Source: http://landesrecht.rlp.de/jportal/portal/page/bsrlpprod.psml?pid=Dokumentanzeige&showdoccase=1&js_peid=Trefferliste&fromdoctodoc=yes&doc.id=jlr-DSGRP2018pP30&doc.part=X&doc.price=0.0&doc.hl=0
Timestamp: 2020-02-25 00:56:05+00:00

Document:
§ 28 - Allgemeine Grundsätze
§ 29 - Verarbeitung besonderer Kategorien personenbezogener...
§ 30 - Verarbeitung zu anderen Zwecken
§ 31 - Verarbeitung zu archivarischen, wissenschaftlichen...
§ 32 - Nachweis der Einhaltung durch den Verantwortlichen
§ 33 - Einwilligung
§ 34 - Verarbeitung auf Weisung des Verantwortlichen
§ 35 - Datengeheimnis
§ 36 - Automatisierte Einzelentscheidung
Ausfertigungsdatum: 08.05.2018
Fundstelle: GVBl. 2018, 93
Landesdatenschutzgesetz (LDSG) vom 8. Mai 2018 25.05.2018
Eingangsformel 25.05.2018
Teil 1 - Allgemeine Bestimmungen 25.05.2018
§ 1 - Zweck 25.05.2018
§ 2 - Anwendungsbereich 25.05.2018
Teil 2 - Verarbeitung personenbezogener Daten nach Maßgabe der Datenschutz-Grundverordnung 25.05.2018
Abschnitt 1 - Grundsätze der Verarbeitung personenbezogener Daten 25.05.2018
§ 3 - Zulässigkeit 25.05.2018
§ 4 - Erhebung bei Dritten 25.05.2018
§ 5 - Übermittlung an öffentliche Stellen 25.05.2018
§ 6 - Löschung 25.05.2018
§ 7 - Verarbeitung zu anderen Zwecken 25.05.2018
§ 8 - Datengeheimnis 25.05.2018
§ 9 - Datenschutz-Folgenabschätzung 25.05.2018
§ 10 - Entsprechende Anwendung der Datenschutz-Grundverordnung 25.05.2018
Abschnitt 2 - Rechte der betroffenen Person 25.05.2018
§ 11 - Beschränkung der Informationspflicht nach den Artikeln 13 und 14 der Datenschutz-Grundverordnung 25.05.2018
§ 12 - Auskunftsrecht der betroffenen Person nach Artikel 15 der Datenschutz-Grundverordnung 25.05.2018
§ 13 - Beschränkung der Benachrichtigung nach Artikel 34 der Datenschutz-Grundverordnung 25.05.2018
Abschnitt 3 - Landesbeauftragte oder Landesbeauftragter für den Datenschutz und die Informationsfreiheit 25.05.2018
§ 14 - Rechtsstellung 25.05.2018
§ 15 - Zuständigkeit und Organisation 25.05.2018
§ 16 - Aufgaben, Mitwirkungspflichten 25.05.2018
§ 17 - Befugnisse nach Artikel 58 der Datenschutz-Grundverordnung 25.05.2018
§ 18 - Datenschutzkommission 25.05.2018
Abschnitt 4 - Besonderer Datenschutz 25.05.2018
§ 19 - Verarbeitung besonderer Kategorien personenbezogener Daten 25.05.2018
§ 20 - Datenverarbeitung bei Dienst- und Beschäftigungsverhältnissen 25.05.2018
§ 21 - Videoüberwachung 25.05.2018
§ 22 - Datenverarbeitung zu wissenschaftlichen oder historischen Forschungszwecken und zu statistischen Zwecken 25.05.2018
§ 23 - Verarbeitung zu Zwecken der parlamentarischen Kontrolle 25.05.2018
Abschnitt 5 - Ordnungswidrigkeiten und Strafbestimmungen 25.05.2018
§ 24 - Ordnungswidrigkeiten 25.05.2018
§ 25 - Strafbestimmung 25.05.2018
Teil 3 - Verarbeitung personenbezogener Daten nach Maßgabe der Richtlinie (EU) 2016/680 25.05.2018
Abschnitt 1 - Anwendungsbereich, Begriffsbestimmungen 25.05.2018
§ 26 - Anwendungsbereich 25.05.2018
§ 27 - Begriffsbestimmungen 25.05.2018
Abschnitt 2 - Rechtsgrundlagen der Verarbeitung personenbezogener Daten 25.05.2018
§ 28 - Allgemeine Grundsätze 25.05.2018
§ 29 - Verarbeitung besonderer Kategorien personenbezogener Daten 25.05.2018
§ 30 - Verarbeitung zu anderen Zwecken 25.05.2018
§ 31 - Verarbeitung zu archivarischen, wissenschaftlichen und statistischen Zwecken 25.05.2018
§ 32 - Nachweis der Einhaltung durch den Verantwortlichen 25.05.2018
§ 33 - Einwilligung 25.05.2018
§ 34 - Verarbeitung auf Weisung des Verantwortlichen 25.05.2018
§ 35 - Datengeheimnis 25.05.2018
§ 36 - Automatisierte Einzelentscheidung 25.05.2018
Abschnitt 3 - Datenschutzbeauftragte öffentlicher Stellen 25.05.2018
§ 37 - Benennung 25.05.2018
§ 38 - Stellung 25.05.2018
§ 39 - Aufgaben 25.05.2018
Abschnitt 4 - Landesbeauftragte oder Landesbeauftragter für den Datenschutz und die Informationsfreiheit 25.05.2018
§ 40 - Rechtsstellung und Organisation 25.05.2018
§ 41 - Aufgaben 25.05.2018
§ 42 - Befugnisse 25.05.2018
Abschnitt 5 - Rechte der betroffenen Person 25.05.2018
§ 43 - Allgemeine Informationen zu Datenverarbeitungen 25.05.2018
§ 44 - Benachrichtigung betroffener Personen 25.05.2018
§ 45 - Auskunftsrecht 25.05.2018
§ 46 - Rechte auf Berichtigung und Löschung sowie Einschränkung der Verarbeitung 25.05.2018
§ 47 - Verfahren für die Ausübung der Rechte der betroffenen Person 25.05.2018
§ 48 - Anrufung der oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit 25.05.2018
§ 49 - Rechtsschutz gegen Entscheidungen der oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit oder bei deren oder dessen Untätigkeit 25.05.2018
§ 50 - Vertretung von betroffenen Personen 25.05.2018
Abschnitt 6 - Pflichten der Verantwortlichen und Auftragsverarbeiter 25.05.2018
§ 51 - Auftragsverarbeitung 25.05.2018
§ 52 - Gemeinsam Verantwortliche 25.05.2018
§ 53 - Anforderungen an die Sicherheit der Datenverarbeitung 25.05.2018
§ 54 - Meldung von Verletzungen des Schutzes personenbezogener Daten 25.05.2018
§ 55 - Benachrichtigung betroffener Personen bei Verletzungen des Schutzes personenbezogener Daten 25.05.2018
§ 56 - Durchführung einer Datenschutz-Folgenabschätzung 25.05.2018
§ 57 - Konsultation der oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit 25.05.2018
§ 58 - Verzeichnis von Verarbeitungstätigkeiten 25.05.2018
§ 59 - Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen 25.05.2018
§ 60 - Unterscheidung zwischen verschiedenen Kategorien betroffener Personen 25.05.2018
§ 61 - Unterscheidung zwischen Tatsachen und persönlichen Einschätzungen 25.05.2018
§ 62 - Verfahren bei Übermittlungen 25.05.2018
§ 63 - Berichtigung und Löschung sowie Einschränkung der Verarbeitung 25.05.2018
§ 64 - Protokollierung 25.05.2018
§ 65 - Vertrauliche Meldung von Verstößen 25.05.2018
Abschnitt 7 - Datenübermittlung an Drittstaaten und an internationale Organisationen 25.05.2018
§ 66 - Allgemeine Voraussetzungen 25.05.2018
§ 67 - Datenübermittlung bei geeigneten Garantien 25.05.2018
§ 68 - Datenübermittlung ohne geeignete Garantien 25.05.2018
§ 69 - Sonstige Datenübermittlungen an Empfänger in Drittstaaten 25.05.2018
Abschnitt 8 - Zusammenarbeit der Aufsichtsbehörden 25.05.2018
§ 70 - Gegenseitige Amtshilfe 25.05.2018
Abschnitt 9 - Haftung und Sanktionen 25.05.2018
§ 71 - Schadensersatz 25.05.2018
§ 72 - Ordnungswidrigkeiten und Strafbestimmungen 25.05.2018
Teil 4 - Übergangs- und Schlussbestimmungen 25.05.2018
§ 73 - Verweisungen und Bezeichnungen in anderen Vorschriften 25.05.2018
§ 74 - Inkrafttreten 25.05.2018
Verarbeitung personenbezogener Daten nach
Maßgabe der Datenschutz-Grundverordnung
§ 3 Zulässigkeit
§ 4 Erhebung bei Dritten
§ 5 Übermittlung an öffentliche Stellen
§ 6 Löschung
§ 7 Verarbeitung zu anderen Zwecken
§ 8 Datengeheimnis
§ 9 Datenschutz-Folgenabschätzung
§ 10 Entsprechende Anwendung der Datenschutz-Grundverordnung
§ 11 Beschränkung der Informationspflicht nach den Artikeln 13 und 14 der Datenschutz-Grundverordnung
§ 12 Auskunftsrecht der betroffenen Person nach Artikel 15 der Datenschutz-Grundverordnung
§ 13 Beschränkung der Benachrichtigung nach Artikel 34 der Datenschutz-Grundverordnung
Landesbeauftragte oder Landesbeauftragter für
den Datenschutz und die Informationsfreiheit
§ 14 Rechtsstellung
§ 15 Zuständigkeit und Organisation
§ 16 Aufgaben, Mitwirkungspflichten
§ 17 Befugnisse nach Artikel 58 der Datenschutz-Grundverordnung
§ 18 Datenschutzkommission
§ 19 Verarbeitung besonderer Kategorien personenbezogener Daten
§ 20 Datenverarbeitung bei Dienst- und Beschäftigungsverhältnissen
§ 21 Videoüberwachung
§ 22 Datenverarbeitung zu wissenschaftlichen oder historischen Forschungszwecken und zu statistischen Zwecken
§ 23 Verarbeitung zu Zwecken der parlamentarischen Kontrolle
Ordnungswidrigkeiten und Strafbestimmungen
nach Maßgabe der Richtlinie (EU) 2016/680
§ 27 Begriffsbestimmungen
§ 28 Allgemeine Grundsätze
§ 29 Verarbeitung besonderer Kategorien personenbezogener Daten
§ 30 Verarbeitung zu anderen Zwecken
§ 31 Verarbeitung zu archivarischen, wissenschaftlichen und statistischen Zwecken
§ 32 Nachweis der Einhaltung durch den Verantwortlichen
§ 33 Einwilligung
§ 34 Verarbeitung auf Weisung des Verantwortlichen
§ 35 Datengeheimnis
§ 36 Automatisierte Einzelentscheidung
§ 37 Benennung
§ 38 Stellung
Landesbeauftragte oder Landesbeauftragter für den
§ 40 Rechtsstellung und Organisation
§ 41 Aufgaben
§ 42 Befugnisse
§ 43 Allgemeine Informationen zu Datenverarbeitungen
§ 44 Benachrichtigung betroffener Personen
§ 45 Auskunftsrecht
§ 46 Rechte auf Berichtigung und Löschung sowie Einschränkung der Verarbeitung
§ 47 Verfahren für die Ausübung der Rechte der betroffenen Person
§ 48 Anrufung der oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit
§ 49 Rechtsschutz gegen Entscheidungen der oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit oder bei deren oder dessen Untätigkeit
§ 50 Vertretung von betroffenen Personen
§ 51 Auftragsverarbeitung
§ 52 Gemeinsam Verantwortliche
§ 53 Anforderungen an die Sicherheit der Datenverarbeitung
§ 54 Meldung von Verletzungen des Schutzes personenbezogener Daten
§ 55 Benachrichtigung betroffener Personen bei Verletzungen des Schutzes personenbezogener Daten
§ 56 Durchführung einer Datenschutz-Folgenabschätzung
§ 57 Konsultation der oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit
§ 58 Verzeichnis von Verarbeitungstätigkeiten
§ 59 Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
§ 60 Unterscheidung zwischen verschiedenen Kategorien betroffener Personen
§ 61 Unterscheidung zwischen Tatsachen und persönlichen Einschätzungen
§ 62 Verfahren bei Übermittlungen
§ 63 Berichtigung und Löschung sowie Einschränkung der Verarbeitung
§ 64 Protokollierung
§ 65 Vertrauliche Meldung von Verstößen
§ 66 Allgemeine Voraussetzungen
§ 67 Datenübermittlung bei geeigneten Garantien
§ 68 Datenübermittlung ohne geeignete Garantien
§ 69 Sonstige Datenübermittlungen an Empfänger in Drittstaaten
§ 70 Gegenseitige Amtshilfe
§ 71 Schadensersatz
§ 72 Ordnungswidrigkeiten und Strafbestimmungen
§ 73 Verweisungen und Bezeichnungen in anderen Vorschriften
(1) Zweck dieses Gesetzes ist es, ergänzende Regelungen zur Durchführung der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung - ABl. EU Nr. L 119 S. 1 -) in der jeweils geltenden Fassung zu treffen.
(2) Dieses Gesetz dient neben den zur Umsetzung der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. EU Nr. 119 S. 89) in der jeweils geltenden Fassung erlassenen Rechtsvorschriften auch der Umsetzung dieser Richtlinie.
die Behörden,
die Organe der Rechtspflege,
die Einrichtungen und sonstigen öffentlichen Stellen des Landes,
die kommunalen Gebietskörperschaften,
die sonstigen der Aufsicht des Landes oder der kommunalen Gebietskörperschaften unterstehenden juristischen Personen des öffentlichen Rechts und
die Vereinigungen der vorgenannten Stellen ungeachtet ihrer Rechtsform
(öffentliche Stellen), soweit diese personenbezogene Daten verarbeiten. Als öffentliche Stellen gelten auch juristische Personen und sonstige Vereinigungen des privaten Rechts der in Satz 1 genannten öffentlichen Stellen, soweit diesen die absolute Mehrheit der Anteile gehört oder die absolute Mehrheit der Stimmen zusteht, ungeachtet der Beteiligung nicht-öffentlicher Stellen. Nimmt eine nicht-öffentliche Stelle hoheitliche Aufgaben einer öffentlichen Stelle des Landes wahr, ist sie insoweit öffentliche Stelle im Sinne des Gesetzes.
(2) Für Gerichte und Staatsanwaltschaften sowie für die Polizeibehörden und Ordnungsbehörden gilt Teil 2 dieses Gesetzes nur, soweit sie personenbezogene Daten zu anderen als den in § 26 Abs. 1 genannten Zwecken verarbeiten; im Übrigen gilt Teil 3 dieses Gesetzes.
(3) Der Landtag, seine Gremien, seine Mitglieder, die Fraktionen sowie deren Verwaltungen und deren Beschäftigte unterliegen nicht den Bestimmungen dieses Gesetzes, soweit sie in Wahrnehmung parlamentarischer Aufgaben personenbezogene Daten verarbeiten. Der Landtag erlässt insoweit unter Berücksichtigung seiner verfassungsrechtlichen Stellung, der Datenschutz-Grundverordnung und der Grundsätze dieses Gesetzes eine Datenschutzordnung.
(4) Soweit öffentliche Stellen als Unternehmen am Wettbewerb teilnehmen, sind auf diese § 20 und, unbeschadet anderer Rechtsgrundlagen, die Vorschriften des Bundesdatenschutzgesetzes (BDSG) für nicht-öffentliche Stellen anzuwenden.
(5) Auf öffentlich-rechtliche Kreditinstitute und öffentlich-rechtliche Versicherungsanstalten sowie deren Vereinigungen finden § 26 BDSG und im Übrigen die Vorschriften des Bundesdatenschutzgesetzes über nicht-öffentliche Stellen Anwendung. Die Aufgaben der Aufsichtsbehörde werden von der oder dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit wahrgenommen.
(6) Für die Verarbeitung personenbezogener Daten beim Südwestrundfunk (SWR) sowie beim Zweiten Deutschen Fernsehen (ZDF) finden die Bestimmungen dieses Gesetzes keine Anwendung. Dies gilt nicht für die Aufsicht über Hilfsunternehmen sowie Unternehmen, an denen der SWR oder das ZDF weder unmittelbar noch mittelbar, auch nicht zusammen mit anderen Anstalten oder Körperschaften des öffentlichen Rechts, mit Mehrheit beteiligt sind.
(7) Die Verpflichtung zur Wahrung gesetzlicher Geheimhaltungspflichten oder von Berufs- oder besonderen Amtsgeheimnissen, die nicht auf gesetzlichen Vorschriften beruhen, bleibt unberührt.
(8) Die Bestimmungen dieses Gesetzes gehen denen des Landesverwaltungsverfahrensgesetzes vor, soweit bei der Ermittlung des Sachverhalts personenbezogene Daten verarbeitet werden.
(9) Soweit besondere Rechtsvorschriften über den Datenschutz oder über Verfahren der Rechtspflege auf personenbezogene Daten anzuwenden sind, gehen diese den Bestimmungen dieses Gesetzes vor.
nach Maßgabe der Datenschutz-Grundverordnung
Unbeschadet anderer Rechtsgrundlagen ist die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle zulässig, wenn sie zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
Werden personenbezogene Daten bei einer dritten Person oder einer Stelle außerhalb des öffentlichen Bereichs erhoben, so ist diese auf Verlangen auf den Erhebungszweck hinzuweisen, soweit dadurch schutzwürdige Interessen der betroffenen Person nicht beeinträchtigt werden. Werden die Daten aufgrund einer Rechtsvorschrift erhoben, die zur Auskunft verpflichtet, so ist auf die Auskunftspflicht, im Übrigen auf die Freiwilligkeit der Angaben hinzuweisen.
(1) Die Verantwortung für die Zulässigkeit der Übermittlung personenbezogener Daten trägt die übermittelnde Stelle. Erfolgt die Übermittlung aufgrund eines Ersuchens einer öffentlichen Stelle, trägt diese die Verantwortung. Die übermittelnde Stelle hat dann lediglich zu prüfen, ob sich das Übermittlungsersuchen im Rahmen der Aufgaben der ersuchenden Stelle hält. Die Rechtmäßigkeit des Ersuchens prüft sie nur, wenn im Einzelfall hierzu Anlass besteht; die ersuchende Stelle hat in dem Ersuchen der übermittelnden Stelle die für diese Prüfung erforderlichen Angaben zu machen. Erfolgt die Übermittlung durch automatisierten Abruf, so trägt die Verantwortung für die Rechtmäßigkeit des Abrufs die empfangende Stelle.
(2) Sind mit personenbezogenen Daten weitere personenbezogene Daten der betroffenen Person oder Dritter so verbunden, dass eine Trennung nicht oder nur mit unvertretbarem Aufwand möglich ist, so ist die Übermittlung auch dieser Daten an öffentliche Stellen zulässig, soweit nicht berechtigte Interessen der betroffenen Person oder Dritter an deren Geheimhaltung entgegenstehen; eine weitere Verarbeitung dieser Daten ist unzulässig.
Soweit öffentliche Stellen verpflichtet sind, Unterlagen einem öffentlichen Archiv zur Übernahme anzubieten, ist eine Löschung personenbezogener Daten erst zulässig, nachdem die Unterlagen dem öffentlichen Archiv angeboten worden sind und von diesem die Feststellung erfolgt ist, dass es sich nicht um Archivgut handelt.
(1) Eine Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, ist zulässig, wenn
es zur Abwehr einer sonst unmittelbar drohenden Gefahr für die öffentliche Sicherheit oder von erheblichen Nachteilen für das Gemeinwohl erforderlich ist,
es erforderlich ist, Angaben der betroffenen Person zu überprüfen, weil tatsächliche Anhaltspunkte für deren Unrichtigkeit bestehen,
sich bei der rechtmäßigen Aufgabenerfüllung Anhaltspunkte für Straftaten oder Ordnungswidrigkeiten ergeben und die Unterrichtung der für die Verfolgung oder Vollstreckung zuständigen Behörden geboten erscheint,
es zur Entscheidung über die Verleihung staatlicher Orden oder Ehrenzeichen oder von sonstigen staatlichen Ehrungen erforderlich ist oder
sie der Wahrnehmung von Aufsichts- und Kontrollbefugnissen, zur Rechnungsprüfung und zur Durchführung von Organisationsuntersuchungen des Verantwortlichen dient; das gilt auch für die Verarbeitung personenbezogener Daten zu Aus- und Fortbildungszwecken durch den Verantwortlichen, soweit nicht berechtigte Interessen der betroffenen Person an der Geheimhaltung der Daten entgegenstehen.
(2) Eine Information der betroffenen Person über die Datenverarbeitung nach Absatz 1 erfolgt nicht, soweit und solange hierdurch der Zweck der Verarbeitung gefährdet würde.
(3) Ferner ist eine Zweckänderung zulässig, wenn
die Einholung der Einwilligung der betroffenen Person nicht möglich ist oder mit unverhältnismäßig hohem Aufwand verbunden wäre, aber offensichtlich ist, dass die Datenverarbeitung zu ihrem Schutz erfolgt und sie in Kenntnis des anderen Zwecks ihre Einwilligung erteilen würde oder
die Daten aus allgemein zugänglichen Quellen entnommen werden können oder die datenverarbeitende Stelle sie veröffentlichen dürfte, soweit nicht schutzwürdige Interessen der betroffenen Person offensichtlich entgegenstehen.
(4) Unterliegen die personenbezogenen Daten einem Berufsgeheimnis oder einem besonderen Amtsgeheimnis und sind sie der datenverarbeitenden Stelle von der zur Verschwiegenheit verpflichteten Person in Ausübung ihrer Berufs- oder Amtspflicht übermittelt worden, finden die Absätze 1 und 3 keine Anwendung.
(5) Personenbezogene Daten, die ausschließlich zu Zwecken der Datenschutzkontrolle, der Datensicherung oder zur Sicherstellung des ordnungsgemäßen Betriebs einer Datenverarbeitungsanlage gespeichert werden, dürfen für andere Zwecke nur insoweit verarbeitet werden, als dies zur Abwehr erheblicher Gefahren für die öffentliche Sicherheit, insbesondere für Leben, Gesundheit oder Freiheit, erforderlich ist.
(1) Den bei dem Verantwortlichen oder in dessen Auftrag beschäftigten Personen, die dienstlichen Zugang zu personenbezogenen Daten haben, ist es untersagt, diese Daten zu einem anderen als dem zur jeweiligen Aufgabenerfüllung gehörenden Zweck zu verarbeiten oder unbefugt zu offenbaren (Datengeheimnis). Das Datengeheimnis besteht auch nach Beendigung der Tätigkeit fort.
(2) Die in Absatz 1 Satz 1 genannten Personen sind bei der Aufnahme ihrer Tätigkeit über ihre Pflichten nach Absatz 1 sowie die sonstigen bei ihrer Tätigkeit zu beachtenden Vorschriften über den Datenschutz zu unterrichten und auf deren Einhaltung zu verpflichten.
(1) Eine Datenschutz-Folgenabschätzung gemäß Artikel 35 der Datenschutz-Grundverordnung durch den Verantwortlichen kann unterbleiben, soweit
eine solche für den Verarbeitungsvorgang bereits vom fachlich zuständigen Ministerium oder einer von diesem ermächtigten öffentlichen Stelle durchgeführt wurde und dieser Verarbeitungsvorgang im Wesentlichen unverändert übernommen wird oder
der konkrete Verarbeitungsvorgang in einer Rechtsvorschrift geregelt ist und im Rechtsetzungsverfahren bereits eine Datenschutz-Folgenabschätzung erfolgt ist, es sei denn, dass in der Rechtsvorschrift etwas anderes bestimmt ist.
Die Ministerien stellen den öffentlichen Stellen die Ergebnisse der von ihnen und der von ihnen ermächtigten öffentlichen Stellen durchgeführten Datenschutz-Folgenabschätzungen zur Verfügung.
(2) Entwickelt eine öffentliche Stelle ein automatisiertes Verfahren, das zum Einsatz durch öffentliche Stellen bestimmt ist, so kann sie, sofern die Voraussetzungen des Artikels 35 Abs. 1 der Datenschutz-Grundverordnung bei diesem Verfahren vorliegen, die Datenschutz-Folgenabschätzung nach den Artikeln 35 und 36 der Datenschutz-Grundverordnung durchführen. Soweit das Verfahren von öffentlichen Stellen im Wesentlichen unverändert übernommen wird, kann eine weitere Datenschutz-Folgenabschätzung durch die übernehmenden öffentlichen Stellen unterbleiben.
der Datenschutz-Grundverordnung
Fällt die Verarbeitung personenbezogener Daten nicht in den Anwendungsbereich der Datenschutz-Grundverordnung , sind ihre Bestimmungen entsprechend anzuwenden, es sei denn, dieses Gesetz oder andere Rechtsvorschriften enthalten spezielle Regelungen.
Beschränkung der Informationspflicht nach
den Artikeln 13 und 14 der Datenschutz-Grundverordnung
(1) Der Verantwortliche kann von der Erteilung der Information über personenbezogene Daten absehen, soweit und solange
die Information die öffentliche Sicherheit gefährden oder sonst dem Wohle des Bundes oder eines Landes Nachteile bereiten würde oder
dies zur Verfolgung von Straftaten und Ordnungswidrigkeiten erforderlich ist oder
die Information dazu führen würde, dass Sachverhalte aufgedeckt werden, die aufgrund einer Rechtsvorschrift oder wegen der Rechte und Freiheiten anderer Personen geheim zu halten sind.
Die Gründe für ein Absehen von der Information sind zu dokumentieren. Die Information ist nachzuholen, wenn die Gründe nach Satz 1 nicht mehr bestehen. Die betroffene Person ist über die Beschränkung der Informationspflicht zu informieren, soweit dies nicht dem Zweck der Beschränkung abträglich ist.
(2) Der Rechnungshof Rheinland-Pfalz kann von der Erteilung der Information absehen, soweit und solange hierdurch der Zweck oder die Durchführung der Prüfungstätigkeit des Rechnungshofs gefährdet oder wesentlich erschwert würde. Absatz 1 Satz 2 bis 4 gilt entsprechend.
Beschränkung der Benachrichtigung
nach Artikel 34 der Datenschutz-Grundverordnung
Der Verantwortliche kann von der Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person absehen, soweit und solange die Benachrichtigung
die öffentliche Sicherheit gefährden oder sonst dem Wohle des Bundes oder eines Landes Nachteile bereiten würde,
die Benachrichtigung die Verfolgung von Straftaten oder Ordnungswidrigkeiten gefährden würde,
dazu führen würde, dass Sachverhalte, die nach einer Rechtsvorschrift oder wegen der Rechte und Freiheiten anderer Personen geheim zu halten sind, aufgedeckt werden, oder
die Funktionsfähigkeit von Datenverarbeitungssystemen einer öffentlichen Stelle gefährden würde.
(1) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit steht in einem öffentlich-rechtlichen Amtsverhältnis und ist in Ausübung ihres oder seines Amtes unabhängig und nur dem Gesetz unterworfen. Sie oder er untersteht der Dienstaufsicht der Präsidentin oder des Präsidenten des Landtags, soweit nicht ihre oder seine Unabhängigkeit beeinträchtigt wird.
(2) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit soll neben der erforderlichen Erfahrung und Sachkunde nach Artikel 53 Abs. 2 der Datenschutz-Grundverordnung , insbesondere im Bereich des Schutzes personenbezogener Daten, die Befähigung zum Richteramt oder für das vierte Einstiegsamt haben. Der Landtag wählt die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz und die Informationsfreiheit in geheimer Wahl mit der Mehrheit seiner Mitglieder auf Vorschlag einer Fraktion; eine Aussprache findet nicht statt. Sie oder er wird nach der Wahl durch den Landtag auf die Dauer von acht Jahren in ein öffentlich-rechtliches Amtsverhältnis berufen. Die Wiederwahl und die Berufung für eine weitere Amtszeit sind zulässig. Das Amt ist im Übrigen bis zum Eintritt der Nachfolge weiterzuführen.
(3) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit kann außer im Falle der Amtsenthebung nach Artikel 53 Abs. 4 der Datenschutz-Grundverordnung nur auf Antrag entlassen werden. Für die Amtsenthebung ist der Landtag zuständig. Das Verfahren der Amtsenthebung richtet sich nach der vom Landtag erlassenen Datenschutzordnung nach § 2 Abs. 3 Satz 2.
(4) Die Vergütung der oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit ist durch Vertrag zu regeln. Das Amt kann auch einer beurlaubten Beamtin oder einem beurlaubten Beamten oder einer Beamtin oder einem Beamten im Ruhestand übertragen werden.
(5) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit ist, auch nach Beendigung des Amtsverhältnisses, verpflichtet, über amtlich bekannt gewordene Angelegenheiten Verschwiegenheit zu wahren. Dies gilt nicht für Mitteilungen im dienstlichen Verkehr oder über Tatsachen, die offenkundig sind oder ihrer Bedeutung nach keiner Geheimhaltung bedürfen.
(6) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit bestellt eine Stellvertreterin oder einen Stellvertreter für die Führung der Geschäfte im Falle ihrer oder seiner Verhinderung.
(7) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit kann an den Sitzungen des Landtags und seiner Ausschüsse nach Maßgabe der Geschäftsordnung des Landtags teilnehmen. Der Landtag und seine Ausschüsse können ihre oder seine Anwesenheit verlangen. Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit kann sich in Ausschusssitzungen zu Fragen äußern, die für den Datenschutz von Bedeutung sind.
(1) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit ist Aufsichtsbehörde im Sinne des Artikels 51 der Datenschutz-Grundverordnung , soweit der Anwendungsbereich dieses Gesetzes eröffnet ist.
(2) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit ist ferner Aufsichtsbehörde im Sinne des § 40 BDSG für die Kontrolle der Durchführung des Datenschutzes bei der Datenverarbeitung nicht-öffentlicher Stellen und öffentlich-rechtlicher Wettbewerbsunternehmen.
(3) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit darf neben ihrem oder seinem Amt kein anderes besoldetes Amt und keinen Beruf ausüben und weder der Leitung oder dem Aufsichtsrat oder Verwaltungsrat eines auf Erwerb gerichteten Unternehmens noch einer Regierung oder einer gesetzgebenden Körperschaft des Bundes oder eines Landes angehören. In Ergänzung zu der Regelung in Artikel 52 Abs. 3 der Datenschutz-Grundverordnung hat die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit auch für die Dauer von fünf Jahren nach ihrer oder seiner Amtszeit von allen mit den Aufgaben ihres früheren Amtes nicht zu vereinbarenden Handlungen und nicht zu vereinbarenden entgeltlichen oder unentgeltlichen Tätigkeiten abzusehen.
(4) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit wird bei der Präsidentin oder dem Präsidenten des Landtags eingerichtet und hat die Stellung einer obersten Landesbehörde mit Sitz in Mainz. Zur Erfüllung der Aufgaben ist die notwendige Personal- und Sachausstattung zur Verfügung zu stellen. Die Mittel sind im Einzelplan des Landtags in einem gesonderten Kapitel auszuweisen.
(5) Das Personal untersteht der Dienstaufsicht der oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit. Das Recht der Ernennung, Versetzung, Abordnung, Ruhestandsversetzung und Entlassung der Beamtinnen und Beamten des ersten, zweiten und dritten Einstiegsamtes, unabhängig von ihrer besoldungsrechtlichen Einstufung, sowie des vierten Einstiegsamtes bis einschließlich der Besoldungsgruppe A 15 übt die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit aus. Für Beamtinnen und Beamte des vierten Einstiegsamtes ab der Besoldungsgruppe A 16 übt die Präsidentin oder der Präsident des Landtags dieses Recht auf Vorschlag und im Einvernehmen mit der oder dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit aus. Beamtinnen und Beamte können nur im Einvernehmen mit der oder dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit zu dieser oder diesem versetzt oder abgeordnet werden. Für die sonstigen Bediensteten gelten die Sätze 2 und 4 entsprechend.
Aufgaben, Mitwirkungspflichten
(1) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit nimmt die Aufgaben nach den Artikeln 57 und 59 der Datenschutz-Grundverordnung wahr. Dabei kontrolliert sie oder er die Einhaltung der Vorschriften der Datenschutz-Grundverordnung , dieses Gesetzes und anderer datenschutzrechtlicher Bestimmungen.
(2) Die Aufsicht durch die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz und die Informationsfreiheit erstreckt sich nicht auf die Mitglieder des Rechnungshofs Rheinland-Pfalz, soweit diese bei ihrer Prüfungs- und Beratungstätigkeit im Rahmen ihrer richterlichen Unabhängigkeit handeln.
(3) Die Landesregierung nimmt zu dem Tätigkeitsbericht der oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit nach Artikel 59 der Datenschutz-Grundverordnung innerhalb von sechs Monaten gegenüber dem Landtag Stellung.
(4) Die öffentlichen Stellen sind verpflichtet, die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz und die Informationsfreiheit bei der Erfüllung der Aufgaben zu unterstützen.
Befugnisse nach Artikel 58 der
(1) Die Befugnisse der oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit nach Artikel 58 der Datenschutz-Grundverordnung beziehen sich auf Verstöße gegen Bestimmungen der Datenschutz-Grundverordnung , dieses Gesetzes oder anderer Datenschutzbestimmungen. Die Befugnisse nach Artikel 58 der Datenschutz-Grundverordnung übt die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit
gegenüber den Verantwortlichen,
bei den Gemeinden, Gemeindeverbänden und Landkreisen und den sonstigen der Aufsicht des Landes oder der Gemeinden, Gemeindeverbände und Landkreisen unterstehenden Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts sowie bei Vereinigungen solcher Körperschaften, Anstalten und Stiftungen gegenüber dem vertretungsberechtigten Organ
aus. Zusätzlich zu den Befugnissen nach Artikel 58 der Datenschutz-Grundverordnung kann die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Verstöße gemäß Satz 1 beanstanden. Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit kann von der öffentlichen Stelle eine Stellungnahme innerhalb einer angemessenen Frist fordern. In den Fällen des Satzes 2 Nr. 2 ist gleichzeitig auch die zuständige Aufsichtsbehörde zu unterrichten.
(2) Die Stellungnahme nach Absatz 1 Satz 4 soll auch die Maßnahmen darstellen, die die Verstöße beseitigen sollen. Die in Absatz 1 Satz 2 Nr. 2 genannten Stellen leiten der zuständigen Aufsichtsbehörde eine Abschrift ihrer Stellungnahme zu.
(3) Im Rahmen der Befugnisse der oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit haben die öffentlichen Stellen Zugang zu den Diensträumen, einschließlich aller Datenverarbeitungsanlagen und -geräte sowie zu allen personenbezogenen Daten und Informationen, die zur Erfüllung ihrer oder seiner Aufgaben notwendig sind, zu gewähren.
(4) Für die Kontrolle durch die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz und die Informationsfreiheit hinsichtlich personenbezogener Daten, die einem Berufs- oder besonderem Amtsgeheimnis unterliegen, gilt § 29 Abs. 3 BDSG entsprechend.
(5) Die Befugnis, Geldbußen zu verhängen, richtet sich nach § 24 . Für Amtshandlungen nach diesem Gesetz und nach der Datenschutz-Grundverordnung kann die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Kosten (Gebühren und Auslagen) erheben; § 24 Abs. 3 gilt entsprechend. Das für den Datenschutz zuständige Ministerium wird ermächtigt, im Benehmen mit der oder dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit die Gebührentatbestände und Gebührensätze durch Rechtsverordnung zu bestimmen.
(1) Bei der oder dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit wird eine Datenschutzkommission gebildet, die aus acht Mitgliedern besteht. In die Datenschutzkommission entsenden der Landtag sieben Mitglieder und die Landesregierung ein Mitglied. Die vom Landtag zu entsendenden Mitglieder verteilen sich auf die Fraktionen nach dem d’Hondtschen Höchstzahlverfahren, jedoch stellt jede Fraktion mindestens ein Mitglied.
(2) Die Mitglieder der Datenschutzkommission werden vom Landtag aus seiner Mitte für die Dauer der Wahlperiode des Landtags, von der Landesregierung für die Dauer von fünf Jahren entsandt.
(3) Die Datenschutzkommission unterstützt die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz und die Informationsfreiheit bei der Wahrnehmung ihrer oder seiner Aufgaben nach diesem Gesetz. Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit nimmt an den Sitzungen der Datenschutzkommission teil. Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit unterrichtet die Datenschutzkommission über Maßnahmen nach § 17 . Der Tätigkeitsbericht der oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit ist in der Datenschutzkommission eine angemessene Zeit vor Übermittlung an den Landtag und die Landesregierung zu beraten.
(4) Die Datenschutzkommission tritt auf Antrag eines ihrer Mitglieder oder der oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit zusammen.
(5) Die Datenschutzkommission wählt aus dem Kreis der vom Landtag entsandten Mitglieder eine oder einen Vorsitzenden und eine Stellvertreterin oder einen Stellvertreter. Sie gibt sich eine Geschäftsordnung.
(6) Die Mitglieder der Datenschutzkommission sind verpflichtet, auch nach ihrem Ausscheiden über die ihnen bei ihrer amtlichen Tätigkeit bekannt gewordenen Angelegenheiten Verschwiegenheit zu wahren. Dies gilt nicht für Mitteilungen im dienstlichen Verkehr oder für Tatsachen, die offenkundig sind oder ihrer Bedeutung nach keiner Geheimhaltung bedürfen.
(7) Die oder der Vorsitzende der Datenschutzkommission erhält eine monatliche Aufwandsentschädigung in gleicher Höhe wie die oder der Vorsitzende eines Ausschusses des Landtags.
(8) Die Mitglieder der Datenschutzkommission erhalten Reisekostenvergütung nach den Bestimmungen des Landesreisekostengesetzes .
(1) Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Abs. 1 der Datenschutz-Grundverordnung ist auf der Basis einer ausdrücklichen Einwilligung der betroffenen Person zulässig. Die Einwilligung in die Verarbeitung genetischer oder biometrischer Daten oder Gesundheitsdaten bedarf der Schriftform. Die Übermittlung derartiger Daten auf der Grundlage einer Einwilligung ist nur wirksam, wenn die empfangende Stelle Kenntnis von Inhalt und Reichweite der Einwilligung hat.
(2) Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Abs. 1 der Datenschutz-Grundverordnung durch öffentliche Stellen ist zulässig, wenn sie aus Gründen eines erheblichen öffentlichen Interesses zwingend erforderlich ist und soweit die Interessen des Verantwortlichen an der Datenverarbeitung die schutzwürdigen Interessen der betroffenen Person überwiegen. Ein erhebliches öffentliches Interesse im Sinne des Satzes 1 ist insbesondere anzunehmen bei
der Abwehr einer Gefahr für die öffentliche Sicherheit,
der Verfolgung von Straftaten von Bedeutung,
der Verteidigung oder der Erfüllung über- oder zwischenstaatlicher Verpflichtungen einer öffentlichen Stelle des Bundes auf dem Gebiet der Krisenbewältigung oder Konfliktverhinderung oder für humanitäre Maßnahmen oder
der Abwehr von Nachteilen für das Gemeinwohl oder zur Wahrung von Belangen des Gemeinwohls.
(3) Bei der Verarbeitung genetischer oder biometrischer Daten oder Gesundheitsdaten haben die Verantwortlichen angemessene und spezifische Maßnahmen, insbesondere technische und organisatorische Maßnahmen, zur Wahrung der Grundrechte und Interessen der betroffenen Person vorzusehen. Mindestens haben die Verantwortlichen
zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem die Daten eingegeben, verändert oder entfernt worden sind,
die an den Verarbeitungsvorgängen Beteiligten zu sensibilisieren,
den Zugang zu den Daten beim Verantwortlichen und von Auftragsverarbeitern zu beschränken,
die Grundsätze der Datenminimierung und Speicherbegrenzung sowie die Notwendigkeit einer Datenschutz-Folgenabschätzung zu berücksichtigen,
die Daten im Fall der Übermittlung zu verschlüsseln,
die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung der Daten sicherzustellen,
die Fähigkeit, die Verfügbarkeit und den Zugang bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen,
ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung einzurichten und
im Fall einer Übermittlung oder Verarbeitung für andere Zwecke, die Einhaltung der Vorgaben dieses Gesetzes sowie der Datenschutz-Grundverordnung durch spezifische Verfahrensregelungen sicherzustellen.
Artikel 32 der Datenschutz-Grundverordnung bleibt unberührt.
(4) Die Verarbeitung von genetischen oder biometrischen Daten oder Gesundheitsdaten im Auftrag ist nur zulässig, wenn der Auftragsverarbeiter entsprechend dem Schutzbedarf der Daten angemessene Vorkehrungen zum Datenschutz im Sinne des Absatzes 3 getroffen hat und keine überwiegenden schutzwürdigen Interessen der betroffenen Person einer Auslagerung der Datenverarbeitung entgegenstehen. Die Beauftragung von Stellen außerhalb des Geltungsbereichs der Datenschutz-Grundverordnung ist unzulässig.
(5) Sofern an einer gemeinsamen Verarbeitung personenbezogener Daten im Sinne von Artikel 26 der Datenschutz-Grundverordnung , die zumindest auch genetische oder biometrische Daten oder Gesundheitsdaten umfasst, Stellen beteiligt sind, die dem Geltungsbereich dieses Gesetzes unterliegen, ist diese nur zulässig, wenn die Erfüllung der in der Datenschutz-Grundverordnung enthaltenen Anforderungen vor Beginn der Datenverarbeitung gegenüber der oder dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit nachgewiesen worden ist.
Datenverarbeitung bei
Dienst- und Beschäftigungsverhältnissen
(1) Personenbezogene Daten von Bewerberinnen und Bewerbern für ein Dienst- oder Beschäftigungsverhältnis sowie personenbezogene Daten von Personen in einem Dienst- oder Beschäftigungsverhältnis dürfen nur verarbeitet werden, wenn dies zur Eingehung, Durchführung, Beendigung oder Abwicklung des Dienst- oder Beschäftigungsverhältnisses oder zur Durchführung innerdienstlicher, planerischer, organisatorischer, personeller, sozialer oder haushalts- und kostenrechnerischer Maßnahmen, insbesondere zu Zwecken der Personalplanung und des Personaleinsatzes, erforderlich ist oder in einer Rechtsvorschrift, einem Tarifvertrag oder einer Dienst- oder Betriebsvereinbarung (Kollektivvereinbarung) vorgesehen ist. Eine Übermittlung der Daten von Personen in einem Dienst- oder Beschäftigungsverhältnis an Personen und Stellen außerhalb des öffentlichen Bereichs ist nur zulässig, wenn die Empfängerin oder der Empfänger ein rechtliches Interesse darlegt, der Dienstverkehr es erfordert oder die betroffene Person eingewilligt hat. Die Datenübermittlung an einen künftigen oder neuen Dienstherrn oder Arbeitgeber ist nur mit Einwilligung der betroffenen Person zulässig oder wenn es in einer Rechtsvorschrift vorgesehen ist.
(2) Erfolgt die Verarbeitung personenbezogener Daten von Personen in einem Dienst- oder Beschäftigungsverhältnis auf der Grundlage einer Einwilligung, so sind für die Beurteilung der Freiwilligkeit der Einwilligung insbesondere die im Dienst- oder Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen. Freiwilligkeit kann insbesondere vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder der Dienstherr oder der Arbeitgeber und die beschäftigte Person gleichgelagerte Interessen verfolgen. Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Die beschäftigte Person ist über den Zweck der Datenverarbeitung und über ihr Widerrufsrecht nach Artikel 7 Abs. 3 der Datenschutz-Grundverordnung aufzuklären.
(3) Abweichend von Artikel 9 Abs. 1 der Datenschutz-Grundverordnung ist die Verarbeitung besonderer Kategorien personenbezogener Daten für Zwecke des Dienst- und Beschäftigungsverhältnisses im Sinne des Absatzes 1 zulässig, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Beamtenrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes, der Gesundheitsvorsorge oder der Arbeitsmedizin erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt. Erfolgt die Verarbeitung auf der Grundlage einer Einwilligung, muss sich die Einwilligung ausdrücklich auf diese Daten beziehen.
(4) Auf die Verarbeitung von Personalaktendaten der Beschäftigten sowie der Auszubildenden finden die für Beamtinnen und Beamte geltenden Bestimmungen des Beamtenstatusgesetzes und des Landesbeamtengesetzes entsprechend Anwendung, es sei denn, besondere Rechtsvorschriften oder tarifliche Vereinbarungen gehen vor.
(5) Die Speicherung, Veränderung oder Nutzung der bei medizinischen oder psychologischen Untersuchungen und Tests zum Zweck der Feststellung der Eignung erhobenen Daten ist nur zulässig, wenn dies für Zwecke der Eingehung oder Durchführung eines Dienst- oder Beschäftigungsverhältnisses erforderlich ist. Eine Verarbeitung dieser Daten zu anderen Zwecken ist nur mit Einwilligung der betroffenen Person zulässig. Die Beschäftigungsbehörde darf von der untersuchenden Ärztin oder dem untersuchenden Arzt nur die Übermittlung des Ergebnisses der Eignungsuntersuchung und dabei festgestellter Risikofaktoren verlangen. § 47 Abs. 2 des Landesbeamtengesetzes bleibt unberührt.
(6) Personenbezogene Daten, die vor der Eingehung eines Dienst- oder Beschäftigungsverhältnisses erhoben wurden, sind unverzüglich zu löschen, sobald feststeht, dass ein Dienst- oder Beschäftigungsverhältnis nicht zustande kommt, es sei denn, dass die betroffene Person in die weitere Speicherung eingewilligt hat oder dies wegen eines bereits anhängigen oder wahrscheinlich zu erwartenden Rechtsstreits erforderlich ist. Nach Beendigung eines Dienst- oder Beschäftigungsverhältnisses sind personenbezogene Daten zu löschen, wenn diese Daten nicht mehr benötigt werden, es sei denn, es stehen Rechtsvorschriften der Löschung entgegen.
(7) Soweit Daten der Personen in einem Dienst- oder Beschäftigungsverhältnis im Rahmen der Durchführung der technischen und organisatorischen Maßnahmen nach Artikel 32 der Datenschutz-Grundverordnung gespeichert werden, dürfen sie nicht zu Zwecken der Verhaltens- oder Leistungskontrolle genutzt werden.
(1) Die Verarbeitung personenbezogener Daten mit Hilfe von optisch-elektronischen Einrichtungen (Videoüberwachung) ist zulässig, wenn dies
zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt,
sonst zum Schutz des Eigentums oder Besitzes oder zur Kontrolle von Zugangsberechtigungen
erforderlich ist und keine Anhaltspunkte bestehen, dass überwiegende schutzwürdige Interessen der betroffenen Personen entgegenstehen. Bei der Videoüberwachung von Fahrzeugen und öffentlich zugänglichen Einrichtungen des öffentlichen Schienen-, Schiffs-, Bus- und Seilbahnverkehrs gilt der Schutz von Leben, Gesundheit oder Freiheit von sich dort aufhaltenden Personen als ein besonders wichtiges Interesse.
(2) Der Umstand der Videoüberwachung, die Angaben nach Artikel 13 Abs. 1 Buchst. a bis c der Datenschutz-Grundverordnung sowie die Möglichkeit, beim Verantwortlichen die weiteren Informationen nach Artikel 13 der Datenschutz-Grundverordnung zu erhalten, sind durch geeignete Maßnahmen erkennbar zu machen.
(3) Eine Verarbeitung zu anderen Zwecken ist nur zulässig, soweit dies zur Abwehr von Gefahren für die öffentliche Sicherheit oder zur Verfolgung von Straftaten erforderlich oder dies gesetzlich geregelt ist.
(4) Werden durch eine Videoüberwachung erhobene Daten einer bestimmten Person zugeordnet, ist die betroffene Person über eine Verarbeitung entsprechend Artikel 13 Abs. 1 der Datenschutz-Grundverordnung zu informieren, soweit und solange der Zweck der Verarbeitung hierdurch nicht gefährdet wird. § 12 gilt entsprechend.
(5) Das nach Absatz 1 gewonnene Bildmaterial und daraus gefertigte Unterlagen sind spätestens nach zwei Monaten zu löschen oder zu vernichten, soweit diese nicht zur Verfolgung von Straftaten, zur Geltendmachung von Rechtsansprüchen oder wegen entgegenstehender schutzwürdiger Interessen betroffener Personen, insbesondere zur Behebung einer bestehenden Beweisnot, erforderlich sind. Bis zur Aussonderung der Daten ist die Verarbeitung der personenbezogenen Daten im Sinne von Artikel 18 der Datenschutz-Grundverordnung einzuschränken.
(6) Überwacht ein Verantwortlicher zur Wahrnehmung einer Aufgabe systematisch, dauerhaft oder in einem eine Vielzahl von Personen betreffenden Umfang öffentlich zugängliche Bereiche und besteht ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen, ist eine Datenschutz-Folgenabschätzung nach Artikel 35 Abs. 3 Buchst. c der Datenschutz-Grundverordnung durchzuführen.
(7) Der Einsatz von Attrappen ist unter den Voraussetzungen der Absätze 1 und 2 zulässig.
Datenverarbeitung zu wissenschaftlichen
oder historischen Forschungszwecken und
(1) Der wissenschaftliche und historische Forschung betreibende Verantwortliche darf personenbezogene Daten im Sinne von Artikel 9 Abs. 1 der Datenschutz-Grundverordnung auch ohne Einwilligung der betroffenen Person für wissenschaftliche und historische Forschungszwecke verarbeiten, wenn das öffentliche Interesse an der Durchführung des Forschungsvorhabens das Interesse der betroffenen Person an dem Ausschluss der Erhebung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann.
(2) Für Zwecke der wissenschaftlichen oder historischen Forschung erhobene oder gespeicherte personenbezogene Daten dürfen nach Maßgabe des Absatzes 1 für weitere, mit dem ursprünglichen Zweck vereinbare Zwecke der Forschung verarbeitet werden.
(3) Eine wirksame Einwilligung der betroffenen Person zur Verarbeitung von genetischen oder biometrischen Daten oder Gesundheitsdaten bedarf der Schriftform.
(4) Die personenbezogenen Daten sind zu anonymisieren, sobald dies nach dem Forschungszweck möglich ist. Es muss sichergestellt sein, dass die Merkmale, mit denen Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren Person zugeordnet werden können, von einer Stelle verwaltet werden, die räumlich, organisatorisch und personell getrennt von der forschenden Stelle ist, wenn dem nicht zwingende wissenschaftliche Gründe entgegenstehen. Die Merkmale dürfen mit den Einzelangaben nur zusammengeführt werden, soweit der Forschungszweck dies erfordert.
(5) Der wissenschaftliche und historische Forschung betreibende Verantwortliche darf personenbezogene Daten nur veröffentlichen, wenn
dies für die Darstellung von Forschungsergebnissen über Ereignisse der Zeitgeschichte unerlässlich ist und überwiegende schutzwürdige Interessen der betroffenen Person nicht entgegenstehen.
(6) Die Absätze 1 bis 5 gelten entsprechend für die Datenverarbeitung zu statistischen Zwecken.
Verarbeitung zu Zwecken der
parlamentarischen Kontrolle
Die Landesregierung darf personenbezogene Daten einschließlich Daten im Sinne von Artikel 9 Abs. 1 der Datenschutz-Grundverordnung zur Beantwortung parlamentarischer Anfragen sowie zur Vorlage von Unterlagen und Berichten an den Landtag in dem dafür erforderlichen Umfang verarbeiten. Eine Übermittlung der personenbezogenen Daten zu einem der in Satz 1 genannten Zwecke ist nicht zulässig, wenn dies wegen des streng persönlichen Charakters der Daten für die betroffene Person unzumutbar ist oder wenn der Eingriff in ihr informationelles Selbstbestimmungsrecht unverhältnismäßig ist. Satz 2 gilt nicht, wenn durch die Datenschutzordnung im Sinne des § 2 Abs. 3 Satz 2 oder sonstige geeignete Maßnahmen sichergestellt ist, dass schutzwürdige Interessen der betroffenen Person nicht beeinträchtigt werden. Besondere gesetzliche Übermittlungsverbote bleiben unberührt.
(1) Ordnungswidrig handelt, wer entgegen den Bestimmungen der Datenschutz-Grundverordnung , dieses Gesetzes oder einer anderen Rechtsvorschrift über den Schutz personenbezogener Daten, personenbezogene Daten, die nicht offenkundig sind,
erhebt, speichert, unbefugt verwendet, verändert, übermittelt, weitergibt, zum Abruf bereithält, den Personenbezug herstellt oder löscht oder
abruft, einsieht, sich verschafft oder durch Vortäuschung falscher Tatsachen ihre Übermittlung oder Weitergabe an sich oder andere veranlasst.
(3) Gegen öffentliche Stellen werden keine Geldbußen verhängt. Dies gilt nicht für öffentliche Stellen nach § 2 Abs. 4, soweit die Verarbeitung im Rahmen einer Tätigkeit erfolgt, hinsichtlich derer die öffentliche Stelle mit anderen Verarbeitern im Wettbewerb steht.
(1) Wer gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, eine der in § 24 Abs. 1 genannten Handlungen begeht, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.
(3) Antragsberechtigt sind die betroffene Person, der Verantwortliche, der Auftragsverarbeiter und die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit.
(1) Die Bestimmungen dieses Teils gelten für Gerichte und Staatsanwaltschaften sowie für die Polizeibehörden und Ordnungsbehörden, soweit diese personenbezogene Daten zum Zwecke der Verhütung, Ermittlung, Aufdeckung, Verfolgung oder Ahndung von Straftaten oder Ordnungswidrigkeiten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, verarbeiten. Die in Satz 1 benannten Stellen gelten dabei als Verantwortliche. Soweit dieser Teil Bestimmungen für Auftragsverarbeiter enthält, gilt er auch für diese.
(2) Als eine Verarbeitung personenbezogener Daten im Sinne des Absatzes 1 gilt die ganz oder teilweise automatisierte oder nicht automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
eine staatliche Stelle, die für die Verhütung, Ermittlung, Aufdeckung, Verfolgung oder Ahndung von Straftaten oder Ordnungswidrigkeiten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, zuständig ist, oder
eine andere Stelle oder Einrichtung, der durch eine Rechtsvorschrift die Ausübung öffentlicher Gewalt und hoheitlicher Befugnisse zur Verhütung, Ermittlung, Aufdeckung, Verfolgung oder Ahndung von Straftaten oder Ordnungswidrigkeiten oder zur Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, übertragen wurde;
„Verletzung des Schutzes personenbezogener Daten“ eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten, die verarbeitet wurden, geführt hat;
„genetische Daten“ personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person, die eindeutige Informationen über die Physiologie oder die Gesundheit dieser natürlichen Person liefern, insbesondere solche, die aus der Analyse einer biologischen Probe der betreffenden Person gewonnen wurden;
„Aufsichtsbehörde“ eine von einem Mitgliedsstaat gemäß Artikel 41 der Richtlinie (EU) 2016/680 eingerichtete unabhängige staatliche Stelle;
„Einwilligung“ jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden Daten einverstanden ist.
(1) Die Verarbeitung personenbezogener Daten durch eine nach § 26 Abs. 1 zuständige Stelle zu den dort genannten Zwecken ist zulässig, wenn und soweit sie zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe erforderlich ist.
müssen auf rechtmäßige Weise verarbeitet werden,
müssen dem Verarbeitungszweck entsprechen, maßgeblich und in Bezug auf die Zwecke, für die sie verarbeitet sind, nicht übermäßig sein,
dürfen nicht länger, als es für die Zwecke, für die sie verarbeitet werden, erforderlich ist, in einer Form gespeichert werden, die die Identifizierung der betroffenen Person ermöglicht, und
müssen in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet; hierzu gehört auch ein durch geeignete technische und organisatorische Maßnahmen zu gewährleistender Schutz vor unbefugter oder unrechtmäßiger Verarbeitung, unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung.
(1) Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nur zulässig, wenn sie zur Aufgabenerfüllung unbedingt erforderlich ist, geeignete Garantien für die Rechtsgüter der betroffenen Personen bestehen und
wenn sie nach geltendem Recht zulässig ist oder
die Verarbeitung der Wahrung lebenswichtiger Interessen der betroffenen oder einer anderen natürlichen Person dient oder
wenn sie sich auf Daten bezieht, die die betroffene Person offensichtlich öffentlich gemacht hat.
(2) Geeignete Garantien im Sinne des Absatzes 1 können insbesondere sein
die Beschränkung des Zugangs zu den personenbezogenen Daten innerhalb des Verantwortlichen,
spezifische Verfahrensregelungen, die im Falle einer Übermittlung oder Verarbeitung für andere Zwecke die Rechtmäßigkeit der Verarbeitung sicherstellen.
(1) Eine Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu demjenigen, zu dem sie erhoben wurden, ist zulässig, wenn es sich bei dem anderen Zweck um einen in § 26 Abs. 1 genannten Zweck handelt, der Verantwortliche befugt ist, Daten zu diesem Zweck zu verarbeiten und die Verarbeitung zu diesem Zweck erforderlich und verhältnismäßig ist.
(2) Absatz 1 gilt nicht für die Verarbeitung personenbezogener Daten, die einem Berufsgeheimnis oder einem besonderen Amtsgeheimnis unterliegen und der datenverarbeitenden Stelle von der zur Verschwiegenheit verpflichteten Person in Ausübung ihrer Berufs- oder Amtspflicht übermittelt worden sind.
(3) Die Verarbeitung personenbezogener Daten zu einem anderen, in § 26 Abs. 1 nicht genannten Zweck ist zulässig, wenn sie in einer Rechtsvorschrift vorgesehen ist.
(4) § 7 Abs. 5 gilt entsprechend.
Verarbeitung zu archivarischen,
wissenschaftlichen und statistischen Zwecken
(1) Die Verarbeitung durch denselben oder einen anderen Verantwortlichen kann die Archivierung im öffentlichen Interesse und die wissenschaftliche, statistische oder historische Verwendung für die in § 26 Abs. 1 genannten Zwecke umfassen, sofern geeignete Garantien für die Rechtsgüter der betroffenen Personen vorgesehen werden.
(2) Geeignete Garantien im Sinne des Absatzes 1 können in einer Anonymisierung der personenbezogenen Daten, in Vorkehrungen gegen ihre unbefugte Kenntnisnahme durch Dritte oder in ihrer räumlich und organisatorisch von den sonstigen Fachaufgaben getrennten Verarbeitung bestehen.
Nachweis der Einhaltung
durch den Verantwortlichen
Der Verantwortliche ist für die Einhaltung der in den §§ 28 , 30 und 31 geregelten Bestimmungen verantwortlich und hat deren Einhaltung nachzuweisen.
(2) Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von anderen Sachverhalten klar zu unterscheiden ist.
(3) Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Die betroffene Person ist vor Abgabe der Einwilligung durch den Verantwortlichen hiervon in Kenntnis zu setzen.
(4) Die Einwilligung ist nur wirksam, wenn sie auf der freien Entscheidung der betroffenen Person beruht. Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, müssen die Umstände der Erteilung berücksichtigt werden. Die betroffene Person ist auf den vorgesehenen Zweck der Verarbeitung hinzuweisen. Ist dies nach den Umständen des Einzelfalls erforderlich oder verlangt die betroffene Person dies, ist sie auch über die Folgen der Verweigerung der Einwilligung zu belehren.
(1) Eine ausschließlich auf einer automatischen Verarbeitung beruhende Entscheidung, die mit einer nachteiligen Rechtsfolge für die betroffene Person verbunden ist oder sie erheblich beeinträchtigt, ist nur zulässig, wenn sie in einer Rechtsvorschrift vorgesehen ist, die geeignete Garantien für die Rechtsgüter der betroffenen Person bietet, zumindest aber das Recht auf persönliches Eingreifen seitens des Verantwortlichen.
(2) Entscheidungen nach Absatz 1 dürfen nicht auf besonderen Kategorien personenbezogener Daten beruhen, sofern nicht geeignete Maßnahmen zum Schutz der Rechtsgüter sowie berechtigter Interessen der betroffenen Person getroffen wurden.
(1) Öffentliche Stellen benennen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten.
(2) Für mehrere öffentliche Stellen kann unter Berücksichtigung ihrer Organisationsstruktur und Größe eine gemeinsame Datenschutzbeauftragte oder ein gemeinsamer Datenschutzbeauftragter benannt werden.
(3) Die oder der Datenschutzbeauftragte wird auf der Grundlage ihrer oder seiner beruflichen Qualifikation und insbesondere ihres oder seines Fachwissens benannt, das sie oder er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage ihrer oder seiner Fähigkeit zur Erfüllung der in § 39 genannten Aufgaben.
(4) Die oder der Datenschutzbeauftragte kann in einem Dienst- oder Beschäftigungsverhältnis mit der öffentlichen Stelle stehen oder ihre oder seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen.
(5) Die öffentliche Stelle veröffentlicht die Kontaktdaten der oder des Datenschutzbeauftragten und teilt diese Daten der oder dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit mit.
(2) Die öffentliche Stelle unterstützt die Datenschutzbeauftragte oder den Datenschutzbeauftragten bei der Erfüllung ihrer oder seiner Aufgaben gemäß § 39 , indem sie die für die Erfüllung dieser Aufgaben erforderlichen Ressourcen und den Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie die zur Erhaltung ihres oder seines Fachwissens erforderlichen Ressourcen zur Verfügung stellt.
(4) Die Abberufung der oder des Datenschutzbeauftragten ist nur in entsprechender Anwendung des § 626 des Bürgerlichen Gesetzbuchs zulässig. Die Kündigung des Arbeitsverhältnisses ist unzulässig, es sei denn, dass die öffentliche Stelle zur Kündigung aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist berechtigt ist.
(5) Betroffene Personen können die Datenschutzbeauftragte oder den Datenschutzbeauftragten zu allen Fragen in Zusammenhang mit der Verarbeitung ihrer personenbezogenen Daten und mit der Wahrnehmung ihrer Rechte nach Teil 3 dieses Gesetzes zu Rate ziehen. Die oder der Datenschutzbeauftragte ist zur Verschwiegenheit über die Identität der betroffenen Personen sowie über Umstände, die Rückschlüsse auf die betroffenen Personen zulassen, verpflichtet, soweit sie oder er nicht davon durch die betroffenen Personen befreit wird.
(6) Wenn die oder der Datenschutzbeauftragte bei ihrer oder seiner Tätigkeit Kenntnis von Daten erhält, für die der Leitung oder einer bei der öffentlichen Stelle beschäftigten Person aus beruflichen Gründen ein Zeugnisverweigerungsrecht zusteht, steht dieses Recht auch der oder dem Datenschutzbeauftragten und den ihr oder ihm unterstellten, in einem Dienst- oder Beschäftigungsverhältnis mit der öffentlichen Stelle stehenden Personen zu. Über die Ausübung dieses Rechts entscheidet die Person, der das Zeugnisverweigerungsrecht aus beruflichen Gründen zusteht, es sei denn, dass diese Entscheidung in absehbarer Zeit nicht herbeigeführt werden kann. Soweit das Zeugnisverweigerungsrecht der oder des Datenschutzbeauftragten reicht, unterliegen ihre oder seine Akten und andere Schriftstücke einem Beschlagnahmeverbot.
(1) Der oder dem Datenschutzbeauftragten obliegen im Anwendungsbereich des Teils 3 dieses Gesetzes folgende Aufgaben:
Unterrichtung und Beratung der öffentlichen Stelle und der mit ihr in einem Dienst- oder Beschäftigungsverhältnis stehenden Personen, die Verarbeitungen durchführen, hinsichtlich ihrer Pflichten nach diesem Gesetz und sonstigen Vorschriften über den Datenschutz, einschließlich der zur Umsetzung der Richtlinie (EU) 2016/680 erlassenen Rechtsvorschriften,
Überwachung der Einhaltung dieses Gesetzes oder sonstiger Vorschriften über den Datenschutz, einschließlich der zur Umsetzung der Richtlinie (EU) 2016/680 erlassenen Rechtsvorschriften, sowie der Strategien der öffentlichen Stelle für den Schutz personenbezogener Daten, einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und der Schulung der an den Verarbeitungsvorgängen beteiligten, in einem Dienst- oder Beschäftigungsverhältnis mit ihr stehenden Personen und der diesbezüglichen Überprüfungen,
Beratung im Zusammenhang mit der Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung gemäß § 56 ,
Zusammenarbeit mit der oder dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit,
Tätigkeit als Anlaufstelle für die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz und die Informationsfreiheit in mit der Verarbeitung zusammenhängenden Fragen, einschließlich der vorherigen Konsultation gemäß § 57 , und gegebenenfalls Beratung zu allen sonstigen Fragen.
Im Falle einer oder eines bei einem Gericht bestellten Datenschutzbeauftragten beziehen sich diese Aufgaben nicht auf das Handeln des Gerichts im Rahmen seiner justiziellen Tätigkeit.
(2) Die oder der Datenschutzbeauftragte kann andere Aufgaben und Pflichten wahrnehmen. Die öffentliche Stelle stellt sicher, dass derartige Aufgaben nicht zu einem Interessenkonflikt führen.
(3) Die oder der Datenschutzbeauftragte trägt bei der Erfüllung ihrer oder seiner Aufgaben dem mit den Verarbeitungsvorgängen verbundenen Risiko gebührend Rechnung, wobei sie oder er die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung berücksichtigt.
Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit ist Aufsichtsbehörde im Sinne des Artikels 41 der Richtlinie (EU) 2016/680 im Falle der Verarbeitung von Daten nach Teil 3 dieses Gesetzes. Die §§ 14 , 15 und 18 finden hinsichtlich der Rechtsstellung und Organisation der oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit entsprechende Anwendung.
(1) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit hat die folgenden Aufgaben:
die Anwendung dieses Gesetzes und die zur Umsetzung der Richtlinie (EU) 2016/680 erlassenen Rechtsvorschriften zu überwachen und durchzusetzen,
die Öffentlichkeit für die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung personenbezogener Daten zu sensibilisieren und aufzuklären,
den Landtag, die im Landtag vertretenen Fraktionen, die Landesregierung, die Kommunen und andere Einrichtungen und Gremien über legislative und administrative Maßnahmen zum Schutz der Rechte und Freiheiten natürlicher Personen in Bezug auf die Verarbeitung personenbezogener Daten zu beraten,
die Verantwortlichen und die Auftragsverarbeiter für die ihnen nach diesem Gesetz sowie aus den zur Umsetzung der Richtlinie (EU) 2016/680 erlassenen Rechtsvorschriften bestehenden Pflichten zu sensibilisieren,
auf Anfrage jeder betroffenen Person Informationen über die Ausübung ihrer nach Maßgabe dieses Gesetzes und der zur Umsetzung der Richtlinie (EU) 2016/680 erlassenen Rechtsvorschriften zur Verfügung zu stellen und gegebenenfalls zu diesem Zweck mit den Aufsichtsbehörden in anderen Mitgliedstaaten zusammenzuarbeiten,
sich mit Beschwerden einer betroffenen Person oder einer Stelle, einer Organisation oder eines Verbands gemäß § 50 zu befassen, den Gegenstand der Beschwerde in angemessenem Umfang zu untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung zu unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist,
mit anderen Aufsichtsbehörden zusammenzuarbeiten, auch durch Informationsaustausch, und ihnen Amtshilfe zu leisten, um die einheitliche Anwendung und Durchsetzung der Richtlinie (EU) 2016/680 zu gewährleisten,
Untersuchungen über die Anwendung dieses Gesetzes und der zur Umsetzung der Richtlinie (EU) 2016/680 erlassenen Rechtsvorschriften durchzuführen, auch auf der Grundlage von Informationen einer anderen Aufsichtsbehörde oder einer anderen Behörde,
Beratung in Bezug auf die in § 57 genannten Verarbeitungsvorgänge zu leisten,
die Aufgaben nach § 45 Abs. 7 und § 48 wahrzunehmen.
(2) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit ist nicht zuständig für die Aufsicht über die von den Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen.
(3) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit erleichtert das Einreichen der in Absatz 1 Nr. 6 genannten Beschwerden durch Maßnahmen wie etwa die Bereitstellung eines Beschwerdeformulars, das auch elektronisch ausgefüllt werden kann, ohne dass andere Kommunikationsmittel ausgeschlossen werden.
(4) Die Erfüllung der Aufgaben erfolgt für die betroffene Person und für die Datenschutzbeauftragte oder den Datenschutzbeauftragten unentgeltlich. Bei offenkundig unbegründeten oder besonders wegen häufiger Wiederholung exzessiven Anträgen kann die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit eine angemessene Gebühr verlangen oder sich weigern, aufgrund des Antrags tätig zu werden. In diesem Fall trägt die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit die Beweislast dafür, dass der Antrag offenkundig unbegründet oder exzessiv ist.
(5) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit erstellt einen Jahresbericht über ihre oder seine Tätigkeit, der eine Liste der Arten der gemeldeten Verstöße und der Arten der verhängten Sanktionen enthalten kann. Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit übermittelt den Bericht dem Landtag sowie der Landesregierung und macht ihn der Öffentlichkeit, der Europäischen Kommission und dem Europäischen Datenschutzausschuss zugänglich. § 16 Abs. 3 findet entsprechende Anwendung.
(1) Stellt die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit bei Datenverarbeitungen Verstöße gegen die Vorschriften dieses Gesetzes oder gegen andere Vorschriften über den Datenschutz oder sonstige Mängel bei der Verarbeitung oder Nutzung personenbezogener Daten zu Zwecken des § 26 Abs. 1 fest, so beanstandet sie oder er dies im Falle einer öffentlichen Stelle
des Landes gegenüber der zuständigen obersten Landesbehörde,
einer Gemeinde, eines Gemeindeverbands, eines Landkreises oder einer sonstigen der Aufsicht des Landes oder einer Gemeinde, eines Gemeindeverbands oder eines Landkreises unterstehenden Körperschaft, Anstalt oder Stiftung des öffentlichen Rechts sowie einer Vereinigung einer solchen Körperschaft, Anstalt oder Stiftung gegenüber dem vertretungsberechtigten Organ
und fordert eine Stellungnahme innerhalb einer angemessenen Frist ein. In den Fällen des Satzes 1 Nr. 2 unterrichtet die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit gleichzeitig die zuständige Aufsichtsbehörde. Die Stellungnahme soll auch eine Darstellung der Maßnahmen enthalten, die aufgrund der Beanstandung der oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit getroffen worden sind. Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit kann von einer Beanstandung absehen oder auf eine Stellungnahme verzichten, insbesondere wenn es sich um unerhebliche oder inzwischen beseitigte Mängel handelt. Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit kann den Verantwortlichen auch davor warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen in diesem Gesetz enthaltene und andere auf die jeweilige Datenverarbeitung anzuwendende Vorschriften über den Datenschutz verstoßen.
(2) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit kann bei Verstößen nach Absatz 1 Satz 1 darüber hinaus anordnen,
Verarbeitungsvorgänge, gegebenenfalls auf bestimmte Weise oder innerhalb eines bestimmten Zeitraums, mit den Bestimmungen dieses Gesetzes oder anderen Vorschriften über den Datenschutz in Einklang zu bringen,
personenbezogene Daten zu berichtigen,
personenbezogene Daten in der Verarbeitung einzuschränken,
personenbezogene Daten zu löschen,
wenn dies zur Beseitigung eines erheblichen Verstoßes gegen datenschutzrechtliche Vorschriften erforderlich ist.
(3) Die öffentlichen Stellen sind verpflichtet, die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz und die Informationsfreiheit bei der Erfüllung ihrer oder seiner Aufgaben zu unterstützen. Ihr oder ihm sind insbesondere
Auskunft zu allen Fragen zu erteilen und alle Dokumente vorzulegen, die im Zusammenhang mit der Verarbeitung personenbezogener Daten stehen,
Zugang zu allen personenbezogenen Daten, die verarbeitet werden, zu gewähren, und
Zugang zu den Grundstücken und Diensträumen einschließlich aller Datenverarbeitungsanlagen und -geräte zu gewähren, soweit dies zur Erfüllung ihrer oder seiner Aufgaben erforderlich ist.
(4) Die Verpflichtung nach Absatz 3 entfällt, soweit eine oberste Landesbehörde im Einzelfall feststellt, dass die Sicherheit des Bundes oder eines Landes dies gebietet. Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit ist hierüber schriftlich zu informieren. Die Gründe hierfür sind aktenkundig zu machen.
Der Verantwortliche hat in allgemeiner Form und für jedermann zugänglich folgende Informationen zur Verfügung zu stellen:
Hinweis auf die Befugnis, die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz und die Informationsfreiheit anzurufen und
Angaben zur Erreichbarkeit der oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit.
die in § 43 genannten Angaben,
die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Fristen,
gegebenenfalls die Kategorien von Empfängern der personenbezogenen Daten sowie
(2) In den Fällen des Absatzes 1 kann der Verantwortliche die Benachrichtigung insoweit und solange aufschieben, einschränken und unterlassen, wie andernfalls
die Erfüllung der in § 26 Abs. 1 genannten Aufgaben,
(3) Bezieht sich die Benachrichtigung auf die Übermittlung personenbezogener Daten an Verfassungsschutzbehörden des Bundes und der Länder, den Bundesnachrichtendienst oder den Militärischen Abschirmdienst, ist sie nur mit Zustimmung dieser Stellen zulässig.
(4) Im Falle der Einschränkung nach Absatz 2 gilt § 45 Abs. 7 entsprechend.
das Recht, nach § 48 die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz und die Informationsfreiheit anzurufen sowie
(2) Absatz 1 gilt nicht für personenbezogene Daten, die nur deshalb verarbeitet werden, weil sie aufgrund gesetzlicher Aufbewahrungsvorschriften nicht gelöscht werden dürfen, oder die ausschließlich Zwecken der Datensicherung oder der Datenschutzkontrolle dienen, wenn die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde und eine Verarbeitung zu anderen Zwecken durch geeignete technische und organisatorische Maßnahmen ausgeschlossen ist.
(3) Von der Auskunftserteilung ist abzusehen, soweit die betroffene Person keine Angaben macht, die das Auffinden der Daten ermöglichen, und der für die Erteilung der Auskunft erforderliche Aufwand außer Verhältnis zu dem von der betroffenen Person geltend gemachten Informationsinteresse steht. Der betroffenen Person ist vor dem Absehen der Auskunftserteilung Gelegenheit zur Präzisierung des Auskunftsersuchens zu geben.
(4) Der Verantwortliche kann unter den Voraussetzungen des § 44 Abs. 2 von der Auskunft nach Absatz 1 Satz 1 absehen oder die Auskunftserteilung nach Absatz 1 Satz 2 teilweise oder vollständig einschränken.
(6) Der Verantwortliche hat die betroffene Person über das Absehen von oder die Einschränkung einer Auskunft unverzüglich schriftlich zu unterrichten. Dies gilt nicht, wenn bereits die Erteilung dieser Informationen eine Gefährdung im Sinne des § 44 Abs. 2 mit sich bringen würde. Die Unterrichtung nach Satz 1 ist zu begründen, es sei denn, dass die Mitteilung der Gründe den mit dem Absehen von oder der Einschränkung der Auskunft verfolgten Zweck gefährden würde.
(7) Wird die betroffene Person nach Absatz 6 über das Absehen von oder die Einschränkung der Auskunft unterrichtet, kann sie ihr Auskunftsrecht auch über die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz und die Informationsfreiheit ausüben. Der Verantwortliche hat die betroffene Person über diese Möglichkeit sowie darüber zu unterrichten, dass sie gemäß § 48 die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz und die Informationsfreiheit anrufen oder gerichtlichen Rechtsschutz suchen kann. Macht die betroffene Person von ihrem Recht nach Satz 1 Gebrauch, ist die Auskunft auf ihr Verlangen der oder dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit zu erteilen, soweit nicht die zuständige oberste Landesbehörde im Einzelfall feststellt, dass dadurch die Sicherheit des Bundes oder eines Landes gefährdet würde. Wird der oder dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit eine Auskunft nicht erteilt, so sind die Gründe dafür aktenkundig zu machen. Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit hat die betroffene Person zumindest darüber zu unterrichten, dass eine Überprüfung durch sie oder ihn stattgefunden hat. Diese Mitteilung kann die Information enthalten, ob datenschutzrechtliche Verstöße festgestellt wurden. Die Mitteilung der oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit an die betroffene Person darf keine Rückschlüsse auf den Erkenntnisstand des Verantwortlichen zulassen, sofern dieser keiner weitergehenden Auskunft zustimmt. Der Verantwortliche darf die Zustimmung nur insoweit und solange verweigern, wie er nach Absatz 4 von einer Auskunft absehen oder sie einschränken könnte. Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit hat zudem die betroffene Person über ihr Recht auf gerichtlichen Rechtsschutz zu unterrichten.
(8) Der Verantwortliche hat die sachlichen oder rechtlichen Gründe für die Entscheidung zu dokumentieren.
Rechte auf Berichtigung und Löschung
sowie Einschränkung der Verarbeitung
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger Daten zu verlangen. Insbesondere im Fall von Aussagen oder Beurteilungen betrifft die Frage der Richtigkeit nicht den Inhalt der Aussage oder der Beurteilung, sondern die Tatsache, dass die Aussage oder Beurteilung so erfolgt ist. Wenn die Richtigkeit oder Unrichtigkeit der Daten nicht festgestellt werden kann, tritt an die Stelle der Berichtigung eine Einschränkung der Verarbeitung. In diesem Fall hat der Verantwortliche die betroffene Person zu unterrichten, bevor er die Einschränkung wieder aufhebt. Die betroffene Person kann zudem unter Berücksichtigung der Verarbeitungszwecke die Vervollständigung unvollständiger personenbezogener Daten verlangen, wenn dies angemessen ist.
die Daten zu Beweiszwecken in Verfahren, die den in § 26 Abs. 1 genannten Zwecken dienen, weiter aufbewahrt werden müssen oder
In ihrer Verarbeitung nach Satz 1 eingeschränkte Daten dürfen nur zu dem Zweck verarbeitet werden, der ihrer Löschung entgegenstand.
(5) Hat der Verantwortliche eine Berichtigung vorgenommen, hat er einer Stelle, die ihm die personenbezogenen Daten übermittelt hat, die Berichtigung mitzuteilen. Der Empfänger hat die Daten zu berichtigen, zu löschen oder ihre Verarbeitung einzuschränken. In Fällen der Berichtigung, Löschung oder Einschränkung der Verarbeitung nach den Absätzen 1 bis 3 hat der Verantwortliche anderen Empfängern, denen die Daten übermittelt wurden, diese Maßnahmen mitzuteilen.
(6) Der Verantwortliche hat die betroffene Person über ein Absehen von der Berichtigung oder Löschung personenbezogener Daten oder über die an deren Stelle tretende Einschränkung der Verarbeitung schriftlich zu unterrichten. Dies gilt nicht, wenn bereits die Erteilung dieser Informationen eine Gefährdung im Sinne des § 44 Abs. 2 mit sich bringen würde. Die Unterrichtung nach Satz 1 ist zu begründen, es sei denn, dass die Mitteilung der Gründe den mit dem Absehen von der Unterrichtung verfolgten Zweck gefährden würde.
(7) § 45 Abs. 7 und 8 findet entsprechende Anwendung.
Verfahren für die Ausübung der Rechte
der betroffenen Person
(1) Der Verantwortliche hat mit betroffenen Personen unter Verwendung einer klaren und einfachen Sprache in präziser, verständlicher und leicht zugänglicher Form zu kommunizieren.
(2) Bei Anträgen hat der Verantwortliche die betroffene Person unbeschadet des § 45 Abs. 6 und des § 46 Abs. 6 unverzüglich schriftlich darüber in Kenntnis zu setzen, wie verfahren wurde.
(3) Die Erteilung von Informationen nach § 43 , Benachrichtigungen nach den §§ 44 und 55 sowie die Bearbeitung von Anträgen nach den §§ 45 und 46 erfolgen unentgeltlich. Bei offenkundig unbegründeten oder exzessiven Anträgen nach den §§ 45 und 46 kann der Verantwortliche entweder eine angemessene Gebühr auf der Grundlage von Verwaltungskosten verlangen oder sich weigern, aufgrund des Antrags tätig zu werden. In diesem Fall muss der Verantwortliche den offenkundig unbegründeten oder exzessiven Charakter des Antrags belegen können.
(4) Hat der Verantwortliche begründete Zweifel an der Identität einer betroffenen Person, die einen Antrag nach § 45 oder § 46 gestellt hat, kann er von ihr zusätzliche Informationen anfordern, die zur Bestätigung ihrer Identität erforderlich sind.
Anrufung der oder des Landesbeauftragten
(1) Jede betroffene Person kann sich unbeschadet anderweitiger Rechtsbehelfe mit einer Beschwerde an die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz und die Informationsfreiheit wenden, wenn sie der Auffassung ist, bei der Verarbeitung ihrer personenbezogenen Daten durch öffentliche Stellen zu den in § 26 Abs. 1 genannten Zwecken in ihren Rechten verletzt worden zu sein. Dies gilt nicht für die Verarbeitung von personenbezogenen Daten durch Gerichte, soweit diese die Daten im Rahmen ihrer justiziellen Tätigkeit verarbeitet haben. Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit hat die betroffene Person über den Stand und das Ergebnis der Beschwerde zu unterrichten und sie hierbei auf die Möglichkeit gerichtlichen Rechtsschutzes nach § 49 hinzuweisen.
(2) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit hat eine bei ihr oder ihm eingelegte Beschwerde über eine Verarbeitung, die in die Zuständigkeit einer Aufsichtsbehörde in einem anderen Mitgliedstaat der Europäischen Union fällt, unverzüglich an die zuständige Aufsichtsbehörde des anderen Staates weiterzuleiten. Sie oder er hat in diesem Fall die betroffene Person über die Weiterleitung zu unterrichten und ihr auf deren Ersuchen weitere Unterstützung zu leisten.
Rechtsschutz gegen Entscheidungen der
oder des Landesbeauftragten für den Datenschutz
und die Informationsfreiheit oder bei deren oder
dessen Untätigkeit
(1) Jede natürliche oder juristische Person kann unbeschadet anderer Rechtsbehelfe gerichtlich gegen eine verbindliche Entscheidung der oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit vorgehen.
(2) Absatz 1 gilt entsprechend zugunsten betroffener Personen, wenn sich die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit mit einer Beschwerde nach § 48 nicht befasst oder die betroffene Person nicht innerhalb von drei Monaten nach Einlegung der Beschwerde über den Stand oder das Ergebnis der Beschwerde in Kenntnis gesetzt hat.
Die betroffene Person kann eine rechtmäßig gegründete Einrichtung, Organisation oder Vereinigung ohne Gewinnerzielungsabsicht, deren satzungsmäßige Ziele im öffentlichen Interesse liegen und die im Bereich des Schutzes der Rechtsgüter betroffener Personen in Bezug auf den Schutz personenbezogener Daten tätig ist, beauftragen, im Namen der betroffenen Person eine Beschwerde einzureichen oder die Rechte nach § 45 Abs. 1 Satz 2 Nr. 7 sowie nach den §§ 48 und 49 wahrzunehmen.
(1) Werden personenbezogene Daten im Auftrag eines Verantwortlichen durch andere Personen oder Stellen verarbeitet, hat der Verantwortliche für die Einhaltung der Bestimmungen dieses Gesetzes und anderer Vorschriften über den Datenschutz zu sorgen. Die Rechte der betroffenen Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Schadensersatz sind in diesem Fall gegenüber dem Verantwortlichen geltend zu machen.
(3) Auftragsverarbeiter dürfen ohne vorherige schriftliche Genehmigung des Verantwortlichen keinen weiteren Auftragsverarbeiter hinzuziehen. Hat der Verantwortliche dem Auftragsverarbeiter eine allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter erteilt, hat der Auftragsverarbeiter den Verantwortlichen über jede beabsichtigte Hinzuziehung oder Ersetzung zu informieren. Der Verantwortliche kann in diesem Fall die Hinzuziehung oder Ersetzung untersagen.
(4) Zieht ein Auftragsverarbeiter einen weiteren Auftragsverarbeiter hinzu, so hat er diesem dieselben Verpflichtungen aus seinem Vertrag mit dem Verantwortlichen nach Absatz 5 aufzuerlegen, die auch für ihn gelten, soweit diese Pflichten für den weiteren Auftragsverarbeiter nicht schon aufgrund anderer Vorschriften verbindlich sind. Erfüllt ein weiterer Auftragsverarbeiter diese Verpflichtungen nicht, so haftet der ihn beauftragende Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des weiteren Auftragsverarbeiters.
dem Verantwortlichen alle erforderlichen Informationen, insbesondere die gemäß § 64 erstellten Protokolle, zum Nachweis der Einhaltung seiner Pflichten zur Verfügung stellt;
Überprüfungen, die von dem Verantwortlichen oder einem anderen, von diesem beauftragten Prüfer durchgeführt werden, ermöglicht und dazu beiträgt;
alle gemäß § 53 erforderlichen Maßnahmen ergreift und
unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen bei der Einhaltung der in den §§ 53 bis 57 genannten Pflichten unterstützt.
(7) Ein Auftragsverarbeiter, der die Zwecke und Mittel der Verarbeitung unter Verstoß gegen diese Bestimmung festlegt, gilt in Bezug auf diese Verarbeitung als Verantwortlicher.
(1) Der Verantwortliche und der Auftragsverarbeiter haben unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und der Schwere der mit der Verarbeitung verbundenen Gefahren für die Rechtsgüter der betroffenen Personen die erforderlichen technischen und organisatorischen Maßnahmen zu treffen, um bei der Verarbeitung personenbezogener Daten ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere im Hinblick auf die Verarbeitung besonderer Kategorien personenbezogener Daten. Der Verantwortliche hat hierbei die einschlägigen Technischen Richtlinien und Empfehlungen des Bundesamtes für Sicherheit in der Informationstechnik zu berücksichtigen.
Gewährleistung, dass überprüft und festgestellt werden kann, an welchen Stellen personenbezogene Daten mit Hilfe von Einrichtungen zur Datenübertragung übermittelt oder zur Verfügung gestellt wurden oder werden können (Übertragungskontrolle),
Ein Zweck nach Satz 1 Nr. 2 bis 5 kann insbesondere durch die Verwendung von dem Stand der Technik entsprechenden Verschlüsselungsverfahren erreicht werden.
des Schutzes personenbezogener Daten
(1) Der Verantwortliche hat eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst innerhalb von 72 Stunden, nachdem sie ihm bekannt geworden ist, der oder dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit zu melden, es sei denn, dass die Verletzung voraussichtlich kein Risiko für die Rechtsgüter natürlicher Personen mit sich gebracht hat. Erfolgt die Meldung an die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz und die Informationsfreiheit nicht innerhalb von 72 Stunden, so ist die Verzögerung zu begründen.
eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, die, soweit möglich, Angaben zu den Kategorien und der ungefähren Anzahl der betroffenen personenbezogenen Datensätze zu enthalten hat,
(5) Der Verantwortliche hat die Verletzungen des Schutzes personenbezogener Daten zu dokumentieren. Die Dokumentation hat alle mit den Vorfällen zusammenhängenden Tatsachen, deren Auswirkungen und die ergriffenen Abhilfemaßnahmen zu umfassen.
(7) § 42 Abs. 4 BDSG findet entsprechende Anwendung.
bei Verletzungen des Schutzes
(1) Hat eine Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für Rechtsgüter betroffener Personen zur Folge, so hat der Verantwortliche die betroffenen Personen unverzüglich über den Vorfall zu benachrichtigen.
(2) Die Benachrichtigung nach Absatz 1 hat in klarer und einfacher Sprache die Art der Verletzung des Schutzes personenbezogener Daten zu beschreiben und zumindest die in § 54 Abs. 3 Nr. 2 bis 4 genannten Informationen und Maßnahmen zu enthalten.
(3) Von einer Benachrichtigung nach Absatz 1 kann abgesehen werden, wenn
der Verantwortliche geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen hat und diese Vorkehrungen auf die von der Verletzung betroffenen personenbezogenen Daten angewandt wurden; dies gilt insbesondere für Vorkehrungen wie Verschlüsselungen, durch die die Daten für unbefugte Personen unzugänglich gemacht wurden,
der Verantwortliche durch im Anschluss an die Verletzung getroffene Maßnahmen sichergestellt hat, dass aller Wahrscheinlichkeit nach kein hohes Risiko im Sinne des Absatzes 1 mehr besteht, oder
(4) Wenn der Verantwortliche die betroffenen Personen über eine Verletzung des Schutzes personenbezogener Daten nicht benachrichtigt hat, kann die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit förmlich feststellen, dass ihrer oder seiner Auffassung nach die in Absatz 3 genannten Voraussetzungen nicht erfüllt sind. Hierbei hat sie oder er die Wahrscheinlichkeit zu berücksichtigen, dass die Verletzung ein hohes Risiko zur Folge hat.
(5) Die Benachrichtigung der betroffenen Person nach Absatz 1 kann unter den in § 44 Abs. 2 genannten Voraussetzungen aufgeschoben, eingeschränkt oder unterlassen werden, soweit nicht die Interessen der betroffenen Person aufgrund der von der Verletzung ausgehenden hohen Risiken überwiegen. Bezieht sich die Benachrichtigung auf die Übermittlung personenbezogener Daten an Verfassungsschutzbehörden des Bundes und der Länder, den Bundesnachrichtendienst oder den Militärischen Abschirmdienst, ist sie nur mit Zustimmung dieser Stellen zulässig.
(6) § 42 Abs. 4 BDSG findet entsprechende Anwendung.
(1) Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechtsgüter betroffener Personen zur Folge, so hat der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für die betroffenen Personen durchzuführen (Datenschutz-Folgenabschätzung).
(2) Für die Untersuchung mehrerer ähnlicher Verarbeitungsvorgänge mit ähnlich hohen Risiken kann eine gemeinsame Datenschutz-Folgenabschätzung vorgenommen werden.
(3) Der Verantwortliche hat die Datenschutzbeauftragte oder den Datenschutzbeauftragten an der Durchführung der Datenschutz-Folgenabschätzung zu beteiligen.
(4) Die Datenschutz-Folgenabschätzung hat den Rechten der von der Datenverarbeitung betroffenen Personen und sonstiger Betroffener Rechnung zu tragen und zumindest Folgendes zu enthalten:
eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und den Zweck der Verarbeitung,
eine Bewertung der Risiken für die Rechtsgüter der betroffenen Personen und
die Maßnahmen, mit denen bestehenden Risiken abgeholfen werden soll, einschließlich der Garantien, der Sicherheitsvorkehrungen und der Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und die Einhaltung der gesetzlichen Vorgaben nachgewiesen werden sollen.
(5) Soweit erforderlich hat der Verantwortliche eine Überprüfung durchzuführen, ob die Verarbeitung den Maßgaben folgt, die sich aus der Datenschutz-Folgenabschätzung ergeben haben.
Konsultation der oder des Landesbeauftragten für
(1) Der Verantwortliche hat vor der Inbetriebnahme von neu anzulegenden Dateisystemen die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz und die Informationsfreiheit zu konsultieren, wenn
aus der Datenschutz-Folgenabschätzung nach § 56 hervorgeht, dass die Verarbeitung ein hohes Risiko für die Rechtsgüter der betroffenen Personen zur Folge hätte, wenn der Verantwortliche keine Abhilfemaßnahmen treffen würde oder
die Form der Verarbeitung, insbesondere bei der Verwendung neuer Technologien, Mechanismen oder Verfahren ein hohes Risiko für die Rechtsgüter der betroffenen Personen zur Folge hat.
Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit kann eine Liste der Verarbeitungsvorgänge erstellen, die der Pflicht zur Anhörung nach Satz 1 unterliegen.
(2) Bei der Ausarbeitung eines Vorschlags für die Datenverarbeitung betreffende Gesetzes- und Verordnungsentwürfe ist zuvor die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit zu konsultieren.
(3) Der oder dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit sind im Falle des Absatzes 1 vorzulegen:
die nach § 56 durchgeführte Datenschutz-Folgenabschätzung,
Angaben zu den zum Schutz der Rechtsgüter der betroffenen Person vorgesehenen Maßnahmen und Garantien,
Name und Kontaktdaten der oder des Datenschutzbeauftragten.
Auf Anforderung sind ihr oder ihm zudem alle sonstigen Informationen zu übermitteln, die sie oder er benötigt, um die Rechtmäßigkeit der Verarbeitung sowie insbesondere die in Bezug auf den Schutz der personenbezogenen Daten der betroffenen Person bestehenden Gefahren und die diesbezüglichen Garantien bewerten zu können.
(4) Falls die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit der Auffassung ist, dass die geplante Verarbeitung gegen gesetzliche Vorgaben verstoßen würde, insbesondere weil der Verantwortliche das Risiko nicht ausreichend ermittelt oder keine ausreichenden Abhilfemaßnahmen getroffen hat, kann sie oder er dem Verantwortlichen und gegebenenfalls dem Auftragsverarbeiter innerhalb eines Zeitraums von sechs Wochen nach Einleitung der Anhörung schriftliche Empfehlungen unterbreiten, welche Maßnahmen noch ergriffen werden sollten. Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit kann diese Frist um einen Monat verlängern, wenn die geplante Verarbeitung besonders komplex ist. Sie oder er hat in diesem Fall innerhalb eines Monats nach Einleitung der Anhörung den Verantwortlichen und gegebenenfalls den Auftragsverarbeiter über die Fristverlängerung zu informieren.
(5) Hat die beabsichtigte Verarbeitung erhebliche Bedeutung für die Aufgabenerfüllung des Verantwortlichen und ist sie daher besonders dringlich, kann er mit der Verarbeitung nach Beginn der Anhörung, aber vor Ablauf der in Absatz 4 Satz 1 genannten Frist beginnen. In diesem Fall sind die Empfehlungen der oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit im Nachhinein zu berücksichtigen und sind die Art und Weise der Verarbeitung daraufhin gegebenenfalls anzupassen.
(1) Der Verantwortliche hat ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten zu führen, die in seine Zuständigkeit fallen. Dieses Verzeichnis hat folgende Angaben zu enthalten:
den Namen und die Kontaktdaten des Verantwortlichen und gegebenenfalls die gemeinsam mit ihm Verantwortlichen sowie den Namen und die Kontaktdaten der oder des Datenschutzbeauftragten,
die Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden,
Angaben über die Rechtsgrundlage der Verarbeitung einschließlich der Übermittlungen, für die die personenbezogenen Daten bestimmt sind,
wenn möglich die vorgesehenen Fristen für die Löschung der verschiedenen Kategorien personenbezogener Daten,
wenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß § 53 .
den Namen und die Kontaktdaten des Auftragsverarbeiters, jedes Verantwortlichen, in dessen Auftrag der Auftragsverarbeiter tätig ist sowie gegebenenfalls der oder des Datenschutzbeauftragten,
gegebenenfalls Übermittlungen von personenbezogenen Daten an Stellen in einem Drittstaat oder an eine internationale Organisation,
(4) Verantwortliche und Auftragsverarbeiter haben auf Anforderung ihre Verzeichnisse der oder dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit zur Verfügung zu stellen.
(1) Der Verantwortliche hat sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der Verarbeitung selbst angemessene Vorkehrungen zu treffen, die geeignet sind, die Datenschutzgrundsätze wie etwa die Datensparsamkeit wirksam umzusetzen, und die sicherstellen, dass die gesetzlichen Anforderungen eingehalten und die Rechte der betroffenen Personen geschützt werden. Er hat hierbei den Stand der Technik, die Implementierungskosten und die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Gefahren für die Rechtsgüter der betroffenen Personen zu berücksichtigen. Insbesondere sind die Verarbeitung personenbezogener Daten und die Auswahl und Gestaltung von Datenverarbeitungssystemen an dem Ziel auszurichten, so wenig personenbezogene Daten wie möglich zu verarbeiten. Personenbezogene Daten sind zum frühestmöglichen Zeitpunkt zu anonymisieren oder zu pseudonymisieren, soweit dies nach dem Verarbeitungszweck möglich ist.
Unterscheidung zwischen verschiedenen
verurteilte Straftäterinnen und Straftäter,
Unterscheidung zwischen Tatsachen und
persönlichen Einschätzungen
Der Verantwortliche hat bei der Verarbeitung so weit wie möglich danach zu unterscheiden, ob personenbezogene Daten auf Tatsachen oder auf persönlichen Einschätzungen beruhen. Zu diesem Zweck soll er, soweit dies im Rahmen der jeweiligen Verarbeitung möglich ist, Beurteilungen, die auf persönlichen Einschätzungen beruhen, als solche kenntlich machen. Es muss außerdem feststellbar sein, welche Stelle die Unterlagen führt, die der auf einer persönlichen Einschätzung beruhenden Beurteilung zugrunde liegen.
(1) Der Verantwortliche hat angemessene Maßnahmen zu ergreifen, um zu gewährleisten, dass personenbezogene Daten, die unrichtig oder nicht mehr aktuell sind, nicht mehr übermittelt oder sonst zur Verfügung gestellt werden. Zu diesem Zweck hat er, soweit dies mit angemessenem Aufwand möglich ist, die Qualität der Daten vor ihrer Übermittlung oder Bereitstellung zu überprüfen. Bei jeder Übermittlung personenbezogener Daten hat er zudem, soweit dies möglich und angemessen ist, Informationen beizufügen, die es dem Empfänger gestatten, die Richtigkeit, die Vollständigkeit und die Zuverlässigkeit der Daten sowie deren Aktualität zu beurteilen.
(2) Gelten für die Verarbeitung von personenbezogenen Daten besondere Bedingungen, so hat bei Datenübermittlungen die übermittelnde Stelle den Empfänger auf diese Bedingungen hinzuweisen. Die Hinweispflicht kann dadurch erfüllt werden, dass die Daten entsprechend markiert werden.
(3) Die übermittelnde Stelle darf auf Empfänger in anderen Mitgliedstaaten der Europäischen Union auf Einrichtungen und sonstige Stellen, die nach den Kapiteln 4 und 5 des Titels V des Dritten Teils des Vertrags über die Arbeitsweise der Europäischen Union errichtet wurden, keine Bedingungen anwenden, die nicht auch für entsprechende innerstaatliche Datenübermittlungen gelten.
(4) § 5 Abs. 2 gilt entsprechend.
Berichtigung und Löschung sowie
(1) Der Verantwortliche hat personenbezogene Daten zu berichtigen, wenn sie unrichtig sind. Eine Berichtigung ist der Stelle, die die Daten zuvor übermittelt hat, mitzuteilen.
(3) § 46 Abs. 1 Satz 3 und Abs. 3 bis 5 ist entsprechend anzuwenden. Sind personenbezogene Daten unrechtmäßig übermittelt worden, ist dies auch dem Empfänger mitzuteilen.
Der Verantwortliche hat wirksame Vorkehrungen zu treffen, um vertrauliche Meldungen über Verstöße gegen das geltende Recht zu fördern.
die Übermittlung für die in § 26 Abs. 1 genannten Zwecke erforderlich ist,
die Stelle oder Organisation für die in § 26 Abs. 1 genannten Zwecke zuständig ist und
die Europäische Kommission gemäß Artikel 36 Abs. 1 der Richtlinie (EU) 2016/680 einen Angemessenheitsbeschluss gefasst hat oder, wenn kein solcher Beschluss vorliegt, geeignete Garantien im Sinne des § 67 erbracht wurden oder bestehen, oder, wenn weder ein solcher Beschluss noch geeignete Garantien vorliegen, Ausnahmen für bestimmte Fälle gemäß § 68 anwendbar sind.
(2) Die Übermittlung personenbezogener Daten hat trotz des Vorliegens eines Angemessenheitsbeschlusses im Sinne des Absatzes 1 Nr. 3 und des zu berücksichtigenden öffentlichen Interesses an der Datenübermittlung zu unterbleiben, wenn im Einzelfall ein datenschutzrechtlich angemessener und die elementaren Menschenrechte wahrender Umgang mit den Daten beim Empfänger nicht hinreichend gesichert ist oder sonst überwiegende schutzwürdige Interessen einer betroffenen Person entgegenstehen. Bei seiner Beurteilung hat der Verantwortliche maßgeblich zu berücksichtigen, ob der Empfänger im Einzelfall einen angemessenen Schutz der übermittelten Daten garantiert.
(3) Wenn personenbezogene Daten, die aus einem anderen Mitgliedstaat der Europäischen Union übermittelt oder zur Verfügung gestellt wurden, nach Absatz 1 übermittelt werden sollen, muss diese Übermittlung zuvor von der zuständigen Stelle des anderen Mitgliedstaats genehmigt werden. Übermittlungen ohne vorherige Genehmigung sind nur dann zulässig, wenn die Übermittlung erforderlich ist, um eine unmittelbare und ernsthafte Gefahr für die öffentliche Sicherheit eines Staates oder für die wesentlichen Interessen eines Mitgliedstaats abzuwehren, und die vorherige Genehmigung nicht rechtzeitig eingeholt werden kann. Im Falle des Satzes 2 ist die Stelle des anderen Mitgliedstaats, die für die Erteilung der Genehmigung zuständig gewesen wäre, unverzüglich über die Übermittlung zu unterrichten.
(1) Liegt entgegen § 66 Abs. 1 Nr. 3 kein Beschluss nach Artikel 36 Abs. 3 der Richtlinie (EU) 2016/680 vor, ist eine Übermittlung bei Vorliegen der übrigen Voraussetzungen des § 66 auch dann zulässig, wenn
(2) Der Verantwortliche hat Übermittlungen nach Absatz 1 Nr. 2 zu dokumentieren. Die Dokumentation hat den Zeitpunkt der Übermittlung, die Identität des Empfängers, den Grund der Übermittlung und die übermittelten personenbezogenen Daten zu enthalten. Sie ist der oder dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit auf Anforderung zur Verfügung zu stellen.
(3) Der Verantwortliche hat die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz und die Informationsfreiheit zumindest jährlich über Übermittlungen zu unterrichten, die aufgrund einer Beurteilung nach Absatz 1 Nr. 2 erfolgt sind. In der Unterrichtung kann er die Empfänger und die Übermittlungszwecke angemessen kategorisieren.
(1) Liegt entgegen § 66 Abs. 1 Nr. 3 kein Beschluss nach Artikel 36 Abs. 3 der Richtlinie (EU) 2016/680 vor und liegen auch keine geeigneten Garantien im Sinne des § 67 Abs. 1 vor, ist eine Übermittlung bei Vorliegen der übrigen Voraussetzungen des § 66 auch dann zulässig, wenn die Übermittlung erforderlich ist
zur Wahrung berechtigter Interessen der betroffenen Person, wenn dies nach dem geltenden Recht des Mitgliedstaats, aus dem die personenbezogenen Daten übermittelt werden, vorgesehen ist,
zur Abwehr einer gegenwärtigen und erheblichen Gefahr für die öffentliche Sicherheit des Staates,
im Einzelfall für die in § 26 Abs. 1 genannten Zwecke oder
im Einzelfall zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen im Zusammenhang mit den in § 26 Abs. 1 genannten Zwecken.
(2) Der Verantwortliche hat von einer Übermittlung nach Absatz 1 abzusehen, wenn die Grundrechte der betroffenen Person das öffentliche Interesse an der Übermittlung im Sinne des Absatzes 1 Nr. 4 und 5 überwiegen.
(1) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit hat den Datenschutzaufsichtsbehörden in anderen Mitgliedstaaten der Europäischen Union Informationen zu übermitteln und Amtshilfe zu leisten, soweit dies für eine einheitliche Umsetzung und Anwendung der Richtlinie (EU) 2016/680 erforderlich ist. Die Amtshilfe betrifft insbesondere Auskunftsersuchen und aufsichtsbezogene Maßnahmen, beispielsweise Ersuchen um Konsultation oder um Vornahme von Nachprüfungen und Untersuchungen.
(2) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit hat alle geeigneten Maßnahmen zu ergreifen, um Amtshilfeersuchen unverzüglich und spätestens innerhalb eines Monats nach deren Eingang nachzukommen. Dazu kann insbesondere auch die Übermittlung maßgeblicher Informationen über die Durchführung einer Untersuchung gehören.
(3) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit darf Amtshilfeersuchen nur ablehnen, wenn
(4) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit hat die ersuchende Aufsichtsbehörde des anderen Staates über die Ergebnisse oder gegebenenfalls über den Fortgang der Maßnahmen zu informieren, die getroffen wurden, um dem Amtshilfeersuchen nachzukommen. Sie oder er hat im Falle des Absatzes 3 die Gründe für die Ablehnung des Ersuchens zu erläutern.
(5) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit hat die Informationen, um die von einer anderen Aufsichtsbehörde ersucht wurde, in der Regel auf elektronischem Weg unter Verwendung eines standardisierten Formulars zu übermitteln.
(6) Die oder der Landesbeauftragte für den Datenschutz und die Informationsfreiheit hat Amtshilfeersuchen kostenfrei zu erledigen, soweit sie oder er nicht im Einzelfall mit der Aufsichtsbehörde des anderen Staates die Erstattung entstandener Ausgaben vereinbart hat.
(7) Ein Amtshilfeersuchen der oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit hat alle erforderlichen Informationen zu enthalten; hierzu gehören insbesondere der Zweck und die Begründung des Ersuchens. Die auf das Ersuchen übermittelten Informationen dürfen ausschließlich zu dem Zweck verwendet werden, zu dem sie angefordert wurden.
(1) Hat ein Verantwortlicher einer betroffenen Person durch eine Verarbeitung personenbezogener Daten, die nach diesem Gesetz oder anderen auf ihre Verarbeitung anwendbaren Vorschriften rechtswidrig war, einen Schaden zugefügt, ist er oder sein Rechtsträger der betroffenen Person zum Schadensersatz verpflichtet. Die Ersatzpflicht entfällt, soweit bei einer nicht automatisierten Verarbeitung der Schaden nicht auf ein Verschulden des Verantwortlichen zurückzuführen ist.
(4) Mehrere Ersatzpflichtige haften gesamtschuldnerisch.
(5) Hat bei der Entstehung des Schadens ein Verschulden der betroffenen Person mitgewirkt, ist § 254 des Bürgerlichen Gesetzbuchs entsprechend anzuwenden.
(7) Die Geltendmachung weitergehender Schadensersatzansprüche aufgrund anderer Rechtsvorschriften bleibt unberührt.
Für Verarbeitungen personenbezogener Daten durch öffentliche Stellen im Rahmen von Tätigkeiten nach § 26 Abs. 1 Satz 1 finden die §§ 24 und 25 entsprechende Anwendung.
Verweisungen und Bezeichnungen
in anderen Vorschriften
(1) Dieses Gesetz tritt am 25. Mai 2018 in Kraft.
(2) Gleichzeitig tritt das Landesdatenschutzgesetz vom 5. Juli 1994 (GVBl. S. 293), zuletzt geändert durch Artikel 2 des Gesetzes vom 20. Dezember 2011 (GVBl. S. 427), BS 204-1, außer Kraft.
Mainz, den 8. Mai 2018

References: § 29

§ 30

§ 31

§ 32

§ 33

§ 34

§ 35

§ 36

§ 1

§ 2

§ 3

§ 4

§ 5

§ 6

§ 7

§ 8

§ 9

§ 10

§ 11

§ 12

§ 13

§ 14

§ 15

§ 16

§ 17

§ 18

§ 19

§ 20

§ 21

§ 22

§ 23

§ 24

§ 25

§ 26

§ 27

§ 28

§ 29

§ 30

§ 31

§ 32

§ 33

§ 34

§ 35

§ 36

§ 37

§ 38

§ 39

§ 40

§ 41

§ 42

§ 43

§ 44

§ 45

§ 46

§ 47

§ 48

§ 49

§ 50

§ 51

§ 52

§ 53

§ 54

§ 55

§ 56

§ 57

§ 58

§ 59

§ 60

§ 61

§ 62

§ 63

§ 64

§ 65

§ 66

§ 67

§ 68

§ 69

§ 70

§ 71

§ 72

§ 73

§ 74

§ 3

§ 4

§ 5

§ 6

§ 7

§ 8

§ 9

§ 10

§ 11

§ 12

§ 13

§ 14

§ 15

§ 16

§ 17

§ 18

§ 19

§ 20

§ 21

§ 22

§ 23

§ 27

§ 28

§ 29

§ 30

§ 31

§ 32

§ 33

§ 34

§ 35

§ 36

§ 37

§ 38

§ 40

§ 41

§ 42

§ 43

§ 44

§ 45

§ 46

§ 47

§ 48

§ 49

§ 50

§ 51

§ 52

§ 53

§ 54

§ 55

§ 56

§ 57

§ 58

§ 59

§ 60

§ 61

§ 62

§ 63

§ 64

§ 65

§ 66

§ 67

§ 68

§ 69

§ 70

§ 71

§ 72

§ 73
 § 26
 § 20
 § 26
 § 2
 § 40
 § 29
 § 24
 § 24
 § 17
 § 47
 § 12
 § 2
 § 2
 § 24
 § 26
 § 26
 § 26
 § 7
 § 26
 § 39
 § 39
 § 626
 § 56
 § 57
 § 50
 § 57
 § 45
 § 48
 § 16
 § 26
 § 43
 § 26
 § 45
 § 48
 § 44
 § 44
 § 48
 § 26
 § 44
 § 45
 § 45
 § 46
 § 43
 § 45
 § 46
 § 26
 § 49
 § 48
 § 45
 § 64
 § 53
 § 42
 § 54
 § 44
 § 42
 § 56
 § 56
 § 53
 § 5
 § 46
 § 26
 § 26
 § 67
 § 68
 § 66
 § 66
 § 66
 § 67
 § 66
 § 26
 § 26
 § 254
 § 26