gesetze/dsg2000/art02-par30.md

§30 - Kontrollbefugnisse der Datenschutzbehörde
===============================================

1.  Jedermann kann sich wegen einer behaupteten Verletzung seiner Rechte
    oder ihn betreffender Pflichten eines Auftraggebers oder
    Dienstleisters nach diesem Bundesgesetz mit einer Eingabe an die
    Datenschutzbehörde wenden.

2.  Die Datenschutzbehörde kann im Fall eines begründeten Verdachtes auf
    Verletzung der im Abs. 1 genannten Rechte und Pflichten
    Datenanwendungen überprüfen. Hiebei kann sie vom Auftraggeber oder
    Dienstleister der überprüften Datenanwendung insbesondere alle
    notwendigen Aufklärungen verlangen und Einschau in Datenanwendungen
    und diesbezügliche Unterlagen begehren.

    a.  Sofern sich eine zulässige Eingabe nach Abs. 1 oder ein
        begründeter Verdacht nach Abs. 2 auf eine meldepflichtige
        Datenanwendung (Datei) bezieht, kann die Datenschutzbehörde die
        Erfüllung der Meldepflicht überprüfen und erforderlichenfalls
        nach den §§ 22 und 22a vorgehen.

3.  Datenanwendungen, die der Vorabkontrolle gemäß § 18 Abs. 2
    unterliegen, dürfen auch ohne Vorliegen eines Verdachts auf
    rechtswidrige Datenverwendung überprüft werden. Dies gilt auch für
    jene Bereiche der Vollziehung, in welchen ein Auftraggeber des
    öffentlichen Bereichs die grundsätzliche Anwendbarkeit der §§
    26 Abs. 5 und 27 Abs. 5 in Anspruch nimmt.

4.  Zum Zweck der Einschau ist die Datenschutzbehörde nach Verständigung
    des Inhabers der Räumlichkeiten und des
    Auftraggebers (Dienstleisters) berechtigt, Räume, in welchen
    Datenanwendungen vorgenommen werden, zu betreten,
    Datenverarbeitungsanlagen in Betrieb zu setzen, die zu überprüfenden
    Verarbeitungen durchzuführen sowie Kopien von Datenträgern in dem
    für die Ausübung der Kontrollbefugnisse unbedingt erforderlichen
    Ausmaß herzustellen. Der Auftraggeber (Dienstleister) hat die für
    die Einschau notwendige Unterstützung zu leisten. Die
    Kontrolltätigkeit ist unter möglichster Schonung der Rechte des
    Auftraggebers (Dienstleisters) und Dritter auszuüben.

5.  Informationen, die der Datenschutzbehörde oder ihren Beauftragten
    bei der Kontrolltätigkeit zukommen, dürfen ausschließlich für die
    Kontrolle im Rahmen der Vollziehung datenschutzrechtlicher
    Vorschriften verwendet werden. Dazu zählt auch die Verwendung für
    Zwecke der gerichtlichen Rechtsverfolgung durch den Einschreiter
    oder die Datenschutzbehörde nach § 32. Im Übrigen besteht die
    Pflicht zur Verschwiegenheit auch gegenüber Gerichten und
    Verwaltungsbehörden, insbesondere Abgabenbehörden; dies allerdings
    mit der Maßgabe, dass dann, wenn die Einschau den Verdacht einer
    strafbaren Handlung nach den §§ 51 oder 52 dieses Bundesgesetzes,
    einer strafbaren Handlung nach den §§ 118a, 119, 119a, 126a bis
    126c, 148a oder § 278a des Strafgesetzbuches, BGBl. Nr. 60/1974,
    oder eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß
    fünf Jahre übersteigt, ergibt, Anzeige zu erstatten ist und
    hinsichtlich solcher Verbrechen und Vergehen auch Ersuchen nach § 76
    der Strafprozessordnung, BGBl. Nr. 631/1975, zu entsprechen ist.

6.  Zur Herstellung des rechtmäßigen Zustandes kann die
    Datenschutzbehörde, sofern nicht Maßnahmen nach den §§ 22 und 22a
    oder nach Abs. 6a zu treffen sind, Empfehlungen aussprechen, für
    deren Befolgung erforderlichenfalls eine angemessene Frist zu
    setzen ist. Wird einer solchen Empfehlung innerhalb der gesetzten
    Frist nicht entsprochen, so kann die Datenschutzbehörde je nach der
    Art des Verstoßes von Amts wegen insbesondere

    1.  Strafanzeige nach §§ 51 oder 52 erstatten, oder

    2.  bei schwerwiegenden Verstößen durch Auftraggeber des privaten
        Bereichs Klage vor dem zuständigen Gericht gemäß § 32 Abs. 5
        erheben, oder

    3.  bei Verstößen von Auftraggebern, die Organe einer
        Gebietskörperschaft sind, das zuständige oberste Organ befassen.
        Dieses Organ hat innerhalb einer angemessenen, jedoch zwölf
        Wochen nicht überschreitenden Frist entweder dafür Sorge zu
        tragen, dass der Empfehlung der Datenschutzbehörde entsprochen
        wird, oder der Datenschutzbehörde mitzuteilen, warum der
        Empfehlung nicht entsprochen wurde. Die Begründung darf von der
        Datenschutzbehörde der Öffentlichkeit in geeigneter Weise zur
        Kenntnis gebracht werden, soweit dem nicht die
        Amtsverschwiegenheit entgegensteht.

        a.  Liegt durch den Betrieb einer Datenanwendung eine
            wesentliche unmittelbare Gefährdung schutzwürdiger
            Geheimhaltungsinteressen der Betroffenen (Gefahr im Verzug)
            vor, so kann die Datenschutzbehörde die Weiterführung der
            Datenanwendung mit Bescheid gemäß § 57 Abs. 1 des
            Allgemeinen Verwaltungsverfahrensgesetzes 1991 – AVG, BGBl.
            Nr. 51, untersagen. Wenn dies technisch möglich, im Hinblick
            auf den Zweck der Datenanwendung sinnvoll und zur
            Beseitigung der Gefährdung ausreichend scheint, kann die
            Weiterführung auch nur teilweise untersagt werden. Wird
            einer Untersagung nicht sogleich Folge geleistet, ist
            Strafanzeige nach § 52 Abs. 1 Z 3 zu erstatten. Nach
            Rechtskraft einer Untersagung nach diesem Absatz ist ein
            Berichtigungsverfahren nach § 22a Abs. 2
            formlos einzustellen. Die Datenanwendung ist im Umfang der
            Untersagung aus dem Register zu streichen.

7.  Der Einschreiter ist darüber zu informieren, wie mit seiner Eingabe
    verfahren wurde.