Source: http://feg-eberbach.blogspot.com/p/datenschutzerklarung.html
Timestamp: 2019-01-23 07:35:23+00:00

Document:
FeG-Eberbach: Datenschutzerklärung
Bundes Freier evangelischer Gemeinden in Deutschland KdöR
Diese Ordnung wird erlassen in Ausübung des gemäß Artikel 140 Grundgesetz garantierten Rechts des Bundes Freier evangelischer Gemeinden (im Folgenden auch: Bund genannt), seine Angelegenheiten selbstständig innerhalb der Schranken der für alle geltenden Gesetze zu ordnen und zu verwalten.
(1) Diese Datenschutzordnung gilt für die im Bund Freier evangelischer Gemeinden zusammengeschlossenen Ortsgemeinden und den Bundesbereichen sowie für die Arbeitszweige und Einrichtungen des Bundes und deren Verwaltung (im Folgenden: Bund).
(3) Diese Ordnung gilt für die ganz- oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Akten und Aktensammlungen gelten nur als Dateisystem, wenn sie nach bestimmten Kriterien geordnet sind.
(4) Für rechtlich selbstständige Einrichtungen des Bundes (Bundeswerke) gilt diese Datenschutzordnung nach Maßgabe des dritten Abschnittes.
(5) Diese Ordnung findet Anwendung auf die Verarbeitung personenbezogener Daten durch einen nicht zum Bund gehörigen Verantwortlichen oder Auftragsverarbeiter, wenn die Datenverarbeitung den Zwecken des Bundes dient.
(1) Die Geschäftsführende Bundesleitung des Bundes stellt die Einhaltung des Datenschutzes im Sinne dieser Ordnung innerhalb der Stellen des Bundes sicher, die nicht Bundeswerke oder Mitgliedsgemeinden sind.
(2) Die Bundeswerke stellen in eigener Zuständigkeit den Datenschutz im Sinne dieser Verordnung sicher.
(3) Die Ortsgemeinden bestellen für die Einhaltung des Datenschutzes einen Beauftragten für Datenschutz. Dieser stellt die Einhaltung des Datenschutzes im Sinne dieser Ordnung innerhalb der Ortsgemeinde, deren Arbeitszweige und Einrichtungen sicher.
18. „Datenschutzrat“ Aufsichtsgremium des Bundes für den Datenschutz;
19. „Schlichtungsstelle“ Anrufungsstelle bei Unstimmigkeiten zum Datenschutz zwischen Datenschutzrat und Stelle des Bundes.
Pastoren und Gemeindereferenten unterliegen dieser Ordnung. Abweichend von Satz 1 dürfen sie zum Zweck ihres Seelsorgeauftrags eigene Aufzeichnungen führen, die auch besondere Daten enthalten. Das gilt auch für Personen, denen ein besonderer Seelsorgeauftrag erteilt worden ist. Diese Aufzeichnungen dürfen Dritten nicht zugänglich gemacht werden. Dazu sind geeignete technische oder organisatorische Maßnahmen zu treffen.
(1) Grundsätzlich gilt: Personenbezogene Daten müssen
a) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden ("Prinzip der Zweckbindung"),
b) auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein ("Prinzip der Datenminimierung") und
c) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, oder für im Interesse des Bundes liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke erforderlich ist ("Prinzip der Speicherzeitbegrenzung").
(2) Die Verarbeitung ist nur zulässig, wenn mindestens einer der nachstehenden Bedingungen erfüllt ist:
(3) Der Zweck der Datenverarbeitung und der Kreis der betroffenen Personen müssen festgelegt oder erkennbar sein.
(4) Die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden (Zweckänderung), ist nur zulässig, wenn die Möglichkeit der Pseudonymisierung geprüft wurde und mindestens einer der nachstehenden Bedingungen erfüllt ist:
b) die betroffene Person hat eingewilligt,
d) es Angaben der betroffenen Person überprüft werden müssen, weil Anhaltspunkte für deren Unrichtigkeit bestehen;
(5) Eine Verarbeitung für andere Zwecke ist zulässig, wenn sie der Wahrnehmung von Aufsichts- und Kontrollbefugnissen des Bundes, der Rechnungsprüfung, der Revision oder der Durchführung von Organisationsuntersuchungen für die Verantwortlichen dient. Das gilt auch für die Verarbeitung zu Ausbildungszwecken durch die Verantwortlichen, soweit nicht überwiegende schutzwürdige Interessen der betroffenen Person entgegenstehen.
(4) Sollen Daten von Kindern verarbeitet werden, so kann, wenn das Kind das sechzehnte Lebensjahr noch nicht vollendet hat, eine wirksame Einwilligung nur durch den Träger der elterlichen Sorge für das Kind erfolgen. Anderenfalls darf die Einwilligung eigenständig durch das Kind erfolgen. Das Kind soll die Eltern über eine solche Einwilligung in Kenntnis setzen. Diese Regelung gilt insbesondere für die Datenverarbeitung im Rahmen von elektronischen Angeboten von Stellen des Bundes.
§ 7. Datenübermittlung an Stellen des Bundes, sowie Dritte
(1) Die Übermittlung von personenbezogenen Daten an Stellen des Bundes ist zulässig, wenn
(2) Die Verantwortung für die Zulässigkeit der Übermittlung trägt der Verantwortliche. Erfolgt die Übermittlung auf Ersuchen der empfangenden Stelle des Bundes, trägt auch diese Verantwortung. In diesem Falle prüft die übermittelnde Stelle nur, ob das Übermittlungsersuchen im Rahmen der Aufgaben der datenempfangenden Stelle des Bundes liegt, es sei denn, dass besonderer Anlass zur Prüfung der Zulässigkeit der Übermittlung besteht.
(4) Sind mit personenbezogenen Daten, die nach Absatz 1 übermittelt werden dürfen, weitere personenbezogene Daten der betroffenen oder einer anderen Person so verbunden, dass eine Trennung nicht oder nur mit unvertretbarem Aufwand möglich ist, so ist die Übermittlung auch dieser Daten zulässig, soweit nicht berechtigte Interessen der betroffenen oder einer anderen Person an deren Geheimhaltung offensichtlich überwiegen; eine Verwendung dieser Daten ist unzulässig.
(5) Absatz 4 gilt entsprechend, wenn personenbezogene Daten innerhalb einer Stelle des Bundes weitergegeben werden.
(6) Personenbezogene Daten dürfen an Dritte nicht öffentliche Stellen übermittelt werden, wenn diese zur Erfüllung der Aufgaben des Verantwortlichen erforderlich ist, sofern sichergestellt ist, dass bei der empfangenden Stelle ausreichende Datenschutzmaßnahmen getroffen werden, und nicht berechtigte Interessen der betroffenen Person entgegenstehen.
(7) Personenbezogene Daten dürfen an staatliche und öffentliche Stellen übermittelt werden, wenn dies eine Rechtsvorschrift zulässt oder dies zur Erfüllung der Stelle des Bundes erforderlich ist und nicht berechtigte Interessen der betroffenen Person entgegenstehen.
a) Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach dem Recht des Bundes kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden;
d) die Verarbeitung erfolgt durch den Verantwortlichen im Rahmen seiner rechtmäßigen und für die Aufgabenerfüllung notwendigen Tätigkeiten und unter der Voraussetzung, dass sich die Verarbeitung ausschließlich auf die Mitglieder oder ehemalige Mitglieder der Organisation oder auf Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßige Kontakte mit ihr unterhalten, bezieht und die besonderen Daten nicht ohne Einwilligung der betroffenen Personen an Dritte, die keine Stelle des Bundes sind, übermittelt werden;
e) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Schlichtungsstelle im Rahmen ihrer justiziellen Tätigkeit erforderlich;
f) die Verarbeitung ist aus Gründen eines erheblichen öffentlichen Interesses erforderlich und der Verantwortliche hat angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorgesehen;
g) die Verarbeitung ist für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin oder für die Beurteilung der Arbeitsfähigkeit des Beschäftigten und vorbehaltlich der in Absatz 3 genannten Bedingungen und Garantien erforderlich;
h) die Verarbeitung ist für Archivzwecke, für wissenschaftliche oder historische Forschungszwecke, die im Interesse des Bundes sind, erforderlich und der Verantwortliche hat angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorgesehen.
(3) Die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln ist unter den Voraussetzungen von § 6 zulässig, wenn dies das kirchliche Recht des Bundes oder staatliches Recht zulässt.
(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen, die nach dieser Ordnung hinsichtlich der Verarbeitung zu geben sind, in präziser, transparenter, verständlicher und leicht zugänglicher Form zu übermitteln.
(2) Der Verantwortliche stellt der betroffenen Person Informationen über die ergriffenen Maßnahmen gemäß den §§ 11 bis 16 innerhalb von zwei Monaten nach Eingang eines entsprechenden Antrags zur Verfügung. Diese Frist kann um zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl der Anträge erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person nach Ablauf von 2 Monaten nach Eingang über eine Fristverlängerung zusammen mit den Gründen für die Verzögerung.
(3) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens nach Ablauf von 2 Monaten nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, beim Datenschutzrat Beschwerde einzulegen.
(4) Informationen werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder - insbesondere im Fall von häufiger Wiederholung - exzessiven Anträgen einer betroffenen Person kann der Verantwortliche sich weigern, aufgrund des Antrags tätig zu werden, oder ein angemessenes Entgelt verlangen.
(5) Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die einen Antrag gemäß den §§ 11 bis 16 stellt, so kann er zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.
(2) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person auf Verlangen Folgendes mit:
1. den Namen und die Kontaktdaten der verantwortlichen Stelle,
2. die Kontaktdaten des zuständigen Betriebsbeauftragten für Datenschutz oder die Kontaktdaten des Datenschutzbeauftragten,
4. die Rechtsgrundlage für die Verarbeitung,
6. wenn die Verarbeitung auf Artikel 5 Absatz 2 Buchstabe g beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden.
(3) Absatz 2 findet keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt oder die Informationspflicht einen unverhältnismäßigen Aufwand erfordern würde.
(4) Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person über die in Absatz 2 aufgeführten Informationen hinaus die zu ihr gespeicherten Daten mit, auch soweit sie sich auf Herkunft oder empfangende Stellen beziehen. Absatz 3 gilt entsprechend. Der Verantwortliche ist weiterhin von dieser Verpflichtung befreit, wenn die Daten oder die Tatsache ihrer Speicherung aufgrund einer speziellen Rechtsvorschrift oder wegen überwiegender berechtigter Interessen Dritter geheim gehalten werden müssen und das Interesse der betroffenen Person an der Auskunftserteilung zurücktreten muss oder wenn durch die Auskunft das Seelsorgegeheimnis oder die Amtsverschwiegenheit gemäß § 4 berührt wird.
(5) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt sie der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und gegebenenfalls die Empfänger der personenbezogenen Daten zur Verfügung. Diese Informationspflicht gilt nicht im Fall von § 5 Abs. 4.
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so ist der betroffenen Person auf Antrag Auskunft zu erteilen über die zu ihr gespeicherten personenbezogenen Daten. Die Auskunft muss folgende Informationen enthalten:
6. das Bestehen eines Beschwerderechts beim Datenschutzrat;
7. Information über die Herkunft der Daten.
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen.
(1) Die betroffene Person hat das Recht, von der verantwortlichen Stelle zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern mindestens einer der folgenden Gründe zutrifft:
c) Die betroffene Person legt gemäß § 16 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor.
e) Die Löschung der personenbezogenen Daten ist zur Erfüllung einer Verpflichtung nach dem Kirchenrecht des Bundes erforderlich, dem der Verantwortliche unterliegt.
(2) Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, um die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten anzustreben.
2. zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach staatlichem oder kirchlichen Recht des Bundes, dem der Verantwortliche unterliegt, erfordert,
3. zur Wahrnehmung einer Aufgabe aufgrund eines wichtigen Interesses des Bundes,
4. für im Interesse des Bundes liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt oder
(4) Ist eine Löschung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich, tritt an die Stelle des Rechts auf Löschung das Recht auf Einschränkung der Verarbeitung gemäß § 14.
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen die Einschränkung der Verarbeitung personenbezogener Daten zu verlangen, wenn eine der folgenden Voraussetzungen gegeben ist:
a) Die Richtigkeit der personenbezogenen Daten wird von der betroffenen Person bestritten und die Prüfung der Richtigkeit durch den Verantwortlichen ist noch nicht abgeschlossen. Der Verantwortliche benötigt die personenbezogenen Daten für die Zwecke der Verarbeitung nicht mehr, die betroffene Person benötigt sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
b) Die betroffene Person hat Widerspruch gegen die Verarbeitung gemäß § 16 eingelegt und es steht noch nicht fest, ob die berechtigten Gründe des Verantwortlichen gegenüber denen der betroffenen Person überwiegen.
(2) Wurde die Verarbeitung gemäß Absatz 1 eingeschränkt, so dürfen diese personenbezogenen Daten - von ihrer Speicherung abgesehen - nur mit Einwilligung der betroffenen Person oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aufgrund eines wichtigen Interesses des Bundes verarbeitet werden.
(1) Der Verantwortliche teilt der betroffenen Person jede Berichtigung oder Löschung ihrer personenbezogenen Daten oder eine Einschränkung der Verarbeitung nach § 12, § 13 oder § 14 mit, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden.
(2) Der Verantwortliche unterrichtet die betroffene Person über alle Empfänger, denen personenbezogenen Daten offengelegt wurden, wenn die betroffene Person dies verlangt.
(1) Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten gemäß § 5 Absatz 2 Buchstaben f) und g) Widerspruch einzulegen.
(2) Der Widerspruch verpflichtet den Verantwortlichen dazu, die Verarbeitung zu unterlassen, soweit nicht an der Verarbeitung ein zwingendes Interesse des Bundes besteht, das Interesse einer dritten Person überwiegt oder Recht des Bundes zur Verarbeitung verpflichtet.
(3) Die betroffene Person muss bei Datenverarbeitung gemäß § 5 Absatz 2 Buchstaben f) und g) spätestens zum Zeitpunkt der ersten Kommunikation mit ihr ausdrücklich auf das in Absatz 1 genannte Recht hingewiesen werden; dieser Hinweis hat in einer verständlichen und von anderen Informationen getrennten Form zu erfolgen.
(4) Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, gegen die sie betreffende Verarbeitung sie betreffender personenbezogener Daten, die zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken gemäß § 5
Absatz 4 Buchstabe h oder i erfolgt, Widerspruch einzulegen, es sei denn, die Interessen des Bundes an der Verarbeitung überwiegen erheblich die Interessen der betroffenen Person an einem Ausschluss der Verarbeitung.
DRITTER ABSCHNITT: PFLICHTEN DER VERANTWORTLICHEN UND AUFTRAGSVERARBEITER
(1) Der Verantwortliche und gegebenenfalls der Auftragsverarbeiter haben unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der damit verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen zu treffen und zu dokumentieren, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten.
1. die Pseudonymisierung, die Anonymisierung und die Verschlüsselung personenbezogener Daten;
4. ein Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.
(3) Bei der Beurteilung des angemessenen Sicherheitsniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung personenbezogenen Daten verbunden sind, insbesondere durch Vernichtung, Verlust, Veränderung, unbefugte Offenlegung oder unbefugten Zugang.
(4) Der Verantwortliche und gegebenenfalls der Auftragsverarbeiter treffen technische und organisatorische Maßnahmen, die geeignet sind, durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, zu verarbeiten. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Solche Maßnahmen müssen insbesondere geeignet sein, dass personenbezogene Daten nicht ohne
Eingreifen der verantwortlichen Stelle durch Voreinstellungen einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden.
(7) Der Verantwortliche und der Auftragsverarbeiter unternehmen Schritte, um sicherzustellen, dass ihnen unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten haben, diese nur gemäß den Weisungen des Verantwortlichen verarbeiten.
(1) Erfolgt eine Verarbeitung personenbezogener Daten im Auftrag eines Verantwortlichen, so ist der Verantwortliche für die Einhaltung der Vorschriften dieser Ordnung und anderer anzuwendender Vorschriften über den Datenschutz verantwortlich. Die im ZWEITEN ABSCHNITT genannten Rechte sind ihm gegenüber geltend zu machen. Zuständig für die Aufsicht ist der Datenschutzrat.
(2) Hat eine natürliche oder juristische Person Ihren Sitz oder eine Betriebsstätte, die für die Verarbeitung im Auftrag benötigt werden, in einem Drittland, so ist die Erteilung eines Auftrags zur Verarbeitung von personenbezogenen Daten durch den Verantwortlichen nur zulässig, wenn die EU-Kommission für dieses Land beschlossen hat, dass es ein angemessenes Datenschutzniveau bietet.
(3) Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung den Schutz der Rechte der betroffenen Person gewährleistet und
a) konform zu den Anforderungen dieser Ordnung erfolgt, wenn der Auftragsverarbeiter eine Stelle des Bundes ist oder anderenfalls
(4) Bei der Beauftragung eines Auftragsverarbeiters, der keine Stelle des Bundes, kein Bundeswerk und - im Falle einer natürlichen Person - kein Mitglied einer Gemeinde des Bundes ist, ist die Entscheidung für diesen Auftragsverarbeiter schriftlich zu begründen und verfügbar zu halten.
(5) Der Auftragsverarbeiter wird dazu verpflichtet, keine weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch zu nehmen. Bedingung für eine Genehmigung durch den Verantwortlichen ist insbesondere die Verpflichtung des Auftragsverarbeiters zu gewährleisten, dass der weitere Auftragsverarbeiter gleichwertige Bedingungen gemäß § 18 und § 19 akzeptiert.
(6) Der Auftrag ist schriftlich zu erteilen. Dieser Auftrag beinhaltet insbesondere, dass der Auftragsverarbeiter
c) die personenbezogenen Daten nur auf Weisung des Verantwortlichen verarbeitet,
d) gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen auf das Datengeheimnis gemäß § 17 verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen,
e) alle gemäß § 18 für Auftragsverarbeiter erforderlichen Maßnahmen ergreift,
f) die Bedingungen für die Inanspruchnahme der Dienste eines weiteren Auftragsverarbeiters gemäß Absatz 5 einhalten,
g) angesichts der Art der Verarbeitung den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützt, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in ZWEITEN ABSCHNITT genannten Rechte der betroffenen Person nachzukommen,
h) nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl der verantwortlichen Stelle entweder löscht oder zurückgibt,
i) dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Artikel niedergelegten Pflichten zur Verfügung stellt und Überprüfungen - einschließlich Inspektionen - , die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglicht und dazu beiträgt und
j) den Verantwortlichen unverzüglich informiert, falls er der Auffassung ist, dass eine Weisung der verantwortlichen Stelle gegen diese Ordnung oder gegen andere anzuwendende Datenschutzbestimmungen verstößt
k) der Verpflichtung gemäß § 21 Absatz 2 nachzukommen hat.
(7) Der Verantwortliche hat sich vor Beginn der Datenverarbeitung und in geplanten Abständen von der Einhaltung der Vertragsbedingungen gemäß Absatz 6 zu überzeugen. Das Ergebnis ist zu dokumentieren. Es sind auch Fachwissen und Ressourcen zu beurteilen. Die Einhaltung eines nach dem EU-Recht anerkannten Verfahrens zur Feststellung der Sicherheit der personenbezogenen Daten durch den Auftragsverarbeiter ist als Begründung für erleichterte Kontrollen vor Auftragserteilung oder während des Vertragsverhältnisses zulässig.
(8) Handelt es sich um einen Druckauftrag, so muss der Verantwortliche nicht gemäß Absatz 7 handeln.
(1) Jeder Verantwortliche muss ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen, führen. Dieses Verzeichnis enthält folgende Angaben:
(2) Auftragsverarbeiter, die nicht dieser Ordnung unterliegen, sind zur Einhaltung der EU Verordnung 2016/679 verpflichtet. Ist der Auftragsverarbeiter Stelle des Bundes oder ein Mitglied einer Gemeinde des Bundes, führt er ein Verzeichnis von allen im Auftrag einer verantwortlichen Stelle durchgeführten Tätigkeiten der Verarbeitung, das Folgendes enthält:
1. die Angaben gemäß Absatz 1 sowie
(4) Verantwortlicher und Auftragsverarbeiter stellen dem Datenschutzrat die Verzeichnisse auf Anfrage zur Verfügung.
(5) Die in den Absätzen 1 und 2 genannten Pflichten gelten nicht für Verantwortliche, die weniger als 50 Mitarbeiter beschäftigen oder Auftragsverarbeiter, die weniger als 250 Mitarbeiter beschäftigen. In diesen Fällen sind Verzeichnisse gemäß den Absätzen 1 und 2 nur hinsichtlich der Verfahren, die die Verarbeitung besonderer Daten einschließen, zu erstellen.
§ 21. Meldung von Verletzungen des Schutzes personenbezogener Daten
(1) Im Falle einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich zu einem nicht unerheblichen Risiko für die Rechte natürlicher Personen führt, meldet der Verantwortliche dies unverzüglich und möglichst binnen 72 Stunden dem Datenschutzrat.
(3) Die Meldung gemäß Absatz 1 enthält insbesondere eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten und der mutmaßlichen Folgen der Verletzung des Schutzes.
(4) Der Verantwortliche hat Verletzungen des Schutzes personenbezogener Daten samt den ergriffenen Abhilfemaßnahmen zu dokumentieren.
(1) Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffenen Personen unverzüglich von der Verletzung.
(2) Die Benachrichtigung der betroffenen Person hat in klarer und einfacher Sprache zu erfolgen und enthält zumindest die in § 21 Absätze 3 und 4 genannten Informationen und Maßnahmen.
a) Der Verantwortliche hat durch nachträgliche Maßnahmen sichergestellt, dass das hohe Risiko für die Rechte der betroffenen Personen gemäß Absatz 1 aller Wahrscheinlichkeit nach nicht mehr besteht;
b) der Verantwortliche hat geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen und diese Vorkehrungen wurden auf die von der Verletzung betroffenen personenbezogenen Daten angewandt, insbesondere solche, durch die die personenbezogenen Daten für alle Personen, die nicht zum Zugang zu den
personenbezogenen Daten befugt sind, unzugänglich gemacht werden, etwa durch Verschlüsselung;
(2) Eine Datenschutz-Folgenabschätzung gemäß Absatz 1 ist insbesondere in folgenden Fällen erforderlich:
(4) Der Verantwortliche holt bei der Durchführung einer Datenschutz-Folgenabschätzung den Rat des dezentral Beauftragten ein, sofern ein solcher benannt wurde.
VIERTER ABSCHNITT: AUFSICHTSGREMIEN UND BEAUFTRAGTE FÜR DEN DATENSCHUTZ
(1) Die Geschäftsführende Bundesleitung des Bundes bestellt einen Bundesbeauftragten für Datenschutz per Beschluss.
(2) Die Bestellung wird in der Regel auf fünf Jahre befristet. Die erneute Bestellung ist zulässig.
(3) Der Bundesbeauftragte wird auf der Grundlage seiner beruflichen Qualifikation und insbesondere des Fachwissens bestellt, das er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der in § 25 genannten Aufgaben.
(4) Der Bundesbeauftragte kann Beschäftigter des Bundes sein oder seine Aufgaben auf der Grundlage eines Dienstvertrags oder Dienstleistungsvertrags erfüllen.
(5) Die Arbeitszweige und Einrichtungen des Bundes stellen sicher, dass der Bundesbeauftragte frühzeitig über Projekte für Verfahren, bei denen es zur Verarbeitung von personenbezogener Daten kommen wird, informiert wird, falls diese keinen Betriebsbeauftragten für den Datenschutz bestellt haben.
(6) Die Geschäftsführende Bundesleitung des Bundes unterstützt den Bundesbeauftragten, indem sie die für die Erfüllung dieser Aufgaben erforderlichen Ressourcen und die zur Erhaltung seines Fachwissens erforderlichen Ressourcen zur Verfügung stellen.
(7) Die Geschäftsführende Bundesleitung des Bundes stellt sicher, dass der Bundesbeauftragte bei der Erfüllung seiner bzw. ihrer Aufgaben keine Anweisungen bezüglich der Ausübung dieser Aufgaben erhält. Der Bundesbeauftragte darf wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden.
(8) Der Bundesbeauftragte für Datenschutz berichtet dem Datenschutzrat.
(9) Der Bundesbeauftragte für Datenschutz ist jederzeit zur Anrufung der Geschäftsführenden Bundesleitung des Bundes berechtigt.
(10) Betroffene Personen können den Bundesbeauftragten für Datenschutz zu allen mit der Verarbeitung ihrer personenbezogenen Daten und mit der Wahrnehmung ihrer Rechte gemäß dieser Verordnung im Zusammenhang stehenden Fragen zurate ziehen. Vorrangig ist die Anrufung des Betriebsbeauftragten für Datenschutz gemäß § 26.
(11) Der Bundesbeauftragte für Datenschutz ist bei der Erfüllung seiner Aufgaben an die Wahrung des Datengeheimnisses und der Vertraulichkeit gebunden.
(12) Der Bundesbeauftragte für Datenschutz kann andere Aufgaben und Pflichten wahrnehmen. Die Geschäftsführende Bundesleitung des Bundes stellt sicher, dass derartige Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen.
(13) Die Vertretung ist zu regeln.
(14) Die Abberufung des Bundesbeauftragten ist nur mit Zustimmung des Bundestages zulässig. Eine vorläufige Suspendierung durch die Geschäftsführende Bundesleitung des Bundes ist nur aus wichtigem Grund möglich. In diesem Fall nimmt der Vertreter die Rechte und Pflichten des Bundesbeauftragten wahr. Die Suspendierung ist schriftlich zu begründen und längstens bis zum nächsten Bundestag wirksam.
(15) Sitz des Bundesbeauftragten ist in der Regel das Bundeshaus.
§ 25. Aufgaben und Befugnisse des Bundesbeauftragten für den Datenschutz
(1) Der Bundesbeauftragte für Datenschutz sensibilisiert, informiert und berät die verantwortlichen Stellen und internen Auftragsverarbeiter über Fragen und maßgebliche Entwicklungen des Datenschutzes sowie über die Vermeidung von Risiken.
(4) Prüfungen werden durch den Bundesbeauftragten für Datenschutz oder ein Mitglied des Datenschutzrats unter folgenden Bedingungen durchgeführt:
a) Der Prüfer wird vom betroffenen Verantwortlichen bei der Erfüllung seiner bzw. ihrer Aufgaben unterstützt. Auf Verlangen ist ihm bzw. ihr Auskunft sowie Einsicht in alle Unterlagen und Akten über die Verarbeitung personenbezogener Daten zu geben, und es sind alle diesbezüglich gespeicherten Daten bereitzustellen;
b) der Prüfer teilt die Ergebnisse seiner Prüfungen dem betroffenen Verantwortlichen und dem Datenschutzrat mit. Damit können Vorschläge zur Verbesserung des Datenschutzes, insbesondere zur Beseitigung von festgestellten Mängeln bei der Verarbeitung personenbezogener Daten und eine Aufforderung zur Stellungnahme verbunden sein;
d) Die Schlichtungsstelle unterliegt der Prüfung durch den Datenschutzrat nur, soweit es in eigenen Angelegenheiten als Verwaltung tätig wird.
(6) Der Bundesbeauftragte ist beratendes Mitglied im Ständigen Ausschuss des Bundestages und im Bundestag des Bundes.
§ 26. Betriebsbeauftragte für den Datenschutz
(1) Die Bundesbereiche und Einrichtungen des Bundes, bestellen einen Betriebsbeauftragten für Datenschutz, wenn bei ihnen in der Regel mindestens zehn Personen ständig mit der Verarbeitung personenbezogener Daten betraut sind. Anderenfalls ist eine freiwillige Bestellung jederzeit möglich.
(2) Eine befristete Bestellung soll für mindestens drei Jahre erfolgen. Die erneute Bestellung ist zulässig.
(3) Die Bestellung kann sich auf mehrere Verantwortliche erstrecken.
(4) Zu Betriebsbeauftragten für Datenschutz dürfen nur Personen bestellt werden, die das zur Erfüllung ihrer Aufgaben erforderliche Fachwissen und die notwendige Zuverlässigkeit besitzen.
(5) Zu Betriebsbeauftragten für Datenschutz sollen diejenigen nicht bestellt werden, die mit der Leitung der Datenverarbeitung beauftragt sind oder denen die Leitung einer Stelle des Bundes obliegt.
(6) Die Bestellung von Betriebsbeauftragten für Datenschutz erfolgt schriftlich und ist dem Datenschutzrat anzuzeigen.
(7) Der Verantwortliche stellt sicher, dass der oder die Betriebsbeauftragte für Datenschutz frühzeitig über Projekte für Verfahren, bei denen es zur Verarbeitung von personenbezogener Daten kommen wird, informiert wird.
(8) Betroffene Personen und Beschäftigte können sich unmittelbar an die örtlichen Betriebsbeauftragten für Datenschutz wenden.
(9) Die Betriebsbeauftragten für Datenschutz sind der Leitung der jeweiligen Stelle des Bundes unmittelbar zu unterstellen. Der oder die Betriebsbeauftragte für Datenschutz berichtet an die Leitung.
(10) Der oder die Betriebsbeauftragte für Datenschutz sind im Rahmen ihrer Aufgaben weisungsfrei. Sie dürfen wegen dieser Tätigkeit nicht benachteiligt werden. Sie können Auskünfte verlangen, Einsicht in Unterlagen nehmen und erhalten Zugang zu personenbezogenen Daten und den Verarbeitungsvorgängen. Die Stelle des Bundes unterstützt die Betriebsbeauftragten für Datenschutz bei der Erfüllung ihrer Aufgaben.
(11) Zur Erlangung und zur Erhaltung des erforderlichen Fachwissens hat der Verantwortliche den Betriebsbeauftragten für Datenschutz die Teilnahme an Fortbildungsveranstaltungen zu ermöglichen und die Kosten zu tragen.
(12) Ist der oder die Betriebsbeauftragte für Datenschutz Beschäftigter bzw. Beschäftigte einer Stelle des Bundes, so ist die Abberufung nur aus wichtigem Grund zulässig.
(13) Der Betriebsbeauftragte für Datenschutz verwaltet die Personenverpflichtungen seiner Stelle des Bundes.
(3) Der Bundesbeauftragte für den Datenschutz wählt die Mitglieder des Datenschutzrats unter Berücksichtigung von Fachwissen, Zuverlässigkeit und Erfahrung aus. Der Datenschutzrat besteht aus mindestens zwei Mitgliedern. Die Bestellung der Mitglieder erfolgt für mindestens zwei Jahre. Die Mitwirkung im Datenschutzrat erfolgt in der Regel ehrenamtlich.
(4) Die Bestellung eines Mitglieds des Datenschutzrats ist erst wirksam, wenn die Geschäftsführende Bundesleitung des Bundes die Bestellung bestätigt hat.
(5) Ein Mitglied des Datenschutzrats wird vom Bundesbeauftragten für Datenschutz zu seinem Vertreter bestellt. Er ist gleichzeitig Vertreter der Leitung des Datenschutzrats.
(7) Der Datenschutzrat erstellt in der Regel einmal pro Jahr einen Tätigkeitsbericht. Der Tätigkeitsbericht wird der Geschäftsführenden Bundesleitung des Bundes übermittelt, dem Bundestag zur Kenntnis gegeben und im Berichtsheft zum Bundestag veröffentlicht. Er kann eine Liste der Arten der gemeldeten Verstöße und der Arten der getroffenen Maßnahmen enthalten.
(8) Der Datenschutzrat kann Verwaltungsaufgaben auf die Geschäftsführende Bundesleitung des Bundes übertragen.
(10) Werden dem Datenschutzrat Verstöße gegen die Datenschutzbestimmungen oder sonstige Mängel bei der Verarbeitung personenbezogener Daten bekannt, so beanstandet er dies gegenüber der verantwortlichen Stelle oder gegenüber dem Auftragsverarbeiter und fordert zur Stellungnahme innerhalb einer gesetzten Frist auf. Von einer Beanstandung kann abgesehen werden, wenn es sich um unerhebliche oder inzwischen beseitigte Mängel handelt. Mit der Aufforderung zur Stellungnahme können Vorschläge zur Beseitigung der Mängel oder zur sonstigen Verbesserung des Datenschutzes verbunden werden. Die Stellungnahme soll eine Darstellung der Maßnahmen enthalten, die aufgrund der Mitteilung des Datenschutzrats getroffen worden sind.
(13) Die Mitglieder des Datenschutzrates sind bei der Erfüllung ihrer Aufgaben an die Wahrung des Datengeheimnisses und der Vertraulichkeit gebunden. Dies gilt nicht für Mitteilungen zwischen den Mitgliedern. Ehemalige Mitglieder dürfen sich zu Angelegenheiten, die während ihrer Mitgliedschaft der Verschwiegenheit unterlagen, ohne Genehmigung des Datenschutzrates nicht äußern.
(1) Verstößt ein Verantwortlicher oder Auftragsverarbeiter, der Stelle des Bundes ist, vorsätzlich oder fahrlässig gegen Bestimmungen dieser Ordnung, so kann der Datenschutzrat Geldbußen verhängen oder für den Wiederholungsfall androhen.
(2) Der Datenschutzrat stellt sicher, dass die Verhängung von Geldbußen in jedem Einzelfall wirksam, verhältnismäßig, abschreckend und geboten ist.
7. die Art und Weise, wie der Verstoß dem Aufsichtsgremium bekannt wurde.
8. jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall.
(4) Bei Verstößen werden im Einklang mit Absatz 3 Geldbußen von bis zu 100.000 Euro verhängt. Nimmt die Stelle nicht als Unternehmen am Wettbewerb teil, so gelten als Höchstgrenze 50.000 Euro.
(5) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich oder anstelle von Maßnahmen nach § 27 Absatz 11 verhängt.
(2) Der Datenschutzrat unterrichtet die betroffene Person über den Stand und das Ergebnis der Beschwerde.
(4) Gegen Entscheidungen des Datenschutzrats kann bei der Schlichtungsstelle für Datenschutz des Bundes Einspruch erhoben werden.
§ 30 Schlichtungsstelle für Datenschutz
(1) Die Schlichtungsstelle tritt zusammen, wenn gegen die Entscheidung des Datenschutzrats Einspruch erhoben wurde.
(2) Die Schlichtungsstelle setzt sich zusammen aus dem Datenschutzrat oder einer Abordnung dieser, der Geschäftsführenden Bundesleitung oder einer Abordnung dieser und einer Person der Stelle des Bundes, die von den Maßnahmen des Datenschutzrates betroffen sind.
(3) Die Schlichtungsstelle hat den Auftrag im Einvernehmen der Parteien die Angelegenheit zu regeln. Entsteht keine Einigung, gelten die Entscheidungen des Datenschutzrates.
§ 31. Schadensersatz durch Verantwortliche
(1) Jede Person, der wegen einer Verletzung der Regelungen dieser Ordnung ein Schaden entstanden ist, hat einen Anspruch auf Schadensersatz gegen den Verantwortlichen. Wegen eines Schadens, der nicht Vermögensschaden ist, kann die betroffene Person eine angemessene Entschädigung in Geld verlangen.
(2) Ein Verantwortlicher wird von der Haftung gemäß Absatz 1 befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.
(6) Beansprucht ein Betroffener Schadensersatz, so soll zunächst der Datenschutzrat des Bundes eine Anhörung vornehmen.
§ 32. Verarbeitung personenbezogener Daten bei Dienst- und Arbeitsverhältnissen
(2) Im Zusammenhang mit dem Verdacht auf Straftaten und Amtspflichtverletzungen, die durch Beschäftigte begangen wurden, insbesondere zum Schutz möglicher Betroffener, dürfen unter Beachtung des Verhältnismäßigkeitsgrundsatzes personenbezogene Daten von Beschäftigten verarbeitet werden, solange der Verdacht nicht ausgeräumt ist und die Interessen von möglichen Betroffenen dies erfordern.
(3) Erfolgt die Verarbeitung personenbezogener Daten von Beschäftigten auf der Grundlage einer Einwilligung, so sind für die Beurteilung der Freiwilligkeit der Einwilligung insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen. Freiwilligkeit kann insbesondere vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder der Verantwortliche und die beschäftigte Person gleichgelagerte Interessen verfolgen. Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Der Verantwortliche hat die beschäftigte Person über den Zweck der Datenverarbeitung und über ihr Widerrufsrecht aufzuklären.
(5) Die Offenlegung an künftige Dienst- oder Arbeitgeber ist nur mit Einwilligung der betroffenen Person zulässig.
(6) Verlangt der Verantwortliche zur Begründung oder im Rahmen eines Beschäftigungsverhältnisses notwendige Bescheinigungen oder medizinische oder psychologische Untersuchungen und Tests zur
Feststellung der Eignung des Bewerbers, dann darf der Verantwortliche lediglich die Offenlegung des Ergebnisses der Begutachtung verlangen.
(7) Personenbezogene Daten, die vor Begründung eines Beschäftigungsverhältnisses erhoben wurden, sind spätestens ein Jahr, nachdem feststeht, dass ein solches nicht zustande kommt, zu löschen. Dies gilt nicht, soweit überwiegende berechtigte Interessen der verantwortlichen Stelle der Löschung entgegenstehen oder die betroffene Person in die weitere Speicherung einwilligt.
(8) Für die Verarbeitung von Sozialdaten gemäß Sozialgesetzbuch gelten die Bestimmungen dieses Gesetzbuchs.
(9) Nach Beendigung eines Beschäftigungsverhältnisses sind personenbezogene Daten zu löschen, falls diese Daten nicht mehr benötigt werden.
§ 33. Verarbeitung personenbezogener Daten für forschende und statistische Zwecke
(1) Für Zwecke der historischen oder wissenschaftlichen Forschung, sowie der Statistik erhobene oder gespeicherte personenbezogene Daten dürfen nur für diese Zwecke verarbeitet werden.
b) dies für die Darstellung von Forschungsergebnissen über Ereignisse der Zeitgeschichte unerlässlich ist, es sei denn, dass die Geschäftsführende Bundesleitung des Bundes beschließt, dass Grund zu der Annahme besteht, dass durch die Veröffentlichung der Auftrag des Bundes gefährdet würde.
(4) Die Offenlegung personenbezogener Daten an andere als Stellen des Bundes für Zwecke der wissenschaftlichen oder historischen Forschung, sowie der Statistik ist nur zulässig, wenn diese sich verpflichten, die offengelegten Daten nicht für andere Zwecke zu verarbeiten und die Vorschriften der Absätze 2 und 3 einzuhalten. Der Auftrag der Stellen des Bundes darf durch die Offenlegung nicht gefährdet werden.
(5) Die in den §§ 11, 12, 14 und 16 vorgesehenen Rechte der betroffenen Person sind insoweit beschränkt, als diese Rechte voraussichtlich die Verwirklichung der Forschungs- oder Statistikzwecke unmöglich machen oder ernsthaft beinträchtigen und die Beschränkung für die Erfüllung der Forschungs- oder Statistikzwecke notwendig ist. Das Recht auf Auskunft gemäß § 11 besteht darüber hinaus nicht, wenn die Daten für Zwecke der wissenschaftlichen Forschung erforderlich sind und die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde.
§ 34 Verarbeitung personenbezogener Daten für journalistische Zwecke
(1) Führt eine Verarbeitung gemäß § 5 Absatz 2 Buchstabe h) zur Veröffentlichung von Gegendarstellungen der betroffenen Person, so sind diese Gegendarstellungen zu den gespeicherten Daten zu nehmen und für dieselbe Zeitdauer aufzubewahren wie die Daten selbst.
(2) Wird jemand durch eine Berichterstattung gemäß § 5 Absatz 2 Buchstabe h) in seinem Persönlichkeitsrecht beeinträchtigt, so kann er Auskunft über die der Berichterstattung zugrundeliegenden, zu seiner Person gespeicherten Daten verlangen. Die Auskunft kann verweigert werden, soweit aus den Daten auf die berichtenden oder einsendenden Personen oder die Gewährsleute von Beiträgen, Unterlagen und Mitteilungen für den redaktionellen Teil geschlossen werden kann.
§ 35. Veranstaltungen von Gemeinden des Bundes
(1) Die Aufzeichnung oder Übertragung von Gottesdiensten oder anderen öffentlichen Veranstaltungen mittels audiovisueller Medien und die Veröffentlichung der Daten ist zulässig, wenn die Teilnehmenden durch geeignete Maßnahmen über Art und Umfang der Aufzeichnung oder Übertragung informiert werden.
(2) Betroffene können Widerspruch gemäß § 16 erheben, wenn schutzwürdige Interessen der Betroffenen das Interesse des Verantwortlichen überwiegen.
§ 36. Videoüberwachung öffentlich zugänglicher Räume
1. in Ausübung des Hausrechts einer Stelle des Bundes oder
(3) Die Speicherung oder Verwendung von nach Absatz 1 erhobenen Daten ist zulässig, wenn sie zum Erreichen des verfolgten Zweckes erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen.
(5) Die Daten sind spätestens nach 1 Monat oder unverzüglich zu löschen, wenn sie zur Erreichung des Zwecks nicht mehr erforderlich sind oder schutzwürdige Interessen der Betroffenen einer weiteren Speicherung entgegenstehen.
SECHSTER ABSCHNITT: DATENSCHUTZ IN RECHTLICH SELBSTSTÄNDIGEN EINRICHTUNGEN UND GEMEINDEN
§ 37. Geltung der Datenschutzordnung für selbstständige Einrichtungen
(1) Unterwirft sie sich ein Bundeswerk durch schriftliche Erklärung gegenüber der Geschäftsführenden Bundesleitung des Bundes den Regelungen dieser Ordnung, so gilt das Bundeswerk als Stelle des Bundes und die Regelungen dieser Ordnung gelten gegebenenfalls sinngemäß.
(2) Einrichtungen gemäß Absatz 1 regeln die Verantwortlichkeit für die Einhaltung dieser Ordnung und der allgemein gültigen Regelungen und Gesetze zum Datenschutz innerhalb ihrer jeweiligen Organisation.
(3) Einrichtungen gemäß Absatz 1 müssen einen Beauftragten für den Datenschutz im Sinne von § 26 bestellen. Der Beauftragte muss nicht Mitglied bzw. Beschäftigter der Einrichtung sein.
(4) Der Bund führt eine Übersicht über die Einrichtungen, für die die Datenschutzordnung entsprechend Absatz 1 gilt. In die Übersicht sind auf Basis der Mitteilung der Einrichtung jeweils aufzunehmen:
2. Name und Anschrift des für den Datenschutz der Einrichtung Verantwortlichen und des Beauftragten für Datenschutz.
§ 38. Geltung der Datenschutzordnung für selbstständige Gemeinden
Für rechtlich selbstständige Gemeinden des Bundes gilt diese Ordnung entsprechend.
§ 39. Ergänzende Bestimmungen
(1) Die Geschäftsführende Bundesleitung des Bundes kann mit Zustimmung des Datenschutzrates Durchführungsbestimmungen zu dieser Ordnung und ergänzende Bestimmungen zum Datenschutz beschließen. Diese dürfen dieser Ordnung nicht widersprechen.
(2) Die Stellen des Bundes können im Rahmen ihrer Befugnisse für ihren Bereich Durchführungsbestimmungen zu dieser Ordnung und ergänzende Bestimmungen zum Datenschutz beschließen. Diese dürfen dieser Ordnung nicht widersprechen. Die von der Geschäftsführenden Bundesleitung des Bundes beschlossenen Bestimmungen sind vorrangig.
(3) Soweit personenbezogene Daten von Sozialleistungsträgern offengelegt werden, gelten zum Schutz dieser Daten ergänzend die staatlichen Bestimmungen entsprechend.
§ 40. Übergangsregelungen
(1) Bisherige Bestellungen des Datenschutzbeauftragten des Bundes gemäß des § 12 der Datenschutzordnung des Bundes vom 8. August 2008 bleiben unberührt. Für diese Bestellung gelten die Regelungen des § 25 mit Inkrafttreten dieser Ordnung.
(2) Die Erstellung der Verfahrensverzeichnisse nach § 19 dieser Ordnung hat bis zum 30. Juni 2019 zu erfolgen.
§ 41. Gleichstellung
§ 42. Inkrafttreten, Außerkrafttreten
Diese Ordnung tritt am 24. Mai 2018 in Kraft. Gleichzeitig tritt die Datenschutzordnung des Bundes vom 08. August 2008 außer Kraft.
Datenschutz im Bund FeG
datenschutz.feg.de | datenschutz@feg.de

References: § 7
 § 6
 § 4
 § 5
 § 16
 § 14
 § 16
 § 12
 § 13
 § 14
 § 5
 § 5
 § 5
 § 18
 § 19
 § 17
 § 18
 § 21

§ 21
 § 21
 § 25
 § 26

§ 25

§ 26
 § 27

§ 30

§ 31

§ 32

§ 33
 § 11

§ 34
 § 5
 § 5

§ 35
 § 16

§ 36

§ 37
 § 26

§ 38

§ 39

§ 40
 § 12
 § 25
 § 19

§ 41

§ 42