Burgenländische Gemeinde-Datenschutzverordnung

Abschnitt I

Allgemeines

§ 1

Diese Verordnung gilt für folgende im öffentlichen Bereich (2. Abschnitt des Datenschutzgesetzes - DSG) tätige Auftraggeber:

§ 2

Zweck dieser Verordnung ist es für die im § 1 genannten Auftraggeber je nach Art der im automationsunterstützten Datenverkehr verarbeiteten Daten die Grundsätze für deren Ermittlung, Verarbeitung, Benützung, Übermittlung und Überlassung bei möglichstem Schutz dieser Daten festzulegen sowie Kostenersätze für die Erteilung von Auskünften nach dem Datenschutzgesetz festzusetzen.

§ 3

Im Sinne dieser Verordnung bedeuten:

§ 4

(1) Allen Bediensteten ist es unbeschadet sonstiger Verschwiegenheitspflichten untersagt,

(2) Alle Befugnisse und Aufgaben aufgrund dieser Verordnung sind im Sinne des Datenschutzgesetzes und der sonstigen datenschutzrechtlichen Vorschriften auszuüben bzw. wahrzunehmen.

(3) Zur Gewährleistung einer ordnungsgemäßen und sicheren Ermittlung, Verarbeitung, Benützung, Übermittlung und Überlassung von Daten sind bei den auftraggebenden und dienstleistenden Stellen geeignete organisatorische, personelle, technische und bauliche Maßnahmen zu setzen. Die Maßnahmen haben unter Bedachtnahme auf die technischen Möglichkeiten in einem angemessenen Verhältnis zum Aufwand zu stehen und je nach Art der Daten und nach Umfang und Zweck ihrer Verwendung bestehende Risken in allen schutzwürdigen Belangen möglichst ausgewogen zu senken. Generelle und grundlegende Regelungen, die diesen Zielen dienen und von den auftraggebenden oder dienstleistenden Stellen zu erlassen sind, bedürfen im Falle des § 1 Z 1 und 2 der Genehmigung des Bürgermeisters und im Falle des § 1 Z 3 der Genehmigung des Verbandsobmannes bzw. des Verwaltungsausschusses.

(4) Von allen auftraggebenden und dienstleistenden Stellen ist eine Sammlung der jeweils gültigen einschlägigen Dienstanweisungen und Verfügungen aufgrund des Datenschutzgesetzes und dieser Verordnung anzulegen und so zur Verfügung zu halten, daß sich die Bediensteten jederzeit über die für sie maßgeblichen Regelungen informieren können. Für auftraggebende Stellen, die Daten selbst verarbeiten, sowie für dienstleistende Stellen sind dieser Sammlung überdies technische Erläuterungen („Betriebs-Handbuch“) anzuschließen.

§ 5

(1) Der Bürgermeister im Falle des § 1 Z 1 und 2 bzw. der Verbandsobmann oder der Verwaltungsausschuß im Falle des § 1 Z 3 hat das Verfügungsrecht über alle Daten für Zwecke der Leitung des inneren Dienstes sowie zur Sicherstellung eines einheitlichen und geregelten Geschäftsganges in sämtlichen Verwaltungsbereichen sowie zur Kontrolle der Einhaltung der Datenschutzbestimmungen.

(2) Das Verfügungsrecht auftraggebender Stellen über Daten ist im Falle des § 1 Z 1 und 2 durch den Bürgermeister und im Falle des § 1 Z 3 durch den Verbandsobmann bzw. den Verwaltungsausschuß unter Berücksichtigung der Organisationsbestimmungen und unter Bedachtnahme auf den Grad der Sensibilität und der Schutzwürdigkeit der verarbeiteten Daten sowie unter Bedachtnahme auf die Zweckmäßigkeit und Wirtschaftlichkeit der Verwaltung näher zu regeln.

(3) Wird durch eine solche Regelung mehreren auftraggebenden Stellen ein Verfügungsrecht eingeräumt, so ist sicherzustellen, daß eine gegenseitige Beeinträchtigung der beteiligten Stellen bei der Besorgung der übertragenen Aufgaben nicht eintritt.

(4) Einem Dienstleister ist eine Verfügung über Daten nicht gestattet. Eine dienstleistende Stelle darf über Daten nur insoweit verfügen, als dies zur Erteilung von Aufträgen an den Dienstleister erforderlich ist.

(5) Der Leiter der auftraggebenden Stelle hat das Verfügungsrecht der einzelnen Bediensteten in der auftraggebenden Stelle nach den Erfordernissen des Datengeheimnisses unter Bedachtnahme auf den Grad der Sensibilität und die Schutzwürdigkeit der Daten sowie unter Bedachtnahme auf die Zweckmäßigkeit und Wirtschaftlichkeit der Verwaltung festzulegen.

§ 6

(1) Der Abschluß von Verträgen zur Erbringung von Dienstleistungen im Datenverkehr durch Dritte (§ 3 Z 5) bedarf der Genehmigung des gemäß den Bestimmungen der Burgenländischen Gemeindeordnung, LGBl. Nr. 37/1965 in der Fassung des LGBl. Nr. 58/1987, des gemäß den Statuten der Statutarstädte bzw. des nach dem Burgenländischen Gemeindeverbandsgesetz, LGBl. Nr. 20/1986, zuständigen Organes. Die Geschäftsführungsbefugnisse werden im Falle des § 1 Z 1 und 2 durch den Bürgermeister bzw. dessen Beauftragten, im Falle des §1 Z 3 bei Gemeindeverbänden durch den Verbandsobmann und bei Verwaltungsgemeinschaften durch den Verwaltungsausschuß wahrgenommen. Teilt die Datenschutzkommission im Falle des § 13 Abs. 3 DSG mit, daß der Inanspruchnahme eines Dienstleisters schutzwürdige Interessen Betroffener oder öffentliche Interessen entgegenstehen, ist eine davon abweichende Entscheidung schriftlich zu begründen.

(2) In die mit solchen Dienstleistern zu schließenden Verträge sind mindestens die nach dem Datenschutzgesetz und nach dieser Verordnung einzuhaltenden Verpflichtungen als Vertragsbestandteil aufzunehmen.

(3) Dienstleister dürfen für auftraggebende Stellen nur in deren Auftrag Daten übermitteln. In diesem Auftrag sind die zu übermittelnden Daten (Datenbestände, Verarbeitungsergebnisse) und der Empfänger der Daten genau zu bezeichnen.

§ 7

(1) Ein Datenverarbeitungsprojekt kann die Ermittlung, Verarbeitung, Benützung, Übermittlung oder Überlassung von Daten oder mehrere dieser Schritte umfassen.

(2) Datenverarbeitungsprojekte sind unter genauer Festlegung des Vorhabens, insbesondere hinsichtlich des Zweckes der Verarbeitung und der erfaßten Datenarten, des Inhaltes und Umfanges der Daten sowie des Verfahrens in den wesentlichen Schritten von der auftraggebenden Stelle im Falle des § 1 Z 1 und 2 dem Bürgermeister und im Falle des § 1 Z 3 dem Verbandsobmann bzw. dem Verwaltungsausschuß zur Genehmigung vorzulegen. In der Vorlage sind alle für die Beurteilung der Zulässigkeit des Datenverkehrs (§ 3 Z 12 DSG) notwendigen Angaben anzuführen. Soll sich ein Datenverarbeitungsprojekt auf zwei oder mehrere auftraggebende Stellen erstrecken, so sind in der Vorlage die jeweiligen Aufgabenbereiche und Verfügungsrecht eindeutig abzugrenzen.

(3) Die Genehmigung des Datenverarbeitungsprojektes ist der ansuchenden auftraggebenden Stelle schriftlich zu erteilen. Erfolgt die Datenverarbeitung nicht durch die auftraggebende Stelle selbst, sondern durch eine dienstleistende Stelle oder einen Dienstleister, so ist auch diese bzw. dieser von der Genehmigung zu informieren.

(4) Sollen Datenverarbeitungsprojekte hinsichtlich ihrer Rechtsgrundlage, ihres Zweckes, der Datenarten, der Kreise der von der Datenverarbeitung Betroffenen oder hinsichtlich vorgesehener Übermittlungen oder Überlassungen geändert werden oder soll eine bestehende Datenverarbeitung oder ein genehmigtes Datenverarbeitungsprojekt nicht mehr weitergeführt werden, so ist Abs. 2 sinngemäß anzuwenden.

(5) Die Meldung von Datenverarbeitungen und Übermittlungen an das Datenverarbeitungsregister (§ 8 DSG) erfolgt durch den jeweiligen Auftraggeber.

§ 8

(1) Der Bürgermeister im Falle des § 1 Z 1 und 2 und der Verbandsobmann bzw. der Verwaltungsausschuß im Falle des § 1 Z 3 hat für die Auftraggeber nach § 1 ein Datenverarbeitungsverzeichnis zu führen, in das jede Verarbeitung unter Angabe des Zweckes der Verarbeitung mit einer Kurzumschreibung aufzunehmen ist. Anstelle dieses Verzeichnisses können Durchschläge der Meldungen an das Datenverarbeitungsregister treten.

(2) In das Datenverarbeitungsverzeichnis kann jeder Betroffene kostenlose Einsicht nehmen.

Abschnitt II

Datenverkehr

§ 9

(1) Eine ausdrückliche gesetzliche Ermächtigung für eine Ermittlung und Verarbeitung im Sinne des § 6 DSG liegt nur dann vor, wenn in dieser die zu ermittelnden und verarbeitenden Datenarten und die Betroffenenkreise enthalten sind.

(2) Die Ermittlung und Verarbeitung von Daten ist dann als wesentliche Voraussetzung für die Wahrnehmung der gesetzlich übertragenen Aufgaben zu erachten, wenn andere Möglichkeiten, die gesetzlich übertragenen Aufgaben wahrzunehmen, nicht vorliegen oder sie auf Grund des zu erwartenden Aufwandes dem Auftraggeber aus Wirtschaftlichkeits- und Zweckmäßigkeitserwägungen nicht zuzumuten sind.

(3) Bei der Ermittlung von Daten Betroffener, bei der diese gesetzlich nicht zur Mitwirkung verpflichtet sind, sind diese Betroffenen darauf aufmerksam zu machen, daß ihre Angaben dem automationsunterstützten Datenverkehr zugeführt werden.

§ 10

(1) Übermittlungen von Daten, die nicht bereits im genehmigten Datenverarbeitungsprojekt vorgesehen sind und die auch nicht wegen absehbarer Wiederholungsfälle der Genehmigungspflicht nach § 7 Abs. 4 unterliegen, bedürfen der gesonderten schriftlichen Genehmigung durch den Leiter der auftraggebenden Stelle, wobei anzugeben ist, auf Grund welcher Bestimmung des § 7 DSG die Übermittlung zulässig ist.

(2) Eine ausdrückliche gesetzliche Ermächtigung für die Übermittlung von Daten liegt dann vor, wenn die zu übermittelnden Datenarten und der Zweck der Übermittlung ausdrücklich genannt, die Betroffenenkreise umschrieben und die Empfänger der Daten festgelegt sind.

(3) Die Zustimmung des Betroffenen zur Datenübermittlung gemäß § 7 Abs. 1 Z 2 DSG gilt dann als erteilt, wenn der Betroffene sein Einverständnis zur Datenübermittlung ausdrücklich mit seiner Unterschrift getrennt von etwaigen sonstigen Vereinbarungen abgegeben hat. Eine Zustimmungserklärung liegt nur dann vor, wenn die zu übermittelnden Datenarten und die Übermittlungsempfänger ausdrücklich genannt sind und der Betroffene in allgemein verständlicher Form über den Übermittlungszweck informiert wird. Der Betroffene ist nachweislich über die Möglichkeit des schriftlichen Widerrufes seiner Zustimmung zu informieren.

(4) Einem Ersuchen um Übermittlung von Daten gemäß § 7 Abs. 2 DSG ist nur dann zu entsprechen, wenn es auf einen Einzelfall gerichtet ist. Hiebei ist festzustellen, durch welche gesetzlichen Bestimmungen dem Empfänger jene Aufgaben übertragen sind, zu deren Wahrnehmung die zu übermittelnden Daten eine wesentliche Voraussetzung bilden. Um die Darlegung der für die Beurteilung der Zulässigkeit der Übermittlung maßgeblichen Sach- und Rechtslage ist zu ersuchen, es sei denn, die Zulässigkeit der Übermittlung ist offenkundig.

§ 11

(1) Die Aufträge der auftraggebenden Stelle zur Aufnahme oder Einstellung einer genehmigten Datenverarbeitung (§ 7) oder zur allfälligen Weiterleitung von Ergebnissen müssen dokumentiert sein und dürfen den Umfang der zugehörigen Meldungen an das Datenverarbeitungsregister nicht überschreiten. Die Verwendung von Daten darf nur in der Art und in dem Umfang erfolgen, als dies für die auftraggebende Stelle zur Wahrnehmung der ihr gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bildet. Datenverarbeitungsaufträge hat der Leiter der auftraggebenden Stelle zu erteilen.

(2) Für jede auftraggebende Stelle ist in Form einer Aufgabenverteilung festzulegen, wem und in welchem Umfang

Archivierung und allenfalls Löschung von Datenträgern, obliegt. Für den Fall einer Verhinderung von Bediensteten sich entsprechend Vertretungsregelungen zu treffen.

(3) Werden Daten nicht durch die auftraggebende Stelle selbst, sondern durch eine dienstleistende Stelle oder durch einen Dienstleister verarbeitet, hat die auftraggebende Stelle einen ausdrücklichen Auftrag für die Verarbeitung zu erteilen. In diesem Auftrag sind insbesondere die auftraggebende Stelle zu bezeichnen und die angeforderten Auswertungen näher festzulegen. Die Übergabe bzw. Übernahme von Daten ist zu bestätigen. Die Erteilung solcher Datenverarbeitungsaufträge kommt dem Leiter der auftraggebenden Stelle zu.

(4) Aufträge gemäß Abs. 3 können im Falle periodischer Datenverarbeitungsverfahren durch Durchführungspläne ersetzt werden, die von der auftraggebenden und von der dienstleistenden Stelle (vom Dienstleister) einvernehmlich festzulegen sind.

§ 12

(1) Sofern von einer auftraggebenden Stelle Daten selbst verarbeitet werden, ist über die nach § 11 Abs. 2 zu treffenden Regelungen hinaus festzulegen,

(2) Entsprechende Vertretungsregelungen für den Verhinderungsfall von Bediensteten sind vorzunehmen. Der Zugriff auf Daten und Programme ausschließlich durch hiezu berechtigte Bedienstete ist durch Zuteilung geheimzuhaltender Losungsworte zu sichern, die periodisch zu ändern sind.

(3) Datenträger sind gegen unbefugte Benützung und Einsichtnahme und gegen Zerstörung gesichert aufzubewahren. Die Aufbewahrungsfrist von Datenträgern richtet sich - soferne nicht zwingende technische Gründe entgegenstehen oder gespeicherte Daten in Form von Ausdrucken vorliegen - nach den sonst geltenden innerdienstlichen Vorschriften über die Aufbewahrung von Akten und Belegen.

(4) Nach Erfordernis ist überdies unter Bedachtnahme auf die örtlichen Gegebenheiten, auf bestehenden Parteienverkehr und ähnliches der unbefugte Zutritt zu Räumen, in denen sich Anlagen zur Datenverarbeitung befinden, zu untersagen oder durch Sperreinrichtungen zu verhindern.

§ 13

(1) Die dienstleistenden Stellen dürfen Datenverarbeitungen nur aufgrund von Datenverarbeitungsaufträgen (§ 11 Abs. 3 und 4) durchführen. Sie haben die Datenverarbeitungsaufträge auf ihre Übereinstimmung mit dem genehmigten Datenverarbeitungsprojekt (§ 7) zu prüfen. Bestehen Zweifel über die Deckung eines Datenverarbeitungsauftrages im Datenverarbeitungsprojekt, so hat die dienstleistende Stelle von der auftraggebenden Stelle den Nachweis der Genehmigung zu verlangen.

(2) Die dienstleistenden Stellen haben für die auftragsgemäße und sichere Durchführung der Datenverarbeitungsaufträge zu wirtschaftlichen Bedingungen unter Beachtung der einschlägigen Dienstanweisungen und Verfügungen zu sorgen.

(3) Die Bestimmungen des § 12 sind auf dienstleistende Stellen sinngemäß anzuwenden.

(4) Ist eine Datenfernverarbeitung eingerichtet, so ist sicherzustellen, daß eine Verwendung von Daten nur durch Stellen, denen ein Verfügungsrecht zukommt, in dem dieser Stelle zustehenden Umfang möglich ist. Zu diesem Zweck sind im Einvernehmen mit der auftraggebenen Stelle besondere Benützerkennzeichen festzulegen.

§ 14

Jede auftraggebende und dienstleistende Stelle hat die dem Auftraggeber vom Datenverarbeitungsregister zugeteilte Registernummer bei Übermittlungen von Daten und Mitteilungen an den Betroffenen auf jedem Schriftstück, das automationsunterstützt verarbeitete Daten enthält, anzuführen. Bei Übermittlungen und Mitteilungen an den Betroffenen mittels maschinell lesbarer Datenträger ist die Registernummer auf den Begleitpapieren oder auf den Datenträgern anzugeben.

Abschnitt III

Auskunftsverfahren

§ 15

(1) Auskünfte gemäß § 11 DSG dürfen nur aufgrund schriftlicher Anträge eines Betroffenen erteilt werden. Der Antragsteller hat durch Vorlage von Urkunden, aus denen Familien- und Vornahme, das Geburtsdatum und der Wohnort hervorgehen, den Nachweis seiner Identität mit dem Betroffenen zu erbringen. Im Falle eines Auskunftsbegehrens für juristische Personen oder Personengemeinschaften (§ 3 Z 2 DSG) hat der Antragsteller überdies nachzuweisen, daß er zur Vertretung der juristischen Personen oder Personengemeinschaft befugt ist.

(2) Der Antragsteller hat am Verfahren zur Auskunftserteilung mitzuwirken. Kommt er dieser Verpflichtung nicht von sich aus nach, ist er hiezu aufzufordern. Er hat diejenigen Datenverarbeitungen zu bezeichnen, bezüglich derer er Betroffener sein kann, oder glaubhaft zu machen, daß er irrtümlich oder mißbräuchlich in Datenbeständen des Auftraggebers enthalten ist. Er hat zugleich bekanntzugeben, ob er Auskunft aus aktuellen oder früheren (§ 16 Abs. 1) Datenbeständen verlangt.

(3) Dem Antragsteller sind die für die Erfüllung seiner Mitwirkungspflicht erforderlichen Anleitungen unaufgefordert und unverzüglich zu geben.

(4) Hat der Antragsteller seiner Pflicht zur Mitwirkung entsprochen und ergibt sich, daß für die Auskunftserteilung ein Kostenersatz vorzuschreiben ist, so ist dem Antragsteller die Höhe des Kostenersatzes so rasch als möglich mit der Aufforderung zur Einzahlung bekanntzugeben.

(5) Die Entrichtung eines vorgeschriebenen Kostenersatzes ist nachzuweisen. Bei Auskunftsbegehren, deren Erfüllung einer Kostenersatzpflicht unterliege, beginnt die im § 11 Abs. 1 DSG festgesetzte Frist für die Auskunftserteilung mit dem Nachweis der Entrichtung des Kostenersatzes zu laufen.

(6) Die Bearbeitung des Auskunftsantrages hat zu unterbleiben, wenn

§ 16

(1) Die Erteilung einer Auskunft hat unentgeltlich zu erfolgen, wenn sie den aktuellen Datenbestand betrifft und wenn der Auskunftswerber im laufenden Jahr noch kein Auskunftsersuchen an den Auftraggeber betreffend dasselbe Aufgabengebiet gestellt hat. Aktuelle Datenbestände sind solche, die im Kalenderjahr des Einlangens des Antrages angelegt oder fortgeführt werden, bei Einlangen des Antrages im Jänner überdies auch die Datenbestände des unmittelbar vorangehenden Kalenderjahres.

(2) Für alle anderen Fälle der Auskunftserteilung werden folgende

Kostenersätze je Datenverarbeitung festgesetzt:

(3) Der Kostenersatz kann ermäßigt oder nachgesehen werden, wenn

(4) Der Kostenersatzpflicht unterliegen auch Auskünfte dahingehend, daß keine Daten des Betroffenen in einer Datenverarbeitung vorhanden sind.

§ 17

(1) Ein für eine Auskunft geleisteter Kostenersatz ist rückzuerstatten, wenn Daten rechtswidrig verwendet wurden oder wenn die Auskunft sonst zu einer Richtigstellung geführt hat.

(2) Ein Anlaß zu einer Richtigstellung ist nicht gegeben, wenn eine Abweichung in der Art der Darstellung der Daten durch den Stand der Technik im automationsunterstützten Datenverkehr oder durch die zweckmäßige oder wirtschaftliche Gestaltung einer Datenverarbeitung bedingt ist. Eine Richtigstellung hat jedenfalls zu erfolgen, wenn Daten in ihrem Inhalt verändert wurden.

Abschnitt IV

Schlußbestimmungen

§ 18

(1) Diese Verordnung tritt mit Ablauf des Tages ihrer Kundmachung im Landesgesetzblatt für Burgenland in Kraft.

(2) Gleichzeitig tritt die Verordnung der Burgenländischen Landesregierung über die Festsetzung eines Kostenersatzes für die Erteilung von Auskünften nach dem Datenschutzgesetz, LGBl. Nr. 1/1980, hinsichtlich der Auftraggeber Magistrate der Freistädte Eisenstadt und Rust sowie Stadtämter bzw. Gemeindeämter der übrigen Gemeinden im Burgenland außer Kraft.