RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum13.12.2006 GeschäftszahlK178.242/0005-DSK/2006 Text[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] B E S C H E I DB E S C H E römisch eins D Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. ROSENMAYR-KLEMENZ, Mag. HUTTERER, Dr. KOTSCHY, Mag. PREISS und Dr. HEISSENBERGER sowie des Schriftführers Mag. FLENDROVSKY in ihrer Sitzung vom 13. Dezember 2006 folgenden Beschluss gefasst: S p r u c h I. Aufgrund des Antrages vom 29. September 2006 wird der H**** GmbH (in der Folge „Antragstellerin“) in Wien, gemäß § 13 Abs. 2 Z 2 DSG 2000, BGBl. I Nr. 165/1999 idF. BGBl. I Nr. 13/2005, die Genehmigung für den internationalen Datenverkehr mit H**** Ltda, Brasilien, als „Helpdesk und Hotline“ im folgenden Ausmaß erteilt:römisch eins. Aufgrund des Antrages vom 29. September 2006 wird der H**** GmbH (in der Folge „Antragstellerin“) in Wien, gemäß Paragraph 13, Absatz 2, Ziffer 2, DSG 2000, Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr. 13 aus 2005,, die Genehmigung für den internationalen Datenverkehr mit H**** Ltda, Brasilien, als „Helpdesk und Hotline“ im folgenden Ausmaß erteilt: Für Zwecke
- a)der Bearbeitung von Ersuchen um Hilfestellung bei aufgetretenen Problemen bei der Datenverarbeitung im Konzern („Processing of service requests“),
- b)des Managements des gesamten Aufkommens an Hillfestellungsersuchen nach
- a)im Konzern („Management of the overall service request process“)
- c)der Organisation der Ausbildung des Service-Personals („Management training for service agents“) dürfen Daten der Mitarbeiter der Antragstellerin sowie Daten von sonstigen Personen (z.B. Angestellten von Kunden), die bei service requests unmittelbar mitbetroffen sind, überlassen bzw. für die Weiterverwendung für statistische Auswertungen durch die Empfängerin sowie für die Organisation der Ausbildung des Service-Personals übermittelt werden. II. Gemäß § 78 des Allgemeinen Verwaltungsverfahrensgesetzes (AVG), BGBl Nr. 51/1991 idF. BGBl I Nr. 65/2002, iVm §§ 1, 3 Abs. 1 und TP 1 Bundesverwaltungsabgabenverordnung 1983, BGBl Nr. 24 i.d.F. BGBl II Nr. 460/2002 (BVwAbgV), hat die Antragstellerin eine Verwaltungsabgabe in Höhe vonrömisch zwei. Gemäß Paragraph 78, des Allgemeinen Verwaltungsverfahrensgesetzes (AVG), Bundesgesetzblatt Nr. 51 aus 1991, in der Fassung Bundesgesetzblatt Teil eins, Nr. 65 aus 2002,, in Verbindung mit Paragraphen eins, 3, Absatz eins und TP 1 Bundesverwaltungsabgabenverordnung 1983, BGBl Nr. 24 in der Fassung Bundesgesetzblatt Teil 2, Nr. 460 aus 2002, (BVwAbgV), hat die Antragstellerin eine Verwaltungsabgabe in Höhe von Euro 6,50 zu entrichten. B e g r ü n d u n g 1. Sachverhalt: Die Antragstellerin hat mit Schreiben vom 29. September 2006 einen Antrag auf Genehmigung zur Weitergabe von personenbezogenen Daten von Mitarbeitern an die H**** Ltda gestellt. Dieser Transfer sollte zur Durchführung von Helpdesk/Hotline-Diensten in Brasilien dienen. Die Beschreibung der in Brasilien zu erbringenden Dienste findet sich zum einen in Appendix 1 zum vorgelegten „Interaffiliate Agreement“, das zwischen der Antragstellerin und H**** Ltda abgeschlossen wurde und zum anderen im Antrag selbst, wo – offenbar zum Zweck „processing of service requests“ – näher ausgeführt wird, dass die: -Strichaufzählung Verwendung der Kontaktdaten der Mitarbeiter, die die Hotline in Anspruch nehmen, sowie der vom Mitarbeiter formulierten Problembeschreibung sowie -Strichaufzählung Verwendung der Datenauszüge aus der jeweiligen Anwendung, soweit solche für die genaue Problembeschreibung mitzuliefern sind, sowie -Strichaufzählung Fernzugriff auf alle Daten der jeweiligen Anwendung im Zuge der Fernwartung beim ausländischen Datenempfänger notwendig sein wird. Zum Thema “Management of the overall service request process” wird die -Strichaufzählung Verwendung von Daten über die Arbeitsplatzausstattung (Hard- und Software) zur Beurteilung von arbeitsplatzspezifischen Engpässen und Ausbauerfordernissen; -Strichaufzählung Verwendung von Daten aus Protokollbeständen sowie statistische Daten durch die Wartungsmitarbeiter zur Analyse der arbeitsplatzübergreifenden Engpässe näherhin angegeben. Dem Antrag ist die unterfertigte Kopie eines „Inter Affiliate Agreements“ zwischen der Antragstellerin und der H**** Ltda angeschlossen, das dem Nachweis angemessenen Datenschutzes beim Empfänger dienen soll. Dieses „Agreement“ ist den Standardvertragsklauseln gemäß der Entscheidung der europäischen Kommission 2001/497/EG vom 15. Juni für die Übermittlung personenbezogener Daten in Drittländer ( CELEX: 32001D0497, Amtsblatt Nr. L 181 vom 4. Juli 2001 S. 19 – 31) weitgehend nachempfunden, enthält jedoch in seinem Appendix 1 darüber hinaus eine eingehende Beschreibung der von H**** Ltda zu erbringenden Aufgaben, die ihrem Wesen nach einer Dienstleistungsvereinbarung entspricht, da sie auch die ausdrückliche Festlegung enthält, dass alle personenbezogenen Daten, die zur Wahrnehmung der im Appendix 1 beschriebenen Aufgaben an H**** Ltda gelangen, ausschließlich dem für H**** Ltda tätigen Service Personal zugänglich sein darf („disclosed“). Beweiswürdigung: Diese Feststellungen beruhen auf dem Vorbringen der Antragstellerin sowie den der Datenschutzkommission vorgelegten Unterlagen. 2. Anzuwendende Rechtsvorschriften: § 13 Abs. 1 und 2 DSG 2000 lauten unter der Überschrift „Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland“:Paragraph 13, Absatz eins und 2 DSG 2000 lauten unter der Überschrift „Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland“: "§ 13.
(1)Soweit der Datenverkehr mit dem Ausland nicht gemäß § 12 genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (§§ 35 ff) einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden."§ 13.
(1)Soweit der Datenverkehr mit dem Ausland nicht gemäß Paragraph 12, genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (Paragraphen 35, ff) einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden.
(2)Die Genehmigung ist unter Beachtung der gemäß § 55 Z 2 ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des § 12 Abs. 5 vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus,
(2)Die Genehmigung ist unter Beachtung der gemäß Paragraph 55, Ziffer 2, ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des Paragraph 12, Absatz 5, vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus, 1.Ziffer eins für die im Genehmigungsantrag angeführte Übermittlung oder Überlassung im konkreten Einzelfall angemessener Datenschutz besteht; dies ist unter Berücksichtigung aller Umstände zu beurteilen, die bei der Datenverwendung eine Rolle spielen, wie insbesondere die Art der verwendeten Daten, die Zweckbestimmung sowie die Dauer der geplanten Verwendung, das Herkunfts- und das Endbestimmungsland und die in dem betreffenden Drittland geltenden allgemeinen oder sektoriellen Rechtsnormen, Standesregeln und Sicherheitsstandards; oder 2.Ziffer 2 der Auftraggeber glaubhaft macht, dass die schutzwürdigen Geheimhaltungsinteressen der vom geplanten Datenverkehr Betroffenen auch im Ausland ausreichend gewahrt werden. Hiefür können insbesondere auch vertragliche Zusicherungen des Empfängers an den Antragsteller über die näheren Umstände der Datenverwendung im Ausland von Bedeutung sein." 3. Rechtliche Erwägungen:
- a)Der beantragte Datenverkehr ist gemäß § 13 Abs. 1 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999, genehmigungspflichtig, da Brasilien nicht zu den Staaten mit angemessenem Datenschutzniveau im Sinne des § 12 Abs. 2 DSG 2000 zählt.
- a)Der beantragte Datenverkehr ist gemäß Paragraph 13, Absatz eins, Datenschutzgesetz 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999,, genehmigungspflichtig, da Brasilien nicht zu den Staaten mit angemessenem Datenschutzniveau im Sinne des Paragraph 12, Absatz 2, DSG 2000 zählt.
- b)Der Antrag bezieht sich auf Daten, die in Österreich rechtmäßig verarbeitet werden. Diesbezüglich liegt eine Meldung des Antragstellers für eine Datenanwendung „Helpdesk und Hotline“ unter der Nummer DVR xxxxxxx/013 beim Datenverarbeitungsregister vor, der zur Registrierungsfähigkeit nur noch die Genehmigung der Datenschutzkommission für die gemeldeten Übermittlungen ins Ausland fehlt.
- c)Die rechtliche Befugnis zum Betrieb von Helpdesk/Hotline-Diensten innerhalb eines Konzerns und zur Verarbeitung der hiefür notwendigen personenbezogenen Daten ist gegeben, teils durch die konkludente Zustimmung der Kunden des Exporteurs, die Wartungshilfe in Anspruch nehmen, teils durch überwiegende berechtigte Interessen des jeweiligen Auftraggebers im Hinblick auf seine Mitarbeiter, aber auch im Hinblick auf sonstige Betroffene, die in Datenanwendungen des Auftraggebers enthalten sind, für die Wartungshilfe in Anspruch genommen werden muss.
- d)Für eine Genehmigung des Datenverkehrs ins Ausland in Fällen, die nicht dem § 12 Abs. 1 bis 3 unterliegen, ist weiters die Glaubhaftmachung des angemessenen Schutzes beim Empfänger nach § 13 Abs. 2 DSG 2000 Voraussetzung.
- d)Für eine Genehmigung des Datenverkehrs ins Ausland in Fällen, die nicht dem Paragraph 12, Absatz eins bis 3 unterliegen, ist weiters die Glaubhaftmachung des angemessenen Schutzes beim Empfänger nach Paragraph 13, Absatz 2, DSG 2000 Voraussetzung. Die Antragstellerin hat hiefür ein „Interaffiliate Agreement“ vorgelegt, das einerseits dem Empfänger die Verpflichtungen eines Daten empfangenden Auftraggebers im Ausland überträgt – und zwar nach dem Muster der entsprechenden Standardvertragsklauseln der Europäischen Kommission – andrerseits im Appendix zu diesen Klauseln, die Verwendung der transferierten Daten beim Empfänger genau festlegt und auch festlegt, dass die Daten nur den Organen des Empfängers zugänglich gemacht werden dürfen; der Appendix hat somit weitgehend den Charakter eines Dienstleistervertrags zwischen der Antragstellerin als Konzern-Affiliate und H**** Ltda. Da die an H**** Ltda im Appendix 1 übertragenen Aufgaben zwar vornehmlich die Überlassung von Daten zur Folge hat, teilweise jedoch auch die Übermittlung von Daten notwendig macht, und zwar soweit diese Daten Grundlage für die Erfüllung von Aufgaben im eigenen Namen von H**** Ltda (Management training for service agents), allenfalls mit statistischen Auswertungen (Management of the overall service request process) sind, ist das vorgelegte „Interaffiliate Agreement“, das für beide Formen der Weitergabe von Daten ins Ausland Regelungen enthält, als geeignete Grundlage der Glaubhaftmachung angemessenen Datenschutzes beim Empfänger anzusehen. Es war daher spruchgemäß zu entscheiden.
- e)Die Verwaltungsabgabe war gemäß § 78 Abs. 1 AVG iVm §§ 13, 53 Abs. 1 DSG 2000 vorzuschreiben. Demnach ist für Anträge nach § 13 DSG 2000 keine Befreiung von Verwaltungsabgaben normiert.
- e)Die Verwaltungsabgabe war gemäß Paragraph 78, Absatz eins, AVG in Verbindung mit Paragraphen 13, 53, Absatz eins, DSG 2000 vorzuschreiben. Demnach ist für Anträge nach Paragraph 13, DSG 2000 keine Befreiung von Verwaltungsabgaben normiert.