BGBl. III Nr. 148/2025

Artikel 17

Dokumentation und Protokollierung: besondere Vorschriften für die automatisierte und nichtautomatisierte Übermittlung

1. (1)Absatz eins,Jede Partei stellt sicher, dass jede nicht automatisierte Übermittlung und jeder nicht automatisierte Empfang personenbezogener Daten durch die dateiführende Stelle und durch die suchende Stelle dokumentiert wird, um die Zulässigkeit der Übermittlung zu überprüfen. Die Dokumentation hat folgende Angaben zu umfassen:

   1. a)Litera a
      den Anlass der Übermittlung;
   2. b)Litera b
      die übermittelten Daten;
   3. c)Litera c
      das Datum der Übermittlung; und
   4. d)Litera d
      die Bezeichnung oder Kennung der suchenden Stelle und der dateiführenden Stelle.
2. (2)Absatz 2,Für die automatisierte Suche von Daten aufgrund der Artikel 3, 4 und 6 sowie Artikel 9 gilt Folgendes:

   1. (a)Absatz a,
      Automatisierte Suchen oder Abgleiche dürfen nur durch besonders ermächtigte Organe durchgeführt werden. Eine Aufstellung jener Organe, die berechtigt sind, automatisierte Suchen oder Abgleiche durchzuführen, ist den in Absatz 5 genannten Aufsichtsbehörden und den anderen Parteien auf Ersuchen zur Verfügung zu stellen;
   2. (b)Absatz b,
      Jede Partei hat sicherzustellen, dass jede einzelne Übermittlung und jeder einzelne Empfang personenbezogener Daten durch die dateiführende Stelle und die suchende Stelle protokolliert wird, einschließlich der Mitteilung, ob eine Übereinstimmung vorliegt oder nicht. Die Protokollierung hat folgende Angaben zu enthalten:

      1. (i)Absatz i,
         die übermittelten Daten;
      2. (ii)Absatz i, i,
         das Datum und den genauen Zeitpunkt der Übermittlung; und
      3. (iii)Absatz i, i, i,
         die Bezeichnung oder Kennung der suchenden Stelle und der dateiführenden Stelle.

   Die suchende Stelle hat auch den Anlass für die Suche bzw. Übermittlung sowie eine Kennung des suchenden Organs und des Organs, das die Suche oder Übermittlung angeordnet hat, zu protokollieren.
3. (3)Absatz 3,Die protokollierende Stelle hat die Protokolldaten den zuständigen Datenschutzbehörden der jeweiligen Partei auf Ersuchen unverzüglich, spätestens jedoch innerhalb von vier Wochen nach Eingang des Ersuchens bekanntzugeben. Protokolldaten dürfen ausschließlich für folgende Zwecke verwendet werden:

   1. (a)Absatz a,
      zur Kontrolle des Datenschutzes;
   2. (b)Absatz b,
      zur Sicherstellung der Datensicherheit.
4. (4)Absatz 4,Die Protokolldaten sind durch geeignete Vorkehrungen gegen zweckfremde Verwendung und sonstigen Missbrauch zu schützen und zwei Jahre lang aufzubewahren. Nach Ablauf der Aufbewahrungsfrist sind die Protokolldaten unverzüglich zu löschen.
5. (5)Absatz 5,Die juristische Überprüfung der Übermittlung bzw. des Empfangs personenbezogener Daten obliegt je nach Rechtslage entweder den unabhängigen Datenschutzbehörden oder den Justizbehörden der jeweiligen Parteien. Jeder kann diese Behörden ersuchen, die Rechtmäßigkeit der Datenverarbeitung in Bezug auf seine Person nach den innerstaatlichen Rechtsvorschriften zu überprüfen. Unabhängig von solchen Ersuchen führen diese Behörden und die für die Protokollierung zuständigen Stellen stichprobenartige Kontrollen in Bezug auf die Rechtmäßigkeit der Übermittlung anhand der Aktenlage durch.
6. (6)Absatz 6,Die Ergebnisse dieser Kontrolltätigkeit werden von den unabhängigen Datenschutzbehörden zur Einsichtnahme 18 Monate lang aufbewahrt. Nach Ablauf dieser Frist sind sie umgehend zu löschen. Eine Datenschutzbehörde kann von der unabhängigen Datenschutzbehörde einer anderen Partei zur Ausübung ihrer Befugnisse nach den innerstaatlichen Rechtsvorschriften aufgefordert werden. Die unabhängigen Datenschutzbehörden der Parteien haben ihre für die gegenseitige Zusammenarbeit notwendigen Kontrollaufgaben sicherzustellen, insbesondere durch den Austausch einschlägiger Informationen.