TE Dsk BescheidInternatDatenverkehr 2006/8/9 K178.171/0013-DSK/2006

1. BWG § 30 heute
2. BWG § 30 gültig ab 01.01.2025 zuletzt geändert durch BGBl. I Nr. 5/2026
3. BWG § 30 gültig von 01.02.2023 bis 31.12.2024 zuletzt geändert durch BGBl. I Nr. 237/2022
4. BWG § 30 gültig von 29.05.2021 bis 31.01.2023 zuletzt geändert durch BGBl. I Nr. 98/2021
5. BWG § 30 gültig von 29.12.2015 bis 28.05.2021 zuletzt geändert durch BGBl. I Nr. 159/2015
6. BWG § 30 gültig von 02.08.2014 bis 28.12.2015 zuletzt geändert durch BGBl. I Nr. 59/2014
7. BWG § 30 gültig von 01.01.2014 bis 01.08.2014 zuletzt geändert durch BGBl. I Nr. 59/2014
8. BWG § 30 gültig von 01.01.2014 bis 31.12.2013 zuletzt geändert durch BGBl. I Nr. 184/2013
9. BWG § 30 gültig von 28.03.2012 bis 31.12.2013 zuletzt geändert durch BGBl. I Nr. 20/2012
10. BWG § 30 gültig von 31.12.2011 bis 27.03.2012 zuletzt geändert durch BGBl. I Nr. 145/2011
11. BWG § 30 gültig von 24.12.2010 bis 30.12.2011 zuletzt geändert durch BGBl. I Nr. 107/2010
12. BWG § 30 gültig von 01.01.2007 bis 23.12.2010 zuletzt geändert durch BGBl. I Nr. 141/2006
13. BWG § 30 gültig von 05.07.2005 bis 31.12.2006 zuletzt geändert durch BGBl. I Nr. 59/2005
14. BWG § 30 gültig von 01.07.2005 bis 04.07.2005 zuletzt geändert durch BGBl. I Nr. 33/2005
15. BWG § 30 gültig von 01.01.2005 bis 30.06.2005 zuletzt geändert durch BGBl. I Nr. 70/2004
16. BWG § 30 gültig von 15.07.2004 bis 31.12.2004 zuletzt geändert durch BGBl. I Nr. 70/2004
17. BWG § 30 gültig von 01.09.2002 bis 14.07.2004 zuletzt geändert durch BGBl. I Nr. 131/2002
18. BWG § 30 gültig von 01.04.2002 bis 31.08.2002 zuletzt geändert durch BGBl. I Nr. 97/2001
19. BWG § 30 gültig von 21.04.2000 bis 31.03.2002 zuletzt geändert durch BGBl. I Nr. 33/2000
20. BWG § 30 gültig von 01.07.1999 bis 20.04.2000 zuletzt geändert durch BGBl. I Nr. 123/1999
21. BWG § 30 gültig von 01.01.1998 bis 30.06.1999 zuletzt geändert durch BGBl. Nr. 753/1996
22. BWG § 30 gültig von 01.01.1997 bis 31.12.1997 zuletzt geändert durch BGBl. Nr. 445/1996
23. BWG § 30 gültig von 01.01.1994 bis 31.12.1996

1. AVG § 78 heute
2. AVG § 78 gültig ab 01.01.2014 zuletzt geändert durch BGBl. I Nr. 33/2013
3. AVG § 78 gültig von 01.01.2008 bis 31.12.2013 zuletzt geändert durch BGBl. I Nr. 5/2008
4. AVG § 78 gültig von 01.01.2003 bis 31.12.2007 zuletzt geändert durch BGBl. I Nr. 117/2002
5. AVG § 78 gültig von 01.06.2000 bis 31.12.2002 zuletzt geändert durch BGBl. I Nr. 29/2000
6. AVG § 78 gültig von 01.01.1993 bis 31.05.2000 zuletzt geändert durch BGBl. Nr. 866/1992
7. AVG § 78 gültig von 01.02.1991 bis 31.12.1992

[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I DB E S C H E römisch eins D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Mag. HUTTERER, Dr. KOTSCHY, Dr. ROSENMAYR-KLEMENZ, Dr. STAUDIGL und Mag. ZIMMER sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom 9. August 2006 folgenden Beschluss gefasst:

S p r u c h

Der Antrag der C**** Bank AG (in der Folge „Antragstellerin“) in Wien, ursprünglich eingebracht am 27. Mai 2003, Kundendaten aus den unter der DVR-Nummer xxxxxxx im Datenverarbeitungsregister registrierten Datenanwendungen an die Muttergesellschaft G****-Bank (in der Folge „Datenimporteur“), Moskau, Russische Föderation, zum Zweck der Erfüllung der Konsolidierungspflicht im Sinne des § 30 Abs. 9 BWG zu übermitteln, wird gemäß § 13 Abs. 2 Z 4 DSG 2000, BGBl. I Nr. 165/1999 idgF, abgewiesen.Der Antrag der C**** Bank AG (in der Folge „Antragstellerin“) in Wien, ursprünglich eingebracht am 27. Mai 2003, Kundendaten aus den unter der DVR-Nummer xxxxxxx im Datenverarbeitungsregister registrierten Datenanwendungen an die Muttergesellschaft G****-Bank (in der Folge „Datenimporteur“), Moskau, Russische Föderation, zum Zweck der Erfüllung der Konsolidierungspflicht im Sinne des Paragraph 30, Absatz 9, BWG zu übermitteln, wird gemäß Paragraph 13, Absatz 2, Ziffer 4, DSG 2000, Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF, abgewiesen.

B e g r ü n d u n g

Die Antragstellerin begehrte mit einem Antrag, der ursprünglich am 27. Mai 2003 eingebracht und mehrfach abgeändert und ergänzt wurde, die Erteilung einer Genehmigung zur Übermittlung von Kundendaten an ihre russische Mutterbank.

Soweit der Datenverkehr mit dem Ausland nicht gemäß § 12 DSG 2000 genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission gemäß § 13 DSG 2000 einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden (§ 13 Abs. 1 DSG 2000 letzter Satz).Soweit der Datenverkehr mit dem Ausland nicht gemäß Paragraph 12, DSG 2000 genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission gemäß Paragraph 13, DSG 2000 einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden (Paragraph 13, Absatz eins, DSG 2000 letzter Satz).

Die Genehmigung ist unter Beachtung der gemäß § 55 Z 2 DSG 2000 ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des § 12 Abs. 5 leg.cit vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus,Die Genehmigung ist unter Beachtung der gemäß Paragraph 55, Ziffer 2, DSG 2000 ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des Paragraph 12, Absatz 5, leg.cit vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus,

1. 1.Ziffer eins
   für die im Genehmigungsantrag angeführte Übermittlung oder Überlassung im konkreten Einzelfall angemessener Datenschutz besteht; dies ist unter Berücksichtigung aller Umstände zu beurteilen, die bei der Datenverwendung eine Rolle spielen, wie insbesondere die Art der verwendeten Daten, die Zweckbestimmung sowie die Dauer der geplanten Verwendung, das Herkunfts- und das Endbestimmungsland und die in dem betreffenden Drittland geltenden allgemeinen oder sektoriellen Rechtsnormen, Standesregeln und Sicherheitsstandards; oder
2. 2.Ziffer 2
   der Auftraggeber glaubhaft macht, dass die schutzwürdigen Geheimhaltungsinteressen der vom geplanten Datenverkehr Betroffenen auch im Ausland ausreichend gewahrt werden. Hiefür können insbesondere auch vertragliche Zusicherungen des Empfängers an den Antragsteller über die näheren Umstände der Datenverwendung im Ausland von Bedeutung sein

   (§ 13 Abs. 2 DSG 2000).(Paragraph 13, Absatz 2, DSG 2000).

Abgesehen von der Übermittlung und Überlassung von Daten an Empfänger in Mitgliedstaaten der Europäischen Union (vgl. § 12 Abs. 1 DSG 2000) bedarf keiner Genehmigung gemäß § 13 leg.cit weiters der Datenverkehr mit Empfängern in Drittstaaten mit angemessenem Datenschutz. Welche Drittstaaten angemessenen Datenschutz gewährleisten, wird unter Beachtung des § 55 Z 1 leg.cit. durch Verordnung des Bundeskanzlers festgestellt. Maßgebend für die Angemessenheit des Schutzes ist die Ausgestaltung der Grundsätze des § 6 Abs. 1 leg.cit in der ausländischen Rechtsordnung und das Vorhandensein wirksamer Garantien für ihre Durchsetzung (§ 12 Abs. 2 DSG 2000).Abgesehen von der Übermittlung und Überlassung von Daten an Empfänger in Mitgliedstaaten der Europäischen Union vergleiche Paragraph 12, Absatz eins, DSG 2000) bedarf keiner Genehmigung gemäß Paragraph 13, leg.cit weiters der Datenverkehr mit Empfängern in Drittstaaten mit angemessenem Datenschutz. Welche Drittstaaten angemessenen Datenschutz gewährleisten, wird unter Beachtung des Paragraph 55, Ziffer eins, leg.cit. durch Verordnung des Bundeskanzlers festgestellt. Maßgebend für die Angemessenheit des Schutzes ist die Ausgestaltung der Grundsätze des Paragraph 6, Absatz eins, leg.cit in der ausländischen Rechtsordnung und das Vorhandensein wirksamer Garantien für ihre Durchsetzung (Paragraph 12, Absatz 2, DSG 2000).

Darüber hinaus ist der Datenverkehr ins Ausland gemäß § 12 Abs. 3 DSG 2000 dann genehmigungsfrei, wennDarüber hinaus ist der Datenverkehr ins Ausland gemäß Paragraph 12, Absatz 3, DSG 2000 dann genehmigungsfrei, wenn

1. 1.Ziffer eins
   die Daten im Inland zulässigerweise veröffentlicht wurden oder
2. 2.Ziffer 2
   Daten, die für den Empfänger nur indirekt personenbezogen sind, übermittelt oder überlassen werden oder
3. 3.Ziffer 3
   die Übermittlung oder Überlassung von Daten ins Ausland in Rechtsvorschriften vorgesehen ist, die im innerstaatlichen Recht den Rang eines Gesetzes haben und unmittelbar anwendbar sind, oder
4. 4.Ziffer 4
   Daten aus Datenanwendungen für private Zwecke (§ 45) oder für publizistische Tätigkeit (§ 48) übermittelt werden, oderDaten aus Datenanwendungen für private Zwecke (Paragraph 45,) oder für publizistische Tätigkeit (Paragraph 48,) übermittelt werden, oder
5. 5.Ziffer 5
   der Betroffene ohne jeden Zweifel seine Zustimmung zur Übermittlung oder Überlassung seiner Daten ins Ausland gegeben hat oder
6. 6.Ziffer 6
   ein vom Auftraggeber mit dem Betroffenen oder mit einem Dritten eindeutig im Interesse des Betroffenen abgeschlossener Vertrag nicht anders als durch Übermittlung der Daten ins Ausland erfüllt werden kann oder
7. 7.Ziffer 7
   die Übermittlung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen vor ausländischen Behörden erforderlich ist und die Daten rechtmäßig ermittelt wurden, oder
8. 8.Ziffer 8
   die Übermittlung oder Überlassung in einer Standardverordnung (§ 17 Abs. 2 Z 6) oder Musterverordnung (§ 19 Abs. 2)die Übermittlung oder Überlassung in einer Standardverordnung (Paragraph 17, Absatz 2, Ziffer 6,) oder Musterverordnung (Paragraph 19, Absatz 2,)

   ausdrücklich angeführt ist oder
9. 9.Ziffer 9
   es sich um Datenverkehr mit österreichischen Dienststellen im Ausland handelt oder
10. 10.Ziffer 10
    Übermittlungen oder Überlassungen aus Datenanwendungen erfolgen, die gemäß § 17 Abs. 3 von der Meldepflicht ausgenommen sind.Übermittlungen oder Überlassungen aus Datenanwendungen erfolgen, die gemäß Paragraph 17, Absatz 3, von der Meldepflicht ausgenommen sind.

Da keine der genannten Ausnahmetatbestände a priori auf den beantragten Datenverkehr in das Ausland zutrifft, hat die Antragstellerin zum Nachweis ausreichenden Datenschutzes beim Empfänger (§ 13 Abs. 2 Z 1 DSG 2000) angeboten, einen Vertrag mit dem Datenimporteur abzuschließen, der vollinhaltlich den in der Entscheidung der Europäischen Kommission K(2004)5271 vom 27. Dezember 2004 hinsichtlich der Einführung alternativer Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer vorgesehenen Standardvertragsklauseln entspricht und diesbezüglich auch der Datenschutzkommission ein Muster einer solchen vertraglichen Vereinbarung vorgelegt.Da keine der genannten Ausnahmetatbestände a priori auf den beantragten Datenverkehr in das Ausland zutrifft, hat die Antragstellerin zum Nachweis ausreichenden Datenschutzes beim Empfänger (Paragraph 13, Absatz 2, Ziffer eins, DSG 2000) angeboten, einen Vertrag mit dem Datenimporteur abzuschließen, der vollinhaltlich den in der Entscheidung der Europäischen Kommission K(2004)5271 vom 27. Dezember 2004 hinsichtlich der Einführung alternativer Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer vorgesehenen Standardvertragsklauseln entspricht und diesbezüglich auch der Datenschutzkommission ein Muster einer solchen vertraglichen Vereinbarung vorgelegt.

Mit Schreiben vom 16. Mai 2006 an die Antragstellerin hat die Datenschutzkommission darauf hingewiesen, dass sie die Vereinbarung in unterfertigter und ausgefüllter Form benötige.

Der nach § 13 Abs. 2 Z 1 DSG 2000 benötigte Nachweis wurde somit nicht erbracht, weshalb spruchmäßig zu entscheiden war.Der nach Paragraph 13, Absatz 2, Ziffer eins, DSG 2000 benötigte Nachweis wurde somit nicht erbracht, weshalb spruchmäßig zu entscheiden war.