Source: https://efg-kirchardt.de/datenschutzerklaerung/
Timestamp: 2018-10-16 06:06:35
Document Index: 363137587

Matched Legal Cases: ['§ 19', '§ 8', '§ 5', '§ 12', '§ 4', '§ 5', '§ 4', '§ 16', '§ 5', '§ 18', '§ 19', '§ 17', '§ 37', '§ 8', '§ 21', '§ 25', '§ 26', '§ 4', '§ 27', '§ 5', '§ 5', '§ 26']

(2) Diese Ordnung enthält Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Sie dient dem Schutz der Grundrechte und Grundfreiheiten natür-licher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten.
(3) Diese Ordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Akten und Aktensamm-lungen gelten nur als Dateisystem, wenn sie nach bestimmten Kriterien geordnet sind.
(5) Diese Ordnung findet Anwendung auf die Verarbeitung personenbezogener Daten durch einen nicht zum Bund gehörigen Auftragsverarbeiter gemäß § 19, wenn die Datenverarbeitung Zwe-cken des Bundes dient.
(2) Die jeweils satzungsgemäß berufenen Vertretungsorgane der Landesverbände stellen die Ein-haltung des Datenschutzes im Sinne dieser Ordnung innerhalb der Arbeitszweige und Einrich-tungen ihrer Landesverbände sicher. Sie können diese Aufgabe auf geeignete Mitarbeiter der Landesverbände delegieren.
(3) Die jeweils satzungsgemäß berufenen Vertretungsorgane der Gemeinden stellen die Einhal-tung des Datenschutzes im Sinne dieser Ordnung innerhalb der Gemeinden, insbesondere für deren Arbeitszweige und Einrichtungen sicher.
1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identi-fizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizier-bar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Aus-druck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kultu-rellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
2. „besondere Daten“ personenbezogene Daten, aus denen die rassische und ethnische Her-kunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetisch oder biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person;
3. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vor-gang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpas-sung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
6. „Stelle des Bundes“ eine Gemeinde, die Mitglied des Bunds Evangelisch-Freikirchlicher Gemeinden, K. d. ö. R. ist, ein Landesverband, die Arbeitsgemeinschaft der Brüderge-meinden, ein Arbeitszweig, eine Einrichtung oder ein Organ dieses Bundes;
8. „Auftragsverarbeiter“ eine natürliche oder juristische Person oder – falls die verantwortli-che Stelle zu einer anderen juristischen Person gehört – eine Stelle des Bundes, die perso-nenbezogene Daten im Auftrag der verantwortlichen Stelle verarbeitet;
9. „Dritter“ eine natürliche oder juristische Person, Behörde, selbständige Gemeinde oder Einrichtung außer der betroffenen Person, der verantwortlichen Stelle, dem Auftragsver-arbeiter und den Personen, die unter der unmittelbaren Verantwortung der verantwortli-chen Stelle oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten;
10. „Anonymisierung“ ist die Verarbeitung personenbezogener Daten derart, dass die perso-nenbezogenen Daten nicht mehr einer spezifisch betroffenen Person zugeordnet werden können oder nur mit einem großen Aufwand an Zeit, Kosten und Arbeitskraft einer identi-fizierten oder identifizierbaren Person zugeordnet werden können;
11. „Pseudonymisierung“ die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr ei-ner spezifisch betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht ei-ner identifizierten oder identifizierbaren natürlichen Person zugewiesen werden;
12. „Dateisystem“ jede strukturierte Sammlung personenbezogener Daten, die nach be-stimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, de-zentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;
14. „Bundesbeauftragter für Datenschutz“ den vom Präsidium des Bundes bestellten Beauf-tragten für den Datenschutz (im Folgenden auch kurz: Bundesbeauftragter);
15. „Einschränkung der Verarbeitung“ die Markierung gespeicherter personenbezogener Da-ten mit dem Ziel, ihre künftige Verarbeitung einzuschränken;
16. „Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in infor-mierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbe-zogenen Daten einverstanden ist.
(1) Ordinierte Mitarbeiter (Pastoren, Diakone und Pastoralreferenten) unterliegen dieser Ord-nung. Abweichend zu § 8 Abs. 1 dürfen sie zum Zweck ihres Seelsorgeauftrags eigene Aufzeichnungen führen, die auch besondere Daten enthalten. Das gilt auch für Personen, denen gemäß der Ordnung zum Dienst der Seelsorge und dem Schutz des Seelsorgegeheimnisses – in der jeweils aktuellen Fassung – ein besonderer Seelsorgeauftrag erteilt worden ist. Diese Auf-zeichnungen dürfen niemanden zugänglich gemacht werden. Dazu sind geeignete technische oder organisatorische Maßnahmen zu treffen.
c) auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Prinzip der Da-tenminimierung“) und
d) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, oder für im Interes-se des Bundes liegende Archivzwecke oder für wissenschaftliche und historische For-schungszwecke oder für statistische Zwecke erforderlich ist („Prinzip der Speicherzeitbe-grenzung“).
(2) Die Verarbeitung ist nur zulässig, wenn mindestens eine der nachstehenden Bedingungen er-füllt ist:
b) die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden perso-nenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
d) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der die ver-antwortliche Stelle unterliegt;
c) es ist offensichtlich, dass die Verarbeitung im Interesse der betroffenen Person liegt und kein Grund zu der Annahme besteht, dass diese in Kenntnis des anderen Zweckes ihre Ein-willigung verweigern würde;
d) die Daten können aus allgemein zugänglichen Quellen entnommen werden oder die ver-antwortliche Stelle darf sie veröffentlichen, es sei denn, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Zweckänderung offensichtlich überwiegt;
e) es besteht Grund zu der Annahme, dass andernfalls die Wahrnehmung des kirchlichen Auf-trages gefährdet würde;
f) die Verarbeitung ist zur Durchführung wissenschaftlicher Forschung im Interesses des Bun-des erforderlich, das wissenschaftliche Interesse an der Durchführung des Forschungsvor-habens überwiegt das Interesse der betroffenen Person an dem Ausschluss der Zweckände-rung erheblich und der Zweck der Forschung kann auf andere Weise nicht oder nur mit un-verhältnismäßigem Aufwand erreicht werden;
(5) Eine Verarbeitung für andere Zwecke ist ferner zulässig, wenn sie der Wahrnehmung von Auf-sichts- und Kontrollbefugnissen des Bundes, der Rechnungsprüfung, der Revision oder der Durchführung von Organisationsuntersuchungen für die verantwortliche Stelle dient. Das gilt auch für die Verarbeitung zu Ausbildungszwecken durch die verantwortliche Stelle, soweit nicht überwiegende schutzwürdige Interessen der betroffenen Person entgegenstehen.
(1) Beruht die Verarbeitung auf einer Einwilligung, muss die verantwortliche Stelle nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten ein-gewilligt hat.
(2) Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch an-dere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist. Teile der Erklärung sind dann nicht verbindlich, wenn sie einen Verstoß gegen diese Ordnung darstellen.
(3) Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Wi-derruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Wider-ruf erfolgten Verarbeitung nicht berührt. Die betroffene Person wird vor Abgabe der Einwilli-gung von Satz 1 und Satz 2 in Kenntnis gesetzt.
(4) Sollen Daten von Kindern verarbeitet werden, so ist, wenn das Kind das sechzehnte Lebensjahr noch nicht vollendet hat, eine Einwilligung nur wirksam, wenn sie durch den Träger der elterli-chen Sorge für das Kind erfolgt ist. Hat das Kind das sechzehnte Lebensjahr vollendet, darf die Einwilligung eigenständig durch das Kind erfolgen. Das Kind soll die Eltern über eine solche Einwilligung in Kenntnis setzen.
(5) Erfolgt die Datenverarbeitung im Rahmen von elektronischen Angeboten von Stellen des Bun-des und wird ein solches Angebot einem Kind direkt gemacht, so unternimmt die verantwortli-che Stelle unter Berücksichtigung der verfügbaren Technik angemessene Anstrengungen, um sich zu vergewissern, dass die Einwilligung gemäß Abs. 4 erteilt wurde.
a) sie zur Erfüllung der in der Zuständigkeit der übermittelnden oder der empfangenden Stel-le liegenden Aufgaben erforderlich ist und
(2) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die verantwortliche Stelle. Erfolgt die Übermittlung auf Ersuchen der empfangenden Stelle des Bundes, trägt auch diese Verantwortung. In diesem Falle prüft die übermittelnde Stelle nur, ob das Übermittlungsersu-chen im Rahmen der Aufgaben der datenempfangenden Stelle des Bundes ist, es sei denn, dass besonderer Anlass zur Prüfung der Zulässigkeit der Übermittlung besteht.
(3) Die datenempfangende Stelle des Bundes darf die übermittelten Daten für den Zweck verar-beiten oder nutzen, zu dessen Erfüllung sie ihr übermittelt werden. Eine Verarbeitung oder Nutzung für andere Zwecke ist nur unter den Voraussetzungen des § 5 Abs. 4 zulässig.
(4) Sind mit personenbezogenen Daten, die nach Abs. 1 übermittelt werden dürfen, weitere per-sonenbezogene Daten der betroffenen oder einer anderen Person so verbunden, dass eine Trennung nicht oder nur mit unvertretbarem Aufwand möglich ist, so ist die Übermittlung auch dieser Daten zulässig, soweit nicht berechtigte Interessen der betroffenen oder einer anderen Person an deren Geheimhaltung offensichtlich überwiegen; eine Verwendung dieser Daten ist unzulässig.
(6) Personenbezogene Daten dürfen an Stellen anderer öffentlich-rechtlicher Religionsgesellschaf-ten übermittelt werden, wenn diese zur Erfüllung der Aufgaben der verantwortlichen Stelle er-forderlich ist, sofern sichergestellt ist, dass bei der empfangenden Stelle ausreichende Daten-schutzmaßnahmen getroffen werden, und nicht berechtigte Interessen der betroffenen Person entgegenstehen.
a) die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach dem Recht des Bundes kann das Verbot nach Abs. 1 durch die Einwilligung der betroffenen Per-son nicht aufgehoben werden;
b) die Verarbeitung ist zum Schutz lebenswichtiger Interessen der betroffenen Person oder ei-ner anderen natürlichen Person erforderlich und die betroffene Person ist aus körperlichen oder rechtlichen Gründen außerstande, ihre Einwilligung zu geben;
c) die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person of-fensichtlich öffentlich gemacht hat;
d) die Verarbeitung erfolgt auf der Grundlage geeigneter Garantien (z. B. Verschlüsselung und/oder Pseudonymisierung) einer verantwortlichen Stelle ohne Gewinnerzielungsabsicht im Rahmen ihrer rechtmäßigen und für die Aufgabenerfüllung notwendigen Tätigkeiten und unter der Voraussetzung, dass sich die Verarbeitung ausschließlich auf die Mitglieder oder ehemalige Mitglieder der Stelle oder auf Personen, die im Zusammenhang mit deren Tätig-keitszweck regelmäßige Kontakte mit ihr unterhalten, bezieht und die personenbezogenen Daten nicht ohne Einwilligung der betroffenen Personen nach außen offengelegt werden;
e) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprü-chen oder bei Handlungen des Kirchengerichts im Rahmen ihrer justiziellen Tätigkeit erfor-derlich;
g) die Verarbeitung findet für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin oder für die Beurteilung der Arbeitsfähigkeit des Beschäftigten statt und die Daten werden vom Fachpersonal oder unter dessen Verantwortung verarbeitet und das mit der Verarbei-tung befasste Personal unterliegt dem Berufsgeheimnis;
h) die Verarbeitung ist für Archivzwecke, für wissenschaftliche oder historische Forschungs-zwecke, die im Interesse des Bundes sind, erforderlich und die verantwortliche Stelle hat angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorgesehen.
(1) Die verantwortliche Stelle trifft geeignete Maßnahmen, um der betroffenen Person alle Infor-mationen die nach dieser Ordnung hinsichtlich der Verarbeitung zu geben sind, in präziser, für die betroffene Person nachvollziehbarer, verständlicher und leicht zugänglicher Form zu über-mitteln.
(2) Die verantwortliche Stelle stellt der betroffenen Person Informationen über die ergriffenen Maßnahmen gemäß den §§ 12 bis 16 unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang eines entsprechenden Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl der Anträge erforderlich ist. Die verantwortliche Stelle unterrichtet die betroffene Person in-nerhalb eines Monates nach Eingang über eine Fristverlängerung zusammen mit den Gründen für die Verzögerung.
(3) Wird die verantwortliche Stelle auf den Antrag der betroffenen Person hin nicht tätig, so unter-richtet sie die betroffene Person unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, beim Datenschutzrat Beschwerde einzulegen.
(4) Informationen werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffe-nen Person kann die verantwortliche Stelle sich weigern, aufgrund des Antrags tätig zu wer-den, oder ein angemessenes Entgelt verlangen.
(2) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt die verantwort-liche Stelle der betroffenen Person auf Verlangen Folgendes mit:
(3) Abs. 2 findet keine Anwendung, wenn und soweit die betroffene Person bereits über die In-formationen verfügt oder die Informationserteilung einen unverhältnismäßigen Aufwand er-fordern würde.
(4) Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt die ver-antwortliche Stelle der betroffenen Person über die in Abs. 2 aufgeführten Informationen hin-aus die zu ihr gespeicherten Daten mit, auch soweit sie sich auf Herkunft oder empfangende Stellen beziehen. Abs. 3 gilt entsprechend. Die verantwortliche Stelle ist weiterhin von dieser Verpflichtung befreit, wenn die Daten oder die Tatsache ihrer Speicherung aufgrund einer spe-ziellen Rechtsvorschrift oder wegen überwiegender berechtigter Interessen Dritter geheim ge-halten werden müssen und das Interesse der betroffenen Person an der Auskunftserteilung zu-rücktreten muss oder wenn durch die Auskunft das Seelsorgegeheimnis oder die Amtsver-schwiegenheit gemäß § 4 berührt wird.
(5) Beabsichtigt die verantwortliche Stelle, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt sie der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen an-deren Zweck und gegebenenfalls die Empfänger der personenbezogenen Daten zur Verfügung. Diese Informationspflicht gilt nicht im Fall von § 5 Abs. 5.
(1) Die betroffene Person hat das Recht, von der verantwortlichen Stelle eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so ist der betroffenen Person auf Antrag Auskunft zu erteilen über die zum Zeitpunkt der An-tragstellung zu ihr gespeicherten personenbezogenen Daten. Die Auskunft muss folgende In-formationen enthalten:
4. falls möglich, die geplante Dauer, für die die personenbezogenen Daten gespeichert wer-den, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
5. das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personen-bezogenen Daten oder auf Einschränkung der Verarbeitung durch die verantwortliche Stelle oder eines
(2) Auskunft darf nicht erteilt werden, soweit die Daten oder die Tatsache ihrer Speicherung auf-grund einer speziellen Rechtsvorschrift oder wegen überwiegender berechtigter Interessen Dritter geheim gehalten werden müssen und das Interesse der betroffenen Person an der Aus-kunftserteilung zurücktreten muss, oder wenn durch die Auskunft das Seelsorgegeheimnis oder die Amtsverschwiegenheit gemäß § 4 berührt wird.
(1) Die betroffene Person hat das Recht, von der verantwortlichen Stelle zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und die verantwortliche Stelle ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern mindestens ei-ner der folgenden Gründe zutrifft:
c) die betroffene Person legt gemäß § 16 Widerspruch gegen die Verarbeitung ein und es lie-gen keine vorrangigen berechtigten Gründe für die Verarbeitung vor;
f) die personenbezogenen Daten wurden im Rahmen eines elektronischen Angebotes einer Stelle des Bundes erhoben, das Kindern direkt gemacht wurde, falls die Kinder das sech-zehnte Lebensjahr zum Zeitpunkt der Erhebung noch nicht vollendet hatten.
(2) Hat die verantwortliche Stelle die personenbezogenen Daten öffentlich gemacht und ist sie gemäß Abs. 1 zu deren Löschung verpflichtet, so trifft sie unter Berücksichtigung der verfügba-ren Technologie und der Implementierungskosten angemessene Maßnahmen, um die Lö-schung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten anzustreben.
4. für im Interesse des Bundes liegende Archivzwecke, wissenschaftliche oder historische For-schungszwecke, soweit das in Abs. 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt oder
(1) Die betroffene Person hat das Recht, von der verantwortlichen Stelle die Einschränkung der Verarbeitung personenbezogener Daten zu verlangen, wenn eine der folgenden Voraussetzun-gen gegeben ist:
a) die Richtigkeit der personenbezogenen Daten wird von der betroffenen Person bestritten und die Prüfung der Richtigkeit durch die verantwortliche Stelle ist noch nicht abgeschlos-sen,
b) die verantwortliche Stelle benötigt die personenbezogenen Daten für die Zwecke der Ver-arbeitung nicht mehr, die betroffene Person benötigt sie jedoch zur Geltendmachung, Aus-übung oder Verteidigung von Rechtsansprüchen,
(2) Wurde die Verarbeitung gemäß Abs. 1 eingeschränkt, so dürfen diese personenbezogenen Daten — von ihrer Speicherung abgesehen — nur mit Einwilligung der betroffenen Person oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aufgrund eines wichtigen Inte-resses des Bundes verarbeitet werden.
(2) Der Widerspruch verpflichtet die verantwortliche Stelle dazu, die Verarbeitung zu unterlassen, soweit nicht an der Verarbeitung ein zwingendes Interesse des Bundes besteht, das Interesse einer dritten Person überwiegt, Recht des Bundes zur Verarbeitung verpflichtet oder die Ver-arbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.
(3) Die betroffene Person muss bei Datenverarbeitung gemäß § 5 Abs. 2 Buchstaben f) und g) spä-testens zum Zeitpunkt der ersten Kommunikation mit ihr ausdrücklich auf das in Abs. 1 ge-nannte Recht hingewiesen werden; dieser Hinweis hat in einer verständlichen und von ande-ren Informationen getrennten Form zu erfolgen.
Den mit dem Umgang von personenbezogenen Daten betrauten Personen ist es untersagt, per-sonenbezogene Daten unbefugt zu verarbeiten (Datengeheimnis). Das gilt insbesondere für das Of-fenlegen solcher Daten. Diese Personen sind bei der Aufnahme ihrer Tätigkeit auf das Datengeheim-nis schriftlich zu verpflichten, soweit sie nicht aufgrund anderer Ordnungen des Bundes zur Ver-schwiegenheit in diesem Sinne verpflichtet wurden. Das Datengeheimnis besteht auch nach Beendi-gung ihrer Tätigkeit fort.
(1) Die verantwortliche Stelle und gegebenenfalls der Auftragsverarbeiter haben unter Berücksich-tigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der damit verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maß-nahmen zu treffen und zu dokumentieren, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten.
(3) Bei der Beurteilung des angemessenen Sicherheitsniveaus sind die Risiken zu berücksichtigen, die mit der Verarbeitung personenbezogener Daten verbunden sind, insbesondere durch Ver-nichtung, Verlust, Veränderung, unbefugte Offenlegung oder unbefugten Zugang.
(4) Die verantwortliche Stelle und gegebenenfalls der Auftragsverarbeiter treffen technische und organisatorische Maßnahmen, die geeignet sind, durch Voreinstellung grundsätzlich nur per-sonenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, zu verarbeiten. Diese Verpflichtung gilt für die Menge der erhobenen perso-nenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglich-keit. Solche Maßnahmen müssen insbesondere geeignet sein, sicherzustellen, dass personen-bezogene Daten nicht ohne Eingreifen der verantwortlichen Stelle durch Voreinstellungen ei-ner unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden.
(5) Bei der Auswahl der Maßnahmen darf berücksichtigt werden, dass ihr Aufwand in einem an-gemessenen Verhältnis zum angestrebten Sicherheitsniveau steht.
(6) Die Einhaltung eines nach dem EU-Recht anerkannten Verfahrens zur Feststellung der Sicher-heit der personenbezogenen Daten kann als Indiz für die Erfüllung der Pflichten gemäß den Absätzen 1 bis 4 gewertet werden.
(1) Erfolgt eine Verarbeitung personenbezogener Daten im Auftrag einer verantwortlichen Stelle, so ist die verantwortliche Stelle für die Einhaltung der Vorschriften dieser Ordnung und ande-rer anzuwendender Vorschriften über den Datenschutz verantwortlich. Die im ZWEITEN ABSCHNITT genannten Rechte sind ihr gegenüber geltend zu machen. Zuständig für die Aufsicht ist der Datenschutzrat.
b) konform zu den Anforderungen dieser Ordnung oder der Verordnung EU 2016/679 er-folgt.
(3) Hat eine natürliche oder juristische Person Ihren Sitz oder eine Betriebsstätte, die für die Ver-arbeitung im Auftrag benötigt werden, in einem Drittland, so ist die Erteilung eines Auftrags zur Verarbeitung von personenbezogenen Daten durch die verantwortliche Stelle nur zulässig, wenn die EU-Kommission für dieses Land beschlossen hat, dass es ein angemessenes Daten-schutzniveau bietet.
(4) Der Auftragsverarbeiter wird dazu verpflichtet, keine weiteren Auftragsverarbeiter ohne vor-herige gesonderte oder allgemeine schriftliche Genehmigung der verantwortlichen Stelle in Anspruch zu nehmen. Bedingung für eine Genehmigung durch die verantwortliche Stelle ist insbesondere die Verpflichtung des Auftragsverarbeiters zu gewährleisten, dass der weitere Auftragsverarbeiter gleichwertige Bedingungen gemäß § 18 und § 19 akzeptiert.
(5) Der Auftrag ist schriftlich zu erteilen. Dieser Auftrag beinhaltet insbesondere, dass der Auf-tragsverarbeiter:
b) gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Per-sonen auf das Datengeheimnis gemäß § 17 verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
e) angesichts der Art der Verarbeitung die verantwortliche Stelle nach Möglichkeit mit geeig-neten technischen und organisatorischen Maßnahmen dabei unterstützt, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der im ZWEITEN ABSCHNITT genannten Rechte der betroffenen Person nachzukommen;
h) die verantwortliche Stelle unverzüglich informiert, falls er der Auffassung ist, dass eine Wei-sung der verantwortlichen Stelle gegen diese Ordnung oder gegen andere anzuwendende Datenschutzbestimmungen verstößt;
(6) Die verantwortliche Stelle hat sich von der Einhaltung der Vertragsbedingungen gemäß Abs. 5 zu überzeugen. Das Ergebnis ist zu dokumentieren. Dokumentiert die verantwortliche Stelle die Einhaltung eines nach dem EU-Recht anerkannten Verfahrens zur Feststellung der Sicher-heit der personenbezogenen Daten durch den Auftragsverarbeiter, kann dies als Nachweis gemäß § 37 Abs. 1 gewertet werden.
(9) Rechtsvorschriften des Bundes können bestimmen, dass vor der Auftragserteilung die Geneh-migung einer Stelle des Bundes einzuholen ist oder Mustervereinbarungen zu verwenden sind.
3. eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezo-gener Daten sowie
4. die Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offenge-legt worden sind oder offengelegt werden sollen, einschließlich Empfängern in Drittlän-dern.
(2) Ist der Auftragsverarbeiter Stelle des Bundes oder ein Mitglied einer Gemeinde des Bundes, führt er ein Verzeichnis von allen im Auftrag einer verantwortlichen Stelle durchgeführten Tä-tigkeiten der Verarbeitung, das Folgendes enthält:
(3) Das in den Absätzen 1 und 2 genannte Verzeichnis ist schriftlich zu führen. Ein gängiges elek-tronisches Format ist zulässig.
(5) Die in den Absätzen 1 und 2 genannten Pflichten gelten nicht für Stellen des Bundes, wenn sie weniger als 50 Beschäftigte beschäftigen, es sei denn, dass die vorgenommene Verarbeitung ein erhöhtes Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, die Verarbei-tung nicht nur gelegentlich erfolgt, eine Verarbeitung besonderer Datenkategorien gemäß § 8 erfolgt oder die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilun-gen bzw. Straftaten geschieht.
(1) Im Falle einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich zu einem nicht unerheblichen Risiko für die Rechte natürlicher Personen führt, meldet die verantwortli-che Stelle dies unverzüglich und möglichst binnen 72 Stunden dem Datenschutzrat.
(2) Wenn dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten be-kannt wird, meldet er diese der verantwortlichen Stelle unverzüglich.
(3) Die Meldung gemäß Abs. 1 enthält insbesondere eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten und der mutmaßlichen Folgen der Verletzung des Schut-zes.
(2) Die Benachrichtigung der betroffenen Person hat in klarer und einfacher Sprache zu erfolgen und enthält zumindest die in § 21 Absätze 3 und 4 genannten Informationen und Maßnahmen sowie den Namen und die Kontaktdaten des Bundesbeauftragten für Datenschutz oder vor-rangig des zuständigen dezentralen Beauftragten.
a) Die verantwortliche Stelle hat durch nachträgliche Maßnahmen sichergestellt, dass das ho-he Risiko für die Rechte der betroffenen Personen gemäß Abs. 1 aller Wahrscheinlichkeit nach nicht mehr besteht;
b) die verantwortliche Stelle hat geeignete technische und organisatorische Sicherheitsvor-kehrungen getroffen und diese Vorkehrungen wurden auf die von der Verletzung betroffe-nen personenbezogenen Daten angewandt, insbesondere solche, durch die die personen-bezogenen Daten für alle Personen, die nicht zum Zugang zu den personenbezogenen Da-ten befugt sind, unzugänglich gemacht werden, etwa durch Verschlüsselung;
c) die Benachrichtigung ist mit einem unverhältnismäßigen Aufwand verbunden. In diesem Fall hat stattdessen eine Bekanntmachung in einem Publikationsinstrument des Bundes o-der eine ähnliche Maßnahme zu erfolgen, durch die die betroffenen Personen vergleichbar wirksam informiert werden.
(1) Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein ho-hes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt die verant-wortliche Stelle vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch. Für die Untersuchung mehrerer ähnlicher Verarbeitungsvorgänge mit ähnlich hohen Risiken kann eine einzige Abschätzung vorgenom-men werden.
(2) Eine Datenschutz-Folgenabschätzung gemäß Abs. 1 ist insbesondere in folgenden Fällen erfor-derlich:
1. umfangreiche Verarbeitung besonderer personenbezogener Daten oder von personenbe-zogenen Daten über strafrechtliche Verurteilungen und Straftaten und
4. die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten si-chergestellt und der Nachweis dafür erbracht wird, dass die datenschutzrechtlichen Rege-lungen eingehalten werden.
(2) Der Bundesbeauftragte wird auf der Grundlage seiner beruflichen Qualifikation und insbeson-dere des Fachwissens bestellt, das er auf dem Gebiet des Datenschutzrechts und der Daten-schutzpraxis besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der in § 25 genann-ten Aufgaben.
(9) Betroffene Personen können den Bundesbeauftragten zu allen mit der Verarbeitung ihrer per-sonenbezogenen Daten und mit der Wahrnehmung ihrer Rechte gemäß dieser Verordnung im Zusammenhang stehenden Fragen zu Rate ziehen. Vorrangig ist die Anrufung des dezentralen Datenschutzbeauftragten gemäß § 26.
(10) Der Bundesbeauftragte ist bei der Erfüllung seiner Aufgaben an die Wahrung des Datenge-heimnisses und der Vertraulichkeit gebunden.
(11) Der Bundesbeauftragte kann andere Aufgaben und Pflichten wahrnehmen. Die Geschäftsfüh-rung des Bundes stellt sicher, dass derartige Aufgaben und Pflichten nicht zu einem Interes-senkonflikt führen.
(12) Die Abberufung des Bundesbeauftragten ist nur mit Zustimmung des Bundesrats zulässig. Eine vorläufige Suspendierung durch das Präsidium ist nur aus wichtigem Grund möglich. In diesem Fall nimmt der Vertreter die Rechte und Pflichten des Bundesbeauftragten wahr. Die Suspen-dierung ist schriftlich zu begründen und längstens bis zum nächsten Bundesrat wirksam.
(3) Er nimmt Beschwerden von betroffenen Personen und von bei Stellen des Bundes Beschäftig-ten entgegen und übergibt sie dem Datenschutzrat zur Bearbeitung.
(4) Er wirkt bei der Überwachung der Einhaltung dieser Ordnung durch Durchführung von Prüfun-gen mit. Dabei kann er sich durch ein Mitglied des Datenschutzrates vertreten oder unterstüt-zen lassen. Für die Durchführung von Prüfungen gelten die folgenden Regeln:
a) Der Prüfer wird von der betroffenen verantwortlichen Stelle bei der Erfüllung seiner unter-stützt. Auf Verlangen ist ihm Auskunft sowie Einsicht in alle Unterlagen und Akten über die Verarbeitung personenbezogener Daten zu geben, und es sind alle diesbezüglich gespei-cherten Daten bereitzustellen;
b) der Prüfer teilt die Ergebnisse seiner Prüfungen der betroffenen verantwortlichen Stelle und dem Datenschutzrat mit. Damit können Vorschläge zur Verbesserung des Datenschut-zes, insbesondere zur Beseitigung von festgestellten Mängeln bei der Verarbeitung perso-nenbezogener Daten und eine Aufforderung zur Stellungnahme verbunden sein;
c) Aufzeichnungen gemäß § 4 sowie personenbezogene Daten, die dem Arztgeheimnis unter-liegen, sind von solchen Prüfungen ausgenommen;
d) Das Kirchengericht unterliegt der Prüfung durch den Datenschutzrat nur, soweit es in eige-nen Angelegenheiten als Verwaltung tätig wird.
(5) Der Bundesbeauftragte kann Musterverträge und Standards zur Verarbeitung personenbezo-gener Daten erstellen, deren Einsatz und Umsetzung überprüfen und die Ergebnisse veröffent-lichen.
(1) Arbeitszweige, Einrichtungen und Landesverbände des Bundes sowie Gemeinden, die Mitglie-der des Bundes sind, bestellen einen dezentralen Beauftragten für den Datenschutz, wenn bei ihnen in der Regel mindestens zehn Personen ständig mit der Verarbeitung personenbezoge-ner Daten betraut sind. Eine freiwillige Bestellung ist jederzeit möglich.
(9) Die verantwortliche Stelle stellt sicher, dass der Beauftragte frühzeitig über Projekte für Ver-fahren, bei denen es zur Verarbeitung von personenbezogener Daten kommen wird, informiert wird.
(11) Soweit bei Stellen des Bundes keine Verpflichtung für die Bestellung von Personen als dezent-rale Beauftragte für den Datenschutz besteht, hat die Leitung die Erfüllung der Aufgaben ge-mäß Abs. 16 in anderer Weise sicherzustellen.
(16) Für die Stelle, die den dezentral Beauftragten bestellt hat, übernimmt der Beauftragte folgen-de Aufgaben:
(1) Über die Einhaltung dieser Ordnung wacht ein unabhängiges Aufsichtsgremium für den Daten-schutz (Datenschutzrat).
(2) Der Datenschutzrat wird vom Bundesbeauftragten für den Datenschutz geleitet und nach au-ßen vertreten.
(3) Der Leiter des Datenschutzrats und sein Stellvertreter werden vom Präsidium des Bundes beru-fen. Weiterhin sollte eine dritte Person als Mitglied berufen werden. Der Datenschutzrat be-steht aus mindestens zwei Mitgliedern. Die Berufung erfolgt unter Berücksichtigung von Fach-wissen, Zuverlässigkeit, Erfahrung und Interessenkonflikten. Die Berufung der Mitglieder er-folgt in der Regel auf fünf Jahre befristet. Die erneute Bestellung ist zulässig.
(4) Die dezentralen Beauftragten des Bundes können aus ihrem Kreis ein Mitglied in den Daten-schutzrat per Beschluss entsenden.
(5) Der stellvertretende Leiter des Datenschutzrats ist gleichzeitig Stellvertreter des Bundesbeauf-tragten für den Datenschutz.
(7) Der Datenschutzrat erstellt in der Regel einmal pro Jahr einen Tätigkeitsbericht. Der Tätigkeits-bericht wird dem Präsidium des Bundes übermittelt und dem Bundesrat zur Kenntnis gegeben. Er kann eine Liste der Arten der gemeldeten Verstöße und der Arten der getroffenen Maß-nahmen enthalten.
(8) Der Datenschutzrat kann Verwaltungsaufgaben auf die Geschäftsführung des Bundes übertra-gen.
(10) Werden dem Datenschutzrat Verstöße gegen die Datenschutzbestimmungen oder sonstige Mängel bei der Verarbeitung personenbezogener Daten bekannt, so beanstandet er dies ge-genüber der verantwortlichen Stelle oder gegenüber dem Auftragsverarbeiter und fordert zur Stellungnahme innerhalb einer von ihm gesetzten Frist auf. Von einer Beanstandung kann ab-gesehen werden, wenn es sich um unerhebliche oder inzwischen beseitigte Mängel handelt. Mit der Aufforderung zur Stellungnahme können Vorschläge zur Beseitigung der Mängel oder zur sonstigen Verbesserung des Datenschutzes verbunden werden. Die Stellungnahme der verantwortlichen Stelle bzw. gegebenenfalls des Auftragsverarbeiters soll eine Darstellung der Maßnahmen enthalten, die aufgrund der Mitteilung des Datenschutzrats getroffen worden sind.
2. Verarbeitungsvorgänge vorübergehend oder dauerhaft zu beschränken oder zu unterlas-sen;
4. die von einer Verletzung des Schutzes personenbezogener Daten betroffene Person ent-sprechend zu benachrichtigen.
(14) Die Abberufung eines Mitglieds des Datenschutzrats ist nur mit Zustimmung des Bundesrats zulässig. Eine vorläufige Suspendierung durch das Präsidium ist nur aus wichtigem Grund mög-lich. Die Suspendierung ist schriftlich zu begründen und längstens bis zum nächsten Bundesrat wirksam.
(15) Der Datenschutzrat kann mit Zustimmung des Präsidiums des Bundes Durchführungsbestim-mungen zu dieser Ordnung und ergänzende Bestimmungen zum Datenschutz beschließen. Die-se dürfen dieser Ordnung nicht widersprechen.
1. Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung be-troffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;
3. jegliche von der verantwortlichen Stelle oder dem Auftragsverarbeiter getroffenen Maß-nahmen zur Minderung des den betroffenen Personen entstandenen Schadens;
(5) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich oder anstelle von Maß-nahmen nach § 27 Abs. 11 verhängt.
(1) Jede Person kann sich unbeschadet anderweitiger Rechtsbehelfe mit einer Beschwerde an den Datenschutzrat wenden, wenn sie der Ansicht ist, bei der Verarbeitung ihrer personenbezoge-nen Daten in ihren Rechten verletzt worden zu sein.
(3) Niemand darf wegen der Mitteilung von Tatsachen, die geeignet sind, den Verdacht aufkom-men zu lassen, diese Ordnung oder eine andere anzuwendende Rechtsvorschrift über den Da-tenschutz sei verletzt worden, gemaßregelt oder benachteiligt werden. Beschäftigte müssen für Mitteilungen an den Datenschutzrat nicht den Dienstweg einhalten.
(1) Jede Person, der wegen einer Verletzung der Regelungen dieser Ordnung ein Schaden entstan-den ist, hat einen Anspruch auf Schadensersatz gegen die verantwortliche Stelle. Wegen eines Schadens, der nicht Vermögensschaden ist, kann die betroffene Person eine angemessene Ent-schädigung in Geld verlangen.
(2) Eine verantwortliche Stelle wird von der Haftung gemäß Abs. 1 befreit, wenn sie nachweist, dass sie in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verant-wortlich ist.
FÜNFTER ABSCHNITT: VORSCHRIFTEN FÜR BESONDERE VERARBEITUNGS-SITUATIONEN
(1) Daten von Beschäftigten dürfen nur verarbeitet werden, soweit dies zur Begründung, Durch-führung, Beendigung oder Abwicklung des Beschäftigungsverhältnisses oder zur Durchführung organisatorischer, personeller und sozialer Maßnahmen, insbesondere auch für Zwecke der Personalplanung und des Personaleinsatzes, erforderlich ist oder eine Rechtsvorschrift, ein Vertrag oder eine Dienstvereinbarung dies vorsieht.
(2) Im Zusammenhang mit dem Verdacht auf Straftaten und Amtspflichtverletzungen, die durch Beschäftigte begangen worden sein sollen, insbesondere zum Schutz möglicher Betroffener, dürfen unter Beachtung des Verhältnismäßigkeitsgrundsatzes personenbezogene Daten von Beschäftigten verarbeitet werden, solange der Verdacht nicht ausgeräumt ist und die Interes-sen von möglichen Betroffenen dies erfordern.
(3) Erfolgt die Verarbeitung personenbezogener Daten von Beschäftigten auf der Grundlage einer Einwilligung, so sind für die Beurteilung der Freiwilligkeit der Einwilligung insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Um-stände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen. Freiwilligkeit kann insbesondere vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder die verantwortliche Stelle und die beschäftigte Person gleichgelager-te Interessen verfolgen. Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonde-rer Umstände eine andere Form angemessen ist. Die verantwortliche Stelle hat die beschäftig-te Person über den Zweck der Datenverarbeitung und über ihr Widerrufsrecht aufzuklären.
(4) Eine Offenlegung der Daten von Beschäftigten an Strafverfolgungsbehörden ist zulässig, wenn sie zur Aufdeckung einer Straftat oder Amtspflichtverletzung oder zum Schutz möglicher Be-troffener erforderlich erscheint.
(6) Verlangt die verantwortliche Stelle zur Begründung oder im Rahmen eines Beschäftigungsver-hältnisses notwendige medizinische oder psychologische Untersuchungen und Tests zur Fest-stellung der Eignung des Bewerbers, darf die verantwortliche Stelle lediglich die Offenlegung des Ergebnisses der Begutachtung verlangen.
(8) Für die Verarbeitung von Sozialdaten gemäß Sozialgesetzbuch X. Buch (SGB X) gelten die Best-immungen dieses Gesetzbuchs.
(2) Die personenbezogenen Daten sind zu anonymisieren, sobald dies möglich ist. Bis dahin sind die Merkmale gesondert zu speichern, mit denen Einzelangaben über persönliche oder sachli-che Verhältnisse einer bestimmten oder bestimmbaren Person zugeordnet werden können. Sie dürfen mit den Einzelangaben nur zusammengeführt werden, soweit der Zweck dies erfordert.
b) dies für die Darstellung von Forschungsergebnissen über Ereignisse der Zeitgeschichte un-erlässlich ist, es sei denn, dass das Präsidium des Bundes beschließt, dass Grund zu der An-nahme besteht, dass durch die Veröffentlichung der Auftrag des Bundes gefährdet würde oder erhebliche Risiken für die Rechte betroffener Personen bestehen.
(4) Die Offenlegung personenbezogener Daten an andere als Stellen des Bundes für Zwecke der wissenschaftlichen Forschung und der Statistik ist nur zulässig, wenn diese Stelle sich verpflich-ten, die offengelegten Daten nicht für andere Zwecke zu verarbeiten und die Vorschriften der Absätze 2 und 3 einzuhalten. Der Auftrag der Stellen des Bundes darf durch die Offenlegung nicht gefährdet werden.
(1) Führt eine Verarbeitung gemäß § 5 Abs. 2 Buchstabe h) zur Veröffentlichung von Gegendarstel-lungen der betroffenen Person, so sind diese Gegendarstellungen zu den gespeicherten Daten zu nehmen und für dieselbe Zeitdauer aufzubewahren wie die Daten selbst.
(2) Wird jemand durch eine Berichterstattung gemäß § 5 Abs. 2 Buchstabe h) in seinem Persön-lichkeitsrecht beeinträchtigt, so kann er Auskunft über die der Berichterstattung zugrundelie-genden, zu seiner Person gespeicherten Daten verlangen. Die Auskunft kann verweigert wer-den, soweit aus den Daten auf die berichtenden oder einsendenden Personen oder die Ge-währsleute von Beiträgen, Unterlagen und Mitteilungen für den redaktionellen Teil geschlos-sen werden kann.
(1) Die Aufzeichnung oder Übertragung von Gottesdiensten oder anderen öffentlichen Veranstal-tungen mittels audiovisueller Medien und die Veröffentlichung der Daten ist zulässig, wenn die
erforderlich ist und keine Anhaltspunkte dafür bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen. Das Interesse an der nicht überwachten Teilnahme an Veranstaltun-gen von Gemeinden des Bundes ist besonders schutzwürdig.
(4) Die gespeicherten Daten dürfen von der verantwortlichen Stelle an eine Strafverfolgungsbe-hörde übermittelt werden, falls diese die Daten anfordert.
(5) Die Daten sind unverzüglich, in jedem Fall aber innerhalb eines Monats zu löschen, wenn sie zur Erreichung des Zwecks nicht mehr erforderlich sind oder schutzwürdige Interessen der Be-troffenen einer weiteren Speicherung entgegenstehen.
(1) Befindet sich eine rechtlich selbständige Einrichtung im Status der Bekenntnisgemeinschaft mit dem Bund und unterwirft sie sich durch schriftliche Erklärung gegenüber dem Präsidium oder der Geschäftsführung des Bund den Regelungen dieser Ordnung, so gilt die Einrichtung als Stel-le des Bundes und die Regelungen dieser Ordnung gelten gegebenenfalls sinngemäß.
(2) Einrichtungen gemäß Abs. 1 regeln die Verantwortlichkeit für die Einhaltung dieser Ordnung und der allgemein gültigen Regelungen und Gesetze zum Datenschutz innerhalb ihrer jeweili-gen Organisation.
(3) Einrichtungen gemäß Abs. 1 müssen einen Beauftragten für den Datenschutz (Betriebsbeauf-tragter) im Sinne von § 26 bestellen, wenn in der Einrichtung regelmäßig mindestens fünf Per-sonen ständig mit der Verarbeitung personenbezogener Daten beschäftigt sind. Der Betriebs-beauftragte muss nicht Mitglied bzw. Beschäftigter der Einrichtung sein.
(4) Der Bund führt eine Übersicht über die Einrichtungen, für die die Datenschutzordnung ent-sprechend Abs. 1 gilt. In die Übersicht sind auf Basis der Mitteilung der Einrichtung jeweils auf-zunehmen:
(2) Die Stellen des Bundes können im Rahmen ihrer Befugnisse für ihren Bereich Durchführungs-bestimmungen zu dieser Ordnung und ergänzende Bestimmungen zum Datenschutz beschließen. Diese dürfen dieser Ordnung nicht widersprechen. Die vom Datenschutzrat beschlossenen Bestimmungen sind vorrangig.
Wird in dieser Ordnung die männliche sprachliche Form der Personenbeschreibung verwendet, er-laubt dieses keinen Rückschluss auf das Geschlecht einer Person.