{'item': 'K178.171/0013-DSK/2006'}

RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum09.08.2006 GeschäftszahlK178.171/0013-DSK/2006 Text[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] B E S C H E I DB E S C H E römisch eins D Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Mag. HUTTERER, Dr. KOTSCHY, Dr. ROSENMAYR-KLEMENZ, Dr. STAUDIGL und Mag. ZIMMER sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom

1. August 2006 folgenden Beschluss gefasst: S p r u c h Der Antrag der C**** Bank AG (in der Folge „Antragstellerin“) in Wien, ursprünglich eingebracht am
2. Mai 2003, Kundendaten aus den unter der DVR-Nummer xxxxxxx im Datenverarbeitungsregister registrierten Datenanwendungen an die Muttergesellschaft G****-Bank (in der Folge „Datenimporteur“), Moskau, Russische Föderation, zum Zweck der Erfüllung der Konsolidierungspflicht im Sinne des § 30 Abs. 9 BWG zu übermitteln, wird gemäß § 13 Abs. 2 Z 4 DSG 2000, BGBl. I Nr. 165/1999 idgF, abgewiesen.Der Antrag der C**** Bank AG (in der Folge „Antragstellerin“) in Wien, ursprünglich eingebracht am
3. Mai 2003, Kundendaten aus den unter der DVR-Nummer xxxxxxx im Datenverarbeitungsregister registrierten Datenanwendungen an die Muttergesellschaft G****-Bank (in der Folge „Datenimporteur“), Moskau, Russische Föderation, zum Zweck der Erfüllung der Konsolidierungspflicht im Sinne des Paragraph 30, Absatz 9, BWG zu übermitteln, wird gemäß Paragraph 13, Absatz 2, Ziffer 4, DSG 2000, Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF, abgewiesen. B e g r ü n d u n g Die Antragstellerin begehrte mit einem Antrag, der ursprünglich am
4. Mai 2003 eingebracht und mehrfach abgeändert und ergänzt wurde, die Erteilung einer Genehmigung zur Übermittlung von Kundendaten an ihre russische Mutterbank. Soweit der Datenverkehr mit dem Ausland nicht gemäß § 12 DSG 2000 genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission gemäß § 13 DSG 2000 einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden (§ 13 Abs. 1 DSG 2000 letzter Satz).Soweit der Datenverkehr mit dem Ausland nicht gemäß Paragraph 12, DSG 2000 genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission gemäß Paragraph 13, DSG 2000 einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden (Paragraph 13, Absatz eins, DSG 2000 letzter Satz). Die Genehmigung ist unter Beachtung der gemäß § 55 Z 2 DSG 2000 ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des § 12 Abs. 5 leg.cit vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus,Die Genehmigung ist unter Beachtung der gemäß Paragraph 55, Ziffer 2, DSG 2000 ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des Paragraph 12, Absatz 5, leg.cit vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus, 1.Ziffer eins für die im Genehmigungsantrag angeführte Übermittlung oder Überlassung im konkreten Einzelfall angemessener Datenschutz besteht; dies ist unter Berücksichtigung aller Umstände zu beurteilen, die bei der Datenverwendung eine Rolle spielen, wie insbesondere die Art der verwendeten Daten, die Zweckbestimmung sowie die Dauer der geplanten Verwendung, das Herkunfts- und das Endbestimmungsland und die in dem betreffenden Drittland geltenden allgemeinen oder sektoriellen Rechtsnormen, Standesregeln und Sicherheitsstandards; oder 2.Ziffer 2 der Auftraggeber glaubhaft macht, dass die schutzwürdigen Geheimhaltungsinteressen der vom geplanten Datenverkehr Betroffenen auch im Ausland ausreichend gewahrt werden. Hiefür können insbesondere auch vertragliche Zusicherungen des Empfängers an den Antragsteller über die näheren Umstände der Datenverwendung im Ausland von Bedeutung sein (§ 13 Abs. 2 DSG 2000).(Paragraph 13, Absatz 2, DSG 2000). Abgesehen von der Übermittlung und Überlassung von Daten an Empfänger in Mitgliedstaaten der Europäischen Union (vgl. § 12 Abs. 1 DSG 2000) bedarf keiner Genehmigung gemäß § 13 leg.cit weiters der Datenverkehr mit Empfängern in Drittstaaten mit angemessenem Datenschutz. Welche Drittstaaten angemessenen Datenschutz gewährleisten, wird unter Beachtung des § 55 Z 1 leg.cit. durch Verordnung des Bundeskanzlers festgestellt. Maßgebend für die Angemessenheit des Schutzes ist die Ausgestaltung der Grundsätze des § 6 Abs. 1 leg.cit in der ausländischen Rechtsordnung und das Vorhandensein wirksamer Garantien für ihre Durchsetzung (§ 12 Abs. 2 DSG 2000).Abgesehen von der Übermittlung und Überlassung von Daten an Empfänger in Mitgliedstaaten der Europäischen Union vergleiche Paragraph 12, Absatz eins, DSG 2000) bedarf keiner Genehmigung gemäß Paragraph 13, leg.cit weiters der Datenverkehr mit Empfängern in Drittstaaten mit angemessenem Datenschutz. Welche Drittstaaten angemessenen Datenschutz gewährleisten, wird unter Beachtung des Paragraph 55, Ziffer eins, leg.cit. durch Verordnung des Bundeskanzlers festgestellt. Maßgebend für die Angemessenheit des Schutzes ist die Ausgestaltung der Grundsätze des Paragraph 6, Absatz eins, leg.cit in der ausländischen Rechtsordnung und das Vorhandensein wirksamer Garantien für ihre Durchsetzung (Paragraph 12, Absatz 2, DSG 2000). Darüber hinaus ist der Datenverkehr ins Ausland gemäß § 12 Abs. 3 DSG 2000 dann genehmigungsfrei, wennDarüber hinaus ist der Datenverkehr ins Ausland gemäß Paragraph 12, Absatz 3, DSG 2000 dann genehmigungsfrei, wenn 1.Ziffer eins die Daten im Inland zulässigerweise veröffentlicht wurden oder 2.Ziffer 2 Daten, die für den Empfänger nur indirekt personenbezogen sind, übermittelt oder überlassen werden oder 3.Ziffer 3 die Übermittlung oder Überlassung von Daten ins Ausland in Rechtsvorschriften vorgesehen ist, die im innerstaatlichen Recht den Rang eines Gesetzes haben und unmittelbar anwendbar sind, oder 4.Ziffer 4 Daten aus Datenanwendungen für private Zwecke (§ 45) oder für publizistische Tätigkeit (§ 48) übermittelt werden, oderDaten aus Datenanwendungen für private Zwecke (Paragraph 45,) oder für publizistische Tätigkeit (Paragraph 48,) übermittelt werden, oder 5.Ziffer 5 der Betroffene ohne jeden Zweifel seine Zustimmung zur Übermittlung oder Überlassung seiner Daten ins Ausland gegeben hat oder 6.Ziffer 6 ein vom Auftraggeber mit dem Betroffenen oder mit einem Dritten eindeutig im Interesse des Betroffenen abgeschlossener Vertrag nicht anders als durch Übermittlung der Daten ins Ausland erfüllt werden kann oder 7.Ziffer 7 die Übermittlung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen vor ausländischen Behörden erforderlich ist und die Daten rechtmäßig ermittelt wurden, oder 8.Ziffer 8 die Übermittlung oder Überlassung in einer Standardverordnung (§ 17 Abs. 2 Z 6) oder Musterverordnung (§ 19 Abs. 2)die Übermittlung oder Überlassung in einer Standardverordnung (Paragraph 17, Absatz 2, Ziffer 6,) oder Musterverordnung (Paragraph 19, Absatz 2,) ausdrücklich angeführt ist oder 9.Ziffer 9 es sich um Datenverkehr mit österreichischen Dienststellen im Ausland handelt oder 10.Ziffer 10 Übermittlungen oder Überlassungen aus Datenanwendungen erfolgen, die gemäß § 17 Abs. 3 von der Meldepflicht ausgenommen sind.Übermittlungen oder Überlassungen aus Datenanwendungen erfolgen, die gemäß Paragraph 17, Absatz 3, von der Meldepflicht ausgenommen sind. Da keine der genannten Ausnahmetatbestände a priori auf den beantragten Datenverkehr in das Ausland zutrifft, hat die Antragstellerin zum Nachweis ausreichenden Datenschutzes beim Empfänger (§ 13 Abs. 2 Z 1 DSG 2000) angeboten, einen Vertrag mit dem Datenimporteur abzuschließen, der vollinhaltlich den in der Entscheidung der Europäischen Kommission K