F BGBl. I Nr. 13/2005, die Genehmigung erteilt, Daten aus den Datenanwendungenrömisch eins. Der L**** GmbH in Wien wird aufgrund ihres Antrags vom 23. August 2007
Paragraph 13, Absatz eins und 2 des Datenschutzgesetzes 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr. 13 aus 2005,, die Genehmigung erteilt, Daten aus den Datenanwendungen -Strichaufzählung Standardanwendung SA002 "Personalverwaltung für privatrechtliche Dienstverhältnisse", -Strichaufzählung "Personalplanung" (gemeldet als DVR xxxxxxx/yyy) und -Strichaufzählung "Verwaltung der Mitarbeiterbestätigungen betreffend Grundsätze der Geschäftspolitik von L****" (gemeldet als DVR xxxxxxx/yyy) zum Zweck der optimierten Speicherung, Funktions- und Verfügbarkeitssicherung, Zugangsauthorisierungsprüfung und sicheren Archivierung an die L**** Global Company (USA) zu überlassen. Diese Genehmigung wird mit der Auflage erteilt, dass der genannte Datenimporteur Sub-Dienstleister nur heranziehen darf, wenn diese die Verpflichtungen eines Dienstleisters aus dem einen integrierenden Bestandteil des Antrags bildenden "Inter-Affiliate-Agreement IT Infrastructure processing" übernommen haben. II. Weiters wird der L**** GmbH
F BGBl. I Nr. 13/2005, die Genehmigung erteilt, aus der Datenanwendung "Verwaltung der Systembenutzer inkl. Unterstützungsleistungen" (registriert unter DVR xxxxxxx/yyy) zum Zweckrömisch zwei. Weiters wird der L**** GmbH
Paragraph 13, Absatz eins und 2 des Datenschutzgesetzes 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr. 13 aus 2005,, die Genehmigung erteilt, aus der Datenanwendung "Verwaltung der Systembenutzer inkl. Unterstützungsleistungen" (registriert unter DVR xxxxxxx/yyy) zum Zweck a) der Verwaltung von Benutzerrechten (Zugriffs/Zugangsrechten), einschließlich der Protokollierung und Compliance-Überprüfung der Ausübung dieser Rechte, sowie b)Litera b der Problembehebung bei der Nutzung von Datenanwendungen und sonstigen Ressourcen einschließlich der Ergreifung von Folgemaßnahmen Daten über -Strichaufzählung die Identität des Mitarbeiters der Antragstellerin , der in einen Vorgang zu den oben beschriebenen Zwecken involviert ist, sowie -Strichaufzählung den Gegenstand des Benutzungs/Zugriffsrechts oder der Unterstützungsleistung an andere Konzernunternehmen in Staaten ohne angemessenem Datenschutzniveau (im Sinne des § 12 Abs. 2 DSG 2000) zu übermitteln, soweit diese für Tätigkeiten für die genannten Zwecke im Konzern zuständig sind.an andere Konzernunternehmen in Staaten ohne angemessenem Datenschutzniveau (im Sinne des Paragraph 12, Absatz 2, DSG 2000) zu übermitteln, soweit diese für Tätigkeiten für die genannten Zwecke im Konzern zuständig sind. Diese Genehmigung wird mit der Auflage erteilt, dass Übermittlungen zu den genannten Zwecken an andere als die im Genehmigungszeitpunkt als Datenimporteure unterzeichneten Konzernmitglieder nur dann stattfinden dürfen, wenn diese die Verpflichtungen eines Datenimporteurs aus dem einen integrierenden Bestandteil des Antrags bildenden "Inter-Affiliate-Agreement access management" ebenfalls übernommen haben. III. Soweit die beantragten Überlassungzwecke: "nicht nur reine Rechenzentrumsleistungen, sondern auch gehobene Hilfsdienste wie Parametrierung und fachliche Unterstützung der Personalabteilung von L**** GmbH" über die in Pkt. I angeführten genehmigten Zwecke hinausgehen, wird die Genehmigung mangels Deckung im Vertrag zwischen dem antragstellenden Auftraggeber der Überlassung und dem Dienstleister im Ausland ("Inter-Affiliate-Agreement IT Infrastructure processing") abgelehnt.römisch drei. Soweit die beantragten Überlassungzwecke: "nicht nur reine Rechenzentrumsleistungen, sondern auch gehobene Hilfsdienste wie Parametrierung und fachliche Unterstützung der Personalabteilung von L**** GmbH" über die in Pkt. römisch eins angeführten genehmigten Zwecke hinausgehen, wird die Genehmigung mangels Deckung im Vertrag zwischen dem antragstellenden Auftraggeber der Überlassung und dem Dienstleister im Ausland ("Inter-Affiliate-Agreement IT Infrastructure processing") abgelehnt. IV.
F. BGBl I Nr. 65/2002, iVm §§ 1, 3 Abs. 1 und TP 1 Bundesverwaltungsabgabenverordnung 1983, BGBl Nr. 24 i.d.F. BGBl II Nr. 460/2002 (BVwAbgV), hat die Antragstellerin eine Verwaltungsabgabe in Höhe vonrömisch vier.
Paragraph 78, des Allgemeinen Verwaltungsverfahrensgesetzes (AVG), Bundesgesetzblatt Nr. 51 aus 1991, in der Fassung Bundesgesetzblatt Teil eins, Nr. 65 aus 2002,, in Verbindung mit Paragraphen eins, 3, Absatz eins und TP 1 Bundesverwaltungsabgabenverordnung 1983, BGBl Nr. 24 in der Fassung Bundesgesetzblatt Teil 2, Nr. 460 aus 2002, (BVwAbgV), hat die Antragstellerin eine Verwaltungsabgabe in Höhe von Euro 6,50 zu entrichten. B e g r ü n d u n g 1. Sachverhalt: Mit Schriftsatz vom 23. August 2007 hat die L**** GmbH (in weiterer Folge "Antragstellerin") bei der Datenschutzkommission einen Antrag
DSG 2000 auf Überlassung und Übermittlung von personenbezogenen Daten gestellt.Mit Schriftsatz vom 23. August 2007 hat die L**** GmbH (in weiterer Folge "Antragstellerin") bei der Datenschutzkommission einen Antrag
Paragraph 13, DSG 2000 auf Überlassung und Übermittlung von personenbezogenen Daten gestellt. Die Überlassung an die L**** Global Company in den USA betrifft Daten aus der Standardanwendung SA002 "Personalverwaltung für privatrechtliche Dienstverhältnisse", sowie den Datenanwendungen "Personalplanung" und "Verwaltung der Mitarbeiterbestätigungen betreffend Grundsätze der Geschäftspolitik von L****". Als Zwecke der Überlassung wurden "nicht nur reine Rechenzentrumsleistungen, sondern auch gehobene Hilfsdienste wie Parametrierung und fachliche Unterstützung der Personalabteilung von L**** GmbH" angeführt. Die Übermittlung dient zur Verwaltung von Zugriffsrechten auf Datenbanken und andere Ressourcen wie z.B. elektronische Arbeitsplatzausstattungen sowie die Behandlung und Abwicklung von Serviceanfragen und deren Problemlösungen. 2. Anzuwendende Rechtsvorschriften: § 13 Abs. 1 und 2 DSG 2000 lauten unter der Überschrift "Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland" wie folgt:Paragraph 13, Absatz eins und 2 DSG 2000 lauten unter der Überschrift "Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland" wie folgt: "§ 13.
Paragraph 12 genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (§§ 35
5 vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus,Die Genehmigung ist unter Beachtung der
Paragraph 55, Ziffer 2, ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des Paragraph 12, Absatz 5, vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus, 1.Ziffer eins für die im Genehmigungsantrag angeführte Übermittlung oder Überlassung im konkreten Einzelfall angemessener Datenschutz besteht; dies ist unter Berücksichtigung aller Umstände zu beurteilen, die bei der Datenverwendung eine Rolle spielen, wie insbesondere die Art der verwendeten Daten, die Zweckbestimmung sowie die Dauer der geplanten Verwendung, das Herkunfts- und das Endbestimmungsland und die in dem betreffenden Drittland geltenden allgemeinen oder sektoriellen Rechtsnormen, Standesregeln und Sicherheitsstandards; oder 2.Ziffer 2 der Auftraggeber glaubhaft macht, daß die schutzwürdigen Geheimhaltungsinteressen der vom geplanten Datenverkehr Betroffenen auch im Ausland ausreichend gewahrt werden. Hiefür können insbesondere auch vertragliche Zusicherungen des Empfängers an den Antragsteller über die näheren Umstände der Datenverwendung im Ausland von Bedeutung sein." 3. Rechtlich war zu erwägen: 3.1. Die beantragte Überlassung und Übermittlung von Daten ist
1 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999, genehmigungspflichtig, da die Empfängerstaaten nicht zu den Staaten mit angemessenem Datenschutzniveau im Sinne des § 12 Abs. 2 DSG 2000 zählen und auch kein Fall des
3 DSG 2000 genehmigungsfreien Datenverkehrs vorliegt. Bedingung für die Erteilung einer Genehmigung für genehmigungspflichtige Datentransfers ins Ausland ist3.1. Die beantragte Überlassung und Übermittlung von Daten ist
Paragraph 13, Absatz eins, Datenschutzgesetz 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999,, genehmigungspflichtig, da die Empfängerstaaten nicht zu den Staaten mit angemessenem Datenschutzniveau im Sinne des Paragraph 12, Absatz 2, DSG 2000 zählen und auch kein Fall des
Paragraph 12, Absatz 3, DSG 2000 genehmigungsfreien Datenverkehrs vorliegt. Bedingung für die Erteilung einer Genehmigung für genehmigungspflichtige Datentransfers ins Ausland ist -Strichaufzählung das Vorliegen der Voraussetzungen des § 12 Abs. 5 DSG 2000 unddas Vorliegen der Voraussetzungen des Paragraph 12, Absatz 5, DSG 2000 und -Strichaufzählung der Nachweis des Bestehens eines angemessenen Datenschutzniveaus beim ausländischen Datenempfänger. 3.2.
5 DSG 2000 ist Voraussetzung für die Rechtmäßigkeit einer geplanten Übermittlung ins Ausland, dass die Bedingungen des § 7 Abs. 2 DSG 2000 erfüllt sind. Danach dürfen Daten nur dann übermittelt werden, wenn sie3.2.
Paragraph 12, Absatz 5, DSG 2000 ist Voraussetzung für die Rechtmäßigkeit einer geplanten Übermittlung ins Ausland, dass die Bedingungen des Paragraph 7, Absatz 2, DSG 2000 erfüllt sind. Danach dürfen Daten nur dann übermittelt werden, wenn sie -Strichaufzählung aus einer zulässigen Datenanwendung stammen, wenn -Strichaufzählung die rechtliche Befugnis des Empfängers für den Empfang der Daten ausreichend glaubhaft ist und wenn -Strichaufzählung die Überlassung
und 11 DSG 2000 sowie die Übermittlung
9 DSG 2000 ihrer Art nach auch im Inland zulässig wäre.die Überlassung
Paragraphen 10 und 11 DSG 2000 sowie die Übermittlung
Paragraphen 8, bzw. 9 DSG 2000 ihrer Art nach auch im Inland zulässig wäre. 3.2.
dieser für die Datenschutzkommission unmittelbar verbindlichen Entscheidung gelten die Standardvertragsklauseln als angemessene Garantien hinsichtlich des Schutzes der Privatsphäre, sodass der Nachweis eines adäquaten Datenschutzniveaus im Sinne des § 13 Abs. 2 Z 2 DSG 2000 als erbracht anzusehen ist.In dem vom Antragsteller vorgelegten Dienstleistervertrag ("Inter-Affiliate Agreement IT Infrastructure processing") - sind eine Reihe von "processing operations" angeführt, die mit den zu überlassenden Daten vom Dienstleister vorgenommen werden sollen. Nur für diese Tätigkeiten besteht daher eine vertragliche Vereinbarung zwischen Auftraggeber und Dienstleister. Nur im Umfang dieser im Dienstleistervertrag benannten Tätigkeiten konnte daher die Genehmigung der Überlassung erteilt werden. Nur in diesem Umfang ist auch für adäquaten Datenschutz beim Empfänger vorgesorgt, da das vorgelegte Inter-Affiliate Agreement im vorliegenden Fall nicht nur die Funktion eines Dienstleistervertrags im Sinne des Paragraph 10, Absatz eins,, zweiter Satz, hat, sondern gleichzeitig der Herstellung eines angemessenen Datenschutzniveaus beim Datenempfänger dient. Der Inhalt des vorgelegten Vertrags entspricht den in der Entscheidung der Kommission 27. Dezember 2001 hinsichtlich Standardvertragsklauseln für die Übermittlung (d.i. gleichbedeutend mit dem österreichischen Terminus "Überlassung") personenbezogener Daten an Auftragsverarbeiter (d.i. gleichbedeutend mit dem österreichischen Terminus "Dienstleister") in Drittländern nach der Richtlinie 95/46/EG (CELEX: 32002D0016, Amtsblatt Nr. L 006 vom 10/01/2002 S. 52 – 62) vorgesehenen Standardvertragsklauseln.
dieser für die Datenschutzkommission unmittelbar verbindlichen Entscheidung gelten die Standardvertragsklauseln als angemessene Garantien hinsichtlich des Schutzes der Privatsphäre, sodass der Nachweis eines adäquaten Datenschutzniveaus im Sinne des Paragraph 13, Absatz 2, Ziffer 2, DSG 2000 als erbracht anzusehen ist. 3.2.2.2 Zur Zulässigkeit der Übermittlung von Personaldaten im Konzern ist grundsätzlich festzuhalten, dass § 1 Abs. 2 DSG 2000 für die Zulässigkeit der Verwendung personenbezogener Daten durch private Auftraggeber keinen Gesetzesvorbehalt enthält, sondern die Interpretation der Rechtsordnung in ihrer Gesamtheit aufträgt, um zu bestimmen, ob einem privaten Auftraggeber ein "berechtigtes Interesse" an einer der Art nach bestimmten Datenverwendung zuerkannt werden kann – ob eine konkrete Datenverwendung zulässig ist, muss sodann noch anhand des Kriteriums des "überwiegenden berechtigten Interesses" im Einzelfall geprüft werden.3.2.2.2 Zur Zulässigkeit der Übermittlung von Personaldaten im Konzern ist grundsätzlich festzuhalten, dass Paragraph eins, Absatz 2, DSG 2000 für die Zulässigkeit der Verwendung personenbezogener Daten durch private Auftraggeber keinen Gesetzesvorbehalt enthält, sondern die Interpretation der Rechtsordnung in ihrer Gesamtheit aufträgt, um zu bestimmen, ob einem privaten Auftraggeber ein "berechtigtes Interesse" an einer der Art nach bestimmten Datenverwendung zuerkannt werden kann – ob eine konkrete Datenverwendung zulässig ist, muss sodann noch anhand des Kriteriums des "überwiegenden berechtigten Interesses" im Einzelfall geprüft werden. Die vorgesehenen Übermittlungen betreffen ausschließlich Daten, die sich auf die Benutzung von EDV-Systemen beziehen. Zweck der Übermittlungen ist die Erteilung und Prüfung von Zugriffs/Zugangsrechten sowie Hilfestellung bei Benutzungsproblemen durch Helpdesk-Funktionen samt anschließenden generellen problemlösenden Maßnahmen in den Sektoren Qualitätssicherung, Programmierung, Schulung etc. Betroffen sind daher keine personenbezogenen Daten, die eingriffsintensiv – etwa durch Bezug zur Privatsphäre – wären oder besonderes Nachteilspotential für die Mitarbeiter hätten. Da die Übermittlung dieser Daten an die für die Vergabe und Verwaltung von Benutzerrechten und andere Aufgaben der Systemadministration zentral im Konzern zuständigen Stellen angesichts der besonderen Organisationsstruktur eines Konzerns gerechtfertigt ist und besondere Gefahren für die Betroffenen angesichts der Natur der zu übermittelnden Datenarten nicht bestehen, ist vom Vorliegen eines überwiegenden berechtigten Interesses an einer optimierten Aufgabenverteilung im Konzern und den daraus resultierenden Datenübermittlungen auszugehen, womit die Voraussetzungen des § 8 Abs. 1 Z 4 DSG 2000 für die Zulässigkeit der vorliegenden Übermittlungen erfüllt sind.Die vorgesehenen Übermittlungen betreffen ausschließlich Daten, die sich auf die Benutzung von EDV-Systemen beziehen. Zweck der Übermittlungen ist die Erteilung und Prüfung von Zugriffs/Zugangsrechten sowie Hilfestellung bei Benutzungsproblemen durch Helpdesk-Funktionen samt anschließenden generellen problemlösenden Maßnahmen in den Sektoren Qualitätssicherung, Programmierung, Schulung etc. Betroffen sind daher keine personenbezogenen Daten, die eingriffsintensiv – etwa durch Bezug zur Privatsphäre – wären oder besonderes Nachteilspotential für die Mitarbeiter hätten. Da die Übermittlung dieser Daten an die für die Vergabe und Verwaltung von Benutzerrechten und andere Aufgaben der Systemadministration zentral im Konzern zuständigen Stellen angesichts der besonderen Organisationsstruktur eines Konzerns gerechtfertigt ist und besondere Gefahren für die Betroffenen angesichts der Natur der zu übermittelnden Datenarten nicht bestehen, ist vom Vorliegen eines überwiegenden berechtigten Interesses an einer optimierten Aufgabenverteilung im Konzern und den daraus resultierenden Datenübermittlungen auszugehen, womit die Voraussetzungen des Paragraph 8, Absatz eins, Ziffer 4, DSG 2000 für die Zulässigkeit der vorliegenden Übermittlungen erfüllt sind. 3.3. Für die Glaubhaftmachung des angemessenen Datenschutzes bei den Übermittlungsempfängern im Ausland wurden von der Antragstellerin als Datenexporteur und von mehreren Konzernunternehmen als Datenimporteure (in Australien, Brasilien, Kanada, Kolumbien, Guatemala, Japan, Malaysia, Singapur, Thailand und USA) unterzeichnete Verträge vorgelegt, die den Standardvertragsklauseln
der Entscheidung der europäischen Kommission 2001/497/EG vom
Vm §§ 13, 53 Abs. 1 DSG 2000 vorzuschreiben. Demnach ist für Anträge nach § 13 DSG 2000 keine Befreiung von Verwaltungsabgaben normiert.3.4. Die Verwaltungsabgabe war
Paragraph 78, Absatz eins, AVG in Verbindung mit Paragraphen 13, 53, Absatz eins, DSG 2000 vorzuschreiben. Demnach ist für Anträge nach Paragraph 13, DSG 2000 keine Befreiung von Verwaltungsabgaben normiert.
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.