TE Vwgh Erkenntnis 1993/9/28 92/12/0121

Der Verwaltungsgerichtshof hat durch den Vorsitzenden Präsident Dr. Jabloner und die Hofräte Dr. Herberth, Dr. Germ, Dr. Höß und Dr. Händschke als Richter, im Beisein des Schriftführers Mag. Dr. Wurdinger, über die Beschwerden der H-Ges. m.b.H. in W, vertreten durch Dr. F, RA in W, gegen die Bescheide der Datenschutzkommission vom 27.5.1992, Zl. 161.664/8-DSK/92, betreffend Überprüfung der Registrierung der Datenverarbeitung "Personalverwaltung", und vom 12.8.1992, Zl. 161.664/10-DSK/92, betreffend Bestimmung einer Vollstreckungsbehörde, zu Recht erkannt:

Die angefochtenen Bescheide werden wegen Rechtswidrigkeit infolge Unzuständigkeit der belangten Behörde aufgehoben.

Der Bund hat der Beschwerdeführerin Aufwendungen in der Höhe von S 23.050,-- binnen zwei Wochen bei sonstiger Exekution zu ersetzen.

Mit dem Formular "Meldung gemäß Datenschutzgesetz" vom 13. August 1991, bei der Behörde am 16. August 1991 eingelangt, erstattete die Beschwerdeführerin dem Datenverarbeitungsregister die Meldung: "Streichung von einzelnen Datenverarbeitungen - wird ersetzt durch Standardverarbeitung", sodaß die von ihr durchgeführte Standardverarbeitung für den privaten Bereich die Standardverarbeitungen, Personalverwaltung und Finanzbuchhaltung erfassen sollte. Mit dem gleichzeitig vorgelegten "Einlagebogen" wurde eine Datenverarbeitung "Zeiterfassung" gemeldet, in der als verarbeitete Daten genannt werden:

Personengruppe Dienstnehmer - Personalnummer, Name, Firmenkennung, Geschlecht, Religionsbekenntnis, Beschäftigungsverhältnis, Kostenstelle, individuelle Gleitzeit, Wochenzeitregeln, Pausenzeitregeln, individueller Schichtplan, individueller Überstundenzuschlag, Gemeinkostenarten, Zeitrahmenabgrenzungen, Zeitpaare (Kommt/Geht), Zeiterfassungsterminal-Nr."

Hinsichtlich der Personengruppe Leitpersonal werden die gleichen Datenarten gemeldet.

Das Datenverarbeitungsregister richtete daraufhin an die Beschwerdeführerin folgende Mängelfeststellung zur Datenverarbeitung "ZEITERFASSUNG (privater Bereich):

"Für die beim DVR gemeldete oben angeführte Datenverarbeitung dürfte der berechtigte Zweck gem. § 17 DSG nur unter der Einhaltung der Bestimmungen der §§ 96, 96 a und 97 Arbeitsverfassungsgesetz gegeben sein. Es wird daher ersucht, die Kopie jenes Schriftstückes dem DVR bis zur u.a. Frist nachzureichen, aus dem eine diesbezügliche Zustimmung des Betriebsrates ersichtlich ist."

Als Fristende für die Erledigung wurde der 7. Oktober 1991 bestimmt.

Die Beschwerdeführerin teilte daraufhin dem Datenverarbeitungsregister mit Schreiben vom 16. September 1991 mit, aus dem Formular "Meldung" vom 13. August 1991, dem das Formular "Einlagebogen" angeschlossen gewesen sei, habe sich offenkundig ein Mißverständnis ergeben. Die bisher von der Beschwerdeführerin geführte "Personalverwaltung" unter Verwendung von automationsunterstützten Datenträgern entspreche der Standard-Verordnung vom 11. Juni 1987 (nach deren Anlage 1). Im Rahmen der bisherigen Datenverarbeitung werde jedoch die Arbeitszeit zum Zwecke der Berechnung des Arbeitsentgelts der einzelnen Dienstnehmer außerhalb von automationsunterstützten Datenträgern ("händisch") erfaßt. Die bisherige Datenverarbeitung werde nun erweitert, nämlich in der Richtung, daß in der erweiterten Datenverarbeitung auch die Arbeitszeit unter Verwendung von Datenträgern erfaßt werde. Die Erweiterung der Datenverarbeitung überschreite nun nicht jene Datenarten, wie diese in der Anlage 1 zur Standard-Verordnung in "9103 Personalverwaltung" aufgezählt seien. Die erweiterte neue Datenverarbeitung bleibe im Rahmen dieser Aufzählung. Bei diesem Anlaß stelle die Beschwerdeführerin den "Einlagebogen" richtig. Im Rahmen der Datenverarbeitung "Personalverwaltung" gehöre "Rechtsanwalt" nicht zum Empfängerkreis; die "Verwaltungsbehörden" und "Gerichte" gehörten nur nach Maßgabe der in der Anlage 1 zu "9103 Personalverwaltung" in der Rubrik "Empfänger im Inland" angeführten Behörden und Gerichte zum Empfängerkreis, sohin das Exekutions- und das Vormundschaftsgericht. Die Beschwerdeführerin übersende mit der Anlage zwei Formulare "Meldung" im Sinne der Bestimmung des § 22 DSG und gehe von der Erwartung aus, daß die Mängelfeststellung vom 26. August 1991 aufgrund der vorstehenden Ausführungen als gegenstandslos betrachtet werden könne.

Gleichzeitig übermittelte die Beschwerdeführerin erneut das Formular "Meldung gemäß Datenschutzgesetz", wobei angeführt wurde, daß die ursprünglich gemeldete Datenverarbeitung "Personalverwaltung" durch die Standardverarbeitung ersetzt werde.

Nach einem vom Datenverarbeitungsregister aufgenommenen Amtsvermerk vom 24. September 1991 vertrat die für die Beschwerdeführerin einschreitende Frau Mag. S der Behörde gegenüber die Auffassung, daß die ursprüngliche Meldung bezüglich Zeiterfassung in dieser Form hinfällig wäre. Ihre Art der Zeiterfassung sei in der Standardverordnung enthalten, sodaß seitens des Betriebsrates eine Zustimmung nicht erforderlich sei.

Mit Schreiben vom 25. Oktober 1991 legte das Datenverarbeitungsregister gemäß § 23 a Abs. 2 DSG der belangten Behörde eine Kopie der Eingabe der Beschwerdeführerin vom 13. August 1991 vor. Darin wird unter anderem nach Darstellung des Verfahrensganges ausgeführt:

"Am 20. September 1991 sprachen der Betriebsratsvorsitzende der Gesellschaft und sein Stellvertreter beim DVR vor, um sich zu erkundigen, ob das seit ca. eineinhalb Jahren installierte automationsunterstützt durchgeführte Zeiterfassungssystem, das auch für personenbezogene Personalstatistiken herangezogen wird, bereits registriert wurde.

Seitens des DVR wurde den Betriebsräten mitgeteilt, daß ein Verfahren betr. die Registrierung der Datenverarbeitung "Zeiterfassung" anhängig, jedoch noch nicht abgeschlossen sei. Eine Einsichtnahme in diese Datenverarbeitung wurde vom DVR mit dem Hinweis abgelehnt, daß diese erst nach abgeschlossener Registrierung möglich sei.

Die beiden Betriebsräte teilten in diesem Gespräch mit, daß sie bereits mit Inbetriebnahme dieses Zeiterfassungssystems die Firmenleitung auf die Notwendigkeit, die Bestimmungen des Arbeitsverfassungsgesetzes einzuhalten, hingewiesen haben. Die Firmenleitung stellte jedoch diese Zustimmungspflicht in Abrede. Frau Mag. S von der H-Ges.m.b.H. rief am 24. September 1991 im DVR an (siehe Beilage 6) und bestätigte die Auffassung des Auftraggebers mit der Standardverarbeitung "Personalverwaltung" das Auslangen zu finden. Die Betriebsräte erwägen daher, entsprechende gerichtliche Schritte zu unternehmen.

Aus dem beiliegenden Amtsvermerk vom 20. September 1991 ist ersichtlich, daß eine Zustimmung des Betriebsrates zur Einführung des Kontrollsystems nicht erteilt wurde (siehe Beilage 4).

Innerhalb der vom DVR im Mängelfeststellungsschreiben gesetzten Frist (siehe Beilage 5) zog die Firma H-Ges.m.b.H. die Meldung des Verarbeitungszweckes "Zeiterfassung" zurück und erklärte u.e., mit der Standardverarbeitung "Personalverwaltung" das Auslangen zu finden."

Mit Eingabe vom 3. Jänner 1992 teilte der Rechtsvertreter der Beschwerdeführerin der belangten Behörde mit, im Sommer 1991 sei die "bestandene Datenverarbeitung im Sinne der Standardverordnung erweitert" worden, und zwar durch die Einbeziehung der Datenart 14 (Arbeitszeit). Allein durch die mangelnde Kenntnis der bezüglichen Rechtvorschriften sei es dazu gekommen, daß ein Dienstnehmer mit Datum vom 13.8.1991 das Formular "MELDUNG gemäß Datenschutzgesetz" unter Verwendung eines eigenen EINLAGEBOGENS ausgefüllt habe, aus dessen Angaben sich der Eindruck ergeben habe, die Beschwerdeführerin würde eine Datenverarbeitung zur Meldung bringen, welche nicht durch die Standard-Verordnung gedeckt wäre. Dieser Eindruck sei durch die teilweise unrichtige Ausfüllung dieser Formulare entstanden. Die Beschwerdeführerin habe im Zuge des Mängelrügeverfahrens dieses Mißverständnis aufgeklärt und klargestellt, daß die bestehende Datenverarbeitung im Rahmen der Standard-Verordnung beibehalten und lediglich durch Einbeziehung der Datenart 14 "Arbeitszeit" (der Anlage 1 zur Standard-Verordnung) erweitert werde. Dem Register seien neue Formularmeldungen im Sinne der Bestimmungen gemäß § 22 DSG vorgelegt worden. Durch diesen Vorgang sei die Meldung vom 13. August 1991 zurückgezogen worden, sodaß das Verwaltungsverfahren, das aufgrund dieser Meldung eingeleitet worden sei, einzustellen gewesen wäre. Eine neue Meldung im Sinne des § 22 DSG sei aufgrund des Schreibens vom 16. September 1991 vorgenommen worden, zu welcher kein Verbesserungsauftrag gemäß § 23 a Abs. 1 DSG erteilt worden sei.

Da dem Verbesserungsauftrag vom 26. August 1991 fristgerecht entsprochen worden sei, könnte sich als Rechtgrundlage für die Vorlage der Meldung vom 13. August 1991 an die belangte Behörde nur die Bestimmung des § 23 a Abs. 2 DSG ergeben, doch sei dem Schreiben der Beschwerdeführerin vom 16. September 1991 zu entnehmen, daß die Meldung vom 13. August 1991 zurückgezogen und durch eine neue Meldung vom 16. September 1991 ersetzt worden sei. Aufgrund der Meldung vom 13. August 1991 sei daher kein gesetzmäßiges Verfahren mehr durchzuführen, da diese Meldung zurückgezogen worden sei.

Die gleiche Rechtsauffassung vertrat der Vertreter der Beschwerdeführerin auch in einer weiteren Eingabe an die belangte Behörde vom 23. März 1992.

Mit dem erstangefochtenen Bescheid vom 27. Mai 1992 lehnte die belangte Behörde die Registrierung der Datenverarbeitung "Personalverwaltung" der Beschwerdeführerin gemäß § 23 a Abs. 4 DSG ab und untersagte die Weiterführung dieser Datenverarbeitung. In der Bescheidbegründung wird nach Darstellung des Verfahrensablaufes zur rechtlichen Beurteilung des Sachverhaltes im wesentlichen ausgeführt, entgegen der Rechtsauffassung der Beschwerdeführerin sei deren ursprüngliche Meldung vom 13. August 1991 noch immer aufrecht, weil diese dem Datenverarbeitungsregister gegenüber nie ausdrücklich zurückgezogen, sondern lediglich in der Form modifiziert worden sei, die ursprünglich mit einem eigenen Formular "Einlagebogen" gemeldete Datenverarbeitung "Zeiterfassung" sei durch die Datenart "Arbeitszeit" der Standardverarbeitung "Personalverwaltung" gedeckt. Darin könne aber keine Zurückziehung der ursprünglichen Meldung und Einbringung einer neuen Meldung erblickt werden, sondern nur eine Konkretisierung aufgrund der Mängelrüge des Datenverarbeitungsregisters. Eine Zurückziehung des Antrages sei auch im Verfahren vor dem Datenverarbeitungsregister nie erklärt worden. Der während des Verfahrens vor der Datenschutzkommission aufgestellten Behauptung, bei dem Schreiben vom 16. September 1991 habe es sich um eine Zurückziehung des ursprünglichen Antrages gehandelt, könne daher nicht gefolgt werden. Hiebei handle es sich vielmehr um den Versuch, ein behauptetes Mißverständnis bei der ursprünglichen Einbringung aufzuklären und die Meldung zu berichtigen. Für diese Auslegung spreche der letzte Satz des Schreibens vom 16. September 1991 der wie folgt laute: "Wir übersenden Ihnen in der Anlage zwei Formulare MELDUNG im Sinne der Bestimmung gemäß § 22 DSG und gehen von der Erwartung aus, daß Ihre Mängelfeststellung vom 26.8.1991 aufgrund unserer vorstehenden Ausführungen als gegenstandlos betrachtet werden kann." Daraus sei klar zu entnehmen, daß das Schreiben als "Klarstellung" des ursprünglichen Antrages zu verstehen sei und nicht als Zurückziehung und Neueinbringung eines Antrages. Dies werde auch durch den Beginn des vorletzten Absatzes des Schreibens untermauert, in welchem es heiße: "Bei diesem Anlaß stellen wir den EINLAGEBOGEN richtig,...". Bei Rückziehung des Antrages und Neueinbringung hätte es keiner Richtigstellung bedurft.

Nach Wiedergabe der angewendeten Bestimmungen des Datenschutzgesetzes, insbesondere der §§ 23, 8 a und 23 a DSG wird in der Bescheidbegründung weiter ausgeführt, das Datenschutzgesetz unterscheide zwischen zwei Möglichkeiten der Vorlage des Datenverarbeitungsregisters an die belangte Behörde:

a) Der unverzüglichen Vorlage gemäß § 23 a Abs. 2 DSG ohne Rücksicht auf ein gleichzeitig anhängiges Verbesserungsverfahren im Sinn des Abs. 1 ("Zwischenverfahren"), das mit einer bescheidmäßigen vorläufigen Einstellung der Datenverarbeitung enden könne und

b) der Vorlage an die Datenschutzkommission nach Ablauf der Frist zur Verbesserung gemäß Abs. 4, wenn dem Verbesserungsauftrag nicht entsprochen wurde; dieses Verfahren ende mit endgültigem Bescheid der Datenschutzkommission.

Die Bestimmung über das "Zwischenverfahren" sei durch die DSG-Novelle 1987, BGBl. Nr. 370/1986, geschaffen worden, da durch sie das Registrierungsverfahren derart geändert worden sei, daß die Datenverarbeitung nicht wie bis dahin erst aufgenommen werden dürfe, wenn die Registrierung durchgeführt sei, sondern bereits mit der Meldung der Datenverarbeitung beim Register. Um die Ausnahmefälle echter Gefährdung von Betroffeneninteressen dennoch rechtzeitig relevieren zu können, sei für das Datenverarbeitungsregister die Möglichkeit geschaffen worden, unabhängig von der zur Verbesserung gesetzten Frist sofort die Datenschutzkommission zu befassen. Nach dem Ausschußbericht (1036 der Beilagen XVI. GP) schließe aber dieses "Zwischenverfahren" einen Verbesserungsauftrag des Datenverarbeitungsregisters und die Vorlage an die Datenschutzkommission bei nicht fristgerechter Entsprechung dieses Verbesserungsauftrages nicht aus.

Im vorliegenden Fall habe das Datenverarbeitungsregister der Beschwerdeführerin eine Verbesserungsfrist bis zum 7. Oktober 1991 gesetzt. Nach Ablauf dieser Frist sei, da dem Verbesserungsauftrag innerhalb dieser Frist nicht nachgekommen, d. h., die vom Datenverarbeitungsregister geforderte Kopie jenes Schriftstückes, aus dem eine Zustimmung des Betriebsrates ersichtlich sei, nicht nachgereicht worden sei, die Meldung am 25. Oktober 1991 der belangten Behörde vorgelegt worden. Da das Verstreichen der Verbesserungsfrist abgewartet worden sei, handle es sich nicht um eine "vorläufige" Vorlage der Meldung wegen Gefahr in Verzug, wie sie § 23a Abs. 2 DSG vorsehe, sondern um eine Vorlage wegen nicht fristgerechter Verbesserung durch den Auftraggeber im Sinne des Abs. 4 der genannten Bestimmung. Daß sich das Datenverarbeitungsregister bei seiner Vorlage bei der Bezeichnung der Gesetzesstelle im Ausdruck vergriffen habe, ändere nichts an der Zulässigkeit der Vorlage.

Das Arbeitsverfassungsgesetz 1974, BGBl. Nr. 22/1974 (ArbVG), sehe im § 96 vor, daß unter anderem folgende Maßnahmen des Betriebsinhabers zu ihrer Rechtswirksamkeit der Zustimmung des Betriebsrates bedürften:

"3. Die Einführung von Kontrollmaßnahmen und technischen Systemen zur Kontrolle der Arbeitnehmer, sofern diese Maßnahmen (Systeme) die Menschenwürde berühren."

§ 96a Abs. 1 Z. 1 ArbVG sehe vor, daß folgende Maßnahmen des Betriebsinhabers zu ihrer Rechtswirksamkeit der Zustimmung des Betriebsrates bedürften:

"Die Einführung von Systemen zur automationsunterstützten Ermittlung, Verarbeitung und Übermittlung von personenbezogenen Daten des Arbeitnehmers, die über die Ermittlung von allgemeinen Angaben zur Person und fachlichen Voraussetzungen hinausgehen. Eine Zustimmung ist nicht erforderlich, soweit die tatsächliche oder vorgesehene Verwendung dieser Daten über die Erfüllung von Verpflichtungen nicht hinausgeht, die sich aus Gesetz, Normen der kollektiven Rechtsgestaltung oder Arbeitsvertrag ergeben. Eine solche Zustimmung des Betriebsrates kann jedoch gemäß § 36a Abs. 2 ArbVG durch eine Entscheidung der Schlichtungsstelle ersetzt werden."

Ein Zeiterfassungssystem wie das von der Beschwerdeführerin geplante oder durchgeführte erfasse zumindest unter der Datenart "Zeitpaare (Kommt/Geht)" die Zeiten, wann ein Arbeitnehmer seinen Dienst antrete bzw. verlasse und ob er den Dienst antrete oder fehle. Im Zusammenhang mit den übrigen verarbeiteten Datenarten wie Personalnummer und Geschlecht und weiteren Daten über andere Mitarbeiter ließen sich in einer automationsunterstützten Datenverarbeitung ohne größere Schwierigkeiten z.B. folgende Aussagen treffen: Welche Personen über vierzig Jahre fehlen am häufigsten? Welche Personen haben keine Zeitguthaben? Wer macht nie Überstunden in der Abteilung X? Wie oft fehlen Frauen? Ebenfalls möglich wären folgende Auswertungen: Fehlzeitdarstellungen als Jahreskalender, Quersummen für einzelne Abteilungen, etc. Zusammen mit anderen Datenarten aus der Standardverarbeitung "Personalverwaltung" wie "Dauer des Krankenstandes" oder "Art und Dauer der sonstigen Dienstverhinderung" ließen sich sogar noch darüber hinausgehende Aussagen treffen, z.B. Auswertungen nach mehreren Kriterien des Stammdatensatzes (z.B. männlich, Alter, Krankheit, Arztbesuche, Behördenwege, etc.). Bei einem Zeiterfassungssystem wie dem von der Beschwerdeführerin durchgeführten handle es sich aus den dargelegten Gründen um ein System zur automationsunterstützen Ermittlung, Verarbeitung und Übermittlung von personenbezogenen Daten, die über die Ermittlung von allgemeinen Angaben zur Person und fachlichen Voraussetzungen hinausgingen (§ 96a Abs. 1 Z. 1 AVG). Die Ausnahmebestimmung des letzten Satzes leg. cit. komme nicht zur Anwendung, weil keine rechtlichen Bestimmungen die beliebig lange Speicherung und Zusammenführung von Zeitdaten und Abwesenheitsursachen erfordern würden. Da eine Zustimmung des Betriebsrates im Sinne des Arbeitsverfassungsgesetzes für die Datenverarbeitung "Personalverwaltung" nicht vorgelegt habe werden können, sei der Inhalt der gemeldeten Datenverarbeitung durch keine Rechtsgrundlage gedeckt und somit unstimmig und mangelhaft im Sinne des § 8a Abs. 2 DSG.

Mit dem zweitangefochtenen Bescheid vom 12. August 1992 bestimmte die belangte Behörde zur Vollstreckung des erstangefochtenen Bescheides gemäß § 37 DSG den Magistrat der Stadt Wien als örtlich zuständige Bezirksverwaltungsbehörde. Begründet wurde dieser Bescheid damit, § 37 Abs. 1

zweiter Satz DSG sehe vor, daß in den Bescheiden der belangten Behörde jene Behörde zu bestimmen sei, die den Bescheid zu vollstrecken habe. Im erstangefochtenen Bescheid sei keine Vollstreckungsbehörde bestimmt, was nunmehr nachgeholt werde. Aus Zweckmäßigkeitsgründen sei die gemäß § 1 Abs. 1 Z. 2 lit. a VVG zuständige Behörde gewählt worden.

Gegen diese Bescheide erhob die Beschwerdeführerin Beschwerden an den Verwaltungsgerichtshof, mit welchen sie Rechtswidrigkeit infolge Verletzung von Verfahrensvorschritften und Rechtswidrigkeit des Inhaltes geltend machte und deren Aufhebung beantragte.

Die belangte Behörde hat unter Vorlage der Akten Gegenschriften erstattet und Gegenanträge gestellt.

Der Verwaltungsgerichtshof hat die Verfahren über die Beschwerden zur gemeinsamen Entscheidung wegen ihres sachlichen und persönlichen Zusammenhanges verbunden und erwogen:

Rechtsgrundlage des erstangefochtenen Bescheides sind die §§ 23a und 23b des Datenschutzgesetzes, BGBl. Nr. 565/1978, in der Fassung BGBl. Nr. 370/1986 (DSG), die wie folgt lauten:

"§ 23a (1) Das Datenverarbeitungsregister hat innerhalb einer Frist von höchstens zwei Monaten dem Auftraggeber die Verbesserung unter gleichzeitiger Setzung einer angemessenen Verbesserungsfrist aufzutragen, wenn eine Meldung mangelhaft im Sinne des § 8a Abs. 2 erscheint.

(2) Kommt das Datenverarbeitungsregister bei Prüfung der Meldung zur Auffassung, daß mangels Rechtsgrundlage einer Datenverarbeitung schutzwürdige Geheimhaltungsinteressen der Betroffenen wesentlich gefährdet erscheinen, so hat es dies der Datenschutzkommission unverzüglich mitzuteilen; die Datenschutzkommission hat, wenn sie die Bedenken des Datenverarbeitungsregisters teilt, die vorläufige Einstellung der gesamten oder eines Teiles der Datenverarbeitung mit Bescheid zu verfügen.

(3) Bescheide gemäß Abs. 2 verlieren ihre Wirksamkeit mit der Erledigung des Mängelrügeverfahrens gemäß Abs. 4, längstens aber nach 6 Monaten.

(4) Wird einem Verbesserungsauftrag des Datenverarbeitungsregisters nicht fristgerecht entsprochen, so hat das Datenverarbeitungsregister die Meldung der Datenschutzkommission vorzulegen. Dabei sind die behaupteten Mängel zu begründen. Stellt die Datenschutzkommission die Mangelhaftigkeit der Meldung fest, so hat sie mit Bescheid die Registrierung abzulehnen und die Weiterführung der Datenverarbeitung zu untersagen, andernfalls hat sie dem Datenverarbeitungsregister die Registrierung aufzutragen.

§ 23b (1) Meldungen nach den §§ 8, 22 und 23 sind in das Datenverarbeitungsregister einzutragen, wenn

1. nicht innerhalb von zwei Monaten nach Einlangen der Meldung ein Verbesserungsauftrag erteilt wurde,

2. der Auftraggeber die verlangten Verbesserungen fristgerecht vorgenommen hat, oder

3. die Registrierung dem Datenverarbeitungsregister von der Datenschutzkommission aufgetragen wurde.

(2) Dem Auftraggeber ist die Durchführung der Registrierung unter Beifügung des ihn betreffenden Registerauszuges schriftlich mitzuteilen. Die Mitteilung hat auch die dem Auftraggeber zugeteilte Registernummer zu enthalten.

(3) Durch die Eintragung einer Datenverarbeitung im Register wird der Entscheidung der zuständigen Behörde über die Rechtmäßigkeit der registrierten Datenverarbeitung nicht vorgegriffen.

(4) Streichungen und Änderungen sind im Datenverarbeitungsregister auf Antrag des eingetragenen oder auf Grund eines nach Abs. 5 ergangenen Bescheides der Datenschutzkommission vorzunehmen.

(5) Werden dem Datenverarbeitungsregister nachträglich Umstände bekannt, die eine Mangelhaftigkeit von registrierten Meldungen bewirken, so hat das Datenverarbeitungsregister von Amts wegen ein Mängelrügeverfahren einzuleiten. Hiefür gilt § 23a mit der Maßgabe, daß die Datenschutzkommission im Falle der Änderung von Namen oder Adressen mit Bescheid eine Änderung verfügen kann. Die Durchführung des Mängelrügeverfahrens ist bis zum Abschluß dieses Verfahrens im Register anzumerken.

(6) Der Bundeskanzler hat nach Anhörung des Datenschutzrates durch Verordnung nähere Bestimmungen über die Registrierung zu erlassen. Dabei ist auf die Übersichtlichkeit der Eintragungen und die Einfachheit der Einsichtnahme in das Register Bedacht zu nehmen."

Auf Grund der Verweisung durch § 23a Abs. 1 DSG gilt für die Registrierung im privaten Bereich § 8a Abs. 2 der wie folgt lautet:

"Eine Meldung ist mangelhaft, wenn Angaben fehlen, offenbar unrichtig, unbestimmt oder so unzureichend sind, daß Einsichtnehmer im Hinblick auf die Wahrnehmung ihrer Rechte nach diesem Bundesgesetz keine hinreichende Information darüber gewinnen können, ob durch die Datenverarbeitung ihre schutzwürdigen Geheimhaltungsinteressen verletzt sein können. Unstimmigkeit liegt insbesondere auch dann vor, wenn der Inhalt gemeldeter Datenverarbeitungen durch die gemeldeten Rechtsgrundlagen nicht gedeckt ist."

Auf das behördliche Verfahren des Datenverarbeitungsregisters ist gemäß Art. II Abs. 2C Z. 40 EGVG das AVG, auf das behördliche Verfahren der Datenschutzkommission nach Art. II Abs. 2A Z. 28 EGVG das AVG und das VStG anzuwenden.

Die belangte Behörde hat im Beschwerdefall im Spruch des angefochtenen Bescheides die Registrierung der Datenverarbeitung "Personalverwaltung" der Beschwerdeführerin gemäß § 23a Abs. 4 DSG untersagt. Das bedeutet auf Grund der dargestellten Rechtslage, daß die belangte Behörde davon ausgegangen ist, dem Verbesserungsauftrag des Datenverarbeitungsregisters sei nicht fristgerecht entsprochen worden und daß die Meldung mangelhaft sei. In der Bescheidbegründung wird aber nicht nur auf die Meldung der Beschwerdeführerin vom 13. August 1991 sondern auch auf deren Schreiben vom 16. September 1991, das nach dem "Mängelrügeschreiben" des Datenverarbeitungsregisters vom 26. August 1991 dort eingebracht worden ist, eingegangen. Rechtlich beurteilte die belangte Behörde das Verwaltungsgeschehen dahin, die ursprüngliche Meldung vom 13. August 1991 sei trotz der Erklärung der Beschwerdeführerin vom 3. Jänner 1992, wonach durch die als neue Meldung aufzufassende Eingabe vom 16. September 1991 die vorangegangene Meldung zurückgezogen worden sei, noch immer aufrecht. Sie erachtete die Eingabe der Beschwerdeführerin vom 16. September 1991 demnach als "Klarstellung" des ursprünglichen Antrages.

Daraus folgt aber bereits, daß die belangte Behörde über die erste Meldung in der Fassung der Eingabe vom 16. September 1991 - also über alles von der Beschwerdeführerin Vorgebrachte - abgesprochen hat. Tatsächlich unterschied sich die erste Meldung von der mit Eingabe vom 16. September 1991 erstatteten so wesentlich, daß die letztere als neue anderslautende, also als eine zweite Meldung aufzufassen und dementsprechend zu behandeln gewesen wäre. War doch in der ersten Meldung die Personalverarbeitung als "Standardverarbeitung" gemeldet, während die gleichzeitig selbständig als "Zeiterfassung" gemeldete eigene Angaben darüber enthielt, an wen die verarbeiteten Daten übermittelt werden (Personalverwaltung, Verwaltungsbehörden, Gerichte, Personalbereitstellungsfirmen und Rechtsanwalt) und welche Daten verarbeitet werden (Personalnummer, Name, Firmenkennung, Geschlecht, Religionsbekenntnis, Beschäftigungsverhältnis, Kostenstelle, Ind.Gleitzeit, Wochenzeitregeln, Pausenzeitregeln, Ind.Schichtplan, Ind.Überstundenzuschlag, Gemeinkostenarten, Zeitrahmenabgrenzungen, Zeitpaare "Kommt/Geht", Zeiterfassungsterminal der Dienstnehmer und hinsichtlich Leihpersonal die gleichen Datenarten).

Dagegen wird in der Eingabe vom 16. September 1991 die Arbeitszeitmessung (und zwar nach Auffassung der belangten Behörde offenbar in der Form, wie sie in der ersten Meldung ausführlich beschrieben war) zum (unselbständigen) Bestandteil der "Personalverwaltung" als Standardverarbeitung deklariert und darüberhinaus der Empfängerkreis nunmehr eingeschränkt (Entfall des Rechtsanwaltes und von den Gerichten nach Maßgabe der Anlage 1 zu "9103 Personalverwaltung" auf Exekutions- und Vormundschaftsgericht). Gleichzeitig übersendete die Beschwerdeführerin zwei Formulare Meldung gemäß § 22 DSG und teilte mit, sie erwarte, daß die Mängelfeststellung vom 26. August 1991 als gegenstandslos betrachtet werden könne.

Es handelte sich demnach um eine neue (zweite) Meldung, über die - unabhängig davon, ob durch sie die erste Meldung als zurückgezogen angesehen werden konnte oder nicht - die belangte Behörde mangels Einleitung eines Mängelrügeverfahrens abzusprechen nicht befugt war. Da die belangte Behörde rechtsirrig eine Einheit der zwei Meldungen der Beschwerdeführerin angenommen hat, obwohl eine solche nicht bestand, war sie zur Erlassung des angefochtenen Bescheides nicht zuständig, sodaß dieser gemäß § 42 Abs. 2 Z. 2 VwGG aufgehoben werden mußte.

Dieses Ergebnis führt zwangsläufig zur Aufhebung des zweitangefochtenen Bescheides, der nur den Ausspruch über die Vollstreckungsbehörde hinsichtlich des erstangefochtenen Bescheides enthält. Unabhängig von der Frage der Zulässigkeit eines solchen gesonderten Bescheides über die Bestimmung einer Vollstreckungsbehörde mußte daher auch dieser Bescheid der Aufhebung gemäß § 42 Abs. 2 Z. 2 VwGG verfallen.

Der Ausspruch über den Aufwandsatz beruht auf den Bestimmungen der §§ 47 ff VwGG im Zusammenhalt mit der Verordnung BGBl. Nr. 104/1991.