DSG:§ 54. Datensicherheitsmaßnahmen

Inhaltsverzeichnis

Artikel 1. (Verfassungsbestimmung)

• § 1. Grundrecht auf Datenschutz
• § 2. Zuständigkeit
• § 3. Räumlicher Anwendungsbereich

1. Hauptstück. Durchführung der DSGVO und ergänzende Regelungen

• § 4. Anwendungsbereich und Durchführungsbestimmung
• § 5. Datenschutzbeauftragter
• § 6. Datengeheimnis
• § 7. Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke
• § 8. Zurverfügungstellung von Adressen zur Benachrichtigung und Befragung von betroffenen Personen
• § 9. Freiheit der Meinungsäußerung und Informationsfreiheit
• § 10. Verarbeitung personenbezogener Daten im Katastrophenfall
• § 11. Verwarnung durch die Datenschutzbehörde
• § 12. Zulässigkeit der Bildaufnahme
• § 13. Besondere Datensicherheitsmaßnahmen und Kennzeichnung

2. Hauptstück. Organe

• § 14. Einrichtung und Aufgaben
• § 15. Zusammensetzung
• § 16. Vorsitz und Geschäftsführung
• § 17. Sitzungen und Beschlussfassung
• § 18. Einrichtung
• § 19. Unabhängigkeit
• § 20. Leiter der Datenschutzbehörde
• § 21. Aufgaben
• § 22. Befugnisse
• § 23. Tätigkeitsbericht und Veröffentlichung von Entscheidungen
• § 24. Beschwerde an die Datenschutzbehörde
• § 25. Begleitende Maßnahmen im Beschwerdeverfahren
• § 26. Verantwortliche des öffentlichen und des privaten Bereichs
• § 27. Beschwerde an das Bundesverwaltungsgericht
• § 28. Vertretung von betroffenen Personen
• § 29. Haftung und Recht auf Schadenersatz
• § 30. Allgemeine Bedingungen für die Verhängung von Geldbußen
• § 31. Datenschutzbehörde
• § 32. Aufgaben der Datenschutzbehörde
• § 33. Befugnisse der Datenschutzbehörde
• § 34. Allgemeine Bestimmungen
• § 35. Besondere Befugnisse der Datenschutzbehörde

3. Hauptstück. Verarbeitung für Zwecke der Sicherheitspolizei

• § 36. Anwendungsbereich und Begriffsbestimmungen
• § 37. Grundsätze für die Datenverarbeitung, Kategorisierung und Datenqualität
• § 38. Rechtmäßigkeit der Verarbeitung
• § 39. Verarbeitung besonderer Kategorien personenbezogener Daten
• § 40. Verarbeitung für andere Zwecke und Übermittlung
• § 41. Automatisierte Entscheidungsfindung im Einzelfall
• § 42. Grundsätze
• § 43. Information der betroffenen Person
• § 44. Auskunftsrecht der betroffenen Person
• § 45. Recht auf Berichtigung oder Löschung personenbezogener Daten und auf Einschränkung der Verarbeitung
• § 46. Pflichten des Verantwortlichen
• § 47. Gemeinsam Verantwortliche
• § 48. Auftragsverarbeiter und Aufsicht über die Verarbeitung
• § 49. Verzeichnis von Verarbeitungstätigkeiten
• § 50. Protokollierung
• § 51. Zusammenarbeit mit der Datenschutzbehörde
• § 52. Datenschutz-Folgenabschätzung
• § 53. Vorherige Konsultation der Datenschutzbehörde
• § 54. Datensicherheitsmaßnahmen
• § 55. Meldung von Verletzungen an die Datenschutzbehörde
• § 56. Benachrichtigung der betroffenen Person von Verletzungen
• § 57. Benennung, Stellung und Aufgaben des Datenschutzbeauftragten
• § 58. Allgemeine Grundsätze für die Übermittlung personenbezogener Daten
• § 59. Datenübermittlung an Drittländer oder internationale Organisationen
• § 60. Inkrafttreten (Anm.: Überschrift aufgehoben durch Z 32, BGBl. I Nr. 24/2018)
• § 61. Übergangsbestimmungen

4. Hauptstück. Besondere Strafbestimmungen

• § 62. Verwaltungsstrafbestimmung
• § 63. Datenverarbeitung in Gewinn- oder Schädigungsabsicht

5. Hauptstück. Schlussbestimmungen

• § 64. Durchführung und Umsetzung von Rechtsakten der EU
• § 65. Sprachliche Gleichbehandlung
• § 66. Erlassung von Verordnungen
• § 67. Verweisungen
• § 68. Vollziehung
• § 69. Übergangsbestimmungen
• § 70. Inkrafttreten

DSG / 3. Hauptstück. Verarbeitung personenbezogener Daten für Zwecke der Sicherheitspolizei/ 3. Abschnitt. Verantwortlicher und Auftragsverarbeiter / DSG:§ 54. Datensicherheitsmaßnahmen

(1)

Der Verantwortliche und der Auftragsverarbeiter haben unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen, unter Berücksichtigung der unterschiedlichen Kategorien gemäß § 37, geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere im Hinblick auf die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß § 39.

(2)

Der Verantwortliche und der Auftragsverarbeiter haben im Hinblick auf die automatisierte Verarbeitung nach einer Risikobewertung Maßnahmen zu ergreifen, um folgende Zwecke zu erreichen:

1. Verwehrung des Zugangs zu Verarbeitungsanlagen, mit denen die Verarbeitung durchgeführt wird, für Unbefugte (Zugangskontrolle);
2. Verhinderung des unbefugten Lesens, Kopierens, Veränderns oder Entfernens von Datenträgern (Datenträgerkontrolle);
3. Verhinderung der unbefugten Eingabe von personenbezogenen Daten sowie der unbefugten Kenntnisnahme, Veränderung und Löschung von gespeicherten personenbezogenen Daten (Speicherkontrolle);
4. Verhinderung der Nutzung automatisierter Verarbeitungssysteme mit Hilfe von Einrichtungen zur Datenübertragung durch Unbefugte (Benutzerkontrolle);
5. Gewährleistung, dass die zur Benutzung eines automatisierten Verarbeitungssystems Berechtigten ausschließlich zu den ihrer Zugangsberechtigung unterliegenden personenbezogenen Daten Zugang haben (Zugriffskontrolle);
6. Gewährleistung, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mit Hilfe von Einrichtungen zur Datenübertragung übermittelt oder zur Verfügung gestellt wurden oder werden können (Übertragungskontrolle);
7. Gewährleistung, dass nachträglich überprüft und festgestellt werden kann, welche personenbezogenen Daten zu welcher Zeit und von wem in automatisierte Verarbeitungssysteme eingegeben worden sind (Eingabekontrolle);
8. Verhinderung, dass bei der Übermittlung personenbezogener Daten sowie beim Transport von Datenträgern die Daten unbefugt gelesen, kopiert, verändert oder gelöscht werden können (Transportkontrolle);
9. Gewährleistung, dass eingesetzte Systeme im Störungsfall wiederhergestellt werden können (Wiederherstellung);
10. Gewährleistung, dass alle Funktionen des Systems zur Verfügung stehen, auftretende Fehlfunktionen gemeldet werden (Zuverlässigkeit) und gespeicherte personenbezogene Daten nicht durch Fehlfunktionen des Systems beschädigt werden können (Datenintegrität).

Erläuterung zu § 54. Datensicherheitsmaßnahmen

Mit dieser Bestimmung wird Art. 29 der Richtlinie (EU) 2016/680 umgesetzt. Da die Vorgaben dieser Bestimmung in Bezug auf die Datensicherheit strenger sind als jene des Art. 32 DSGVO, kommt eine Anknüpfung an diese Bestimmung nicht in Betracht.

Fragestellungen: 0

Derzeit sind keine Fragestellungen zu diesem Paragraphen vorhanden.

Diskussion

Metadaten

• Nummer: 54
• Bezeichnung: Datensicherheitsmaßnahmen
• Hauptstück: 3. Hauptstück. Verarbeitung personenbezogener Daten für Zwecke der Sicherheitspolizei
• Abschnitt: 3. Abschnitt. Verantwortlicher und Auftragsverarbeiter
• Fragestellungen:
• Paragraph unverändert
• Letzte Änderung: 3. 11. 2017 durch Melnicki (ID: 398, Revision 1122)

jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung (siehe Art. 4 DSGVO).

die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden (siehe Art. 4 DSGVO)

eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (siehe Art. 4 DSGVO)

Grundsätze für die Datenverarbeitung, Kategorisierung und Datenqualität

Verarbeitung besonderer Kategorien personenbezogener Daten

Verarbeitung unter der Aufsicht des Verantwortlichen oder des Auftragsverarbeiters

Sicherheit der Verarbeitung

EU Datenschutz-Grundverordnung