Source: http://www.nds-voris.de/jportal/portal/?quelle=jlink&query=DSG+ND&psml=bsvorisprod.psml&max=true&aiz=true
Timestamp: 2020-05-28 08:46:01+00:00

Document:
VORIS NDSG | Landesnorm Niedersachsen | Gesamtausgabe | Niedersächsisches Datenschutzgesetz (NDSG) vom 16. Mai 2018 | gültig ab: 25.05.2018
Ausfertigungsdatum: 16.05.2018
Fundstelle: Nds. GVBl. 2018, 66
Niedersächsisches Datenschutzgesetz (NDSG) vom 16. Mai 2018 25.05.2018
Erster Teil - Ergänzende Vorschriften für Verarbeitungen zu Zwecken gemäß Artikel 2 der Verordnung (EU) 2016/679 25.05.2018
Erstes Kapitel - Allgemeines 25.05.2018
§ 1 - Regelungsgegenstand und Anwendungsbereich 25.05.2018
§ 2 - Erweiterte Anwendung der Datenschutz-Grundverordnung 25.05.2018
Zweites Kapitel - Rechtsgrundlagen der Datenverarbeitung 25.05.2018
§ 4 - Hinweis bei der Datenerhebung bei anderen Personen 25.05.2018
§ 5 - Übermittlung personenbezogener Daten 25.05.2018
§ 6 - Zweckbindung, Zweckänderung 25.05.2018
Drittes Kapitel - Rechte der betroffenen Person 25.05.2018
§ 8 - Beschränkung der Informationspflicht nach Artikel 13 Abs. 1 und 2 und Artikel 14 Abs. 1 bis 3 der Datenschutz-Grundverordnung 25.05.2018
§ 9 - Beschränkung des Auskunftsrechts nach Artikel 15 der Datenschutz-Grundverordnung 25.05.2018
§ 10 - Beschränkung der Benachrichtigungspflicht nach Artikel 34 der Datenschutz-Grundverordnung 25.05.2018
§ 11 - Dokumentationspflicht bei der Beschränkung von Rechten der betroffenen Person 25.05.2018
Viertes Kapitel - Besonderer Datenschutz 25.05.2018
§ 12 - Verarbeitung personenbezogener Daten bei Dienst- und Arbeitsverhältnissen 25.05.2018
§ 13 - Verarbeitung personenbezogener Daten zu wissenschaftlichen oder historischen Forschungszwecken 25.05.2018
§ 14 - Videoüberwachung 25.05.2018
§ 15 - Öffentliche Auszeichnungen und Ehrungen 25.05.2018
§ 16 - Begnadigungsverfahren 25.05.2018
§ 17 - Verarbeitung besonderer Kategorien personenbezogener Daten 25.05.2018
Fünftes Kapitel - Die oder der Landesbeauftragte für den Datenschutz 25.05.2018
§ 18 - Aufsichtsbehörde, Rechtsstellung der oder des Landesbeauftragten für den Datenschutz 25.05.2018
§ 19 - Aufgaben der Aufsichtsbehörde 25.05.2018
§ 20 - Befugnisse der Aufsichtsbehörde, Mitwirkung 25.05.2018
§ 21 - Stellungnahme zum Tätigkeitsbericht 25.05.2018
§ 22 - Aufsichtsbehörde für die Datenverarbeitung außerhalb des Anwendungsbereichs der Vorschriften dieses Teils 25.05.2018
Zweiter Teil - Bestimmungen für Verarbeitungen zu Zwecken gemäß Artikel 1 Abs. 1 der Richtlinie (EU) 2016/680 25.05.2018
Erstes Kapitel - Anwendungsbereich und Rechtsgrundlagen der Verarbeitung personenbezogener Daten 25.05.2018
§ 23 - Anwendungsbereich 25.05.2018
§ 24 - Begriffsbestimmungen 25.05.2018
§ 25 - Grundsätze für die Verarbeitung personenbezogener Daten 25.05.2018
§ 26 - Unterscheidung verschiedener Kategorien betroffener Personen 25.05.2018
§ 27 - Unterscheidung zwischen Tatsachen und persönlichen Einschätzungen 25.05.2018
§ 28 - Löschung personenbezogener Daten sowie Einschränkung der Verarbeitung 25.05.2018
§ 29 - Automatisierte Entscheidungsfindung 25.05.2018
§ 30 - Datenübermittlung außerhalb des öffentlichen Bereichs 25.05.2018
§ 31 - Automatisiertes Abrufverfahren 25.05.2018
§ 32 - Gewährleistung des Datenschutzes bei Übermittlungen oder sonstiger Bereitstellung 25.05.2018
Zweites Kapitel - Technische und organisatorische Pflichten des Verantwortlichen und Auftragsverarbeiters 25.05.2018
§ 34 - Technische und organisatorische Maßnahmen zum Datenschutz und zur Datensicherheit 25.05.2018
§ 35 - Anforderungen bei der automatisierten Datenverarbeitung, Protokollierung 25.05.2018
§ 36 - Datengeheimnis 25.05.2018
§ 37 - Verarbeitung auf Weisung 25.05.2018
§ 38 - Verzeichnis von Verarbeitungstätigkeiten 25.05.2018
§ 39 - Datenschutz-Folgenabschätzung 25.05.2018
§ 40 - Vorherige Anhörung der Aufsichtsbehörde 25.05.2018
§ 41 - Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde 25.05.2018
§ 42 - Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person 25.05.2018
§ 43 - Vertrauliche Meldung von Verstößen 25.05.2018
§ 44 - Gemeinsam Verantwortliche 25.05.2018
§ 45 - Auftragsverarbeitung 25.05.2018
Drittes Kapitel - Datenübermittlungen an Drittländer und an internationale Organisationen 25.05.2018
§ 46 - Allgemeine Voraussetzungen 25.05.2018
§ 47 - Datenübermittlung bei geeigneten Garantien 25.05.2018
§ 48 - Ausnahmen für eine Datenübermittlung ohne geeignete Garantien 25.05.2018
§ 49 - Sonstige Datenübermittlung an Empfänger in Drittländern 25.05.2018
Viertes Kapitel - Rechte der betroffenen Personen 25.05.2018
§ 50 - Allgemeine Informationen 25.05.2018
§ 51 - Auskunft 25.05.2018
§ 52 - Berichtigung, Löschung und Einschränkung der Verarbeitung 25.05.2018
§ 53 - Verfahren für die Ausübung der Rechte der betroffenen Person 25.05.2018
§ 54 - Schadensersatz 25.05.2018
§ 55 - Anrufung der Aufsichtsbehörde 25.05.2018
§ 56 - Rechtsschutz bei Untätigkeit der Aufsichtsbehörde 25.05.2018
Fünftes Kapitel - Aufsichtsbehörde und Datenschutzbeauftragte öffentlicher Stellen 25.05.2018
§ 57 - Aufgaben und Befugnisse der Aufsichtsbehörde 25.05.2018
§ 58 - Datenschutzbeauftragte öffentlicher Stellen 25.05.2018
Dritter Teil - Schlussvorschriften 25.05.2018
§ 59 - Ordnungswidrigkeiten 25.05.2018
§ 60 - Straftaten 25.05.2018
§ 61 - Übergangsvorschrift 25.05.2018
Ergänzende Vorschriften für Verarbeitungen zu Zwecken
§ 4 Hinweis bei Datenerhebung bei anderen Personen
gemäß Artikel 1 Abs. 1 der Richtlinie (EU) 2016/680
Technische und organisatorische Pflichten des Verantwortlichen
und Auftragsverarbeiters
Datenübermittlungen an Drittländer
Aufsichtsbehörde und Datenschutzbeauftragte
öffentlicher Stellen
(1) 1 Dieser Teil des Gesetzes trifft ergänzende Regelungen zur Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. EU Nr. L 119 S. 1; Nr. L 314 S. 72) für die Verarbeitung personenbezogener Daten
durch Behörden, Organe der Rechtspflege und andere öffentlich-rechtlich organisierte Einrichtungen (öffentliche Stellen)
soweit die Datenverarbeitung in den sachlichen Anwendungsbereich der Datenschutz-Grundverordnung fällt oder nach § 2 auf die Datenverarbeitung die Regelungen der Datenschutz-Grundverordnung anzuwenden sind. 2 Personen und Stellen nach Satz 1 Nr. 2 sind öffentliche Stellen im Sinne der Vorschriften dieses Teils, soweit ihnen Aufgaben der öffentlichen Verwaltung übertragen sind. 3 Öffentliche Stellen sind auch Vereinigungen des privaten Rechts, die Aufgaben der öffentlichen Verwaltung wahrnehmen und an denen eine oder mehrere der in Satz 1 genannten juristischen Personen des öffentlichen Rechts unmittelbar oder durch eine solche Vereinigung beteiligt sind.
(5) Für öffentlich-rechtliche Kreditinstitute und öffentlich-rechtliche Versicherungsanstalten sowie deren Vereinigungen gelten § 12 dieses Gesetzes und im Übrigen die für nicht öffentliche Stellen geltenden Vorschriften.
Erweiterte Anwendung der Datenschutz-Grundverordnung
abweichend von Artikel 2 Abs. 2 Buchst. a der Datenschutz-Grundverordnung auch Anwendung auf die Verarbeitung personenbezogener Daten
1 Die Verarbeitung personenbezogener Daten ist zulässig, soweit sie zur Erfüllung einer in der Zuständigkeit der oder des Verantwortlichen liegenden Aufgabe, deren Wahrnehmung
erforderlich ist. 2 Im Übrigen bestimmt sich die Zulässigkeit der Datenverarbeitung nach Artikel 6 Abs. 1 der Datenschutz-Grundverordnung.
Hinweis bei der Datenerhebung bei anderen Personen
1 Werden personenbezogene Daten nicht bei der betroffenen Person, sondern bei einer anderen Person oder einer Stelle außerhalb des öffentlichen Bereichs erhoben, so ist dieser anderen Person oder Stelle auf Verlangen der Erhebungszweck mitzuteilen, soweit dadurch schutzwürdige Interessen der betroffenen Person nicht beeinträchtigt werden. 2 Soweit eine Auskunftspflicht besteht, ist sie hierauf, sonst auf die Freiwilligkeit ihrer Angaben hinzuweisen.
(1) 1 Die Übermittlung personenbezogener Daten an eine andere öffentliche Stelle ist zulässig, soweit sie zur Erfüllung der Aufgaben der übermittelnden Stelle oder der empfangenden Stelle erforderlich ist und die Daten für den Zweck erhoben worden sind oder die Voraussetzungen für eine Zweckänderung vorliegen. 2 Die Übermittlung personenbezogener Daten an eine nicht öffentliche Stelle ist zulässig, soweit
sie zur Erfüllung der Aufgaben der übermittelnden Stelle erforderlich ist und die Daten für den Zweck erhoben worden sind oder die Voraussetzungen für eine Zweckänderung vorliegen oder
die empfangende Stelle ein berechtigtes Interesse an der Kenntnis der zu übermittelnden Daten glaubhaft macht und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an der Geheimhaltung überwiegt.
3 Bei einer Übermittlung nach Satz 2 hat sich der Empfänger gegenüber der übermittelnden öffentlichen Stelle zu verpflichten, die Daten nur für den Zweck zu verarbeiten, zu dem sie ihm übermittelt wurden. 4 An öffentlich-rechtliche Religionsgesellschaften ist die Übermittlung nur zulässig, sofern sichergestellt ist, dass bei dem Empfänger eine Datenverarbeitung im Einklang mit der Datenschutz-Grundverordnung erfolgt.
(2) 1 Die Verantwortung für die Zulässigkeit der Übermittlung personenbezogener Daten trägt die übermittelnde Stelle. 2 Erfolgt die Übermittlung aufgrund eines Ersuchens einer öffentlichen Stelle, so trägt diese die Verantwortung. 3 Die übermittelnde Stelle hat dann lediglich zu prüfen, ob sich das Übermittlungsersuchen im Rahmen der Aufgaben der ersuchenden Stelle hält. 4 Die Rechtmäßigkeit des Ersuchens prüft sie nur, wenn im Einzelfall hierzu Anlass besteht; die ersuchende Stelle hat der übermittelnden Stelle die für diese Prüfung erforderlichen Angaben zu machen. 5 Erfolgt die Übermittlung durch automatisierten Abruf (§ 7), so trägt die Verantwortung für die Rechtmäßigkeit des Abrufs der Empfänger.
(3) Personenbezogene Daten, die einem Berufsgeheimnis oder einem besonderen Amtsgeheimnis unterliegen und der Daten verarbeitenden Stelle von der zur Verschwiegenheit verpflichteten Person in Ausübung ihrer Berufs- oder Amtspflicht übermittelt worden sind, dürfen nicht nach Absatz 2 zu anderen Zwecken verarbeitet werden.
(4) Personenbezogene Daten, die ausschließlich zu Zwecken der Datenschutzkontrolle, der Gewährleistung der Datensicherheit oder des ordnungsgemäßen Betriebs einer Datenverarbeitungsanlage gespeichert werden, dürfen nicht nach Absatz 2 zu anderen Zwecken verarbeitet werden.
Beschränkung der Informationspflicht nach Artikel 13 Abs. 1 und 2
und Artikel 14 Abs. 1 bis 3 der Datenschutz-Grundverordnung
(1) 1 Bezieht sich eine nach Artikel 15 der Datenschutz-Grundverordnung verlangte Auskunft auf personenbezogene Daten, die an
übermittelt wurden, so ist dieser Behörde vor der Erteilung der Auskunft Gelegenheit zur Stellungnahme zu geben. 2 Im Fall des Satzes 1 Nr. 3 ist dies nur erforderlich, wenn die Erteilung der Auskunft die Sicherheit des Bundes berühren könnte. 3 Die Sätze 1 und 2 gelten entsprechend für personenbezogene Daten, die von einer Behörde nach Satz 1 übermittelt wurden.
(2) 1 Die Verantwortlichen können die Erteilung einer Auskunft ablehnen, soweit und solange
2 Abgelehnt werden kann auch eine Auskunft über personenbezogene Daten, die ausschließlich zu Zwecken der Gewährleistung der Datensicherheit oder der Datenschutzkontrolle verarbeitet werden und durch geeignete technische und organisatorische Maßnahmen gegen eine Verarbeitung zu anderen Zwecken geschützt sind, wenn die Erteilung der Auskunft einen unverhältnismäßigen Aufwand erfordern würde.
(4) 1 Wird der betroffenen Person eine Auskunft nicht erteilt, so ist die Auskunft auf Verlangen der betroffenen Person der von der oder dem Landesbeauftragten für den Datenschutz geleiteten Behörde (§ 18 Abs. 1 Satz 2) zu erteilen. 2 Die Mitteilung der von der oder dem Landesbeauftragten für den Datenschutz geleiteten Behörde an die betroffene Person darf keine Rückschlüsse auf den Erkenntnisstand des Verantwortlichen zulassen, sofern dieser nicht einer weitergehenden Auskunft zustimmt.
Dokumentationspflicht bei der Beschränkung von Rechten
(2) 1 Werden Feststellungen über die Eignung einer Bewerberin oder eines Bewerbers für ein Dienst- oder Arbeitsverhältnis durch ärztliche oder psychologische Untersuchungen oder Tests getroffen, so darf die Einstellungsbehörde von der untersuchenden Person oder Stelle in der Regel nur das Ergebnis der Eignungsuntersuchung und Feststellungen über Faktoren anfordern, die die gesundheitliche Eignung beeinträchtigen können. 2 Weitere personenbezogene Daten darf sie nur anfordern, wenn sie die Bewerberin oder den Bewerber zuvor schriftlich über die Gründe dafür unterrichtet hat.
(1) 1 Öffentliche Stellen dürfen personenbezogene Daten einschließlich Daten im Sinne des Artikels 9 Abs. 1 der Datenschutz-Grundverordnung für ein bestimmtes wissenschaftliches oder historisches Forschungsvorhaben verarbeiten oder an andere Stellen zu diesem Zweck übermitteln, wenn die Art und Verarbeitung der Daten darauf schließen lassen, dass ein schutzwürdiges Interesse der betroffenen Person der Verarbeitung der Daten für das Forschungsvorhaben nicht entgegensteht oder das öffentliche Interesse an der Durchführung des Forschungsvorhabens das schutzwürdige Interesse der betroffenen Person überwiegt. 2 Das Ergebnis der Abwägung und seine Begründung sind aufzuzeichnen. 3 Über die Verarbeitung ist die oder der Datenschutzbeauftragte nach Artikel 37 der Datenschutz-Grundverordnung zu unterrichten.
(2) 1 Werden personenbezogene Daten zu wissenschaftlichen oder historischen Forschungszwecken verarbeitet, so sind sie von der Forschungseinrichtung zu anonymisieren, sobald dies nach dem Forschungszweck möglich ist. 2 Bis dahin sind die Merkmale, mit deren Hilfe ein Personenbezug hergestellt werden kann, getrennt zu speichern. 3 Diese Merkmale dürfen mit den Einzelangaben nur zusammengeführt werden, soweit der Forschungszweck dies erfordert.
(4) 1 Personenbezogene Daten dürfen an Empfängerinnen und Empfänger, auf die die Vorschriften dieses Teils keine Anwendung finden, zu wissenschaftlichen oder historischen Forschungszwecken nur übermittelt werden, wenn sich diese verpflichtet haben, die Daten ausschließlich für das von ihnen bezeichnete Forschungsvorhaben und nach Maßgabe der Absätze 1 bis 3 zu verarbeiten und Schutzmaßnahmen nach § 17 oder gleichwertige Maßnahmen zu treffen. 2 Die Übermittlung ist der von der oder dem Landesbeauftragten geleiteten Behörde frühzeitig anzuzeigen.
(5) Die Verantwortlichen können von einer Gewährung der Rechte aus den Artikeln 15, 16, 18 und 21 der Datenschutz-Grundverordnung absehen, soweit und solange die Inanspruchnahme dieser Rechte voraussichtlich die Verwirklichung der jeweiligen wissenschaftlichen oder historischen Forschungszwecke unmöglich macht oder ernsthaft beeinträchtigt und der Ausschluss dieser Rechte für die Erfüllung dieser Zwecke notwendig ist.
(1) 1 Die Beobachtung öffentlich zugänglicher Räume mithilfe von optisch-elektronischen Einrichtungen (Videoüberwachung) und die weitere Verarbeitung der dadurch erhobenen personenbezogenen Daten sind zulässig, soweit sie zur Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe erforderlich sind und keine Anhaltspunkte dafür bestehen, dass schutzwürdige Interessen der von der Videoüberwachung betroffenen Personen überwiegen. 2 Zur Wahrnehmung einer öffentlichen Aufgabe gehören auch
3 Zu einem anderen Zweck dürfen die nach Satz 1 erhobenen Daten nur verarbeitet werden, soweit dies zur Abwehr einer konkreten Gefahr für die öffentliche Sicherheit oder zur Verfolgung von Straftaten erforderlich ist; § 6 Abs. 5 gilt entsprechend.
(2) 1 Die Videoüberwachung ist durch geeignete Maßnahmen zum frühestmöglichen Zeitpunkt erkennbar zu machen. 2 Zudem ist auf den Namen und die Kontaktdaten des Verantwortlichen sowie die Möglichkeit, bei dem Verantwortlichen die Informationen nach Artikel 13 der Datenschutz-Grundverordnung zu erhalten, hinzuweisen.
(1) 1 Zur Vorbereitung öffentlicher Auszeichnungen und Ehrungen dürfen die zuständigen Stellen die dazu erforderlichen personenbezogenen Daten einschließlich besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Abs. 1 der Datenschutz-Grundverordnung verarbeiten, es sei denn, dass der zuständigen Stelle bekannt ist, dass die betroffene Person ihrer öffentlichen Auszeichnung oder Ehrung oder der damit verbundenen Datenverarbeitung widersprochen hat. 2 Auf Anforderung der in Satz 1 genannten Stellen dürfen öffentliche Stellen die erforderlichen Daten übermitteln. 3 Eine Verarbeitung der personenbezogenen Daten für andere Zwecke ist nur mit Einwilligung der betroffenen Person zulässig; § 6 Abs. 2 findet keine Anwendung.
(2) Die Artikel 13 bis 15, 19 und 21 Abs. 4 der Datenschutz-Grundverordnung finden keine Anwendung.
1 In Begnadigungsverfahren dürfen die zuständigen Stellen die für eine Begnadigung erforderlichen Daten einschließlich besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Abs. 1 der Datenschutz-Grundverordnung verarbeiten. 2 Die Artikel 13 bis 15 und 19 der Datenschutz-Grundverordnung finden keine Anwendung.
(1) Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Abs. 1 der Datenschutz-Grundverordnung ist zulässig, soweit und solange es erforderlich ist
(3) 1 Soweit es zum Schutz besonderer Kategorien personenbezogener Daten erforderlich ist, haben die Verantwortlichen und Auftragsverarbeiter ergänzend zu Absatz 2 weitere angemessene und spezifische Maßnahmen zu treffen. 2 Als Maßnahmen kommen insbesondere in Betracht:
(2) Die von der oder dem Landesbeauftragten geleitete Behörde ist bei Planungen des Landes, der Kommunen, der kommunalen Anstalten und der gemeinsamen kommunalen Anstalten, der kommunalen Zweckverbände sowie des Bezirksverbands Oldenburg und des Regionalverbandes „Großraum Braunschweig“ zum Aufbau automatisierter Informationssysteme frühzeitig zu unterrichten.
(1) Die von der oder dem Landesbeauftragten geleitete Behörde hat ihre Befugnisse nach Artikel 58 Abs. 1 bis 3 der Datenschutz-Grundverordnung auch in Bezug auf die Vorschriften dieses Teils und andere datenschutzrechtliche Bestimmungen.
(2) 1 Bestehen Anhaltspunkte dafür, dass eine Datenverarbeitung gegen die Datenschutz-Grundverordnung, die Vorschriften dieses Teils oder andere datenschutzrechtliche Bestimmungen verstößt, so kann die von der oder dem Landesbeauftragten geleitete Behörde den Verantwortlichen oder den Auftragsverarbeiter auffordern, innerhalb einer bestimmten Frist Stellung zu nehmen. 2 Die von der oder dem Landesbeauftragten geleitete Behörde unterrichtet gleichzeitig die Rechts- oder Fachaufsichtsbehörde über die Aufforderung. 3 In der Stellungnahme nach Satz 1 soll auch dargestellt werden, wie die Folgen eines Verstoßes beseitigt und künftige Verstöße vermieden werden sollen. 4 Die Verantwortlichen und Auftragsverarbeiter leiten der Rechts- oder Fachaufsichtsbehörde eine Abschrift ihrer Stellungnahme zu.
(3) 1 Auch Behörden und sonstige öffentliche Stellen des Landes können gerichtlich gegen sie betreffende verbindliche Entscheidungen der von der oder dem Landesbeauftragen für den Datenschutz geleiteten Behörde vorgehen. 2 Die Klage hat aufschiebende Wirkung.
(4) 1 Die Behörden und sonstigen öffentlichen Stellen sind verpflichtet, die von der oder dem Landesbeauftragten geleitete Behörde bei der Wahrnehmung ihrer Aufgaben zu unterstützen. 2 Dazu haben sie der von der oder dem Landesbeauftragten geleiteten Behörde insbesondere jederzeit Zugang zu den Diensträumen, einschließlich aller Datenverarbeitungsanlagen und -geräte, sowie zu allen personenbezogenen Daten und Informationen, die die von der oder dem Landesbeauftragten geleitete Behörde zur Erfüllung ihrer Aufgaben für erforderlich hält, zu gewähren. 3 Auf Verlangen der von der oder dem Landesbeauftragten geleiteten Behörde sind alle Unterlagen über die Verarbeitung personenbezogener Daten innerhalb einer bestimmten Frist vorzulegen.
Aufsichtsbehörde für die Datenverarbeitung außerhalb
des Anwendungsbereichs der Vorschriften dieses Teils
1 Die von der oder dem Landesbeauftragten geleitete Behörde ist auch Aufsichtsbehörde im Sinne des Artikels 51 Abs. 1 der Datenschutz-Grundverordnung in Verbindung mit § 40 des Bundesdatenschutzgesetzes
2 Die von der oder dem Landesbeauftragten geleitete Behörde nimmt dabei ihre Aufgaben und Befugnisse als Aufsichtsbehörde nach der Datenschutz-Grundverordnung auch in Bezug auf andere datenschutzrechtliche Bestimmungen wahr.
(1) 1 Dieser Teil des Gesetzes gilt für die öffentlichen Stellen im Sinne des § 1 Abs. 1 Satz 1 Nr. 1 Buchst. a und b sowie des § 1 Abs. 1 Satz 2, die zuständig sind für die Verarbeitung personenbezogener Daten zur Verhütung, Ermittlung, Aufdeckung, Verfolgung oder Ahndung von Straftaten, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, soweit sie zum Zweck der Erfüllung dieser Aufgaben personenbezogene Daten verarbeiten. 2 Satz 1 gilt auch für diejenigen öffentlichen Stellen, die für die Vollstreckung und den Vollzug von Strafen, von Maßnahmen im Sinne des § 11 Abs. 1 Nr. 8 StGB, von Erziehungsmaßregeln oder Zuchtmitteln im Sinne des Jugendgerichtsgesetzes und von Geldbußen zuständig sind.
(3) 1 Andere Rechtsvorschriften des Bundes- oder des Landesrechts, in denen die Verhütung, Ermittlung, Aufdeckung, Verfolgung oder Ahndung von Straftaten, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, für die in Absatz 1 genannten Stellen besonders geregelt ist, gehen den Vorschriften dieses Teils vor. 2 Soweit diese besonderen Vorschriften keine abschließenden Regelungen enthalten, sind die Vorschriften dieses Teils ergänzend anzuwenden. 3 Die Sätze 1 und 2 gelten auch für die in Absatz 2 genannten öffentlichen Stellen.
„personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden: betroffene Person) beziehen, wobei als identifizierbar eine natürliche Person angesehen wird, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
„Verantwortlicher“ die zuständige öffentliche Stelle im Sinne des § 23 Abs. 1 und 2, die innerhalb ihrer Aufgabenerfüllung allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet;
„Empfänger“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags nach dem Recht der Mitgliedstaaten möglicherweise personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften gemäß den Zwecken der Verarbeitung;
„besondere Kategorien personenbezogener Daten“ personenbezogene Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten und Daten zum Sexualleben oder zur sexuellen Orientierung;
„internationale Organisation“ eine völkerrechtliche Organisation und ihre nachgeordneten Stellen oder jede sonstige Einrichtung, die durch eine zwischen zwei oder mehr Ländern geschlossene Übereinkunft oder auf der Grundlage einer solchen Übereinkunft geschaffen wurde;
„Schengen-assoziierter Staat“ einen Staat, der die Bestimmungen des Schengen-Besitzstandes aufgrund eines Assoziierungsabkommens mit der Europäischen Union über die Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstandes anwendet und den Mitgliedstaaten der Europäischen Union insoweit gleichsteht;
„Einwilligung“ jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;
„Anonymisierung“ das Verändern personenbezogener Daten derart, dass die Einzelangaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.
(2) Personenbezogene Daten müssen
für festgelegte, eindeutige und rechtmäßige Zwecke erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden und
sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein, wobei alle angemessenen Maßnahmen zu treffen sind, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden.
(3) 1 Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nur zulässig, wenn sie zur Aufgabenerfüllung unerlässlich ist. 2 Für den Schutz bei der Verarbeitung besonderer Kategorien personenbezogener Daten für die in § 23 genannten Zwecke ist § 17 entsprechend anwendbar.
(4) 1 Eine Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu demjenigen, zu dem sie erhoben wurden, ist zulässig, wenn es sich bei dem anderen Zweck um einen der in § 23 genannten Zwecke handelt, der Verantwortliche befugt ist, Daten zu diesem Zweck zu verarbeiten, und die Verarbeitung zu diesem Zweck erforderlich und verhältnismäßig ist. 2 Die Verarbeitung personenbezogener Daten zu einem anderen, in § 23 nicht genannten Zweck ist zulässig, wenn sie in einer Rechtsvorschrift vorgesehen ist.
(5) 1 Die Verarbeitung kann zu im öffentlichen Interesse liegenden Archivzwecken oder statistischen Zwecken erfolgen. 2 Für die Verarbeitung personenbezogener Daten zu wissenschaftlichen oder historischen Forschungszwecken ist § 13 Abs. 1 bis 4 entsprechend anwendbar, wobei die Rechte der betroffenen Person auf Auskunft nach § 51, Berichtigung und Einschränkung der Verarbeitung nach § 52 nicht bestehen, soweit die Inanspruchnahme dieser Rechte voraussichtlich die Verwirklichung der jeweiligen wissenschaftlichen oder historischen Forschungszwecke unmöglich macht oder ernsthaft beeinträchtigt und der Ausschluss dieser Rechte für die Erfüllung dieser Zwecke notwendig ist.
(6) 1 Eine Verarbeitung zu anderen Zwecken liegt nicht vor, wenn dies zur Wahrnehmung von Aufsichts- und Kontrollbefugnissen, zur Rechnungsprüfung oder zur Durchführung von Organisationsuntersuchungen erfolgt. 2 Zulässig ist auch die Verarbeitung zu Ausbildungs- und Prüfungszwecken, soweit nicht berechtigte Interessen der betroffenen Personen an der Geheimhaltung der Daten überwiegen.
1 Der Verantwortliche hat bei der Verarbeitung personenbezogener Daten soweit wie möglich zwischen den verschiedenen Kategorien betroffener Personen zu unterscheiden. 2 Es sind insbesondere folgende Kategorien zu unterscheiden:
3 Die Sätze 1 und 2 sind entsprechend anzuwenden, soweit personenbezogene Daten zum Zweck der Verfolgung, Ahndung und Sanktionierung von Ordnungswidrigkeiten verarbeitet werden.
(1) 1 Der Verantwortliche hat personenbezogene Daten unverzüglich zu löschen, wenn
2 In den Fällen des Satzes 1 Nr. 2 tritt an die Stelle der Löschung die Abgabe an das zuständige Archiv.
(2) 1 Anstatt die personenbezogenen Daten zu löschen, kann der Verantwortliche deren Verarbeitung einschränken, wenn
2 In ihrer Verarbeitung nach Satz 1 eingeschränkte Daten dürfen nur zu dem Zweck, der ihrer Löschung entgegenstand, verarbeitet oder sonst mit Einwilligung der betroffenen Person verarbeitet werden.
(1) 1 Die Übermittlung personenbezogener Daten an Personen oder Stellen außerhalb des öffentlichen Bereichs ist zulässig, wenn
2 In den Fällen des Satzes 1 Nr. 2 sind die betroffenen Personen über die beabsichtigte Übermittlung, die Art der zu übermittelnden Daten und den Verwendungszweck in geeigneter Weise und rechtzeitig zu unterrichten.
bei Übermittlungen oder sonstiger Bereitstellung
(1) 1 Der Verantwortliche hat angemessene Maßnahmen zu ergreifen, um zu gewährleisten, dass unrichtige sowie ohne sachlichen Grund unvollständige oder nicht mehr aktuelle personenbezogene Daten nicht übermittelt oder sonst bereitgestellt werden. 2 Zu diesem Zweck hat er, soweit dies mit angemessenem Aufwand möglich ist, die Qualität der personenbezogenen Daten vor ihrer Übermittlung oder Bereitstellung zu überprüfen. 3 Bei jeder Übermittlung personenbezogener Daten hat er, soweit dies möglich und angemessen ist, Informationen beizufügen, die es dem Empfänger gestatten, die Richtigkeit, die Vollständigkeit und die Zuverlässigkeit der Daten sowie deren Aktualität zu beurteilen.
(2) 1 Hat der Verantwortliche unrichtige personenbezogene Daten übermittelt oder war die Übermittlung unzulässig, so hat er dies dem Empfänger mitzuteilen. 2 Der Empfänger hat die übermittelten unrichtigen Daten zu berichtigen oder die unzulässig übermittelten Daten nach § 26 zu löschen oder in ihrer Verarbeitung einzuschränken.
(3) 1 Hat der Verantwortliche personenbezogene Daten nach § 28 Abs. 1 Satz 1 Nr. 1 gelöscht oder nach § 28 Abs. 2 Satz 1 Nr. 1 oder 2 in der Verarbeitung eingeschränkt, so hat er anderen Empfängern, denen er die Daten übermittelt hat, diese Maßnahmen mitzuteilen. 2 Der Empfänger hat die Daten zu löschen oder in ihrer Verarbeitung einzuschränken.
(4) 1 Gelten für die Verarbeitung von personenbezogenen Daten besondere Bedingungen, so hat bei Datenübermittlungen die übermittelnde Stelle den Empfänger auf diese Bedingungen und die Pflicht zu ihrer Beachtung hinzuweisen. 2 Die Hinweispflicht kann dadurch erfüllt werden, dass die Daten entsprechend gekennzeichnet werden.
(3) 1 Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. 2 Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. 3 Die betroffene Person ist vor Abgabe der Einwilligung hiervon in Kenntnis zu setzen.
(4) 1 Die Einwilligung ist nur wirksam, wenn sie auf der freien Entscheidung der betroffenen Person beruht. 2 Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, müssen die Umstände der Erteilung berücksichtigt werden. 3 Die betroffene Person ist auf den vorgesehenen Zweck der Verarbeitung hinzuweisen. 4 Ist dies nach den Umständen des Einzelfalles erforderlich oder verlangt die betroffene Person dies, so ist sie auch über die Folgen der Verweigerung der Einwilligung zu belehren.
Technische und organisatorische Pflichten
des Verantwortlichen und Auftragsverarbeiters
(2) 1 Der Verantwortliche hat sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der Verarbeitung selbst angemessene Vorkehrungen zu treffen, die geeignet sind, die Datenschutzgrundsätze wie etwa die Datensparsamkeit wirksam umzusetzen, und die sicherstellen, dass die gesetzlichen Anforderungen eingehalten und die Rechte der betroffenen Personen geschützt werden. 2 Er hat hierbei den Stand der Technik, die Implementierungskosten und die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten sowie berechtigte Interessen der betroffenen Personen zu berücksichtigen. 3 Insbesondere sind die Verarbeitung personenbezogener Daten und die Auswahl und Gestaltung von Datenverarbeitungssystemen an dem Ziel auszurichten, so wenig personenbezogene Daten wie möglich zu verarbeiten. 4 Personenbezogene Daten sind zum frühestmöglichen Zeitpunkt zu anonymisieren oder zu pseudonymisieren, soweit dies nach dem Verarbeitungszweck möglich ist.
(3) 1 Der Verantwortliche hat geeignete technische und organisatorische Maßnahmen zu treffen, die sicherstellen, dass durch Voreinstellungen grundsätzlich nur solche personenbezogenen Daten verarbeitet werden, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist. 2 Dies betrifft die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. 3 Die Maßnahmen müssen insbesondere sicherstellen, dass die personenbezogenen Daten durch Voreinstellungen nicht automatisiert einer unbestimmten Anzahl von Personen zugänglich gemacht werden können.
Anforderungen bei der automatisierten
Datenverarbeitung, Protokollierung
(4) 1 Die Protokolldaten dürfen ausschließlich verwendet werden für
2 Der Verantwortliche hat die Protokolle der von der oder dem Landesbeauftragten für den Datenschutz geleiteten Behörde auf Anforderung zur Verfügung zu stellen. 3 Die Protokolldaten sind am Ende des auf deren Generierung folgenden Jahres zu löschen.
1 Mit Datenverarbeitung befasste Personen dürfen personenbezogene Daten nicht unbefugt verarbeiten (Datengeheimnis). 2 Das Datengeheimnis besteht auch nach der Beendigung ihrer Tätigkeit fort. 3 Die Personen sind über die bei ihrer Tätigkeit zu beachtenden Vorschriften über den Datenschutz zu unterrichten.
1 Der Verantwortliche hat ein Verzeichnis von Verarbeitungstätigkeiten in entsprechender Anwendung des Artikels 30 Abs. 1 der Datenschutz-Grundverordnung zu erstellen, in das zusätzlich die Rechtsgrundlage der Verarbeitung sowie gegebenenfalls die Verwendung von Profiling aufgenommen werden. 2 Artikel 30 Abs. 3 und 4 der Datenschutz-Grundverordnung ist entsprechend anwendbar.
(3) 1 Die Folgenabschätzung hat die Rechte und die schutzwürdigen Interessen der von der Datenverarbeitung betroffenen Personen und sonstiger Betroffener angemessen zu berücksichtigen. 2 Sie ist schriftlich zu dokumentieren und enthält zumindest
(4) Der Verantwortliche holt bei der Durchführung der Datenschutz-Folgenabschätzung den Rat der oder des behördlichen Datenschutzbeauftragten ein.
(1) 1 Vor der Inbetriebnahme neu anzulegender Datenverarbeitungssysteme hat der Verantwortliche die von der oder dem Landesbeauftragten für den Datenschutz geleitete Behörde anzuhören, wenn
2 Die von der oder dem Landesbeauftragten für den Datenschutz geleitete Behörde kann eine Liste der Verarbeitungsvorgänge erstellen, die der Pflicht zur Anhörung nach Satz 1 unterliegen.
(2) Die von der oder dem Landesbeauftragten für den Datenschutz geleitete Behörde ist bei der Ausarbeitung von Rechts- und Verwaltungsvorschriften anzuhören, die die Verarbeitung personenbezogener Daten betreffen.
(4) 1 Falls die von der oder dem Landesbeauftragten für den Datenschutz geleitete Behörde der Auffassung ist, dass die geplante Verarbeitung gegen gesetzliche Vorgaben verstoßen würde, insbesondere weil der Verantwortliche das Risiko nicht ausreichend ermittelt oder nicht ausreichend eingedämmt hat, so kann sie dem Verantwortlichen und gegebenenfalls dem Auftragsverarbeiter innerhalb eines Zeitraums von bis zu sechs Wochen nach Einleitung der Anhörung schriftliche Empfehlungen unterbreiten, welche Maßnahmen noch ergriffen werden sollten. 2 Die von der oder dem Landesbeauftragten für den Datenschutz geleitete Behörde kann diese Frist um einen Monat verlängern, wenn die geplante Verarbeitung besonders komplex ist. 3 Sie hat in diesem Fall innerhalb eines Monats nach Einleitung der Anhörung den Verantwortlichen oder gegebenenfalls den Auftragsverarbeiter über die Fristverlängerung zu informieren und die Gründe für die Verzögerung mitzuteilen.
(5) 1 Hat die beabsichtigte Verarbeitung erhebliche Bedeutung für die Aufgabenerfüllung des Verantwortlichen und ist sie daher besonders dringlich, so kann er mit der Verarbeitung nach Beginn der Anhörung, aber vor Ablauf der in Absatz 4 genannten Frist beginnen. 2 In diesem Fall sind die Empfehlungen der von der oder dem Landesbeauftragten für den Datenschutz geleiteten Behörde nachträglich zu berücksichtigen, wobei die Art und Weise der Verarbeitung insoweit gegebenenfalls anzupassen ist.
des Schutzes personenbezogener Daten an die Aufsichtsbehörde
(1) 1 Der Verantwortliche hat eine Verletzung des Schutzes personenbezogener Daten in entsprechender Anwendung des Artikels 33 Abs. 1 bis 4 der Datenschutz-Grundverordnung der von der oder dem Landesbeauftragten für den Datenschutz geleiteten Behörde zu melden und in entsprechender Anwendung des Artikels 33 Abs. 5 der Datenschutz-Grundverordnung zu dokumentieren. 2 Wenn personenbezogene Daten von dem oder an den Verantwortlichen eines anderen Mitgliedstaates übermittelt wurden, so sind die Informationen in entsprechender Anwendung des Artikels 33 Abs. 3 der Datenschutz-Grundverordnung unverzüglich auch an diesen zu melden.
(1) 1 Hat eine Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so hat der Verantwortliche die betroffenen Personen unverzüglich zu benachrichtigen. 2 Artikel 34 der Datenschutz-Grundverordnung ist entsprechend anwendbar.
(2) Die Benachrichtigung der betroffenen Personen nach Absatz 1 kann unter den in Artikel 34 Abs. 3 der Datenschutz-Grundverordnung genannten Voraussetzungen unterbleiben und unter den in § 51 Abs. 3 genannten Voraussetzungen aufgeschoben, eingeschränkt oder unterlassen werden, soweit nicht die Interessen der betroffenen Person aufgrund des von der Verletzung ausgehenden hohen Risikos im Sinne des Absatzes 1 überwiegen.
(2) 1 Die Beschäftigten einer öffentlichen Stelle im Sinne des § 23 Abs. 1 und 2 dürfen sich unbeschadet ihres Rechts nach Absatz 1 in allen Angelegenheiten des Datenschutzes jederzeit an die von der oder dem Landesbeauftragten für den Datenschutz geleitete Behörde wenden. 2 Der Einhaltung des Dienstweges bedarf es nicht, wenn die oder der Beschäftigte auf einen Verstoß gegen datenschutzrechtliche Vorschriften oder auf die Gefahr hingewiesen hat, dass eine Person in unzulässiger Weise in ihrem Recht auf informationelle Selbstbestimmung beeinträchtigt wird, und diesem Hinweis binnen angemessener Frist nicht abgeholfen worden ist.
1 Zwei oder mehr Verantwortliche können gemeinsam die Zwecke der und die Mittel zur Verarbeitung festlegen. 2 Artikel 26 Abs. 1 und 3 der Datenschutz-Grundverordnung ist entsprechend anwendbar.
(1) 1 Werden personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet, so bleibt dieser für die Einhaltung der Vorschriften dieses Teils und anderer Vorschriften über den Datenschutz verantwortlich. 2 Die Rechte der betroffenen Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Schadensersatz sind gegenüber dem Verantwortlichen geltend zu machen. 3 Ein Auftragsverarbeiter, der die Zwecke und Mittel der Verarbeitung unter Verstoß gegen diese Vorschrift bestimmt, gilt in Bezug auf diese Verarbeitung als Verantwortlicher.
(3) 1 Die Verarbeitung durch einen Auftragsverarbeiter hat auf der Grundlage eines Vertrags oder eines anderen in Artikel 28 Abs. 3 Satz 1 der Datenschutz-Grundverordnung genannten Rechtsinstruments zu erfolgen. 2 Der Vertrag oder das andere Rechtsinstrument hat insbesondere vorzusehen, dass der Auftragsverarbeiter
(5) 1 Zieht ein Auftragsverarbeiter einen weiteren Auftragsverarbeiter hinzu, so hat er diesem dieselben Verpflichtungen aus seinem Vertrag oder anderen Rechtsinstrument mit dem Verantwortlichen nach Absatz 3 aufzuerlegen, die auch für ihn gelten, soweit diese Pflichten für den weiteren Auftragsverarbeiter nicht schon aufgrund anderer Vorschriften verbindlich sind. 2 Erfüllt ein weiterer Auftragsverarbeiter diese Verpflichtungen nicht, so haftet der ihn beauftragende Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des weiteren Auftragsverarbeiters. 3 Für die vorherige schriftliche Genehmigung der Beauftragung eines weiteren Auftragsverarbeiters durch den Verantwortlichen ist Artikel 28 Abs. 2 der Datenschutz-Grundverordnung entsprechend anwendbar.
(6) 1 Wenn dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt wird, so meldet er diese dem Verantwortlichen unverzüglich. 2 Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung rechtswidrig ist, so hat er den Verantwortlichen unverzüglich zu informieren.
(7) 1 Der Auftragsverarbeiter hat ein Verzeichnis zu allen Kategorien von im Auftrag des Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung in entsprechender Anwendung des Artikels 30 Abs. 2 der Datenschutz-Grundverordnung zu erstellen. 2 Artikel 30 Abs. 3 und 4 der Datenschutz-Grundverordnung ist entsprechend anwendbar.
(1) 1 Die Übermittlung personenbezogener Daten an Stellen in Drittländern oder an internationale Organisationen ist bei Vorliegen der übrigen für Datenübermittlungen geltenden Voraussetzungen zulässig, wenn
2 Eine Übermittlung nach Satz 1 Nr. 2 ist unzulässig, wenn ein datenschutzrechtlich angemessener und die elementaren Menschenrechte wahrender Umgang mit den Daten beim Empfänger nicht hinreichend gesichert ist oder sonst überwiegende schutzwürdige Interessen einer betroffenen Person der Übermittlung entgegenstehen. 3 Bei seiner Beurteilung hat der Verantwortliche maßgeblich zu berücksichtigen, ob der Empfänger im Einzelfall einen angemessenen Schutz der übermittelten Daten garantiert.
(2) 1 Wenn personenbezogene Daten, die aus einem anderen Mitgliedstaat der Europäischen Union übermittelt oder zur Verfügung gestellt wurden, nach Absatz 1 übermittelt werden sollen, so muss diese Übermittlung zuvor von der zuständigen Stelle des anderen Mitgliedstaates genehmigt werden. 2 Übermittlungen ohne vorherige Genehmigung sind nur dann zulässig, wenn die Übermittlung erforderlich ist, um eine unmittelbare und ernsthafte Gefahr für die öffentliche Sicherheit eines Mitgliedstaates oder eines Drittlandes oder für die wesentlichen Interessen eines Mitgliedstaates abzuwehren, und die vorherige Genehmigung nicht rechtzeitig eingeholt werden kann. 3 Im Fall des Satzes 2 ist die Stelle des anderen Mitgliedstaates, die für die Erteilung der Genehmigung zuständig gewesen wäre, unverzüglich über die Übermittlung zu unterrichten.
(3) 1 Der Verantwortliche, der Daten nach Absatz 1 übermittelt, hat durch geeignete Maßnahmen sicherzustellen, dass der Empfänger die übermittelten Daten nur dann an Stellen in anderen Drittländern oder andere internationale Organisationen weiterübermittelt, wenn der Verantwortliche diese Übermittlung zuvor genehmigt hat. 2 Bei der Entscheidung über die Erteilung der Genehmigung hat der Verantwortliche alle maßgeblichen Faktoren zu berücksichtigen, insbesondere die Schwere der Straftat, den Zweck der ursprünglichen Übermittlung und das in dem Drittland oder der internationalen Organisation, an das oder an die die Daten weiterübermittelt werden sollen, bestehende Schutzniveau für personenbezogene Daten. 3 Eine Genehmigung darf nur dann erfolgen, wenn auch eine direkte Übermittlung an die Stelle im anderen Drittland oder die andere internationale Organisation zulässig wäre. 4 Die Zuständigkeit für die Erteilung der Genehmigung kann auch abweichend geregelt werden.
(1) Liegt entgegen § 46 Abs. 1 Nr. 2 kein Angemessenheitsbeschluss nach Artikel 36 Abs. 3 der Richtlinie (EU) Nr. 2016/680 vor, so ist eine Übermittlung bei Vorliegen der übrigen Voraussetzungen von § 46 auch dann zulässig, wenn
(2) 1 Der Verantwortliche hat Übermittlungen nach Absatz 1 Nr. 2 zu dokumentieren. 2 Die Dokumentation hat den Zeitpunkt der Übermittlung, Informationen über die empfangende zuständige Behörde, die Begründung der Übermittlung und die übermittelten personenbezogenen Daten zu enthalten. 3 Sie ist der von der oder dem Landesbeauftragten für den Datenschutz geleiteten Behörde auf Anforderung zur Verfügung zu stellen.
(3) 1 Der Verantwortliche hat der von der oder dem Landesbeauftragten für den Datenschutz geleiteten Behörde zumindest jährlich über Übermittlungen zu unterrichten, die aufgrund einer Beurteilung nach Absatz 1 Nr. 2 erfolgt sind. 2 In der Unterrichtung kann er die Empfänger und die Übermittlungszwecke angemessen kategorisieren.
(1) Liegt entgegen § 46 Abs. 1 Nr. 2 kein Angemessenheitsbeschluss nach Artikel 36 Abs. 3 der Richtlinie (EU) Nr. 2016/680 vor und liegen auch keine geeigneten Garantien im Sinne des § 47 Abs. 1 vor, so ist eine Übermittlung bei Vorliegen der übrigen Voraussetzungen des § 46 auch dann zulässig, wenn die Übermittlung erforderlich ist
die Zwecke, für die personenbezogene Daten im Rahmen seiner Aufgabenerfüllung verarbeitet werden,
den Namen und die Kontaktdaten des Verantwortlichen und der oder des Datenschutzbeauftragten und
das Bestehen des Rechts, die von der oder dem Landesbeauftragten für den Datenschutz geleitete Behörde anzurufen, sowie deren Kontaktdaten.
(1) 1 Der Verantwortliche hat betroffenen Personen auf Antrag Auskunft zu erteilen über
2 Der Verantwortliche hat die betroffene Person auf ihre Rechte auf Berichtigung, Löschung oder Einschränkung der Verarbeitung personenbezogener Daten durch den Verantwortlichen und das Bestehen des Rechts nach § 55, die von der oder dem Landesbeauftragten für den Datenschutz geleitete Behörde anzurufen, hinzuweisen und deren Kontaktdaten mitzuteilen.
(3) 1 Der Verantwortliche kann die Auskunftserteilung einschränken oder ablehnen, soweit und solange
die Auskunft die Erfüllung der in § 23 bezeichneten Aufgaben gefährden würden,
die Auskunft die öffentliche Sicherheit gefährden oder sonst dem Wohl des Bundes oder eines Landes einen Nachteil bereiten würde oder
die Auskunft die Interessen einer anderen Person an der Geheimhaltung gefährden würde,
es sei denn, das Informationsinteresse der betroffenen Person überwiegt das Interesse an der Vermeidung dieser Gefahren. 2 Die Auskunftserteilung kann auch eingeschränkt oder abgelehnt werden, soweit und solange die Daten oder die Tatsache ihrer Speicherung nach einer Rechtsvorschrift geheim gehalten werden müssen.
(4) 1 Bezieht sich die Auskunftserteilung auf personenbezogene Daten, die an die Verfassungsschutzbehörden, den Bundesnachrichtendienst, den Militärischen Abschirmdienst und, soweit die Sicherheit des Bundes berührt wird, andere Behörden des Bundesministeriums der Verteidigung übermittelt wurden, so ist sie nur mit Zustimmung dieser Stellen zulässig. 2 Satz 1 gilt entsprechend für personenbezogene Daten, die von einer Behörde nach Satz 1 übermittelt wurden.
(5) 1 Der Verantwortliche hat die betroffene Person über die Ablehnung oder die Einschränkung der Auskunftserteilung unverzüglich schriftlich zu unterrichten. 2 Die Ablehnung oder Einschränkung der Auskunft nach Satz 1 ist zu begründen, es sei denn, dass durch die Mitteilung der Gründe der mit der Ablehnung oder Einschränkung der Auskunft verfolgte Zweck gefährdet würde. 3 Soweit die Ablehnung oder die Einschränkung der Auskunftserteilung nicht nach Satz 2 begründet wird, sind die Gründe hierfür aktenkundig zu machen.
(6) 1 Wird die betroffene Person nach Absatz 5 über die Ablehnung oder die Einschränkung der Auskunftserteilung unterrichtet, so kann die betroffene Person ihr Auskunftsrecht auch über die von der oder dem Landesbeauftragten für den Datenschutz geleitete Behörde ausüben. 2 Der Verantwortliche hat die betroffene Person über diese Möglichkeit sowie darüber zu unterrichten, dass sie gemäß § 55 die von der oder dem Landesbeauftragten für den Datenschutz geleitete Behörde anrufen oder gerichtlichen Rechtsschutz suchen kann. 3 Auf Verlangen der betroffenen Person erteilt der Verantwortliche der von der oder dem Landesbeauftragten für den Datenschutz geleiteten Behörde die begehrte Auskunft und stellt dieser die nach Absatz 5 Satz 3 dokumentierten Gründe für die Ablehnung oder Einschränkung der Auskunftserteilung zur Verfügung, es sei denn, es liegt ein Ausschlussgrund nach § 57 Abs. 8 vor. 4 Die von der oder dem Landesbeauftragten für den Datenschutz geleitete Behörde hat die betroffene Person zumindest darüber zu unterrichten, dass alle erforderlichen Prüfungen oder eine Überprüfung durch sie erfolgt sind, oder über die Gründe, aus denen eine Überprüfung nicht erfolgt ist. 5 Diese Mitteilung kann die Information enthalten, ob datenschutzrechtliche Verstöße festgestellt wurden. 6 Die Mitteilung der von dem oder der Landesbeauftragten für den Datenschutz geleiteten Behörde an die betroffene Person darf keine Rückschlüsse auf den Erkenntnisstand des Verantwortlichen zulassen, sofern er nicht einer weitergehenden Auskunft zustimmt. 7 Der Verantwortliche darf die Zustimmung nur soweit und solange verweigern, wie er nach Absatz 3 von einer Auskunft absehen oder sie einschränken könnte.
(1) 1 Die betroffene Person hat das Recht, von dem Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger Daten zu verlangen. 2 Insbesondere im Fall von Aussagen oder Beurteilungen betrifft die Frage der Richtigkeit nicht den Inhalt der Aussage oder der Beurteilung, sondern die Tatsache, dass die Aussage oder Beurteilung so erfolgt ist. 3 Hat der Verantwortliche eine Berichtigung vorgenommen, so hat er einer Stelle, die ihm die personenbezogenen Daten zuvor übermittelt hat, die Berichtigung mitzuteilen. 4 Wenn die Richtigkeit oder Unrichtigkeit der Daten nicht festgestellt werden kann, so tritt an die Stelle der Berichtigung eine Einschränkung der Verarbeitung. 5 In diesem Fall hat der Verantwortliche die betroffene Person zu unterrichten, bevor er die Einschränkung wieder aufhebt. 6 Die betroffene Person kann zudem die Vervollständigung unvollständiger personenbezogener Daten verlangen, wenn dies unter Berücksichtigung der Verarbeitungszwecke angemessen ist.
(4) 1 Der Verantwortliche hat die betroffene Person über eine Verweigerung der Berichtigung oder Löschung personenbezogener Daten oder über die an deren Stelle tretende Einschränkung der Verarbeitung und über die Gründe hierfür schriftlich zu unterrichten. 2 Dies gilt nicht, wenn die Erteilung dieser Informationen eine Gefährdung im Sinne des § 51 Abs. 3 mit sich bringen würde. 3 Die Unterrichtung nach Satz 1 ist zu begründen, es sei denn, dass die Mitteilung der Gründe den mit dem Absehen von der Unterrichtung verfolgten Zweck gefährden würde. 4 § 51 Abs. 6 und 7 ist entsprechend anwendbar.
(1) 1 Der Verantwortliche hat mit betroffenen Personen unter Verwendung einer klaren und einfachen Sprache in präziser, verständlicher und leicht zugänglicher Form zu kommunizieren. 2 Unbeschadet besonderer Formvorschriften soll er bei der Beantwortung von Anträgen grundsätzlich die für den Antrag gewählte Form verwenden.
(3) 1 Informationen nach § 50, Benachrichtigungen nach speziellen Rechtsvorschriften und nach § 42 sowie die Bearbeitung von Anträgen nach den §§ 51 und 52 erfolgen für die betroffene Person unentgeltlich. 2 Bei offenkundig unbegründeten oder exzessiven Anträgen der betroffenen Person nach den §§ 51 und 52 kann der Verantwortliche entweder eine angemessene Gebühr auf der Grundlage des Verwaltungsaufwands verlangen oder sich weigern, aufgrund des Antrags tätig zu werden. 3 In diesem Fall trägt der Verantwortliche die Beweislast für den offenkundig unbegründeten oder exzessiven Charakter des Antrags.
(5) 1 Auf ein Mitverschulden der betroffenen Person ist § 254 des Bürgerlichen Gesetzbuchs entsprechend anwendbar. 2 Auf die Verjährung des Schadensersatzanspruchs sind die für unerlaubte Handlungen geltenden Verjährungsvorschriften des Bürgerlichen Gesetzbuchs entsprechend anwendbar.
(1) 1 Jede betroffene Person, die meint, durch die Verarbeitung ihrer personenbezogenen Daten in ihren Rechten durch einen Verantwortlichen oder einen Auftragsverarbeiter verletzt worden zu sein, der der Kontrolle nach den Vorschriften dieses Teils unterliegt, kann sich unbeschadet anderweitiger Rechtsbehelfe mit einer Beschwerde an die von der oder dem Landesbeauftragten für den Datenschutz geleitete Behörde wenden. 2 Dies gilt nicht für die Verarbeitung personenbezogener Daten im Rahmen der justiziellen Tätigkeit durch Gerichte im Anwendungsbereich des § 23 Abs. 1. 3 Die betroffene Person kann sich bei der Wahrnehmung ihres Beschwerderechts entsprechend Artikel 80 der Datenschutz-Grundverordnung vertreten lassen.
(3) 1 Die von der oder dem Landesbeauftragten für den Datenschutz geleitete Behörde leitet eine bei ihr eingelegte Beschwerde über eine Verarbeitung, die in die Zuständigkeit einer Aufsichtsbehörde in einem anderen Mitgliedstaat der Europäischen Union fällt, unverzüglich an die zuständige Aufsichtsbehörde des anderen Staates weiter. 2 Sie hat in diesem Fall die beschwerdeführende Person über die Weiterleitung zu unterrichten und ihr auf deren Ersuchen weitere Unterstützung zu leisten.
1 Wenn sich die von der oder dem Landesbeauftragten für den Datenschutz geleitete Behörde nicht mit einer Beschwerde nach § 55 befasst oder die beschwerdeführende Person nicht innerhalb von drei Monaten nach Einlegung der Beschwerde über den Stand oder das Ergebnis der Beschwerde in Kenntnis gesetzt wurde, so kann die beschwerdeführende Person gerichtlich dagegen vorgehen. 2 Die Regelungen aus § 20 des Bundesdatenschutzgesetzes und Artikel 78 Abs. 2 der Datenschutz-Grundverordnung sind insoweit entsprechend anwendbar.
(3) 1 Die Aufsicht über die Erhebung personenbezogener Daten durch Strafverfolgungsbehörden bei der Ermittlung, Aufdeckung oder Verfolgung von Straftaten ist erst nach Abschluss des Strafverfahrens zulässig. 2 Sie erstreckt sich nicht auf eine Datenverarbeitung, die gerichtlich überprüft wurde. 3 Die Sätze 1 und 2 gelten für die Strafvollstreckung entsprechend.
(4) 1 Der Verantwortliche hat mit der von der oder dem Landesbeauftragten geleiteten Behörde bei der Erfüllung ihrer Aufgaben zusammenzuarbeiten und sie bei der Wahrnehmung ihrer Aufgaben zu unterstützen. 2 Er hat ihr insbesondere
soweit dies zur Erfüllung ihrer Aufgaben erforderlich ist. 3 Die Untersuchungsbefugnis der von der oder dem Landesbeauftragten geleiteten Behörde erstreckt sich auch auf von öffentlichen Stellen im Sinne des § 23 Abs. 1 und 2 erlangte personenbezogene Daten über den Inhalt und die näheren Umstände des Brief-, Post- und Fernmeldeverkehrs sowie solche personenbezogene Daten, die aufgrund von Maßnahmen, die in das Recht der Unverletzlichkeit der Wohnung eingreifen, erhoben wurden. 4 Das Grundrecht des Brief-, Post- und Fernmeldegeheimnisses (Artikel 10 des Grundgesetzes) sowie das Grundrecht auf Unverletzlichkeit der Wohnung (Artikel 13 des Grundgesetzes) werden insoweit eingeschränkt.
(5) 1 Bestehen Anhaltspunkte dafür, dass eine beabsichtigte Verarbeitung personenbezogener Daten gegen die Vorschriften dieses Teils oder gegen andere Rechtsvorschriften im Sinne des § 23 Abs. 3 Satz 1 verstößt, so kann die von der oder dem Landesbeauftragten für den Datenschutz geleitete Behörde den Verantwortlichen oder den Auftragsverarbeiter warnen, dass die Datenverarbeitung voraussichtlich gegen die Vorschriften dieses Teils oder gegen andere Rechtsvorschriften im Sinne des § 23 Abs. 3 Satz 1 verstößt. 2 Stellt die von der oder dem Landesbeauftragten für den Datenschutz geleitete Behörde einen solchen Verstoß im laufenden Betrieb einer Verarbeitung personenbezogener Daten fest, so kann sie den Verstoß
mit der Aufforderung beanstanden, innerhalb einer bestimmten Frist Stellung zu nehmen. 3 In den Fällen des Satzes 2 Nr. 2 ist gleichzeitig die zuständige Kommunal- und Fachaufsichtsbehörde zu unterrichten.
(7) 1 Wenn eine oberste Landesbehörde im Einzelfall feststellt, dass die Sicherheit des Bundes oder eines Landes dies gebietet, dürfen die Rechte nach Absatz 4 nur von der oder dem Landesbeauftragten für den Datenschutz persönlich ausgeübt werden. 2 In diesem Fall entscheidet die oberste Landesbehörde, ob personenbezogene Daten einer betroffenen Person, der von dem Verantwortlichen Vertraulichkeit besonders zugesichert worden ist, der oder dem Landesbeauftragten für den Datenschutz gegenüber offenbart werden.
(8) 1 Auch Behörden und sonstige öffentliche Stellen des Landes können gerichtlich gegen sie betreffende verbindliche Entscheidungen der von der oder dem Landesbeauftragten für den Datenschutz geleiteten Behörde vorgehen. 2 Die Klage hat aufschiebende Wirkung.
(1) 1 Die Person, die nach Artikel 37 der Datenschutz-Grundverordnung als Datenschutzbeauftragte oder Datenschutzbeauftragter zu bestellen ist, nimmt im Sinne dieses Teils zusätzlich zumindest folgende Aufgaben wahr:
2 Organisatorisch hat die oder der Datenschutzbeauftragte bei der Aufgabenwahrnehmung nach Satz 1 eine Stellung entsprechend Artikel 38 der Datenschutz-Grundverordnung.
(2) 1 Die oder der Datenschutzbeauftragte ist zur Verschwiegenheit über die Identität der betroffenen Person sowie über die Umstände, die Rückschlüsse auf sie zulassen, verpflichtet, soweit er oder sie hiervon nicht durch die betroffene Person befreit wird. 2 Dies gilt auch nach Beendigung der Tätigkeit als Datenschutzbeauftragte oder Datenschutzbeauftragter.
(3) 1 Wenn die oder der Datenschutzbeauftragte bei ihrer oder seiner Tätigkeit Kenntnis von Daten erhält, für die der Leitung oder einer bei der öffentlichen Stelle beschäftigten Person aus beruflichen Gründen ein Zeugnisverweigerungsrecht zusteht, steht dieses Recht auch der oder dem Datenschutzbeauftragten und den ihr oder ihm unterstellten Beschäftigten zu. 2 Über die Ausübung dieses Rechts entscheidet die Person, der das Zeugnisverweigerungsrecht aus beruflichen Gründen zusteht, es sei denn, dass diese Entscheidung in absehbarer Zeit nicht herbeigeführt werden kann. 3 Soweit das Zeugnisverweigerungsrecht der oder des Datenschutzbeauftragten reicht, unterliegen ihre oder seine Akten und andere Schriftstücke einem Beschlagnahmeverbot.
(1) 1 Wer gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, eine in § 59 Abs. 1 genannte Handlung begeht, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft. 2 Ebenso wird bestraft, wer unter den in Satz 1 genannten Voraussetzungen Einzelangaben über persönliche oder sachliche Verhältnisse einer nicht mehr bestimmbaren Person zusammenführt und dadurch wieder bestimmbar macht.
(3) 1 Die Tat wird nur auf Antrag verfolgt. 2 Antragsberechtigt sind die betroffene Person, der Verantwortliche, der Auftragsverarbeiter und die von der oder dem Landesbeauftragten geleitete Behörde.
(1) 1 Die am 24. Mai 2018 im Amt befindliche Landesbeauftragte für den Datenschutz gilt für den Rest ihrer Amtszeit als nach § 18 Abs. 3 Satz 1 und § 57 Abs. 1 berufen. 2 Ihre Rechtsstellung sowie ihre Aufgaben und Befugnisse richten sich im Anwendungsbereich des Ersten Teils nach den Vorschriften der Datenschutz-Grundverordnung sowie nach den §§ 18 bis 22 und im Anwendungsbereich des Zweiten Teils nach § 57.

References: § 1

§ 2

§ 4

§ 5

§ 6

§ 8

§ 9

§ 10

§ 11

§ 12

§ 13

§ 14

§ 15

§ 16

§ 17

§ 18

§ 19

§ 20

§ 21

§ 22

§ 23

§ 24

§ 25

§ 26

§ 27

§ 28

§ 29

§ 30

§ 31

§ 32

§ 34

§ 35

§ 36

§ 37

§ 38

§ 39

§ 40

§ 41

§ 42

§ 43

§ 44

§ 45

§ 46

§ 47

§ 48

§ 49

§ 50

§ 51

§ 52

§ 53

§ 54

§ 55

§ 56

§ 57

§ 58

§ 59

§ 60

§ 61

§ 4
 § 2
 § 12
 § 17
 § 6
 § 6
 § 40
 § 1
 § 1
 § 11
 § 23
 § 23
 § 17
 § 23
 § 23
 § 13
 § 51
 § 52
 § 26
 § 28
 § 28
 § 51
 § 23
 § 46
 § 46
 § 46
 § 47
 § 46
 § 55
 § 23
 § 55
 § 57
 § 51
 § 51
 § 50
 § 42
 § 254
 § 23
 § 55
 § 20
 § 23
 § 23
 § 23
 § 59
 § 18
 § 57
 § 57