Für einen individuellen Ausdruck passen Sie bitte die Einstellungen in der Druckvorschau Ihres Browsers an. Regelwerk, Allgemeines, Anlagentechnik, Individualrecht

Zur aktuellen Fassung

Abschnitt 1
Allgemeine Vorschriften

§ 1 Zweck

Zweck dieses Gesetzes ist es, das Recht des Einzelnen zu schützen, grundsätzlich selbst über die Preisgabe und Verwendung seiner Daten zu bestimmen (Recht auf informationelle Selbstbestimmung).

§ 2 Anwendungsbereich ^{04 11}

(1) Dieses Gesetz gilt für Behörden und öffentlich-rechtliche Einrichtungen und Stellen des Landes, der Gemeinden, der Ämter, der Landkreise sowie für sonstige der Aufsicht des Landes unterstehende juristische Personen des öffentlichen Rechts (öffentliche Stellen).

(2) Als öffentliche Stellen gelten auch juristische Personen und sonstige Vereinigungen des privaten Rechts, die Aufgaben der öffentlichen Verwaltung wahrnehmen und an denen eine oder mehrere der in Absatz 1 genannten juristischen Personen des öffentlichen Rechts mit absoluter Mehrheit der Anteile oder Stimmen beteiligt sind. Beteiligt sich eine juristische Person oder sonstige Vereinigung des privaten Rechts, auf die dieses Gesetz nach Satz 1 Anwendung findet, an einer weiteren Vereinigung des privaten Rechts, so findet Satz 1 entsprechende Anwendung. Nehmen nicht-öffentliche Stellen hoheitliche Aufgaben der öffentlichen Verwaltung wahr, sind sie insoweit öffentliche Stellen im Sinne dieses Gesetzes.

(3) Für automatisierte Dateien, die ausschließlich aus verarbeitungstechnischen Gründen vorübergehend erstellt und nach ihrer verarbeitungstechnischen Verwendung gelöscht werden, sowie für Vorentwürfe und Notizen, die nicht Bestandteil eines Vorgangs werden sollen und alsbald vernichtet werden, gelten nur die §§ 6, 21 und 22 sowie die §§ 29 bis 33. Diese Daten sind vor dem Zugriff Unbefugter zu schützen.

(4) Soweit besondere Rechtsvorschriften den Umgang mit personenbezogenen Daten regeln, gehen sie den Vorschriften dieses Gesetzes vor. Für die Gerichte sowie für die Behörden der Staatsanwaltschaft gilt dieses Gesetz nur, soweit sie Verwaltungsaufgaben wahrnehmen. Darüber hinaus gelten für die Behörden der Staatsanwaltschaft, soweit sie keine Verwaltungsaufgaben wahrnehmen, die §§ 18, 26, 29 bis 33 und 35 sowie die §§ 39 bis 41; die §§ 24 und 25 finden keine Anwendung.

(5) Soweit öffentlich-rechtliche Unternehmen am Wettbewerb teilnehmen, gelten für sie nur die §§ 18, 26, 29 bis 35 sowie die §§ 38 bis 41. Mit Ausnahme der Vorschriften über die Meldepflichten und die Aufsichtsbehörde (§§ 4d, 4e und 38) sind im Übrigen die für nicht-öffentliche Stellen geltenden Vorschriften des Bundesdatenschutzgesetzes, einschließlich der §§ 43 und 44 anwendbar.

(6) Für Gnadenverfahren findet dieses Gesetz keine Anwendung.

§ 3 Begriffsbestimmungen ¹⁰

(1) Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener).

(2) Eine Datei ist

1. eine Sammlung personenbezogener Daten, die durch automatisierte Verfahren verarbeitet und ausgewertet werden kann (automatisierte Datei) oder
2. jede sonstige strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich ist (nichtautomatisierte Datei).

(3) Eine Akte ist jede sonstige amtlichen oder dienstlichen Zwecken dienende Unterlage einschließlich Bild- und Tonträgern, soweit sie nicht eine Datei im Sinne von Absatz 2 ist. Nicht hierunter fallen Vorentwürfe oder Notizen, die nicht Bestandteil eines Vorgangs werden sollen.

(4) Datenverarbeitung ist jede Verwendung personenbezogener Daten im Sinne der nachfolgenden Vorschriften. Dabei ist

1. Erheben das Beschaffen von Daten,
2. Speichern das Erfassen, Aufnehmen oder Aufbewahren von Daten auf einem Datenträger; dazu zählt auch das Vervielfältigen,
3. Verändern das inhaltliche Umgestalten gespeicherter Daten,
4. Übermitteln das Bekanntgeben erhobener, gespeicherter oder durch sonstige Verarbeitung gewonnener Daten an Dritte in der Weise, dass die Daten durch die Daten verarbeitende Stelle weitergegeben werden oder dass Dritte von der Daten verarbeitenden Stelle zur Einsicht oder zum Abruf bereit gehaltene Daten einsehen oder abrufen,
5. Sperren das Verhindern weiterer Verarbeitung gespeicherter Daten, ausgenommen in den Fällen, in denen dieses Gesetz die Verarbeitung der Daten zulässt,
6. Löschen das dauerhafte Unkenntlichmachen gespeicherter Daten,
7. Nutzen die inhaltliche Auswertung und Verwendung von Daten,
8. Anonymisieren das Verändern personenbezogener Daten derart, dass die Einzelangaben über persönliche und sachliche Verhältnisse nicht mehr oder nur mit unverhältnismäßig hohem Aufwand einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können,
9. Pseudonymisieren das Verändern personenbezogener Daten derart, dass die Einzelangaben über persönliche und sachliche Verhältnisse ohne Anwendung der Zuordnungsfunktion nicht mehr oder nur mit unverhältnismäßig hohem Aufwand einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können,
10. Verschlüsseln das Verändern personenbezogener Daten derart, dass ohne Entschlüsselung die Kenntnisnahme des Inhaltes der Daten nicht oder nur mit unverhältnismäßig hohem Aufwand möglich ist.

(5) Daten verarbeitende Stelle ist jede öffentliche Stelle, die personenbezogene Daten für sich selbst verarbeitet oder durch andere in ihrem Auftrag verarbeiten lässt oder die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

(6) Dritter ist jede Person oder Stelle außerhalb der Daten verarbeitenden Stelle. Dritte sind nicht der Betroffene sowie diejenigen Personen oder Stellen, die im Geltungsbereich der Rechtsvorschriften zum Schutz personenbezogener Daten der Mitgliedsstaaten der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum im Auftrag tätig werden.

(7) Stellen innerhalb des öffentlichen Bereichs sind öffentliche Stellen nach § 2 Abs. 1 und 2, öffentliche Stellen des Bundes und der anderen Länder nach § 2 des Bundesdatenschutzgesetzes sowie öffentliche Stellen der Europäischen Union, ihrer Mitgliedsstaaten oder eines anderen Vertragsstaates des Abkommens über den Europäischen Wirtschaftsraum.

(8) Verbundverfahren sind automatisierte Verfahren, die mehreren Daten verarbeitenden Stellen gemeinsam die Verarbeitung personenbezogener Daten ermöglichen.

(9) Abrufverfahren sind automatisierte Verfahren, die die Übermittlung personenbezogener Daten durch Abruf ermöglichen.

(10) Gemeinsame Verfahren sind automatisierte Verfahren, die aus mindestens zwei eigenständigen automatisierten Teilverfahren bestehen, für die verschiedene Daten verarbeitende Stellen verantwortlich sind.

(11) Mobile Datenverarbeitungssysteme sind informationstechnische Systeme, die zum Einsatz in automatisierten Verfahren bestimmt sind, an die Betroffenen ausgegeben werden und über eine von der ausgebenden Stelle oder Dritten bereitgestellte Schnittstelle personenbezogene Daten automatisiert austauschen können.

§ 4 Verarbeitung von personenbezogenen Daten im Auftrag

(1) Werden personenbezogene Daten durch andere Personen oder Stellen im Auftrag einer öffentlichen Stelle verarbeitet, so bleibt der Auftraggeber für die Einhaltung der Vorschriften dieses Gesetzes und anderer Vorschriften über den Datenschutz verantwortlich. Die in den §§ 24, 25 und 27 genannten Rechte sind ihm gegenüber geltend zu machen. Der Auftraggeber hat den Auftragnehmer unter besonderer Berücksichtigung seiner Eignung für die Gewährleistung der nach den §§ 21 und 22 notwendigen technisch-organisatorischen Maßnahmen sorgfältig auszuwählen. Der Auftrag ist schriftlich zu erteilen, wobei die Art und der Umfang der Verarbeitung von personenbezogenen Daten sowie erforderlichenfalls ergänzende Weisungen zu technischen und organisatorischen Maßnahmen und etwaige Unterauftragsverhältnisse festzulegen sind.

(2) Der Auftragnehmer darf personenbezogene Daten nur im Rahmen der Weisungen des Auftraggebers verarbeiten. Ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen dieses Gesetz oder eine andere Vorschrift über den Datenschutz verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen.

(3) Sofern die Vorschriften dieses Gesetzes auf den Auftragnehmer keine Anwendung finden, ist der Auftraggeber verpflichtet, sicherzustellen, dass der Auftragnehmer die Vorschriften dieses Gesetzes befolgt und sich der Kontrolle des Landesbeauftragten für den Datenschutz nach Maßgabe der §§ 30 und 31 unterwirft. Der Auftraggeber hat den Landesbeauftragten für den Datenschutz über die Beauftragung zu informieren.

(4) Bei der Erbringung von Wartungs-, Fernwartungs- und anderen Hilfstätigkeiten durch Stellen oder Personen außerhalb der Daten verarbeitenden Stelle gelten die Absätze 1 bis 3 entsprechend, soweit die Tätigkeiten mit der Verarbeitung von personenbezogenen Daten verbunden sind. Der Auftraggeber hat vor Beginn der Arbeiten sicherzustellen, dass der Auftragnehmer personenbezogene Daten nur zur Kenntnis nehmen kann, soweit dies unvermeidlich ist.

§ 5 Datenvermeidung, Datenschutzaudit, Systemdatenschutz ¹¹

(1) Die Gestaltung von Verfahren und die Auswahl von informationstechnischen Produkten zum Einsatz in automatisierten Verfahren hat sich am Grundsatz größtmöglicher Datenvermeidung zu orientieren. Personenbezogene Daten sind zu anonymisieren und hilfsweise zu pseudonymisieren, sobald dies möglich ist und soweit der erforderliche Aufwand in einem angemessenen Verhältnis zu dem angestrebten Zweck steht.

(2) Informationstechnische Produkte sind vorrangig einzusetzen, wenn deren Vereinbarkeit mit den Vorschriften über den Datenschutz und die Datensicherheit in einem Prüfverfahren festgestellt wurde. Das Prüfverfahren nach Satz 1 ist im Benehmen mit dem Landesbeauftragten für den Datenschutz durchzuführen.

(3) Die Datenverarbeitung soll so organisiert sein, dass bei der Verarbeitung, insbesondere der Übermittlung und der Einsichtnahme, die Trennung der Daten nach den jeweils verfolgten Zwecken und nach unterschiedlichen Betroffenen möglich ist.

§ 6 Datengeheimnis

Personen, die bei öffentlichen Stellen oder ihren Auftragnehmern dienstlichen Zugang zu personenbezogenen Daten haben, ist es während und nach Beendigung ihrer Tätigkeit untersagt, diese Daten zu einem anderen als dem zur jeweiligen rechtmäßigen Aufgabenerfüllung gehörenden Zweck zu verarbeiten (Datengeheimnis). Diese Personen sind über die bei ihrer Tätigkeit zu beachtenden Vorschriften über den Datenschutz in geeigneter Weise zu unterrichten und bei der Aufnahme ihrer Tätigkeit auf das Datengeheimnis zu verpflichten.

Abschnitt 2
Verarbeitung von personenbezogenen Daten

§ 7 Grundsatz ⁰⁴

(1) Die Verarbeitung von personenbezogenen Daten ist nur zulässig, soweit

1. die Vorschriften dieses Gesetzes sie zulassen,
2. eine andere Rechtsvorschrift sie erlaubt oder zwingend voraussetzt oder
3. der Betroffene eingewilligt hat.

(2) Die Verarbeitung personenbezogener Daten,

1. aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen oder
2. die die Gesundheit oder das Sexualleben betreffen,

ist nur zulässig, wenn eine Rechtsvorschrift, die den Zweck der Verarbeitung bestimmt, sie ausdrücklich erlaubt.

(3) Abweichend von Absatz 2 ist die Verarbeitung der dort genannten Daten zulässig,

1. wenn der Betroffene ausdrücklich eingewilligt hat,
2. auf der Grundlage der §§ 34, 35 und 39,
3. wenn dies zum Zweck der Gesundheitsvorsorge, der medizinischen Diagnostik, der Gesundheitsversorgung oder Behandlung oder für die Verwaltung von Gesundheitsdiensten erforderlich ist und die Verarbeitung dieser Daten durch ärztliches Personal oder durch sonstige Personen erfolgt, die einer entsprechenden Geheimhaltungspflicht unterliegen,
4. wenn sie ausschließlich im Interesse des Betroffenen liegt und der Landesbeauftragte für den Datenschutz zuvor gehört worden ist. In Eilfällen kann die Anhörung nachgeholt werden.

(4) Privatrechtliche Stellen oder Vereinigungen, die nach § 2 Abs. 2 als öffentliche Stellen gelten, dürfen personenbezogene Daten, die Straftaten betreffen, nur unter behördlicher Aufsicht oder aufgrund einer Rechtsvorschrift verarbeiten, die den Zweck der Verarbeitung bestimmt.

(5) Sind die zur Aufgabenerfüllung notwendigen Daten in Akten oder in nicht-automatisierten Dateien mit anderen oder mit gesperrten Daten derart verbunden, dass eine Trennung der Daten nicht oder nur mit unverhältnismäßig hohem Aufwand möglich ist, so sind die Kenntnisnahme, die Mitspeicherung sowie die Übermittlung auch der nicht benötigten Daten zulässig, soweit nicht schutzwürdige Belange des Betroffenen überwiegen. Diese Daten dürfen nicht weiter verarbeitet werden. Darauf ist der Empfänger im Falle der Übermittlung in geeigneter Weise hinzuweisen.

§ 8 Einwilligung

(1) Die Einwilligung des Betroffenen bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Sie muss sich im Falle einer Datenverarbeitung nach § 7 Abs. 2 ausdrücklich auch auf die dort genannten Daten beziehen. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich eingeholt werden, so ist die Einwilligungserklärung im äußeren Erscheinungsbild des Schriftstücks hervorzuheben. Der Betroffene ist in geeigneter Weise über die Bedeutung und Tragweite der Einwilligung, insbesondere über die Art und den Umfang der Verarbeitung sowie über Empfänger beabsichtigter Übermittlungen von Daten, aufzuklären. Die Anschrift der Daten verarbeitenden Stelle ist ihm mitzuteilen. Der Betroffene ist unter Darlegung der Rechtsfolgen darauf hinzuweisen, dass er die Einwilligung verweigern und mit Wirkung für die Zukunft widerrufen kann.

(2) Die Einwilligung kann auch elektronisch erklärt werden. § 3a des Landesverwaltungsverfahrensgesetzes gilt entsprechend.

§ 9 Erheben

(1) Das Erheben personenbezogener Daten ist zulässig, wenn deren Kenntnis zur rechtmäßigen Erfüllung einer in der Zuständigkeit der Daten verarbeitenden Stelle liegenden Aufgabe erforderlich ist, der Zweck der Erhebung hinreichend bestimmt ist und die Daten ohne Verstoß gegen Rechtsvorschriften offenbart werden können.

(2) Personenbezogene Daten sind beim Betroffenen und mit seiner Kenntnis zu erheben, es sei denn, dass eine Rechtsvorschrift eine andere Art der Erhebung erlaubt oder zwingend voraussetzt oder dass der Betroffene in eine andere Art der Erhebung eingewilligt hat.

(3) Werden personenbezogene Daten beim Betroffenen mit seiner Kenntnis erhoben, so ist er von der Daten verarbeitenden Stelle in geeigneter Weise über den Zweck der Erhebung, die Art und den Umfang der Verarbeitung, über Empfänger beabsichtigter Übermittlungen der Daten sowie über das Bestehen von Auskunfts- oder Berichtigungsansprüchen aufzuklären. Die Anschrift der Daten verarbeitenden Stelle ist ihm mitzuteilen. Werden die Daten aufgrund einer Rechtsvorschrift erhoben, die zur Auskunft verpflichtet, oder ist die Erteilung der Auskunft Voraussetzung für die Gewährung von Rechtsvorteilen, so ist der Betroffene hierauf, sonst auf die Freiwilligkeit seiner Angaben hinzuweisen. Er ist über die Rechtsvorschrift und über die Folgen der Verweigerung von Angaben aufzuklären.

(4) Werden personenbezogene Daten nicht beim Betroffenen, sondern bei anderen Personen sowie bei nicht-öffentlichen Stellen aufgrund einer Rechtsvorschrift, die zur Auskunft verpflichtet, erhoben, so sind diese auf die Rechtsgrundlage, sonst auf die Freiwilligkeit ihrer Angaben hinzuweisen. Der Betroffene ist bei Beginn der Speicherung in geeigneter Weise über die Erhebung entsprechend Absatz 3 Satz 1 und 2 zu unterrichten, wenn und soweit dadurch die Erfüllung der Aufgabe der erhebenden Stelle nicht gefährdet ist.

§ 10 Nutzen

(1) Das Nutzen personenbezogener Daten ist zulässig, wenn und soweit es zur Erfüllung einer in der Zuständigkeit der Daten verarbeitenden Stelle liegenden Aufgabe erforderlich ist.

(2) Personenbezogene Daten dürfen nur für den Zweck genutzt werden, für den sie erhoben worden sind. Ist keine Erhebung vorausgegangen, so dürfen die Daten für den Zweck genutzt werden, für den sie bei ihrer erstmaligen Speicherung bestimmt wurden. Empfänger übermittelter Daten dürfen diese für den bei ihrer Übermittlung bestimmten Zweck nutzen.

(3) Das Nutzen personenbezogener Daten zu anderen Zwecken ist nur zulässig, wenn

1. eine Rechtsvorschrift dies vorsieht oder zwingend voraussetzt,
2. der Betroffene eingewilligt hat,
3. offensichtlich ist, dass es im Interesse des Betroffenen liegt, und kein Grund zu der Annahme besteht, dass er in Kenntnis des anderen Zwecks seine Einwilligung verweigern würde,
4. Angaben des Betroffenen überprüft werden müssen, weil tatsächliche Anhaltspunkte für deren Unrichtigkeit bestehen,
5. die Daten aus allgemein zugänglichen Quellen entnommen werden können oder die Daten verarbeitende Stelle sie veröffentlichen dürfte, es sei denn, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Zweckänderung offensichtlich überwiegt,
6. es zur Abwehr erheblicher Nachteile für das Gemeinwohl oder einer sonst unmittelbar drohenden Gefahr für die öffentliche Sicherheit erforderlich ist,
7. es zur Verfolgung von Straftaten und Ordnungswidrigkeiten, zur Vollstreckung oder zum Vollzug von Strafen oder Maßnahmen im Sinne des § 11 Abs. 1 Nr. 8 des Strafgesetzbuches oder von Erziehungsmaßregeln oder Zuchtmitteln im Sinne des Jugendgerichtsgesetzes in der Fassung der Bekanntmachung vom 11. Dezember 1974 (BGBl. I S. 3427), zuletzt geändert nach Maßgabe des Artikels 8 durch Artikel 3 des Gesetzes vom 26. Januar 1998 (BGBl. I S. 160), oder zur Vollstreckung von Bußgeldentscheidungen erforderlich ist,
8. es zur Abwehr einer schwerwiegenden Beeinträchtigung der Rechte einer anderen Person erforderlich ist oder
9. es zur Durchführung wissenschaftlicher Forschung erforderlich ist, das wissenschaftliche Interesse an der Durchführung des Forschungsvorhabens das Interesse des Betroffenen an dem Ausschluss der Zweckänderung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann.

Der andere Zweck muss hinreichend bestimmt sein. Besondere Amts- oder Berufsgeheimnisse bleiben unberührt. Für Daten im Sinne von § 7 Abs. 2 findet Satz 1 Nr. 3 keine Anwendung.

(4) Personenbezogene Daten, die für andere Zwecke erhoben oder erstmalig gespeichert worden sind, dürfen zu Zwecken der Ausübung von Aufsichts- und Kontrollbefugnissen, der Rechnungsprüfung oder der Durchführung von Organisationsuntersuchungen in dem dafür erforderlichen Umfang genutzt werden. Der Zugriff auf personenbezogene Daten ist nur insoweit zulässig, als dieser für die Ausübung der Befugnisse nach Satz 1 unerlässlich oder unvermeidbar ist. Eine Nutzung personenbezogener Daten zu Ausbildungs- und Prüfungszwecken ist zulässig, soweit nicht überwiegende schutzwürdige Interessen des Betroffenen entgegenstehen.

(5) Gesperrte Daten dürfen ohne Einwilligung des Betroffenen nur genutzt werden, wenn

1. es zu wissenschaftlichen Zwecken, zur Behebung einer bestehenden Beweisnot oder aus sonstigen im überwiegenden Interesse der Daten verarbeitenden Stelle oder eines Dritten liegenden Gründen unerlässlich ist und
2. die Daten hierfür genutzt werden dürften, wenn sie nicht gesperrt wären.

(6) Personenbezogene Daten, die ausschließlich zu Zwecken der Datenschutzkontrolle, der Datensicherheit oder zur Sicherstellung des ordnungsgemäßen Betriebes einer Datenverarbeitungsanlage gespeichert werden, dürfen nicht für andere Zwecke genutzt werden, es sei denn, der Betroffene willigt ein.

§ 11 Speichern, Verändern

(1) Das Speichern und Verändern personenbezogener Daten ist zulässig, wenn es zur Erfüllung einer in der Zuständigkeit der Daten verarbeitenden Stelle liegenden Aufgabe erforderlich ist.

(2) Personenbezogene Daten dürfen nur zu Zwecken ihrer zulässigen Nutzung nach § 10 und in dem dafür notwendigen Umfang gespeichert oder verändert werden.

§ 12 Automatisierte Einzelentscheidung

Entscheidungen, die für den Betroffenen eine rechtliche Folge nach sich ziehen oder ihn erheblich beeinträchtigen, dürfen nicht ausschließlich auf der automatisierten Verarbeitung personenbezogener Daten zum Zwecke der Bewertung einzelner Persönlichkeitsmerkmale beruhen, sondern sind in jedem Einzelfall durch eine natürliche Person zu überprüfen. Satz 1 gilt nicht, wenn

1. ein Gesetz dies vorsieht oder
2. der Betroffene vor der Entscheidung die Möglichkeit erhält, seine besonderen persönlichen Interessen geltend zu machen.

§ 13 Berichtigen, Sperren und Löschen

(1) Personenbezogene Daten sind zu berichtigen, wenn sie unrichtig sind. Sind personenbezogene Daten in nicht-automatisierten Dateien oder Akten zu berichtigen, so soll in geeigneter Weise kenntlich gemacht werden, zu welchem Zeitpunkt und aus welchem Grunde sie unrichtig waren oder geworden sind. Personenbezogene Daten sind zu ergänzen, wenn der Zweck der Speicherung oder das berechtigte Interesse des Betroffenen dies erfordern.

(2) Personenbezogene Daten sind zu löschen, wenn

1. sie unrichtig sind und die Daten verarbeitende Stelle keine Kenntnis der richtigen Daten erlangen kann,
2. ihre Erhebung unzulässig war,
3. ihre Speicherung unzulässig ist oder
4. ihre Speicherung zur Erfüllung der in der Zuständigkeit der Daten verarbeitenden Stelle liegenden Aufgabe nicht mehr erforderlich ist.

(3) An Stelle der Berichtigung oder Löschung tritt eine Sperrung, solange

1. einer Löschung nach Absatz 2 Nr. 4 Rechtsvorschriften entgegenstehen,
2. Grund zur Annahme besteht, dass durch die Berichtigung oder Löschung schutzwürdige Interessen des Betroffenen beeinträchtigt würden,
3. eine Löschung wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich ist oder
4. es der Betroffene nach § 25 verlangt.

(4) Sind personenbezogene Daten in Akten oder nicht-automatisierten Dateien gespeichert, ist die Löschung nach Absatz 2 Nr. 4 nur durchzuführen, wenn die gesamte Akte oder nichtautomatisierte Datei zur Aufgabenerfüllung nicht mehr erforderlich ist. Soweit hiernach eine Löschung nicht in Betracht kommt, sind die Daten zu sperren.

(5) Gesperrte Daten sind gesondert zu speichern. Ist dies nicht möglich, so sind die Daten mit einem entsprechenden Vermerk zu versehen. Gesperrte Daten dürfen über ihre Speicherung hinaus, außer zu Zwecken ihrer zulässigen Nutzung und in den Fällen des § 7 Abs. 5, nicht mehr verarbeitet werden. Gesperrte Daten dürfen vor Ablauf ihrer Sperrfrist nur verändert oder gelöscht werden, wenn ein Grund für eine Berichtigung gegeben ist; in diesem Falle ist der ursprüngliche Zustand zu dokumentieren.

(6) Soweit öffentliche Stellen verpflichtet sind, Unterlagen einem öffentlichen Archiv zur Übernahme anzubieten, darf eine Löschung erst erfolgen, wenn das zuständige öffentliche Archiv die Übernahme abgelehnt oder über sie nicht fristgerecht entschieden hat.

(7) Werden durch eine Daten verarbeitende Stelle unrichtige, unzulässig erhobene oder unzulässig gespeicherte Daten berichtigt, gesperrt oder gelöscht, so benachrichtigt diese andere Stellen, die diese Daten ebenfalls verarbeiten, insbesondere die Empfänger von Übermittlungen. Die Unterrichtung kann unterbleiben, wenn sie einen unverhältnismäßig hohen Aufwand erfordern würde und kein Grund zur Annahme besteht, dass dadurch schutzwürdige Interessen des Betroffenen beeinträchtigt werden.

§ 14 Übermittlung an Stellen innerhalb des öffentlichen Bereichs ⁰⁵

(1) Die Übermittlung personenbezogener Daten an Stellen innerhalb des öffentlichen Bereichs ist zulässig, wenn dies zur Erfüllung einer in der Zuständigkeit der Daten verarbeitenden Stelle liegenden Aufgabe erforderlich ist oder wenn die Nutzung der Daten zur Erfüllung einer in der Zuständigkeit des Empfängers liegenden Aufgabe erforderlich und nach § 10 zulässig ist.

(2) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle. Erfolgt die Übermittlung auf Ersuchen des Empfängers, trägt dieser die Verantwortung. In diesem Falle prüft die übermittelnde Stelle nur, ob das Übermittlungsersuchen im Rahmen der Aufgaben des Empfängers liegt, es sei denn, dass besonderer Anlass zur Prüfung der Zulässigkeit der Übermittlung besteht.

(3) Für die Übermittlung personenbezogener Daten an Stellen der öffentlich-rechtlichen Religionsgesellschaften gelten die Absätze 1 und 2 entsprechend, sofern sichergestellt ist, dass bei dem Empfänger ausreichend Datenschutzmaßnahmen getroffen werden. Die Feststellung trifft das Innenministerium nach Anhörung des Landesbeauftragten für den Datenschutz.

§ 15 Übermittlung an inländische nichtöffentliche Stellen ⁰⁴

(1) Die Übermittlung personenbezogener Daten an inländische Stellen außerhalb des öffentlichen Bereichs ist zulässig, wenn dies zur Erfüllung einer in der Zuständigkeit der Daten verarbeitenden Stelle liegenden Aufgabe erforderlich ist. Darüber hinaus ist sie zulässig, wenn der Empfänger ein berechtigtes Interesse an der Kenntnis der zu übermittelnden Daten glaubhaft darlegt und der Betroffene kein schutzwürdiges Interesse an dem Ausschluss der Übermittlung hat. In diesem Falle unterrichtet die übermittelnde Stelle den Betroffenen von der Übermittlung. Dies gilt nicht, wenn er davon auf andere Weise Kenntnis erlangt oder wenn die Unterrichtung die öffentliche Sicherheit gefährden oder sonst dem Wohle des Bundes oder eines Landes Nachteile bereiten würde.

(2) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle. Der Empfänger darf die übermittelten Daten nur für den Zweck verarbeiten oder nutzen, zu dessen Erfüllung sie ihm übermittelt werden. Die übermittelnde Stelle hat ihn darauf hinzuweisen. Eine Verarbeitung oder Nutzung für andere Zwecke ist zulässig, wenn eine Übermittlung nach Absatz 1 zulässig wäre und die übermittelnde Stelle zugestimmt hat.

§ 16 Übermittlung an europäische nicht-öffentliche Stellen und Drittstaaten ⁰⁴

(1) Für die Übermittlung personenbezogener Daten an nichtöffentliche Stellen in Mitgliedsstaaten der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den europäischen Wirtschaftsraum gilt § 15 Abs. 1 nach Maßgabe der für diese Übermittlung geltenden Gesetze und Verordnungen. Eine Übermittlung unterbleibt, soweit Grund zu der Annahme besteht, dass durch sie gegen den Zweck eines deutschen Gesetzes verstoßen wird.

(2) Für die Übermittlung personenbezogener Daten in Länder außerhalb der Europäischen Union und der anderen Vertragsstaaten des Abkommens über den europäischen Wirtschaftsraum sowie an sonstige über- und zwischenstaatliche Stellen gilt § 15 Abs. 1 nach Maßgabe der für diese Übermittlung geltenden Gesetze und Verordnungen, wenn im Empfängerland ein angemessener Datenschutz gewährleistet ist. Dies gilt nicht, soweit Grund zu der Annahme besteht, dass durch sie gegen den Zweck eines deutschen Gesetzes verstoßen wird.

(3) Sofern im Empfängerland kein angemessener Datenschutz gewährleistet ist, ist eine Übermittlung zulässig, wenn

1. der Betroffene seine Einwilligung erteilt hat,
2. die Übermittlung zur Wahrung eines wichtigen öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen vor Gericht erforderlich ist,
3. die Übermittlung zur Wahrung lebenswichtiger Interessen des Betroffenen erforderlich ist,
4. die Übermittlung aus einem für die Information der Öffentlichkeit bestimmten Register erfolgt und die Voraussetzungen für die Einsichtnahme im Einzelfall vorliegen oder
5. die empfangende Stelle ausreichende Garantien für den Schutz der Grundrechte bietet und die für die übermittelnde Stelle zuständige Rechtsaufsichtsbehörde die Übermittlung genehmigt.

(4) Die Angemessenheit des Datenschutzes im Empfängerland wird unter Berücksichtigung aller Umstände beurteilt, die bei einer Datenübermittlung oder einer Kategorie von Datenübermittlungen eine Rolle spielen; insbesondere werden die Art der Daten, die Zweckbestimmung sowie die Dauer der geplanten Verarbeitung, das Herkunfts- und das Endbestimmungsland, die beim Empfängerland geltenden allgemeinen oder sektoriellen Rechtsnormen sowie die dort geltenden Standesregeln und Sicherheitsmaßnahmen berücksichtigt.

(5) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle. Die empfangende Stelle ist darauf hinzuweisen, dass die übermittelten Daten nur zu dem Zweck verarbeitet werden dürfen, zu dessen Erfüllung sie ihr übermittelt werden.

(6) Die übermittelnde Stelle teilt dem Landesbeauftragten für den Datenschutz ihre Feststellung über die Angemessenheit des Datenschutzes im Empfängerland mit. Ferner teilt sie ihm die nach Absatz 3 Nr. 5 erteilten Genehmigungen der Rechtsaufsichtsbehörde mit. Der Landesbeauftragte für den Datenschutz teilt die nach Absatz 3 Nr. 5 erteilten Genehmigungen der Rechtsaufsichtsbehörde dem Bund mit.

§ 17 Verbund-, Abruf- und gemeinsame Verfahren ¹⁰

(1) Verbund-, Abruf- und gemeinsame Verfahren dürfen nur eingeführt werden, wenn dies unter Berücksichtigung der schutzwürdigen Belange der Betroffenen und der Aufgaben der beteiligten Stellen angemessen ist. Die gesetzlichen Anforderungen an die Zulässigkeit der Datenverarbeitung bleiben unberührt. Der Landesbeauftragte für den Datenschutz ist vorab über die Einrichtung des Verfahrens zu informieren.

(2) Die beteiligten Stellen haben zu gewährleisten, dass die Zulässigkeit des Verfahrens kontrolliert werden kann. Hierzu ist die Verfahrensbeschreibung nach § 18 jeder beteiligten Stelle um die Feststellung zu ergänzen, für welchen Bereich der Datenverarbeitung jede der beteiligten Stellen verantwortlich ist.

(3) Die Betroffenen können ihre Rechte mit Ausnahme der Rechte nach § 26 gegenüber jeder der beteiligten Stellen geltend machen, unabhängig davon, welche Stelle für die Datenverarbeitung verantwortlich ist. Die beteiligten Stellen leiten die Anliegen der Betroffenen an die nach Absatz 2 zuständige Stelle weiter.

(4) Die Absätze 1 bis 3 gelten entsprechend, wenn innerhalb einer verarbeitenden Stelle ein Verbund-, Abruf- oder gemeinsames Verfahren zur Verarbeitung personenbezogener Daten für verschiedene Zwecke eingerichtet wird.

(5) Nicht-öffentliche Stellen können sich an Verbund-, Abruf- und gemeinsamen Verfahren beteiligen, wenn eine Rechtsvorschrift dies zulässt und sie sich insoweit den Vorschriften dieses Gesetzes unterwerfen.

weiter .