Cybersecurity Navigator Login

NDSG - Niedersächsisches Datenschutzgesetz

NDSG - Niedersächsisches Datenschutzgesetz

Sektor Informationstechnik und Telekommunikation
Branche Informationstechnik
Ebene Landesrecht
Bundesland Niedersachsen
Rechtsakt Gesetzlich

  • Niedersächsisches Datenschutzgesetz
    NDSG
    §§ 3-7; 12-17; 25; 28-32; 34-36; 45-49; 52

    § 3 Zulässigkeit der Verarbeitung personenbezogener Daten

    1 Die Verarbeitung personenbezogener Daten ist zulässig, soweit sie zur Erfüllung einer in der Zuständigkeit der oder des Verantwortlichen liegenden Aufgabe, deren Wahrnehmung

    1. im öffentlichen Interesse liegt oder

    2. in Ausübung öffentlicher Gewalt, die der oder dem Verantwortlichen übertragen wurde, erfolgt,

    erforderlich ist. 2 Im Übrigen bestimmt sich die Zulässigkeit der Datenverarbeitung nach Artikel 6 Abs. 1 der Datenschutz-Grundverordnung.



    § 4 Hinweis bei der Datenerhebung bei anderen Personen

    1 Werden personenbezogene Daten nicht bei der betroffenen Person, sondern bei einer anderen Person oder einer Stelle außerhalb des öffentlichen Bereichs erhoben, so ist dieser anderen Person oder Stelle auf Verlangen der Erhebungszweck mitzuteilen, soweit dadurch schutzwürdige Interessen der betroffenen Person nicht beeinträchtigt werden. 2 Soweit eine Auskunftspflicht besteht, ist sie hierauf, sonst auf die Freiwilligkeit ihrer Angaben hinzuweisen.

     


    § 5 Übermittlung personenbezogener Daten

    (1) 1 Die Übermittlung personenbezogener Daten an eine andere öffentliche Stelle ist zulässig, soweit sie zur Erfüllung der Aufgaben der übermittelnden Stelle oder der empfangenden Stelle erforderlich ist und die Daten für den Zweck erhoben worden sind oder die Voraussetzungen für eine Zweckänderung vorliegen. 2 Die Übermittlung personenbezogener Daten an eine nicht öffentliche Stelle ist zulässig, soweit

    1. sie zur Erfüllung der Aufgaben der übermittelnden Stelle erforderlich ist und die Daten für den Zweck erhoben worden sind oder die Voraussetzungen für eine Zweckänderung vorliegen oder

    2. die empfangende Stelle ein berechtigtes Interesse an der Kenntnis der zu übermittelnden Daten glaubhaft macht und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an der Geheimhaltung überwiegt.

    3 Bei einer Übermittlung nach Satz 2 hat sich der Empfänger gegenüber der übermittelnden öffentlichen Stelle zu verpflichten, die Daten nur für den Zweck zu verarbeiten, zu dem sie ihm übermittelt wurden. 4 An öffentlich-rechtliche Religionsgesellschaften ist die Übermittlung nur zulässig, sofern sichergestellt ist, dass bei dem Empfänger eine Datenverarbeitung im Einklang mit der Datenschutz-Grundverordnung erfolgt.

    (2) 1 Die Verantwortung für die Zulässigkeit der Übermittlung personenbezogener Daten trägt die übermittelnde Stelle. 2 Erfolgt die Übermittlung aufgrund eines Ersuchens einer öffentlichen Stelle, so trägt diese die Verantwortung. 3 Die übermittelnde Stelle hat dann lediglich zu prüfen, ob sich das Übermittlungsersuchen im Rahmen der Aufgaben der ersuchenden Stelle hält. 4 Die Rechtmäßigkeit des Ersuchens prüft sie nur, wenn im Einzelfall hierzu Anlass besteht; die ersuchende Stelle hat der übermittelnden Stelle die für diese Prüfung erforderlichen Angaben zu machen. 5 Erfolgt die Übermittlung durch automatisierten Abruf (§ 7), so trägt die Verantwortung für die Rechtmäßigkeit des Abrufs der Empfänger.

    (3) Sind mit personenbezogenen Daten weitere personenbezogene Daten der betroffenen oder einer anderen Person so verbunden, dass eine Trennung nicht oder nur mit unverhältnismäßigem Aufwand möglich ist, so ist die Übermittlung auch dieser Daten an öffentliche Stellen zulässig, soweit nicht berechtigte Interessen der betroffenen oder einer anderen Person an deren Geheimhaltung offensichtlich überwiegen; eine weitere Verarbeitung dieser Daten ist unzulässig.

     


    § 6 Zweckbindung, Zweckänderung

    (1) Zu dem Zweck einer Verarbeitung personenbezogener Daten zählt auch die Verarbeitung

    1. zur Wahrnehmung von Aufsichts- und Kontrollbefugnissen, zur Rechnungsprüfung und zur Durchführung von Organisationsuntersuchungen sowie

    2. zu Ausbildungs- und Prüfungszwecken, soweit nicht berechtigte Interessen der betroffenen Person an der Geheimhaltung der Daten überwiegen.

    (2) Eine Verarbeitung von personenbezogenen Daten zu einem anderen Zweck als dem, für den die Daten erhoben wurden, ist zulässig, soweit und solange

    1. die Datenverarbeitung zur Abwehr einer konkreten Gefahr für die öffentliche Sicherheit oder zur Abwehr von erheblichen Nachteilen für das Wohl des Bundes oder eines Landes erforderlich ist,

    2. die Datenverarbeitung zur Verfolgung von Straftaten oder Ordnungswidrigkeiten, zur Strafvollstreckung oder zur Vollstreckung von Geldbußen erforderlich ist,

    3. die Datenverarbeitung zur Abwehr einer schwerwiegenden Beeinträchtigung der Rechte und Freiheiten einer anderen Person erforderlich ist,

    4. die Datenverarbeitung zur Überprüfung von Angaben der betroffenen Person erforderlich ist,

    5. die Datenverarbeitung zum Schutz der betroffenen Person erforderlich ist oder

    6. die Daten aus allgemein zugänglichen Quellen entnommen werden können oder die Daten verarbeitende Stelle sie veröffentlichen dürfte, es sei denn, dass schutzwürdige Interessen der betroffenen Person der Datenverarbeitung offensichtlich entgegenstehen.

    (3) Personenbezogene Daten, die einem Berufsgeheimnis oder einem besonderen Amtsgeheimnis unterliegen und der Daten verarbeitenden Stelle von der zur Verschwiegenheit verpflichteten Person in Ausübung ihrer Berufs- oder Amtspflicht übermittelt worden sind, dürfen nicht nach Absatz 2 zu anderen Zwecken verarbeitet werden.

    (4) Personenbezogene Daten, die ausschließlich zu Zwecken der Datenschutzkontrolle, der Gewährleistung der Datensicherheit oder des ordnungsgemäßen Betriebs einer Datenverarbeitungsanlage gespeichert werden, dürfen nicht nach Absatz 2 zu anderen Zwecken verarbeitet werden.

    (5) Eine Information der betroffenen Person nach Artikel 13 Abs. 3 und Artikel 14 Abs. 4 der Datenschutz-Grundverordnung über die Datenverarbeitung nach Absatz 2 Nrn. 1 bis 4 erfolgt nicht, soweit und solange hierdurch der Zweck der Verarbeitung gefährdet würde.

     


    § 7 Automatisierte Verfahren und gemeinsame Dateien

    Die Einrichtung eines automatisierten Abrufverfahrens oder einer gemeinsamen automatisierten Datei, in oder aus der mehrere Daten verarbeitende öffentliche Stellen personenbezogene Daten verarbeiten, ist zulässig, soweit dies unter Berücksichtigung der Rechte und Freiheiten der betroffenen Personen und der Aufgaben der beteiligten Stellen angemessen ist und durch technische und organisatorische Maßnahmen Risiken für die Rechte und Freiheiten der betroffenen Personen vermieden werden können.

     


    § 12 Verarbeitung personenbezogener Daten bei Dienst- und Arbeitsverhältnissen

    (1) Die beamtenrechtlichen Vorschriften über das Führen von Personalakten des § 50 des Beamtenstatusgesetzes und der §§ 88 bis 95 des Niedersächsischen Beamtengesetzes (NBG) sind für alle nicht beamteten Beschäftigten einer öffentlichen Stelle entsprechend anzuwenden, soweit tarifvertraglich nichts anderes geregelt ist.

    (2) 1Werden Feststellungen über die Eignung einer Bewerberin oder eines Bewerbers für ein Dienst- oder Arbeitsverhältnis durch ärztliche oder psychologische Untersuchungen oder Tests getroffen, so darf die Einstellungsbehörde von der untersuchenden Person oder Stelle in der Regel nur das Ergebnis der Eignungsuntersuchung und Feststellungen über Faktoren anfordern, die die gesundheitliche Eignung beeinträchtigen können.2Weitere personenbezogene Daten darf sie nur anfordern, wenn sie die Bewerberin oder den Bewerber zuvor schriftlich über die Gründe dafür unterrichtet hat.

    (3) 1§ 108a Abs. 1 Satz 1 Nrn. 2 bis 4 und Sätze 2 bis 5 und Abs. 2 NBG ist für alle Bewerberinnen und Bewerber um ein Arbeits-, Ausbildungs- oder Praktikantenverhältnis bei einer Polizeibehörde oder der Polizeiakademie Niedersachsen entsprechend anzuwenden, wenn diese Behörde Einstellungsbehörde ist.2Die Regelungen des Niedersächsischen Sicherheitsüberprüfungsgesetzes bleiben unberührt.

     


    § 13 Verarbeitung personenbezogener Daten zu wissenschaftlichen oder historischen Forschungszwecken

    (1) 1 Öffentliche Stellen dürfen personenbezogene Daten einschließlich Daten im Sinne des Artikels 9 Abs. 1 der Datenschutz-Grundverordnung für ein bestimmtes wissenschaftliches oder historisches Forschungsvorhaben verarbeiten oder an andere Stellen zu diesem Zweck übermitteln, wenn die Art und Verarbeitung der Daten darauf schließen lassen, dass ein schutzwürdiges Interesse der betroffenen Person der Verarbeitung der Daten für das Forschungsvorhaben nicht entgegensteht oder das öffentliche Interesse an der Durchführung des Forschungsvorhabens das schutzwürdige Interesse der betroffenen Person überwiegt. 2 Das Ergebnis der Abwägung und seine Begründung sind aufzuzeichnen. 3 Über die Verarbeitung ist die oder der Datenschutzbeauftragte nach Artikel 37 der Datenschutz-Grundverordnung zu unterrichten.

    (2) 1 Werden personenbezogene Daten zu wissenschaftlichen oder historischen Forschungszwecken verarbeitet, so sind sie von der Forschungseinrichtung zu anonymisieren, sobald dies nach dem Forschungszweck möglich ist. 2 Bis dahin sind die Merkmale, mit deren Hilfe ein Personenbezug hergestellt werden kann, getrennt zu speichern. 3 Diese Merkmale dürfen mit den Einzelangaben nur zusammengeführt werden, soweit der Forschungszweck dies erfordert.

    (3) Im Rahmen von wissenschaftlichen oder historischen Forschungsvorhaben dürfen personenbezogene Daten nur veröffentlicht werden, wenn

    1. die betroffene Person eingewilligt hat oder

    2. dies für die Darstellung von Forschungsergebnissen über Ereignisse der Zeitgeschichte unerlässlich ist.

    (4) 1 Personenbezogene Daten dürfen an Empfängerinnen und Empfänger, auf die die Vorschriften dieses Teils keine Anwendung finden, zu wissenschaftlichen oder historischen Forschungszwecken nur übermittelt werden, wenn sich diese verpflichtet haben, die Daten ausschließlich für das von ihnen bezeichnete Forschungsvorhaben und nach Maßgabe der Absätze 1 bis 3 zu verarbeiten und Schutzmaßnahmen nach § 17 oder gleichwertige Maßnahmen zu treffen. 2 Die Übermittlung ist der von der oder dem Landesbeauftragten geleiteten Behörde frühzeitig anzuzeigen.

    (5) Die Verantwortlichen können von einer Gewährung der Rechte aus den Artikeln 15, 16, 18 und 21 der Datenschutz-Grundverordnung absehen, soweit und solange die Inanspruchnahme dieser Rechte voraussichtlich die Verwirklichung der jeweiligen wissenschaftlichen oder historischen Forschungszwecke unmöglich macht oder ernsthaft beeinträchtigt und der Ausschluss dieser Rechte für die Erfüllung dieser Zwecke notwendig ist.

     


    § 14 Videoüberwachung

    (1) 1 Die Beobachtung öffentlich zugänglicher Räume mithilfe von optisch-elektronischen Einrichtungen (Videoüberwachung) und die weitere Verarbeitung der dadurch erhobenen personenbezogenen Daten sind zulässig, soweit sie zur Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe erforderlich sind und keine Anhaltspunkte dafür bestehen, dass schutzwürdige Interessen der von der Videoüberwachung betroffenen Personen überwiegen. 2 Zur Wahrnehmung einer öffentlichen Aufgabe gehören auch

    1. der Schutz von Personen, die der beobachtenden Stelle angehören oder diese aufsuchen,

    2. der Schutz von Sachen, die zu der beobachtenden Stelle oder zu den Personen nach Nummer 1 gehören, und

    3. die Wahrnehmung des Hausrechts der beobachtenden Stelle.

    3 Zu einem anderen Zweck dürfen die nach Satz 1 erhobenen Daten nur verarbeitet werden, soweit dies zur Abwehr einer konkreten Gefahr für die öffentliche Sicherheit oder zur Verfolgung von Straftaten erforderlich ist; § 6 Abs. 5 gilt entsprechend.

    (2) 1 Die Videoüberwachung ist durch geeignete Maßnahmen zum frühestmöglichen Zeitpunkt erkennbar zu machen. 2 Zudem ist auf den Namen und die Kontaktdaten des Verantwortlichen sowie die Möglichkeit, bei dem Verantwortlichen die Informationen nach Artikel 13 der Datenschutz-Grundverordnung zu erhalten, hinzuweisen.

    (3) Beim Einholen des Rates der oder des Datenschutzbeauftragten zu einer Videoüberwachung nach Artikel 35 Abs. 2 der Datenschutz-Grundverordnung hat die öffentliche Stelle insbesondere den Zweck, die räumliche Ausdehnung und die Dauer der Videoüberwachung, den betroffenen Personenkreis, die Maßnahmen nach Absatz 2 und die vorgesehenen Auswertungen mitzuteilen.

     


    § 15 Öffentliche Auszeichnungen und Ehrungen

    (1) 1 Zur Vorbereitung öffentlicher Auszeichnungen und Ehrungen dürfen die zuständigen Stellen die dazu erforderlichen personenbezogenen Daten einschließlich besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Abs. 1 der Datenschutz-Grundverordnung verarbeiten, es sei denn, dass der zuständigen Stelle bekannt ist, dass die betroffene Person ihrer öffentlichen Auszeichnung oder Ehrung oder der damit verbundenen Datenverarbeitung widersprochen hat. 2 Auf Anforderung der in Satz 1 genannten Stellen dürfen öffentliche Stellen die erforderlichen Daten übermitteln. 3 Eine Verarbeitung der personenbezogenen Daten für andere Zwecke ist nur mit Einwilligung der betroffenen Person zulässig; § 6 Abs. 2 findet keine Anwendung.

    (2) Die Artikel 13 bis 15, 19 und 21 Abs. 4 der Datenschutz-Grundverordnung finden keine Anwendung.

     


    § 16 Begnadigungsverfahren

    1 In Begnadigungsverfahren dürfen die zuständigen Stellen die für eine Begnadigung erforderlichen Daten einschließlich besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Abs. 1 der Datenschutz-Grundverordnung verarbeiten. 2 Die Artikel 13 bis 15 und 19 der Datenschutz-Grundverordnung finden keine Anwendung.

     


    § 17 Verarbeitung besonderer Kategorien personenbezogener Daten

    (1) Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Abs. 1 der Datenschutz-Grundverordnung ist zulässig, soweit und solange es erforderlich ist

    1. zur Wahrnehmung von Rechten und Pflichten, die aus dem Recht der sozialen Sicherheit und des Sozialschutzes folgen,

    2. zur Wahrnehmung von Rechten und Pflichten der öffentlichen Stellen auf dem Gebiet des Dienst- und Arbeitsrechts,

    3. zum Zweck der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit von beschäftigten Personen, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- und Sozialbereich oder aufgrund eines Vertrags der betroffenen Person mit einer oder einem Angehörigen eines Gesundheitsberufs, wenn diese Daten von ärztlichem Personal oder durch sonstige Personen, die einer Geheimhaltungspflicht unterliegen, oder unter deren Verantwortung verarbeitet werden,

    4. aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit und des Infektionsschutzes, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten; ergänzend zu den in den Absätzen 2 und 3 genannten Maßnahmen sind insbesondere die berufsrechtlichen und strafrechtlichen Vorgaben zur Wahrung des Berufsgeheimnisses einzuhalten,

    5. zur Abwehr erheblicher Nachteile für das Gemeinwohl oder von Gefahren für die öffentliche Sicherheit und Ordnung,

    6. zur Verfolgung von Straftaten oder Ordnungswidrigkeiten, zur Vollstreckung oder zum Vollzug von Strafen oder Maßnahmen im Sinne des § 11 Abs. 1 Nr. 8 des Strafgesetzbuchs (StGB) oder von Erziehungsmaßregeln oder Zuchtmitteln im Sinne des Jugendgerichtsgesetzes oder zur Vollstreckung von Bußgeldentscheidungen.

    (2) Werden im Rahmen der Datenverarbeitung nach diesem Kapitel oder nach anderen datenschutzrechtlichen Bestimmungen besondere Kategorien personenbezogener Daten im Sinne des Artikels 9 Abs. 1 der Datenschutz-Grundverordnung verarbeitet, so sind von den Verantwortlichen und den Auftragsverarbeitern zur Wahrung der Grundrechte und Interessen der betroffenen Person die folgenden Maßnahmen zu treffen:

    1. Sicherstellung, dass nachträglich festgestellt werden kann, ob und von wem personenbezogene Daten verarbeitet worden sind,

    2. Beschränkung der Befugnisse für den Zugriff auf personenbezogene Daten auf das erforderliche Maß sowie die Dokumentation der Befugnisse,

    3. Sensibilisierung der Personen, die Zugang zu den personenbezogenen Daten haben.

    (3) 1 Soweit es zum Schutz besonderer Kategorien personenbezogener Daten erforderlich ist, haben die Verantwortlichen und Auftragsverarbeiter ergänzend zu Absatz 2 weitere angemessene und spezifische Maßnahmen zu treffen. 2 Als Maßnahmen kommen insbesondere in Betracht:

    1. Sicherstellung, dass die personenbezogenen Daten zur Verarbeitung nur im Vier-Augen-Prinzip freigegeben werden,

    2. Sicherstellung, dass auf die personenbezogenen Daten nur nach einer Zwei-Faktor-Authentisierung zugegriffen wird,

    3. Sicherstellung, dass die elektronische Übermittlung von personenbezogenen Daten nur mit einer Verschlüsselung erfolgt,

    4. Sicherstellung, dass in einem vernetzten IT-System die personenbezogenen Daten nur mit Verschlüsselung gespeichert werden,

    5. Sicherstellung, dass durch eine redundante Auslegung der Systeme, der Energieversorgung und der Datenübertragungseinrichtungen ein Datenverlust vermieden wird,

    6. Sicherstellung, dass Daten nicht unbefugt verändert werden und ihre Integrität gewahrt ist, etwa durch Einsatz einer elektronischen Signatur,

    7. Schulung der Personen, die Zugang zu den personenbezogenen Daten haben.

    (4) Art und Umfang der Maßnahmen nach den Absätzen 2 und 3 richten sich nach dem Stand der Technik und den Implementierungskosten, nach der Art, dem Umfang, den Umständen und dem Zweck der Datenverarbeitung sowie nach der Eintrittswahrscheinlichkeit und der Schwere der mit der Datenverarbeitung verbundenen Risiken für die Grundrechte und Interessen der betroffenen Person.

     


    § 25 Grundsätze für die Verarbeitung personenbezogener Daten

    (1) Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle im Sinne des § 23 Abs. 1 und 2 ist zulässig, soweit und solange sie zur Erfüllung der in ihrer Zuständigkeit liegenden und in § 23 Abs. 1 und 2 genannten Aufgabe erforderlich und verhältnismäßig ist.

    (2) Personenbezogene Daten müssen

    1. auf rechtmäßige Weise und nach Treu und Glauben verarbeitet werden,

    2. für festgelegte, eindeutige und rechtmäßige Zwecke erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden und

    3. sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein, wobei alle angemessenen Maßnahmen zu treffen sind, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden.

    (3) 1 Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nur zulässig, wenn sie zur Aufgabenerfüllung unerlässlich ist. 2 Für den Schutz bei der Verarbeitung besonderer Kategorien personenbezogener Daten für die in § 23 genannten Zwecke ist § 17 entsprechend anwendbar.

    (4) 1 Eine Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu demjenigen, zu dem sie erhoben wurden, ist zulässig, wenn es sich bei dem anderen Zweck um einen der in § 23 genannten Zwecke handelt, der Verantwortliche befugt ist, Daten zu diesem Zweck zu verarbeiten, und die Verarbeitung zu diesem Zweck erforderlich und verhältnismäßig ist. 2 Die Verarbeitung personenbezogener Daten zu einem anderen, in § 23 nicht genannten Zweck ist zulässig, wenn sie in einer Rechtsvorschrift vorgesehen ist.

    (5) 1 Die Verarbeitung kann zu im öffentlichen Interesse liegenden Archivzwecken oder statistischen Zwecken erfolgen. 2 Für die Verarbeitung personenbezogener Daten zu wissenschaftlichen oder historischen Forschungszwecken ist § 13 Abs. 1 bis 4 entsprechend anwendbar, wobei die Rechte der betroffenen Person auf Auskunft nach § 51, Berichtigung und Einschränkung der Verarbeitung nach § 52 nicht bestehen, soweit die Inanspruchnahme dieser Rechte voraussichtlich die Verwirklichung der jeweiligen wissenschaftlichen oder historischen Forschungszwecke unmöglich macht oder ernsthaft beeinträchtigt und der Ausschluss dieser Rechte für die Erfüllung dieser Zwecke notwendig ist.

    (6) 1 Eine Verarbeitung zu anderen Zwecken liegt nicht vor, wenn dies zur Wahrnehmung von Aufsichts- und Kontrollbefugnissen, zur Rechnungsprüfung oder zur Durchführung von Organisationsuntersuchungen erfolgt. 2 Zulässig ist auch die Verarbeitung zu Ausbildungs- und Prüfungszwecken, soweit nicht berechtigte Interessen der betroffenen Personen an der Geheimhaltung der Daten überwiegen.

     


    § 28 Löschung personenbezogener Daten sowie Einschränkung der Verarbeitung

    (1) 1 Der Verantwortliche hat personenbezogene Daten unverzüglich zu löschen, wenn

    1. ihre Verarbeitung unzulässig ist,

    2. ihre Kenntnis für seine Aufgabenerfüllung nicht mehr erforderlich ist oder

    3. sie zur Erfüllung einer rechtlichen Verpflichtung gelöscht werden müssen.

    2 In den Fällen des Satzes 1 Nr. 2 tritt an die Stelle der Löschung die Abgabe an das zuständige Archiv.

    (2) 1 Anstatt die personenbezogenen Daten zu löschen, kann der Verantwortliche deren Verarbeitung einschränken, wenn

    1. Grund zu der Annahme besteht, dass durch die Löschung schutzwürdige Interessen einer betroffenen Person beeinträchtigt würden,

    2. die Daten zu Beweiszwecken in behördlichen oder gerichtlichen Verfahren, die Zwecken des § 23 dienen, weiter aufbewahrt werden müssen oder

    3. eine Löschung wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßigem Aufwand möglich ist.

    2 In ihrer Verarbeitung nach Satz 1 eingeschränkte Daten dürfen nur zu dem Zweck, der ihrer Löschung entgegenstand, verarbeitet oder sonst mit Einwilligung der betroffenen Person verarbeitet werden.

    (3) Bei automatisierten Datenverarbeitungssystemen ist technisch sicherzustellen, dass eine Einschränkung der Verarbeitung eindeutig erkennbar und eine Verarbeitung für andere Zwecke nicht ohne weitere Prüfung möglich ist.

    (4) Unbeschadet der in Rechtsvorschriften festgesetzten Höchstspeicher- oder Löschfristen hat der Verantwortliche für die Löschung von personenbezogenen Daten oder für eine regelmäßige Überprüfung der Notwendigkeit ihrer Speicherung angemessene Fristen vorzusehen und durch verfahrensrechtliche Vorkehrungen sicherzustellen, dass diese Fristen eingehalten werden.

     


    § 29 Automatisierte Entscheidungsfindung

    (1) Eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung, die für die betroffene Person mit einer nachteiligen Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt, einschließlich Profiling, ist nur zulässig, wenn sie in einer Rechtsvorschrift vorgesehen ist.

    (2) Entscheidungen nach Absatz 1 dürfen nicht auf besonderen Kategorien personenbezogener Daten beruhen, sofern nicht geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen wurden.

    (3) Profiling, das zur Folge hat, dass betroffene Personen auf der Grundlage von besonderen Kategorien personenbezogener Daten diskriminiert werden, ist verboten.

    § 30
    Datenübermittlung außerhalb des öffentlichen Bereichs

    (1) 1 Die Übermittlung personenbezogener Daten an Personen oder Stellen außerhalb des öffentlichen Bereichs ist zulässig, wenn

    1. die Empfänger ein rechtliches Interesse an der Kenntnis der zu übermittelnden Daten glaubhaft machen und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der Betroffenen an der Geheimhaltung überwiegt, oder

    2. sie im öffentlichen Interesse liegt oder hierfür ein berechtigtes Interesse geltend gemacht wird und die Betroffenen in diesen Fällen der Übermittlung nicht widersprochen haben.

    2 In den Fällen des Satzes 1 Nr. 2 sind die betroffenen Personen über die beabsichtigte Übermittlung, die Art der zu übermittelnden Daten und den Verwendungszweck in geeigneter Weise und rechtzeitig zu unterrichten.

    (2) Die übermittelnde Stelle hat die Empfänger zu verpflichten, die Daten nur für die Zwecke zu verarbeiten, zu denen sie ihnen übermittelt wurden.

     


    § 31 Automatisiertes Abrufverfahren

    Die Einrichtung und Nutzung eines automatisierten Abrufverfahrens oder einer gemeinsamen automatisierten Datei, in oder aus der mehrere Daten verarbeitende öffentliche Stellen personenbezogene Daten verarbeiten, ist unter den in § 7 genannten Voraussetzungen zulässig.

     


    § 32 Gewährleistung des Datenschutzes bei Übermittlungen oder sonstiger Bereitstellung

    (1) 1 Der Verantwortliche hat angemessene Maßnahmen zu ergreifen, um zu gewährleisten, dass unrichtige sowie ohne sachlichen Grund unvollständige oder nicht mehr aktuelle personenbezogene Daten nicht übermittelt oder sonst bereitgestellt werden. 2 Zu diesem Zweck hat er, soweit dies mit angemessenem Aufwand möglich ist, die Qualität der personenbezogenen Daten vor ihrer Übermittlung oder Bereitstellung zu überprüfen. 3 Bei jeder Übermittlung personenbezogener Daten hat er, soweit dies möglich und angemessen ist, Informationen beizufügen, die es dem Empfänger gestatten, die Richtigkeit, die Vollständigkeit und die Zuverlässigkeit der Daten sowie deren Aktualität zu beurteilen.

    (2) 1 Hat der Verantwortliche unrichtige personenbezogene Daten übermittelt oder war die Übermittlung unzulässig, so hat er dies dem Empfänger mitzuteilen. 2 Der Empfänger hat die übermittelten unrichtigen Daten zu berichtigen oder die unzulässig übermittelten Daten nach § 26 zu löschen oder in ihrer Verarbeitung einzuschränken.

    (3) 1 Hat der Verantwortliche personenbezogene Daten nach § 28 Abs. 1 Satz 1 Nr. 1 gelöscht oder nach § 28 Abs. 2 Satz 1 Nr. 1 oder 2 in der Verarbeitung eingeschränkt, so hat er anderen Empfängern, denen er die Daten übermittelt hat, diese Maßnahmen mitzuteilen. 2 Der Empfänger hat die Daten zu löschen oder in ihrer Verarbeitung einzuschränken.

    (4) 1 Gelten für die Verarbeitung von personenbezogenen Daten besondere Bedingungen, so hat bei Datenübermittlungen die übermittelnde Stelle den Empfänger auf diese Bedingungen und die Pflicht zu ihrer Beachtung hinzuweisen. 2 Die Hinweispflicht kann dadurch erfüllt werden, dass die Daten entsprechend gekennzeichnet werden.

    (5) Die übermittelnde Stelle darf auf Empfänger in anderen Mitgliedstaaten der Europäischen Union und in Schengen assoziierten Staaten keine Bedingungen anwenden, die nicht auch für entsprechende innerstaatliche Datenübermittlungen gelten.

    (6) § 5 ist bei der Übermittlung im Anwendungsbereich dieses Teils entsprechend anwendbar.

     


    § 34 Technische und organisatorische Maßnahmen zum Datenschutz und zur Datensicherheit

    (1) Der Verantwortliche hat unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und der Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen zu treffen, um bei der Verarbeitung personenbezogener Daten ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere im Hinblick auf die Verarbeitung besonderer Kategorien personenbezogener Daten.

    (2) 1 Der Verantwortliche hat sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der Verarbeitung selbst angemessene Vorkehrungen zu treffen, die geeignet sind, die Datenschutzgrundsätze wie etwa die Datensparsamkeit wirksam umzusetzen, und die sicherstellen, dass die gesetzlichen Anforderungen eingehalten und die Rechte der betroffenen Personen geschützt werden. 2 Er hat hierbei den Stand der Technik, die Implementierungskosten und die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten sowie berechtigte Interessen der betroffenen Personen zu berücksichtigen. 3 Insbesondere sind die Verarbeitung personenbezogener Daten und die Auswahl und Gestaltung von Datenverarbeitungssystemen an dem Ziel auszurichten, so wenig personenbezogene Daten wie möglich zu verarbeiten. 4 Personenbezogene Daten sind zum frühestmöglichen Zeitpunkt zu anonymisieren oder zu pseudonymisieren, soweit dies nach dem Verarbeitungszweck möglich ist.

    (3) 1 Der Verantwortliche hat geeignete technische und organisatorische Maßnahmen zu treffen, die sicherstellen, dass durch Voreinstellungen grundsätzlich nur solche personenbezogenen Daten verarbeitet werden, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist. 2 Dies betrifft die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. 3 Die Maßnahmen müssen insbesondere sicherstellen, dass die personenbezogenen Daten durch Voreinstellungen nicht automatisiert einer unbestimmten Anzahl von Personen zugänglich gemacht werden können.

     


    § 35 Anforderungen bei der automatisierten Datenverarbeitung, Protokollierung

    (1) Im Fall einer automatisierten Verarbeitung hat der Verantwortliche auf Grundlage einer Risikobewertung nach § 34 Abs. 1 und 2 Maßnahmen zu ergreifen, die je nach Art der Daten und ihrer Verwendung geeignet sind,

    1. Unbefugten den Zugang zu den Verarbeitungsanlagen zu verwehren (Zugangskontrolle),

    2. zu verhindern, dass Datenträger unbefugt gelesen, kopiert, verändert oder entfernt werden können (Datenträgerkontrolle),

    3. zu verhindern, dass personenbezogene Daten unbefugt in den Speicher eingegeben oder gespeicherte personenbezogene Daten zur Kenntnis genommen, verändert oder gelöscht werden (Speicherkontrolle),

    4. zu verhindern, dass Datenverarbeitungssysteme mithilfe von Einrichtungen zur Datenübertragung von Unbefugten benutzt werden können (Benutzerkontrolle),

    5. zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten Zugriff haben (Zugriffskontrolle),

    6. zu gewährleisten, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mithilfe von Einrichtungen zur Datenübertragung übermittelt oder zur Verfügung gestellt wurden oder werden können (Übertragungskontrolle),

    7. zu gewährleisten, dass überprüft und festgestellt werden kann, welche personenbezogenen Daten zu welcher Zeit von wem in automatisierte Datenverarbeitungssysteme eingegeben oder verändert worden sind (Eingabekontrolle),

    8. zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle),

    9. zu gewährleisten, dass Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen der Auftraggeber verarbeitet werden können (Auftragskontrolle),

    10. zu gewährleisten, dass bei der Übertragung von Daten sowie beim Transport von Datenträgern diese nicht unbefugt gelesen, kopiert, verändert oder gelöscht werden können (Transportkontrolle),

    11. die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird (Organisationskontrolle),

    12. zu gewährleisten, dass eingesetzte Systeme im Störungsfall wiederhergestellt werden können (Wiederherstellung),

    13. zu gewährleisten, dass alle Funktionen des Systems zur Verfügung stehen und auftretende Fehlfunktionen gemeldet werden (Zuverlässigkeit),

    14. zu gewährleisten, dass gespeicherte personenbezogene Daten nicht durch Fehlfunktionen des Systems beschädigt werden können (Datenintegrität).

    (2) In automatisierten Datenverarbeitungssystemen hat der Verantwortliche zumindest folgende Verarbeitungsvorgänge zu protokollieren:

    1. Erhebung,

    2. Veränderung,

    3. Abfrage,

    4. Offenlegung einschließlich Übermittlung,

    5. Kombination und

    6. Löschung

    der personenbezogenen Daten.

    (3) Die Protokolle über Abfragen und Offenlegungen müssen es ermöglichen, die Begründung, das Datum und die Uhrzeit dieser Vorgänge und so weit wie möglich die Identifizierung der Person, die die personenbezogenen Daten abgefragt oder offengelegt hat, und die Identität des Empfängers solcher personenbezogenen Daten festzustellen.

    (4) 1 Die Protokolldaten dürfen ausschließlich verwendet werden für

    1. Strafverfahren,

    2. die Gewährleistung der Datensicherheit oder des ordnungsgemäßen Betriebes eines Datenverarbeitungssystems,

    3. die Überprüfung der Rechtmäßigkeit der Datenverarbeitung durch die Datenschutzbeauftragte oder den Datenschutzbeauftragten oder durch die von dem oder der Landesbeauftragten für den Datenschutz geleitete Behörde.

    2 Der Verantwortliche hat die Protokolle der von der oder dem Landesbeauftragten für den Datenschutz geleiteten Behörde auf Anforderung zur Verfügung zu stellen. 3 Die Protokolldaten sind am Ende des auf deren Generierung folgenden Jahres zu löschen.

     


    § 36 Datengeheimnis

    1 Mit Datenverarbeitung befasste Personen dürfen personenbezogene Daten nicht unbefugt verarbeiten (Datengeheimnis). 2 Das Datengeheimnis besteht auch nach der Beendigung ihrer Tätigkeit fort. 3 Die Personen sind über die bei ihrer Tätigkeit zu beachtenden Vorschriften über den Datenschutz zu unterrichten.

     


    § 45 Auftragsverarbeitung

    (1) 1 Werden personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet, so bleibt dieser für die Einhaltung der Vorschriften dieses Teils und anderer Vorschriften über den Datenschutz verantwortlich. 2 Die Rechte der betroffenen Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Schadensersatz sind gegenüber dem Verantwortlichen geltend zu machen. 3 Ein Auftragsverarbeiter, der die Zwecke und Mittel der Verarbeitung unter Verstoß gegen diese Vorschrift bestimmt, gilt in Bezug auf diese Verarbeitung als Verantwortlicher.

    (2) Für die Auswahl der Auftragsverarbeiter durch den Verantwortlichen ist Artikel 28 Abs. 1 der Datenschutz-Grundverordnung entsprechend anwendbar.

    (3) 1 Die Verarbeitung durch einen Auftragsverarbeiter hat auf der Grundlage eines Vertrags oder eines anderen in Artikel 28 Abs. 3 Satz 1 der Datenschutz-Grundverordnung genannten Rechtsinstruments zu erfolgen. 2 Der Vertrag oder das andere Rechtsinstrument hat insbesondere vorzusehen, dass der Auftragsverarbeiter

    1. nur auf dokumentierte Weisung des Verantwortlichen handelt,

    2. gewährleistet, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet werden, soweit sie keiner angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen,

    3. den Verantwortlichen mit geeigneten Mitteln dabei unterstützt, die Einhaltung der Bestimmungen über die Rechte der betroffenen Person zu gewährleisten,

    4. alle personenbezogenen Daten nach Abschluss der Erbringung der Verarbeitungsleistungen nach Wahl des Verantwortlichen zurückgibt oder löscht und bestehende Kopien vernichtet, wenn nicht nach einer Rechtsvorschrift eine Verpflichtung zur Speicherung der Daten besteht,

    5. dem Verantwortlichen alle erforderlichen Informationen, insbesondere die nach § 35 Abs. 2 bis 5 erstellten Protokolle, zum Nachweis der Einhaltung seiner Pflichten zur Verfügung stellt,

    6. Überprüfungen, die von dem Verantwortlichen oder einer von diesem beauftragten prüfenden Person durchgeführt werden, ermöglicht und dazu beiträgt,

    7. die in Absatz 4 aufgeführten Bedingungen für die Inanspruchnahme der Dienste eines weiteren Auftragsverarbeiters einhält,

    8. alle nach § 35 Abs. 1 erforderlichen Maßnahmen ergreift und

    9. unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen bei der Einhaltung der in den §§ 25 bis 28, 32, 34 bis 42, 45 Abs. 6 und § 57 Abs. 4 genannten Pflichten unterstützt.

    (4) Der Vertrag oder das andere Rechtsinstrument im Sinne des Absatzes 3 ist schriftlich oder elektronisch abzufassen.

    (5) 1 Zieht ein Auftragsverarbeiter einen weiteren Auftragsverarbeiter hinzu, so hat er diesem dieselben Verpflichtungen aus seinem Vertrag oder anderen Rechtsinstrument mit dem Verantwortlichen nach Absatz 3 aufzuerlegen, die auch für ihn gelten, soweit diese Pflichten für den weiteren Auftragsverarbeiter nicht schon aufgrund anderer Vorschriften verbindlich sind. 2 Erfüllt ein weiterer Auftragsverarbeiter diese Verpflichtungen nicht, so haftet der ihn beauftragende Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des weiteren Auftragsverarbeiters. 3 Für die vorherige schriftliche Genehmigung der Beauftragung eines weiteren Auftragsverarbeiters durch den Verantwortlichen ist Artikel 28 Abs. 2 der Datenschutz-Grundverordnung entsprechend anwendbar.

    (6) 1 Wenn dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt wird, so meldet er diese dem Verantwortlichen unverzüglich. 2 Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung rechtswidrig ist, so hat er den Verantwortlichen unverzüglich zu informieren.

    (7) 1 Der Auftragsverarbeiter hat ein Verzeichnis zu allen Kategorien von im Auftrag des Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung in entsprechender Anwendung des Artikels 30 Abs. 2 der Datenschutz-Grundverordnung zu erstellen. 2 Artikel 30 Abs. 3 und 4 der Datenschutz-Grundverordnung ist entsprechend anwendbar.

    (8) Im Übrigen hat der Auftragsverarbeiter die Verpflichtungen aus den §§ 34 bis 37, 40, 45 Abs. 6 und § 57 Abs. 4 einzuhalten oder den Verantwortlichen bei der Einhaltung seiner in Absatz 3 Satz 2 Nr. 9 genannten Verpflichtungen zu unterstützen.

     


    § 46 Allgemeine Voraussetzungen

    (1) 1 Die Übermittlung personenbezogener Daten an Stellen in Drittländern oder an internationale Organisationen ist bei Vorliegen der übrigen für Datenübermittlungen geltenden Voraussetzungen zulässig, wenn

    1. die Stelle oder internationale Organisation für die in § 23 genannten Zwecke zuständig ist und

    2. die Europäische Kommission nach Artikel 36 Abs. 3 der Richtlinie (EU) Nr. 2016/680 einen Angemessenheitsbeschluss gefasst hat, gemäß § 47 geeignete Garantien für den Schutz personenbezogener Daten bestehen oder eine Ausnahme nach § 48 vorliegt.

    2 Eine Übermittlung nach Satz 1 Nr. 2 ist unzulässig, wenn ein datenschutzrechtlich angemessener und die elementaren Menschenrechte wahrender Umgang mit den Daten beim Empfänger nicht hinreichend gesichert ist oder sonst überwiegende schutzwürdige Interessen einer betroffenen Person der Übermittlung entgegenstehen. 3 Bei seiner Beurteilung hat der Verantwortliche maßgeblich zu berücksichtigen, ob der Empfänger im Einzelfall einen angemessenen Schutz der übermittelten Daten garantiert.

    (2) 1 Wenn personenbezogene Daten, die aus einem anderen Mitgliedstaat der Europäischen Union übermittelt oder zur Verfügung gestellt wurden, nach Absatz 1 übermittelt werden sollen, so muss diese Übermittlung zuvor von der zuständigen Stelle des anderen Mitgliedstaates genehmigt werden. 2 Übermittlungen ohne vorherige Genehmigung sind nur dann zulässig, wenn die Übermittlung erforderlich ist, um eine unmittelbare und ernsthafte Gefahr für die öffentliche Sicherheit eines Mitgliedstaates oder eines Drittlandes oder für die wesentlichen Interessen eines Mitgliedstaates abzuwehren, und die vorherige Genehmigung nicht rechtzeitig eingeholt werden kann. 3 Im Fall des Satzes 2 ist die Stelle des anderen Mitgliedstaates, die für die Erteilung der Genehmigung zuständig gewesen wäre, unverzüglich über die Übermittlung zu unterrichten.

    (3) 1 Der Verantwortliche, der Daten nach Absatz 1 übermittelt, hat durch geeignete Maßnahmen sicherzustellen, dass der Empfänger die übermittelten Daten nur dann an Stellen in anderen Drittländern oder andere internationale Organisationen weiterübermittelt, wenn der Verantwortliche diese Übermittlung zuvor genehmigt hat. 2 Bei der Entscheidung über die Erteilung der Genehmigung hat der Verantwortliche alle maßgeblichen Faktoren zu berücksichtigen, insbesondere die Schwere der Straftat, den Zweck der ursprünglichen Übermittlung und das in dem Drittland oder der internationalen Organisation, an das oder an die die Daten weiterübermittelt werden sollen, bestehende Schutzniveau für personenbezogene Daten. 3 Eine Genehmigung darf nur dann erfolgen, wenn auch eine direkte Übermittlung an die Stelle im anderen Drittland oder die andere internationale Organisation zulässig wäre. 4 Die Zuständigkeit für die Erteilung der Genehmigung kann auch abweichend geregelt werden.

     


    § 47 Datenübermittlung bei geeigneten Garantien

    (1) Liegt entgegen § 46 Abs. 1 Nr. 2 kein Angemessenheitsbeschluss nach Artikel 36 Abs. 3 der Richtlinie (EU) Nr. 2016/680 vor, so ist eine Übermittlung bei Vorliegen der übrigen Voraussetzungen von § 46 auch dann zulässig, wenn

    1. in einem rechtsverbindlichen Instrument geeignete Garantien für den Schutz personenbezogener Daten vorgesehen sind oder

    2. der Verantwortliche nach Beurteilung aller Umstände, die bei der Übermittlung eine Rolle spielen, zu der Auffassung gelangt ist, dass geeignete Garantien für den Schutz personenbezogener Daten bestehen.

    (2) 1 Der Verantwortliche hat Übermittlungen nach Absatz 1 Nr. 2 zu dokumentieren. 2 Die Dokumentation hat den Zeitpunkt der Übermittlung, Informationen über die empfangende zuständige Behörde, die Begründung der Übermittlung und die übermittelten personenbezogenen Daten zu enthalten. 3 Sie ist der von der oder dem Landesbeauftragten für den Datenschutz geleiteten Behörde auf Anforderung zur Verfügung zu stellen.

    (3) 1 Der Verantwortliche hat der von der oder dem Landesbeauftragten für den Datenschutz geleiteten Behörde zumindest jährlich über Übermittlungen zu unterrichten, die aufgrund einer Beurteilung nach Absatz 1 Nr. 2 erfolgt sind. 2 In der Unterrichtung kann er die Empfänger und die Übermittlungszwecke angemessen kategorisieren.

     


    § 48 Ausnahmen für eine Datenübermittlung ohne geeignete Garantien

    (1) Liegt entgegen § 46 Abs. 1 Nr. 2 kein Angemessenheitsbeschluss nach Artikel 36 Abs. 3 der Richtlinie (EU) Nr. 2016/680 vor und liegen auch keine geeigneten Garantien im Sinne des § 47 Abs. 1 vor, so ist eine Übermittlung bei Vorliegen der übrigen Voraussetzungen des § 46 auch dann zulässig, wenn die Übermittlung erforderlich ist

    1. zum Schutz lebenswichtiger Interessen einer natürlichen Person,

    2. zur Wahrung berechtigter Interessen der betroffenen Person,

    3. zur Abwehr einer gegenwärtigen und erheblichen Gefahr für die öffentliche Sicherheit eines Staates,

    4. im Einzelfall für die in § 23 genannten Zwecke oder

    5. im Einzelfall zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen im Zusammenhang mit den in § 23 genannten Zwecken.

    (2) Der Verantwortliche hat von einer Übermittlung nach Absatz 1 abzusehen, wenn die Grundrechte der betroffenen Person das öffentliche Interesse an der Übermittlung überwiegen.

    (3) Für Übermittlungen nach Absatz 1 ist § 47 Abs. 2 und 3 entsprechend anwendbar.

     


    § 49 Sonstige Datenübermittlung an Empfänger in Drittländern

    (1) Verantwortliche können bei Vorliegen der übrigen für die Datenübermittlung in Drittländer geltenden Voraussetzungen im besonderen Einzelfall personenbezogene Daten unmittelbar an nicht in § 46 Abs. 1 Nr. 1 genannte Stellen in Drittländern übermitteln, wenn die Übermittlung zur Erfüllung ihrer Aufgaben für die in § 23 genannten Zwecke unerlässlich ist und

    1. im konkreten Fall keine Grundrechte der betroffenen Person das öffentliche Interesse an einer Übermittlung überwiegen,

    2. die Übermittlung an die in § 46 Abs. 1 Nr. 1 genannten Stellen wirkungslos oder ungeeignet wäre, insbesondere weil sie nicht rechtzeitig durchgeführt werden kann, und

    3. der Verantwortliche dem Empfänger die Zwecke der Verarbeitung mitteilt und ihn darauf hinweist, dass die übermittelten Daten nur in dem Umfang verarbeitet werden dürfen, in dem ihre Verarbeitung für diese Zwecke erforderlich ist.

    (2) Im Fall des Absatzes 1 hat der Verantwortliche die in § 46 Abs. 1 Nr. 1 genannten Stellen unverzüglich über die Übermittlung zu unterrichten, sofern dies nicht wirkungslos oder ungeeignet ist.

    (3) Für Übermittlungen nach Absatz 1 gilt § 47 Abs. 2 und 3 entsprechend.

    (4) Bei Übermittlungen nach Absatz 1 hat der Verantwortliche den Empfänger zu verpflichten, die übermittelten personenbezogenen Daten ohne seine Zustimmung nur für den Zweck zu verarbeiten, für den sie übermittelt worden sind.

    (5) Abkommen im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit bleiben unberührt.

     


    § 52 Berichtigung, Löschung und Einschränkung der Verarbeitung

    (1) 1 Die betroffene Person hat das Recht, von dem Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger Daten zu verlangen. 2 Insbesondere im Fall von Aussagen oder Beurteilungen betrifft die Frage der Richtigkeit nicht den Inhalt der Aussage oder der Beurteilung, sondern die Tatsache, dass die Aussage oder Beurteilung so erfolgt ist. 3 Hat der Verantwortliche eine Berichtigung vorgenommen, so hat er einer Stelle, die ihm die personenbezogenen Daten zuvor übermittelt hat, die Berichtigung mitzuteilen. 4 Wenn die Richtigkeit oder Unrichtigkeit der Daten nicht festgestellt werden kann, so tritt an die Stelle der Berichtigung eine Einschränkung der Verarbeitung. 5 In diesem Fall hat der Verantwortliche die betroffene Person zu unterrichten, bevor er die Einschränkung wieder aufhebt. 6 Die betroffene Person kann zudem die Vervollständigung unvollständiger personenbezogener Daten verlangen, wenn dies unter Berücksichtigung der Verarbeitungszwecke angemessen ist.

    (2) Die betroffene Person hat das Recht, von dem Verantwortlichen unverzüglich die Löschung sie betreffender Daten zu verlangen, wenn ihre Verarbeitung unzulässig oder ihre Kenntnis für die Aufgabenerfüllung nicht mehr erforderlich ist oder sie zur Erfüllung einer rechtlichen Verpflichtung gelöscht werden müssen.

    (3) § 28 Abs. 2 und 3 und § 32 Abs. 2 und 3 sind anwendbar.

    (4) 1 Der Verantwortliche hat die betroffene Person über eine Verweigerung der Berichtigung oder Löschung personenbezogener Daten oder über die an deren Stelle tretende Einschränkung der Verarbeitung und über die Gründe hierfür schriftlich zu unterrichten. 2 Dies gilt nicht, wenn die Erteilung dieser Informationen eine Gefährdung im Sinne des § 51 Abs. 3 mit sich bringen würde. 3 Die Unterrichtung nach Satz 1 ist zu begründen, es sei denn, dass die Mitteilung der Gründe den mit dem Absehen von der Unterrichtung verfolgten Zweck gefährden würde. 4 § 51 Abs. 6 und 7 ist entsprechend anwendbar.
     

  • Albrecht/Höroldt, IT-Sicherheit 1/2013, 29 (Datenkonsistenz im Katastrophenfall)
  • BT-Drs. 18/4096
  • BT-Drs. 18/5121
  • Bartels/Backer, DuD 2016, 22 (Telemedien, IT-Sicherheit, TOV)
  • Becker/Nikolaeva, CR 2012, 170 (IT-Sicherheit und Datenschutz bei Cloud-Anbietern, US Patriot Act, transnationaler Datenverkehr)
  • Bergt, CR 2014, 726 (Verschlüsselung nach dem Stand der Technik als rechtliche Verpflichtung
  • Brandenburg/Leuthner, ZD 2015, 111 (Mobile Payment)
  • Bräutigam/Wilmer, ZRP 2015, 38 (Meldepflichten im IT-SiG)
  • Deusch/Eggendorfer, K&R 2015, 11 (Verschlüsselte Kommunikation in Unternehmen)
  • Deutsch/Eggendorfer, K&R 2017, 93 (Fernmeldegeheimnis und Kommunikationstechnologien)
  • Djeffal, MMR 2015, 716 (Telemediendiensteanbieter, Sicherungspflichten, IT-SiG)
  • Dorndorf/ Schneidereit, CR 2017, 21-26 (E-Signing von Verträgen mittels qualifizierter elektronischer Signatur nach eIDAS)
  • Eckhardt, DuD 2015, 176 (IT-Sicherheitsund Datenschutzanforderungen an Cloud-Computing-Dienste)
  • Foitzick/Plankemann, CCZ 2015, 180 (Cloud Computing)
  • Gaycken/Karger, MMR 2011, 3 (Entnetzung, IT-Sicherheit)
  • Gehrmann/Klett, K&R 2017, 372 (Umsetzung des IT-SiG)
  • Gerlach, CR 2015, 581 (Sicherheitsanforderrungen für Telemediendienste)
  • Gliss, DSB 2010, 12 (Testdatenbanken)
  • Gola, K&R 2017, 145 (Interpretation der DSGVO)
  • Greveler/Reinermann, CCZ 2015, 274 (Informationssicherheit in KMU)
  • Heidrich/Wegener, MMR 2015, 487 (Protokollierung von IT-Daten, Logging)
  • Hellmich/Hufen, K&R 2015, 688 (Datenschutz bei Mobile Payment)
  • Hornung: NJW 2015, 3334 (Neue Pflichten nach dem IT-SiG)
  • Imping/Pohle, K&R 2012, 470 (Rechtliche Herausforderungen an BYOD)
  • Inés, K&R 2017, 361 (Rechtsgrundlagen offenes WLAN)
  • Iraschko-Luscher/Kiekenbeck, DuD 2012, 902 (IT-Sicherheit und Datenschutz bei Online-Zahlungsdiensten)
  • Kremer, CR 2017, 367 (Neues BDSG)
  • Krohm/Müller-Peltzer: ZD 2015, 409 (Identifizierung anonymer Internetnutzer, Kommunikationsfreiheit, Persönlichkeitsrechte)
  • Leisterer, CR 2015, 665 (Pflichten zur Netzund Informationssicherheit, Datenverarbeitung zur Gefahrenabwehr)
  • Leisterer/Schneider, K&R 2015, 681 (Staatliches Informationshandeln, IT-Sicherheit)
  • Lotz/Wendler, CR 2016, 31 (TOM, Abdingbarkeit von § 9 BDSG für Betreiber von KRITIS)
  • Matthiessen/Strigl, IT-Sicherheit 3/2012, 24 (Sicherer Datenaustausch in Clouds)
  • Mehrbrey/Schreibauer, MMR 2016, 75 (Ansprüche u. Haftungsrisiken von Unternehmen bei Cyberangriffen)
  • Molzen, IT-Sicherheit 4/2012, 44 (Datensicherung in kleinen und mittelst. Unternehmen)
  • Müglich, CR 2009, 479 (Datenschutzrechtliche Anforderungen an die Vertragsgestaltung beim eShop-Hosting)
  • Papendorf/Lepperhoff, DuD 2016, 107 (IT-Sicherheitsanforderungen gem. TMG)
  • Rath/Kuss/Bach, K&R 2015, 437 (IT-SiG)
  • Roßnagel, CR 2011, 23 (sicherer elektronischer Rechtsverkehr)
  • Roßnagel, NJW 2011, 1473 (De-Mail)
  • Roßnagel, NJW 2014,3686 (Sichere elektronische Transaktionen)
  • Sachs/Meder, ZD 2013, 303 (Datenschutzrechtliche Anforderungen an App-Anbieter);
  • Schallbruch, CR 2017, 648 (IT-Sicherheit)
  • Schmidt, IT-Sicherheit 2/2012, 36 (Compliance in hybriden Clouds)
  • Schneider, IT-Sicherheit 3/2012, 56 (Cloudsicherheit)
  • Schneider, IT-Sicherheit, 2/2013, 23 (Auftragsdatenverarbeitung in der Cloud)
  • Schürmann, DSB 2016, 32 (Anforderungen des IT-SiG im Bereich Web & App)
  • Sosna, CR 2014, 825-832 (eIDAS-Verordnung)
  • Ulmer/Rath, CCZ 2016, 142 (DS-GVO)
  • Wicker, MMR 2014, 715 (Haftungsfragen der Cloud-Anbieter bei IT-Ausfällen und Datenschutzverletzungen)
  • Wrede/Kirsch, ZD 2013, 433, (Identifizierungsmöglichkeiten bei De-Mail)
  • Suche in Deutsch und Englisch

    Thema


    Ergebnis 1

    ECMA TR 46:1988-07



    Ergebnis 2

    NIST FIPS 199:2004-02



    Ergebnis 3

    NIST FIPS 200:2006-03



    Ergebnis 4

    NIST FIPS 202:2015-08



    Ergebnis 5

    ECMA 206:1993-12



    Ergebnis 6

    ECMA 219:1996-03



    Ergebnis 7

    EmpfBS 1115:2019-03



    Ergebnis 8

    ISO/IEC 2382:2015-05



    Ergebnis 9

    DIN SPEC 3104:2019-04



    Ergebnis 10

    VdS 3478:2015-07