Entwurf

Bundesgesetz, mit dem das Datenschutzgesetz 2000 geändert wird

Der Nationalrat hat beschlossen:

Artikel 1

Änderung des Datenschutzgesetzes 2000

Das Bundesgesetz über den Schutz personenbezogener Daten (Datenschutzgesetz 2000 – DSG 2000), BGBl. I Nr. 165/1999, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. yyy/2013, wird wie folgt geändert:

1. Im Inhaltsverzeichnis lautet der Eintrag zu § 2:

„§ 2	Zuständigkeit“

2. Im Inhaltsverzeichnis lauten die Einträge zu §§ 30 und 31:

„§ 30	Kontrollbefugnisse der Datenschutzbehörde
§ 31	Beschwerde an die Datenschutzbehörde“

3. Im Inhaltsverzeichnis lauten die Einträge zu §§ 35 bis 40:

„§ 35	Datenschutzbehörde und Datenschutzrat
§ 36	Einrichtung der Datenschutzbehörde
§ 37	Organisation und Unabhängigkeit der Datenschutzbehörde
§ 38	Bescheide der Datenschutzbehörde
§ 39	Fachbeirat der Datenschutzbehörde
§ 40	Verfahren vor dem Bundesverwaltungsgericht“

4. (Verfassungsbestimmung) In § 2 Abs. 2 wird der Begriff „Datenschutzkommission“ durch den Begriff „Datenschutzbehörde“ ersetzt.

5. In § 10 Abs. 2, § 12 Abs. 4, § 13 Abs. 1, 2 Z 2, Abs. 3, 4 und 6, § 16 Abs. 1, § 17 Abs. 1, § 18 Abs. 2, § 19 Abs. 1 Z 6 und Abs. 2, § 20 Abs. 2 und 5 Z 2, § 21 Abs. 1 Z 3, § 22 Abs. 2 und 4, § 22a Abs. 1, 3 bis 5, § 23 Abs. 2, § 26 Abs. 2, 5 und 7, § 27 Abs. 5 und 7, § 30 Abs. 1, 2, 2a, 4 bis 6a, § 31 Abs. 1, 2, 5, 6 und 8, § 31a, § 32 Abs. 5 bis 7, § 34 Abs. 3 und 4, § 46 Abs. 2 Z 3 und Abs. 3, § 47 Abs. 3 und 4, § 48a Abs. 2, § 50 Abs. 1 und 2, § 50b Abs. 2, § 50c Abs. 1, § 52 Abs. 2 Z 2 und 3 sowie Abs. 5, § 54 Abs. 2 und § 61 Abs. 8 sowie in den Überschriften zu § 30 und § 31 wird jeweils der Begriff „Datenschutzkommission“ durch den Begriff „Datenschutzbehörde“ ersetzt.

6. Dem § 5 wird folgender Abs. 4 angefügt:

„(4) Gegen Rechtsträger, die in Formen des Privatrechts eingerichtet sind, ist, soweit sie nicht in Vollziehung der Gesetze tätig werden, das Grundrecht auf Datenschutz mit Ausnahme des Rechtes auf Auskunft auf dem Zivilrechtsweg geltend zu machen. In allen übrigen Fällen ist die Datenschutzbehörde zur Entscheidung zuständig, es sei denn, dass Akte der Gesetzgebung oder der Gerichtsbarkeit betroffen sind.“

7. In § 22 Abs. 3 wird der Klammerausdruck „(§ 38)“ durch den Klammerausdruck „(§ 57 des Allgemeinen Verwaltungsverfahrensgesetzes 1991 – AVG, BGBl. Nr. 51/1991)“ ersetzt.

8. In § 31a Abs. 4 dritter Satz wird die Wortfolge „den Verwaltungsgerichtshof“ durch die Wortfolge „das Bundesverwaltungsgericht“ ersetzt.

9. Die Überschrift zu § 35 lautet:

„Datenschutzbehörde und Datenschutzrat“

10. § 35 Abs. 1 lautet:

„(1) Zur Wahrung des Datenschutzes sind nach den näheren Bestimmungen dieses Bundesgesetzes – unbeschadet der Zuständigkeit des Bundeskanzlers und der ordentlichen Gerichte – die Datenschutzbehörde und der Datenschutzrat berufen.“

11. (Verfassungsbestimmung) § 35 Abs. 2 lautet:

„(2) (Verfassungsbestimmung) Die Datenschutzbehörde übt ihre Befugnisse auch gegenüber den in Art. 19 B‑VG bezeichneten obersten Organen der Vollziehung aus.“

12. §§ 36 bis 40 samt Überschriften lauten:

„Einrichtung der Datenschutzbehörde

§ 36. (1) Der Datenschutzbehörde steht ein Leiter vor. Dieser wird vom Bundespräsidenten auf Vorschlag der Bundesregierung für eine Dauer von fünf Jahren bestellt; die Wiederbestellung ist zulässig. Dem Vorschlag hat eine Ausschreibung zur allgemeinen Bewerbung voranzugehen. Die Ausschreibung ist vom Bundeskanzler zu veranlassen und im „Amtsblatt zur Wiener Zeitung“ kundzumachen.

(2) Der Leiter der Datenschutzbehörde hat

1. das Studium der Rechtswissenschaften oder die rechts- und staatswissenschaftlichen Studien abgeschlossen zu haben,

2. die persönliche und fachliche Eignung durch eine entsprechende Vorbildung und einschlägige Berufserfahrung in den von der Datenschutzbehörde zu besorgenden Angelegenheiten aufzuweisen,

3. über ausgezeichnete Kenntnisse des österreichischen Datenschutzrechtes, des Unionsrechtes und der Grundrechte zu verfügen und

4. über eine mindestens fünfjährige juristische Berufserfahrung zu verfügen.

(3) Zum Leiter der Datenschutzbehörde dürfen nicht bestellt werden:

1. Mitglieder der Bundesregierung, Staatssekretäre, Mitglieder einer Landesregierung, Mitglieder des Nationalrates, des Bundesrates oder sonst eines allgemeinen Vertretungskörpers oder des Europäischen Parlaments, ferner Volksanwälte und der Präsident des Rechnungshofes,

2. Personen, die eine der in der Z 1 genannten Funktionen innerhalb der letzten zwei Jahre ausgeübt haben, und

3. Personen, die von der Wählbarkeit in den Nationalrat ausgeschlossen sind.

(4) Der Leiter der Datenschutzbehörde darf für die Dauer seines Amtes keine Tätigkeit ausüben, die Zweifel an der unabhängigen Ausübung seines Amtes oder die Vermutung einer Befangenheit hervorrufen könnte oder die ihn an der Erfüllung seiner dienstlichen Aufgaben behindert oder wesentliche dienstliche Interessen gefährdet. Er ist verpflichtet, Tätigkeiten, die er neben seiner Tätigkeit als Leiter der Datenschutzbehörde ausübt, unverzüglich dem Bundeskanzler zur Kenntnis zu bringen.

(5) Die Funktion des Leiters der Datenschutzbehörde endet durch Zeitablauf, Tod, Verzicht oder bei Verlust der Wählbarkeit zum Nationalrat.

(6) Bei Beendigung der Funktion des Leiters der Datenschutzbehörde ist nach Maßgabe der Abs. 1 bis 3 unverzüglich ein neuer Leiter zu bestellen.

(7) Vom Bundespräsidenten wird auf Vorschlag der Bundesregierung ein Stellvertreter des Leiters der Datenschutzbehörde nach Maßgabe der Abs. 1 bis 3 bestellt. Für den Stellvertreter des Leiters der Datenschutzbehörde gelten die Abs. 4 bis 6 sinngemäß. Er vertritt den Leiter der Datenschutzbehörde in dessen Abwesenheit.

Organisation und Unabhängigkeit der Datenschutzbehörde

§ 37. (1) Der Leiter der Datenschutzbehörde ist in Ausübung seines Amtes unabhängig und an keine Weisungen gebunden.

(2) Die Datenschutzbehörde ist eine Dienstbehörde und Personalstelle. Im Bundesfinanzgesetz ist die notwendige Sach- und Personalausstattung sicherzustellen. Die Bediensteten der Datenschutzbehörde unterstehen nur den Weisungen des Leiters der Datenschutzbehörde. Der Leiter der Datenschutzbehörde übt die Diensthoheit über die Bediensteten der Datenschutzbehörde aus.

(3) Der Bundeskanzler kann sich beim Leiter der Datenschutzbehörde über die Gegenstände der Geschäftsführung unterrichten. Dem ist vom Leiter der Datenschutzbehörde nur insoweit zu entsprechen, als dies nicht der völligen Unabhängigkeit der Kontrollstelle im Sinne von Art. 28 Abs. 1 UAbs. 2 der Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, ABl. Nr. L 281 vom 23.11.1995 S. 31, widerspricht.

(4) Die Datenschutzbehörde ist vor Erlassung von Bundesgesetzen, die wesentliche Fragen des Datenschutzes unmittelbar betreffen, sowie von Verordnungen des Bundes, die auf der Grundlage dieses Bundesgesetzes ergehen oder sonstige wesentliche Fragen des Datenschutzes unmittelbar betreffen, anzuhören.

(5) Die Datenschutzbehörde hat zumindest alle zwei Jahre einen Bericht über ihre Tätigkeit zu erstellen und in geeigneter Weise zu veröffentlichen sowie dem Nationalrat vorzulegen.

(6) Entscheidungen der Datenschutzbehörde von grundsätzlicher Bedeutung für die Allgemeinheit sind von der Datenschutzbehörde unter Beachtung der Erfordernisse der Amtsverschwiegenheit in geeigneter Weise zu veröffentlichen.

Bescheide der Datenschutzbehörde

§ 38. (1) Auftraggeber des öffentlichen Bereichs haben in Verfahren vor der Datenschutzbehörde Parteistellung.

(2) Bescheide, mit denen gemäß § 13 Übermittlungen oder Überlassungen von Daten ins Ausland genehmigt wurden, sind zu widerrufen, wenn die rechtlichen oder tatsächlichen Voraussetzungen für die Erteilung der Genehmigung, insbesondere auch infolge einer gemäß § 55 ergangenen Kundmachung des Bundeskanzlers, nicht mehr bestehen.

Fachbeirat der Datenschutzbehörde

§ 39. (1) Zur Unterstützung der Datenschutzbehörde wird ein Fachbeirat eingerichtet.

(2) Der Fachbeirat besteht aus vier Mitgliedern. Zwei Mitglieder werden auf Vorschlag der Länder, je ein Mitglied aufgrund von Dreiervorschlägen der Wirtschaftskammer Österreich und der Bundeskammer für Arbeiter und Angestellte vom Leiter der Datenschutzbehörde für die Dauer von fünf Jahren bestellt.

(3) Die Mitglieder des Fachbeirates haben über die erforderliche Fachkenntnis und über einschlägige Erfahrung im Datenschutzbereich zu verfügen. Sie sind zur gewissenhaften und objektiven Ausübung ihrer Funktion sowie zur Verschwiegenheit über die ihnen bei der Ausübung dieser Tätigkeit bekannt gewordenen Tatsachen verpflichtet.

(4) Der Leiter der Datenschutzbehörde hat regelmäßig, mindestens jedoch vierteljährlich, unter Einhaltung einer Frist von zwei Wochen zu einer Sitzung des Fachbeirates zu laden. Die Sitzungen sind nicht öffentlich. Der Leiter der Datenschutzbehörde ist berechtigt, an den Sitzungen des Fachbeirates teilzunehmen; ein Stimmrecht im Fachbeirat steht ihm nicht zu.

(5) Der Fachbeirat hat aus seiner Mitte mit einfacher Mehrheit einen Vorsitzenden zu wählen und sich eine Geschäftsordnung zu geben, deren Zustandekommen einer Mehrheit von mindestens zwei Dritteln der abgegebenen Stimmen bedarf. In der Geschäftsordnung kann die Möglichkeit einer Beziehung von zusätzlichen Experten vorgesehen werden; diesen steht jedoch kein Stimmrecht im Fachbeirat zu.

(6) Der Fachbeirat ist beschlussfähig, wenn mindestens die Hälfte der Mitglieder und der Vorsitzende anwesend sind. Er fasst seine Beschlüsse, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, mit einfacher Mehrheit der abgegebenen Stimmen. Bei Stimmengleichheit gibt die Stimme des Vorsitzenden den Ausschlag.

(7) Dem Fachbeirat obliegt die

1. Beratung der Datenschutzbehörde in grundlegenden Angelegenheiten des Datenschutzes,

2. Abgabe von Empfehlungen für generelle Prüfschwerpunkte,

3. Erstattung von Vorschlägen zur Gewährleistung einheitlicher Vorgehensweisen und Prüfstandards und

4. Vorlage von Gutachten zu Fragen von grundsätzlicher Bedeutung für den Datenschutz.

Die Datenschutzbehörde ist an die Beratung, die Empfehlungen und Vorschläge sowie Gutachten des Fachbeirates nicht gebunden.

(8) Die Mitglieder des Fachbeirates haben für die Anreise zu den Sitzungen des Fachbeirates sowie für in Ausübung ihrer Funktion erforderliche sonstige Dienstreisen Anspruch auf Ersatz der Reisekosten (Gebührenstufe 3) durch die Datenschutzbehörde nach Maßgabe der für Bundesbedienstete geltenden Rechtsvorschriften.

(9) Die Funktion als Mitglied des Fachbeirates endet durch Zeitablauf, Tod oder Verzicht.

(10) Scheidet ein Mitglied vorzeitig aus, so ist unverzüglich unter Anwendung der Abs. 2 und 3 bis zum Ablauf der Funktionsperiode ein neues Mitglied zu bestellen.

Verfahren vor dem Bundesverwaltungsgericht

§ 40. (1) Das Bundesverwaltungsgericht entscheidet über Beschwerden gegen Entscheidungen der Datenschutzbehörde im Senat.

(2) Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Die fachkundigen Laienrichter werden auf Vorschlag der Wirtschaftskammer Österreich und der Bundeskammer für Arbeiter und Angestellte bestellt. Es sind entsprechende Vorkehrungen zu treffen, dass zeitgerecht eine hinreichende Anzahl von fachkundigen Laienrichtern zur Verfügung steht.

(3) Die fachkundigen Laienrichter müssen eine mindestens fünfjährige einschlägige Berufserfahrung und besondere Kenntnisse des Datenschutzrechtes besitzen.“

13. § 41 Abs. 2 Z 4a entfällt.

14. § 44 Abs. 6 lautet:

„(6) Der Leiter der Datenschutzbehörde ist berechtigt, an den Sitzungen des Datenschutzrates oder seiner Arbeitsausschüsse teilzunehmen. Ein Stimmrecht steht ihm nicht zu.“

15. § 44 Abs. 8 lautet:

„(8) Die Mitglieder des Datenschutzrates, der Leiter der Datenschutzbehörde und die zur Sitzung gemäß Abs. 2 zugezogenen Sachverständigen sind zur Verschwiegenheit über alle ihnen ausschließlich aus ihrer Tätigkeit im Datenschutzrat bekanntgewordenen Tatsachen verpflichtet, sofern die Geheimhaltung im öffentlichen Interesse oder im Interesse einer Partei geboten ist.“

16. Dem § 60 wird folgender Abs. 7 angefügt:

„(7) Das Inhaltverzeichnis, § 5 Abs. 4, § 10 Abs. 2, § 12 Abs. 4, § 13 Abs. 1, 2 Z 2, Abs. 3, 4 und 6, § 16 Abs. 1, § 17 Abs. 1, § 18 Abs. 2, § 19 Abs. 1 Z 6 und Abs. 2, § 20 Abs. 2 und 5 Z 2, § 21 Abs. 1 Z 3, § 22 Abs. 2 bis 4, § 22a Abs. 1, 3 bis 5, § 23 Abs. 2, § 26 Abs. 2, 5 und 7, § 27 Abs. 5 und 7, die Überschrift zu § 30, § 30 Abs. 1, 2, 2a, 4 bis 6a, die Überschrift zu § 31, § 31 Abs. 1, 2, 5, 6 und 8, § 31a, § 32 Abs. 5 bis 7, § 34 Abs. 3 und 4, die Überschrift zu § 35, § 35 Abs. 1, §§ 36 bis 40 samt Überschriften, § 44 Abs. 6 und 8, § 46 Abs. 2 Z 3 und Abs. 3, § 47 Abs. 3 und 4, § 48a Abs. 2, § 50 Abs. 1 und 2, § 50b Abs. 2, § 50c Abs. 1, § 52 Abs. 2 Z 2 und 3 sowie Abs. 5, § 54 Abs. 2 und § 61 Abs. 8 bis 10 in der Fassung des Bundesgesetzes BGBl. I Nr. xxx/2013 treten mit 1. Jänner 2014 in Kraft. Gleichzeitig treten § 41 Abs. 2 Z 4a und die DSK-Vergütungsverordnung, BGBl. II Nr. 145/2006, außer Kraft. Die für die Bestellung des Leiters der Datenschutzbehörde und seines Stellvertreters sowie der Mitglieder des Fachbeirates notwendigen organisatorischen und personellen Maßnahmen können bereits vor Inkrafttreten des Bundesgesetzes BGBl. I Nr. xxx/2013 getroffen werden.“

17. (Verfassungsbestimmung) Dem § 60 wird folgender Abs. 8 angefügt:

„(8) (Verfassungsbestimmung) § 2 Abs. 2 und § 35 Abs. 2 in der Fassung des Bundesgesetzes BGBl. I Nr. xxx/2013 treten mit 1. Jänner 2014 in Kraft.“

18. Dem § 61 werden folgende Abs. 9 und 10 angefügt:

„(9) Mit Ablauf des 31. Dezember 2013 tritt die Datenschutzbehörde an die Stelle der Datenschutzkommission. Zum Zeitpunkt des Inkrafttretens des Bundesgesetzes BGBl. I Nr. xxx/2013 bei der Datenschutzkommission anhängige Verfahren sind nach Maßgabe der Bestimmungen dieses Bundesgesetzes in der Fassung des Bundesgesetzes BGBl. I Nr. xxx/2013 von der Datenschutzbehörde fortzuführen. Erledigungen der Datenschutzkommission gelten als entsprechende Erledigungen der Datenschutzbehörde. Die Bestimmungen des Verwaltungsgerichtsbarkeits-Übergangsgesetzes, BGBl. I Nr. xxx/2013, bleiben unberührt. Nach Beendigung des Verfahrens vor dem Verwaltungsgerichtshof betreffend den Bescheid oder die Säumnis der Datenschutzkommission oder vor dem Verfassungsgerichtshof betreffend den Bescheid der Datenschutzkommission ist das Verfahren von der Datenschutzbehörde fortzusetzen.

(10) Die Bediensteten der Datenschutzkommission werden mit Inkrafttreten des BGBl. I Nr. xxx/2013 als Bedienstete der Datenschutzbehörde übernommen.“

Artikel 2

Anpassungsbestimmungen

(1) Soweit in Bundesgesetzen auf den Begriff „Datenschutzkommission“ Bezug genommen wird, tritt mit Inkrafttreten des BGBl. I Nr. xxx/2013 an dessen Stelle der Begriff „Datenschutzbehörde“. Dies gilt nicht für die Verwendung dieses Begriffes in Schluss- und Übergangsbestimmungen sowie in In- und Außerkrafttretensbestimmungen.

(2) Dieser Artikel tritt mit 1. Jänner 2014 in Kraft.