← Österreich

{'item': 'K178.212/0008-DSK/2006'}

RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum07.09.2006 GeschäftszahlK178.212/0008-DSK/2006 Text[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] B E S C H E I DB E S C H E römisch eins D Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. KOTSCHY, Mag. HUTTERER, Mag. MAITZ-STRASSNIG, Dr. STAUDIGL, und Mag. PREISS sowie des Schriftführers Mag. FLENDROVSKY in ihrer Sitzung vom 7. September 2006 folgenden Beschluss gefasst: S p r u c h I. Aufgrund des Antrages vom 15. November 2005, ergänzt am 4. Mai 2006, wird der S**** GmbH, gemäß § 13 Abs. 1 und 2 Z 2 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999 idF BGBl. I Nr. 13/2005, die Genehmigung erteilt, folgende personenbezogenen Daten von Mitarbeitern zu den im Folgenden genannten Zwecken an die S**** Inc., USA, zu übermitteln:römisch eins. Aufgrund des Antrages vom 15. November 2005, ergänzt am 4. Mai 2006, wird der S**** GmbH, gemäß Paragraph 13, Absatz eins und 2 Ziffer 2, des Datenschutzgesetzes 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr. 13 aus 2005,, die Genehmigung erteilt, folgende personenbezogenen Daten von Mitarbeitern zu den im Folgenden genannten Zwecken an die S**** Inc., USA, zu übermitteln:

  1. a)Zum Zweck der Führung eines Mitarbeiterverzeichnisses für die dienstliche Kontaktaufnahme dürfen übermittelt werden: -Strichaufzählung Personalnummer -Strichaufzählung Vor- und Familienname, akad. Grad/ Titel -Strichaufzählung Geschlecht -Strichaufzählung Position und Funktion -Strichaufzählung Standort -Strichaufzählung Kontaktadressen -Strichaufzählung Kontaktsprachen
  2. b)Zum Zweck der Verwaltung und Sicherung von Informationssystemen dürfen darüber hinaus folgende Daten übermittelt werden: -Strichaufzählung Ausbildung -Strichaufzählung Qualifikation -Strichaufzählung Schulungen -Strichaufzählung Berufserfahrung
  3. c)Zum Zweck der Berücksichtigung der Mitarbeiter des Datenexporteurs bei der Planung der Neubesetzung freier Stellen im Konzern dürfen übermittelt werden: -Strichaufzählung Personalnummer -Strichaufzählung Vor- und Familienname, akad. Grad/ Titel -Strichaufzählung Geschlecht -Strichaufzählung Alter -Strichaufzählung Ausbildung -Strichaufzählung Qualifikation -Strichaufzählung Schulungen -Strichaufzählung Berufserfahrung -Strichaufzählung Position und Funktion -Strichaufzählung Gehalt -Strichaufzählung Standort -Strichaufzählung Kontaktinformation -Strichaufzählung Staatsbürgerschaft -Strichaufzählung Kontaktsprachen -Strichaufzählung Familienstand Die Genehmigung wird unter der Auflage erteilt, dass mit diesen Daten gemäß der mit Schreiben vom 4. Mai 2006 übermittelten Zusage der S**** Inc. keine Einzelpersonalmaßnahmen oder personenbezogene Auswertungen für andere Zwecke vorgenommen werden dürfen.
  4. d)Zum Zweck der Speicherung in einer bei S**** Inc. geführten Skills-Datenbank der Mitarbeiter von Konzernunternehmen (Kontaktaufnahme mit Mitarbeitern mit speziellem Wissen) dürfen übermittelt werden: -Strichaufzählung Personalnummer -Strichaufzählung Vor- und Familienname, akad. Grad/ Titel -Strichaufzählung Geschlecht -Strichaufzählung Alter -Strichaufzählung Ausbildung -Strichaufzählung Qualifikation -Strichaufzählung Schulungen -Strichaufzählung Berufserfahrung -Strichaufzählung Position und Funktion -Strichaufzählung Gehalt -Strichaufzählung Standort -Strichaufzählung Kontaktinformation -Strichaufzählung Staatsbürgerschaft -Strichaufzählung Kontaktsprachen Die Genehmigung wird unter der Auflage erteilt, dass nur solche Dateninhalte übermittelt werden, die vom Betroffenen selbst und freiwillig zwecks Übermittlung an die bei S**** Inc. geführte Skills-Datenbank angegeben wurden. II. Im Übrigen wird der Antrag abgewiesen.römisch zwei. Im Übrigen wird der Antrag abgewiesen. III. Gemäß § 78 des Allgemeinen Verwaltungsverfahrensgesetzes (AVG), BGBl Nr. 51/1991 idF. BGBl I Nr. 65/2002, iVm §§ 1, 3 Abs. 1 und TP 1 Bundesverwaltungsabgabenverordnung 1983, BGBl Nr. 24 i.d.F. BGBl II Nr. 460/2002 (BVwAbgV), hat die Antragstellerin eine Verwaltungsabgabe in Höhe vonrömisch drei. Gemäß Paragraph 78, des Allgemeinen Verwaltungsverfahrensgesetzes (AVG), Bundesgesetzblatt Nr. 51 aus 1991, in der Fassung Bundesgesetzblatt Teil eins, Nr. 65 aus 2002,, in Verbindung mit Paragraphen eins, 3, Absatz eins und TP 1 Bundesverwaltungsabgabenverordnung 1983, BGBl Nr. 24 in der Fassung Bundesgesetzblatt Teil 2, Nr. 460 aus 2002, (BVwAbgV), hat die Antragstellerin eine Verwaltungsabgabe in Höhe von Euro 6,50 zu entrichten. B e g r ü n d u n g A. Sachverhalt: Mit Schreiben vom 15. November 2005 hat die S**** GmbH (in der Folge: Antragstellerin) bei der Datenschutzkommission einen Antrag gemäß § 13 DSG 2000 auf Genehmigung der Übermittlung von personenbezogenen Daten von Mitarbeitern und von Kunden und Lieferanten an die Konzernmutter S**** Inc. in die USA gestellt.Mit Schreiben vom 15. November 2005 hat die S**** GmbH (in der Folge: Antragstellerin) bei der Datenschutzkommission einen Antrag gemäß Paragraph 13, DSG 2000 auf Genehmigung der Übermittlung von personenbezogenen Daten von Mitarbeitern und von Kunden und Lieferanten an die Konzernmutter S**** Inc. in die USA gestellt. Die Antragstellerin hat mit Schreiben vom 4. Mai 2006 zu einem Verbesserungsauftrag der Datenschutzkommission Stellung genommen und den Antrag in einigen Punkten eingeschränkt. Hinsichtlich der Übermittlung von Personaldaten zum Zweck der Nachbesetzung von offenen Stellen wurde eine ausdrückliche Zusicherung abgegeben, wonach mit diesen Daten keine Einzelpersonalmaßnahmen oder sonstige personenbezogene Auswertungen vorgenommen werden. In diesem Schreiben wurde weiters vorgebracht, dass die Übermittlung von Personaldaten zum Zweck der Kontaktaufnahme mit Mitarbeitern mit speziellem Wissen (Skills-Datenbank) nur aufgrund der von den Betroffenen selbst eingetragenen Daten und mit ausdrücklicher Zustimmung des Betroffenen erfolgt, und dass bei der Übermittlung der Daten von Lieferanten und Anbietern, Kunden, Vertragspartner und anderen Geschäftspartner nur Unternehmen betroffen sind. In einem E-Mail vom 20. Juni 2006 wurde auf Anfrage klargestellt, dass die Übermittlung von Daten für den Zweck „Einschätzung des Personalbedarfs“ dazu dienen soll, freigewordene Stellen im Konzern allenfalls auch aus dem bestehenden Personalstand der Antragstellerin nachbesetzen zu können. B. Anzuwendende Rechtsvorschriften: § 13 Abs. 1 und 2 DSG 2000 lauten unter der Überschrift „Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland“:Paragraph 13, Absatz eins und 2 DSG 2000 lauten unter der Überschrift „Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland“: „§ 13.

(1)Soweit der Datenverkehr mit dem Ausland nicht gemäß § 12 genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (§§ 35 ff) einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden.„§ 13.
(1)Soweit der Datenverkehr mit dem Ausland nicht gemäß Paragraph 12, genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (Paragraphen 35, ff) einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden.
(2)Die Genehmigung ist unter Beachtung der gemäß § 55 Z 2 ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des § 12 Abs. 5 vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus,
(2)Die Genehmigung ist unter Beachtung der gemäß Paragraph 55, Ziffer 2, ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des Paragraph 12, Absatz 5, vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus, 1.Ziffer eins für die im Genehmigungsantrag angeführte Übermittlung oder Überlassung im konkreten Einzelfall angemessener Datenschutz besteht; dies ist unter Berücksichtigung aller Umstände zu beurteilen, die bei der Datenverwendung eine Rolle spielen, wie insbesondere die Art der verwendeten Daten, die Zweckbestimmung sowie die Dauer der geplanten Verwendung, das Herkunfts- und das Endbestimmungsland und die in dem betreffenden Drittland geltenden allgemeinen oder sektoriellen Rechtsnormen, Standesregeln und Sicherheitsstandards; oder 2.Ziffer 2 der Auftraggeber glaubhaft macht, dass die schutzwürdigen Geheimhaltungsinteressen der vom geplanten Datenverkehr Betroffenen auch im Ausland ausreichend gewahrt werden. Hiefür können insbesondere auch vertragliche Zusicherungen des Empfängers an den Antragsteller über die näheren Umstände der Datenverwendung im Ausland von Bedeutung sein.“ C. Rechtliche Erwägungen: Eine Genehmigung für den Datentransfer ins Ausland kann gemäß § 13 DSG 2000 nur dann erteilt werden, wenn die Rechtmäßigkeit der Datenweitergabe im Sinne des § 12 Abs. 5 DSG 2000 gegeben ist und weiters angemessener Datenschutz beim Empfänger gewährleistet ist.Eine Genehmigung für den Datentransfer ins Ausland kann gemäß Paragraph 13, DSG 2000 nur dann erteilt werden, wenn die Rechtmäßigkeit der Datenweitergabe im Sinne des Paragraph 12, Absatz 5, DSG 2000 gegeben ist und weiters angemessener Datenschutz beim Empfänger gewährleistet ist. 1. Zu Spruchpunkt I:
  1. a)Gemäß § 12 Abs. 5 DSG 2000 ist Voraussetzung für die Rechtmäßigkeit einer geplanten Übermittlung, dass die Bedingungen des § 7 Abs. 2 DSG 2000 erfüllt sind. Danach dürfen Daten nur dann übermittelt werden, wenn siea) Gemäß Paragraph 12, Absatz 5, DSG 2000 ist Voraussetzung für die Rechtmäßigkeit einer geplanten Übermittlung, dass die Bedingungen des Paragraph 7, Absatz 2, DSG 2000 erfüllt sind. Danach dürfen Daten nur dann übermittelt werden, wenn sie -Strichaufzählung aus einer zulässigen Datenanwendung stammen und wenn -Strichaufzählung die rechtliche Befugnis des Empfängers für eine derartige Übermittlung ausreichend glaubhaft ist und wenn -Strichaufzählung die Übermittlung im Sinne der §§ 8 bzw. 9 DSG 2000 ihrer Art nach auch im Inland zulässig wäre.die Übermittlung im Sinne der Paragraphen 8, bzw. 9 DSG 2000 ihrer Art nach auch im Inland zulässig wäre. aa). Zu Spruchpunkt I.aaa). Zu Spruchpunkt römisch eins.a Die Daten der Mitarbeiter, die übermittelt werden sollen, stammen aus einer beim DVR unter der Nummer xxxxxxxx/006 gemeldeten Datenanwendung. Bei der Führung des Mitarbeiterverzeichnisses handelt es sich um eine Kontaktdatenbank, deren Führung durch die Konzernmutter eine wesentliche Voraussetzung für die effiziente Kooperation innerhalb eines Konzerns ist. Ausreichende rechtliche Befugnis des Datenexporteurs und des Datenimporteurs zur Verwendung der in Rede stehenden Daten ist somit gegeben. Gegenüber dem Antrag wurde die Datenart „Muttersprache“ ersetzt durch „Kontaktsprachen“, um einerseits die Übermittlung sensibler Daten zu vermeiden und andererseits mehr Praktikabilität zu erreichen. Die Aufnahme der Datenart „Wohnort (Postleitzahl)“ wurde mangels Nachweis der Notwendigkeit verweigert und die Datenart „Kontaktinformation“ zwecks präziserer Verständlichkeit in „Kontaktadressen“ umformuliert. bb). Zu Spruchpunkt I.bbb). Zu Spruchpunkt römisch eins.b Zusätzlich zu den unter
  2. aa)gemachten Ausführungen ist festzuhalten, dass diese Übermittlung Personaldaten betrifft, die zur Verwaltung und Sicherung von Informationssystemen erforderlich sind. Auch diesbezüglich sind die Voraussetzungen des ausreichenden Berechtigungsumfangs des Datenexporteurs wie des Datenimporteurs und der Zulässigkeit der Übermittlung im Sinne des § 8 DSG 2000 gegeben. Die Genehmigung der Übermittlung der Datenart „Alter“ wird jedoch abgelehnt, da diese Information für den Übermittlungszweck nicht relevant erscheint.Zusätzlich zu den unter
  3. aa)gemachten Ausführungen ist festzuhalten, dass diese Übermittlung Personaldaten betrifft, die zur Verwaltung und Sicherung von Informationssystemen erforderlich sind. Auch diesbezüglich sind die Voraussetzungen des ausreichenden Berechtigungsumfangs des Datenexporteurs wie des Datenimporteurs und der Zulässigkeit der Übermittlung im Sinne des Paragraph 8, DSG 2000 gegeben. Die Genehmigung der Übermittlung der Datenart „Alter“ wird jedoch abgelehnt, da diese Information für den Übermittlungszweck nicht relevant erscheint. cc). Zu Spruchpunkt I.ccc). Zu Spruchpunkt römisch eins.c Auch diese Übermittlung aus der Datenanwendung „Personalverwaltung“ der Antragsstellerin ist angesichts ihres Zwecks als berechtigtes Interesse der Konzernmutter anzuerkennen. Die Antragstellerin hat eine ausdrückliche Zusage der Konzernmutter vorgelegt, wonach die übermittelten Daten ausschließlich für Zwecke der Nachbesetzung freier Stellen verwendet werden und mit diesen Daten keine sonstigen Einzelpersonalmaßnahmen oder sonstige personenbezogene Auswertungen vorgenommen werden. Die Datenschutzkommission erteilt die Genehmigung unter der Auflage, dass die Daten entsprechend dieser Zusage für keinen anderen Zweck als den genehmigten verwendet werden. Zu den Änderungen betr. die Datenarten „Muttersprache“ und „Kontaktinformation“ siehe die Erwägungen unter aa). dd). Zu Spruchpunkt I.d:dd). Zu Spruchpunkt römisch eins.d: Die Antragstellerin hat die Genehmigung der Übermittlung von Daten an eine bei der Konzernmutter geführte „Skills-Datenbank“ der Mitarbeiter beantragt. Das Ermittlungsverfahren hat diesbezüglich ergeben, dass nur jene Daten übermittelt werden sollen, die die Mitarbeiter selbst für diesen Zweck angeben. Dass ein berechtigtes Interesse sowohl des Datenexporteurs als auch des Datenimporteurs an dem möglichst effizienten Einsatz der Personalressourcen im Konzern besteht, kann nicht bezweifelt werden; die Führung einer „Skills-Datenbank“ ist hiefür eine wesentliche Voraussetzung und ein heute weit verbreitetes Instrument zur Erreichung dieses Ziels in Konzernen. Der Umstand, dass in dieser Datenbank nur jene Informationen ersichtlich sind, die die Betroffenen selbst zur Verfügung stellen, ist ausreichende Gewähr dafür, dass auch die Interessen der Betroffenen entsprechend gewahrt sind, weshalb die Genehmigung mit einer diesbezüglichen Auflage zu erteilen war.
  4. b)Glaubhaftmachung angemessenen Datenschutzes beim Empfänger: Zur Glaubhaftmachung des angemessenen Datenschutzes beim Empfänger im Ausland haben die Antragstellerin und der Empfänger im Ausland einen Vertrag abgeschlossen, der den Standardvertragsklauseln für die Übermittlung an Auftraggeber (Entscheidung der Kommission vom 15. Juni 2001 hinsichtlich Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer nach der Richtlinie 95/46/EG, 2001/497/EG, CELEX: 32001D0497, Amtsblatt vom 4. Juli 2001 Nr. L 181, S. 19 - 31) entspricht. Gemäß dieser unmittelbar anwendbaren Entscheidung gelten die Standardvertragsklauseln als angemessene Garantien hinsichtlich des Schutzes der Privatsphäre, der Grundrechte und der Grundfreiheiten der Personen sowie hinsichtlich der Ausübung der damit verbundenen Rechte für die Übermittlung personenbezogener Daten. Die Voraussetzung des § 13 Abs. 2 Z 2 DSG 2000 für die Erteilung einer Genehmigung war somit als erfüllt anzusehen.Zur Glaubhaftmachung des angemessenen Datenschutzes beim Empfänger im Ausland haben die Antragstellerin und der Empfänger im Ausland einen Vertrag abgeschlossen, der den Standardvertragsklauseln für die Übermittlung an Auftraggeber (Entscheidung der Kommission vom 15. Juni 2001 hinsichtlich Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer nach der Richtlinie 95/46/EG, 2001/497/EG, CELEX: 32001D0497, Amtsblatt vom 4. Juli 2001 Nr. L 181, S. 19 - 31) entspricht. Gemäß dieser unmittelbar anwendbaren Entscheidung gelten die Standardvertragsklauseln als angemessene Garantien hinsichtlich des Schutzes der Privatsphäre, der Grundrechte und der Grundfreiheiten der Personen sowie hinsichtlich der Ausübung der damit verbundenen Rechte für die Übermittlung personenbezogener Daten. Die Voraussetzung des Paragraph 13, Absatz 2, Ziffer 2, DSG 2000 für die Erteilung einer Genehmigung war somit als erfüllt anzusehen. 2. Zu Spruchpunkt II: Die Antragstellerin hat auch die Genehmigung der Übermittlung von Daten von Lieferanten und Anbietern, Kunden, Vertragspartner und anderen Geschäftspartner beantragt, mit dem Hinweis, dass es sich hiebei jeweils nur um Unternehmen handle. Diese Übermittlungen sollten zur besseren Organisation des Vertriebs dienen. Die Standardanwendung SA001 „Rechnungswesen und Logistik“ gibt präzise an, in welchem Umfang ein Informationsinteresse der Konzernspitze an Kunden- und Lieferantendaten als überwiegendes berechtigtes Interesse anerkannt wird, sodass die Übermittlung ins Ausland ohne Zustimmung der Betroffenen zulässig ist. Soweit der vorliegende Antrag über diesen Rahmen hinausgeht, - er enthält z.B. keine Einschränkung auf Großkunden oder -lieferanten - ist davon auszugehen, dass ein überwiegendes berechtigtes Interesse des Datenexporteurs oder des Datenimporteurs an der Übermittlung hier nicht anerkannt werden kann. Es fehlt daher in der Voraussetzung des § 12 Abs. 5 iVm § 7 DSG 2000. Derartige Datenübermittlungen werden daher, soweit sie sich nicht im Rahmen der Standardanwendung SA001 halten, nur mit Zustimmung der Betroffenen vorgenommen werden dürfen. Liegt diese vor, ist die Übermittlung gemäß § 12 Abs. 3 Z 5 DSG 2000 ohne Genehmigung der DSK zulässig.Die Antragstellerin hat auch die Genehmigung der Übermittlung von Daten von Lieferanten und Anbietern, Kunden, Vertragspartner und anderen Geschäftspartner beantragt, mit dem Hinweis, dass es sich hiebei jeweils nur um Unternehmen handle. Diese Übermittlungen sollten zur besseren Organisation des Vertriebs dienen. Die Standardanwendung SA001 „Rechnungswesen und Logistik“ gibt präzise an, in welchem Umfang ein Informationsinteresse der Konzernspitze an Kunden- und Lieferantendaten als überwiegendes berechtigtes Interesse anerkannt wird, sodass die Übermittlung ins Ausland ohne Zustimmung der Betroffenen zulässig ist. Soweit der vorliegende Antrag über diesen Rahmen hinausgeht, - er enthält z.B. keine Einschränkung auf Großkunden oder -lieferanten - ist davon auszugehen, dass ein überwiegendes berechtigtes Interesse des Datenexporteurs oder des Datenimporteurs an der Übermittlung hier nicht anerkannt werden kann. Es fehlt daher in der Voraussetzung des Paragraph 12, Absatz 5, in Verbindung mit Paragraph 7, DSG 2000. Derartige Datenübermittlungen werden daher, soweit sie sich nicht im Rahmen der Standardanwendung SA001 halten, nur mit Zustimmung der Betroffenen vorgenommen werden dürfen. Liegt diese vor, ist die Übermittlung gemäß Paragraph 12, Absatz 3, Ziffer 5, DSG 2000 ohne Genehmigung der DSK zulässig. 3. Zu Spruchpunkt III: Die Verwaltungsabgabe war gemäß § 78 Abs. 1 AVG iVm §§ 13, 53 Abs. 1 DSG 2000 vorzuschreiben. Demnach ist für Anträge nach § 13 DSG 2000 keine Befreiung von Verwaltungsabgaben normiert.Die Verwaltungsabgabe war gemäß Paragraph 78, Absatz eins, AVG in Verbindung mit Paragraphen 13, 53, Absatz eins, DSG 2000 vorzuschreiben. Demnach ist für Anträge nach Paragraph 13, DSG 2000 keine Befreiung von Verwaltungsabgaben normiert.

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.