Datenschutzrechtliche Vereinbarung

database marketing • crm • micro targeting
geo marketing • data enrichment
data mining • zielgruppenmarketing
directmarketing
data select marketing ges.m.b.h.
1070 wien, neubaugasse 12–14 / top 16
telefon +43 1 929 12 53
fax +43 1 929 12 53–19
[email protected]
www.dataselect.at
Datenschutzrechtliche Vereinbarung
gemäß § 10 Abs. 1 DSG 2000
betreffend die Überlassung von Daten zum Zweck der Erbringung von Dienstleistungen im Sinne der §§ 4 Z.5,
10 und 11 DSG 2000 i.V.m. § 151 GewO (Adressverlage und Direktmarketingunternehmen)
zwischen
Unternehmen / Name
Adresse
(im Folgenden: Auftraggeber)
und
Dataselect Marketing Ges.m.b.H.
1070 Wien, Neubaugasse 12–14 / Top 16
(im Folgenden: Dienstleister)
Wien, Datum
Präambel
Die Vertragsparteien beabsichtigen die Abwicklung regelmäßiger Aufträge über Datenverarbeitung, die die
Überlassung, Verarbeitung, Auswertung und Analyse von Daten, darunter auch personenbezogene Daten vor­
sehen. Als Grundlage dieser Aufträge schließen die Vertragsparteien die vorliegende Vereinbarung, die für alle
Geschäftsfälle, in denen die Vertragspartner in den oben angeführten Funktionen auftreten, gilt. Sollte für
Einzelfälle eine Abänderung/Ergänzung dieser datenschutzrechtlichen Vereinbarung erforderlich sein, erfolgt
dies schriftlich.
Der Dienstleister hat dem Auftraggeber vor Unterfertigung dieser Vereinbarung dargelegt, dass er ausreichende
Gewähr für eine rechtmäßige und sichere Datenanwendung bietet. Er hat dem Auftraggeber die erforderlichen
Informationen über die von ihm zur Einhaltung der untenstehend getroffenen Vereinbarungen tatsächlich ge­
troffenen Maßnahmen übermittelt.
1. Der Dienstleister trifft keine eigene Entscheidung über die Verwendung der Daten, insbesondere die Vor­
nahme einer Verarbeitung der überlassenen Daten, sondern benutzt die Daten zur Herstellung des aufgetra­
genen Werkes.
Der Dienstleister verpflichtet sich, Daten ausschließlich im Rahmen des Auftrages des Auftraggebers zu
verwenden und nimmt insbesondere zur Kenntnis, dass die Übermittlung der verwendeten Daten an Dritte
ohne Auftrag des Auftraggebers verboten ist; er wird eine allfällige Übermittlung ausschließlich nach Auf­
trag des Auftraggebers vornehmen.
Der Dienstleister verpflichtet sich, Daten und Verarbeitungsergebnisse ausschließlich dem Auftraggeber
zu­rückzugeben. Eine Verwendung der überlassenen personenbezogenen Daten für eigene Zwecke des
Dienst­leisters darf nur nach schriftlichem Auftrag des Auftraggebers erfolgen, ebenso die Übermittlung
und Über­lassung von Daten in das Ausland.
Der Auftraggeber erklärt, dass die überlassenen Daten nach den Grundsätzen der §§ 6 bis 9 DSG 2000 ver­
wendet werden und allenfalls erforderliche behördliche Genehmigungen vorliegen; insbesondere, dass die
Daten rechtmäßig ermittelt wurden und dass ihm keinerlei die Verwendung der Daten unzulässig machende
Schritte Betroffener bekannt sind. Der Auftraggeber hält den Dienstleister für den Fall der Verletzung dieser
Bestimmung aus der Geltendmachung von Betroffenenrechten schad- und klaglos.
2. Der Dienstleister erklärt, dass er das Datengeheimnis im Sinn des § 15 DSG 2000 wahrt; ferner, dass er
alle mit der Datenverwendung betrauten Mitarbeiter – das sind Arbeit-/Dienstnehmer und Personen in einem
arbeit-/dienstnehmerähnlichen Verhältnis – verpflichtet hat, Daten aus Datenanwendungen, die diesen aus­
schließlich aufgrund deren berufsmäßiger Beschäftigung anvertraut oder zugänglich wurden, unbeschadet
sonstiger gesetzlicher Verschwiegenheitspflichten, geheim zu halten, soweit kein rechtlich zulässiger Grund
für eine Übermittlung/Bekanntgabe der anvertrauten oder zugänglich gewordenen Daten besteht.
Überdies erklärt der Dienstleister, dass er die genannten Mitarbeiter verpflichtet hat, das Datengeheimnis
und sonstige gesetzlichen Verschwiegenheitspflichten auch nach Beendigung des Arbeits-/Dienstverhält­
nisses bzw. des arbeit-/dienstnehmerähnlichen Verhältnisses einzuhalten und dass ein Verstoß dagegen
nicht nur arbeitsrechtliche, sondern auch (verwaltungs-)strafrechtliche Folgen haben bzw. allenfalls scha­
denersatzpflichtig machen kann.
3. Der Dienstleister erklärt, dass er alle gemäß § 14 DSG 2000 erforderlichen Datensicherheitsmaßnahmen 1
getroffen hat, dass Daten vor zufälliger oder unrechtmäßiger Zerstörung oder vor Verlust geschützt sind
und nicht ordnungswidrig verwendet oder Dritten unbefugt zugänglich werden.
4. Der Dienstleister nimmt zur Kenntnis, dass die Heranziehung weiterer Dienstleister (Subunternehmer) nur
mit Billigung des Auftraggebers erfolgen darf. Vor der Heranziehung eines weiteren Dienstleisters ist der
Auftraggeber daher so rechtzeitig zu verständigen, dass er dies allenfalls untersagen kann.
Für den Fall, dass ein weiterer Dienstleister herangezogen wird, muss ein Vertrag zwischen dem Dienstleis­
ter und dem weiteren Dienstleister im Sinn der §§ 11 bis 13 DSG 2000 und des § 151 GewO abgeschlossen
werden. In diesem Vertrag hat der Dienstleister sicherzustellen, dass der weitere Dienstleister dieselben
Verpflichtungen eingeht, die dem Dienstleister aufgrund dieser Vereinbarung obliegen.
5. Der Dienstleister schafft sofern dies nach der Art der Dienstleistung in Frage kommt im Einvernehmen mit
dem Auftraggeber die notwendigen technischen und organisatorischen Voraussetzungen dafür, dass der
Auftraggeber die Bestimmungen der
§ 26 DSG 2000 (Auskunftsrecht),
§ 27 DSG 2000 (Recht auf Richtigstellung oder Löschung)
§ 151 GewO (Auskunfts-, Löschungs-, Untersagungs- und Ausschlussrecht)
gegenüber Betroffenen innerhalb gesetzlich vorgesehener Fristen jederzeit erfüllen kann.
Der Dienstleister hat die getroffenen Maßnahmen und allenfalls deren Abänderung dem Auftraggeber
wenigstens einmal jährlich zur Herstellung des Einverständnisses schriftlich vorzulegen.
6. Der Dienstleister verpflichtet sich, die Bestimmung des § 151 GewO (Adressenverlage und Direktwerbe­
unternehmen) einzuhalten; insbesondere verpflichtet sich der Dienstleister, die Robinson-Liste beim Fach­
verband Werbung und Marketing in der Sektion Gewerbe und Handwerk der Wirtschaftskammer Österreich
vierteljährlich anzufordern. Der Dienstleister verpflichtet sich, die Daten von in dieser Liste eingetragenen
Personen nicht zu vermitteln. Ebenso wird der Dienstleister die gem. § 7 ECG von der Rundfunk- und Tele­
komregulierungsbehörde (RTR) geführte Robinson-Liste über Personen und Unternehmen, die für sich die
Zusendung kommerzieller Kommunikation ausgeschlossen haben, beachten und die in diese Liste eingetra­
genen elektronischen Adressen nicht verarbeiten oder leicht nachvollziehbar gesondert kennzeichnen.
7. Der Auftraggeber erklärt, den 4. Abschnitt des DSG 2000 einzuhalten, insbesondere aus eigenem zu prü­
fen, ob die durch ihn vorgenommene Datenverwendung meldepflichtig ist, für diesen Fall die Registrierung
vorzunehmen und die DVR-Nummer im Zuge der Auftragserteilung dem Dienstleister, sofern eine solche
dem Auftraggeber zugeteilt wurde, bekanntzugeben. Der Dienstleister andererseits verpflichtet sich, die ihm
mitgeteilte DVR-Nummer des Auftraggebers auf dem Adressausdruck aufzudrucken.
8. Der Dienstleister ist nach Beendigung der Dienstleistung verpflichtet, alle Verarbeitungsergebnisse und Un­
terlagen, die Daten enthalten, dem Auftraggeber zu übergeben bzw. in dessen Auftrag für ihn in Beachtung
der datenschutzrechtlichen Bestimmungen weiter aufzubewahren oder zu vernichten.
9. Der Dienstleister verpflichtet sich, dem Auftraggeber jene Informationen zur Verfügung zu stellen, die zur
Kontrolle der Einhaltung dieser Vereinbarung notwendig sind.
10.Der Auftraggeber verpflichtet sich, sofern ihm diese bekannt werden, den Dienstleister unmittelbar vor Än­
derungen datenschutzrechtlicher Bestimmungen zu unterrichten. Der Auftraggeber räumt dem Dienstleister
eine angemessene Frist ein, sich auf geänderte Datenschutz -bestimmungen einzustellen. Der Dienstleister
ist verpflichtet, bei Kenntnis von relevanten Änderungen der datenschutzrechtlichen Bestimmungen diese
zu beachten und umzusetzen.
11.Auf diese Vereinbarung soll ausschließlich österreichisches Recht angewendet werden. Die Vertragsparteien
sichern einander die loyale Handhabung dieser Vereinbarung zu. Dennoch auftretende Meinungsverschie­
denheiten werden vor dem sachlich zuständigen Gericht in Wien gelöst.
Sollten Teile dieser Vereinbarung rechtsunwirksam sein, berührt dies die Gültigkeit der übrigen Bestimmun­
gen nicht. Anstelle der rechtsunwirksamen Teile dieser Vereinbarung sollen jene Bestimmungen treten, die
ohne Rechtsunwirksamkeit zu begründen, den unwirksamen Bestimmungen wirtschaftlich und in ihrem
Ergebnis auf datenschutzrechtliche Vorgaben am nächsten kommen.
Änderungen dieser Vereinbarung bedürfen der Schriftform; dies gilt auch für die Vereinbarung vom Erfor­
dernis der Schriftform abgehen zu wollen.
12.Diese Vereinbarung wird in zwei Ausfertigungen errichtet, jedem Vertragsteil steht eine Ausfertigung zu.
Stempel + Unterschrift
Datum
Unterschrift / Data Select Marketing Ges.m.b.H.
Datum
§ 14 DSG 2000: Datensicherheitsmaßnahmen
§ 14.
(1) Für alle Organisationseinheiten eines Auftraggebers oder Dienstleisters, die Daten verwenden, sind Maßnahmen zur Gewähr­
leistung der Datensicherheit zu treffen. Dabei ist je nach der Art der verwendeten Daten und nach Umfang und Zweck der
Verwendung sowie unter Bedachtnahme auf den Stand der technischen Möglichkeiten und auf die wirtschaftliche Vertretbarkeit
sicherzustellen, daß die Daten vor zufälliger oder unrechtmäßiger Zerstörung und vor Verlust geschützt sind, daß ihre Verwen­
dung ordnungsgemäß erfolgt und dass die Daten Unbefugten nicht zugänglich sind.
(2)Insbesondere ist, soweit dies im Hinblick auf Abs. 1 letzter Satz erforderlich ist,
1. die Aufgabenverteilung bei der Datenverwendung zwischen den Organisationseinheiten und zwischen den Mitarbeitern aus­
drücklich festzulegen,
2. die Verwendung von Daten an das Vorliegen gültiger Aufträge der anordnungsbefugten Organisationseinheiten und Mitarbei­
ter zu binden,
3. jeder Mitarbeiter über seine nach diesem Bundesgesetz und nach innerorganisatorischen Datenschutzvorschriften ein­
schließlich der Datensicherheitsvorschriften bestehenden Pflichten zu belehren,
4. die Zutrittsberechtigung zu den Räumlichkeiten des Auftraggebers oder Dienstleisters zu regeln,
5. die Zugriffsberechtigung auf Daten und Programme und der Schutz der Datenträger vor der Einsicht und Verwendung durch
Unbefugte zu regeln,
6. die Berechtigung zum Betrieb der Datenverarbeitungsgeräte festzulegen und jedes Gerät durch Vorkehrungen bei den einge­
setzten Maschinen oder Programmen gegen die unbefugte Inbetriebnahme abzusichern,
7. Protokoll zu führen, damit tatsächlich durchgeführte Verwendungsvorgänge, wie insbesondere Änderungen, Abfragen und
Übermittlungen, im Hinblick auf ihre Zulässigkeit im notwendigen Ausmaß nachvollzogen werden können,
8. eine Dokumentation über die nach Z 1 bis 7 getroffenen Maßnahmen zu führen, um die Kontrolle und Beweissicherung zu
erleichtern.
Diese Maßnahmen müssen unter Berücksichtigung des Standes der Technik und der bei der Durchführung erwachsenden Kosten
ein Schutzniveau gewährleisten, das den von der Verwendung ausgehenden Risiken und der Art der zu schützenden Daten ange­
messen ist.
(3)Nicht registrierte Übermittlungen aus Datenanwendungen, die einer Verpflichtung zur Auskunftserteilung gemäß § 26 unterlie­
gen, sind so zu protokollieren, daß dem Betroffenen Auskunft gemäß § 26 gegeben werden kann. In der Standardverordnung
(§ 17 Abs. 2 Z 6) oder in der Musterverordnung (§ 19 Abs. 2) vorgesehene Übermittlungen bedürfen keiner Protokollierung.
(4)Protokoll- und Dokumentationsdaten dürfen nicht für Zwecke verwendet werden, die mit ihrem Ermittlungszweck – das ist
die Kontrolle der Zulässigkeit der Verwendung des protokollierten oder dokumentierten Datenbestandes – unvereinbar sind.
Un­vereinbar ist insbesondere die Weiterverwendung zum Zweck der Kontrolle von Betroffenen, deren Daten im protokollierten
Datenbestand enthalten sind, oder zum Zweck der Kontrolle jener Personen, die auf den protokollierten Datenbestand zuge­
griffen haben, aus einem anderen Grund als jenem der Prüfung ihrer Zugriffsberechtigung, es sei denn, daß es sich um die
Verwendung zum Zweck der Verhinderung oder Verfolgung eines Verbrechens nach § 278a StGB (kriminelle Organisation) oder
eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt, handelt.
(5)Sofern gesetzlich nicht ausdrücklich anderes angeordnet ist, sind Protokoll- und Dokumentationsdaten drei Jahre lang aufzu­
bewahren. Davon darf in jenem Ausmaß abgewichen werden, als der von der Protokollierung oder Dokumentation betroffene
Datenbestand zulässigerweise früher gelöscht oder länger aufbewahrt wird.
(6)Datensicherheitsvorschriften sind so zu erlassen und zur Verfügung zu halten, daß sich die Mitarbeiter über die für sie gelten­
den Regelungen jederzeit informieren können.