In der Personenauskunftsstelle (§ 13 Satz 2 Nummer 5) dürfen personenbezogene Daten zum Zwecke der Vermißtensuche und der Familienzusammenführung verarbeitet werden.

(1) Durch die Personenauskunftsstelle (§ 13 Satz 2 Nummer 5) dürfen personenbezogene Daten im erforderlichen Umfang zum Zwecke der Vermisstensuche und Familienzusammenführung bei Katastrophen (§ 1 Absatz 1) und Großschadenslagen verarbeitet werden, wenn Tatsachen die Annahme der Beeinträchtigung einer großen Anzahl von Personen rechtfertigen. Eine Großschadenslage ist ein Ereignis, das Leben oder Gesundheit einer großen Anzahl von Menschen, erhebliche Sachwerte oder die Umwelt gefährdet oder beeinträchtigt, zu deren wirksamen Bekämpfung die im Regeldienst vorgehaltenen Kräfte und Mittel der Gefahrenabwehr nicht ausreichen und bei dem eine überörtliche oder zentrale Einsatzführung notwendig ist.

(2) Folgende personenbezogenen Daten dürfen verarbeitet werden:

1. Name und Vorname,
2. Geburtsdatum oder geschätztes Alter,
3. Geschlecht,
4. Familienstand,
5. Staatsangehörigkeit,
6. Wohnanschrift,
7. Personenbeschreibung, besondere Kennzeichen,
8. Grad der Verletzung (leicht, mittel, schwer oder verstorben) einschließlich Triagenummer,
9. Auffindeort und Versorgungsweg,
10. Patientennummer oder andere zugeordnete Verwaltungsnummer,
11. aufnehmende Stelle,
12. Datum der Aufnahme und Datum der Entlassung,
13. aktueller Aufenthaltsort, Verbleib, Erreichbarkeit,
14. Sterbedaten.

Bei der Verarbeitung der in Satz 1 Nummern 7 bis 14 benannten Daten sind angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Personen in besonderem Maße vorzusehen. Hierzu können insbesondere gehören:

1. technisch organisatorische Maßnahmen, um sicherzustellen, dass die Verarbeitung gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. EU 2016 Nr. L 119 S. 1, Nr. L 314 S. 72, 2018 Nr. L 127 S. 2) erfolgt,
2. Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten eingegeben, verändert oder entfernt worden sind,
3. Sensibilisierung der an Verarbeitungsvorgängen Beteiligten,
4. Benennung einer oder eines Datenschutzbeauftragten,
5. Beschränkung des Zugangs zu den personenbezogenen Daten innerhalb der verantwortlichen Stelle und von Auftragsverarbeitern,
6. Sicherstellung der Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung personenbezogener Daten, einschließlich der Fähigkeit, die Verfügbarkeit und den Zugang bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen.

Die Personenauskunftsstelle darf personenbezogene Daten auch zur Durchführung von Testbetrieben der Personenauskunftsstelle verarbeiten, wenn der Testbetrieb nicht oder nur mit unverhältnismäßig hohem Aufwand mit Testdaten oder anonymisierten beziehungsweise pseudonymisierten Daten durchgeführt werden kann; zulässig ist die Verarbeitung von personenbezogenen Daten gemäß Satz 1 Nummern 1 bis 6.

(3) Im Fall einer Katastrophe oder Großschadenslage gemäß Absatz 1 dürfen die mitwirkenden Kräfte, Einheiten und Einrichtungen die in Absatz 2 Satz 1 genannten personenbezogenen Daten für die Aufgaben der Personenauskunftsstelle verarbeiten. Sie haben die bei ihnen vorhandenen personenbezogenen Daten betroffener Personen der Personenauskunftsstelle für deren Aufgabenwahrnehmung auch ohne vorausgehendes Ersuchen offenzulegen. Eine Verarbeitung zu anderen Zwecken, insbesondere eine Offenlegung an andere Stellen, ist nur zulässig, soweit eine Rechtsvorschrift dies erlaubt.

(4) Die in der Personenauskunftsstelle erhobenen personenbezogenen Daten dürfen für die Zwecke der Vorbereitung und Durchführung von Gefahrenabwehrmaßnahmen und zur Verfolgung von Straftaten gegenüber den Polizeibehörden, Staatsanwaltschaften, Gerichten, Behörden der Gefahrenabwehr und Justizvollzugsanstalten offengelegt werden, soweit dies erforderlich ist.

(5) Soweit Daten gemäß Absatz 2 Satz 4 für Testzwecke verarbeitet werden, ist die Verarbeitung der Daten mit Anlass, Begründung, Umfang und Dauer sowie den getroffenen Sicherheitsmaßnahmen revisionssicher zu dokumentieren. Es muss sichergestellt sein, dass bei der Durchführung und Auswertung des Tests die schutzwürdigen Belange der Betroffenen und die Datensicherheit angemessen berücksichtigt werden. Der behördliche Datenschutzbeauftragte ist durch die zuständige Stelle frühzeitig zu beteiligen. Nach Auswertung des Ergebnisses des Testbetriebes sind die verwendeten Daten unverzüglich zu löschen oder im Testbereich zu anonymisieren. Die Dokumentation gemäß Satz 1 ist ein Jahr lang aufzubewahren."