Pseudonymisierung und Verschlüsselung

§ 15.

(1) Wurden personenbezogene Daten natürlicher Personen erhoben, sind die Identitätsdaten von natürlichen Personen unverzüglich zu beseitigen und durch das bereichsspezifische Personenkennzeichen Amtliche Statistik (bPK-AS) zu ersetzen, sobald sie nicht mehr aus den in § 5 Abs. 2 genannten Gründen oder für eine weitere angeordnete statistische Erhebung erforderlich sind. Die Bundesanstalt darf keine Aufzeichnungen führen, aus denen hervorgeht, welcher natürlichen Person welches bPK-AS zuzuordnen ist. Art. 15, 16, 18 und 21 der Datenschutz-Grundverordnung finden auf diese Daten keine Anwendung.

(2) Ist die Beibehaltung des Personenbezuges der betroffenen natürlichen Personen aus einem der Gründe gemäß § 5 Abs. 2 Z 5 bis 8 oder die Beibehaltung des Unternehmensbezugs für die Erstellung von Unternehmensstatistiken unerlässlich, ist die Identität der betroffenen Personen und Unternehmen zu verschlüsseln:

1. 1. im Fall des § 5 Abs. 2 Z 5 unmittelbar, nachdem die Daten in die Verlaufsstatistik aufgenommen worden sind;
2. 2. im Fall des § 5 Abs. 2 Z 6 unverzüglich, sobald nur mehr dieser Grund vorliegt;
3. 3. im Fall des § 5 Abs. 2 Z 7 unmittelbar, nachdem die Daten in die Statistik aufgenommen worden sind;
4. 4. im Fall des § 5 Abs. 2 Z 8 unmittelbar, nachdem die Daten in die Berechnungen der volkswirtschaftlichen Gesamtrechnung aufgenommen worden sind;
5. 5. im Fall von Unternehmensstatistiken unmittelbar nach Erstellung der jeweiligen Unternehmensstatistik.

(3) Die gemäß Abs. 2 verschlüsselten Daten sind getrennt vom Schlüssel so aufzubewahren, dass die berechtigten Interessen der betroffenen natürlichen Personen und Unternehmen nicht gefährdet sind. Der Personenbezug und Unternehmensbezug dieser Daten darf nur dann hergestellt werden, wenn dies zur Fortsetzung der Verlaufsstatistik oder für eine konkrete Prüftätigkeit gemäß § 5 Abs. 2 Z 6 oder für eine neuerliche Erhebung gemäß § 5 Abs. 2 Z 7 oder für Revisionen der Berechnungen der volkswirtschaftlichen Gesamtrechnung gemäß § 5 Abs. 2 Z 8 oder für eine weiterführende Unternehmensstatistik erforderlich ist.

(4) Eine Verschlüsselung gemäß Abs. 2 Z 1 kann unterbleiben, wenn nach dem die Verlaufsstatistik anordnenden Bundesgesetz oder Rechtsakt gemäß § 4 Abs. 1 Z 1 die Beibehaltung des Personenbezugs oder Unternehmensbezugs zulässig ist.

(5) Die in den Registern gemäß §§ 25 und 25a enthaltenen personenbezogenen und unternehmensbezogenen Daten sind unverzüglich zu löschen, sobald diese für die in diesen Bestimmungen angeführten Zwecke nicht mehr benötigt werden, spätestens jedoch 30 Jahre nach Wegfall der Unternehmenseigenschaft gemäß § 3 Z 20.

Zuletzt aktualisiert am

07.12.2022

Gesetzesnummer

10006095

Dokumentnummer

NOR40202887