RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum25.02.2009 GeschäftszahlK178.318/0006-DSK/2009 Text[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] B E S C H E I DB E S C H E römisch eins D Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. HEISSENBERGER, Mag. HUTTERER, Dr. KOTSCHY, Mag. HEILEGGER und Mag. MAITZ-STRASSNIG sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom
- Februar 2009 folgenden Beschluss gefasst: S p r u c h I. Der O**** GmbH in Wien wird auf Grund ihres Antrags vom
- Juni 2008, modifiziert mit Schreiben vom
- September 2008 und
- Januar 2009 gemäß § 13 Abs. 1 und 2 DSG 2000 die Genehmigung erteilt, Daten aus der Datenanwendung "Konzernmeldung – Übermittlung von Personaldaten im Konzernbereich" für die folgenden Zwecke an die O**** Inc, USA, zu übermitteln:römisch eins. Der O**** GmbH in Wien wird auf Grund ihres Antrags vom
- Juni 2008, modifiziert mit Schreiben vom
- September 2008 und
- Januar 2009 gemäß Paragraph 13, Absatz eins und 2 DSG 2000 die Genehmigung erteilt, Daten aus der Datenanwendung "Konzernmeldung – Übermittlung von Personaldaten im Konzernbereich" für die folgenden Zwecke an die O**** Inc, USA, zu übermitteln: Von Arbeitnehmern, arbeitnehmerähnlichen Personengruppen, freien Dienstnehmern und Lehrlingen der Antragstellerin: I.a Zum Zweck der globalen Kooperation, Kommunikation und des Teamworks innerhalb der Konzerngesellschaften (Klasse 1-Daten)römisch eins.a Zum Zweck der globalen Kooperation, Kommunikation und des Teamworks innerhalb der Konzerngesellschaften (Klasse 1-Daten) -Strichaufzählung Vor- und Nachname, akad Grad/Titel -Strichaufzählung Zuordnung im Betrieb -Strichaufzählung E-Mail, Telefonnummer und Handynummer im Betrieb -Strichaufzählung Stellenbezeichnung -Strichaufzählung Personalnummer -Strichaufzählung Direkter Vorgesetzter / Supervisor -Strichaufzählung Arbeitsplatz (Ort) -Strichaufzählung Identifikationsausweis -Strichaufzählung Lichtbild Die Genehmigung wird unter der Auflage erteilt, dass die Datenart "Lichtbild" nur übermittelt werden darf, wenn sie vom Betroffenen selbst und freiwillig zwecks Übermittlung an die O**** Inc angegeben wurde. I.b Zum Zweck der Planung und des Managements des Personalwesens auf einer weltweiten Basis, insbesondere im Hinblick auf Stellenbesetzungen, Kooperationen, Beförderungen, Secondments und Arbeitsaustausch innerhalb des Konzerns, grenzüberschreitendes Teamwork, Investitionsentscheidungen, Rechnungswesen, wechselseitige Verrechung/Abrechnung innerhalb des Konzern betreffend Gehaltsaufwendungen, globale Personalbeschaffung; Verwaltung von Abgeltungen und von Leistungsprogrammen ("benefit program"), Gehaltsabrechnungen, Training, Leistungsmanagement, Nachfolgeplanungen, Stock Options, und anderen materiellen und immateriellen globalen Leistungen, weiters für Planung des Wechsels zu einem anderen Arbeitgeber im Konzern (Klasse 2-Daten):römisch eins.b Zum Zweck der Planung und des Managements des Personalwesens auf einer weltweiten Basis, insbesondere im Hinblick auf Stellenbesetzungen, Kooperationen, Beförderungen, Secondments und Arbeitsaustausch innerhalb des Konzerns, grenzüberschreitendes Teamwork, Investitionsentscheidungen, Rechnungswesen, wechselseitige Verrechung/Abrechnung innerhalb des Konzern betreffend Gehaltsaufwendungen, globale Personalbeschaffung; Verwaltung von Abgeltungen und von Leistungsprogrammen ("benefit program"), Gehaltsabrechnungen, Training, Leistungsmanagement, Nachfolgeplanungen, Stock Options, und anderen materiellen und immateriellen globalen Leistungen, weiters für Planung des Wechsels zu einem anderen Arbeitgeber im Konzern (Klasse 2-Daten): -Strichaufzählung Nationaler Identifikationsausweis (zB Führerschein, Pass, Personalausweis) -Strichaufzählung Regulatorischer Bereich (Rechtshoheit) -Strichaufzählung Staatsangehörigkeit -Strichaufzählung Geburtsdatum -Strichaufzählung Geschlecht -Strichaufzählung Sprachen -Strichaufzählung Passdaten -Strichaufzählung Visainformationen -Strichaufzählung Kontaktdaten im Notfall -Strichaufzählung Daten zur Verwendung von Fahrzeugen (Führerscheindaten) -Strichaufzählung Arbeitsort -Strichaufzählung Arbeitsrechtlicher Status (eingestellt/wiedereingestellt/gekündigt) -Strichaufzählung Personalnummer -Strichaufzählung Direkter Vorgesetzten / Supervisor -Strichaufzählung Dauer des Beschäftigungsverhältnisses (von - bis) -Strichaufzählung Gehaltsdaten -Strichaufzählung Abfindungen -Strichaufzählung Geburtsland -Strichaufzählung Geburtsort -Strichaufzählung Familienstand Die Genehmigung wird unter der Auflage erteilt, dass nur solche Dateninhalte übermittelt werden, die vom Betroffenen selbst und freiwillig zwecks Übermittlung an die O**** Inc angegeben wurden. Die Genehmigung zur Übermittlung der Datenart "Kontaktdaten im Notfall" wird unter der Auflage erteilt, dass von den betroffenen Mitarbeitern die schriftliche Erklärung eingeholt wurde, dass sie die Kontaktpersonen von der beabsichtigten Übermittlung ihrer Daten informiert haben, und diese zugestimmt haben. I.c Zum Zwecke der Erbringung von Kapitalbeteiligungen und anderer Leistungen (Benefits und Stock Options) (Klasse 3-Daten):römisch eins.c Zum Zwecke der Erbringung von Kapitalbeteiligungen und anderer Leistungen (Benefits und Stock Options) (Klasse 3-Daten): -Strichaufzählung Vor- und Nachname, akad Grad/Titel -Strichaufzählung Staatsbürgerschaft -Strichaufzählung E-Mail Adresse im Betrieb -Strichaufzählung Sozialversicherungsnummer (nur für US-Arbeitnehmer) / ldentifikationsdaten (für nicht US-Arbeitnehmer) -Strichaufzählung Tag der Einstellung -Strichaufzählung Tag der Kündigung -Strichaufzählung Steuerhoheit -Strichaufzählung Abzugssteuer -Strichaufzählung Gehaltsauszahlende Gesellschaft zuständig für die Rechnungslegung betreffend Gehalt und Steuern -Strichaufzählung Generelles Lohnkonto -Strichaufzählung Wohnadresse -Strichaufzählung Geburtsdatum -Strichaufzählung Alle Details im Hinblick auf die erbrachten Leistungen Die Genehmigung wird unter der Auflage erteilt, dass nur solche Dateninhalte übermittelt werden, die vom Betroffenen selbst und freiwillig zwecks Übermittlung an die O**** Inc angegeben wurden. II. Im Übrigen wird der Antrag abgewiesen.römisch zwei. Im Übrigen wird der Antrag abgewiesen. III. Gemäß § 78 des Allgemeinen Verwaltungsverfahrensgesetzes (AVG), BGBl Nr. 51/1991 idF. BGBl I Nr. 65/2002, iVm §§ 1, 3 Abs. 1 und TP 1 Bundesverwaltungsabgabenverordnung 1983, BGBl Nr. 24 i.d.F. BGBl II Nr. 460/2002 (BVwAbgV), hat die Antragstellerin eine Verwaltungsabgabe in Höhe vonrömisch drei. Gemäß Paragraph 78, des Allgemeinen Verwaltungsverfahrensgesetzes (AVG), Bundesgesetzblatt Nr. 51 aus 1991, in der Fassung Bundesgesetzblatt Teil eins, Nr. 65 aus 2002,, in Verbindung mit Paragraphen eins, 3, Absatz eins und TP 1 Bundesverwaltungsabgabenverordnung 1983, BGBl Nr. 24 in der Fassung Bundesgesetzblatt Teil 2, Nr. 460 aus 2002, (BVwAbgV), hat die Antragstellerin eine Verwaltungsabgabe in Höhe von Euro 6,50 zu entrichten. B e g r ü n d u n g
- Sachverhalt: Die O**** GmbH mbH (in der Folge "Antragstellerin") hat mit Schreiben vom
- Juni 2008 einen Antrag auf Übermittlung von Mitarbeiterdaten an die Konzernmutter in den USA gestellt. Die Antragstellerin hat dazu eine Datenanwendung "Konzernmeldung – Übermittlung von Personaldaten im Konzernbereich" beim Datenverarbeitungsregister gemeldet (Datenanwendungsnummer xxxxxxx/yyy), deren letzte Version vom
- Januar 2009 die Grundlage des Vorbringens bildet. Die Übermittlung umfasst vier Blöcke von Datenarten (Klasse 1 bis Klasse 4), die im Bescheidspruch angeführt sind. Die Klasse 1-Daten stellen ein Mitarbeiterverzeichnis dar. Die Klasse 2-Daten dienen zur Personalplanung. Die Antragstellerin selbst hat erklärt, dass die Übermittlung freiwillig erfolgen soll. Die Klasse 3-Daten betreffen Benefits und Stock Options des Konzerns für die Mitarbeiter. Die Klasse 2-Daten umfassen auch die Anmeldung und Prüfung der Zulässigkeit von Vergünstigungen. Die Übermittlung ist ebenfalls freiwillig. Die Klasse 4-Daten beziehen sich auf die zentrale Verwaltung von Sicherheitsausweisen durch die Konzernleitung.
- Anzuwendende Rechtsvorschriften: § 13 Abs. 1 und 2 DSG 2000 lauten unter der Überschrift "Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland" wie folgt:Paragraph 13, Absatz eins und 2 DSG 2000 lauten unter der Überschrift "Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland" wie folgt: "§ 13.
(1)Soweit der Datenverkehr mit dem Ausland nicht gemäß § 12 "§ 13.
(1)Soweit der Datenverkehr mit dem Ausland nicht gemäß Paragraph 12 genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (§§ 35
- ff)einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden.genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (Paragraphen 35,
- ff)einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden.
(2)Absatz 2,Die Genehmigung ist unter Beachtung der gemäß § 55 Z 2 ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des § 12 Abs. 5 vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus,Die Genehmigung ist unter Beachtung der gemäß Paragraph 55, Ziffer 2, ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des Paragraph 12, Absatz 5, vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus, 1.Ziffer eins für die im Genehmigungsantrag angeführte Übermittlung oder Überlassung im konkreten Einzelfall angemessener Datenschutz besteht; dies ist unter Berücksichtigung aller Umstände zu beurteilen, die bei der Datenverwendung eine Rolle spielen, wie insbesondere die Art der verwendeten Daten, die Zweckbestimmung sowie die Dauer der geplanten Verwendung, das Herkunfts- und das Endbestimmungsland und die in dem betreffenden Drittland geltenden allgemeinen oder sektoriellen Rechtsnormen, Standesregeln und Sicherheitsstandards; oder 2.Ziffer 2 der Auftraggeber glaubhaft macht, daß die schutzwürdigen Geheimhaltungsinteressen der vom geplanten Datenverkehr Betroffenen auch im Ausland ausreichend gewahrt werden. Hiefür können insbesondere auch vertragliche Zusicherungen des Empfängers an den Antragsteller über die näheren Umstände der Datenverwendung im Ausland von Bedeutung sein."
- Rechtlich war zu erwägen: Bedingung für die Erteilung einer Genehmigung für genehmigungspflichtige Datentransfers ins Ausland ist das Vorliegen der Voraussetzungen des § 12 Abs. 5 DSG 2000 und der Nachweis des Bestehens eines angemessenen Datenschutzniveaus beim ausländischen Datenempfänger.Bedingung für die Erteilung einer Genehmigung für genehmigungspflichtige Datentransfers ins Ausland ist das Vorliegen der Voraussetzungen des Paragraph 12, Absatz 5, DSG 2000 und der Nachweis des Bestehens eines angemessenen Datenschutzniveaus beim ausländischen Datenempfänger. 3.
- Die beantragte Übermittlung von Daten ist gemäß § 13 Abs. 1 Datenschutzgesetz 2000 - DSG 2000, genehmigungspflichtig, da die Empfänger nicht in Staaten mit angemessenem Datenschutzniveau im Sinne des § 12 Abs. 2 DSG 2000 ansässig sind und auch kein Fall eines gemäß § 12 Abs. 3 DSG 2000 genehmigungsfreien Datenverkehrs vorliegt.3.
- Die beantragte Übermittlung von Daten ist gemäß Paragraph 13, Absatz eins, Datenschutzgesetz 2000 - DSG 2000, genehmigungspflichtig, da die Empfänger nicht in Staaten mit angemessenem Datenschutzniveau im Sinne des Paragraph 12, Absatz 2, DSG 2000 ansässig sind und auch kein Fall eines gemäß Paragraph 12, Absatz 3, DSG 2000 genehmigungsfreien Datenverkehrs vorliegt. 3.
- Gemäß § 12 Abs. 5 DSG 2000 ist Voraussetzung für die Rechtmäßigkeit einer geplanten Übermittlung, dass die Bedingungen des § 7 Abs. 2 DSG 2000 erfüllt sind. Danach dürfen Daten nur dann übermittelt werden, wenn sie3.
- Gemäß Paragraph 12, Absatz 5, DSG 2000 ist Voraussetzung für die Rechtmäßigkeit einer geplanten Übermittlung, dass die Bedingungen des Paragraph 7, Absatz 2, DSG 2000 erfüllt sind. Danach dürfen Daten nur dann übermittelt werden, wenn sie -Strichaufzählung aus einer zulässigen Datenanwendung stammen, wenn -Strichaufzählung die rechtliche Befugnis des Empfängers für eine derartige Übermittlung ausreichend glaubhaft ist und wenn -Strichaufzählung die Übermittlung im Sinne der §§ 8 bzw. 9 DSG 2000 ihrer Art nach auch im Inland zulässig wäre.die Übermittlung im Sinne der Paragraphen 8, bzw. 9 DSG 2000 ihrer Art nach auch im Inland zulässig wäre. 3.2.
- Der Antrag bezieht sich auf Daten, die in Österreich rechtmäßig verarbeitet werden. Diesbezüglich liegt eine Meldung des Antragstellers für die Datenanwendung "Konzernmeldung – Übermittlung von Personaldaten im Konzernbereich" beim Datenverarbeitungsregister vor. 3.3 Zur ausreichenden Rechtsgrundlage der Übermittlungen im Sinne der §§ 8 bzw. 9 DSG 2000:3.3 Zur ausreichenden Rechtsgrundlage der Übermittlungen im Sinne der Paragraphen 8, bzw. 9 DSG 2000: 3.3.
- Zu Spruchpunkt I.a3.3.
- Zu Spruchpunkt römisch eins.a Hierbei handelt es sich um eine Kontaktdatenbank, deren Führung durch die Konzernmutter eine wesentliche Voraussetzung für die effiziente Kooperation innerhalb eines Konzerns ist. Ausreichende rechtliche Befugnis des Datenexporteurs und des Datenimporteurs zur Verwendung der in Rede stehenden Daten ist somit gegeben. Die Übermittlung der Datenart "Lichtbild" geschieht nur auf freiwilliger Basis. Dies wurde von der Antragsstellerin so vorgebracht und wird nur in Form einer Auflage im Bescheid festgeschrieben. 3.3.
- Zu Spruchpunkt I.b3.3.
- Zu Spruchpunkt römisch eins.b Die Übermittlung dient der Planung und dem Managements des Personalwesens auf Konzernebene. Die Übermittlung dient dem Interesse des Unternehmens und der Konzernmutter an einer besseren Planbarkeit des Personalersatzes. Durch die im Spruch enthaltene Auflage, dass nur von den Betroffenen selbst freiwillig angegebene Daten für diese Zwecke übermittelt werden dürfen, soll sichergestellt werden, dass Datenübermittlungen nur hinsichtlich von solchen Personen erfolgen, die selbst an ihrer Karriere arbeiten wollen, und daher ihr Interesse an Karrieremanagement durch die Konzernspitze in den USA bekunden. Die Antragsstellerin selbst hat erklärt, dass die Übermittlung freiwillig sein soll. 3.3.
- Zu Spruchpunkt I.c3.3.
- Zu Spruchpunkt römisch eins.c Diese Daten werden Erbringung von Kapitalbeteiligungen und anderer Leistungen (Benefits und Stock Options) übermittelt. Die Übermittlung dieser Daten dient zur Verwaltung von derartigen Vergünstigungen und ist damit im Interesse der Betroffenen sowie der beteiligten Konzernunternehmen. Die mit Spruchpunkt I.b genehmigte Übermittlung umfasst auch Daten zu Benefits und Stock Options, aber dieser Teil des Bescheides bezieht sich auf die Verwaltung der Leistungen, während die Übermittlungen unter Punkt I.b die Anmeldung und Prüfung der Zulässigkeit von Vergünstigungen umfassen. Auch hier wird mit einer Auflage die im Vorbringen bereits enthaltene Freiwilligkeit festgeschrieben.Diese Daten werden Erbringung von Kapitalbeteiligungen und anderer Leistungen (Benefits und Stock Options) übermittelt. Die Übermittlung dieser Daten dient zur Verwaltung von derartigen Vergünstigungen und ist damit im Interesse der Betroffenen sowie der beteiligten Konzernunternehmen. Die mit Spruchpunkt römisch eins.b genehmigte Übermittlung umfasst auch Daten zu Benefits und Stock Options, aber dieser Teil des Bescheides bezieht sich auf die Verwaltung der Leistungen, während die Übermittlungen unter Punkt römisch eins.b die Anmeldung und Prüfung der Zulässigkeit von Vergünstigungen umfassen. Auch hier wird mit einer Auflage die im Vorbringen bereits enthaltene Freiwilligkeit festgeschrieben. 3.3.
- Zu Spruchpunkt I.d3.3.
- Zu Spruchpunkt römisch eins.d Die Antragstellerin hat die Genehmigung zur Übermittlung der "Klasse 4 - Daten" (Name, Stellenbezeichnung, direkter Vorgesetzter, Lichtbild) an die Konzernzentrale in den USA zwecks zentraler Verwaltung der Zutrittsberechtigungen zu betrieblichen Einrichtungen beantragt. Dies ist angesichts des Umstandes, dass sich für viele Kategorien von Mitarbeitern der Antragstellerin nie die Notwendigkeit des Zutritts zu betrieblichen Einrichtungen außerhalb Österreichs ergeben wird, sachlich nicht gerechtfertigt und daher überschießend. Insofern war der Antrag abzuweisen. Für die Übermittlung des Lichtbildes, das ein biometrisches Datum darstellt, wäre im Übrigen – in Parallelität zur Auflage unter Spruchpunkt I a – die Zustimmung der Betroffenen erforderlich. In allen Fällen, in welchen diese für die gegenständliche Übermittlung erteilt wird, wird die Übermittlung der Klasse 4 – Daten keiner zusätzlichen Genehmigung durch die Datenschutzkommission bedürfen (§ 12 Abs. 3 Z 5 DSG 2000).Für die Übermittlung des Lichtbildes, das ein biometrisches Datum darstellt, wäre im Übrigen – in Parallelität zur Auflage unter Spruchpunkt römisch eins a – die Zustimmung der Betroffenen erforderlich. In allen Fällen, in welchen diese für die gegenständliche Übermittlung erteilt wird, wird die Übermittlung der Klasse 4 – Daten keiner zusätzlichen Genehmigung durch die Datenschutzkommission bedürfen (Paragraph 12, Absatz 3, Ziffer 5, DSG 2000). 3.
- Zur Glaubhaftmachung des angemessenen Datenschutzes beim Empfänger im Ausland haben die Antragstellerin und der Empfänger einen Vertrag abgeschlossen, die den in der Entscheidung der Kommission 2004/915/EG vom
- Dezember 2004 zur Änderung der Entscheidung 2001/497/EG bezüglich der Einführung alternativer Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer (Set II), Amtsblatt Nr. L 385 S. 74–84, CELEX:3.
- Zur Glaubhaftmachung des angemessenen Datenschutzes beim Empfänger im Ausland haben die Antragstellerin und der Empfänger einen Vertrag abgeschlossen, die den in der Entscheidung der Kommission 2004/915/EG vom
- Dezember 2004 zur Änderung der Entscheidung 2001/497/EG bezüglich der Einführung alternativer Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer (Set römisch zwei), Amtsblatt Nr. L 385 S. 74–84, CELEX: 32004D0915, vorgesehenen Standardvertragsklauseln entsprechen. Der Nachweis ausreichenden Datenschutzes bei den ausländischen Datenempfängern gilt daher als erbracht im Sinne des § 13 Abs. 2 Z 2 DSG 2000.32004D0915, vorgesehenen Standardvertragsklauseln entsprechen. Der Nachweis ausreichenden Datenschutzes bei den ausländischen Datenempfängern gilt daher als erbracht im Sinne des Paragraph 13, Absatz 2, Ziffer 2, DSG
- 3.
- Die Verwaltungsabgabe war gemäß § 78 Abs. 1 AVG iVm §§ 13, 53 Abs. 1 DSG 2000 vorzuschreiben. Demnach ist für Anträge nach § 13 DSG 2000 keine Befreiung von Verwaltungsabgaben normiert.3.
- Die Verwaltungsabgabe war gemäß Paragraph 78, Absatz eins, AVG in Verbindung mit Paragraphen 13, 53, Absatz eins, DSG 2000 vorzuschreiben. Demnach ist für Anträge nach Paragraph 13, DSG 2000 keine Befreiung von Verwaltungsabgaben normiert.