Landesgesetzblatt für Wien

Der Wiener Landtag hat beschlossen:

§ 1. Dieses Gesetz regelt die Angelegenheiten des Schutzes personenbezogener Daten bei nicht automationsunterstützt geführten Dateien, soweit nicht die Gesetzgebung Bundessache ist.

§ 2. (1) Die Bestimmungen dieses Gesetzes sind auf die Verwendung von personenbezogenen Daten im Land durch

a) den Magistrat der Stadt Wien,

b) juristische Personen und Behörden, die durch Landesgesetz eingerichtet oder auf Grundlage eines Landesgesetzes errichtet sind und

c) sonstige natürliche und juristische Personen

anzuwenden, soweit die Dateien im Rahmen von Angelegenheiten geführt werden, in denen die Gesetzgebung nicht Bundessache ist.

(2) Auf die Verwendung von Daten im Ausland ist dieses Gesetz anzuwenden, soweit diese Verwendung in anderen Mitgliedsstaaten der Europäischen Union für Zwecke einer im Land gelegenen Haupt- oder Zweigniederlassung (§ 4 Z 15 Datenschutzgesetz 2000) eines Auftraggebers (§ 4 Z 4 Datenschutzgesetz 2000) geschieht.

(3) Abweichend von Abs. 1 ist das Recht des Sitzstaates des Auftraggebers auf eine im Land geführte Datei anzuwenden, wenn ein Auftraggeber des privaten Bereichs (Abs. 5) mit Sitz in einem anderen Mitgliedsstaat der Europäischen Union personenbezogene Daten im Land zu einem Zweck verwendet, der keiner im Land gelegenen Niederlassung dieses Auftraggebers zuzurechnen ist.

(4) Dieses Gesetz findet keine Anwendung auf die

a) Verarbeitung personenbezogener Daten durch natürliche Personen für ausschließlich persönliche oder familiäre Tätigkeiten,

b) ausschließliche Durchfuhr personenbezogener Daten durch das Land.

(5) Datenanwendungen sind dem öffentlichen Bereich zuzurechnen, wenn sie für Zwecke eines Auftraggebers durchgeführt werden, der

a) in Formen des öffentlichen Rechts eingerichtet ist, insbesondere auch als Organ einer Gebietskörperschaft, oder

b) soweit er trotz seiner Einrichtung in Formen des Privatrechts in Vollziehung der Gesetze tätig ist.

Liegen diese Voraussetzungen nicht vor, ist ein Auftraggeber dem privaten Bereich zuzurechnen.

§ 3. (1) Die in diesem Gesetz verwendeten Begriffe haben die im § 4 des Datenschutzgesetzes 2000 festgelegte Bedeutung.

(2) Soweit personenbezogene Begriffe nur in männlicher Form angeführt sind, beziehen sie sich auf Frauen und Männer in gleicher Weise. Bei Anwendung auf bestimmte Personen ist die jeweils geschlechtsspezifische Form zu verwenden.

§ 4. (1) Hinsichtlich der Verwendung von Daten und der Datensicherheit sind die Bestimmungen des Artikels 2, 2. und 3. Abschnitt des Datenschutzgesetzes 2000 sinngemäß anzuwenden. In den §§ 6, 12 und 13 tritt jedoch an die Stelle des Bundeskanzlers die Landesregierung.

(2) Hinsichtlich der besonderen Verwendungszwecke sind die Bestimmungen des Artikels 2, 8. Abschnitt des Datenschutzgesetzes 2000 mit Ausnahme des § 45 sinngemäß anzuwenden.

(3) Hinsichtlich der Publizität der Datenanwendungen sind die Bestimmungen des Artikels 2, 4. Abschnitt des Datenschutzgesetzes 2000 sinngemäß anzuwenden. Nicht automationsunterstützt geführte Dateien gelten als Datenanwendungen im Sinne des § 4 Z 7 des Datenschutzgesetzes 2000. § 17 des Datenschutzgesetzes 2000 ist mit der Maßgabe anzuwenden, dass die Meldepflicht nur für solche Dateien besteht, deren Inhalt gemäß § 18 Abs. 2 des Datenschutzgesetzes 2000 der Vorabkontrolle unterliegt.

(4) Hinsichtlich der Rechte des Betroffenen sind die Bestimmungen des Artikels 2, 5. Abschnitt des Datenschutzgesetzes 2000 sinngemäß anzuwenden.

(5) Hinsichtlich des Rechtsschutzes sind die Bestimmungen des Artikels 2, 6. Abschnitt des Datenschutzgesetzes 2000 sinngemäß anzuwenden.

§ 5. (1) Sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, die mit Geldstrafe bis zu 260 000 Schilling zu ahnden ist, wer

a) sich vorsätzlich widerrechtlichen Zugang zu einer Datei verschafft oder einen erkennbar widerrechtlichen Zugang vorsätzlich aufrechterhält oder

b) Daten vorsätzlich in Verletzung des Datengeheimnisses (§ 4 Abs. 1 dieses Gesetzes in Verbindung mit § 15 des Datenschutzgesetzes 2000) übermittelt, insbesondere Daten, die ihm gemäß §§ 46 oder 47 des Datenschutzgesetzes 2000 anvertraut wurden, vorsätzlich für andere Zwecke verwendet oder

c) Daten entgegen einem rechtskräftigen Urteil oder Bescheid verwendet, nicht beauskunftet, nicht richtig stellt oder nicht löscht oder

d) Daten vorsätzlich entgegen § 4 Abs. 4 dieses Gesetzes in Verbindung mit § 26 Abs. 7 des Datenschutzgesetzes 2000 löscht.

(2) Sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet, begeht eine Verwaltungsübertretung, die mit Geldstrafe bis zu 130 000 Schilling zu ahnden ist, wer

a) Daten ermittelt, verarbeitet oder übermittelt, ohne seine Meldepflicht gemäß § 4 Abs. 3 dieses Gesetzes in Verbindung mit § 17 des Datenschutzgesetzes 2000 erfüllt zu haben oder

b) Daten ins Ausland übermittelt oder überlässt, ohne die erforderliche Genehmigung der Landesregierung gemäß § 4 Abs. 1 dieses Gesetzes in Verbindung mit § 13 des Datenschutzgesetzes 2000 eingeholt zu haben oder

c) seine Offenlegungs- oder Informationspflichten gemäß § 4 Abs. 3 dieses Gesetzes in Verbindung mit den §§ 23, 24 oder 25 des Datenschutzgesetzes 2000 verletzt oder

d) die gemäß § 4 Abs. 1 dieses Gesetzes in Verbindung mit § 14 des Datenschutzgesetzes 2000 erforderlichen Sicherheitsmaßnahmen gröblich außer Acht lässt.

(3) Der Versuch ist strafbar.

(4) Die Strafe des Verfalls von Datenträgern kann ausgesprochen werden (§§ 10, 17 und 18 Verwaltungsstrafgesetz 1991 – VStG, BGBl. Nr. 52), wenn diese Gegenstände mit einer Verwaltungsübertretung nach Abs. 1 oder 2 in Zusammenhang stehen.

(5) Zuständig für Entscheidungen nach Abs. 1 bis 3 ist der Magistrat als Bezirksverwaltungsbehörde. Dies gilt auch, falls der Auftraggeber (Dienstleister) keinen gewöhnlichen Aufenthalt oder Sitz im Inland hat.

§ 6. Soweit in diesem Gesetz auf das Datenschutzgesetz 2000 verwiesen wird, bezieht sich diese Verweisung auf das Datenschutzgesetz 2000 – DSG 2000, BGBl. I Nr. 165/1999.

§ 7. Mit diesem Gesetz wird die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, ABl. Nr. L 281 vom 23. November 1995, S. 31, umgesetzt.

§ 8. (1) Datenanwendungen, die der Meldepflicht gemäß § 4 Abs. 3 unterliegen, sind, soweit sie schon im Zeitpunkt des In-Kraft-Tretens dieses Gesetzes bestanden haben, dem Datenverarbeitungsregister bis spätestens 1. Jänner 2003 zu melden.

(2) Mit 1. Jänner 2002 tritt im § 5 Abs. 1 an die Stelle des Ausdrucks „260 000 Schilling“ der Ausdruck „18 200 Euro“ sowie im § 5 Abs. 2 an die Stelle des Ausdrucks „130 000 Schilling“ der Ausdruck „9 100 Euro“.