Der Nationalrat hat beschlossen:

Artikel 1.- Änderung des Datenschutzgesetzes 2000

Das Bundesgesetz über den Schutz personenbezogener Daten (Datenschutzgesetz 2000 –DSG 2000), BGBl. I Nr. 165/1999, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 57/2013, wird wie folgt geändert:

1. Im Inhaltsverzeichnis lautet der Eintrag zu § 2:

«§ 2 Zuständigkeit»

2. Im Inhaltsverzeichnis lauten die Einträge zu §§ 30 und 31:

«§ 30 Kontrollbefugnisse der Datenschutzbehörde

§ 31 Beschwerde an die Datenschutzbehörde»

3. Im Inhaltsverzeichnis lauten die Einträge zu §§ 35 bis 40:

«§ 35 Datenschutzbehörde und Datenschutzrat

§ 36 Einrichtung der Datenschutzbehörde

§ 37 Organisation und Unabhängigkeit der Datenschutzbehörde

§ 38 Bescheide der Datenschutzbehörde

§ 39 Verfahren vor dem Bundesverwaltungsgericht

§ 40 Revision beim Verwaltungsgerichtshof»

4. (Verfassungsbestimmung) In § 2 Abs. 2 wird der Begriff «Datenschutzkommission» durch den Begriff «Datenschutzbehörde» ersetzt.

5. In § 10 Abs. 2, § 12 Abs. 4, § 13 Abs. 1, 2 Z 2, Abs. 3, 4 und 6, § 16 Abs. 1, § 17 Abs. 1, § 18 Abs. 2, § 19 Abs. 1 Z 6 und Abs. 2, § 20 Abs. 2 und 5 Z 2, § 21 Abs. 1 Z 3, § 22 Abs. 2 und 4, § 22a Abs. 1, 3 bis 5, § 23 Abs. 2, § 26 Abs. 2, 5 und 7, § 27 Abs. 5 und 7, § 30 Abs. 1, 2, 2a, 4 bis 6a, § 31 Abs. 1, 2, 5, 6 und 8, § 31a Abs. 1 bis 3, § 32 Abs. 5 bis 7, § 34 Abs. 3 und 4, § 46 Abs. 2 Z 3 und Abs. 3, § 47 Abs. 3 und 4, § 48a Abs. 2, § 50 Abs. 1 und 2, § 50b Abs. 2, § 50c Abs. 1, § 52 Abs. 2 Z 2 und 3 sowie Abs. 5, § 54 Abs. 2 und § 61 Abs. 8 sowie in den Überschriften zu § 30 und § 31 wird jeweils der Begriff «Datenschutzkommission» durch den Begriff «Datenschutzbehörde» ersetzt.

6. Dem § 5 wird folgender Abs. 4 angefügt:

«(4) Gegen Rechtsträger, die in Formen des Privatrechts eingerichtet sind, ist, soweit sie nicht in Vollziehung der Gesetze tätig werden, das Grundrecht auf Datenschutz mit Ausnahme des Rechtes auf Auskunft auf dem Zivilrechtsweg geltend zu machen. In allen übrigen Fällen ist die Datenschutzbehörde zur Entscheidung zuständig, es sei denn, dass Akte im Dienste der Gesetzgebung oder der Gerichtsbarkeit betroffen sind.»

7. In § 22 Abs. 3 wird der Klammerausdruck «(§ 38)» durch den Klammerausdruck «(§ 57 des Allgemeinen Verwaltungsverfahrensgesetzes 1991 – AVG, BGBl. Nr. 51/1991)» ersetzt.

8. § 31a Abs. 4 lautet:

«(4) Beruft sich ein Auftraggeber des öffentlichen Bereichs bei einer Beschwerde wegen Verletzung des Auskunfts-, Richtigstellungs- oder Löschungsrechts gegenüber der Datenschutzbehörde auf die §§ 26 Abs. 5 oder 27 Abs. 5, so hat diese nach Überprüfung der Notwendigkeit der Geheimhaltung die geschützten öffentlichen Interessen in ihrem Verfahren zu wahren. Kommt sie zur Auffassung, dass die Geheimhaltung von verarbeiteten Daten gegenüber dem Betroffenen nicht gerechtfertigt war, ist die Offenlegung der Daten mit Bescheid aufzutragen. Wurde keine Beschwerde erhoben und wird dem Bescheid der Datenschutzbehörde binnen acht Wochen nicht entsprochen, so hat die Datenschutzbehörde die Offenlegung der Daten gegenüber dem Betroffenen selbst vorzunehmen und ihm die verlangte Auskunft zu erteilen oder ihm mitzuteilen, welche Daten bereits berichtigt oder gelöscht wurden. Die ersten beiden Sätze gelten in Verfahren nach § 30 sinngemäß.»

9. Die Überschrift zu § 35 lautet:

«Datenschutzbehörde und Datenschutzrat»

10. § 35 Abs. 1 lautet:

«(1) Zur Wahrung des Datenschutzes sind nach den näheren Bestimmungen dieses Bundesgesetzes – unbeschadet der Zuständigkeit des Bundeskanzlers und der ordentlichen Gerichte – die Datenschutzbehörde und der Datenschutzrat berufen.»

11. (Verfassungsbestimmung) § 35 Abs. 2 lautet:

«(2) (Verfassungsbestimmung) Die Datenschutzbehörde übt ihre Befugnisse auch gegenüber den in Art. 19 B-VG bezeichneten obersten Organen der Vollziehung aus.»

12. §§ 36 bis 40 samt Überschriften lauten:

«Einrichtung der Datenschutzbehörde

§ 36.

(1) Der Datenschutzbehörde steht ein Leiter vor. Dieser wird vom Bundespräsidenten auf Vorschlag der Bundesregierung für eine Dauer von fünf Jahren bestellt; die Wiederbestellung ist zulässig. Dem Vorschlag hat eine Ausschreibung zur allgemeinen Bewerbung voranzugehen. Die Ausschreibung ist vom Bundeskanzler zu veranlassen. Die Funktion des Leiters der Datenschutzbehörde ist auf der beim Bundeskanzleramt eingerichteten Website «Karriere Öffentlicher Dienst» auszuschreiben. Die Ausschreibung ist zusätzlich im «Amtsblatt zur Wiener Zeitung» kundzumachen.

(2) Der Leiter der Datenschutzbehörde hat

1. das Studium der Rechtswissenschaften oder die rechts- und staatswissenschaftlichen Studien abgeschlossen zu haben,

2. die persönliche und fachliche Eignung durch eine entsprechende Vorbildung und einschlägige Berufserfahrung in den von der Datenschutzbehörde zu besorgenden Angelegenheiten aufzuweisen,

3. über ausgezeichnete Kenntnisse des österreichischen Datenschutzrechtes, des Unionsrechtes und der Grundrechte zu verfügen und

4. über eine mindestens fünfjährige juristische Berufserfahrung zu verfügen.

(3) Zum Leiter der Datenschutzbehörde dürfen nicht bestellt werden:

1. Mitglieder der Bundesregierung, Staatssekretäre, Mitglieder einer Landesregierung, Mitglieder des Nationalrates, des Bundesrates oder sonst eines allgemeinen Vertretungskörpers oder des Europäischen Parlaments, ferner Volksanwälte und der Präsident des Rechnungshofes,

2. Personen, die eine der in der Z 1 genannten Funktionen innerhalb der letzten zwei Jahre ausgeübt haben, und

3. Personen, die von der Wählbarkeit in den Nationalrat ausgeschlossen sind.

(4) Der Leiter der Datenschutzbehörde darf für die Dauer seines Amtes keine Tätigkeit ausüben, die Zweifel an der unabhängigen Ausübung seines Amtes oder die Vermutung einer Befangenheit hervorrufen könnte oder die ihn an der Erfüllung seiner dienstlichen Aufgaben behindert oder wesentliche dienstliche Interessen gefährdet. Er ist verpflichtet, Tätigkeiten, die er neben seiner Tätigkeit als Leiter der Datenschutzbehörde ausübt, unverzüglich dem Bundeskanzler zur Kenntnis zu bringen.

(5) Die Funktion des Leiters der Datenschutzbehörde endet durch Zeitablauf, Tod, Verzicht oder bei Verlust der Wählbarkeit zum Nationalrat.

(6) Bei Beendigung der Funktion des Leiters der Datenschutzbehörde ist nach Maßgabe der Abs. 1 bis 3 unverzüglich ein neuer Leiter zu bestellen.

(7) Vom Bundespräsidenten wird auf Vorschlag der Bundesregierung ein Stellvertreter des Leiters der Datenschutzbehörde nach Maßgabe der Abs. 1 bis 3 bestellt. Für den Stellvertreter des Leiters der Datenschutzbehörde gelten die Abs. 4 bis 6 sinngemäß. Er vertritt den Leiter der Datenschutzbehörde in dessen Abwesenheit.

Organisation und Unabhängigkeit der Datenschutzbehörde

§ 37.

(1) Der Leiter der Datenschutzbehörde ist in Ausübung seines Amtes unabhängig und an keine Weisungen gebunden.

(2) Die Datenschutzbehörde ist eine Dienstbehörde und Personalstelle. Im Bundesfinanzgesetz ist die notwendige Sach- und Personalausstattung sicherzustellen. Die Bediensteten der Datenschutzbehörde unterstehen nur den Weisungen des Leiters der Datenschutzbehörde. Der Leiter der Datenschutzbehörde übt die Diensthoheit über die Bediensteten der Datenschutzbehörde aus.

(3) Der Bundeskanzler kann sich beim Leiter der Datenschutzbehörde über die Gegenstände der Geschäftsführung unterrichten. Dem ist vom Leiter der Datenschutzbehörde nur insoweit zu entsprechen, als dies nicht der völligen Unabhängigkeit der Kontrollstelle im Sinne von Art. 28 Abs. 1 UAbs. 2 der Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, ABl. Nr. L 281 vom 23.11.1995 S. 31, widerspricht.

(4) Die Datenschutzbehörde ist vor Erlassung von Bundesgesetzen, die wesentliche Fragen des Datenschutzes unmittelbar betreffen, sowie von Verordnungen des Bundes, die auf der Grundlage dieses Bundesgesetzes ergehen oder sonstige wesentliche Fragen des Datenschutzes unmittelbar betreffen, anzuhören.

(5) Die Datenschutzbehörde hat bis zum 31. März eines jeden Jahres einen Bericht über ihre Tätigkeit im vorangegangenen Kalenderjahr zu erstellen, dem Bundeskanzler vorzulegen und in geeigneter Weise zu veröffentlichen. Der Bericht ist vom Bundeskanzler dem Nationalrat und dem Bundesrat vorzulegen.

(6) Entscheidungen der Datenschutzbehörde von grundsätzlicher Bedeutung für die Allgemeinheit sind von der Datenschutzbehörde unter Beachtung der Erfordernisse der Amtsverschwiegenheit in geeigneter Weise zu veröffentlichen.

Bescheide der Datenschutzbehörde

§ 38. (1) Partei in Verfahren vor der Datenschutzbehörde sind auch die Auftraggeber des öffentlichen Bereichs.

(2) Bescheide, mit denen gemäß § 13 Übermittlungen oder Überlassungen von Daten ins Ausland genehmigt wurden, sind zu widerrufen, wenn die rechtlichen oder tatsächlichen Voraussetzungen für die Erteilung der Genehmigung, insbesondere auch infolge einer gemäß § 55 ergangenen Kundmachung des Bundeskanzlers, nicht mehr bestehen.

(3) Parteien gemäß Abs. 1 können Beschwerde an das Bundesverwaltungsgericht erheben.

Verfahren vor dem Bundesverwaltungsgericht

§ 39.

(1) Das Bundesverwaltungsgericht entscheidet in Verfahren über Beschwerden gegen Bescheide sowie wegen Verletzung der Entscheidungspflicht in den Angelegenheiten dieses Bundesgesetzes durch Senat.

(2) Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Die fachkundigen Laienrichter werden auf Vorschlag der Wirtschaftskammer Österreich und der Bundeskammer für Arbeiter und Angestellte bestellt. Es sind entsprechende Vorkehrungen zu treffen, dass zeitgerecht eine hinreichende Anzahl von fachkundigen Laienrichtern zur Verfügung steht.

(3) Die fachkundigen Laienrichter müssen eine mindestens fünfjährige einschlägige Berufserfahrung und besondere Kenntnisse des Datenschutzrechtes besitzen.

(4) Der Vorsitzende hat den fachkundigen Laienrichtern alle entscheidungsrelevanten Dokumente unverzüglich zu übermitteln bzw., wenn dies untunlich oder zur Wahrung der Vertraulichkeit von Dokumenten unbedingt erforderlich ist, zur Verfügung zu stellen.

Revision beim Verwaltungsgerichtshof

§ 40. Revision beim Verwaltungsgerichtshof können auch Parteien gemäß § 38 Abs. 1 erheben.»

13. § 41 Abs. 2 Z 4a entfällt.

14. § 41 Abs. 2 Z 1 lautet:

«1. kann der Datenschutzrat Fragen von grundsätzlicher Bedeutung für den Datenschutz in Beratung ziehen und dazu Gutachten erstellen oder in Auftrag geben;»

15. § 44 Abs. 6 lautet:

«(6) Der Leiter der Datenschutzbehörde ist berechtigt, an den Sitzungen des Datenschutzrates oder seiner Arbeitsausschüsse teilzunehmen. Ein Stimmrecht steht ihm nicht zu.»

16. § 44 Abs. 8 lautet:

«(8) Die Mitglieder des Datenschutzrates, der Leiter der Datenschutzbehörde und die zur Sitzung gemäß Abs. 2 zugezogenen Sachverständigen sind zur Verschwiegenheit über alle ihnen ausschließlich aus ihrer Tätigkeit im Datenschutzrat bekanntgewordenen Tatsachen verpflichtet, sofern die Geheimhaltung im öffentlichen Interesse oder im Interesse einer Partei geboten ist.»

17. Dem § 60 wird folgender Abs. 7 angefügt:

«(7) Das Inhaltverzeichnis, § 5 Abs. 4, § 10 Abs. 2, § 12 Abs. 4, § 13 Abs. 1, 2 Z 2, Abs. 3, 4 und 6, § 16 Abs. 1, § 17 Abs. 1, § 18 Abs. 2, § 19 Abs. 1 Z 6 und Abs. 2, § 20 Abs. 2 und 5 Z 2, § 21 Abs. 1 Z 3, § 22 Abs. 2 bis 4, § 22a Abs. 1, 3 bis 5, § 23 Abs. 2, § 26 Abs. 2, 5 und 7, § 27 Abs. 5 und 7, die Überschrift zu § 30, § 30 Abs. 1, 2, 2a, 4 bis 6a, die Überschrift zu § 31, § 31 Abs. 1, 2, 5, 6 und 8, § 31a, § 32 Abs. 5 bis 7, § 34 Abs. 3 und 4, die Überschrift zu § 35, § 35 Abs. 1, §§ 36 bis 40 samt Überschriften, § 41 Abs. 2 Z 1, § 44 Abs. 6 und 8, § 46 Abs. 2 Z 3 und Abs. 3, § 47 Abs. 3 und 4, § 48a Abs. 2, § 50 Abs. 1 und 2, § 50b Abs. 2, § 50c Abs. 1, § 52 Abs. 2 Z 2 und 3 sowie Abs. 5, § 54 Abs. 2 und § 61 Abs. 8 bis 10 in der Fassung des Bundesgesetzes BGBl. I Nr. 83/2013 treten mit 1. Jänner 2014 in Kraft. Gleichzeitig treten § 41 Abs. 2 Z 4a und die DSK-Vergütungsverordnung, BGBl. II Nr. 145/2006, außer Kraft. Die für die Bestellung des Leiters der Datenschutzbehörde und seines Stellvertreters notwendigen organisatorischen und personellen Maßnahmen können bereits vor Inkrafttreten des Bundesgesetzes BGBl. I Nr. 83/2013 getroffen werden.»

18. (Verfassungsbestimmung) Dem § 60 wird folgender Abs. 8 angefügt:

«(8) (Verfassungsbestimmung) § 2 Abs. 2 und § 35 Abs. 2 in der Fassung des Bundesgesetzes BGBl. I Nr. 83/2013 treten mit 1. Jänner 2014 in Kraft.»

19. Dem § 61 werden folgende Abs. 9 und 10 angefügt:

«(9) Mit Ablauf des 31. Dezember 2013 tritt die Datenschutzbehörde an die Stelle der Datenschutzkommission. Zum Zeitpunkt des Inkrafttretens des Bundesgesetzes BGBl. I Nr. 83/2013 bei der Datenschutzkommission anhängige Verfahren sind nach Maßgabe der Bestimmungen dieses Bundesgesetzes in der Fassung des Bundesgesetzes BGBl. I Nr. 83/2013 von der Datenschutzbehörde fortzuführen. Erledigungen der Datenschutzkommission gelten als entsprechende Erledigungen der Datenschutzbehörde. Die Bestimmungen des Verwaltungsgerichtsbarkeits-Übergangsgesetzes, BGBl. I Nr. 33/2013, bleiben unberührt. Nach Beendigung des Verfahrens vor dem Verwaltungsgerichtshof betreffend den Bescheid oder die Säumnis der Datenschutzkommission oder vor dem Verfassungsgerichtshof betreffend den Bescheid der Datenschutzkommission ist das Verfahren von der Datenschutzbehörde fortzusetzen.

(10) Die Bediensteten der Datenschutzkommission werden mit Inkrafttreten des BGBl. I Nr. 83/2013 als Bedienstete der Datenschutzbehörde übernommen.»

Artikel 2.- Anpassungsbestimmungen

(1) Soweit in Bundesgesetzen auf den Begriff «Datenschutzkommission» Bezug genommen wird, tritt mit Inkrafttreten des BGBl. I Nr. 83/2013 an dessen Stelle der Begriff «Datenschutzbehörde». Dies gilt nicht für die Verwendung dieses Begriffes in Schluss- und Übergangsbestimmungen sowie in In- und Außerkrafttretensbestimmungen.

(2) Dieser Artikel tritt mit 1. Jänner 2014 in Kraft.

Fischer

Faymann