Source: http://www.schure.de/2060002/ndsgvvs.htm
Timestamp: 2019-01-19 05:06:19
Document Index: 111140254

Matched Legal Cases: ['§16', '§8', '§8', '§ 8', '§8', '§81', '§67', '§7', '§8', '§7', '§16', '§7', '§7', '§8', '§10', '§10', '§9', '§10', '§10', '§203', '§30', '§5', '§101', '§ 10', '§10', '§16', '§11', '§101', '§11', '§ 12', '§12', '§12', '§6', '§5', '§12', '§22', '§13', '§13', '§14', '§11', '§13', '§13', '§15', '§13', '§15', '§13', '§15', '§4', '§16', '§16', '§17', '§3', '§3', '§7', '§17', '§7', '§6', '§6', '§80', '§17', '§17', '§ 17', '§17', '§3', '§ 18', '§18', '§19', '§22', '§12', '§12', '§46', '§8', '§22', '§25', '§25', '§25', '§25', '§10', '§25', '§25', '§25', '§25', '§10', '§10', '§25', '§28', '§29', '§6', '§ 8', '§ 6', '§ 14', '§ 7', '§ 8', '§ 22', '§ 22', '§10', '§ 4', '§ 7']

Gem. RdErl. d. MI, d. StK u. d. übr. Min. v. 26. 6.2002 - 44.22-05419/2 - (Nds.MBl. Nr.31/2002 S.640) - VORIS 20600 -
Bezug: Gem. RdErl. d. MI, d. StK u. d. übr. Min. v. 23. 6.1994 Nds.MBl. S.1147) , geändert durch Gem. RdErl. v. 11.5.1998 (Nds.MBl. S.920) - VORIS 20600 02 00 00 001
5.2 Der Pflicht, den Betroffenen die Kenntnisnahme der auf dem Medium gespeicherten Daten zu ermöglichen, wird auch genügt, wenn die für Zwecke der Verarbeitung aufgestellten Endgeräte zusätzlich eine Funktion bieten, die es der Karteninhaberin oder dem Karteninhaber ermöglicht, die auf der Karte gespeicherten personenbezogenen Daten einzusehen. Soweit die weitergehenden Rechte nach §§16 und 17 nicht als Funktion zur Verfügung stehen, sind Hinweise zu geben, gegenüber welcher Stelle die Betroffenen ihre Rechte geltend machen können.
5.3 Um zu verhindern, dass ein Datenaustausch ohne Kenntnis der Karteninhaberin oder des Karteninhabers erfolgt (z.B. bei berührungslosen Chipkarten), verpflichtet Absatz 3 die beteiligten Stellen, die Tatsache der Kommunikation für die betroffene Person eindeutig erkennbar zu machen (z.B. durch akustische Signale).
Anlage 1 ersichtlichen Punkte enthalten muss. Die Beschreibung erfolgt für das Verfahren und nicht für einzelne Dateien oder Verarbeitungsvorgänge. Soweit in bereichsspezifischen Vorschriften die Beschreibung einer automatisierten Datei gefordert ist, finden die Regelungen zur Verfahrensbeschreibung Anwendung (vgl. Nr.2.3).
Verfahren zur Speicherung personenbezogener Daten zu einem anderen Zweck als der inhaltlichen Auswertung, für die keine Beschreibung zu erstellen ist, sind z.B. solche, die ausschließlich Zwecken der Datenschutzkontrolle, der Datensicherung oder der Sicherstellung des ordnungsgemäßen Betriebes einer Datenverarbeitungsanlage dienen und bei denen nach der verarbeitungstechnischen Nutzung die personenbezogenen Daten gelöscht oder überschrieben werden. Als vorübergehend ist eine Speicherung anzusehen, wenn die Daten innerhalb von drei Monaten nach ihrer Erstellung gelöscht werden.
Nicht unter die Beschreibungspflicht fallen Register nach §8a Abs.4. Nach der Verordnung über Ausnahmen von der Pflicht zur Bestellung von Datenschutzbeauftragten nach §8a entfällt die Beschreibungspflicht für die Tätigkeit der Notarinnen und Notare sowie für die Verfahren zur Textverarbeitung einschließlich der Übermittlung elektronischer Dokumente über Telekommunikationsdienste an die Empfängerinnen und Empfänger.
Zu § 8a (Behördliche Datenschutzbeauftragte)
Die Bestellung der oder des Beauftragten für den Datenschutz erfolgt durch die Leiterin oder den Leiter der Behörde oder sonstigen öffentlichen Stelle, bei der die Datenverarbeitungsanlagen oder die Datenendgeräte betrieben werden. Bestellt werden können auch Personen, die nicht der Daten verarbeitenden Stelle angehören, insbesondere können z.B. Gemeinden die Aufgaben einer oder eines Beauftragten für den Datenschutz Angehörigen der Kommunalen Datenzentralen übertragen. Es ist auch möglich, gemeinsam eine Beauftragte oder einen Beauftragten für den Datenschutz zu bestellen. Werden bei einer Stelle Sozialdaten verarbeitet, gilt §8a i.V.m. §81 Abs.4 Satz 4 SGB X.
Die Bestellung und ggf. auch Abberufung unterliegt gemäß §67 Abs.1 Nr.9 NPersVG der Mitbestimmung des Personalrats.
Mit der Funktion sollen nicht Personen betraut werden, die dadurch in Interessenkonflikte geraten können, die über das unvermeidliche Maß hinausgehen; das wird in der Regel der Fall sein, wenn z.B. die Leiterin oder der Leiter von Rechenzentren oder Bedienstete der Systemverwaltung oder deren unmittelbare Vorgesetzten zur oder zum Beauftragten für den Datenschutz bestellt werden sollen. Die oder der Beauftragte für den Datenschutz hat vorrangig die Aufgabe, bei der Ausgestaltung der technischen und organisatorischen Maßnahmen nach §7 zu beraten und auf die Durchführung der Maßnahmen sowie der Aufgaben nach §8 hinzuwirken. Dabei hat sie oder er im Bereich der automatisierten Datenverarbeitung insbesondere
auf der Grundlage des §7 Abs.2 zu prüfen, welche Maßnahmen zur Datensicherung erforderlich und angemessen sind,
gegebenenfalls bei der Erledigung von Auskunftsbegehren nach §16 mitzuwirken
Damit die Beauftragten für den Datenschutz frühzeitig auf eine sachgerechte Ausgestaltung der Maßnahmen nach §7 hinwirken können, sind sie bereits über geplante Verfahren zur automatisierten Verarbeitung personenbezogener Daten zu unterrichten.
8.3 Die Beauftragten für den Datenschutz haben auf Antrag, ohne dass es hierfür besonderer Voraussetzungen bedarf, jedermann die Verfahrensbeschreibungen, die ihnen von den Daten verarbeitenden Stellen zur Verfügung zu stellen sind, zugänglich zu machen. Über die Art und Form, z.B. Einsichtnahme /oder kostenpflichtige Übersendung von Kopien, entscheiden die Beauftragten für den Datenschutz. Zulässig ist auch eine Veröffentlichung im Internet, wenn sichergestellt ist, dass sich die Informationen auf die Angaben zu den Nrn.1 bis 6 der Verfahrensbeschreibungen (Seiten 1 bis 3 der Anlage 1 ohne den behördeninternen Teil) beschränken und Informationen, die zu einer Beeinträchtigung der Verfahrenssicherheit führen könnten, nicht offenbart werden. Gänzlich ausgenommen von dieser Verpflichtung sind Beschreibungen, wenn die Verarbeitungen der Erfüllung von Aufgaben nach dem NVerfSchG oder polizeilicher Aufgaben nach dem NGefAG oder zum Zweck der Strafverfolgung erfolgen.
Den Beauftragten für den Datenschutz obliegt die Vorabprüfung von Verfahren nach §7 Abs.3. Für die Durchführung hierfür notwendiger Erhebungen und Prüfungen können sie sich der Unterstützung der Daten verarbeitenden Stelle bedienen. Bei behörden- oder ressortübergreifenden Verfahren liegt die Zuständigkeit zur Vorabprüfung bei der oder dem Beauftragten für den Datenschutz der öffentlichen Stelle, die für die Einführung des Verfahrens verantwortlich ist.
8.4 Keine Beauftragten für den Datenschutz sind zu bestellen für öffentliche Stellen, die lediglich Register führen, die zur Information der Öffentlichkeit bestimmt sind und entweder jedermann oder allen Personen, die ein berechtigtes Interesse geltend machen, offen stehen. Nach der Verordnung über Ausnahmen von der Pflicht zur Bestellung von Datenschutzbeauftragten nach §8a entfällt die Pflicht zur Bestellung von Beauftragten für den Datenschutz für die Tätigkeit der Notarinnen und Notare sowie für die Verfahren zur Textverarbeitung einschließlich der Übermittlung elektronischer Dokumente über Telekommunikationsdienste an die Empfängerinnen und Empfänger.
10.1 Nach §10 Abs.1 dürfen personenbezogene Daten nur für die Zwecke verarbeitet werden, für die sie erhoben oder - falls keine Erhebung vorausgegangen ist - erstmals gespeichert worden sind. Auf Grund dieses Zweckbindungsprinzips kommt der Festlegung des Verarbeitungszwecks für die Zulässigkeit der weiteren Verarbeitung der Daten eine zentrale Bedeutung zu (vgl. §10 Abs.2).
Werden Daten bei den Betroffenen erhoben, wird der Zweck durch die Aufklärung nach §9 Abs.2 Satz 1 begrenzt. Bei entsprechender Aufklärung können Daten auch gleichzeitig für unterschiedliche Zwecke erhoben werden.
Werden Daten in Ausführung einer Rechtsvorschrift verarbeitet, ergibt sich aus ihr auch der Zweck der Datenverarbeitung. Soweit in der Rechtsvorschrift keine besonderen Regelungen für die Verarbeitung personenbezogener Daten enthalten sind, kann in der Regel davon ausgegangen werden, dass es sich bei der Ausführung der Rechtsvorschrift insgesamt um einen Zweck und nicht verschiedene Zwecke i.S. des §10 Abs.1 und 2 handelt.
10.2 §10 Abs.2 Satz 2 enthält eine Sonderregelung für personenbezogene Daten, die einem Berufs- oder besonderen Amtsgeheimnis unterliegen und der Daten verarbeitenden Stelle von der zur Verschwiegenheit verpflichteten Person in Ausübung ihrer Berufs- oder Amtspflicht übermittelt worden sind.
Berufsgeheimnissen in diesem Sinne unterliegen die Angehörigen der in §203 Abs.1 StGB genannten Berufe. Zu den besonderen Amtsgeheimnissen gehören alle Geheimnisse, die auf Grund besonderer Rechtsvorschriften über das allgemeine Amtsgeheimnis, das seinen Ausdruck in §30 VwVfG, den dienst- und arbeitsrechtlichen Verschwiegenheitspflichten und in §5 gefunden hat, hinausgehen. Hierzu gehören z.B. das Statistikgeheimnis, das Steuergeheimnis, das Post- und das Fernmeldegeheimnis.
Soweit möglich, ist es zu vermeiden, dass Auszubildende Personalakten von Bediensteten der Beschäftigungsbehörde bearbeiten, bei der die Auszubildenden später verbleiben. Statt dessen kommt z.B. die Ausbildung an Vorgängen nachgeordneter Bereiche in Betracht, deren Bedienstete den Auszubildenden nicht persönlich bekannt sind. Wenn die Ausbildungspläne auch Stationen in anderen Behörden vorsehen, könnte eine Zuweisung in deren Personalstellen erfolgen.
Es sind nur die bearbeitungsrelevanten Personalakten bzw. Personalaktenteile zur Verfügung zu stellen; eine generelle Zugriffsmöglichkeit auf die Personalakten ist auszuschließen. Siehe auch Nr.8.1 der VV zu §101 NBG (Gem.RdErl. des MI, der StK und der übrigen Min. vom 25.11.1992, Nds.MBl. 1993 S.93).
Zu § 10a (Automatisierte Einzelentscheidung)
11.1 Mit §10a trifft der Gesetzgeber in Umsetzung der EG-Datenschutzrichtlinie eine grundsätzliche Wertentscheidung, nach der Betroffene nicht einer Entscheidung unterworfen werden sollen, die ausschließlich auf einer automatisierten Bewertung einzelner Persönlichkeitsmerkmale wie z. B. Zuverlässigkeit oder berufliche Leistungsfähigkeit beruht.
11.2 Damit Betroffene ihre Rechte wirksam ausüben können, erstreckt sich ihr Auskunftsanspruch auch auf den logischen Aufbau bzw. Art und Struktur der der automatisierten Einzelentscheidung zugrunde liegenden automatisierten Verarbeitung. Die Begriffe logischer Aufbau bzw. Art und Struktur der automatisierten Verarbeitung (vgl. §16) sind inhaltsgleich und sollen deutlich machen, dass die Betroffenen darüber informiert werden müssen, nach welchen Entscheidungskriterien und Bewertungsmustern automatisierte Einzelentscheidungen ergehen.
12. Für die Übermittlung personenbezogener Daten durch eine Weitergabe von Akten sieht §11 Abs.2 Verfahrenserleichterungen vor. Die Daten verarbeitende Stelle wird ihre Aktenführung allerdings so einrichten, dass eine Aktentrennung möglichst erreicht werden kann (z.B. vergleichbar der Regelung in Nr.4.3 der VV zu §101 NBG für die Personalaktenverwaltung). Ob ein unvertretbarer Aufwand vorliegt, kann in der Regel nur im Einzelfall entschieden werden. Die in §11 Abs.2 enthaltene Regelung gilt nicht für die automatisierte Verarbeitung personenbezogener Daten.
Zu § 12 (Automatisiertes Abrufverfahrenmittlung)
13.1 Die Regelungen in §12 gelten sowohl für bereits bestehende wie auch für geplante automatisierte Abrufverfahren unabhängig von der eingesetzten Technologie. So werden auch Abrufverfahren, die im Rahmen eines Internetangebots eingerichtet werden, mit erfasst. Die Regelungen finden jedoch keine Anwendung für die Einrichtung entsprechender Verfahren innerhalb einer öffentlichen Stelle. Hierbei ist anders als bei der Einrichtung automatisierter Abrufverfahren im Anwendungsbereich des SGB vom organisatorischen Behördenbegriff auszugehen. Geplante automatisierte Abrufverfahren sind der jeweils zuständigen obersten Landesbehörde mitzuteilen.
Sollen automatisierte Abrufverfahren zur Wahrnehmung von Aufgaben des eigenen Wirkungskreises eingerichtet werden, können diese nach §12 Abs.1 i.V.m. der satzungsbegründenden Rechtsvorschrift (z.B. §6 NGO, §5 NLO) durch Satzung zugelassen werden. Dabei sind die in §12 Abs.2 Sätze 3 und 4 enthaltenen Vorgaben zu berücksichtigen. Nach §22 Abs.1 ist die oder der Landesbeauftragtefür den Datenschutz vor dem Erlass einer solchen Satzung anzuhören.
14. Ein rechtliches Interesse nach §13 Abs.1 Satz 1 Nr.2 liegt vor, wenn die Kenntnis der Daten für den Empfänger zur Verfolgung von Rechtsansprüchen oder Abwehr entsprechender Forderungen erforderlich ist. Das berechtigte Interesse i.S. des §13 Abs.1 Satz 1 Nr.3 umfasst darüber hinaus jedes private, ideelle oder vermögenswerte Interesse, das von der Rechtsordnung als schutzwürdig anerkannt wird.
15.1 Auch wenn die in §14 Abs.1 Satz 1 genannten Voraussetzungen nicht vorliegen, ist eine Übermittlung personenbezogener Daten an ausländische Personen und Stellen in Staaten außerhalb des Europäischen Wirtschaftsraums unter den gleichen Voraussetzungen zulässig, die bei einer Datenübermittlung an Personen oder Stellen in Staaten innerhalb des Europäischen Wirtschaftsraums (Inland, EU-Mitgliedsstaaten und die Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum, zurzeit Norwegen, Island und Lichtenstein) zu beachten sind (vgl. §11 Abs.1 und §13 Abs.1), sofern im Empfängerland gleichwertige Datenschutzregelungen gelten. Als gleichwertig können Regelungen zur Gewährleistung eines Datenschutzstandards anerkannt werden, der zumindest dem entspricht, der sich aus der Verwirklichung der Grundsätze des Übereinkommens des Europarates über den Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten vom 28.Januar 1981 (BGBl. 1985 II S.538) ergibt. Dies gilt auch für Kanada, Israel, Ungarn, die Schweiz sowie die Vereinigten Staaten von Amerika. Im Hinblick auf den Umfang der Ausnahmen nach Absatz 2 wird in der Praxis eine Prüfung, ob im Empfängerland gleichwertige Datenschutzbestimmungen gelten, nur in Ausnahmefällen erforderlich werden. Soweit im Einzelfall Zweifel bestehen, ob im Empfängerland gleichwertige Datenschutzregelungen gelten, ist dem MI zu berichten.
Ausländische Personen und nicht öffentliche Stellen sind entsprechend §13 Abs.2 zu verpflichten, die Daten nur für die Zwecke zu verarbeiten, zu denen sie ihnen übermittelt worden sind.
15.2 Unabhängig von dem Vorliegen gleichwertiger Datenschutzbestimmungen dürfen personenbezogene Daten übermittelt werden, soweit die Ausnahmen des Absatzes 2 vorliegen. Bei öffentlichen Registern muss in den Fällen der Nr.3 Buchst. b die ausländische Person oder Stelle das berechtigte Interesse an der Einsichtnahme glaubhaft machen.
16.1 §15 enthält eine besondere Regelung für die Übermittlung personenbezogener Daten an Stellen öffentlich-rechtlicher Religionsgesellschaften. Die Übermittlung personenbezogener Daten an privatrechtliche Religionsgesellschaften ist unter den in §13 genannten Voraussetzungen zulässig. Privatrechtlich organisierte Einrichtungen und Werke öffentlich-rechtlicher Religionsgesellschaften gehören nicht zu den in §15 genannten Stellen; für die Übermittlung von Daten an diese gilt §13.
Die Übermittlung personenbezogener Daten an Stellen öffentlich-rechtlicher Religionsgesellschaften nach §15 Satz 1 Nrn.3 bis 5 ist nur zulässig, wenn sichergestellt ist, dass bei den Empfängern ausreichende Datenschutzmaßnahmen getroffen sind. Bei den nachfolgend aufgeführten öffentlich-rechtlichen Religionsgesellschaften ist davon auszugehen, dass ausreichende Datenschutzmaßnahmen, insbesondere Regelungen zur Zweckbindung, getroffen sind. Im übrigen sind die Voraussetzungen im Einzelfall zu prüfen.
16.1.1 Evangelische Landeskirchen
Evangelisch-reformierte Kirche (Synode ev-ref. Kirchen in Bayern und Nordwestdeutschland),
Ev. Kirche von Westfalen in Bezug auf die auf niedersächsischem Gebiet liegenden Teile von Kirchengemeinden .
16.1.2 Evangelisch reformierte Gemeinden (außerhalb der Landeskirchen)
16.1.3 Römisch-katholische Kirche
16.1.4 Andere
16.2 Soweit die Betroffenen in die Übermittlung personenbezogener Daten an Stellen öffentlich-rechtlicher Religionsgesellschaften eingewilligt haben oder eine bereichsspezifische Rechtsvorschrift die Datenübermittlung vorsieht, ist ebenfalls nicht zu prüfen, ob sichergestellt ist, dass bei diesen Stellen ausreichende Datenschutzmaßnahmen getroffen sind. Die Datenübermittlung ist dann bereits nach §4 Abs.1 Nr.2 bzw. 4 Abs.1 Nr.1, zweite Alternative zulässig.
17.1 Eine Gefährdung der ordnungsgemäßen Wahrnehmung der sonstigen Aufgaben einer öffentlichen Stelle (§16 Abs.4 Nr.1) kann nur befristet einem Auskunfts- oder Einsichtsverlangen entgegengehalten werden. In derartigen Fällen ist zu prüfen, ob nicht auch durch Teilauskünfte dem Verlangen zunächst Rechnung getragen werden kann. Auskunft ist auch darüber zu erteilen, ob die Daten verarbeitende Stelle personenbezogene Daten im Auftrag von anderen Stellen verarbeiten lässt. Soweit dies geschieht, erstreckt sich der Auskunftsanspruch auch auf die Nennung der Auftragnehmer.
17.2 Die Ablehnung eines Auskunfts- oder Akteneinsichtsverlangens ist zu begründen, soweit nicht der Ausnahmegrund des §16 Abs.5 Satz 1 vorliegt.
17.3 Für eine Auskunft oder Akteneinsicht sind weder Gebühren noch Auslagen zu erheben. Von der Kostenfreiheit nicht erfasst sind Leistungen, die über eine Auskunft oder Akteneinsicht hinausgehen und die nach allgemeinem Kostenrecht (VwKostG i.V.m. NVwKostG, AllGO) gebühren- bzw. erstattungspflichtig sind, wie z. B. die Anfertigung von Ablichtungen, Entscheidungen im förmlichen Rechtsbehelfsverfahren.
18.1 Bevor personenbezogene Daten nach §17 Abs.2 Satz 1 Nr.2 gelöscht werden, haben die öffentlichen Stellen des Landes die Akten oder sonstigen Datenträger dem zuständigen Staatsarchiv zur Übernahme anzubieten (vgl. §3 NArchG). Auf die speziellen Anbietungspflichten nach §3 Abs.6 Satz 1 und §7 Abs.3 NArchG wird hingewiesen.
Soweit für die Aufbewahrung von Akten nicht bereichsspezifische Aufbewahrungsfristen vorgeschrieben sind, ist die Löschung nach §17 Abs.2 Satz 1 Nr.2 durchzuführen, wenn die in der Niedersächsischen Aktenordnung oder dem Niedersächsischen Aktenplan genannten Aufbewahrungsfristen abgelaufen sind.
Bei der Aussonderung von Akten oder sonstigen Datenträgern ist darauf zu achten, dass die erforderlichen technischen und organisatorischen Maßnahmen getroffen werden, um personenbezogene Daten insbesondere vor dem Zugriff Unbefugter zu schützen (§7 Abs.1 und 4). Auch eine Zwischenlagerung des ausgesonderten Schriftguts bis zur Vernichtung muss diesen Anforderungen entsprechen.
Zur Vernichtung von Schriftgut kann eine öffentliche Stelle auch eine andere Behörde beauftragen, die einen Aktenvernichter besitzt. Sowohl bei der Beauftragung einer anderen öffentlichen Stelle wie auch eines privaten Unternehmens handelt es sich um einen Auftrag i.S. des §6. Der Auftrag zur Löschung personenbezogener Daten, die Weisungen zu technischen und organisatorischen Maßnahmen sowie die Zulassung von Unterauftragsverhältnissen sind daher nach §6 Abs.2 Satz 2 schriftlich festzuhalten. Das Muster eines Vertrages über die Vernichtung von Altpapier durch einen Privatunternehmer ist als Anlage 2 beigefügt.
Für den Auftrag zur Vernichtung von Schriftgut mit Sozialdaten enthält §80 SGB X eine bereichsspezifische Regelung.
18.2 Eine Unterrichtungspflicht gemäß §17 Abs.4 besteht nach dem Sinn der Regelung nicht, wenn die Daten gelöscht werden, weil ihre Kenntnis für die Daten verarbeitende Stelle zur Aufgabenerfüllung nicht mehr erforderlich ist (§17 Abs.2 Satz 1 Nr.2).
Zu § 17a (Widerspruchsrecht)
19. Mit §17a wird den Betroffenen das Recht eingeräumt, einer rechtmäßigen Datenverarbeitung (§3 Abs.2 Satz 1) zu widersprechen, soweit persönliche schutzwürdige Interessen einer Verarbeitung entgegenstehen und diese das Interesse der öffentlichen Stelle an der Verarbeitung der Daten überwiegen. Ausgenommen sind hier lediglich Verarbeitungen, die auf- g,rund gesetzlicher Vorschriften von der Daten verarbeitenden Stelle verpflichtend durchzuführen sind.
Zu § 18 (Schadenersatz)
20. §18 sieht für die Verarbeitung personenbezogener Daten eine Gefährdungshaftung vor. Soweit die Daten nicht automatisiert verarbeitet werden, trifft die öffentliche Stelle die Ersatzpflicht nicht, wenn sie nachweist, dass die Unzulässigkeit der Datenverarbeitung nicht von ihr zu vertreten ist (Umkehr der Beweislast). Der oder dem Betroffenen obliegt der Nachweis der rechtswidrigen Verarbeitung und der Schadensverursachung.
21. Wird einem Hinweis einer oder eines Bediensteten auf einen Verstoß gegen datenschutzrechtliche Vorschriften nicht abgeholfen, so kann sich die oder der Bedienstete nach §19 Abs.2 ohne Einhaltung des Dienstweges an die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz wenden.
Unterrichtung über Planungen des Landes und der kommunalen Gebietskörperschaften zum Aufbau automatisierter Informationssysteme (§22 Abs.2),
Zulassung automatisierter Abrufverfahren nach §12 Abs.2 Satz 5 ,
bei der Einrichtung automatisierter Dateien für Aufgaben nach dem NVerfSchG (§12) oder polizeilicher Aufgaben nach dem NGefAG (§46) durch Übersendung einer Ausfertigung der nach §8 zu erstellenden Dateibeschreibung (§22 Abs.5).
Anzeige der Übermittlung personenbezogener Daten an Personen oder sonstige nicht öffentliche Stellen sowie öffentliche Stellen außerhalb des Geltungsbereichs des NDSG für Forschungsvorhaben (§25 Abs.7 Satz 2).
bei der Ausarbeitung von Gesetzentwürfen sowie beim Erlass von Verordnungen und Verwaltungsvorschriften des Landes, die Regelungen zum Recht auf informationelle Selbstbestimmung zum Gegenstand haben, ist die oder der Landesbeauftragte anzuhören.
23.1 Die in §25 enthaltene bereichsspezifische Regelung für die Verarbeitung personenbezogener Daten für Forschungsvorhaben geht Regelungen für die Datenverarbeitung bei Dienst- und Arbeitsverhältnissen vor, so dass diese Daten im Rahmen der in §25 festgelegten Voraussetzungen für Forschungsvorhaben verarbeitet werden dürfen.
23.2 §25 Abs.2 lässt unter den dort genannten Voraussetzungen abweichend von §10 Abs.2 die Weiterverarbeitung der schon von öffentlichen Stellen des Landes gespeicherten personenbezogenen Daten für wissenschaftliche Forschungsvorhaben zu.
Die in §25 Abs.2 Satz 1 Nr.3 vorgeschriebene Abwägung zwischen den schutzwürdigen Interessen der Betroffenen und dem öffentlichen Interesse an der Durchführung des Forschungsvorhabens ist von der öffentlichen Stelle, die das Forschungsvorhaben durchführt, vorzunehmen.
Wird das Forschungsvorhaben von einer Privatperson, einer sonstigen nichtöffentlichen Stelle oder einer öffentlichen Stelle, die nicht in den Anwendungsbereich des NDSG fällt (z.B. eine öffentliche Stelle des Bundes oder eines anderen Bundeslandes), durchgeführt, ist die Abwägung nach §25 Abs.2 Satz 1 Nr.3 von der übermittelnden Stelle vorzunehmen. Ergänzend hierzu sind die Empfänger in diesen Fällen nach §25 Abs.7 zu verpflichten, die Daten nur für das von ihnen bezeichnete Forschungsvorhaben und nach Maßgabe der Absätze 3 bis 5 zu verarbeiten.
23.3 §25 Abs.3 enthält eine besondere Zweckbindungsregelung, die den allgemeinen Zweckbindungsregelungen in §10 Abs.1 und 2 vorgeht. Eine Verarbeitung der für ein Forschungsvorhaben gespeicherten oder übermittelten Daten zur Wahrnehmung von Aufsichts- und Kontrollbefugnissen, zur Rechnungsprüfung oder zur Durchführung von Organisationsuntersuchungen ist jedoch zulässig, da hierin keine zweckändernde Verarbeitung liegt (§10 Abs.3 Satz 1).
23.4 Werden personenbezogene Daten an eine andere als eine öffentliche Stelle des Landes für ein Forschungsvorhaben übermittelt, ist die Übermittlung der oder dem Landesbeauftragten nach §25 Abs.7 Satz 2 von der übermittelnden Stelle vorher so rechtzeitig anzuzeigen, dass die oder der Landesbeauftragte zu der Zulässigkeit der Datenübermittlung ggf. noch Stellung nehmen kann.
24. Mit der Änderung, dass bei der Strafbarkeit künftig auf die unbefugte Verarbeitung von "Daten, die nicht allgemein zugänglich sind" abstellt wird, soll der Rechtsprechung mehrerer Strafgerichte (z. B. BayObLG, NJW 1999, S.1727) Rechnung getragen werden, die das bisherige Merkmal "offenkundig" für die Kfz-Halter-Datei bejaht und daher Personen, die daraus Daten weitergegeben hatten, freigesprochen haben. Auf der Grundlage dieser Rechtsauffassung konnten z. B. unbefugte Abrufe aus dem zentralen Informationssystem des Kraftfahrtbundesamtes durch einzelne öffentliche Bedienstete und die Weitergabe dieser Daten an private Stellen strafrechtlich nicht geahndet werden. Durch die Änderung des Gesetzes soll sichergestellt werden, dass bei Vorliegen der sonstiger Voraussetzungen des §28 eine strafrechtliche Ahndung nur in denjenigen Fällen ausgeschlossen ist, in denen es sich um Daten handelt, die von jedermann zur Kenntnis genommen werden können, ohne dass der Zugang aus Gründen des Persönlichkeitsschutzes rechtlich beschränkt ist.
Entsprechendes gilt für die Änderung der Regelung in §29 (Ordnungswidrigkeiten).
25. Die Ahndung der Ordnungswidrigkeiten richtet sich bei Zuwiderhandlungen von Beschäftigten nach §6 Nr.9 Zust.VO-OWi, im übrigen gilt die Regelzuständigkeit.
26.1 Den Gemeinden, Landkreisen und den sonstigen der Aufsicht des Landes unterstehenden anderen Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts sowie deren Vereinigungen wird empfohlen, entsprechend zu verfahren.
Verfahrensbeschreibung gemäß § 8 des Niedersächsischen Datenschutzgesetzes (NDSG)
Einzelbeschreibung der Daten verarbeitenden Stelle
Sammelbeschreibung der Daten verarbeitenden Stelle zu gleichartigen Verfahren
Sammelbeschreibung durch Auftragnehmer (Daten verarbeitende Stelle siehe beiliegende Liste)
Ersterfassung Änderung/Ergänzung
Verfahrensbeschreibungen über automatisierte Verfahren zur Erfüllung der Aufgaben nach dem NVerfSchG oder nach dem NGefAG sind in Kopie an die Landesbeauftragte/den Landesbeauftragten für den Datenschutz Niedersachsen zu senden.
1. Anzeigende Stelle
Verfahrensbeschreibung erstellt von (Adresse, Geschäftszeichen) Telefon Ort, Datum
Name der oder des Datenschutzbeauftragten/Telefon
Referat/Dezernat/Amt/Abteilung
(Erstellerin/Ersteller der Verfahrensbeschreibung angeordnet durch Leiterin/Leiter
2. Bezeichnung des Verfahrens
Verknüpfungen zu anderen Verfahren oder Dateien bestehen. Bezeichnung dieser anderen Verfahren oder Dateien
3. Bezeichnung der Daten verarbeitenden Stelle/Angaben zur Auftragsdatenverarbeitung
Bezeichnung der Daten verarbeitenden Stelle (Bei Sammelbeschreibung durch Auftragnehmer siehe beiliegende Liste)
Die gesamte Datenverarbeitung wird bei der Daten verarbeitenden Stelle selbst durchgeführt.
Teile der Datenverarbeitung werden bei einem Auftragnehmer durchgeführt. Das Auftragsverhältnis ist schriftlich geregelt,
§ 6 NDSG wird beachtet.
Name und Anschrift der Auftragnehmer sowie Art der Datenverarbeitung (z.B. Erfassung, Mikroverfilmung, Vernichtung)
4. Zweckbestimmung des Verfahrens
6. Kreis der Betroffenen
Ungefähre Anzahl der Betroffenen
7. Fristen für die Sperrung und Löschung der Daten
8.1 Art der gespeicherten Daten
Jeder Betroffenenkreis ist einzeln auzuführen;siehe auch
Ausfüllhinweise.
8.2 Herkunft oder Empfänger bei regelmäßiger Übermittlung
Es ist anzukreuzen, ob es sich um eine übermittelte (Ü) oder
empfangende (E) Stelle handelt.
Es findet keine regelmäßige Übermittlung statt.
8.3 Beabsichtigte Übermittlung von Daten in Staaten nach § 14 NDSG
Behördeninterner Teil der Verfahrensbeschreibung
9. Angaben zu dem Verfahren nach Nr.2
10. Betriebsart des Verfahrens
Stapel- (Batch-)
Bitte zusätzlich angeben
Tabellen- kalkulation
Textver- arbeitung
11. Art der Geräte
(Betriebssystemangaben ohne exakte Versionsnummern)
Großrechner der Firma Betriebssystem
Rechner mittlerer Größe Betriebssystem
Vernetzte Arbeitsplatzcomputer Betriebssystem
Alleinstehende PC Betriebssystem
Großrechner der Firma
Sonstige DFÜ
12. Übermittlungsverfahren
COM-Mikroficheaustausch
Dateitransfer mittels DFÜ
13. Übermittlungsverfahren
Manuelle Sperrung
Verfahren der Auskunftserteilung
14. Technische und organisatorische Angaben nach § 7 NDSG
Grundsätzlich kein Publikumsverkehr in Räumen mit Arbeitsplatzcomputern (APC) oer Terminals.
Alle Räume mit APC sind bei Abwesenheit der Bediensteten mit Sicherheitsschlössern verschlossen.
Es werden nur APC eingesetzt (keine Zentralrechner wie Großrechner, Server, Mehrplatzsysteme)
Alle Zentralrechner sind in einer Sicherheitszone mit Zugangskontrolle untergebracht.
Sicherung wichtiger mobiler Datenträger in separatem, gesicherten Archivraum oder Tresor
14.2 Technische Maßnahmen
Sicherung aller Rechner durch Passwort Magnetstreifenkarte/Chipkarte
14.3 Organisatorische Maßnahmen
Die Zugriffsberechtigungen sind auf folgende Personen beschränkt:
Eine Dienstanweisung zum Datenschutz ist vorhanden.
14. 4 Weitere wichtige technisch-organisatorische Maßnahmen
Ausfüllhinweise zum Formular Verfahrensbeschreibung gemäß
§ 8 des Niedersächsischen Datenschutzgesetzes (NDSG)
Zur Verfahrensbeschreibung
Im Regelfall fertigt jede Daten verarbeitende Stelle für jedes von ihr eingeführte Verfahren eine gesonderte Verfahrensbeschreibung an. Eine Sammelbeschreibung für eine Mehrzahl von Verfahren kann erstellt werden, wenn die Angaben gleich sind. Eine Sammelbeschreibung kommt in Betracht, wenn
innerhalb einer Stelle mehrere Benutzer gleiche oder gleichartige Verfahren nutzen (z.B. gleiche Anwendungen auf mehreren PC),
mehrere Stellen bei einer Stelle gleiche Verfahren nutzen (z.B. das Einwohnerwesen in kommunalen Datenzentralen für mehrere Gemeinden, das ALB der Katasterämter).
Wird die Sammelbeschreibung nicht von der Daten verarbeitenden Stelle selbst erstellt, so sind in der Verfahrensbeschreibung der Auftragnehmer und in einer zusätzlichen Liste alle Daten verarbeitenden Stellen anzugeben.
Die Verfahrensbeschreibung ist von der Stelle zu unterschreiben, die die Verfahrensbeschreibung erstellt hat.
Zusatz für Fälle nach § 22 Abs.5 NDSG: Bitte geben Sie für eventuelle Rückfragen auch Name, Organisationseinheit und Telefonnummer der oder des internen Datenschutzbeauftragten an.
Zu Nr. 2 Bezeichnung des Verfahrens
Bei der Verfahrensbezeichnung ist ein möglichst "sprechender" Name zu verwenden, z.B. Schülerverwaltung oder Vermieterverwaltung. Bitte geben Sie auch das Verfahren (Programmname) an, mit dem die Daten verarbeitet werden.
Verknüpfungen zu anderen Verfahren sind dann anzugeben, wenn mithilfe der Verknüpfung automatische Suchvorgänge oder automatische Veränderungen von anderen Verfahren aus oder in anderen Verfahren durchgeführt werden.
Zu Nr. 5 Rechtsgrundlage der Verarbeitung
Besondere Rechtsvorschrift über die Zulässigkeit der Datenverarbeitung (z.B. § 22 NMG),
einschlägige Vorschrift des NDSG (z.B. §10 Abs.1) oder
Einwilligung der Betroffenen (§ 4 NDSG).
Zu Nr. 7 Fristen für die Sperrung und Löschung der Daten
Z.B.: "Löschung nach fünf Jahren aufgrund von §§ ... ".
Zu Nr. 8.1 Art der gespeicherten Daten
Die Art der gespeicherten Daten ist listenmäßig aufzuführen (z.B. Name, Anschrift, Geburtsdatum). Zur Übersichtlichkeit können Überschriften zu einzelnen Betroffenenkreisen aufgeführt werden; ggf. sind diese durch Unterstreichen zu kennzeichnen.
Zu Nr. 8.2 Herkunft oder Empfänger bei regelmäßiger Übermittlung
Anzukreuzen ist, welche Daten von welcher Stelle übermittelt worden sind bzw. welche Daten an welche Stelle regelmäßig übermittelt werden (ggf. auf gesondertem Blatt fortzusetzen).
Zu Nr. 9 Angaben zu dem Verfahren nach Nr. 2
Bitte geben Sie hier die Bezeichnung des Verfahrens ein zweites Mal an, weil die Seiten der Anlage der Öffentlichkeit nicht zugänglich gemacht werden.
Zu Nr. 11 Art der Geräte
Unter "Betriebssystem" reichen Angaben ohne exakte Versionsnummern wie z.B. MVS, BS 2000, Novell Netware, Windows NT, Linux. Bei vernetzten APC ist das Netzwerk-Betriebssystem ggf. zusätzlich anzugeben.
Zu Nr. 13 Verfahren zur Sperrung, Löschung, Auskunftserteilung
Es ist anzugeben, ob Sperrung und Löschung manuell von Bediensteten (z.B. durch Vernichtung von Disketten oder durch Eingabe eines Löschbefehls) oder automatisch von selbstprüfenden Programmen durchgeführt werden.
Zu Nr. 14 Technische und organisatorische Angaben nach § 7 NDSG
Alle Angaben beziehen sich nur auf die Geräte, mit denen das Verfahren genutzt wird. Für Arbeitsplätze in vernetzten Systemen kann auf die hierfür gesondert erstellte Beschreibung gleichartiger technischer und organisatorischer Maßnahmen verwiesen werden, soweit diese bereits vorliegt.
Zugriffsberechtigte innerhalb der Daten verarbeitenden Stelle sind z.B. alle Sachbearbeiterinnen und Sachbearbeiter des Ordnungsamtes.
Vertrag über die Übernahme und Vernichtung von ausgesondertem
Schriftgut (EDV-Papier und Aktenmaterial)
Zwischen .............................................................................. ,
und der Firma ...........................................................................
Der Vertrag regelt die Übernahme und Vernichtung von ausgesondertem Schriftgut.
Die Vertragsfirma verpflichtet sich zur ordnungsgemäßen Übernahme und Vernichtung des Schriftgutes.
Die Abholung erfolgt nach Terminvereinbarung. Es darf grundsätzlich nur so viel Schriftgut abgeholt werden, wie am selben Tag restlos vernichtet werden kann. Die oder der zur Übernahme des Schriftgutes Berechtigte übergibt als Berechtigungsnachweis ein vorgefertigtes Übernahmeprotokoll. Übergabe und Übernahme bestätigen beide Seiten auf dem Protokoll. Von der Übergabe des zu vernichtenden Schriftgutes an haftet die Vertragsfirma für den sicheren Transport und die ordnungsgemäße Vernichtung.
Der Transport darf nur in geschlossenen Fahrzeugen (ordnungsgemäß befestigte Planen usw. oder Container) durchgeführt werden, so dass kein Material verloren gehen kann.
(1) Das übernommene Schriftgut wird von der Vertragsfirma am selben Tag vernichtet. Nur in Ausnahmefällen darf das zu vernichtende Schriftgut über Nacht in verschlossenen Räumen abgestellt werden, zu denen Unbefugte keinen Zutritt haben.
(2) Als vernichtet gilt Schriftgut, wenn es so zerkleinert oder zusammengepresst ist, dass zusammenhängende Sätze, Wörter oder Zahlenkolonnen nicht zu rekonstruieren sind. Dazu ist das Schriftgut mindestens gemäß Sicherheitsstufe ......... der DIN 32757-1 zu zerkleinern. Außerdem sind folgende zusätzliche Maßnahmen zur Vernichtung durchzuführen:
Verwirbelung Verpressung Abgabe an eine Papierfabrik Sonstiges
(3) Die Vertragsfirma hat über die Vernichtung des Schriftgutes eine schriftliche Bestätigung abzugeben.
Die Vertragsfirma verpflichtet sich, den in ihrem Betrieb beschäftigten Personen jedes Beiseiteschaffen von Schriftgut sowie die Einblicknahme in Schriftgut zu verbieten und die Einhaltung dieser Anordnung zu überwachen.
(1) Der Transport und die Vernichtung des Schriftgutes können vom Auftraggeber oder von einer von ihr benannten Stelle überwacht oder kontrolliert werden.
(2) Die Vertragsfirma verpflichtet sich, die Anwesenheit einer Mitarbeiterin/eines Mitarbeiters des Auftraggebers oder der von dem Auftraggeber benannten Stelle bei allen mit dem Transport und der Vernichtung zusammenhängenden Dienstleistungen und in allen dabei benutzten Räumen, Fahrzeugen und Betriebseinrichtungen zu dulden. Dabei ist der Betriebsablauf so zu gestalten, dass die Überwachung durch die Aufsichtsperson jederzeit gewährleistet ist.
Bei Nichtbeachtung der in diesem Vertrag übernommenen Verpflichtungen, insbesondere bezüglich der Geheimhaltung des Inhalts des Schriftgutes, bei Erschwerung der Überwachung oder bei nicht rechzeitiger Vernichtung des übernommenen Schriftgutes ist der Auftraggeber berechtigt, unverzüglich und ohne Entschädigung den Vertrag zu kündigen.
Ansprechpartnerin/Ansprechpartner für Meldungen von Unregelmäßigkeiten bei der Abwicklung von Arbeiten sind für den Auftraggeber ............................................................................. .........
und für die Vertragsfirma .................................................................
(Entgeltvereinbarungen und Verwertungsvereinbarungen sind nach den jeweiligen Erfordernissen in den Vertrag aufzunehmen. Bis zur vollständigen Vernichtung ist das Eigentum des Auftraggebers an dem Schriftgut vorzubehalten.)
(Vertragsdauer und Gerichtsstand)