RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum02.02.2007 GeschäftszahlK178.223/0002-DSK/2007 Text[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] B E S C H E I DB E S C H E römisch eins D Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Mag. ZIMMER, Mag. HUTTERER, Dr. ROSENMAYR-KLEMENZ, Dr. KOTSCHY und Dr. HEISSENBERGER sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom
- Februar 2007 folgenden Beschluss gefasst: S p r u c h I. Aufgrund des Antrages vom
- März 2006, modifiziert am
- November 2006 und
- Dezember 2006, wird der S**** (in der Folge "Antragstellerin") in Wien, die Genehmigung erteilt, folgende in Österreich verarbeitete personenbezogene Daten aus den Datenanwendungen "Kundenbetreuung" und "Personalverwaltung" an die K****, Indien, zum Zweck der Erstellung von betriebswirtschaftlichen Analysen und Analysen zur Effizienz des Marktbearbeitungssystems alsrömisch eins. Aufgrund des Antrages vom
- März 2006, modifiziert am
- November 2006 und
- Dezember 2006, wird der S**** (in der Folge "Antragstellerin") in Wien, die Genehmigung erteilt, folgende in Österreich verarbeitete personenbezogene Daten aus den Datenanwendungen "Kundenbetreuung" und "Personalverwaltung" an die K****, Indien, zum Zweck der Erstellung von betriebswirtschaftlichen Analysen und Analysen zur Effizienz des Marktbearbeitungssystems als Dienstleister zu überlassen: Von Kunden der Antragstellerin: Name, Adresse, Zuordnung zu einer bestimmten Kundenkategorie (einschließlich regionale Zuordnung, usw.), Nachfrageinteressen (auf Grund bisherigen Nachfrageverhaltens oder eigener Angaben des Kunden gegenüber dem Auftraggeber), Betreuungsdaten (wie: zugesandtes Werbematerial, Besuchsrhythmus etc.) und Sonstiges Antwortverhalten des Kunden zu Werbeaktivitäten des Auftraggebers Von Angestellten der Antragstellerin: Name, "Sales call rate" (durchschnittliche Betreuungsleistung der Mitarbeiter in einer Außendienstlinie), Organisatorische Zuordnung im Betrieb einschließlich Beginn und Ende II. Gemäß § 78 des Allgemeinen Verwaltungsverfahrensgesetzes (AVG), BGBl Nr. 51/1991 idF. BGBl I Nr. 65/2002, iVm §§ 1, 3 Abs. 1 und TP 1 Bundesverwaltungsabgabenverordnung 1983, BGBl Nr. 24 i.d.F. BGBl II Nr. 460/2002 (BVwAbgV), hat die Antragstellerin eine Verwaltungsabgabe in Höhe vonrömisch zwei. Gemäß Paragraph 78, des Allgemeinen Verwaltungsverfahrensgesetzes (AVG), Bundesgesetzblatt Nr. 51 aus 1991, in der Fassung Bundesgesetzblatt Teil eins, Nr. 65 aus 2002,, in Verbindung mit Paragraphen eins, 3, Absatz eins und TP 1 Bundesverwaltungsabgabenverordnung 1983, BGBl Nr. 24 in der Fassung Bundesgesetzblatt Teil 2, Nr. 460 aus 2002, (BVwAbgV), hat die Antragstellerin eine Verwaltungsabgabe in Höhe von Euro 6,50 zu entrichten. B e g r ü n d u n g A. Sachverhalt:
- Die Antragstellerin hat mit Schreiben vom
- März 2006 einen Antrag auf Genehmigung zur Überlassung von personenbezogenen Daten gestellt. Der Antrag enthielt folgende Angaben zu den Betroffenen und den Datenarten: Betroffene: Kunden, Dienstleister, Lieferanten und Angestellte Datenkategorien: Name, Adresse, „Sales call rates“ und “Target qualifiers based on brick level data”. In der Folge musste durch mehrfache schriftliche Verbesserungsaufträge sowie zuletzt in einer mündlichen Besprechung vom
- November 2006 der Sachverhalt geklärt werden: Die im Antrag genannten Betroffenenkreise "Dienstleister" und "Lieferanten" sind nicht relevant: mit "Lieferanten" seien Leiharbeiter und freie Mitarbeiter gemeint. Bei den Dienstleistern handle es sich um Spezialfirmen, die Mitarbeiter zur Verfügung stellen. Mit E-Mail vom
- Dezember 2006 wurde der Antrag hinsichtlich der "Lieferanten und Dienstleister" zurückgezogen. Die Leiharbeiter und freie Mitarbeiter gelten als Mitarbeiter. Die Unternehmen, die Mitarbeiter zur Verfügung stellen sind nicht Gegenstand der Datenanwendung. Die gesamte Anwendung dient zur Marktforschung und Kundenbetreuung im Gesundheitsbereich. Die Datenart "Sales call rate (durchschnittliche Betreuungsleistung der Mitarbeiter in einer Außendienstlinie)" betrifft vor allem Besuche bei Ärzten. Die Daten werden auf Mitarbeiterbasis erhoben, aber der Dienstleister in Indien erstellt daraus Auswertungen, die auf eine Außendienstlinie bezogen sind. Eine Außendienstlinie sind 4-20 Personen, die im Team arbeiten. Die Zuordnung zu einer Außendienstlinie ergibt sich aus der Datenart "Organisatorische Zuordnung im Betrieb einschließlich Beginn und Ende". Nach dem Vorbringen bezieht sich die Datenart target qualifiers based on brick level data auf die Kunden der Antragstellerin. Alle Kunden der Antragstellerin sind Ärzte. Die Ärzte werden in drei Unterkategorien klassifiziert: A, B und L. Diese Unterkategorien haben folgende Bedeutung: -Strichaufzählung A - Top-Ärzte; das sind die Ärzte, an denen die Antragstellerin besonderes Interesse hat. -Strichaufzählung B - wichtige Ärzte; das sind Ärzte, an denen die Antragstellerin interessiert ist. -Strichaufzählung L - uninteressante Ärzte; an einer Geschäftsbeziehung mit diesen Ärzten ist die Antragstellerin nicht interessiert. Unter anderem sind in dieser Kategorie auch Ärzte, die mitteilten, dass sie nicht mehr von Mitarbeitern der Antragstellerin besucht werden wollen. Beweiswürdigung: Diese Feststellungen beruhen auf dem Vorbringen der Antragstellerin zu den Verbesserungsaufträgen der Datenschutzkommission sowie dem mündlichen Vorbringen des Rechtsvertreters der Antragstellerin am
- November
- Anzuwendende Rechtsvorschriften: § 13 Abs. 1 und 2 DSG 2000 lauten unter der Überschrift "Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland":Paragraph 13, Absatz eins und 2 DSG 2000 lauten unter der Überschrift "Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland": "§ 13.
(1)Soweit der Datenverkehr mit dem Ausland nicht gemäß § 12 genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (§§ 35 ff) einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden. "§ 13.
(1)Soweit der Datenverkehr mit dem Ausland nicht gemäß Paragraph 12, genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (Paragraphen 35, ff) einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden.
(2)Absatz 2,Die Genehmigung ist unter Beachtung der gemäß § 55 Z 2 ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des § 12 Abs. 5 vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus,Die Genehmigung ist unter Beachtung der gemäß Paragraph 55, Ziffer 2, ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des Paragraph 12, Absatz 5, vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus, 1.Ziffer eins für die im Genehmigungsantrag angeführte Übermittlung oder Überlassung im konkreten Einzelfall angemessener Datenschutz besteht; dies ist unter Berücksichtigung aller Umstände zu beurteilen, die bei der Datenverwendung eine Rolle spielen, wie insbesondere die Art der verwendeten Daten, die Zweckbestimmung sowie die Dauer der geplanten Verwendung, das Herkunfts- und das Endbestimmungsland und die in dem betreffenden Drittland geltenden allgemeinen oder sektoriellen Rechtsnormen, Standesregeln und Sicherheitsstandards; oder 2.Ziffer 2 der Auftraggeber glaubhaft macht, dass die schutzwürdigen Geheimhaltungsinteressen der vom geplanten Datenverkehr Betroffenen auch im Ausland ausreichend gewahrt werden. Hiefür können insbesondere auch vertragliche Zusicherungen des Empfängers an den Antragsteller über die näheren Umstände der Datenverwendung im Ausland von Bedeutung sein." §§ 17-19 DSG 2000 lauten:Paragraphen 17 -, 19, DSG 2000 lauten: "Meldepflicht des Auftraggebers § 17.
(1)Jeder Auftraggeber hat, soweit in den Abs. 2 und 3 nicht anderes bestimmt ist, vor Aufnahme einer Datenanwendung eine Meldung an die Datenschutzkommission mit dem in § 19 festgelegten Inhalt zum Zweck der Registrierung im Datenverarbeitungsregister zu erstatten. Diese Meldepflicht gilt auch für Umstände, die nachträglich die Unrichtigkeit und Unvollständigkeit einer Meldung bewirken.Paragraph 17,
(1)Jeder Auftraggeber hat, soweit in den Absatz 2 und 3 nicht anderes bestimmt ist, vor Aufnahme einer Datenanwendung eine Meldung an die Datenschutzkommission mit dem in Paragraph 19, festgelegten Inhalt zum Zweck der Registrierung im Datenverarbeitungsregister zu erstatten. Diese Meldepflicht gilt auch für Umstände, die nachträglich die Unrichtigkeit und Unvollständigkeit einer Meldung bewirken.
(2)Absatz 2,Nicht meldepflichtig sind Datenanwendungen, die 1.Ziffer eins ausschließlich veröffentlichte Daten enthalten oder 2.Ziffer 2 die Führung von Registern oder Verzeichnissen zum Inhalt haben, die von Gesetzes wegen öffentlich einsehbar sind, sei es auch nur bei Nachweis eines berechtigten Interesses oder 3.Ziffer 3 nur indirekt personenbezogene Daten enthalten oder 4.Ziffer 4 von natürlichen Personen ausschließlich für persönliche oder familiäre Tätigkeiten vorgenommen werden (§ 45) odervon natürlichen Personen ausschließlich für persönliche oder familiäre Tätigkeiten vorgenommen werden (Paragraph 45,) oder 5.Ziffer 5 für publizistische Tätigkeit gemäß § 48 vorgenommen werden oderfür publizistische Tätigkeit gemäß Paragraph 48, vorgenommen werden oder 6.Ziffer 6 einer Standardanwendung entsprechen: Der Bundeskanzler kann durch Verordnung Typen von Datenanwendungen und Übermittlungen aus diesen zu Standardanwendungen erklären, wenn sie von einer großen Anzahl von Auftraggebern in gleichartiger Weise vorgenommen werden und angesichts des Verwendungszwecks und der verarbeiteten Datenarten die Gefährdung schutzwürdiger Geheimhaltungsinteressen der Betroffenen unwahrscheinlich ist. In der Verordnung sind für jede Standardanwendung die zulässigen Datenarten, die Betroffenen- und Empfängerkreise und die Höchstdauer der zulässigen Datenaufbewahrung festzulegen.
(3)Absatz 3,Weiters sind Datenanwendungen für Zwecke 1.Ziffer eins des Schutzes der verfassungsmäßigen Einrichtungen der Republik Österreich oder 2.Ziffer 2 der Sicherung der Einsatzbereitschaft des Bundesheeres oder 3.Ziffer 3 der Sicherstellung der Interessen der umfassenden Landesverteidigung oder 4.Ziffer 4 des Schutzes wichtiger außenpolitischer, wirtschaftlicher oder finanzieller Interessen der Republik Österreich oder der Europäischen Union oder 5.Ziffer 5 der Vorbeugung, Verhinderung oder Verfolgung von Straftaten von der Meldepflicht ausgenommen, soweit dies zur Verwirklichung des Zweckes der Datenanwendung notwendig ist. Aufnahme der Verarbeitung § 18.
(1)Der Vollbetrieb einer meldepflichtigen DatenanwendungParagraph 18,
(1)Der Vollbetrieb einer meldepflichtigen Datenanwendung darf - außer in den Fällen des Abs. 2 - unmittelbar nach Abgabe der Meldung aufgenommen werden.darf - außer in den Fällen des Absatz 2, - unmittelbar nach Abgabe der Meldung aufgenommen werden.
(2)Absatz 2,Meldepflichtige Datenanwendungen, die weder einer Musteranwendung nach § 19 Abs. 2 entsprechen, noch innere Angelegenheiten der anerkannten Kirchen und Religionsgesellschaften noch die Verwendung von Daten im Katastrophenfall für die in § 48a Abs. 1 genannten Zwecke betreffen, dürfen, wenn sieMeldepflichtige Datenanwendungen, die weder einer Musteranwendung nach Paragraph 19, Absatz 2, entsprechen, noch innere Angelegenheiten der anerkannten Kirchen und Religionsgesellschaften noch die Verwendung von Daten im Katastrophenfall für die in Paragraph 48 a, Absatz eins, genannten Zwecke betreffen, dürfen, wenn sie 1.Ziffer eins sensible Daten enthalten oder 2.Ziffer 2 strafrechtlich relevante Daten im Sinne des § 8 Abs. 4 enthalten oderstrafrechtlich relevante Daten im Sinne des Paragraph 8, Absatz 4, enthalten oder 3.Ziffer 3 die Auskunftserteilung über die Kreditwürdigkeit der Betroffenen zum Zweck haben oder 4.Ziffer 4 in Form eines Informationsverbundsystems durchgeführt werden sollen, erst nach ihrer Prüfung (Vorabkontrolle) durch die Datenschutzkommission nach den näheren Bestimmungen des § 20 aufgenommen werden.erst nach ihrer Prüfung (Vorabkontrolle) durch die Datenschutzkommission nach den näheren Bestimmungen des Paragraph 20, aufgenommen werden. Notwendiger Inhalt der Meldung § 19.
(1)Eine Meldung im Sinne des § 17 hat zu enthalten:Paragraph 19,
(1)Eine Meldung im Sinne des Paragraph 17, hat zu enthalten: 1.Ziffer eins den Namen (die sonstige Bezeichnung) und die Anschrift des Auftraggebers sowie eines allfälligen Vertreters gemäß § 6 Abs. 3 oder eines Betreibers gemäß § 50 Abs. 1, weiters die Registernummer des Auftraggebers, sofern ihm eine solche bereits zugeteilt wurde, undden Namen (die sonstige Bezeichnung) und die Anschrift des Auftraggebers sowie eines allfälligen Vertreters gemäß Paragraph 6, Absatz 3, oder eines Betreibers gemäß Paragraph 50, Absatz eins,, weiters die Registernummer des Auftraggebers, sofern ihm eine solche bereits zugeteilt wurde, und 2.Ziffer 2 den Nachweis der gesetzlichen Zuständigkeit oder der rechtlichen Befugnis für die erlaubte Ausübung der Tätigkeit des Auftraggebers, soweit dies erforderlich ist, und 3.Ziffer 3 den Zweck der zu registrierenden Datenanwendung und ihre Rechtsgrundlagen, soweit sich diese nicht bereits aus den Angaben nach Z 2 ergeben, undden Zweck der zu registrierenden Datenanwendung und ihre Rechtsgrundlagen, soweit sich diese nicht bereits aus den Angaben nach Ziffer 2, ergeben, und 4.Ziffer 4 die Kreise der von der Datenanwendung Betroffenen und die über sie verarbeiteten Datenarten und 5.Ziffer 5 die Kreise der von beabsichtigten Übermittlungen Betroffenen, die zu übermittelnden Datenarten und die zugehörigen Empfängerkreise - einschließlich allfälliger ausländischer Empfängerstaaten - sowie die Rechtsgrundlagen der Übermittlung und 6.Ziffer 6 - soweit eine Genehmigung der Datenschutzkommission notwendig ist - die Geschäftszahl der Genehmigung durch die Datenschutzkommission sowie 7.Ziffer 7 allgemeine Angaben über die getroffenen Datensicherheitsmaßnahmen im Sinne des § 14, die eine vorläufige Beurteilung der Angemessenheit der Sicherheitsvorkehrungen erlauben.allgemeine Angaben über die getroffenen Datensicherheitsmaßnahmen im Sinne des Paragraph 14,, die eine vorläufige Beurteilung der Angemessenheit der Sicherheitsvorkehrungen erlauben.
(2)Absatz 2,Wenn eine größere Anzahl von Auftraggebern gleichartige Datenanwendungen vorzunehmen hat und die Voraussetzungen für die Erklärung zur Standardanwendung nicht vorliegen, kann der Bundeskanzler durch Verordnung Musteranwendungen festlegen. Meldungen über Datenanwendungen, die inhaltlich einer Musteranwendung entsprechen, müssen nur folgendes enthalten: 1.Ziffer eins die Bezeichnung der Datenanwendung gemäß der Musterverordnung und 2.Ziffer 2 die Bezeichnung und Anschrift des Auftraggebers sowie den Nachweis seiner gesetzlichen Zuständigkeit oder seiner rechtlichen Befugnis, soweit dies erforderlich ist, und 3.Ziffer 3 die Registernummer des Auftraggebers, sofern ihm eine solche bereits zugeteilt wurde.
(3)Absatz 3,Eine Meldung ist mangelhaft, wenn Angaben fehlen, offenbar unrichtig, unstimmig oder so unzureichend sind, daß Einsichtnehmer im Hinblick auf die Wahrnehmung ihrer Rechte nach diesem Bundesgesetz keine hinreichende Information darüber gewinnen können, ob durch die Datenanwendung ihre schutzwürdigen Geheimhaltungsinteressen verletzt sein könnten. Unstimmigkeit liegt insbesondere auch dann vor, wenn der Inhalt einer gemeldeten Datenanwendung durch die gemeldeten Rechtsgrundlagen nicht gedeckt ist." Rechtliche Erwägungen:
- Die beantragte Überlassung von Daten ist gemäß § 13 Abs. 1 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999, genehmigungspflichtig, da Indien nicht zu den Staaten mit angemessenem Datenschutzniveau im Sinne des § 12 Abs. 2 DSG 2000 zählt.
- Die beantragte Überlassung von Daten ist gemäß Paragraph 13, Absatz eins, Datenschutzgesetz 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999,, genehmigungspflichtig, da Indien nicht zu den Staaten mit angemessenem Datenschutzniveau im Sinne des Paragraph 12, Absatz 2, DSG 2000 zählt.
- Der Antrag bezieht sich auf Daten, die in Österreich rechtmäßig verarbeitet werden. Diesbezüglich liegen Meldungen des Antragstellers für die Datenanwendungen "Kundenbetreuung" und "Personalverwaltung" unter der Nummer ******* beim Datenverarbeitungsregister vor.
- Für eine Genehmigung der Übermittlung oder Überlassung von Daten ins Ausland in Fällen, die nicht dem § 12 Abs. 1 bis 3 unterliegen, ist weiters die Glaubhaftmachung angemessenen Schutzes beim Empfänger nach § 13 Abs. 2 DSG 2000 Voraussetzung.
- Für eine Genehmigung der Übermittlung oder Überlassung von Daten ins Ausland in Fällen, die nicht dem Paragraph 12, Absatz eins bis 3 unterliegen, ist weiters die Glaubhaftmachung angemessenen Schutzes beim Empfänger nach Paragraph 13, Absatz 2, DSG 2000 Voraussetzung. Die Antragstellerin hat diesbezüglich einen Vertrag vorgelegt, den sie mit der Empfängerin der Daten in Indien abgeschlossen hat. Dieser Vertrag ist eine modifizierte Fassung der Standardvertragsklauseln für die Überlassung an Dienstleister (Entscheidung der Kommission vom
- Dezember 2001 hinsichtlich Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern nach der Richtlinie 95/46/EG, 2002/16/EG, CELEX: 32002D0016, Amtsblatt Nr. L 006 vom 10/01/2002 S. 52 – 62). Mit der mit Schreiben vom
- Juni 2006, GZ: K178.223/0004-DSK/2006 vorgelegten Verbesserung kann dieser Vertragstext als rechtliches Instrument im Sinne des § 13 Abs. 2 Z 2 DSG 2000 angenommen werden.Die Antragstellerin hat diesbezüglich einen Vertrag vorgelegt, den sie mit der Empfängerin der Daten in Indien abgeschlossen hat. Dieser Vertrag ist eine modifizierte Fassung der Standardvertragsklauseln für die Überlassung an Dienstleister (Entscheidung der Kommission vom
- Dezember 2001 hinsichtlich Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern nach der Richtlinie 95/46/EG, 2002/16/EG, CELEX: 32002D0016, Amtsblatt Nr. L 006 vom 10/01/2002 S. 52 – 62). Mit der mit Schreiben vom
- Juni 2006, GZ: K178.223/0004-DSK/2006 vorgelegten Verbesserung kann dieser Vertragstext als rechtliches Instrument im Sinne des Paragraph 13, Absatz 2, Ziffer 2, DSG 2000 angenommen werden. Da im Übrigen antragsgemäß entschieden wurde, konnte eine weitere Begründung der Entscheidung gemäß § 58 Abs. 2 AVG entfallen.Da im Übrigen antragsgemäß entschieden wurde, konnte eine weitere Begründung der Entscheidung gemäß Paragraph 58, Absatz 2, AVG entfallen. Die Verwaltungsabgabe war gemäß § 78 Abs. 1 AVG iVm §§ 13, 53 Abs. 1 DSG 2000 vorzuschreiben. Demnach ist für Anträge nach § 13 DSG 2000 keine Befreiung von Verwaltungsabgaben normiert.Die Verwaltungsabgabe war gemäß Paragraph 78, Absatz eins, AVG in Verbindung mit Paragraphen 13, 53, Absatz eins, DSG 2000 vorzuschreiben. Demnach ist für Anträge nach Paragraph 13, DSG 2000 keine Befreiung von Verwaltungsabgaben normiert.