← Österreich

{'item': 'K178.341/0002-DSK/2010'}

RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum19.03.2010 GeschäftszahlK178.341/0002-DSK/2010 Text[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] B E S C H E I DB E S C H E römisch eins D Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. KOTSCHY, Dr. BLAHA, Mag. MAITZ-STRASSNIG, Mag. ZIMMER und Dr. STAUDIGL sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom 19. März 2010 folgenden Beschluss gefasst: S p r u c h I. Der F**** Bank - Zweigniederlassung Wien in Wien wird aufgrund ihres Antrags vom 12. Februar 2009 gemäß § 13 Abs. 1 und 2 des Datenschutzgesetzes 2000 - DSG 2000, die Genehmigung erteilt, die folgenden Daten aus den Datenanwendungenrömisch eins. Der F**** Bank - Zweigniederlassung Wien in Wien wird aufgrund ihres Antrags vom 12. Februar 2009 gemäß Paragraph 13, Absatz eins und 2 des Datenschutzgesetzes 2000 - DSG 2000, die Genehmigung erteilt, die folgenden Daten aus den Datenanwendungen -Strichaufzählung Girogeschäft (Datenanwendungsnummer xxxxxx/yyy); -Strichaufzählung Geldmarktinstrumente (Datenanwendungsnummer xxxxxxx/yyy); -Strichaufzählung Kreditgeschäft (Datenanwendungsnummer xxxxxxx/yyy); -Strichaufzählung Garantiegeschäft (Datenanwendungsnummer xxxxxxx/yyy); an die F**** Bank Ltd. (Japan) zum Zweck der Konsolidierung und des Risikomanagements zu übermitteln: Ia) Von juristischen Personen, die Geschäftskunden der Antragstellerinrömisch eins

  1. a)Von juristischen Personen, die Geschäftskunden der Antragstellerin -Strichaufzählung Name/Bezeichnung -Strichaufzählung Adresse/Sitz (Inkl. Stadt, Sitzstaat) -Strichaufzählung Kundennummer -Strichaufzählung Kontonummer -Strichaufzählung Firmenbuchnummer -Strichaufzählung Vertragsdaten Ib) Von Kontaktpersonen beim Geschäftskundenrömisch eins
  2. b)Von Kontaktpersonen beim Geschäftskunden -Strichaufzählung Name -Strichaufzählung E-Mail-Adresse -Strichaufzählung Telefon- und/oder Faxnummer II. Gemäß § 78 des Allgemeinen Verwaltungsverfahrensgesetzes (AVG), BGBl Nr. 51/1991 idF. BGBl I Nr. 65/2002, iVm §§ 1, 3 Abs. 1 und TP 1 Bundesverwaltungsabgabenverordnung 1983, BGBl Nr. 24 i.d.F. BGBl II Nr. 460/2002 (BVwAbgV), hat die Antragstellerin eine Verwaltungsabgabe in Höhe vonrömisch zwei. Gemäß Paragraph 78, des Allgemeinen Verwaltungsverfahrensgesetzes (AVG), Bundesgesetzblatt Nr. 51 aus 1991, in der Fassung Bundesgesetzblatt Teil eins, Nr. 65 aus 2002,, in Verbindung mit Paragraphen eins, 3, Absatz eins und TP 1 Bundesverwaltungsabgabenverordnung 1983, BGBl Nr. 24 in der Fassung Bundesgesetzblatt Teil 2, Nr. 460 aus 2002, (BVwAbgV), hat die Antragstellerin eine Verwaltungsabgabe in Höhe von Euro 6,50 zu entrichten. B e g r ü n d u n g 1. Sachverhalt: Mit Schriftsatz vom 12. Februar 2009 hat die F**** Bank - Zweigniederlassung Wien (in weiterer Folge "Antragstellerin") bei der Datenschutzkommission einen Antrag gemäß § 13 DSG 2000 auf Übermittlung von personenbezogenen Daten an die Konzernmutter in den Japan gestellt.Mit Schriftsatz vom 12. Februar 2009 hat die F**** Bank - Zweigniederlassung Wien (in weiterer Folge "Antragstellerin") bei der Datenschutzkommission einen Antrag gemäß Paragraph 13, DSG 2000 auf Übermittlung von personenbezogenen Daten an die Konzernmutter in den Japan gestellt. Die Antragstellerin ist eine Zweigniederlassung einer niederländischen Bank, die ihrerseits eine Genehmigung der niederländischen Datenschutzbehörde zur Übermittlung von Kundendaten an die Konzernmutter in Japan besitzt. Der Antrag betraf Übermittlungen aus den im Spruch genannten vier Datenanwendungen, die beim Datenverarbeitungsregister gemeldet sind. Die Betroffenen sind Geschäftskunden (juristische Personen) und deren Kontaktpersonen. Die Übermittlungen dienen zur Konsolidierung und zum Risikomanagement durch die Konzernmutter. 2. Anzuwendende Rechtsvorschriften: § 3 Abs. 1 und 2 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF. lauten unter der Überschrift "Räumlicher Anwendungsbereich":Paragraph 3, Absatz eins und 2 Datenschutzgesetz 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF. lauten unter der Überschrift "Räumlicher Anwendungsbereich": "§ 3.

(1)Die Bestimmungen dieses Bundesgesetzes sind auf die Verwendung von personenbezogenen Daten im Inland anzuwenden. Darüber hinaus ist dieses Bundesgesetz auf die Verwendung von Daten im Ausland anzuwenden, soweit diese Verwendung in anderen Mitgliedstaaten der Europäischen Union für Zwecke einer in Österreich gelegenen Haupt- oder Zweigniederlassung (§ 4 Z 15) eines Auftraggebers (§ 4 Z 4) geschieht. "§ 3.
(1)Die Bestimmungen dieses Bundesgesetzes sind auf die Verwendung von personenbezogenen Daten im Inland anzuwenden. Darüber hinaus ist dieses Bundesgesetz auf die Verwendung von Daten im Ausland anzuwenden, soweit diese Verwendung in anderen Mitgliedstaaten der Europäischen Union für Zwecke einer in Österreich gelegenen Haupt- oder Zweigniederlassung (Paragraph 4, Ziffer 15,) eines Auftraggebers (Paragraph 4, Ziffer 4,) geschieht.
(2)Abweichend von Abs. 1 ist das Recht des Sitzstaates des Auftraggebers auf eine Datenverarbeitung im Inland anzuwenden, wenn ein Auftraggeber des privaten Bereichs (§ 5 Abs. 3) mit Sitz in einem anderen Mitgliedstaat der Europäischen Union personenbezogene Daten in Österreich zu einem Zweck verwendet, der keiner in Österreich gelegenen Niederlassung dieses Auftraggebers zuzurechnen ist."
(2)Abweichend von Absatz eins, ist das Recht des Sitzstaates des Auftraggebers auf eine Datenverarbeitung im Inland anzuwenden, wenn ein Auftraggeber des privaten Bereichs (Paragraph 5, Absatz 3,) mit Sitz in einem anderen Mitgliedstaat der Europäischen Union personenbezogene Daten in Österreich zu einem Zweck verwendet, der keiner in Österreich gelegenen Niederlassung dieses Auftraggebers zuzurechnen ist." § 12 Abs. 3 DSG 2000 lautet:Paragraph 12, Absatz 3, DSG 2000 lautet: "
(3)Absatz 3,Darüberhinaus ist der Datenverkehr ins Ausland dann genehmigungsfrei, wenn 1.Ziffer eins die Daten im Inland zulässigerweise veröffentlicht wurden oder 2.Ziffer 2 Daten, die für den Empfänger nur indirekt personenbezogen sind, übermittelt oder überlassen werden oder 3.Ziffer 3 die Übermittlung oder Überlassung von Daten ins Ausland in Rechtsvorschriften vorgesehen ist, die im innerstaatlichen Recht den Rang eines Gesetzes haben und unmittelbar anwendbar sind, oder 4.Ziffer 4 Daten aus Datenanwendungen für private Zwecke (§ 45) oder für publizistische Tätigkeit (§ 48) übermittelt werden oderDaten aus Datenanwendungen für private Zwecke (Paragraph 45,) oder für publizistische Tätigkeit (Paragraph 48,) übermittelt werden oder 5.Ziffer 5 der Betroffene ohne jeden Zweifel seine Zustimmung zur Übermittlung oder Überlassung seiner Daten ins Ausland gegeben hat oder 6.Ziffer 6 ein vom Auftraggeber mit dem Betroffenen oder mit einem Dritten eindeutig im Interesse des Betroffenen abgeschlossener Vertrag nicht anders als durch Übermittlung der Daten ins Ausland erfüllt werden kann oder 7.Ziffer 7 die Übermittlung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen vor ausländischen Behörden erforderlich ist und die Daten rechtmäßig ermittelt wurden, oder 8.Ziffer 8 die Übermittlung oder Überlassung in einer Standardverordnung (§ 17 Abs. 2 Z 6) oder Musterverordnung (§ 19 Abs. 2) ausdrücklich angeführt ist oderdie Übermittlung oder Überlassung in einer Standardverordnung (Paragraph 17, Absatz 2, Ziffer 6,) oder Musterverordnung (Paragraph 19, Absatz 2,) ausdrücklich angeführt ist oder 9.Ziffer 9 es sich um Datenverkehr mit österreichischen Dienststellen im Ausland handelt oder 10.Ziffer 10 Übermittlungen oder Überlassungen aus Datenanwendungen erfolgen, die gemäß § 17 Abs. 3 von der Meldepflicht ausgenommen sind."Übermittlungen oder Überlassungen aus Datenanwendungen erfolgen, die gemäß Paragraph 17, Absatz 3, von der Meldepflicht ausgenommen sind." § 13 Abs. 1 und 2 DSG 2000 lauten unter der Überschrift "Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland" wie folgt:Paragraph 13, Absatz eins und 2 DSG 2000 lauten unter der Überschrift "Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland" wie folgt: "§ 13.
(1)Soweit der Datenverkehr mit dem Ausland nicht gemäß § 12 genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (§§ 35 ff) einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden. "§ 13.
(1)Soweit der Datenverkehr mit dem Ausland nicht gemäß Paragraph 12, genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (Paragraphen 35, ff) einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden.
(2)Absatz 2,Die Genehmigung ist unter Beachtung der gemäß § 55 Z 2 ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des § 12 Abs. 5 vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus,Die Genehmigung ist unter Beachtung der gemäß Paragraph 55, Ziffer 2, ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des Paragraph 12, Absatz 5, vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus, 1.Ziffer eins für die im Genehmigungsantrag angeführte Übermittlung oder Überlassung im konkreten Einzelfall angemessener Datenschutz besteht; dies ist unter Berücksichtigung aller Umstände zu beurteilen, die bei der Datenverwendung eine Rolle spielen, wie insbesondere die Art der verwendeten Daten, die Zweckbestimmung sowie die Dauer der geplanten Verwendung, das Herkunfts- und das Endbestimmungsland und die in dem betreffenden Drittland geltenden allgemeinen oder sektoriellen Rechtsnormen, Standesregeln und Sicherheitsstandards; oder 2.Ziffer 2 der Auftraggeber glaubhaft macht, daß die schutzwürdigen Geheimhaltungsinteressen der vom geplanten Datenverkehr Betroffenen auch im Ausland ausreichend gewahrt werden. Hiefür können insbesondere auch vertragliche Zusicherungen des Empfängers an den Antragsteller über die näheren Umstände der Datenverwendung im Ausland von Bedeutung sein."
  1. Rechtlich war zu erwägen: 3.
  2. Zur Frage des anwendbaren Rechts: Der Genehmigungsantrag wurde für die unselbständige österreichische Niederlassung einer Bank mit Sitz in den Niederlanden gestellt. Bei der Datenverwendung durch eine unselbständige Niederlassung einer EWR-ausländischen juristischen Person ist zu prüfen, welche Rechtsordnung auf die Datenverwendung Anwendung zu finden hat. Da die von der Übermittlung betroffenen Daten im Zuge der Geschäftsabwicklung der österreichischen Filiale verwendet werden, kommt gemäß § 3 Abs. 1 und 2 DSG 2000 nicht das Recht des Sitzstaates des Auftraggebers zur Anwendung, sondern das Recht am Sitz der Niederlassung, also österreichisches Recht.Da die von der Übermittlung betroffenen Daten im Zuge der Geschäftsabwicklung der österreichischen Filiale verwendet werden, kommt gemäß Paragraph 3, Absatz eins und 2 DSG 2000 nicht das Recht des Sitzstaates des Auftraggebers zur Anwendung, sondern das Recht am Sitz der Niederlassung, also österreichisches Recht. 3.
  3. Zur Genehmigungspflicht und Genehmigungsfreiheit: Die Übermittlungen sind gemäß § 13 Abs. 1 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999 idF BGBl. I Nr. 13/2005, genehmigungspflichtig, da zum einen der Empfänger in einem Staat seinen Sitz hat, für den keine Feststellung des Vorhandenseins eines angemessenen Datenschutzniveaus gemäß Art. 25 RL 95/46/EG besteht, und da zum anderen auch kein Fall eines gemäß § 12 Abs. 3 DSG 2000 genehmigungsfreien Datenverkehrs vorliegt.Die Übermittlungen sind gemäß Paragraph 13, Absatz eins, Datenschutzgesetz 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr. 13 aus 2005,, genehmigungspflichtig, da zum einen der Empfänger in einem Staat seinen Sitz hat, für den keine Feststellung des Vorhandenseins eines angemessenen Datenschutzniveaus gemäß Artikel 25, RL 95/46/EG besteht, und da zum anderen auch kein Fall eines gemäß Paragraph 12, Absatz 3, DSG 2000 genehmigungsfreien Datenverkehrs vorliegt. 3.
  4. Vorliegen der Voraussetzungen nach § 12 Abs. 5 DSG 2000:3.
  5. Vorliegen der Voraussetzungen nach Paragraph 12, Absatz 5, DSG 2000: Gemäß § 12 Abs. 5 DSG 2000 ist Voraussetzung für die Rechtmäßigkeit einer geplanten Übermittlung, dass die Bedingungen des § 7 Abs. 2 DSG 2000 erfüllt sind. Danach dürfen Daten nur dann übermittelt werden, wenn sieGemäß Paragraph 12, Absatz 5, DSG 2000 ist Voraussetzung für die Rechtmäßigkeit einer geplanten Übermittlung, dass die Bedingungen des Paragraph 7, Absatz 2, DSG 2000 erfüllt sind. Danach dürfen Daten nur dann übermittelt werden, wenn sie -Strichaufzählung aus einer zulässigen Datenanwendung stammen, wenn -Strichaufzählung die rechtliche Befugnis des Empfängers für eine derartige Übermittlung ausreichend glaubhaft ist und wenn -Strichaufzählung die Übermittlung im Sinne der §§ 8 bzw. 9 DSG 2000 ihrer Art nach auch im Inland zulässig wäre.die Übermittlung im Sinne der Paragraphen 8, bzw. 9 DSG 2000 ihrer Art nach auch im Inland zulässig wäre. Der Antrag bezieht sich auf Daten, die in Österreich rechtmäßig verarbeitet werden. Die diesbezüglichen Meldungen der Antragstellerin beim Datenverarbeitungsregister für die im Spruch Datenanwendungen sind registrierungsfähig. 3.
  6. Zur ausreichenden Rechtsgrundlage der Übermittlungen im Sinne der §§ 8 bzw. 9 DSG 2000:3.
  7. Zur ausreichenden Rechtsgrundlage der Übermittlungen im Sinne der Paragraphen 8, bzw. 9 DSG 2000: Die Übermittlung dient der Konsolidierung der Verbindlichkeiten und dem Risikomanagement bei Geschäften mit juristischen Personen. Angesichts der anerkannten Anforderungen an ein aussagefähiges Rechnungs- und Bilanzierungswesen in Banken und Bankkonzernen müssen Kreditrisiken, die von Konzerntöchtern und ihren Zweigniederlassungen eingegangen werden, einer konsolidierten Betrachtung der Gesamtverpflichtungen zugeführt werden, sodass sie der Konzernspitze jeweils zumindest bekannt geworden sein müssen. Für die Übermittlung relevanter Daten an die Konzernspitze ist im vorliegenden Fall daher das Vorliegen eines überwiegenden berechtigten Interesses im Sinne des § 8 Abs. 1 Z 4 DSG 2000 anzunehmen, sodass schutzwürdige Geheimhaltungsinteressen durch die beabsichtigte Übermittlung nicht verletzt werden.Die Übermittlung dient der Konsolidierung der Verbindlichkeiten und dem Risikomanagement bei Geschäften mit juristischen Personen. Angesichts der anerkannten Anforderungen an ein aussagefähiges Rechnungs- und Bilanzierungswesen in Banken und Bankkonzernen müssen Kreditrisiken, die von Konzerntöchtern und ihren Zweigniederlassungen eingegangen werden, einer konsolidierten Betrachtung der Gesamtverpflichtungen zugeführt werden, sodass sie der Konzernspitze jeweils zumindest bekannt geworden sein müssen. Für die Übermittlung relevanter Daten an die Konzernspitze ist im vorliegenden Fall daher das Vorliegen eines überwiegenden berechtigten Interesses im Sinne des Paragraph 8, Absatz eins, Ziffer 4, DSG 2000 anzunehmen, sodass schutzwürdige Geheimhaltungsinteressen durch die beabsichtigte Übermittlung nicht verletzt werden. 3.
  8. Zur Glaubhaftmachung des angemessenen Datenschutzes beim Empfänger im Ausland haben der Auftraggeber und der Empfänger einen Vertrag abgeschlossen, der den in der Entscheidung der Kommission 2001/497/EG vom
  9. Juni 2001 hinsichtlich Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer nach der Richtlinie 95/46/EG (Amtsblatt Nr. L 181, S. 19 – 31 vom
  10. Juli 2001, CELEX: 32001D0497), vorgesehenen Standardvertragsklauseln entspricht. Der Nachweis ausreichenden Datenschutzes beim ausländischen Datenempfänger gilt daher als erbracht im Sinne des § 13 Abs. 2 Z 2 DSG 2000.3.
  11. Zur Glaubhaftmachung des angemessenen Datenschutzes beim Empfänger im Ausland haben der Auftraggeber und der Empfänger einen Vertrag abgeschlossen, der den in der Entscheidung der Kommission 2001/497/EG vom
  12. Juni 2001 hinsichtlich Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer nach der Richtlinie 95/46/EG (Amtsblatt Nr. L 181, S. 19 – 31 vom
  13. Juli 2001, CELEX: 32001D0497), vorgesehenen Standardvertragsklauseln entspricht. Der Nachweis ausreichenden Datenschutzes beim ausländischen Datenempfänger gilt daher als erbracht im Sinne des Paragraph 13, Absatz 2, Ziffer 2, DSG
  14. 3.
  15. Die Verwaltungsabgabe war gemäß § 78 Abs. 1 AVG iVm §§ 13, 53 Abs. 1 DSG 2000 vorzuschreiben. Demnach ist für Anträge nach § 13 DSG 2000 keine Befreiung von Verwaltungsabgaben normiert.3.
  16. Die Verwaltungsabgabe war gemäß Paragraph 78, Absatz eins, AVG in Verbindung mit Paragraphen 13, 53, Absatz eins, DSG 2000 vorzuschreiben. Demnach ist für Anträge nach Paragraph 13, DSG 2000 keine Befreiung von Verwaltungsabgaben normiert.

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.