Cybersecurity Navigator Login

SächsDSG - Sächsisches Datenschutzgesetz

SächsDSG - Sächsisches Datenschutzgesetz

Sektor Informationstechnik und Telekommunikation
Branche Informationstechnik
Ebene Landesrecht
Bundesland Sachsen
Rechtsakt Gesetzlich

  • Sächsisches Datenschutzgesetz
    SächsDSG
    §§ 4; 6-17; 20; 32-36

    § 4 Zulässigkeit der Datenverarbeitung

    (1) Die Verarbeitung personenbezogener Daten ist nur zulässig,

    1. wenn dieses Gesetz oder eine andere Rechtsvorschrift sie erlaubt oder

    2. soweit der Betroffene eingewilligt hat.

    (2) Die Verarbeitung personenbezogener Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie von Daten über Gesundheit oder Sexualleben, ist nur zulässig, wenn

    1. aus Gründen eines wichtigen öffentlichen Interesses eine besondere Rechtsvorschrift dies ausdrücklich vorsieht oder zwingend voraussetzt,

    2. der Betroffene eingewilligt hat, wobei sich die Einwilligung ausdrücklich auf diese Daten beziehen muss,

    3. die Verarbeitung für den Schutz lebenswichtiger Interessen des Betroffenen oder eines Dritten erforderlich ist, sofern der Betroffene aus physischen oder rechtlichen Gründen außerstande ist, seine Einwilligung zu erteilen, oder

    4. offenkundig ist, dass der Betroffene die Daten selbst öffentlich zugänglich gemacht hat.

    (3) Wer die Einwilligung des Betroffenen einholt, hat ihn zuvor in geeigneter Weise über die beabsichtigte Datenverarbeitung und ihren Zweck sowie die Empfänger vorgesehener Übermittlungen aufzuklären. Dabei ist er unter Darlegung der Rechtsfolgen darauf hinzuweisen, dass die Einwilligung verweigert und mit Wirkung für die Zukunft widerrufen werden kann, sofern dem Widerruf keine Rechtsgründe entgegenstehen.

    (4) Die Einwilligung und die Hinweise bedürfen der Schriftform, soweit nicht im Einzelfall wegen besonderer Umstände eine andere Form angemessen ist. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist die Einwilligungserklärung im äußeren Erscheinungsbild der Erklärung hervorzuheben.

    (5) Das Erfordernis der Schriftform für die Einwilligung nach Absatz 4 kann durch die mit einer qualifizierten elektronischen Signatur verbundene elektronische Form ersetzt werden. Die Signatur mit einem Pseudonym ersetzt nicht die Schriftform.


    § 6 Datengeheimnis

    (1) Den für eine öffentliche Stelle tätigen Personen ist es untersagt, personenbezogene Daten unbefugt zu verarbeiten (Datengeheimnis). Das Datengeheimnis besteht auch nach Beendigung der Tätigkeit fort.

    (2) Die in Absatz 1 Satz 1 genannten Personen sind bei der Aufnahme ihrer Tätigkeit über ihre Pflichten nach Absatz 1 sowie die sonstigen bei ihrer Tätigkeit zu beachtenden Vorschriften über den Datenschutz zu unterrichten und auf deren Einhaltung schriftlich zu verpflichten.


    § 7 Datenverarbeitung im Auftrag, Datenschutz bei Wartungsarbeiten

    (1) Eine öffentliche Stelle kann, soweit gesetzlich nichts anderes bestimmt ist, einen anderen mit der Verarbeitung personenbezogener Daten beauftragen (Datenverarbeitung im Auftrag). Für die Einhaltung dieses Gesetzes und anderer Vorschriften über den Datenschutz ist der Auftraggeber verantwortlich.

    (2) Der Auftraggeber hat den Auftragnehmer unter besonderer Berücksichtigung der Eignung der von diesem getroffenen personellen, technischen und organisatorischen Maßnahmen sorgfältig auszuwählen. Der Auftrag ist schriftlich zu erteilen, wobei Gegenstand und Umfang der Datenverarbeitung, die notwendigen zusätzlichen personellen, technischen und organisatorischen Maßnahmen sowie etwaige Unterauftragsverhältnisse festzulegen sind. Der Auftraggeber ist verpflichtet, sich von der Einhaltung der getroffenen Festlegungen beim Auftragnehmer zu überzeugen. Der Auftraggeber hat dem Auftragnehmer die erforderlichen Weisungen zu erteilen. Die Datenverarbeitung ist nur im Rahmen des Auftrags und der Weisungen zulässig. Ist der Auftragnehmer der Ansicht, dass der Auftrag, eine einzelne Bestimmung des Auftrags oder eine Weisung des Auftraggebers gegen dieses Gesetz oder andere Vorschriften über den Datenschutz verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen.

    (3) Ist der Auftragnehmer keine öffentliche Stelle im Sinne dieses Gesetzes, hat der Auftraggeber die für den Auftragnehmer zuständige Kontrollbehörde über die Beauftragung zu unterrichten.

    (4) Die Beauftragung eines Auftragnehmers, der seinen Sitz außerhalb der Europäischen Union hat, ist nur zulässig, wenn eine Übermittlung an ihn nach § 17 Abs. 1 zulässig wäre. § 17 Abs. 4 gilt entsprechend.

    (5) Die Absätze 1 bis 4 gelten für Wartungs- und Fernwartungsaufträge sowie ähnliche Maßnahmen (Wartungsarbeiten) entsprechend.


    § 8 Automatisiertes Abrufverfahren

    (1) Die Einrichtung eines automatisierten Verfahrens, das die Übermittlung personenbezogener Daten an Dritte durch Abruf ermöglicht, ist zulässig, soweit dieses Verfahren unter Berücksichtigung der schutzwürdigen Interessen der Betroffenen und der Aufgaben der beteiligten Stellen angemessen ist.

    (2) Die Zulässigkeit des einzelnen Abrufs beurteilt sich nach den für die Erhebung und Übermittlung geltenden Vorschriften. Die Verantwortung für die Zulässigkeit der Übermittlung im Einzelfall trägt die abrufende Stelle. Die Stelle, die die Daten für den Abruf bereithält, prüft die Zulässigkeit des Abrufes nur, wenn dazu Anlass besteht. Sie hat zu gewährleisten, dass die Zulässigkeit der Übermittlung personenbezogener Daten zumindest stichprobenweise überprüft werden kann.

    (3) Die Stelle, die die Daten für den Abruf bereithält, führt das Verzeichnis nach § 10.

    (4) Absatz 1 gilt nicht für Datenbestände, die der Allgemeinheit zur Benutzung offen stehen oder deren Veröffentlichung zulässig wäre.


    § 9 Maßnahmen zur Gewährleistung des Datenschutzes

    (1) Öffentliche Stellen, die personenbezogene Daten verarbeiten, haben alle angemessenen personellen, technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um eine den Vorschriften dieses Gesetzes entsprechende Datenverarbeitung zu gewährleisten. Die Grundsätze der Datenvermeidung und Datensparsamkeit sind zu beachten.

    (2) Werden personenbezogene Daten verarbeitet, sind nach dem jeweiligen Stand der Technik Maßnahmen zu treffen, die geeignet sind zu gewährleisten, dass

    1. nur Befugte personenbezogene Daten zur Kenntnis nehmen können (Vertraulichkeit),

    2. personenbezogene Daten während der Verarbeitung unversehrt, vollständig und aktuell bleiben (Integrität),

    3. personenbezogene Daten zeitgerecht zur Verfügung stehen und ordnungsgemäß verarbeitet werden können (Verfügbarkeit),

    4. jederzeit personenbezogene Daten ihrem Ursprung zugeordnet werden können (Authentizität),

    5. festgestellt werden kann, wer wann welche personenbezogenen Daten in welcher Weise verarbeitet hat (Revisionsfähigkeit),

    6. die Verfahrensweisen bei der Verarbeitung personenbezogener Daten vollständig, aktuell und in einer Weise dokumentiert sind, dass sie in zumutbarer Zeit nachvollzogen werden können (Transparenz).

    (3) Die Staatsregierung wird ermächtigt, durch Rechtsverordnung die in den Absätzen 1 und 2 genannten Anforderungen und Maßnahmen nach dem jeweiligen Stand der Technik näher zu bestimmen und fortzuschreiben.

    (4) Werden personenbezogene Daten in Akten verarbeitet, sind besondere Maßnahmen zu treffen, um zu verhindern, dass Unbefugte bei der Bearbeitung, der Aufbewahrung, dem Transport und der Vernichtung auf die Daten zugreifen können. 


    § 10 Verzeichnis automatisierter Verarbeitungsverfahren, Meldepflicht, Vorabkontrolle

    (1) Jede datenverarbeitende Stelle führt ein Verzeichnis der bei ihr eingesetzten automatisierten Verarbeitungsverfahren. In dem Verzeichnis sind schriftlich festzulegen:

    1. die Bezeichnung und die Anschrift der datenverarbeitenden Stelle,

    2. die Bezeichnung des Verfahrens und dessen Zweckbestimmung,

    3. die Aufgabe, zu deren Erfüllung personenbezogene Daten verarbeitet werden und die Rechtsgrundlage der Verarbeitung,

    4. die Art der zu verarbeitenden Daten,

    5. der Kreis der Betroffenen,

    6. die Art der zu übermittelnden Daten und die Empfänger der Daten,

    7. die beabsichtigte Übermittlung in Drittländer gemäß § 17,

    8. die personellen, technischen und organisatorischen Maßnahmen gemäß § 9,

    9. Regelfristen für die Löschung der Daten.

    (2) Die Gerichte führen Verzeichnisse nach Absatz 1 nur, soweit sie in Justizverwaltungsangelegenheiten tätig werden.

    (3) Die datenverarbeitenden Stellen sind verpflichtet, dem Sächsischen Datenschutzbeauftragten vor dem erstmaligen Einsatz eines automatisierten Verarbeitungsverfahrens das Verzeichnis im Sinne des Absatzes 1 zuzuleiten. Die datenverarbeitende Stelle bringt das von ihr geführte Verzeichnis regelmäßig auf den neuesten Stand und leitet das aktualisierte Verzeichnis jährlich zum 1. März dem Sächsischen Datenschutzbeauftragten zu. Bei der Bestellung eines Datenschutzbeauftragten nach § 11 entfällt die Pflicht zur Zuleitung an den Sächsischen Datenschutzbeauftragten.

    (4) Vor dem erstmaligen Einsatz oder der wesentlichen Änderung

    1. eines Verfahrens nach § 8,

    2. eines automatisierten Verfahrens, in dem Daten im Sinne des § 4 Abs. 2 verarbeitet werden oder

    3. eines automatisierten Verfahrens, in dem Daten von Beschäftigten im Sinne des § 37 verarbeitet werden,

      ist durch den Sächsischen Datenschutzbeauftragten oder im Fall der Bestellung eines Datenschutzbeauftragten nach § 11 durch diesen zu prüfen, ob die Datenverarbeitung zulässig ist und die vorgesehenen Maßnahmen nach § 9 ausreichend sind (Vorabkontrolle). Die datenverarbeitende Stelle hat ihm dazu die erforderlichen Unterlagen zur Verfügung zu stellen. Die Stellungnahme soll innerhalb eines Monats abgegeben werden. In den Fällen, in denen die Personalvertretung nach den Vorschriften des Sächsischen Personalvertretungsgesetzes (SächsPersVG) in der Fassung der Bekanntmachung vom 25. Juni 1999 (SächsGVBl. S. 430), zuletzt geändert durch Artikel 3 des Gesetzes vom 22. April 2005 (SächsGVBl. S. 121, 124), in der jeweils geltenden Fassung, zu unterrichten ist oder die der Mitwirkung oder Mitbestimmung der Personalvertretung unterliegen, ist die Stellungnahme der zuständigen Personalvertretung zuzuleiten. Entsprechendes gilt für die Unterrichtung oder Mitbestimmung des Betriebsrates nach demBetriebsverfassungsgesetz in der Fassung der Bekanntmachung vom 25. September 2001 (BGBl. I S. 2518), zuletzt geändert durch Artikel 3 Abs. 3 des Gesetzes vom 14. August 2006 (BGBl. I S. 1897, 1907), in der jeweils geltenden Fassung. Der Datenschutzbeauftragte nach § 11 einer mit der Aufsicht betrauten öffentlichen Stelle hat, wenn ein Verfahren auch von nachgeordneten öffentlichen Stellen eingesetzt werden soll, das Ergebnis seiner Vorabkontrolle diesen sowie dem Sächsischen Datenschutzbeauftragten mitzuteilen.

    (5) Die Absätze 1 bis 4 gelten nicht für Verfahren,

    1. deren einziger Zweck das Führen eines durch Rechtsvorschrift vorgeschriebenen Registers ist, das zur Information der Öffentlichkeit bestimmt ist oder allen Personen, die ein berechtigtes Interesse nachweisen können, zur Einsichtnahme offen steht, oder

    2. die ausschließlich der Unterstützung der allgemeinen Bürotätigkeit dienen, insbesondere Verfahren der Textverarbeitung, Terminüberwachung und der Führung von Adress-, Telefon- und vergleichbaren Verzeichnissen, soweit sie keine Beeinträchtigung der Rechte Betroffener erwarten lassen. 7


    § 11 Datenschutzbeauftragte öffentlicher Stellen

    (1) Öffentliche Stellen im Sinne des § 2 Abs. 1 und 2 können einen Datenschutzbeauftragten sowie einen Vertreter, der ihn bei Abwesenheit vertritt, bestellen. Die Bestellung bedarf der Schriftform. Mehrere öffentliche Stellen können gemeinsam einen Datenschutzbeauftragten bestellen. Der Datenschutzbeauftragte muss nicht Beschäftigter einer öffentlichen Stelle im Sinne dieses Gesetzes sein. § 25 Abs. 1 Satz 3 gilt entsprechend. Der Sächsische Datenschutzbeauftragte ist innerhalb eines Monats über die Bestellung zu unterrichten. Dabei sind der Name des Datenschutzbeauftragten sowie der Tag seiner Bestellung mitzuteilen. Hierüber führt der Sächsische Datenschutzbeauftragte ein Register.

    (2) Zum Datenschutzbeauftragten darf nur bestellt werden, wer die zur Erfüllung seiner Aufgaben erforderliche Sachkunde und Zuverlässigkeit besitzt und durch die Bestellung keinem Interessenkonflikt mit seinen sonstigen beruflichen Aufgaben ausgesetzt wird. Er ist bei der Erfüllung seiner Aufgaben dem Leiter der öffentlichen Stelle unmittelbar zu unterstellen und weisungsfrei. Er darf wegen der Erfüllung seiner Aufgaben nicht benachteiligt werden. Die öffentlichen Stellen haben den Datenschutzbeauftragten, soweit dies zur Erfüllung seiner Aufgaben erforderlich ist, zu unterstützen und ihn im erforderlichen Umfang von der Erfüllung seiner sonstigen dienstlichen Pflichten freizustellen.

    (3) Der Datenschutzbeauftragte darf zur Aufgabenerfüllung Einsicht in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie deren Anwendungsvorschriften nehmen. Seine Kontrolle erstreckt sich auch auf personenbezogene Daten, die einem Berufs- oder besonderem Amtsgeheimnis, insbesondere dem Steuergeheimnis nach § 30 derAbgabenordnung, unterliegen. § 27 Abs. 2 gilt entsprechend.

    (4) Der Datenschutzbeauftragte hat die Aufgabe, die öffentliche Stelle bei der Ausführung dieses Gesetzes sowie anderer Vorschriften über den Datenschutz zu unterstützen. Zu seinen Aufgaben gehört es insbesondere

    1. die Einhaltung der Datenschutzvorschriften bei der Planung, Einführung und Anwendung von Verfahren, mit denen personenbezogene Daten automatisiert verarbeitet werden, zu überwachen,

    2. die bei der Verarbeitung personenbezogener Daten tätigen Personen durch geeignete Maßnahmen mit den Bestimmungen dieses Gesetzes sowie den sonstigen Vorschriften über den Datenschutz und den besonderen Erfordernissen des Datenschutzes in ihrem Tätigkeitsbereich vertraut zu machen,

    3. für die öffentliche Stelle das Verzeichnis automatisierter Verarbeitungsverfahren (§ 10 Abs. 1) zu führen und regelmäßig auf den neuesten Stand zu bringen (§ 10 Abs. 3),

    4. die Vorabkontrolle nach § 10 Abs. 4 durchzuführen; dabei hat er sich in Zweifelsfällen nach vorheriger Unterrichtung des Leiters der öffentlichen Stelle an den Sächsischen Datenschutzbeauftragten zu wenden,

    5. auf Antrag im Einzelfall jedermann Einsicht in die Unterlagen mit den Angaben nach § 10 Abs. 1 Satz 2 Nr. 1 bis 7 zu gewähren. Hiervon sind ausgenommen die Verzeichnisse der in § 18 Abs. 7 genannten Stellen. § 18 bleibt unberührt.

    (5) Der Datenschutzbeauftragte ist, auch nach Beendigung seiner Tätigkeit, zur Verschwiegenheit über die Identität Betroffener und Beschäftigter, die sich an ihn gewandt haben, sowie über Umstände, die Rückschlüsse auf diese Personen zulassen, verpflichtet; § 6 bleibt unberührt. Dies gilt nicht, soweit die Betroffenen oder Beschäftigten ihn von der Pflicht zur Verschwiegenheit entbunden haben. 8


    § 12 Erhebung

    (1) Das Erheben personenbezogener Daten ist nur zulässig, wenn ihre Kenntnis zur Erfüllung der Aufgaben der erhebenden Stelle erforderlich ist.

    (2) Personenbezogene Daten, die nicht allgemein zugänglich sind, sind beim Betroffenen mit seiner Kenntnis zu erheben. Dabei sind ihm zumindest Bezeichnung und Anschrift der erhebenden Stelle und gegebenenfalls des Auftragnehmers sowie der Erhebungszweck mitzuteilen. Werden die Daten aufgrund einer Rechtsvorschrift erhoben, die zur Auskunft verpflichtet, oder ist die Erteilung der Auskunft Voraussetzung für die Gewährung von Rechtsvorteilen, ist der Betroffene hierauf, sonst auf die Freiwilligkeit seiner Angaben hinzuweisen. Über die Folgen der Verweigerung von Angaben ist der Betroffene aufzuklären.

    (3) Personenbezogene Daten, die nicht allgemein zugänglich sind, dürfen beim Betroffenen ohne seine Kenntnis nur erhoben werden, wenn eine Rechtsvorschrift dies vorsieht oder zwingend voraussetzt.

    (4) Bei Dritten dürfen personenbezogene Daten nur erhoben werden, wenn

    1. eine Rechtsvorschrift dies vorsieht oder zwingend voraussetzt,

    2. der Betroffene eingewilligt hat,

    3. offensichtlich ist, dass dies im Interesse des Betroffenen liegt, dieser nicht erreichbar ist und kein Grund zu der Annahme besteht, dass er seine Einwilligung hierzu verweigern würde,

    4. der Betroffene einer durch Rechtsvorschrift festgelegten Auskunftspflicht nicht nachgekommen ist und über die beabsichtigte Erhebung bei Dritten unterrichtet worden ist,

    5. Angaben des Betroffenen überprüft werden müssen, weil tatsächliche Anhaltspunkte für deren Unrichtigkeit bestehen,

    6. es zur Abwehr erheblicher Nachteile für das Gemeinwohl oder einer sonst unmittelbar drohenden Gefahr für die öffentliche Sicherheit erforderlich ist,

    7. es zur Abwehr einer schwerwiegenden Beeinträchtigung der Rechte einer anderen Person erforderlich ist oder

    8. die Erhebung beim Betroffenen einen unverhältnismäßigen Aufwand erfordern würde und keine Anhaltspunkte dafür vorliegen, dass überwiegende schutzwürdige Interessen des Betroffenen entgegenstehen.

    (5) Werden personenbezogene Daten bei einem Dritten außerhalb des öffentlichen Bereiches erhoben, ist dieser auf Verlangen auf den Erhebungszweck hinzuweisen, soweit dadurch schutzwürdige Interessen des Betroffenen nicht beeinträchtigt werden. Werden die Daten aufgrund einer Rechtsvorschrift erhoben, die zur Auskunft verpflichtet, ist er auf die Auskunftspflicht, sonst auf die Freiwilligkeit seiner Angaben hinzuweisen. Über die Folgen der Verweigerung von Angaben ist er aufzuklären.

    (6) Werden personenbezogene Daten beim Betroffenen ohne seine Kenntnis oder bei Dritten erhoben, ist der Betroffene zu benachrichtigen. Dabei sind ihm zumindest Bezeichnung und Anschrift der erhebenden Stelle, die Rechtsgrundlage und der Erhebungszweck sowie bei einer beabsichtigten Übermittlung auch der Empfänger der Daten mitzuteilen. Die Mitteilung erfolgt zum Zeitpunkt der Speicherung oder im Fall einer beabsichtigten Übermittlung spätestens bei der ersten Übermittlung. Eine Pflicht zur Mitteilung besteht nicht, wenn

    1. eine Auskunft nach § 18 Abs. 5 oder 7 unterbleiben würde,

    2. eine Benachrichtigung des Betroffenen unmöglich ist,

    3. eine Benachrichtigung des Betroffenen einen unverhältnismäßigen Aufwand erfordert oder

    4. die Speicherung oder Übermittlung durch Rechtsvorschrift vorgeschrieben ist.

    (7) Absatz 6 gilt für Gerichte nur, soweit sie in Justizverwaltungsangelegenheiten tätig werden.


    § 13 Speicherung, Veränderung und Nutzung

    (1) Das Speichern, Verändern und Nutzen personenbezogener Daten ist zulässig, wenn es

    1. zur Erfüllung der Aufgaben der öffentlichen Stelle erforderlich ist und die Daten nicht in unzulässiger Weise erhoben worden sind und

    2. für Zwecke erfolgt, für die die Daten erhoben worden sind; ist keine Erhebung vorausgegangen, sind die Zwecke maßgebend, für die die Daten erstmalig gespeichert worden sind.

    (2) Das Speichern, Verändern und Nutzen personenbezogener Daten für andere Zwecke ist nur zulässig, wenn

    1. die Voraussetzungen vorliegen, unter denen nach § 12 Abs. 4 eine Erhebung bei Dritten zulässig wäre,

    2. die Daten allgemein zugänglich sind oder die datenverarbeitende Stelle sie veröffentlichen dürfte, es sei denn, dass überwiegende schutzwürdige Interessen des Betroffenen entgegenstehen,

    3. es zur Verfolgung von Straftaten oder Ordnungswidrigkeiten, zur Vollstreckung oder zum Vollzug von Strafen oder Maßnahmen im Sinne des § 11 Abs. 1 Nr. 8 des Strafgesetzbuches (StGB) in der Fassung der Bekanntmachung vom 13. November 1998 (BGBl. I S. 3322), zuletzt geändert durch Artikel 1 des Gesetzes vom 22. August 2002 (BGBl. I S. 3390), in der jeweils geltenden Fassung, oder von Erziehungsmaßregeln oder Zuchtmitteln im Sinne des Jugendgerichtsgesetzes (JGG) in der Fassung der Bekanntmachung vom 11. Dezember 1974 (BGBl. I S. 3427), zuletzt geändert durch Artikel 3 des Gesetzes vom 19. Dezember 2000 (BGBl. I S. 1756), in der jeweils geltenden Fassung, oder zur Vollstreckung von Bußgeldentscheidungen erforderlich ist,

    4. es zu historischen oder statistischen Zwecken erforderlich ist und das Interesse an der Durchführung des Vorhabens das Interesse des Betroffenen am Unterbleiben der Zweckänderung erheblich überwiegt; dies gilt nicht, wenn diese Zwecke auch durch die Verwendung anonymisierter Daten erreicht werden können, es sei denn, die Anonymisierung ist nicht oder nur mit unverhältnismäßigem Aufwand möglich, oder

    5. dies für die Wahrung lebenswichtiger Interessen des Betroffenen erforderlich ist.

    (3) Eine Speicherung oder Nutzung für andere Zwecke liegt nicht vor, wenn sie der Wahrnehmung von Aufsichts- und Kontrollbefugnissen, der Rechnungsprüfung, der Durchführung von Organisationsuntersuchungen, der Prüfung und Wartung von automatisierten Verfahren der Datenverarbeitung sowie statistischen Zwecken der speichernden Stelle dient. Dies gilt auch für die Speicherung und Nutzung zu Ausbildungs- und Prüfungszwecken, soweit nicht überwiegende schutzwürdige Interessen des Betroffenen entgegenstehen.

    (4) Personenbezogene Daten, die ausschließlich zum Zwecke der Datenschutzkontrolle, der Datensicherung oder zur Sicherstellung eines ordnungsgemäßen Betriebs einer Datenverarbeitungsanlage gespeichert werden, dürfen nur für diesen Zweck und hiermit in Zusammenhang stehende Maßnahmen gegenüber Bediensteten genutzt werden.

    (5) Sind mit personenbezogenen Daten, die nach den Absätzen 1 bis 3 gespeichert werden dürfen, weitere personenbezogene Daten des Betroffenen oder eines Dritten in Akten so verbunden, dass eine Trennung nicht oder nur mit unverhältnismäßigem Aufwand möglich ist, ist die Speicherung auch dieser Daten zulässig, soweit nicht schutzwürdige Interessen des Betroffenen oder eines Dritten an deren Geheimhaltung offensichtlich überwiegen. Unter denselben Voraussetzungen dürfen die für die Aufgabenerfüllung nicht erforderlichen Daten innerhalb der speichernden Stelle weitergegeben werden; eine darüber hinausgehende Nutzung dieser Daten ist unzulässig.

    (6) Die Zusammenführung von Daten zu Persönlichkeitsprofilen ist unzulässig.


    § 14 Übermittlung an öffentliche Stellen

    (1) Die Übermittlung personenbezogener Daten an öffentliche Stellen im Sinne dieses Gesetzes, an öffentliche Stellen der anderen Länder, des Bundes, der Mitgliedstaaten der Europäischen Union sowie an Organe und Einrichtungen der Europäischen Union ist zulässig, wenn

    1. sie zur Erfüllung der Aufgaben der übermittelnden Stelle oder des Empfängers erforderlich ist und

    2. die Voraussetzungen vorliegen, die eine Nutzung nach § 13 Abs. 1 bis 4 zulassen würden.

    (2) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle. Erfolgt die Übermittlung auf Ersuchen des Empfängers, trägt dieser die Verantwortung. In diesem Fall prüft die übermittelnde Stelle nur, ob das Übermittlungsersuchen im Rahmen der Aufgaben des Empfängers liegt, es sei denn, dass besonderer Anlass zur Prüfung der Zulässigkeit der Übermittlung besteht.

    (3) Der Empfänger darf die übermittelten Daten nur für den Zweck verarbeiten, zu dessen Erfüllung sie ihm übermittelt worden sind. Eine Verarbeitung für andere Zwecke ist nur unter den Voraussetzungen des § 13 Abs. 2 zulässig. Unterliegen die übermittelten Daten einem Berufs- oder besonderen Amtsgeheimnis, ist ihre Verarbeitung für andere Zwecke nur zulässig, wenn die zur Verschwiegenheit verpflichtete Person oder Stelle eingewilligt hat.

    (4) Für die Übermittlung verbundener Daten gilt § 13 Abs. 5 entsprechend.


    § 15 Übermittlung an öffentlich-rechtliche Religionsgesellschaften

    Für die Übermittlung personenbezogener Daten an öffentlich-rechtliche Religionsgesellschaften gilt § 14 entsprechend, sofern für den Empfänger ausreichende Datenschutzregelungen gelten. Die Feststellung hierüber trifft das Staatsministerium für Kultus im Einvernehmen mit dem Sächsischen Datenschutzbeauftragten.


    § 16 Übermittlung an nicht-öffentliche Stellen

    (1) Die Übermittlung personenbezogener Daten an natürliche Personen oder nicht-öffentliche Stellen in den Mitgliedstaaten der Europäischen Union ist zulässig, wenn

    1. sie zur Erfüllung der Aufgaben der übermittelnden Stelle erforderlich ist und die Voraussetzungen vorliegen, die eine Nutzung nach § 13 Abs. 1 bis 4 zulassen würden, oder

    2. der Empfänger ein berechtigtes Interesse an der Kenntnis der zu übermittelnden Daten glaubhaft darlegt und der Betroffene kein schutzwürdiges Interesse am Unterbleiben der Übermittlung hat.

    (2) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle.

    (3) In den Fällen des Absatzes 1 Nr. 2 ist der Betroffene vor der Übermittlung zu hören und im Falle der Übermittlung zu unterrichten; dies gilt nicht, wenn dem schwerwiegende öffentliche oder private Belange entgegenstehen.

    (4) Der Empfänger darf die übermittelten Daten nur für den Zweck verarbeiten, zu dessen Erfüllung sie ihm übermittelt worden sind. Die übermittelnde Stelle hat den Empfänger hierauf hinzuweisen. Eine Verarbeitung für andere Zwecke ist nur zulässig, wenn eine Übermittlung nach Absatz 1 zulässig wäre und die übermittelnde Stelle eingewilligt hat.

    (5) Die übermittelnde Stelle kann die Übermittlung mit Auflagen versehen, die den Datenschutz beim Empfänger sicherstellen, oder mit diesem Vereinbarungen zur Gewährleistung des Datenschutzes treffen.


    § 17 Übermittlung in Drittländer

    (1) Die Übermittlung personenbezogener Daten in anderen als den in §§ 14, 15 und 16 genannten Fällen ist unter den Voraussetzungen des § 16 Abs. 1 zulässig, wenn in dem Land, in das die Daten übermittelt werden (Drittland), ein angemessenes Datenschutzniveau gewährleistet ist.

    (2) Die Angemessenheit des Datenschutzniveaus wird unter Berücksichtigung aller Umstände beurteilt, die bei Datenübermittlungen von Bedeutung sind; insbesondere können die Art der Daten, die Zweckbestimmung, die Dauer der geplanten Verarbeitung, das Herkunfts- und das Bestimmungsland, die für den Empfänger geltenden Rechtsvorschriften sowie die für ihn geltenden Standesregeln und Sicherheitsmaßnahmen herangezogen werden.

    (3) Fehlt es im Drittland an einem angemessenen Schutzniveau, ist die Übermittlung nur zulässig, wenn

    1. der Betroffene eingewilligt hat,

    2. die Übermittlung für die Erfüllung eines Vertrages zwischen dem Betroffenen und der datenverarbeitenden Stelle oder zur Durchführung von vorvertraglichen Maßnahmen auf Antrag des Betroffenen erforderlich ist,

    3. die Übermittlung zum Abschluss oder zur Erfüllung eines Vertrages erforderlich ist, der im Interesse des Betroffenen von der datenverarbeitenden Stelle mit einem Dritten geschlossen wurde oder geschlossen werden soll,

    4. die Übermittlung entweder für die Wahrung eines wichtigen öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen vor Gericht erforderlich oder gesetzlich vorgeschrieben ist,

    5. die Übermittlung für die Wahrung lebenswichtiger Interessen des Betroffenen erforderlich ist,

    6. die Übermittlung aus einem Register erfolgt, das zur Information der Öffentlichkeit bestimmt ist und entweder der gesamten Öffentlichkeit oder allen Personen, die ein berechtigtes Interesse nachweisen können, zur Einsichtnahme offen steht, soweit die gesetzlichen Voraussetzungen für die Einsichtnahme im Einzelfall gegeben sind oder

    7. der Empfänger ausreichende Garantien hinsichtlich des Schutzes des Persönlichkeitsrechts und der Ausübung der damit verbundenen Rechte bietet; die übermittelnde Stelle hat mit dem Empfänger Vereinbarungen zur Gewährleistung des Datenschutzes, insbesondere zur Zweckbindung, zu treffen.

    Datenübermittlungen nach Satz 1 Nr. 7 sind dem Sächsischen Datenschutzbeauftragten innerhalb eines Monats mitzuteilen; dieser leitet die Mitteilungen an die Europäische Kommission weiter.

    (4) Eine Übermittlung hat zu unterbleiben, soweit Grund zu der Annahme besteht, dass durch sie gegen den Zweck eines deutschen Gesetzes verstoßen würde.

    (5) § 16 Abs. 2 bis 4 gilt entsprechend.


    § 20 Löschung

    (1) Personenbezogene Daten sind zu löschen, wenn

    1. ihre Speicherung unzulässig ist oder

    2. ihre Kenntnis für die speichernde Stelle zur Erfüllung ihrer Aufgaben nicht mehr erforderlich ist.

    (2) Personenbezogene Daten in Akten sind zu löschen, wenn die speichernde Stelle im Einzelfall feststellt, dass die gesamte Akte zur Aufgabenerfüllung nicht mehr erforderlich ist.

    (3) Eine Löschung darf in den Fällen von Absatz 1 Nr. 2 und Absatz 2 erst erfolgen, nachdem die Daten dem zuständigen Archiv angeboten worden sind und dieses die Archivwürdigkeit verneint hat oder über sie nicht fristgemäß entschieden hat.

    (4) Die Löschung unterbleibt, wenn

    1. Grund zu der Annahme besteht, dass durch sie schutzwürdige Interessen des Betroffenen beeinträchtigt würden,

    2. sie wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich ist oder

    3. ihr durch Rechtsvorschriften bestimmte Aufbewahrungsfristen entgegenstehen.

    (5) Von einer Löschung nach Absatz 1 Nr. 1 sind die Empfänger übermittelter Daten nach Maßgabe des § 19 Abs. 2 zu verständigen.


    § 32 Fernmessen und Fernwirken

    (1) Öffentliche Stellen dürfen ferngesteuerte Messungen und Beobachtungen (Fernmessdienste) in Wohnungen oder Geschäftsräumen nur vornehmen, wenn der Betroffene zuvor über den Verwendungszweck sowie über Art, Umfang und Zeitraum des Einsatzes unterrichtet worden ist und danach schriftlich eingewilligt hat. Entsprechendes gilt, soweit eine Übertragungseinrichtung dazu dienen soll, in Wohnungen oder Geschäftsräumen ferngesteuerte Wirkungen auszulösen (Fernwirkdienste). Die Einrichtung von Fernmess- oder Fernwirkdiensten ist nur zulässig, wenn der Betroffene erkennen kann, wann ein Dienst in Anspruch genommen wird. Der Betroffene kann seine Einwilligung jederzeit widerrufen, soweit dies mit der Zweckbestimmung des Dienstes vereinbar ist.

    (2) Eine Leistung, der Abschluss oder die Abwicklung eines Vertragsverhältnisses dürfen nicht davon abhängig gemacht werden, dass der Betroffene nach Absatz 1 Satz 1 oder 2 einwilligt. Verweigert oder widerruft er seine Einwilligung, dürfen ihm keine Nachteile entstehen, die über die nachweisbaren Mehrkosten einer anderen Art der Datenerhebung hinausgehen.


    § 33 Videoüberwachung und Videoaufzeichnung

    (1) Die Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen (Videoüberwachung) ist nur zulässig, soweit dies zur Aufgabenerfüllung, insbesondere zur Gewährleistung der öffentlichen Sicherheit und Ordnung, oder zur Wahrnehmung eines Hausrechts erforderlich ist und schutzwürdige Interessen Betroffener nicht überwiegen.

    (2) Die Speicherung von nach Absatz 1 erhobenen Daten (Videoaufzeichnung) und deren weitere Verarbeitung ist zulässig, wenn sie zum Erreichen des verfolgten Zwecks erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen. Für einen anderen Zweck dürfen sie nur verarbeitet werden, soweit dies zur Abwehr von Gefahren für die öffentliche Sicherheit sowie zur Verfolgung von Straftaten und Ordnungswidrigkeiten erforderlich ist.

    (3) Die Tatsache der Videoüberwachung und die verantwortliche Stelle sind, soweit nicht offenkundig, durch geeignete Maßnahmen erkennbar zu machen.

    (4) Das nach Absatz 1 gewonnene Bildmaterial und daraus gefertigte Unterlagen sind spätestens nach zwei Monaten zu löschen oder zu vernichten, soweit diese nicht zur Verfolgung von Straftaten oder Ordnungswidrigkeiten, zur Geltendmachung von Rechtsansprüchen oder wegen entgegenstehender schutzwürdiger Interessen Betroffener, insbesondere zur Behebung einer bestehenden Beweisnot, erforderlich sind. § 20 Abs. 3 bleibt unberührt.


    § 34 Automatisierte Einzelentscheidungen

    (1) Entscheidungen, die für den Betroffenen eine rechtliche Folge nach sich ziehen oder diesen erheblich beeinträchtigen, dürfen nicht ausschließlich auf eine automatisierte Verarbeitung zum Zweck der Bewertung einzelner Persönlichkeitsmerkmale gestützt werden.

    (2) Absatz 1 gilt nicht, soweit

    1. eine solche Verarbeitung durch Rechtsvorschrift vorgeschrieben oder zugelassen ist,

    2. mit der Entscheidung dem Begehren des Betroffenen stattgegeben wird oder

    3. dem Betroffenen die Entscheidung unter Hinweis darauf, dass es sich um eine automatisierte Einzelentscheidung handelt, mitgeteilt und ihm Gelegenheit zur Stellungnahme gegeben wird; die öffentliche Stelle hat die Entscheidung nach Eingang der Stellungnahme erneut zu prüfen.

    (3) Das Recht des Betroffenen auf Auskunft nach § 18 erstreckt sich auch auf den strukturierten Ablauf der automatisierten Verarbeitung seiner personenbezogenen Daten und die dabei herangezogenen Entscheidungskriterien.


    § 35 Mobile personenbezogene Datenverarbeitungsmedien

    (1) Mobile personenbezogene Datenverarbeitungsmedien zum Einsatz in automatisierten Verfahren, die an die Betroffenen ausgegeben werden und die über eine von der ausgebenden Stelle oder Dritten bereitgestellte Schnittstelle Daten der Betroffenen automatisiert austauschen können, dürfen nur eingesetzt werden, soweit dies eine Rechtsvorschrift, ein Tarifvertrag oder eine Dienstvereinbarung zulässt oder der Betroffene eingewilligt hat.

    (2) Für den Betroffenen muss erkennbar sein,

    1. ob Datenverarbeitungsvorgänge auf dem mobilen Datenverarbeitungsmedium oder durch dieses veranlasst stattfinden,

    2. welche personenbezogenen Daten des Betroffenen verarbeitet werden und

    3. welcher Verarbeitungsvorgang im Einzelnen abläuft oder angestoßen wird.

    (3) Der Betroffene ist bei der Ausgabe des mobilen Datenverarbeitungsmediums über die ihm nach den §§ 18 bis 22 zustehenden Rechte und über die bei Verlust oder Zerstörung des mobilen Datenverarbeitungsmediums zu treffenden Maßnahmen aufzuklären.

     

    § 36 Verarbeitung personenbezogener Daten zu Zwecken der wissenschaftlichen Forschung

    (1) Personenbezogene Daten einschließlich solcher nach § 4 Abs. 2 dürfen verarbeitet werden, soweit dies für die Durchführung der wissenschaftlichen Forschung erforderlich ist, insbesondere der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann, und wenn das öffentliche, insbesondere das wissenschaftliche Interesse an der Durchführung des Forschungsvorhabens das Interesse des Betroffenen am Unterbleiben der Verarbeitung überwiegt.

    (2) Soweit es der Forschungszweck erlaubt, sind die Merkmale, mit deren Hilfe ein Personenbezug hergestellt werden kann, getrennt zu speichern; die Merkmale sind zu löschen, sobald der Forschungszweck dies zulässt.

    (3) Für Zwecke der wissenschaftlichen Forschung erhobene oder gespeicherte personenbezogene Daten dürfen nur für Zwecke der wissenschaftlichen Forschung verarbeitet werden.

    (4) Die wissenschaftliche Forschung betreibenden Stellen dürfen personenbezogene Daten nur veröffentlichen, soweit

    1. der Betroffene eingewilligt hat oder

    2. dies für die Darstellung von Forschungsergebnissen über Ereignisse der Zeitgeschichte unerlässlich ist und überwiegende schutzwürdige Interessen des Betroffenen nicht entgegenstehen.

    (5) Soweit die Vorschriften dieses Gesetzes auf den Empfänger der Daten keine Anwendung finden, dürfen personenbezogene Daten nur übermittelt werden, wenn sich der Empfänger verpflichtet, die Vorschriften der Absätze 1 bis 4 einzuhalten.

    (6) Soweit Forschung betreibende Stellen personenbezogene Daten zum Zweck der Durchführung wissenschaftlicher Forschung verarbeiten, haben diese einen Datenschutzbeauftragten gemäß § 11 zu bestellen. § 11 Abs. 4 Satz 2 Nr. 4 findet keine Anwendung. Bei der Mitteilung nach § 11 Abs. 4 Satz 2 Nr. 5 darf die Beschreibung der Aufgabe, zu deren Erfüllung personenbezogene Daten verarbeitet werden, auf die Angabe „Forschungsvorhaben“ beschränkt werden.
     

  • Albrecht/Höroldt, IT-Sicherheit 1/2013, 29 (Datenkonsistenz im Katastrophenfall)
  • BT-Drs. 18/4096
  • BT-Drs. 18/5121
  • Bartels/Backer, DuD 2016, 22 (Telemedien, IT-Sicherheit, TOV)
  • Becker/Nikolaeva, CR 2012, 170 (IT-Sicherheit und Datenschutz bei Cloud-Anbietern, US Patriot Act, transnationaler Datenverkehr)
  • Bergt, CR 2014, 726 (Verschlüsselung nach dem Stand der Technik als rechtliche Verpflichtung
  • Brandenburg/Leuthner, ZD 2015, 111 (Mobile Payment)
  • Bräutigam/Wilmer, ZRP 2015, 38 (Meldepflichten im IT-SiG)
  • Deusch/Eggendorfer, K&R 2015, 11 (Verschlüsselte Kommunikation in Unternehmen)
  • Deutsch/Eggendorfer, K&R 2017, 93 (Fernmeldegeheimnis und Kommunikationstechnologien)
  • Djeffal, MMR 2015, 716 (Telemediendiensteanbieter, Sicherungspflichten, IT-SiG)
  • Dorndorf/ Schneidereit, CR 2017, 21-26 (E-Signing von Verträgen mittels qualifizierter elektronischer Signatur nach eIDAS)
  • Eckhardt, DuD 2015, 176 (IT-Sicherheitsund Datenschutzanforderungen an Cloud-Computing-Dienste)
  • Foitzick/Plankemann, CCZ 2015, 180 (Cloud Computing)
  • Gaycken/Karger, MMR 2011, 3 (Entnetzung, IT-Sicherheit)
  • Gehrmann/Klett, K&R 2017, 372 (Umsetzung des IT-SiG)
  • Gerlach, CR 2015, 581 (Sicherheitsanforderrungen für Telemediendienste)
  • Gliss, DSB 2010, 12 (Testdatenbanken)
  • Gola, K&R 2017, 145 (Interpretation der DSGVO)
  • Greveler/Reinermann, CCZ 2015, 274 (Informationssicherheit in KMU)
  • Heidrich/Wegener, MMR 2015, 487 (Protokollierung von IT-Daten, Logging)
  • Hellmich/Hufen, K&R 2015, 688 (Datenschutz bei Mobile Payment)
  • Hornung: NJW 2015, 3334 (Neue Pflichten nach dem IT-SiG)
  • Imping/Pohle, K&R 2012, 470 (Rechtliche Herausforderungen an BYOD)
  • Inés, K&R 2017, 361 (Rechtsgrundlagen offenes WLAN)
  • Iraschko-Luscher/Kiekenbeck, DuD 2012, 902 (IT-Sicherheit und Datenschutz bei Online-Zahlungsdiensten)
  • Kremer, CR 2017, 367 (Neues BDSG)
  • Krohm/Müller-Peltzer: ZD 2015, 409 (Identifizierung anonymer Internetnutzer, Kommunikationsfreiheit, Persönlichkeitsrechte)
  • Leisterer, CR 2015, 665 (Pflichten zur Netzund Informationssicherheit, Datenverarbeitung zur Gefahrenabwehr)
  • Leisterer/Schneider, K&R 2015, 681 (Staatliches Informationshandeln, IT-Sicherheit)
  • Lotz/Wendler, CR 2016, 31 (TOM, Abdingbarkeit von § 9 BDSG für Betreiber von KRITIS)
  • Matthiessen/Strigl, IT-Sicherheit 3/2012, 24 (Sicherer Datenaustausch in Clouds)
  • Mehrbrey/Schreibauer, MMR 2016, 75 (Ansprüche u. Haftungsrisiken von Unternehmen bei Cyberangriffen)
  • Molzen, IT-Sicherheit 4/2012, 44 (Datensicherung in kleinen und mittelst. Unternehmen)
  • Müglich, CR 2009, 479 (Datenschutzrechtliche Anforderungen an die Vertragsgestaltung beim eShop-Hosting)
  • Papendorf/Lepperhoff, DuD 2016, 107 (IT-Sicherheitsanforderungen gem. TMG)
  • Rath/Kuss/Bach, K&R 2015, 437 (IT-SiG)
  • Roßnagel, CR 2011, 23 (sicherer elektronischer Rechtsverkehr)
  • Roßnagel, NJW 2011, 1473 (De-Mail)
  • Roßnagel, NJW 2014,3686 (Sichere elektronische Transaktionen)
  • Sachs/Meder, ZD 2013, 303 (Datenschutzrechtliche Anforderungen an App-Anbieter);
  • Schallbruch, CR 2017, 648 (IT-Sicherheit)
  • Schmidt, IT-Sicherheit 2/2012, 36 (Compliance in hybriden Clouds)
  • Schneider, IT-Sicherheit 3/2012, 56 (Cloudsicherheit)
  • Schneider, IT-Sicherheit, 2/2013, 23 (Auftragsdatenverarbeitung in der Cloud)
  • Schürmann, DSB 2016, 32 (Anforderungen des IT-SiG im Bereich Web & App)
  • Sosna, CR 2014, 825-832 (eIDAS-Verordnung)
  • Ulmer/Rath, CCZ 2016, 142 (DS-GVO)
  • Wicker, MMR 2014, 715 (Haftungsfragen der Cloud-Anbieter bei IT-Ausfällen und Datenschutzverletzungen)
  • Wrede/Kirsch, ZD 2013, 433, (Identifizierungsmöglichkeiten bei De-Mail)
  • Suche in Deutsch und Englisch

    Thema


    Ergebnis 31

    ISO/IEC TS 17961:2013-11



    Ergebnis 32

    ISO/IEC 18031:2011-11



    Ergebnis 33

    ISO/IEC 18032:2005-01



    Ergebnis 34

    ISO/IEC 18045:2008-08



    Ergebnis 35

    ISO/IEC 18180:2013-06



    Ergebnis 36

    ISO/IEC 18305:2016-11



    Ergebnis 37

    ISO/IEC 18367:2016-12



    Ergebnis 38

    ISO/IEC TS 19249:2017-10



    Ergebnis 39

    ISO/IEC TS 19608:2018-10



    Ergebnis 40

    ISO/IEC 19678:2015-05