Für einen individuellen Ausdruck passen Sie bitte die Einstellungen in der Druckvorschau Ihres Browsers an. Regelwerk; Sanktionen

Abschnitt 1
Allgemeine Bestimmungen

§ 1 Anwendungsbereich

Dieses Gesetz gilt für die Verarbeitung personenbezogener Daten durch Justizvollzugsbehörden im Vollzug von

1. Freiheitsstrafe, Jugendstrafe, Untersuchungshaft, Strafarrest, Unterbringung in der Sicherungsverwahrung und Jugendarrest sowie
2. Haft nach § 127b Absatz 2, § 230 Absatz 2, §§ 236, 329 Absatz 3, § 412 Satz 1 und § 453c Absatz 1 der Strafprozessordnung sowie einstweiliger Unterbringung nach § 275a Absatz 6 der Strafprozessordnung.

Es gilt außerdem für den Datenaustausch zwischen Justizvollzugsbehörden und Sicherheitsbehörden.

§ 2 Begriffsbestimmungen ²⁴

Im Sinne dieses Gesetzes bedeutet der Begriff

1. Gefangene: Personen im Vollzug nach § 1 Satz 1;
2. vollzugliche Zwecke:
   1. die Gefangenen zu befähigen, künftig in sozialer Verantwortung ein Leben ohne Straftaten zu führen,
   2. die Allgemeinheit vor weiteren Straftaten der Gefangenen zu schützen,
   3. die Sicherheit und Ordnung in der Anstalt aufrechtzuerhalten,
   4. ein Entweichen oder die Befreiung von Gefangenen zu verhindern,
   5. eine Nichtrückkehr von Gefangenen und den Missbrauch von Lockerungen durch Gefangene zu vermeiden,
   6. die Versorgung der Gefangenen zu ermöglichen,
   7. die wissenschaftliche Begleitung und Erforschung der Erfüllung der Aufgaben des Justizvollzugs sowie die wissenschaftliche Forschung im Justizvollzug zu ermöglichen sowie
   8. die Mitwirkung der Justizvollzugsbehörden an den ihnen durch Gesetz übertragenen sonstigen Aufgaben zu gewährleisten;

   an die Stelle der in den Buchstaben a und b bestimmten Zwecke tritt für den Vollzug der Untersuchungshaft der Zweck, durch die sichere Unterbringung der Gefangenen die Durchführung eines geordneten Strafverfahrens zu gewährleisten; an die Stelle der in den Buchstaben a und b bestimmten Zwecke tritt im Falle der Haftarten nach den § 127b Absatz 2, § 230 Absatz 2, §§ 236, 329 Absatz 3, § 412 Satz 1 der Strafprozessordnung der jeweils damit verfolgte Zweck;

3. personenbezogene Daten: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (betroffene Person) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser Person sind, identifiziert werden kann;
4. Verarbeitung: jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie
   1. das Erheben, das Erfassen, die Speicherung, die Veränderung, das Auslesen, das Abfragen, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich, das Löschen, die Einschränkung oder die Vernichtung,
   2. die Organisation, das Ordnen, die Anpassung, die Verknüpfung oder sonstige Verwendung (Nutzung);
5. Einschränkung der Verarbeitung: die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken;
6. Profiling: jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte der Arbeitsleistung, wirtschaftlichen Lage, Gesundheit, persönlichen Vorlieben, Interessen, Zuverlässigkeit, des Verhaltens, des Aufenthaltsortes oder Ortswechsels dieser natürlichen Person zu analysieren oder vorherzusagen;
7. Pseudonymisierung: die Verarbeitung personenbezogener Daten in einer Weise, in der die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, wenn diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die Daten keiner betroffenen Person zugeordnet werden können;
8. Anonymisierung: das Verändern personenbezogener Daten derart, dass die Einzelangaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft einer betroffenen Person zugeordnet werden können;
9. Dateisystem: jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral, nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;
10. Verantwortlicher: die zuständige Justizvollzugsbehörde, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet;
11. Auftragsverarbeiter: eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;
12. Empfänger: eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht; Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags nach Rechtsvorschriften personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften gemäß den Zwecken der Verarbeitung;
13. Verletzung des Schutzes personenbezogener Daten: eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten geführt hat, die verarbeitet wurden;
14. besondere Kategorien personenbezogener Daten:
    1. Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen,
    2. genetische Daten,
    3. biometrische Daten,
    4. Gesundheitsdaten und
    5. Daten zum Sexualleben oder zur sexuellen Orientierung;
15. genetische Daten: personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person, die eindeutige Informationen über die Physiologie oder die Gesundheit dieser Person liefern, insbesondere solche, die aus der Analyse einer biologischen Probe der Person gewonnen wurden;
16. biometrische Daten: mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser Person ermöglichen oder bestätigen, insbesondere Gesichtsbilder oder daktyloskopische Daten;
17. Gesundheitsdaten: personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen;
18. internationale Organisation: eine völkerrechtliche Organisation und ihre nachgeordneten Stellen sowie jede sonstige Einrichtung, die durch eine von zwei oder mehr Staaten geschlossene Übereinkunft oder auf der Grundlage einer solchen Übereinkunft geschaffen wurde;
19. Einwilligung: jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;
20. öffentliche Stellen:
    1. die Behörden, die Organe der Rechtspflege und andere öffentlich-rechtlich organisierte Einrichtungen des Bundes, die bundesunmittelbaren Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts sowie deren Vereinigungen ungeachtet ihrer Rechtsform,
    2. die Behörden, die Organe der Rechtspflege und andere öffentlich-rechtlich organisierte Einrichtungen eines Landes, einer Gemeinde, eines Gemeindeverbandes, eines Landkreises oder sonstiger der Aufsicht eines Landes unterstehenden Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts sowie deren Vereinigungen ungeachtet ihrer Rechtsform und
    3. die Behörden, die Organe der Rechtspflege und andere öffentlich-rechtlich organisierte Einrichtungen eines anderen Mitgliedstaates der Europäischen Union;
21. nicht öffentliche Stellen: natürliche Personen, juristische Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts, soweit sie nicht unter Nummer 20 fallen; nimmt eine nichtöffentliche Stelle hoheitliche Aufgaben wahr, ist sie insoweit öffentliche Stelle im Sinne dieses Gesetzes;
22. Justizvollzugsbehörden: Justizvollzugsanstalten, Jugendstrafvollzugsanstalten, Einrichtungen zur Durchführung des Jugendarrests und Einrichtungen für den Vollzug der Sicherungsverwahrung (Anstalten) sowie das Staatsministerium der Justiz und für Demokratie, Europa und Gleichstellung;
23. Sicherheitsbehörden: Polizei- und Verfassungsschutzbehörden des Bundes und der Länder, der Bundesnachrichtendienst und der Militärische Abschirmdienst sowie entsprechende Behörden in den anderen Mitgliedstaaten der Europäischen Union.

§ 3 Grundsätze der Datenverarbeitung ²⁴

(1) Die Datenverarbeitung ist an dem Ziel auszurichten, so wenig personenbezogene Daten wie möglich zu verarbeiten. Von den Möglichkeiten der Anonymisierung und Pseudonymisierung ist Gebrauch zu machen, soweit dies nach dem Verarbeitungszweck möglich ist. Personenbezogene Daten müssen

1. auf rechtmäßige Weise sowie nach Treu und Glauben verarbeitet werden,
2. für festgelegte, eindeutige und rechtmäßige Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden,
3. dem Verarbeitungszweck entsprechen und für das Erreichen des Verarbeitungszwecks erforderlich sein; ihre Verarbeitung darf nicht außer Verhältnis zu diesem Zweck stehen,
4. sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; dabei sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden, und
5. in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet; hierzu gehört auch ein durch geeignete technische und organisatorische Maßnahmen zu gewährleistender Schutz vor unbefugter oder unrechtmäßiger Verarbeitung, unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung.

Personenbezogene Daten dürfen nicht länger, als es für die Zwecke, für die sie verarbeitet werden, erforderlich ist, in einer Form gespeichert werden, die die Identifizierung der betroffenen Person ermöglicht. Der Verantwortliche muss die Einhaltung der vorstehenden Grundsätze nachweisen können.

(2) Bei der Verarbeitung personenbezogener Daten ist so weit wie möglich danach zu unterscheiden, ob diese auf Tatsachen oder auf persönlichen Einschätzungen beruhen. Zu diesem Zweck soll der Verantwortliche, soweit dies im Rahmen der jeweiligen Verarbeitung möglich und angemessen ist, Beurteilungen, die auf persönlichen Einschätzungen beruhen, als solche kenntlich machen.

(3) Eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung, die mit einer nachteiligen Rechtsfolge für die betroffene Person verbunden ist oder sie erheblich beeinträchtigt, ist unzulässig. Profiling, das zur Folge hat, dass die betroffenen Personen auf der Grundlage von personenbezogenen Daten besonderer Kategorien diskriminiert werden, ist verboten.

(4) Werden besondere Kategorien personenbezogener Daten verarbeitet, sind geeignete Garantien für die Rechtsgüter der betroffenen Personen vorzusehen. Geeignete Garantien können insbesondere sein:

1. spezifische Anforderungen an die Datensicherheit oder die Datenschutzkontrolle,
2. die Festlegung von besonderen Aussonderungsprüffristen,
3. die Sensibilisierung der an Verarbeitungsvorgängen Beteiligten,
4. die Beschränkung des Zugangs zu den personenbezogenen Daten oder des Zugriffs auf diese innerhalb der Justizvollzugsbehörde,
5. die von anderen Daten getrennte Verarbeitung,
6. die Pseudonymisierung personenbezogener Daten,
7. die Verschlüsselung personenbezogener Daten oder
8. spezifische Verfahrensregelungen, die im Fall einer Übermittlung oder Verarbeitung für andere Zwecke die Rechtmäßigkeit der Verarbeitung sicherstellen.

§ 4 Zulässigkeit der Datenverarbeitung, Einwilligung

(1) Die Justizvollzugsbehörden dürfen personenbezogene Daten verarbeiten, wenn dies zu vollzuglichen Zwecken erforderlich ist und dies in einer Rechtsvorschrift vorgesehen ist.

(2) Die Verarbeitung personenbezogener Daten besonderer Kategorien ist zulässig, wenn sie zu vollzuglichen Zwecken unbedingt erforderlich ist und

1. in einer Rechtsvorschrift vorgesehen ist,
2. der Wahrung lebenswichtiger Interessen der betroffenen oder einer anderen natürlichen Person dient oder
3. sie sich auf Daten bezieht, die die betroffene Person offensichtlich öffentlich gemacht hat.

(3) Eine Verarbeitung zu vollzugsbegleitenden Zwecken, insbesondere zu Ausbildungs- und Prüfungszwecken, zur Bearbeitung gerichtlicher und außergerichtlicher Angelegenheiten, zur Wahrnehmung von Aufsichts- und Kontrollbefugnissen, der Rechnungsprüfung oder der Durchführung von Organisationsuntersuchungen, ist zulässig, soweit sie der Erfüllung der Aufgaben der Justizvollzugsbehörden dienen und nicht überwiegende schutzwürdige Interessen der betroffenen Person entgegenstehen. Sofern der Ausbildungs-, Prüfungs- oder Forschungszweck es erlaubt und der Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht, sind die personenbezogenen Daten zu anonymisieren.

(4) Soweit die Verarbeitung personenbezogener Daten nach einer Rechtsvorschrift auf der Grundlage einer Einwilligung erfolgt, muss die Justizvollzugsbehörde die Einwilligung der betroffenen Personen nachweisen können.

(5) Erfolgt die Einwilligung der betroffenen Personen durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist.

(6) Die betroffenen Personen haben das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der auf Grund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Die betroffenen Personen sind vor Abgabe der Einwilligung hiervon in Kenntnis zu setzen.

(7) Die Einwilligung ist nur wirksam, wenn sie auf der freien Entscheidung der betroffenen Personen beruht. Bei der Beurteilung, ob die Einwilligung freiwillig abgegeben wurde, müssen die Umstände der Erteilung, etwa die besondere Situation der Freiheitsentziehung, berücksichtigt werden. Die betroffenen Personen sind auf den Zweck der Verarbeitung hinzuweisen. Ist dies nach den Umständen des Einzelfalles erforderlich oder verlangen die betroffenen Personen dies, sind sie auch über die Folgen der Verweigerung der Einwilligung zu belehren.

(8) Soweit personenbezogene Daten besonderer Kategorien auf der Grundlage einer Einwilligung verarbeitet werden, muss sich die Einwilligung ausdrücklich auf diese Daten beziehen.

§ 5 Verarbeitung auf Weisung des Verantwortlichen

Der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, darf diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, es sei denn, es besteht eine Verpflichtung zur Verarbeitung nach einer Rechtsvorschrift.

§ 6 Datengeheimnis

Personenbezogene Daten dürfen nicht unbefugt verarbeitet werden (Datengeheimnis). Mit der Verarbeitung befasste Personen sind bei der Aufnahme ihrer Tätigkeit auf das Datengeheimnis schriftlich zu verpflichten. Das Datengeheimnis besteht auch nach der Beendigung ihrer Tätigkeit fort.

Abschnitt 2
Rechtsgrundlagen der Verarbeitung personenbezogener Daten

§ 7 Erhebung bei betroffenen Personen

(1) Die Justizvollzugsbehörden dürfen personenbezogene Daten unter den Voraussetzungen von § 4 Absatz 1 erheben. Personenbezogene Daten besonderer Kategorien dürfen sie nur unter den Voraussetzungen von § 4 Absatz 2 erheben.

(2) Personenbezogene Daten sind grundsätzlich bei den betroffenen Personen und mit deren Kenntnis zu erheben.

(3) Eine Erhebung personenbezogener Daten bei den betroffenen Personen ohne deren Kenntnis ist zulässig, wenn keine Anhaltspunkte dafür vorliegen, dass schutzwürdige Interessen der betroffenen Personen überwiegen.

§ 8 Erhebung von Daten über Gefangene bei Dritten ^{22 24}

(1) Soweit die Erhebung personenbezogener Daten über Gefangene nach § 7 Absatz 1 zulässig ist und keine überwiegenden schutzwürdigen Interessen der betroffenen Personen entgegenstehen, dürfen sie auch bei Dritten erhoben werden, wenn

1. dies zur Erreichung des Vollzugsziels oder zur Abwehr einer drohenden Gefahr für die Sicherheit in der Anstalt erforderlich ist,
2. dies in einer Rechtsvorschrift vorgesehen ist,
3. die oder der Gefangene eingewilligt hat,
4. Angaben der betroffenen Personen überprüft werden müssen, weil tatsächliche Anhaltspunkte für deren Unrichtigkeit bestehen,
5. dies zur Abwehr erheblicher Nachteile für das Gemeinwohl oder einer sonst unmittelbar drohenden Gefahr für die öffentliche Sicherheit erforderlich ist,
6. dies zur Abwehr einer schwerwiegenden Beeinträchtigung der Rechte einer anderen Person erforderlich ist,
7. sich die Erhebung auf Daten aus Akten der gerichtlichen Verfahren bezieht, die der Vollstreckung der gegenwärtigen Freiheitsentziehung zugrunde liegen oder diese Freiheitsentziehung sonst betreffen,
8. die betroffenen Personen einer durch Rechtsvorschrift festgelegten Auskunftspflicht nicht nachgekommen und über die beabsichtigte Erhebung bei Dritten unterrichtet worden sind,
9. die Erhebung bei den betroffenen Personen einen unverhältnismäßigen Aufwand erfordern würde oder
10. die Daten allgemein zugänglich sind.

(2) Soweit die Erhebung personenbezogener Daten über Gefangene nach § 7 Absatz 1 zulässig ist, keine überwiegenden schutzwürdigen Interessen der betroffenen Personen entgegenstehen und diese nicht die für eine Einwilligung notwendige Einsichtsfähigkeit besitzen, dürfen personenbezogene Daten ohne deren Kenntnis auch bei deren gesetzlichen Vertretern oder deren Bevollmächtigten im Sinne von § 1814 Absatz 3 Satz 2 Nummer 1 des Bürgerlichen Gesetzbuches erhoben werden.

(3) Nichtöffentliche Stellen sind auf die Rechtsvorschrift, die zur Auskunft verpflichtet, ansonsten auf die Freiwilligkeit ihrer Angaben hinzuweisen.

§ 9 Erhebung von Daten über Personen, die nicht Gefangene sind

(1) Daten über Personen, die nicht Gefangene sind, können ohne deren Kenntnis bei Gefangenen oder sonstigen Dritten erhoben werden, soweit die Erhebung zu vollzuglichen Zwecken unbedingt erforderlich ist und schutzwürdige Interessen der betroffenen Personen hierdurch nicht beeinträchtigt werden.

(2) Nichtöffentliche Stellen sind auf die Rechtsvorschrift, die zur Auskunft verpflichtet, ansonsten auf die Freiwilligkeit ihrer Angaben hinzuweisen.

§ 10 Speicherung und Nutzung ²⁴

(1) Die Justizvollzugsbehörden dürfen personenbezogene Daten, die sie zulässig erhoben haben, speichern und nutzen, soweit dies zu vollzuglichen Zwecken erforderlich ist. Personenbezogene Daten besonderer Kategorien, die die Justizvollzugsbehörden zulässig erhoben haben, dürfen sie speichern und nutzen, soweit dies zu vollzuglichen Zwecken unbedingt erforderlich ist.

(2) Die Justizvollzugsbehörden dürfen personenbezogene Daten, die sie zulässig erhoben haben, zu Zwecken, zu denen sie nicht erhoben wurden, nur speichern und nutzen, soweit

1. die Voraussetzungen vorliegen, die eine Erhebung von Daten nach § 8 oder § 9 bei Dritten zulassen; soweit andere Gefangene als diejenigen, deren Freiheitsentziehung ursprünglicher Anlass der Erhebung war, von der anderweitigen Verarbeitung betroffen sind, können die personenbezogenen Daten nur zu einem anderen Zweck gespeichert oder genutzt werden, wenn diese Gefangenen zuvor unter Angabe der beabsichtigten Datenverarbeitung angehört wurden und sich hieraus kein überwiegendes schutzwürdiges Interesse an einem Ausschluss der Verarbeitung der sie betreffenden personenbezogenen Daten ergeben hat,
2. dies in einer Rechtsvorschrift vorgesehen ist,
3. dies dem gerichtlichen Rechtsschutz, der Wahrnehmung von Aufsichts- und Kontrollbefugnissen, der Automatisierung des Berichtswesens, der Rechnungsprüfung, der Durchführung von Organisationsuntersuchungen oder statistischen Zwecken der Justizvollzugsbehörden dient und überwiegende schutzwürdige Interessen der betroffenen Personen nicht entgegenstehen,
4. dies zur Abwehr von sicherheitsgefährdenden oder geheimdienstlichen Tätigkeiten für eine fremde Macht oder von Bestrebungen in der Bundesrepublik Deutschland, die durch Anwendung von Gewalt oder darauf gerichtete Vorbereitungshandlungen
   1. gegen die freiheitliche demokratische Grundordnung, den Bestand oder die Sicherheit des Bundes oder eines Landes gerichtet sind,
   2. eine ungesetzliche Beeinträchtigung der Amtsführung der Verfassungsorgane des Bundes oder eines Landes oder ihrer Mitglieder zum Ziel haben oder
   3. auswärtige Belange der Bundesrepublik Deutschland gefährden,

   erforderlich ist,

5. dies zur Verhinderung oder Verfolgung von Straftaten sowie zur Verhinderung oder Verfolgung von Ordnungswidrigkeiten, durch welche die Sicherheit oder Ordnung in der Anstalt gefährdet werden, erforderlich ist oder
6. dies für Maßnahmen der Strafvollstreckung oder strafvollstreckungsrechtliche Entscheidungen oder für den Vollzug der Unterbringung in einem psychiatrischen Krankenhaus oder in einer Entziehungsanstalt hinsichtlich der betroffenen Personen erforderlich ist.

(3) Das Speichern oder Nutzen von zulässig erhobenen personenbezogenen Daten besonderer Kategorien für Zwecke, zu denen sie nicht erhoben wurden, ist nur zulässig, soweit dies zu den in Absatz 2 oder § 8 Absatz 1 Nummer 5 und 6 genannten Zwecken unbedingt erforderlich ist. Wurden die personenbezogenen Daten besonderer Kategorien von einer Amts- oder Berufsgeheimnisträgerin oder einem Amts- oder Berufsgeheimnisträger erhoben, dürfen sie, soweit dieses Gesetz nichts anderes bestimmt, nur für den Zweck der Erhebung gespeichert oder genutzt werden.

(4) Personenbezogene Daten, die nach § 9 erhoben wurden, dürfen nur unter den Voraussetzungen des Absatzes 1, des Absatzes 2 Nummer 2 und 4, des § 17 oder zur Verhinderung oder Verfolgung von Straftaten von erheblicher Bedeutung im Sinne von § 4 Nummer 4 des Sächsischen Polizeivollzugsdienstgesetzes vom 11. Mai 2019 (SächsGVBl. S. 358), in der jeweils geltenden Fassung, gespeichert und genutzt werden.

(5) Sind mit personenbezogenen Daten, die nach Absatz 1 oder Absatz 2 gespeichert und genutzt werden dürfen, weitere personenbezogene Daten der betroffenen Personen oder von Dritten in Akten so verbunden, dass eine Trennung nicht oder nur mit unvertretbarem Aufwand möglich ist, ist die Speicherung auch dieser Daten zulässig, soweit nicht schutzwürdige Interessen der betroffenen Personen oder der Dritten an deren Geheimhaltung überwiegen. Eine Nutzung dieser Daten ist unzulässig.

(6) Personenbezogene Daten, die ausschließlich zu Zwecken der Datenschutzkontrolle, der Datensicherung oder zur Sicherstellung eines ordnungsgemäßen Betriebs einer Datenverarbeitungsanlage gespeichert oder genutzt werden, dürfen für andere Zwecke nur insoweit genutzt werden, wie dies zur Abwehr einer erheblichen Gefahr für die öffentliche Sicherheit, insbesondere für Leben, Gesundheit oder Freiheit eines Menschen, sowie zur Verfolgung von Straftaten von erheblicher Bedeutung erforderlich ist. Für die weitere Verarbeitung von Protokolldaten gilt § 43 Absatz 3.

§ 11 Aktenführung ²⁴

(1) Über jede Gefangene und jeden Gefangenen wird eine Personalakte geführt (Gefangenenpersonalakte). Sie ist vertraulich zu behandeln und gegen unbefugten Zugang und unbefugten Gebrauch zu schützen.

(2) Für jede Gefangene und jeden Gefangenen sind von der Anstaltsärztin oder dem Anstaltsarzt Gesundheitsakten zu führen.

(3) Über Daten im Sinne von § 2 Nummer 3 und 14, die im Rahmen einer Therapie erhoben werden, sind Therapieakten zu führen.

(4) Gesundheitsakten und Therapieakten sind getrennt von anderen Unterlagen zu führen und gegen unbefugten Zugang und unbefugten Gebrauch zu schützen.

(5) Erkenntnisse, die im Rahmen einer Fallkonferenz nach § 17 oder einer Sicherheitsanfrage mitgeteilt wurden, sind in gesonderten Akten oder Dateisystemen zu führen.

(6) Die Justizvollzugsbehörden können Akten auch elektronisch führen.

§ 12 Übermittlung an öffentliche und nichtöffentliche Stellen ²⁴

(1) Öffentlichen Stellen dürfen die Justizvollzugsbehörden personenbezogene Daten, die sie zulässig erhoben haben, übermitteln, soweit dies zu vollzuglichen Zwecken erforderlich ist.

(2) Nichtöffentlichen Stellen dürfen die Justizvollzugsbehörden zulässig erhobene personenbezogene Daten für Zwecke, zu denen sie erhoben wurden, übermitteln, soweit

1. sich die Justizvollzugsbehörden zur Erreichung vollzuglicher Zwecke in zulässiger Weise der Mitwirkung nichtöffentlicher Stellen bedienen und diese Mitwirkung ohne die Verarbeitung der durch Justizvollzugsbehörden übermittelten personenbezogenen Daten unmöglich oder wesentlich erschwert wäre und
2. es erforderlich ist, Gefangenen insbesondere Folgendes zu ermöglichen:
   1. den Besuch von Behandlungs-, Beratungs-, Trainings- und Bildungsmaßnahmen sowie die Beschäftigung innerhalb und außerhalb von Anstalten,
   2. die Inanspruchnahme von Leistungen der Berufsgeheimnisträger und deren Hilfspersonen,
   3. den Einkauf,
   4. die Inanspruchnahme von Telekommunikations- und Mediendienstleistungen oder
   5. die Inanspruchnahme von Maßnahmen der Entlassungsvorbereitung, des Übergangs in die Freiheit, der Schuldenregulierung, der Entlassung, der Wiedereingliederung, der nachgehenden Betreuung oder des freiwilligen Verbleibs.

(3) Öffentlichen Stellen dürfen die Justizvollzugsbehörden zulässig erhobene personenbezogene Daten für Zwecke, zu denen sie nicht erhoben wurden, übermitteln,

1. soweit dies in einer Rechtsvorschrift vorgesehen ist,
2. soweit dies erforderlich ist für
   1. die Erfüllung der Aufgaben der Gerichtshilfe, Jugendgerichtshilfe, Bewährungshilfe, Führungsaufsicht oder forensischen Ambulanzen,
   2. Entscheidungen in Gnadensachen,
   3. die Führung gesetzlich angeordneter Statistiken der Rechtspflege,
   4. die Erfüllung von Aufgaben, die den für Sozialleistungen zuständigen Leistungsträgern durch Rechtsvorschrift übertragen worden sind,
   5. die Einleitung von Hilfsmaßnahmen für Angehörige (§ 11 Absatz 1 Nummer 1 des Strafgesetzbuchs) der Gefangenen,
   6. dienstliche Maßnahmen der Bundeswehr im Zusammenhang mit der Aufnahme und Entlassung von Soldatinnen und Soldaten,
   7. asyl- oder ausländerrechtliche Maßnahmen,
   8. die Erfüllung der Aufgaben der Jugendämter,
   9. die Durchführung der Besteuerung
      oder
   10. die Erreichung der in § 8 Absatz 1 Nummer 5 und 6, § 10 Absatz 1, 2 Nummer 3 bis 6 genannten Zwecke oder
3. unter den Voraussetzungen von § 17 außerhalb von Fallkonferenzen.

Im Vollzug des Jugendarrests darf eine Übermittlung personenbezogener Daten an allgemein- und berufsbildende Schulen sowie an die für Schule und Berufsbildung zuständigen Behörden erfolgen, soweit dies für die Durchführung ihrer Maßnahmen und Fördermaßnahmen oder Maßnahmen der nachsorgenden Betreuung im Sinne des Sächsischen Jugendarrestvollzugsgesetzes vom 5. März 2019 (SächsGVBl. S. 158), das durch Artikel 6 des Gesetzes vom 22. August 2019 (SächsGVBl. S. 663) geändert worden ist, in der jeweils geltenden Fassung, notwendig ist.

(4) Im Vollzug der Untersuchungshaft und der Freiheitsentziehungen nach § 1 Satz 1 Nummer 2 unterbleiben Übermittlungen nach Absatz 3 Satz 1 Nummer 2, wenn die Gefangenen unter Berücksichtigung der Art der Information und ihrer Rechtsstellung ein schutzwürdiges Interesse an dem Ausschluss der Übermittlung haben.

(5) Nichtöffentlichen Stellen dürfen die Justizvollzugsbehörden zulässig erhobene personenbezogene Daten für Zwecke, zu denen sie nicht erhoben wurden, ohne Einwilligung der betroffenen Personen nur unter der Voraussetzung von § 8 Absatz 1 Nummer 5 und 6 oder § 10 Absatz 2 Nummer 2 bis 6 übermitteln.

(6) Zulässig erhobene personenbezogene Daten besonderer Kategorien dürfen übermittelt werden an:

1. öffentliche Stellen mit der Maßgabe, dass die Übermittlung unbedingt erforderlich sein muss und nur unter den Voraussetzungen von
   1. § 10 Absatz 1 oder Absatz 3 oder § 30 oder
   2. § 17 außerhalb von Fallkonferenzen,
2. forensische Ambulanzen zum Zweck der Durchführung von Behandlungsmaßnahmen, der Entlassungsvorbereitung und der Nachsorge, soweit dies unbedingt erforderlich ist, oder
3. nichtöffentliche Stellen nur unter den Voraussetzungen, dass dies unbedingt erforderlich ist, und
   1. dies in einer Rechtsvorschrift für den Anwendungsbereich dieses Gesetzes vorgesehen ist,
   2. dies der Erreichung vollzuglicher Zwecke dient,
   3. dies auch unter Berücksichtigung der Interessen der Gefangenen an der Geheimhaltung der personenbezogenen Daten folgenden Zielen dient:
      aa) der Abwehr einer Gefahr für das Leben eines Menschen, insbesondere zur Verhütung von Selbsttötungen,
      bb) der Abwehr einer erheblichen Gefahr für die Gesundheit oder anderer lebenswichtiger Interessen eines Menschen oder
      cc) der Abwehr der Gefahr erheblicher Straftaten,
   4. dies zur Abwehr erheblicher Nachteile für das Gemeinwohl oder sonst unmittelbar drohender Gefahren für die öffentliche Sicherheit erforderlich ist oder
   5. die Daten von den betroffenen Personen offensichtlich öffentlich gemacht wurden.

(7) Personenbezogene Daten, die nach § 9 erhoben wurden, dürfen nur unter den Voraussetzungen des § 4 Absatz 1 oder für die in § 8 Absatz 1 Nummer 5 und 6 sowie § 10 Absatz 2 Nummer 4 bis 6 aufgeführten Zwecke, zur Verhinderung oder Verfolgung von Straftaten von erheblicher Bedeutung im Sinne von § 4 Nummer 4 des Sächsischen Polizeivollzugsdienstgesetzes oder unter den Voraussetzungen des § 17 außerhalb von Fallkonferenzen übermittelt werden. Sie dürfen auch übermittelt werden, soweit dies für Zwecke der Fahndung und Festnahme der entwichenen oder sich sonst ohne Erlaubnis außerhalb der Anstalt aufhaltenden Gefangenen erforderlich ist.

(8) Die Anstalt darf personenbezogene Daten von Gefangenen mit deren Zustimmung an Mitglieder des Anstaltsbeirats übermitteln, soweit dies für die Wahrnehmung der gesetzlichen Aufgaben des Beirats erforderlich ist. Besondere Kategorien personenbezogener Daten dürfen mit Zustimmung der Gefangenen zu diesem Zweck übermittelt werden, soweit dies unbedingt erforderlich ist. Die Übermittlung erkennungsdienstlicher Daten ist unzulässig. Anstelle der Übermittlung kann die Anstaltsleitung die Einsichtnahme in Akten mit Zustimmung der Gefangenen durch Mitglieder des Anstaltsbeirats zulassen, soweit dies unbedingt erforderlich ist. Die Regelung über das Datengeheimnis nach § 20 gilt entsprechend.

(9) Sind mit personenbezogenen Daten, die nach den Vorschriften dieses Gesetzes übermittelt werden dürfen, weitere personenbezogene Daten der betroffenen Personen oder Dritter in Akten so verbunden, dass eine Trennung, Anonymisierung oder Pseudonymisierung nicht oder nur mit unvertretbarem Aufwand möglich ist, so ist die Übermittlung auch dieser Daten zulässig, soweit nicht schutzwürdige Interessen der betroffenen Personen oder der Dritten an deren Geheimhaltung überwiegen. Eine über die Speicherung, Löschung oder Einschränkung der Verarbeitung hinausgehende Verarbeitung dieser Daten durch die empfangende Stelle ist unzulässig. Hierauf ist bei der Übermittlung der Daten hinzuweisen.

(10) Soweit in diesem Gesetz nichts anderes bestimmt ist, unterbleibt die Übermittlung personenbezogener Daten, die

1. der Justizvollzugsbehörde durch Berufsgeheimnisträgerinnen und Berufsgeheimnisträger im Sinne von § 46 Absatz 1 bekannt wurden,
2. in ihrer Verarbeitung eingeschränkt oder
3. unrichtig sind.

(11) Die Anstalt darf personenbezogene Daten von Gefangenen an Seelsorgerinnen und Seelsorger übermitteln, soweit dies für die Wahrnehmung der Aufgaben der Seelsorgerinnen und Seelsorger im Justizvollzug erforderlich ist. Besondere Kategorien personenbezogener Daten dürfen zu diesem Zweck übermittelt werden, soweit dies unbedingt erforderlich ist. Die Übermittlung erkennungsdienstlicher Daten ist unzulässig. Anstelle der Übermittlung kann die Anstaltsleitung Seelsorgerinnen und Seelsorgern die Einsichtnahme in die Gefangenenpersonalakte gestatten, soweit dies unbedingt erforderlich ist. Die Regelung über das Datengeheimnis nach § 20 gilt entsprechend.

§ 13 Weitere Zulässigkeitsvoraussetzungen für die Verarbeitung personenbezogener Daten unter Beteiligung von Justizvollzugs- und Sicherheitsbehörden in besonderen Fällen ²⁴

(1) Die Übermittlung personenbezogener Daten an Sicherheitsbehörden zum Schutz vor Gefahren, zur Abwehr von Gefahren und zur Verhinderung oder Verfolgung von Straftaten sowie die Erhebung von personenbezogenen Daten über Gefangene, anstaltsfremde oder sonstige Personen durch die Justizvollzugsbehörden zu vollzuglichen Zwecken bei den Sicherheitsbehörden sind über die Voraussetzungen von § 8 Absatz 1, § 9 Absatz 1 sowie § 12 Absatz 3 und 6 Nummer 1 hinaus nur zulässig, wenn

1. sich im Einzelfall konkrete Anhaltspunkte
   1. zur Abwehr von konkreten Gefahren oder
   2. zur Verhütung, Aufdeckung oder Verfolgung von Straftaten
      ergeben und
2. unter Berücksichtigung der jeweiligen Datenerhebungsvorschrift mindestens
   1. vergleichbar bedeutsame Rechtsgüter geschützt werden sollen oder
   2. vergleichbar schwerwiegende Straftaten verhütet, aufgedeckt oder verfolgt werden sollen.

(2) Für die Übermittlung und Erhebung von personenbezogenen Daten, die durch einen verdeckten Einsatz technischer Mittel in oder aus Wohnungen erlangt wurden, gilt Absatz 1 Nummer 1 Buchstabe a mit der Maßgabe entsprechend, dass im Einzelfall eine dringende Gefahr für den Bestand oder die Sicherheit des Bundes oder eines Landes oder für Leben, Gesundheit oder Freiheit eines Menschen oder Sachen von bedeutendem Wert, deren Erhaltung im öffentlichen Interesse geboten ist, vorliegen muss.

(3) Für die Übermittlung und Erhebung von personenbezogenen Daten, die durch einen verdeckten Eingriff in informationstechnische Systeme erlangt wurden, gilt Absatz 1 Nummer 1 Buchstabe a mit der Maßgabe entsprechend, dass im Einzelfall bestimmte Tatsachen die Annahme rechtfertigen müssen, dass innerhalb eines überschaubaren Zeitraums auf eine zumindest ihrer Art nach konkretisierte Weise eine Schädigung von Leben, Gesundheit oder Freiheit eines Menschen oder solche Güter der Allgemeinheit, deren Bedrohung die Grundlagen oder den Bestand des Bundes oder eines Landes oder die Grundlagen der Existenz der Menschen berührt, eintritt.

(4) Die Befugnis zum erkennungsdienstlichen Datenaustausch zum Zwecke der Identifikation von Gefangenen nach § 30 bleibt unberührt.

§ 14 Prüfung sicherheitsrelevanter Erkenntnisse

(1) Die Anstalten prüfen bei Aufnahme der Gefangenen und bei Zugangsbegehren anstaltsfremder Personen nach Maßgabe der §§ 15 und 16 das Vorliegen sicherheitsrelevanter Erkenntnisse.

(2) Sicherheitsrelevant sind insbesondere Erkenntnisse über extremistische oder gewaltorientierte Einstellungen oder Kontakte zu derartigen Organisationen, Gruppierungen oder Personen oder Kontakte zur organisierten Kriminalität. Wirken anstaltsfremde Personen an der Eingliederung von Gefangenen mit, können über Satz 1 hinaus auch Erkenntnisse über erhebliche strafrechtliche Verurteilungen, eine bestehende Suchtproblematik oder andere für die Beurteilung der Zuverlässigkeit erhebliche Umstände sicherheitsrelevant sein.

§ 15 Sicherheitsanfrage ²⁴

(1) Bestehen tatsächliche Anhaltspunkte für eine in einem überschaubaren Zeitraum drohende, einer oder einem Gefangenen zurechenbare Gefahr für die Sicherheit in der Anstalt, dürfen die Justizvollzugsbehörden Gerichte, Justiz- und Sicherheitsbehörden um Auskunft ersuchen (Sicherheitsanfrage). Insbesondere dürfen sie dazu:

1. eine Auskunft nach § 41 Absatz 1 Nummer 1 des Bundeszentralregistergesetzes in der Fassung der Bekanntmachung vom 21. September 1984 (BGBl. I S. 1229; 1985 I S. 195), das zuletzt durch Artikel 1 des Gesetzes vom 18. Juli 2017 (BGBl. I S. 2732) geändert worden ist, in der jeweils geltenden Fassung, einholen,
2. sicherheitsrelevante Erkenntnisse der Polizeibehörden des Bundes und der Länder anfragen sowie
3. sicherheitsrelevante Erkenntnisse des Landesamts für Verfassungsschutz anfragen, soweit dies erforderlich ist.

Tatsächliche Anhaltspunkte für eine in einem überschaubaren Zeitraum drohende, der oder dem Gefangenen zurechenbare Gefahr können sich insbesondere aus dessen Verurteilungen oder dessen Verhalten im Vollzug ergeben.

(2) Die Anfrage nach Absatz 1 Satz 2 Nummer 2 erstreckt sich nur auf die personengebundenen Hinweise und die Erkenntnisse des polizeilichen Staatsschutzes. Bei der Anfrage nach Absatz 1 Satz 2 Nummer 3 erfolgt die Anfrage des nachrichtendienstlichen Informationssystems durch das Landesamt für Verfassungsschutz.

(3) Die Justizvollzugsbehörden übermitteln den angefragten Behörden soweit möglich den Nachnamen, Geburtsnamen, die Vornamen, das Geburtsdatum, das Geschlecht, den Geburtsort, das Geburtsland und die Staatsangehörigkeit der oder des Gefangenen. Über Satz 1 hinaus sollen bekannt gewordene Aliaspersonalien, die voraussichtliche Vollzugsdauer, das Aktenzeichen sowie die Bezeichnung des Gerichts, das die der Vollstreckung zugrunde liegende Entscheidung getroffen hat, mitgeteilt werden.

(4) Die nach Absatz 1 Satz 2 Nummer 2 und 3 angefragten landeseigenen Behörden teilen den Justizvollzugsbehörden die sicherheitsrelevanten Erkenntnisse über die Gefangene oder den Gefangenen mit.

(5) Bestehen auf Grund der übermittelten sicherheitsrelevanten Erkenntnisse tatsächliche Anhaltspunkte für eine Gefahr der Sicherheit in der Anstalt, dürfen die Justizvollzugsbehörden zur Abwehr dieser Gefahr und zur weiteren Sachaufklärung zusätzliche Auskünfte oder Unterlagen bei Gerichten, Justiz- und Sicherheitsbehörden einholen.

(6) Die Verarbeitungsbefugnis für personenbezogene Daten über Gefangene zur Aufrechterhaltung der Sicherheit in der Anstalt schließt die Verarbeitungsbefugnis zum Zwecke der Vollzugs- und Eingliederungsplanung der Gefangenen ein.

§ 16 Überprüfung anstaltsfremder Personen ²⁴

(1) Anstaltsfremde Personen, die in der Anstalt tätig werden sollen, dürfen zu diesen Tätigkeiten nur zugelassen werden, wenn keine Sicherheitsbedenken bestehen. Die Justizvollzugsbehörden sollen zur Aufrechterhaltung der Sicherheit in der Anstalt mit Zustimmung der anstaltsfremden Personen eine Zuverlässigkeitsüberprüfung vornehmen. Insbesondere dürfen sie dazu:

1. eine Auskunft nach § 41 Absatz 1 Nummer 1 des Bundeszentralregistergesetzes einholen,
2. sicherheitsrelevante Erkenntnisse der Polizeibehörden des Bundes und der Länder anfragen sowie
3. sicherheitsrelevante Erkenntnisse des Landesamts für Verfassungsschutz anfragen, soweit dies erforderlich ist.

Ist eine Überprüfung in Eilfällen, beispielsweise bei kurzfristig notwendigen Reparaturarbeiten, nicht möglich, sollen die anstaltsfremden Personen bei ihrer Tätigkeit in der Anstalt beaufsichtigt werden.

(2) Die Justizvollzugsbehörden sollen von einer Anfrage nach Absatz 1 Satz 3 absehen, wenn auf Grund des Anlasses, der Art, des Umfangs oder der Dauer des Aufenthalts oder der Tätigkeit in der Anstalt eine Gefährdung der Sicherheit in der Anstalt fernliegt.

(3) Darüber hinaus dürfen die Justizvollzugsbehörden bei tatsächlichen Anhaltspunkten einer drohenden Gefahr für die Sicherheit in der Anstalt bei Personen, die die Zulassung zum Besuch von Gefangenen oder zum Besuch der Anstalt begehren, eine Zuverlässigkeitsüberprüfung vornehmen. Absatz 1 Satz 3 gilt entsprechend. In den Fällen des Absatzes 1 Satz 3 Nummer 2 und 3 teilen die Justizvollzugsbehörden mit, ob und für welche Gefangenen die Zulassung zum Besuch begehrt wird.

(4) Absatz 3 gilt nicht für Besuche von Verteidigerinnen, Verteidigern, Rechtsanwältinnen, Rechtsanwälten, Notarinnen und Notaren in Gefangene betreffenden Rechtssachen sowie für die im Rahmen der Überwachung des Schriftwechsels der Gefangenen gesetzlich privilegierten Personen und Stellen.

(5) Werden den Justizvollzugsbehörden sicherheitsrelevante Erkenntnisse bekannt, sollen die betroffenen Personen nicht oder nur unter Beschränkungen zu der Tätigkeit oder dem Besuch zugelassen werden. Gleiches gilt bei Verweigerung der Zustimmung zu einer Zuverlässigkeitsüberprüfung.

(6) Eine erneute Zuverlässigkeitsüberprüfung soll erfolgen, wenn neue sicherheitsrelevante Erkenntnisse nach § 14 vorliegen, spätestens jedoch nach Ablauf von fünf Jahren, soweit ihre Erforderlichkeit nach Absatz 1 Satz 1 und 2 sowie Absatz 3 Satz 1 weiter besteht.

§ 17 Fallkonferenzen

(1) Im Rahmen von Fallkonferenzen dürfen die Justizvollzugsbehörden zu vollzuglichen Zwecken personenbezogene Daten, einschließlich solcher besonderer Kategorien, die sie zulässig erhoben haben, insbesondere den voraussichtlichen Entlassungszeitpunkt, die voraussichtliche Entlassungsadresse sowie die Vollzugs- und Eingliederungspläne den Polizeibehörden des Bundes und der Länder übermitteln, wenn

1. tatsächliche Anhaltspunkte für die fortdauernde Gefährlichkeit von Gefangenen für die Allgemeinheit vorliegen,
2. die Entlassung von Gefangenen aller Voraussicht nach in einem Zeitraum von nicht mehr als einem Jahr bevorsteht und
3. dies zur vorbeugenden Bekämpfung von Straftaten von erheblicher Bedeutung im Sinne von § 4 Nummer 4 des Sächsischen Polizeivollzugsdienstgesetzes unbedingt erforderlich ist.

Fallkonferenzen dürfen auch zur Vorbereitung von Ausführungen, Vorführungen, Ausantwortungen, Überstellungen und Verlegungen stattfinden, wenn tatsächliche Anhaltspunkte bestehen für eine Gefahr

1. der Entweichung,
2. von Gewalttätigkeiten gegen Personen oder Sachen von bedeutendem Wert, deren Erhaltung im öffentlichen Interesse geboten ist, oder
3. der Selbstverletzung oder Selbsttötung von Gefangenen.

An den Fallkonferenzen nach Satz 1 sollen die Bewährungshilfe und die Führungsaufsichtsstellen beteiligt werden. Im Zuge der Fallkonferenzen dürfen die Justizvollzugsbehörden unter den Voraussetzungen von Satz 1 personenbezogene Daten, einschließlich solcher besonderer Kategorien, bei den Polizeibehörden sowie den für die Bewährungshilfe und die Führungsaufsicht zuständigen Stellen abfragen und verarbeiten.

(2) Im Rahmen von Fallkonferenzen dürfen die Justizvollzugsbehörden personenbezogene Daten, einschließlich solcher besonderer Kategorien, die sie zulässig erhoben haben, insbesondere den voraussichtlichen Entlassungszeitpunkt, die voraussichtliche Entlassungsadresse sowie die Vollzugs- und Eingliederungspläne, den Verfassungsschutzbehörden des Bundes und der Länder übermitteln, wenn

1. bestimmte Tatsachen den Verdacht von Tätigkeiten oder Bestrebungen nach § 10 Absatz 2 Nummer 4 begründen,
2. eine damit im Zusammenhang stehende Gefahr für die Sicherheit in der Anstalt oder für die Erreichung des Vollzugsziels in einem überschaubaren Zeitraum einzutreten droht und
3. dies zur Verhütung der in Nummer 2 genannten Gefahren unbedingt erforderlich ist.

An den Fallkonferenzen sollen die Bewährungshilfe und die Führungsaufsichtsstellen beteiligt werden, wenn die Entlassung der Gefangenen in voraussichtlich nicht mehr als einem Jahr bevorsteht. Im Zuge dieser Fallkonferenzen dürfen die Justizvollzugsbehörden unter den Voraussetzungen von Satz 1 personenbezogene Daten, einschließlich solcher besonderer Kategorien, bei den Verfassungsschutzbehörden des Bundes und der Länder abfragen und verarbeiten.

(3) Fallkonferenzen dürfen zwischen den Justizvollzugsbehörden, den Polizeibehörden des Bundes und der Länder sowie den Verfassungsschutzbehörden des Bundes und der Länder stattfinden, wenn

1. bestimmte Tatsachen die Annahme einer gegenwärtigen Gefahr für Leben, Gesundheit oder Freiheit eines Menschen oder für Sachen von erheblichem Wert, deren Erhaltung im öffentlichen Interesse geboten ist, begründen,
2. bestimmte Tatsachen den Verdacht von Tätigkeiten oder Bestrebungen nach § 10 Absatz 2 Nummer 4 begründen und
3. dies zur Abwehr der in Nummer 1 genannten Gefahren unbedingt erforderlich ist.

Absatz 2 Satz 2 gilt entsprechend. Im Zuge dieser Fallkonferenzen dürfen die Justizvollzugsbehörden unter den Voraussetzungen von Satz 1 personenbezogene Daten, einschließlich solcher besonderer Kategorien, bei den Polizeibehörden des Bundes und der Länder sowie den Verfassungsschutzbehörden des Bundes und der Länder abfragen und verarbeiten.

(4) Der Datenaustausch und die wesentlichen Ergebnisse der Fallkonferenzen sind zu dokumentieren.

(5) Die Vollzugs- und Eingliederungsplanung bleibt den Anstalten vorbehalten.

§ 18 Verantwortung für die Datenübermittlung und Verfahren

(1) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Justizvollzugsbehörde.

(2) Erfolgt die Übermittlung auf Ersuchen einer öffentlichen Stelle, trägt diese die Verantwortung. In diesem Fall prüfen die Justizvollzugsbehörden nur, ob das Ersuchen im Rahmen der Aufgaben der empfangenden öffentlichen Stelle liegt und dieses Gesetz der Übermittlung nicht entgegensteht, es sei denn, dass ein besonderer Anlass zur Prüfung der Zulässigkeit der Übermittlung besteht.

(3) Soweit dies mit angemessenem Aufwand möglich ist, sind die personenbezogenen Daten vor ihrer Übermittlung auf Richtigkeit, Vollständigkeit und Aktualität zu überprüfen.

(4) Bei der Übermittlung personenbezogener Daten zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit werden nach Möglichkeit die erforderlichen Informationen beigefügt, die es den empfangenden öffentlichen Stellen ermöglichen, die Richtigkeit, die Vollständigkeit und die Zuverlässigkeit der personenbezogenen Daten sowie deren Aktualität zu beurteilen.

(5) Personenbezogene Daten, die an nichtöffentliche Stellen übermittelt werden sollen, sind vor der Übermittlung zu pseudonymisieren, soweit nicht der Personenbezug für die Erfüllung des Übermittlungszweckes erforderlich ist. Dabei ist die Gefangenenbuchungsnummer als Pseudonym zu verwenden, wenn nicht besondere Gründe entgegenstehen.

§ 19 Zweckbindung

Empfänger dürfen personenbezogene Daten nur zu dem Zweck verarbeiten, zu dessen Erfüllung sie übermittelt wurden. Für andere Zwecke dürfen sie diese Daten nur verarbeiten, wenn die Daten auch für diese Zwecke hätten überlassen werden dürfen und im Fall einer Übermittlung an eine nichtöffentliche Stelle die Justizvollzugsbehörde zugestimmt hat. Die Justizvollzugsbehörde hat die Empfänger auf die Zweckbindung nach den Sätzen 1 und 2 hinzuweisen.

§ 20 Förmliche Verpflichtung Dritter ²⁴

(1) Personen, die für eine nichtöffentliche Stelle Kenntnis von personenbezogenen Daten erlangen sollen, sind vor Aufnahme ihrer Tätigkeit von der übermittelnden Justizvollzugsbehörde schriftlich auf das Datengeheimnis zu verpflichten. Das Datengeheimnis besteht auch nach der Beendigung ihrer Tätigkeit fort.

(2) Personen, die nicht nach Absatz 1 Satz 1 verpflichtet wurden, dürfen von personenbezogenen Daten nur Kenntnis erlangen, wenn

1. die übermittelten Daten vor ihrer Übermittlung pseudonymisiert wurden,
2. die schriftliche Verpflichtung vor Kenntniserlangung Leben, Gesundheit oder Freiheit eines Menschen oder bedeutende Sachwerte gefährden würde sowie die Verpflichtung veranlasst und unverzüglich nachgeholt wird oder
3. sie Amtsträgerinnen oder Amtsträger im Sinne von § 11 Absatz 1 Nummer 2 des Strafgesetzbuchs sind.

§ 21 Mitteilung über Haftverhältnisse ²⁴

(1) Die Justizvollzugsbehörden dürfen auf schriftlichen Antrag mitteilen, ob und gegebenenfalls in welcher Anstalt sich eine Person in Haft befindet, ob ihre Entlassung voraussichtlich innerhalb eines Jahres bevorsteht und, falls die Entlassung innerhalb eines Jahres bevorsteht, den vorgesehenen Entlassungstermin, soweit

1. die Mitteilung zur Erfüllung der in der Zuständigkeit der anfragenden öffentlichen Stelle liegenden Aufgaben erforderlich ist oder
2. von nichtöffentlichen Stellen ein berechtigtes Interesse an dieser Mitteilung glaubhaft dargelegt wird und die betroffenen Gefangenen kein schutzwürdiges Interesse an dem Ausschluss der Übermittlung haben; im Fall des Vollzugs von Jugendarrest erfolgt keine Mitteilung.

(2) Verletzten einer Straftat und deren Rechtsnachfolgern können über Absatz 1 Nummer 2 hinaus auf schriftlichen Antrag Auskünfte erteilt werden über:

1. die Entlassungsadresse oder die Vermögensverhältnisse von Gefangenen, wenn die Erteilung zur Feststellung oder Durchsetzung von Rechtsansprüchen im Zusammenhang mit der Straftat erforderlich ist,
2. die Gewährung erstmaliger Lockerungen, wenn sie ein berechtigtes Interesse darlegen und kein überwiegendes schutzwürdiges Interesse der Gefangenen am Ausschluss der Mitteilung vorliegt, und
3. den Gefangenen erneut gewährte Lockerungen, wenn dafür ein berechtigtes Interesse dargelegt oder ersichtlich ist und kein überwiegendes schutzwürdiges Interesse der Gefangenen am Ausschluss der Mitteilung besteht.

(3) In den Fällen des Absatzes 2 Nummer 2 bedarf es der Darlegung eines berechtigten Interesses nicht, wenn die Antragstellerin Verletzte oder der Antragsteller Verletzter einer in § 395 Absatz 1 Nummer 1 bis 5 der Strafprozeßordnung genannten Straftat ist. Satz 1 gilt entsprechend in den Fällen des § 395 Absatz 3 der Strafprozeßordnung, wenn die Antragstellerin oder der Antragsteller zur Nebenklage zugelassen wurde.

(4) Öffentlichen Stellen können über Absatz 1 Nummer 1 hinaus auf schriftlichen Antrag Auskünfte über die Entlassungsadresse oder die Vermögensverhältnisse von Gefangenen erteilt werden, wenn dies zur Feststellung oder Durchsetzung von Rechtsansprüchen erforderlich ist.

(5) Im Vollzug der Untersuchungshaft und der Freiheitsentziehungen nach § 1 Satz 1 Nummer 2 besteht die zulässige Mitteilung nach den Absätzen 1 und 2 in der Angabe, ob sich eine Person in der Anstalt in Untersuchungshaft oder der Freiheitsentziehung befindet. Eine Mitteilung unterbleibt, wenn die Gefangenen unter Berücksichtigung der Art der Information und ihrer Rechtsstellung ein schutzwürdiges Interesse an dem Ausschluss der Mitteilung haben.

(6) Die betroffenen Gefangenen werden vor der Mitteilung gehört, es sei denn, es ist zu besorgen, dass dadurch die Interessen der Antragstellerin oder des Antragstellers vereitelt oder wesentlich erschwert werden würden, und eine Abwägung ergibt, dass diese Interessen das Interesse der Gefangenen an ihrer vorherigen Anhörung überwiegen. Ist die Anhörung unterblieben, werden die betroffenen Gefangenen über die Mitteilung unter Angabe des Inhalts nachträglich unterrichtet. Bei Anhörung und Unterrichtung Gefangener ist auf die berechtigten Interessen von Verletzten einer Straftat sowie deren Rechtsnachfolgern an der Geheimhaltung ihrer Lebensumstände in besonderer Weise Rücksicht zu nehmen. Die Anschrift der Empfänger darf den Gefangenen nicht übermittelt werden.

(7) Mitteilungen sind in den Gefangenenpersonalakten der betroffenen Gefangenen zu dokumentieren.

§ 22 und Wartungsarbeiten sowie vergleichbare Hilfstätigkeiten, Aktenüberlassung

Soweit die Übermittlung der darin enthaltenen Daten zulässig ist, dürfen Akten mit personenbezogenen Daten nur

1. Justizvollzugsbehörden,
2. Stellen der Gerichtshilfe, Jugendgerichtshilfe, Bewährungshilfe oder Führungsaufsicht,
3. den für strafvollzugs-, strafvollstreckungs- und strafrechtliche Entscheidungen zuständigen Gerichten,
4. den Strafvollstreckungs- und Strafverfolgungsbehörden,
5. den von Justizvollzugs-, Strafvollstreckungs- und Strafverfolgungsbehörden oder von einem Gericht mit Gutachten beauftragten Stellen sowie
6. sonstigen öffentlichen Stellen, wenn die Erteilung einer Auskunft entweder einen unvertretbaren Aufwand erfordern würde oder nach Darlegung der die Akteneinsicht begehrenden Stelle die Erteilung einer Auskunft für die Erfüllung ihrer Aufgaben nicht ausreicht,

überlassen oder im Falle elektronischer Aktenführung in Form von Duplikaten übermittelt werden. § 12 Absatz 9 gilt entsprechend.

§ 23 Auskunft und Akteneinsicht für wissenschaftliche Zwecke

(1) Für die Übermittlung personenbezogener Daten in Akten an Hochschulen, andere Einrichtungen, die wissenschaftliche Forschung betreiben, und öffentliche Stellen für wissenschaftliche Zwecke gilt § 476 der Strafprozessordnung entsprechend mit der Maßgabe, dass auch elektronisch gespeicherte personenbezogene Daten übermittelt werden können. Die Übermittlung kann auch auf elektronischem Wege erfolgen.

(2) Im Vollzug der Untersuchungshaft und der Freiheitsentziehungen nach § 1 Satz 1 Nummer 2 unterbleiben Übermittlungen nach Absatz 1, wenn für die Justizvollzugsbehörde erkennbar ist, dass die Gefangenen unter Berücksichtigung der Art der Information und ihrer Rechtsstellung ein schutzwürdiges Interesse an dem Ausschluss der Übermittlung haben.

§ 24 Einsichtnahme in Gefangenenpersonalakten, Gesundheitsakten und Therapieakten

Die Mitglieder folgender Delegationen erhalten auf Verlangen während des Besuchs in der Anstalt Einsicht in die Gefangenenpersonalakten sowie Gesundheits- und Therapieakten, soweit dies zur Wahrnehmung ihrer Aufgaben unbedingt erforderlich ist:

1. des Europäischen Ausschusses zur Verhütung von Folter und unmenschlicher oder erniedrigender Behandlung oder Strafe,
2. des Unterausschusses der Vereinten Nationen zur Verhütung von Folter und anderer grausamer, unmenschlicher oder erniedrigender Behandlung oder Strafe sowie
3. der Nationalen Stelle zur Verhütung von Folter.

§ 25 Auftragsdatenverarbeitung ²⁴

(1) Die Justizvollzugsbehörden dürfen personenbezogene Daten durch Auftragsverarbeiter verarbeiten lassen. Dies gilt auch für Test- und Freigabeverfahren, Prüfungs- einschließlich der Fernwartung.

(2) In den Fällen des Absatzes 1 haben die Justizvollzugsbehörden für die Einhaltung der Vorschriften dieses Gesetzes und anderer Vorschriften über den Datenschutz zu sorgen. Die Rechte der betroffenen Personen auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung sind gegenüber den Justizvollzugsbehörden geltend zu machen.

(3) Die Justizvollzugsbehörden dürfen nur solche Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten beauftragen, die mit geeigneten technischen und organisatorischen Maßnahmen sicherstellen, dass die Verarbeitung im Einklang mit den gesetzlichen Anforderungen erfolgt und der Schutz der Rechte der betroffenen Personen gewährleistet wird.

(4) Auftragsverarbeiter dürfen ohne vorherige schriftliche Genehmigung der Justizvollzugsbehörden keine weiteren Auftragsverarbeiter hinzuziehen. Haben die Justizvollzugsbehörden dem Auftragsverarbeiter eine allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter erteilt, hat der Auftragsverarbeiter die Justizvollzugsbehörden über jede beabsichtigte Hinzuziehung oder Ersetzung zu informieren. Die Justizvollzugsbehörden können in diesem Fall die Hinzuziehung oder Ersetzung untersagen.

(5) Zieht ein Auftragsverarbeiter einen weiteren Auftragsverarbeiter hinzu, hat er diesem dieselben Verpflichtungen aus seinem Vertrag mit den Justizvollzugsbehörden nach Absatz 6 aufzuerlegen, die auch für ihn gelten, soweit diese Pflichten für den weiteren Auftragsverarbeiter nicht schon auf Grund anderer Vorschriften verbindlich sind. Erfüllt der weitere Auftragsverarbeiter diese Verpflichtungen nicht, haftet der ihn beauftragende Auftragsverarbeiter gegenüber den Justizvollzugsbehörden für die Einhaltung der Pflichten des weiteren Auftragsverarbeiters.

(6) Die Verarbeitung durch einen Auftragsverarbeiter hat auf der Grundlage einer Verwaltungsvorschrift, eines Vertrags oder eines schriftlichen Auftrags zu erfolgen, der den Auftragsverarbeiter an die Justizvollzugsbehörden bindet und der den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten der Justizvollzugsbehörden festlegt. Der Vertrag ist schriftlich oder elektronisch abzufassen. Die Verwaltungsvorschrift, der Vertrag oder der schriftliche Auftrag haben insbesondere vorzusehen, dass der Auftragsverarbeiter

1. nur auf dokumentierte Weisung der Justizvollzugsbehörden handelt; ist der Auftragsverarbeiter der Auffassung, dass eine Weisung rechtswidrig ist, hat er die Justizvollzugsbehörden unverzüglich zu informieren,
2. gewährleistet, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet werden, soweit sie keiner angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen,
3. die Justizvollzugsbehörden mit geeigneten Mitteln dabei unterstützt, die Einhaltung der Bestimmungen über die Rechte der betroffenen Personen zu gewährleisten,
4. alle personenbezogenen Daten nach Abschluss der Erbringung der Verarbeitungsleistungen nach Wahl der Justizvollzugsbehörden zurückgibt oder löscht und bestehende Kopien vernichtet, wenn nicht nach einer Rechtsvorschrift eine Verpflichtung zur Speicherung der Daten besteht,
5. den Justizvollzugsbehörden alle erforderlichen Informationen, insbesondere die gemäß § 40 Absatz 2 und 3 geführten Verzeichnisse sowie die gemäß § 43 erstellten Protokolle, zum Nachweis der Einhaltung seiner Pflichten zur Verfügung stellt,
6. Überprüfungen, die von den Justizvollzugsbehörden, einer von diesen beauftragten Prüferin oder einem von diesen beauftragten Prüfer durchgeführt werden, ermöglicht und dazu beiträgt,
7. die in den Absätzen 4 und 5 aufgeführten Bedingungen für die Inanspruchnahme der Dienste eines weiteren Auftragsverarbeiters einhält,
8. alle gemäß § 41 erforderlichen Maßnahmen ergreift und
9. unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen die Justizvollzugsbehörden bei der Einhaltung der in den §§ 41, 42 sowie § 65 Nummer 2 und 3 genannten Pflichten unterstützt.

(7) Auftragsverarbeiter, die die Zwecke und Mittel der Verarbeitung unter Verstoß gegen die Absätze 2 bis 6 bestimmen, gelten in Bezug auf diese Verarbeitung als Verantwortlicher.

(8) § 20 gilt entsprechend.

§ 26 Datenverarbeitung bei Übertragung von Vollzugsaufgaben

(1) Werden Aufgaben zu vollzuglichen Zwecken öffentlichen oder nichtöffentlichen Stellen zur Erledigung übertragen, dürfen personenbezogene Daten übermittelt werden, soweit dies für die Erfüllung der Aufgaben erforderlich ist. Personenbezogene Daten besonderer Kategorien dürfen nur übermittelt werden, soweit dies für die Erfüllung der Aufgaben unbedingt erforderlich ist. Ist die Übermittlung nach Satz 1 oder Satz 2 zulässig, dürfen Dateien und Akten überlassen werden, soweit dies zur Erfüllung der Aufgaben erforderlich ist.

(2) Die Stellen nach Absatz 1 Satz 1 sind sorgfältig auszuwählen. Dabei ist zu berücksichtigen, ob die Stellen ausreichend Gewähr dafür bieten, dass sie die für eine datenschutzgerechte Datenverarbeitung erforderlichen technischen und organisatorischen Maßnahmen zu treffen in der Lage sind. Die Aufgabenübertragung hat schriftlich oder in elektronischer Form zu erfolgen. Sie enthält Angaben zum Gegenstand und zum Umfang sowie zur Erforderlichkeit der Verarbeitung von personenbezogenen Daten zur Erfüllung übertragener Aufgaben und die schriftliche Verpflichtung auf das Datengeheimnis. Die Justizvollzugsbehörden sind verpflichtet, die Einhaltung der von den Stellen getroffenen datenschutzrechtlichen Maßnahmen regelmäßig zu überprüfen und dies zu dokumentieren.

(3) Soweit die Stellen zur Erfüllung der übertragenen Aufgaben personenbezogene Daten verarbeiten, finden für sie die Vorschriften dieses Gesetzes entsprechende Anwendung.

§ 27 Zentrale Datei, Einrichtung automatisierter Übermittlungsverfahren ²⁴

(1) Die nach den §§ 7 bis 9 erhobenen personenbezogenen Daten dürfen in einer zentralen Vollzugsdatei des Freistaates Sachsen verarbeitet werden, soweit dies für Zwecke der Suizidprophylaxe, der Sicherheit oder Ordnung in der Anstalt oder für Zwecke des Staatsministeriums der Justiz und für Demokratie, Europa und Gleichstellung erforderlich ist.

(2) Die Einrichtung eines automatisierten Verfahrens, das den Abruf personenbezogener Daten aus der zentralen Vollzugsdatei des Freistaates Sachsen ermöglicht, ist zulässig, soweit dieses Verfahren unter Berücksichtigung der schutzwürdigen Interessen der betroffenen Personen und der Aufgaben der beteiligten Stellen angemessen ist. § 32 Absatz 2 Satz 1 des Bundeskriminalamtgesetzes vom 1. Juni 2017 (BGBl. I S. 1354; 2019 I S. 400) in der jeweils geltenden Fassung bleibt unberührt.

(3) Das Staatsministerium der Justiz und für Demokratie, Europa und Gleichstellung bestimmt nach Anhörung der oder des Sächsischen Datenschutzbeauftragten durch Rechtsverordnung die Einzelheiten des automatisierten Abrufverfahrens. In der Rechtsverordnung sind der Datenempfänger, die Datenart und der Zweck des Abrufs festzulegen. Sie hat Maßnahmen zur Datensicherung und zur Kontrolle vorzusehen, die in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck stehen.

(4) Zur Abfrage sicherheitsrelevanter Erkenntnisse, insbesondere zur Feststellung von Vorinhaftierungen darf für die Verarbeitung der in § 15 Absatz 3 genannten personenbezogenen Daten

1. ein automatisiertes Verfahren zwischen den Justizvollzugsbehörden eingerichtet werden und
2. der Freistaat Sachsen mit anderen Ländern

und dem Bund in einem automatisierten Verfahren Daten austauschen oder einen Datenverbund vereinbaren, der eine automatisierte Datenübermittlung ermöglicht. Im Übrigen bleibt § 12 unberührt.

§ 28 Gemeinsam Verantwortliche

Legen mehrere Verantwortliche gemeinsam die Zwecke und Mittel der Verarbeitung fest, gelten sie als gemeinsam Verantwortliche. Die gemeinsam Verantwortlichen haben ihre jeweiligen Aufgaben und datenschutzrechtlichen Verantwortlichkeiten in transparenter Form in einer Vereinbarung festzulegen, soweit diese nicht bereits in Rechtsvorschriften festgelegt sind. Aus der Vereinbarung muss insbesondere hervorgehen, wer welchen Informationspflichten nachzukommen hat sowie in welcher Form und gegenüber wem betroffene Personen ihre Rechte wahrnehmen können. Eine entsprechende Vereinbarung hindert die betroffenen Personen nicht, ihre Rechte gegenüber jedem der gemeinsam Verantwortlichen geltend zu machen.

§ 29 Erkennungsdienstliche Maßnahmen

(1) Zu vollzuglichen Zwecken, insbesondere zur Identitätsfeststellung sowie zur Aufrechterhaltung der Sicherheit und Ordnung in der Anstalt, sind mit Kenntnis der Gefangenen folgende erkennungsdienstliche Maßnahmen zulässig:

1. die Aufnahme von Lichtbildern,
2. die Abnahme von Finger- und Handflächenabdrücken,
3. die Feststellung äußerlicher körperlicher Merkmale,
4. Messungen,
5. die Erfassung biometrischer Merkmale von Fin gem. Händen, Gesicht, Augen und der Stimme sowie
6. die Erfassung der Unterschrift.

(2) Bei Maßnahmen nach Absatz 1 erhobene Daten (erkennungsdienstliche Daten) werden zu den Gefangenenpersonalakten genommen oder in personenbezogenen Dateisystemen gespeichert. Sie sind so zu sichern, dass eine Kenntnisnahme nur zu den in den Absätzen 3 und 4 genannten Zwecken möglich ist.

(3) Erkennungsdienstliche Daten dürfen nur gespeichert und genutzt werden:

1. für die Zwecke, zu denen sie erhoben wurden,
2. zur Identifikation Gefangener, soweit dies für Zwecke der Fahndung und Festnahme entwichener oder sich sonst ohne Erlaubnis außerhalb der Anstalt aufhaltender Gefangener erforderlich ist oder
3. für die in § 10 Absatz 2 Nummer 5, §§ 17 und 30 genannten Zwecke.

(4) Erkennungsdienstliche Daten dürfen nur übermittelt werden an:

1. Strafvollstreckungs- und Strafverfolgungsbehörden, soweit dies für Zwecke der Fahndung nach und Festnahme von entwichenen oder sich sonst ohne Erlaubnis außerhalb der Anstalt aufhaltenden Gefangenen erforderlich ist,
2. Polizeibehörden des Bundes und der Länder, soweit dies zur Abwehr einer gegenwärtigen in der Anstalt drohenden Gefahr für Leben, Gesundheit oder Freiheit von Personen oder für erhebliche Sachwerte erforderlich ist,
3. Ausländerbehörden, soweit dies für die in § 12 Absatz 3 Satz 1 Nummer 2 Buchstabe g genannten Zwecke erforderlich ist,
4. die in den §§ 17 und 30 genannten öffentlichen Stellen unter den dort genannten Voraussetzungen und
5. öffentliche Stellen auf deren Ersuchen, soweit die betroffenen Personen verpflichtet sind, eine unmittelbare Erhebung der zu übermittelnden Daten durch diese zu dulden oder an einer solchen Erhebung mitzuwirken; die ersuchende öffentliche Stelle hat in ihrem Ersuchen die Rechtsgrundlage der Mitwirkungs- oder Duldungspflicht mitzuteilen; beruht diese Pflicht auf einer Anordnung gegenüber den betroffenen Personen im Einzelfall, weist die ersuchende Stelle zugleich nach, dass eine entsprechende Anordnung ergangen und vollziehbar ist.

(5) Erkennungsdienstliche Daten sind nach der Entlassung der Gefangenen unverzüglich zu löschen; die §§ 59 und 60 bleiben unberührt. Die Löschung ist in den Gefangenenpersonalakten zu dokumentieren.

§ 30 Erkennungsdienstlicher Datenaustausch

(1) Bestehen Zweifel an der Identität von Gefangenen, übermitteln die Anstalten die von ihnen erhobenen oder anderweitig bei ihnen vorliegenden erkennungsdienstlichen Daten und die in § 15 Absatz 3 genannten bei ihnen vorliegenden Daten unverzüglich dem Landeskriminalamt, soweit dies zur Identitätsfeststellung unbedingt erforderlich ist. Das Landeskriminalamt gleicht die übermittelten Daten mit den dort vorliegenden Daten zum Zwecke der Identifizierung der Gefangenen ab und teilt das Ergebnis den Justizvollzugsbehörden mit.

(2) Unter den Voraussetzungen des Absatzes 1 Satz 1 dürfen die Justizvollzugsbehörden auch das Bundeskriminalamt sowie das Bundesamt für Migration und Flüchtlinge um einen Abgleich der erkennungsdienstlichen Daten und der in § 15 Absatz 3 genannten Daten ersuchen.

§ 31 Einsatz optisch-technischer Einrichtungen

(1) Die optisch-technische Überwachung des Anstaltsgebäudes einschließlich des Gebäudeinneren, des Anstaltsgeländes und der unmittelbaren Umgebung der Anstalt mit technischen Mitteln sowie die Anfertigung von Aufzeichnungen hiervon sind zulässig, soweit eine Rechtsvorschrift dies aus Gründen der Sicherheit oder Ordnung in der Anstalt vorsieht.

(2) Jede Anstalt, die optisch-technische Einrichtungen einsetzt, erstellt ein Konzept zur optisch-technischen Überwachung. Das Konzept hat alle betriebsfähigen Einrichtungen sowie die von ihnen erfassten Bereiche in kartenmäßiger Darstellung zu enthalten und ist laufend fortzuschreiben.

(3) Bei der Planung optisch-technischer Einrichtungen ist sicherzustellen, dass

1. die Überwachung nur insoweit erfolgt, als dies aus Gründen der Sicherheit oder Ordnung in der Anstalt erforderlich ist, insbesondere um das Betreten bestimmter Zonen durch Unbefugte zu verhindern, und
2. den Gefangenen in den Anstalten angemessene Bereiche verbleiben, in denen sie nicht mittels optisch-technischer Einrichtungen beobachtet werden.

(4) Die Überwachung mittels optisch-technischer Einrichtungen ist durch sprachliche und nicht sprachliche Zeichen auf eine Weise kenntlich zu machen, die die Tatsache und die Reichweite der Überwachung jederzeit eindeutig erkennbar macht.

§ 32 Optisch-technische Einrichtungen im Umfeld der Anstalt

Die Überwachung öffentlich frei zugänglichen Raumes außerhalb der Grenzen der Anstalt mittels optisch-technischer Einrichtungen ist nur zulässig, soweit dies auf Grund der örtlichen Gegebenheiten zur Aufrechterhaltung der Sicherheit oder Ordnung in der Anstalt auch unter Berücksichtigung der Belange Dritter unbedingt erforderlich ist, insbesondere um Entweichungen, Befreiungen und Überwürfe von Gegenständen auf das Anstaltsgelände zu verhindern.

§ 33 Optisch-technische Einrichtungen innerhalb der Anstalt

Die Überwachung von Räumen und Freiflächen innerhalb der Anstalt mittels optisch-technischer Einrichtungen ist zulässig, soweit dies aus Gründen der Sicherheit oder Ordnung in der Anstalt erforderlich ist, insbesondere um die Gefangenen zu beaufsichtigen und das Betreten bestimmter Zonen durch Unbefugte zu verhindern, und § 34 nichts anderes bestimmt.

§ 34 Optisch-technische Einrichtungen innerhalb von Hafträumen, Arresträumen und Zimmern sowie Gefangenentransporten

(1) Die Beobachtung innerhalb von Hafträumen, Arresträumen und Zimmern mittels optisch-technischer Einrichtungen ist zulässig, soweit eine Rechtsvorschrift dies vorsieht.

(2) Vor der Durchführung der optisch-technischen Beobachtung sind die Gefangenen in geeigneter Weise darüber zu informieren. Es ist sicherzustellen, dass für die Gefangenen die Durchführung der optisch-technischen Beobachtung erkennbar ist.

(3) Bei der Gestaltung optisch-technisch überwachter Hafträume, Arresträume und Zimmer und der Beobachtung ist auf die elementaren Bedürfnisse der Gefangenen nach Wahrung ihrer Intimsphäre angemessen Rücksicht zu nehmen, insbesondere sollen sanitäre Einrichtungen von der Beobachtung ausgenommen werden. Ist dies nicht möglich, ist die Erkennbarkeit dieser Bereiche durch technische Maßnahmen auszuschließen. Bei akuter Selbstverletzungs- oder Selbsttötungsgefahr ist im Einzelfall eine uneingeschränkte Beobachtung zulässig. Die Beobachtung weiblicher Gefangener soll durch weibliche Bedienstete, die Beobachtung männlicher Gefangener durch männliche Bedienstete erfolgen.

(4) Die Beobachtung mittels optisch-technischer Einrichtungen ist zu unterbrechen, wenn sie im Einzelfall vorübergehend nicht erforderlich oder gesetzlich ausgeschlossen ist.

(5) Bei Gefangenentransporten ist in den von den Anstalten genutzten Fahrzeugen die Beobachtung von Gefangenen aus Gründen der Sicherheit oder Ordnung mittels optisch-technischer Einrichtungen zulässig; § 31 Absatz 4 gilt entsprechend.

§ 35 Verarbeitung mittels optisch-technischer Einrichtungen erhobener Daten, Dokumentation ²⁴

(1) Die Daten aus Hafträumen, Arresträumen, Zimmern und Gefangenentransportfahrzeugen dürfen nur gespeichert werden, wenn dies zur Erreichung des die Erhebung gestattenden Zwecks erforderlich ist. Die Daten sind spätestens nach 72 Stunden zu löschen. Eine Speicherung darüber hinaus ist nur zulässig, soweit und solange dies zur Verfolgung einer Straftat erforderlich ist. Sie sind unverzüglich zu löschen, soweit schutzwürdige Belange der Betroffenen einer weiteren Speicherung entgegenstehen.

(2) In den übrigen Fällen gilt Absatz 1 mit der Maßgabe entsprechend, dass die Daten spätestens einen Monat nach ihrer Erhebung zu löschen sind, wenn nicht ihre Speicherung zu den die Erhebung gestattenden Zwecken weiterhin erforderlich ist.

(3) Mittels optisch-technischer Einrichtungen erhobene Daten dürfen nicht weiterverarbeitet werden, soweit sie dem Kernbereich der privaten Lebensgestaltung unterfallen. Durch geeignete Maßnahmen und Prüfungen ist sicherzustellen, dass keine weitere Verarbeitung dieser Daten erfolgt. Dennoch gespeicherte Daten sind unverzüglich zu löschen. Die Erhebung und die Löschung der Daten sind zu dokumentieren. Die Dokumentation darf ausschließlich für Zwecke der Datenschutzkontrolle verwendet werden. Sie ist zu löschen, wenn sie für diese Zwecke nicht mehr erforderlich ist.

(4) Die Speicherung der mittels optisch-technischer Einrichtungen erhobenen Daten ist zu dokumentieren. Die Dokumentation darf ausschließlich für Zwecke der Datenschutzkontrolle verwendet werden. Sie ist zu löschen, wenn sie für diese Zwecke nicht mehr erforderlich ist, spätestens jedoch am Ende des Kalenderjahres, das dem Jahr der Dokumentation folgt.

(5) Die Aufsichtsbehörde bestimmt den zur Einsichtnahme in die erhobenen Videodaten befugten Personenkreis.

§ 36 Auslesen von Datenspeichern ²⁴

(1) Datenspeicher und Geräte mit Datenspeicher, die sich ohne Erlaubnis in der Anstalt befinden, dürfen auf schriftliche Anordnung der Anstaltsleitung ausgelesen werden, soweit konkrete Anhaltspunkte die Annahme rechtfertigen, dass dies für vollzugliche Zwecke unbedingt erforderlich ist. Die Gründe für das Auslesen von Datenspeichern sind in der Anordnung festzuhalten. Ist die betroffene Person bekannt, sind ihr die Gründe vor dem Auslesen mitzuteilen. Beim Auslesen von Datenspeichern sind die schutzwürdigen Interessen der betroffenen Person, insbesondere der Kernbereich privater Lebensgestaltung, zu berücksichtigen. Das Auslesen ist möglichst auf die Inhalte zu beschränken, die zur Erreichung der die Anordnung begründenden Zwecke erforderlich sind.

(2) Die mittels Auslesens von Datenspeichern erhobenen Daten dürfen zu den Zwecken, zu denen sie erhoben wurden, verarbeitet werden, soweit dies unbedingt erforderlich ist. Darüber hinaus ist die Verarbeitung zu den in § 10 Absatz 2 und 3, § 12 Absatz 3 und 6 sowie § 13 genannten Zwecken zulässig, soweit dies unbedingt erforderlich ist und schutzwürdige Interessen der betroffenen Personen dem nicht entgegenstehen.

(3) Die Verarbeitung der beim Auslesen von Datenspeichern erhobenen Daten ist unzulässig, soweit sie dem Kernbereich der privaten Lebensgestaltung unterfallen. Diese Daten sind unverzüglich zu löschen. Die Erhebung und die Löschung der Daten sind zu dokumentieren. Die Dokumentation darf ausschließlich für Zwecke der Datenschutzkontrolle verwendet werden. Sie ist zu löschen, wenn sie für diese Zwecke nicht mehr erforderlich ist.

(4) Die beim Auslesen erhobenen personenbezogenen Daten sind unverzüglich zu löschen, soweit die Voraussetzungen nach Absatz 2 nicht vorliegen. Die übrigen personenbezogenen Daten sind spätestens 72 Stunden nach dem Ende des Auslesens zu löschen, soweit nicht die weitere Aufbewahrung im Einzelfall zu Beweiszwecken unbedingt erforderlich ist.

(5) Die Gefangenen sind bei der Aufnahme über die Möglichkeit des Auslesens von nicht gestatteten Datenspeichern zu belehren.

§ 37 Identifikation anstaltsfremder Personen

(1) Das Betreten der Anstalt durch anstaltsfremde Personen kann davon abhängig gemacht werden, dass diese zur Identitätsfeststellung

1. ihre Vornamen, ihren Namen und ihre Anschrift angeben sowie durch amtliche Ausweise nachweisen und
2. die Erhebung von eindeutigen Identifikationsmerkmalen des Gesichts, der Augen, der Hände, der Stimme oder der Unterschrift dulden, soweit dies erforderlich oder, wenn es sich um biometrische Daten handelt, unbedingt erforderlich ist, um Entweichungen von Gefangenen durch verwechslungsbedingtes Verlassen der Anstalt zu verhindern.

(2) Eine Verarbeitung der zur Identitätsfeststellung anstaltsfremder Personen erhobenen personenbezogenen Daten nach Absatz 1 ist nur zulässig, soweit dies erforderlich ist zur:

1. Identitätsüberprüfung vor dem Verlassen der Anstalt,
2. Verfolgung von Straftaten, bei denen der Verdacht besteht, dass sie während des Aufenthalts in der Anstalt begangen wurden; die hierfür erforderlichen Daten können der zuständigen Strafverfolgungsbehörde übermittelt werden; oder
3. Verfolgung von Ordnungswidrigkeiten gemäß § 115 des Gesetzes über Ordnungswidrigkeiten; die hierfür erforderlichen Daten können der zuständigen Verwaltungsbehörde übermittelt werden.

Eine Verarbeitung der nach Absatz 1 Nummer 1 erhobenen personenbezogenen Daten ist auch für den in § 2 Nummer 2 Buchstabe a genannten Zweck, insbesondere im Rahmen der Vollzugs- und Eingliederungsplanung sowie zur Entlassungsvorbereitung, zulässig.

(3) Die erhobenen Identifikationsmerkmale nach Absatz 1 Nummer 2 sind zu löschen, sobald sie nicht mehr für die Identitätsfeststellung erforderlich sind, spätestens jedoch einen Monat nach ihrer Erhebung, soweit sie nicht nach Absatz 2 Satz 1 Nummer 2 und 3 übermittelt werden dürfen; in diesem Fall sind sie unverzüglich zu übermitteln und danach zu löschen.

§ 38 Lichtbildausweise

Die Anstalt kann die Gefangenen verpflichten, einen Lichtbildausweis mit sich zu führen, wenn dies aus Gründen der Sicherheit oder Ordnung in der Anstalt erforderlich ist. Dabei ist sicherzustellen, dass der Ausweis nur die zur Erreichung dieser Zwecke notwendigen Daten enthält. Der Ausweis ist bei der Entlassung oder bei der Verlegung in eine andere Anstalt einzuziehen und unverzüglich zu vernichten.

Abschnitt 3
Schutzanforderungen

§ 39 Schutzvorkehrungen

(1) Personenbezogene Daten in Akten und Dateisystemen sind gegen unbefugten Zugang und unbefugten Gebrauch zu schützen. Für Art und Umfang der hierzu erforderlichen technischen und organisatorischen Maßnahmen gelten die §§ 40 bis 42.

(2) Die Justizvollzugsbehörden haben dafür Sorge zu tragen, dass sich ihre Bediensteten von personenbezogenen Daten nur Kenntnis verschaffen können, wenn dies zur Erfüllung der ihnen obliegenden Aufgaben oder sonst zur Erreichung des Vollzugsziels erforderlich ist, soweit nichts anderes geregelt ist.

§ 40 Verzeichnis von Verarbeitungstätigkeiten ²⁴

(1) Die Justizvollzugsbehörden haben ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten zu führen, die in ihre Zuständigkeit fallen. Dieses Verzeichnis hat folgende Angaben zu enthalten:

1. den Namen und die Kontaktdaten der jeweiligen Justizvollzugsbehörde, des gegebenenfalls gemeinsam mit ihr Verantwortlichen sowie den Namen und die Kontaktdaten der oder des behördlichen Datenschutzbeauftragten,
2. die Zwecke der Verarbeitung,
3. die Kategorien von Empfän gem. gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden sollen,
4. eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten,
5. gegebenenfalls die Verwendung von Profiling,
6. gegebenenfalls die Kategorien von Übermittlungen personenbezogener Daten an Stellen in einem Drittstaat oder an eine internationale Organisation,
7. Angaben über die Rechtsgrundlage der Verarbeitung,
8. die vorgesehenen Fristen für die Löschung oder die Überprüfung der Erforderlichkeit der Speicherung hinsichtlich der verschiedenen Kategorien personenbezogener Daten und
9. eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß § 41.

(2) Der Auftragsverarbeiter hat ein Verzeichnis aller Kategorien von Verarbeitungen zu führen, die er im Auftrag einer Justizvollzugsbehörde durchführt. Dieses Verzeichnis hat folgende Angaben zu enthalten:

1. den Namen und die Kontaktdaten des Auftragsverarbeiters, jeder Justizvollzugsbehörde, in dessen Auftrag der Auftragsverarbeiter tätig ist, und der oder des behördlichen Datenschutzbeauftragten,
2. gegebenenfalls Übermittlungen von personenbezogenen Daten an Stellen in einem Drittstaat oder an eine internationale Organisation unter Angabe des Staates oder der Organisation und
3. eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß § 41.

(3) Die Verzeichnisse nach den Absätzen 1 und 2 sind nur für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten und für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, zu führen. Die Verzeichnisse sind schriftlich oder elektronisch zu führen.

(4) Die Justizvollzugsbehörden und Auftragsverarbeiter haben auf Anforderung ihre Verzeichnisse der oder dem Sächsischen Datenschutzbeauftragten zur Verfügung zu stellen.

§ 41 Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen

(1) Die Justizvollzugsbehörden und der Auftragsverarbeiter haben unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und der Schwere der mit der Verarbeitung verbundenen Gefahren für die Rechtsgüter der betroffenen Personen die erforderlichen technischen und organisatorischen Maßnahmen zu treffen, um bei der Verarbeitung personenbezogener Daten ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere im Hinblick auf die Verarbeitung personenbezogener Daten besonderer Kategorien. Diese Maßnahmen werden von den Justizvollzugsbehörden und vom Auftragsverarbeiter regelmäßig überprüft und aktualisiert.

(2) Die Maßnahmen nach Absatz 1 können insbesondere die Pseudonymisierung und Verschlüsselung personenbezogener Daten umfassen, soweit solche Mittel in Anbetracht der Verarbeitungszwecke möglich sind. Die von den Justizvollzugsbehörden zu treffenden technischen und organisatorischen Maßnahmen sollen gewährleisten, dass

1. nur Befugte personenbezogene Daten zur Kenntnis nehmen können (Vertraulichkeit),
2. personenbezogene Daten während der Verarbeitung unversehrt, vollständig und aktuell bleiben (Integrität),
3. personenbezogene Daten zeitgerecht zur Verfügung stehen und ordnungsgemäß verarbeitet werden können (Verfügbarkeit),
4. personenbezogene Daten jederzeit ihrem Ursprung zugeordnet werden können (Authentizität),
5. festgestellt werden kann, wer wann welche personenbezogenen Daten in welcher Weise verarbeitet hat (Revisionsfähigkeit),
6. die Verfahrensweisen bei der Verarbeitung personenbezogener Daten vollständig, aktuell und in einer Weise dokumentiert sind, dass sie in zumutbarer Zeit nachvollzogen werden können (Transparenz),
7. personenbezogene Daten nicht oder nur mit unverhältnismäßig hohem Aufwand für einen anderen als den ausgewiesenen Zweck verarbeitet werden können, wenn nicht eine Rechtsvorschrift dies vorsieht (Nichtverkettbarkeit), und
8. Verfahren so gestaltet werden, dass sie den betroffenen Personen die Ausübung der in den §§ 52 bis 58 und in § 62 genannten Rechte wirksam ermöglichen (Intervenierbarkeit).

(3) Im Fall einer automatisierten Verarbeitung haben die Justizvollzugsbehörden und der Auftragsverarbeiter zur Umsetzung der Maßnahmen nach Absatz 2 nach einer Risikobewertung Maßnahmen zu ergreifen, die Folgendes bezwecken:

1. Verwehrung des Zugangs zu Anlagen, mit denen die Verarbeitung durchgeführt wird, für Unbefugte (Zugangskontrolle),
2. Verhinderung des unbefugten Lesens, Kopierens, Veränderns oder Löschens von Datenträgern (Datenträgerkontrolle),
3. Verhinderung der unbefugten Eingabe von personenbezogenen Daten sowie der unbefugten Kenntnisnahme, Veränderung und Löschung von gespeicherten personenbezogenen Daten (Speicherkontrolle),
4. Verhinderung der Nutzung automatisierter Verarbeitungssysteme mit Hilfe von Einrichtungen zur Datenübertragung durch Unbefugte (Benutzerkontrolle),
5. Gewährleistung, dass die zur Benutzung eines automatisierten Verarbeitungssystems Berechtigten ausschließlich zu den von ihrer Zugangsberechtigung umfassten personenbezogenen Daten Zugang haben (Zugriffskontrolle),
6. Gewährleistung, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mit Hilfe von Einrichtungen zur Datenübertragung übermittelt oder zur Verfügung gestellt wurden oder werden können (Übertragungskontrolle),
7. Gewährleistung, dass nachträglich überprüft und festgestellt werden kann, welche personenbezogenen Daten zu welcher Zeit und von wem in automatisierte Verarbeitungssysteme eingegeben oder verändert worden sind (Eingabekontrolle),
8. Gewährleistung, dass bei der Übermittlung personenbezogener Daten sowie beim Transport von Datenträgern die Vertraulichkeit und Integrität der Daten geschützt werden (Transportkontrolle),
9. Gewährleistung, dass eingesetzte Systeme im Störungsfall wiederhergestellt werden können (Wiederherstellbarkeit),
10. Gewährleistung, dass alle Funktionen des Systems zur Verfügung stehen und auftretende Fehlfunktionen gemeldet werden (Zuverlässigkeit),
11. Gewährleistung, dass gespeicherte personenbezogene Daten nicht durch Fehlfunktionen des Systems beschädigt werden können (Datenintegrität),
12. Gewährleistung, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle),
13. Gewährleistung, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle), und
14. Gewährleistung, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden können (Trennbarkeit).

Ein Zweck nach Satz 1 Nummer 1 bis 5 kann insbesondere durch die Verwendung von dem Stand der Technik entsprechenden Verschlüsselungsverfahren erreicht werden.

(4) Die Justizvollzugsbehörden haben geeignete technische und organisatorische Maßnahmen zu treffen, die sicherstellen, dass durch Voreinstellungen grundsätzlich nur solche personenbezogenen Daten verarbeitet werden, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist. Diese Verpflichtung gilt für die Menge der erhobenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Die Maßnahmen müssen insbesondere gewährleisten, dass die Daten durch Voreinstellungen nicht automatisiert einer unbestimmten Anzahl von Personen zugänglich gemacht werden können.

(5) Die zu treffenden technischen und organisatorischen Maßnahmen sind auf der Grundlage eines zu dokumentierenden Sicherheitskonzepts zu ermitteln, zu dessen Bestandteilen die Abschätzung von Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Gefahren für die Rechtsgüter der betroffenen Personen gehört. Die Wirksamkeit der Maßnahmen ist unter Berücksichtigung sich verändernder Rahmenbedingungen und Entwicklungen der Technik zu überprüfen. Die sich daraus ergebenden notwendigen Anpassungen sind zeitnah umzusetzen, soweit dies mit einem angemessenen Aufwand möglich ist. § 42 bleibt unberührt.

§ 42 Durchführung einer Datenschutz-Folgenabschätzung ²⁴

(1) Hat eine Form der ganz oder teilweise automatisierten Verarbeitung personenbezogener Daten sowie eine nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, insbesondere bei Verwendung neuer Technologien, auf Grund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich eine erhebliche Gefahr für die Rechtsgüter betroffener Personen zur Folge, haben die Justizvollzugsbehörden vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für die betroffenen Personen durchzuführen.

(2) Für die Untersuchung mehrerer ähnlicher Verarbeitungsvorgänge mit ähnlich hohem Gefahrenpotenzial kann eine gemeinsame Datenschutz-Folgenabschätzung vorgenommen werden.

(3) Die Justizvollzugsbehörden haben die behördlichen Datenschutzbeauftragten an der Durchführung der Datenschutz-Folgenabschätzung zu beteiligen.

(4) Die Datenschutz-Folgenabschätzung hat den Rechten und den berechtigten Interessen der von der Verarbeitung betroffenen Personen Rechnung zu tragen sowie zumindest Folgendes zu enthalten:

1. eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung,
2. eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf deren Zweck,
3. eine Bewertung der Gefahren für die Rechtsgüter der betroffenen Personen und
4. die Maßnahmen, mit denen Gefahren abgewendet werden sollen, einschließlich der Garantien, der Sicherheitsvorkehrungen und der Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und die Einhaltung der gesetzlichen Vorgaben nachgewiesen werden sollen.

(5) Soweit erforderlich haben die Justizvollzugsbehörden eine Überprüfung durchzuführen, ob die Verarbeitung den Maßgaben folgt, die sich aus der Datenschutz-Folgenabschätzung ergeben haben.

(6) Die Justizvollzugsbehörden haben der oder dem Sächsischen Datenschutzbeauftragten die nach Absatz 1 durchgeführte Datenschutz-Folgenabschätzung vorzulegen. Auf Anforderung sind der oder dem Sächsischen Datenschutzbeauftragten zudem alle sonstigen Informationen zu übermitteln, die er benötigt, um die Rechtmäßigkeit der Verarbeitung sowie insbesondere die in Bezug auf den Schutz der personenbezogenen Daten der betroffenen Personen bestehenden Gefahren und die diesbezüglichen Garantien bewerten zu können.

§ 43 Protokollierung ²⁴

(1) In automatisierten Verarbeitungssystemen haben Justizvollzugsbehörden und Auftragsverarbeiter die folgenden Verarbeitungsvorgänge zu protokollieren:

1. die Erhebung und Speicherung,
2. die Veränderung,
3. die Abfrage,
4. die Offenlegung einschließlich der Übermittlung,
5. die Kombination und
6. die Löschung oder Einschränkung der Verarbeitung.

(2) Die Protokolle über Abfragen und Offenlegungen müssen es ermöglichen, die Begründung, das Datum und die Uhrzeit dieser Vorgänge, soweit möglich die Identität der Person, die die personenbezogenen Daten abgefragt oder offengelegt hat, und die Identität des Empfängers der Daten festzustellen.

(3) Die Protokolle dürfen ausschließlich für die Überprüfung der Rechtmäßigkeit der Datenverarbeitung durch die behördlichen Datenschutzbeauftragten, die Sächsische Datenschutzbeauftragte oder den Sächsischen Datenschutzbeauftragten und die betroffene Person sowie für die Eigenüberwachung, für die Gewährleistung der Integrität und Sicherheit der personenbezogenen Daten sowie für die Verhütung oder Verfolgung von Straftaten und Ordnungswidrigkeiten verwendet werden.

(4) Die Protokolldaten sind zwölf Monate nach ihrer Generierung zu löschen.

(5) Die Justizvollzugsbehörden und die Auftragsverarbeiter haben die Protokolle der oder dem Sächsischen Datenschutzbeauftragten auf Anforderung zur Verfügung zu stellen.

(6) Vor dem 6. Mai 2016 eingerichtete automatisierte Verarbeitungssysteme sind in Ausnahmefällen, in denen die Anpassung mit einem unverhältnismäßigen Aufwand verbunden ist, zeitnah, jedoch spätestens bis zum 6. Mai 2023 anzupassen.

(7) In außergewöhnlichen Umständen kann ein automatisiertes Verarbeitungssystem auch innerhalb einer bestimmten Frist nach Ablauf der Frist nach Absatz 6, spätestens jedoch bis zum 5. Mai 2026, angepasst werden, wenn sonst schwerwiegende Schwierigkeiten für den Betrieb dieses automatisierten Verarbeitungssystems entstehen würden.

§ 44 Kenntlichmachung innerhalb der Anstalt

(1) Personenbezogene Daten von Gefangenen dürfen innerhalb der Anstalt nur kenntlich gemacht werden, soweit dies für ein geordnetes Zusammenleben in der Anstalt erforderlich ist und Bestimmungen dieses Gesetzes nicht entgegenstehen.

(2) Personenbezogene Daten besonderer Kategorien dürfen in der Anstalt nicht allgemein kenntlich gemacht werden.

§ 45 Erkenntnisse aus Beaufsichtigungs-, Überwachungs- und Kontrollmaßnahmen

(1) Die bei der Beaufsichtigung oder der Überwachung der Besuche, der Überwachung der Telekommunikation, der Sichtkontrolle oder der Überwachung des Schriftwechsels und bei der Kontrolle des Inhalts von Paketen in zulässiger Weise bekannt gewordenen personenbezogenen Daten sind in Akten und Dateisystemen des Vollzugs sowie bei einer Übermittlung an externe Stellen eindeutig als solche zu kennzeichnen. Sie dürfen nur verarbeitet werden:

1. mit Einwilligung der Gefangenen für ihre vollzugliche Behandlung,
2. zur Aufrechterhaltung der Sicherheit oder Ordnung in der Anstalt oder
3. soweit dies
   1. in einer Rechtsvorschrift vorgesehen ist,
   2. dem gerichtlichen Rechtsschutz, der Wahrnehmung von Aufsichts- und Kontrollbefugnissen, der Automatisierung des Berichtswesens, der Rechnungsprüfung, der Durchführung von Organisationsuntersuchungen oder statistischen Zwecken der Justizvollzugsbehörden dient und überwiegende schutzwürdige Interessen der betroffenen Personen nicht entgegenstehen,
   3. zur Abwehr von sicherheitsgefährdenden oder geheimdienstlichen Tätigkeiten für eine fremde Macht oder von Bestrebungen in der Bundesrepublik Deutschland, die durch Anwendung von Gewalt oder darauf gerichtete Vorbereitungshandlungen
      1. a) gegen die freiheitliche demokratische Grundordnung, den Bestand oder die Sicherheit des Bundes oder eines Landes gerichtet sind,
      2. b) eine ungesetzliche Beeinträchtigung der Amtsführung der Verfassungsorgane des Bundes oder eines Landes oder ihrer Mitglieder zum Ziel haben, oder
      3. c) auswärtige Belange der Bundesrepublik Deutschland gefährden,
         unbedingt erforderlich ist,
   4. zur Verhinderung oder Verfolgung von Straftaten sowie zur Verhinderung oder Verfolgung von Ordnungswidrigkeiten, durch welche die Sicherheit oder Ordnung in der Anstalt gefährdet werden, erforderlich ist, oder
   5. der Durchführung von Fallkonferenzen nach § 17 dient und überwiegende schutzwürdige Interessen der betroffenen Personen nicht entgegenstehen.

(2) Die nach Absatz 1 Satz 1 zulässig bekannt gewordenen Daten dürfen im Vollzug der Untersuchungshaft und der Freiheitsentziehungen nach § 1 Satz 1 Nummer 2 über die in Absatz 1 Satz 2 bezeichneten Zwecke hinaus auch verarbeitet werden zur:

1. Abwehr von Gefährdungen der Erfüllung der Aufgaben des Vollzugs der Untersuchungshaft oder
2. Umsetzung einer Anordnung nach § 119 Absatz 1 Satz 1 und 2 der Strafprozessordnung.

(3) Soweit die in Absatz 1 bezeichneten Daten dem Kernbereich der privaten Lebensgestaltung unterfallen, dürfen sie nicht aufgezeichnet, protokolliert oder sonst gespeichert und nicht auf andere Art verarbeitet werden. Dennoch gespeicherte Daten sind unverzüglich zu löschen. Die Tatsachen der Erfassung und der Löschung der Daten sind zu dokumentieren. Die Dokumentation darf ausschließlich für Zwecke der Datenschutzkontrolle verwendet werden. Sie ist zu löschen, wenn sie für diese Zwecke nicht mehr erforderlich ist.

Abschnitt 4 ²⁴
Schutz von Berufsgeheimnisträgerinnen und Berufsgeheimnisträgern

§ 46 Berufsgeheimnisträgerinnen und Berufsgeheimnisträger ²⁴

(1) Die im Justizvollzug tätigen oder außerhalb des Justizvollzugs beauftragten

1. Ärztinnen, Ärzte, Zahnärztinnen, Zahnärzte, Apothekerinnen, Apotheker und Angehörige eines anderen Heilberufs, der für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert,
2. Berufspsychologinnen und Berufspsychologen mit staatlich anerkannter wissenschaftlicher Abschlussprüfung,
3. staatlich anerkannten Sozialarbeiterinnen und Sozialarbeitern, staatlich anerkannten Sozialpädagoginnen und Sozialpädagogen, Ehe-, Familien-, Erziehungs- und Jugendberaterinnen und -berater sowie Beraterinnen und Berater für Suchtfragen in einer Beratungsstelle, die von einer Behörde oder Körperschaft, Anstalt oder Stiftung des öffentlichen Rechts anerkannt ist, sowie
4. Seelsorgerinnen und Seelsorger unterliegen hinsichtlich der ihnen in der ausgeübten Funktion von Gefangenen anvertrauten oder sonst über Gefangene bekannt gewordenen Geheimnisse untereinander sowie gegenüber der Anstalt und dem Staatsministerium der Justiz und für Demokratie, Europa und Gleichstellung der Schweigepflicht, soweit nichts anderes bestimmt ist. Dies gilt entsprechend für ihre berufsmäßig tätigen Hilfspersonen und die Personen, die bei ihnen zur Vorbereitung auf den Beruf tätig sind, nicht aber gegenüber der Berufsgeheimnisträgerin oder dem Berufsgeheimnisträger.

(2) Die Anstalt weist externe Berufsgeheimnisträgerinnen und Berufsgeheimnisträger nach Absatz 1 Satz 1 Nummer 1 bis 3 auf ihre Offenbarungspflichten und -befugnisse nach den §§ 47 und 48 hin.

(3) Für Dolmetscherinnen und Dolmetscher sind die Regelungen dieses Abschnitts entsprechend anwendbar, die jeweils für die in Absatz 1 Satz 1 genannten Personen gelten, deren Gespräche sie dolmetschen.

§ 47 Offenbarungspflichten ²⁴

(1) Berufsgeheimnisträgerinnen und Berufsgeheimnisträger nach § 46 Absatz 1 Satz 1 Nummer 1 bis 3 haben die ihnen im Rahmen des beruflichen Vertrauensverhältnisses anvertrauten oder sonst bekannt gewordenen personenbezogenen Daten der Anstaltsleitung von sich aus zu offenbaren, soweit dies auch unter Berücksichtigung der Interessen der Gefangenen an der Geheimhaltung der personenbezogenen Daten unbedingt erforderlich ist zur Abwehr einer:

1. Gefahr für das Leben eines Menschen, insbesondere zur Verhütung von Selbsttötungen,
2. erheblichen Gefahr für Leben, Gesundheit oder Freiheit eines Menschen oder
3. Gefahr auch im Einzelfall schwerer Straftaten.

(2) Staatlich anerkannte Sozialarbeiterinnen und Sozialarbeiter sowie staatlich anerkannte Sozialpädagoginnen und Sozialpädagogen, die als Bedienstete im Justizvollzug tätig sind oder durch Justizvollzugsbehörden mit der Untersuchung, Betreuung, Unterstützung oder Beratung von Gefangenen beauftragt sind, haben der Anstaltsleitung ihnen bekannte personenbezogene Daten von sich aus zu offenbaren, soweit dies zu vollzuglichen Zwecken unbedingt erforderlich ist.

(3) Externe Berufsgeheimnisträgerinnen und Berufsgeheimnisträger können die Verpflichtung nach Absatz 1 auch gegenüber in der Anstalt beschäftigten Berufsgeheimnisträgerinnen und Berufsgeheimnisträgern nach § 46 Absatz 1 Satz 1 Nummer 1 bis 3 erfüllen.

§ 48 Offenbarungsbefugnis ²⁴

(1) Berufsgeheimnisträgerinnen und Berufsgeheimnisträger nach § 46 Absatz 1 Satz 1 Nummer 1 bis 3 sind befugt, die ihnen im Rahmen des beruflichen Vertrauensverhältnisses anvertrauten oder sonst bekannt gewordenen personenbezogenen Daten der Anstaltsleitung zu offenbaren, soweit

1. die Gefangenen einwilligen oder
2. dies aus ihrer Sicht zu vollzuglichen Zwecken unbedingt erforderlich ist und das Interesse der Gefangenen an der Geheimhaltung nicht überwiegt.

(2) Behandeln Berufsgeheimnisträgerinnen und Berufsgeheimnisträger nach § 46 Absatz 1 Satz 1 Nummer 1 bis 3 gleichzeitig oder nacheinander dieselben Gefangenen, unterliegen sie im Verhältnis zueinander nicht der Schweigepflicht und sind zur umfassenden gegenseitigen Information und Auskunft befugt, wenn dies zum Zwecke einer zielgerichteten gemeinsamen Behandlung unbedingt erforderlich ist und sie in Bezug auf die betreffenden Gefangenen nicht mit anderen Aufgaben im Vollzug betraut sind.

§ 49 Benachrichtigung der Gefangenen über Offenbarungen ²⁴

(1) Vor der Erhebung personenbezogener Daten sind die Gefangenen durch die Berufsgeheimnisträgerinnen und Berufsgeheimnisträger schriftlich über die nach diesem Gesetz bestehenden Offenbarungspflichten und -befugnisse zu unterrichten. Sind externe Berufsgeheimnisträgerinnen und Berufsgeheimnisträger eingeschaltet, übernimmt die Anstaltsleitung die Unterrichtung.

(2) Die Gefangenen sind von einer Offenbarung gemäß § 47 Absatz 1 Nummer 2, auch in Verbindung mit § 47 Absatz 3, sowie § 48 zu benachrichtigen. Eine Pflicht zur Benachrichtigung besteht nicht, wenn die Gefangenen auf andere Weise Kenntnis von der Offenbarung erlangt haben. Die Benachrichtigung kann unterbleiben, solange hierdurch der Zweck der Maßnahme, zu dessen Erreichung die Offenbarung erfolgte, vereitelt würde. Die Benachrichtigung ist unverzüglich nachzuholen, sobald der Grund für das Unterbleiben der Benachrichtigung entfallen ist.

§ 50 Zweckbindung offenbarter personenbezogener Daten, Zulassung von Offenbarungsempfängern ²⁴

(1) Die nach den §§ 47 und 48 offenbarten personenbezogenen Daten dürfen nur für den Zweck, für den sie offenbart wurden und nur unter denselben Voraussetzungen gespeichert, genutzt und übermittelt werden, unter denen Berufsgeheimnisträgerinnen und Berufsgeheimnisträger selbst hierzu befugt wären.

(2) Die Anstaltsleitung kann unter den Voraussetzungen des Absatzes 1 die unmittelbare Offenbarung gegenüber bestimmten Bediensteten allgemein zulassen. Warnhinweise, die keinen Rückschluss auf konkrete Erkrankungen zulassen, sind zulässig, soweit dies zur Abwehr von erheblichen Gefahren für Leben, Gesundheit oder Freiheit der Gefangenen oder Dritter erforderlich ist.

Abschnitt 5
Zugriff auf Daten in Notfällen und bei außergewöhnlichen Sicherheitsstörungen

§ 51 Zugriff auf Daten in Notfällen und bei außergewöhnlichen Sicherheitsstörungen ²⁴

(1) Alle im Justizvollzug tätigen Personen dürfen sich Kenntnis von personenbezogenen Daten, einschließlich solcher besonderer Kategorien, zu dem Zweck verschaffen, diese Daten unmittelbar und unverzüglich den zur Notfallrettung und bei außergewöhnlichen Sicherheitsstörungen eingesetzten Personen zu übermitteln, soweit die oder der Gefangene

1. einwilligt oder
2. zur Einwilligung unfähig ist und die Kenntnisverschaffung zur Abwehr einer gegenwärtigen Gefahr für das Leben oder einer gegenwärtigen erheblichen Gefahr für Leben, Gesundheit oder Freiheit eines Menschen unbedingt erforderlich ist.

(2) Soweit dies zur Abwehr einer gegenwärtigen Gefahr für das Leben oder einer gegenwärtigen erheblichen Gefahr für die Gesundheit eines Menschen erforderlich ist, dürfen sich im Justizvollzug tätige Personen Kenntnis von personenbezogenen Daten verschaffen, die von Berufsgeheimnisträgerinnen und Berufsgeheimnisträgern erhoben worden sind.

(3) Die anderweitige Verarbeitung der so erlangten Daten ist unzulässig. Die Kenntnisverschaffung ist in den Gefangenenpersonalakten zu dokumentieren.

Abschnitt 6
Rechte der betroffenen Personen und daraus folgende Pflichten der Justizvollzugsbehörden

§ 52 Allgemeine Informationen zur Datenverarbeitung ²⁴

Die Justizvollzugsbehörden stellen den Gefangenen und anderen betroffenen Personen Informationen in allgemeiner und verständlicher Form zur Verfügung über:

1. die Existenz eines Verarbeitungsvorgangs,
2. die Zwecke der von ihnen vorgenommenen Verarbeitungen,
3. die im Hinblick auf die Verarbeitung ihrer personenbezogenen Daten bestehenden Rechte der betroffenen Person auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung,
4. den Namen und die Kontaktdaten des Verantwortlichen sowie der oder des behördlichen Datenschutzbeauftragten und
5. das Recht, die Sächsische Datenschutzbeauftragte oder den Sächsischen Datenschutzbeauftragten anzurufen, und dessen Kontaktdaten.

§ 53 Benachrichtigung bei Datenverarbeitung ohne Kenntnis der betroffenen Personen ²⁴

(1) Über eine ohne ihre Kenntnis vorgenommene Erhebung personenbezogener Daten oder eine Übermittlung von Daten zu Zwecken, zu denen sie nicht erhoben worden sind, werden die Gefangenen und andere betroffene Personen unter Angabe dieser Daten benachrichtigt, sofern sie nicht bereits auf andere Weise Kenntnis erlangt haben oder es sich um Daten handelt, die für wissenschaftliche oder Forschungszwecke verarbeitet werden. Diese Benachrichtigung enthält neben den in § 52 aufgeführten allgemeinen Informationen insbesondere die folgenden Angaben:

1. die Rechtsgrundlage der Verarbeitung,
2. die für die Daten geltende Speicherdauer oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer und
3. die Empfänger der personenbezogenen Daten.

(2) Die Justizvollzugsbehörden dürfen die Benachrichtigung aufschieben, einschränken oder von ihr absehen, soweit und solange andernfalls

1. die ordnungsgemäße Erfüllung der in ihrer Zuständigkeit liegenden Aufgaben gefährdet würde,
2. Verfahren zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder Ordnungswidrigkeiten oder der Strafvollstreckung beeinträchtigt würden,
3. die öffentliche Sicherheit gefährdet würde,
4. dem Wohl des Bundes oder eines Landes Nachteile bereitet würden oder
5. die Rechte einer anderen Person gefährdet oder beeinträchtigt würden

und das Interesse an der Vermeidung dieser Gefährdungen, Nachteile oder Beeinträchtigungen das Interesse der betroffenen Personen an der Benachrichtigung überwiegt.

(3) Bezieht sich die Benachrichtigung auf die Übermittlung personenbezogener Daten an die Staatsanwaltschaften, Polizeibehörden und Landesfinanzbehörden, soweit diese personenbezogene Daten in Erfüllung ihrer gesetzlichen Aufgaben im Anwendungsbereich der Abgabenordnung zur Überwachung und Prüfung speichern, an die Verfassungsschutzbehörden des Bundes und der Länder, den Bundesnachrichtendienst, den Militärischen Abschirmdienst und, soweit die Sicherheit des Bundes berührt wird, andere nachgeordnete Behörden des Bundesministeriums der Verteidigung, ist sie nur mit Zustimmung dieser Stellen zulässig. Dies gilt für die Benachrichtigung über die Erhebung von personenbezogenen Daten bei den in Satz 1 genannten Behörden entsprechend.

(4) Im Fall der eingeschränkten Benachrichtigung gemäß Absatz 2 gilt § 54 Absatz 3 und 4 entsprechend. Die Justizvollzugsbehörden dokumentieren die Gründe für die Entscheidung nach Absatz 2.

§ 54 Auskunftsrecht ²⁴

(1) Die Justizvollzugsbehörden erteilen den betroffenen Personen auf Antrag Auskunft darüber, ob sie betreffende personenbezogene Daten verarbeitet werden. Betroffene Personen haben darüber hinaus das Recht, Informationen zu erhalten über:

1. die personenbezogenen Daten, die Gegenstand der Verarbeitung sind, und die Kategorie, zu der sie gehören,
2. die verfügbaren Informationen zur Herkunft der Daten,
3. die Zwecke der Verarbeitung und deren Rechtsgrundlage,
4. die Empfänger oder die Kategorien von Empfän gem. gegenüber denen die Daten offengelegt worden sind,
5. die für die Daten geltende Speicherdauer oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer,
6. das Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung der Daten durch die Justizvollzugsbehörden sowie
7. das Recht, die Sächsische Datenschutzbeauftragte oder den Sächsischen Datenschutzbeauftragten anzurufen, und dessen Kontaktdaten.

(2) Die Justizvollzugsbehörden dürfen unter den Voraussetzungen von § 53 Absatz 2 und 3 von einer Auskunft absehen, diese aufschieben oder einschränken.

(3) Die Justizvollzugsbehörden unterrichten die betroffenen Personen unverzüglich schriftlich über das Absehen von oder die Einschränkung einer Auskunft. Dies gilt nicht, wenn bereits die Erteilung dieser Informationen eine Gefährdung, einen Nachteil oder eine Beeinträchtigung im Sinne von Absatz 2 mit sich bringen würde. Die Unterrichtung nach Satz 1 ist zu begründen, es sei denn, dass die Mitteilung der Gründe den mit dem Absehen von oder der Einschränkung der Auskunft verfolgten Zweck gefährden würde.

(4) Werden die betroffenen Personen nach Absatz 3 über das Absehen von oder die Einschränkung der Auskunft unterrichtet, können sie ihr Auskunftsrecht auch über die Sächsische Datenschutzbeauftragte oder den Sächsischen Datenschutzbeauftragten ausüben. Die Justizvollzugsbehörden unterrichten die betroffenen Personen über diese Möglichkeit sowie darüber, dass sie die Sächsische Datenschutzbeauftragte oder den Sächsischen Datenschutzbeauftragten anrufen oder gerichtlichen Rechtsschutz suchen können. Machen die betroffenen Personen von ihrem Recht nach Satz 1 Gebrauch, ist die Auskunft auf ihr Verlangen der oder dem Sächsischen Datenschutzbeauftragten zu erteilen. Die oder der Sächsische Datenschutzbeauftragte unterrichtet die betroffenen Personen zumindest darüber, dass alle erforderlichen Prüfungen erfolgt sind oder eine Überprüfung durch ihn stattgefunden hat. Diese Mitteilung kann die Information enthalten, dass datenschutzrechtliche Verstöße festgestellt wurden, darf jedoch Rückschlüsse auf den Erkenntnisstand der Justizvollzugsbehörden nicht zulassen, soweit diese keiner weitergehenden Auskunft zustimmen. Die Justizvollzugsbehörden dürfen die Zustimmung nur soweit und solange verweigern, wie sie nach Absatz 2 von einer Auskunft absehen oder sie einschränken können. Die oder der Sächsische Datenschutzbeauftragte unterrichtet zudem die betroffenen Personen über ihr Recht auf gerichtlichen Rechtsschutz

(5) Die Auskunft kann auch durch die Gewährung von Akteneinsicht oder die Aushändigung von Kopien oder Ausdrucken erteilt werden. Dabei ist das Interesse der Gefangenen und anderer betroffener Personen an einer bestimmten Form der Auskunftserteilung zu berücksichtigen.

(6) Die Justizvollzugsbehörden dokumentieren die Gründe für die Entscheidung.

§ 55 Akteneinsichtsrecht ²⁴

(1) Ist betroffenen Personen Auskunft nach § 54 zu gewähren, erhalten sie auf Antrag Akteneinsicht, soweit eine Auskunft für die Wahrnehmung ihrer rechtlichen Interessen nicht ausreicht, sie hierfür auf die Einsichtnahme angewiesen sind und überwiegende berechtigte Interessen Dritter nicht entgegenstehen. Soweit Aktenbestandteile mit einem Sperrvermerk versehen sind, unterliegen sie nicht der Akteneinsicht.

(2)Betroffene Personen können auf eigene Kosten bei einer Einsicht hinzuziehen:

1. eine Person aus dem Kreis
   1. der Rechtsanwältinnen und Rechtsanwälte,
   2. der Notarinnen und Notare,
   3. der gewählten Verteidigerinnen und Verteidiger nach § 138 Absatz 1 und 2 der Strafprozeßordnung,
   4. der nach § 149 Absatz 1 oder Absatz 3 der Strafprozeßordnung zugelassenen Beistände oder
   5. der Beistände nach § 69 Absatz 1 und 2 des Jugendgerichtsgesetzes,
2. Personensorgeberechtigte und
3. eine allgemein beeidigte Dolmetscherin oder einen allgemein beeidigten Dolmetscher.

Die betroffenen Personen können ihr Akteneinsichtsrecht auch durch eine Person aus dem in Satz 1 Nummer 1 und 2 genannten Personenkreis allein ausüben lassen (Akteneinsicht durch Beauftragte). Eine Ausübung oder Begleitung durch andere Gefangene ist unzulässig, auch wenn diese zu dem in Satz 1 genannten Personenkreis gehören.

(3) Bei einer Einsichtnahme haben die betroffenen Personen das Recht, sich aus den Akten Notizen zu machen.

(4) Den betroffenen Personen sind aus den über sie geführten Akten auf schriftlichen Antrag Ablichtungen einzelner Dokumente oder aus automatisierten Dateisystemen Ausdrucke eines Teilbestands der Daten zu fertigen, soweit die Akten der Einsicht unterliegen und ein berechtigtes Interesse vorliegt. Ein berechtigtes Interesse ist insbesondere anzunehmen, wenn die betroffenen Personen zur Geltendmachung von Rechten gegenüber Gerichten und Behörden auf Ablichtungen oder Ausdrucke angewiesen sind.

(5) Die Akteneinsicht ist unentgeltlich. Für die Fertigung von Ablichtungen und Ausdrucken werden Kosten erhoben. Die betroffenen Personen haben die Kosten im Voraus zu entrichten. Sind sie zur Tragung der Kosten nicht in der Lage, kann die Justizvollzugsbehörde von der Erhebung der Kosten in begründeten Fällen ganz oder teilweise absehen.

§ 56 Auskunft und Akteneinsicht in Gesundheitsakten und Therapieakten ²⁴

Den Gefangenen ist auf Antrag Auskunft aus ihren Gesundheitsakten und Therapieakten zu gewähren; sie können auf Antrag auch Akteneinsicht erhalten. Ihnen ist auf schriftlichen Antrag eine Ablichtung von Dokumenten aus ihren Gesundheitsakten und Therapieakten zu fertigen. Für jede weitere Ablichtung können Kosten erhoben werden. § 55 Absatz 1 Satz 2, Absatz 2, 3 und 5 Satz 1 gilt entsprechend.

§ 57 Sperrvermerke ²⁴

(1) Sperrvermerke dürfen nur angebracht werden, soweit dies

1. aus medizinischen oder psychotherapeutischen Gründen allein zum Wohl der Gefangenen,
2. zum Schutz überwiegender schutzwürdiger Interessen und von Leben, Gesundheit oder Freiheit Dritter oder
3. auf Grund einer Rechtsvorschrift, die zur Geheimhaltung verpflichtet,

und unter Berücksichtigung des Informationsinteresses der betroffenen Personen zwingend erforderlich ist. Der Sperrvermerk gemäß Satz 1 Nummer 1 wird von den Berufsgeheimnisträgerinnen und Berufsgeheimnisträgern angebracht, die die zu sperrenden Aktenbestandteile zur Akte verfügt haben; die übrigen Sperrvermerke bringt die Anstaltsleitung an.

(2) Der Grund und der Umfang der Sperrung sind in der Akte zu vermerken. Dieser Vermerk nimmt an der Sperrung teil. Gesperrte Aktenbestandteile sind gesondert von den übrigen Akten zu verwahren, soweit die Akten in Papierform geführt werden; im Übrigen sind sie gegen unbefugten Zugriff zu sichern.

§ 58 Verfahren für die Ausübung der Rechte der betroffenen Personen ²⁴

(1) Die Justizvollzugsbehörden kommunizieren mit den betroffenen Personen in präziser, verständlicher und leicht zugänglicher Form und verwenden hierbei eine klare und einfache Sprache. Soweit erforderlich, ist eine Dolmetscherin oder ein Dolmetscher hinzuzuziehen. Unbeschadet besonderer Formvorschriften sollen sie bei der Beantwortung von Anträgen die für den Antrag gewählte Form verwenden.

(2) Die Justizvollzugsbehörden informieren die betroffenen Personen unverzüglich schriftlich darüber, wie mit ihrem Antrag verfahren wurde. § 54 Absatz 3 und § 62 Absatz 3 bleiben unberührt.

(3) Die Erteilung von allgemeinen Informationen nach § 52, die Benachrichtigungen nach § 53 und § 65 Nummer 2 in Verbindung mit § 22 des Sächsischen Datenschutz-Umsetzungsgesetzes vom 11. Mai 2019 (SächsGVBl. S. 358, 398), in der jeweils geltenden Fassung, und die Bearbeitung von Anträgen nach den §§ 54 und 62 erfolgen unentgeltlich. Bei offensichtlich unbegründeten oder exzessiven Anträgen nach den §§ 54 und 62 können die Justizvollzugsbehörden es ablehnen, auf Grund des Antrags tätig zu werden. In diesem Fall müssen die Justizvollzugsbehörden den offensichtlich unbegründeten oder exzessiven Charakter des Antrags belegen können.

(4) Haben die Justizvollzugsbehörden begründete Zweifel an der Identität einer betroffenen Person, die einen Antrag nach § 54 oder § 62 gestellt hat, können sie von ihr die Vorlage eines Identitätsnachweises oder zusätzliche Informationen anfordern, die zur Bestätigung ihrer Identität erforderlich sind.

§ 59 Löschung ²⁴

(1) Personenbezogene Daten sind unverzüglich zu löschen, soweit ihre weitere Verarbeitung unzulässig ist, sie zur Erfüllung einer rechtlichen Verpflichtung gelöscht werden müssen oder ihre Kenntnis aus anderem Grund für die Erfüllung vollzuglicher Zwecke, für die Durchführung wissenschaftlicher Forschungsvorhaben gemäß § 23 oder für statistische Zwecke nicht mehr erforderlich ist.

(2) Die Erforderlichkeit der Löschung ist jährlich zu prüfen. Die Frist zur Prüfung personenbezogener Daten nach Satz 1 beginnt mit der Entlassung oder Verlegung der Gefangenen in eine andere Anstalt, in sonstigen Fällen mit Erhebung der personenbezogenen Daten.

(3) Die in Dateisystemen gespeicherten personenbezogenen Daten von Gefangenen und ihnen zuordenbaren Dritten sind fünf Jahre nach der Entlassung oder Verlegung der Gefangenen in eine andere Anstalt zu löschen oder so zu anonymisieren, dass die Daten nicht mehr einer bestimmten oder bestimmbaren Person zugeordnet werden können beim Vollzug der Jugendstrafe beträgt die Frist drei Jahre und beim Jugendarrest zwei Jahre. Hiervon können bis zum Ablauf der Aufbewahrungsfrist für die Gefangenenpersonalakte Angaben über Familienname, Vorname, Geburtsname, Geburtstag, Geburtsort, Eintritts- und Austrittsdatum, die nach Verlegung zuständige Anstalt sowie aktenbezogene Vermerke ausgenommen werden, die für das Auffinden und die weitere Verwendung der Gefangenenpersonalakte erforderlich sind. In Dateisystemen gespeicherte personenbezogene Daten von Dritten ohne Bezug zu Gefangenen sind drei Jahre nach ihrer Erhebung zu löschen oder nach Satz 1 zu anonymisieren. Die Regelungen dieses Absatzes gelten nicht für personenbezogene Daten, deren Speicherung und Nutzung für die Durchführung von Evaluations- und Forschungsvorhaben weiterhin erforderlich ist.

(4) Soweit die Justizvollzugsbehörden im Vollzug der Untersuchungshaft oder einer Freiheitsentziehung nach § 1 Satz 1 Nummer 2 von einer nicht nur vorläufigen Einstellung des Verfahrens, einer unanfechtbaren Ablehnung der Eröffnung des Hauptverfahrens oder einem rechtskräftigen Freispruch Kenntnis erlangen, haben sie die personenbezogenen Daten innerhalb eines Monats zu löschen. Darüber hinaus sind in diesen Fällen auf Antrag der Gefangenen die Stellen, die eine Mitteilung nach § 21 erhalten haben, über den Verfahrensausgang in Kenntnis zu setzen. Die Gefangenen sind auf ihr Antragsrecht bei der Anhörung oder der nachträglichen Unterrichtung nach § 21 Absatz 6 hinzuweisen.

(5) Soweit die Justizvollzugsbehörden verpflichtet sind, Unterlagen dem Sächsischen Staatsarchiv zur Übernahme anzubieten, ist eine Löschung oder Vernichtung erst zulässig, nachdem die Unterlagen dem Sächsischen Staatsarchiv angeboten und von diesem als nicht archivwürdig bewertet worden sind oder über die Archivwürdigkeit nicht fristgemäß nach § 5 Absatz 6 des Archivgesetzes für den Freistaat Sachsen vom 17. Mai 1993 (SächsGVBl. S. 449), das zuletzt durch Artikel 25 des Gesetzes vom 26. April 2018 (SächsGVBl. S. 198) geändert worden ist, in der jeweils geltenden Fassung, entschieden worden ist. Die Einschränkung der Verarbeitung personenbezogener Daten lässt die Anbietungspflicht nach dem Archivgesetz für den Freistaat Sachsen unberührt. Die Sätze 1 und 2 gelten auch bei entsprechenden Festlegungen der Träger von Archiven sonstiger öffentlicher Stellen nach dem Dritten Abschnitt des Archivgesetzes für den Freistaat Sachsen.

§ 60 Einschränkung der Verarbeitung ²⁴

(1) Anstatt die personenbezogenen Daten zu löschen, kann die Justizvollzugsbehörde deren Verarbeitung einschränken, wenn Grund zu der Annahme besteht, dass durch eine Löschung schutzwürdige Interessen der betroffenen Person beeinträchtigt würden, oder die Daten zu Beweiszwecken weiter aufbewahrt werden müssen. Personenbezogene Daten in Akten dürfen nach Ablauf von fünf Jahren seit der Entlassung der Gefangenen nur übermittelt oder genutzt werden, soweit dies

1. zur Verfolgung von Straftaten,
2. für die Durchführung von Evaluations- oder Forschungsvorhaben,
3. zur Behebung einer bestehenden Beweisnot,
4. zur Feststellung, Durchsetzung oder Abwehr von Rechtsansprüchen im Zusammenhang mit dem Vollzug einer Freiheitsentziehung oder
5. zur Abwehr einer Gefahr für die Sicherheit in der Anstalt erforderlich ist.

(2) In ihrer Verarbeitung eingeschränkte Daten dürfen nur für den Zweck verarbeitet werden, der ihrer Löschung entgegenstand.

(3) Die Verarbeitungseinschränkungen enden, wenn die oder der Gefangene erneut in den Vollzug aufgenommen wird oder die betroffene Person eingewilligt hat.

(4) Bei der Aufbewahrung von Akten mit nach Absatz 1 in der Verarbeitung eingeschränkten Daten darf für Gefangenenpersonalakten, Gesundheitsakten und Therapieakten sowie für Gefangenenbücher eine Frist von 30 Jahren nicht überschritten werden. Dies gilt nicht, wenn auf Grund bestimmter Tatsachen anzunehmen ist, dass die Aufbewahrung für die in Absatz 1 Satz 2 genannten Zwecke weiterhin erforderlich ist. Die Aufbewahrungsfrist beginnt mit dem auf das Jahr der aktenmäßigen Weglegung folgenden Kalenderjahr.

§ 61 Berichtigung

(1) Personenbezogene Daten sind unverzüglich zu berichtigen, wenn sie unrichtig sind. Bei Aussagen oder Beurteilungen betrifft die Frage der Richtigkeit nicht den Inhalt der Aussage oder Beurteilung. Soweit dies mit angemessenem Aufwand möglich ist, sind die personenbezogenen Daten vor ihrer Verarbeitung auf Richtigkeit zu überprüfen. Wird bei personenbezogenen Daten in Akten festgestellt, dass sie unrichtig sind, ist dies darüber hinaus in der Akte zu vermerken.

(2) Kann die Richtigkeit oder Unrichtigkeit der personenbezogenen Daten nicht festgestellt werden, tritt an die Stelle der Berichtigung eine Einschränkung der Verarbeitung. Vor der Aufhebung der Einschränkung sind die betroffenen Personen zu unterrichten.

§ 62 Rechte der betroffenen Personen auf Berichtigung und Löschung sowie Einschränkung der Verarbeitung

(1) Die betroffenen Personen haben das Recht, von den Justizvollzugsbehörden unverzüglich die Berichtigung sie betreffender unrichtiger Daten gemäß § 61 zu verlangen. Die betroffenen Personen können zudem die Vervollständigung unvollständiger personenbezogener Daten verlangen, wenn dies unter Berücksichtigung der Verarbeitungszwecke angemessen ist.

(2) Die betroffenen Personen können unter den Voraussetzungen von § 59 die Löschung der Daten verlangen.

(3) Die Justizvollzugsbehörden unterrichten die betroffenen Personen schriftlich über ein Absehen von der Berichtigung oder Löschung personenbezogener Daten oder über die an deren Stelle tretende Einschränkung der Verarbeitung. Dies gilt nicht, wenn bereits die Erteilung dieser Informationen Gefährdungen, Nachteile oder Beeinträchtigungen im Sinne von § 53 Absatz 2 mit sich bringen würde. Die Unterrichtung nach Satz 1 ist zu begründen, es sei denn, dass die Mitteilung der Gründe den mit dem Absehen von der Unterrichtung verfolgten Zweck gefährden würde. § 54 Absatz 4 und 6 gilt entsprechend.

§ 63 Mitteilungen in Fällen der Berichtigung, Löschung und Einschränkung

(1) In Fällen der Berichtigung, Löschung oder Einschränkung der Verarbeitung haben die Justizvollzugsbehörden Empfän gem. denen die Daten übermittelt wurden, diese Maßnahmen mitzuteilen. Die Empfänger haben die Daten in eigener Verantwortung zu löschen, ihre Verarbeitung einzuschränken oder zu berichtigen.

(2) Die Einhaltung der vorgenannten Maßgaben ist durch geeignete technische oder organisatorische Vorkehrungen sicherzustellen.

Abschnitt 7
Einschränkung von Grundrechten und Anwendung weiterer Vorschriften

§ 64 Einschränkung eines Grundrechts

Durch dieses Gesetz wird das Recht auf informationelle Selbstbestimmung nach Artikel 33 der Verfassung des Freistaates Sachsen eingeschränkt.

§ 65 Anwendung weiterer Vorschriften ²⁴

Die folgenden Vorschriften des Sächsischen Datenschutz-Umsetzungsgesetzes finden entsprechende Anwendung:

1. die §§ 16 und 17 über die Anrufung der oder des Sächsischen Datenschutzbeauftragten und den Rechtsschutz gegen deren oder dessen Entscheidungen oder deren oder dessen Untätigkeit,
2. § 21 über die Meldung von Verletzungen des Schutzes personenbezogener Daten an die Sächsische Datenschutzbeauftragte oder den Sächsischen Datenschutzbeauftragten und § 22 über die Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person,
3. § 24 über die Zusammenarbeit mit der oder dem Sächsischen Datenschutzbeauftragten und § 25 über deren oder dessen Anhörung vor der Inbetriebnahme neu anzulegender Dateisysteme,
4. die §§ 34 bis 36 über die Benennung, die Stellung und die Aufgaben der behördlichen Datenschutzbeauftragten,
5. § 37 Absatz 1 und die §§ 38 bis 40 über die datenschutzrechtliche Aufsicht durch die Sächsische Datenschutzbeauftragte oder den Sächsischen Datenschutzbeauftragten,
6. § 41 über den Tätigkeitsbericht,
7. Abschnitt 7 über die Datenübermittlung an Drittstaaten und an internationale Organisationen,
8. § 46 über die gegenseitige Amtshilfe und
9. § 47 über den Anspruch auf Schadenersatz und Entschädigung.

Abschnitt 8
Sanktionen

§ 66 Bußgeldvorschriften ²⁴

(1) Ordnungswidrig handelt, wer

1. unbefugt von diesem Gesetz geschützte personenbezogene Daten, die nicht offenkundig sind, verarbeitet,
2. die Übermittlung personenbezogener Daten, die durch dieses Gesetz geschützt werden und nicht offenkundig sind, durch unrichtige Angaben erschleicht,
3. nach einer Verpflichtung gemäß § 6 Satz 2 und 3 das Datengeheimnis gemäß § 6 Satz 1 verletzt oder nach einer Verpflichtung gemäß § 20 Absatz 1 Satz 1 und 2 das Datengeheimnis verletzt, wenn die Verletzung nicht mit Strafe bedroht ist,
4. entgegen § 65 Nummer 4 in Verbindung mit § 35 Absatz 3 Satz 3 des Sächsischen Datenschutz-Umsetzungsgesetzes die Datenschutzbeauftragte oder den Datenschutzbeauftragten einer Justizvollzugsbehörde wegen der Erfüllung seiner Aufgaben benachteiligt,
5. als Datenschutzbeauftragte oder Datenschutzbeauftragter einer Justizvollzugsbehörde seine Verschwiegenheitspflicht nach § 65 Nummer 4 in Verbindung mit § 35 Absatz 4 Satz 2 des Sächsischen Datenschutz-Umsetzungsgesetzes verletzt, wenn die Verletzung nicht mit Strafe bedroht ist,
6. personenbezogene Daten ohne Vorliegen der Voraussetzungen des § 10 Absatz 2 und 3 für einen anderen Zweck verarbeitet,
7. eine Auskunft nach § 54 Absatz 1 und § 56 Satz 1 nicht richtig oder nicht vollständig erteilt,
8. entgegen § 65 Nummer 5 in Verbindung mit § 40 Absatz 1 Satz 2 Nummer 1 des Sächsischen Datenschutz-Umsetzungsgesetzes der oder dem Sächsischen Datenschutzbeauftragten den Zugang zu den Grundstücken und Diensträumen, einschließlich aller Datenverarbeitungsanlagen und -geräte, sowie zu allen personenbezogenen Daten und Informationen nicht, nicht vollständig oder nicht rechtzeitig gewährt,
9. entgegen § 65 Nummer 5 in Verbindung mit § 40 Absatz 1 Satz 2 Nummer 2 des Sächsischen Datenschutz-Umsetzungsgesetzes der oder dem Sächsischen Datenschutzbeauftragten die Informationen nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig erteilt oder
10. bei der Datenverarbeitung im Auftrag als Auftragsverarbeiter oder als eine dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person gegen eine Weisung des Verantwortlichen gemäß § 5 verstößt.

(2) Die Ordnungswidrigkeit kann mit einer Geldbuße bis zu fünfzigtausend Euro geahndet werden.

(3) Die oder der Sächsische Datenschutzbeauftragte ist Verwaltungsbehörde im Sinne von § 36 Absatz 1 Nummer 1 des Gesetzes über Ordnungswidrigkeiten.

§ 67 Strafvorschriften ²⁴

(1) Wer eine der in § 66 Absatz 1 Nummer 1 bis 7 bezeichneten Handlungen gegen Entgelt oder in der Absicht begeht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.

(2) Der Versuch ist strafbar.

Abschnitt 9
Schlussvorschriften

§ 68 Evaluierung

Die Auswirkungen dieses Gesetzes und dessen praktische Anwendung werden drei Jahre nach seinem Inkrafttreten durch die Staatsregierung geprüft. Die Staatsregierung berichtet dem Landtag über das Ergebnis der Evaluierung.

ENDE