Erläuterungen zur der Datenschutzverordnung 2018 
(Stand 1. Jänner 2020)
Allgemeiner Teil
Diese Verordnung betrifft technische und organisatorische Maßnahmen zur Erfüllung der Datenschutz-Grundverordnung DSGVO, wie sie in deren Erwägungsgrund 78 vorgesehen sind, durch die österreichischen Sozialversicherungsträger und deren Hauptverband.
Sie dient damit dem praktischen Vollzug der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4. 5. 2016, S. 1, sowie der Vollziehung des Datenschutz-Anpassungsgesetzes 2018 (DSG), BGBl. I Nr. 120/2017.
Bestimmungen, die über die DSGVO oder das DSG hinausgehen oder diese Rechtsvorschriften einschränken, sind nicht vorgesehen, diese Verordnung darf auch nicht so ausgelegt werden, dass sich solche Erweiterungen oder Einschränkungen ergeben würden.
Aufgrund des unionsrechtlichen Transformationsverbotes ist es auch nicht möglich, auf nationaler Ebene (zusätzliche) datenschutzrechtliche Begrifflichkeiten zu schaffen (BKA 2. August 2017, BKA-810.026/0035-V/3/2017). Weiters sollen keine über die DSGVO bzw. das DSG hinausgehenden Verpflichtungen geschaffen werden (kein „gold plating“ bestehender Normen durch Zusatzkriterien).
Die Bestimmungen über die Anpassung der Sozialversicherungsgesetze, die nach dem Datenschutz-Anpassungsgesetz–Sozialversicherung vorgesehen sind, sowie die absehbaren Änderungen im DSG selbst wurden soweit zugänglich (Begutachtungsentwurf bzw. Initiativantrag 189/A BlgNR XXVI. GP) berücksichtigt. Da diese Gesetze parallel zur Erarbeitung dieser Verordnung in Begutachtung stand und gleichzeitig mit dieser Verordnung am 25. Mai. 2018 in Kraft treten sollen, wird abzuwarten sein, ob sich daraus weiterer Änderungsbedarf ergibt.
Rechtsgrundlage ist § 31 Abs. 12 ASVG, wonach der Hauptverband verpflichtet ist, eine Datenschutzverordnung für alle Sozialversicherungsträger zu erlassen und im Internet zu veröffentlichen. Die in den nächsten Monaten zu erwartenden Anpassungsgesetze für das Sozialversicherungsrecht (das schon wegen der unterschiedlichen bisherigen Wortwahl an die DSGVO anzugleichen ist), werden einzuarbeiten sein.
Die SV-DSV unterliegt nicht der Genehmigung durch die Aufsichtsbehörde nach Art. 47 DSGVO, weil sie nicht zu den dort für eine Genehmigungspflicht genannten Regeln gehört. Die SV-DSV ist keine „verbindliche interne Datenschutzvorschrift“ nach Art. 4 Z 2 DSGVO: Mit diesem Begriff sind Regelwerke wie die „Binding Corporate Rules“, BCRs gemeint (siehe den Leitfaden der DSB zur DSGVO, Stand Jänner 2018, S. 13). Die SV-DSV überträgt den betroffenen Personen auch keine ausdrücklich durchsetzbaren Rechte (Art. 47 Abs. 1 lit. b DSGVO), solche Rechte ergeben sich nur aus der DSGVO und dem DSG selbst. Sozialversicherungsträger und Hauptverband sind auch keine Unternehmen im Sinn der DSGVO (vgl. Art. 4 Z 18 und Z 19 DSGVO), siehe weiters dort die Ausnahmeregeln in Art. 49, insb. Abs. 3 DSGVO für hoheitliche Befugnisse. Regeln für Datenverkehr mit Drittländern enthalten im Bereich der Sozialversicherung die Verordnung (EG) zur Koordinierung der Systeme der sozialen Sicherheit Nr. 883/2004, die Verordnung (EG) zur Ausdehnung dieser Verordnung 883/2004 auf Drittstaatsangehörige, Nr. 1231/2010 und die Durchführungsverordnung (EG) Nr. 987/2009. Siehe dort Art. 77 und 78 der Verordnung (EG) Nr. 883/2004 sowie deren Art. 4 (Gleichbehandlung), Art. 5 (Gebietsgleichstellung). Diese Rechtslage gilt auch für internationale Sozialversicherungsverträge (int. SV-Abkommen), wie sie mit einer Reihe europäischer Nichtmitgliedstaaten der EU/des EWR, aber auch außereuropäischer Staaten bestehen (Serbien, Montenegro, Bosnien-Herzegowina, Mazedonien, Moldau, Australien, Chile, Indien, Kanada, Korea, Philippinen, Türkei, Uruguay, USA u. a.)
Es ist bewusst, dass es sich – mangels Judikatur und anderen grundlegenden Regeln, wie z. B. dem in den nächsten Monaten zu erwartenden Anpassungsgesetzen zum Sozialversicherungsrecht – bei diesem Entwurf nur um einen ersten Schritt handeln kann, den genannten gesetzlichen Rahmenbedingungen Rechnung zu tragen. Wie bei allen neuen Rechtsmaterien wird damit zu rechnen sein, dass sich in den nächsten Jahren grundlegende Klarstellungen (der Aufsicht – DSB, des EuGH, der österreichischen Höchstgerichte usw.) ergeben, die zu Novellen auch der SV-DSV führen werden müssen. Das wird abzuwarten sein.
Wichtig ist, dass jedenfalls mit Wirkung ab 25. Mai 2018, dem Inkrafttreten der DSGVO eine aktuelle Fassung, der zumindest derzeit keine Einwände der Aufsicht entgegenstehen, beschlossen und kundgemacht ist.
Der zitierte Erwägungsgrund 78 der DSGVO lautet: „Zum Schutz der in Bezug auf die Verarbeitung personenbezogener Daten bestehenden Rechte und Freiheiten natürlicher Personen ist es erforderlich, dass geeignete technische und organisatorische Maßnahmen getroffen werden, damit die Anforderungen dieser Verordnung erfüllt werden. Um die Einhaltung dieser Verordnung nachweisen zu können, sollte der Verantwortliche interne Strategien festlegen und Maßnahmen ergreifen, die insbesondere den Grundsätzen des Datenschutzes durch Technik (Data Protection by Design) und durch datenschutzfreundliche Voreinstellungen (Data Protection by Default) Genüge tun. Solche Maßnahmen könnten unter anderem darin bestehen, dass die Verarbeitung personenbezogener Daten minimiert wird, personenbezogene Daten so schnell wie möglich pseudonymisiert werden, Transparenz in Bezug auf die Funktionen und die Verarbeitung personenbezogener Daten hergestellt wird, der betroffenen Person ermöglicht wird, die Verarbeitung personenbezogener Daten zu überwachen, und der Verantwortliche in die Lage versetzt wird, Sicherheitsfunktionen zu schaffen und zu verbessern.[…]“.
Für den Anwendungsbereich der DSGVO können aufgrund des unionsrechtlichen Transformationsverbotes – anders als bislang in § 4 DSG 2000 – auf nationaler Ebene keine datenschutzrechtlichen Begrifflichkeiten definiert werden. Materienspezifische Datenschutzregelungen müssen daher an die neue Terminologie angepasst werden. In der gegenständlichen Verordnung mussten insbesondere folgende datenschutzrechtlichen Begrifflichkeiten geändert bzw. angepasst werden:

bis Mai 2018 geltendes DSG 2000	DSGVO ab Mai 2018	
„Daten“ (§ 4 Z 1 DSG 2000)	„personenbezogene Daten“ (Art. 4 Z 1 DSGVO)	
„sensible Daten“ (§ 4 Z 2 DSG 2000)	„besondere Kategorien personenbezogener Daten“ (Art. 9 DSGVO)	
„Betroffener“ (§ 4 Z 3 DSG 2000)	„betroffene Person“	
„Auftraggeber“ (§ 4 Z 4 DSG 2000)	„Verantwortlicher“ (Art. 4 Z 7 DSGVO)	
„Dienstleister“ (§ 4 Z 5 DSG 2000)	„Auftragsverarbeiter“ (Art. 4 Z 8 DSGVO)	
„Datei“ (§ 4 Z 6 DSG 2000)	„Dateisystem“ (Art. 4 Z 6 DSGVO)	
„Datenanwendung“ (§ 4 Z 7 DSG 2000)	„Datenverarbeitung“	
„Verwenden von Daten“ (§ 4 Z 8 DSG 2000)	„Verarbeitung“ (Art. 4 Z 2 DSGVO)	
„Überlassen von Daten“ (§ 4 Z 12 DSG 2000)	„Übermittlung“ (an einen Auftragsverarbeiter)	
„Zustimmung“ (§ 4 Z 14 DSG 2000)	„Einwilligung“ (Art. 4 Z 11 DSGVO)	

Zu beachten ist auch, dass einzelne der derzeit in § 4 DSG 2000 definierten Begriffe in der DSGVO nicht verwendet werden bzw. erfahren sie einen anderen Bedeutungsgehalt.
Dies betrifft insbesondere den Begriff „sensible Daten“ („besonders schutzwürdige Daten“) gemäß § 4 Z 2 DSG 2000. Art. 9 Abs. 1 DSGVO definiert zwar „besondere Kategorien personenbezogener Daten“, die nach dem Erwägungsgrund 10 der DSGVO „sensible Daten“ sind, jedoch entspricht die Definition der „besonderen Kategorien personenbezogener Daten“ (Art. 9 Abs. 1 DSGVO) nicht jener der „sensiblen Daten“ gemäß § 4 Z 2 DSG 2000, zumal die besonderen Kategorien personenbezogener Daten auch genetische und biometrische Daten umfassen.
Auch die Konstruktion der „nur indirekt personenbezogenen“ Daten (§ 4 Z 1 DSG 2000) findet sich nicht in der DSGVO und ist auch nicht deckungsgleich mit der „Pseudonymisierung“ (Art. 4 Z 5 DSGVO – siehe BKA-VD vom 2. August 2017, BKA-810.026/0035-V/3/2017, dokumentiert in www.sozdok.at).
Aus diesem Grund sollte auch bei jeder weiterführenden Anpassung von anderen Unterlagen überprüft werden, ob die mit der Änderung des Verweises auf die DSGVO verbundenen inhaltlichen Veränderungen beabsichtigt sind.
Einige Bestimmungen der bisherigen SV-Datenschutzverordnungen, SV-DSV 2001, avsv Nr. 1/2002 (im RIS) und SV-DSV 2012, avsv Nr. 63/2012 idF 54/2016 und 181/2016, konnten gleich bzw. leicht angepasst in die vorliegende Fassung übernommen werden, da sie der DSGVO entsprechen. Sowohl die alten Fassungen der SV-DSV sowie die Erläuterungen dazu sind weiterhin unter www.sozdok.at abrufbar.
Auf eine gesonderte Aufteilung der Pflichten für Verantwortliche und Auftragsverarbeiter wurde bewusst verzichtet, weil sich die Pflichten überschneiden (sollen und müssen). Dort, wo die DSGVO für Auftragsverarbeiter erleichterte Bestimmungen vorsieht (z. B. beim Führen des Verzeichnisses der Verarbeitungstätigkeiten) wird in den einzelnen Bestimmungen darauf eingegangen.
Zuständig für die Beschlussfassung ist der Verbandsvorstand als geschäftsführendes Organ des Hauptverbandes, da im Gesetz keine abweichenden Regeln enthalten sind (wie dies z. B. für Richtlinien nach § 441d Abs. 2 ASVG der Fall ist).
Verweise auf Normen sind nach deren Stand am Tag der Kundmachung zu verstehen, soweit nicht ausdrücklich eine andere Fassung genannt ist. Diese Bestimmung beruht auf den legistischen Regeln (Punkt 63 der Legistischen Richtlinien des Bundes, zugänglich im Handbuch der amtlichen Verlautbarungen unter www.ris.bka.gv.at), nach denen allgemeine Verweise auf Normen eines anderen Normsetzungsorgans (hier: im Wesentlichen des Bundesgesetzgebers) statisch zu gestalten sind, wenn bei einer dynamischen (gleitenden) Verweisung im Detail nicht klar sein könnte, welche Fassung mit welchen Rechtsfolgen gemeint wäre. In praktischer Hinsicht ändert sich im vorliegenden Zusammenhang, wie die Erfahrungen mit anderen Rechtstexten des Hauptverbandes gezeigt hat, nichts (vgl. § 544 ASVG, für Bundesgesetze untereinander; siehe auch VfSlg. 12.384 und die sonstige Judikatur des VfGH zur dynamischen Verweisung). Rechtsvorschriften, die gleich wie die SV-DSV vom Hauptverband selbst erlassen wurden, wie die EDV-Richtlinien REDV 2006 oder die Sicherheitsrichtlinien SV-SR sind jedoch in ihrer jeweils geltenden Fassung anzuwenden.
Um Detaildiskussionen von vornherein zu vermeiden, wird vorgeschlagen, die Verordnung generell für alle Datenverarbeitungen in Kraft zu setzen, obwohl die DSGVO „nur“ auf dem AEUV beruht und daneben noch andere internationale Rechtsgrundlagen existieren können, die ebenfalls durch Handhabung personenbezogener Daten zu vollziehen sind.
----
Allgemeiner Teil- 3. Änderung
Die Ersetzung der Rechtsträger bzw. die Ersetzung der Begriffe (Gesetzeszitate) ergibt sich aus der Organisationsreform (Sozialversicherungs-Organisationsgesetz – SV-OG, BGBl. I Nr. 100/2018) und setzt die neue Rechtslage ab 1. Jänner 2020 um (weshalb diese Änderung der SV-DSV auch mit 1. Jänner 2020 in Kraft treten soll).
Des Weiteren wurden einige Redaktionsversehen bereinigt.
Einige wenige inhaltliche Ergänzungen bzw. Klarstellungen wurden auf Grundlage von praktischen Fällen, die bei Treffen der Datenschutzbeauftragen der Sozialversicherung aufgetreten sind, vorgenommen.
In der beiliegenden Textgegenüberstellung wurden (zwecks leichterer Lesbarkeit) alle Änderungen in fetter, kursiver und unterstrichener Schrift gekennzeichnet.
----
Besonderer Teil
----
Besonderer Teil Einleitung- 3. Änderung
Aus(zug) der Stellungnahme des Bundesministeriums für Arbeit, Soziales, Gesundheit und Konsumentenschutz (GZ: BMASGK-21410/0001-II/A/3/2019) im Rahmen des Begutachtungsverfahrens:
„Positiv hervorzuheben sind insbesondere die Konkretisierung von Datensicherheitsmaßnahmen, die Anordnung einer möglichst schnellen Pseudonymisierung bei der Verarbeitung von besonderen Kategorien personenbezogener Daten in § 9 des Entwurfs sowie die Erweiterung der Erläuterungen zu § 11 Abs. 5 im Sinne der Datensicherheit unter Beachtung der Serviceorientierung.“.
----
Zu § 1 – Geltungsbereich
Da der Hauptverband nach dem „Hauptverbandserkenntnis“ des Verfassungsgerichtshofes VfSlg 17.023 im Ergebnis nur berechtigt ist, Normen für die ihm angehörenden Sozialversicherungsträger (Verbandsangehörige) zu erlassen, nicht aber darüber hinaus, soll dies hier festgehalten werden.
Zu § 1 Abs. 2 und 3
Die Verordnung gilt daher weder automatisch für die Gesellschaften, die von Sozialversicherungsträgern und dem Hauptverband gegründet werden bzw. wurden, die Verordnung gilt auch nicht für Institutionen öffentlichen Rechts, welche ähnliche Aufgaben wie ein Sozialversicherungsträger haben: Die Krankenfürsorgeanstalten nach § 2 Abs. 1 Z 2 B-KUVG oder die Zuschusskassen öffentlichen Rechts (Pensionsinstitute) nach § 479 ASVG.
Auch wenn die Einhaltung der SV-DSV teilweise den in-house-GmbHs der Sozialversicherung wie der SVC und der ITSV durch die jeweiligen internen Vereinbarungen (Grundlagenverträge) bzw. die REDV 2006 (§ 22 Abs. 1 Z 1) überbunden ist, wird dies hier nochmals ausdrücklich behandelt, um einen umfassenden Geltungsbereich zu gewährleisten. Die für die Sozialversicherungsträger geltenden Bestimmungen sind somit in gleicher Weise auf die in-house-GmbHs der Sozialversicherung (z. B. die SVC, ITSV, SVD, etc.) anzuwenden.
Die Verordnung kann allerdings, da es sich hierbei nur um Durchführungsregeln handelt, die gesetzlich vorgesehenen Rechte und Pflichten von Verwaltungskörpern der Sozialversicherung (deren Funktionsträgern) nicht verändern. Bei ihrer Vollziehung sind in Zukunft auch die Entscheidungen des EuGH, der EK, der DSB oder des DSR bzw. Empfehlungen der Aufsichtsbehörden etc. wie bisher zu berücksichtigen.
Der Schlusssatz in Abs. 2 „soweit ...“ ist notwendig, weil es bei einer Beherrschung (durch mehrere Rechtsträger) vorstellbar ist, dass solche Unternehmen für andere Zwecke tätig sein können (bzw. nach Rechtsvorschriften dies sogar müssen). Dann ist eine Bindung an diese Verordnung nicht sinnvoll und wäre – weil es sich um sozialversicherungsfremde Bereiche handelt – auch nicht notwendig, bzw. sogar hinderlich.
Eine Verpflichtung, wonach auch die Krankenfürsorgeanstalten, soweit sie im Rahmen der SV-Gesetze tätig werden (z. B. beim e-card-System), die SV-DSV anzuwenden hätten, kann nicht Gegenstand dieser Verordnung sein.
Regeln außerhalb des Anwendungsbereiches des Vertrages über die Arbeitsweise der Europäischen Union können in anderen internationalen Vertragswerken enthalten sein (Schengen usw.).
----
Besonderer Teil - 3. Änderung
Zu Z 2 – § 1 Abs. 4
In § 1 Abs. 4 wird die Wortfolge „dieser Verordnung“ gestrichen, da ansonsten jede zwischenzeitige ASVG- usw. Novellierung nachgezogen werden müsste (Redaktionsversehen).
----
Zu § 2 – öffentlicher Bereich
Gemäß § 26 Abs. 1 Z 1 DSG gehört die Sozialversicherung in diesem Zusammenhang im Zweifel dem öffentlichen Bereich an. Soweit die Sozialversicherung für eine Auftragsverarbeitung einer ihrer 100 % Tochtergesellschaften (z. B. SVC, ITSV) heranzieht, sind diese auch als öffentliche Stellen im Sinne des DSG anzusehen.
Zu § 3 – Hauptverband als Auftragsverarbeiter
Der Hauptverband ist in diesen wie in allen anderen Auftragsverarbeiterfunktionen nicht berechtigt, die Datenbestände der Sozialversicherungsträger inhaltlich zu verändern. Er hat nur die Organisation für die Bearbeitung der Sozialversicherungsdaten („Datendrehscheibe“) für die in- und ausländischen Sozialversicherungsträger sicher zu stellen.
Die Rechtsstellung anderer Auftragsverarbeiter, wie z. B. der Post oder einer Bank (vgl. zur Post und der Postsparkasse DSK K121.638/0006-DSK/2010) wird durch die SV-DSV nicht berührt (keine Regelungskompetenz des Hauptverbandes in diesem Zusammenhang gegenüber Dritten). Die Vereinbarung von Datenschutzmaßnahmen mit solchen Auftragsverarbeitern (z. B. für Auszahlungen) wird durch die Verträge betreffend die jeweilige Leistung (auf Basis der Geschäftsbedingungen der jeweiligen Auftragsverarbeiter) sichergestellt.
Die Datenschutzbehörde DSB hat im Begutachtungsverfahren darauf hingewiesen, dass die Frage, ob der Hauptverband als Verantwortlicher oder Auftragsverarbeiter tätig wird, von den Definitionen in der DSGVO abhängt (Art. 4 Z 7 und 8 DSGVO). Die SV-DSV kann daher nur eine Grundregel angeben, die datenschutzrechtlich eine Auslegungshilfe bilden soll. Einer Entscheidung der zuständigen Gerichte und Behörden kann dadurch nicht vorgegriffen werden.
Der Begriff des Auftragsverarbeiters wird von der DSB enger als der Begriff des Dienstleisters gemäß § 4 Z 5 DSG 2000 gesehen. Er ist nämlich auf das Verarbeiten von Daten im Auftrag des Verantwortlichen beschränkt, also insbesondere auf typische IT-Dienstleistungen. Gerade solche sind aber die jeweiligen Tätigkeiten des Hauptverbandes, sodass in diesen Zusammenhängen nicht von Veränderungen auszugehen wäre (der Hauptverband hat kein Recht, in die gesetzlich für die Sozialversicherungsträger vorgesehenen Kompetenzen, insb. jene des Versicherungs-und Leistungsrechts, einzugreifen).
Nicht als Auftragsverarbeitertätigkeit wäre allenfalls nach Ansicht der Datenschutzbehörde bspw. die unten in Z 1 angeführte Vergabe einheitlicher Sozialversicherungsnummern und deren Verknüpfung mit bereichsspezifischen Kennzeichen zu diskutieren. Es sind allerdings gerade die Sozialversicherungsträger, die nach § 8 E-GovG in den Datenanwendungen als Auftraggeber des öffentlichen Bereichs eine eindeutige Identifikation von Betroffenen im Hinblick auf natürliche Personen nur in Form des bPK (§ 9) veranlassen dürften. Die Identitätsfeststellung im (Verwaltungs‑)Verfahren (vgl. §§ 354 ff. ASVG) ist weiters eine Kernvoraussetzung für die Tätigkeit der Sozialversicherungsträger. Selbiges gilt für die in Z 4 angeführte Pseudonymisierungsstelle, wobei hiefür schon bisher auch der Hauptverband als Auftraggeber fungierte (vgl. DSK 8. Mai 2006, BKA-K600.000-021/0003-DVR/2006 und BKA-K600.000-022/0003-DVR/2006).
Die (Entscheidungs-)Praxis wird zeigen, ob in diesem Zusammenhang einige Sachverhalte neu zu bewerten wären.
Die in Abs. 2 zitierten Bestimmungen betreffen die gesetzliche Auftragsverarbeiterstellung, die Zusammenarbeitsverpflichtung der Sozialversicherungsträger und der Hauptverbandes untereinander, die Verschwiegenheitspflicht der Bediensteten und die Berechtigungen zur Datenverarbeitung. Darüber hinaus wären z. B. die Regeln der Sicherheitsrichtlinie SV-SR, die Bestimmungen der Rechnungsvorschriften nach § 444 Abs. 6 ASVG (Weisungen des aufsichtsführenden Ministers) zu beachten. Die Bestimmung will nur parallele Verträge über gleich Inhalte vermeiden, sie hindert nicht am Abschluss von Vereinbarungen detaillierender Art oder an der Überbindung der in Art. 28 Abs. 3 DSGVO vorgesehene Pflichten an andere Rechtsträger.
Angesichts der eng verbundenen Zusammenarbeit der Sozialversicherungsträger untereinander, die in den zit. Richtlinien grundgelegt ist, soll klar gestellt werden, dass bei dieser keine zusätzlichen Auftragsverarbeiterverträge abgeschlossen werden müssen. Die SV-DSV selbst regelt insbesondere die Grundlagen der Pflichten eines Auftragsverarbeiters. Dies entspricht Art. 28 Abs. 3 DSGVO, nach welchem die Verarbeitung durch eine Auftragsverarbeiter (nicht nur) auf Grundlage eines Vertrages, (sondern auch) auf Grundlage eines anderen Rechtsinstruments zulässig sind. Die dort festgehaltenen Abläufe sind jedenfalls durch geeignete Vorkehrungen einzuhalten, sie ergeben sich im Regelfall bereits aus der Vollziehung der genannten Bestimmungen.
Die folgende Aufzählung betrifft einige grundlegende Tätigkeitsbereiche des Hauptverbandes als Auftragsverarbeiter für die Sozialversicherungsträger. Dies gilt insbesondere für
	1.	die Vergabe einheitlicher Versicherungsnummern und deren Verknüpfung mit bereichsspezifischen Personenkennzeichen nach § 31 Abs. 4 Z 1 ASVG und § 9 E-GovG;
	2.	die Einrichtung und Führung einer zentralen Anlage zur Aufbewahrung der für die Versicherung bedeutsamen personenbezogenen Daten nach § 31 Abs. 4 Z 3 lit. a ASVG;
	3.	die Auskunftserteilung nach § 31 Abs. 4 Z 3 lit. b ASVG;
	4.	die Errichtung und die Führung einer Pseudonymisierungsstelle zur Pseudonymisierung personenbezogener Daten nach § 31 Abs. 4 Z 10 und § 84a Abs. 5 ASVG;
	5.	die Verwendung von personenbezogenen Daten für Verrechnungszwecke auf Grund sozialversicherungsrechtlicher Bestimmungen;
	6.	den Betrieb des elektronischen Verwaltungssystems ELSY nach § 31a Abs. 2 ASVG; wobei für die Verwaltungsabläufe betreffend die Aufbringung von Fotos auf den e-cards nach § 31a Abs. 8 ASVG, für welche der Hauptverband Verantwortlicher sein könnte, bei Beschlussvorlage eine gesetzliche Veränderung in Diskussion stand – die endgültige Stellung des Hauptverbandes wird nach allfälligem Inkrafttreten dieser Änderung zu bewerten sein;
	7.	seine Aufgaben als Zugangsstelle oder als Verbindungsstelle nach Art. 1 Abs. 2 lit. a oder lit. b der Durchführungsverordnung Nr. 987/2009 zur Verordnung (EG) Nr. 883/2004 und nach den §§ 4 und 5 des Sozialversicherungs-Ergänzungsgesetzes.
Zu oben Z 1 und Z 5
Die Verwendung bereichsspezifischer Personenkennzeichen hat sich in den letzten Jahren technisch bewährt und führte auch zur Mitarbeit der Sozialversicherungsträger bzw. des Hauptverbandes bei Volkszählungen nach dem Registerzählungsgesetz BGBl I Nr. 33/2006 idF BGBl I Nr. 125/2009, vgl. § 4 Abs. 1 Z 2 lit. a, § 6 Abs. 3 und Abs. 8 oder § 9 Abs. 2 Registerzählungsgesetz. Sie bewirkte eine namhafte Verringerung des sonst für eine Volkszählung notwendigen Verwaltungsaufwandes bei Beibehaltung oder (durch Entfall persönlicher Erhebungsorgane und einschlägiger Missverständnisse vielleicht sogar) deutlich verbesserter Datensicherheit personenbezogener Angaben. Die Volkszählung läuft nicht über die Sozialversicherungsnummern sondern über das bereichsspezifische Personenkennzeichen AS „Amtliche Statistik“ ab.
Die Bestimmung bedeutet nicht, dass die SVNR bei den Sozialversicherungsträgern selbst, als deren interner Ordnungsbegriff (§ 460d ASVG) zurückgedrängt werden soll: Aus verwaltungstechnischen Gründen ist es weiterhin sinnvoll, die SVNR als Ordnungsbegriff im Schriftverkehr nach außen, bei Banküberweisung von Pensionen und sonstigen Geldleistungen zu verwenden, um eine eindeutige Zuordnung von Erledigungen zu den einzelnen Versichertendaten zu ermöglichen (soweit zulässig und nicht sinnvoll durch bPK ersetzbar, vgl. DSK K120.794/007-DSK/2002, 210.283/1-DSK/96, 120.162/8-DSK/89, wobei bewusst ist, dass nach der Judikatur der Datenschutzkommission die SVNR nicht als Kennzeichen nach außen verwendet werden soll, weil sie die Geburtsdaten enthält).
Zu § 4 – Sozialversicherungsträger als Auftragsverarbeiter
Zu § 4 Abs. 2
Die für die Sozialversicherungsträger geltenden Bestimmungen sollen auf gleiche Weise auf die in-house-GmbHs der Sozialversicherung (z. B. die SVC, ITSV, SVD, etc.) anzuwenden sein. SVC: Sozialversicherungs-Chipkartengesellschaft (§ 31b ASVG), ITSV: IT-Services der Sozialversicherung GmbH, SVD: SV-Büromanagement GmbH und andere Gesellschaften, z. B. nach § 459e ASVG.
Zu § 5 – Gemeinsam für die Verarbeitung Verantwortliche (bisherige sogenannte Informationsverbundsysteme)
Die DSGVO enthält keine Regelungen zum bisher vorhandenen Informationsverbundsystem IVS nach österreichischem Datenschutzrecht. Verweise auf das im DSG 2000 in § 4 Z 13 DSG (iVm § 50 DSG 2000) geregelte Informationsverbundsystem müssen daher überarbeitet werden.
Das Bundeskanzleramt (Verfassungsdienst, BKA-VD) hat in einem Rundschreiben (vom 2. 8. 2017 betreffend die Überprüfung und Anpassung von Materiengesetzen aufgrund der DSGVO, GZ: BKA-810.026/0035-V/3/2017) diesbezüglich darauf hingewiesen, dass es zweckmäßig sein könnte, Teile des § 50 DSG 2000 (z. B. hinsichtlich des Betreibers) als materienspezifische Regelung zu übernehmen. Auch soll geprüft werden, ob Art. 26 DSGVO („Gemeinsam für die Verarbeitung Verantwortliche“) angewandt werden kann oder auf eine nur von einem Verantwortlichen betriebene Datenverarbeitung mit Zugriffsmöglichkeiten Dritter umgestellt werden kann.
----
Besonderer Teil - 1. Änderung
Zu § 4 Abs. 1
Angesichts der eng verbundenen Zusammenarbeit der Sozialversicherungsträger untereinander, die in den zit. Richtlinien grundgelegt ist, soll klar gestellt werden, dass bei dieser keine zusätzlichen Auftragsverarbeiterverträge abgeschlossen werden müssen; dies gilt auch für Konstellationen mit direktem Datenzugriff eines anderen Trägers (z. B. auf der Grundlage der gegenseitigen Auftragsverarbeiterstellung nach § 31 Abs. 11 ASVG bzw. der Unterstützungspflichten nach § 321 ASVG). Die SV-DSV selbst regelt insbesondere die Grundlagen der Pflichten eines Auftragsverarbeiters. Dies entspricht Art. 28 Abs. 3 DSGVO, nach welchem die Verarbeitung durch eine Auftragsverarbeiter (nicht nur) auf Grundlage eines Vertrages, (sondern auch) auf Grundlage eines anderen Rechtsinstruments zulässig sind. Die dort festgehaltenen Abläufe sind jedenfalls durch geeignete Vorkehrungen einzuhalten, sie ergeben sich im Regelfall bereits aus der Vollziehung der genannten Bestimmungen.
Vgl. dazu auch die Anmerkungen zu § 3 Abs. 2.
Die EDV-Richtlinien REDV 2006 gelten derzeit idF avsv Nr. 127/2018, die Sicherheitsrichtlinien idF avsv Nr. 128/2018 (selbe Normsetzungsautorität – Hauptverband, daher in der jeweils geltenden Fassung anzuwenden).
----
Zu § 5 Abs. 1
Es wird klargestellt, dass der Hauptverband auch im Bereich der bisher sogenannten Informationsverbundsysteme (z. B. SV-DB Österreichische Sozialversicherungs-Datenbank: Versicherungsdatenspeicherung, Zentrale Partnerverwaltung) nur Auftragsverarbeiter nach § 31 Abs. 11 ASVG und im Sinne des Art. 4 Z 8 DSGVO für die Sozialversicherungsträger sein kann und darf. Auch hier gilt: der Hauptverband hat keine Berechtigung diese Datenbestände der Sozialversicherungsträger inhaltlich zu verändern (eine behördliche Zuständigkeit des jeweiligen SVT kann durch Verordnung nicht verändert werden). 
Dies gilt auch für alle bisherigen Informationsverbundsysteme der Sozialversicherung. Verantwortlich für ihre eigenen Daten (z. B. das Versicherungs-, Melde- und Beitragswesen, Pensionsdaten, etc.) sind und bleiben die Sozialversicherungsträger.
Andere Rechtsvorschriften sind z. B. jene Rechtsvorschriften, in denen Sozialversicherungsträgern oder dem Hauptverband eine Mitwirkung (auch im übertragenen Wirkungsbereich unter Weisungsbindung) in Angelegenheiten z. B. des Gesundheitswesens auferlegt ist (z. B. im Rahmen des Gesundheits-Zielsteuerungsgesetzes G-ZG, zwischenstaatlicher Abkommen/Sozialversicherungsverträge, internationalem Recht wie der Verordnung Nr. 883/2004 zur Koordinierung der Systeme der sozialen Sicherheit in Europa).
Zur Frage, ob, von wem und in welcher Form im Rahmen eines übertragenen Wirkungsbereiches die Verpflichtungen nach der DSGVO zu erfüllen wären, liegen im vorliegenden Zusammenhang noch keine konkreten Informationen (Weisungen der übertragenden Stellen) vor, sodass die SV-DSV auch für diese Fälle vorerst pragmatisch angewendet werden soll, um ein allgemeines Regelwerk für möglichst alle Situationen zu schaffen. Freilich wird auch in diesem Zusammenhang auf die Entwicklung der Rechtsprechung zu achten sein.
Zu § 5 Abs. 1 Z 3
Unter „die durch amtlich kundgemachte Rechtsvorschriften dafür bereitzustellen sind“ sind u. a. Mittel gemeint, die z. B. beim derzeitigen IVS Kinderbetreuungsgeld vom Bund aufgebracht werden oder dieser Kosten übernimmt (z. B. nach § 36 Abs. 3 des KBGG-Änderungsentwurfes der FLAF).
Zu § 5 Abs. 2
Gemäß den Anforderungen der DSGVO und des DSG muss die betroffene Person ihre jeweiligen Rechte gegenüber den einzelnen Verantwortlichen entsprechend geltend machen können.
Die Verantwortlichkeit richtet sich nach den Organisationsvorschriften der Sozialversicherung, eine neue Organisation bzw. Hierarchie soll nicht eingeführt werden (die Entscheidung der DSK vom 16. 11. 2004, K120.951/0009-DSK/2004 stützt diese Auffassung: Der Auftraggeberbegriff des (damaligen) § 4 Z 4 DSG 2000 stellte zwar auf die faktische Willensbildung zur Verarbeitung personenbezogener Daten und nicht auf die (abstrakte) Befugnis dazu ab. Es kommt aber Organisations- und Zuständigkeitsvorschriften, wenn solche (wie bei der Sozialversicherung) bestehen, eine wichtige Indikatorfunktion für die Qualifikation als Auftraggeber zu. Ergibt das Ermittlungsverfahren nicht eindeutige Anhaltspunkte, dass von den Organisations- bzw. Zuständigkeitsvorschriften abgewichen wurde, so ist das nach diesen Vorschriften zuständige Organ als Auftraggeber [Anmk: jetzt als Verantwortlicher] anzusehen. Die Vorstände der Sozialversicherungsträger sind in § 434 ASVG und den im Wesentlichen gleichlautenden Bestimmungen anderer Sozialversicherungsgesetze geregelt.
Da über alle Datenverarbeitungen Zugriffsprotokolle zu führen sind, ist die Anlaufstelle für die betroffene Person leicht feststellbar. Sollte der angefragte Verantwortliche dennoch nicht zuständig sein, so hat er nach § 321 ASVG (bzw. § 183 GSVG, § 171 BSVG, § 119 B-KUVG, § 87 NVG) die Anfrage der betroffenen Person an den zuständigen Sozialversicherungsträger weiterzuleiten.
Die Fälle nach Abs. 2 Z 3 sind z. B. jene, in denen ein Sozialversicherungsträger eine e-card nach § 4 Abs. 7 Z 2 der Musterkrankenordnung idF avsv Nr. 2/2018 ausgestellt hat: Danach kann von der Kasse auf Antrag eine e-card erhalten werden, wenn seine/ihre Identität aufgrund der Vorlage geeigneter Dokumente wie amtlicher Lichtbildausweis oder Personenstandsurkunden feststeht und durch die Ausstellung einer e-card Vorteile für die Vollziehung der von einem Sozialversicherungsträger zu beachtenden Rechtsvorschriften und Verträge oder die Identitätsprüfung bei ELGA erwartet werden können.
Zu § 5 Abs. 3
Da innerhalb der Sozialversicherung teilweise noch Host- bzw. (veraltete) Oracle-Lösungen im Einsatz sind, die nicht auf die Anforderungen der DSGVO umprogrammierbar sind, wird eine Übergangsbestimmung bis Ende 2019 vorgesehen, da diese Anwendungen erst 2020 durch neuere Technologien abgelöst werden. Siehe auch § 15 Abs. 4 des Entwurfes.
----
Besonderer Teil - 3. Änderung
Zu den Z 6, 7 und 9 – § 5 Abs. 1 Z 1 lit. a, § 5 Abs. 1 Z 1 lit. b sublit. bb und § 5 Abs. 1 Z 3
Es hat sich in den letzten Jahren gezeigt, dass relevante (Datenverarbeitungs-)Aufgaben auch an Tochtergesell-schaften ausgelagert wurden, die im jeweiligen Projektablauf auch in die Stellung von Verantwortlichen kommen kön-nen. Hier soll, um das Entstehen von Lücken vermeiden zu können, auch die Möglichkeit gemeinsamer Verantwortung eröffnet werden. Dies setzt natürlich die Einhaltung der in Art. 26 vorgesehenen Maßnahmen (Vereinbarung usw.) vo-raus, solange keine Rechtsvorschrift besteht. Eine solche Rechtsvorschrift soll mit der SV-DSV zur Verfügung gestellt werden.
Dies ist auch deswegen relevant, weil einige Sozialversicherungsträger, die bisher in die Datenverarbeitung des Hauptverbandes eingebunden waren, in Zukunft zwar weiterbestehen können, aber keine Sozialversicherungsträger mehr sind: Die Versorgungsanstalt des österreichischen Notariates und die Betriebskrankenkassen.
Weiters soll mit der Erweiterung auch die Zusammenarbeit mit den Krankenfürsorgeanstalten verbessert werden können (vgl. nur die Übernahme von Versicherten der BKK Verkehrsbetriebe durch die KFA Wien nach § 718 Abs. 8b ASVG).
Zu Z 10 – § 5 Abs. 2 Z 4
Bereinigung eines Redaktionsversehens (irrtümliche Doppel-Anführung des §-Zeichens).
----
Zu § 6 – Datenschutzbeauftragter
Zu § 6 Abs. 1
Zur strittigen Frage, ob auch externe Personen als Datenschutzbeauftragte im Bereich der Sozialversicherungsträger herangezogen werden dürfen, wurde Folgendes diskutiert:
Es wurde die Ansicht vertreten, dass die SV unter die Bestimmung des § 5 Abs. 4 DSG fiele, weil in dieser Bestimmung der „Wirkungsbereich“ – und nicht der „Vollziehungsbereich“ – geregelt sei. Die SV befindet sich jedenfalls organisationsrechtlich im „Wirkungsbereich“ (jedenfalls des BMASGK nach BundesministerienG, weil sie keine obersten Organe iSd B-VG hat, vgl. diesbezüglich die Aufsichtsaufgaben, die Weisungsrechte in Finanz- und Statistikangelegenheiten nach § 444 ASVG, den übertragenen Wirkungsbereich, die Bearbeitungspraxis parlamentarischer Anfragen usw.). Auch die Regeln über das Verwaltungsverfahren und die Vollziehungsklauseln der SV-Gesetze und die Wortwahl des B-VG sprächen dafür (bereits früher auf Basis des § 2 Abs. 1 Z 1 lit. a BMG aF mit Teil 2, Abschnitt C Z 4 für das BMASK und damit auch den Hauptverband bzw. Abschnitt G Z 6 beim BMGF aF, für die Kranken- und Unfallversicherung, siehe auch § 448 Abs. 1 ASVG). Ob dies allerdings auch datenschutzrechtlich so zu sehen ist, blieb vorerst offen, nachdem sich das Bundeskanzleramt (siehe unten) gegenteilig geäußert hatte.
Wenn sich die SV im „Wirkungsbereich“ befinden sollte, dann wäre auch der zweite Satz des § 5 Abs. 4 DSG 2018 zu beachten: „Diese müssen dem jeweiligen Bundesministerium oder der jeweiligen nachgeordneten Dienststelle oder sonstigen Einrichtung angehören.“. Die SV-Träger sind zwar keine „nachgeordnete Dienststellen“, sehr wohl kann man sie wohl schon als „sonstige Einrichtungen“ ansehen.
Das BMGF richtete eine Anfrage an das Bundeskanzleramt (Verfassungsdienst), dieses teilte dazu mit Schreiben vom 21. September 2017 (BKA-810.026/0039-V/3/2017) mit, dass die Sozialversicherungsträger nicht von § 5 Abs. 4 DSG erfasst seien. Die Bestellung eines externen Datenschutzbeauftragten wäre aus diesem Grund für Sozialversicherungsträger grundsätzlich zulässig, weshalb dies in der gegenständlichen Verordnung auch nicht ausgeschlossen wird, es ist aber folgendes zu bedenken:
Nach Art. 37 Abs. 6 DSGVO kann der Datenschutzbeauftragte (DSB) Beschäftigter des Verantwortlichen oder des Auftragsverarbeiters sein oder seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen.
Da der Hauptverband bzw. die Sozialversicherungsträger nach § 26 DSG Verantwortliche des öffentlichen Bereichs sind, ist diesbezüglich auch den DSB betreffend auf einen erhöhten Maßstab Wert zu legen (Schlagwort „Privacy by Design“). Dies kann ein Grund sein, aus dem vorrangig nur interne DSB benannt werden.
Die Bestellung umfasst jedenfalls nur natürliche Personen (ansonsten eine Entbindung von einer Verschwiegenheitspflicht schwer möglich erscheint). Unternehmen können aber die vertragliche Grundlage für diese Personen bereitstellen.
Die DSGVO (in der englischen Fassung) könnte sogar allenfalls so auszulegen sein, dass die Benennung von juristischen Personen als DSB nicht zulässig ist. Art. 38 Abs. 2 spricht von „to maintain his or her expert knowledge“ und Abs. 3 von „he or she shall not be dismissed“ sowie in Abs. 5 und Art. 39 Abs. 2 von „his or her tasks“, was insgesamt eine natürliche Person voraussetzt.
Selbst wenn man die Benennung von juristischen Personen als DSB als zulässig erachtet, so muss zumindest eine natürliche Person als Ansprechpartner bekannt gegeben werden, da es weder der Aufsichtsbehörde (DSB), noch dem Hauptverband (als koordinierende Stelle der SVT) oder einer betroffenen Person zugemutet werden kann, erst unter Umständen langwierigen Nachforschungen, Anrufen, etc. heraus zu finden, wer denn überhaupt der zuständige Ansprechpartner (als DSB des SVT) ist.
Aber auch die Bestellung von externen Einzelpersonen (Freiberufler) als DSB erscheint durch die Stellung und die Aufgaben der IT-Org. der SV nicht immer zielführend: es widerspricht den allgemeinen (Daten-)Sicherheitsregeln/Maßnahmen der SV, dass externe MitarbeiterInnen (noch dazu weisungsfrei!) Einsicht in praktisch alle Verarbeitungen (inklusive aller Standardprodukte und ELGA) der SV erhalten. Ein interner DSB hat zudem den Vorteil, dass er die betrieblichen Zusammenhänge und Abläufe aus eigener Anschauung und im Detail kennt.
Sollte sich tatsächlich der Bedarf ergeben, so können für einzelne Aufträge oder konkrete Prüfungen Einzelaufträge an externe Berater (unter der Kontrolle des DSB) vergeben werden. Das Datenschutzrecht spricht nicht dagegen, im Gegenteil: zur Vermeidung von Betriebsblindheit kann es sinnvoll sein, Berater zu beauftragen, die nicht in die normalen Unternehmensabläufe eingebunden sind.
Betreffend die Benennung eines gemeinsamen Datenschutzbeauftragten wird auch auf die Erläuterungen zu § 5 DSG (1761 d.B. NR XXV. GP) verwiesen: demnach kann eine Unternehmensgruppe, eine Behörde oder öffentliche Stelle unter Berücksichtigung ihrer Organisationsstruktur und ihrer Größe einen gemeinsamen Datenschutzbeauftragten benennen.
Allerdings setzt die Benennung eines gemeinsamen Datenschutzbeauftragten voraus, dass der spezifischen Situation der öffentlichen Stelle Rechnung getragen wird (also eben wesentliche Zusammenarbeit wie z. B. Abrechnungen, etc.; aus rein fiskalischen Gründen, z. B. zur Personaleinsparung, darf kein gemeinsamer DSB bestellt werden müssen.).
Zu § 6 Abs. 2
Nach Abs. 2 ist eine formalisierte Ausbildung des Datenschutzbeauftragten nicht zu fordern. Aus der DSGVO lässt sich zwar keine formalisierte Ausbildung des Datenschutzbeauftragten ableiten, eine solche wird durch die DSGVO aber auch nicht explizit untersagt. Angesichts der Verantwortung eines Datenschutzbeauftragten eines Sozialversicherungsträgers, dessen Datenverarbeitungen weite Bereiche abdecken, erschiene aus Sicht der Datenschutzbehörde eine nähere Konkretisierung des Anforderungsprofils eines Datenschutzbeauftragten angemessen. Es wurde von der DSB daher angeregt zu prüfen, ob ein Datenschutzbeauftragter nicht zumindest über grundlegende Kenntnisse der Abläufe und Tätigkeiten eines Sozialversicherungsträgers (z. B. mehrjährige Erfahrung als Mitarbeiter eines Sozialversicherungsträgers im Bereich IT oder Recht) verfügen sollte.
Die berufliche Qualifikation des DSB muss bereits bei seiner Benennung vorliegen, ebenso die Fähigkeit zur Erfüllung der Aufgaben. Es kommt daher nicht nur auf abstrakte Rechtskenntnisse an, sondern auch auf das Wissen, wie diese Kenntnisse in Bezug auf die Datenverarbeitungen in der Praxis umzusetzen sind, um die damit verbundenen Risiken konkret einschätzen zu können (vgl. dazu insbesondere die im Internet verfügbaren „Guidelines on Data Protection Officers“ der Art-29-Datenschutzgruppe).
Betreffend die neue Bestimmung des § 5 Abs. 3 des DSG:
	„(3)	Der Datenschutzbeauftragte im öffentlichen Bereich ist bezüglich der Ausübung seiner Aufgaben weisungsfrei. Das oberste Organ hat das Recht, sich über die Gegenstände der Geschäftsführung beim Datenschutzbeauftragten im öffentlichen Bereich zu unterrichten. Dem ist vom Datenschutzbeauftragten nur insoweit zu entsprechen, als dies nicht der Unabhängigkeit des Datenschutzbeauftragten im Sinne von Art. 38 Abs. 3 DSGVO widerspricht.“
wird noch der praktische Ablauf zu klären sein: Soll es tatsächlich so sein, dass ein „oberstes Organ“ (demnach z. B. ein Bundesminister) direkt Kontakt zum DSB eines SVT erhalten soll? Dies scheint den Bestimmungen über die Aufsicht (§§ 448 ff. ASVG) zu widersprechen. Das DSG wird nicht so auszulegen sein, als dass in Datenschutzangelegenheiten die geschäftsführenden Organe von Selbstverwaltungskörpern umgangen werden könnten.
Zu § 6 Abs. 3
Diesbezüglich ist insbesondere auf die Ausführungen des BKA-VD im Schreiben vom 21. September 2017, BKA-810.026/0039-V/3/2017, hinzuweisen:
„Ausdrücklich hinzuweisen ist hierbei freilich auf die einschlägigen Vorgaben der DSGVO in Bezug auf die Stellung und Aufgaben des Datenschutzbeauftragten. So haben Betroffene das Recht, den Datenschutzbeauftragten zu allen sie im Kontext der Verarbeitung ihrer Daten betreffenden Fragen zu konsultieren (Art. 38 Abs. 4 DSGVO). Dies bedingt iVm Art. 37 Abs. 2 DSGVO (leichte Erreichbarkeit von jeder Niederlassung aus) per se ein Mindestmaß an räumlicher Nähe zur Unternehmensorganisation. Mit Blick auf die potenzielle Sensibilität von Betroffenenanliegen ist zudem wohl auch eine ausreichende persönliche Erreichbarkeit des Datenschutzbeauftragten nötig (Präsenzzeiten im Unternehmen oder in unmittelbarer Umgebung). Blickt man auf die spezifischen Aufgaben des Datenschutzbeauftragten in Art. 39 DSGVO, so erscheint es zweifelhaft, dass diese in einer großen Organisation bewältigt werden können, ohne dass eine permanente Eingebundenheit in die täglichen Abläufe besteht („interner Beauftragter“).“
Da die Bestimmung der SV-DSV auch für die in-house-GmbHs gelten und diese teilweise (z. B. die ITSV) einen 7x24 Stundenbetrieb haben, ist in diesen Fällen die „übliche“ Kundendienstzeit (also z. B. Kernzeit) gemeint.
Zu § 6 Abs. 4
Im Hintergrund ist organisatorisch darauf zu achten, dass neben dem gemeldeten Datenschutzbeauftragten auch für eine Stellvertretung (z. B. für Abwesenheiten) gesorgt wird. Eine formelle Bestellung eines Stellvertreters ist nicht erforderlich, es muss nur organisatorisch für eine Vertretung bei Abwesenheiten gesorgt werden.
Eine Neuerung ergibt sich daraus, dass es in Zukunft den „Betreiber“ eines Informationsverbundsystems (der bisher nach § 50 DSG 2000 gewisse Aufgaben hatte) nicht mehr geben wird – es muss aber einen Ablauf geben, nach welchem sich Auskunftswerber richten können, um an die zuständige Stelle zu gelangen. Der Hauptverband soll nicht die Rolle einer zentralen Auskunftsstelle über Zuständigkeiten übernehmen müssen, wenn diese Zuständigkeiten auch sonst einfach samt Ansprechpartnern feststellbar wären. Diesem Zweck soll neben den im Text vorgeschlagenen Zuständigkeitsregeln eine möglichst transparente und einheitliche Darstellung der Erreichbarkeiten (einheitliche Mailadressen, Übersichten usw.) dienen. Die E-Mail-Adressen der Datenschutzbeauftragten sollten nicht zuletzt deswegen einheitlich lauten und zwar nach dem Schema: dsb@[Trägerkürzel].at. Solche Adressen werden vom Hauptverband auf Wunsch eines Sozialversicherungsträgers angelegt (der selbstverständlich diese Adresse aber auch eigenständig anlegen kann). Hinter diesen E-Mail-Adressen dürfen und können andere (und auch mehrere) E-Mail-Gruppen-Adressen liegen, die Weiterleitung an nur eine einzelne natürliche Person ist hingegen keinesfalls sinnvoll. Es wäre auch denkbar, mehrere Personen als Datenschutzbeauftragte zu bestellen (§ 5 Abs. 4 DSG). Davon sollte aber (nicht zuletzt zur Vermeidung von Unklarheiten, Reibungsverlusten) nicht Gebrauch gemacht werden, sondern stattdessen eine enge interne Zusammenarbeit aller betroffenen Bereiche (Recht und IT-Org.) organisiert werden.
Schriftverkehr per E-Mail sollte aber, da E-Mail-Adressen nach Belieben gestaltbar sein können (und daher von sich aus keine sichere Identifizierung ermöglichen), vermieden werden bzw. nur dann erfolgen, wenn die Identität des Mailpartners eindeutig ist.
Das Rückmeldeformular auf der Seite des Datenschutzbeauftragten des Hauptverbandes ist derzeit so geplant, dass Anfragen direkt in dessen Datenschutzbüro einmünden und die Meldungen mit einer laufenden Rückantwortnummer versehen werden, auf die man sich bei späteren Mails beziehen kann (da erfahrungsgemäß oft mehrere Mails zu einem Thema bzw. Anfragen derselben Person kommen). In diesem Formular würde auch auf etwaige Mitwirkungspflichten des Antragstellers hingewiesen werden.
Die Sozialversicherungsträger können dieses Rückmeldeformular dann für ihren Bereich übernehmen, soweit diese auch bereits über eine elektronische Abwicklung solcher Anfragen verfügen.
Die Vorgabe von einheitlichen E-Mail-Adressen für die Datenschutzbeauftragten gründet sich auf § 31 Abs. 5 Z 4 ASVG (EDV-Richtlinien) bzw. Z 5 (Koordinierung der Öffentlichkeitsarbeit).
Falls sich z. B. großer Bedarf an Kundenkontakten zeigt (Versicherte und Dienstgeber usw.), kann angedacht werden dafür das Call-Center bei der ITSV einzubinden, zumal diese Gesellschaft eine sogenannte „in-house“-Gesellschaft (vgl. § 18 Abs. 1 REDV 2006) und somit weisungsgebunden ist.
Auf der Website der SV wird weiters ein Formular geplant (mit Prüfungsfunktion, wie z. B. mit Captcha [completely automated public turing test to tell computers and humans apart]) mit der die DSB aller SVT und jener Stellen erreichen könnte, für die der HV Auftragsverarbeiter ist. Auch wenn dies mehrere Stellen werden (jedenfalls alle KFAs und die Ministerien z. B. nach GesundheitsdokumentationsG), ist eine solche Liste ohnedies nach Art. 30 Abs. 2 lit. a DSGVO zu führen und daher kein wesentlicher Zusatzaufwand. Ob alle Stellen dieser Liste einen DSB haben werden, ist fraglich, aber auch diese Stellen werden der Vollständigkeit halber in dieser Liste enthalten sein (in derartigen Fällen wird dann der Verantwortliche [Gemeinde, Gemeindeverband, bzw. Land) angeführt werden).
Auf der Website des HV (und in weiterer Folge auch auf „sozialversicherung.at“) wird ein Hinweis geschaffen, dass elektronische Auskünfte (aus Sicherheitsgründen) nur direkt über das SV-Postfach (bzw. bis Jahresende 2018 noch) der SV-Briefbox erhalten werden können, nicht jedoch per e-mail oder Telefon.
Die vorläufige Seite des DSB des Hauptverbandes findet sich unter:
http://www.hauptverband.at/portal27/hvbportal/content?contentid=10007.785159&portal:componentId=gtn787c17bb-7b66-48a6-87bd-8c0c62b9c13d&viewmode=content
[aufgerufen: 13. 3. 2018].
Zu § 6 Abs. 5
Insbesondere soll gewährleistet sein, dass es eine Kontaktstelle gibt, die nicht nur leicht erreichbar ist, sondern auch zeitnah erforderliche Unterlagen, etc. zur Verfügung stellen kann.
Zu § 6 Abs. 6
Diese Bestimmung soll vor allem auch dem Schutz der betroffenen Personen dienen, die sich an den DSB gewandt haben oder zu deren Daten dieser gemäß Art. 38 Abs. 2 DSGVO Zugang hat. Dies ist auch im Beschäftigungskontext von Bedeutung, um zu verhindern, dass sich Beschäftigte aus Angst vor Nachteilen am Arbeitsplatz sich dem DSB nicht anvertrauen.
Die Regelung schützt aber auch den DSB selbst, weil er sich gegenüber dem Ansinnen des Managements oder z. B. der Personalverwaltung, die Identität von Beschwerdeführern mitzuteilen, auf diese Rechtspflicht der Vertraulichkeit berufen kann.
Zu § 6 Abs. 7
Die Sozialversicherungsträger und der Hauptverband haben Aufgaben der öffentlichen Verwaltung, die ihnen durch Gesetze übertragen sind. Diese Aufgaben können nicht an andere Stellen weitergegeben werden, die Verantwortung für die Erledigung dieser Aufgaben bleibt stets bei der Stelle, die das Gesetz als verantwortlich festlegt (siehe auch die Bestimmung über die Funktionärshaftung in § 424 ASVG). Auch aus dem Grund der Management-/Funktionärshaftung erscheint es nicht zielführend eine externe Stelle/Person mit der Funktion des DSB zu besetzen.
Datenschutzbeauftragte sind nicht als zusätzlicher Sprecher oder als Geschäftsführungsorgan eines Rechtsträgers vorgesehen (damit auch nicht verantwortliche Beauftragte nach § 9 Abs. 4 VerwaltungsstrafG, weil keine Anordnungsbefugnis für den der Verantwortung unterliegenden Bereich vorhanden ist).
Zu § 6 Abs. 8
Erwägungsgrund 97 der DSGVO spricht nicht nur von Weisungsfreiheit, sondern von einer „vollständigen“ Unabhängigkeit. Es muss daher sichergestellt sein, dass der DSB nicht in eine hierarchische Aufbauorganisation eingebunden ist oder von sonstigen Stellen Anweisungen erhält. So muss es ihm auch freistehen, ob und wann er sich an die Aufsichtsbehörde wendet (was sich aus seinen Aufgaben nach Art. 39 DSGVO ergibt).
Der DSB hat gegenüber seinem MitarbeiterInnen (die ihm vom Verantwortlichen im Rahmen eines DSB-Büros zur Verfügung zu stellen sind) sehr wohl ein Weisungsrecht.
Es ist in diesem Zusammenhang auch zu überlegen, ob der jeweilige Verantwortliche nicht vorsehen sollte, für den Fall, dass der/die Datenschutzbeauftragte, sofern es sich um eine interne Benennung handelt (und ihre/seine MitarbeiterInnen) aufgrund der Tätigkeit in dieser Funktion von Dritten belangt werden sollten, ihnen Rechtsschutz und dessen Finanzierung in gerichtlichen und/oder verwaltungsbehördlichen Verfahren, bei Zweckmäßigkeit zur abschließenden Klärung der Rechtslage auch bis zu den Höchstgerichten auf innerstaatlicher und/oder europäischer Ebene usw., zugesagt wird (vgl. diesbezüglich z. B. den Beschluss des Verbandsvorstandes des Hauptverbandes vom 12. 9. 2017; Top 8, Antragspunkt 3.).
Die Frage, ob und inwieweit bei Bestellung Externer dennoch Rechtsschutz nach § 31 Abs. 3 Z 8 ASVG gewährt werden kann, wird bejaht: Die Gewährung von Rechtsschutz durch dazu befugte Personen in Streitfällen, die für die Sozialversicherung von grundsätzlichem Interesse sind, ist nicht nur auf Sozialversicherungsträger beschränkt. Eine klare und rechtssichere Auslegung des Datenschutzrechts wird meist auch im grundsätzlichen Interesse der Sozialversicherung liegen.
Zu § 6 Abs. 9
Damit der DSB seine Aufgaben nach Art. 39 DSGVO erfüllen kann, muss er in allen diesen Angelegenheiten proaktiv unterstützt werden, sodass er nicht alleine darauf angewiesen ist, sich für seine Aufgaben erforderlichen Informationen durch eigene Nachforschungen selbst zu beschaffen.
Eine frühzeitige Einbindung, wie in Art. 38 Abs. 1 DSGVO gefordert, ist nur dann gegeben, wenn der DSB bereits im Anfangsstadium einer Datenverarbeitung eingebunden wird, sodass er vor allem bei der Änderung oder Einführung einer Datenverarbeitung schon im Vorfeld bezüglich der geplanten Umsetzung eine Stellungnahme dazu abgeben und diese bei der Entscheidungsfindung berücksichtigt werden kann. Alles andere wäre nur mehr eine „nachträgliche Korrektur“, was nicht den Anforderungen der DSGVO entsprechen würde.
Damit ist auch die Gewährleistung des Zugangs zu personenbezogenen Daten und Verarbeitungsvorgängen verbunden. Der DSB muss in der Lage sein, sich selbst ein Bild von den durchgeführten Datenverarbeitungen zu machen, weil diese Gegenstand seiner Überwachung sind. Das schließt den Zugang zu Räumlichkeiten und Einrichtungen ein, in der die Datenverarbeitung stattfindet sowie zu den einschlägigen Unterlagen der Dokumentation. Im Sinne des Art. 39 Abs. 1 lit. b DSGVO darf dieses Zugangsrecht weder zeitlich noch räumlich beschränkt sein – noch darf es von einer vorherigen Anmeldung oder einer Autorisierung durch das Management abhängig gemacht werden.
Das unmittelbare Zugangsrecht ist vor allem auch dort von Bedeutung, wo es zu unterschiedlichen Auffassungen zwischen dem DSB und Fachabteilungen kommt. Nur dadurch ist er in der Lage, unmittelbar der höchsten Managementebene Alternativen zu einer aus seiner Sicht bedenklichen Verarbeitung zu erörtern. Entscheidet dieses gegen seine Auffassung, so bleibt es in der Verantwortung des Verantwortlichen bzw. des Auftragsverarbeiters.
Zur Unterstützungspflicht nach Art. 39 DSGVO gehört auch dazu, die erforderlichen Ressourcen zur Verfügung zu stellen (sachliche und personelle Mittel). Sollte der DSB neben seiner Tätigkeit noch andere Aufgaben wahrnehmen, so ist darauf zu achten, dass es dabei nicht zu einem Interessenkonflikt kommt. Ein solcher Interessenkonflikt wäre die gleichzeitige Wahrnehmung mit Aufgeben der IT-Leitung, der Leitung der Personalverwaltung oder Aufgaben der Geschäftsleitung, weil dann der DSB sich quasi selbst überwachen würde.
----
Besonderer Teil - 3. Änderung
Zu Z 13 -  § 6 Abs. 1
§ 6 Abs. 1 zweiter Satz wird gestrichen, da durch die Einführung der Österreichischen Gesundheitskasse keine Not-wendigkeit mehr dafür besteht – insbesondere auch, weil nach den einschlägigen Datenschutzbestimmungen ein DSB pro Rechtsträger zu bestellen ist
----
Zu § 7 – Datengeheimnis
Wie auch im DSG soll mangels einer expliziten Regelung des Datengeheimnisses in der DSGVO eine dem § 15 DSG 2000 äquivalente Regelung in der gegenständlichen Verordnung beibehalten bzw. die Regelung des § 6 DSG näher ausgeführt werden.
----
Besonderer Teil - 3. Änderung
Klargestellt wird, dass auch die Verschwiegenheitspflicht des § 7 „durchbrochen“ werden kann, wenn ein rechtlich zulässiger Grund für eine Übermittlung der anvertrauten oder zugänglich gewordenen personenbezogenen Daten be-steht (z. B. Entbindung von MitarbeiterInnen von der Verpflichtung zur Wahrung des Dienstgeheimnisses bei Vorlage eines rechtlich zulässigen Grundes).
----
Zu § 8 – Grundsätze für die Verarbeitung von personenbezogenen Daten
Zu § 8 Abs. 1
Der Zweckbindungsgrundsatz nach Art. 5 Abs. 1 lit. b DSGVO wird durch Art. 6 Abs. 4 DSGVO modifiziert. Demnach ist unter engen Voraussetzungen die Verwendung von Daten auch zu anderen Zwecken als jenen, für welche sie ursprünglich erhoben wurden, zulässig.
Dieser Ansatz wurde im Zuge des Gesetzgebungsprozesses von Österreich kritisch gesehen; vgl. dazu Fercher/Riedl, DSGVO: Entstehungsgeschichte und Problemstellungen aus österreichischer Sicht in Knyrim (Hrsg.), Datenschutz-Grundverordnung [2016] S. 22 ff; vgl. dazu weiter Kotschy, Zweckbindungsprinzip und zulässige Weiterverarbeitung, Debattenbeitrag zur Datenschutz-Grundverordnung (Version 23. 6. 2016), abrufbar unter:
http://bim.lbg.ac.at/de/themen/datenschutz-grundverordnung
[aufgerufen am 13. 9. 2017].
Aufbauend auf die Judikatur des EuGH zu Art. 7 DSGVO (vgl. dazu zuletzt das Urteil vom 19. 10. 2016, C-582/14, Breyer) ist davon auszugehen, dass auch Art. 6 DSGVO eine abschließende Aufzählung zulässiger Eingriffe enthält und die Mitgliedstaaten keine zusätzlichen Gründe für Eingriffe normieren können.
Hinzuweisen ist auch darauf, dass daneben auch Art. 8 der Charta der Grundrechte der Europäischen Union (GRC) zu beachten ist.
Zu § 8 Abs. 2 Z 1 und Z 2
Die DSGVO befreit zwar teilweise von den bisherigen Melde- und Vorabpflichten, setzt im Gegenzug dazu aber auf mehr Eigenverantwortung des Verantwortlichen (Art. 5 Abs. 2 und Art. 24 DSGVO). Die Verantwortlichen haben dabei nach dem Grundsatz der Rechenschaftspflicht („accountability“) nach Art. 5 Abs. 2 DSGVO die Rechtmäßigkeit der Datenverarbeitung nachzuweisen. Neben einer expliziten Rechtsgrundlage ist die Rechtmäßigkeit der Verarbeitung jedenfalls auch bei einer Einwilligung (nach der DSGVO) gegeben, sowie bei vertraglichen Beziehungen, die auf expliziten gesetzlichen Grundlagen beruhen.
Erwägungsgrund 45 der DSGVO führt dazu u. a. aus, dass nicht für jede einzelne Verarbeitung ein spezifisches Gesetz verlangt wird. Ein Gesetz als Grundlage für mehrere Verarbeitungsvorgänge kann ausreichend sein, wenn die Verarbeitung aufgrund einer dem Verantwortlichen obliegenden rechtlichen Verpflichtung erfolgt oder wenn die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse erforderlich ist.
Zu § 8 Abs. 2 Z 1
Zur Wahrung der gesetzlichen Aufgaben gehört auch z. B. die Verarbeitung von Daten über Strafverfahren/Strafdaten (zwecks Hintanhaltung von Missbrauchsfällen), die Einladung von betroffenen Personen zur Vorsorgeuntersuchungen, Versendung von Informationsmaterial, Broschüren, (§ 81a ASVG) etc.
Zu § 8 Abs. 2 Z 3
Es soll mit dieser Bestimmung klargestellt werden, dass im Bereich der Sozialversicherung ohne Vorliegen von konkreten Gründen im Sinne des Art. 5 Abs. 1 DSGVO aus dem Vollziehungsbereich des jeweiligen Rechtsträgers keine Datenverarbeitungen erfolgen, auch wenn diese u. U. zulässig wären (für Projekte vgl. § 459e ASVG).
Rechtsträger im Sinne der Z 3 kann auch ein Auftragsverarbeiter sein. Wenn es sich um die ITSV handelt, hat sie nach § 18 Abs. 1 REDV 2006 die Stellung einer eigenen Dienststelle des Sozialversicherungsträgers, womit Art. 28 Abs. 2 DSGVO nicht mehr zur Anwendung kommt.
Zu § 8 Abs. 2 Z 4
Diese Bestimmung war bisher bereits geltendes Recht in der Sozialversicherung – nur zu beachten ist, dass die Bestimmung des Art. 5 Abs. 1 lit. c „Datenminimierung“ noch strenger als bisher auszulegen ist.
Der Unterschied zur bisherigen DS‑RL zur DSGVO wird in der englischen Sprachfassung noch deutlicher, wo die (relativ unbestimmte) Wortfolge „not excessive“ durch „limited to the extent necessary“ ersetzt worden ist.
Nach diesem Grundsatz (Erwägungsgrund 50 der DSGVO) dürfen personenbezogene Daten nur verarbeitet werden, wenn der Zweck der Verarbeitung nicht durch andere Mittel erreicht werden kann. Konkretisiert wird dieser Grundsatz vor allem durch das Gebot der Speicherminimierung sowie die Vorschriften über Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellung („Data Protection by Design and by Default“). Art. 25 Abs. 1 DSGVO fordert die wirksame Umsetzung der Datenschutzgrundsätze und ausdrücklich der Datenminimierung durch geeignete technische und organisatorische Maßnahmen und verweist dabei beispielhaft auf die Pseudonymisierung.
Erwägungsgrund 29 der DSGVO will Anreize für die Anwendung der Pseudonymisierung bei der Verarbeitung personenbezogener Daten schaffen: Pseudonymisierungsmaßnahmen, die eine allgemeine Analyse zulassen, sollten demnach bei demselben Verantwortlichen möglich sein, wenn dieser die erforderlichen technischen und organisatorischen Maßnahmen getroffen hat, um — für die jeweilige Verarbeitung — die Umsetzung der DSGVO zu gewährleisten, wobei jedoch sicherzustellen ist, dass zusätzliche Informationen, mit denen die personenbezogenen Daten einer speziellen betroffenen Person zugeordnet werden können, gesondert aufbewahrt werden. Der für die Verarbeitung der personenbezogenen Daten Verantwortliche, sollte die befugten Personen bei diesem Verantwortlichen angeben.
Der Verantwortliche muss nach der DSGVO eine Speicherfrist festlegen, die auf das unbedingt erforderliche Maß beschränkt bleibt und Fristen für ihre Löschung oder für eine regelmäßige Überprüfung vorsehen (siehe Erwägungsgrund der 39 DSGVO). Eine Ausnahme von der Verpflichtung zur Festlegung einer Speicherfrist besteht für die Verarbeitung von personenbezogenen Daten für ausschließlich im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke.
Ob bzw. wann personenbezogene Daten zu löschen sind, kann nicht allgemein festgelegt werden, weil sich die Notwendigkeit von Aufzeichnungen oft aus dem jeweiligen Einzelfall ergibt. Auf § 16 über die Aufbewahrungsfristen wird verwiesen.
Aus der Bestimmung und den Anforderungen der DSGVO ergibt sich damit eindeutig, dass in allen Applikationen und Datenverarbeitungen der Sozialversicherung (wie bisher) eine Löschprozedur bzw. eine Löschfunktion nachweislich vorhanden sein muss, wonach personenbezogene Daten(arten) ab einem gewissen Zeitpunkt gelöscht werden können (vgl. hiezu auch die Bestimmung über die Aufbewahrungsvorschriften). Dies ist auch in Erwägungsgrund 65 der DSGVO manifestiert: „Insbesondere sollten betroffene Personen Anspruch darauf haben, dass ihre personenbezogenen Daten gelöscht und nicht mehr verarbeitet werden, wenn die personenbezogenen Daten hinsichtlich der Zwecke, für die sie erhoben bzw. anderweitig verarbeitet wurden, nicht mehr benötigt werden…“.
Zu § 8 Abs. 2 Z 5 lit. a
Zum Thema sicherer Datenaustausch bestehen Arbeitsgruppen im Rahmen der Sicherheitsorganisation, deren Ergebnisse zu berücksichtigen wären. Auch hier sei auf die Sicherheitsrichtlinie für die gesetzliche Sozialversicherung (SV-Sicherheitsrichtlinie 2017 – SV-SR 2017) verwiesen.
Zu § 8 Abs. 2 Z 5 lit. c
Unter automationsunterstützten (Übermittlungs-)Verfahren sind sowohl online-Zugriffe, als auch Batch- oder Stapelverarbeitungen sowie andere elektronische (Übermittlungs-)Verfahren zu subsumieren. Unter „…dem Verantwortlichen oder Auftragsverarbeiter gegenüber glaubhaft gemacht…“ ist zu verstehen, dass z. B. ein externer Übermittlungsempfänger (wie z. B. das Justizministerium) angibt, eine interne Revision zu haben und diese regelmäßige Kontrollen durchführt.
Zu § 8 Abs. 2 Z 6
Daten dürfen im Rahmen des DSG nur unter Beachtung des § 81 ASVG, § 27 B-KUVG, § 43 GSVG, § 41 BSVG sowie des § 17 NVG übermittelt werden. Die hier genannten Bestimmungen über die Verwendung finanzieller Mittel der Sozialversicherung bewirken u. a., dass die Organisation der Sozialversicherung (und damit die Beiträge der Dienstnehmer, Dienstgeber und des Bundes) nicht für die Organisation von Auskunftsstellen verwendet werden dürfen.
Zu § 8 Abs. 2 Z 9
Da die DSGVO erstmals eine Privilegierung für die Weiterverarbeitung von Daten für Archivzwecke vorsieht, soll dem in der neuen Z 9 Rechnung getragen werden.
Dabei ist auf die im öffentlichen Interesse liegenden Archivzwecke abzustellen. Die Erwägungsgründe der DSGVO (insbesondere 156 und 162) belegen, dass auch hier der Zweckbindungsgrundsatz greift. In jedem Fall ist also der Zweck maßgeblich. In anderen Fällen – also bei einer Zweckänderung – muss der Verantwortliche im Einzelfall prüfen, ob die Verarbeitung für diese anderen Zwecke mit der bei der Datenerhebung festgelegten Zwecke zu vereinbaren ist.
Das Thema der Archivierung berührt einen heiklen Bereich: Die jüngste Vergangenheit hat gezeigt, dass die Aufklärung länger zurück liegender gravierender Straftaten (Missbrauchsfälle usw.) nur dadurch überhaupt erst möglich werden kann, dass auch alte Aktenbestände herangezogen werden. Das war bisher keine große Schwierigkeit, weil Akten auf Papier im Wesentlichen nicht den Regeln für automationsunterstützte Datenverarbeitung unterlagen. Nunmehr sind aber nahezu alle Akten bereits (nur mehr) elektronisch verfügbar, was dazu führt, dass auf sie das Löschungsrecht/die Löschungspflicht nach Datenschutzrecht anzuwenden ist. Wenn nun Löschungsfristen kürzer sind, können Aufklärungsversuche ins Leere gehen, weil wichtige Beweismittel aus datenschutzrechtlichen Gründen bereits vernichtet werden mussten. Bei der Erarbeitung des vorliegenden Entwurfes wurde die Ansicht vertreten, dass ein solches Ergebnis weder der europäischen noch der österreichischen Rechtsordnung unterstellt werden darf. Es wurde daher die Möglichkeit vorgesehen, Archive nach bestimmen Regeln zu schaffen und dort auch personenbezogene Daten aufzubewahren, ähnlich wie dies in den Archiven des Bundes, der Länder und Gemeinden seit Langem der Fall ist. Auch Archivbestände dieser Stellen müssen nicht vernichtet werden, wenn die dort enthaltenen Daten nicht mehr gebraucht werden.
Erwägungsgrund 156 der DSGVO legt überdies fest, dass die Verarbeitung personenbezogener Daten für im öffentlichen Interesse liegende Archivzwecke, zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken geeigneten Garantien für die Rechte und Freiheiten der betroffenen Person gemäß der DSGVO unterliegen sollte. Mit diesen Garantien sollte sichergestellt werden, dass technische und organisatorische Maßnahmen bestehen, mit denen insbesondere der Grundsatz der Datenminimierung gewährleistet wird. Die Weiterverarbeitung personenbezogener Daten im öffentlichen Interesse … erfolgt erst dann, wenn der Verantwortliche geprüft hat, ob es möglich ist, diese Zwecke durch die Verarbeitung von personenbezogenen Daten, bei der die Identifizierung von betroffenen Personen nicht oder nicht mehr möglich ist, zu erfüllen, sofern geeignete Garantien bestehen (wie z. B. die Pseudonymisierung von personenbezogenen Daten).“.
Zu § 8 Abs. 2 Z 10
Die Berücksichtigung von bPK bezieht sich einerseits auf die Regeln des E-GovG, andererseits darauf, dass auf europäischer Ebene ein staatenübergreifendes Sozialversicherungs-Personenkennzeichen (europäische Sozialversicherungsnummer) diskutiert wird. Bei der Erstellung neuer Datenverarbeitungen soll das berücksichtigt werden, um nicht unnötigerweise allenfalls später höheren Änderungsaufwand auszulösen.
----
Besonderer Teil - 1. Änderung
Zu § 8 Abs. 2 Z 11
Bei den Fachbegriffen handelt es sich um Regeln aus der Statistik, die seit Jahren angewendet werden (vgl. nur die Veröffentlichungen der amtlichen Statistik im Internet) und Rückschlüsse auf Einzelpersonen auch in kleinen Grundgesamtheiten unmöglich machen. Der wissenschaftliche Wert von Aussagen wird dadurch nicht beeinträchtigt, weil es z. B. für eine Untersuchung von Krankheitsverläufen im Regelfall irrelevant ist, ob in einem politischen Bezirk 4, 6 oder 7 Personen von 15.000 an einer bestimmten Krankheit gelitten haben. Das Instrument der k-Anonymität (Definition im Internet siehe z. B. bei Wikipedia) macht messbar, wie die Veränderungen zu gestalten wären, um Sicherheit zu erhalten.
K-Anonymität ist ein fundiertes Konzept zur Beurteilung der Anonymität veröffentlichter Daten. Das Konzept hat große Aufmerksamkeit erfahren, es gab zahlreiche Veröffentlichungen (z. B. Algorithmen zur Herstellung von k-Anonymität). Allerdings ist k-Anonymität in den meisten Fällen in der Praxis nicht ausreichend. Die l-Diversität stellt eine Weiterentwicklung der k-Anonymität dar. Dabei wird eine Unterteilung der Datenbank-Relation in nicht sensible und ein sensibles Attribut vorgenommen. Das sensible Attribut ist dabei nicht Teil des Quasi-Identifikators. Man betrachtet nun Blöcke mit identischen Attributwerten des Quasi-Identifikators. Wenn in jedem Block mindestens l verschiedene Werte des sensiblen Attributs vorhanden sind, ist l-Diversität gegeben.
Siehe dazu auch: https://en.wikipedia.org/wiki/L-diversity
Unter „Target Record Swapping“ ist folgendes zu verstehen: um den Datenschutz zu gewährleisten, werden die Daten (z. B. der Registerzählung bzw. der Abgestimmten Erwerbsstatistik) zu einem festgelegten Prozentsatz mittels einem Verfahren künstlich verändert, also (betrachtet vom Standpunkt der Richtigkeit) „verschmutzt“. Dabei werden z. B. zuerst auf Gemeindeebene jene Personen gesucht, die aufgrund ihrer Merkmalskombinationen leicht zu identifizieren wären. Einzelne Merkmale dieser Personen werden dann mit den Merkmalen anderer Personen, die in einer anderen Gemeinde des gleichen Bundeslandes wohnen, getauscht. Dabei wird darauf geachtet, dass die wichtigsten Eckzahlen nicht verzerrt werden.
----
Zu § 9 – Verarbeitung besonderer Kategorien personenbezogener Daten
Hinzuweisen ist darauf, dass Art. 6 Z 4 DSGVO, der ja unter bestimmten Voraussetzungen eine Zweckänderung der Verarbeitung erlaubt, im Zusammenhang mit Art. 9 DSGVO nicht anwendbar ist. Für eine solche restriktive Auslegung spricht, dass Erwägungsgrund 51 der DSGVO ausdrücklich die Verarbeitung solcher („sensibler“) Daten nur unter dem abschließenden Katalog des Art. 9 Abs. 2 DSGVO für zulässig erklärt.
Zu § 9 Abs. 2 und 3
Vgl. diesbezüglich Erwägungsgrund 52 der DSGVO, wonach Ausnahmen vom Verbot der Verarbeitung besonderer Kategorien von personenbezogenen Daten auch erlaubt sind, wenn die Datenverarbeitung dem Recht der sozialen Sicherheit dient, insbesondere, wenn dadurch die Qualität und Wirtschaftlichkeit der Verfahren zur Abrechnung von Leistungen in den sozialen Krankenversicherungssystemen sichergestellt werden soll, oder wenn die Verarbeitung im öffentlichen Interesse liegenden Archivzwecken, wissenschaftlichen oder historischen Forschungszwecken oder statistischen Zwecken dient.
----
Besonderer Teil - 3. Änderung
Zu Z 16 - § 9 Abs. 1
Bereinigung eines Redaktionsversehens (kein Punkt nach „Art“).
Zu Z 17 - § 9 Abs. 1
Es gibt bereits bisher im § 15 Protollierungsregeln, die auch eine Übergangsfrist bis Anfang 2020 enthalten haben, ebenso Ausweichregeln (§ 15 Abs. 3). Die Verdeutlichung der Grundsätze ändert somit nichts an den bisherigen Abläufen.
In der Vergangenheit wurde erwähnt, dass Art. 9 DSGVO mehrfach auf konkrete Regeln „auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats“ verweist. Darauf soll aufgebaut werden, in Anlehnung an § 2d FOG (Forschungsorganisationsgesetz) sollen spezielle Maßnahmen für die Verarbeitung besonderer Kategorien personenbe-zogener Daten verstärkt erwähnt werden. Damit sollen die Grundrechte, Interessen und Freiheiten der betroffenen Per-sonen unterstützt werden (wobei nicht nur das Auskunftsrecht nach Art. 15 DSGVO, sondern auch alle anderen Be-troffenenrechte nach den §§ 18 ff. dieser Verordnung gemeint sind).
Zu Z 19 – § 9 Abs. 4
Zwar ist in § 11 Abs. 5 Z 5 vorgesehen, dass bei einer Neueinrichtung einer Datenverarbeitung zu prüfen ist, ob die Verarbeitung nicht durch vorgezogene Pseudonymisierung gesichert werden kann, es fehlt aber in der SV-DSV bislang eine Bestimmung für bereits bestehende Datenverarbeitungen.
Deshalb soll zumindest für die Verarbeitung von besonderen Kategorien personenbezogener Daten eine Bestimmung für eine schnellstmögliche Pseudonymisierung – analog z. B. zu § 2f Abs. 4 Z 1 FOG (Forschungsorganisationsge-setz) – eingeführt werden.
Zu diesem Zweck ist die Pseudonymisierungsstelle beim Hauptverband/Dachverband eingerichtet (ab 1. 1. 2020 nach § 30c Abs. 1 Z 7 ASVG).
Der wesentliche Unterschied zwischen dem Pseudonymisierungsverfahren des Hauptverbandes und einer „normalen“ Pseudonymisierung ist, dass die Pseudonymisierung des Hauptverbandes nicht mehr umkehrbar ist.
Die Pseudonymisierung erfolgt dort auf Grundlage entsprechend aufbereiteter Zeichenfolgen durch eine nicht umkehrbare Einwegverschlüsselung, die in ihrer Sicherheit jedenfalls den Kriterien des Art. 4 Z 5 DSGVO entspricht. Wenn eine Pseudonymisierung durch den Hauptverband (SVC, ITSV) als Pseudonymisierungsstelle (§ 31 Abs. 4 Z 10, § 84a ASVG) erfolgt, handelt es sich dabei bereits um eine de-facto-Anonymisierung.
Die Pseudonymisierung im Hauptverband hat ihren Ursprung in der Art. 15a-Vereinarung „Organisation und Fi-nanzierung des Gesundheitswesens“ mit dem Anspruch der statistischen Auswertung von Gesundheitsdaten. Dafür war die Verlaufserhaltung eine wesentliche Funktion. Da eine Umkehrbarkeit für diese Zwecke nicht notwendig ist, wurde ein Verfahren entwickelt, das gleichzeitig anonymisierend und dennoch verlaufserhaltend ist: durch die Berechnungslogik der Pseudonymisierung ist gewährleistet, dass – ausgehend von einer Versicherungsnummer – immer dasselbe Pseudonym errechnet wird; durch die Vernichtung des Schlüssels wird die Rückrechnung verunmöglichet, sodass die Anonymität gewährleistet ist. Datenschutzrechtlich handelt es sich daher genau genommen um ein Anonymisierungsverfahren.
Die Pseudonymisierung funktioniert grundsätzlich mit zwei kryptographischen Schlüsseln: mit dem einen Schlüssel wird aus dem Personenbezug ein Pseudonym errechnet. Mit dem anderen Schlüssel kann man wieder zurückrechnen, sodass am Ende wieder die Ursprungsdaten herauskommen. Bei der Pseudonymisierung des Hauptverbandes wird der Schlüssel für die Rückrechnung vernichtet. Die Ursprungsdaten können daher – wie bei der Anonymisierung - nicht mehr hergestellt werden (bei Anonymisierung gibt es nur einen „Ein-Weg-Schlüssel“ und damit per se keine Möglichkeit der Rückrechnung).
Warum man dennoch ein Pseudonymisierungsverfahren gewählt hat und kein Anonymisierungsverfahren, liegt daran, dass man bei der Pseudonymisierung bei demselben Personenbezug (Versicherungsnummer) innerhalb desselben Auftrages dasselbe Pseudonym erhält (was bei einer Anonymisierung nicht möglich wäre). Damit können zusammen-gehörende Datensätze zusammengeführt werden, zusamengeführt werden, ohne dafür auf Personendaten zurück greifen zu müssen, was für die statistischen Auswertungen relevant ist (= „verlaufserhaltend“).
Im Rahmen eines entsprechenden Auftrags an die Pseudonymisierungsstelle werden auch die „Nutzdaten“ vor der Übermittlung an die Pseudonymisierungsstelle auf das statistisch notwendige Maß aggregiert (z. B. Reduktion der Ad-ressen auf Postleitzahlen oder Bezirksschlüssel, Reduktion von Geburtsdaten auf das Geburtsjahr, usw. – vgl. dazu die allgemeinen Sicherheitsvorkehrungen bei der Behandlung kleiner Datenmengen (k-Anonymität, l-Diversity, etc.), damit diese keinen Rückschluss auf die entsprechende Person erlauben (vgl. dazu auch § 8 Abs. 2 Z 11).
----
Zu § 10 – Einwilligung für die Verarbeitung von personenbezogenen Daten
Auf die besonderen Bedingungen für die Einwilligung eines Kindes nach Art. 8 DSGVO wird nicht weiter eingegangen, da die erhöhten Anforderungen an die Einwilligung nur bei Datenverarbeitung im Zuge der Dienste der Informationsgesellschaft gelten, also „in der Regel gegen Entgelt elektronisch im Fernabsatz und auf individuellen Abruf eines Empfängers erbrachte Dienstleistungen“ sind, wie z. B. App Käufe oder andere (mobile) Mehrwertdienste. Außerdem auch nur dann, wenn das Angebot dieser Dienste einem Kind direkt gemacht wird.
Da dies auf die Sozialversicherung nicht zutrifft, sind die strengen Anforderungen nach Art. 8 DSGVO nicht anwendbar. Auf die Regeln über die sv-rechtliche Handlungsfähigkeit ab vollendetem 14. Lebensjahr sei verwiesen (§ 361 Abs. 2 ASVG).
Zu § 10 Abs. 1
Der Gegenstand der Einwilligung muss so genau bestimmt sein, dass der Zweck und die Verhältnismäßigkeit jener Datenverarbeitung beurteilt werden kann, die der Einwilligung unterworfen wird. Es kommt somit wesentlich auf die Beschreibung der beabsichtigten Datenverwendung in der Information an die betroffene Person an und auf die Formulierung einer etwaigen vorformulierten Einwilligungsklausel.
Welche Angaben für eine ausreichende Information der betroffenen Person erforderlich sind, ergibt sich in der DSGVO aus den Artikeln 13 (Erhebung von personenbezogenen Daten der betroffenen Person) und 14 (Erhebung von personenbezogenen Daten über die betroffene Person bei Dritten).
Die Information muss klarstellen, wer (Name und Kontaktdaten) im Falle einer erteilten Einwilligung welche Daten für welchen Zweck und welchen Zeitraum verarbeiten und – falls anwendbar – an wen übermitteln wird. Wenn Daten bei Dritten erhoben werden sollen, muss auch die Quelle offengelegt werden.
Zusätzlich muss in jedem Fall auf die jederzeitige Widerrufbarkeit der Einwilligung hingewiesen werden (wobei klarzustellen ist, wie und wo der Widerruf erhoben werden kann) sowie auf die Rechte der betroffenen Person gegenüber dem Verantwortlichen der Datenverarbeitung und das Beschwerderecht an die Datenschutzbehörde. Die DSGVO erfordert die Bereitstellung dieser Informationen aber jeweils nur insoweit als die betroffene Person nicht bereits über die Informationen verfügt (Art. 13 Abs. 4 und Art. 14 Abs. 5 DSGVO), was nach den Umständen des Falles zu beurteilen ist.
Erwägungsgrund 39 der DSGVO führt dazu aus: „Der Grundsatz der Transparenz setzt voraus, dass alle Informationen und Mitteilungen zur Verarbeitung … (der) personenbezogenen Daten leicht zugänglich und verständlich und in klarer und einfacher Sprache abgefasst sind. Dieser Grundsatz betrifft insbesondere die Informationen über die Identität des Verantwortlichen und die Zwecke der Verarbeitung und sonstige Informationen, die eine faire und transparente Verarbeitung im Hinblick auf die betroffenen natürlichen Personen gewährleisten, sowie deren Recht, eine Bestätigung und Auskunft darüber zu erhalten, welche sie betreffende personenbezogene Daten verarbeitet werden. Natürliche Personen sollten über die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung personenbezogener Daten informiert und darüber aufgeklärt werden, wie sie ihre diesbezüglichen Rechte geltend machen können.“.
Die explizite Einwilligung betreffend, genügt z. B. das Anklicken einer Checkbox („Tickbox“) den Voraussetzungen für eine gültige Einwilligung, da es sich um eine durch aktive Handlung bewirkte Willenserklärung handelt. Vorausgefüllte Checkboxen („Opt-out“ Lösungen) erzeugen hingegen keine gültige Einwilligung (vgl. diesbezüglich Erwägungsgrund 32 der DSGVO).
Die Formulierung „in klarer und einfacher Sprache abgefasst …“ bezieht sich u. a. auf die in den letzten Jahren nicht nur im angelsächsischen Bereich häufiger auftretenden Bestrebungen, Rechtsvorschriften in einfacherer Sprache zu formulieren, vgl. dazu:
http://plainlanguagenetwork.org/plain-2017-in-austria-2/
[aufgerufen: 13. 3. 2018],
deren letzte Tagung im September 2017 in Graz stattfand und vom Verein „Klarsprache“ betreut wurde:
http://www.klarsprache.at/
[aufgerufen: 13. 3. 2018].
Was die „Ausdrücklichkeit“ einer Willenserklärung betrifft, stellt die Art. 29 Gruppe im Working Paper 01197/11/DE WP 187 für die elektronische Kommunikation folgende Beurteilungskriterien auf: „In der Online-Umgebung kann eine ausdrückliche Einwilligung durch die Verwendung elektronischer oder digitaler Signaturen gegeben werden. Sie kann abhängig vom Zusammenhang aber auch durch anklickbare Schaltflächen, das Versenden einer bestätigenden E-Mail, das Anklicken von Icons usw. erteilt werden.“ Dies zeigt, dass zwischen einer „ausdrücklichen“ und einer „schlüssigen“ Willenserklärung nicht scharf unterschieden wird, solange nur eine aktive Handlung vorliegt, die die Einwilligung zum Ausdruck bringt. Es wird darin weiters E-Mail als relevante Möglichkeit anerkannt.
Wenn Art. 7 Abs. 2 DSGVO von einer „schriftlichen Erklärung“ der Einwilligung spricht, erhebt sich die Frage, ob „schriftlich“ mit „unterschriftlich“ gleichzusetzen ist. Einem solchen Verständnis von „Schriftlichkeit“ würden elektronische Erklärungen (z. B. in Form von E-Mails) in aller Regel nicht entsprechen, da sie heute noch immer weitgehend ohne elektronische sichere Signatur abgegeben werden. In den Erwägungsgründen zur DSGVO ist nun davon die Rede, dass die Einwilligung entweder „in Form einer schriftlichen Erklärung, die auch elektronisch erfolgen kann, oder einer mündlichen Erklärung“, einzuholen ist.
Wenn die „Schriftlichkeit“ auf die elektronische Abgabe einer Erklärung ausgedehnt wird, liegt die Schlussfolgerung nahe, dass Schriftlichkeit nach Art. 7 der DSGVO nicht im Sinne von Unterschriftlichkeit, sondern vielmehr nur im Sinne von „Textform“ zu verstehen ist. Eine „schriftliche Einwilligungserklärung“ muss demnach nicht eigenhändig unterschrieben sein, es muss allerdings die Identität der die Erklärung abgebenden Person feststehen. Das ergibt sich aus der österreichischen Judikatur zur Schriftlichkeit, wonach das Erfordernis der Schriftform gewährleisten soll, dass aus dem Schriftstück der Inhalt der Erklärung, die abgegeben werden soll, und die Person, von der sie ausgeht, hinreichend zuverlässig entnommen werden können (vgl. dazu OGH vom 7. 2. 2008, 9 ObA 96/07v).
Dementsprechend ist davon auszugehen, dass es auch für die „schriftliche Einwilligung“ zu einer Datenverarbeitung genügt, wenn die Einwilligung über eine Website oder im Zuge einer (hinsichtlich des Absenders verifizierten) 
E-Mail so erklärt wird, dass der Inhalt der Erklärung in Textform reproduziert werden kann, und nachvollziehbar ist, wer die Erklärung abgegeben hat. Die Authentizität einer Erklärung zu überprüfen, die etwa auf einer Website oder in einem E-Mail abgegeben wird, ist naturgemäß schwierig. Allerdings darf nicht außer Acht gelassen werden, dass es sich dabei um verkehrsübliche Abschlussformen im elektronischen Geschäftsverkehr handelt und auch unterschriebene Erklärungen nicht vor Fälschung geschützt sind. Wenn daher die Umstände einer Erklärung dafür sprechen, dass sie von der betroffenen Person selbst stammt (z. B. E-Mail-Adresse ist ident mit der bekannt gegebenen), besteht kein vernünftiger Grund, weshalb eine solche Erklärung nicht als wirksam betrachtet werden sollte; andernfalls würden die Anforderungen an die Schriftlichkeit wohl überspannt.
Unter „nicht schriftlicher“ Einwilligung sind auch alle aktiven Handlungen zu verstehen (wie z. B. das Stecken der e-card), die in weiterer Folge (das Stecken der e-card dokumentiert z. B. den Abschluss eines Behandlungsvertrages mit bestimmten Inhalten und Rahmenbedingungen) mit der Handlung in unmittelbaren Zusammenhang stehen.
Zu § 10 Abs. 2
In Art. 7 Abs. 3 DSGVO ist nunmehr ausdrücklich festgehalten, dass die Einwilligung jederzeit vom Erklärenden widerrufen werden kann, und zwar ohne Notwendigkeit, irgendwelche rechtfertigende Gründe anzugeben.
Eine besondere Qualität der Widerrufbarkeit muss gemäß Art. 7 Abs. 3 DSGVO insofern vorgekehrt sein, als der Widerruf der Einwilligung so einfach möglich sein muss wie die ursprüngliche Erteilung der Einwilligung. Fraglich ist, ob dieses Simplizitätsgebot auch dann eingehalten ist, wenn zwar die Einwilligung durch das Anklicken eines Kästchens erfolgt, der Widerruf aber z. B. nur durch ein E-Mail an den Websitebetreiber abgegeben werden kann, wie dies bislang in vielen Fällen gehandhabt wird. Als Maßstab für die Verwirklichung des Simplizitätsgebots werden wohl die technischen Möglichkeiten und die Zumutbarkeit ihrer Einrichtung durch den Verantwortlichen gelten müssen.
Zu § 10 Abs. 3
Insoweit die Sozialversicherung gesetzliche Aufgaben erfüllt, wie z. B. Einladung von betroffenen Personen zur Vorsorgeuntersuchungen, Versendung von Informationsmaterial, Broschüren (vgl. § 81a ASVG) etc., ist keine Einwilligung notwendig. Die Vollziehung von Gesetzen kann nicht allgemein an die Einwilligung im Einzelfall geknüpft sein.
Zu § 11 – Datensicherheitsmaßnahmen
§ 11 SV-DSV soll die Grundsätze der Art. 25 und 32 DSGVO näher ausführen.
Auch wenn die hohen Geldbußen der DSGVO (z. B. nach Art. 32 und 83 Abs. 6) die Sozialversicherung nicht betreffen (weil nach § 30 Abs. 5 DSG gegen öffentliche Stellen auch nach den bekannten Novellierungsvorhaben keine Geldbußen verhängt werden können, soweit diese sich im Rahmen der Vollziehung bewegen, siehe den Initiativantrag 189/A BlgNR XXVI. GP), sieht das Datenschutzrecht aber andere Sanktionen wie z. B. Schadenersatz vor (§ 29 DSG), sodass auf sorgfältigste Datensicherheitsmaßnahmen zu achten ist. Ebenso gibt es wie bisher die Beschwerdemöglichkeit an die Datenschutzbehörde (§ 24 DSG). Der Begriff „Vollziehung“ ist hier nach dem jeweiligen Gesetz auszulegen – wenn z. B. das SV-Recht in wesentlichen Bereichen die Leistungserbringung über den Abschluss privatrechtlicher Verträge vorsieht (z. B. bei Krankenanstalten, Ärzten, Apothekern), erfolgen die entsprechenden Vertragsabschlüsse und deren Erfüllung seitens des Sozialversicherungsträgers ebenfalls als Vollziehungsakte, zumindest soweit dies im Rahmen des Datenschutzrechts relevant sein könnte.
Zu § 11 Abs. 2
Die Richtigkeit der Verarbeitungsergebnisse sollte z. B. durch Implementierung von Prüfalgorithmen im Rahmen der Softwareentwicklung zur Sicherstellung einer qualitativ hochwertigen Datenerfassung sowie hernach in regelmäßigen Abständen durch Stichproben oder Prüfprogramme überprüft werden.
Bei Standardprodukten ist es ausreichend, wenn der zuständige standardproduktverantwortliche Träger derartige Tests durchführt.
Zu § 11 Abs. 3
Um den Verlust von Daten zu verhindern ist insbesondere auch auf technische und organisatorische Vorgaben für Serverräume zu achten (wie z. B. angepasste Aufteilung der Stromkreise, lokale unterbrechungsfreie Stromversorgung, etc.) sowie ein zeitnahes Einspielen sicherheitsrelevanter Update vorzusehen.
Zu § 11 Abs. 4
Löschung bedeutet, dass Daten nicht mehr mit normalen Mitteln für den Produktivbetrieb zugreifbar bzw. wiederhergestellt werden können. Angesichts der Möglichkeiten moderner Daten-Wiedergewinnungsmethoden wäre ein völliges Löschen nur mehr durch völlige Vernichtung der jeweiligen Datenträger möglich (selbst von zerbrochenen/zerkratzen CDs oder mehrfach überschriebenen Festplatten etc. ist dem Vernehmen nach mittlerweile eine zumindest teilweise Wiederherstellung möglich). Die Löschabläufe haben nicht von vornherein mit der unzulässigen Anwendung „geheimdienstlicher Methoden“ oder anderer forensischer Mittel zu rechnen, wohl aber ist gegen solche Attacken möglichst Vorsorge zu treffen (aktuelle Firewalls, elektrisch getrennte Verarbeitungen, Abschirmungen in technisch vertretbarer Intensität etc.).
Löschen bedeutet auch nicht, dass einschlägige Daten von Sicherheitskopien, Archivkopien ebenfalls und jederzeit zu löschen wären. Es ist aber durch entsprechende Aufzeichnungen, allenfalls auch händische Eingriffe, darauf zu achten, dass nicht bei der Verwendung solcher Kopien (Rückspielen eines back-ups) gelöschte Daten wieder in den ursprünglichen Verarbeitungsablauf zurückkommen. Löschen kann z. B. durch mehrmaliges Überschreiben mit Zufallsdaten oder Bitmustern erfolgen, eine Vernichtung des Datenträgers (angesichts der Tatsache, dass mit hohem Aufwand auch gelöschte Daten wiederherstellbar sein können) ist nicht verlangt.
In back-up-Datenbeständen und damit auch in Archiven muss nach der zum Zeitpunkt der Endredaktion bestehenden verbreiteten Ansicht nicht gelöscht werden. Abgesehen davon dass dies schon aus technischen Gründen nicht immer möglich sein wird, gehören funktionierende (und in diesem Sinn auch vollständige) back-ups und Archive zur sicheren Organisation von Datenverarbeitungen und damit zum Business-Continuity-Management. Sie sind Teil der jeweiligen Datenverarbeitung, nicht Selbstzweck.
Zu § 11 Abs. 5
Die Datensicherheitsmaßnahmen des Abs. 5 sind im Sinne des Art. 32 DSGVO zu interpretieren. Diese Bestimmung verlangt unter anderem die Berücksichtigung des Stands der Technik und der Implementierungskosten. Folglich muss das Paket von Maßnahmen regelmäßig unter dem Aspekt der technologischen Weiterentwicklung – und falls nötig – dem Stand der Technik angepasst werden. Damit sind technische Maßnahmen gemeint, die bereits zur Verfügung stehen und sich entsprechend bewährt haben (also keine Techniken, die gerade neu entwickelt wurden oder noch im Entwicklungsprozess sind). Die jeweilige Maßnahme muss ihre Effektivität und ausreichende Sicherheit bereits gewährleisten.
Die Datensicherheitsmaßnahmen des Abs. 5 sind ein Mindeststandard. Wenn andere verbindliche Vorschriften der Sozialversicherung, wie z. B. die SV-Sicherheitsrichtlinie (SV-SR), amtlich verlautbart im RIS, avsv Nr. 95/2017, oder die Informationssicherheitsstrategie der österreichischen Sozialversicherung (InfoSec-Strategie), verbindlich erklärt durch Beschluss der Trägerkonferenz bzw. § 3 Abs. 3 der SV-RL (§ 31 Abs. 6 ASVG), strengere Maßstäbe vorsehen, so sind diese anzuwenden. Widersprüche in anderen Regelwerken sind an die Regelungen dieser Informationssicherheitsstrategie der österreichischen Sozialversicherung anzupassen (ebenfalls § 3 Abs. 3 der SV-RL).
Darunter ist z. B. die Prüfung von Zugriffsprotokollen (zufällige monatliche Stichprobenüberprüfungen durch Innenrevision), Zutrittsregeln (durch eigene IT-Org.), usw. zu verstehen. Bei etwaigen gemeinsamen Verarbeitungen bzw. mehreren Auftragsverarbeitern haben sich diese untereinander zu koordinieren.
Tests (zur Erfüllung von Art. 32 Abs. 1 lit. d DSGVO) können z. B. sein: Penetrationstests (Prüfung, inwieweit die Sicherheit der IT-Systeme durch Bedrohungen von Angreifern gefährdet ist), gezielte, forensische Untersuchungen nach persistenten Indikatoren für eine Infektion durch maßgeschneiderte bzw. noch nicht bekannte Schadsoftware (Netzwerkforensik), proaktive Suche nach APTs, usw.
Zu § 11 Abs. 5 Z 2 bis Z 4
Diese Bestimmungen sollen den Grundsatz der „Zugriffskontrolle“ sicherstellen.
Es muss sichergestellt werden, dass der Zugriffsschutz zu personenbezogenen Daten bzw. die Datensicherheitsmaßnahmen nicht auf den Stand ihrer Einführung „eingefroren“ bleiben, sondern ständig kontrolliert und gegebenenfalls verbessert werden.
Aus der Dokumentation über die erteilten Zugriffsberechtigungen muss sich (für etwaige Überprüfungen) ergeben, welcher Benutzer in welchen Zeitraum Zugriff auf welche Daten hatte. Vor allem Administratorrechte sollten nur Mitarbeitern eingeräumt werden, welche diese tatsächlich benötigen. Im Falle der Beendigung einer Zugriffsberechtigung darf der Benutzername daher auch nicht „gelöscht“ werden, sondern es ist das Ende der Zugriffsberechtigung zu vermerken (siehe bereits oben zum Thema Archivierung: auch bei Beendigung von Dienstverhältnissen kann es zu Themen kommen, die – von welcher Seite auch immer – erst längere Zeit danach anhand elektronischer Datenbestände bewiesen werden müssen).
Es muss aber gewährleistet sein, dass Zugriffsberechtigungen auf Datenverwendungen nicht von vornherein unkontrolliert auf Dauer angelegt werden und diese auch im Bedarfsfalle gesperrt werden.
Die Vorgaben für die Gestaltung von Kennwörtern sind zurzeit gerade im Umbruch. Die jüngsten Empfehlungen des NIST (National Institute of Standards and Technology) vom Juni 2017 gehen von der Kombination von Zeichen/Ziffern/Groß-Kleinschreibung, die alle 90 Tage zu ändern sind, wieder ab hin zu längeren, aber leicht merkbaren Phrasen (der Grund ist dass die häufige Änderungsnotwendigkeit die Nutzer zu einfachen „sprechenden“ Passwörten verleitet hat [z. B. „Pa$$wOrd1“), was es Hackern sehr leicht machte, durch Ersatz von Buchstaben durch Sonderzeichen Passwörter zu erraten).
Betreffend die Verwendung von derartigen Passwörtern sollte nur aus schwer wiegenden technischen Gründen verzichtet werden, wobei der Ankauf eines neuen bzw. eine Umprogrammierung eines bestehenden Softwareproduktes für sich genommen noch kein schwer wiegender technischer Grund ist.
Die Bestimmung der Z 2 richtet sich rein auf Zugriffserteilungen von natürlichen Personen. Nicht davon betroffen sind z. B. die Bürgerkarten-/Handysignaturanwendungen (die ohnehin mittels eindeutiger Zertifikate nachvollziehbar sind). Auch nicht betroffen davon sind automatische Systemabläufe (z. B. Batch-Aktualisierungen, die ohne Eingriff einer natürlichen Person stattfinden).
Z 2 trifft auch die Anordnung, dass bereits „an vorderster Front“ bei den Eingabegeräten (Viren- bzw. sonstige) Schutzprogramme, die die meisten Softwareprodukten ohnehin teilweise bereits standardmäßig enthalten, die Vernichtung oder Veränderung der Daten hintanhalten sollen. Da solche Schutzprogramme aber relativ rasch an Aktualität und damit an Wirksamkeit verlieren, ist auch vorzusehen, dass diese Programme entsprechend nachgerüstet werden.
Die Rückführbarkeit auf die natürliche Person (Z 3), welche den Zugriff getätigt hat, kann bei externen Zugriffen – allerdings nur bei diesen – auch in mehreren Schritten erfolgen (Beispiel: beim SV-Träger Protokoll ist nur eine abfrageberechtigte Behörde oder ein Gericht ersichtlich; erst nach Auswertung durch das das zuständige Ministerium/Landesregierung usw., allenfalls gemeinsam mit dem Bundesrechenzentrum, oder der Gerichts-Protokolle wird auch die konkrete natürliche Person, die den Abruf getätigt hat, eruierbar). Interne abfragende Personen müssen immer auf den ersten Blick erkennbar sein.
Zu § 11 Abs. 5 Z 6
Da eine Übermittlung nur über ein gesichertes Netzwerk strukturiert und zu 100 % nachvollziehbar (und sicher) gestaltet werden kann (damit neben der Vertraulichkeit auch die Authentizität der Daten gesichert ist) und solche Netzwerke mittlerweile in ausreichender Zahl vorhanden sind (Behörden-, CNA, SV-interne Netze, SV-Postfächer, e-card-System, etc.), ist die Verwendung von Datenträgern (unabhängig davon, ob diese verschlüsselt sind) wie USB-Sticks, CD-ROMs, transportable Festplatten, etc. nicht mehr einfach zulässig.
Das schließt solche Verwendungen in speziellen Einzelfällen nicht von vornherein aus: Es ist z. B. durch persönliche Übergabe (face-to-face-Übergabe unter Anwesenden und Zeugen oder getrennte – sichere! – Übermittlung von zweckentsprechenden Schlüsseln) ausnahmsweise denkbar, verschlüsselte Daten auf z. B. einem USB-Stick entsprechend dieser Bestimmung weiterzugeben, wenn dabei
	-	eine Veränderung ausgeschlossen ist
	-	ein Löschen ausgeschlossen ist
	-	der Stick nicht durch Unbefugte durch einen anderen ersetzt werden kann.
Versand per Post oder Botendienst bleibt damit freilich ausgeschlossen, weil der Weg der Sendung nicht abgesichert verfolgt werden kann. Solche Fälle sind angesichts der oben erwähnten Methoden sicherer Datenübermittlung jedoch nur für Einzelfälle in entsprechender Umgebung geeignet (und mit exakter Dokumentation des Vorganges, weil ja auch gesichert sein muss, welche Daten richtigerweise übergeben/empfangen wurden, in Gerichtsverfahren z. B. gegenüber einem Sachverständigen kann das ausnahmsweise ein Weg sein). Vorrang hat stets die Verwendung sicherer Leitungen zu haben, weil damit auch ausgeschlossen wird, dass der verwendete Datenträger beim Empfänger unbeabsichtigt verlorengeht usw. Vertragliche Vereinbarungen über Löschungs- oder Vernichtungspflichten reichen nicht aus, wenn es technisch bessere Wege gibt – Datenschutz durch Technikgestaltung und datenschutzfreundliche Grundeinstellungen nach Art. 25 DSGVO (privacy by design and by default) haben stets Vorrang zu haben.
Zu § 11 Abs. 5 Z 7
Steht für Datenverarbeitungen das e-card-System (§ 31a ff. ASVG, ELSY) zur Verfügung, darf nur dieses – oder ein hinsichtlich der Datensicherheit gleichwertiges System – verwendet werden. D. h. es dürfen insbesondere auch keine SV-externen Cloud-Dienste (z. B. Filesharing Dienste wie Dropbox, Microsoft OneDrive oder Azure, Amazon Web Services) verwendet werden, es sei denn, die SV-externen Cloud-Dienste bieten hinsichtlich der Datensicherheit ein gleichwertiges System. Dies wäre zu prüfen und zu dokumentieren.
Es ist auch zu beachten, dass durch die Inanspruchnahme von Cloud-Services ggf. eine Datenübermittlung in ein Drittland stattfindet, für die es eine gesonderte Rechtsgrundlage braucht. Kommt es zu einer Verletzung des Schutzes personenbezogener Daten in der Cloud (bspw. durch einen Hackerangriff o. ä.) trägt die datenschutzrechtliche Verantwortung (einschließlich schadenersatzrechtlicher Ansprüche) nach außen hin der Verantwortliche.
Zu § 11 Abs. 5 Z 11
Die Formulierung „in Grundzügen“ bezieht sich darauf, dass zumindest für die erste Information oft auch ohne personenbezogene Daten ausgekommen werden kann, um nicht zusätzliche Datenübermittlungen auszulösen.
Zu § 11 Abs. 7
Hintergrund ist Art. 5 Abs. 2 DSGVO – Rechenschaftspflicht („accountability principle“), die sich in mehreren Zusammenhängen manifestiert, grundlegend dazu Art. 24 Abs. 1 DSGVO, wonach die Verantwortlichen „geeignete technische und organisatorische Maßnahmen“ zu setzen haben. Die Idee dahinter ist, dass die Vorkehrungen nicht nur getroffen werden müssen sondern auch der Nachweis vorhanden sein muss, dass sie erbracht wurden. Im Ergebnis schlägt hier der im europäischen Rechtsbereich seit Jahrzehnten bekannte Grundsatz durch, wonach es nicht genügt, „rechtlich richtig“ zu handeln, sondern dass es (im Verhältnis zur Bevölkerung, auch, als eine der Grundlagen demokratischer Legitimation) darum geht: „Justice must not only be done, it must be seen to be done“.
Damit muss sichergestellt werden, dass die Zulässigkeit einzelner Zugriffe auch im Nachhinein überprüft werden kann. Dazu ist es notwendig, über die Benutzerverwaltung Aufzeichnungen zu führen und diese eine bestimmte Zeit hindurch aufzubewahren. Die 3 Jahresfrist wurde gewählt, um eine Gleichschaltung mit der Protokollaufbewahrungsfrist zu haben.
Zu § 11 Abs. 9
Tests (zur Erfüllung von Art. 32 Abs. 1 lit. d DSGVO) können z. B. sein: Penetrationstests (Prüfung, inwieweit die Sicherheit der IT-Systeme durch Bedrohungen von Angreifern gefährdet ist), gezielte, forensische Untersuchungen nach persistenten Indikatoren für eine Infektion durch maßgeschneiderte bzw. noch nicht bekannte Schadsoftware (Netzwerkforensik), proaktive Suche nach APTs, usw.
Allgemein zur Cyber-Sicherheitsstrategie der Sozialversicherungsträger
In dem Zusammenhang sei auch darauf verwiesen, dass der Hauptverband Regelungen zur Cyber-Sicherheitsstrategie für den Bereich der Sozialversicherung entwickelte sowie ein Sozialversicherungs-CERT (Computer Emergency Response Team) gegründet wurde.
Im Bericht des Rechnungshofes (RH) über die Register im Hauptverband, siehe unter:
http://www.rechnungshof.gv.at/fileadmin/downloads/_jahre/2017/berichte/berichte_bund/Bund_2017_39.pdf
[aufgerufen: 21. 3. 2018].
hat dieser festgestellt, dass er seine Empfehlungen zu Cyber-Sicherheitsstrategie als teilweise umgesetzt wertet, weil an der Erstellung des Sicherheitsgesamtbildes der Sozialversicherung gearbeitet wurde, aber weitere prioritäre Maßnahmen zur Hebung der Gesamtsicherheit noch ausständig waren. Der RH hielt daher seine Empfehlung aufrecht, die Inhalte der Cyber Sicherheit umfassend und nach Priorität gereiht aufzuarbeiten und verbindlich umzusetzen.
An der Weiterentwicklung und Aufarbeitung der Empfehlungen wird seitens des Hauptverbandes daher intensiv gearbeitet werden.
Insgesamt wurden folgende Register geprüft (wobei Näheres dazu im obigen Bericht nachzulesen ist):
Register im Hauptverband der österreichischen Sozialversicherungsträger	
Bezeichnung des Registers	Rechtsgrundlagen	
Zentrale Partnerverwaltung (ZPV)	Allgemeines Sozialversicherungsgesetz i.d.g.F.	
Zentrale Versicherungsdatei (ZVD)	Allgemeines Sozialversicherungsgesetz i.d.g.F.	
Zugriffsprotokolle der Online-Verarbeitung des Hauptverbandes (ZUP)	Datenschutzgesetz 2000 i.d.g.F.	
Berechtigungssystem für Standardprodukte (BERE)	Datenschutzgesetz 2000 i.d.g.F.	
Dokumentation des österreichischen Sozialversicherungsrechts (SozDok)	Allgemeines Sozialversicherungsgesetz i.d.g.F.	
Amtliche Verlautbarungen (AVI)	Allgemeines Sozialversicherungsgesetz i.d.g.F.	
Honorarordnungsverwaltung (HONO)	Bundesgesetz über die Dokumentation im Gesundheitswesen i.d.g.F.	
	Verordnung zum Gesundheitsdokumentationsgesetz vom 30. Juni 2010	
Betriebliche (Mitarbeiter-) Vorsorge im Hauptverband (BMV)	Betriebliches Mitarbeiter- und Selbständigenvorsorgegesetz – BMSVB	
Erstattungskodex Basisdatenbank (EKO-BDB)	Allgemeines Sozialversicherungsgesetz i.d.g.F.	
Elektronisches Pensionskonto (ePK)	Allgemeines Pensionsgesetz i.d.g.F.	
Zentraler Patientenindex Z-PI	ELGA-Gesetz (Gesundheitstelematikgesetz 2012)	
Leistungsinformation für Versicherte (LIVE)	Allgemeines Sozialversicherungsgesetz i.d.g.F.	
	Gewerbliches Sozialversicherungsgesetz i.d.g.F.	
	Bauern-Sozialversicherungsgesetz i.d.g.F.	
	Beamten-Kranken- und Unfallversicherungsgesetz i.d.g.F.	
Familienbeihilfedatenbank (FB)	Allgemeines Sozialversicherungsgesetz i.d.g.F.	
	Gewerbliches Sozialversicherungsgesetz i.d.g.F.	
	Bauern-Sozialversicherungsgesetz i.d.g.F.	
	Familienlastenausgleichsgesetz 1967 i.d.g.F.	
e-card-Konsultationssystem (KONS)	Allgemeines Sozialversicherungsgesetz i.d.g.F.	
Anspruchsdatenbank (ANSP)	Allgemeines Sozialversicherungsgesetz i.d.g.F.	

----
Besonderer Teil - 1. Änderung
Zu § 11 Abs. 1
Hintergrund dieser Bestimmung ist, dass die Rahmenbedingungen vieler Datenverarbeitungen durch die Hard- und Software vorgegeben werden – daraus folgt, dass ein effektiver Datenschutz möglichst früh eingesetzt werden muss. Art. 25 DSGVO verwendet in diesem Zusammenhang die Schlagwörter „Privacy by Design“ (Datenschutz durch Technikgestaltung) und „Privacy by Default“ (datenschutzfreundliche Voreinstellungen), was sich aus Abs. 1 ergibt, wonach die Maßnahmen bereits zum Zeitpunkt der Festlegung der Datenverarbeitung zu treffen sind. Idealvorstellung ist ein die konkrete Datenverarbeitung eingebauter Datenschutz („datenschutzfreundliche Voreinstellungen“); die Technik soll im Dienste der Durchsetzung des Datenschutzes stehen. Die einheitliche Klassifizierung der Daten ist ein wichtiger Indikator um die geeigneten technischen und organisatorischen Maßnahmen festlegen zu können. Die Verfügbarkeit von Dienstleistungen, Funktionen eines IT-Systems, IT-Anwendungen oder IT-Netzen oder auch von Informationen ist vorhanden, wenn diese von den Anwendern stets wie vorgesehen genutzt werden können (Definition laut „bsi Grundschutzkatalog“).
Der Auftragsverarbeiter wird in Art. 25 DSGVO zwar nicht direkt verpflichtet, allerdings hat der Verantwortliche nach Art. 28 Abs. 1 DSGVO Auftragsverarbeiter danach auszuwählen, ob diese die Datenverarbeitungen nach den Anforderungen der DSGVO gewährleisten, was auch die Anforderungen des Art. 25 DSGVO mit einschließt.
Zu § 11 Abs. 6
Die „Funktionalität“ im Sinne dieser Bestimmung beinhaltet auch die erforderlichen Datensicherheitsmaßnahmen. Nachdem grundsätzlich eine Produktivsetzung (und damit auch eine manchmal erforderliche Testung mit Datenbeständen, die „Produktiv-“ bzw. originären Echtdaten in Gestaltung und Menge ähnlich sind) erst mit Bestehen einer (in Kraft getretenen) Rechtsgrundlage dafür zulässig ist (siehe dazu auch § 7 und vgl. dazu z. B. § 72 Abs. 3 des Personenstandsgesetzes 2013 – PStG), soll diese Bestimmung diesbezüglich der Klarstellung dienen. Tests mit Echtdaten sind jedenfalls unzulässig (um die Gefahr zu vermeiden, dass dabei die Echtdaten in irgendeiner Weise – auch vorerst unbemerkt – verändert werden). Das hindert nicht daran, einen Ablauf mit großen Datenmengen und mehreren Schnittstellen effizient zu testen. Aber auch dafür wäre ein eigener Testdatenbestand zu verwenden (z. B. Kopie von modifizierten Produktivdaten unter konkreten Sicherheitsvoraussetzungen wie einer gleich sicheren Testumgebung). Die Bestimmung soll nicht dazu führen, dass Anwendungen (nur) mit kleinen Testbeständen getestet werden könnten und in der Praxis das Versagen von z. B. Schnittstellen, Portalen bei großen Datenmengen (großen Antragsmengen, vgl. die Situation bei den Unterstützungserklärungen von Volksbegehren im Februar 2018) sehenden Auges in Kauf genommen würde. Darüber hinaus ist zu prüfen, ob sich bei Funktionsänderung auch der Umfang der Daten verändert und dadurch eine Umstufung der SV-Klassifizierung notwendig wird, und somit eventuell strengere technische und/oder organisatorische Maßnahmen zu treffen sind.
Zu § 11 Abs. 12
Der Begriff Mobile Devices bezieht sich auf Smartphones sowie Tablets, auf denen mobile Betriebssysteme wie zum Beispiel Android, iOS, Windows Mobile, Blackberry OS und dergleichen installiert sind.
Bei personenbezogen Daten auf Mobile Devices handelt es sich unter anderem um Applikationsdaten (z. B. Kontakte, Telefondaten, Kalender, E-Mail, Daten sozialer Netzwerke, etc.), Systemdaten (z. B. Zugangsdaten, Logdaten, etc. ) oder Sensordaten (z. B. Navigationsdaten, Audiodaten, Bild-/Video-Daten, etc.).
Mit den neuen Aufgaben und Einsatzmöglichkeiten von Mobile Devices kommen neue Herausforderungen und Bedrohungen auf die dahinterliegende Technik, Infrastruktur und Organisation zu. Für Mobile Devices gibt es aufgrund ihrer Exponiertheit, ihrer Einsatzmöglichkeiten und der Limitierung der Betriebssysteme (zum Beispiel: Eingriff in das Betriebssystem) bei der Administration ein erhöhtes Bedrohungs- und Gefahrenpotential als bei herkömmlichen IT-Endgeräten. Im Zuge von regelmäßigen Analysen der Bedrohungs- und Gefährdungspotentiale sind nicht nur die Mobilen Devices sondern vor allem auch die verwendeten Daten, die Plattformen (Betriebssystem), Software (Apps), Sensoren (GPS uvm.), Kommunikation (WLAN, Bluetooth uvm.) und die zentrale Infrastruktur (zentraler Managementserver) zu betrachten.
----
Besonderer Teil - 3. Änderung
Zu § 11 Abs. 5 
Auch wenn § 11 Abs. 5 vorrangig technische Datensicherheitsmaßnahmen behandelt, ist bei allen Datenverarbei-tungen auch auf die organisatorischen Maßnahmen im Sinne des Art. 5 Abs. 1 lit. f DSGVO zu achten („Integrität und Vertraulichkeit“). Dies gilt insbesondere für Datenverarbeitungen (also auch Übermittlungen), die nicht auf elektroni-schem Weg, sondern postalisch, vorgenommen werden.
Bei postalischen Erledigungen ist zu unterscheiden, ob ein Antrag (z. B. Versicherungsdatenauszug, aber auch alle anderen Anträge) über die „normale“ Homepage oder über (gesicherten Zugang) über „meine SV“ einlangt:
-	Bei Antrag über die „normale“ Homepage:Da keine sichere Identifizierung möglich ist, muss hier bei postalischen Zusendungen von personenbezogenen Daten die Vertraulichkeit durch Maßnahmen wie Zusendung per RSa-Brief oder eine gleichwertig nachvoll-ziehbare Vorgangsweise gewährleistet sein – Kostenerwägungen allein sind für sich kein Argument, auf diese organisatorische Sicherheit zu verzichten. Andernfalls könnte der Verantwortliche in derartigen Fällen ja auch nicht seiner Rechenschaftspflicht („accountability principle“) nach Art. 5 Abs. 2 DSGVO nachkommen. Grund-legend dazu auch Art. 24 Abs. 1 DSGVO, wonach die Verantwortlichen „geeignete technische und organisatori-sche Maßnahmen“ zu setzen haben. Art. 24 Abs. 2 DSGVO („Verhältnismäßigkeit“) spricht ebenfalls für diese Vorgangsweise, da andernfalls die Verarbeitung (bzw. Übermittlung) zu einem Identitätsdiebstahl oder -betrug bzw. anderen Nachteilen führen kann, weil die betroffenen Personen uU daran gehindert werden, die sie betreffenden personenbezogenen Daten zu kontrollieren (vgl. auch Erwägungsgrund 75 der DSGVO).
-	Bei Antrag über „meine SV“:Da hier bereits eine eindeutige Identifizierung der betroffenen Person vorgenommen worden ist, kann hier dabei wohl bei Bedarf eine „einfachere“ Zustellung (ohne RSa) erfolgen. Allerdings ist davon eher abzuraten: es besteht immer noch die Möglichkeit, dass eine betroffene Person nicht möchte, das eine andere Person, die im gleichen Haushalt wohnt, die personenbezogenen Daten ausgehändigt bekommt.
Die Zustellung von personenbezogenen Daten sollte an jene (Zustell-)Adresse erfolgen, die die betroffene Person wünscht (egal ob In- oder Ausland). Die ZMR-Adresse ist nur dann zu verwenden, wenn keine andere vorliegt. Allein auch schon aus Dienstleistungsgründen sollte im Regelfall nicht von der Wunsch-Zustelladresse abgewichen werden. Hintergrund: Viele Personen lassen sich ihre Unterlagen usw. z. B. an Stellen schicken, wo sie tagsüber erreichbar sind (z. B. Arbeitsplatz), das soll nicht verhindert werden.
Zur Entgegennahme von Anträgen, etc. per E-Mail ist anzumerken, dass diese nicht aus „datenschutzrechtlichen“ Gründen abgelehnt werden sollten – es liegt in der Verantwortung der betroffenen Person, auf welchem Weg diese ihre Daten bekannt gibt (Die Annahme von Postkarten sollte deswegen auch nicht aus „datenschutzrechtlichen“ Gründen abgelehnt werden).
Zu § 11 Abs. 5 Z 1
Bereinigung eines Redaktionsversehens (fehlender Gedankenstrich).
----
Zu § 12 – Meldung von Verletzungen des Schutzes personenbezogener Daten
Sachverhalte könnten sein z. B. der Verlust von Versicherungsmonaten oder von Passwörtern. Da die Datenspeicherungen der Sozialversicherung bereits jetzt mit örtlich getrennten, parallel laufenden Ausweichrechenzentren und gesondert gelagerten Sicherheitskopien geführt werden, ist eine solche Beeinträchtigung nach aktuellem Wissensstand sehr unwahrscheinlich. Es bildet keinen Anlassfall, wenn durch Ausfall einer Datenleitung für vorübergehende Zeiträume keine Abfragen oder Speicherungen möglich sind oder wenn bei Ausfall von Hardware erst eine Sicherungskopie aktiviert werden muss, soweit sich darin nicht ein allgemeiner Mangel zeigt. Weiters sind keine Meldungen zu erstatten, wenn sich zeigt, dass marktübliche Hard- und Software (für alle Betroffenen gleichermaßen) fehlerhaft wären.
Sinn der Data Breach Notification an die Aufsichtsbehörde ist es, diese Behörde von gravierenden Verstößen zu informieren und ihr damit Gelegenheit zu geben, allgemeine Warnungen auszusprechen. Es kann (weder dem europarechtlichen noch dem österreichischen) Gesetzgeber unterstellt werden, eine Regelung geschaffen zu haben, durch welche diese Behörde mit nicht notwendigen Meldungen überschwemmt, schlimmstenfalls dadurch blockiert würde. Das wäre aber der Fall, wollte man auch eine Data Breach Notification für den Fall vorsehen, in denen nur ein Handy-Telefon oder ähnliches verlorengegangen wäre (das ohnedies sofort gesperrt werden kann bzw. wobei ein Zertifikat widerrufen werden kann). Anwendungsbereich der Bestimmung sind z. B. jene Sicherheitsprogramme, die in Zusammenhang mit Firewalls und anderen Absicherungen denkbar wären: auch wenn ein solches Programm erkennt, dass sich ein Virus, Wurm, Trojaner oder eine andere Schadsoftware in eine EDV-Anwendung eingeschlichen hat (dieser aber rasch neutralisiert werden konnte) wäre das in der Regel kein Anlass für eine Data Breach Notification. Eine solche sollte jedoch erfolgen, wenn sich (z. B. in Zusammenarbeit mit den Spezialisten des Gov-CERT) gezeigt hat, dass der Angriff weitergehende Folgen auch für andere IT-Systeme gehabt haben könnte.
Aus einem sv-fernen Bereich wurde folgendes Beispiel bekannt. Auch die laufende Beschäftigung mit Verkehrsunfällen kann nicht Sinn der Data Breach Notification sein: neu typisierte Kraftfahrzeuge sollen ab 2018 ein sogenanntes E-Call-System – ein Unfallmeldesystem – eingebaut haben. E-Call wäre mit der Bordelektronik des Autos verbunden (vgl. dessen Definition in Wikipedia). Das E-Call-System soll neben eventuellen Unfällen auch weitere Vorkommnisse und Informationen speichern, beispielsweise (ausschnittsweise) die Route, die Fahrzeuggeschwindigkeit sowie verschiedene Fahrmanöver des Fahrers und weitere Daten. Dass es sich dabei um personenbezogene Daten handeln kann, liegt auf der Hand. Die Regelung wird aber nicht so ausgelegt werden können, dass jeder Unfall, bei dem dieses System reagiert (oder beschädigt wird) neben anderen Meldungen innert 72 Stunden zu einer Meldung an die Datenschutzbehörde führen müsste, weil durch die Beschädigung eines Kraftfahrzeuges mit diesem System eine Offenlegung einschlägiger Fahrdaten erfolgen könnte. Es entsteht dabei kein (zusätzliches) Risiko für die Rechte und Freiheiten natürlicher Personen.
Ein Beispiel aus dem SV-Bereich: Es wurde versehentlich ein falsches Poststück (Honorarnote) an eine Versicherte aufgrund manueller Kuvertierung zugestellt. Die Honorarnote enthielt neben Kontaktdaten, SVNR auch Gesundheitsdaten (Diagnose). Für solche Einzelfälle ist keine Data Breach Notification nötig, da nicht „auf Dauer leistungsrechtliche Anwartschaften oder Leistungsansprüche der betroffenen Personen oder deren Identitätsdaten (z. B. durch Veränderung) gefährdet wurden“. Es wurden vom Versicherungsträger ausreichende (andere) sofortige Vorkehrungen bzw. Maßnahmen im Sinne des § 12 Abs. 1 getroffen (im vorliegenden Fall z. B. Kontaktaufnahme der betroffenen Person, Mitarbeitersensibilisierung im Umgang mit Schriftstücken mit personenbezogenen Daten, etc.), sodass kein weiteres Risiko mehr anzunehmen war. Einzelfälle, die durch sofortige Maßnahmen in Zukunft verhindert werden können, und somit kein weiteres Risiko mehr darstellen, müssen nicht der DSB gemeldet werden, insbesondere um diese nicht – wie oben erwähnt – mit nicht notwendigen Meldungen zu überschwemmen bzw. diese schlimmstenfalls dadurch zu blockieren.
----
Zu § 12 Abs. 2
Mit der zusätzlichen Meldung an den Chief Security Officer (CSO) des Hauptverbandes soll sichergestellt werden, dass dieser – wenn nötig – etwaige Koordinierungen zentral vornehmen kann.
Zu § 12 Abs. 4
Diese Bestimmung soll deutlich machen, dass im Zweifel eine rasch notwendige medizinische Betreuung (Erste Hilfe) Vorrang hat vor Überlegungen, ob dadurch ein „sehr hohes Risiko“ iSd Art. 34 DSGVO entstehen würde (z. B. bei der Feststellung der Identität von Unfallopfern, der öffentlichen Suche nach Abgängigen, der Aufklärung von Straftaten).
Zu § 13 – Verzeichnis von Verarbeitungstätigkeiten
Mit der Anwendung der DSGVO ab dem 25. Mai 2018 entfällt die Form der Meldepflicht an das Datenverarbeitungsregister. Anstelle dessen ist ein Verzeichnis der Verarbeitungstätigkeiten (kurz auch: Verarbeitungsverzeichnis bzw. VVT) zu führen.
Aus dem Grundsatz der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) ergibt sich, dass sichergestellt sein muss, dass das VVT stets aktuell ist und der Datenschutzbehörde auf Anfrage jederzeit vollständig zur Verfügung gestellt werden kann (Art. 30 Abs. 4 DSGVO, bzw. Erwägungsgrund 82 der DSGVO).
Zu § 13 Abs. 1
Neu ist, dass nach Art. 30 Abs. 2 DSGVO nicht nur die Verantwortlichen, sondern auch die Auftragsverarbeiter ein solches Verzeichnis führen müssen (wenngleich auch in einem geringeren Umfang).
Zu § 13 Abs. 2 Z 4
Für Verantwortliche ist dies generell wie im bisherigen DVR zu verstehen: sodass eine abstrakte Beschreibung der betroffenen Personen (z. B. „Versicherte“, Dienstgeber“, etc.) bzw. der verarbeiteten Daten (z. B. „Adresse“, „Dienstgeberkontonummer“) ausreicht, solange sichergestellt ist, dass klar daraus hervorgeht, welche Personen konkret betroffen sind bzw. welche einzelnen Datenarten verarbeitet werden. Nicht ausreichend wäre (weil nicht informativ) die Angabe von reinen Oberbegriffen (z. B. „Stammdaten der Versicherten“), ohne die Angabe der konkreten Datenarten. Es empfiehlt sich somit die Weiterführung der bisherigen Meldekultur bei DVR-Meldungen.
Auftragsverarbeiter müssen lediglich die Kategorien von Verarbeitungen dokumentieren, die sie im Auftrag von Verantwortlichen durchführen (Art. 30 Abs. 2 lit. b DSGVO). Damit wird dem Umstand Rechnung getragen, dass ausschließlich dem Verantwortlichen die Zweckbestimmung obliegt und nicht alle Verantwortlichen dasselbe technische System des Auftragsverarbeiters für denselben Zweck verwenden müssen.
Wie konkret jeweils die Kategorien erfasst werden müssen, hängt von der Art der Verarbeitung ab. Die Bezeichnung muss die Aufsichtsbehörde in die Lage versetzen, die Zulässigkeit der Verarbeitung zu überprüfen.
Die Datenkategorien, Datenarten, etc. wird der Hauptverband in seinen Musterformularen determinieren, insbesondere um eine einheitliche Vorgangsweise innerhalb der SV zu gewährleisten.
Auftragsverarbeiter, die im „Massengeschäft“ für die SV tätig sind (wie z. B. die ITSV), können ihr VVT an dieser Stelle auf eine Übersichts-Angabe der Kategorien für den Verantwortlichen beschränken (z. B. „Softwareentwicklung“, „Rechenzentrumsbetrieb“, „Testdurchführung“, „Call-Center-Betrieb“, „Bürokommunikation“, „Lohn- und Gehaltverrechnung“, „Hosting Internetsystem“, u. ä.), um das Verzeichnis handhabbar zu erhalten. Sofern eine Anfrage der DSB nach dem VVT eingeht, sollten diese Kategorien jedoch kurz erläutert werden können. Aufgrund der klaren Vorgabe der DSGVO wird der Auftragsverarbeiter aber zumindest eine Liste der Verantwortlichen anbieten müssen.
Zu § 13 Abs. 2 Z 5
Verantwortliche (nicht hingegen Auftragsverarbeiter) müssen nach Art. 30 Abs. 1 lit. d DSGVO alle Kategorien von Empfängern im VVT offenlegen.
Empfänger ist nach Art. 4 Z 9 DSGVO jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Somit sind neben „Dritten“ auch die betroffenen Personen, (wenn vorhanden) andere Verantwortliche und allfällige Auftragsverarbeiter mit umfasst.
Aber auch interne MitarbeiterInnen, die beim Verantwortlichen (oder allfälligen Auftragsverarbeitern) zur Verarbeitung personenbezogener Daten befugt sind, sind Empfänger. Dies ergibt sich aus Art. 4 Z 9 DSGVO („…Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten“). Hiefür ist keine namentliche Aufzählung notwendig (das würde bei großen Betrieben auf ein öffentliches Arbeitnehmerregister hinauslaufen, was keinesfalls Sinn der Sache ist), sondern eine Aufzählung der in Betracht kommenden Abteilungen reicht aus.
Die Regelung trägt u. a. dazu bei, die betroffenen MitarbeiterInnen vor direkten Angriffen der jeweils betroffenen Personen zu schützen, wie dies in der Vergangenheit bereits vorgekommen ist. Eine Darstellung der jeweils zuständigen Abteilungen dient jedoch der von der DSGVO verlangten Transparenz der Abläufe.
Bei Auftragsverarbeitern als Empfänger sind nur diese, aber keine Sub-Auftragsverarbeiter anzugeben (also keine Auftragsverarbeiter, die der Empfänger-Auftragsverarbeiter seinerseits heranzieht).
Die Pflicht zur Dokumentation von Datenübermittlungen an Auftragsverarbeiter oder interne Empfänger ist für das österreichische Datenschutzrecht neu.
Dokumentationspflichtig sind nur tatsächliche und nicht bloß theoretisch mögliche Datenübermittlungen. Wie schon im DSG 2000 (§ 19 Abs. 1 Z 5) ist die Offenlegung von Empfängerkategorien ausreichend, eine namentliche Bezeichnung ist nicht erforderlich (z. B. „Entscheidungsträger gemäß § 22 Abs. 1 BPGG“).
Daher ist auch Amtshilfe nur allgemein zu erwähnen, weil andernfalls „alle Behörden des Bundes und der Länder“ anzuführen wären, die auch (freilich nur jeweils im Einzelfall) über „alle“ für ein jeweiliges Verfahren relevanten Daten Auskunftsberechtigt wären. Dies böte keinerlei zusätzlichen Informationsgehalt.
Wenn die Benennung eines Empfängerkreises ohne nennenswerten Aufwand möglich ist, muss diese vorgenommen werden (z. B. „XY-Pensions-/Mitarbeitervorsorgekasse“ und nicht nur allgemein „Mitarbeitervorsorgekassen“), weil nur für die Übermittlung von Daten an die für den Verantwortlichen zuständige Vorsorgekasse eine entsprechende Rechtsgrundlage gegeben ist. In diesen Fällen die Angabe sonst zu unspezifisch, was sich auch wiederum aus Art. 5 Abs. 2 (Rechenschaftspflicht) ergibt.
Für ein aussagekräftiges VVT ist es (wie bisher) erforderlich, dass genau spezifiziert wird, welche Datenkategorien welchen Empfängerkreisen offengelegt werden – insbesondere da bei umfangreichen Verarbeitungen nicht jede Datenkategorie gleichermaßen an alle Empfänger übermittelt wird. Auch diesbezüglich empfiehlt sich daher eine Weiterführung im Sinne der bisherigen DVR-Meldungen.
Zu § 13 Abs. 2 Z 6
Nach Art. 30 Abs. 1 lit. f DSGVO sind – sofern möglich – die Fristen für die Löschung anzugeben. Sofern klar ist, wann die Löschung bestimmter Daten erfolgt, muss diese Frist angegeben werden.
Auch wenn nicht bei jeder Datenverarbeitung eine konkrete Löschfrist angegeben werden kann, ist es zumindest empfehlenswert, eine abstrakte Löschfrist anzugeben.
Die Angabe einer Löschfrist ermöglicht der Aufsichtsbehörde (DSB) u. a. die Einhaltung der Vorgaben zur Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) und zur Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) zu überprüfen (vgl. auch Erwägungsgrund 39 der DSGVO, wonach eine regelmäßige Überprüfung der Speicherdauer gefordert ist).
Auch wenn die Notwendigkeit einer Löschprozedur bzw. Löschfunktion schon bisher gegeben war, ist zumindest die Verpflichtung zur Dokumentation dazu neu im österreichischen Datenschutzrecht. Verantwortliche haben daher künftig bereits vor – aber spätestens mit der Aufnahme einer Verarbeitung – ein Lösch- (oder Pseudo- bzw. Anonymisierungs-) Konzept zu definieren, das die Löschfristen der einzelnen Datenkategorien festlegt, wobei der Begriff „wenn möglich“ mit Sicherheit sehr eng auszulegen sein wird. Der DSGVO kann nicht unterstellt werden, dass es den Verantwortlichen nach Belieben freisteht, die Dokumentation der Löschfristen festzulegen. Die Angabe dieser Information wird daher regelmäßig erwartet werden.
----
Besonderer Teil -  1. Änderung
Zu § 13 Abs. 2 Z 7
Das VVT sollte auch eine Beschreibung der Datensicherheitsmaßnahmen des Verantwortlichen bzw. des Auftragsverarbeiters gemäß Art. 32 DSGVO und laut Vorgabe der SV-SR enthalten.
Betreffen bestimmte Maßnahmen alle Verarbeitungstätigkeiten, so ist ihre mehrfache Ablage für jede einzelne Verarbeitung nicht nötig. Zur Erfüllung dieser Pflicht empfiehlt sich der Verweis auf z. B. die allgemeine IT-Sicherheitsdokumentation, NIS-Richtlinie, ISO/IEC 27001, diese Datenschutzverordnung, etc. Spezielle Datensicherheitsmaßnahmen (z. B. bei Verarbeitung von besonderen Kategorien personenbezogener Daten), die nur einzelne Verarbeitungstätigkeiten betreffen, können ungeachtet dessen in der entsprechenden Verarbeitungsdokumentation angeführt werden.
----
Zu § 13 Abs. 3
Das DVR bleibt zu Archivzwecken bis Ende 2019 bestehen; eine öffentliche Einsicht bleibt bis zu diesem Zeitpunkt weiter möglich.
Es wurde angeraten, bestehende DVR-Meldungen in ein Verzeichnis nach Art. 30 DSGVO zu übertragen. Einerseits um den Verwaltungsaufwand möglichst gering zu halten und andererseits um eine einheitliches Verzeichnis aller Datenverarbeitungen einer Stelle zu gewährleisten (also nicht nur auf das bisherige DVR verlinken). Der Hauptverband stellt hiezu Musterformulare zur Verfügung.
Die Verpflichtung der Veröffentlichung des VVT beruht auf der Informationspflicht gegenüber den betroffenen Personen (Versicherten). Es genügt dafür die vom Hauptverband zur Verfügung gestellten Musterformulare für den Zweck der Veröffentlichung zu verwenden (d. h. umfangreiche Listen sind nur für die interne Dokumentation, nähere Auskunftsersuchen, insbesondere auch der Datenschutzbehörde, zu führen und diese müssen nicht veröffentlicht werden).
Eine verpflichtende Veröffentlichung auf der jeweiligen Website des Verantwortlichen (bzw. des Auftraggebers) bedeutet somit nur, dass der Zugang zu diesen Informationen für die betroffenen Personen leicht und auf den ersten Blick zugänglich sein muss. Das bedeutet auch nicht, dass das Verzeichnis der Verarbeitungstätigkeiten nicht auch auf einem zentralen Server abgelegt werden kann.
Als entsprechende Website bietet sich an, dies im Umfeld der Website des Datenschutzbeauftragten vorzunehmen.
Zu § 13 Abs. 4
Es wurde bewusst der Begriff „Standardprodukt-Dienstleister“ belassen, da dieser Begriff der REDV 2006 nicht zwingend mit einem Auftragsverarbeiterrolle isd DSGVO deckungsgleich sein muss: ein Standardprodukt-Dienstleister ist vor allem Dienstleister im Hinblick auf die Entwicklung und Wartung eines Softwareproduktes und daher derjenige, der weiß, welche Datenkategorien sein Produkt enthält. Er ist im Regelfall selbst Verantwortlicher für seine Daten, er kann (aber muss nicht) Auftragsverarbeiter für andere sein (siehe § 5 Abs. 2 Z 1 REDV 2006 „Als STP-Dienstleister kann nur ein Sozialversicherungsträger oder die ITSV-GmbH bestimmt werden.“).
Der Begriff „Standardprodukt“ sagt nicht darüber aus, ob es sich um eine Datenverarbeitung im Sinne der DSGVO handelt. Dies ist im jeweiligen Einzelfall gesondert zu prüfen: so gibt es z. B. Standardprodukte, die überhaupt keine personenbezogene Daten enthalten (z. B. AVSV, SozDok) oder Standardprodukte, die nur Technik zur Verfügung stellen (wie z. B. die eSV), aber keine sach- oder anspruchsbezogene Arbeit machen. Technische Organisationsformen müssen nicht verzeichnet werden, nur Datenverarbeitungen (von den jeweiligen Produkt-Entwicklungsverantwortlichen, egal ob es sich dabei um ein Standardprodukt handelt oder nicht). IT-Organisation, IT-Technik und Datenschutz sind verschiedene Bereiche.
Zu § 13 Abs. 5
Diese Bestimmung betrifft die bisherigen sogenannten Informationsverbundsysteme (Aufgabe der bisherigen Betreiber nach § 50 DSG 2000).
Zu § 13 Abs. 6
Vgl. dazu Erwägungsgrund 39 der DSGVO, wonach u. a. eine regelmäßige Überprüfung der Speicherdauer gefordert ist.
Zu § 14 – Datenschutz-Folgenabschätzung
Durch die Einführung der Datenschutz-Folgenabschätzung (englisch: „Data Protection Impact Assessment“, kurz: „PIA“) wird eine neue umfangreiche Compliance-Anforderung eingeführt. Art. 35 DSGVO ersetzt die bisherige Meldepflicht an das Datenverarbeitungsregister (DVR).
Es ist in der Praxis davon auszugehen, dass die Sozialversicherung nur im verminderten Maße von einer Datenschutz-Folgenabschätzung betroffen sein wird. Dies insbesondere aus folgenden Gründen:
Die Datenverarbeitungen der Sozialversicherung sind schon bisher beim DVR registriert und die Mindestanforderungen des Art. 35 DSGVO sind erfüllt (Vorliegen von Org.-Beschreibungen über die Verarbeitungsvorgänge, Bekanntgabe der Rechtsgrundlagen und Zwecke der Verarbeitung, Sicherheitsmaßnahmen, etc.) und werden auch im neuen Verzeichnis von Verarbeitungstätigkeiten (zusätzlich mit den Angaben der Datenkategorien, Empfängern, usw.) veröffentlicht sein.
Die Mindestanforderung „Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen“ ergibt sich bei der Sozialversicherung einerseits schon allein aus dem Gesetz (für eine Datenverarbeitung): ohne dieses kann und darf die Sozialversicherung nicht tätig sein – allerdings muss sie diese auch Gesetze umsetzen (auch wenn dadurch personenbezogene Daten bzw. besondere Kategorien davon verarbeitet werden müssen). Es ist davon auszugehen, dass der Gesetzgeber sich bei Einführung der einschlägigen Normen bewusst war. Da die bisherige Vorabkontrolle (nach DSG 2000) entfällt, bleibt bei Unsicherheit allenfalls eine vorherige Konsultation (nach Art. 36 DSGVO) der Datenschutzbehörde.
Durch das hohe Bewusstsein für Datenschutz innerhalb der Sozialversicherung und Selbstregulierungen (wie z. B. die gegenständliche Datenschutzverordnung) ist davon auszugehen, dass – selbst wenn „Risiken für die Rechte und Freiheiten der betroffenen Personen“ bestehen – diese durch diverse (Sicherheits-)Maßnahmen immer möglichst gering gehalten werden (auch Arg. immer „das gelindeste Mittel“ verwenden).
Auch die Möglichkeit bereits beim Gesetzentstehungsprozess die Datenschutz-Folgenabschätzung vorweg zu nehmen, spricht dafür, dass die Sozialversicherung eher weniger davon betroffen sein wird.
Zu § 14 Abs. 1
Der Hauptverband stellt für etwaige notwendige Datenschutz-Folgeabschätzungen ein Muster bzw. eine Checkliste zur Verfügung, um eine einheitliche Vorgangsweise innerhalb der Sozialversicherung zu gewährleisten.
Zu § 14 Abs. 2
Dies entspricht analog der bisherigen Vorgangsweise der DVR-Mustererstellung durch das zuständige CC.
Zu § 14 Abs. 3 Z 1
Der Text der Z 1 stammt inhaltlich aus der Website der Datenschutzbehörde:
https://www.dsb.gv.at/recht-auf-datenschutz-in-der-eu
[aufgerufen 20. 3. 2018]. Dieser Standpunkt wurde auch in einer Unterlage der Aufsichtsbehörde, des (damaligen) BMASK vertreten (GZ BMASK 26. 11. 2017, 15003/0015-I/A/4/2017).
Für die Geltung dieser (und anderer Rechtsansichten) darf auf § 1 Abs. 3 verwiesen werden. Bei konkret entgegenstehenden Entscheidungen wird nach der jeweils aktuellen Rechtslage vorzugehen sein.
Zu § 14 Abs. 3 Z 2
Es ist wohl davon auszugehen, dass diese Liste die bisherigen Standardanwendungen (§ 17 Abs. 2 Z 6 DSG 2000) oder Musteranwendungen (§ 19 Abs. 3 DSG 2000) ablösen wird.
Es gab schon bisher die Möglichkeit Datenverarbeitungen „direkt vom Gesetzgeber“ von der Meldepflicht gemäß § 17 Abs. 1 DSG 2000 auszunehmen (vgl. z. B. § 18 Abs. 8 lit. 5a EStG). Auch die DSGVO lässt dies zu – sollten für die Sozialversicherung neue Gesetze in Planung kommen, wonach neue Datenverarbeitungen nötig werden, wird der Hauptverband bereits im Begutachtungsverfahren darauf achten, dass eine Datenschutz-Folgenabschätzung bereits vor Gesetzwerdung stattfindet und damit keine weitere nötig wird.
Zu § 14 Abs. 3 letzter Satz
Auch wenn zum 25. Mai 2018 für laufende Datenverarbeitungen aktuell keine Datenschutz-Folgenabschätzung nötig ist, ist dennoch jede Datenverarbeitung als „ständiger Prozess“ zu verstehen, sodass ihre Vereinbarkeit mit der DSGVO regelmäßig über den ganzen „Lebenszyklus“ hinweg überprüft werden muss (was auch die Datenschutz-Folgenabschätzung betrifft).
Zu § 14 Abs. 4
Dies ergibt sich aus Art. 35 Abs. 2 DSGVO.
Sind mehrere Verantwortliche vorhanden, so ist nur der für die Umsetzung Verantwortliche (z. B. STP-Dienstleister) zu befragen.
Zu § 15 – Protokollierung
Diese Bestimmung ist eine nähere Ausführung zum DSG. Wie in den Erläuterungen (1761 d.B. NR XXV. GP) zu ausgeführt ist, sollen im Rahmen der Umsetzung des DSG die bislang nach dem DSG 2000 bestehenden Protokollierungspflichten beibehalten werden – also keine Beschränkung auf automatisierte Verarbeitungssysteme stattfinden. Konkret führen die Erläuterungen dazu aus (wenn auch nur zu § 50 DSG): „…erzeugt das keinen zusätzlichen Aufwand gegenüber der bisherigen Rechtslage, da diese Verpflichtung auch bislang schon bestandenhat.“ (und somit auch für die Sozialversicherung, insbesondere ja auch schon durch die bisherigen SV-Datenschutzverordnungen, gegolten hat).
Die Protokollierungen sind so zu führen, dass eine nachträgliche Überprüfung der Rechtmäßigkeit der Datenverarbeitung möglich ist. Das bedeutet, dass für diese automatisierte Prozedur nun als Datenbasis die Applikation „Technischer Querlieger Zugriffsprotokollierung“ TQL-ZUP genommen werden soll, da die Daten im TQL-ZUP umfangreicher als die bisherige Datenbasis vom ZUP(Host) sind und TQL-ZUP mehr Applikationen protokolliert. Alle Applikationen, die bislang nicht nach TQL-ZUP protokollieren, werden dies daher spätestens ab Inkrafttreten dieser Verordnung durchzuführen haben, da nur so gewährleistet werden kann, dass die jeweiligen Auskunftsverpflichtungen eingehalten werden können.
In diesem Zusammenhang ist auch die Notwendigkeit zu sehen, die „Informationstechnologie-Landkarte“ IT-MAP laufend auf aktuellen Stand zu halten. Die IT-MAP ist ein Tool der ITSV, dass über alle Produkte (Applikationen) in der SV-IT-Welt informiert und auch (nicht personenbezogen) verschiedene Daten über dieses Produkt speichert (z. B. Zweck des Produktes, Ansprechpartner, etc.). Außerdem ist die Information gespeichert, welches Produkt an welches andere Produkt Daten liefert, also die Datenflüsse. Die IT-MAP ist also ein Produkt, das Nutzen für die Datensicherheit haben kann, aber auch als zentrales Informationstool über die Produkte-Landschaft verwendet werden kann. Dies setzt aber voraus, dass die IT-MAP laufend aktuell gehalten wird. Siehe dazu auch die Regeln über das Verzeichnis der Verarbeitungstätigkeiten.
Eine Sonderregelung hat sich nur für die noch bestehenden wenigen Großrechnerprogramme als notwendig erwiesen, weil in diesen Abläufen einschlägige Techniken nicht mehr möglich sind, andererseits diese Geräte in den Monaten nach Inkrafttreten der DSGVO ohnedies endgültig ausgeschieden werden.
Diese Bestimmung entspricht den schon bisher bestehenden Regeln (vgl. § 8 Abs. 2 SV-DSV 2012) und wurde an die neuen rechtlichen Grundlagen (DSGVO und DSG) angepasst.
Allgemein ist anzumerken, dass die Pflicht zur Protokollierung nicht nur eine datenschutzrechtliche Anforderung ist, sondern sich auch aus der IT-Sicherheit ergibt. Sowohl bei selbstprogrammierten Applikationen als auch bei der Beschaffung fremder IT-Systeme muss auf diese Funktionalität geachtet werden. Bei der Protokollierung muss jede Aktivität (z. B. lesen, ändern, kopieren, löschen) zusammen mit weiteren Informationen wie Zeitpunkt und Anwender aufgezeichnet werden. Anhand der Protokolldateien muss also verifiziert werden können, wer wann warum (also mit Protokollierung des Bearbeitungsgrundes) welche personenbezogenen Daten in welcher Weise verarbeitet hat.
Diesbezüglich wird auf die Entscheidung der Datenschutzkommission (DSK) vom 3. 10. 2007 (K121.278/0018-DSK/2007) verwiesen:
„… müsste angenommen werden, dass in der Organisation der Auftraggeberin schwerwiegende Mängel hinsichtlich der gesetzlich gebotenen Datensicherheit bestehen. Ein einer Datenanwendung zu Grunde liegendes technisch-organisatorisches System, in dem Mitarbeiter in der Lage wären, sensible Daten (hier: Gesundheitsdaten) - berechtigt oder nicht - abzufragen und telefonisch zu übermitteln, ohne dass dieser Vorgang nachvollzogen und beauskunftet werden kann, würde mit den nach § 14 DSG 2000 gebotenen Datensicherheitsmaßnahmen in Widerspruch stehen. Die Datenschutzkommission geht für das gegenständliche Verfahren bis zum Beweis des Gegenteils davon aus, dass die Beschwerdegegnerin über entsprechende Vorkehrungen verfügt, ihre Auftraggeberpflichten zu erfüllen und somit in der Lage ist, nach eingehenderen Ermittlungen Auskunft zu erteilen. Sich allein darauf zu berufen, dass keine Aufzeichnungen über diese Übermittlungen vorliegen, ist keine ausreichende Begründung dafür, dass glaublich tatsächliche Unmöglichkeit der Auskunftserteilung anzunehmen ist. Vielmehr werden von der Beschwerdegegnerin jedenfalls Nachforschungen, insbesondere bei den unmittelbar in Betracht kommenden Mitarbeitern, durchzuführen sein oder es wird im Sinne des § 26 Abs. 4 DSG 2000 eingehend zu begründen sein, wenn daran festgehalten wird, dass die Auskunft nicht erteilt werden kann. Diese Begründung wird auch aufzuzeigen haben, welche Anstrengungen die Beschwerdeführerin unternommen hat, um ihrer Verpflichtung zur Auskunftserteilung zu genügen.“
Die Verpflichtung, MitarbeiterInnen („Datenabfrager“) darüber zu informieren, dass sämtliche Zugriffe dokumentiert werden, soll insbesondere auch der Awareness-Steigerung dienen (auch wenn dies normalerweise ohnehin Teil des Dienstvertrages, allgemeiner Belehrung über Verschwiegenheitsverpflichtung, etc.) ist.
Protokolldateien sollten regelmäßig in einem bestimmten Turnus (z. B. einmal im Monat) stichprobenartig ausgewertet werden, wobei möglichst eine automatisierte Auswertung zum Einsatz kommen sollte. Zusätzlich dürfen die Protokolle anlassbezogen ausgewertet werden. Insbesondere bei der anlassbezogenen Auswertung und Auswertung personenbezogener Daten ist zu beachten, dass diese gegebenenfalls nach dem Vier-Augen-Prinzip erfolgen sollte und zu dokumentieren ist.
Betreffend die Aufbewahrungsfrist der Protokolle wird dazu auf den letzten Absatz der Erläuterungen (1761 d.B. NR XXV. GP) zu § 50 DSG verwiesen: „Eine gesetzlich festgelegte feste Löschungsfrist für Protokolldaten erscheint nicht zweckmäßig; vielmehr sollten Protokolldaten – wie auch alle anderen personenbezogenen Daten – nur solange in personenbezogener Form aufbewahrt werden, als dies für die Erreichung der Zwecke, für die sie ermittelt wurden, erforderlich ist; danach sind die Protokolldaten zu löschen. In jenen Fällen, in denen die Protokolldaten auch Inhaltsdaten enthalten, darf die Aufbewahrung der Protokolldaten nicht zu einer Umgehung der Löschungsverpflichtung des originären Inhaltsdatums führen. Eine längere Aufbewahrungsdauer muss sich aus besonderen gesetzlichen Vorschriften ergeben.“.
Die 3-Jahres-Frist zur Aufbewahrung von Protokolldaten hat sich bewährt, um gegebenenfalls in etwaigen Verfahren noch (innerhalb von Verjährungsfristen) Datenzugriffe, Veränderungen usw. nachvollziehen zu können, und soll daher beibehalten werden. Die frühere Frist von „maximal 31 Jahren“ wurde herausgenommen.
Zur Sicherstellung, dass die Zulässigkeit einzelner Zugriffe auch im Nachhinein überprüft werden kann, ist es auch notwendig, über die Benutzerverwaltung Aufzeichnungen zu führen und diese, auch nach Deaktivierung der Berechtigung, ebenfalls 3 Jahre hindurch aufzubewahren.
Zu § 16 – Aufbewahrungsfristen
Die Aufbewahrungsfristen sollen auch eine Hilfestellung für die optionale Eintragung der geplanten Löschfrist im Verzeichnis von Verarbeitungstätigkeiten sein.
Private Daten sollen davon jedoch ausgeschlossen sein, vgl. auch die Trennung von Dienstnehmerdaten und Versicherungsdaten in § 8 Abs. 2 Z 8 des Entwurfes. Auf solche Datenbestände (die Erlaubtheit privater Nutzung in geringem Umfang ist in der Praxis denkbar) hat der Arbeitgeber keinen Einfluss.
Diese Bestimmung orientiert sich an § 58 der Weisungen für die Rechnungslegung und Rechnungsführung bei den Sozialversicherungsträgern und dem Hauptverband (Rechnungsvorschriften RV), Erlass des (damaligen) BMSG, Nr. 21.181/15-9/2001, abrufbar unter www.sozdok.at. Deren Grundlage ist § 444 Abs. 6 ASVG.
Im Zusammenhang mit Art. 18 Abs. 1 lit. c DSGVO kann das auch bedeuten, dass eine von der betroffenen Person verlangte Einschränkung der Löschung von Daten dazu führen kann, dass Daten über die festgesetzte Löschfrist hinaus aufbewahrt werden müssen (zumindest so lange, bis über den Antrag rechtskräftig entschieden worden ist).
Auf die (längere) Verjährungsfrist gegenüber öffentlichen Stellen von 40 Jahren nach § 1472 ABGB ist hinzuweisen. Mit zwei Jahren (um allfällige verfahrenstechnische Verzögerungen möglichst wirkungslos zu machen) ergibt sich die Grenze von 42 Jahren in § 16 Abs. 2 des Entwurfes.
Es spricht nichts dagegen (und wäre im Sinn von privacy by design auch vorzuziehen), wenn Daten, die auch nicht archiviert werden sollen, früher nach Ablauf der Aufbewahrungsfristen gelöscht werden, wenn Nachteile aus noch nicht verjährten Sachverhalten auszuschließen sind.
Hingewiesen sei auch auf eine Aufstellung der Wirtschaftskammer betreffend eine Auswahl bundesgesetzlicher (Aufbewahrungs-)Fristen, die sich aus gesetzlichen Aufbewahrungs- und Löschpflichten sowie aus Verjährungsfristen ergeben. Einschlägige Fristen betreffen Sozialversicherungsträger auch als Eigentümer von Betriebsgrundstücken oder Rechtsträger von Krankenanstalten:
https://www.wko.at/service/wirtschaftsrecht-gewerberecht/eu-dsgvo-speicher-und-aufbewahrungsfristen.html
[aufgerufen: 21. 3. 2018]:
I Rechnungswesen, Steuer- und Zollrecht:
	1.	Steuerrechtliche Aufbewahrungspflicht nach § 132 Abs. 1 BAO: 7 Jahre darüberhinausgehend solange sie für die Abgabenbehörde in einem anhängigen Verfahren von Bedeutung sind)
	2.	Unternehmensrechtliche Aufbewahrungspflicht nach §§ 190, 212 UGB: 7 Jahre
	3.	Umsatzsteuerrechtliche Aufbewahrungspflichten nach § 18 Abs. 10 UStG (Spezialbestimmung für Grundstücke): 22 Jahre
	4.	Umsatzsteuerrechtliche Aufbewahrungspflicht nach § 18 Abs. 2 3. Unterabsatz: 7 Jahre
	5.	Aufzeichnungen nach § 23 Abs. 2 Zollrechts-Durchführungsgesetz: 5 Jahre
II Vertragswesen:
	1.	Gewährleistung nach § 933 ABGB: 2 Jahre (bewegliche Sachen), 3 Jahre (unbewegliche Sachen)
	2.	Kaufpreisforderung bei beweglichen Sachen nach § 1062 iVm § 1486 ABGB: 3 Jahre
	3.	Kaufpreisforderung bei unbeweglichen Sachen (e contrario § 1486 ABGB): 30 Jahre
	4.	Forderungen von Miet- und Pachtzinsen nach § 1486 ABGB: 3 Jahre
	5.	Ansprüche aus einem Werkvertrag nach § 1486 ABGB (wenn die Leistung im Rahmen eines gewerblichen oder sonstigen geschäftlichen Betriebs erbracht wurde): 3 Jahre
	6.	Allgemeiner Schadenersatz nach § 1489 ABGB (Entschädigungsklagen): 3 Jahre (wenn Schaden und Schädiger bekannt) /ansonsten 30 Jahre (betrifft insb. auch Arbeitsunfälle!)
	7.	Haftungsansprüche nach § 13 PHG: 10 Jahre
III Arbeitsverhältnisse:
	1.	Anspruch auf Ausstellung eines Dienstzeugnisses nach § 1163 iVm § 1478 ABGB: 30 Jahre
	2.	Dienstverhältnis nach ABGB (subsidiär zum Angestellten-Gesetz): Forderungen des Dienstnehmers und Forderungen des Dienstgebers auf Entgelt, Vorschuss und sämtlichen anderen Ansprüchen aus dem Dienstverhältnis nach § 1153 ff iVm 1486 ABGB: 3 Jahre
	3.	Regressansprüche des Dienstgebers gegenüber Dienstnehmer aufgrund eines Schadenersatzes aus der Dienstnehmerhaftpflicht nach § 6 DHG iVm § 1489 ABGB: 3 Jahre
	4.	Buchhaltungsrelevante Dienstnehmer-Daten: wie Rechnungswesen.
	5.	Haftung für Abfertigungsansprüche und Betriebspensionen nach Betriebsübergang nach § 6 Abs. 2 AVRAG: 5 Jahre.
	6.	Verjährung von Sozialversicherungsbeiträgen nach § 68 ASVG: 3 bzw. 5 Jahre
	7.	Verjährung von Entgeltforderungen nach § 1486 Z 5 ABGB: 3 Jahre
	8.	Verfall von Ersatzansprüchen des Arbeitgebers bzw. des Arbeitnehmers aus einer vorzeitigen Beendigung des Arbeitsverhältnisses nach § 34 AngG, § 1162d ABGB, §§ 15 Abs. 1 und 29 Abs. 1a GlbG: 6 Monate
	9.	Frist zur Geltendmachung von allgemeinen Ansprüchen nach dem GlbG ((§§ 15 Abs. 1, 29 Abs. 1: z. B. Differenzzahlung, Entschädigung für persönliche Beeinträchtigung, Schadenersatz, Einbeziehung in betriebliche Aus- und Weiterbildung, Diskriminierung bei sonstigen Arbeitsbedingungen): 3 Jahre
	10.	Frist zur Geltendmachung von Ansprüchen nach §§ 15 Abs. 1 und 29 GlBG wegen Diskriminierung bei Beförderungen bzw. Bewerbungen: 6 Monate ab Ablehnung der Beförderung bzw. der Bewerbung
	11.	Frist zur Geltendmachung von Ansprüchen wegen geschlechtsbezogener Belästigung nach § 15 Abs. 1 GlbG: 1 Jahr
	12.	Frist zur Geltendmachung von Ansprüchen wegen sexueller Belästigung nach § 15 Abs. 3 GlbG: 3 Jahre
	13.	Kündigungsschutz bei Schwangerschaft nach § 10 MSchG: bis 4 Monate nach Entbindung
	14.	Kündigungsschutz bei Elternkarenz und Elternteilzeit nach den §§ 15 Abs. 4, 15n Abs. 1 MSchG: bis 4 Monate nach Beendigung der Karenz bzw. Teilzeit
	15.	Verjährung des Anspruchs auf Verbrauch des Urlaubs nach § 4 Abs. 5 UrlG: 2 Jahre ab Ende des Urlaubsjahres, in dem der Urlaub entstanden ist 
	16.	Ansprüche auf Urlaubsersatzleistung nach § 1486 Z 5 ABGB: 3 Jahre nach Ende des Arbeitsverhältnisses 
	17.	Aufzeichnungen und Berichte über Arbeitsunfälle gem. § 16 ASchG: 5 Jahre
IV Branchenspezifische Fristen:
	1.	Geldwäschebestimmungen (Aufbewahrung der verlangten Dokumente oder der Referenzangaben sowie alle Belege und Aufzeichnungen betreffend Geschäftsbeziehungen und Transaktionen) nach § 365y GewO: 5 Jahre
	2.	Geldwäschebestimmungen (Identifizierungsunterlagen sowie Belege und Aufzeichnungen von sämtlichen Transaktionen und Geschäftsbeziehungen) nach § 51 BiBuG: mindestens 5 Jahre
	3.	Geldwäschebestimmungen (Kopien erhaltener Dokumente und Informationen, Transaktionsbelege und -aufzeichnungen) nach § 21 Finanzmarkt-Geldwäschegesetz (FM-GWG) mindestens 5 Jahre
	4.	Aufzeichnungs- und Aufbewahrungspflichten nach § 22 WAG 2007: 5 Jahre (tritt mit 2.1.2018 außer Kraft)
	5.	Aufzeichnungs- und Aufbewahrungspflichten nach § 66 WAG 2007: 5 Jahre (tritt mit 2.1.2018 außer Kraft)
	6.	Aufzeichnungs- und Aufbewahrungspflichten nach § 33 WAG 2018: mind. 5 Jahre bis max. 7 Jahre in besonderen Umständen nach einer Verordnung durch die FMA (in Geltung ab 2.1.2018)
	7.	Korrespondenz und Geschäftsbücher von Auskunfteien nach § 152 GewO: 7 Jahre
	8.	Aufbewahrungspflicht nach § 98 VAG: 7 Jahre
	9.	Aufbewahrungspflichten nach § 21 Investmentfondsgesetz (InvFG): mind. 5 Jahre (auf Anordnung der FMA im Einzelfall auch länger)
	10.	Aufbewahrungspflicht nach § 18 Zahlungsdienstegesetz (ZaDiG): mind. 5 Jahre
	11.	Abfallaufzeichnungen gem. § 17 AWG iVm § 3 Abfallnachweisverordnung (ANV): 7 Jahre
	12.	Aufbewahrung von Begleitscheinen iSd § 18 Abs. 1 AWG 2002 iVm § 8 Abfallnachweisverordnung: 7 Jahre
	13.	Aufbewahrungspflichten nach der Allgemeinen Strahlenschutzverordnung (AllgStrSchV) (ua §§ 16, 19, 31): 7 Jahre
	14.	Aufbewahrung von Verwertungsnachweisen nach der Altfahrzeugeverordnung (§§ 5, 11, 12a iVm Anlage 3): 7 Jahre
	15.	Aufbewahrungspflichten nach Art. 36 der EU-Verordnung 1907/2006 (REACH-Verordnung): mind. 10 Jahre
	16.	Aufbewahrungspflicht nach § 43 Abs. 1 Chemikaliengesetz (ChemG): 7 Jahre
	17.	Aufbewahrungspflicht nach Art. 8 der EU-Verordnung 98/2013 über die Vermarktung und Verwendung von Ausgangsstoffen für Explosivstoffe: 5 Jahre
	18.	Aufbewahrungspflicht nach § 7 Giftverordnung: 7 Jahre
	19.	Aufzeichnungen der Erzeuger und Arzneimittelgroßhändler über psychotrope Stoffe nach § 8 Psychotropenverordnung: 3 Jahre
	20.	Vormerkungen von Erzeugern und Arzneimittelgroßhändler nach § 8 Suchtgiftverordnung: 3 Jahre
	21.	Aufbewahrung der Unterlagen nach Art. 3 und 4 der EU-Verordnung 111/2005 für die Überwachung des Handels mit Drogenausgangsstoffen: 3 Jahre
	22.	Aufbewahrungspflicht nach § 46 Arzneimittelgesetz (AMG): 15 Jahre
	23.	Aufbewahrungspflicht nach § 15 Abs. 1 Arzneimittelbetriebsordnung (AMBO): 5 Jahre
	24.	Aufbewahrungspflicht chargenbezogener Unterlagen nach § 15 Abs. 9 Arzneimittelbetriebsordnung (AMBO): 15 Jahre
	25.	Identifizierungspflicht innerhalb der Lieferkette nach Art. 7 EU-Kosmetikverordnung 1223/2009: 3 Jahre
	26.	Produktinformationsdatei nach Art. 11 EU-Kosmetikverordnung 1223/2009: 10 Jahre
	27.	Aufbewahrungspflichten nach § 11 Abs. 3 Pflanzenschutzmittelgesetz: 5 Jahre
	28.	Aufbewahrungspflichten nach § 2 Abs. 6 Düngemittelverordnung: 2 Jahre
	29.	Aufbewahrungspflichten bzgl. Ammoniumnitratdünger nach Art. 26 Abs. 3 EU-Düngemittel-Verordnung: solange der Markt mit dem Düngemittel beliefert wird, und für weitere 2 Jahre, nachdem der Hersteller es vom Markt genommen hat
	30.	Aufbewahrung ärztlicher Aufzeichnungen und Dokumentationen gem. § 51 Abs. 3 ÄrzteG: 10 Jahre
	31.	Aufbewahrung von Krankengeschichten in Krankenanstalten gem. § 10 Abs. 1 Z 3 KaKuG: 30 Jahre; Röntgenbilder, Videoaufnahmen und andere Bestandteile von Krankengeschichten, deren Beweiskraft nicht 30 Jahre hindurch gegeben ist, sowie bei ambulanten Behandlungen: 10 Jahre
	32.	Aufbewahrung von Dokumentationen und Zustimmungserklärungen im Zusammenhang mit medizinisch unterstützter Fortpflanzung gem. § 18 Fortpflanzungsmedizingesetz (FMedG): 30 Jahre
	33.	Dokumentationen im Zusammenhang mit Gewebeentnahmen gem. §§ 5, 16 Gewebesicherheitsgesetz (GSG): mind. 10 Jahre; bzgl. Teile, die für eine lückenlose Rückverfolgbarkeit unerlässlich sind: 30 Jahre
	34.	Dokumentation bei Organentnahmen und -transplantationen gem. §§ 3e, 3f KaKuG: 30 Jahre
	35.	Dokumentation von Eingängen, Abgängen und Anwendungen von Blut oder Blutbeständen im Rahmen des Blutdepots gem. § 8f KaKuG: 30 Jahre
	36.	Behandlungsdokumentation von medizinischen Masseuren und Heilmasseuren nach § 3 MMHmG: 10 Jahre
	37.	Dokumentationspflichten nach der Verordnung über die Konformitätsbewertung von Medizinprodukten: 5 bzw. 15 Jahre
	38.	Implantatregister von Medizinproduktebetreibern nach § 10 Medizinproduktebetreiberverordnung: 30 Jahre
	39.	Aufbewahrung des Haushaltsbuches sowie der Belege für Personenbetreuer nach § 160 GewO: 2 Jahre
	40.	Gästeverzeichnisblattsammlungen nach § 19 Abs. 5 Meldegesetz-Durchführungsverordnung: 7 Jahre
	41.	Wochenberichtsblatt nach § 4 Abs. 4 Wochenberichtsblatt-Verordnung (Ausbildung von Jugendlichen zu Kraftfahrern): 1 Jahr nach Beendigung des Lehrverhältnisses
	42.	Aufbewahrung von Fahrtenbüchern, Lenkzeiten, udgl nach den §§ 17 Abs. 5, 17b AZG: 24 Monate
	43.	Aufbewahrung der Schaublätter der Fahrtschreiber bzw. der vom Kontrollgerät aufgezeichneten Daten nach § 103 Abs. 4 KFG: 2 Jahre
	44.	Aufbewahrung von Arbeitszeitaufzeichnungen des Zugpersonals nach § 18k AZG: 1 Jahr
	45.	Aufbewahrungspflicht für Fahrtenbücher zum Nachweis der Verwendung von Probekennzeichen nach § 45 Abs. 6 KFG: 3 Jahre
	46.	Aufbewahrungspflichten bzgl. Geschwindigkeitsmesser, Fahrtschreiber und Wegstreckenmesser nach § 24 KFG: 2 Jahre
	47.	Aufbewahrungspflicht des Typenscheinverzeichnisses nach § 30 KFG: 10 Jahre
	48.	Aufbewahrungspflicht nach § 102 Abs. 4 LFG: 2 Jahre
	49.	Aufbewahrung von Aufzeichnungen nach § 169 LFG: 1 Jahr
	50.	Arbeitszeitaufzeichnungen inkl. Ruhezeiten nach § 10 Schiffsbesatzungsverordnung (Schiffstagebuch und Bordbuch): 6 Monate
	51.	Aufzeichnungen über den Ausbildungsgang eines jeden Fahrschülers nach § 64b Abs. 8 und 8a Kraftfahrgesetz-Durchführungsverordnung (KDV): 3 Jahre
	52.	Aufbewahrungspflichten des Arbeitskräfteüberlassers betreffend überlassene Arbeitnehmer nach § 13 AÜG: 5 Jahre
	53.	Aufzeichnungspflichten für Betreiber von Tierheimen und Tierpensionen nach 29 Tierschutzgesetz (Vormerkbuch): 3 Jahre
	54.	Aufzeichnungen nach § 13 Tierhaltungs-Gewerbeverordnung: 3 Jahre
Zu § 16 Abs. 3
Ähnliches betrifft die private Verwendung von Büroarbeitsplätzen, wie sie (je nach interner Organisation des Versicherungsträgers) vorkommen kann, andererseits die Korrespondenz von Funktionsträgern mit deren jeweiligen entsendenden Stellen (§ 421 ASVG, § 198 GSVG, § 186 BSVG, § 133 B‑KUVG, § 67 NVG). Einerseits sind die Persönlichkeitsrechte der Arbeitnehmer/Funktionsträger zu wahren, andererseits kann ein Interesse des jeweiligen Versicherungsträgers bestehen, bestimmte Datenbestände zur Klärung von möglicherweise rechtswidrigen Handlungen (das kann auch ein Verstoß gegen ein dienstvertragliches Verbot sein) aufzubewahren. Beide Standpunkte können ihre Berechtigung haben, die Formulierung soll dazu beitragen, dies zu dokumentieren (und damit z. B. zu verhindern, dass Personen, die aus guten Gründen entlassen werden, noch Gelegenheit erhalten, die Dokumentation der Gründe dafür durch Löschungen zu verhindern.
Zu § 17 – Archive
Zu beachten ist hier der unterschiedliche und nicht immer gut abgegrenzte Sprachgebrauch: Ein „Archiv“ ist die hier geschilderte gesicherte und getrennte Aufbewahrung auf Dauer, wie in den anderen Archiven öffentlicher Institutionen. Es wird vorgeschlagen, Aufbewahrungen, die außerhalb von Archiven (aus welchen rechtlich zulässigen Gründen immer) existieren, nicht als Archiv, sondern als „Ablage“, Sicherheitsspeicher usw. zu bezeichnen.
Ob Aktenverwaltungssysteme (wie z. B. DOXIS, ELAK usw.) den Anforderungen an ein Archiv im vorliegenden Sinn entsprechen können, wäre im Rahmen der sicherheitstechnischen Prüfungen zu behandeln (und allenfalls einschlägige Vorsorge zu treffen).
Das Thema der Archivierung berührt einen heiklen Bereich: Die jüngste Vergangenheit hat gezeigt, dass die Aufklärung länger zurück liegender gravierender Straftaten (Missbrauchsfälle usw.) nur dadurch überhaupt erst möglich werden kann, dass auch alte Aktenbestände herangezogen werden. Das war bisher keine große Schwierigkeit, weil Akten auf Papier im Wesentlichen nicht den Regeln für automationsunterstützte Datenverarbeitung unterlagen. Nunmehr sind aber nahezu alle Akten bereits (nur mehr) elektronisch verfügbar, was dazu führt, dass auf sie das Löschungsrecht/die Löschungspflicht nach Datenschutzrecht anzuwenden ist. Wenn nun Löschungsfristen kürzer sind, können Aufklärungsversuche ins Leere gehen, weil wichtige Beweismittel aus datenschutzrechtlichen Gründen bereits vernichtet werden mussten. Bei der Erarbeitung des vorliegenden Entwurfes wurde die Ansicht vertreten, dass ein solches Ergebnis weder der europäischen noch der österreichischen Rechtsordnung unterstellt werden darf. Es wurde daher die Möglichkeit vorgesehen, Archive nach bestimmen Regeln zu schaffen und dort auch personenbezogene Daten aufzubewahren, ähnlich wie dies in den Archiven des Bundes, der Länder und Gemeinden seit Langem der Fall ist. Auch Archivbestände dieser Stellen müssen nicht vernichtet werden, wenn die dort enthaltenen Daten nicht mehr gebraucht werden.
Zu § 17 Abs. 1
Siehe bereits bei § 8 Abs. 2 Z 9. Ein Archiv bildet eine Aufbewahrung von Unterlagen auf Dauer (bisher hauptsächlich Papier, in Zukunft wohl hauptsächlich elektronisch) außerhalb des üblichen Geschäftsbetriebes. Mit den Unterlagen eines Archives wird nicht mehr, außer in Spezialfällen, gearbeitet (keinesfalls aber in der Alltagsarbeit): Siehe die Funktion des Österreichischen Staatsarchivs oder der Archive der Länder und Gemeinden usw.
Die DSGVO anerkennt, dass es Archive geben muss – ihr Ziel ist somit nicht ein „gedächtnisloser Staat“ (solche Ziele gab es in der Geschichte, die dann z. B. in Archivverbrennungen mündeten). Die DSGVO nennt z. B. im Erwägungsgrund 50 der DSGVO: „Die Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke sollte als vereinbarer und rechtmäßiger Verarbeitungsvorgang gelten.“, was auch im Abs. 1 berücksichtigt wird.
Erwägungsgrund 156 der DSGVO führt weiters aus:
„Die Verarbeitung personenbezogener Daten für im öffentlichen Interesse liegende Archivzwecke, zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken sollte geeigneten Garantien für die Rechte und Freiheiten der betroffenen Person gemäß dieser Verordnung unterliegen. Mit diesen Garantien sollte sichergestellt werden, dass technische und organisatorische Maßnahmen bestehen, mit denen insbesondere der Grundsatz der Datenminimierung gewährleistet wird. Die Weiterverarbeitung personenbezogener Daten zu im öffentlichen Interesse liegende Archivzwecken, zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken erfolgt erst dann, wenn der Verantwortliche geprüft hat, ob es möglich ist, diese Zwecke durch die Verarbeitung von personenbezogenen Daten, bei der die Identifizierung von betroffenen Personen nicht oder nicht mehr möglich ist, zu erfüllen, sofern geeignete Garantien bestehen (wie z. B. die Pseudonymisierung von personenbezogenen Daten). Die Mitgliedstaaten sollten geeignete Garantien in Bezug auf die Verarbeitung personenbezogener Daten für im öffentlichen Interesse liegende Archivzwecke, zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken vorsehen. Es sollte den Mitgliedstaaten erlaubt sein, unter bestimmten Bedingungen und vorbehaltlich geeigneter Garantien für die betroffenen Personen Präzisierungen und Ausnahmen in Bezug auf die Informationsanforderungen sowie der Rechte auf Berichtigung, Löschung, Vergessenwerden, zur Einschränkung der Verarbeitung, auf Datenübertragbarkeit sowie auf Widerspruch bei der Verarbeitung personenbezogener Daten zu im öffentlichen Interesse liegende Archivzwecken, zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken vorzusehen.“
Löschung ist nach Art. 17 Abs. 3 lit. d DSGVO nicht vorzusehen, wenn Daten für Archivzwecke aufbewahrt werden. Eine solche Aufbewahrung ist ein anerkannter Zweck nach Art. 5 Abs. 1 lit. b und 3 oder nach Art. 9 Abs. 2 lit. j DSGVO. Siehe dazu auch die Erläuterungen zu § 11 Abs. 4.
Zu § 17 Abs. 2
Archive sind eine Organisationsform, die Informationen für spätere Generationen aufheben soll. Sie sind daher vor Direktzugriffen abzusondern und nur für bestimmte Personen zugänglich zu halten. Absonderungen sind z. B. durch eigene EDV-Anlagen, Archivsperren (über Jahrzehnte, z. B. 50 bis 80 Jahre), etc. vorzusehen.
Was „landläufig“ unter „Archivierungssoftware“ läuft, ist jedenfalls keine „Archivierung“, sondern ein Management für Dokumente während der Aufbewahrungsfristen. Für den Fall, dass personenbezogene Daten in einem Archiv betroffen sein könnten, gibt es die Einrichtung von Archivsperren, auf Jahrzehnte. Und diese Sperre muss sicher sein.
Das Thema „Archivierung“ kann sich nach den bereits vorhandenen Regeln des Bundes und der Länder richten: z. B. nach der Verordnung des Bundeskanzlers über die Kennzeichnung, Anbietung und Archivierung von Schriftgut des Bundes (Bundesarchivgutverordnung), StF: BGBl. II Nr. 367/2002. Nach § 3 Abs. 3 leg. cit. ist bei elektronischen Aktenführungssystemen vorzusorgen, dass die Kennzeichnung und Aussonderung des Schriftgutes nach den Kriterien gemäß Abs. 1 leg. cit. automationsunterstützt möglich ist. In § 5 Abs. 5 dieser Verordnung finden sich auch die 120 Jahre, die auch in der Sozialversicherung für die Aufbewahrung von Personendaten verwendet werden. Dieser Wert ist (seit vielen Jahren) rechtlich anerkannt und kann (soweit nichts anderes dagegenspricht) auch in Zukunft verwendet werden.
Ziel von Archivierung ist es, archivwürdige Daten für wissenschaftliche oder historische Forschungszwecke weiterhin zur Verfügung zu stellen (Art. 17 Abs. 3 lit. d DSGVO). Das kann auch geschehen, indem Daten pseudonymisiert werden. Die genannten Forschungszwecke beruhen aber nicht selten darauf, dass die historische Entwicklung in ihrer Zusammenschau untersucht werden soll. Dazu werden Daten aus verschiedenen Quellen herangezogen, z. B. Adressverzeichnisse, Beschäftigungsorte und Personenstandsurkunden. Werden nun Daten aus diesen drei Quellen nach unterschiedlichen Pseudonymisierungs-Kriterien pseudonymisiert wurden, können Daten derselben Personen nie mehr zusammengeführt werden, obwohl dies gerade für die durch die DSVO geschützten Forschungszwecke nötig wäre. Es wird daher notwendig sein, ein zumindest bundesweites Archiv-Pseudonym zu schaffen. Das kann aber nicht Aufgabe der Sozialversicherung sein. Bis zur Schaffung einer solchen Pseudonymisierung können (bzw. dürfen sogar) die SV-Daten daher nicht (nach den Regeln für SV-Daten allein) pseudonymisiert werden, sondern müssen mit dem Personenbezug für eine spätere Pseudonymisierung zur Verfügung bleiben.
Arbeiten an einer elektronischen Langzeitarchivierung haben bereits vor Jahren begonnen, so z. B.
	-	für die digitale Langzeitarchivierung im Österreichischen Staatsarchiv:
http://www.oesta.gv.at/site/5761/default.aspx
[aufgerufen: 21. 3. 2018] oder
	-	die Arbeiten des Expertenpools im Rahmen des E-Government zum Thema „Archivierung von Schriftgut und Metainformationen der Verwaltung Langzeitarchivierung (30 und mehr Jahre) nach dem aktiven Lebenszyklus eines Dokuments“ bzw.
	-	das „Digitale Archiv Österreich“ beim Bundeskanzerlamt:
https://www.bundeskanzleramt.gv.at/digitales-archiv
[aufgerufen: 21. 3. 2018]
Es wird nicht als Aufgabe der Sozialversicherung gesehen, eigene Archivsoftware zu erstellen. Sie wird sich an die Aktivitäten des Bundes anschließen können. Der vorliegende Entwurf lässt dies offen.
Archive schließen an die Aufbewahrungsfristen an (für andere Daten wie z. B. Urlaubszetteln, Reiseabrechnungen, etc. kann man auch ersatzloses nichtarchivieren, z. B. nach 3 Jahren vorsehen).
Für externe Benutzer eines Archives ist jedenfalls eine Benützungsordnung vorzusehen. Ein Muster für eine Benützungsordnung für ein Archiv findet sich z. B. unter:
http://www.verwaltung.steiermark.at/cms/beitrag/11679900/74835903/
[aufgerufen: 21. 3. 2018].
Auf bereits bestehende Archiv-Lösungen, die es für wissenschaftliche und historische Forschungszwecke bereits gibt (z. B. DWH, BEICON), ist Bedacht zu nehmen.
Zu § 17 Abs. 4 und 5:
Die Absätze 4 und 5 sind weitgehend wörtlich aus dem Entwurf des Bundeskanzleramtes zur Änderung des Archivgesetzes übernommen: Datenschutz-Anpassungsgesetz – Bundeskanzleramt:
https://www.ris.bka.gv.at/Dokumente/Begut/BEGUT_COO_2026_100_2_1482191/BEGUT_COO_2026_100_2_1482191.pdf
[aufgerufen: 21. 3.2018], Dieser Entwurf wurde auch in die Regierungsvorlage aufgenommen: 65 BlgNR XXVI. GP.
Wenn sich im Rahmen des Gesetzgebungsverfahrens Änderungen ergeben, wird dies auch im vorliegenden Zusammenhang zu berücksichtigen sein.
Zu § 18 – Informationspflicht des Verantwortlichen
Da die Sozialversicherung gesetzliche Regelungen zu vollziehen hat, werden die Art. 13 und 14 DSGVO in der Praxis wohl nicht zur Anwendung gelangen, sollen aber, falls ein derartiger Fall dennoch eintreten sollte, hier der Vollständigkeit halber erwähnt werden.
Zu § 19 – Auskunftsrecht
Die bisherige Rechtslage hat sich über Jahrzehnte bewährt und soll beibehalten werden (Auskünfte nach § 26 DSG 2000, § 13 der bisherigen SV-DSV).
Es mussten nur wenige Anpassungen vorgenommen werden.
Im Allgemeinen wird hiezu auch auf die Regelungen zur Protokollierung verwiesen – durch Aufnahme aller Standardprodukte der Sozialversicherung in TQL-ZUP ist aufgrund der Qualität der Einträge in diesem System konkret nachvollziehbar, wer aus welchem Grund welchen Zugriff getätigt hat bzw. Datenänderung vorgenommen worden ist.
Des Weiteren ist in Planung, dass im elektronischen Service der Sozialversicherung „MeineSV“ (Zugang gesichert mit Bürgerkarte oder Handysignatur), neben den bereits bestehenden Services (z. B. kostenlose Abfrage des Versicherungsdatenauszuges) auch ein neues Auskunftsservice angeboten wird (Schlagwort „DSG-Auskunftsknopf“).
Es sollen die wichtigsten und in der Praxis am häufigsten verlangten Versicherungsdaten („wer hat wann meine Daten abgefragt“, „wann war ich bei welchem Arzt“, etc.) auf Knopfdruck zur Verfügung gestellt werden. MitarbeiterInnen sind nicht Gegenstand dieses Auskunftsrechts. Bei Bedarf kann die betroffene Person (wie bisher bei derzeit noch manuell erledigten § 26 DSG 2000 Auskünften) beim Verantwortlichen bzw. beim Auftragsverarbeiter nähere Auskünfte zu einzelnen Daten erhalten.
Dass diese Vorgangsweise praktisch sinnvoll ist, haben die bisherigen Erfahrungen mit den Datenschutzanfragen nach § 26 DSG 2000 im Rahmen des ELGA-Widerspruchsverfahrens (§ 15 Abs. 2 GTelG 2012) gezeigt, wo tausende Anfragen mittlerweile automatisiert beantwortet werden können.
Es geht im vorliegenden Zusammenhang vorrangig darum, rasche Auskünfte ohne große Verwaltungsaufwände möglich zu machen (insbesondere auch im Hinblick auf die Fristverkürzung für Auskünfte nach Art. 12 Abs. 3 DSGVO). Mit diesem neuen Angebot unter „MeineSV“ will die Sozialversicherung dem Transparenzgebot der DSGVO nachkommen und Verlässlichkeit transportieren sowie das Verständnis für die Datenspeicherungen der Sozialversicherung, die zu den größten im Land gehören, zu fördern (vgl. in dem Zusammenhang auch Art. 25 DSGVO „Privacy by Design“, Datenschutz durch Technikgestaltung bzw. Erwägungsgrund 63 der DSGVO, wonach der Verantwortliche idealerweise ein Auskunftssystem bereitstellt, über das die betroffene Person ihre personenbezogenen Daten per „Fernzugang“ abrufen kann). Auch soll damit der Forderung des Art. 12 Abs. 3 DSGVO nachgekommen werden, wonach, wenn die betroffene Person den Antrag elektronisch stellt, diese nach Möglichkeit auch auf elektronischem Weg zu unterrichten ist.
Datenschutzrecht modifiziert nicht die bestehenden familienrechtlichen Zusammenhänge: Im Anwendungsbereich des Sozialversicherungsrechts (ASVG, GSVG, BSVG, B-KUVG etc.) kann speziell für die Krankenversicherung ein Spannungsverhältnis auftreten zwischen der Regelung über den Leistungsanspruch des Versicherten und dem Recht auf Geheimhaltung personenbezogener Daten der mitversicherten Angehörigen, die das 14. Lebensjahr vollendet haben. Nach den Grundsätzen des ASVG etc. steht der Leistungsanspruch (auf Sach- und Geldleistungen) dem Versicherten zu und nicht dem Angehörigen selbst. Nur in bestimmten Fällen (vgl. § 361 Abs. 2 ASVG, ab Vollendung des 14. Lebensjahrs) kann der Angehörige den Leistungsanspruch selbst geltend machen. Diese Regelung wirkt sich im Bereich der Kostenerstattung und der Leistungsinformation (§ 81 Abs. 1 ASVG) insofern auf das Recht auf Datenschutz von Angehörigen aus, als der Versicherte Kenntnis von Gesundheitsdaten seiner Angehörigen erhält (z. B. bei welchem Arzt war der Angehörige? Welche Leistungen wurden erbracht?). Dazu kommt, dass mündige Minderjährige/Personen über 14. Jahren kraft eigenen Rechts berechtigt sind, ELGA-Teilnehmerrechte wahrzunehmen. Siehe § 14 Abs. 2a GTelG 2012: Die Wahrnehmung der Teilnehmer/innen/rechte gemäß § 16 [GTelG 2012] steht ab Vollendung des 14. Lebensjahres (mündige Minderjährige) ausschließlich dem ELGA-Teilnehmer/der ELGA-Teilnehmerin zu. Das ist zunächst im Regelfall als Ergebnis der familienrechtlichen Obsorgerechte (§§ 137 ABGB und damit im Zusammenhang mit der Auslegung von Art. 8 EGMRK-Recht auf Privat- und Familienleben), aber auch als Ergebnis der sv-rechtlichen Regeln zu behandeln, nicht als spezieller datenschutzrechtlicher Eingriff. Für den Fall, dass sich in besonderen Situationen die Notwendigkeit von Maßnahmen im Einzelfall durch „händische“ Lösungen ergibt, bleibt dies jedenfalls möglich (Gestaltung der Auskünfte, vgl. die Anmerkung in Sonntag, ASVG9 [2018], Rz 1b zu § 81 ASVG; vgl. auch § 3 Abs. 2 PersonenstandsV, BGBl. II Nr. 239/2004 betreffend Inkognitoadoptionen).
Das gilt auch für Fälle, in denen Personen wegen gravierender familienrechtlicher Streitigkeiten und Bedrohungen (Schutz vor gewalttätigen Ehepartnern oder Elternteilen etc.) neue Personendaten erhalten. In solchen Fällen ist (in Zusammenarbeit mit der Jugendwohlfahrtsbehörde bzw. dem Gericht) auch die SVNR neu zu vergeben, sind allfällige Verknüpfungen (Angehörigeneigenschaft) zu lösen und ist Vorsorge dafür zu treffen, dass nicht durch Auskünfte wieder Hinweise auf die aktuellen Daten entstehen. Als rechtliche Basis reicht der Gerichtsbeschluss. Die Verwirklichung verfassungsges Rechte auf Familienleben, Kindesschutz (Art. 8 MRK, Art. 24 GRC) in Zusammenarbeit mit den zuständigen Behörden hat in solchen Fällen Vorrang vor administrativen Abläufen, auch das Datenschutzrecht verhindert dies nicht, vgl. die Anmerkung in Sonntag, ASVG9 [2018], Rz 15 zu § 31 ASVG.
Erwähnt sei dazu insbesondere auch § 81 Abs. 1 ASVG, in welchem vorgesehen ist, dass die Versicherten einmal im Kalenderjahr über die Kosten der von ihnen und ihren Angehörigen (auch jenen, die das 14. Lebensjahr vollendet haben) in Anspruch genommenen Sachleistungen informieren werden. Durch diese Bestimmung werden dem Versicherten Gesundheitsdaten seiner mitversicherten Angehörigen offengelegt. Ob diese Rechtslage vor dem Hintergrundder DSGVO anzupassen ist oder ob die familienrechtliche Beziehung Vorrang hat, kann nicht im vorliegenden Zusammenhang behandelt werden, es handelt sich um die Wertung, ob das Interesse der Angehörigen an der Geheimhaltung ihrer Gesundheitsdaten gegenüber den Obsorgeberechtigten schwerer wiegt als die sich aus der Obsorge ergebenden Rechte.
Zu § 19 Abs. 1
Bezieht sich auf Art. 11 Abs. 2 DSGVO, wonach die Art. 15 bis 20 DSGVO nicht zur Anwendung kommen, wenn die Identität der betroffenen Person nicht in unbedenklicher Form festgestellt werden kann.
Der letzte Satz des Abs. 1, wonach eine Kopie der verarbeiteten Dateninhalte so gestaltet sein muss, dass die Datenschutzrechte anderer Personen nicht verletzt werden, bezieht sich auf Entscheidungen, nach denen Bescheide nicht mit personenbezogenen Daten von mehreren betroffenen Personen ausgefertigt werden dürfen (DSB-D122.558/0007-DSB/2016, BVwG W214 2009971-1). Das Verfahren ist derzeit (Stand: März 2018) noch beim Bundesverwaltungsgericht anhängig.
Zum Sicherheitsniveau der Identitätsfeststellung hat der VwGH in seinem Erkenntnis Ra 2016/04/0014 vom 4. Juli 2016 folgende praxisbezogene Sicht vertreten, welche die ursprünglich in diesem Zusammenhang vertretene eher formstrengere Sichtweise relativiert. Rechtssätze und Entscheidungstext lauten auszugsweise:
„Die Bestimmung des § 26 DSG 2000 hat den klar erkennbaren Zweck, einem Missbrauch des Auskunftsrechts zur Informationsbeschaffung durch Dritte einen Riegel vorzuschieben. Ein Auftraggeber darf ohne Vorliegen eines Identitätsnachweises keine Daten an den Auskunftswerber - von dem er in diesem Moment nur annehmen kann, dass er tatsächlich der Betroffene ist - übermitteln, weil er sonst das Datengeheimnis gemäß § 15 Abs. 1 DSG 2000 verletzen könnte. Der Nachweis der Identität hat in der Form zu erfolgen, die es dem Auftraggeber ermöglicht, die Identität des Auskunftswerbers mit der Person zu überprüfen, deren Daten Gegenstand der Auskunft sein sollen. Im Hinblick auf die Zielsetzung des Gesetzes und zur Verhinderung von Missbrauch ist ein hoher Grad an Verlässlichkeit hinsichtlich des Identitätsnachweises zu fordern (Hinweis E vom 9. September 2008, 2004/06/0221, mwN).
Die Vorlage eines Identitätsdokumentes in Form einer öffentlichen Urkunde ist jedenfalls als geeigneter Nachweis gemäß § 26 Abs. 1 DSG 2000 ausreichend (Hinweis E vom 9. September 2008, 2004/06/0221).
Wird ein Auskunftswerber von einem Rechtsanwalt vertreten und schreitet dieser für den Auskunftswerber gemäß § 26 Abs. 1 DSG 2000 ein, so ist davon auszugehen, dass neben dem Nachweis der Bevollmächtigung ein weiterer Identitätsnachweis nicht erforderlich ist. So ist der Rechtsanwalt gemäß § 9 Abs. 1 RAO verpflichtet, die übernommenen Vertretungen dem Gesetz gemäß zu führen. Damit verweist diese Bestimmung auf die gesetzlichen Schranken, die auch für die Vertretungstätigkeit des Rechtsanwaltes gelten (vgl. das Urteil des Obersten Gerichtshofes (OGH) vom 10. Februar 2004, 4 Ob 233/03y). In dieser Hinsicht ist der Rechtsanwalt, wenn er gemäß § 26 Abs. 1 DSG 2000 einschreitet, auch verpflichtet, im Sinne dieser Bestimmung die Identität des Auskunftswerbers zu überprüfen.
§ 8 Abs. 1 zweiter Satz RAO erfasst nur die Vertretung des Rechtsanwaltes vor Gerichten und Behörden, nicht jedoch gegenüber privaten Auftraggebern nach dem DSG 2000. Gegenüber diesen ist vor dem Hintergrund der hg. Rechtsprechung, wonach für einen Identitätsnachweis nach § 26 Abs. 1 DSG 2000 ein hoher Grad an Verlässlichkeit zu fordern ist, grundsätzlich die Vorlage eines urkundlichen Nachweises der Bevollmächtigung zu fordern, um einen geeigneten Identitätsnachweis alleine im Wege einer Vertretung durch einen Rechtsanwalt zu erbringen. Im Hinblick auf die zu fordernde Verlässlichkeit kann auch dem Vorbringen, wonach eine Regelung wie § 8 Abs. 1 zweiter Satz RAO für den privatrechtlichen Bereich nicht notwendig sei, weil dort ein solcher allgemeiner Formzwang für Vollmachten nicht vorgesehen sei, nicht gefolgt werden. Das Ansuchen um Auskunftserteilung nach § 26 DSG 2000 hat nach dem Wortlaut des Gesetzes schriftlich zu ergehen, wobei es mit Zustimmung des Auftraggebers auch mündlich gestellt werden kann. Die vom Gesetz vorgesehene Formvorschrift soll damit (auch) sicherstellen, dass für den Auftraggeber der Umfang des Auskunftsbegehrens klar umrissen ist (Hinweis E vom 9. September 2008, 2004/06/0221, mwN).
Dennoch kann ein Auskunftswerber von dieser Formvorschrift (der Schriftlichkeit) abweichen, wenn der Auftraggeber dem zustimmt. Diese Abweichung von der Schriftlichkeit kann auch für die Form des mit dem Auskunftsersuchen verbundenen Identitätsnachweises gelten, der in diesem Fall gegenüber dem Auftraggeber etwa durch den Augenschein erbracht werden kann. Entscheidend bleibt, dass es dem Auftraggeber ermöglicht wird, die Identität des Auskunftswerbers mit der Person zu überprüfen, deren Daten Gegenstand der Auskunft sein sollen. Für diese vereinfachte Form des Identitätsnachweises spricht auch § 26 Abs. 3 DSG 2000, der das Ziel des Gesetzgebers erkennen lässt, im Auskunftsverfahren einen ungerechtfertigten und unverhältnismäßigen Aufwand zu vermeiden. Wenn der Gesetzgeber eine Abweichung vom Formerfordernis der Schriftlichkeit mit Zustimmung des Auftraggebers vorsieht, so ist auch die „geeignete Form“ des Identitätsnachweises nicht in jedem Fall formstreng zu sehen. Entscheidend bleibt, dass es dem Auftraggeber verlässlich ermöglicht wird, die Identität des Auskunftswerbers mit der Person zu überprüfen, deren Daten Gegenstand der Auskunft sein sollen.
Es kann für die Annahme eines Identitätsnachweises nach § 26 Abs. 1 DSG 2000 hinreichend sein, wenn fallbezogen ausreichende Anhaltspunkte dafür bestehen, dass der (datenschutzrechtliche) Auftraggeber keine Zweifel an der Identität der Auskunftswerberin hegen musste. In diesem Sinne hat der OGH (zum Identitätsnachweis nach § 25 DSG 2000) festgehalten: „Ein solcher Nachweis muss in dem zur Entscheidung vorliegenden Fall spätestens seit der im Zuge des Rechtsstreites abgelegten Aussage des Klägers als Partei als erbracht gelten, weil die Beklagte, die sich nach dem unmittelbar vorangegangenen Rechtsstreit mit dem Kläger in einen eingehenden Schriftverkehr über dessen Auskunftsrecht eingelassen und dabei auch ihre grundsätzliche Auskunftsbereitschaft erklärt hatte, keinen Umstand vorzubringen vermochte, aus dem der Verdacht zu rechtfertigen gewesen wäre, dass der Kläger fälschlicherweise unter dem Namen des nach der Klagsdarstellung Betroffenen als Prozesspartei vor Gericht aufgetreten wäre und als solcher auch im Zuge der Parteienvernehmung ausgesagt hätte“ (vgl. idS das Urteil des OGH vom 25. Februar 1993, 6 Ob 6/93).“
Weiters aus dem Text der Entscheidung selbst:
Geeigneter Identitätsnachweis
„23 Gemäß § 26 Abs. 1 DSG 2000 ist die Identität des Antragsteller „in geeigneter Form“ nachzuweisen. Der Nachweis hat in der Form zu erfolgen, die es dem Auftraggeber ermöglicht, die Identität des Auskunftswerbers mit der Person zu überprüfen, deren Daten Gegenstand der Auskunft sein sollen (vgl. nochmals das Erkenntnis 2004/06/0221).
24 Das Ansuchen um Auskunftserteilung nach § 26 DSG 2000 hat nach dem Wortlaut des Gesetzes schriftlich zu ergehen, wobei es mit Zustimmung des Auftraggebers auch mündlich gestellt werden kann. Die vom Gesetz vorgesehene Formvorschrift soll damit (auch) sicherstellen, dass für den Auftraggeber der Umfang des Auskunftsbegehrens klar umrissen ist (vgl. auch hiezu das Erkenntnis 2004/06/0221, mwN).
25 Dennoch kann ein Auskunftswerber von dieser Formvorschrift (der Schriftlichkeit) abweichen, wenn der Auftraggeber dem zustimmt. Diese Abweichung von der Schriftlichkeit kann auch für die Form des mit dem Auskunftsersuchen verbundenen Identitätsnachweises gelten, der in diesem Fall gegenüber dem Auftraggeber etwa durch den Augenschein erbracht werden kann. Entscheidend bleibt, dass es dem Auftraggeber ermöglicht wird, die Identität des Auskunftswerbers mit der Person zu überprüfen, deren Daten Gegenstand der Auskunft sein sollen. Für diese vereinfachte Form des Identitätsnachweises spricht auch § 26 Abs. 3 DSG 2000, der das Ziel des Gesetzgebers erkennen lässt, im Auskunftsverfahren einen ungerechtfertigten und unverhältnismäßigen Aufwand zu vermeiden.
26 Wenn der Gesetzgeber eine Abweichung vom Formerfordernis der Schriftlichkeit mit Zustimmung des Auftraggebers vorsieht, so ist auch die „geeignete Form“ des Identitätsnachweises nicht in jedem Fall formstreng zu sehen. Entscheidend bleibt, dass es dem Auftraggeber verlässlich ermöglicht wird, die Identität des Auskunftswerbers mit der Person zu überprüfen, deren Daten Gegenstand der Auskunft sein sollen.
27 Vorliegend hat die …gesellschaft als datenschutzrechtliche Auftraggeberin die Identität der die Auskunft nach § 26 DSG 2000 verlangenden mitbeteiligten Partei nie angezweifelt sondern der mitbeteiligten Partei eine Negativauskunft (§ 26 Abs. 1 vorletzter Satz DSG 2000) erteilt. Erst die nach dieser Negativauskunft angerufene Datenschutzbehörde hat das Fehlen eines geeigneten Identitätsnachweises angenommen und mit dieser Begründung die Beschwerde ohne weiteres Ermittlungsverfahren abgewiesen.
28 Dieser Umstand alleine ist nicht entscheidend, geht es doch beim Identitätsnachweis nach § 26 Abs. 1 DSG 2000 darum, einen Missbrauch des Auskunftsrechts zur Informationsbeschaffung durch Dritte zu verhindern (vgl. nochmals das Erkenntnis 2004/06/0221).
29 Es kann jedoch für die Annahme eines Identitätsnachweises nach § 26 Abs. 1 DSG 2000 hinreichend sein, wenn fallbezogen ausreichende Anhaltspunkte dafür bestehen, dass der (datenschutzrechtliche) Auftraggeber keine Zweifel an der Identität der Auskunftswerberin hegen musste.
30 In diesem Sinne hat der OGH (zum Identitätsnachweis nach § 25 DSG) festgehalten: „Ein solcher Nachweis muss in dem zur Entscheidung vorliegenden Fall spätestens seit der im Zuge des Rechtsstreites abgelegten Aussage des Klägers als Partei als erbracht gelten, weil die Beklagte, die sich nach dem unmittelbar vorangegangenen Rechtsstreit mit dem Kläger in einen eingehenden Schriftverkehr über dessen Auskunftsrecht eingelassen und dabei auch ihre grundsätzliche Auskunftsbereitschaft erklärt hatte, keinen Umstand vorzubringen vermochte, aus dem der Verdacht zu rechtfertigen gewesen wäre, dass der Kläger fälschlicherweise unter dem Namen des nach der Klagsdarstellung Betroffenen als Prozesspartei vor Gericht aufgetreten wäre und als solcher auch im Zuge der Parteienvernehmung ausgesagt hätte“ (vgl. idS das Urteil des OGH vom 25. Februar 1993, 6 Ob 6/93).
31 Fallbezogen hat das Verwaltungsgericht festgestellt, dass die mitbeteiligte Partei Mieterin … der …gesellschaft war und das Auskunftsersuchen in einem Schreiben gestellt wurde, dessen Gegenstand in erster Linie ein Streit um die Benutzung des Mietgegenstandes … nach Beendigung des Bestandsverhältnisses war. Das Auskunftsersuchen betraf die behauptete Ermittlung von Daten der mitbeteiligten Partei durch eine im Eingangsbereich … installierte Videokamera. Somit bestehen fallbezogen zwar gewisse Anhaltspunkte dafür, dass die …gesellschaft als (datenschutzrechtlicher) Auftraggeber keine Zweifel an der Identität der mitbeteiligten Partei als (datenschutzrechtlich) Betroffene hegen musste.“
Zu § 19 Abs. 2 Z 1
Auskünfte an Privatversicherungen sollen wie bisher weiter gehandhabt werden (keine generelle Auskunft, auf Grundlage verifizierter Spezialvollmacht aber möglich bei eindeutiger Identität und Sicherung, dass die Auskünfte nicht zur Vorbereitung eines Rechtsstreits zur Belastung einer Verfahrensseite verwendet werden sollen, weil dafür das Auskunftsrecht der Gerichte nach § 89h GOG ausreichend ist und mit Auskünften der Sozialversicherung nicht die im Zivilprozess geltende „Waffengleichheit“ beeinträchtigt werden sollte).
Zu § 19 Abs. 2 Z 3
Das vollendete 14. Lebensjahr in dieser Bestimmung gründet auf die verfahrensrechtliche Eigenberechtigung nach SV-Recht (vgl. z. B. § 361 Abs. 2 ASVG). Auch das neue DSG stellt z. B. in § 4 Abs. 4 bei der Einwilligung (bei einem Angebot von Diensten einer Informationsgesellschaft) auf das vollendete 14. Lebensjahr ab.
Zu § 19 Abs. 2 letzter Satz
Neu wurde die ausdrückliche Negativauskunft aufgenommen, da dies auch in der DSGVO eine Anforderung ist.
Zu § 19 Abs. 4
Auskünfte über Telefon sollen nicht gänzlich ausgeschlossen sein, weil dies in Einzelfällen angezeigt sein kann (z. B. telefonische Anfrage des Außenministeriums betreffend einen in Not geratenen Versicherten). Bei Anrufen von betroffenen Personen muss z. B. durch gezielte Rückfragen (etwa aus den bisherigen Versicherungsverlauf, etc.) die Identität und Abfrageberechtigung (beim BMEIA: Amtshilfe, Art. 22 B-VG) abgesichert werden, wobei aber etwaige Auskünfte nur im Einzelfall und bei dringenden Angelegenheiten gegeben werden dürfen.
Der Text betrifft sowohl Amtshilfe- als auch Auskunftsrecht: In beiden Fällen werden Daten außerhalb des SVT (an die betroffene Person oder an Dritte) übermittelt. Dabei spielt der jeweilige Sachverhalt und dessen zeitlicher Rahmen eine Rolle, die aber stets zu einer praxisbezogenen Abwägung führen sollte: Wenn (plausibel dargestellt und durch Rückfrage bescheinigt) ein Notfall vorliegt, verhindert Datenschutzrecht nicht dringende Hilfe im Einzelfall. Telefonanrufe Unbekannter, deren Situation auch nicht verifizierbar ist, können aber keine Ausnahme rechtfertigen.
Auskünfte über Telefax sollen (entsprechend der Übergangsbestimmung des § 27 Abs. 12 GTelG 2012) in Einzelfällen noch möglich sein. Da die Verwendung von Telefaxgeräten immer weiter im Abnehmen ist, wird eine Frist bis Ende 2019 dafür vorgesehen. Dies hindert aber nicht z. B. Kontakte unter bekannten Verantwortlichen, z. B. Rückfragen eines Chefarztes bei einem Vertragspartner (vgl. auch § 338 Abs. 4 ASVG) oder sachbezogene Kontakte von Vertragspartnern untereinander zur Abwicklung von Versicherungsansprüchen.
Auskünfte über E-Mail sollen – entgegen den Vorgaben der SV-SR (bzw. der InfoSec-Strategie) – nicht gänzlich ausgeschlossen sein, weil dies in Einzelfällen angezeigt sein kann. Die Teilnahme am SV-Postfach usw. ist davon nicht betroffen (da diese ja mittels Signatur abgesichert ist).
Auskünfte an behördliche Stellen im Rahmen der Amtshilfe per Telefax und per E-Mail (ohne elektronische Signatur, etc.) können (müssen aber nicht) auf demselben Weg gegeben werden, wenn z. B. aus dem (mit übermittelten) Fax-Kopf die Stelle bekannt gegeben ist (wie dies z. B. bei Gerichten, BHs, etc. der Fall ist) oder aus der E-Mail-Adresse (wie „..@justiz.gv.at“) ein behördlicher Absender erkennbar ist.
Insgesamt müssen Auskünfte über Telefon, Telefax oder E-Mail (ohne elektronische Signatur, etc.) äußerst restriktiv gehandhabt werden.
Zu § 19 Abs. 5
Bei der Erfüllung von Auskunftsersuchen bei Verdacht auf einen Missbrauchsfall sollten keine personenbezogenen Daten anderer Personen mit beauskunftet werden, sondern nur der jeweilige konkrete Empfängerkreis (z. B. WGKK, PVA). Benutzerkennzeichen bzw. personenbezogene Daten von MitarbeiterInnen, SachbearbeiterInnen, etc. sollten nur im Rahmen eines im öffentlichen Interesse abzuwickelnden Verfahrens (z. B. Gerichtsverfahren) bekannt gegeben werden, nicht aber bei Auskünften nach Datenschutzrecht (damit sichergestellt wird, dass nicht auf dem „Umweg“ des Auskunftsersuchens die SachbearbeiterInnen ermittelt werden können, welche z. B. einen Pensionsantrag ablehnend bearbeitet haben, um diese vor ungerechtfertigten direkten Angriffen zu schützen.).
Diesbezüglich hat auch die Datenschutzbehörde im Begutachtungsverfahren (mit Schreiben vom 26. Februar 2018, GZ: DSB-D054.827/0001-DSB/2018) folgendes ausgeführt: „Die Bestimmung in Abs. 5, wonach bei Behauptung eines Missbrauchs weitere Daten beauskunftet werden sollen, kann sich – nach der Rechtsprechung des Bundesverwaltungsgerichtes – nur auf interne Abfragen beziehen (siehe dazu das Erkenntnis vom 11. Juli 2017, GZ W214 2117640-1). Handelt es sich hingegen um externe Zugriffe, wären diese im Rahmen des allgemeinen Auskunftsrechts nach Ansicht der Datenschutzbehörde gemäß Art. 15 DSGVO als Empfänger oder Kategorien von Empfängern ohne Hinzutreten weiterer Erfordernisse zu beauskunften.“.
Zu § 19 Abs. 6
Unter „Honorarbeträge“ in dieser Bestimmung sind Honorare der Ärzte gemeint, nicht Leistungsinformationsdaten der Versicherung – LIVE Daten (§ 81 Abs. 1 Satz 3 ASVG) über Kosten des Versicherungsträgers – diese fallen nicht unter diese Bestimmung. Werden LIVE-Daten angefragt, so kann auch auf einen Link auf einer Website verwiesen werden.
Zu § 19 Abs. 7
Dies ergibt sich aus Art. 15 Abs. 1 DSGVO (insbesondere aus lit. e und f).
----
Zu § 20 – Andere Auskunftsvorschriften
Zu § 20 Abs. 2
Eine betroffene Person könnte sich z. B. auf das Recht auf Akteneinsicht berufen.
----
Besonderer Teil - 3. Änderung
Zu Z 30 des Begutachtungsentwurfes – § 20 Abs. 2
Ursprünglich war vorgesehen, eine Eränzung des § 20 Abs. 2 um folgenden Satz vorgesehen:
„Durch Berufung auf die allgemeinen Rechte nach der DSGVO bzw. dem DSG können andere Rechtsvorschriften (z. B. das Recht auf Akteneinsicht und der Ausschluss von Dokumenten davon) nicht umgangen werden; in derartigen Fällen ist nach den jeweils anzuwendenden besonderen Rechtsvorschriften (z. B. § 17 AVG) vorzugehen.“
Die Erläuterung dazu lautete:
Das Datenschutzrecht kann nicht andere Rechte modifizieren. So werden oft unter dem „Deckmantel“ der Art. 15 DSGVO Auskunftsbegehren gestellt, die keine eigentlichen Auskunftsbegehren im Sinne des Daten-schutzrechtes sind, sondern die vielmehr unter (eine offenbar gewünschte) Akteneinsicht nach AVG fallen. In diesen Fällen ist zwischen datenschutzrechtlich eingeräumten Rechten und Einsichtsrechten (wie z. B. der Akteneinsicht in einem behördlichen Verfahren nach § 17 AVG) der betroffen Person zu unterscheiden und dementsprechend vorzugehen. In diesem Zusammenhang kann aber auch das Recht auf Akteneinsicht nicht unter Berufung auf das datenschutzrechtliche Auskunftsrecht geltend gemacht werden (z. B. DSB vom 9. 3. 2015, DSB-D122.299/0003-DSB/2015 unter 2.2.). Zur Abgrenzung zwischen manueller und automationsunterstützter Datenverarbeitung vgl. auch Gerhartl in ARD Heft 6615/4/2018. Gleiches gilt für Situationen, in denen Angaben über eine Person zu deren Schutz geheim zu halten sind, dieser Schutz hat Vorrang vor allfälligen in der gleichen Situation vorhandenen Auskunftsberechtigungen nach Datenschutzrecht (z. B. in Fällen von Stalking, der beschränkten Auskunft bzw. Auskunftssperre nach Melderecht oder Strafregisterrecht, vgl. auch § 54a SPG, das Vergaberecht usw.).
Dazu hat die Datenschutzbehörde (GZ: DSB-D055.104/0001-DSB/2019) folgende Stellungnahme abgegeben:
„Zunächst ist festzuhalten, dass die bisherige Judikatur zum Auskunftsrecht gemäß § 26 DSG 2000 einer Auskunft im Sinne einer Kopie konkreter Aktenbestandteile grundsätzlich ablehnend gegenüberstand, v. a., weil § 26 Abs. 8 DSG 2000 den Vorrang gesetzlich normierter Einsichtsrechte vorsah.
Eine § 26 Abs. 8 DSG 2000 entsprechende Regelung findet sich im Anwendungsbereich der DSGVO nicht; lediglich im Anwendungsbereich des 3. Hauptstücks des DSG ist eine Nachfolgeregelung normiert (§ 44 Abs. 5 DSG). 
Die Datenschutzbehörde hat sich mit dem Verhältnis von § 17 AVG und dem Auskunftsrecht nach Art. 15 DSGVO in ihrem Bescheid vom 18. April 2019, GZ DSB-D122.913/0001-DSB/2019 (nicht im RIS), befasst und folgendes ausgesprochen:
‚Das nunmehr geltende DSG sieht zwar in § 4 Abs. 5 und Abs. 6 DSG ebenfalls Ausnahmen vom Auskunftsrecht gemäß Art. 15 DSGVO vor – nämlich im hoheitlichen Bereich gemäß § 4 Abs. 5 DSG dann, wenn die Erteilung der Auskunft die Erfüllung gesetzlich übertragener Aufgaben gefährden würde, bei Privaten oder im Rahmen der Privatwirtschaftsverwaltung gemäß § 4 Abs. 6 DSG dann, wenn die Erteilung der Auskunft ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen oder eines Dritten gefährdet würde. Jedoch erscheinen beide Beschränkungen diesfalls nicht anwendbar. 
Es ist daher für den gegenständlichen Sachverhalt nur Art. 15 DSGVO („Auskunftsrecht der betroffenen Per-son“) maßgeblich. Die DSGVO selbst erwähnt Akten und Aktensammlungen (noch davon ausgehend, dass es sich um Papierakten handelt) in ErwGr. 15 letzter Satz, wobei diese Papierakten lediglich dann nicht unter die DSGVO fallen sollen, wenn das Kriterium des Dateisystems nicht erfüllt ist, somit eine Ordnung nach be-stimmten Kriterien (sohin zumindest zwei Kriterien) nicht vorhanden ist. E contrario ist zu schließen, dass auf elektronische Akten – wie sie unter anderem auch die Beschwerdegegnerin verwendet – jedenfalls die DSGVO anwendbar ist. ErwGr. 63 2. Satz erwähnt dabei, dass auch der Inhalt von Akten grundsätzlich dem Aus-kunftsrecht unterliegt (arg. „Dies schließt das Recht betroffener Personen auf Auskunft über ihre eigenen ge-sundheitsbezogenen Daten ein, etwa Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten“).“
Art. 15 Abs. 3 DSGVO normiert, dass der Verantwortliche eine Kopie der personenbezogenen Daten zur Verfügung stellt, wobei Abs. 4 einschränkend festlegt, dass dadurch die Rechte und Freiheiten anderer Personen nicht beeinträchtigt werden dürfen.
Aus alledem ist abzuleiten, dass nunmehr mittels eines Auskunftsbegehrens grundsätzlich auch Auskunft über den Inhalt von Urkunden und Aktenbestandteilen begehrt werden kann. 
Allerdings ist eine Auskunft gemäß Art. 15 DSGVO - wie schon bisher - auf eigene Daten beschränkt, also auf Daten, die dem Wortlaut des Art. 15 Abs. 1 DSGVO zufolge, „sie [dh. die betroffene Person] betreffende personenbezo-gene Daten“ sind. Daher besteht grundsätzlich auch weiterhin kein Recht auf Auskunft über die personenbezogenen Daten Dritter, soweit im Einzelfall nicht besondere Gründe dafürsprechen (vgl. dazu bspw. den Bescheid vom 6. Juni 2018, GZ DSB-D122.829/0003-DSB/2018).
Darüber hinaus normiert Art. 15 Abs. 4 DSGVO die weitere Beschränkung, dass der Erhalt einer Kopie der personenbezogenen Daten jedenfalls die Rechte und Freiheiten anderer Personen nicht beeinträchtigen darf.
Wenn daher ein zu beauskunftendes Dokument (eine „Kopie“) Daten Dritter enthält, ist eine Güterabwägung durchzuführen und sind die Daten Dritter nur dann preiszugeben, wenn die Gründe für die Beauskunftung die Gründe für die Geheimhaltung überwiegen.“
Es wird daher angeregt, die intendierte Regelung in Abs. 2 einer nochmaligen Überprüfung zu unterziehen.“
Aufgrund dieser Stellungnahme der DSB wurde von der vorgeschlagenen Ergänzung des § 20 Abs. 2 wieder Abstand genommen.
----
Zu § 21 – Recht auf Berichtigung
Der Berichtigungsantrag ist an keine Form gebunden – er kann schriftlich, mündlich, per SMS, E-Mail oder sonst wie elektronisch erhoben werden (vgl. Erwägungsgrund 59 der DSGVO).
Zu § 21 Abs. 2
Näheres zum sogenannten NARIC-Verzeichnis siehe unter:
https://www.bmbwf.gv.at/studium/academic-mobility/enic-naric-austria/
[aufgerufen am 21. 3. 2018].
Soweit akademische Titel/Grade nicht im Behördenweg an die Sozialversicherung gemeldet werden, muss die betroffene Person dies selbst bei der Sozialversicherung geltend machen, weil akademische Grade sind nicht automatisch Teil des Familiennamens sind. Die Führung des akademischen Grades ist ein Recht, von dem die betroffene Person Gebrauch machen kann, aber nicht muss (und die Sozialversicherung diesbezüglich nicht somit eigenmächtig handeln darf).
Sonstige Ehrentitel, Berufsbezeichnungen, usw., wenn sie nicht verliehen, sondern mit der Ausübung einer bestimmten Dienststellung verbunden sind (wie z. B. kirchliche oder militärische Rangbezeichnungen), werden ebenso nicht gespeichert bzw. nur dann wenn es sich um einen Bestandteil des Namens handelt (wie dies bei deutschen Staatsbürgern der Fall sein kann).
Zu § 21 Abs. 3
Andere Geburtsdaten oder Titel (wie Berufstitel, z. B. Kommerzialrat, Hofrat usw.) werden auf Wunsch der betroffenen Person in den Datenbeständen der Sozialversicherung verzeichnet (z. B. als Basis des einschlägigen Schriftverkehrs, als sogenannte „Anredezusätze“), aber ansonsten (z. B. auf der e-card) nicht angeführt, weil der Änderungsaufwand für solche nicht zwingend anzuführenden Titel vermieden werden soll.
Zu § 21 Abs. 4
Die Aufzählung in Abs. 4 ist nicht erschöpfend, es kann auch andere Fälle geben.
Zu § 21 Abs. 5
Der Art. 12 DSGVO ist sinngemäß anzuwenden.
Zu § 21 Abs. 6
Dies ergibt sich aus Art. 12 Abs. 4 DSGVO.
Zu § 22 – Recht auf Löschung
Der Löschungsantrag ist an keine Form gebunden – er kann schriftlich, mündlich, per SMS, E-Mail oder sonst wie elektronisch erhoben werden (vgl. Erwägungsgrund 59 der DSGVO). Siehe aber immer das Erfordernis exakter Identitätsfeststellung (Art. 11 Abs. 2 DSGVO).
Zu § 22 Abs. 2
Diese Bestimmung dient nur zu Klarstellung, stellt inhaltlich aber keine Neuerung da, da dies bereits seit Jahrzehnten gesetzlich geregelt ist (Daten, die nicht gebraucht werden [Ballastwissen usw.] sind zu physisch löschen. Auch die bisherigen SV-Datenschutzverordnungen (2001 und 2012) haben dies schon so geregelt (vgl. z. B. § 5 Abs. 2 Z 1 und Z 4 SV-DSV 2012).
Da das Recht auf Löschung ein wesentliches Recht der DSGVO ist, wird diese Bestimmung neuerlich in die SV-DSV aufgenommen, insbesondere da die Sozialversicherung in der Öffentlichkeit steht und sie ihre Datenbestände davor zu schützen hat, wegen Rechtsverletzungen in Diskussion gezogen zu werden.
Es soll damit auch klargestellt werden, dass die tragenden Grundsätze „Privacy by Design“ und „Privacy by Default“ der DSGVO (wozu auch das Recht auf Löschung gehört) auch ein Bestandteil in der neuen SV-DSV sind. Insbesondere durch den auch tragenden Grundsatz „Justice must not only be done, it must be seen to be done.“ muss in allen Applikationen und Datenverarbeitungen der Sozialversicherung (wie bisher) eine Löschprozedur bzw. eine Löschfunktion nachweislich vorhanden sein, wonach personenbezogene Daten(arten) ab einem gewissen Zeitpunkt gelöscht werden können (z. B. nach Ablauf der Aufbewahrungsvorschriften, 20 Jahre nach dem letzten Zugriff, 20 Jahre nach dem Erstellen, etc.).
Dies entspricht auch dem (neuen) „Recht auf Vergessenwerden“. Es handelt sich dabei um eine Erweiterung des bereits in Art. 12 DS-RL enthaltenen Löschungsanspruchs (vgl. Erwägungsgrund 66 der DSGVO: „…sollte das Recht auf Löschung erweitert werden…“ bzw. Erwägungsgrund 65: „Insbesondere sollten betroffene Personen Anspruch darauf haben, dass ihre personenbezogenen Daten gelöscht und nicht mehr verarbeitet werden…“).
Zu § 22 Abs. 3 und 4
Zu § 22 Abs. 3 folgendes Beispiel
Es existieren zwei Menschen mit folgenden (hier angenommenen) gleichen Daten:
	1.	Hans Maierhuber, geb. 1. 3. 1975
	2.	Hans Maierhuber, geb. 1. 3. 1975
In der Praxis wird bei Person Nr. 1 z. B. vorgemerkt (frei beschreibbares Feld): „1997 in Wien gewohnt“ und bei Nr. 2 „hat nie in Wien gewohnt“ (was durch Meldebelege verifizierbar ist). Solche Klärungshinweise können personenbezogen sein und müssen zulässig sein.
Bei Datenlöschungen ist vorzumerken, was zu löschen ist, um in den Sicherungskopien erkennen zu können, was nicht von der Sicherung auf einen späteren Echtdatenbestand zurückgespielt werden darf, wenn die Sicherung verwendet werden soll. Was geradezu unmöglich ist (technische Abläufe innerhalb der Sicherungsabläufe – 24 Stunden), kann nicht vorgeschrieben werden (es ist – siehe den Grundsatz „privacy by default“, Art. 25 DSGVO – keine eigene Datenbank über vorgenommene Löschungen zu führen, weil das eine Datenverarbeitung wäre, welche das Gegenteil des „Rechts auf Vergessenwerden“ enthielte: nämlich nur jene Daten oder Personen, hinsichtlich derer oder von denen dieses Recht geltend gemacht wurde). Die Wahrscheinlichkeit ist minimal. Gefahr, dass gerade in seinem solchen Fall etwas passiert, muss anerkannt bzw. als juristisch unvermeidbar getragen werden
Der von der DSGVO geforderte Löschungserfolg muss nicht immer irreversibel sein. In den Fällen des Abs. 3 und Abs. 4 (insbesondere Archive und back-ups betreffend sowie Unterlagen, die der Datensicherheit und der Dokumentation zu dienen haben), ist es daher ausreichend, wenn die Verarbeitung und Nutzung der personenbezogenen Daten in der bisherigen Form nicht mehr möglich ist. Dass eine Reproduktion, wenn sich doch der Bedarf dazu ergibt, zu einem späteren Zeitpunkt noch möglich ist, macht diese Löschungen nicht unzureichend.
Zu den Archiven wird auf die bereits jetzt vorhandenen Rechtstexte verwiesen, die eine längerfristig sichere Speicherung möglich machen: §§ 6 und 27 DSG 2000 (siehe auch die Erwägungsgründe 50, 52, 53, 62, 65, 73, 156, 158 und Art. 5, Art. 9 Abs. 2 lit. j, Art. 14 Abs. 5, Art. 17, Art 89 der DSGVO).
Zu § 22 Abs. 5 Z 3
Die Angabe eines Löschungsgrundes soll nur die Überprüfung des Antrages erleichtern, dies kann aber nicht bewirken, dass jedenfalls gelöscht werden muss.
Zu § 22 Abs. 6
Damit soll sichergestellt werden, dass der Löschungswerber den Antrag z. B. auf bestimmte Daten, Datenarten 
oder Teile der Verarbeitung beschränken kann.
Zu § 22 Abs. 8
Dies ergibt sich aus Art. 12 Abs. 4 DSGVO.
Zu § 23 – Recht auf Einschränkung der Verarbeitung
Die Einschränkung der Verarbeitung entspricht dem bisher gebräuchlichen Begriff des „Sperrens“ und tritt an die Stelle des Art. 12 lit. b DS-RL unter Vermeidung des mehrdeutigen Begriffs der „Sperrung“ und konkretisiert seine Voraussetzungen und Rechtsfolgen.
Die Einschränkung kann insbesondere auf Verlangen der betroffenen Person erfolgen (Art. 18 DSGVO) oder auf Anweisung der Datenschutzbehörde (Art. 58 DSGVO Abs. 2 lit. f).
Die Einschränkung ist gemäß Art. 4 Z 2 DSGVO selbst eine Form der Verarbeitung. Erwägungsgrund 67 (letzter Satz) der DSGVO dazu: „Auf die Tatsache, dass die Verarbeitung der personenbezogenen Daten beschränkt wurde, sollte in dem System unmissverständlich hingewiesen werden.“. Daraus ergibt sich, dass z. B. entsprechende Auskunftssperren (auch) im zentralen Stammdatensystem der Sozialversicherung für alle Versicherten zeitlich begrenzbar gesetzt werden müssen. Diese Kennzeichnung muss sowohl im zentralen Stammdatensystem der Sozialversicherung als auch über die an diesem angebundenen Nutzsystemen zur Verfügung gestellt werden, da nur so sichergestellt werden kann, dass z. B. unberechtigte Datenübermittlungen durch Einschau in sämtliche Versicherungssysteme aller Sozialversicherungsträger erst gar nicht möglich sind.
Zu § 23 Abs. 1
Der Verantwortliche muss je nach den Umständen des Einzelfalls einzelne Daten, Datensätze oder ganze Dateien dahingehend markieren bzw. kenntlich machen, dass diese zwar weiterhin gespeichert bleiben, jedoch nicht mehr anderweitig verarbeitet werden dürfen (sog. Einschränkungsvermerk). Allenfalls sind andere Abteilungen bzw. andere Sozialversicherungsträger darüber zu verständigen (§ 321 ASVG, z. B. über ein Anmerkungsfeld). Es ist auch durch geeignete technische oder organisatorische Maßnahmen sicherzustellen, dass diese Daten nicht mehr verändert werden können (vgl. Erwägungsgrund 67 der DSGVO: z. B. durch Übertragung auf ein anderes System, Nutzer sperren, etc.).
Zu § 23 Abs. 2
Der Verantwortliche muss seine Verfügung über die Daten nicht endgültig aufgeben. Er muss nur festlegen, dass neben der Speicherung (die nach Art. 6 Abs. 1 DSGVO weiterhin zulässig ist), jede weitere Datenverarbeitung unterbleibt.
Ein Recht auf Auskunftssperre besteht nicht, da Auskünfte nur auf gesetzlicher Grundlage erfolgen und nicht an Außenstehende erteilt werden dürfen.
Zu § 23 Abs. 3
Im Falle der Berichtigungsprüfung sowie bei der Widerspruchsprüfung wird die Einschränkung angeordnet (Art. 18 Abs. 1 lit. a und d DSGVO) – und zwar für die Dauer, die es dem Verantwortlichen ermöglicht, die (bestrittene) Richtigkeit der personenbezogenen Daten bzw. den Widerspruch zu überprüfen. Die Höchstdauer der jeweiligen Prüfung ist aber durch Art. 12 DSGVO beschränkt.
Zu § 23 Abs. 4 Z 1
Da das Einschränkungsrecht der betroffenen Person nur nach ausdrücklicher Ausübung des Wahlrechts (z. B. keine Löschung, sondern stattdessen eine Einschränkung zu wollen) entsteht, wird hier auf Einschränkung der „Nutzung“ abgestellt. Dieser Verweis auf „Nutzung“ dient der Klarstellung, dass die betroffene Person nicht die Einschränkung der Speicherung der Daten verlangen darf, weil dies einer Löschung gleichkäme.
Das kann z. B. bei familiären Auseinandersetzungen der Fall sein, wo personenbezogene Daten (z. B. Dienstgeberadresse) der betroffenen Person (z. B. einer Frau) nicht an unberechtigte Dritte (z. B. an gewalttätigen Ex-Mann) weitergegeben werden. In diesem Fall muss die Nutzung (auch trägerübergreifend) eingeschränkt werden.
Das kann so weit gehen, dass Namensänderungen, die z. B. zum Schutz von Familienmitgliedern im Zusammenhang mit Gewalttaten von den zuständigen Behörden verfügt werden, raschest nachzuvollziehen sind (vgl. auch die Regeln über die Inkognitoadoption in § 3 Abs. 2 PersonenstandsdatenV, BGBl. II Nr. 239/2004).
Zu § 23 Abs. 5
Diese Bestimmung orientiert sich an § 48g Abs. 3 im Gesetzentwurf Änderung der Bundesabgabenordnung.
Zu § 23 Abs. 6
Gründe für eine Verarbeitung aus wichtigen öffentlichen Interessen können (auch) im wichtigen öffentlichen Interesse liegende Archivzwecke, öffentliche wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke sein.
Zu § 23 Abs. 8
Gemäß Art. 18 Abs. 3 DSGVO ist die betroffene Person vom Verantwortlichen vor Aufhebung der Einschränkung zu informieren. Hintergrund dieser Unterrichtungspflicht ist, dass das Recht auf Einschränkung nur auf einen vorübergehenden und nicht auf einen dauerhaften Zustand angelegt ist. Durch diese Information wird der betroffenen Person ermöglicht weitergehende Maßnahmen (z. B. Löschung) zu beantragen.
Zu § 23 Abs. 9
Dies ergibt sich aus Art. 12 Abs. 4 DSGVO.
Zu § 24 – Mitteilungspflicht bei Berichtigung, Löschung oder Einschränkung
Nach Art. 19 entfällt die Mitteilungspflicht, wenn diese unmöglich oder mit einem unverhältnismäßigen Aufwand verbunden ist.
Unter Unmöglichkeit ist eine tatsächliche zu verstehen, die nicht von zeitlichen oder finanziellen Faktoren abhängt, also wenn z. B. der Empfänger objektiv nicht mehr existiert oder nicht mehr erreichbar ist.
Ob ein unverhältnismäßiger Aufwand besteht ist im Einzelfall unter Berücksichtigung aller Umstände zu beurteilen, dabei sind der zeitliche und finanzielle Aufwand nicht alleine relevant. Es hat auch eine Abwägung zwischen Interessen der betroffenen Person (z. B. an Richtigstellung der Daten beim Empfänger) und Interesse der Empfänger (z. B. an der Möglichkeit zur Korrektur) zu erfolgen.
Relevant kann auch sein, ob eine Mitteilung nicht den Interessen der betroffenen Person sogar zuwider läuft (z. B. bei Wegfall einer Rechtsgrundlage für die Verarbeitung, für die der Empfänger hingegen noch sehr wohl eine hat).
Ebenso ist zu berücksichtigen, ob der Empfänger nicht auch unmittelbar betroffen ist (z. B. andere Sozialversicherungsträger bei der Stornierung einer Sozialversicherungsnummer). In all diesen Fällen muss eine EDV-technische Lösung vorhanden sein, eine umgehende (auch trägerübergreifende) automatische Verständigung an die betroffenen Stellen zu senden, sofern technisch möglich.
Zu § 25 – Widerspruchsrecht
Durch die Ausübung dieses Rechts kann die betroffene Person bei einer Datenverarbeitung, die ohne seine ausdrückliche oder implizite Einwilligung stattfindet (etwa auf Grund einer gesetzlichen Ermächtigung oder wegen vom Verantwortlichen behaupteter überwiegender berechtigter Interessen) eine Prüfung von ihm vorgebrachter Gründe für eine Beendigung der Verarbeitung verlangen (vgl. Erwägungsgrund 69 der DSGVO).
Das Widerspruchsrecht geht auf Art. 7 und Art. 8 Abs. 1 der Charta der Grundrechte der Europäischen Union (GRC) zurück und ist eine Weiterentwicklung von Art. 14 lit. a DS-RL.
Es ist ein allgemeines Widerspruchsrecht gegen eine rechtmäßige Verarbeitung. Das Widerspruchsrecht gilt für den Fall, dass sich im Nachhinein im Hinblick auf die Sondersituation einer betroffenen Person als rechtswidrig erweist. Es handelt sich also um eine Korrektur besonderer Einzelfälle. Gesetze können aber auch dadurch nicht unwirksam gemacht werden.
Das Widerspruchsrecht unterliegt auch den Beschränkungsvorbehalten gemäß Art. 23 DSGVO sowie auch den Ausnahmevorbehalten nach Art. 89 DSGVO.
Die Frist zur Entscheidung über einen Widerspruch beträgt einen Monat. U. U. ist eine Verlängerung auf drei Monate möglich.
Das Recht auf Widerspruch findet auch auf die Datenverarbeitung durch Behörden Anwendung; vgl. dazu das Urteil des EuGH vom 9. 3. 2017, C-398/15, Manni.
Zu § 26 – Information der Bediensteten
Die Information der Bediensteten kann auch durch ein eLearning-Tool stattfinden.