Der Österreichische Rechtsanwaltskammertag (ÖRAK) dankt für die Übersendung des Entwurfes und erstattet dazu folgende.

Transkript

1 Bundeskanzleramt-Verfassungsdienst Ballhausplatz Wien Per v@bka.gv.at Zl. 13/1 11/83 BKA /0003-V/3/2011 VO des Bundeskanzlers über das bei der Datenschutzkommission eingerichtete Datenverarbeitungsregister (Datenverarbeitungsregister- Verordnung DVRV 2011) Referent: Dr. Rainer Knyrim, Rechtsanwalt in Wien Sehr geehrte Damen und Herren! Der Österreichische Rechtsanwaltskammertag (ÖRAK) dankt für die Übersendung des Entwurfes und erstattet dazu folgende Stellungnahme: Der ÖRAK begrüßt die fortgesetzte Initiative, die österreichische Datenverarbeitungsregister-Verordnung zu novellieren und ist erfreut über den Umstand, dass die lang erwartete Meldung in elektronischer Form bevorsteht. Der ÖRAK erlaubt sich, zu nachstehenden Passagen der DVRV-Novelle 2011 Stellung zu nehmen wie folgt: 1. Richtigstellung des Registers und Rechtsnachfolge Der ÖRAK erlaubt sich die Anmerkung, dass bei der praktischen Umsetzung des DVR-Online darauf geachtet werden sollte, dass sämtliche rechtlichen Vorgaben in der EDV des DVR richtig umgesetzt werden können. Wie sich aus der Praxis der vergangenen Jahre gezeigt hat, ist es durch die mehrfache Systemumstellung im Datenverarbeitungsregister immer schwieriger geworden, rasch zu einem aktuellen und richtigen Registerstand zu gelangen. Besonders nach der letzten Systemumstellung Anfang 2009 ist technisch anscheinend nicht mehr sichergestellt, dass ein sachlich richtiger Registerstand vom EDV-System des Datenverarbeitungsregisters automatisch korrekt ausgegeben wird und erst durch sehr zeitaufwändiges, händisches Nachbearbeiten durch Sachbearbeiter des DVR der korrekte Registerstand sichergestellt werden kann. Allfällige weitere Systemanpassungen und Umstellungen sollten daher nur dann vorgenommen werden, wenn zunächst gesichert ist, dass das Register derzeit korrekte Ergebnisse

2 liefert und dies auch künftig tun wird, wobei bei allfälligen EDV-Projekten ausreichend Personal und Budgetmittel seitens des Bundes zur Verfügung gestellt werden müssen, um weitere Unzulänglichkeiten der EDV des Datenverarbeitungsregisters hintanzuhalten. 2. Inhalt des Datenverarbeitungsregisters Mit Erstaunen hat der ÖRAK festgestellt, dass der Inhalt des Datenverarbeitungsregisters gemäß 4 Abs 1 Z 1 auch die Formblätter gemäß Anlage 1 bis 4 enthält. Gerade Formblatt Anlage 4 kann mit den allgemeinen Angaben zu ergriffenen Datensicherheitsmaßnahmen unter Umständen Informationen enthalten, die der Öffentlichkeit nicht zugänglich gemacht werden sollten. Die in den letzten Wochen publik gemachten Datenschutzskandale zeigen, dass gerade die Datensicherheit einen besonderen Angriffspunkt im Konzept des Datenschutzes eines Unternehmens darstellen kann. Es sollte daher die Möglichkeit geschaffen werden, eine Ausnahme von der Einsicht in vertrauliche Bereiche oder als vertraulich gekennzeichnete Bereiche zu ermöglichen. Besonders Datenanwendungen wie Videoüberwachung oder Zutrittskontrolle sind für Unternehmen sensible Bereiche. Es muss für einen Auftraggeber die Möglichkeit bestehen gewisse Informationen als keinesfalls öffentlich zu deklarieren. Darüber hinaus könnte eine Veröffentlichung dem Diebstahl geistigen Eigentums Tür und Tor öffnen, wenn die Meldung einfach kopiert und nur noch der Firmenname und die Personen geändert werden müsste. Grundsätzlich als sehr problematisch einzustufen wäre die Öffentlichmachung der Formblätter im Register auch in Hinblick auf das Anwaltsgeheimnis, das durch die Pflicht zur Offenlegung der Vertretung im Formular gebrochen würde. Selbst wenn dies im Hinblick auf künftige Meldungen durch Entbindung vom Anwaltsgeheimnis seitens der Mandanten lösbar wäre, ist dennoch das Öffentlichmachen des Altbestandes der Meldungen im Hinblick auf das Anwaltsgeheimnis unzulässig. 3. Zugang zum Datenverarbeitungsregister Im 3. Abschnitt der DVRV 2011, insbesondere in 5 Abs 1, vermisst der ÖRAK eine klare Angabe darüber, was die öffentlich zur Verfügung stehenden Daten des Datenverarbeitungsregisters sind. Wünschenswert ist eine Klarstellung, welche Daten tatsächlich öffentlich zur Verfügung stehen bzw welche Daten nicht öffentlich isd 5 Abs 3 DVRV 2011 zur Verfügung stehen, und somit einer Authentifizierung bedürfen. 4 und 5 der DVRV sind in diesem Punkt nicht schlüssig. 4. Authentifizierung bei der Anmeldung als Benutzer im DVR-Online Die Richtigkeit der Angaben bei der Übermittlung der Benutzerdaten wird in der DVRV 2011 durch die automatisierte Abfrage im zentralen Melderegister bzw das Ergänzungsregister vorgesehen. Der ÖRAK erlaubt sich darauf hinzuweisen, dass die Ausgestaltung der Authentifizierung ein erhöhtes Fälschungspotenzial bzw ein Potenzial für Identitätsdiebstahl in sich birgt. Jedermann, der Daten wie Name und Geburtsdatum einer Person kennt, kann sich eine Vollmacht fälschen und an das 2

3 Datenverarbeitungsregister übermitteln. Damit ist die Möglichkeit Änderungen im Datenbestand des DVR vornehmen zu können, Tür und Tor geöffnet. Empfohlen wird, bei den Anforderungen an den Identitätsnachweis Anleihe bei 26 DSG 2000 zu nehmen. Aufgrund der erhöhten Sensibilität und der Möglichkeit, direkt im Datenverarbeitungsregister zu arbeiten bzw Änderungen vorzunehmen, wird vorgeschlagen, zumindest eine beglaubigte Ausweiskopie zum Erfordernis der Identität zu machen. 5. Vertretung des Auftraggebers Festgehalten wird, dass die Form, in der die Vertretung des Auftraggebers nachgewiesen werden soll, nicht klar ist. Weder ist klar, in welcher Form der Nachweis vorgelegt werden muss, noch ob eine Vorlage im Original gefordert ist. Völlig unklar ist auch der Fall, dass mehrere Personen zur Vertretung in der Benutzer und Rechteverwaltung des DVR-Online vorgesehen sind. Auch ist vor Missbrauch zu schützen und Vollmachten des Unternehmens sollten daher im Original vorzulegen sein, wobei für Rechtsanwälte die Berufung auf die erteilte Vollmacht ( 8 Abs 1 RAO) ausreichend wäre. 6. Automatische Registrierung Der ÖRAK erlaubt sich anzumerken, dass dem vorliegenden Entwurf der Verordnung nicht zu entnehmen ist, worunter ein Fehler bei der automationsunterstützten Prüfung einer Meldung zu verstehen ist. Es ist nicht ersichtlich, ob unter einem Fehler das Abweichen von einem Muster oder Standard zu verstehen ist. Laut 20 DSG besteht ein Unterschied in der Fehlerhaftigkeit und der Mangelhaftigkeit. Es steht zu befürchten, dass sich dem durchschnittlich versierten Normunterworfenen der Unterschied zwischen einer Fehlerhaftigkeit im Sinne des 20 Abs 1 und dem dadurch ausgelösten Verfahren nach 20 Abs 2 und einer Mangelhaftigkeit im Sinne des 20 Abs 3 und dem dadurch nach 20 Abs 4 ausgelösten Verfahren nicht erschließt. Insbesondere steht zu befürchten, dass dem Normunterworfenen auch nicht ganz ersichtlich ist, was die Konsequenzen einer vorab kontrollpflichtigen Meldung in der praktischen Durchführung des Prüfungsverfahren sein werden. Es wird angeregt, diese Bestimmung allenfalls zu vereinfachen. Da die Plausibilitätsprüfung ein Kernstück des neuen Meldeverfahrens ist und wesentlich zur Vereinfachung und Beschleunigung des Verfahrens beitragen soll, ist eine hinreichend genaue Ausgestaltung der automatischen Registrierung sinnvoll. 7. Automatisiertes Löschen von Streichungen Der vorliegende Entwurf der DVR-Verordnung sieht eine automatisierte Löschung aus dem DVR-Online vor und setzt als Frist einen Zeitraum von drei Jahren nach Streichung fest. Es ist weder dem Gesetz noch den erläuterten Bemerkungen zu entnehmen worauf sich die Wahl dieser Zeitspanne stützt. 3

4 Die praktische Erfahrung der österreichischen Rechtsanwaltschaft im Meldeverfahren zeigt, dass zwischen dem Sachbearbeiter und dem unterzeichnenden Vertreter zu unterscheiden ist. Der tatsächlichen Meldung geht ein Arbeitsprozess voraus, in dem sowohl das Unternehmen als auch der zuständige Sachbearbeiter eingebunden ist. Es sollte die Möglichkeit bestehen, dass der Sachbearbeiter des Auftraggebers auch ohne Identifizierung die Registermeldungen vorbereitet. Eine Diversifizierung im Arbeitsverfahren ist in der DVRV 2011 nicht vorgesehen. Ein Lösungsvorschlag besteht darin, einen weiteren Personenkreis aufzunehmen, dessen Berechtigung vom Vertreter des Auftraggebers zur Verfügung gestellt wird. Festgehalten wird, dass Regelungen für den Fall, dass jemand eine Vertretungsbefugnis zurücklegen will oder dass ihm diese Vertretungsbefugnis vom Auftraggeber entzogen werden soll, gänzlich fehlen. 8. Meldung und Registrierung bei Betriebsstörungen Der ÖRAK erlaubt sich zu bemerken, dass eine Zeitspanne von 48 Stunden für einen durchgehenden andauernden technischen Ausfall von DVR-Online als für zu lang erachtet wird. Diesbezüglich wird eine Verkürzung der Dauer auf 24 Stunden empfohlen. 9. Manuelle Dateien Es ist dem 21 DVRV 2011 nicht zu entnehmen, ob die Verwendung von DVR-Online für manuelle Daten möglich ist, oder ob nur eine Meldung in Form von oder in nicht elektronischer Form zulässig ist. Die Möglichkeit der Meldung von manuellen Dateien über DVR-Online sollte dem Auftraggeber offenstehen. Denkbar ist auch, dass der Auftraggeber neben manuellen Dateien auch elektronische Dateien betreibt. Eine Teilung des Verfahrens in ein elektronisches und ein nicht elektronisches Verfahren ist nicht sinnvoll und dem Anwender auch nicht erklärbar. 10. Praktikabilität des Online-Verfahrens Erklärtes Ziel der DVRV-Novelle 2011 ist die starke Vereinfachung des Registrierungsverfahrens bei gleichzeitiger Steigerung der Effizienz. Essentiell für den Erfolg des Online-Verfahrens ist die technische Vereinbarkeit mit den Arbeitsprozessen der Anwender. Die Eingabe der Meldung beim Datenverarbeitungsregister ist oft nur der Endpunkt eines lang dauernden Arbeitsprozesses, der verschiedene Seiten wie Sachbearbeiter, Techniker, Benutzer, etc in den Arbeitsprozess mit einbindet. Als Arbeitsunterlage wird oft das Formular in Word oder PDF bzw die Datenfelder im Excel Format herangezogen. Um tatsächlich zu einer Vereinfachung bzw Beschleunigung des Verfahrens zu gelangen, ist es notwendig, DVR-Online mit einer elektronischen Schnittstelle zu versehen, die es ermöglicht, Meldungen bzw Datenarten in DVR-Online zu importieren. Als geradezu kontraproduktiv ist es zu sehen, sollte es notwendig sein, im DVR-Online jede Zeile bzw jede Datenart einzeln einzutippen. Komplexere Meldungen enthalten oft dutzende Datenfelder bzw zahlreiche Übermittlungsempfänger. Ein händisches Eintippen in jede Datenzeile ist nicht nur mit einer unzumutbaren Zeitdauer 4

5 verbunden, sondern ist auch bei der Übertragung in das DVR-Online ein weiteres Potenzial für Tipp- und Übertragungsfehler enthalten. Es ist daher dringend notwendig, eine elektronische Schnittstelle zur Verfügung zu stellen. Sollte dies nicht notwendig sein, ist der zeitliche bzw wirtschaftliche Aufwand durch die Wirtschaft zu tragen und würden den Kostenschätzungen zum Aufwand für die Wirtschaft im Vorblatt des DVRV-Entwurfes krass widersprechen. 11. Ausstattung und Strukturierung der Datenschutzkommission Die Datenschutzkommission selbst nimmt in ihren Jahresberichten zur insbesondere personell untragbaren Ressourcenausstattung Stellung. Tatsächlich ist die Datenschutzkommission bzw das Datenverarbeitungsregister gerade durch die Ausgestaltung des Meldeverfahrens in der derzeitigen Art bei der Erfüllung anderer Arbeiten blockiert. Das Datenverarbeitungsregister ist bei der Abarbeitung der Meldungen bzw mit dem Eintreffen von neuen Meldungen bereits derart überlastet, dass andere Aufgaben der Datenschutzkommission praktisch nicht mehr möglich sind. Folge ist eine entsprechend lange Verfahrensdauer bei Registrierungen, die sowohl den österreichischen Unternehmen, als auch internationalen Konzernen, die einen direkten internationalen Vergleich haben, nicht zumutbar ist. Zwar dürfte das elektronische Meldeverfahren die Datenschutzkommission langfristig zu entlasten, allein für die Aufarbeitung der liegengebliebenen, mehreren tausend unerledigten Meldungen ist aber dringend eine zumindest vorübergehende - Personalaufstockung der Datenschutzkommission erforderlich, um den Wirtschaftsstandort Österreich international nicht weiter in Verruf zu bringen, als dies durch die überlangen Melde- und Genehmigungsverfahren nicht ohnehin schon geschehen ist. Eine weitere Möglichkeit der Entlastung der Datenschutzkommission im Hinblick auf die Meldeverfahren wurde bedauerlicherweise mit der DSG-Novelle 2010 verabsäumt. In Anlehnung an das deutsche Modell bestünde die Möglichkeit, den betrieblichen Datenschutzbeauftragten einzuführen. Dieser könnte im Sinne der Stärkung der Verantwortung des Auftraggebers mit der Übertragung der Verantwortung der Meldepflicht betraut werden. Die Installierung eines betrieblichen Datenschutzbeauftragten im Unternehmen könnte mit der zumindest teilweisen Befreiung von der Meldepflicht beim Datenverarbeitungsregister honoriert werden. Wien, am 9. Juni 2011 DER ÖSTERREICHISCHE RECHTSANWALTSKAMMERTAG Dr. Gerhard Benn-Ibler Präsident 5