§ 20 Verarbeitung personenbezogener Daten und Datenschutz — S.HSchG

(1) Die juristischen Personen nach § 7 Abs 1 sind im Rahmen der ihnen nach diesem Gesetz zukommenden Aufgaben und Verpflichtungen Verantwortliche im Sinn des Art 4 Z 7 Datenschutz-Grundverordnung. In jenen Fällen, in denen sie gemeinsam mit dem Amt der Salzburger Landesregierung eine Datenverarbeitung durchführen, sind sie gemeinsam mit diesem Verantwortliche im Sinn des Art 4 Z 7 Datenschutz-Grundverordnung. Die Verpflichtung des Verantwortlichen zum Schutz von hinweisgebenden Personen nach diesem Gesetz gilt auch für Auftragsverarbeitende.

(2) Die nach Abs 1 Verantwortlichen dürfen folgende personenbezogenen Daten zum Zweck der Besorgung ihrer Aufgaben nach diesem Gesetz verarbeiten:

1. von hinweisgebenden Personen: Identifikationsdaten, Erreichbarkeitsdaten, berufs- und tätigkeitsbezogene Daten;

2. von Personen, die in einer Meldung erwähnt werden: Identifikationsdaten, Erreichbarkeitsdaten, berufs- und tätigkeitsbezogene Daten;

3. von den Ansprechpersonen bei den zuständigen Stellen der externen Meldestelle: Identifikationsdaten, Erreichbarkeitsdaten.

(3) Die internen Meldestellen und die externe Meldestelle dürfen Daten im Sinn des Abs 2 an die zuständigen Stellen zum Zweck der Besorgung ihrer gesetzlich übertragenen Aufgaben übermitteln.

(4) Die zur personenbezogenen Datenverarbeitung Verantwortlichen (Abs 1) und die externe Meldestelle haben personenbezogene Daten nach Abs 2 zu löschen, sobald diese für die Besorgung der ihnen obliegenden Aufgaben nicht mehr benötigt werden. Personenbezogene Daten, die auf Grund stichhaltiger Hinweise verarbeitet oder übermittelt wurden, sind bis zu drei Jahre und darüber hinaus so lange aufzubewahren, als dies für die Durchführung verwaltungsbehördlicher oder gerichtlicher Verfahren oder zum Schutz einer der in Abs 2 genannten Personen erforderlich und verhältnismäßig ist. Personenbezogene Daten, die für die Bearbeitung einer spezifischen Meldung nicht relevant sind, werden nicht erhoben oder, für den Fall, dass sie unbeabsichtigt erhoben worden sind, wieder gelöscht.

(5) Solange und insoweit dies zum Schutz der Identität einer hinweisgebenden Person und zur Erreichung der im § 1 genannten Zwecke, insbesondere um Versuche der Verhinderung, Unterlaufung oder Verschleppung von Hinweisen oder von Folgemaßnahmen auf Grund von Hinweisen zu unterbinden, erforderlich ist, finden die in den Z 1 bis 7 aufgezählten Rechte einer von einem Hinweis betroffenen natürlichen Person und die in den Z 2 bis 4 im DSG enthaltenen Rechte einer juristischen Person keine Anwendung:

1. Recht auf Information (§ 43 DSG, Art 13 und 14 Datenschutz-Grundverordnung),

2. Recht auf Auskunft (§ 1 Abs 3 Z 1 und § 44 DSG, Art 15 Datenschutz-Grundverordnung),

3. Recht auf Berichtigung (§ 1 Abs 3 Z 2 und § 45 DSG, Art 16 Datenschutz-Grundverordnung),

4. Recht auf Löschung (§ 1 Abs 3 Z 2 und § 45 DSG, Art 17 Datenschutz-Grundverordnung),

5. Recht auf Einschränkung der Verarbeitung (§ 45 DSG, Art 18 Datenschutz-Grundverordnung)

6. Widerspruchsrecht (Art 21 Datenschutz-Grundverordnung) sowie

7. Recht auf Benachrichtigung von einer Verletzung des Schutzes personenbezogener Daten (§ 56 DSG und Art 34 Datenschutz-Grundverordnung).

Unter den im ersten Satzteil angeführten Voraussetzungen haben interne und externe Stellen gegenüber einer von einem Hinweis betroffenen Person Information und Auskunftserteilung zum Hinweis zu unterlassen.