(1) Für die Sicherstellung des Rechts auf Information ist die oder der Landesbeauftragte für den Datenschutz zuständig.

(2) Jeder hat das Recht, die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz als Beauftragte oder Beauftragten für das Recht auf Information anzurufen. Das Datenschutzgesetz Nordrhein-Westfalen gilt entsprechend.

(3) Die oder der Landesbeauftragte für den Datenschutz legt dem Landtag und der Landesregierung jeweils für zwei Kalenderjahre einen Bericht über ihre oder seine Tätigkeit als Beauftragte oder Beauftragter für das Recht auf Information vor. § 27 des Datenschutzgesetzes Nordrhein-Westfalen gilt entsprechend.

(1) Für die Sicherstellung des Rechts auf Information ist die oder der Landesbeauftragte für den Datenschutz und Informationsfreiheit zuständig.

(2) Jeder hat das Recht, die Landesbeauftragte oder den Landesbeauftragten für Datenschutz und Informationsfreiheit als Beauftragte oder Beauftragten für das Recht auf Information anzurufen.

(3) Berufung und Rechtsstellung der oder des Landesbeauftragten für Datenschutz und Informationsfreiheit richtet sich nach § 25 des Datenschutzgesetzes Nordrhein-Westfalen vom 17. Mai 2018 (GV. NRW. S. 244).

(4) Die in § 2 vom Anwendungsbereich umfassten Stellen sind verpflichtet, die Landesbeauftragte oder den Landesbeauftragten für Datenschutz und Informationsfreiheit bei der Aufgabenerfüllung zu unterstützen. Der oder dem Landesbeauftragten für Datenschutz und Informationsfreiheit ist dabei insbesondere

1. Auskunft zu ihren oder seinen Fragen zu erteilen sowie die Einsicht in alle Unterlagen und Akten zu gewähren, die im Zusammenhang mit dem Informationsanliegen stehen und
2. Zutritt zu Diensträumen zu gewähren.

Gesetzliche Geheimhaltungsvorschriften können einem Auskunfts- oder Einsichtsverlangen nicht entgegen gehalten werden.

(5) Die Rechte der oder des Landesbeauftragten für Datenschutz und Informationsfreiheit nach Absatz 4 dürfen nur von ihr oder ihm persönlich ausgeübt werden, wenn die oberste Landesbehörde im Einzelfall feststellt, dass die Sicherheit des Bundes oder eines Landes dies gebietet. In diesem Fall müssen personenbezogene Daten einer betroffenen Person, der von der datenverarbeitenden Stelle Vertraulichkeit besonders zugesichert worden ist, auch ihr oder ihm gegenüber nicht offenbart werden.

(6) Stellt die oder der Landesbeauftragte für Datenschutz und Informationsfreiheit Verstöße gegen dieses Gesetz bei nach § 2 informationspflichtigen Stellen fest, so fordert sie oder er diese zur Mängelbeseitigung auf. Bei Verstößen gegen die Informationspflicht kann er oder sie diese beanstanden

1. bei der Landesverwaltung gegenüber der zuständigen obersten Landesbehörde,
2. beim Landesrechnungshof gegenüber der Präsidentin oder dem Präsidenten,
3. bei der Kommunalverwaltung gegenüber der jeweils verantwortlichen Gemeinde oder dem verantwortlichen Gemeindeverband,
4. bei den wissenschaftlichen Hochschulen und Fachhochschulen gegenüber der Hochschulpräsidentin oder dem Hochschulpräsidenten oder der Rektorin oder dem Rektor, bei öffentlichen Schulen gegenüber der Leitung der Schule und
5. bei den sonstigen Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts gegenüber dem Vorstand oder dem sonst vertretungsberechtigten Organ

und fordert zur Stellungnahme innerhalb einer von ihr oder ihm zu bestimmenden Frist auf. In den Fällen von Satz 1 Nummer 2 bis 5 unterrichtet die oder der Landesbeauftragte für Datenschutz und Informationsfreiheit gleichzeitig auch die zuständige Aufsichtsbehörde.

(7) Die oder der Landesbeauftragte für Datenschutz und Informationsfreiheit kann von einer Beanstandung absehen oder auf eine Stellungnahme der betroffenen Stelle verzichten, wenn es sich um unerhebliche Mängel handelt oder wenn ihre Behebung sichergestellt ist.

(8) Mit der Beanstandung kann die oder der Landesbeauftragte für Datenschutz und Informationsfreiheit Vorschläge zur Beseitigung der Mängel und zur sonstigen Verbesserung des Informationszugangs verbinden.

(9) Die gemäß Absatz 6 abzugebende Stellungnahme soll auch eine Darstellung der Maßnahmen enthalten, die auf Grund der Beanstandung der oder des Landesbeauftragten für Datenschutz und Informationsfreiheit getroffen worden sind. Die in Absatz 6 Nummer 2 bis 4 genannten Stellen leiten der zuständigen Aufsichtsbehörde eine Abschrift ihrer Stellungnahme an die Landesbeauftragte oder den Landesbeauftragten für Datenschutz und Informationsfreiheit zu.

(10) Die oder der Landesbeauftragte für Datenschutz und Informationsfreiheit legt dem Landtag und der Landesregierung jeweils für zwei Kalenderjahre einen Bericht über ihre oder seine Tätigkeit als Beauftragte oder Beauftragter für das Recht auf Information vor. § 30 des Datenschutzgesetzes Nordrhein-Westfalen gilt entsprechend."

§ 87 Vorlage und Auskunft

§ 87 Übermittlung an Behörden und Auskunft an nicht betroffene Personen".

(1) Die Beamtin oder der Beamte hat, auch nach Beendigung des Beamtenverhältnisses, ein Recht auf Einsicht in seine vollständige Personalakte.

(2) Einer oder einem Bevollmächtigten der Beamtin oder des Beamten ist Einsicht zu gewähren, soweit dienstliche Gründe nicht entgegenstehen. Dies gilt auch für Hinterbliebene, wenn ein berechtigtes Interesse glaubhaft gemacht wird, und deren Bevollmächtigte. Für Auskünfte aus der Personalakte gelten die Sätze 1 und 2 entsprechend.

(3) Die personalaktenführende Behörde bestimmt, wo die Einsicht gewährt wird. Soweit dienstliche Gründe nicht entgegenstehen, können Auszüge, Abschriften, Ablichtungen oder Ausdrucke gefertigt werden; der Beamtin oder dem Beamten ist auf Verlangen ein Ausdruck der zu ihrer oder seiner Person automatisiert gespeicherten Personalaktendaten zu überlassen.

(4) Die Beamtin oder der Beamte hat ein Recht auf Einsicht auch in andere Akten, die personenbezogene Daten über sie oder ihn enthalten und für ihr oder sein Dienstverhältnis verarbeitet oder genutzt werden, soweit gesetzlich nichts anderes bestimmt ist; dies gilt nicht für Sicherheitsakten. Die Einsichtnahme ist unzulässig, wenn die Daten der oder des Betroffenen mit Daten Dritter oder geheimhaltungsbedürftigen nichtpersonenbezogenen Daten derart verbunden sind, dass ihre Trennung nicht oder nur mit unverhältnismäßig großem Aufwand möglich ist. In diesem Fall ist der Beamtin oder dem Beamten Auskunft zu erteilen.

(1) Der Anspruch der Beamtinnen und Beamten auf Auskunft aus ihren Personalakten oder aus anderen Akten, die personenbezogene Daten über sie enthalten und für ihr Dienstverhältnis verarbeitet werden, umfasst auch die Gewährung von Akteneinsicht, soweit gesetzlich nichts anderes bestimmt ist. Beamtinnen und Beamte haben, auch nach Beendigung des Beamtenverhältnisses, ein Recht auf Einsicht in ihre vollständige Personalakte. Die Auskunft aus Sicherheitsakten ist unzulässig. Unzulässig ist die Einsichtnahme in Daten der oder des Betroffenen, die mit Daten Dritter oder geheimhaltungsbedürftigen nichtpersonenbezogenen Daten derart verbunden sind, dass ihre Trennung nicht oder nur mit unverhältnismäßig großem Aufwand möglich ist.

(2) Einer oder einem Bevollmächtigten der Beamtin oder des Beamten ist Auskunft zu gewähren, soweit dienstliche Gründe nicht entgegenstehen. Dies gilt auch für Hinterbliebene und deren Bevollmächtigte, wenn ein berechtigtes Interesse glaubhaft gemacht wird.

(3) Die personalaktenführende Behörde bestimmt, wo die Einsicht gewährt wird. Soweit wichtige dienstliche Gründe nicht entgegenstehen, werden Auszüge, Abschriften, Ablichtungen oder Ausdrucke gefertigt. Der Beamtin oder dem Beamten ist auf Verlangen ein Ausdruck der zu ihrer oder seiner Person automatisiert gespeicherten Personalaktendaten zu überlassen."

(1) Ohne Einwilligung der Beamtin oder des Beamten ist es zulässig, die Personalakte für Zwecke der Personalverwaltung oder Personalwirtschaft der obersten Dienstbehörde oder einer im Rahmen der Dienstaufsicht weisungsbefugten Behörde vorzulegen. Das Gleiche gilt für Behörden im Bereich desselben Dienstherrn, soweit die Vorlage zur Vorbereitung oder Durchführung einer Personalentscheidung notwendig ist. Ärztinnen und Ärzten, die im Auftrag der personalverwaltenden Behörde ein medizinisches Gutachten erstellen, darf die Personalakte ebenfalls ohne Einwilligung vorgelegt werden. Für Auskünfte aus der Personalakte gelten die Sätze 1 bis 3 entsprechend. Soweit eine Auskunft ausreicht, ist von einer Vorlage abzusehen.

(2) Auskünfte an Dritte dürfen nur mit Einwilligung der Beamtin oder des Beamten erteilt werden, es sei denn, dass die Abwehr einer erheblichen Beeinträchtigung des Gemeinwohls oder der Schutz berechtigter, höherrangiger Interessen der oder des Dritten die Auskunftserteilung zwingend erfordert. Inhalt und Empfänger der Auskunft sind der Beamtin oder dem Beamten schriftlich mitzuteilen.

(3) Vorlage und Auskunft sind auf den jeweils erforderlichen Umfang zu beschränken.

(1) Ohne Einwilligung der Beamtin oder des Beamten ist es zulässig, die Personalakte für Zwecke der Personalverwaltung oder Personalwirtschaft der obersten Dienstbehörde oder einer im Rahmen der Dienstaufsicht weisungsbefugten Behörde zu übermitteln. Das Gleiche gilt für Behörden im Bereich desselben Dienstherrn, soweit die Übermittlung der Akte zur Vorbereitung oder Durchführung einer Personalentscheidung notwendig ist. Ärztinnen und Ärzten, die im Auftrag der personalverwaltenden Behörde ein medizinisches Gutachten erstellen, darf die Personalakte ebenfalls ohne Einwilligung übermittelt werden. Für Auskünfte aus der Personalakte gelten die Sätze 1 bis 3 entsprechend. Soweit eine Auskunft ausreicht, ist von einer Übermittlung abzusehen.

(2) Auskünfte an nicht betroffene Personen dürfen nur mit Einwilligung der Beamtin oder des Beamten erteilt werden, es sei denn, dass die Abwehr einer erheblichen Beeinträchtigung des Gemeinwohls oder der Schutz berechtigter, höherrangiger Interessen der nicht betroffenen Person die Auskunftserteilung zwingend erfordert. Inhalt und Empfänger der Auskunft sind der Beamtin oder dem Beamten schriftlich mitzuteilen.

(3) Übermittlung und Auskunft sind auf den jeweils erforderlichen Umfang zu beschränken."

(1) Die Verarbeitung von Personalaktendaten im Auftrag der personalverwaltenden Behörde ist auch außerhalb des öffentliches Dienstes zulässig,

1. soweit sie erforderlich ist für die automatisierte Erledigung von Aufgaben, und
2. wenn der Auftraggeber die Einhaltung der beamten- und datenschutzrechtlichen Vorschriften durch den Auftragnehmer regelmäßig kontrolliert.

(2) Die Auftragserteilung bedarf der vorherigen Zustimmung der obersten Dienstbehörde. Zu diesem Zweck hat der Auftraggeber der obersten Dienstbehörde rechtzeitig vor der Auftragserteilung schriftlich mitzuteilen:

1. den Auftragnehmer, die von diesem getroffenen technischen und organisatorischen Maßnahmen und die ergänzenden Festlegungen nach Absatz 3,
2. die Aufgabe, zu deren Erfüllung der Auftragnehmer die Daten verarbeiten soll,
3. die Art der Daten, die für den Auftraggeber verarbeitet werden sollen, und den Kreis der Beschäftigten, auf den sich diese Daten beziehen, sowie
4. die beabsichtigte Erteilung von Unteraufträgen durch den Auftragnehmer.

(3) In dem Auftrag ist insbesondere schriftlich festzulegen:

1. der Gegenstand und die Dauer des Auftrags,
2. der Umfang, die Art und der Zweck der vorgesehenen Datenverarbeitung, die Art der Daten und der Kreis der Betroffenen,
3. die nach § 10 des Datenschutzgesetzes Nordrhein-Westfalen zu treffenden technischen und organisatorischen Maßnahmen,
4. die Berichtigung, Löschung, und Sperrung von Daten und gegebenenfalls die Vernichtung der Papierakte,
5. die von dem Auftragnehmer vorzunehmenden Kontrollen der Datenverarbeitung, insbesondere die Überprüfung, ob das Ergebnis bildlich und inhaltlich mit der Papierakte übereinstimmt.
6. die Kontrollrechte des Auftraggebers und die entsprechenden Duldungs- und Mitwirkungspflichten des Auftragnehmers,
7. mitzuteilende Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die im Auftrag getroffenen Festlegungen,
8. der Umfang der Weisungsbefugnisse, die sich der Auftraggeber gegenüber dem Auftragnehmer vorbehält,
9. die Verpflichtung des Auftragnehmers, den Auftraggeber unverzüglich darauf hinzuweisen, wenn er der Ansicht ist, dass eine Weisung des Auftraggebers gegen dieses Gesetz oder andere Vorschriften über den Datenschutz verstößt und
10. die Rückgabe überlassener Datenträger und die Löschung beim Auftragnehmer gespeicherter Daten, sobald diese für die Erfüllung des Auftrags nicht mehr benötigt werden, spätestens nach Beendigung des Auftrags.

Soweit der Auftragnehmer eine nichtöffentliche Stelle ist, ist auch festzulegen, dass der Auftragnehmer die Kontrolle durch die Landesbeauftragte oder den Landesbeauftragten für Datenschutz und Informationsfreiheit zu dulden hat. Diese Kontrolle richtet sich nach den maßgeblichen datenschutzrechtlichen Bestimmungen.

(4) Eine nichtöffentliche Stelle darf nur beauftragt werden, wenn

1. beim Auftraggeber sonst Störungen im Geschäftsablauf auftreten können oder der Auftragnehmer die übertragenen Aufgaben erheblich kostengünstiger erledigen kann und
2. die beim Auftragnehmer mit der Datenverarbeitung beauftragten Beschäftigten besonders auf den Schutz der Personalaktendaten verpflichtet sind.

Satz 1 Nummer 1 findet keine Anwendung für Gemeinden und Gemeindeverbände.

(5) Der Auftragnehmer darf die Daten nur im Rahmen der Weisungen des Auftraggebers verarbeiten. Der Auftragnehmer darf die Daten nur für die im Auftrag festgelegten Zwecke verarbeiten und nur für die im Auftrag festgelegte Dauer speichern.

(6) Die Rechte der betroffenen Person nach dem Datenschutzgesetz Nordrhein-Westfalen sind gegenüber dem Auftraggeber geltend zu machen.

(7) Unteraufträge dürfen nur mit vorheriger Zustimmung des Auftraggebers erteilt werden. Für Unterauftragnehmer gelten die für den Auftragnehmer bestehenden Vorgaben entsprechend.

(1) Die Verarbeitung von Personalaktendaten im Auftrag der personalverwaltenden Behörde ist auch außerhalb des öffentliches Dienstes zulässig,

1. soweit sie erforderlich ist für die automatisierte Erledigung von Aufgaben und
2. wenn der Verantwortliche die Einhaltung der beamten- und datenschutzrechtlichen Vorschriften durch den Auftragsverarbeiter regelmäßig kontrolliert.

(2) Die Auftragserteilung bedarf der vorherigen Zustimmung der obersten Dienstbehörde. Zu diesem Zweck hat der Verantwortliche der obersten Dienstbehörde rechtzeitig vor der Auftragserteilung schriftlich mitzuteilen:

1. den Auftragsverarbeiter, die von diesem getroffenen technischen und organisatorischen Maßnahmen und die ergänzenden Festlegungen nach Absatz 3,
2. die Aufgabe, zu deren Erfüllung der Auftragsverarbeiter die Daten verarbeiten soll,
3. die Art der Daten, die für den Verantwortlichen verarbeitet werden sollen, und den Kreis der Beschäftigten, auf den sich diese Daten beziehen, sowie
4. die beabsichtigte Erteilung von Unteraufträgen durch den Auftragsverarbeiter.

(3) In dem Auftrag ist insbesondere schriftlich festzulegen:

1. der Gegenstand und die Dauer des Auftrags,
2. der Umfang, die Art und der Zweck der vorgesehenen Datenverarbeitung, die Art der Daten und der Kreis der Betroffenen,
3. die nach § 15 des Datenschutzgesetzes Nordrhein-Westfalen zu treffenden technischen und organisatorischen Maßnahmen,
4. die Berichtigung, Löschung und Einschränkung der Verarbeitung von Daten und gegebenenfalls die Vernichtung der Papierakte,
5. die von dem Auftragsverarbeiter vorzunehmenden Kontrollen der Datenverarbeitung, insbesondere die Überprüfung, ob das Ergebnis bildlich und inhaltlich mit der Papierakte übereinstimmt,
6. die Kontrollrechte des Verantwortlichen und die entsprechenden Duldungs- und Mitwirkungspflichten des Auftragsverarbeiters,
7. mitzuteilende Verstöße des Auftragsverarbeiters oder der bei ihm beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die im Auftrag getroffenen Festlegungen,
8. der Umfang der Weisungsbefugnisse, die sich der Verantwortliche gegenüber dem Auftragsverarbeiter vorbehält,
9. die Verpflichtung des Auftragsverarbeiters, den Verantwortlichen unverzüglich darauf hinzuweisen, wenn er der Ansicht ist, dass eine Weisung des Verantwortlichen gegen dieses Gesetz oder andere Vorschriften über den Datenschutz verstößt, und
10. die Rückgabe überlassener Datenträger und die Löschung beim Auftragsverarbeiter gespeicherter Daten, sobald diese für die Erfüllung des Auftrags nicht mehr benötigt werden, spätestens nach Beendigung des Auftrags.

Soweit der Auftragsverarbeiter eine nichtöffentliche Stelle ist, ist auch festzulegen, dass der Auftragsverarbeiter die Kontrolle durch die Landesbeauftragte oder den Landesbeauftragten für Datenschutz und Informationsfreiheit zu dulden hat. Diese Kontrolle richtet sich nach den maßgeblichen datenschutzrechtlichen Bestimmungen.

(4) Eine nichtöffentliche Stelle darf nur beauftragt werden, wenn

1. beim Verantwortlichen sonst Störungen im Geschäftsablauf auftreten können oder der Auftragsverarbeiter die übertragenen Aufgaben erheblich kostengünstiger erledigen kann und
2. die beim Auftragsverarbeiter mit der Datenverarbeitung beauftragten Beschäftigten besonders auf den Schutz der Personalaktendaten verpflichtet sind.

Satz 1 Nummer 1 findet keine Anwendung für Gemeinden und Gemeindeverbände.

(5) Der Auftragsverarbeiter darf die Daten nur im Rahmen der Weisungen des Verantwortlichen verarbeiten. Der Auftragsverarbeiter darf die Daten nur für die im Auftrag festgelegten Zwecke verarbeiten und für die im Auftrag festgelegte Dauer speichern.

(6) Die Rechte der betroffenen Person nach dem geltenden Datenschutzrecht sind gegenüber dem Verantwortlichen geltend zu machen.

(7) Unteraufträge dürfen nur mit vorheriger Zustimmung des Verantwortlichen erteilt werden. Für Unterauftragsverarbeiter gelten die für den Auftragsverarbeiter bestehenden Vorgaben entsprechend."

(1) Beim Einsatz eines Verfahrens zur automatisierten Verarbeitung personenbezogener Daten ist bei dem für den behördlichen Datenschutzbeauftragten bestimmten Verzeichnis § 8 des Datenschutzgesetzes Nordrhein-Westfalen in der Fassung der Bekanntmachung vom 9. Juni 2000 (GV. NRW. S. 542), zuletzt geändert durch Artikel 1 des Gesetzes vom 11. Juli 2011 (GV. NRW. S. 338) zu beachten.

(2) Auszüge aus Textdateien dürfen nicht ohne die dazugehörenden erläuternden Unterlagen übermittelt werden.

(1) Beim Einsatz eines Verfahrens zur automatisierten Verarbeitung personenbezogener Daten führt die Verfassungsschutzbehörde ein für den behördlichen Datenschutzbeauftragten bestimmtes Verzeichnis.

(2) Das Verzeichnis enthält die folgenden Angaben:

1. den Namen und die Kontaktdaten des Verantwortlichen und gegebenenfalls des gemeinsam mit ihm Verantwortlichen sowie den Namen und die Kontaktdaten der oder des Datenschutzbeauftragten,
2. die Zwecke der Verarbeitung,
3. Angaben über den Kreis der betroffenen Personen,
4. Angaben über die Rechtsgrundlage der Verarbeitung,
5. eine Beschreibung der Art regelmäßig zu übermittelnder Daten, deren Empfänger sowie die Art und Herkunft regelmäßig empfangener Daten,
6. die zugriffsberechtigten Personen oder Personengruppen,
7. gegebenenfalls die Verwendung von Profiling,
8. gegebenenfalls die beabsichtigte Übermittlungen personenbezogener Daten an Stellen in einem Drittstaat oder an eine internationale Organisation,
9. die vorgesehenen Fristen für die Löschung oder die Überprüfung der Erforderlichkeit der Speicherung der personenbezogenen Daten und
10. eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß § 64 des Bundesdatenschutzgesetzes vom 30. Juni 2017 (BGBl. I S. 2097) in der jeweils geltenden Fassung ."

Bei der Erfüllung der Aufgaben durch die Verfassungsschutzbehörde finden die Vorschriften des Datenschutzgesetzes Nordrhein-Westfalen Anwendung; es sei denn zu demselben Sachverhalt werden in diesem Gesetz besondere Regelungen getroffen.

(1) Bei der Aufgabenerfüllung durch die Verfassungsschutzbehörde findet das Datenschutzgesetz Nordrhein-Westfalen vom 17. Mai 2018 (GV. NRW. S. 244) keine Anwendung.

(2) Die §§ 2, 3, 5 Absatz 1 bis 3 und 5, §§ 6, 7, 42, 46, 51 Absatz 1 bis 4, §§ 52 bis 54, 62, 64 bis 66, 83 und 84 des Bundesdatenschutzgesetzes sind entsprechend anzuwenden, soweit nicht in diesem Gesetz abweichende Regelungen enthalten sind. Wird in den genannten Vorschriften auf europarechtliche Regelungen Bezug genommen, führt dies nicht zu einer Anwendbarkeit der europarechtlichen Regelungen."