Informationen und Handlungshilfen zum grenzüberschreitenden ...

Meist geht es bei diesen Anwendungen um Stammdaten der MitarbeiterInnen, die die
schutzwürdigen Geheimhaltungsinteressen nicht gefährden. Die Empfängergruppe für
die jeweiligen Daten ist genau in der Standardanwendung aufgelistet (z.B. Personal -
abteilung, Sozialversicherung, Finanzamt, Geschäftsführung,…) und muss mit den
tatsächlichen Empfängern auch übereinstimmen. Man kann beispielsweise nicht mehr
von einer Standardanwendung „Personalverwaltung für privatrechtliche Dienstverhältnisse“
ausgehen, wenn der an die Mitarbeiterkasse eingezahlte Beitrag nicht nur an die
Mitarbeitervorsorgekasse, das Finanzamt und Sozialversicherungsträger weitergegeben
wird (diese Gruppen sind in der Standardanwendung 002 vorgesehen), sondern
zusätzlich automatisch an andere Empfänger (z.B. Banken).
Standardanwendungen (SA) sind weder genehmigungs- noch meldepflichtig.
Musteranwendungen (MA) sind meldepflichtig, aber nicht genehmigungspflichtig.
Eine Musteranwendung wird mittels vorgefertigtem Formular (Formblatt 3) bei
der DSK eingereicht, stellt also eine Erleichterung bei der Meldepflicht dar. Für Betriebe
ist die gebräuchlichste Musteranwendung MA 002 „Zutrittskontrollsysteme“.
4.2 Meldepflicht
Verarbeitung personen -
bezogener Daten muss
gemeldet werden
formale Meldung
bei der DSK
Bei der Verwendung von personenbezogenen Daten besteht - außer bei den so genannten
Standard- und Musteranwendungen - Meldepflicht. Das heißt, die Datenschutzkommission
muss vor der Verwendung informiert werden (§ 17 DSG). Die Datenschutzkommission
trägt dann die Datenverwendung in das Datenverarbeitungsregister (DVR) ein.
Damit eine Datenverwendung rechtmäßig ist, muss der Auftraggeber zunächst seine eigenen
Stammdaten melden. Meist ist das bereits bei der Gründung der Firma geschehen, weil
jedes Unternehmen, jeder Verein, jede Organisation die Nummer aus dem Daten -
verarbeitungsregister für das tägliche Geschäft fast immer benötigt. Die einmal gemeldeten
Stammdaten müssen immer aktuell gehalten werden. Das DVR wird mit 2012 über eine
online-Datenbank geführt werden. Die Eintragung sowie die Einsicht erfolgt über das
Internet. Die Datenanwendung selbst wird dann vor ihrer Aufnahme beim DVR gemeldet.
Die Meldung ist einigermaßen umfangreich und umfasst (§ 19 Abs. 1):
Inbetriebnahme von
Datenanwendungen
Daten zum Aufraggeber (also die Stammdaten und DVR-Nummer der Firma sowie
ihre rechtliche Vertretung),
allfällige Bertreiber der Datenanwendung (z.B. Informationsverbundsystem),
Nachweis der gesetzlichen Zuständigkeit oder die rechtliche Befugnis zur Daten -
verarbeitung (z.B. Gewerbeberechtigung, Konzession, Vereinsstatuten etc. - siehe
§ 7 Abs. 1 DSG),
Zweck der Datenanwendung und ihre Rechtsgrundlagen,
betroffene Personen (z.B. Mitarbeiter, Kunden, Lieferanten, etc.),
Datenarten (z.B. Namen der Konzernunternehmen und deren Sitz),
Empfängerkreise (Werden z.B. Daten von ArbeitnehmerInnen eines österreichischen
Tochterunternehmens an die Konzernmutter in Frankreich und an die HR-Abteilung in
Deutschland übermittelt, müssen beide in der Meldung angegeben werden.),
allfällige Genehmigung der Datenschutzkommission (z.B. bei einer Übermittlung von
Daten in ein Land außerhalb der EU),
Angaben über Datensicherheitsmaßnahmen (Diese sind mittels eigenem Formular zu
melden; § 14 Abs. 2 DSG.).
Die Datenanwendung darf sofort nach der Meldung in vollem Umfang in Betrieb
gehen. Ist die Standardanwendung, die Musteranwendung oder die Meldung inneren
Angelegenheiten anerkannter Kirchen und Religionsgemeinschaften erledigt, kann die
Datenverwendung beginnen (§ 18 Abs. 1 und 2 DSG).
20