TE Dsk BescheidInternatDatenverkehr 2010/3/19 K178.378/0004-DSK/2010

1. AVG § 78 heute
2. AVG § 78 gültig ab 01.01.2014 zuletzt geändert durch BGBl. I Nr. 33/2013
3. AVG § 78 gültig von 01.01.2008 bis 31.12.2013 zuletzt geändert durch BGBl. I Nr. 5/2008
4. AVG § 78 gültig von 01.01.2003 bis 31.12.2007 zuletzt geändert durch BGBl. I Nr. 117/2002
5. AVG § 78 gültig von 01.06.2000 bis 31.12.2002 zuletzt geändert durch BGBl. I Nr. 29/2000
6. AVG § 78 gültig von 01.01.1993 bis 31.05.2000 zuletzt geändert durch BGBl. Nr. 866/1992
7. AVG § 78 gültig von 01.02.1991 bis 31.12.1992

[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I DB E S C H E römisch eins D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. KOTSCHY, Dr. BLAHA, Mag. MAITZ-STRASSNIG, Mag. ZIMMER und Dr. STAUDIGL sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom 19. März 2010 folgenden Beschluss gefasst:

S p r u c h

I. Der B**** GmbH in Wien wird aufgrund ihres Antrags vom 18. September 2009 gemäß § 13 Abs. 1 und 2 des Datenschutzgesetzes 2000 - DSG 2000, die Genehmigung erteilt, die Daten der Datenanwendung "Personal Compensation" an die B**** Company (USA) zum Zweck der Mitsprache bei der Zuteilung von Belohnungen an die Mitarbeiter zu übermitteln.römisch eins. Der B**** GmbH in Wien wird aufgrund ihres Antrags vom 18. September 2009 gemäß Paragraph 13, Absatz eins und 2 des Datenschutzgesetzes 2000 - DSG 2000, die Genehmigung erteilt, die Daten der Datenanwendung "Personal Compensation" an die B**** Company (USA) zum Zweck der Mitsprache bei der Zuteilung von Belohnungen an die Mitarbeiter zu übermitteln.

II. Der Antrag der B**** GmbH auf Übermittlung von Personaldaten aus der Datenanwendung "Career Aspiration" wird wegen Genehmigungsfreiheit gemäß § 12 Abs. 3 Z 5 DSG 2000 zurückgewiesen.römisch zwei. Der Antrag der B**** GmbH auf Übermittlung von Personaldaten aus der Datenanwendung "Career Aspiration" wird wegen Genehmigungsfreiheit gemäß Paragraph 12, Absatz 3, Ziffer 5, DSG 2000 zurückgewiesen.

III. Gemäß § 78 des Allgemeinen Verwaltungsverfahrensgesetzes (AVG), BGBl Nr. 51/1991 idF. BGBl I Nr. 65/2002, iVm §§ 1, 3 Abs. 1 und TP 1 Bundesverwaltungsabgabenverordnung 1983, BGBl Nr. 24 i.d.F. BGBl II Nr. 460/2002 (BVwAbgV), hat die Antragstellerin eine Verwaltungsabgabe in Höhe vonrömisch drei. Gemäß Paragraph 78, des Allgemeinen Verwaltungsverfahrensgesetzes (AVG), Bundesgesetzblatt Nr. 51 aus 1991, in der Fassung Bundesgesetzblatt Teil eins, Nr. 65 aus 2002,, in Verbindung mit Paragraphen eins, 3, Absatz eins und TP 1 Bundesverwaltungsabgabenverordnung 1983, BGBl Nr. 24 in der Fassung Bundesgesetzblatt Teil 2, Nr. 460 aus 2002, (BVwAbgV), hat die Antragstellerin eine Verwaltungsabgabe in Höhe von

Euro 6,50

zu entrichten.

B e g r ü n d u n g

1. Sachverhalt:

Mit Schriftsatz vom 18. September 2009 hat die B**** GmbH (in weiterer Folge "Antragstellerin") bei der Datenschutzkommission einen Antrag gemäß § 13 DSG 2000 auf Übermittlung von personenbezogenen Daten an die Konzernmutter in den USA gestellt.Mit Schriftsatz vom 18. September 2009 hat die B**** GmbH (in weiterer Folge "Antragstellerin") bei der Datenschutzkommission einen Antrag gemäß Paragraph 13, DSG 2000 auf Übermittlung von personenbezogenen Daten an die Konzernmutter in den USA gestellt.

Der Antrag betraf Übermittlungen aus zwei Datenanwendungen, die beim Datenverarbeitungsregister gemeldet sind: "Personal Compensation", eine Datenanwendung zur Zuteilung von Belohnungen an Mitarbeiter und "Career Aspiration", eine Datenbank für Mitarbeiter, die sich um Stellen in anderen Konzernunternehmen bewerben.

Die Übermittlung aus der Datenanwendung "Personal Compensation" wurde mit dem Mitspracherecht der Konzernmutter bei der Zuteilung von Belohungen an Mitarbeiter begründet.

Die Übermittlung aus der Datenanwendung "Career Aspiration" wurde auf die Einwilligung der Mitarbeiter gestützt. Das Vorbringen enthielt das Muster einer Zustimmungserklärung.

Zu den geplanten Ermittlungen und Übermittlungen wurde zwischen der Antragstellerin und Betriebsrat eine umfassende Betriebsvereinbarung geschlossen.

2. Anzuwendende Rechtsvorschriften:

§ 12 Abs. 3 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF. lautet:Paragraph 12, Absatz 3, Datenschutzgesetz 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF. lautet:

1. (3)Absatz 3,Darüberhinaus ist der Datenverkehr ins Ausland dann genehmigungsfrei, wenn

   1. 1.Ziffer eins
      die Daten im Inland zulässigerweise veröffentlicht wurden oder
   2. 2.Ziffer 2
      Daten, die für den Empfänger nur indirekt personenbezogen sind, übermittelt oder überlassen werden oder
   3. 3.Ziffer 3
      die Übermittlung oder Überlassung von Daten ins Ausland in Rechtsvorschriften vorgesehen ist, die im innerstaatlichen Recht den Rang eines Gesetzes haben und unmittelbar anwendbar sind, oder
   4. 4.Ziffer 4
      Daten aus Datenanwendungen für private Zwecke (§ 45) oder für publizistische Tätigkeit (§ 48) übermittelt werden oderDaten aus Datenanwendungen für private Zwecke (Paragraph 45,) oder für publizistische Tätigkeit (Paragraph 48,) übermittelt werden oder
   5. 5.Ziffer 5
      der Betroffene ohne jeden Zweifel seine Zustimmung zur Übermittlung oder Überlassung seiner Daten ins Ausland gegeben hat oder
   6. 6.Ziffer 6
      ein vom Auftraggeber mit dem Betroffenen oder mit einem Dritten eindeutig im Interesse des Betroffenen abgeschlossener Vertrag nicht anders als durch Übermittlung der Daten ins Ausland erfüllt werden kann oder
   7. 7.Ziffer 7
      die Übermittlung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen vor ausländischen Behörden erforderlich ist und die Daten rechtmäßig ermittelt wurden, oder
   8. 8.Ziffer 8
      die Übermittlung oder Überlassung in einer Standardverordnung (§ 17 Abs. 2 Z 6) oder Musterverordnung (§ 19 Abs. 2) ausdrücklich angeführt ist oderdie Übermittlung oder Überlassung in einer Standardverordnung (Paragraph 17, Absatz 2, Ziffer 6,) oder Musterverordnung (Paragraph 19, Absatz 2,) ausdrücklich angeführt ist oder
   9. 9.Ziffer 9
      es sich um Datenverkehr mit österreichischen Dienststellen im Ausland handelt oder
   10. 10.Ziffer 10
       Übermittlungen oder Überlassungen aus Datenanwendungen erfolgen, die gemäß § 17 Abs. 3 von der Meldepflicht ausgenommen sind.Übermittlungen oder Überlassungen aus Datenanwendungen erfolgen, die gemäß Paragraph 17, Absatz 3, von der Meldepflicht ausgenommen sind.

§ 13 Abs. 1 und 2 DSG 2000 lauten unter der Überschrift "Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland" wie folgt:Paragraph 13, Absatz eins und 2 DSG 2000 lauten unter der Überschrift "Genehmigungspflichtige Übermittlung und Überlassung von Daten ins Ausland" wie folgt:

"§ 13. (1) Soweit der Datenverkehr mit dem Ausland nicht gemäß § 12 "§ 13. (1) Soweit der Datenverkehr mit dem Ausland nicht gemäß Paragraph 12

genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (§§ 35 ff) einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden.genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (Paragraphen 35, ff) einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden.

1. (2)Absatz 2,Die Genehmigung ist unter Beachtung der gemäß § 55 Z 2 ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des § 12 Abs. 5 vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus,Die Genehmigung ist unter Beachtung der gemäß Paragraph 55, Ziffer 2, ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des Paragraph 12, Absatz 5, vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus,

   1. 1.Ziffer eins
      für die im Genehmigungsantrag angeführte Übermittlung oder Überlassung im konkreten Einzelfall angemessener Datenschutz besteht; dies ist unter Berücksichtigung aller Umstände zu beurteilen, die bei der Datenverwendung eine Rolle spielen, wie insbesondere die Art der verwendeten Daten, die Zweckbestimmung sowie die Dauer der geplanten Verwendung, das Herkunfts- und das Endbestimmungsland und die in dem betreffenden Drittland geltenden allgemeinen oder sektoriellen Rechtsnormen, Standesregeln und Sicherheitsstandards; oder
   2. 2.Ziffer 2
      der Auftraggeber glaubhaft macht, daß die schutzwürdigen Geheimhaltungsinteressen der vom geplanten Datenverkehr Betroffenen auch im Ausland ausreichend gewahrt werden. Hiefür können insbesondere auch vertragliche Zusicherungen des Empfängers an den Antragsteller über die näheren Umstände der Datenverwendung im Ausland von Bedeutung sein."

3. Rechtlich war zu erwägen:

3.1. Zur Genehmigungspflicht und Genehmigungsfreiheit:

a) Übermittlungen aus der Datenanwendung "Career Aspiration" sind nach Angabe im Antrag an die Zustimmung der betroffenen Mitarbeiter geknüpft. Die Antragstellerin hat auch ein Zustimmungsformularmuster vorgelegt, in dem die Muttergesellschaft in den USA ausdrücklich als Empfängerin der Daten benannt wird. Eine datenschutzrechtlich gültige Zustimmung setzt Freiheit der Einwilligung, Konkretheit und Information über die Folgen der Zustimmung voraus. Dass diese Voraussetzungen vorliegen, ist angesichts des Zwecks der Datenübermittlung – Bewerbung um eine freie Stelle im Konzern – glaubhaft. Die jederzeitige Widerrufbarkeit der Zustimmungserklärung ist im Musterformular ausdrücklich angeführt.

Der Datenverkehr mit dem Ausland ist gemäß § 12 Abs. 3 Z 5 DSG 2000 genehmigungsfrei, wenn der Betroffene ohne jeden Zweifel seine Zustimmung zur Übermittlung seiner Daten ins Ausland gegeben hat. Da von der Unbedenklichkeit und damit Gültigkeit einer Zustimmung zu Datenübermittlungen der gegenständlichen Art ausgegangen werden kann, besteht hinsichtlich der vom Genehmigungsantrag umfassten Datentransfers aus der Datenanwendung "Career Aspiration" Genehmigungsfreiheit. Eine Zuständigkeit der DSK zur Genehmigung war daher nicht gegeben, weshalb der Antrag diesbezüglich zurückzuweisen war.Der Datenverkehr mit dem Ausland ist gemäß Paragraph 12, Absatz 3, Ziffer 5, DSG 2000 genehmigungsfrei, wenn der Betroffene ohne jeden Zweifel seine Zustimmung zur Übermittlung seiner Daten ins Ausland gegeben hat. Da von der Unbedenklichkeit und damit Gültigkeit einer Zustimmung zu Datenübermittlungen der gegenständlichen Art ausgegangen werden kann, besteht hinsichtlich der vom Genehmigungsantrag umfassten Datentransfers aus der Datenanwendung "Career Aspiration" Genehmigungsfreiheit. Eine Zuständigkeit der DSK zur Genehmigung war daher nicht gegeben, weshalb der Antrag diesbezüglich zurückzuweisen war.

b) Übermittlungen aus der Datenanwendung "Personal Compensation" sind hingegen gemäß § 13 Abs. 1 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999 idF BGBl. I Nr. 13/2005, genehmigungspflichtig, da zum einen der Empfänger in einem Staat seinen Sitz hat, für den keine Feststellung des Vorhandenseins eines angemessenen Datenschutzniveaus gemäß Art. 25 RL 95/46/EG besteht, und da zum anderen auch kein Fall eines gemäß § 12 Abs. 3 DSG 2000 genehmigungsfreien Datenverkehrs vorliegt.b) Übermittlungen aus der Datenanwendung "Personal Compensation" sind hingegen gemäß Paragraph 13, Absatz eins, Datenschutzgesetz 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr. 13 aus 2005,, genehmigungspflichtig, da zum einen der Empfänger in einem Staat seinen Sitz hat, für den keine Feststellung des Vorhandenseins eines angemessenen Datenschutzniveaus gemäß Artikel 25, RL 95/46/EG besteht, und da zum anderen auch kein Fall eines gemäß Paragraph 12, Absatz 3, DSG 2000 genehmigungsfreien Datenverkehrs vorliegt.

3.2. Vorliegen der Voraussetzungen nach § 12 Abs. 5 DSG 2000:3.2. Vorliegen der Voraussetzungen nach Paragraph 12, Absatz 5, DSG 2000:

Gemäß § 12 Abs. 5 DSG 2000 ist Voraussetzung für die Rechtmäßigkeit einer geplanten Übermittlung, dass die Bedingungen des § 7 Abs. 2 DSG 2000 erfüllt sind. Danach dürfen Daten nur dann übermittelt werden, wenn sieGemäß Paragraph 12, Absatz 5, DSG 2000 ist Voraussetzung für die Rechtmäßigkeit einer geplanten Übermittlung, dass die Bedingungen des Paragraph 7, Absatz 2, DSG 2000 erfüllt sind. Danach dürfen Daten nur dann übermittelt werden, wenn sie

• -Strichaufzählung
  aus einer zulässigen Datenanwendung stammen, wenn
• -Strichaufzählung
  die rechtliche Befugnis des Empfängers für eine

  derartige Übermittlung ausreichend glaubhaft ist und wenn
• -Strichaufzählung
  die Übermittlung im Sinne der §§ 8 bzw. 9 DSG 2000 ihrer Art nach auch im Inland zulässig wäre.die Übermittlung im Sinne der Paragraphen 8, bzw. 9 DSG 2000 ihrer Art nach auch im Inland zulässig wäre.

Der Antrag bezieht sich auf Daten, die in Österreich rechtmäßig verarbeitet werden. Die diesbezüglichen Meldungen der Antragstellerin beim Datenverarbeitungsregister für die Datenanwendungen "Career Aspiration" und "Personal Compensation" (Datenanwendungsnummern xxxxxxx/yyy und xxxxxxx/yyy) sind registrierungsfähig.

3.3. Zur ausreichenden Rechtsgrundlage der Übermittlungen im Sinne der §§ 8 bzw. 9 DSG 2000:3.3. Zur ausreichenden Rechtsgrundlage der Übermittlungen im Sinne der Paragraphen 8, bzw. 9 DSG 2000:

Dass die Konzernspitze ein Mitspracherecht bei der Zuteilung von Belohnungen an Konzernmitarbeiter beansprucht, dem durch entsprechende Information (durch Übermittlung von Daten) Rechnung zu tragen ist, kann als überwiegendes berechtigtes Interesse anerkannt werden, solange hiedurch im Wesentlichen zu einer gleichmäßigen und insofern "gerechten" Behandlung der Mitarbeiter beigetragen wird und hiemit keine unverhältnismäßigen Überwachungs- und Kontrollmaßnahmen verbunden sind. Dass dies im vorliegenden Fall gegeben ist, wird durch den Abschluss einer Betriebsvereinbarung über das System der Belohnungen einschließlich des Verfahrens der Entscheidung darüber nahegelegt. Das Vorliegen einer Betriebsvereinbarung bietet erhöhte Gewähr dafür, dass die Interessen der Mitarbeiter entsprechend berücksichtigt und der Grundsatz der Verhältnismäßigkeit auch hinsichtlich der Übermittlung von Daten gewahrt ist.

3.4 Zur Glaubhaftmachung des angemessenen Datenschutzes beim Empfänger im Ausland haben der Auftraggeber und der Empfänger einen Vertrag abgeschlossen, der den in der Entscheidung der Kommission 2004/915/EG vom 27. Dezember 2004 zur Änderung der Entscheidung 2001/497/EG bezüglich der Einführung alternativer Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer (Amtsblatt Nr. L 385 S. 74–84 vom 29. Dezember 2004, CELEX: 32004D0915), vorgesehenen Standardvertragsklauseln entspricht. Der Nachweis ausreichenden Datenschutzes beim ausländischen Datenempfänger gilt daher als erbracht im Sinne des § 13 Abs. 2 Z 2 DSG 20003.4 Zur Glaubhaftmachung des angemessenen Datenschutzes beim Empfänger im Ausland haben der Auftraggeber und der Empfänger einen Vertrag abgeschlossen, der den in der Entscheidung der Kommission 2004/915/EG vom 27. Dezember 2004 zur Änderung der Entscheidung 2001/497/EG bezüglich der Einführung alternativer Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer (Amtsblatt Nr. L 385 S. 74–84 vom 29. Dezember 2004, CELEX: 32004D0915), vorgesehenen Standardvertragsklauseln entspricht. Der Nachweis ausreichenden Datenschutzes beim ausländischen Datenempfänger gilt daher als erbracht im Sinne des Paragraph 13, Absatz 2, Ziffer 2, DSG 2000

3.5. Die Verwaltungsabgabe war gemäß § 78 Abs. 1 AVG iVm §§ 13, 53 Abs. 1 DSG 2000 vorzuschreiben. Demnach ist für Anträge nach § 13 DSG 2000 keine Befreiung von Verwaltungsabgaben normiert.3.5. Die Verwaltungsabgabe war gemäß Paragraph 78, Absatz eins, AVG in Verbindung mit Paragraphen 13, 53, Absatz eins, DSG 2000 vorzuschreiben. Demnach ist für Anträge nach Paragraph 13, DSG 2000 keine Befreiung von Verwaltungsabgaben normiert.