Norm
DSG 2000 §3;Text
[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
B E S C H E I DB E S C H E römisch eins D
Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. KOTSCHY, Dr. BLAHA, Mag. MAITZ-STRASSNIG, Mag. ZIMMER und Dr. STAUDIGL sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom 19. März 2010 folgenden Beschluss gefasst:
S p r u c h
I. Der F**** Bank - Zweigniederlassung Wien in Wien wird aufgrund ihres Antrags vom 12. Februar 2009 gemäß § 13 Abs. 1 und 2 des Datenschutzgesetzes 2000 - DSG 2000, die Genehmigung erteilt, die folgenden Daten aus den Datenanwendungenrömisch eins. Der F**** Bank - Zweigniederlassung Wien in Wien wird aufgrund ihres Antrags vom 12. Februar 2009 gemäß Paragraph 13, Absatz eins und 2 des Datenschutzgesetzes 2000 - DSG 2000, die Genehmigung erteilt, die folgenden Daten aus den Datenanwendungen
an die F**** Bank Ltd. (Japan) zum Zweck der Konsolidierung und des Risikomanagements zu übermitteln:
Ia) Von juristischen Personen, die Geschäftskunden der Antragstellerinrömisch eins a) Von juristischen Personen, die Geschäftskunden der Antragstellerin
Ib) Von Kontaktpersonen beim Geschäftskundenrömisch eins b) Von Kontaktpersonen beim Geschäftskunden
II. Gemäß § 78 des Allgemeinen Verwaltungsverfahrensgesetzes (AVG), BGBl Nr. 51/1991 idF. BGBl I Nr. 65/2002, iVm §§ 1, 3 Abs. 1 und TP 1 Bundesverwaltungsabgabenverordnung 1983, BGBl Nr. 24 i.d.F. BGBl II Nr. 460/2002 (BVwAbgV), hat die Antragstellerin eine Verwaltungsabgabe in Höhe vonrömisch zwei. Gemäß Paragraph 78, des Allgemeinen Verwaltungsverfahrensgesetzes (AVG), Bundesgesetzblatt Nr. 51 aus 1991, in der Fassung Bundesgesetzblatt Teil eins, Nr. 65 aus 2002,, in Verbindung mit Paragraphen eins, 3, Absatz eins und TP 1 Bundesverwaltungsabgabenverordnung 1983, BGBl Nr. 24 in der Fassung Bundesgesetzblatt Teil 2, Nr. 460 aus 2002, (BVwAbgV), hat die Antragstellerin eine Verwaltungsabgabe in Höhe von
Euro 6,50
zu entrichten.
B e g r ü n d u n g
1. Sachverhalt:
Mit Schriftsatz vom 12. Februar 2009 hat die F**** Bank - Zweigniederlassung Wien (in weiterer Folge "Antragstellerin") bei der Datenschutzkommission einen Antrag gemäß § 13 DSG 2000 auf Übermittlung von personenbezogenen Daten an die Konzernmutter in den Japan gestellt.Mit Schriftsatz vom 12. Februar 2009 hat die F**** Bank - Zweigniederlassung Wien (in weiterer Folge "Antragstellerin") bei der Datenschutzkommission einen Antrag gemäß Paragraph 13, DSG 2000 auf Übermittlung von personenbezogenen Daten an die Konzernmutter in den Japan gestellt.
Die Antragstellerin ist eine Zweigniederlassung einer niederländischen Bank, die ihrerseits eine Genehmigung der niederländischen Datenschutzbehörde zur Übermittlung von Kundendaten an die Konzernmutter in Japan besitzt.
Der Antrag betraf Übermittlungen aus den im Spruch genannten vier Datenanwendungen, die beim Datenverarbeitungsregister gemeldet sind. Die Betroffenen sind Geschäftskunden (juristische Personen) und deren Kontaktpersonen.
Die Übermittlungen dienen zur Konsolidierung und zum Risikomanagement durch die Konzernmutter.
2. Anzuwendende Rechtsvorschriften:
§ 3 Abs. 1 und 2 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF. lauten unter der Überschrift "Räumlicher Anwendungsbereich":Paragraph 3, Absatz eins und 2 Datenschutzgesetz 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF. lauten unter der Überschrift "Räumlicher Anwendungsbereich":
"§ 3. (1) Die Bestimmungen dieses Bundesgesetzes sind auf die Verwendung von personenbezogenen Daten im Inland anzuwenden. Darüber hinaus ist dieses Bundesgesetz auf die Verwendung von Daten im Ausland anzuwenden, soweit diese Verwendung in anderen Mitgliedstaaten der Europäischen Union für Zwecke einer in Österreich gelegenen Haupt- oder Zweigniederlassung (§ 4 Z 15) eines Auftraggebers (§ 4 Z 4) geschieht. "§ 3. (1) Die Bestimmungen dieses Bundesgesetzes sind auf die Verwendung von personenbezogenen Daten im Inland anzuwenden. Darüber hinaus ist dieses Bundesgesetz auf die Verwendung von Daten im Ausland anzuwenden, soweit diese Verwendung in anderen Mitgliedstaaten der Europäischen Union für Zwecke einer in Österreich gelegenen Haupt- oder Zweigniederlassung (Paragraph 4, Ziffer 15,) eines Auftraggebers (Paragraph 4, Ziffer 4,) geschieht.
(2) Abweichend von Abs. 1 ist das Recht des Sitzstaates des Auftraggebers auf eine Datenverarbeitung im Inland anzuwenden, wenn ein Auftraggeber des privaten Bereichs (§ 5 Abs. 3) mit Sitz in einem anderen Mitgliedstaat der Europäischen Union personenbezogene Daten in Österreich zu einem Zweck verwendet, der keiner in Österreich gelegenen Niederlassung dieses Auftraggebers zuzurechnen ist."(2) Abweichend von Absatz eins, ist das Recht des Sitzstaates des Auftraggebers auf eine Datenverarbeitung im Inland anzuwenden, wenn ein Auftraggeber des privaten Bereichs (Paragraph 5, Absatz 3,) mit Sitz in einem anderen Mitgliedstaat der Europäischen Union personenbezogene Daten in Österreich zu einem Zweck verwendet, der keiner in Österreich gelegenen Niederlassung dieses Auftraggebers zuzurechnen ist."
§ 12 Abs. 3 DSG 2000 lautet:Paragraph 12, Absatz 3, DSG 2000 lautet:
§ 13 Abs. 1 und 2 DSG 2000 lauten unter der Überschrift "Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland" wie folgt:Paragraph 13, Absatz eins und 2 DSG 2000 lauten unter der Überschrift "Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland" wie folgt:
"§ 13. (1) Soweit der Datenverkehr mit dem Ausland nicht gemäß § 12 genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (§§ 35 ff) einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden. "§ 13. (1) Soweit der Datenverkehr mit dem Ausland nicht gemäß Paragraph 12, genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (Paragraphen 35, ff) einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden.
3. Rechtlich war zu erwägen:
3.1. Zur Frage des anwendbaren Rechts:
Der Genehmigungsantrag wurde für die unselbständige österreichische Niederlassung einer Bank mit Sitz in den Niederlanden gestellt. Bei der Datenverwendung durch eine unselbständige Niederlassung einer EWR-ausländischen juristischen Person ist zu prüfen, welche Rechtsordnung auf die Datenverwendung Anwendung zu finden hat.
Da die von der Übermittlung betroffenen Daten im Zuge der Geschäftsabwicklung der österreichischen Filiale verwendet werden, kommt gemäß § 3 Abs. 1 und 2 DSG 2000 nicht das Recht des Sitzstaates des Auftraggebers zur Anwendung, sondern das Recht am Sitz der Niederlassung, also österreichisches Recht.Da die von der Übermittlung betroffenen Daten im Zuge der Geschäftsabwicklung der österreichischen Filiale verwendet werden, kommt gemäß Paragraph 3, Absatz eins und 2 DSG 2000 nicht das Recht des Sitzstaates des Auftraggebers zur Anwendung, sondern das Recht am Sitz der Niederlassung, also österreichisches Recht.
3.2. Zur Genehmigungspflicht und Genehmigungsfreiheit:
Die Übermittlungen sind gemäß § 13 Abs. 1 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999 idF BGBl. I Nr. 13/2005, genehmigungspflichtig, da zum einen der Empfänger in einem Staat seinen Sitz hat, für den keine Feststellung des Vorhandenseins eines angemessenen Datenschutzniveaus gemäß Art. 25 RL 95/46/EG besteht, und da zum anderen auch kein Fall eines gemäß § 12 Abs. 3 DSG 2000 genehmigungsfreien Datenverkehrs vorliegt.Die Übermittlungen sind gemäß Paragraph 13, Absatz eins, Datenschutzgesetz 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr. 13 aus 2005,, genehmigungspflichtig, da zum einen der Empfänger in einem Staat seinen Sitz hat, für den keine Feststellung des Vorhandenseins eines angemessenen Datenschutzniveaus gemäß Artikel 25, RL 95/46/EG besteht, und da zum anderen auch kein Fall eines gemäß Paragraph 12, Absatz 3, DSG 2000 genehmigungsfreien Datenverkehrs vorliegt.
3.3. Vorliegen der Voraussetzungen nach § 12 Abs. 5 DSG 2000:3.3. Vorliegen der Voraussetzungen nach Paragraph 12, Absatz 5, DSG 2000:
Gemäß § 12 Abs. 5 DSG 2000 ist Voraussetzung für die Rechtmäßigkeit einer geplanten Übermittlung, dass die Bedingungen des § 7 Abs. 2 DSG 2000 erfüllt sind. Danach dürfen Daten nur dann übermittelt werden, wenn sieGemäß Paragraph 12, Absatz 5, DSG 2000 ist Voraussetzung für die Rechtmäßigkeit einer geplanten Übermittlung, dass die Bedingungen des Paragraph 7, Absatz 2, DSG 2000 erfüllt sind. Danach dürfen Daten nur dann übermittelt werden, wenn sie
Der Antrag bezieht sich auf Daten, die in Österreich rechtmäßig verarbeitet werden. Die diesbezüglichen Meldungen der Antragstellerin beim Datenverarbeitungsregister für die im Spruch Datenanwendungen sind registrierungsfähig.
3.4. Zur ausreichenden Rechtsgrundlage der Übermittlungen im Sinne der §§ 8 bzw. 9 DSG 2000:3.4. Zur ausreichenden Rechtsgrundlage der Übermittlungen im Sinne der Paragraphen 8, bzw. 9 DSG 2000:
Die Übermittlung dient der Konsolidierung der Verbindlichkeiten und dem Risikomanagement bei Geschäften mit juristischen Personen. Angesichts der anerkannten Anforderungen an ein aussagefähiges Rechnungs- und Bilanzierungswesen in Banken und Bankkonzernen müssen Kreditrisiken, die von Konzerntöchtern und ihren Zweigniederlassungen eingegangen werden, einer konsolidierten Betrachtung der Gesamtverpflichtungen zugeführt werden, sodass sie der Konzernspitze jeweils zumindest bekannt geworden sein müssen. Für die Übermittlung relevanter Daten an die Konzernspitze ist im vorliegenden Fall daher das Vorliegen eines überwiegenden berechtigten Interesses im Sinne des § 8 Abs. 1 Z 4 DSG 2000 anzunehmen, sodass schutzwürdige Geheimhaltungsinteressen durch die beabsichtigte Übermittlung nicht verletzt werden.Die Übermittlung dient der Konsolidierung der Verbindlichkeiten und dem Risikomanagement bei Geschäften mit juristischen Personen. Angesichts der anerkannten Anforderungen an ein aussagefähiges Rechnungs- und Bilanzierungswesen in Banken und Bankkonzernen müssen Kreditrisiken, die von Konzerntöchtern und ihren Zweigniederlassungen eingegangen werden, einer konsolidierten Betrachtung der Gesamtverpflichtungen zugeführt werden, sodass sie der Konzernspitze jeweils zumindest bekannt geworden sein müssen. Für die Übermittlung relevanter Daten an die Konzernspitze ist im vorliegenden Fall daher das Vorliegen eines überwiegenden berechtigten Interesses im Sinne des Paragraph 8, Absatz eins, Ziffer 4, DSG 2000 anzunehmen, sodass schutzwürdige Geheimhaltungsinteressen durch die beabsichtigte Übermittlung nicht verletzt werden.
3.5. Zur Glaubhaftmachung des angemessenen Datenschutzes beim Empfänger im Ausland haben der Auftraggeber und der Empfänger einen Vertrag abgeschlossen, der den in der Entscheidung der Kommission 2001/497/EG vom 15. Juni 2001 hinsichtlich Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer nach der Richtlinie 95/46/EG (Amtsblatt Nr. L 181, S. 19 – 31 vom 4. Juli 2001, CELEX: 32001D0497), vorgesehenen Standardvertragsklauseln entspricht. Der Nachweis ausreichenden Datenschutzes beim ausländischen Datenempfänger gilt daher als erbracht im Sinne des § 13 Abs. 2 Z 2 DSG 2000.3.5. Zur Glaubhaftmachung des angemessenen Datenschutzes beim Empfänger im Ausland haben der Auftraggeber und der Empfänger einen Vertrag abgeschlossen, der den in der Entscheidung der Kommission 2001/497/EG vom 15. Juni 2001 hinsichtlich Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer nach der Richtlinie 95/46/EG (Amtsblatt Nr. L 181, S. 19 – 31 vom 4. Juli 2001, CELEX: 32001D0497), vorgesehenen Standardvertragsklauseln entspricht. Der Nachweis ausreichenden Datenschutzes beim ausländischen Datenempfänger gilt daher als erbracht im Sinne des Paragraph 13, Absatz 2, Ziffer 2, DSG 2000.
3.6. Die Verwaltungsabgabe war gemäß § 78 Abs. 1 AVG iVm §§ 13, 53 Abs. 1 DSG 2000 vorzuschreiben. Demnach ist für Anträge nach § 13 DSG 2000 keine Befreiung von Verwaltungsabgaben normiert.3.6. Die Verwaltungsabgabe war gemäß Paragraph 78, Absatz eins, AVG in Verbindung mit Paragraphen 13, 53, Absatz eins, DSG 2000 vorzuschreiben. Demnach ist für Anträge nach Paragraph 13, DSG 2000 keine Befreiung von Verwaltungsabgaben normiert.
Schlagworte
IDVK, Japan, Genehmigungspflicht, Datenübermittlung im Konzern, Standardvertragsklauseln, Geschäftskunden, Bank, Konsolidierung und RisikomanagementZuletzt aktualisiert am
09.06.2010
