← Österreich

{'item': 'K178.227/0005-DSK/2006'}

RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum31.05.2006 GeschäftszahlK178.227/0005-DSK/2006 Text[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein.] B E S C H E I DB E S C H E römisch eins D Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Mag. HUTTERER, Dr. KOTSCHY, Dr. ROSENMAYR-KLEMENZ, Dr. STAUDIGL und Mag. ZIMMER sowie des Schriftführers Mag. FLENDROVSKY in ihrer Sitzung vom

  1. Mai 2006 folgenden Beschluss gefasst: S p r u c h I. Aufgrund des Antrages vom
  2. April 2006 wird der G**** GmbH, gemäß § 13 Abs. 1 und 2 Z 2 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999 idF BGBl. I Nr. 13/2005, die Genehmigung erteilt, folgende personenbezogene Daten aus der Datenanwendung „Datei für weltweite Großaufträge“, die beim Datenverarbeitungsregister zur Registrierung gemeldet ist, an die G**** LLC, USA, zum Zweck der Beurteilung des Kreditrisikos und der Genehmigung von Großaufträgen zu übermitteln und zur Inanspruchnahme von Hosting-Services zu überlassen:römisch eins. Aufgrund des Antrages vom
  3. April 2006 wird der G**** GmbH, gemäß Paragraph 13, Absatz eins und 2 Ziffer 2, des Datenschutzgesetzes 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr. 13 aus 2005,, die Genehmigung erteilt, folgende personenbezogene Daten aus der Datenanwendung „Datei für weltweite Großaufträge“, die beim Datenverarbeitungsregister zur Registrierung gemeldet ist, an die G**** LLC, USA, zum Zweck der Beurteilung des Kreditrisikos und der Genehmigung von Großaufträgen zu übermitteln und zur Inanspruchnahme von Hosting-Services zu überlassen: Von bestehenden Kunden der G**** GmbH: -Strichaufzählung Kundenname -Strichaufzählung Ordnungsnummer -Strichaufzählung Daten zur Konzernzugehörigkeit -Strichaufzählung Daten zur Bonität -Strichaufzählung Daten zum Zahlungs- und Leistungsverhalten des Kunden -Strichaufzählung Daten zum Kreditmanagement, z.B. bestehendes Finanzierungsobligo, -Strichaufzählung offene Posten, etc. -Strichaufzählung Gegenstand der Lieferung und Leistung -Strichaufzählung Firmenbuchdaten -Strichaufzählung Finanzierungs- und Zahlungsbedingungen, z.B. Zahlungsziel -Strichaufzählung Mahndaten/Klagsdaten -Strichaufzählung Bearbeitungskommentare (quantitative/qualitative Angaben zur Bonität) Von potentiellen Kunden der G**** GmbH: -Strichaufzählung Kundenname -Strichaufzählung Ordnungsnummer -Strichaufzählung Daten zur Konzernzugehörigkeit -Strichaufzählung Daten zur Bonität -Strichaufzählung Gegenstand der Lieferung und Leistung -Strichaufzählung Firmenbuchdaten -Strichaufzählung Finanzierungs- und Zahlungsbedingungen, z.B. Zahlungsziel -Strichaufzählung Bearbeitungskommentare (quantitative/qualitative Angaben zur Bonität) Von Mitarbeitern der G**** GmbH, die mit der Abwicklung des Geschäftsfalls befasst sind: -Strichaufzählung Name -Strichaufzählung Daten zur Adressierung II. Gemäß § 78 des Allgemeinen Verwaltungsverfahrensgesetzes (AVG), BGBl Nr. 51/1991 idF. BGBl I Nr. 65/2002, iVm §§ 1, 3 Abs. 1 und TP 1 Bundesverwaltungsabgabenverordnung 1983, BGBl Nr. 24 i.d.F. BGBl II Nr. 460/2002 (BVwAbgV), hat die Antragstellerin eine Verwaltungsabgabe in Höhe vonrömisch zwei. Gemäß Paragraph 78, des Allgemeinen Verwaltungsverfahrensgesetzes (AVG), Bundesgesetzblatt Nr. 51 aus 1991, in der Fassung Bundesgesetzblatt Teil eins, Nr. 65 aus 2002,, in Verbindung mit Paragraphen eins, 3, Absatz eins und TP 1 Bundesverwaltungsabgabenverordnung 1983, BGBl Nr. 24 in der Fassung Bundesgesetzblatt Teil 2, Nr. 460 aus 2002, (BVwAbgV), hat die Antragstellerin eine Verwaltungsabgabe in Höhe von Euro 6,50 zu entrichten. B e g r ü n d u n g Mit E-Mail vom
  4. April 2006 hat die G**** GmbH (in der Folge: Antragstellerin) bei der Datenschutzkommission einen Antrag gemäß § 13 DSG 2000 auf Übermittlung und Überlassung von personenbezogenen Daten von Kunden (und in einem geringen Ausmaß auch von Mitarbeitern) an die von der Konzernmutter (G**** Corporation) beauftragte G**** LLC, USA gestellt.Mit E-Mail vom
  5. April 2006 hat die G**** GmbH (in der Folge: Antragstellerin) bei der Datenschutzkommission einen Antrag gemäß Paragraph 13, DSG 2000 auf Übermittlung und Überlassung von personenbezogenen Daten von Kunden (und in einem geringen Ausmaß auch von Mitarbeitern) an die von der Konzernmutter (G**** Corporation) beauftragte G**** LLC, USA gestellt. Die Datenübermittlung soll der Beurteilung des Kreditrisikos und der Genehmigung von Großaufträgen durch die Konzernleitung dienen. Weiters sollen gewisse Dienstleistungen zentral in den USA erbracht werden. Die G**** Corporation hat diese Aufgaben an die G**** LLC delegiert, weshalb der Datentransfer direkt an diese erfolgen soll. In rechtlicher Hinsicht war zu erwägen: § 13 Abs. 1 und 2 DSG 2000 lauten unter der Überschrift „Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland“:Paragraph 13, Absatz eins und 2 DSG 2000 lauten unter der Überschrift „Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland“: „§ 13.

(1)Soweit der Datenverkehr mit dem Ausland nicht gemäß § 12 genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (§§ 35 ff) einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden.„§ 13.
(1)Soweit der Datenverkehr mit dem Ausland nicht gemäß Paragraph 12, genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (Paragraphen 35, ff) einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden.
(2)Die Genehmigung ist unter Beachtung der gemäß § 55 Z 2 ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des § 12 Abs. 5 vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus,
(2)Die Genehmigung ist unter Beachtung der gemäß Paragraph 55, Ziffer 2, ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des Paragraph 12, Absatz 5, vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus, 1.Ziffer eins für die im Genehmigungsantrag angeführte Übermittlung oder Überlassung im konkreten Einzelfall angemessener Datenschutz besteht; dies ist unter Berücksichtigung aller Umstände zu beurteilen, die bei der Datenverwendung eine Rolle spielen, wie insbesondere die Art der verwendeten Daten, die Zweckbestimmung sowie die Dauer der geplanten Verwendung, das Herkunfts- und das Endbestimmungsland und die in dem betreffenden Drittland geltenden allgemeinen oder sektoriellen Rechtsnormen, Standesregeln und Sicherheitsstandards; oder 2.Ziffer 2 der Auftraggeber glaubhaft macht, dass die schutzwürdigen Geheimhaltungsinteressen der vom geplanten Datenverkehr Betroffenen auch im Ausland ausreichend gewahrt werden. Hiefür können insbesondere auch vertragliche Zusicherungen des Empfängers an den Antragsteller über die näheren Umstände der Datenverwendung im Ausland von Bedeutung sein.“ 1. Die beantragte Übermittlung bzw. Überlassung von Daten ist gemäß § 13 Abs. 1 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999, genehmigungspflichtig, da die USA nicht zu den Staaten mit angemessenem Datenschutzniveau im Sinne des § 12 Abs. 2 DSG 2000 zählen. Die G**** LLC, USA, ist auch nicht der „Safe Harbor“- Vereinbarung (2000/520/EG, CELEX: 32000D0520, Amtsblatt Nr. L 215 vom 25/08/2000 S. 0007 - 0047) beigetreten.1. Die beantragte Übermittlung bzw. Überlassung von Daten ist gemäß Paragraph 13, Absatz eins, Datenschutzgesetz 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999,, genehmigungspflichtig, da die USA nicht zu den Staaten mit angemessenem Datenschutzniveau im Sinne des Paragraph 12, Absatz 2, DSG 2000 zählen. Die G**** LLC, USA, ist auch nicht der „Safe Harbor“- Vereinbarung (2000/520/EG, CELEX: 32000D0520, Amtsblatt Nr. L 215 vom 25/08/2000 S. 0007 - 0047) beigetreten. 2. Die zugrunde liegende Datenanwendung „Datei für weltweite Großaufträge“ liegt dem Datenverarbeitungsregister unter der laufenden Datenanwendungsnummer xxx des Auftraggebers G**** GmbH (DVR-Nummer yyyyyyyyy) vor, wobei für die Registrierungsfähigkeit nur mehr die Genehmigung der in der Meldung enthaltenen Fälle internationalen Datenverkehrs fehlt. 3. Gemäß § 12 Abs. 5 DSG 2000 ist zunächst Voraussetzung für die Zulässigkeit jeder Übermittlung oder Überlassung in das Ausland die Rechtmäßigkeit der Datenanwendung im Inland gemäß § 7 DSG 2000.3. Gemäß Paragraph 12, Absatz 5, DSG 2000 ist zunächst Voraussetzung für die Zulässigkeit jeder Übermittlung oder Überlassung in das Ausland die Rechtmäßigkeit der Datenanwendung im Inland gemäß Paragraph 7, DSG 2000.
  1. a)Hinsichtlich der Überlassung an die G*** LLC, USA, ist die Zulässigkeit gemäß § 10 DSG 2000 gegeben, da die Überlassung aus einer in Österreich zulässigen Datenanwendung erfolgen soll (vgl. Pkt. 2) und da hinsichtlich des Dienstleisters kein Anlass besteht daran zu zweifeln, dass G**** LLC, USA, ausreichende Gewähr für die rechtmäßige und sichere Datenverwendung bietet.
  2. a)Hinsichtlich der Überlassung an die G*** LLC, USA, ist die Zulässigkeit gemäß Paragraph 10, DSG 2000 gegeben, da die Überlassung aus einer in Österreich zulässigen Datenanwendung erfolgen soll vergleiche Pkt. 2) und da hinsichtlich des Dienstleisters kein Anlass besteht daran zu zweifeln, dass G**** LLC, USA, ausreichende Gewähr für die rechtmäßige und sichere Datenverwendung bietet.
  3. b)Für die Zulässigkeit einer Übermittlung ist gemäß § 7 Abs. 2 DSG 2000 Voraussetzung, dass die Daten aus einer zulässigen Datenanwendung stammen – was im vorliegenden Fall gemäß Pkt. 2 gegeben ist – und dass die Übermittlung durch einen der Fälle des § 8 ( bzw. bei sensiblen Daten des § 9 DSG 2000) gedeckt ist. Im vorliegenden Fall sollen keine sensiblen Daten im Sinne des § 4 Z 2 DSG 2000 übermittelt werden, sodass nur § 8 zur Anwendung kommt. Die Übermittlung dient der Beurteilung des Risikos, das mit dem Abschluss von Großaufträgen mit Kreditkonditionen verbunden ist. Angesichts der anerkannten Anforderungen an ein aussagefähiges Rechnungs- und Bilanzierungswesen in Konzernen müssen Kreditrisiken, die von Konzerntöchtern eingegangen werden, einer konsolidierten Betrachtung der Gesamtverpflichtungen eines Konzerns zugeführt werden, sodass sie der Konzernspitze jeweils zumindest bekannt geworden sein müssen. Für die Übermittlung relevanter Daten an die Konzernspitze (bzw. eines von ihr Beauftragten) ist im vorliegenden Fall daher das Vorliegen eines überwiegenden berechtigten Interesses im Sinne des § 8 Abs. 1 Z 4 DSG 2000 anzunehmen, sodass schutzwürdige Geheimhaltungsinteressen durch die beabsichtigte Übermittlung nicht verletzt werdenb) Für die Zulässigkeit einer Übermittlung ist gemäß Paragraph 7, Absatz 2, DSG 2000 Voraussetzung, dass die Daten aus einer zulässigen Datenanwendung stammen – was im vorliegenden Fall gemäß Pkt. 2 gegeben ist – und dass die Übermittlung durch einen der Fälle des Paragraph 8, ( bzw. bei sensiblen Daten des Paragraph 9, DSG 2000) gedeckt ist. Im vorliegenden Fall sollen keine sensiblen Daten im Sinne des Paragraph 4, Ziffer 2, DSG 2000 übermittelt werden, sodass nur Paragraph 8, zur Anwendung kommt. Die Übermittlung dient der Beurteilung des Risikos, das mit dem Abschluss von Großaufträgen mit Kreditkonditionen verbunden ist. Angesichts der anerkannten Anforderungen an ein aussagefähiges Rechnungs- und Bilanzierungswesen in Konzernen müssen Kreditrisiken, die von Konzerntöchtern eingegangen werden, einer konsolidierten Betrachtung der Gesamtverpflichtungen eines Konzerns zugeführt werden, sodass sie der Konzernspitze jeweils zumindest bekannt geworden sein müssen. Für die Übermittlung relevanter Daten an die Konzernspitze (bzw. eines von ihr Beauftragten) ist im vorliegenden Fall daher das Vorliegen eines überwiegenden berechtigten Interesses im Sinne des Paragraph 8, Absatz eins, Ziffer 4, DSG 2000 anzunehmen, sodass schutzwürdige Geheimhaltungsinteressen durch die beabsichtigte Übermittlung nicht verletzt werden Die beabsichtigte Übermittlung ist daher insgesamt als zulässig im Sinne des § 12 Abs. 5 DSG 2000 anzusehen.Die beabsichtigte Übermittlung ist daher insgesamt als zulässig im Sinne des Paragraph 12, Absatz 5, DSG 2000 anzusehen. 4. Für eine Genehmigung der Übermittlung oder Überlassung von Daten ins Ausland in Fällen, die nicht dem § 12 Abs. 1 bis 3 unterliegen, ist weiters die Glaubhaftmachung angemessenen Schutzes beim Empfänger nach § 13 Abs. 2 DSG 2000 Voraussetzung:4. Für eine Genehmigung der Übermittlung oder Überlassung von Daten ins Ausland in Fällen, die nicht dem Paragraph 12, Absatz eins bis 3 unterliegen, ist weiters die Glaubhaftmachung angemessenen Schutzes beim Empfänger nach Paragraph 13, Absatz 2, DSG 2000 Voraussetzung: Die Antragstellerin hat diesbezüglich zwei Verträge vorgelegt, die sie mit der Empfängerin der Daten in den USA abgeschlossen hat. Diese Verträge entsprechen den Standardvertragsklauseln für die Überlassung an Dienstleister (Entscheidung der Kommission vom 27. Dezember 2001 hinsichtlich Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern nach der Richtlinie 95/46/EG, 2002/16/EG, CELEX: 32002D0016, Amtsblatt Nr. L 006 vom 10/01/2002 S. 52 – 62) bzw. den Standardvertragsklauseln für die Übermittlung an Auftraggeber (Set II) (Entscheidung der EU-Kommission vom 27. Dezember 2004 zur Änderung der Entscheidung 2001/497/EG bezüglich der Einführung alternativer Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer, 2004/915/EG, CELEX:32002D0016, Amtsblatt Nr. L 006 vom 10/01/2002 S. 52 – 62) bzw. den Standardvertragsklauseln für die Übermittlung an Auftraggeber (Set römisch zwei) (Entscheidung der EU-Kommission vom 27. Dezember 2004 zur Änderung der Entscheidung 2001/497/EG bezüglich der Einführung alternativer Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer, 2004/915/EG, CELEX: 32004D0915, Amtsblatt Nr. L 385 vom 29/12/2004 S. 0074 – 0084) . Vereinbarungen, die diesen Standardvertragsklauseln entsprechen, sind geeignet, angemessene Garantien hinsichtlich des Schutzes der Privatsphäre, der Grundrechte und der Grundfreiheiten der Personen sowie hinsichtlich der Ausübung der damit verbundenen Rechte für die Übermittlung bzw. Überlassung personenbezogener Daten durch österreichische Auftraggeber an Empfänger außerhalb der europäischen Gemeinschaft zu bewirken, sodass die Glaubhaftmachung angemessenen Datenschutzes gemäß § 13 Abs. 2 Z 2 DSG 2000 vorliegt.32004D0915, Amtsblatt Nr. L 385 vom 29/12/2004 S. 0074 – 0084) . Vereinbarungen, die diesen Standardvertragsklauseln entsprechen, sind geeignet, angemessene Garantien hinsichtlich des Schutzes der Privatsphäre, der Grundrechte und der Grundfreiheiten der Personen sowie hinsichtlich der Ausübung der damit verbundenen Rechte für die Übermittlung bzw. Überlassung personenbezogener Daten durch österreichische Auftraggeber an Empfänger außerhalb der europäischen Gemeinschaft zu bewirken, sodass die Glaubhaftmachung angemessenen Datenschutzes gemäß Paragraph 13, Absatz 2, Ziffer 2, DSG 2000 vorliegt. 5. Die Verwaltungsabgabe war gemäß § 78 Abs. 1 AVG iVm §§ 13, 53 Abs. 1 DSG 2000 vorzuschreiben. Demnach ist für Anträge nach § 13 DSG 2000 keine Befreiung von Verwaltungsabgaben normiert.5. Die Verwaltungsabgabe war gemäß Paragraph 78, Absatz eins, AVG in Verbindung mit Paragraphen 13, 53, Absatz eins, DSG 2000 vorzuschreiben. Demnach ist für Anträge nach Paragraph 13, DSG 2000 keine Befreiung von Verwaltungsabgaben normiert.

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.