Entwurf
Bundesgesetz, mit dem das Transparenzdatenbankgesetz 2012 geändert wird (Datenschutzanpassung)
Der Nationalrat hat beschlossen:
Das Transparenzdatenbankgesetz 2012 – TDBG 2012, BGBl. I Nr. 99/2012, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 117/2016, wird wie folgt geändert:
1. Im Inhaltsverzeichnis wird in der den § 12 betreffenden Zeile das Wort „Auftraggeber“ durch die Worte „Datenschutzrechtlich verantwortlicher“ ersetzt.
2. Im Inhaltsverzeichnis wird in der den § 18 betreffenden Zeile das Wort „Dienstleister“ durch das Wort „Auftragsverarbeiter“ ersetzt.
3. Im Inhaltsverzeichnis entfällt die den § 31 betreffende Zeile.
4. Im Inhaltsverzeichnis lautet die Überschrift im 7. Abschnitt „Datenschutz und Schlussbestimmungen“
5. Im Inhaltsverzeichnis werden im 7. Abschnitt vor der den § 37 betreffenden Zeile folgende Zeilen eingefügt:
|
§ 36a. |
Automatisierte Datenverarbeitung |
|
§ 36b. |
Auskunft |
|
§ 36c. |
Information |
|
§ 36d. |
Berichtigung |
|
§ 36e. |
Löschung |
|
§ 36f. |
Mitteilung |
|
§ 36g. |
Widerspruch |
|
§ 36h. |
Benachrichtigung |
6. § 2 lautet:
„§ 2. (1) Die Verarbeitung von personenbezogenen Daten im Sinne des Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG), BGBl. I Nr. 165/1999, zuletzt geändert durch das Bundesgesetz, BGBl. I Nr. 120/2017, (im Folgenden: „Daten“) von Leistungsempfängern und Einkommensbeziehern in der Transparenzdatenbank und im Transparenzportal erfolgt zum Zweck der
1. einheitlichen und übersichtlichen Darstellung des Einkommens und sämtlicher angebotener und erhaltener Leistungen im Sinne des § 4 (Informationszweck);
2. einfachen und raschen Erbringung von Nachweisen für Leistungsempfänger und leistende Stellen (Nachweiszweck);
3. Auswertung ausschließlich für statistische, planerische und steuernde Zwecke (Steuerungszweck) und
4. Überprüfung des Vorliegens der für die Gewährung, die Einstellung oder die Rückforderung einer Leistung im Sinne des § 4 erforderlichen Voraussetzungen (Überprüfungszweck).
(2) Der Personenbezug der Daten, die in der Transparenzdatenbank verarbeitet werden, ist derart zu gestalten, dass der Verantwortliche, Auftragsverarbeiter oder Übermittlungsempfänger die Identität der betroffenen Person mit rechtlich zulässigen Mitteln nicht bestimmen kann.“
7. Dem § 4 wird folgender Abs. 4 angefügt:
„(4) Leistungen im Sinne dieses Bundesgesetzes sind auch Leistungen, die von Gemeinden im eigenen Wirkungsbereich erbracht werden (Gemeindeleistungen). Alle Regelungen betreffend Leistungen der Länder gelten sinngemäß auch für Gemeindeleistungen.“
8. § 12 samt Überschrift lautet:
„Datenschutzrechtlich Verantwortlicher
§ 12. Der Bundesminister für Finanzen ist datenschutzrechtlich Verantwortlicher (im Folgenden: „Verantwortlicher“) für die Transparenzdatenbank und das Transparenzportal. Er hat deren Einrichtung und Betrieb zu gewährleisten.“
9. In § 17 wird das Wort „Verwendung“ durch das Wort „Verarbeitung“ ersetzt.
10. In § 18 lauten die Überschrift und der Abs. 1:
„Auftragsverarbeiter
§ 18. (1) Die Bundesrechenzentrum Gesellschaft mit beschränkter Haftung (BRZ GmbH) ist für die Transparenzdatenbank und das Transparenzportal gesetzlicher Auftragsverarbeiter, wobei sie sich weiterer Auftragsverarbeiter bedienen kann.“
11. § 21 Abs. 1 Z 3 lautet:
„3. die Voraussetzungen für die Gewährung, die Einstellung und die Rückforderung der Leistung auszuweisen und dabei besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Z 1 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1, (im Folgenden: DSGVO) besonders zu bezeichnen;“
12. § 23 Abs. 3 lautet:
„(3) Durch die Ermöglichung der Abfrage von Daten über Leistungen (Abs. 1 und 5) oder durch die Mitteilung von Daten über Leistungen (Abs. 2 und 4) ändert sich nichts an der Stellung des die Abfrage Duldenden oder des Mitteilenden als Verantwortlicher für Datenanwendungen oder für die Verarbeitung von Daten außerhalb des Anwendungsbereiches dieses Bundesgesetzes.“
13. In § 23 Abs. 4 wird das Wort „Dienstleisters“ durch das Wort „Auftragsverarbeiters“ ersetzt.
14. In § 25 Abs. 1 lit. a wird das Wort „Verwendung“ durch das Wort „Verarbeitung“ ersetzt.
15. In § 25 Abs. 4 wird jeweils das Wort „Auftraggeber“ durch das Wort „Verantwortlicher“ in der grammatikalisch zutreffenden Form ersetzt.
16. § 31 samt Überschrift entfällt.
17. § 32 Abs. 6 erster und zweiter Satz lauten:
„(6) Zur Erfüllung des Überprüfungszwecks erhalten abfrageberechtigte Stellen der Länder und Gemeinden über das Transparenzportal nach eindeutiger elektronischer Identifizierung der abfragenden Person die Leseberechtigung für jene Daten, die für die Gewährung, die Einstellung oder die Rückforderung einer Leistung durch diese konkrete abfrageberechtigte Stelle für eine bestimmte Aufgabe jeweils erforderlich sind. Die Einsicht steht in jenem Zeitraum zu, für welchen das jeweilige Land oder die jeweilige Gemeinde Leistungsmitteilungen, ausgenommen Mitteilungen im Sinne des § 23 Abs. 4, in die Transparenzdatenbank übermittelt.“
18. In § 32 Abs. 7 wird das Wort „Dienstleister“ durch das Wort „Auftragsverarbeiter“ ersetzt.
19. Die Überschrift im 7. Abschnitt lautet „Datenschutz und Schlussbestimmungen“.
20. Im 7. Abschnitt werden vor dem § 37 folgende §§ 36a bis 36h samt Überschriften eingefügt:
„Automatisierte Datenverarbeitung
36a. Die automatisierte Verarbeitung von Daten durch den Verantwortlichen ist zulässig, wenn sie für Zwecke dieses Bundesgesetzes oder sonst zur Erfüllung seiner Aufgaben, die ihm übertragen wurden, erforderlich ist. Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO durch den Verantwortlichen ist nach Maßgabe dieses Bundesgesetzes zulässig.
Auskunft
§ 36b. (1) Die betroffene Person kann sich über die sie betreffenden Daten durch Transparenzportalabfrage gemäß § 32 Abs. 1 und 2 Kenntnis verschaffen.
(2) Über Verlangen einer betroffenen Person, die keine Möglichkeit zu einer Transparenzportalabfrage (Abs. 1) hat, sind die sie betreffenden Daten durch den Datenschutzbeauftragten des Bundesministeriums für Finanzen schriftlich zur Verfügung zu stellen. Der Datenschutzbeauftragte ist zur personenbezogenen Abfrage sämtlicher Daten der betroffenen Person berechtigt.
(3) Das Recht der betroffenen Person auf Auskunft gemäß Art. 15 DSGVO besteht gegenüber dem Verantwortlichen nicht, soweit
1. die betroffene Person nach § 36c nicht zu informieren ist oder
2. die betroffene Person im Auskunftsverfahren gemäß Abs. 2 nicht ausreichend mitwirkt, um dem Datenschutzbeauftragten die personenbezogenen Abfrage sämtlicher Daten der betroffenen Person zu ermöglichen.
Information
§ 36c. (1) Die Informationen gemäß Art. 14 DSGVO können im Internet unter http://www.transparenzportal.gv.at unentgeltlich bereitgestellt werden.
(2) Der Verantwortliche ist nicht verpflichtet, die betroffene Person gemäß Art. 14 Abs. 1 und 2 DSGVO über die Erhebung oder Art. 14 Abs. 4 DSGVO über die beabsichtigte Weiterverarbeitung von Daten zu informieren, wenn Art. 14 Abs. 5 DSGVO anwendbar ist.
Berichtigung
§ 36d. Die Berichtigung von Daten hinsichtlich ihrer Richtigkeit im Sinn des Art. 5 Abs. 1 lit. d DSGVO, die gemäß § 23 durch leistende Stellen mitgeteilt oder durch Abfrage von bestehenden Datenbanken ermittelt werden, hat nicht durch den Verantwortlichen, sondern durch die zuständige leistende Stelle nach den für sie maßgebenden Rechtsvorschriften unverzüglich nach Klärung der behaupteten Unrichtigkeit zu erfolgen. Kann die Berichtigung nicht unverzüglich erfolgen, so hat die zuständige leistende Stelle die behauptete Unrichtigkeit in der betreffenden Leistungsmitteilung (§ 25) ergänzend zu vermerken. Die zuständige leistende Stelle hat nach Klärung der behaupteten Unrichtigkeit diese gegebenenfalls zu berichtigen und den ergänzenden Vermerk zu beseitigen.
Löschung
§ 36e. (1) Die in der Transparenzdatenbank gespeicherten Daten sind zehn Jahre zum Zweck der Abfrage gemäß § 32 Abs. 5, 6 und 7 bereit zu halten. Für Zwecke der Abfrage gemäß § 32 Abs. 1 und 2, sowie für Zwecke der Auswertungen nach § 34 und anderer Verarbeitungen durch die Bundesanstalt Österreich nach dem Bundesgesetz über die Bundesstatistik (Bundesstatistikgesetz 2000), BGBl. I Nr. 163/1999, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 40/2014, sind sie dreißig Jahre bereit zu halten.
(2) Nach Ablauf von dreißig Jahren sind die in der Transparenzdatenbank gespeicherten Daten zu löschen.
(3) Ein gesondertes Recht der betroffenen Person auf Löschung besteht nur, wenn die Daten
1. unrechtmäßig verarbeitet wurden, oder
2. die Löschung der Daten zur Erfüllung einer die im ersten Satz genannten Zwecke überwiegenden bundesgesetzlichen Verpflichtung zwingend erforderlich ist.
Die Löschung ist bei der zuständigen leistenden Stelle geltend zu machen und darf nur nach Zustimmung des Verantwortlichen (§ 12) durchgeführt werden.
Mitteilung
§ 36f. In den Fällen der Abfrage von bestehenden Datenbanken und in den Fällen der Mitteilungen sind Empfänger von berichtigten oder gelöschten Daten über die erfolgten Berichtigungen oder Löschungen nicht zu informieren, wenn dies unmöglich ist, oder wenn damit ein unverhältnismäßige Aufwand verbunden wäre.
Widerspruch
§ 36g. Das Recht auf Widerspruch besteht gegenüber dem Verantwortlichen nicht, soweit eine Verpflichtung zur Verarbeitung nach diesem Bundesgesetz besteht.
Benachrichtigung
§ 36h. Das Recht auf Benachrichtigung der von einer Datenschutzverletzung betroffenen natürlichen Person besteht gegenüber dem Verantwortlichen nicht, insoweit die Daten pseudonymisiert verarbeitet werden.“
21. In § 37 wird das Wort „ist“ durch die Wortfolge „und der Antrag gemäß § 36b Abs. 2 sind“ ersetzt.
22. In § 38 wird das Wort „verwendet“ durch das Wort „verarbeitet“ ersetzt.
23. Dem § 43 wird folgender Abs. 4 angefügt:
„(4) Das Inhaltsverzeichnis, die §§ 2, 4 Abs. 4, 12 samt Überschrift, 17, die Überschrift zu § 18, die §§ 18 Abs. 1, 21 Abs. 1 Z 3, 23 Abs. 3 und 4, 25 Abs. 1 lit. a, 25 Abs. 4, die Aufhebung des § 31samt Überschrift, § 32 Abs. 6 und 7, die Überschrift im 7. Abschnitt, §§ 36a bis 36h jeweils samt Überschrift, § 37, § 38 und § 43 Abs. 4, jeweils in der Fassung des Bundesgesetzes BGBl. I Nr. xxx/2018, treten mit 25. Mai 2018 in Kraft.“