Title: § 22 Verarbeitung besonderer Kategorien personenbezogener Daten

Description:
Bundesdatenschutzgesetz (BDSG 2018)
Teil 2 - Durchführungsbestimmungen für Verarbeitungen zu Zwecken gemäß Artikel 2 der Verordnung (EU) 2016/679
Kapitel 1 - Rechtsgrundlagen der Verarbeitung personenbezogener Daten
Abschnitt 1 - Verarbeitung besonderer Kategorien personenbezogener Daten und Verarbeitung zu anderen Zwecken
§ 22 Verarbeitung besonderer Kategorien personenbezogener Daten

Paragraph: 22

Content:
Bundesdatenschutzgesetz (BDSG 2018)
Teil 2 - Durchführungsbestimmungen für Verarbeitungen zu Zwecken gemäß Artikel 2 der Verordnung (EU) 2016/679
Kapitel 1 - Rechtsgrundlagen der Verarbeitung personenbezogener Daten
Abschnitt 1 - Verarbeitung besonderer Kategorien personenbezogener Daten und Verarbeitung zu anderen Zwecken
§ 22 Verarbeitung besonderer Kategorien personenbezogener Daten

(1) Abweichend von Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 ist
die Verarbeitung besonderer Kategorien personenbezogener Daten im
Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679 zulässig

1.  durch öffentliche und nichtöffentliche Stellen, wenn sie

    a)  erforderlich ist, um die aus dem Recht der sozialen Sicherheit und des
        Sozialschutzes erwachsenden Rechte auszuüben und den diesbezüglichen
        Pflichten nachzukommen,

    b)  zum Zweck der Gesundheitsvorsorge, für die Beurteilung der
        Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik,
        die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder
        für die Verwaltung von Systemen und Diensten im Gesundheits- und
        Sozialbereich oder aufgrund eines Vertrags der betroffenen Person mit
        einem Angehörigen eines Gesundheitsberufs erforderlich ist und diese
        Daten von ärztlichem Personal oder durch sonstige Personen, die einer
        entsprechenden Geheimhaltungspflicht unterliegen, oder unter deren
        Verantwortung verarbeitet werden,

    c)  aus Gründen des öffentlichen Interesses im Bereich der öffentlichen
        Gesundheit, wie des Schutzes vor schwerwiegenden grenzüberschreitenden
        Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und
        Sicherheitsstandards bei der Gesundheitsversorgung und bei
        Arzneimitteln und Medizinprodukten erforderlich ist; ergänzend zu den
        in Absatz 2 genannten Maßnahmen sind insbesondere die
        berufsrechtlichen und strafrechtlichen Vorgaben zur Wahrung des
        Berufsgeheimnisses einzuhalten, oder

    d)  aus Gründen eines erheblichen öffentlichen Interesses zwingend
        erforderlich ist,

2.  durch öffentliche Stellen, wenn sie

    a)  zur Abwehr einer erheblichen Gefahr für die öffentliche Sicherheit
        erforderlich ist,

    b)  zur Abwehr erheblicher Nachteile für das Gemeinwohl oder zur Wahrung
        erheblicher Belange des Gemeinwohls zwingend erforderlich ist oder

    c)  aus zwingenden Gründen der Verteidigung oder der Erfüllung über- oder
        zwischenstaatlicher Verpflichtungen einer öffentlichen Stelle des
        Bundes auf dem Gebiet der Krisenbewältigung oder Konfliktverhinderung
        oder für humanitäre Maßnahmen erforderlich ist

und soweit die Interessen des Verantwortlichen an der
Datenverarbeitung in den Fällen der Nummer 1 Buchstabe d und der
Nummer 2 die Interessen der betroffenen Person überwiegen.

(2) In den Fällen des Absatzes 1 sind angemessene und spezifische
Maßnahmen zur Wahrung der Interessen der betroffenen Person
vorzusehen. Unter Berücksichtigung des Stands der Technik, der
Implementierungskosten und der Art, des Umfangs, der Umstände und der
Zwecke der Verarbeitung sowie der unterschiedlichen
Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung
verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen
können dazu insbesondere gehören:

1.  technisch organisatorische Maßnahmen, um sicherzustellen, dass die
    Verarbeitung gemäß der Verordnung (EU) 2016/679 erfolgt,

2.  Maßnahmen, die gewährleisten, dass nachträglich überprüft und
    festgestellt werden kann, ob und von wem personenbezogene Daten
    eingegeben, verändert oder entfernt worden sind,

3.  Sensibilisierung der an Verarbeitungsvorgängen Beteiligten,

4.  Benennung einer oder eines Datenschutzbeauftragten,

5.  Beschränkung des Zugangs zu den personenbezogenen Daten innerhalb der
    verantwortlichen Stelle und von Auftragsverarbeitern,

6.  Pseudonymisierung personenbezogener Daten,

7.  Verschlüsselung personenbezogener Daten,

8.  Sicherstellung der Fähigkeit, Vertraulichkeit, Integrität,
    Verfügbarkeit und Belastbarkeit der Systeme und Dienste im
    Zusammenhang mit der Verarbeitung personenbezogener Daten,
    einschließlich der Fähigkeit, die Verfügbarkeit und den Zugang bei
    einem physischen oder technischen Zwischenfall rasch
    wiederherzustellen,

9.  zur Gewährleistung der Sicherheit der Verarbeitung die Einrichtung
    eines Verfahrens zur regelmäßigen Überprüfung, Bewertung und
    Evaluierung der Wirksamkeit der technischen und organisatorischen
    Maßnahmen oder

10. spezifische Verfahrensregelungen, die im Fall einer Übermittlung oder
    Verarbeitung für andere Zwecke die Einhaltung der Vorgaben dieses
    Gesetzes sowie der Verordnung (EU) 2016/679 sicherstellen.

Source: https://www.gesetze-im-internet.de/bdsg_2018/__22.html
Directory: bdsg_2018
Level: 5.0