BGBl. III Nr. 159/2006

Artikel 39

Dokumentation und Protokollierung, besondere Vorschriften zur automatisierten und nicht-automatisierten Übermittlung

1. (1)Absatz eins,Jede Vertragspartei gewährleistet, dass jede nicht-automatisierte Übermittlung und jeder nicht-automatisierte Empfang von personenbezogenen Daten durch die anfragende und die Datei führende Stelle zur Kontrolle der Zulässigkeit der Übermittlung dokumentiert werden. Die Dokumentation umfasst folgende Angaben:

   1. den Anlass der Übermittlung,

   2. die übermittelten Daten,

   3. das Datum der Übermittlung und

   4. die Bezeichnung oder Kennung der anfragenden und der Datei führenden Stelle.
2. (2)Absatz 2,Für den automatisierten Abruf der Daten aufgrund der Artikel 3, 9 und 12 und den automatisierten Abgleich aufgrund des Artikels 4 gilt Folgendes:

   1. 1.Ziffer eins
      Der automatisierte Abruf oder Abgleich darf nur durch besonders ermächtigte Beamte der nationalen Kontaktstellen erfolgen. Auf Ersuchen wird die Liste der Beamten, die zum automatisierten Abruf oder Abgleich ermächtigt sind, den in Absatz 5 genannten beaufsichtigenden Behörden sowie den anderen Vertragsparteien zur Verfügung gestellt.
   2. 2.Ziffer 2
      Jede Vertragspartei gewährleistet, dass jede Übermittlung und jeder Empfang von Daten von der Datei führenden Stelle und der anfragenden Stelle protokolliert wird, einschließlich der Mitteilung des Vorliegens oder Nichtvorliegens eines Treffers.

      Diese Protokollierung umfasst folgende Angaben:

      1. a)Litera a
         die übermittelten Daten,
      2. b)Litera b
         das Datum und den genauen Zeitpunkt der Übermittlung und
      3. c)Litera c
         die Bezeichnung oder Kennung der anfragenden und der Datei führenden Stelle.

   Die anfragende Stelle protokolliert darüber hinaus den Anlass der Anfrage oder Übermittlung sowie die Kennung des Beamten, der den Abruf durchgeführt hat, sowie des Beamten, der die Anfrage oder Übermittlung veranlasst hat.
3. (3)Absatz 3,Die protokollierende Stelle teilt die Protokolldaten den für die Datenschutzkontrolle zuständigen Stellen der betreffenden Vertragspartei auf Ersuchen unverzüglich, spätestens jedoch innerhalb von vier Wochen nach Eingang des Ersuchens mit. Protokolldaten dürfen ausschließlich für die folgenden Zwecke verwendet werden:

   1. 1.Ziffer eins
      die Kontrolle des Datenschutzes,
   2. 2.Ziffer 2
      die Gewährleistung der Datensicherheit.
4. (4)Absatz 4,Die Protokolldaten sind durch geeignete Vorkehrungen gegen zweckfremde Verwendung und sonstigen Missbrauch zu schützen und zwei Jahre aufzubewahren. Nach Ablauf der Aufbewahrungsfrist sind die Protokolldaten unverzüglich zu löschen.
5. (5)Absatz 5,Die rechtliche Kontrolle der Übermittlung oder des Empfangs personenbezogener Daten obliegt den für die Datenschutzkontrolle zuständigen unabhängigen Stellen der jeweiligen Vertragsparteien. Nach Maßgabe des innerstaatlichen Rechts kann jedermann diese Stellen ersuchen, die Rechtmäßigkeit der Verarbeitung von Daten zu seiner Person zu prüfen. Diese Stellen sowie die für die Protokollierung zuständigen Stellen haben auch unabhängig von solchen Ersuchen Stichproben zur Kontrolle der Rechtmäßigkeit der Übermittlungen anhand der den Zugriffen zugrunde liegenden Aktenvorgänge vorzunehmen. Die Ergebnisse dieser Kontrolltätigkeit sind zur Überprüfung durch die für die Datenschutzkontrolle zuständigen unabhängigen Stellen 18 Monate aufzubewahren. Nach Ablauf dieser Frist sind sie unverzüglich zu löschen. Jede für die Datenschutzkontrolle zuständige Stelle kann von der unabhängigen Datenschutzbehörde einer anderen Vertragspartei um die Ausübung ihrer Befugnisse nach Maßgabe des innerstaatlichen Rechts ersucht werden. Die für die Datenschutzkontrolle zuständigen unabhängigen Behörden der Vertragsparteien sorgen für die zur Erfüllung ihrer Kontrollaufgaben notwendige gegenseitige Zusammenarbeit, insbesondere durch den Austausch sachdienlicher Informationen.