufnahme im Sinne dieses Abschnittes bezeichnet die durch Verwendung technischer Einrichtungen zur Bildverarbeitung vorgenommene Feststellung von Ereignissen im öffentlichen oder nicht-öffentlichen Raum zu privaten Zwecken. Zur Bildaufnahme gehören auch dabei mitverarbeitete akustische Informationen. Für eine derartige Bildaufnahme gilt dieser Abschnitt, soweit nicht durch andere Gesetze Besonderes bestimmt ist.
  2. Absatz 2Eine Bildaufnahme ist unter Berücksichtigung der Vorgaben gemäß Paragraphen 32 und 33 zulässig, wenn
    1. Ziffer eins
      sie im lebenswichtigen Interesse einer Person erforderlich ist,
    2. Ziffer 2
      die betroffene Person zur Verarbeitung ihrer personenbezogenen Daten eingewilligt hat,
    3. Ziffer 3
      sie durch besondere gesetzliche Bestimmungen angeordnet oder erlaubt ist, oder
    4. Ziffer 4
      im Einzelfall überwiegende berechtigte Interessen des Verantwortlichen oder eines Dritten bestehen und die Verhältnismäßigkeit gegeben ist.
  3. Absatz 3Eine Bildaufnahme ist gemäß Absatz 2, Ziffer 4, insbesondere dann zulässig, wenn
    1. Ziffer eins
      sie dem vorbeugenden Schutz von Personen oder Sachen auf privaten Liegenschaften, die ausschließlich vom Verantwortlichen genutzt werden, dient, und räumlich nicht über die Liegenschaft hinausreicht, mit Ausnahme einer zur Zweckerreichung allenfalls unvermeidbaren Einbeziehung öffentlicher Verkehrsflächen,
    2. Ziffer 2
      sie für den vorbeugenden Schutz von Personen oder Sachen an öffentlich zugänglichen Orten, die dem Hausrecht des Verantwortlichen unterliegen, aufgrund bereits erfolgter Rechtsverletzungen oder eines in der Natur des Ortes liegenden besonderen Gefährdungspotenzials erforderlich ist und kein gelinderes geeignetes Mittel zur Verfügung steht, oder
    3. Ziffer 3
      sie ein privates Dokumentationsinteresse verfolgt, das nicht auf die identifizierende Erfassung unbeteiligter Personen oder die gezielte Erfassung von Objekten, die sich zur mittelbaren Identifizierung solcher Personen eignen, gerichtet ist.
  4. Absatz 4Unzulässig ist
    1. Ziffer eins
      eine Bildaufnahme ohne ausdrückliche Einwilligung der betroffenen Person in deren höchstpersönlichen Lebensbereich,
    2. Ziffer 2
      eine Bildaufnahme zum Zweck der Kontrolle von Arbeitnehmern,
    3. Ziffer 3
      der automationsunterstützte Abgleich von mittels Bildaufnahmen gewonnenen personenbezogenen Daten mit anderen personenbezogenen Daten oder
    4. Ziffer 4
      die Auswertung von mittels Bildaufnahmen gewonnenen personenbezogenen Daten anhand von besonderen Kategorien personenbezogener Daten (Artikel 9, DSGVO) als Auswahlkriterium.

Zulässigkeit der Übermittlung der Bildaufnahme

Paragraph 31,

Im Wege einer zulässigen Bildaufnahme ermittelte personenbezogene Daten dürfen im erforderlichen Ausmaß übermittelt werden, wenn für die Übermittlung eine der Voraussetzungen des Paragraph 30, Absatz 2, Ziffer eins bis 4 gegeben ist. Paragraph 30, Absatz 4, gilt sinngemäß.

Besondere Datensicherheitsmaßnahmen

Paragraph 32,

  1. Absatz einsDer Verantwortliche hat dem Risiko des Eingriffs angepasste geeignete Datensicherheitsmaßnahmen zu ergreifen und dafür zu sorgen, dass der Zugang zur Bildaufnahme und eine nachträgliche Veränderung derselben durch Unbefugte ausgeschlossen ist.
  2. Absatz 2Der Verantwortliche hat – außer in den Fällen einer Echtzeitüberwachung – jeden Verarbeitungsvorgang zu protokollieren.
  3. Absatz 3Aufgenommene personenbezogene Daten sind vom Verantwortlichen zu löschen, wenn sie für den Zweck, für den sie ermittelt wurden, nicht mehr benötigt werden und keine andere gesetzlich vorgesehene Aufbewahrungspflicht besteht. Eine länger als 72 Stunden andauernde Aufbewahrung muss verhältnismäßig sein und ist gesondert zu protokollieren und zu begründen.
  4. Absatz 4Die Absatz eins bis 3 finden keine Anwendung auf Bildaufnahmen nach Paragraph 30, Absatz 3, Ziffer 3,

Kennzeichnung

Paragraph 33,

  1. Absatz einsDer Verantwortliche einer Bildaufnahme hat diese geeignet zu kennzeichnen. Aus der Kennzeichnung hat jedenfalls der Verantwortliche eindeutig hervorzugehen, es sei denn, dieser ist den betroffenen Personen nach den Umständen des Falles bereits bekannt.
  2. Absatz 2Die Kennzeichnungspflicht gilt nicht in den Fällen des Paragraph 30, Absatz 3, Ziffer 3 und für zeitlich strikt zu begrenzende Verarbeitungen im Einzelfall, deren Zweck ausschließlich mittels einer verdeckten Ermittlung erreicht werden kann, unter der Bedingung, dass der Verantwortliche ausreichende Garantien zur Wahrung der Betroffeneninteressen vorsieht, insbesondere durch eine nachträgliche Information der betroffenen Personen.
  3. Absatz 3Werden entgegen Absatz eins, keine ausreichenden Informationen bereitgestellt, kann jeder von einer Verarbeitung potenziell Betroffene vom Eigentümer oder Nutzungsberechtigten einer Liegenschaft oder eines Gebäudes oder sonstigen Objekts, von dem aus eine solche Verarbeitung augenscheinlich ausgeht, Auskunft über die Identität des Verantwortlichen begehren. Die unbegründete Nichterteilung einer derartigen Auskunft ist einer Verweigerung der Auskunft nach Artikel 15, DSGVO gleichzuhalten.

3. Hauptstück
Verarbeitung personenbezogener Daten für Zwecke der Sicherheitspolizei, des polizeilichen Staatsschutzes, des militärischen Eigenschutzes, der Aufklärung und Verfolgung von Straftaten, der Strafvollstreckung und des Maßnahmenvollzugs

1. Abschnitt
Allgemeine Bestimmungen

Anwendungsbereich

Paragraph 34,

Die Bestimmungen dieses Hauptstücks gelten für die Verarbeitung personenbezogener Daten durch zuständige Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, sowie zum Zweck der nationalen Sicherheit, des Nachrichtendienstes und der militärische Eigensicherung.

Begriffsbestimmungen

Paragraph 35,

Im Sinne dieses Hauptstücks bezeichnet der Ausdruck:

  1. Ziffer eins
    „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
  2. Ziffer 2
    „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
  3. Ziffer 3
    „Einschränkung der Verarbeitung“ die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken;
  4. Ziffer 4
    „Profiling“ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;
  5. Ziffer 5
    „Pseudonymisierung“ die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden;
  6. Ziffer 6
    „Dateisystem“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;
  7. Ziffer 7
    „zuständige Behörde“
    1. Litera a
      eine staatliche Stelle, die für die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, zuständig ist, oder
    2. Litera b
      eine andere Stelle oder Einrichtung, der durch das Recht der Mitgliedstaaten die Ausübung öffentlicher Gewalt und hoheitlicher Befugnisse zur Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder zur Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, übertragen wurde;
  8. Ziffer 8
    „Verantwortlicher“ die zuständige Behörde, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet;
  9. Ziffer 9
    „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;
  10. Ziffer 10
    „Empfänger“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, denen personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags aufgrund von Gesetzen möglicherweise personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften gemäß den Zwecken der Verarbeitung;
  11. Ziffer 11
    „Verletzung des Schutzes personenbezogener Daten“ eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden;
  12. Ziffer 12
    „genetische Daten“ personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person, die eindeutige Informationen über die Physiologie oder die Gesundheit dieser natürlichen Person liefern und insbesondere aus der Analyse einer biologischen Probe der betreffenden natürlichen Person gewonnen wurden;
  13. Ziffer 13
    „biometrische Daten“ mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten;
  14. Ziffer 14
    „Gesundheitsdaten“ personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen;
  15. Ziffer 15
    „Aufsichtsbehörde“ ist die Datenschutzbehörde;
  16. Ziffer 16
    „internationale Organisation“ eine völkerrechtliche Organisation und ihre nachgeordneten Stellen oder jede sonstige Einrichtung, die durch eine zwischen zwei oder mehr Ländern geschlossene Übereinkunft oder auf der Grundlage einer solchen Übereinkunft geschaffen wurde.

Grundsätze für die Datenverarbeitung

Paragraph 36,

  1. Absatz einsPersonenbezogene Daten
    1. Ziffer eins
      müssen auf rechtmäßige Weise und nach Treu und Glauben verarbeitet werden,
    2. Ziffer 2
      müssen für festgelegte, eindeutige und rechtmäßige Zwecke erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden,
    3. Ziffer 3
      müssen dem Verarbeitungszweck entsprechen und müssen maßgeblich sein und dürfen in Bezug auf die Zwecke, für die sie verarbeitet werden, nicht übermäßig sein,
    4. Ziffer 4
      müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; dabei sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden,
    5. Ziffer 5
      dürfen nicht länger, als es für die Zwecke, für die sie verarbeitet werden, erforderlich ist, in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht,
    6. Ziffer 6
      müssen in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen.
  2. Absatz 2Für die Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke im Anwendungsbereich des Paragraph 34, gilt Paragraph 38,
  3. Absatz 3Der Verantwortliche ist für die Einhaltung der Absatz eins und 2 verantwortlich und muss deren Einhaltung nachweisen können.

Kategorisierung und Datenqualität

Paragraph 37,

  1. Absatz einsSoweit möglich und zumutbar, ist zwischen den personenbezogenen Daten insbesondere folgender Kategorien betroffener Personen zu unterscheiden:
    1. Ziffer eins
      Personen, die aufgrund bestimmter Tatsachen konkret verdächtig sind, eine strafbare Handlung begangen zu haben,
    2. Ziffer 2
      Personen, gegen die aufgrund bestimmter Tatsachen der begründete Verdacht besteht, dass sie in naher Zukunft eine strafbare Handlung begehen werden,
    3. Ziffer 3
      verurteilte Straftäter,
    4. Ziffer 4
      Opfer einer Straftat oder Personen, bei denen bestimmte Tatsachen die Annahme rechtfertigen, dass sie Opfer einer Straftat sind, und
    5. Ziffer 5
      sonstige Personen, die im Zusammenhang mit einer Straftat stehen, insbesondere Personen, die als Zeugen in Betracht kommen, Personen, die Hinweise zur Straftat geben können, oder Personen, die mit den in Ziffer eins bis 3 genannten Personen in Kontakt oder in Verbindung stehen.
  2. Absatz 2Soweit möglich ist zwischen faktenbasierten und auf persönlichen Einschätzungen beruhenden personenbezogenen Daten zu unterscheiden. Auf persönlichen Einschätzungen beruhende personenbezogene Daten sind entsprechend zu kennzeichnen und soweit möglich und zumutbar mit einer Begründung zu versehen, welche die Nachvollziehbarkeit der Einschätzung ermöglicht.
  3. Absatz 3Unrichtige, unvollständige, nicht mehr aktuelle oder zu löschende personenbezogene Daten dürfen weder übermittelt noch zum automatisierten Abruf aus Dateisystemen bereitgestellt werden. Die Behörde hat zu diesem Zweck vor einer Übermittlung die Datenqualität soweit möglich entsprechend zu überprüfen. Zum automatisierten Abruf bereit gehaltene personenbezogene Daten sind entsprechend laufend vollständig und aktuell zu halten.
  4. Absatz 4Bei jeder Übermittlung personenbezogener Daten sind soweit möglich die zur Beurteilung der Aktualität, Richtigkeit, Vollständigkeit und Zuverlässigkeit der personenbezogenen Daten durch den Empfänger erforderlichen Informationen beizufügen.
  5. Absatz 5Wird von Amts wegen oder infolge einer Mitteilung eines Betroffenen festgestellt, dass personenbezogene Daten übermittelt worden sind, die nicht den Anforderungen nach Absatz 3, entsprechen, teilt die übermittelnde bzw. dateisystemführende Dienststelle und Behörde dies der empfangenden Dienststelle und Behörde unverzüglich mit. Letztere hat unverzüglich die Löschung unrechtmäßig übermittelter Daten, die Berichtigung unrichtiger Daten, die Ergänzung unvollständiger Daten oder eine Einschränkung der Verarbeitung vorzunehmen.
  6. Absatz 6Hat die empfangende Dienststelle oder Behörde Grund zur Annahme, dass übermittelte personenbezogene Daten unrichtig oder nicht aktuell sind oder zu löschen oder in der Verarbeitung einzuschränken wären, so unterrichtet sie die übermittelnde Dienststelle oder Behörde unverzüglich hierüber. Letztere ergreift unverzüglich die erforderlichen Maßnahmen.

    Rechtmäßigkeit der Verarbeitung

Paragraph 38,

Die Verarbeitung personenbezogener Daten ist, soweit sie nicht zur Wahrung lebenswichtiger Interessen einer Person erforderlich ist, nur rechtmäßig, soweit sie gesetzlich oder in unmittelbar anwendbaren Rechtsvorschriften, die innerstaatlich den Rang eines Gesetzes haben, vorgesehen und für die Erfüllung einer Aufgabe erforderlich und verhältnismäßig ist, die von der zuständigen Behörde zu den in Paragraph 34, genannten Zwecken wahrgenommenen wird.

Verarbeitung besonderer Kategorien personenbezogener Daten

Paragraph 39,

Die Verarbeitung personenbezogener Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person für die in Paragraph 34, genannten Zwecke ist nur zulässig, wenn die Verarbeitung unbedingt erforderlich ist und wirksame Maßnahmen zum Schutz der Rechte und Freiheiten der betroffenen Personen getroffen werden und

  1. Ziffer eins
    die Verarbeitung gemäß Paragraph 38, zulässig ist oder
  2. Ziffer 2
    sie sich auf Daten bezieht, die die betroffene Person offensichtlich selbst öffentlich gemacht hat.

Verarbeitung für andere Zwecke und Übermittlung

Paragraph 40,

  1. Absatz einsEine Verarbeitung von personenbezogenen Daten nach den Bestimmungen dieses Hauptstücks durch denselben oder einen anderen Verantwortlichen für einen anderen Verarbeitungszweck, als jenen, für den sie erhoben wurden, ist nur zulässig, wenn dieser andere Zweck vom Anwendungsbereich des Paragraph 34, umfasst ist und die Voraussetzungen der Paragraphen 38 und 39 erfüllt sind.
  2. Absatz 2Die Übermittlung von nach den Bestimmungen dieses Hauptstücks verarbeiteten personenbezogenen Daten für einen nicht in Paragraph 34, genannten Zweck ist nur zulässig, wenn dies gesetzlich oder in unmittelbar anwendbaren Rechtsvorschriften, die innerstaatlich den Rang eines Gesetzes haben, ausdrücklich vorgesehen ist und der Empfänger zur Verarbeitung dieser personenbezogenen Daten für diesen anderen Zweck befugt ist.
  3. Absatz 3Unterliegt die Verarbeitung von personenbezogenen Daten besonderen Bedingungen, so hat die übermittelnde zuständige Behörde den Empfänger der personenbezogenen Daten darauf hinzuweisen, dass diese Bedingungen gelten und einzuhalten sind. Die Übermittlung an Empfänger in anderen Mitgliedstaaten oder nach Titel römisch fünf Kapitel 4 und 5 AEUV errichtete Einrichtungen und sonstige Stellen darf keinen Bedingungen unterworfen werden, die nicht auch für entsprechende Datenübermittlungen im Inland gelten.

Automatisierte Entscheidungsfindung im Einzelfall

Paragraph 41,

  1. Absatz einsAusschließlich auf einer automatischen Verarbeitung beruhende Entscheidungen einschließlich Profiling, die für die betroffene Person nachteilige Rechtsfolgen haben oder sie erheblich beeinträchtigen können, sind nur zulässig, soweit sie gesetzlich oder in unmittelbar anwendbaren Rechtsvorschriften, die innerstaatlich den Rang eines Gesetzes haben, ausdrücklich vorgesehen sind.
  2. Absatz 2Entscheidungen nach Absatz eins, dürfen nur auf besonderen Kategorien personenbezogener Daten nach Paragraph 39, beruhen, wenn und soweit wirksame Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen wurden.
  3. Absatz 3Entscheidungen nach Absatz eins,, die zur Folge haben, dass natürliche Personen auf Grundlage von personenbezogenen Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung diskriminiert werden, sind verboten.

2. Abschnitt
Rechte der betroffenen Person

Grundsätze

Paragraph 42,

  1. Absatz einsDer Verantwortliche hat der betroffenen Person alle Informationen und Mitteilungen gemäß Paragraphen 43 bis 45, die sich auf die Verarbeitung beziehen, in möglichst präziser, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. Die Informationen sind in geeigneter Form, im Falle eines Antrags nach Möglichkeit in der gleichen Form wie der Antrag, zu übermitteln.
  2. Absatz 2Der Verantwortliche hat den betroffenen Personen die Ausübung der ihnen gemäß Paragraphen 43 bis 45 zustehenden Rechte zu erleichtern.
  3. Absatz 3Der Verantwortliche hat die betroffene Person unverzüglich schriftlich darüber in Kenntnis zu setzen, wie mit ihrem Antrag verfahren wurde.
  4. Absatz 4Der Verantwortliche stellt der betroffenen Person Informationen über die aufgrund eines Antrags gemäß Paragraphen 44 bis 45 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.
  5. Absatz 5Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.
  6. Absatz 6Informationen gemäß Paragraph 43, sowie alle Mitteilungen und Maßnahmen gemäß den Paragraphen 44 und 45 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder — insbesondere im Fall von häufiger Wiederholung — exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder
    1. Ziffer eins
      ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder
    2. Ziffer 2
      sich weigern, aufgrund des Antrags tätig zu werden.
    Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.
  7. Absatz 7Der Verantwortliche kann zur Bestätigung der Identität der Person, die einen Antrag gemäß Paragraph 44, oder Paragraph 45, gestellt hat, erforderliche zusätzliche Informationen verlangen.
  8. Absatz 8In den Fällen der Paragraphen 43, Absatz 4,, 44 Absatz 3 und 45 Absatz 4, ist die betroffene Person berechtigt, eine Überprüfung der Rechtmäßigkeit der bezüglichen Einschränkung ihrer Rechte durch die Datenschutzbehörde zu verlangen. Der Verantwortliche hat die betroffene Person über dieses Recht zu unterrichten.
  9. Absatz 9Wird das in Absatz 8, genannte Recht ausgeübt, hat die Datenschutzbehörde die betroffene Person zumindest darüber zu unterrichten, dass alle erforderlichen Prüfungen oder eine Überprüfung durch die Datenschutzbehörde erfolgt sind. Die Datenschutzbehörde hat zudem die betroffene Person über ihr Recht zu unterrichten, Beschwerde an das Bundesverwaltungsgericht zu erheben.

Information der betroffenen Person

Paragraph 43,

  1. Absatz einsDer Verantwortliche hat der betroffenen Person zumindest die folgenden Informationen zur Verfügung zu stellen:
    1. Ziffer eins
      den Namen und die Kontaktdaten des Verantwortlichen,
    2. Ziffer 2
      gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten,
    3. Ziffer 3
      die Zwecke, für die die personenbezogenen Daten verarbeitet werden,
    4. Ziffer 4
      das Bestehen eines Beschwerderechts bei der Aufsichtsbehörde sowie deren Kontaktdaten,
    5. Ziffer 5
      das Bestehen eines Rechts auf Auskunft und Berichtigung oder Löschung personenbezogener Daten und Einschränkung der Verarbeitung der personenbezogenen Daten der betroffenen Person durch den Verantwortlichen.
  2. Absatz 2Zusätzlich zu den in Absatz eins, genannten Informationen hat der Verantwortliche der betroffenen Person in besonderen Fällen die folgenden zusätzlichen Informationen zu erteilen, um die Ausübung der Rechte der betroffenen Person zu ermöglichen:
    1. Ziffer eins
      die Rechtsgrundlage der Verarbeitung,
    2. Ziffer 2
      die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer,
    3. Ziffer 3
      gegebenenfalls die Kategorien von Empfängern der personenbezogenen Daten, auch der Empfänger in Drittländern oder in internationalen Organisationen,
    4. Ziffer 4
      erforderlichenfalls weitere Informationen, insbesondere wenn die personenbezogenen Daten ohne Wissen der betroffenen Person erhoben werden.
  3. Absatz 3Im Fall der Erhebung der personenbezogenen Daten bei der betroffenen Person müssen der betroffenen Person die Informationen nach den Vorgaben des Absatz eins und 2 zum Zeitpunkt der Erhebung vorliegen. In allen übrigen Fällen findet Artikel 14, Absatz 3, DSGVO Anwendung. Die Information gemäß Absatz eins und 2 kann entfallen, wenn die Daten nicht durch Befragung des Betroffenen, sondern durch Übermittlung von Daten aus anderen Aufgabengebieten desselben Verantwortlichen oder aus Anwendungen anderer Verantwortlicher ermittelt und die Datenverarbeitung durch Gesetz vorgesehen ist.
  4. Absatz 4Die Unterrichtung der betroffenen Person gemäß Absatz 3, kann unterbleiben, soweit und solange dies im Einzelfall unbedingt erforderlich und verhältnismäßig ist
    1. Ziffer eins
      zur Gewährleistung, dass die Verhütung, Aufdeckung, Ermittlung oder Verfolgung von Straftaten oder die Strafvollstreckung nicht beeinträchtigt werden, insbesondere durch die Behinderung behördlicher oder gerichtlicher Untersuchungen, Ermittlungen oder Verfahren,
    2. Ziffer 2
      zum Schutz der öffentlichen Sicherheit,
    3. Ziffer 3
      zum Schutz der nationalen Sicherheit,
    4. Ziffer 4
      zum Schutz der verfassungsmäßigen Einrichtungen der Republik Österreich,
    5. Ziffer 5
      zum Schutz der militärischen Eigensicherung oder
    6. Ziffer 6
      zum Schutz der Rechte und Freiheiten anderer.

Auskunftsrecht der betroffenen Person

Paragraph 44,

  1. Absatz einsJede betroffene Person hat das Recht, vom Verantwortlichen eine Bestätigung darüber zu erhalten, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie das Recht, Auskunft über personenbezogene Daten und zu folgenden Informationen zu erhalten:
    1. Ziffer eins
      die Zwecke der Verarbeitung und deren Rechtsgrundlage,
    2. Ziffer 2
      die Kategorien personenbezogener Daten, die verarbeitet werden,
    3. Ziffer 3
      die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen,
    4. Ziffer 4
      falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer,
    5. Ziffer 5
      das Bestehen eines Rechts auf Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung personenbezogener Daten der betroffenen Person durch den Verantwortlichen,
    6. Ziffer 6
      das Bestehen eines Beschwerderechts bei der Datenschutzbehörde sowie deren Kontaktdaten und
    7. Ziffer 7
      Mitteilung zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, sowie alle verfügbaren Informationen über die Herkunft der Daten.
  2. Absatz 2Für die Auskünfte nach Absatz eins, gelten die Fristen gemäß Artikel 12, DSGVO. Einschränkungen des Auskunftsrechts sind nur unter den in Paragraph 43, Absatz 4, angeführten Voraussetzungen zulässig.
  3. Absatz 3Im Falle einer Nichterteilung der Auskunft gemäß Absatz 2, hat der Verantwortliche die betroffene Person unverzüglich schriftlich über die Verweigerung oder die Einschränkung der Auskunft und die Gründe hierfür zu unterrichten. Dies gilt nicht, wenn die Erteilung dieser Informationen einem der in Paragraph 43, Absatz 4, genannten Zwecke zuwiderliefe. Der Verantwortliche hat die betroffene Person über die Möglichkeit zu unterrichten, Beschwerde bei der Datenschutzbehörde einzulegen.
  4. Absatz 4Der Verantwortliche hat die Gründe für die Entscheidung über die Nichterteilung der Auskunft gemäß Absatz 2, zu dokumentieren. Diese Angaben sind der Datenschutzbehörde zur Verfügung zu stellen.
  5. Absatz 5In dem Umfang, in dem eine Datenverarbeitung für eine betroffene Person hinsichtlich der zu ihr verarbeiteten Daten von Gesetzes wegen einsehbar ist, hat diese das Recht auf Auskunft nach Maßgabe der das Einsichtsrecht vorsehenden Bestimmungen. Für das Verfahren der Einsichtnahme (einschließlich deren Verweigerung) gelten die näheren Regelungen des Gesetzes, das das Einsichtsrecht vorsieht. In Absatz eins, genannte Bestandteile einer Auskunft, die vom Einsichtsrecht nicht umfasst sind, können dennoch nach diesem Bundesgesetz geltend gemacht werden.

Recht auf Berichtigung oder Löschung personenbezogener Daten und auf Einschränkung der Verarbeitung

Paragraph 45,

  1. Absatz einsJede betroffene Person hat das Recht, vom Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger personenbezogener Daten sowie die Vervollständigung unvollständiger personenbezogener Daten zu verlangen. Die Berichtigung oder Vervollständigung kann erforderlichenfalls mittels einer ergänzenden Erklärung erfolgen, soweit eine nachträgliche Änderung mit dem Dokumentationszweck unvereinbar ist. Der Beweis der Richtigkeit der Daten obliegt dem Verantwortlichen, soweit die personenbezogenen Daten nicht ausschließlich aufgrund von Angaben der betroffenen Person ermittelt wurden.
  2. Absatz 2Der Verantwortliche hat personenbezogene Daten aus eigenem oder über Antrag der betroffenen Person unverzüglich zu löschen, wenn
    1. Ziffer eins
      die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind,
    2. Ziffer 2
      die personenbezogenen Daten unrechtmäßig verarbeitet wurden oder
    3. Ziffer 3
      die Löschung der personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist.
  3. Absatz 3Anstatt die personenbezogenen Daten zu löschen, kann der Verantwortliche deren Verarbeitung einschränken, wenn
    1. Ziffer eins
      die betroffene Person die Richtigkeit der personenbezogenen Daten bestreitet und die Richtigkeit oder Unrichtigkeit nicht festgestellt werden kann, oder
    2. Ziffer 2
      die personenbezogenen Daten für Beweiszwecke im Rahmen der Wahrnehmung einer ihm gesetzlich übertragenen Aufgabe weiter aufbewahrt werden müssen.
    Im Falle einer Einschränkung gemäß Ziffer eins, hat der Verantwortliche die betroffene Person vor einer Aufhebung der Einschränkung zu unterrichten.
  4. Absatz 4Der Verantwortliche hat die betroffene Person schriftlich über eine Verweigerung der Berichtigung oder Löschung personenbezogener Daten oder eine Einschränkung der Verarbeitung und über die Gründe für die Verweigerung zu unterrichten. Der Verantwortliche hat die betroffene Person über die Möglichkeit zu unterrichten, bei der Datenschutzbehörde Beschwerde einzulegen.
  5. Absatz 5Der Verantwortliche hat die Berichtigung von unrichtigen personenbezogenen Daten der zuständigen Behörde, von der die unrichtigen personenbezogenen Daten stammen, mitzuteilen.
  6. Absatz 6In Fällen der Berichtigung, Löschung oder Einschränkung der Verarbeitung gemäß Absatz eins bis 3 hat der Verantwortliche alle Empfänger der betroffenen personenbezogenen Daten in Kenntnis zu setzen. Die Empfänger sind verpflichtet, die ihrer Verantwortung unterliegenden personenbezogenen Daten unverzüglich zu berichtigen, löschen oder deren Verarbeitung einschränken.
  7. Absatz 7Artikel 12, DSGVO findet sinngemäß Anwendung.

3. Abschnitt
Verantwortlicher und Auftragsverarbeiter

Pflichten des Verantwortlichen

Paragraph 46,

Der Verantwortliche hat die in Artikel 24, Absatz eins und 2 sowie Artikel 25, Absatz eins und 2 DSGVO angeführten Verpflichtungen in Bezug auf die Übereinstimmung der Verarbeitung mit den Bestimmungen dieses Hauptstücks einzuhalten.

Gemeinsam Verantwortliche

Paragraph 47,

Zwei oder mehr Verantwortliche, die gemeinsam die Zwecke und die Mittel zur Verarbeitung festlegen, sind gemeinsam Verantwortliche. Sie haben in einer Vereinbarung in transparenter Form ihre jeweiligen Aufgaben nach diesem Bundesgesetz festzulegen, insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht, und wer welchen Informationspflichten gemäß Paragraph 43, nachkommt, sofern und soweit die jeweiligen Aufgaben der Verantwortlichen nicht gesetzlich festgelegt sind. In der Vereinbarung ist eine Anlaufstelle für die betroffenen Personen anzugeben.

Auftragsverarbeiter und Aufsicht über die Verarbeitung

Paragraph 48,

  1. Absatz einsErfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.
  2. Absatz 2Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte schriftliche Genehmigung des Verantwortlichen in Anspruch.
  3. Absatz 3Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder aufgrund ausdrücklicher gesetzlicher Ermächtigung, der oder das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind. Dieser Vertrag oder dieses andere Rechtsinstrument sieht insbesondere vor, dass der Auftragsverarbeiter
    1. Ziffer eins
      die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation — verarbeitet, sofern er nicht durch das Unionsrecht oder durch Gesetze, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet;
    2. Ziffer 2
      gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
    3. Ziffer 3
      alle gemäß Paragraph 54, erforderlichen Maßnahmen ergreift;
    4. Ziffer 4
      die in den Absatz 2 und 4 genannten Bedingungen für die Inanspruchnahme der Dienste eines weiteren Auftragsverarbeiters einhält;
    5. Ziffer 5
      angesichts der Art der Verarbeitung den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützt, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in diesem Hauptstück genannten Rechte der betroffenen Person nachzukommen;
    6. Ziffer 6
      unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen bei der Einhaltung der in den Paragraphen 52 bis 56 genannten Pflichten unterstützt;
    7. Ziffer 7
      nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder löscht oder zurückgibt, sofern nicht nach dem Unionsrecht oder aufgrund von Gesetzen eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht;
    8. Ziffer 8
      dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Absatz eins bis 6 niedergelegten Pflichten zur Verfügung stellt und Überprüfungen — einschließlich Inspektionen –, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglicht und dazu beiträgt.
    Im Hinblick auf Litera h, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen dieses Hauptstücks oder gegen andere Datenschutzbestimmungen der Union oder gesetzliche Datenschutzbestimmungen verstößt.
  4. Absatz 4Nimmt der Auftragsverarbeiter die Dienste eines weiteren Auftragsverarbeiters in Anspruch, um bestimmte Verarbeitungstätigkeiten im Namen des Verantwortlichen auszuführen, so werden diesem weiteren Auftragsverarbeiter im Wege eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder aufgrund von Gesetzen dieselben Datenschutzpflichten auferlegt, die in dem Vertrag oder anderen Rechtsinstrument zwischen dem Verantwortlichen und dem Auftragsverarbeiter gemäß Absatz 3, festgelegt sind, wobei insbesondere hinreichende Garantien dafür geboten werden muss, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen dieses Hauptstücks erfolgt. Kommt der weitere Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes anderen Auftragsverarbeiters.
  5. Absatz 5Der Vertrag oder das andere Rechtsinstrument im Sinne der Absatz 3 und 4 ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann.
  6. Absatz 6Der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, es sei denn, dass sie nach dem Unionsrecht oder aufgrund von Gesetzen zur Verarbeitung verpflichtet sind.
  7. Absatz 7Ein Auftragsverarbeiter, der unter Verstoß gegen dieses Hauptstück die Zwecke und Mittel der Verarbeitung bestimmt, gilt in Bezug auf diese Verarbeitung als Verantwortlicher.

Verzeichnis von Verarbeitungstätigkeiten

Paragraph 49,

  1. Absatz einsJeder Verantwortliche hat sinngemäß nach Maßgabe des Artikel 30, Absatz eins bis 4 DSGVO ein Verzeichnis von Verarbeitungstätigkeiten zu führen, wobei sich die Verweise in Artikel 30, Absatz eins, Litera g und Absatz 2, Litera c, DSGVO auf Paragraph 54, beziehen und die Bezugnahme auf einen Vertreter des Verantwortlichen oder des Auftragsverarbeiters gegenstandslos ist.
  2. Absatz 2Das Verzeichnis gemäß Absatz eins, hat auch Angaben zu enthalten über
    1. Ziffer eins
      die Verwendung von Profiling, wenn eine solche Verwendung vorgenommen wird, und
    2. Ziffer 2
      die Rechtsgrundlage der Verarbeitung, einschließlich der Übermittlungen, für die die personenbezogenen Daten bestimmt sind.

Protokollierung

Paragraph 50,

  1. Absatz einsJeder Verarbeitungsvorgang ist in geeigneter Weise so zu protokollieren, dass die Zulässigkeit der Verarbeitung nachvollzogen und überprüft werden kann.
  2. Absatz 2In automatisierten Verarbeitungssystemen sind alle Verarbeitungsvorgänge in automatisierter Form zu protokollieren. Aus diesen Protokolldaten müssen zumindest der Zweck, die verarbeiteten Daten, das Datum und die Uhrzeit der Verarbeitung, die Identität der Person, die die personenbezogenen Daten verarbeitet hat, sowie die Identität eines allfälligen Empfängers solcher personenbezogenen Daten hervorgehen.
  3. Absatz 3In nicht automatisierten Verarbeitungssystemen sind zumindest Abfragen und Offenlegungen einschließlich Übermittlungen, Veränderungen sowie Löschungen zu protokollieren. Für diese Protokolldaten gilt Absatz 2, zweiter Satz.
  4. Absatz 4Die Protokolle dürfen ausschließlich zur Überprüfung der Rechtmäßigkeit der Datenverarbeitung einschließlich der Eigenüberwachung, der Gewährleistung von Integrität und Sicherheit der personenbezogenen Daten sowie in gerichtlichen Strafverfahren verwendet werden.
  5. Absatz 5Der Verantwortliche und der Auftragsverarbeiter haben der Datenschutzbehörde auf deren Verlangen die Protokolle zur Verfügung zu stellen.

Zusammenarbeit mit der Datenschutzbehörde

Paragraph 51,

Der Verantwortliche und der Auftragsverarbeiter sind verpflichtet, über Aufforderung mit der Datenschutzbehörde bei der Erfüllung ihrer Aufgaben zusammenzuarbeiten.

Datenschutz-Folgenabschätzung

Paragraph 52,

Der Verantwortliche hat zum Schutz der Rechte und berechtigten Interessen der von der Datenverarbeitung betroffenen Personen und sonstiger Betroffener eine Datenschutz-Folgenabschätzung gemäß Artikel 35, Absatz eins,, 2, 7 und 11 DSGVO durchzuführen, wobei sich der Nachweis gemäß Artikel 35, Absatz 7, Litera d, DSGVO auf die Einhaltung der Vorgaben dieses Hauptstücks bezieht.

Vorherige Konsultation der Datenschutzbehörde

Paragraph 53,

Der Verantwortliche hat nach Maßgabe des Artikel 36, DSGVO vor der Verarbeitung personenbezogener Daten in neu anzulegenden Dateisystemen die Datenschutzbehörde zu konsultieren, wobei sich die Verweise in Artikel 36, Absatz eins und Absatz 3, Litera e, DSGVO auf Paragraph 52 und der Verweis auf die Bestimmungen hinsichtlich der Befugnisse der Datenschutzbehörde in Artikel 36, Absatz 2, DSGVO auf Paragraph 64, beziehen und die in Artikel 36, Absatz 2, DSGVO angeführten Maßnahmen innerhalb von sechs Wochen mit der Möglichkeit einer Verlängerung um einen weiteren Monat zu treffen sind.

Datensicherheitsmaßnahmen

Paragraph 54,

  1. Absatz einsDer Verantwortliche und der Auftragsverarbeiter haben unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen, unter Berücksichtigung der unterschiedlichen Kategorien gemäß Paragraph 37,, geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere im Hinblick auf die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Paragraph 39,
  2. Absatz 2Der Verantwortliche und der Auftragsverarbeiter haben im Hinblick auf die automatisierte Verarbeitung nach einer Risikobewertung Maßnahmen zu ergreifen, um folgende Zwecke zu erreichen:
    1. Ziffer eins
      Verwehrung des Zugangs zu Verarbeitungsanlagen, mit denen die Verarbeitung durchgeführt wird, für Unbefugte (Zugangskontrolle);
    2. Ziffer 2
      Verhinderung des unbefugten Lesens, Kopierens, Veränderns oder Entfernens von Datenträgern (Datenträgerkontrolle);
    3. Ziffer 3
      Verhinderung der unbefugten Eingabe von personenbezogenen Daten sowie der unbefugten Kenntnisnahme, Veränderung und Löschung von gespeicherten personenbezogenen Daten (Speicherkontrolle);
    4. Ziffer 4
      Verhinderung der Nutzung automatisierter Verarbeitungssysteme mit Hilfe von Einrichtungen zur Datenübertragung durch Unbefugte (Benutzerkontrolle);
    5. Ziffer 5
      Gewährleistung, dass die zur Benutzung eines automatisierten Verarbeitungssystems Berechtigten ausschließlich zu den ihrer Zugangsberechtigung unterliegenden personenbezogenen Daten Zugang haben (Zugriffskontrolle);
    6. Ziffer 6
      Gewährleistung, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mit Hilfe von Einrichtungen zur Datenübertragung übermittelt oder zur Verfügung gestellt wurden oder werden können (Übertragungskontrolle);
    7. Ziffer 7
      Gewährleistung, dass nachträglich überprüft und festgestellt werden kann, welche personenbezogenen Daten zu welcher Zeit und von wem in automatisierte Verarbeitungssysteme eingegeben worden sind (Eingabekontrolle);
    8. Ziffer 8
      Verhinderung, dass bei der Übermittlung personenbezogener Daten sowie beim Transport von Datenträgern die Daten unbefugt gelesen, kopiert, verändert oder gelöscht werden können (Transportkontrolle);
    9. Ziffer 9
      Gewährleistung, dass eingesetzte Systeme im Störungsfall wiederhergestellt werden können (Wiederherstellung);
    10. Ziffer 10
      Gewährleistung, dass alle Funktionen des Systems zur Verfügung stehen, auftretende Fehlfunktionen gemeldet werden (Zuverlässigkeit) und gespeicherte personenbezogene Daten nicht durch Fehlfunktionen des Systems beschädigt werden können (Datenintegrität).

Meldung von Verletzungen an die Datenschutzbehörde

Paragraph 55,

  1. Absatz einsDer Verantwortliche hat nach Maßgabe des Artikel 33, DSGVO Verletzungen des Schutzes personenbezogener Daten der Datenschutzbehörde zu melden.
  2. Absatz 2Soweit von der Verletzung des Schutzes personenbezogene Daten betroffen sind, die von dem oder an den Verantwortlichen eines anderen Mitgliedstaates der Europäischen Union übermittelt wurden, sind die in Artikel 33, Absatz 3, DSGVO genannten Informationen dem Verantwortlichen jenes Mitgliedstaates der Europäischen Union unverzüglich zu übermitteln.

Benachrichtigung der betroffenen Person von Verletzungen

Paragraph 56,

  1. Absatz einsDer Verantwortliche hat nach Maßgabe des Artikel 34, DSGVO betroffene Personen von der Verletzungen des Schutzes ihrer personenbezogener Daten zu benachrichtigen. Für die Benachrichtigung gilt Paragraph 42, Absatz 4,
  2. Absatz 2Die Benachrichtigung gemäß Absatz eins, kann unter den in Paragraph 43, Absatz 4, genannten Voraussetzungen aufgeschoben, eingeschränkt oder unterlassen werden.

Benennung, Stellung und Aufgaben des Datenschutzbeauftragten

Paragraph 57,

  1. Absatz einsJeder Verantwortliche hat nach Maßgabe des Artikel 37, Absatz 5 und 7 DSGVO einen Datenschutzbeauftragten zu benennen. Gerichte sind im Rahmen ihrer justiziellen Tätigkeit von der Verpflichtung zur Benennung eines Datenschutzbeauftragten ausgenommen. Paragraphen 4 und 5 gelten im Hinblick auf die Bestimmungen dieses Hauptstücks sinngemäß.
  2. Absatz 2Für die Stellung des Datenschutzbeauftragten gilt Artikel 38, DSGVO.
  3. Absatz 3Dem Datenschutzbeauftragten obliegen die in Artikel 39, DSGVO genannten Aufgaben in Bezug auf die Einhaltung der Bestimmungen dieses Hauptstücks.
  4. Absatz 4Der Verantwortliche hat die Kontaktdaten des Datenschutzbeauftragten zu veröffentlichen und der Datenschutzbehörde mitzuteilen.

4. Abschnitt
Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen

Allgemeine Grundsätze für die Übermittlung personenbezogener Daten

Paragraph 58,

  1. Absatz einsEine Übermittlung von personenbezogenen Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung an ein Drittland oder eine internationale Organisation verarbeitet werden sollen, durch zuständige Behörden ist nur zulässig, wenn die Bestimmungen dieses Hauptstücks eingehalten werden und
    1. Ziffer eins
      die Übermittlung für die in Paragraph 34, genannten Zwecke erforderlich ist,
    2. Ziffer 2
      die personenbezogenen Daten an einen Verantwortlichen in einem Drittland oder einer internationalen Organisation, die eine für die in Paragraph 34, genannten Zwecke zuständige Behörde ist, übermittelt werden,
    3. Ziffer 3
      in Fällen, in denen personenbezogene Daten aus einem anderen Mitgliedstaat der EU übermittelt oder zur Verfügung gestellt werden, dieser Mitgliedstaat die Übermittlung zuvor genehmigt hat,
    4. Ziffer 4
      die Europäische Kommission gemäß Paragraph 59, einen Angemessenheitsbeschluss gefasst hat oder, wenn kein solcher Beschluss vorliegt, geeignete Garantien im Sinne des Paragraph 60, erbracht wurden oder bestehen oder, wenn kein Angemessenheitsbeschluss gemäß Paragraph 59, vorliegt und keine geeigneten Garantien im Sinne des Paragraph 60, vorhanden sind, Ausnahmen für bestimmte Fälle gemäß Paragraph 61, anwendbar sind und
    5. Ziffer 5
      sichergestellt ist, dass eine Weiterübermittlung an ein anderes Drittland oder eine andere internationale Organisation nur aufgrund einer vorherigen Genehmigung der zuständigen Behörde, die die ursprüngliche Übermittlung durchgeführt hat, und unter gebührender Berücksichtigung sämtlicher maßgeblicher Faktoren, einschließlich der Schwere der Straftat, des Zwecks der ursprünglichen Übermittlung personenbezogener Daten und des Schutzniveaus für personenbezogene Daten in dem Drittland oder der internationalen Organisation, an das bzw. die personenbezogene Daten weiterübermittelt werden, zulässig ist.
  2. Absatz 2Eine Übermittlung ohne vorherige Genehmigung gemäß Absatz eins, Ziffer 3, ist nur zulässig, wenn die Übermittlung erforderlich ist, um eine unmittelbare und ernsthafte Gefahr für die öffentliche Sicherheit eines Mitgliedstaats oder eines Drittlandes oder für die wesentlichen Interessen eines Mitgliedstaats abzuwehren, und die vorherige Genehmigung nicht rechtzeitig eingeholt werden kann. Die für die Erteilung der vorherigen Genehmigung zuständige Behörde ist unverzüglich zu unterrichten.
  3. Absatz 3Ersucht eine zuständige Behörde eines anderen Mitgliedstaates der EU um Genehmigung zur Übermittlung von personenbezogenen Daten, die ursprünglich aus dem Inland übermittelt wurden, an ein Drittland oder eine internationale Organisation gemäß Absatz eins, Ziffer 3,, so ist zur Erteilung dieser Genehmigung jene zuständige Behörde zuständig, die die personenbezogenen Daten ursprünglich übermittelt hat, soweit nicht gesetzlich anderes angeordnet ist.

Datenübermittlung auf der Grundlage eines Angemessenheitsbeschlusses

Paragraph 59,

  1. Absatz einsDie Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation ist zulässig, wenn die Europäische Kommission gemäß Artikel 36, Absatz 3, der Richtlinie (EU) 2016/680 im Wege eines Durchführungsaktes beschlossen hat, dass das betreffende Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in diesem Drittland oder die betreffende internationale Organisation ein angemessenes Schutzniveau bietet. Eine solche Datenübermittlung bedarf keiner besonderen Genehmigung. Die Genehmigungspflicht gemäß Paragraph 58, Absatz eins, Ziffer 3, bleibt davon unberührt.
  2. Absatz 2Übermittlungen personenbezogener Daten an ein Drittland, an ein Gebiet oder einen oder mehrere spezifischen Sektoren in einem Drittland oder an eine internationale Organisation gemäß den Paragraphen 60 und 61 werden durch einen gemäß Artikel 36, Absatz 5, der Richtlinie (EU) 2016/680 gefassten Beschluss der Europäischen Kommission zum Widerruf, zur Änderung oder zur Aussetzung eines Beschlusses nach Artikel 36, Absatz 3, der Richtlinie (EU) 2016/680 nicht berührt.

Datenübermittlung vorbehaltlich geeigneter Garantien

Paragraph 60,

  1. Absatz einsLiegt kein Beschluss nach Paragraph 59, Absatz eins, vor, so ist die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation zulässig, wenn
    1. Ziffer eins
      in einem rechtsverbindlichen Instrument geeignete Garantien für den Schutz personenbezogener Daten vorgesehen sind oder
    2. Ziffer 2
      der Verantwortliche auf Grund einer Beurteilung der für die Übermittlung personenbezogener Daten maßgeblichen Umstände zu der Auffassung gelangt ist, dass geeignete Garantien zum Schutz personenbezogener Daten bestehen.
  2. Absatz 2Bestehen geeignete Garantien gemäß Absatz eins, Ziffer 2, für Kategorien von Übermittlungen, so hat der Verantwortliche die Datenschutzbehörde über diese Kategorien zu unterrichten.
  3. Absatz 3Übermittlungen gemäß Absatz eins, Ziffer 2, sind zu dokumentieren und die Dokumentation einschließlich Datum und Zeitpunkt der Übermittlung, Informationen über die empfangende zuständige Behörde, Begründung der Übermittlung und übermittelte personenbezogenen Daten, der Datenschutzbehörde auf Anforderung zur Verfügung zu stellen.

Ausnahmen

Paragraph 61,

  1. Absatz einsWenn weder ein Angemessenheitsbeschluss gemäß Paragraph 59, vorliegt noch geeignete Garantien gemäß Paragraph 60, vorhanden sind, so ist eine Übermittlung personenbezogener Daten an ein Drittland oder an eine internationale Organisation nur zulässig, wenn die Übermittlung erforderlich ist
    1. Ziffer eins
      zum Schutz lebenswichtiger Interessen einer Person,
    2. Ziffer 2
      wenn dies zur Wahrung berechtigter Interessen der betroffenen Person gesetzlich vorgesehen ist,
    3. Ziffer 3
      zur Abwehr einer unmittelbaren und ernsthaften Gefahr für die öffentliche Sicherheit eines Mitgliedstaates der EU oder eines Drittlandes,
    4. Ziffer 4
      im Einzelfall für die in Paragraph 34, genannten Zwecke, oder
    5. Ziffer 5
      im Einzelfall zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen im Zusammenhang mit den in Paragraph 34, genannten Zwecken.
  2. Absatz 2In den Fällen des Absatz eins, Ziffer 4 und 5 ist die Übermittlung nur zulässig, wenn keine das öffentliche Interesse an der Übermittlung überwiegenden Grundrechte und Grundfreiheiten der betroffenen Person der Übermittlung entgegenstehen.
  3. Absatz 3Für Übermittlungen gemäß Absatz eins, gilt Paragraph 60, Absatz 3,

5. Abschnitt
Aufsichtsbehörde

Datenschutzbehörde

Paragraph 62,

  1. Absatz einsDie Datenschutzbehörde wird als nationale Aufsichtsbehörde für den in Paragraph 34, genannten Anwendungsbereich eingerichtet. Die Datenschutzbehörde ist nicht zuständig für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen.
  2. Absatz 2Hinsichtlich der Unabhängigkeit, der allgemeinen Bedingungen und der Errichtung der Aufsichtsbehörde finden die Artikel 52,, 53 und 54 DSGVO sowie der Paragraph 7, Absatz 2,, Paragraphen 8 und 9 sinngemäß Anwendung.
  3. Absatz 3(Verfassungsbestimmung) Die Datenschutzbehörde übt ihre Befugnisse auch gegenüber den in Artikel 19, B-VG bezeichneten obersten Organen der Vollziehung aus.

Aufgaben der Datenschutzbehörde

Paragraph 63,

  1. Absatz einsDie Datenschutzbehörde hat im Anwendungsbereich des Paragraph 34,
    1. Ziffer eins
      die Anwendung der in diesem Hauptstück erlassenen Vorschriften sowie Durchführungsvorschriften zur Richtlinie (EU) 2016/680 vom zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates, ABl. Nr. L 119 vom 4.5.2016 Sitzung 89, zu überwachen und durchzusetzen;
    2. Ziffer 2
      die Öffentlichkeit für die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung zu sensibilisieren und sie darüber aufzuklären;
    3. Ziffer 3
      die in Artikel 57, Absatz eins, Litera c bis e, g, h und t DSGVO festgelegten Aufgaben im Hinblick auf dieses Hauptstück zu erfüllen;
    4. Ziffer 4
      sich mit Beschwerden einer betroffenen Person oder einer Stelle, einer Organisation oder einer Vereinigung gemäß Paragraph 17, zu befassen, den Gegenstand der Beschwerde in angemessenem Umfang zu untersuchen und den Beschwerdeführer innerhalb einer Frist von drei Monaten über den Fortgang und das Ergebnis der Untersuchung zu unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist;
    5. Ziffer 5
      die Rechtmäßigkeit der Verarbeitung gemäß Paragraph 42, Absatz 8, zu überprüfen und die betroffene Person innerhalb einer angemessenen Frist über das Ergebnis der Überprüfung gemäß Paragraph 42, Absatz 9, zu unterrichten oder ihr die Gründe mitzuteilen, aus denen die Überprüfung nicht vorgenommen wurde;
    6. Ziffer 6
      maßgebliche Entwicklungen zu verfolgen, soweit sie sich auf den Schutz personenbezogener Daten auswirken, insbesondere die Entwicklung der Informations- und Kommunikationstechnologie,
    7. Ziffer 7
      Beratung in Bezug auf die in Paragraph 53, genannten Verarbeitungsvorgänge zu leisten, und
    8. Ziffer 8
      die Rechte der betroffenen Person in den Fällen der Paragraphen 43, Absatz 4,, 44 Absatz 3 und 45 Absatz 4, auszuüben.
  2. Absatz 2Die Datenschutzbehörde erleichtert das Einreichen von in Absatz eins, Ziffer 4, genannten Beschwerden durch Maßnahmen wie etwa die Bereitstellung eines Beschwerdeformulars, das auch elektronisch ausgefüllt werden kann, ohne dass andere Kommunikationsmittel ausgeschlossen werden.
  3. Absatz 3Artikel 57, Absatz 3 und 4 DSGVO finden sinngemäß Anwendung.

Befugnisse der Datenschutzbehörde

Paragraph 64,

  1. Absatz einsDie Datenschutzbehörde verfügt im Anwendungsbereich des Paragraph 34, über die zur Vollziehung ihres Aufgabenbereichs erforderlichen wirksamen Untersuchungsbefugnisse. Diese umfassen insbesondere die in Paragraph 11, Absatz 2, genannten Befugnisse.
  2. Absatz 2Die Datenschutzbehörde verfügt im Anwendungsbereich des Paragraph 34, über die zur Vollziehung ihres Aufgabenbereichs erforderlichen wirksamen Abhilfebefugnisse. Dazu zählen jedenfalls die Befugnisse, die es ihr gestatten
    1. Ziffer eins
      einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen die im Anwendungsbereich der Richtlinie (EU) 2016/680 erlassenen Vorschriften verstoßen;
    2. Ziffer 2
      den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge, auf bestimmte Weise und innerhalb eines bestimmten Zeitraums, mit den im Anwendungsbereich der Richtlinie (EU) 2016/680 erlassenen Vorschriften in Einklang zu bringen, insbesondere durch die Anordnung der Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung gemäß Paragraph 45 ;,
    3. Ziffer 3
      eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen.
  3. Absatz 3Die Datenschutzbehörde verfügt im Anwendungsbereich des Paragraph 34, über die zur Vollziehung erforderlichen wirksamen Beratungsbefugnisse, die es ihr gestatten, gemäß dem Verfahren der vorherigen Konsultation nach Paragraph 53, den Verantwortlichen zu beraten und zu allen Fragen, die im Zusammenhang mit dem Schutz personenbezogener Daten stehen, von sich aus oder auf Antrag Stellungnahmen an den Nationalrat oder den Bundesrat, die Bundes- oder Landesregierung oder an sonstige Einrichtungen und Stellen sowie an die Öffentlichkeit zu richten.
  4. Absatz 4Die Ausübung der der Aufsichtsbehörde übertragenen Befugnisse richtet sich im Anwendungsbereich Paragraph 34, sinngemäß nach Artikel 58, Absatz 4, DSGVO.
  5. Absatz 5Paragraph 11, Absatz 5, 2. Satz gilt sinngemäß für Verstöße im Anwendungsbereich des Paragraph 34,

Meldung von Verstößen

Paragraph 65,

  1. Absatz einsVerantwortliche haben im Anwendungsbereich des Paragraph 34, wirksame Vorkehrungen zu treffen, um vertrauliche Meldungen über Verstöße zu fördern. In diesem Sinne haben Verantwortliche insbesondere angemessene Verfahren einzurichten, die es ermöglichen, Verstöße gegen die Bestimmungen dieses Hauptstücks an eine geeignete Stelle zu melden.
  2. Absatz 2Die in Absatz eins, angeführten Vorkehrungen umfassen zumindest
    1. Ziffer eins
      spezielle Verfahren für den Empfang der Meldungen über Verstöße und deren Weiterverfolgung;
    2. Ziffer 2
      den Schutz personenbezogener Daten sowohl für die Person, die die Verstöße anzeigt, als auch für die natürliche Person, die mutmaßlich für einen Verstoß verantwortlich ist;
    3. Ziffer 3
      klare Regeln, welche die Geheimhaltung der Identität der Person, die die Verstöße anzeigt, gewährleisten, soweit nicht die Offenlegung der Identität im Rahmen eines staatsanwaltschaftlichen, gerichtlichen oder verwaltungsrechtlichen Verfahrens zwingend zu erfolgen hat.

Tätigkeitsbericht

Paragraph 66,

Die Datenschutzbehörde hat im Rahmen des Tätigkeitsberichtes nach Paragraph 12, über die Tätigkeiten nach diesem Hauptstück zu berichten. Die Vorgaben des Artikel 59, DSGVO und Paragraph 12, für den Tätigkeitsbericht und die Veröffentlichung von Entscheidungen finden sinngemäß Anwendung.

Gegenseitige Amtshilfe

Paragraph 67,

Auf die gegenseitige Amtshilfe im Anwendungsbereich des Paragraph 34, findet Artikel 61, Absatz eins bis 7 DSGVO sinngemäß Anwendung.

Rechtsbehelfe, Haftung und Sanktionen

Paragraph 68,

Im Anwendungsbereich des Paragraph 34, finden die Regelungen des 3. Abschnitts des 2. Hauptstücks – mit Ausnahme des Paragraph 19, – sinngemäß Anwendung.

4. Hauptstück
Besondere Strafbestimmungen

Verwaltungsstrafbestimmung

Paragraph 69,

  1. Absatz einsSofern die Tat nicht einen Tatbestand nach Artikel 83, DSGVO verwirklicht oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, die mit Geldstrafe bis zu 50 000 Euro zu ahnden ist, wer
    1. Ziffer eins
      sich vorsätzlich widerrechtlichen Zugang zu einer Datenverarbeitung verschafft oder einen erkennbar widerrechtlichen Zugang vorsätzlich aufrechterhält,
    2. Ziffer 2
      Daten vorsätzlich in Verletzung des Datengeheimnisses (Paragraph 6,) übermittelt, insbesondere Daten, die ihm gemäß Paragraphen 25, oder 26 anvertraut wurden, vorsätzlich für andere unzulässige Zwecke verarbeitet,
    3. Ziffer 3
      sich unter Vortäuschung falscher Tatsachen vorsätzlich personenbezogene Daten gemäß Paragraph 28, verschafft,
    4. Ziffer 4
      eine Bildverarbeitung entgegen den Bestimmungen des 6. Abschnittes des 2. Hauptstücks betreibt oder
    5. Ziffer 5
      die Einschau gemäß Paragraph 11, Absatz 2, verweigert.
  2. Absatz 2Der Versuch ist strafbar.
  3. Absatz 3Gegen juristische Personen können bei Verwaltungsübertretung nach Absatz eins und 2 Geldbußen nach Maßgabe des Paragraph 19, verhängt werden.
  4. Absatz 4Die Strafe des Verfalls von Datenträgern und Programmen sowie Bildübertragungs- und Bildaufzeichnungsgeräten kann ausgesprochen werden (Paragraphen 10,, 17 und 18 VStG), wenn diese Gegenstände mit einer Verwaltungsübertretung nach Absatz eins, in Zusammenhang stehen.
  5. Absatz 5Die Datenschutzbehörde ist zuständig für Entscheidungen nach Absatz eins bis 4.

Datenverarbeitung in Gewinn- oder Schädigungsabsicht

Paragraph 70,

Wer mit dem Vorsatz, sich oder einen Dritten dadurch unrechtmäßig zu bereichern, oder mit der Absicht, einen anderen dadurch in seinem von Paragraph eins, Absatz eins, gewährleisteten Anspruch zu schädigen, personenbezogene Daten, die ihm ausschließlich auf Grund seiner berufsmäßigen Beschäftigung anvertraut oder zugänglich geworden sind oder die er sich widerrechtlich verschafft hat, selbst benützt, einem anderen zugänglich macht oder veröffentlicht, obwohl der Betroffene an diesen Daten ein schutzwürdiges Geheimhaltungsinteresse hat, ist, wenn die Tat nicht nach einer anderen Bestimmung mit strengerer Strafe bedroht ist, vom Gericht mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bis zu 720 Tagessätzen zu bestrafen.

5. Hauptstück
Schlussbestimmungen

Durchführung und Umsetzung von Rechtsakten der EU

Paragraph 71,

  1. Absatz einsDieses Bundesgesetz dient der Durchführung der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 Sitzung 1.
  2. Absatz 2Diese Bundesgesetz dient weiters der Umsetzung der Richtlinie (EU) 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates, ABl. Nr. L 119 vom 4.5.2016 Sitzung 89.

Sprachliche Gleichbehandlung

Paragraph 72,

Soweit in diesem Bundesgesetz auf natürliche Personen bezogene Bezeichnungen nur in männlicher Form angeführt sind, beziehen sie sich auf Frauen und Männer in gleicher Weise. Bei der Anwendung der Bezeichnungen auf bestimmte natürliche Personen ist die jeweils geschlechtsspezifische Form zu verwenden.

Erlassung von Verordnungen

Paragraph 73,

Verordnungen auf Grund dieses Bundesgesetzes in seiner jeweiligen Fassung dürfen bereits von dem Tag an erlassen werden, der der Kundmachung der durchzuführenden Gesetzesbestimmungen folgt; sie dürfen jedoch nicht vor den durchzuführenden Gesetzesbestimmungen in Kraft treten.

Verweisungen

Paragraph 74,

Soweit in diesem Bundesgesetz auf Bestimmungen anderer Bundesgesetze verwiesen wird, sind diese in ihrer jeweils geltenden Fassung anzuwenden.

Vollziehung

Paragraph 75,

Mit der Vollziehung dieses Bundesgesetzes sind, soweit sie nicht der Bundesregierung obliegt, der Bundeskanzler und die anderen Bundesminister im Rahmen ihres Wirkungsbereichs betraut.

Übergangs- und Schlussbestimmungen

Paragraph 76,

  1. Absatz einsDie zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes laufende Funktionsperiode des Leiters der Datenschutzbehörde wird bis zu deren Ablauf fortgesetzt. Dies gilt auch für dessen Stellvertreter.
  2. Absatz 2Das von der Datenschutzbehörde geführte Datenverarbeitungsregister ist von der Datenschutzbehörde bis zum 31. Dezember 2019 zu Archivzwecken fortzuführen. Es dürfen keine Eintragungen und Änderungen im Datenverarbeitungsregister vorgenommen werden. Registrierungen im Datenverarbeitungsregister werden gegenstandslos. Jedermann kann in das Register Einsicht nehmen. In den Registrierungsakt einschließlich darin allenfalls enthaltener Genehmigungsbescheide ist Einsicht zu gewähren, wenn der Einsichtswerber glaubhaft macht, dass er eine betroffene Person ist, und soweit nicht überwiegende schutzwürdige Geheimhaltungsinteressen des Verantwortlichen (Auftraggebers) oder anderer Personen entgegenstehen.
  3. Absatz 3Gemäß Paragraphen 17, ff DSG 2000 im Zeitpunkt des Inkrafttretens dieses Bundesgesetzes anhängige Registrierungsverfahren gelten als eingestellt. Im Zeitpunkt des Inkrafttretens dieses Bundesgesetzes anhängige Verfahren nach den Paragraphen 13,, 46 und 47 DSG 2000 sind fortzuführen, sofern die Genehmigung nach diesem Bundesgesetz oder der DSGVO erforderlich ist. Anderenfalls gelten sie als eingestellt.
  4. Absatz 4Zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bei der Datenschutzbehörde oder bei den ordentlichen Gerichten zum DSG 2000 anhängige Verfahren sind nach den Bestimmungen dieses Bundesgesetzes und der DSGVO fortzuführen, mit der Maßgabe, dass die Zuständigkeit der ordentlichen Gerichte aufrecht bleibt.
  5. Absatz 5Verletzungen des DSG 2000, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes noch nicht anhängig gemacht wurden, sind nach der Rechtslage nach Inkrafttreten dieses Bundesgesetzes zu beurteilen.
  6. Absatz 6Die Eingaben der betroffenen Personen nach Paragraph 13, sind von den Verwaltungsabgaben des Bundes befreit.
  7. Absatz 7Die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes entsendeten Mitglieder und Ersatzmitglieder des Datenschutzrates bleiben bis zum Eintritt einer der Voraussetzungen des Paragraph 21, Absatz 5, Ziffer eins bis 3 in ihrer Funktion. Der Vorsitzende des Datenschutzrates und die stellvertretenden Vorsitzenden bleiben bis zum Eintritt einer der Voraussetzungen des Paragraph 22, Absatz 3, Ziffer eins bis 3 in ihrer Funktion.
  8. Absatz 8Besondere Bestimmungen über die Verarbeitung von personenbezogenen Daten in anderen Bundes- oder Landesgesetzen bleiben unberührt.

Inkrafttreten

Paragraph 77,

  1. Absatz einsDieses Bundesgesetz tritt mit 25. Mai 2018 in Kraft. Gleichzeitig treten das DSG 2000, die Standard- und Muster-Verordnung 2004 (StMV 2004), Bundesgesetzblatt Teil 2, Nr. 312 aus 2004,, die Datenverarbeitungsregister-Verordnung 2012 (DVRV 2012), Bundesgesetzblatt Teil 2, Nr. 257 aus 2012,, und die Datenschutzangemessenheits-Verordnung (DSAV), Bundesgesetzblatt Teil 2, Nr. 521 aus 1999,, außer Kraft.
  2. Absatz 2(Verfassungsbestimmung) Paragraph eins,, Paragraph 7, Absatz 3 und Paragraph 62, Absatz 3, DSG 2000 treten mit 25. Mai 2018 in Kraft. Gleichzeitig treten die Paragraphen eins bis 3, Paragraph 35, Absatz 2,, Paragraph 60, Absatz 8,, Paragraph 61, Absatz 4, DSG 2000 außer Kraft.

Artikel 3
Anpassungsbestimmungen

Paragraph eins,

  1. Absatz einsSoweit in Bundesgesetzen auf den Begriff „Auftraggeber“ im Sinne des Paragraph 4, Ziffer 4, des Datenschutzgesetzes 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999,, Bezug genommen wird, tritt mit Inkrafttreten des Bundesgesetzblatt Teil eins, Nr. xxx aus 2017, an dessen Stelle der Begriff „Verantwortlicher“ in der jeweils grammatikalisch richtigen Form.
  2. Absatz 2Soweit in Bundesgesetzen auf den Begriff „Dienstleister“ im Sinne des Paragraph 4, Ziffer 5, DSG 2000 Bezug genommen wird, tritt mit Inkrafttreten des Bundesgesetzblatt Teil eins, Nr. xxx aus 2017, an dessen Stelle der Begriff „Auftragsverarbeiter“ in der jeweils grammatikalisch richtigen Form.
  3. Absatz 3Allgemeine Verweise auf das aufgehobene DSG 2000 gelten sinngemäß als Verweise auf die DSGVO und das Datenschutzgesetz (DSG), Bundesgesetzblatt Teil eins, Nr. xxx aus 2017,, in der jeweils geltenden Fassung.
  4. Absatz 4Absatz eins bis 3 gilt nicht für die Verwendung dieser Begriffe in Schluss- und Übergangsbestimmungen sowie in In- und Außerkrafttretensbestimmungen.
  5. Absatz 5Dieser Artikel tritt mit 25. Mai 2018 in Kraft.