AT-RIS-10001597 — Datenschutzgesetz

Artikel 1 (Verfassungsbestimmung) § 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind. (2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958 , genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden. (3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen 1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden; 2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten. 1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden; 2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten. (4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig. (Anm.: Abs. 5 aufgehoben durch BGBl. I Nr. 51/2012 ) (Anm.: Abs. 5 aufgehoben durch BGBl. I Nr. 51/2012 ) 1. Abschnitt Allgemeine Bestimmungen § 4. (1) Die Bestimmungen der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1, (im Folgenden: DSGVO) und dieses Bundesgesetzes gelten für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten natürlicher Personen sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten natürlicher Personen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, soweit nicht die spezifischeren Bestimmungen des 3. Hauptstücks dieses Bundesgesetzes vorgehen. (2) Kann die Berichtigung oder Löschung von automationsunterstützt verarbeiteten personenbezogenen Daten nicht unverzüglich erfolgen, weil diese aus wirtschaftlichen oder technischen Gründen nur zu bestimmten Zeitpunkten vorgenommen werden kann, so ist die Verarbeitung der betreffenden personenbezogenen Daten mit der Wirkung nach Art. 18 Abs. 2 DSGVO bis zu diesem Zeitpunkt einzuschränken. (3) Die Verarbeitung von personenbezogenen Daten über gerichtlich oder verwaltungsbehördlich strafbare Handlungen oder Unterlassungen, insbesondere auch über den Verdacht der Begehung von Straftaten, sowie über strafrechtliche Verurteilungen oder vorbeugende Maßnahmen ist unter Einhaltung der Vorgaben der DSGVO zulässig, wenn 1. eine ausdrückliche gesetzliche Ermächtigung oder Verpflichtung zur Verarbeitung solcher Daten besteht oder 2. sich sonst die Zulässigkeit der Verarbeitung dieser Daten aus gesetzlichen Sorgfaltspflichten ergibt oder die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten gemäß Art. 6 Abs. 1 lit. f DSGVO erforderlich ist, und die Art und Weise, in der die Datenverarbeitung vorgenommen wird, die Wahrung der Interessen der betroffenen Person nach der DSGVO und diesem Bundesgesetz gewährleistet. 1. eine ausdrückliche gesetzliche Ermächtigung oder Verpflichtung zur Verarbeitung solcher Daten besteht oder 2. sich sonst die Zulässigkeit der Verarbeitung dieser Daten aus gesetzlichen Sorgfaltspflichten ergibt oder die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten gemäß Art. 6 Abs. 1 lit. f DSGVO erforderlich ist, und die Art und Weise, in der die Datenverarbeitung vorgenommen wird, die Wahrung der Interessen der betroffenen Person nach der DSGVO und diesem Bundesgesetz gewährleistet. (4) Bei einem Angebot von Diensten der Informationsgesellschaft, das einem Kind direkt gemacht wird, ist die Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO zur Verarbeitung der personenbezogenen Daten des Kindes rechtmäßig, wenn das Kind das vierzehnte Lebensjahr vollendet hat. (5) Das Recht auf Auskunft der betroffenen Person gemäß Art. 15 DSGVO besteht gegenüber einem hoheitlich tätigen Verantwortlichen unbeschadet anderer gesetzlicher Beschränkungen dann nicht, wenn durch die Erteilung dieser Auskunft die Erfüllung einer dem Verantwortlichen gesetzlich übertragenen Aufgabe gefährdet wird. (6) Das Recht auf Auskunft der betroffenen Person gemäß Art. 15 DSGVO besteht gegenüber einem Verantwortlichen unbeschadet anderer gesetzlicher Beschränkungen in der Regel dann nicht, wenn durch die Erteilung dieser Auskunft ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen bzw. Dritter gefährdet würde. (Anm.: Abs. 7 aufgehoben durch Art. 5 Z 3, BGBl. I Nr. 14/2019 ) (Anm.: Abs. 7 aufgehoben durch Art. 5 Z 3, BGBl. I Nr. 14/2019 ) § 5. (1) Der Datenschutzbeauftragte und die für ihn tätigen Personen sind unbeschadet sonstiger Verschwiegenheitspflichten bei der Erfüllung der Aufgaben zur Geheimhaltung verpflichtet. Dies gilt insbesondere in Bezug auf die Identität betroffener Personen, die sich an den Datenschutzbeauftragten gewandt haben, sowie über Umstände, die Rückschlüsse auf diese Personen zulassen, es sei denn, es erfolgte eine ausdrückliche Entbindung von der Verschwiegenheit durch die betroffene Person. Der Datenschutzbeauftragte und die für ihn tätigen Personen dürfen die zugänglich gemachten Informationen ausschließlich für die Erfüllung der Aufgaben verwenden und sind auch nach Ende ihrer Tätigkeit zur Geheimhaltung verpflichtet. (2) Erhält ein Datenschutzbeauftragter bei seiner Tätigkeit Kenntnis von Daten, für die einer der Kontrolle des Datenschutzbeauftragten unterliegenden Stelle beschäftigten Person ein gesetzliches Aussageverweigerungsrecht zusteht, steht dieses Recht auch dem Datenschutzbeauftragten und den für ihn tätigen Personen insoweit zu, als die Person, der das gesetzliche Aussageverweigerungsrecht zusteht, davon Gebrauch gemacht hat. Im Umfang des Aussageverweigerungsrechts des Datenschutzbeauftragten unterliegen seine Akten und andere Schriftstücke einem Sicherstellungs- und Beschlagnahmeverbot. (3) Der Datenschutzbeauftragte im öffentlichen Bereich (in Formen des öffentlichen Rechts eingerichtet, insbesondere auch als Organ einer Gebietskörperschaft) ist bezüglich der Ausübung seiner Aufgaben weisungsfrei. Das oberste Organ hat das Recht, sich über die Gegenstände der Geschäftsführung beim Datenschutzbeauftragten im öffentlichen Bereich zu unterrichten. Dem ist vom Datenschutzbeauftragten nur insoweit zu entsprechen, als dies nicht der Unabhängigkeit des Datenschutzbeauftragten im Sinne von Art. 38 Abs. 3 DSGVO widerspricht. (4) Im Wirkungsbereich jedes Bundesministeriums sind unter Bedachtnahme auf Art und Umfang der Datenverarbeitungen sowie je nach Einrichtung des Bundesministeriums ein oder mehrere Datenschutzbeauftragte vorzusehen. Diese müssen dem jeweiligen Bundesministerium oder der jeweiligen nachgeordneten Dienststelle oder sonstigen Einrichtung angehören. (5) Die Datenschutzbeauftragten im öffentlichen Bereich gemäß Abs. 4 pflegen einen regelmäßigen Erfahrungsaustausch, insbesondere im Hinblick auf die Gewährleistung eines einheitlichen Datenschutzstandards. § 6. (1) Der Verantwortliche, der Auftragsverarbeiter und ihre Mitarbeiter – das sind Arbeitnehmer (Dienstnehmer) und Personen in einem arbeitnehmerähnlichen (dienstnehmerähnlichen) Verhältnis – haben personenbezogene Daten aus Datenverarbeitungen, die ihnen ausschließlich auf Grund ihrer berufsmäßigen Beschäftigung anvertraut wurden oder zugänglich geworden sind, unbeschadet sonstiger gesetzlicher Verschwiegenheitspflichten, geheim zu halten, soweit kein rechtlich zulässiger Grund für eine Übermittlung der anvertrauten oder zugänglich gewordenen personenbezogenen Daten besteht (Datengeheimnis). (2) Mitarbeiter dürfen personenbezogene Daten nur auf Grund einer ausdrücklichen Anordnung ihres Arbeitgebers (Dienstgebers) übermitteln. Der Verantwortliche und der Auftragsverarbeiter haben, sofern eine solche Verpflichtung ihrer Mitarbeiter nicht schon kraft Gesetzes besteht, diese vertraglich zu verpflichten, personenbezogene Daten aus Datenverarbeitungen nur aufgrund von Anordnungen zu übermitteln und das Datengeheimnis auch nach Beendigung des Arbeitsverhältnisses (Dienstverhältnisses) zum Verantwortlichen oder Auftragsverarbeiter einzuhalten. (3) Der Verantwortliche und der Auftragsverarbeiter haben die von der Anordnung betroffenen Mitarbeiter über die für sie geltenden Übermittlungsanordnungen und über die Folgen einer Verletzung des Datengeheimnisses zu belehren. (4) Unbeschadet des verfassungsrechtlichen Weisungsrechts darf einem Mitarbeiter aus der Verweigerung der Befolgung einer Anordnung zur unzulässigen Datenübermittlung kein Nachteil erwachsen. (5) Ein zugunsten eines Verantwortlichen bestehendes gesetzliches Aussageverweigerungsrecht darf nicht durch die Inanspruchnahme eines für diesen tätigen Auftragsverarbeiters, insbesondere nicht durch die Sicherstellung oder Beschlagnahme von automationsunterstützt verarbeiteten Dokumenten, umgangen werden. 2. Abschnitt Datenverarbeitungen zu spezifischen Zwecken § 7. (1) Für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke, die keine personenbezogenen Ergebnisse zum Ziel haben, darf der Verantwortliche alle personenbezogenen Daten verarbeiten, die 1. öffentlich zugänglich sind, 2. er für andere Untersuchungen oder auch andere Zwecke zulässigerweise ermittelt hat oder 3. für ihn pseudonymisierte personenbezogene Daten sind und der Verantwortliche die Identität der betroffenen Person mit rechtlich zulässigen Mitteln nicht bestimmen kann. 1. öffentlich zugänglich sind, 2. er für andere Untersuchungen oder auch andere Zwecke zulässigerweise ermittelt hat oder 3. für ihn pseudonymisierte personenbezogene Daten sind und der Verantwortliche die Identität der betroffenen Person mit rechtlich zulässigen Mitteln nicht bestimmen kann. (2) Bei Datenverarbeitungen für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke, die nicht unter Abs. 1 fallen, dürfen personenbezogene Daten nur 1. gemäß besonderen gesetzlichen Vorschriften, 2. mit Einwilligung der betroffenen Person oder 3. mit Genehmigung der Datenschutzbehörde gemäß Abs. 3 verarbeitet werden. 1. gemäß besonderen gesetzlichen Vorschriften, 2. mit Einwilligung der betroffenen Person oder 3. mit Genehmigung der Datenschutzbehörde gemäß Abs. 3 (3) Eine Genehmigung der Datenschutzbehörde für die Verarbeitung von personenbezogenen Daten für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke ist auf Antrag des Verantwortlichen der Untersuchung zu erteilen, wenn 1. die Einholung der Einwilligung der betroffenen Person mangels ihrer Erreichbarkeit unmöglich ist oder sonst einen unverhältnismäßigen Aufwand bedeutet, 2. ein öffentliches Interesse an der beantragten Verarbeitung besteht und 3. die fachliche Eignung des Verantwortlichen glaubhaft gemacht wird. Sollen besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) ermittelt werden, muss ein wichtiges öffentliches Interesse an der Untersuchung vorliegen; weiters muss gewährleistet sein, dass die personenbezogenen Daten beim Verantwortlichen der Untersuchung nur von Personen verarbeitet werden, die hinsichtlich des Gegenstandes der Untersuchung einer gesetzlichen Verschwiegenheitspflicht unterliegen oder deren diesbezügliche Verlässlichkeit sonst glaubhaft ist. Die Datenschutzbehörde hat die Genehmigung an die Erfüllung von Bedingungen und Auflagen zu knüpfen, soweit dies zur Wahrung der schutzwürdigen Interessen der betroffenen Person notwendig ist. 1. die Einholung der Einwilligung der betroffenen Person mangels ihrer Erreichbarkeit unmöglich ist oder sonst einen unverhältnismäßigen Aufwand bedeutet, 2. ein öffentliches Interesse an der beantragten Verarbeitung besteht und 3. die fachliche Eignung des Verantwortlichen glaubhaft gemacht wird. (4) Einem Antrag nach Abs. 3 ist jedenfalls eine vom Verfügungsbefugten über die Datenbestände, aus denen die personenbezogenen Daten ermittelt werden sollen, unterfertigte Erklärung anzuschließen, dass er dem Verantwortlichen die Datenbestände für die Untersuchung zur Verfügung stellt. Anstelle dieser Erklärung kann auch ein diese Erklärung ersetzender Exekutionstitel (§ 367 Abs. 1 der Exekutionsordnung – EO, RGBl. Nr. 79/1896 ) vorgelegt werden. (5) Auch in jenen Fällen, in welchen die Verarbeitung von personenbezogenen Daten für Zwecke der wissenschaftlichen Forschung oder Statistik in personenbezogener Form zulässig ist, ist der Personenbezug unverzüglich zu verschlüsseln, wenn in einzelnen Phasen der wissenschaftlichen oder statistischen Arbeit mit personenbezogenen Daten gemäß Abs. 1 Z 3 das Auslangen gefunden werden kann. Sofern gesetzlich nicht ausdrücklich anderes vorgesehen ist, ist der Personenbezug der Daten gänzlich zu beseitigen, sobald er für die wissenschaftliche oder statistische Arbeit nicht mehr notwendig ist. (6) Rechtliche Beschränkungen der Zulässigkeit der Benützung von personenbezogenen Daten aus anderen, insbesondere urheberrechtlichen Gründen, bleiben unberührt. § 8. (1) Soweit gesetzlich nicht ausdrücklich anderes bestimmt ist, bedarf die Übermittlung von Adressdaten eines bestimmten Kreises von betroffenen Personen zum Zweck ihrer Benachrichtigung oder Befragung der Einwilligung der betroffenen Personen. (2) Wenn allerdings eine Beeinträchtigung der Geheimhaltungsinteressen der betroffenen Personen angesichts der Auswahlkriterien für den Betroffenenkreis und des Gegenstands der Benachrichtigung oder Befragung unwahrscheinlich ist, bedarf es keiner Einwilligung, wenn 1. Daten desselben Verantwortlichen verarbeitet werden oder 2. bei einer beabsichtigten Übermittlung der Adressdaten an Dritte a) an der Benachrichtigung oder Befragung auch ein öffentliches Interesse besteht oder b) keine der betroffenen Personen nach entsprechender Information über Anlass und Inhalt der Übermittlung innerhalb angemessener Frist Widerspruch gegen die Übermittlung erhoben hat. 1. Daten desselben Verantwortlichen verarbeitet werden oder 2. bei einer beabsichtigten Übermittlung der Adressdaten an Dritte a) an der Benachrichtigung oder Befragung auch ein öffentliches Interesse besteht oder b) keine der betroffenen Personen nach entsprechender Information über Anlass und Inhalt der Übermittlung innerhalb angemessener Frist Widerspruch gegen die Übermittlung erhoben hat. a) an der Benachrichtigung oder Befragung auch ein öffentliches Interesse besteht oder b) keine der betroffenen Personen nach entsprechender Information über Anlass und Inhalt der Übermittlung innerhalb angemessener Frist Widerspruch gegen die Übermittlung erhoben hat. (3) Liegen die Voraussetzungen des Abs. 2 nicht vor und würde die Einholung der Einwilligung der betroffenen Personen gemäß Abs. 1 einen unverhältnismäßigen Aufwand erfordern, ist die Übermittlung der Adressdaten mit Genehmigung der Datenschutzbehörde gemäß Abs. 4 zulässig, falls die Übermittlung an Dritte 1. zum Zweck der Benachrichtigung oder Befragung aus einem wichtigen Interesse der betroffenen Personen selbst, 2. aus einem wichtigen öffentlichen Benachrichtigungs- oder Befragungsinteresse oder 3. zur Befragung der betroffenen Personen für wissenschaftliche oder statistische Zwecke erfolgen soll. 1. zum Zweck der Benachrichtigung oder Befragung aus einem wichtigen Interesse der betroffenen Personen selbst, 2. aus einem wichtigen öffentlichen Benachrichtigungs- oder Befragungsinteresse oder 3. zur Befragung der betroffenen Personen für wissenschaftliche oder statistische Zwecke (4) Die Datenschutzbehörde hat auf Antrag eines Verantwortlichen, der Adressdaten verarbeitet, die Genehmigung zur Übermittlung zu erteilen, wenn der Antragsteller das Vorliegen der in Abs. 3 genannten Voraussetzungen glaubhaft macht und überwiegende schutzwürdige Geheimhaltungsinteressen der betroffenen Personen der Übermittlung nicht entgegenstehen. Die Datenschutzbehörde hat die Genehmigung an die Erfüllung von Bedingungen und Auflagen zu knüpfen, soweit dies zur Wahrung der schutzwürdigen Interessen der betroffenen Personen notwendig ist. (5) Die übermittelten Adressdaten dürfen ausschließlich für den genehmigten Zweck verarbeitet werden und sind zu löschen, sobald sie für die Benachrichtigung oder Befragung nicht mehr benötigt werden. (6) Sofern es gemäß den vorstehenden Bestimmungen zulässig ist, Namen und Adresse von Personen, die einem bestimmten Betroffenenkreis angehören, zu übermitteln, dürfen auch die zum Zweck der Auswahl der zu übermittelnden Adressdaten notwendigen Verarbeitungen vorgenommen werden. § 9. (1) Für die Verarbeitung personenbezogener Daten durch Medieninhaber, Herausgeber, Medienmitarbeiter und Arbeitnehmer eines Medienunternehmens oder Mediendienstes im Sinne des Mediengesetzes – MedienG, BGBl. Nr. 314/1981 , sowie durch sonstige Personen, die in einem Medienunternehmen oder Mediendienst auf Grundlage eines Vertrages an der inhaltlichen Gestaltung eines Mediums oder der inhaltlichen Gestaltung der Mitteilungen eines Mediendienstes journalistisch mitwirken, zu journalistischen Zwecken des Medienunternehmens oder Mediendienstes gelten die Bestimmungen der DSGVO sowie dieses Bundesgesetzes mit folgenden Maßgaben: 1. Der Verantwortliche ist gegenüber der betroffenen Person nicht zur Offenlegung von Informationen verpflichtet, die dem Schutz des Redaktionsgeheimnisses (§ 31 MedienG) unterliegen (datenschutzrechtliches Redaktionsgeheimnis); § 31 Abs. 2 MedienG ist anzuwenden. In Verfahren vor Gerichten und Behörden, die Angelegenheiten des Datenschutzes zum Gegenstand haben, gilt § 31 MedienG mit der Maßgabe, dass der Verantwortliche die Beantwortung von Fragen im Sinne des § 31 Abs. 1 MedienG nicht nur als Zeuge, sondern auch als sonst Verfahrensbeteiligter verweigern darf. § 321 Abs. 1 der Zivilprozessordnung – ZPO, RGBl. Nr. 113/1895 , ist sinngemäß anzuwenden. Die Datenschutzbehörde hat bei Ausübung ihrer Befugnisse den Schutz des Redaktionsgeheimnisses zu beachten. 2. Der Verantwortliche ist berechtigt, personenbezogene Daten einschließlich der in Art. 9 Abs. 1 DSGVO genannten besonderen Kategorien personenbezogener Daten sowie personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln (Art. 10 DSGVO) zu verarbeiten, soweit dies für journalistische Zwecke erfolgt. Art. 10 letzter Satz DSGVO bleibt unberührt. Die §§ 12 und 13 dieses Bundesgesetzes sind nicht anwendbar. 3. Art. 5 Abs. 1 lit. a DSGVO gilt in Bezug auf den Grundsatz der Transparenz mit der Maßgabe, dass die Verarbeitung personenbezogener Daten für die betroffene Person nur insoweit nachvollziehbar sein muss, als dadurch die Meinungsäußerungs- und Informationsfreiheit nicht unverhältnismäßig beeinträchtigt wird, und nur insoweit, als die Bestimmungen dieses Absatzes nicht anderes vorsehen. 4. Die Art. 13 und 14 (Informationspflicht) sowie Art. 21 Abs. 1 (Widerspruchsrecht) DSGVO sind nicht anwendbar. 5. Das Auskunftsrecht (Art. 15 DSGVO) ist in Bezug auf personenbezogene Daten, auf deren Grundlage noch keine Veröffentlichung erfolgt ist, nicht anwendbar. Im Übrigen gilt das Auskunftsrecht (Art. 15 DSGVO) mit der Maßgabe, dass die betroffene Person Auskünfte nur in Bezug auf bestimmte, im Antrag auf Auskunft konkret zu bezeichnende Veröffentlichungen verlangen darf und ihre Betroffenheit individuell zu begründen hat und der Verantwortliche abweichend von Art. 12 Abs. 5 erster Satz DSGVO berechtigt ist, für die Bearbeitung von Auskunftsersuchen ein Entgelt von 9 Euro zu verlangen; unterlässt die betroffene Person die konkrete Bezeichnung einer Veröffentlichung, die individuelle Begründung ihrer Betroffenheit oder legt sie keinen Nachweis für die Bezahlung des Entgelts vor, so kann der Verantwortliche sich weigern, aufgrund des Antrags tätig zu werden. Der Verantwortliche ist berechtigt, die Auskunft zu verweigern, soweit dies im Einzelfall zum Schutz der Meinungsäußerungs- und Informationsfreiheit erforderlich und verhältnismäßig ist; in solchen Fällen muss der Verantwortliche bei der Beantwortung des Auskunftsersuchens gegenüber der betroffenen Person nicht offenlegen, ob ihre personenbezogenen Daten verarbeitet werden, soweit dadurch der Zweck der Auskunftsverweigerung unterlaufen würde. Das Recht auf Kopie (Art. 15 Abs. 3 DSGVO) ist ausgeschlossen. 6. Art. 16 (Recht auf Berichtigung), Art. 17 (Recht auf Löschung) und Art. 18 (Recht auf Einschränkung der Verarbeitung) DSGVO sind nicht anzuwenden a) in Bezug auf personenbezogene Daten, auf deren Grundlage noch keine Veröffentlichung erfolgt ist; b) in Bezug auf personenbezogene Daten, die in einem Medium im Sinne des § 1 Abs. 1 Z 1 MedienG veröffentlicht wurden; c) soweit eine konkurrierende Anspruchsgrundlage wegen Verletzung der Persönlichkeitsrechte der betroffenen Person nach bürgerlichem Recht, insbesondere nach § 20 oder § 1330 des Allgemeinen bürgerlichen Gesetzbuches, JGS Nr. 946/1811 , oder nach § 78 des Urheberrechtsgesetzes, BGBl. I Nr. 111/1936 , besteht. In allen anderen Fällen ist der Verantwortliche im Falle einer Geltendmachung der in Art. 16 und 18 DSGVO genannten Rechte durch die betroffene Person berechtigt, die Berichtigung oder die Einschränkung der Verarbeitung zu verweigern, soweit dies im Einzelfall zum Schutz der Meinungsäußerungs- und Informationsfreiheit erforderlich und verhältnismäßig ist. 7. In den Fällen der Z 5 zweiter und dritter Satz, Z 6 zweiter Satz und Art. 17 Abs. 3 DSGVO ist die betroffene Person berechtigt, eine Überprüfung der Rechtmäßigkeit der Verweigerung der Auskunft, Berichtigung, Einschränkung der Verarbeitung oder Löschung durch die Datenschutzbehörde zu verlangen. Der Verantwortliche hat die betroffene Person über dieses Recht zu unterrichten. Wird dieses Recht ausgeübt, hat der Verantwortliche das Vorliegen der Voraussetzungen der bezüglichen Einschränkung glaubhaft zu machen. § 25 Abs. 3 ist mit der Maßgabe anzuwenden, dass die Datenschutzbehörde die betroffene Person nur darüber zu unterrichten hat, dass alle erforderlichen Prüfungen oder eine Überprüfung durch die Datenschutzbehörde erfolgt sind, es sei denn, dass die Datenschutzbehörde zum Ergebnis gelangt, dass die betreffende Einschränkung unzulässig war. Die Datenschutzbehörde hat zudem die betroffene Person über ihr Recht zu unterrichten, Beschwerde an das Bundesverwaltungsgericht zu erheben. 8. Zum Schutz des datenschutzrechtlichen Redaktionsgeheimnisses, sowie soweit dies sonst zum Schutz der Meinungsäußerungs- und Informationsfreiheit, insbesondere im Hinblick auf Z 4 sowie Einschränkungen nach Z 5, erforderlich und verhältnismäßig ist, sind Verantwortliche im Sinne des Abs. 1 erster Satz sowie weitere Verantwortliche, die gemeinsam mit diesen personenbezogene Daten zu den in Abs. 1 erster Satz genannten Zwecken verarbeiten, nicht zur Offenlegung gemäß Art. 26 Abs. 2 zweiter Satz DSGVO verpflichtet. 9. Art. 33 DSGVO (Meldung einer Datenschutzverletzung an die Aufsichtsbehörde) ist mit der Maßgabe anzuwenden, dass eine Verletzung des Schutzes personenbezogener Daten nur dann an die Datenschutzbehörde zu melden ist, wenn sie voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat. Eine Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person gemäß Art. 34 DSGVO ist nur nach Maßgabe einer Anweisung der Datenschutzbehörde gemäß Art. 58 Abs. 2 lit. e DSGVO und, soweit das datenschutzrechtliche Redaktionsgeheimnis dadurch nicht beeinträchtigt wird, erforderlich. 10. Art. 38 DSGVO (Stellung des Datenschutzbeauftragten) gilt mit der Maßgabe, dass der Verantwortliche oder der Auftragsverarbeiter den Zugang des Datenschutzbeauftragten zu personenbezogenen Daten, die zu journalistischen Zwecken verarbeitet werden, einschränken kann, soweit dies zum Schutz der Meinungsäußerungs- und Informationsfreiheit erforderlich und verhältnismäßig ist. 11. Der Verantwortliche und der Auftragsverarbeiter sind nicht zur Einhaltung der Vorschriften des Kapitel V der DSGVO (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen) verpflichtet. Unbeschadet des Art. 24 DSGVO (Verantwortung des für die Verarbeitung Verantwortlichen) haben der Verantwortliche und der Auftragsverarbeiter geeignete Maßnahmen zu treffen, um sicherzustellen, dass die Rechte und Freiheiten der betroffenen Person im Falle einer Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen nicht unverhältnismäßig beeinträchtigt werden. 12. In Verhaltensregeln gemäß Art. 40 Abs. 2 DSGVO können Einschränkungen gemäß Z 5 dritter Satz und Z 6 zweiter Satz sowie geeignete Maßnahmen im Sinne der Z 11 zweiter Satz dieses Absatzes näher präzisiert werden. Die Datenschutzbehörde hat in Verfahren gemäß Art. 40 Abs. 5 DSGVO eine Stellungnahme der Kommunikationsbehörde Austria („KommAustria“) (§ 1 Abs. 1 KommAustriaG – KOG, BGBl. I Nr. 32/2001 ) zum Entwurf der Verhaltensregeln bzw. zum Entwurf zu deren Änderung oder Erweiterung einzuholen. 13. Art. 56 (Zuständigkeit der federführenden Aufsichtsbehörde) und Kapitel VII der DSGVO (Zusammenarbeit und Kohärenz) sind nicht anwendbar. 1. Der Verantwortliche ist gegenüber der betroffenen Person nicht zur Offenlegung von Informationen verpflichtet, die dem Schutz des Redaktionsgeheimnisses (§ 31 MedienG) unterliegen (datenschutzrechtliches Redaktionsgeheimnis); § 31 Abs. 2 MedienG ist anzuwenden. In Verfahren vor Gerichten und Behörden, die Angelegenheiten des Datenschutzes zum Gegenstand haben, gilt § 31 MedienG mit der Maßgabe, dass der Verantwortliche die Beantwortung von Fragen im Sinne des § 31 Abs. 1 MedienG nicht nur als Zeuge, sondern auch als sonst Verfahrensbeteiligter verweigern darf. § 321 Abs. 1 der Zivilprozessordnung – ZPO, RGBl. Nr. 113/1895 , ist sinngemäß anzuwenden. Die Datenschutzbehörde hat bei Ausübung ihrer Befugnisse den Schutz des Redaktionsgeheimnisses zu beachten. 2. Der Verantwortliche ist berechtigt, personenbezogene Daten einschließlich der in Art. 9 Abs. 1 DSGVO genannten besonderen Kategorien personenbezogener Daten sowie personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln (Art. 10 DSGVO) zu verarbeiten, soweit dies für journalistische Zwecke erfolgt. Art. 10 letzter Satz DSGVO bleibt unberührt. Die §§ 12 und 13 dieses Bundesgesetzes sind nicht anwendbar. 3. Art. 5 Abs. 1 lit. a DSGVO gilt in Bezug auf den Grundsatz der Transparenz mit der Maßgabe, dass die Verarbeitung personenbezogener Daten für die betroffene Person nur insoweit nachvollziehbar sein muss, als dadurch die Meinungsäußerungs- und Informationsfreiheit nicht unverhältnismäßig beeinträchtigt wird, und nur insoweit, als die Bestimmungen dieses Absatzes nicht anderes vorsehen. 4. Die Art. 13 und 14 (Informationspflicht) sowie Art. 21 Abs. 1 (Widerspruchsrecht) DSGVO sind nicht anwendbar. 5. Das Auskunftsrecht (Art. 15 DSGVO) ist in Bezug auf personenbezogene Daten, auf deren Grundlage noch keine Veröffentlichung erfolgt ist, nicht anwendbar. Im Übrigen gilt das Auskunftsrecht (Art. 15 DSGVO) mit der Maßgabe, dass die betroffene Person Auskünfte nur in Bezug auf bestimmte, im Antrag auf Auskunft konkret zu bezeichnende Veröffentlichungen verlangen darf und ihre Betroffenheit individuell zu begründen hat und der Verantwortliche abweichend von Art. 12 Abs. 5 erster Satz DSGVO berechtigt ist, für die Bearbeitung von Auskunftsersuchen ein Entgelt von 9 Euro zu verlangen; unterlässt die betroffene Person die konkrete Bezeichnung einer Veröffentlichung, die individuelle Begründung ihrer Betroffenheit oder legt sie keinen Nachweis für die Bezahlung des Entgelts vor, so kann der Verantwortliche sich weigern, aufgrund des Antrags tätig zu werden. Der Verantwortliche ist berechtigt, die Auskunft zu verweigern, soweit dies im Einzelfall zum Schutz der Meinungsäußerungs- und Informationsfreiheit erforderlich und verhältnismäßig ist; in solchen Fällen muss der Verantwortliche bei der Beantwortung des Auskunftsersuchens gegenüber der betroffenen Person nicht offenlegen, ob ihre personenbezogenen Daten verarbeitet werden, soweit dadurch der Zweck der Auskunftsverweigerung unterlaufen würde. Das Recht auf Kopie (Art. 15 Abs. 3 DSGVO) ist ausgeschlossen. 6. Art. 16 (Recht auf Berichtigung), Art. 17 (Recht auf Löschung) und Art. 18 (Recht auf Einschränkung der Verarbeitung) DSGVO sind nicht anzuwenden a) in Bezug auf personenbezogene Daten, auf deren Grundlage noch keine Veröffentlichung erfolgt ist; b) in Bezug auf personenbezogene Daten, die in einem Medium im Sinne des § 1 Abs. 1 Z 1 MedienG veröffentlicht wurden; c) soweit eine konkurrierende Anspruchsgrundlage wegen Verletzung der Persönlichkeitsrechte der betroffenen Person nach bürgerlichem Recht, insbesondere nach § 20 oder § 1330 des Allgemeinen bürgerlichen Gesetzbuches, JGS Nr. 946/1811 , oder nach § 78 des Urheberrechtsgesetzes, BGBl. I Nr. 111/1936 , besteht. In allen anderen Fällen ist der Verantwortliche im Falle einer Geltendmachung der in Art. 16 und 18 DSGVO genannten Rechte durch die betroffene Person berechtigt, die Berichtigung oder die Einschränkung der Verarbeitung zu verweigern, soweit dies im Einzelfall zum Schutz der Meinungsäußerungs- und Informationsfreiheit erforderlich und verhältnismäßig ist. a) in Bezug auf personenbezogene Daten, auf deren Grundlage noch keine Veröffentlichung erfolgt ist; b) in Bezug auf personenbezogene Daten, die in einem Medium im Sinne des § 1 Abs. 1 Z 1 MedienG veröffentlicht wurden; c) soweit eine konkurrierende Anspruchsgrundlage wegen Verletzung der Persönlichkeitsrechte der betroffenen Person nach bürgerlichem Recht, insbesondere nach § 20 oder § 1330 des Allgemeinen bürgerlichen Gesetzbuches, JGS Nr. 946/1811 , oder nach § 78 des Urheberrechtsgesetzes, BGBl. I Nr. 111/1936 , besteht. 7. In den Fällen der Z 5 zweiter und dritter Satz, Z 6 zweiter Satz und Art. 17 Abs. 3 DSGVO ist die betroffene Person berechtigt, eine Überprüfung der Rechtmäßigkeit der Verweigerung der Auskunft, Berichtigung, Einschränkung der Verarbeitung oder Löschung durch die Datenschutzbehörde zu verlangen. Der Verantwortliche hat die betroffene Person über dieses Recht zu unterrichten. Wird dieses Recht ausgeübt, hat der Verantwortliche das Vorliegen der Voraussetzungen der bezüglichen Einschränkung glaubhaft zu machen. § 25 Abs. 3 ist mit der Maßgabe anzuwenden, dass die Datenschutzbehörde die betroffene Person nur darüber zu unterrichten hat, dass alle erforderlichen Prüfungen oder eine Überprüfung durch die Datenschutzbehörde erfolgt sind, es sei denn, dass die Datenschutzbehörde zum Ergebnis gelangt, dass die betreffende Einschränkung unzulässig war. Die Datenschutzbehörde hat zudem die betroffene Person über ihr Recht zu unterrichten, Beschwerde an das Bundesverwaltungsgericht zu erheben. 8. Zum Schutz des datenschutzrechtlichen Redaktionsgeheimnisses, sowie soweit dies sonst zum Schutz der Meinungsäußerungs- und Informationsfreiheit, insbesondere im Hinblick auf Z 4 sowie Einschränkungen nach Z 5, erforderlich und verhältnismäßig ist, sind Verantwortliche im Sinne des Abs. 1 erster Satz sowie weitere Verantwortliche, die gemeinsam mit diesen personenbezogene Daten zu den in Abs. 1 erster Satz genannten Zwecken verarbeiten, nicht zur Offenlegung gemäß Art. 26 Abs. 2 zweiter Satz DSGVO verpflichtet. 9. Art. 33 DSGVO (Meldung einer Datenschutzverletzung an die Aufsichtsbehörde) ist mit der Maßgabe anzuwenden, dass eine Verletzung des Schutzes personenbezogener Daten nur dann an die Datenschutzbehörde zu melden ist, wenn sie voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat. Eine Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person gemäß Art. 34 DSGVO ist nur nach Maßgabe einer Anweisung der Datenschutzbehörde gemäß Art. 58 Abs. 2 lit. e DSGVO und, soweit das datenschutzrechtliche Redaktionsgeheimnis dadurch nicht beeinträchtigt wird, erforderlich. 10. Art. 38 DSGVO (Stellung des Datenschutzbeauftragten) gilt mit der Maßgabe, dass der Verantwortliche oder der Auftragsverarbeiter den Zugang des Datenschutzbeauftragten zu personenbezogenen Daten, die zu journalistischen Zwecken verarbeitet werden, einschränken kann, soweit dies zum Schutz der Meinungsäußerungs- und Informationsfreiheit erforderlich und verhältnismäßig ist. 11. Der Verantwortliche und der Auftragsverarbeiter sind nicht zur Einhaltung der Vorschriften des Kapitel V der DSGVO (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen) verpflichtet. Unbeschadet des Art. 24 DSGVO (Verantwortung des für die Verarbeitung Verantwortlichen) haben der Verantwortliche und der Auftragsverarbeiter geeignete Maßnahmen zu treffen, um sicherzustellen, dass die Rechte und Freiheiten der betroffenen Person im Falle einer Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen nicht unverhältnismäßig beeinträchtigt werden. 12. In Verhaltensregeln gemäß Art. 40 Abs. 2 DSGVO können Einschränkungen gemäß Z 5 dritter Satz und Z 6 zweiter Satz sowie geeignete Maßnahmen im Sinne der Z 11 zweiter Satz dieses Absatzes näher präzisiert werden. Die Datenschutzbehörde hat in Verfahren gemäß Art. 40 Abs. 5 DSGVO eine Stellungnahme der Kommunikationsbehörde Austria („KommAustria“) (§ 1 Abs. 1 KommAustriaG – KOG, BGBl. I Nr. 32/2001 ) zum Entwurf der Verhaltensregeln bzw. zum Entwurf zu deren Änderung oder Erweiterung einzuholen. 13. Art. 56 (Zuständigkeit der federführenden Aufsichtsbehörde) und Kapitel VII der DSGVO (Zusammenarbeit und Kohärenz) sind nicht anwendbar. (1a) Für die nicht von Abs. 1 erfasste Verarbeitung personenbezogener Daten zu journalistischen Zwecken gilt Abs. 1 Z 1, 4 und 13; Abs. 1 Z 3 gilt mit der Maßgabe, dass sich der Verweis auf die Bestimmungen in Abs. 1 Z 1, 4 und 13 und Abs. 1a bezieht. Der Verantwortliche ist berechtigt, personenbezogene Daten, aus denen politische Meinungen oder religiöse oder weltanschauliche Überzeugungen hervorgehen (Art. 9 Abs. 1 DSGVO), sowie personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln (Art. 10 DSGVO) zur Wahrung berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) zu verarbeiten, soweit dies zur Ausübung der Meinungsäußerungs- und Informationsfreiheit erforderlich und verhältnismäßig ist. Art. 10 letzter Satz DSGVO bleibt unberührt. In Bezug auf personenbezogene Daten, die in einem Medium im Sinne des § 1 Abs. 1 Z 1 MedienG veröffentlicht wurden, sind die Art. 16 (Recht auf Berichtigung), 17 (Recht auf Löschung) und 18 (Recht auf Einschränkung der Verarbeitung) DSGVO nicht anzuwenden. Im Übrigen ist der Verantwortliche berechtigt, in Bezug auf zu journalistischen Zwecken verarbeitete personenbezogene Daten, auf deren Grundlage noch keine Veröffentlichung erfolgt ist, im Falle einer Geltendmachung der in den Art. 15 bis 18 DSGVO genannten Rechte durch die betroffene Person die Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung zu verweigern, soweit dies im Einzelfall zum Schutz der Meinungsäußerungs- und Informationsfreiheit erforderlich und verhältnismäßig ist; § 25 Abs. 3 ist anzuwenden. Derartige Einschränkungen können in Verhaltensregeln gemäß Art. 40 Abs. 2 DSGVO näher präzisiert werden. Die Datenschutzbehörde hat in Verfahren gemäß Art. 40 Abs. 5 DSGVO eine Stellungnahme der KommAustria zum Entwurf der Verhaltensregeln bzw. zum Entwurf zu deren Änderung oder Erweiterung einzuholen. (2) Soweit dies erforderlich ist, um das Recht auf Schutz der personenbezogenen Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen, finden von der DSGVO die Kapitel II (Grundsätze), mit Ausnahme des Art. 5, Kapitel III (Rechte der betroffenen Person), Kapitel IV (Verantwortlicher und Auftragsverarbeiter), mit Ausnahme der Art. 28, 29 und 32, Kapitel V (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen), Kapitel VI (Unabhängige Aufsichtsbehörden), Kapitel VII (Zusammenarbeit und Kohärenz) und Kapitel IX (Vorschriften für besondere Verarbeitungssituationen) auf die Verarbeitung, die zu wissenschaftlichen, künstlerischen oder literarischen Zwecken erfolgt, keine Anwendung. Von den Bestimmungen dieses Bundesgesetzes ist in solchen Fällen § 6 (Datengeheimnis) anzuwenden. § 10. (1) Verantwortliche des öffentlichen Bereichs und Hilfsorganisationen sind im Katastrophenfall ermächtigt, personenbezogene Daten gemeinsam zu verarbeiten, soweit dies zur Hilfeleistung für die von der Katastrophe unmittelbar betroffenen Personen, zur Auffindung und Identifizierung von Abgängigen und Verstorbenen und zur Information von Angehörigen notwendig ist. (2) Wer rechtmäßig über personenbezogene Daten verfügt, darf diese an Verantwortliche des öffentlichen Bereichs und Hilfsorganisationen übermitteln, sofern diese die personenbezogenen Daten zur Bewältigung der Katastrophe für die in Abs. 1 genannten Zwecke benötigen. (3) Eine Übermittlung von personenbezogenen Daten in das Ausland ist zulässig, soweit dies für die Erfüllung der in Abs. 1 genannten Zwecke unbedingt notwendig ist. Daten, die für sich allein die betroffene Person strafrechtlich belasten, dürfen nicht übermittelt werden, es sei denn, dass diese zur Identifizierung im Einzelfall unbedingt notwendig sind. Die Datenschutzbehörde ist von den veranlassten Übermittlungen und den näheren Umständen des Anlass gebenden Sachverhaltes unverzüglich zu verständigen. Die Datenschutzbehörde hat zum Schutz der Betroffenenrechte weitere Datenübermittlungen zu untersagen, wenn der durch die Datenweitergabe bewirkte Eingriff in das Grundrecht auf Datenschutz durch die besonderen Umstände der Katastrophensituation nicht gerechtfertigt ist. (4) Auf Grund einer konkreten Anfrage eines nahen Angehörigen einer tatsächlich oder vermutlich von der Katastrophe unmittelbar betroffenen Person sind Verantwortliche ermächtigt, dem Anfragenden personenbezogene Daten zum Aufenthalt der betroffenen Person und dem Stand der Ausforschung zu übermitteln, wenn der Angehörige seine Identität und das Naheverhältnis glaubhaft darlegt. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) dürfen an nahe Angehörige nur übermittelt werden, wenn sie ihre Identität und ihre Angehörigeneigenschaft nachweisen und die Übermittlung zur Wahrung ihrer Rechte oder jener der betroffenen Person erforderlich ist. Die Sozialversicherungsträger und Behörden sind verpflichtet, die Verantwortlichen des öffentlichen Bereichs und Hilfsorganisationen zu unterstützen, soweit dies zur Überprüfung der Angaben des Anfragenden erforderlich ist. (5) Als nahe Angehörige im Sinne dieser Bestimmung sind Eltern, Kinder, Ehegatten, eingetragene Partner und Lebensgefährten der betroffenen Personen zu verstehen. Andere Angehörige dürfen die erwähnten Auskünfte unter denselben Voraussetzungen wie nahe Angehörige dann erhalten, wenn sie eine besondere Nahebeziehung zu der von der Katastrophe tatsächlich oder vermutlich unmittelbar betroffenen Person glaubhaft machen. (6) Die zu Zwecken der Bewältigung des Katastrophenfalles verarbeiteten personenbezogenen Daten sind unverzüglich zu löschen, wenn sie für die Erfüllung des konkreten Zwecks nicht mehr benötigt werden. § 11. Die Datenschutzbehörde wird den Katalog des Art. 83 Abs. 2 bis 6 DSGVO so zur Anwendung bringen, dass die Verhältnismäßigkeit gewahrt wird. Insbesondere bei erstmaligen Verstößen wird die Datenschutzbehörde im Einklang mit Art. 58 DSGVO von ihren Abhilfebefugnissen insbesondere durch Verwarnen Gebrauch machen. 3. Abschnitt Bildverarbeitung § 12. (1) Eine Bildaufnahme im Sinne dieses Abschnittes bezeichnet die durch Verwendung technischer Einrichtungen zur Bildverarbeitung vorgenommene Feststellung von Ereignissen im öffentlichen oder nicht-öffentlichen Raum zu privaten Zwecken. Zur Bildaufnahme gehören auch dabei mitverarbeitete akustische Informationen. Für eine derartige Bildaufnahme gilt dieser Abschnitt, soweit nicht durch andere Gesetze Besonderes bestimmt ist. (2) Eine Bildaufnahme ist unter Berücksichtigung der Vorgaben gemäß § 13 zulässig, wenn 1. sie im lebenswichtigen Interesse einer Person erforderlich ist, 2. die betroffene Person zur Verarbeitung ihrer personenbezogenen Daten eingewilligt hat, 3. sie durch besondere gesetzliche Bestimmungen angeordnet oder erlaubt ist, oder 4. im Einzelfall überwiegende berechtigte Interessen des Verantwortlichen oder eines Dritten bestehen und die Verhältnismäßigkeit gegeben ist. 1. sie im lebenswichtigen Interesse einer Person erforderlich ist, 2. die betroffene Person zur Verarbeitung ihrer personenbezogenen Daten eingewilligt hat, 3. sie durch besondere gesetzliche Bestimmungen angeordnet oder erlaubt ist, oder 4. im Einzelfall überwiegende berechtigte Interessen des Verantwortlichen oder eines Dritten bestehen und die Verhältnismäßigkeit gegeben ist. (3) Eine Bildaufnahme ist gemäß Abs. 2 Z 4 insbesondere dann zulässig, wenn 1. sie dem vorbeugenden Schutz von Personen oder Sachen auf privaten Liegenschaften, die ausschließlich vom Verantwortlichen genutzt werden, dient, und räumlich nicht über die Liegenschaft hinausreicht, mit Ausnahme einer zur Zweckerreichung allenfalls unvermeidbaren Einbeziehung öffentlicher Verkehrsflächen, 2. sie für den vorbeugenden Schutz von Personen oder Sachen an öffentlich zugänglichen Orten, die dem Hausrecht des Verantwortlichen unterliegen, aufgrund bereits erfolgter Rechtsverletzungen oder eines in der Natur des Ortes liegenden besonderen Gefährdungspotenzials erforderlich ist, oder 3. sie ein privates Dokumentationsinteresse verfolgt, das nicht auf die identifizierende Erfassung unbeteiligter Personen oder die gezielte Erfassung von Objekten, die sich zur mittelbaren Identifizierung solcher Personen eignen, gerichtet ist. 1. sie dem vorbeugenden Schutz von Personen oder Sachen auf privaten Liegenschaften, die ausschließlich vom Verantwortlichen genutzt werden, dient, und räumlich nicht über die Liegenschaft hinausreicht, mit Ausnahme einer zur Zweckerreichung allenfalls unvermeidbaren Einbeziehung öffentlicher Verkehrsflächen, 2. sie für den vorbeugenden Schutz von Personen oder Sachen an öffentlich zugänglichen Orten, die dem Hausrecht des Verantwortlichen unterliegen, aufgrund bereits erfolgter Rechtsverletzungen oder eines in der Natur des Ortes liegenden besonderen Gefährdungspotenzials erforderlich ist, oder 3. sie ein privates Dokumentationsinteresse verfolgt, das nicht auf die identifizierende Erfassung unbeteiligter Personen oder die gezielte Erfassung von Objekten, die sich zur mittelbaren Identifizierung solcher Personen eignen, gerichtet ist. (4) Unzulässig ist 1. eine Bildaufnahme ohne ausdrückliche Einwilligung der betroffenen Person in deren höchstpersönlichen Lebensbereich, 2. eine Bildaufnahme zum Zweck der Kontrolle von Arbeitnehmern, 3. der automationsunterstützte Abgleich von mittels Bildaufnahmen gewonnenen personenbezogenen Daten ohne ausdrückliche Einwilligung und für das Erstellen von Persönlichkeitsprofilen mit anderen personenbezogenen Daten oder 4. die Auswertung von mittels Bildaufnahmen gewonnenen personenbezogenen Daten anhand von besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) als Auswahlkriterium. 1. eine Bildaufnahme ohne ausdrückliche Einwilligung der betroffenen Person in deren höchstpersönlichen Lebensbereich, 2. eine Bildaufnahme zum Zweck der Kontrolle von Arbeitnehmern, 3. der automationsunterstützte Abgleich von mittels Bildaufnahmen gewonnenen personenbezogenen Daten ohne ausdrückliche Einwilligung und für das Erstellen von Persönlichkeitsprofilen mit anderen personenbezogenen Daten oder 4. die Auswertung von mittels Bildaufnahmen gewonnenen personenbezogenen Daten anhand von besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) als Auswahlkriterium. (5) Im Wege einer zulässigen Bildaufnahme ermittelte personenbezogene Daten dürfen im erforderlichen Ausmaß übermittelt werden, wenn für die Übermittlung eine der Voraussetzungen des Abs. 2 Z 1 bis 4 gegeben ist. Abs. 4 gilt sinngemäß. § 13. (1) Der Verantwortliche hat dem Risiko des Eingriffs angepasste geeignete Datensicherheitsmaßnahmen zu ergreifen und dafür zu sorgen, dass der Zugang zur Bildaufnahme und eine nachträgliche Veränderung derselben durch Unbefugte ausgeschlossen ist. (2) Der Verantwortliche hat – außer in den Fällen einer Echtzeitüberwachung – jeden Verarbeitungsvorgang zu protokollieren. (3) Aufgenommene personenbezogene Daten sind vom Verantwortlichen zu löschen, wenn sie für den Zweck, für den sie ermittelt wurden, nicht mehr benötigt werden und keine andere gesetzlich vorgesehene Aufbewahrungspflicht besteht. Eine länger als 72 Stunden andauernde Aufbewahrung muss verhältnismäßig sein und ist gesondert zu protokollieren und zu begründen. (4) Die Abs. 1 bis 3 finden keine Anwendung auf Bildaufnahmen nach § 12 Abs. 3 Z 3. (5) Der Verantwortliche einer Bildaufnahme hat diese geeignet zu kennzeichnen. Aus der Kennzeichnung hat jedenfalls der Verantwortliche eindeutig hervorzugehen, es sei denn, dieser ist den betroffenen Personen nach den Umständen des Falles bereits bekannt. (6) Die Kennzeichnungspflicht gilt nicht in den Fällen des § 12 Abs. 3 Z 3 und für zeitlich strikt zu begrenzende Verarbeitungen im Einzelfall, deren Zweck ausschließlich mittels einer verdeckten Ermittlung erreicht werden kann, unter der Bedingung, dass der Verantwortliche ausreichende Garantien zur Wahrung der Betroffeneninteressen vorsieht, insbesondere durch eine nachträgliche Information der betroffenen Personen. (7) Werden entgegen Abs. 5 keine ausreichenden Informationen bereitgestellt, kann jeder von einer Verarbeitung potenziell Betroffene vom Eigentümer oder Nutzungsberechtigten einer Liegenschaft oder eines Gebäudes oder sonstigen Objekts, von dem aus eine solche Verarbeitung augenscheinlich ausgeht, Auskunft über die Identität des Verantwortlichen begehren. Die unbegründete Nichterteilung einer derartigen Auskunft ist einer Verweigerung der Auskunft nach Art. 15 DSGVO gleichzuhalten. 1. Abschnitt Datenschutzrat § 14. (1) Beim Bundesministerium für Justiz ist ein Datenschutzrat eingerichtet. Dieser nimmt zu Fragen von grundsätzlicher Bedeutung für den Datenschutz Stellung, fördert die einheitliche Fortentwicklung des Datenschutzes und berät die Bundesregierung in rechtspolitischer Hinsicht bei datenschutzrechtlich relevanten Vorhaben. (2) Zur Erfüllung seiner Aufgaben nach Abs. 1 1. kann der Datenschutzrat Empfehlungen in datenschutzrechtlicher Hinsicht an die Bundesregierung und die Bundesminister richten; 2. kann der Datenschutzrat Gutachten erstellen oder in Auftrag geben; 3. ist dem Datenschutzrat Gelegenheit zur Stellungnahme zu Gesetzesentwürfen der Bundesministerien, soweit diese datenschutzrechtlich von Bedeutung sind, sowie zu Verordnungen im Vollzugsbereich des Bundes, die wesentliche Fragen des Datenschutzes betreffen, zu geben; 4. hat der Datenschutzrat das Recht, von Verantwortlichen des öffentlichen Bereichs Auskünfte und Berichte zu verlangen, soweit dies zur datenschutzrechtlichen Beurteilung von Vorhaben mit wesentlichen Auswirkungen auf den Datenschutz in Österreich notwendig ist; 5. kann der Datenschutzrat seine Beobachtungen, Bedenken und Anregungen veröffentlichen und den Verantwortlichen des öffentlichen Bereichs zur Kenntnis bringen. 1. kann der Datenschutzrat Empfehlungen in datenschutzrechtlicher Hinsicht an die Bundesregierung und die Bundesminister richten; 2. kann der Datenschutzrat Gutachten erstellen oder in Auftrag geben; 3. ist dem Datenschutzrat Gelegenheit zur Stellungnahme zu Gesetzesentwürfen der Bundesministerien, soweit diese datenschutzrechtlich von Bedeutung sind, sowie zu Verordnungen im Vollzugsbereich des Bundes, die wesentliche Fragen des Datenschutzes betreffen, zu geben; 4. hat der Datenschutzrat das Recht, von Verantwortlichen des öffentlichen Bereichs Auskünfte und Berichte zu verlangen, soweit dies zur datenschutzrechtlichen Beurteilung von Vorhaben mit wesentlichen Auswirkungen auf den Datenschutz in Österreich notwendig ist; 5. kann der Datenschutzrat seine Beobachtungen, Bedenken und Anregungen veröffentlichen und den Verantwortlichen des öffentlichen Bereichs zur Kenntnis bringen. (3) Abs. 2 Z 3 und 4 gilt nicht, soweit innere Angelegenheiten der anerkannten Kirchen und Religionsgesellschaften betroffen sind. § 15. (1) Dem Datenschutzrat gehören an: 1. Vertreter der politischen Parteien: Zwölf Mitglieder entsenden die politischen Parteien nach dem System von d’Hondt im Verhältnis ihrer Mandatsstärke im Hauptausschuss des Nationalrates. Jede im Hauptausschuss des Nationalrates vertretene politische Partei hat Anspruch, im Datenschutzrat vertreten zu sein. Eine im Hauptausschuss des Nationalrates vertretene Partei, der nach der obigen Berechnung kein Mitglied zukommt, kann ein Mitglied namhaft machen; 2. je ein Vertreter der Bundeskammer für Arbeiter und Angestellte und der Wirtschaftskammer Österreich; 3. zwei Vertreter der Länder; 4. je ein Vertreter des Gemeindebundes und des Städtebundes; 5. ein von der Bundesministerin für Justiz zu entsendender Vertreter des Bundes; 6. ein von der Bundesregierung zu entsendender Vertreter aus dem Kreis der Datenschutzbeauftragten der Bundesministerien; 7. zwei vom Datenschutzrat nach seiner Konstituierung zu benennende nationale oder internationale Experten aus dem Bereich des Datenschutzes. 1. Vertreter der politischen Parteien: Zwölf Mitglieder entsenden die politischen Parteien nach dem System von d’Hondt im Verhältnis ihrer Mandatsstärke im Hauptausschuss des Nationalrates. Jede im Hauptausschuss des Nationalrates vertretene politische Partei hat Anspruch, im Datenschutzrat vertreten zu sein. Eine im Hauptausschuss des Nationalrates vertretene Partei, der nach der obigen Berechnung kein Mitglied zukommt, kann ein Mitglied namhaft machen; 2. je ein Vertreter der Bundeskammer für Arbeiter und Angestellte und der Wirtschaftskammer Österreich; 3. zwei Vertreter der Länder; 4. je ein Vertreter des Gemeindebundes und des Städtebundes; 5. ein von der Bundesministerin für Justiz zu entsendender Vertreter des Bundes; 6. ein von der Bundesregierung zu entsendender Vertreter aus dem Kreis der Datenschutzbeauftragten der Bundesministerien; 7. zwei vom Datenschutzrat nach seiner Konstituierung zu benennende nationale oder internationale Experten aus dem Bereich des Datenschutzes. (2) Die in Abs. 1 genannten Vertreter sollen Kenntnisse sowie Erfahrungen auf den Gebieten des Datenschutzrechtes, des Unionsrechtes und der Grundrechte haben. (3) Für jedes Mitglied gemäß Abs. 1 Z 1 bis 6 ist ein Ersatzmitglied zu entsenden, welches bei Verhinderung des Mitgliedes an dessen Stelle tritt. Die Entsendung der Mitglieder und Ersatzmitglieder ist dem Bundesministerium für Justiz schriftlich mitzuteilen. (4) Nicht angehören können dem Datenschutzrat Mitglieder der Bundesregierung oder einer Landesregierung sowie Staatssekretäre und weiters Personen, die zum Nationalrat nicht wählbar sind. (5) Die Funktionsperiode der Mitglieder und Ersatzmitglieder gemäß Abs. 1 Z 1 bis 6 beginnt mit deren Entsendung in den Datenschutzrat und endet 1. mit der Abberufung durch die entsendende Stelle (Abs. 1) im Wege einer schriftlichen Mitteilung an das Bundesministerium für Justiz unter gleichzeitiger Namhaftmachung eines neuen Mitgliedes oder Ersatzmitgliedes, 2. mit der Bekanntgabe des Ausscheidens durch das Mitglied oder Ersatzmitglied im Wege einer schriftlichen Mitteilung an das Bundesministerium für Justiz oder 3. spätestens mit der Neuwahl des Hauptausschusses des Nationalrates nach den §§ 29 und 30 des Geschäftsordnungsgesetzes 1975, BGBl. Nr. 410/1975 . Auf gemäß Abs. 1 Z 7 benannte Mitglieder des Datenschutzrates findet Z 3 Anwendung. 1. mit der Abberufung durch die entsendende Stelle (Abs. 1) im Wege einer schriftlichen Mitteilung an das Bundesministerium für Justiz unter gleichzeitiger Namhaftmachung eines neuen Mitgliedes oder Ersatzmitgliedes, 2. mit der Bekanntgabe des Ausscheidens durch das Mitglied oder Ersatzmitglied im Wege einer schriftlichen Mitteilung an das Bundesministerium für Justiz oder 3. spätestens mit der Neuwahl des Hauptausschusses des Nationalrates nach den §§ 29 und 30 des Geschäftsordnungsgesetzes 1975, BGBl. Nr. 410/1975 . (6) Nach Neuwahl des Hauptausschusses des Nationalrates (Abs. 5 Z 3) führt das bisherige Präsidium gemäß § 17 Abs. 4 die Geschäfte bis zur konstituierenden Sitzung der neubestellten Mitglieder und Ersatzmitglieder fort. Binnen eines Zeitraumes von zwei Wochen ab der Neuwahl des Hauptausschusses des Nationalrates haben die entsendenden Stellen eine dem Abs. 1 entsprechende Anzahl von Mitgliedern und Ersatzmitgliedern dem Bundesministerium für Justiz schriftlich bekannt zu geben. Die Wiederbestellung von Mitgliedern und Ersatzmitgliedern ist zulässig. (7) Die konstituierende Sitzung des Datenschutzrates hat spätestens sechs Wochen nach der Wahl des Hauptausschusses des Nationalrates stattzufinden und ist vom Bundesministerium für Justiz einzuberufen. (8) Die Tätigkeit der Mitglieder und Ersatzmitglieder des Datenschutzrates ist ehrenamtlich. Mitglieder und Ersatzmitglieder des Datenschutzrates, die außerhalb von Wien wohnen, haben im Fall der Teilnahme an Sitzungen des Datenschutzrates Anspruch auf Ersatz der angemessenen Reisekosten nach Maßgabe der Reisegebührenvorschriften des Bundes. Die Vergütungen und Erstattungen sind im Nachhinein quartalsweise vom Bundesministerium für Justiz anzuweisen. § 16. (1) Der Datenschutzrat gibt sich mit Beschluss eine Geschäftsordnung. (2) Der Datenschutzrat hat in der konstituierenden Sitzung aus den vorliegenden Wahlvorschlägen mit einfacher Mehrheit aus seiner Mitte einen Vorsitzenden und zwei stellvertretende Vorsitzende zu wählen. Stichwahlen sind zulässig. Die Wahlvorschläge sind den Mitgliedern und Ersatzmitgliedern gleichzeitig mit der Einladung zur konstituierenden Sitzung bekannt zu geben. Die Wiederwahl ist zulässig. (3) Die Funktionsperiode des Vorsitzenden und der stellvertretenden Vorsitzenden endet 1. mit Eintritt einer der Voraussetzungen des § 15 Abs. 5 Z 1 bis 3, 2. mit Bekanntgabe der Zurücklegung der Funktion durch den Vorsitzenden oder einen der stellvertretenden Vorsitzenden im Wege einer Erklärung in der Sitzung des Datenschutzrates oder einer schriftlichen Mitteilung an das Bundesministerium für Justiz oder 3. nach Abwahl durch den Datenschutzrat mit einfacher Mehrheit der abgegebenen Stimmen und Anwesenheit von mehr als zwei Drittel seiner Mitglieder oder Ersatzmitglieder. Nach dem Ende der Funktionsperiode des Vorsitzenden oder eines stellvertretenden Vorsitzenden ist umgehend ein neuer Vorsitzender oder ein neuer stellvertretender Vorsitzender zu wählen. 1. mit Eintritt einer der Voraussetzungen des § 15 Abs. 5 Z 1 bis 3, 2. mit Bekanntgabe der Zurücklegung der Funktion durch den Vorsitzenden oder einen der stellvertretenden Vorsitzenden im Wege einer Erklärung in der Sitzung des Datenschutzrates oder einer schriftlichen Mitteilung an das Bundesministerium für Justiz oder 3. nach Abwahl durch den Datenschutzrat mit einfacher Mehrheit der abgegebenen Stimmen und Anwesenheit von mehr als zwei Drittel seiner Mitglieder oder Ersatzmitglieder. (4) Der gemäß Abs. 2 gewählte Vorsitzende vertritt den Datenschutzrat nach außen. (5) Die Geschäftsführung des Datenschutzrates obliegt dem Bundesministerium für Justiz. Die Bundesministerin für Justiz hat das hierfür notwendige Personal zur Verfügung zu stellen. Bei ihrer Tätigkeit für den Datenschutzrat sind die Bediensteten des Bundesministeriums für Justiz fachlich an die Weisungen des Vorsitzenden des Datenschutzrates gebunden. § 17. (1) Die Sitzungen des Datenschutzrates werden vom Vorsitzenden nach Bedarf einberufen. Jedes Mitglied des Datenschutzrates kann schriftlich die Einberufung des Datenschutzrates unter Angabe des gewünschten Verhandlungsgegenstandes begehren. Liegt ein solches Begehren vor, so hat der Vorsitzende die Sitzung so anzuberaumen, dass sie spätestens vier Wochen nach Einlangen des Begehrens stattfindet. (2) Jedes Mitglied des Datenschutzrates ist – außer im Fall der gerechtfertigten Verhinderung – verpflichtet, an den Sitzungen des Datenschutzrates teilzunehmen. Nur bei Verhinderung des Mitglieds nimmt das Ersatzmitglied an der Sitzung teil. (3) Für Beratungen und Beschlussfassung im Datenschutzrat ist die Anwesenheit von mehr als der Hälfte seiner Mitglieder oder Ersatzmitglieder erforderlich. Zur Beschlussfassung genügt die einfache Mehrheit der abgegebenen Stimmen. Bei Stimmengleichheit gibt die Stimme des Vorsitzenden den Ausschlag. Stimmenthaltung ist unzulässig. Minderheitenvoten sind zulässig. (4) Bei dringlichen Angelegenheiten kann der Vorsitzende die stellvertretenden Vorsitzenden und je einen Vertreter der politischen Parteien (§ 15 Abs. 1 Z 1) zu einer außerordentlichen Sitzung (Präsidium) einladen. (5) Der Datenschutzrat kann aus seiner Mitte ständige oder nichtständige Arbeitsausschüsse bilden, denen er die Vorbereitung, Begutachtung und Bearbeitung einzelner Angelegenheiten übertragen kann. Er ist auch berechtigt, die Geschäftsführung, Vorbegutachtung und die Bearbeitung einzelner Angelegenheiten einem einzelnen Mitglied (Berichterstatter) zu übertragen. (6) Der Leiter der Datenschutzbehörde und der Vorsitzende des Parlamentarischen Datenschutzkomitees sind berechtigt, an den Sitzungen des Datenschutzrates oder seiner Arbeitsausschüsse teilzunehmen. Ein Stimmrecht steht ihnen nicht zu. (7) Der Vorsitzende kann bei Bedarf Sachverständige zu den Sitzungen des Datenschutzrates oder zu Arbeitsausschüssen beiziehen. Auch zur Vorbereitung von Sitzungen des Datenschutzrates oder Arbeitsausschüssen kann der Vorsitzende des Datenschutzrates Experten des jeweiligen Fachgebietes beiziehen, soweit dies zur Klärung von Fragen von besonderer Bedeutung für den Datenschutz erforderlich ist. (8) Die Beratungen in den Sitzungen des Datenschutzrates sind, soweit er nicht selbst anderes beschließt, nicht öffentlich. Die Mitglieder und Ersatzmitglieder des Datenschutzrates, der Leiter der Datenschutzbehörde sowie sein Stellvertreter, der Vorsitzende des Parlamentarischen Datenschutzkomitees und die zur Sitzung zugezogenen Sachverständigen sind zur Geheimhaltung über alle ihnen aus