{"id":"bgbl1-2003-3-1","kind":"bgbl1","year":2003,"number":3,"date":"2003-01-24T00:00:00Z","url":"https://offenegesetze.de/veroeffentlichung/bgbl1/2003/3#page=2","api_url":"https://api.offenegesetze.de/v1/veroeffentlichung/bgbl1-2003-3-1/","document_url":"https://media.offenegesetze.de/bgbl1/2003/bgbl1_2003_3.pdf#page=2","order":1,"title":"Neufassung des Bundesdatenschutzgesetzes","law_date":"2003-01-14T00:00:00Z","page":66,"pdf_page":2,"num_pages":23,"content":["66 Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003\nBekanntmachung\nder Neufassung des Bundesdatenschutzgesetzes\nVom 14. Januar 2003\nAuf Grund des Artikels 73 Abs. 3 des Dritten Gesetzes zur Änderung verwal-\ntungsverfahrensrechtlicher Vorschriften vom 21. August 2002 (BGBl. I S. 3322)\nwird nachstehend der Wortlaut des Bundesdatenschutzgesetzes in der seit dem\n28. August 2002 gültigen Fassung bekannt gemacht. Die Neufassung berück-\nsichtigt:\n1. das teils am 1. Juni 1991, teils am 1. Januar 1993 in Kraft getretene Gesetz\nvom 20. Dezember 1990 (BGBl. I S. 2954, 2955),\n2. den am 1. Januar 1994 in Kraft getretenen Artikel 6 Abs. 23 des Gesetzes\nvom 27. Dezember 1993 (BGBl. I S. 2378),\n3. den am 1. Januar 1995 in Kraft getretenen Artikel 12 Abs. 16 des Gesetzes\nvom 14. September 1994 (BGBl. I S. 2325),\n4. den am 24. Dezember 1997 in Kraft getretenen Artikel 3 des Gesetzes vom\n16. Dezember 1997 (BGBl. I S. 3094),\n5. den am 24. Dezember 1997 in Kraft getretenen Artikel 2 Abs. 5 des Gesetzes\nvom 17. Dezember 1997 (BGBl. I S. 3108),\n6. den am 23. Mai 2001 in Kraft getretenen Artikel 1 des Gesetzes vom 18. Mai\n2001 (BGBl. I S. 904, 2002 I S. 2252),\n7. den am 29. Juni 2001 in Kraft getretenen Artikel 3 Abs. 3 des Gesetzes vom\n26. Juni 2001 (BGBl. I S. 1254),\n8. den am 1. Januar 2002 in Kraft getretenen Artikel 21 des Gesetzes vom\n3. Dezember 2001 (BGBl. I S. 3306),\n9. den am 1. Januar 2003 in Kraft getretenen Artikel 3 Nr. 2 des Gesetzes vom\n20. Dezember 2001 (BGBl. I S. 3926),\n10. den am 1. August 2002 in Kraft getretenen Artikel 9 Abs. 1 des Gesetzes vom\n19. Juli 2002 (BGBl. I S. 2674),\n11. den am 28. August 2002 in Kraft getretenen Artikel 12 des Gesetzes vom\n21. August 2002 (BGBl. I S. 3322).\nBerlin, den 14. Januar 2003\nDer Bundesminister des Innern\nSchily","Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003 67\nBundesdatenschutzgesetz\n(BDSG)*)\nInhaltsübersicht § 15 Datenübermittlung an öffentliche Stellen\n§ 16 Datenübermittlung an nicht-öffentliche Stellen\nErster Abschnitt § 17 (weggefallen)\nAllgemeine und § 18 Durchführung des Datenschutzes in der Bundes-\ngemeinsame Bestimmungen verwaltung\n§ 1 Zweck und Anwendungsbereich des Gesetzes\nZweiter Unterabschnitt\n§ 2 Öffentliche und nicht-öffentliche Stellen\nRechte des Betroffenen\n§ 3 Weitere Begriffsbestimmungen\n§ 3a Datenvermeidung und Datensparsamkeit § 19 Auskunft an den Betroffenen\n§ 4 Zulässigkeit der Datenerhebung, -verarbeitung und -nut- § 19a Benachrichtigung\nzung § 20 Berichtigung, Löschung und Sperrung von Daten; Wider-\n§ 4a Einwilligung spruchsrecht\n§ 4b Übermittlung personenbezogener Daten ins Ausland § 21 Anrufung des Bundesbeauftragten für den Datenschutz\nsowie an über- und zwischenstaatliche Stellen\n§ 4c Ausnahmen Dritter Unterabschnitt\n§ 4d Meldepflicht Bundesbeauftragter für den Datenschutz\n§ 4e Inhalt der Meldepflicht\n§ 4f Beauftragter für den Datenschutz § 22 Wahl des Bundesbeauftragten für den Datenschutz\n§ 4g Aufgaben des Beauftragten für den Datenschutz § 23 Rechtsstellung des Bundesbeauftragten für den Daten-\nschutz\n§ 5 Datengeheimnis\n§ 24 Kontrolle durch den Bundesbeauftragten für den Daten-\n§ 6 Unabdingbare Rechte des Betroffenen schutz\n§ 6a Automatisierte Einzelentscheidung § 25 Beanstandungen durch den Bundesbeauftragten für den\n§ 6b Beobachtung öffentlich zugänglicher Räume mit optisch- Datenschutz\nelektronischen Einrichtungen § 26 Weitere Aufgaben des Bundesbeauftragten für den\n§ 6c Mobile personenbezogene Speicher- und Verarbeitungs- Datenschutz\nmedien\n§ 7 Schadensersatz Dritter Abschnitt\n§ 8 Schadensersatz bei automatisierter Datenverarbeitung\nDatenverarbeitung nicht-\ndurch öffentliche Stellen\nöffentlicher Stellen und öffentlich-\n§ 9 Technische und organisatorische Maßnahmen rechtlicher Wettbewerbsunternehmen\n§ 9a Datenschutzaudit\n§ 10 Einrichtung automatisierter Abrufverfahren Erster Unterabschnitt\n§ 11 Erhebung, Verarbeitung oder Nutzung personenbezoge- Rechtsgrundlagen der Datenverarbeitung\nner Daten im Auftrag\n§ 27 Anwendungsbereich\nZweiter Abschnitt § 28 Datenerhebung, -verarbeitung und -nutzung für eigene\nZwecke\nDatenverarbeitung § 29 Geschäftsmäßige Datenerhebung und -speicherung zum\nder öffentlichen Stellen Zweck der Übermittlung\n§ 30 Geschäftsmäßige Datenerhebung und -speicherung zum\nErster Unterabschnitt Zweck der Übermittlung in anonymisierter Form\nRechtsgrundlagen der Datenverarbeitung § 31 Besondere Zweckbindung\n§ 32 (weggefallen)\n§ 12 Anwendungsbereich\n§ 13 Datenerhebung Zweiter Unterabschnitt\n§ 14 Datenspeicherung, -veränderung und -nutzung\nRechte des Betroffenen\n*) Dieses Gesetz dient der Umsetzung der Richtlinie 95/46/EG des § 33 Benachrichtigung des Betroffenen\nEuropäischen Parlaments und des Rates vom 24. Oktober 1995 zum § 34 Auskunft an den Betroffenen\nSchutz natürlicher Personen bei der Verarbeitung personenbezogener\nDaten und zum freien Datenverkehr (ABl. EG Nr. L 281 S. 31). § 35 Berichtigung, Löschung und Sperrung von Daten","68 Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003\nDritter Unterabschnitt dafür erheben, es sei denn, die Erhebung, Verarbeitung\nAufsichtsbehörde oder Nutzung der Daten erfolgt ausschließlich für per-\nsönliche oder familiäre Tätigkeiten.\n§§ 36 und 37 (weggefallen) (3) Soweit andere Rechtsvorschriften des Bundes auf\n§ 38 Aufsichtsbehörde personenbezogene Daten einschließlich deren Veröffent-\n§ 38a Verhaltensregeln zur Förderung der Durchführung daten- lichung anzuwenden sind, gehen sie den Vorschriften die-\nschutzrechtlicher Regelungen ses Gesetzes vor. Die Verpflichtung zur Wahrung gesetz-\nlicher Geheimhaltungspflichten oder von Berufs- oder\nbesonderen Amtsgeheimnissen, die nicht auf gesetz-\nVierter Abschnitt lichen Vorschriften beruhen, bleibt unberührt.\nSondervorschriften (4) Die Vorschriften dieses Gesetzes gehen denen des\nVerwaltungsverfahrensgesetzes vor, soweit bei der\n§ 39 Zweckbindung bei personenbezogenen Daten, die einem Ermittlung des Sachverhalts personenbezogene Daten\nBerufs- oder besonderen Amtsgeheimnis unterliegen\nverarbeitet werden.\n§ 40 Verarbeitung und Nutzung personenbezogener Daten\ndurch Forschungseinrichtungen (5) Dieses Gesetz findet keine Anwendung, sofern eine\n§ 41 Erhebung, Verarbeitung und Nutzung personenbezogener in einem anderen Mitgliedstaat der Europäischen Union\nDaten durch die Medien oder in einem anderen Vertragsstaat des Abkommens\n§ 42 Datenschutzbeauftragter der Deutschen Welle\nüber den Europäischen Wirtschaftsraum belegene verant-\nwortliche Stelle personenbezogene Daten im Inland\nerhebt, verarbeitet oder nutzt, es sei denn, dies erfolgt\nFünfter Abschnitt durch eine Niederlassung im Inland. Dieses Gesetz findet\nAnwendung, sofern eine verantwortliche Stelle, die nicht\nSchlussvorschriften in einem Mitgliedstaat der Europäischen Union oder in\neinem anderen Vertragsstaat des Abkommens über den\n§ 43 Bußgeldvorschriften\nEuropäischen Wirtschaftsraum belegen ist, personen-\n§ 44 Strafvorschriften bezogene Daten im Inland erhebt, verarbeitet oder nutzt.\nSoweit die verantwortliche Stelle nach diesem Gesetz zu\nSechster Abschnitt\nnennen ist, sind auch Angaben über im Inland ansässige\nVertreter zu machen. Die Sätze 2 und 3 gelten nicht, sofern\nÜbergangsvorschriften Datenträger nur zum Zweck des Transits durch das Inland\neingesetzt werden. § 38 Abs. 1 Satz 1 bleibt unberührt.\n§ 45 Laufende Verwendungen\n§ 46 Weitergeltung von Begriffsbestimmungen\n§2\nAnlage (zu § 9 Satz 1) Öffentliche und nicht-öffentliche Stellen\n(1) Öffentliche Stellen des Bundes sind die Behörden,\ndie Organe der Rechtspflege und andere öffentlich-recht-\nErster Abschnitt lich organisierte Einrichtungen des Bundes, der bundes-\nunmittelbaren Körperschaften, Anstalten und Stiftungen\nAllgemeine und des öffentlichen Rechts sowie deren Vereinigungen un-\ngemeinsame Bestimmungen geachtet ihrer Rechtsform. Als öffentliche Stellen gelten\ndie aus dem Sondervermögen Deutsche Bundespost\n§1 durch Gesetz hervorgegangenen Unternehmen, solange\nihnen ein ausschließliches Recht nach dem Postgesetz\nZweck und\nzusteht.\nAnwendungsbereich des Gesetzes\n(2) Öffentliche Stellen der Länder sind die Behörden, die\n(1) Zweck dieses Gesetzes ist es, den Einzelnen davor\nOrgane der Rechtspflege und andere öffentlich-rechtlich\nzu schützen, dass er durch den Umgang mit seinen perso-\norganisierte Einrichtungen eines Landes, einer Gemeinde,\nnenbezogenen Daten in seinem Persönlichkeitsrecht\neines Gemeindeverbandes und sonstiger der Aufsicht des\nbeeinträchtigt wird.\nLandes unterstehender juristischer Personen des öffent-\n(2) Dieses Gesetz gilt für die Erhebung, Verarbeitung lichen Rechts sowie deren Vereinigungen ungeachtet ihrer\nund Nutzung personenbezogener Daten durch Rechtsform.\n1. öffentliche Stellen des Bundes, (3) Vereinigungen des privaten Rechts von öffentlichen\n2. öffentliche Stellen der Länder, soweit der Datenschutz Stellen des Bundes und der Länder, die Aufgaben der\nnicht durch Landesgesetz geregelt ist und soweit sie öffentlichen Verwaltung wahrnehmen, gelten ungeachtet\nder Beteiligung nicht-öffentlicher Stellen als öffentliche\na) Bundesrecht ausführen oder Stellen des Bundes, wenn\nb) als Organe der Rechtspflege tätig werden und es 1. sie über den Bereich eines Landes hinaus tätig werden\nsich nicht um Verwaltungsangelegenheiten handelt, oder\n3. nicht-öffentliche Stellen, soweit sie die Daten unter\n2. dem Bund die absolute Mehrheit der Anteile gehört\nEinsatz von Datenverarbeitungsanlagen verarbeiten,\noder die absolute Mehrheit der Stimmen zusteht.\nnutzen oder dafür erheben oder die Daten in oder aus\nnicht automatisierten Dateien verarbeiten, nutzen oder Andernfalls gelten sie als öffentliche Stellen der Länder.","Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003 69\n(4) Nicht-öffentliche Stellen sind natürliche und juristi- (8) Empfänger ist jede Person oder Stelle, die Daten\nsche Personen, Gesellschaften und andere Personen- erhält. Dritter ist jede Person oder Stelle außerhalb der\nvereinigungen des privaten Rechts, soweit sie nicht unter verantwortlichen Stelle. Dritte sind nicht der Betroffene\ndie Absätze 1 bis 3 fallen. Nimmt eine nicht-öffentliche sowie Personen und Stellen, die im Inland, in einem an-\nStelle hoheitliche Aufgaben der öffentlichen Verwaltung deren Mitgliedstaat der Europäischen Union oder in einem\nwahr, ist sie insoweit öffentliche Stelle im Sinne dieses anderen Vertragsstaat des Abkommens über den Euro-\nGesetzes. päischen Wirtschaftsraum personenbezogene Daten im\nAuftrag erheben, verarbeiten oder nutzen.\n§3 (9) Besondere Arten personenbezogener Daten sind\nWeitere Begriffsbestimmungen Angaben über die rassische und ethnische Herkunft,\npolitische Meinungen, religiöse oder philosophische\n(1) Personenbezogene Daten sind Einzelangaben über Überzeugungen, Gewerkschaftszugehörigkeit, Gesund-\npersönliche oder sachliche Verhältnisse einer bestimmten heit oder Sexualleben.\noder bestimmbaren natürlichen Person (Betroffener).\n(10) Mobile personenbezogene Speicher- und Verar-\n(2) Automatisierte Verarbeitung ist die Erhebung, Verar- beitungsmedien sind Datenträger,\nbeitung oder Nutzung personenbezogener Daten unter\n1. die an den Betroffenen ausgegeben werden,\nEinsatz von Datenverarbeitungsanlagen. Eine nicht auto-\nmatisierte Datei ist jede nicht automatisierte Sammlung 2. auf denen personenbezogene Daten über die Speiche-\npersonenbezogener Daten, die gleichartig aufgebaut ist rung hinaus durch die ausgebende oder eine andere\nund nach bestimmten Merkmalen zugänglich ist und aus- Stelle automatisiert verarbeitet werden können und\ngewertet werden kann. 3. bei denen der Betroffene diese Verarbeitung nur durch\n(3) Erheben ist das Beschaffen von Daten über den den Gebrauch des Mediums beeinflussen kann.\nBetroffenen.\n§ 3a\n(4) Verarbeiten ist das Speichern, Verändern, Übermit-\nteln, Sperren und Löschen personenbezogener Daten. Im Datenvermeidung und Datensparsamkeit\nEinzelnen ist, ungeachtet der dabei angewendeten\nGestaltung und Auswahl von Datenverarbeitungssyste-\nVerfahren:\nmen haben sich an dem Ziel auszurichten, keine oder so\n1. Speichern das Erfassen, Aufnehmen oder Aufbewah- wenig personenbezogene Daten wie möglich zu erheben,\nren personenbezogener Daten auf einem Datenträger zu verarbeiten oder zu nutzen. Insbesondere ist von den\nzum Zweck ihrer weiteren Verarbeitung oder Nutzung, Möglichkeiten der Anonymisierung und Pseudonymisie-\n2. Verändern das inhaltliche Umgestalten gespeicherter rung Gebrauch zu machen, soweit dies möglich ist und\npersonenbezogener Daten, der Aufwand in einem angemessenen Verhältnis zu dem\nangestrebten Schutzzweck steht.\n3. Übermitteln das Bekanntgeben gespeicherter oder\ndurch Datenverarbeitung gewonnener personenbezo- §4\ngener Daten an einen Dritten in der Weise, dass\nZulässigkeit der Daten-\na) die Daten an den Dritten weitergegeben werden erhebung, -verarbeitung und -nutzung\noder\n(1) Die Erhebung, Verarbeitung und Nutzung personen-\nb) der Dritte zur Einsicht oder zum Abruf bereitgehal-\nbezogener Daten sind nur zulässig, soweit dieses Gesetz\ntene Daten einsieht oder abruft,\noder eine andere Rechtsvorschrift dies erlaubt oder\n4. Sperren das Kennzeichnen gespeicherter personen- anordnet oder der Betroffene eingewilligt hat.\nbezogener Daten, um ihre weitere Verarbeitung oder (2) Personenbezogene Daten sind beim Betroffenen zu\nNutzung einzuschränken, erheben. Ohne seine Mitwirkung dürfen sie nur erhoben\n5. Löschen das Unkenntlichmachen gespeicherter per- werden, wenn\nsonenbezogener Daten. 1. eine Rechtsvorschrift dies vorsieht oder zwingend vor-\n(5) Nutzen ist jede Verwendung personenbezogener aussetzt oder\nDaten, soweit es sich nicht um Verarbeitung handelt. 2. a) die zu erfüllende Verwaltungsaufgabe ihrer Art nach\n(6) Anonymisieren ist das Verändern personenbezoge- oder der Geschäftszweck eine Erhebung bei ande-\nner Daten derart, dass die Einzelangaben über persön- ren Personen oder Stellen erforderlich macht oder\nliche oder sachliche Verhältnisse nicht mehr oder nur mit b) die Erhebung beim Betroffenen einen unverhältnis-\neinem unverhältnismäßig großen Aufwand an Zeit, Kosten mäßigen Aufwand erfordern würde\nund Arbeitskraft einer bestimmten oder bestimmbaren\nnatürlichen Person zugeordnet werden können. und keine Anhaltspunkte dafür bestehen, dass über-\nwiegende schutzwürdige Interessen des Betroffenen\n(6a) Pseudonymisieren ist das Ersetzen des Namens beeinträchtigt werden.\nund anderer Identifikationsmerkmale durch ein Kenn-\nzeichen zu dem Zweck, die Bestimmung des Betroffenen (3) Werden personenbezogene Daten beim Betroffenen\nauszuschließen oder wesentlich zu erschweren. erhoben, so ist er, sofern er nicht bereits auf andere Weise\nKenntnis erlangt hat, von der verantwortlichen Stelle über\n(7) Verantwortliche Stelle ist jede Person oder Stelle,\ndie personenbezogene Daten für sich selbst erhebt, ver- 1. die Identität der verantwortlichen Stelle,\narbeitet oder nutzt oder dies durch andere im Auftrag 2. die Zweckbestimmungen der Erhebung, Verarbeitung\nvornehmen lässt. oder Nutzung und","70 Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003\n3. die Kategorien von Empfängern nur, soweit der Betrof- zwischenstaatliche Stellen gilt Absatz 1 entsprechend. Die\nfene nach den Umständen des Einzelfalles nicht mit Übermittlung unterbleibt, soweit der Betroffene ein\nder Übermittlung an diese rechnen muss, schutzwürdiges Interesse an dem Ausschluss der Über-\nzu unterrichten. Werden personenbezogene Daten beim mittlung hat, insbesondere wenn bei den in Satz 1\nBetroffenen aufgrund einer Rechtsvorschrift erhoben, die genannten Stellen ein angemessenes Datenschutzniveau\nzur Auskunft verpflichtet, oder ist die Erteilung der Aus- nicht gewährleistet ist. Satz 2 gilt nicht, wenn die Über-\nkunft Voraussetzung für die Gewährung von Rechtsvor- mittlung zur Erfüllung eigener Aufgaben einer öffentlichen\nteilen, so ist der Betroffene hierauf, sonst auf die Freiwillig- Stelle des Bundes aus zwingenden Gründen der Verteidi-\nkeit seiner Angaben hinzuweisen. Soweit nach den gung oder der Erfüllung über- oder zwischenstaatlicher\nUmständen des Einzelfalles erforderlich oder auf Verlan- Verpflichtungen auf dem Gebiet der Krisenbewältigung\ngen, ist er über die Rechtsvorschrift und über die Folgen oder Konfliktverhinderung oder für humanitäre Maßnah-\nder Verweigerung von Angaben aufzuklären. men erforderlich ist.\n(3) Die Angemessenheit des Schutzniveaus wird unter\n§ 4a Berücksichtigung aller Umstände beurteilt, die bei einer\nDatenübermittlung oder einer Kategorie von Datenüber-\nEinwilligung mittlungen von Bedeutung sind; insbesondere können die\n(1) Die Einwilligung ist nur wirksam, wenn sie auf Art der Daten, die Zweckbestimmung, die Dauer der\nder freien Entscheidung des Betroffenen beruht. Er ist auf geplanten Verarbeitung, das Herkunfts- und das End-\nden vorgesehenen Zweck der Erhebung, Verarbeitung bestimmungsland, die für den betreffenden Empfänger\noder Nutzung sowie, soweit nach den Umständen des geltenden Rechtsnormen sowie die für ihn geltenden\nEinzelfalles erforderlich oder auf Verlangen, auf die Fol- Standesregeln und Sicherheitsmaßnahmen herange-\ngen der Verweigerung der Einwilligung hinzuweisen. Die zogen werden.\nEinwilligung bedarf der Schriftform, soweit nicht wegen (4) In den Fällen des § 16 Abs. 1 Nr. 2 unterrichtet die\nbesonderer Umstände eine andere Form angemessen übermittelnde Stelle den Betroffenen von der Übermitt-\nist. Soll die Einwilligung zusammen mit anderen Erklärun- lung seiner Daten. Dies gilt nicht, wenn damit zu rechnen\ngen schriftlich erteilt werden, ist sie besonders hervor- ist, dass er davon auf andere Weise Kenntnis erlangt, oder\nzuheben. wenn die Unterrichtung die öffentliche Sicherheit gefähr-\n(2) Im Bereich der wissenschaftlichen Forschung liegt den oder sonst dem Wohl des Bundes oder eines Landes\nein besonderer Umstand im Sinne von Absatz 1 Satz 3 Nachteile bereiten würde.\nauch dann vor, wenn durch die Schriftform der bestimmte (5) Die Verantwortung für die Zulässigkeit der Übermitt-\nForschungszweck erheblich beeinträchtigt würde. In die- lung trägt die übermittelnde Stelle.\nsem Fall sind der Hinweis nach Absatz 1 Satz 2 und die\nGründe, aus denen sich die erhebliche Beeinträchtigung (6) Die Stelle, an die die Daten übermittelt werden, ist auf\ndes bestimmten Forschungszwecks ergibt, schriftlich den Zweck hinzuweisen, zu dessen Erfüllung die Daten\nfestzuhalten. übermittelt werden.\n(3) Soweit besondere Arten personenbezogener Daten\n(§ 3 Abs. 9) erhoben, verarbeitet oder genutzt werden, § 4c\nmuss sich die Einwilligung darüber hinaus ausdrücklich Ausnahmen\nauf diese Daten beziehen.\n(1) Im Rahmen von Tätigkeiten, die ganz oder teilweise\n§ 4b in den Anwendungsbereich des Rechts der Europäischen\nGemeinschaften fallen, ist eine Übermittlung personen-\nÜbermittlung bezogener Daten an andere als die in § 4b Abs. 1 genann-\npersonenbezogener Daten ins Ausland ten Stellen, auch wenn bei ihnen ein angemessenes\nsowie an über- oder zwischenstaatliche Stellen Datenschutzniveau nicht gewährleistet ist, zulässig,\n(1) Für die Übermittlung personenbezogener Daten an sofern\nStellen 1. der Betroffene seine Einwilligung gegeben hat,\n1. in anderen Mitgliedstaaten der Europäischen Union, 2. die Übermittlung für die Erfüllung eines Vertrags\n2. in anderen Vertragsstaaten des Abkommens über den zwischen dem Betroffenen und der verantwortlichen\nEuropäischen Wirtschaftsraum oder Stelle oder zur Durchführung von vorvertraglichen\nMaßnahmen, die auf Veranlassung des Betroffenen\n3. der Organe und Einrichtungen der Europäischen getroffen worden sind, erforderlich ist,\nGemeinschaften\n3. die Übermittlung zum Abschluss oder zur Erfüllung\ngelten § 15 Abs. 1, § 16 Abs. 1 und §§ 28 bis 30 nach Maß-\neines Vertrags erforderlich ist, der im Interesse des\ngabe der für diese Übermittlung geltenden Gesetze und\nBetroffenen von der verantwortlichen Stelle mit einem\nVereinbarungen, soweit die Übermittlung im Rahmen von\nDritten geschlossen wurde oder geschlossen werden\nTätigkeiten erfolgt, die ganz oder teilweise in den Anwen-\nsoll,\ndungsbereich des Rechts der Europäischen Gemein-\nschaften fallen. 4. die Übermittlung für die Wahrung eines wichtigen\nöffentlichen Interesses oder zur Geltendmachung,\n(2) Für die Übermittlung personenbezogener Daten an\nAusübung oder Verteidigung von Rechtsansprüchen\nStellen nach Absatz 1, die nicht im Rahmen von Tätigkei-\nvor Gericht erforderlich ist,\nten erfolgt, die ganz oder teilweise in den Anwendungs-\nbereich des Rechts der Europäischen Gemeinschaften 5. die Übermittlung für die Wahrung lebenswichtiger\nfallen, sowie an sonstige ausländische oder über- oder Interessen des Betroffenen erforderlich ist oder","Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003 71\n6. die Übermittlung aus einem Register erfolgt, das zur 2. die Verarbeitung personenbezogener Daten dazu\nInformation der Öffentlichkeit bestimmt ist und entwe- bestimmt ist, die Persönlichkeit des Betroffenen zu\nder der gesamten Öffentlichkeit oder allen Personen, bewerten einschließlich seiner Fähigkeiten, seiner\ndie ein berechtigtes Interesse nachweisen können, zur Leistung oder seines Verhaltens,\nEinsichtnahme offen steht, soweit die gesetzlichen es sei denn, dass eine gesetzliche Verpflichtung oder eine\nVoraussetzungen im Einzelfall gegeben sind. Einwilligung des Betroffenen vorliegt oder die Erhebung,\nDie Stelle, an die die Daten übermittelt werden, ist darauf Verarbeitung oder Nutzung der Zweckbestimmung eines\nhinzuweisen, dass die übermittelten Daten nur zu dem Vertragsverhältnisses oder vertragsähnlichen Vertrauens-\nZweck verarbeitet oder genutzt werden dürfen, zu dessen verhältnisses mit dem Betroffenen dient.\nErfüllung sie übermittelt werden.\n(6) Zuständig für die Vorabkontrolle ist der Beauftragte\n(2) Unbeschadet des Absatzes 1 Satz 1 kann die zustän- für den Datenschutz. Dieser nimmt die Vorabkontrolle\ndige Aufsichtsbehörde einzelne Übermittlungen oder nach Empfang der Übersicht nach § 4g Abs. 2 Satz 1 vor.\nbestimmte Arten von Übermittlungen personenbezogener Er hat sich in Zweifelsfällen an die Aufsichtsbehörde oder\nDaten an andere als die in § 4b Abs. 1 genannten Stellen bei den Post- und Telekommunikationsunternehmen an\ngenehmigen, wenn die verantwortliche Stelle ausreichen- den Bundesbeauftragten für den Datenschutz zu wenden.\nde Garantien hinsichtlich des Schutzes des Persönlich-\nkeitsrechts und der Ausübung der damit verbundenen § 4e\nRechte vorweist; die Garantien können sich insbesondere\naus Vertragsklauseln oder verbindlichen Unternehmens- Inhalt der Meldepflicht\nregelungen ergeben. Bei den Post- und Telekommunikati- Sofern Verfahren automatisierter Verarbeitungen\nonsunternehmen ist der Bundesbeauftragte für den meldepflichtig sind, sind folgende Angaben zu machen:\nDatenschutz zuständig. Sofern die Übermittlung durch\nöffentliche Stellen erfolgen soll, nehmen diese die Prüfung 1. Name oder Firma der verantwortlichen Stelle,\nnach Satz 1 vor. 2. Inhaber, Vorstände, Geschäftsführer oder sonstige\n(3) Die Länder teilen dem Bund die nach Absatz 2 Satz 1 gesetzliche oder nach der Verfassung des Unterneh-\nergangenen Entscheidungen mit. mens berufene Leiter und die mit der Leitung der\nDatenverarbeitung beauftragten Personen,\n§ 4d 3. Anschrift der verantwortlichen Stelle,\nMeldepflicht 4. Zweckbestimmungen der Datenerhebung, -verarbei-\ntung oder -nutzung,\n(1) Verfahren automatisierter Verarbeitungen sind vor\nihrer Inbetriebnahme von nicht-öffentlichen verantwort- 5. eine Beschreibung der betroffenen Personengruppen\nlichen Stellen der zuständigen Aufsichtsbehörde und von und der diesbezüglichen Daten oder Datenkategorien,\nöffentlichen verantwortlichen Stellen des Bundes sowie 6. Empfänger oder Kategorien von Empfängern, denen\nvon den Post- und Telekommunikationsunternehmen die Daten mitgeteilt werden können,\ndem Bundesbeauftragten für den Datenschutz nach Maß-\ngabe von § 4e zu melden. 7. Regelfristen für die Löschung der Daten,\n(2) Die Meldepflicht entfällt, wenn die verantwortliche 8. eine geplante Datenübermittlung in Drittstaaten,\nStelle einen Beauftragten für den Datenschutz bestellt hat. 9. eine allgemeine Beschreibung, die es ermöglicht, vor-\n(3) Die Meldepflicht entfällt ferner, wenn die verantwort- läufig zu beurteilen, ob die Maßnahmen nach § 9 zur\nliche Stelle personenbezogene Daten für eigene Zwecke Gewährleistung der Sicherheit der Verarbeitung ange-\nerhebt, verarbeitet oder nutzt, hierbei höchstens vier messen sind.\nArbeitnehmer mit der Erhebung, Verarbeitung oder § 4d Abs. 1 und 4 gilt für die Änderung der nach Satz 1 mit-\nNutzung personenbezogener Daten beschäftigt und ent- geteilten Angaben sowie für den Zeitpunkt der Aufnahme\nweder eine Einwilligung der Betroffenen vorliegt oder die und der Beendigung der meldepflichtigen Tätigkeit ent-\nErhebung, Verarbeitung oder Nutzung der Zweckbestim- sprechend.\nmung eines Vertragsverhältnisses oder vertragsähnlichen\nVertrauensverhältnisses mit den Betroffenen dient. § 4f\n(4) Die Absätze 2 und 3 gelten nicht, wenn es sich Beauftragter für den Datenschutz\num automatisierte Verarbeitungen handelt, in denen\ngeschäftsmäßig personenbezogene Daten von der jeweili- (1) Öffentliche und nicht-öffentliche Stellen, die perso-\ngen Stelle nenbezogene Daten automatisiert erheben, verarbeiten\noder nutzen, haben einen Beauftragten für den Daten-\n1. zum Zweck der Übermittlung oder\nschutz schriftlich zu bestellen. Nicht-öffentliche Stellen\n2. zum Zweck der anonymisierten Übermittlung sind hierzu spätestens innerhalb eines Monats nach Auf-\ngespeichert werden. nahme ihrer Tätigkeit verpflichtet. Das Gleiche gilt, wenn\npersonenbezogene Daten auf andere Weise erhoben, ver-\n(5) Soweit automatisierte Verarbeitungen besondere arbeitet oder genutzt werden und damit in der Regel min-\nRisiken für die Rechte und Freiheiten der Betroffenen auf- destens 20 Personen beschäftigt sind. Die Sätze 1 und 2\nweisen, unterliegen sie der Prüfung vor Beginn der Verar- gelten nicht für nicht-öffentliche Stellen, die höchstens\nbeitung (Vorabkontrolle). Eine Vorabkontrolle ist insbeson- vier Arbeitnehmer mit der Erhebung, Verarbeitung oder\ndere durchzuführen, wenn Nutzung personenbezogener Daten beschäftigen. Soweit\n1. besondere Arten personenbezogener Daten (§ 3 aufgrund der Struktur einer öffentlichen Stelle erforderlich,\nAbs. 9) verarbeitet werden oder genügt die Bestellung eines Beauftragten für den Daten-","72 Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003\nschutz für mehrere Bereiche. Soweit nicht-öffentliche Satz 1 genannten Angaben sowie über zugriffsberechtig-\nStellen automatisierte Verarbeitungen vornehmen, die te Personen zur Verfügung zu stellen. Im Fall des § 4d\neiner Vorabkontrolle unterliegen oder personenbezogene Abs. 2 macht der Beauftragte für den Datenschutz die\nDaten geschäftsmäßig zum Zweck der Übermittlung oder Angaben nach § 4e Satz 1 Nr. 1 bis 8 auf Antrag jeder-\nder anonymisierten Übermittlung erheben, verarbeiten mann in geeigneter Weise verfügbar. Im Fall des § 4d\noder nutzen, haben sie unabhängig von der Anzahl der Abs. 3 gilt Satz 2 entsprechend für die verantwortliche\nArbeitnehmer einen Beauftragten für den Datenschutz Stelle.\nzu bestellen. (3) Auf die in § 6 Abs. 2 Satz 4 genannten Behörden fin-\n(2) Zum Beauftragten für den Datenschutz darf nur det Absatz 2 Satz 2 keine Anwendung. Absatz 1 Satz 2 fin-\nbestellt werden, wer die zur Erfüllung seiner Aufgaben det mit der Maßgabe Anwendung, dass der behördliche\nerforderliche Fachkunde und Zuverlässigkeit besitzt. Mit Beauftragte für den Datenschutz das Benehmen mit dem\ndieser Aufgabe kann auch eine Person außerhalb der ver- Behördenleiter herstellt; bei Unstimmigkeiten zwischen\nantwortlichen Stelle betraut werden. Öffentliche Stellen dem behördlichen Beauftragten für den Datenschutz und\nkönnen mit Zustimmung ihrer Aufsichtsbehörde einen dem Behördenleiter entscheidet die oberste Bundes-\nBediensteten aus einer anderen öffentlichen Stelle zum behörde.\nBeauftragten für den Datenschutz bestellen.\n(3) Der Beauftragte für den Datenschutz ist dem Leiter §5\nder öffentlichen oder nicht-öffentlichen Stelle unmittelbar Datengeheimnis\nzu unterstellen. Er ist in Ausübung seiner Fachkunde auf\nDen bei der Datenverarbeitung beschäftigten Personen\ndem Gebiet des Datenschutzes weisungsfrei. Er darf\nist untersagt, personenbezogene Daten unbefugt zu erhe-\nwegen der Erfüllung seiner Aufgaben nicht benachteiligt\nben, zu verarbeiten oder zu nutzen (Datengeheimnis).\nwerden. Die Bestellung zum Beauftragten für den Daten-\nDiese Personen sind, soweit sie bei nicht-öffentlichen\nschutz kann in entsprechender Anwendung von § 626 des\nStellen beschäftigt werden, bei der Aufnahme ihrer Tätig-\nBürgerlichen Gesetzbuchs, bei nicht-öffentlichen Stellen\nkeit auf das Datengeheimnis zu verpflichten. Das Daten-\nauch auf Verlangen der Aufsichtsbehörde, widerrufen\ngeheimnis besteht auch nach Beendigung ihrer Tätigkeit\nwerden.\nfort.\n(4) Der Beauftragte für den Datenschutz ist zur Ver-\nschwiegenheit über die Identität des Betroffenen sowie §6\nüber Umstände, die Rückschlüsse auf den Betroffenen\nUnabdingbare Rechte des Betroffenen\nzulassen, verpflichtet, soweit er nicht davon durch den\nBetroffenen befreit wird. (1) Die Rechte des Betroffenen auf Auskunft (§§ 19, 34)\n(5) Die öffentlichen und nicht-öffentlichen Stellen haben und auf Berichtigung, Löschung oder Sperrung (§§ 20, 35)\nden Beauftragten für den Datenschutz bei der Erfüllung können nicht durch Rechtsgeschäft ausgeschlossen oder\nseiner Aufgaben zu unterstützen und ihm insbesondere, beschränkt werden.\nsoweit dies zur Erfüllung seiner Aufgaben erforderlich ist, (2) Sind die Daten des Betroffenen automatisiert in der\nHilfspersonal sowie Räume, Einrichtungen, Geräte und Weise gespeichert, dass mehrere Stellen speicherungs-\nMittel zur Verfügung zu stellen. Betroffene können sich berechtigt sind, und ist der Betroffene nicht in der Lage\njederzeit an den Beauftragten für den Datenschutz wen- festzustellen, welche Stelle die Daten gespeichert hat, so\nden. kann er sich an jede dieser Stellen wenden. Diese ist ver-\npflichtet, das Vorbringen des Betroffenen an die Stelle, die\n§ 4g die Daten gespeichert hat, weiterzuleiten. Der Betroffene\nAufgaben des ist über die Weiterleitung und jene Stelle zu unterrichten.\nBeauftragten für den Datenschutz Die in § 19 Abs. 3 genannten Stellen, die Behörden der\nStaatsanwaltschaft und der Polizei sowie öffentliche Stel-\n(1) Der Beauftragte für den Datenschutz wirkt auf die len der Finanzverwaltung, soweit sie personenbezogene\nEinhaltung dieses Gesetzes und anderer Vorschriften über Daten in Erfüllung ihrer gesetzlichen Aufgaben im Anwen-\nden Datenschutz hin. Zu diesem Zweck kann sich der dungsbereich der Abgabenordnung zur Überwachung\nBeauftragte für den Datenschutz in Zweifelsfällen an die und Prüfung speichern, können statt des Betroffenen den\nfür die Datenschutzkontrolle bei der verantwortlichen Stel- Bundesbeauftragten für den Datenschutz unterrichten. In\nle zuständige Behörde wenden. Er hat insbesondere diesem Fall richtet sich das weitere Verfahren nach § 19\n1. die ordnungsgemäße Anwendung der Datenverarbei- Abs. 6.\ntungsprogramme, mit deren Hilfe personenbezogene\nDaten verarbeitet werden sollen, zu überwachen; zu § 6a\ndiesem Zweck ist er über Vorhaben der automatisier- Automatisierte Einzelentscheidung\nten Verarbeitung personenbezogener Daten rechtzeitig\nzu unterrichten, (1) Entscheidungen, die für den Betroffenen eine recht-\n2. die bei der Verarbeitung personenbezogener Daten liche Folge nach sich ziehen oder ihn erheblich beein-\ntätigen Personen durch geeignete Maßnahmen mit den trächtigen, dürfen nicht ausschließlich auf eine automati-\nVorschriften dieses Gesetzes sowie anderen Vorschrif- sierte Verarbeitung personenbezogener Daten gestützt\nten über den Datenschutz und mit den jeweiligen werden, die der Bewertung einzelner Persönlichkeits-\nbesonderen Erfordernissen des Datenschutzes ver- merkmale dienen.\ntraut zu machen. (2) Dies gilt nicht, wenn\n(2) Dem Beauftragten für den Datenschutz ist von der 1. die Entscheidung im Rahmen des Abschlusses oder\nverantwortlichen Stelle eine Übersicht über die in § 4e der Erfüllung eines Vertragsverhältnisses oder eines","Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003 73\nsonstigen Rechtsverhältnisses ergeht und dem Begeh- 2. in allgemein verständlicher Form über die Funktions-\nren des Betroffenen stattgegeben wurde oder weise des Mediums einschließlich der Art der zu verar-\nbeitenden personenbezogenen Daten,\n2. die Wahrung der berechtigten Interessen des Betroffe-\nnen durch geeignete Maßnahmen gewährleistet und 3. darüber, wie er seine Rechte nach den §§ 19, 20, 34\ndem Betroffenen von der verantwortlichen Stelle die und 35 ausüben kann, und\nTatsache des Vorliegens einer Entscheidung im Sinne 4. über die bei Verlust oder Zerstörung des Mediums zu\ndes Absatzes 1 mitgeteilt wird. Als geeignete Maßnah- treffenden Maßnahmen\nme gilt insbesondere die Möglichkeit des Betroffenen,\nseinen Standpunkt geltend zu machen. Die verantwort- unterrichten, soweit der Betroffene nicht bereits Kenntnis\nliche Stelle ist verpflichtet, ihre Entscheidung erneut zu erlangt hat.\nprüfen. (2) Die nach Absatz 1 verpflichtete Stelle hat dafür Sorge\n(3) Das Recht des Betroffenen auf Auskunft nach den zu tragen, dass die zur Wahrnehmung des Auskunfts-\n§§ 19 und 34 erstreckt sich auch auf den logischen Aufbau rechts erforderlichen Geräte oder Einrichtungen in ange-\nder automatisierten Verarbeitung der ihn betreffenden messenem Umfang zum unentgeltlichen Gebrauch zur\nDaten. Verfügung stehen.\n(3) Kommunikationsvorgänge, die auf dem Medium eine\n§ 6b Datenverarbeitung auslösen, müssen für den Betroffenen\neindeutig erkennbar sein.\nBeobachtung\nöffentlich zugänglicher Räume mit\noptisch-elektronischen Einrichtungen §7\nSchadensersatz\n(1) Die Beobachtung öffentlich zugänglicher Räume\nmit optisch-elektronischen Einrichtungen (Videoüberwa- Fügt eine verantwortliche Stelle dem Betroffenen durch\nchung) ist nur zulässig, soweit sie eine nach diesem Gesetz oder nach anderen Vorschriften\n1. zur Aufgabenerfüllung öffentlicher Stellen, über den Datenschutz unzulässige oder unrichtige Erhe-\nbung, Verarbeitung oder Nutzung seiner personenbezo-\n2. zur Wahrnehmung des Hausrechts oder genen Daten einen Schaden zu, ist sie oder ihr Träger dem\n3. zur Wahrnehmung berechtigter Interessen für konkret Betroffenen zum Schadensersatz verpflichtet. Die Ersatz-\nfestgelegte Zwecke pflicht entfällt, soweit die verantwortliche Stelle die nach\nden Umständen des Falles gebotene Sorgfalt beachtet\nerforderlich ist und keine Anhaltspunkte bestehen, dass hat.\nschutzwürdige Interessen der Betroffenen überwiegen.\n(2) Der Umstand der Beobachtung und die verantwort- §8\nliche Stelle sind durch geeignete Maßnahmen erkennbar\nSchadensersatz bei automatisierter\nzu machen.\nDatenverarbeitung durch öffentliche Stellen\n(3) Die Verarbeitung oder Nutzung von nach Absatz 1\nerhobenen Daten ist zulässig, wenn sie zum Erreichen des (1) Fügt eine verantwortliche öffentliche Stelle dem\nverfolgten Zwecks erforderlich ist und keine Anhaltspunk- Betroffenen durch eine nach diesem Gesetz oder nach\nte bestehen, dass schutzwürdige Interessen der Betroffe- anderen Vorschriften über den Datenschutz unzulässige\nnen überwiegen. Für einen anderen Zweck dürfen sie nur oder unrichtige automatisierte Erhebung, Verarbeitung\nverarbeitet oder genutzt werden, soweit dies zur Abwehr oder Nutzung seiner personenbezogenen Daten einen\nvon Gefahren für die staatliche und öffentliche Sicherheit Schaden zu, ist ihr Träger dem Betroffenen unabhängig\nsowie zur Verfolgung von Straftaten erforderlich ist. von einem Verschulden zum Schadensersatz verpflichtet.\n(4) Werden durch Videoüberwachung erhobene Daten (2) Bei einer schweren Verletzung des Persönlichkeits-\neiner bestimmten Person zugeordnet, ist diese über eine rechts ist dem Betroffenen der Schaden, der nicht Vermö-\nVerarbeitung oder Nutzung entsprechend den §§ 19a gensschaden ist, angemessen in Geld zu ersetzen.\nund 33 zu benachrichtigen. (3) Die Ansprüche nach den Absätzen 1 und 2 sind ins-\n(5) Die Daten sind unverzüglich zu löschen, wenn sie zur gesamt auf einen Betrag von 130 000 Euro begrenzt. Ist\nErreichung des Zwecks nicht mehr erforderlich sind oder aufgrund desselben Ereignisses an mehrere Personen\nschutzwürdige Interessen der Betroffenen einer weiteren Schadensersatz zu leisten, der insgesamt den Höchst-\nSpeicherung entgegenstehen. betrag von 130 000 Euro übersteigt, so verringern sich die\neinzelnen Schadensersatzleistungen in dem Verhältnis, in\ndem ihr Gesamtbetrag zu dem Höchstbetrag steht.\n§ 6c\n(4) Sind bei einer automatisierten Verarbeitung mehrere\nMobile personenbezogene Stellen speicherungsberechtigt und ist der Geschädigte\nSpeicher- und Verarbeitungsmedien nicht in der Lage, die speichernde Stelle festzustellen, so\n(1) Die Stelle, die ein mobiles personenbezogenes haftet jede dieser Stellen.\nSpeicher- und Verarbeitungsmedium ausgibt oder ein (5) Hat bei der Entstehung des Schadens ein Verschul-\nVerfahren zur automatisierten Verarbeitung personenbe- den des Betroffenen mitgewirkt, gilt § 254 des Bürger-\nzogener Daten, das ganz oder teilweise auf einem solchen lichen Gesetzbuchs.\nMedium abläuft, auf das Medium aufbringt, ändert oder\n(6) Auf die Verjährung finden die für unerlaubte Handlun-\nhierzu bereithält, muss den Betroffenen\ngen geltenden Verjährungsvorschriften des Bürgerlichen\n1. über ihre Identität und Anschrift, Gesetzbuchs entsprechende Anwendung.","74 Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003\n§9 dazu Anlass besteht. Die speichernde Stelle hat zu\nTechnische gewährleisten, dass die Übermittlung personenbezogener\nund organisatorische Maßnahmen Daten zumindest durch geeignete Stichprobenverfahren\nfestgestellt und überprüft werden kann. Wird ein Gesamt-\nÖffentliche und nicht-öffentliche Stellen, die selbst oder bestand personenbezogener Daten abgerufen oder über-\nim Auftrag personenbezogene Daten erheben, verarbeiten mittelt (Stapelverarbeitung), so bezieht sich die Gewähr-\noder nutzen, haben die technischen und organisatori- leistung der Feststellung und Überprüfung nur auf die\nschen Maßnahmen zu treffen, die erforderlich sind, um die Zulässigkeit des Abrufes oder der Übermittlung des\nAusführung der Vorschriften dieses Gesetzes, insbeson- Gesamtbestandes.\ndere die in der Anlage zu diesem Gesetz genannten Anfor-\n(5) Die Absätze 1 bis 4 gelten nicht für den Abruf allge-\nderungen, zu gewährleisten. Erforderlich sind Maßnah-\nmein zugänglicher Daten. Allgemein zugänglich sind\nmen nur, wenn ihr Aufwand in einem angemessenen\nDaten, die jedermann, sei es ohne oder nach vorheriger\nVerhältnis zu dem angestrebten Schutzzweck steht.\nAnmeldung, Zulassung oder Entrichtung eines Entgelts,\nnutzen kann.\n§ 9a\nDatenschutzaudit § 11\nZur Verbesserung des Datenschutzes und der Daten- Erhebung,\nsicherheit können Anbieter von Datenverarbeitungssyste- Verarbeitung oder Nutzung\nmen und -programmen und datenverarbeitende Stellen ihr personenbezogener Daten im Auftrag\nDatenschutzkonzept sowie ihre technischen Einrichtun- (1) Werden personenbezogene Daten im Auftrag durch\ngen durch unabhängige und zugelassene Gutachter andere Stellen erhoben, verarbeitet oder genutzt, ist der\nprüfen und bewerten lassen sowie das Ergebnis der Auftraggeber für die Einhaltung der Vorschriften dieses\nPrüfung veröffentlichen. Die näheren Anforderungen an Gesetzes und anderer Vorschriften über den Datenschutz\ndie Prüfung und Bewertung, das Verfahren sowie die Aus- verantwortlich. Die in den §§ 6, 7 und 8 genannten Rechte\nwahl und Zulassung der Gutachter werden durch beson- sind ihm gegenüber geltend zu machen.\nderes Gesetz geregelt.\n(2) Der Auftragnehmer ist unter besonderer Berücksich-\ntigung der Eignung der von ihm getroffenen technischen\n§ 10 und organisatorischen Maßnahmen sorgfältig auszu-\nEinrichtung wählen. Der Auftrag ist schriftlich zu erteilen, wobei die\nautomatisierter Abrufverfahren Datenerhebung, -verarbeitung oder -nutzung, die techni-\nschen und organisatorischen Maßnahmen und etwaige\n(1) Die Einrichtung eines automatisierten Verfahrens,\nUnterauftragsverhältnisse festzulegen sind. Er kann bei\ndas die Übermittlung personenbezogener Daten durch\nöffentlichen Stellen auch durch die Fachaufsichtsbehörde\nAbruf ermöglicht, ist zulässig, soweit dieses Verfahren\nerteilt werden. Der Auftraggeber hat sich von der Einhal-\nunter Berücksichtigung der schutzwürdigen Interessen\ntung der beim Auftragnehmer getroffenen technischen\nder Betroffenen und der Aufgaben oder Geschäftszwecke\nund organisatorischen Maßnahmen zu überzeugen.\nder beteiligten Stellen angemessen ist. Die Vorschriften\nüber die Zulässigkeit des einzelnen Abrufs bleiben (3) Der Auftragnehmer darf die Daten nur im Rahmen der\nunberührt. Weisungen des Auftraggebers erheben, verarbeiten oder\nnutzen. Ist er der Ansicht, dass eine Weisung des Auftrag-\n(2) Die beteiligten Stellen haben zu gewährleisten, dass\ngebers gegen dieses Gesetz oder andere Vorschriften\ndie Zulässigkeit des Abrufverfahrens kontrolliert werden\nüber den Datenschutz verstößt, hat er den Auftraggeber\nkann. Hierzu haben sie schriftlich festzulegen:\nunverzüglich darauf hinzuweisen.\n1. Anlass und Zweck des Abrufverfahrens,\n(4) Für den Auftragnehmer gelten neben den §§ 5, 9, 43\n2. Dritte, an die übermittelt wird, Abs. 1 Nr. 2, 10 und 11, Abs. 2 Nr. 1 bis 3 und Abs. 3 sowie\n3. Art der zu übermittelnden Daten, § 44 nur die Vorschriften über die Datenschutzkontrolle\noder die Aufsicht, und zwar für\n4. nach § 9 erforderliche technische und organisatorische\nMaßnahmen. 1. a) öffentliche Stellen,\nIm öffentlichen Bereich können die erforderlichen Fest- b) nicht-öffentliche Stellen, bei denen der öffentlichen\nlegungen auch durch die Fachaufsichtsbehörden getrof- Hand die Mehrheit der Anteile gehört oder die\nfen werden. Mehrheit der Stimmen zusteht und der Auftrag-\ngeber eine öffentliche Stelle ist,\n(3) Über die Einrichtung von Abrufverfahren ist in Fällen,\nin denen die in § 12 Abs. 1 genannten Stellen beteiligt sind, die §§ 18, 24 bis 26 oder die entsprechenden Vor-\nder Bundesbeauftragte für den Datenschutz unter Mittei- schriften der Datenschutzgesetze der Länder,\nlung der Festlegungen nach Absatz 2 zu unterrichten. Die 2. die übrigen nicht-öffentlichen Stellen, soweit sie perso-\nEinrichtung von Abrufverfahren, bei denen die in § 6 Abs. 2 nenbezogene Daten im Auftrag als Dienstleistungs-\nund in § 19 Abs. 3 genannten Stellen beteiligt sind, ist nur unternehmen geschäftsmäßig erheben, verarbeiten\nzulässig, wenn das für die speichernde und die abrufende oder nutzen, die §§ 4f, 4g und 38.\nStelle jeweils zuständige Bundes- oder Landesministeri- (5) Die Absätze 1 bis 4 gelten entsprechend, wenn die\num zugestimmt hat. Prüfung oder Wartung automatisierter Verfahren oder von\n(4) Die Verantwortung für die Zulässigkeit des einzelnen Datenverarbeitungsanlagen durch andere Stellen im Auf-\nAbrufs trägt der Dritte, an den übermittelt wird. Die spei- trag vorgenommen wird und dabei ein Zugriff auf perso-\nchernde Stelle prüft die Zulässigkeit der Abrufe nur, wenn nenbezogene Daten nicht ausgeschlossen werden kann.","Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003 75\nZweiter Abschnitt 7. dies zum Zweck der Gesundheitsvorsorge, der medizi-\nnischen Diagnostik, der Gesundheitsversorgung oder\nDatenverarbeitung Behandlung oder für die Verwaltung von Gesundheits-\nder öffentlichen Stellen diensten erforderlich ist und die Verarbeitung dieser\nDaten durch ärztliches Personal oder durch sonstige\nErster Unterabschnitt Personen erfolgt, die einer entsprechenden Geheim-\nRechtsgrundlagen haltungspflicht unterliegen,\nder Datenverarbeitung 8. dies zur Durchführung wissenschaftlicher Forschung\nerforderlich ist, das wissenschaftliche Interesse an der\n§ 12 Durchführung des Forschungsvorhabens das Interes-\nAnwendungsbereich se des Betroffenen an dem Ausschluss der Erhebung\nerheblich überwiegt und der Zweck der Forschung auf\n(1) Die Vorschriften dieses Abschnittes gelten für öffent- andere Weise nicht oder nur mit unverhältnismäßigem\nliche Stellen des Bundes, soweit sie nicht als öffentlich- Aufwand erreicht werden kann oder\nrechtliche Unternehmen am Wettbewerb teilnehmen.\n9. dies aus zwingenden Gründen der Verteidigung oder\n(2) Soweit der Datenschutz nicht durch Landesgesetz der Erfüllung über- oder zwischenstaatlicher Ver-\ngeregelt ist, gelten die §§ 12 bis 16, 19 bis 20 auch für die pflichtungen einer öffentlichen Stelle des Bundes auf\nöffentlichen Stellen der Länder, soweit sie dem Gebiet der Krisenbewältigung oder Konflikt-\n1. Bundesrecht ausführen und nicht als öffentlich-recht- verhinderung oder für humanitäre Maßnahmen erfor-\nliche Unternehmen am Wettbewerb teilnehmen oder derlich ist.\n2. als Organe der Rechtspflege tätig werden und es sich\nnicht um Verwaltungsangelegenheiten handelt. § 14\n(3) Für Landesbeauftragte für den Datenschutz gilt § 23 Datenspeicherung,\nAbs. 4 entsprechend. -veränderung und -nutzung\n(4) Werden personenbezogene Daten für frühere, beste-\n(1) Das Speichern, Verändern oder Nutzen personen-\nhende oder zukünftige dienst- oder arbeitsrechtliche\nbezogener Daten ist zulässig, wenn es zur Erfüllung der in\nRechtsverhältnisse erhoben, verarbeitet oder genutzt,\nder Zuständigkeit der verantwortlichen Stelle liegenden\ngelten anstelle der §§ 13 bis 16, 19 bis 20 der § 28 Abs. 1\nAufgaben erforderlich ist und es für die Zwecke erfolgt, für\nund 3 Nr. 1 sowie die §§ 33 bis 35, auch soweit personen-\ndie die Daten erhoben worden sind. Ist keine Erhebung\nbezogene Daten weder automatisiert verarbeitet noch in\nvorausgegangen, dürfen die Daten nur für die Zwecke\nnicht automatisierten Dateien verarbeitet oder genutzt\noder dafür erhoben werden. geändert oder genutzt werden, für die sie gespeichert\nworden sind.\n§ 13 (2) Das Speichern, Verändern oder Nutzen für andere\nDatenerhebung Zwecke ist nur zulässig, wenn\n(1) Das Erheben personenbezogener Daten ist zulässig, 1. eine Rechtsvorschrift dies vorsieht oder zwingend vor-\nwenn ihre Kenntnis zur Erfüllung der Aufgaben der verant- aussetzt,\nwortlichen Stelle erforderlich ist. 2. der Betroffene eingewilligt hat,\n(1a) Werden personenbezogene Daten statt beim 3. offensichtlich ist, dass es im Interesse des Betroffenen\nBetroffenen bei einer nicht-öffentlichen Stelle erhoben, so liegt, und kein Grund zu der Annahme besteht, dass er\nist die Stelle auf die Rechtsvorschrift, die zur Auskunft in Kenntnis des anderen Zwecks seine Einwilligung\nverpflichtet, sonst auf die Freiwilligkeit ihrer Angaben hin- verweigern würde,\nzuweisen.\n4. Angaben des Betroffenen überprüft werden müssen,\n(2) Das Erheben besonderer Arten personenbezogener\nweil tatsächliche Anhaltspunkte für deren Unrichtigkeit\nDaten (§ 3 Abs. 9) ist nur zulässig, soweit\nbestehen,\n1. eine Rechtsvorschrift dies vorsieht oder aus Gründen\neines wichtigen öffentlichen Interesses zwingend 5. die Daten allgemein zugänglich sind oder die verant-\nerfordert, wortliche Stelle sie veröffentlichen dürfte, es sei denn,\ndass das schutzwürdige Interesse des Betroffenen an\n2. der Betroffene nach Maßgabe des § 4a Abs. 3 ein- dem Ausschluss der Zweckänderung offensichtlich\ngewilligt hat, überwiegt,\n3. dies zum Schutz lebenswichtiger Interessen des\n6. es zur Abwehr erheblicher Nachteile für das Gemein-\nBetroffenen oder eines Dritten erforderlich ist,\nwohl oder einer Gefahr für die öffentliche Sicherheit\nsofern der Betroffene aus physischen oder rechtlichen\noder zur Wahrung erheblicher Belange des Gemein-\nGründen außerstande ist, seine Einwilligung zu geben,\nwohls erforderlich ist,\n4. es sich um Daten handelt, die der Betroffene offen-\nkundig öffentlich gemacht hat, 7. es zur Verfolgung von Straftaten oder Ordnungswidrig-\nkeiten, zur Vollstreckung oder zum Vollzug von Strafen\n5. dies zur Abwehr einer erheblichen Gefahr für die öffent- oder Maßnahmen im Sinne des § 11 Abs. 1 Nr. 8 des\nliche Sicherheit erforderlich ist, Strafgesetzbuchs oder von Erziehungsmaßregeln oder\n6. dies zur Abwehr erheblicher Nachteile für das Gemein- Zuchtmitteln im Sinne des Jugendgerichtsgesetzes\nwohl oder zur Wahrung erheblicher Belange des oder zur Vollstreckung von Bußgeldentscheidungen\nGemeinwohls zwingend erforderlich ist, erforderlich ist,","76 Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003\n8. es zur Abwehr einer schwerwiegenden Beeinträch- den die Daten übermittelt werden, liegt, es sei denn, dass\ntigung der Rechte einer anderen Person erforderlich ist besonderer Anlass zur Prüfung der Zulässigkeit der Über-\noder mittlung besteht. § 10 Abs. 4 bleibt unberührt.\n9. es zur Durchführung wissenschaftlicher Forschung (3) Der Dritte, an den die Daten übermittelt werden, darf\nerforderlich ist, das wissenschaftliche Interesse an der diese für den Zweck verarbeiten oder nutzen, zu dessen\nDurchführung des Forschungsvorhabens das Interes- Erfüllung sie ihm übermittelt werden. Eine Verarbeitung\nse des Betroffenen an dem Ausschluss der Zweck- oder Nutzung für andere Zwecke ist nur unter den Voraus-\nänderung erheblich überwiegt und der Zweck der setzungen des § 14 Abs. 2 zulässig.\nForschung auf andere Weise nicht oder nur mit unver- (4) Für die Übermittlung personenbezogener Daten an\nhältnismäßigem Aufwand erreicht werden kann. Stellen der öffentlich-rechtlichen Religionsgesellschaften\n(3) Eine Verarbeitung oder Nutzung für andere Zwecke gelten die Absätze 1 bis 3 entsprechend, sofern sicher-\nliegt nicht vor, wenn sie der Wahrnehmung von Aufsichts- gestellt ist, dass bei diesen ausreichende Datenschutz-\nund Kontrollbefugnissen, der Rechnungsprüfung oder der maßnahmen getroffen werden.\nDurchführung von Organisationsuntersuchungen für die (5) Sind mit personenbezogenen Daten, die nach\nverantwortliche Stelle dient. Das gilt auch für die Verarbei- Absatz 1 übermittelt werden dürfen, weitere personenbe-\ntung oder Nutzung zu Ausbildungs- und Prüfungs- zogene Daten des Betroffenen oder eines Dritten so ver-\nzwecken durch die verantwortliche Stelle, soweit nicht bunden, dass eine Trennung nicht oder nur mit unvertret-\nüberwiegende schutzwürdige Interessen des Betroffenen barem Aufwand möglich ist, so ist die Übermittlung auch\nentgegenstehen. dieser Daten zulässig, soweit nicht berechtigte Interessen\n(4) Personenbezogene Daten, die ausschließlich zu des Betroffenen oder eines Dritten an deren Geheimhal-\nZwecken der Datenschutzkontrolle, der Datensicherung tung offensichtlich überwiegen; eine Nutzung dieser\noder zur Sicherstellung eines ordnungsgemäßen Betrie- Daten ist unzulässig.\nbes einer Datenverarbeitungsanlage gespeichert werden, (6) Absatz 5 gilt entsprechend, wenn personenbezoge-\ndürfen nur für diese Zwecke verwendet werden. ne Daten innerhalb einer öffentlichen Stelle weitergegeben\n(5) Das Speichern, Verändern oder Nutzen von beson- werden.\nderen Arten personenbezogener Daten (§ 3 Abs. 9) für\nandere Zwecke ist nur zulässig, wenn § 16\n1. die Voraussetzungen vorliegen, die eine Erhebung Datenübermittlung\nnach § 13 Abs. 2 Nr. 1 bis 6 oder 9 zulassen würden an nicht-öffentliche Stellen\noder\n(1) Die Übermittlung personenbezogener Daten an\n2. dies zur Durchführung wissenschaftlicher Forschung nicht-öffentliche Stellen ist zulässig, wenn\nerforderlich ist, das öffentliche Interesse an der Durch-\n1. sie zur Erfüllung der in der Zuständigkeit der übermit-\nführung des Forschungsvorhabens das Interesse des\ntelnden Stelle liegenden Aufgaben erforderlich ist und\nBetroffenen an dem Ausschluss der Zweckänderung\ndie Voraussetzungen vorliegen, die eine Nutzung nach\nerheblich überwiegt und der Zweck der Forschung auf\n§ 14 zulassen würden, oder\nandere Weise nicht oder nur mit unverhältnismäßigem\nAufwand erreicht werden kann. 2. der Dritte, an den die Daten übermittelt werden, ein\nberechtigtes Interesse an der Kenntnis der zu übermit-\nBei der Abwägung nach Satz 1 Nr. 2 ist im Rahmen des\ntelnden Daten glaubhaft darlegt und der Betroffene\nöffentlichen Interesses das wissenschaftliche Interesse an\nkein schutzwürdiges Interesse an dem Ausschluss der\ndem Forschungsvorhaben besonders zu berücksichtigen.\nÜbermittlung hat. Das Übermitteln von besonderen\n(6) Die Speicherung, Veränderung oder Nutzung von Arten personenbezogener Daten (§ 3 Abs. 9) ist abwei-\nbesonderen Arten personenbezogener Daten (§ 3 Abs. 9) chend von Satz 1 Nr. 2 nur zulässig, wenn die Voraus-\nzu den in § 13 Abs. 2 Nr. 7 genannten Zwecken richtet sich setzungen vorliegen, die eine Nutzung nach § 14 Abs. 5\nnach den für die in § 13 Abs. 2 Nr. 7 genannten Personen und 6 zulassen würden oder soweit dies zur Geltend-\ngeltenden Geheimhaltungspflichten. machung, Ausübung oder Verteidigung rechtlicher\nAnsprüche erforderlich ist.\n§ 15 (2) Die Verantwortung für die Zulässigkeit der Übermitt-\nDatenübermittlung an öffentliche Stellen lung trägt die übermittelnde Stelle.\n(1) Die Übermittlung personenbezogener Daten an (3) In den Fällen der Übermittlung nach Absatz 1 Nr. 2\nöffentliche Stellen ist zulässig, wenn unterrichtet die übermittelnde Stelle den Betroffenen von\nder Übermittlung seiner Daten. Dies gilt nicht, wenn damit\n1. sie zur Erfüllung der in der Zuständigkeit der übermit- zu rechnen ist, dass er davon auf andere Weise Kenntnis\ntelnden Stelle oder des Dritten, an den die Daten über- erlangt, oder wenn die Unterrichtung die öffentliche\nmittelt werden, liegenden Aufgaben erforderlich ist und Sicherheit gefährden oder sonst dem Wohle des Bundes\n2. die Voraussetzungen vorliegen, die eine Nutzung nach oder eines Landes Nachteile bereiten würde.\n§ 14 zulassen würden. (4) Der Dritte, an den die Daten übermittelt werden, darf\n(2) Die Verantwortung für die Zulässigkeit der Übermitt- diese nur für den Zweck verarbeiten oder nutzen, zu des-\nlung trägt die übermittelnde Stelle. Erfolgt die Übermitt- sen Erfüllung sie ihm übermittelt werden. Die übermitteln-\nlung auf Ersuchen des Dritten, an den die Daten übermit- de Stelle hat ihn darauf hinzuweisen. Eine Verarbeitung\ntelt werden, trägt dieser die Verantwortung. In diesem oder Nutzung für andere Zwecke ist zulässig, wenn eine\nFall prüft die übermittelnde Stelle nur, ob das Übermitt- Übermittlung nach Absatz 1 zulässig wäre und die über-\nlungsersuchen im Rahmen der Aufgaben des Dritten, an mittelnde Stelle zugestimmt hat.","Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003 77\n§ 17 (3) Bezieht sich die Auskunftserteilung auf die Übermitt-\n(weggefallen) lung personenbezogener Daten an Verfassungsschutz-\nbehörden, den Bundesnachrichtendienst, den Militäri-\nschen Abschirmdienst und, soweit die Sicherheit des\n§ 18\nBundes berührt wird, andere Behörden des Bundes-\nDurchführung des Daten- ministeriums der Verteidigung, ist sie nur mit Zustimmung\nschutzes in der Bundesverwaltung dieser Stellen zulässig.\n(1) Die obersten Bundesbehörden, der Präsident des (4) Die Auskunftserteilung unterbleibt, soweit\nBundeseisenbahnvermögens sowie die bundesunmittel-\n1. die Auskunft die ordnungsgemäße Erfüllung der in der\nbaren Körperschaften, Anstalten und Stiftungen des\nZuständigkeit der verantwortlichen Stelle liegenden\nöffentlichen Rechts, über die von der Bundesregierung\nAufgaben gefährden würde,\noder einer obersten Bundesbehörde lediglich die Rechts-\naufsicht ausgeübt wird, haben für ihren Geschäftsbereich 2. die Auskunft die öffentliche Sicherheit oder Ordnung\ndie Ausführung dieses Gesetzes sowie anderer Rechts- gefährden oder sonst dem Wohle des Bundes oder\nvorschriften über den Datenschutz sicherzustellen. Das eines Landes Nachteile bereiten würde oder\nGleiche gilt für die Vorstände der aus dem Sondervermö- 3. die Daten oder die Tatsache ihrer Speicherung nach\ngen Deutsche Bundespost durch Gesetz hervorgegange-\neiner Rechtsvorschrift oder ihrem Wesen nach, ins-\nnen Unternehmen, solange diesen ein ausschließliches\nbesondere wegen der überwiegenden berechtigten\nRecht nach dem Postgesetz zusteht.\nInteressen eines Dritten, geheim gehalten werden\n(2) Die öffentlichen Stellen führen ein Verzeichnis der müssen\neingesetzten Datenverarbeitungsanlagen. Für ihre auto-\nund deswegen das Interesse des Betroffenen an der Aus-\nmatisierten Verarbeitungen haben sie die Angaben nach\nkunftserteilung zurücktreten muss.\n§ 4e sowie die Rechtsgrundlage der Verarbeitung schrift-\nlich festzulegen. Bei allgemeinen Verwaltungszwecken (5) Die Ablehnung der Auskunftserteilung bedarf einer\ndienenden automatisierten Verarbeitungen, bei welchen Begründung nicht, soweit durch die Mitteilung der\ndas Auskunftsrecht des Betroffenen nicht nach § 19 tatsächlichen und rechtlichen Gründe, auf die die Ent-\nAbs. 3 oder 4 eingeschränkt wird, kann hiervon abgese- scheidung gestützt wird, der mit der Auskunftsverweige-\nhen werden. Für automatisierte Verarbeitungen, die in rung verfolgte Zweck gefährdet würde. In diesem Fall ist\ngleicher oder ähnlicher Weise mehrfach geführt werden, der Betroffene darauf hinzuweisen, dass er sich an den\nkönnen die Festlegungen zusammengefasst werden. Bundesbeauftragten für den Datenschutz wenden kann.\n(6) Wird dem Betroffenen keine Auskunft erteilt, so ist\nZweiter Unterabschnitt sie auf sein Verlangen dem Bundesbeauftragten für den\nDatenschutz zu erteilen, soweit nicht die jeweils zuständi-\nRechte des Betroffenen ge oberste Bundesbehörde im Einzelfall feststellt, dass\ndadurch die Sicherheit des Bundes oder eines Landes\n§ 19 gefährdet würde. Die Mitteilung des Bundesbeauftragten\nAuskunft an den Betroffenen an den Betroffenen darf keine Rückschlüsse auf den\nErkenntnisstand der verantwortlichen Stelle zulassen,\n(1) Dem Betroffenen ist auf Antrag Auskunft zu erteilen sofern diese nicht einer weitergehenden Auskunft\nüber zustimmt.\n1. die zu seiner Person gespeicherten Daten, auch soweit (7) Die Auskunft ist unentgeltlich.\nsie sich auf die Herkunft dieser Daten beziehen,\n2. die Empfänger oder Kategorien von Empfängern, an § 19a\ndie die Daten weitergegeben werden, und\nBenachrichtigung\n3. den Zweck der Speicherung.\n(1) Werden Daten ohne Kenntnis des Betroffenen erho-\nIn dem Antrag soll die Art der personenbezogenen Da-\nben, so ist er von der Speicherung, der Identität der ver-\nten, über die Auskunft erteilt werden soll, näher bezeich-\nantwortlichen Stelle sowie über die Zweckbestimmungen\nnet werden. Sind die personenbezogenen Daten weder\nder Erhebung, Verarbeitung oder Nutzung zu unterrichten.\nautomatisiert noch in nicht automatisierten Dateien\nDer Betroffene ist auch über die Empfänger oder Kategori-\ngespeichert, wird die Auskunft nur erteilt, soweit der\nen von Empfängern von Daten zu unterrichten, soweit er\nBetroffene Angaben macht, die das Auffinden der Daten\nnicht mit der Übermittlung an diese rechnen muss. Sofern\nermöglichen, und der für die Erteilung der Auskunft erfor-\neine Übermittlung vorgesehen ist, hat die Unterrichtung\nderliche Aufwand nicht außer Verhältnis zu dem vom\nspätestens bei der ersten Übermittlung zu erfolgen.\nBetroffenen geltend gemachten Informationsinteresse\nsteht. Die verantwortliche Stelle bestimmt das Verfahren, (2) Eine Pflicht zur Benachrichtigung besteht nicht,\ninsbesondere die Form der Auskunftserteilung, nach wenn\npflichtgemäßem Ermessen.\n1. der Betroffene auf andere Weise Kenntnis von der\n(2) Absatz 1 gilt nicht für personenbezogene Daten, die Speicherung oder der Übermittlung erlangt hat,\nnur deshalb gespeichert sind, weil sie aufgrund gesetz-\n2. die Unterrichtung des Betroffenen einen unverhältnis-\nlicher, satzungsmäßiger oder vertraglicher Aufbewah-\nmäßigen Aufwand erfordert oder\nrungsvorschriften nicht gelöscht werden dürfen, oder aus-\nschließlich Zwecken der Datensicherung oder der Daten- 3. die Speicherung oder Übermittlung der personenbezo-\nschutzkontrolle dienen und eine Auskunftserteilung einen genen Daten durch Gesetz ausdrücklich vorgesehen\nunverhältnismäßigen Aufwand erfordern würde. ist.","78 Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003\nDie verantwortliche Stelle legt schriftlich fest, unter wel- 2. die Daten hierfür übermittelt oder genutzt werden dürf-\nchen Voraussetzungen von einer Benachrichtigung nach ten, wenn sie nicht gesperrt wären.\nNummer 2 oder 3 abgesehen wird. (8) Von der Berichtigung unrichtiger Daten, der Sper-\n(3) § 19 Abs. 2 bis 4 gilt entsprechend. rung bestrittener Daten sowie der Löschung oder Sper-\nrung wegen Unzulässigkeit der Speicherung sind die Stel-\n§ 20 len zu verständigen, denen im Rahmen einer Datenüber-\nmittlung diese Daten zur Speicherung weitergegeben wur-\nBerichtigung, Löschung und den, wenn dies keinen unverhältnismäßigen Aufwand\nSperrung von Daten; Widerspruchsrecht erfordert und schutzwürdige Interessen des Betroffenen\n(1) Personenbezogene Daten sind zu berichtigen, wenn nicht entgegenstehen.\nsie unrichtig sind. Wird festgestellt, dass personenbezo- (9) § 2 Abs. 1 bis 6, 8 und 9 des Bundesarchivgesetzes\ngene Daten, die weder automatisiert verarbeitet noch in ist anzuwenden.\nnicht automatisierten Dateien gespeichert sind, unrichtig\nsind, oder wird ihre Richtigkeit von dem Betroffenen § 21\nbestritten, so ist dies in geeigneter Weise festzuhalten.\nAnrufung des Bundes-\n(2) Personenbezogene Daten, die automatisiert verar- beauftragten für den Datenschutz\nbeitet oder in nicht automatisierten Dateien gespeichert\nsind, sind zu löschen, wenn Jedermann kann sich an den Bundesbeauftragten für\nden Datenschutz wenden, wenn er der Ansicht ist, bei der\n1. ihre Speicherung unzulässig ist oder\nErhebung, Verarbeitung oder Nutzung seiner personen-\n2. ihre Kenntnis für die verantwortliche Stelle zur Erfüllung bezogenen Daten durch öffentliche Stellen des Bundes in\nder in ihrer Zuständigkeit liegenden Aufgaben nicht seinen Rechten verletzt worden zu sein. Für die Erhebung,\nmehr erforderlich ist. Verarbeitung oder Nutzung von personenbezogenen\n(3) An die Stelle einer Löschung tritt eine Sperrung, Daten durch Gerichte des Bundes gilt dies nur, soweit\nsoweit diese in Verwaltungsangelegenheiten tätig werden.\n1. einer Löschung gesetzliche, satzungsmäßige oder ver-\ntragliche Aufbewahrungsfristen entgegenstehen, Dritter Unterabschnitt\n2. Grund zu der Annahme besteht, dass durch eine Bundesbeauftragter\nLöschung schutzwürdige Interessen des Betroffenen für den Datenschutz\nbeeinträchtigt würden, oder\n3. eine Löschung wegen der besonderen Art der Spei- § 22\ncherung nicht oder nur mit unverhältnismäßig hohem\nAufwand möglich ist. Wahl des Bundes-\nbeauftragten für den Datenschutz\n(4) Personenbezogene Daten, die automatisiert verar-\nbeitet oder in nicht automatisierten Dateien gespeichert (1) Der Deutsche Bundestag wählt auf Vorschlag der\nsind, sind ferner zu sperren, soweit ihre Richtigkeit vom Bundesregierung den Bundesbeauftragten für den Daten-\nBetroffenen bestritten wird und sich weder die Richtigkeit schutz mit mehr als der Hälfte der gesetzlichen Zahl seiner\nnoch die Unrichtigkeit feststellen lässt. Mitglieder. Der Bundesbeauftragte muss bei seiner Wahl\ndas 35. Lebensjahr vollendet haben. Der Gewählte ist vom\n(5) Personenbezogene Daten dürfen nicht für eine auto-\nBundespräsidenten zu ernennen.\nmatisierte Verarbeitung oder Verarbeitung in nicht auto-\nmatisierten Dateien erhoben, verarbeitet oder genutzt (2) Der Bundesbeauftragte leistet vor dem Bundes-\nwerden, soweit der Betroffene dieser bei der verantwortli- minister des Innern folgenden Eid:\nchen Stelle widerspricht und eine Prüfung ergibt, dass das „Ich schwöre, dass ich meine Kraft dem Wohle des\nschutzwürdige Interesse des Betroffenen wegen seiner deutschen Volkes widmen, seinen Nutzen mehren,\nbesonderen persönlichen Situation das Interesse der ver- Schaden von ihm wenden, das Grundgesetz und die\nantwortlichen Stelle an dieser Erhebung, Verarbeitung Gesetze des Bundes wahren und verteidigen, meine\noder Nutzung überwiegt. Satz 1 gilt nicht, wenn eine Pflichten gewissenhaft erfüllen und Gerechtigkeit gegen\nRechtsvorschrift zur Erhebung, Verarbeitung oder Nut- jedermann üben werde. So wahr mir Gott helfe.“\nzung verpflichtet.\nDer Eid kann auch ohne religiöse Beteuerung geleistet\n(6) Personenbezogene Daten, die weder automatisiert\nwerden.\nverarbeitet noch in einer nicht automatisierten Datei\ngespeichert sind, sind zu sperren, wenn die Behörde im (3) Die Amtszeit des Bundesbeauftragten beträgt fünf\nEinzelfall feststellt, dass ohne die Sperrung schutzwürdige Jahre. Einmalige Wiederwahl ist zulässig.\nInteressen des Betroffenen beeinträchtigt würden und die (4) Der Bundesbeauftragte steht nach Maßgabe dieses\nDaten für die Aufgabenerfüllung der Behörde nicht mehr Gesetzes zum Bund in einem öffentlich-rechtlichen Amts-\nerforderlich sind. verhältnis. Er ist in Ausübung seines Amtes unabhängig\n(7) Gesperrte Daten dürfen ohne Einwilligung des und nur dem Gesetz unterworfen. Er untersteht der\nBetroffenen nur übermittelt oder genutzt werden, wenn Rechtsaufsicht der Bundesregierung.\n1. es zu wissenschaftlichen Zwecken, zur Behebung (5) Der Bundesbeauftragte wird beim Bundesministe-\neiner bestehenden Beweisnot oder aus sonstigen im rium des Innern eingerichtet. Er untersteht der Dienstauf-\nüberwiegenden Interesse der verantwortlichen Stelle sicht des Bundesministeriums des Innern. Dem Bundes-\noder eines Dritten liegenden Gründen unerlässlich ist beauftragten ist die für die Erfüllung seiner Aufgaben not-\nund wendige Personal- und Sachausstattung zur Verfügung zu","Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003 79\nstellen; sie ist im Einzelplan des Bundesministeriums des Genehmigung des Bundesministeriums des Innern weder\nInnern in einem eigenen Kapitel auszuweisen. Die Stellen vor Gericht noch außergerichtlich aussagen oder\nsind im Einvernehmen mit dem Bundesbeauftragten zu Erklärungen abgeben. Unberührt bleibt die gesetzlich\nbesetzen. Die Mitarbeiter können, falls sie mit der beab- begründete Pflicht, Straftaten anzuzeigen und bei Gefähr-\nsichtigten Maßnahme nicht einverstanden sind, nur im dung der freiheitlichen demokratischen Grundordnung für\nEinvernehmen mit ihm versetzt, abgeordnet oder umge- deren Erhaltung einzutreten. Für den Bundesbeauftragten\nsetzt werden. und seine Mitarbeiter gelten die §§ 93, 97, 105 Abs. 1,\n(6) Ist der Bundesbeauftragte vorübergehend an der § 111 Abs. 5 in Verbindung mit § 105 Abs. 1 sowie § 116\nAusübung seines Amtes verhindert, kann der Bundes- Abs. 1 der Abgabenordnung nicht. Satz 5 findet keine\nminister des Innern einen Vertreter mit der Wahrnehmung Anwendung, soweit die Finanzbehörden die Kenntnis für\nder Geschäfte beauftragen. Der Bundesbeauftragte soll die Durchführung eines Verfahrens wegen einer Steuer-\ndazu gehört werden. straftat sowie eines damit zusammenhängenden Steuer-\nverfahrens benötigen, an deren Verfolgung ein zwingen-\ndes öffentliches Interesse besteht, oder soweit es sich um\n§ 23 vorsätzlich falsche Angaben des Auskunftspflichtigen\nRechtsstellung des Bundes- oder der für ihn tätigen Personen handelt. Stellt der\nbeauftragten für den Datenschutz Bundesbeauftragte einen Datenschutzverstoß fest, ist er\nbefugt, diesen anzuzeigen und den Betroffenen hierüber\n(1) Das Amtsverhältnis des Bundesbeauftragten für den zu informieren.\nDatenschutz beginnt mit der Aushändigung der Ernen-\nnungsurkunde. Es endet (6) Die Genehmigung, als Zeuge auszusagen, soll nur\nversagt werden, wenn die Aussage dem Wohle des Bun-\n1. mit Ablauf der Amtszeit, des oder eines deutschen Landes Nachteile bereiten oder\n2. mit der Entlassung. die Erfüllung öffentlicher Aufgaben ernstlich gefährden\noder erheblich erschweren würde. Die Genehmigung, ein\nDer Bundespräsident entlässt den Bundesbeauftragten,\nGutachten zu erstatten, kann versagt werden, wenn die\nwenn dieser es verlangt oder auf Vorschlag der Bun-\nErstattung den dienstlichen Interessen Nachteile bereiten\ndesregierung, wenn Gründe vorliegen, die bei einem\nwürde. § 28 des Bundesverfassungsgerichtsgesetzes\nRichter auf Lebenszeit die Entlassung aus dem Dienst\nbleibt unberührt.\nrechtfertigen. Im Fall der Beendigung des Amtsverhält-\nnisses erhält der Bundesbeauftragte eine vom Bundes- (7) Der Bundesbeauftragte erhält vom Beginn des\npräsidenten vollzogene Urkunde. Eine Entlassung wird mit Kalendermonats an, in dem das Amtsverhältnis beginnt,\nder Aushändigung der Urkunde wirksam. Auf Ersuchen bis zum Schluss des Kalendermonats, in dem das Amts-\ndes Bundesministers des Innern ist der Bundesbeauftrag- verhältnis endet, im Fall des Absatzes 1 Satz 6 bis zum\nte verpflichtet, die Geschäfte bis zur Ernennung seines Ende des Monats, in dem die Geschäftsführung endet,\nNachfolgers weiterzuführen. Amtsbezüge in Höhe der einem Bundesbeamten der Be-\nsoldungsgruppe B 9 zustehenden Besoldung. Das Bun-\n(2) Der Bundesbeauftragte darf neben seinem Amt kein\ndesreisekostengesetz und das Bundesumzugskosten-\nanderes besoldetes Amt, kein Gewerbe und keinen Beruf\ngesetz sind entsprechend anzuwenden. Im Übrigen sind\nausüben und weder der Leitung oder dem Aufsichtsrat\ndie §§ 13 bis 20 des Bundesministergesetzes in der\noder Verwaltungsrat eines auf Erwerb gerichteten Unter-\nFassung der Bekanntmachung vom 27. Juli 1971 (BGBl. I\nnehmens noch einer Regierung oder einer gesetzgeben-\nS. 1166), zuletzt geändert durch das Gesetz zur Kürzung\nden Körperschaft des Bundes oder eines Landes\ndes Amtsgehalts der Mitglieder der Bundesregierung und\nangehören. Er darf nicht gegen Entgelt außergerichtliche\nder Parlamentarischen Staatssekretäre vom 22. Dezem-\nGutachten abgeben.\nber 1982 (BGBl. I S. 2007), mit der Maßgabe anzuwenden,\n(3) Der Bundesbeauftragte hat dem Bundesministerium dass an die Stelle der zweijährigen Amtszeit in § 15 Abs. 1\ndes Innern Mitteilung über Geschenke zu machen, die er in des Bundesministergesetzes eine Amtszeit von fünf\nBezug auf sein Amt erhält. Das Bundesministerium des Jahren tritt. Abweichend von Satz 3 in Verbindung mit den\nInnern entscheidet über die Verwendung der Geschenke. §§ 15 bis 17 des Bundesministergesetzes berechnet sich\n(4) Der Bundesbeauftragte ist berechtigt, über Perso- das Ruhegehalt des Bundesbeauftragten unter Hinzu-\nnen, die ihm in seiner Eigenschaft als Bundesbeauftragter rechnung der Amtszeit als ruhegehaltsfähige Dienstzeit in\nTatsachen anvertraut haben, sowie über diese Tatsachen entsprechender Anwendung des Beamtenversorgungs-\nselbst das Zeugnis zu verweigern. Dies gilt auch für die gesetzes, wenn dies günstiger ist und der Bundes-\nMitarbeiter des Bundesbeauftragten mit der Maßgabe, beauftragte sich unmittelbar vor seiner Wahl zum Bundes-\ndass über die Ausübung dieses Rechts der Bundesbeauf- beauftragten als Beamter oder Richter mindestens in\ntragte entscheidet. Soweit das Zeugnisverweigerungs- dem letzten gewöhnlich vor Erreichen der Besoldungs-\nrecht des Bundesbeauftragten reicht, darf die Vorlegung gruppe B 9 zu durchlaufenden Amt befunden hat.*)\noder Auslieferung von Akten oder anderen Schriftstücken\nvon ihm nicht gefordert werden. *) Gemäß Artikel 3 Nr. 2 des Versorgungsänderungsgesetzes 2001 vom\n20. Dezember 2001 (BGBl. I S. 3926) ist am 1. Januar 2003 § 23 Abs. 7\n(5) Der Bundesbeauftragte ist, auch nach Beendigung wie folgt geändert worden:\nseines Amtsverhältnisses, verpflichtet, über die ihm amt- a) Satz 3 wird wie folgt gefasst:\n„Im Übrigen sind die §§ 13 bis 20 und 21a Abs. 5 des Bundesminister-\nlich bekannt gewordenen Angelegenheiten Verschwie- gesetzes mit den Maßgaben anzuwenden, dass an die Stelle der\ngenheit zu bewahren. Dies gilt nicht für Mitteilungen im zweijährigen Amtszeit in § 15 Abs. 1 des Bundesministergesetzes\ndienstlichen Verkehr oder über Tatsachen, die offenkun- eine Amtszeit von fünf Jahren und an die Stelle der Besoldungs-\ngruppe B 11 in § 21a Abs. 5 des Bundesministergesetzes die Besol-\ndig sind oder ihrer Bedeutung nach keiner Geheimhaltung dungsgruppe B 9 tritt.“\nbedürfen. Der Bundesbeauftragte darf, auch wenn er nicht b) In Satz 4 wird die Angabe „§§ 15 bis 17“ durch die Angabe „§§ 15\nmehr im Amt ist, über solche Angelegenheiten ohne bis 17 und 21a Abs. 5“ ersetzt.","80 Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003\n(8) Absatz 5 Satz 5 bis 7 gilt entsprechend für die öffent- Verarbeitung oder Nutzung personenbezogener Daten,\nlichen Stellen, die für die Kontrolle der Einhaltung der Vor- verbinden. § 25 bleibt unberührt.\nschriften über den Datenschutz in den Ländern zuständig (6) Absatz 2 gilt entsprechend für die öffentlichen Stel-\nsind. len, die für die Kontrolle der Einhaltung der Vorschriften\nüber den Datenschutz in den Ländern zuständig sind.\n§ 24\nKontrolle durch den Bundes- § 25\nbeauftragten für den Datenschutz\nBeanstandungen durch den\n(1) Der Bundesbeauftragte für den Datenschutz kontrol- Bundesbeauftragten für den Datenschutz\nliert bei den öffentlichen Stellen des Bundes die Einhal-\ntung der Vorschriften dieses Gesetzes und anderer Vor- (1) Stellt der Bundesbeauftragte für den Datenschutz\nschriften über den Datenschutz. Verstöße gegen die Vorschriften dieses Gesetzes oder\ngegen andere Vorschriften über den Datenschutz oder\n(2) Die Kontrolle des Bundesbeauftragten erstreckt sich sonstige Mängel bei der Verarbeitung oder Nutzung\nauch auf personenbezogener Daten fest, so beanstandet er dies\n1. von öffentlichen Stellen des Bundes erlangte perso- 1. bei der Bundesverwaltung gegenüber der zuständigen\nnenbezogene Daten über den Inhalt und die näheren obersten Bundesbehörde,\nUmstände des Brief-, Post- und Fernmeldeverkehrs\nund 2. beim Bundeseisenbahnvermögen gegenüber dem\nPräsidenten,\n2. personenbezogene Daten, die einem Berufs- oder\nbesonderen Amtsgeheimnis, insbesondere dem Steu- 3. bei den aus dem Sondervermögen Deutsche Bundes-\nergeheimnis nach § 30 der Abgabenordnung, unter- post durch Gesetz hervorgegangenen Unternehmen,\nliegen. solange ihnen ein ausschließliches Recht nach dem\nPostgesetz zusteht, gegenüber deren Vorständen,\nDas Grundrecht des Brief-, Post- und Fernmeldegeheim-\nnisses des Artikels 10 des Grundgesetzes wird insoweit 4. bei den bundesunmittelbaren Körperschaften, Anstal-\neingeschränkt. Personenbezogene Daten, die der Kon- ten und Stiftungen des öffentlichen Rechts sowie bei\ntrolle durch die Kommission nach § 15 des Artikel 10-Ge- Vereinigungen solcher Körperschaften, Anstalten und\nsetzes unterliegen, unterliegen nicht der Kontrolle durch Stiftungen gegenüber dem Vorstand oder dem sonst\nden Bundesbeauftragten, es sei denn, die Kommission vertretungsberechtigten Organ\nersucht den Bundesbeauftragten, die Einhaltung der Vor- und fordert zur Stellungnahme innerhalb einer von ihm zu\nschriften über den Datenschutz bei bestimmten Vorgän- bestimmenden Frist auf. In den Fällen von Satz 1 Nr. 4\ngen oder in bestimmten Bereichen zu kontrollieren und unterrichtet der Bundesbeauftragte gleichzeitig die zu-\nausschließlich ihr darüber zu berichten. Der Kontrolle ständige Aufsichtsbehörde.\ndurch den Bundesbeauftragten unterliegen auch nicht (2) Der Bundesbeauftragte kann von einer Beanstan-\npersonenbezogene Daten in Akten über die Sicherheits- dung absehen oder auf eine Stellungnahme der betroffe-\nüberprüfung, wenn der Betroffene der Kontrolle der auf ihn nen Stelle verzichten, insbesondere wenn es sich um\nbezogenen Daten im Einzelfall gegenüber dem Bundes- unerhebliche oder inzwischen beseitigte Mängel handelt.\nbeauftragten widerspricht.\n(3) Die Stellungnahme soll auch eine Darstellung der\n(3) Die Bundesgerichte unterliegen der Kontrolle des Maßnahmen enthalten, die aufgrund der Beanstandung\nBundesbeauftragten nur, soweit sie in Verwaltungsange- des Bundesbeauftragten getroffen worden sind. Die in\nlegenheiten tätig werden. Absatz 1 Satz 1 Nr. 4 genannten Stellen leiten der zustän-\n(4) Die öffentlichen Stellen des Bundes sind verpflichtet, digen Aufsichtsbehörde gleichzeitig eine Abschrift ihrer\nden Bundesbeauftragten und seine Beauftragten bei der Stellungnahme an den Bundesbeauftragten zu.\nErfüllung ihrer Aufgaben zu unterstützen. Ihnen ist dabei\ninsbesondere § 26\n1. Auskunft zu ihren Fragen sowie Einsicht in alle Unterla- Weitere Aufgaben des Bundes-\ngen, insbesondere in die gespeicherten Daten und in beauftragten für den Datenschutz\ndie Datenverarbeitungsprogramme, zu gewähren, die\nim Zusammenhang mit der Kontrolle nach Absatz 1 (1) Der Bundesbeauftragte für den Datenschutz erstat-\nstehen, tet dem Deutschen Bundestag alle zwei Jahre einen Tätig-\nkeitsbericht. Er unterrichtet den Deutschen Bundestag\n2. jederzeit Zutritt in alle Diensträume zu gewähren.\nund die Öffentlichkeit über wesentliche Entwicklungen\nDie in § 6 Abs. 2 und § 19 Abs. 3 genannten Behörden des Datenschutzes.\ngewähren die Unterstützung nur dem Bundesbeauftrag-\n(2) Auf Anforderung des Deutschen Bundestages\nten selbst und den von ihm schriftlich besonders Beauf-\noder der Bundesregierung hat der Bundesbeauftragte\ntragten. Satz 2 gilt für diese Behörden nicht, soweit die\nGutachten zu erstellen und Berichte zu erstatten. Auf\noberste Bundesbehörde im Einzelfall feststellt, dass die\nErsuchen des Deutschen Bundestages, des Petitions-\nAuskunft oder Einsicht die Sicherheit des Bundes oder\nausschusses, des Innenausschusses oder der Bundes-\neines Landes gefährden würde.\nregierung geht der Bundesbeauftragte ferner Hinweisen\n(5) Der Bundesbeauftragte teilt das Ergebnis seiner auf Angelegenheiten und Vorgänge des Datenschutzes\nKontrolle der öffentlichen Stelle mit. Damit kann er Vor- bei den öffentlichen Stellen des Bundes nach. Der Bun-\nschläge zur Verbesserung des Datenschutzes, insbeson- desbeauftragte kann sich jederzeit an den Deutschen\ndere zur Beseitigung von festgestellten Mängeln bei der Bundestag wenden.","Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003 81\n(3) Der Bundesbeauftragte kann der Bundesregierung 1. wenn es der Zweckbestimmung eines Vertragsverhält-\nund den in § 12 Abs. 1 genannten Stellen des Bundes nisses oder vertragsähnlichen Vertrauensverhältnisses\nEmpfehlungen zur Verbesserung des Datenschutzes mit dem Betroffenen dient,\ngeben und sie in Fragen des Datenschutzes beraten. Die 2. soweit es zur Wahrung berechtigter Interessen der\nin § 25 Abs. 1 Nr. 1 bis 4 genannten Stellen sind durch den verantwortlichen Stelle erforderlich ist und kein Grund\nBundesbeauftragten zu unterrichten, wenn die Empfeh- zu der Annahme besteht, dass das schutzwürdige\nlung oder Beratung sie nicht unmittelbar betrifft. Interesse des Betroffenen an dem Ausschluss der\n(4) Der Bundesbeauftragte wirkt auf die Zusammen- Verarbeitung oder Nutzung überwiegt, oder\narbeit mit den öffentlichen Stellen, die für die Kontrolle 3. wenn die Daten allgemein zugänglich sind oder die\nder Einhaltung der Vorschriften über den Datenschutz in verantwortliche Stelle sie veröffentlichen dürfte, es\nden Ländern zuständig sind, sowie mit den Aufsichts- sei denn, dass das schutzwürdige Interesse des\nbehörden nach § 38 hin. § 38 Abs. 1 Satz 3 und 4 gilt ent- Betroffenen an dem Ausschluss der Verarbeitung oder\nsprechend. Nutzung gegenüber dem berechtigten Interesse der\nverantwortlichen Stelle offensichtlich überwiegt.\nDritter Abschnitt Bei der Erhebung personenbezogener Daten sind die\nZwecke, für die die Daten verarbeitet oder genutzt werden\nDatenverarbeitung\nsollen, konkret festzulegen.\nnicht-öffentlicher Stellen\nund öffentlich-rechtlicher (2) Für einen anderen Zweck dürfen sie nur unter den\nWettbewerbsunternehmen Voraussetzungen des Absatzes 1 Satz 1 Nr. 2 und 3 über-\nmittelt oder genutzt werden.\n(3) Die Übermittlung oder Nutzung für einen anderen\nErster Unterabschnitt\nZweck ist auch zulässig:\nRechtsgrundlagen 1. soweit es zur Wahrung berechtigter Interessen eines\nder Datenverarbeitung Dritten oder\n2. zur Abwehr von Gefahren für die staatliche und öffent-\n§ 27 liche Sicherheit sowie zur Verfolgung von Straftaten\nAnwendungsbereich erforderlich ist, oder\n(1) Die Vorschriften dieses Abschnittes finden Anwen- 3. für Zwecke der Werbung, der Markt- und Meinungs-\ndung, soweit personenbezogene Daten unter Einsatz von forschung, wenn es sich um listenmäßig oder sonst\nDatenverarbeitungsanlagen verarbeitet, genutzt oder zusammengefasste Daten über Angehörige einer\ndafür erhoben werden oder die Daten in oder aus nicht Personengruppe handelt, die sich auf\nautomatisierten Dateien verarbeitet, genutzt oder dafür a) eine Angabe über die Zugehörigkeit des Betroffe-\nerhoben werden durch nen zu dieser Personengruppe,\n1. nicht-öffentliche Stellen, b) Berufs-, Branchen- oder Geschäftsbezeichnung,\n2. a) öffentliche Stellen des Bundes, soweit sie als c) Namen,\nöffentlich-rechtliche Unternehmen am Wettbewerb\nteilnehmen, d) Titel,\nb) öffentliche Stellen der Länder, soweit sie als öffent- e) akademische Grade,\nlich-rechtliche Unternehmen am Wettbewerb teil- f) Anschrift und\nnehmen, Bundesrecht ausführen und der Daten-\ng) Geburtsjahr\nschutz nicht durch Landesgesetz geregelt ist.\nbeschränken\nDies gilt nicht, wenn die Erhebung, Verarbeitung oder\nNutzung der Daten ausschließlich für persönliche oder und kein Grund zu der Annahme besteht, dass der Betrof-\nfamiliäre Tätigkeiten erfolgt. In den Fällen der Nummer 2 fene ein schutzwürdiges Interesse an dem Ausschluss der\nBuchstabe a gelten anstelle des § 38 die §§ 18, 21 und 24 Übermittlung oder Nutzung hat, oder\nbis 26. 4. wenn es im Interesse einer Forschungseinrichtung zur\n(2) Die Vorschriften dieses Abschnittes gelten nicht Durchführung wissenschaftlicher Forschung erforder-\nfür die Verarbeitung und Nutzung personenbezogener lich ist, das wissenschaftliche Interesse an der Durch-\nDaten außerhalb von nicht automatisierten Dateien, führung des Forschungsvorhabens das Interesse des\nsoweit es sich nicht um personenbezogene Daten han- Betroffenen an dem Ausschluss der Zweckänderung\ndelt, die offensichtlich aus einer automatisierten Verar- erheblich überwiegt und der Zweck der Forschung auf\nbeitung entnommen worden sind. andere Weise nicht oder nur mit unverhältnismäßigem\nAufwand erreicht werden kann.\n§ 28 In den Fällen des Satzes 1 Nr. 3 ist anzunehmen, dass\nDatenerhebung, -verarbeitung dieses Interesse besteht, wenn im Rahmen der Zweck-\nund -nutzung für eigene Zwecke bestimmung eines Vertragsverhältnisses oder vertrags-\nähnlichen Vertrauensverhältnisses gespeicherte Daten\n(1) Das Erheben, Speichern, Verändern oder Über- übermittelt werden sollen, die sich\nmitteln personenbezogener Daten oder ihre Nutzung als\nMittel für die Erfüllung eigener Geschäftszwecke ist zu- 1. auf strafbare Handlungen,\nlässig, 2. auf Ordnungswidrigkeiten sowie","82 Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003\n3. bei Übermittlung durch den Arbeitgeber auf arbeits- die Gesundheit von Personen durch Angehörige eines\nrechtliche Rechtsverhältnisse anderen als in § 203 Abs. 1 und 3 des Strafgesetzbuchs\nbeziehen. genannten Berufes, dessen Ausübung die Feststellung,\nHeilung oder Linderung von Krankheiten oder die Herstel-\n(4) Widerspricht der Betroffene bei der verantwortlichen lung oder den Vertrieb von Hilfsmitteln mit sich bringt,\nStelle der Nutzung oder Übermittlung seiner Daten für erhoben, verarbeitet oder genutzt, ist dies nur unter den\nZwecke der Werbung oder der Markt- oder Meinungs- Voraussetzungen zulässig, unter denen ein Arzt selbst\nforschung, ist eine Nutzung oder Übermittlung für diese hierzu befugt wäre.\nZwecke unzulässig. Der Betroffene ist bei der Ansprache\nzum Zweck der Werbung oder der Markt- oder Meinungs- (8) Für einen anderen Zweck dürfen die besonderen\nforschung über die verantwortliche Stelle sowie über das Arten personenbezogener Daten (§ 3 Abs. 9) nur unter den\nWiderspruchsrecht nach Satz 1 zu unterrichten; soweit Voraussetzungen des Absatzes 6 Nr. 1 bis 4 oder des\nder Ansprechende personenbezogene Daten des Betrof- Absatzes 7 Satz 1 übermittelt oder genutzt werden. Eine\nfenen nutzt, die bei einer ihm nicht bekannten Stelle Übermittlung oder Nutzung ist auch zulässig, wenn dies\ngespeichert sind, hat er auch sicherzustellen, dass der zur Abwehr von erheblichen Gefahren für die staatliche\nBetroffene Kenntnis über die Herkunft der Daten erhalten und öffentliche Sicherheit sowie zur Verfolgung von\nkann. Widerspricht der Betroffene bei dem Dritten, dem Straftaten von erheblicher Bedeutung erforderlich ist.\ndie Daten nach Absatz 3 übermittelt werden, der Verarbei- (9) Organisationen, die politisch, philosophisch, religiös\ntung oder Nutzung für Zwecke der Werbung oder der oder gewerkschaftlich ausgerichtet sind und keinen\nMarkt- oder Meinungsforschung, hat dieser die Daten für Erwerbszweck verfolgen, dürfen besondere Arten perso-\ndiese Zwecke zu sperren. nenbezogener Daten (§ 3 Abs. 9) erheben, verarbeiten\n(5) Der Dritte, dem die Daten übermittelt worden sind, oder nutzen, soweit dies für die Tätigkeit der Organisation\ndarf diese nur für den Zweck verarbeiten oder nutzen, zu erforderlich ist. Dies gilt nur für personenbezogene Daten\ndessen Erfüllung sie ihm übermittelt werden. Eine Verar- ihrer Mitglieder oder von Personen, die im Zusammen-\nbeitung oder Nutzung für andere Zwecke ist nicht-öffent- hang mit deren Tätigkeitszweck regelmäßig Kontakte mit\nlichen Stellen nur unter den Voraussetzungen der Absät- ihr unterhalten. Die Übermittlung dieser personenbezoge-\nze 2 und 3 und öffentlichen Stellen nur unter den Voraus- nen Daten an Personen oder Stellen außerhalb der Orga-\nsetzungen des § 14 Abs. 2 erlaubt. Die übermittelnde nisation ist nur unter den Voraussetzungen des § 4a Abs. 3\nStelle hat ihn darauf hinzuweisen. zulässig. Absatz 3 Nr. 2 gilt entsprechend.\n(6) Das Erheben, Verarbeiten und Nutzen von besonde-\nren Arten personenbezogener Daten (§ 3 Abs. 9) für eigene § 29\nGeschäftszwecke ist zulässig, soweit nicht der Betroffene Geschäftsmäßige\nnach Maßgabe des § 4a Abs. 3 eingewilligt hat, wenn Datenerhebung und -speicherung\n1. dies zum Schutz lebenswichtiger Interessen des zum Zweck der Übermittlung\nBetroffenen oder eines Dritten erforderlich ist, sofern\n(1) Das geschäftsmäßige Erheben, Speichern oder Ver-\nder Betroffene aus physischen oder rechtlichen Grün-\nändern personenbezogener Daten zum Zweck der Über-\nden außerstande ist, seine Einwilligung zu geben,\nmittlung, insbesondere wenn dies der Werbung, der Tätig-\n2. es sich um Daten handelt, die der Betroffene offenkun- keit von Auskunfteien, dem Adresshandel oder der Markt-\ndig öffentlich gemacht hat, und Meinungsforschung dient, ist zulässig, wenn\n3. dies zur Geltendmachung, Ausübung oder Verteidi- 1. kein Grund zu der Annahme besteht, dass der Betrof-\ngung rechtlicher Ansprüche erforderlich ist und kein fene ein schutzwürdiges Interesse an dem Ausschluss\nGrund zu der Annahme besteht, dass das schutzwürdi- der Erhebung, Speicherung oder Veränderung hat,\nge Interesse des Betroffenen an dem Ausschluss der oder\nErhebung, Verarbeitung oder Nutzung überwiegt, oder\n2. die Daten aus allgemein zugänglichen Quellen entnom-\n4. dies zur Durchführung wissenschaftlicher Forschung men werden können oder die verantwortliche Stelle\nerforderlich ist, das wissenschaftliche Interesse an der sie veröffentlichen dürfte, es sei denn, dass das\nDurchführung des Forschungsvorhabens das Interes- schutzwürdige Interesse des Betroffenen an dem Aus-\nse des Betroffenen an dem Ausschluss der Erhebung, schluss der Erhebung, Speicherung oder Veränderung\nVerarbeitung und Nutzung erheblich überwiegt und der offensichtlich überwiegt.\nZweck der Forschung auf andere Weise nicht oder nur\nmit unverhältnismäßigem Aufwand erreicht werden § 28 Abs. 1 Satz 2 ist anzuwenden.\nkann. (2) Die Übermittlung im Rahmen der Zwecke nach\n(7) Das Erheben von besonderen Arten personenbezo- Absatz 1 ist zulässig, wenn\ngener Daten (§ 3 Abs. 9) ist ferner zulässig, wenn dies zum 1. a) der Dritte, dem die Daten übermittelt werden, ein\nZweck der Gesundheitsvorsorge, der medizinischen berechtigtes Interesse an ihrer Kenntnis glaubhaft\nDiagnostik, der Gesundheitsversorgung oder Behandlung dargelegt hat oder\noder für die Verwaltung von Gesundheitsdiensten erfor-\nb) es sich um listenmäßig oder sonst zusammen-\nderlich ist und die Verarbeitung dieser Daten durch ärzt-\ngefasste Daten nach § 28 Abs. 3 Nr. 3 handelt, die\nliches Personal oder durch sonstige Personen erfolgt, die\nfür Zwecke der Werbung oder der Markt- oder Mei-\neiner entsprechenden Geheimhaltungspflicht unterliegen.\nnungsforschung übermittelt werden sollen, und\nDie Verarbeitung und Nutzung von Daten zu den in Satz 1\ngenannten Zwecken richtet sich nach den für die in Satz 1 2. kein Grund zu der Annahme besteht, dass der Betrof-\ngenannten Personen geltenden Geheimhaltungspflichten. fene ein schutzwürdiges Interesse an dem Ausschluss\nWerden zu einem in Satz 1 genannten Zweck Daten über der Übermittlung hat.","Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003 83\n§ 28 Abs. 3 Satz 2 gilt entsprechend. Bei der Übermitt- § 32\nlung nach Nummer 1 Buchstabe a sind die Gründe für\n(weggefallen)\ndas Vorliegen eines berechtigten Interesses und die\nArt und Weise ihrer glaubhaften Darlegung von der über-\nmittelnden Stelle aufzuzeichnen. Bei der Übermittlung\nZweiter Unterabschnitt\nim automatisierten Abrufverfahren obliegt die Aufzeich-\nnungspflicht dem Dritten, dem die Daten übermittelt Rechte des Betroffenen\nwerden.\n(3) Die Aufnahme personenbezogener Daten in elek- § 33\ntronische oder gedruckte Adress-, Telefon-, Branchen-\nBenachrichtigung des Betroffenen\noder vergleichbare Verzeichnisse hat zu unterbleiben,\nwenn der entgegenstehende Wille des Betroffenen aus (1) Werden erstmals personenbezogene Daten für eige-\ndem zugrunde liegenden elektronischen oder gedruckten ne Zwecke ohne Kenntnis des Betroffenen gespeichert, ist\nVerzeichnis oder Register ersichtlich ist. Der Empfänger der Betroffene von der Speicherung, der Art der Daten,\nder Daten hat sicherzustellen, dass Kennzeichnungen der Zweckbestimmung der Erhebung, Verarbeitung oder\naus elektronischen oder gedruckten Verzeichnissen Nutzung und der Identität der verantwortlichen Stelle zu\noder Registern bei der Übernahme in Verzeichnisse oder benachrichtigen. Werden personenbezogene Daten ge-\nRegister übernommen werden. schäftsmäßig zum Zweck der Übermittlung ohne Kenntnis\ndes Betroffenen gespeichert, ist der Betroffene von der\n(4) Für die Verarbeitung oder Nutzung der übermittelten\nerstmaligen Übermittlung und der Art der übermittelten\nDaten gilt § 28 Abs. 4 und 5.\nDaten zu benachrichtigen. Der Betroffene ist in den Fällen\n(5) § 28 Abs. 6 bis 9 gilt entsprechend. der Sätze 1 und 2 auch über die Kategorien von Empfän-\ngern zu unterrichten, soweit er nach den Umständen des\nEinzelfalles nicht mit der Übermittlung an diese rechnen\n§ 30 muss.\nGeschäftsmäßige Datenerhebung (2) Eine Pflicht zur Benachrichtigung besteht nicht,\nund -speicherung zum Zweck der wenn\nÜbermittlung in anonymisierter Form\n1. der Betroffene auf andere Weise Kenntnis von der\n(1) Werden personenbezogene Daten geschäftsmäßig Speicherung oder der Übermittlung erlangt hat,\nerhoben und gespeichert, um sie in anonymisierter Form\n2. die Daten nur deshalb gespeichert sind, weil sie auf-\nzu übermitteln, sind die Merkmale gesondert zu spei-\ngrund gesetzlicher, satzungsmäßiger oder vertrag-\nchern, mit denen Einzelangaben über persönliche oder\nlicher Aufbewahrungsvorschriften nicht gelöscht wer-\nsachliche Verhältnisse einer bestimmten oder bestimm-\nden dürfen oder ausschließlich der Datensicherung\nbaren natürlichen Person zugeordnet werden können.\noder der Datenschutzkontrolle dienen und eine\nDiese Merkmale dürfen mit den Einzelangaben nur zusam-\nBenachrichtigung einen unverhältnismäßigen Aufwand\nmengeführt werden, soweit dies für die Erfüllung des\nerfordern würde,\nZwecks der Speicherung oder zu wissenschaftlichen\nZwecken erforderlich ist. 3. die Daten nach einer Rechtsvorschrift oder ihrem\nWesen nach, namentlich wegen des überwiegenden\n(2) Die Veränderung personenbezogener Daten ist rechtlichen Interesses eines Dritten, geheim gehalten\nzulässig, wenn werden müssen,\n1. kein Grund zu der Annahme besteht, dass der Betrof- 4. die Speicherung oder Übermittlung durch Gesetz aus-\nfene ein schutzwürdiges Interesse an dem Ausschluss drücklich vorgesehen ist,\nder Veränderung hat, oder\n5. die Speicherung oder Übermittlung für Zwecke der\n2. die Daten aus allgemein zugänglichen Quellen entnom- wissenschaftlichen Forschung erforderlich ist und eine\nmen werden können oder die verantwortliche Stelle sie Benachrichtigung einen unverhältnismäßigen Aufwand\nveröffentlichen dürfte, soweit nicht das schutzwürdige erfordern würde,\nInteresse des Betroffenen an dem Ausschluss der\nVeränderung offensichtlich überwiegt. 6. die zuständige öffentliche Stelle gegenüber der verant-\nwortlichen Stelle festgestellt hat, dass das Bekannt-\n(3) Die personenbezogenen Daten sind zu löschen, werden der Daten die öffentliche Sicherheit oder\nwenn ihre Speicherung unzulässig ist. Ordnung gefährden oder sonst dem Wohle des Bun-\n(4) § 29 gilt nicht. des oder eines Landes Nachteile bereiten würde,\n7. die Daten für eigene Zwecke gespeichert sind und\n(5) § 28 Abs. 6 bis 9 gilt entsprechend.\na) aus allgemein zugänglichen Quellen entnommen\nsind und eine Benachrichtigung wegen der Vielzahl\n§ 31 der betroffenen Fälle unverhältnismäßig ist, oder\nBesondere Zweckbindung b) die Benachrichtigung die Geschäftszwecke der\nverantwortlichen Stelle erheblich gefährden würde,\nPersonenbezogene Daten, die ausschließlich zu\nes sei denn, dass das Interesse an der Benachrich-\nZwecken der Datenschutzkontrolle, der Datensicherung\ntigung die Gefährdung überwiegt, oder\noder zur Sicherstellung eines ordnungsgemäßen Betrie-\nbes einer Datenverarbeitungsanlage gespeichert werden, 8. die Daten geschäftsmäßig zum Zweck der Übermitt-\ndürfen nur für diese Zwecke verwendet werden. lung gespeichert sind und","84 Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003\na) aus allgemein zugänglichen Quellen entnommen seines Auskunftsanspruchs persönlich Kenntnis über die\nsind, soweit sie sich auf diejenigen Personen bezie- ihn betreffenden Daten und Angaben zu verschaffen. Er ist\nhen, die diese Daten veröffentlicht haben, oder hierauf in geeigneter Weise hinzuweisen.\nb) es sich um listenmäßig oder sonst zusammen-\ngefasste Daten handelt (§ 29 Abs. 2 Nr. 1 Buch- § 35\nstabe b) Berichtigung, Löschung\nund eine Benachrichtigung wegen der Vielzahl der und Sperrung von Daten\nbetroffenen Fälle unverhältnismäßig ist. (1) Personenbezogene Daten sind zu berichtigen, wenn\nDie verantwortliche Stelle legt schriftlich fest, unter sie unrichtig sind.\nwelchen Voraussetzungen von einer Benachrichtigung (2) Personenbezogene Daten können außer in den Fäl-\nnach Satz 1 Nr. 2 bis 7 abgesehen wird. len des Absatzes 3 Nr. 1 und 2 jederzeit gelöscht werden.\nPersonenbezogene Daten sind zu löschen, wenn\n§ 34 1. ihre Speicherung unzulässig ist,\nAuskunft an den Betroffenen 2. es sich um Daten über die rassische oder ethnische\nHerkunft, politische Meinungen, religiöse oder philoso-\n(1) Der Betroffene kann Auskunft verlangen über\nphische Überzeugungen oder die Gewerkschafts-\n1. die zu seiner Person gespeicherten Daten, auch soweit zugehörigkeit, über Gesundheit oder das Sexualleben,\nsie sich auf die Herkunft dieser Daten beziehen, strafbare Handlungen oder Ordnungswidrigkeiten\n2. Empfänger oder Kategorien von Empfängern, an die handelt und ihre Richtigkeit von der verantwortlichen\nDaten weitergegeben werden, und Stelle nicht bewiesen werden kann,\n3. den Zweck der Speicherung. 3. sie für eigene Zwecke verarbeitet werden, sobald ihre\nKenntnis für die Erfüllung des Zwecks der Speicherung\nEr soll die Art der personenbezogenen Daten, über die nicht mehr erforderlich ist, oder\nAuskunft erteilt werden soll, näher bezeichnen. Werden\n4. sie geschäftsmäßig zum Zweck der Übermittlung ver-\ndie personenbezogenen Daten geschäftsmäßig zum\narbeitet werden und eine Prüfung jeweils am Ende des\nZweck der Übermittlung gespeichert, kann der Betroffene\nvierten Kalenderjahres beginnend mit ihrer erstma-\nüber Herkunft und Empfänger nur Auskunft verlangen,\nligen Speicherung ergibt, dass eine längerwährende\nsofern nicht das Interesse an der Wahrung des Geschäfts-\nSpeicherung nicht erforderlich ist.\ngeheimnisses überwiegt. In diesem Fall ist Auskunft über\nHerkunft und Empfänger auch dann zu erteilen, wenn (3) An die Stelle einer Löschung tritt eine Sperrung,\ndiese Angaben nicht gespeichert sind. soweit\n(2) Der Betroffene kann von Stellen, die geschäftsmäßig 1. im Fall des Absatzes 2 Nr. 3 einer Löschung gesetz-\npersonenbezogene Daten zum Zweck der Auskunftsertei- liche, satzungsmäßige oder vertragliche Aufbewah-\nlung speichern, Auskunft über seine personenbezogenen rungsfristen entgegenstehen,\nDaten verlangen, auch wenn sie weder in einer automati- 2. Grund zu der Annahme besteht, dass durch eine\nsierten Verarbeitung noch in einer nicht automatisierten Löschung schutzwürdige Interessen des Betroffenen\nDatei gespeichert sind. Auskunft über Herkunft und beeinträchtigt würden, oder\nEmpfänger kann der Betroffene nur verlangen, sofern\nnicht das Interesse an der Wahrung des Geschäfts- 3. eine Löschung wegen der besonderen Art der Spei-\ngeheimnisses überwiegt. cherung nicht oder nur mit unverhältnismäßig hohem\nAufwand möglich ist.\n(3) Die Auskunft wird schriftlich erteilt, soweit nicht\n(4) Personenbezogene Daten sind ferner zu sperren,\nwegen der besonderen Umstände eine andere Form der\nsoweit ihre Richtigkeit vom Betroffenen bestritten wird\nAuskunftserteilung angemessen ist.\nund sich weder die Richtigkeit noch die Unrichtigkeit fest-\n(4) Eine Pflicht zur Auskunftserteilung besteht nicht, stellen lässt.\nwenn der Betroffene nach § 33 Abs. 2 Satz 1 Nr. 2, 3 und 5\n(5) Personenbezogene Daten dürfen nicht für eine auto-\nbis 7 nicht zu benachrichtigen ist.\nmatisierte Verarbeitung oder Verarbeitung in nicht auto-\n(5) Die Auskunft ist unentgeltlich. Werden die personen- matisierten Dateien erhoben, verarbeitet oder genutzt\nbezogenen Daten geschäftsmäßig zum Zweck der Über- werden, soweit der Betroffene dieser bei der verantwort-\nmittlung gespeichert, kann jedoch ein Entgelt verlangt lichen Stelle widerspricht und eine Prüfung ergibt, dass\nwerden, wenn der Betroffene die Auskunft gegenüber das schutzwürdige Interesse des Betroffenen wegen sei-\nDritten zu wirtschaftlichen Zwecken nutzen kann. Das Ent- ner besonderen persönlichen Situation das Interesse der\ngelt darf über die durch die Auskunftserteilung entstande- verantwortlichen Stelle an dieser Erhebung, Verarbeitung\nnen direkt zurechenbaren Kosten nicht hinausgehen. Ein oder Nutzung überwiegt. Satz 1 gilt nicht, wenn eine\nEntgelt kann in den Fällen nicht verlangt werden, in denen Rechtsvorschrift zur Erhebung, Verarbeitung oder Nut-\nbesondere Umstände die Annahme rechtfertigen, dass zung verpflichtet.\nDaten unrichtig oder unzulässig gespeichert werden, oder\n(6) Personenbezogene Daten, die unrichtig sind oder\nin denen die Auskunft ergibt, dass die Daten zu berichti-\nderen Richtigkeit bestritten wird, müssen bei der\ngen oder unter der Voraussetzung des § 35 Abs. 2 Satz 2\ngeschäftsmäßigen Datenspeicherung zum Zweck der\nNr. 1 zu löschen sind.\nÜbermittlung außer in den Fällen des Absatzes 2 Nr. 2\n(6) Ist die Auskunftserteilung nicht unentgeltlich, ist dem nicht berichtigt, gesperrt oder gelöscht werden, wenn sie\nBetroffenen die Möglichkeit zu geben, sich im Rahmen aus allgemein zugänglichen Quellen entnommen und zu","Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003 85\nDokumentationszwecken gespeichert sind. Auf Verlangen (3) Die der Kontrolle unterliegenden Stellen sowie\ndes Betroffenen ist diesen Daten für die Dauer der Spei- die mit deren Leitung beauftragten Personen haben der\ncherung seine Gegendarstellung beizufügen. Die Daten Aufsichtsbehörde auf Verlangen die für die Erfüllung ihrer\ndürfen nicht ohne diese Gegendarstellung übermittelt Aufgaben erforderlichen Auskünfte unverzüglich zu ertei-\nwerden. len. Der Auskunftspflichtige kann die Auskunft auf solche\nFragen verweigern, deren Beantwortung ihn selbst oder\n(7) Von der Berichtigung unrichtiger Daten, der Sper-\neinen der in § 383 Abs. 1 Nr. 1 bis 3 der Zivilprozessord-\nrung bestrittener Daten sowie der Löschung oder Sper-\nnung bezeichneten Angehörigen der Gefahr strafgericht-\nrung wegen Unzulässigkeit der Speicherung sind die Stel-\nlicher Verfolgung oder eines Verfahrens nach dem Gesetz\nlen zu verständigen, denen im Rahmen einer Datenüber-\nüber Ordnungswidrigkeiten aussetzen würde. Der Aus-\nmittlung diese Daten zur Speicherung weitergegeben wer-\nkunftspflichtige ist darauf hinzuweisen.\nden, wenn dies keinen unverhältnismäßigen Aufwand\nerfordert und schutzwürdige Interessen des Betroffenen (4) Die von der Aufsichtsbehörde mit der Kontrolle\nnicht entgegenstehen. beauftragten Personen sind befugt, soweit es zur Erfül-\n(8) Gesperrte Daten dürfen ohne Einwilligung des lung der der Aufsichtsbehörde übertragenen Aufgaben\nBetroffenen nur übermittelt oder genutzt werden, wenn erforderlich ist, während der Betriebs- und Geschäfts-\nzeiten Grundstücke und Geschäftsräume der Stelle zu\n1. es zu wissenschaftlichen Zwecken, zur Behebung betreten und dort Prüfungen und Besichtigungen vor-\neiner bestehenden Beweisnot oder aus sonstigen im zunehmen. Sie können geschäftliche Unterlagen, insbe-\nüberwiegenden Interesse der verantwortlichen Stelle sondere die Übersicht nach § 4g Abs. 2 Satz 1 sowie die\noder eines Dritten liegenden Gründen unerlässlich ist gespeicherten personenbezogenen Daten und die Daten-\nund verarbeitungsprogramme, einsehen. § 24 Abs. 6 gilt ent-\n2. die Daten hierfür übermittelt oder genutzt werden dürf- sprechend. Der Auskunftspflichtige hat diese Maßnahmen\nten, wenn sie nicht gesperrt wären. zu dulden.\n(5) Zur Gewährleistung des Datenschutzes nach die-\nsem Gesetz und anderen Vorschriften über den Daten-\nDritter Unterabschnitt\nschutz, soweit diese die automatisierte Verarbeitung\nAufsichtsbehörde personenbezogener Daten oder die Verarbeitung perso-\nnenbezogener Daten in oder aus nicht automatisierten\n§§ 36 und 37 Dateien regeln, kann die Aufsichtsbehörde anordnen,\ndass im Rahmen der Anforderungen nach § 9 Maß-\n(weggefallen) nahmen zur Beseitigung festgestellter technischer oder\norganisatorischer Mängel getroffen werden. Bei schwer-\n§ 38 wiegenden Mängeln dieser Art, insbesondere, wenn sie\nAufsichtsbehörde mit besonderer Gefährdung des Persönlichkeitsrechts\nverbunden sind, kann sie den Einsatz einzelner Ver-\n(1) Die Aufsichtsbehörde kontrolliert die Ausführung die- fahren untersagen, wenn die Mängel entgegen der Anord-\nses Gesetzes sowie anderer Vorschriften über den Daten- nung nach Satz 1 und trotz der Verhängung eines\nschutz, soweit diese die automatisierte Verarbeitung Zwangsgeldes nicht in angemessener Zeit beseitigt\npersonenbezogener Daten oder die Verarbeitung oder werden. Sie kann die Abberufung des Beauftragten für\nNutzung personenbezogener Daten in oder aus nicht den Datenschutz verlangen, wenn er die zur Erfüllung sei-\nautomatisierten Dateien regeln einschließlich des Rechts ner Aufgaben erforderliche Fachkunde und Zuverlässig-\nder Mitgliedstaaten in den Fällen des § 1 Abs. 5. Die Auf- keit nicht besitzt.\nsichtsbehörde darf die von ihr gespeicherten Daten nur für\nZwecke der Aufsicht verarbeiten und nutzen; § 14 Abs. 2 (6) Die Landesregierungen oder die von ihnen er-\nNr. 1 bis 3, 6 und 7 gilt entsprechend. Insbesondere darf mächtigten Stellen bestimmen die für die Kontrolle der\ndie Aufsichtsbehörde zum Zweck der Aufsicht Daten an Durchführung des Datenschutzes im Anwendungsbereich\nandere Aufsichtsbehörden übermitteln. Sie leistet den dieses Abschnittes zuständigen Aufsichtsbehörden.\nAufsichtsbehörden anderer Mitgliedstaaten der Europäi- (7) Die Anwendung der Gewerbeordnung auf die den\nschen Union auf Ersuchen ergänzende Hilfe (Amtshilfe). Vorschriften dieses Abschnittes unterliegenden Gewerbe-\nStellt die Aufsichtsbehörde einen Verstoß gegen dieses betriebe bleibt unberührt.\nGesetz oder andere Vorschriften über den Datenschutz\nfest, so ist sie befugt, die Betroffenen hierüber zu unter-\nrichten, den Verstoß bei den für die Verfolgung oder § 38a\nAhndung zuständigen Stellen anzuzeigen sowie bei Verhaltensregeln\nschwerwiegenden Verstößen die Gewerbeaufsichts- zur Förderung der Durchführung\nbehörde zur Durchführung gewerberechtlicher Maßnah- datenschutzrechtlicher Regelungen\nmen zu unterrichten. Sie veröffentlicht regelmäßig,\nspätestens alle zwei Jahre, einen Tätigkeitsbericht. § 21 (1) Berufsverbände und andere Vereinigungen, die\nSatz 1 und § 23 Abs. 5 Satz 4 bis 7 gelten entsprechend. bestimmte Gruppen von verantwortlichen Stellen vertre-\nten, können Entwürfe für Verhaltensregeln zur Förderung\n(2) Die Aufsichtsbehörde führt ein Register der nach\nder Durchführung von datenschutzrechtlichen Regelun-\n§ 4d meldepflichtigen automatisierten Verarbeitungen mit\ngen der zuständigen Aufsichtsbehörde unterbreiten.\nden Angaben nach § 4e Satz 1. Das Register kann von\njedem eingesehen werden. Das Einsichtsrecht erstreckt (2) Die Aufsichtsbehörde überprüft die Vereinbarkeit der\nsich nicht auf die Angaben nach § 4e Satz 1 Nr. 9 sowie auf ihr unterbreiteten Entwürfe mit dem geltenden Daten-\ndie Angabe der zugriffsberechtigten Personen. schutzrecht.","86 Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003\nVierter Abschnitt darstellungen zu den gespeicherten Daten zu nehmen\nund für dieselbe Zeitdauer aufzubewahren wie die Daten\nSondervorschriften selbst.\n§ 39 (3) Wird jemand durch eine Berichterstattung der Deut-\nschen Welle in seinem Persönlichkeitsrecht beeinträch-\nZweckbindung bei personen- tigt, so kann er Auskunft über die der Berichterstattung\nbezogenen Daten, die einem Berufs- zugrunde liegenden, zu seiner Person gespeicherten\noder besonderen Amtsgeheimnis unterliegen Daten verlangen. Die Auskunft kann nach Abwägung der\n(1) Personenbezogene Daten, die einem Berufs- oder schutzwürdigen Interessen der Beteiligten verweigert\nbesonderen Amtsgeheimnis unterliegen und die von der werden, soweit\nzur Verschwiegenheit verpflichteten Stelle in Ausübung 1. aus den Daten auf Personen, die bei der Vorbereitung,\nihrer Berufs- oder Amtspflicht zur Verfügung gestellt wor- Herstellung oder Verbreitung von Rundfunksendungen\nden sind, dürfen von der verantwortlichen Stelle nur für berufsmäßig journalistisch mitwirken oder mitgewirkt\nden Zweck verarbeitet oder genutzt werden, für den sie sie haben, geschlossen werden kann,\nerhalten hat. In die Übermittlung an eine nicht-öffentliche\nStelle muss die zur Verschwiegenheit verpflichtete Stelle 2. aus den Daten auf die Person des Einsenders oder\neinwilligen. des Gewährsträgers von Beiträgen, Unterlagen und\n(2) Für einen anderen Zweck dürfen die Daten nur ver- Mitteilungen für den redaktionellen Teil geschlossen\narbeitet oder genutzt werden, wenn die Änderung des werden kann,\nZwecks durch besonderes Gesetz zugelassen ist. 3. durch die Mitteilung der recherchierten oder sonst\nerlangten Daten die journalistische Aufgabe der Deut-\n§ 40 schen Welle durch Ausforschung des Informations-\nbestandes beeinträchtigt würde.\nVerarbeitung und\nNutzung personenbezogener Daten Der Betroffene kann die Berichtigung unrichtiger Daten\ndurch Forschungseinrichtungen verlangen.\n(1) Für Zwecke der wissenschaftlichen Forschung (4) Im Übrigen gelten für die Deutsche Welle von den\nerhobene oder gespeicherte personenbezogene Daten Vorschriften dieses Gesetzes die §§ 5, 7, 9 und 38a.\ndürfen nur für Zwecke der wissenschaftlichen Forschung Anstelle der §§ 24 bis 26 gilt § 42, auch soweit es sich um\nverarbeitet oder genutzt werden. Verwaltungsangelegenheiten handelt.\n(2) Die personenbezogenen Daten sind zu anonymi-\nsieren, sobald dies nach dem Forschungszweck möglich § 42\nist. Bis dahin sind die Merkmale gesondert zu speichern,\nmit denen Einzelangaben über persönliche oder sachliche Datenschutz-\nVerhältnisse einer bestimmten oder bestimmbaren Person beauftragter der Deutschen Welle\nzugeordnet werden können. Sie dürfen mit den Einzel-\nangaben nur zusammengeführt werden, soweit der For- (1) Die Deutsche Welle bestellt einen Beauftragten für\nschungszweck dies erfordert. den Datenschutz, der an die Stelle des Bundesbeauftrag-\nten für den Datenschutz tritt. Die Bestellung erfolgt auf\n(3) Die wissenschaftliche Forschung betreibenden Stel- Vorschlag des Intendanten durch den Verwaltungsrat für\nlen dürfen personenbezogene Daten nur veröffentlichen, die Dauer von vier Jahren, wobei Wiederbestellungen\nwenn zulässig sind. Das Amt eines Beauftragten für den Daten-\n1. der Betroffene eingewilligt hat oder schutz kann neben anderen Aufgaben innerhalb der\nRundfunkanstalt wahrgenommen werden.\n2. dies für die Darstellung von Forschungsergebnissen\nüber Ereignisse der Zeitgeschichte unerlässlich ist. (2) Der Beauftragte für den Datenschutz kontrolliert die\nEinhaltung der Vorschriften dieses Gesetzes sowie ande-\nrer Vorschriften über den Datenschutz. Er ist in Ausübung\n§ 41\ndieses Amtes unabhängig und nur dem Gesetz unter-\nErhebung, worfen. Im Übrigen untersteht er der Dienst- und Rechts-\nVerarbeitung und Nutzung personen- aufsicht des Verwaltungsrates.\nbezogener Daten durch die Medien\n(3) Jedermann kann sich entsprechend § 21 Satz 1 an\n(1) Die Länder haben in ihrer Gesetzgebung vorzuse- den Beauftragten für den Datenschutz wenden.\nhen, dass für die Erhebung, Verarbeitung und Nutzung\npersonenbezogener Daten von Unternehmen und Hilfs- (4) Der Beauftragte für den Datenschutz erstattet den\nunternehmen der Presse ausschließlich zu eigenen jour- Organen der Deutschen Welle alle zwei Jahre, erstmals\nnalistisch-redaktionellen oder literarischen Zwecken den zum 1. Januar 1994 einen Tätigkeitsbericht. Er erstattet\nVorschriften der §§ 5, 9 und 38a entsprechende Regelun- darüber hinaus besondere Berichte auf Beschluss eines\ngen einschließlich einer hierauf bezogenen Haftungsrege- Organes der Deutschen Welle. Die Tätigkeitsberichte\nlung entsprechend § 7 zur Anwendung kommen. übermittelt der Beauftragte auch an den Bundesbeauf-\ntragten für den Datenschutz.\n(2) Führt die journalistisch-redaktionelle Erhebung, Ver-\narbeitung oder Nutzung personenbezogener Daten durch (5) Weitere Regelungen entsprechend den §§ 23 bis 26\ndie Deutsche Welle zur Veröffentlichung von Gegen- trifft die Deutsche Welle für ihren Bereich. Die §§ 4f und 4g\ndarstellungen des Betroffenen, so sind diese Gegen- bleiben unberührt.","Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003 87\nFünfter Abschnitt 6. entgegen § 30 Abs. 1 Satz 2 die in § 30 Abs. 1 Satz 1\nbezeichneten Merkmale oder entgegen § 40 Abs. 2\nSchlussvorschriften Satz 3 die in § 40 Abs. 2 Satz 2 bezeichneten Merkmale\nmit den Einzelangaben zusammenführt.\n§ 43\n(3) Die Ordnungswidrigkeit kann im Fall des Absatzes 1\nBußgeldvorschriften mit einer Geldbuße bis zu fünfundzwanzigtausend Euro, in\nden Fällen des Absatzes 2 mit einer Geldbuße bis zu zwei-\n(1) Ordnungswidrig handelt, wer vorsätzlich oder fahr-\nhundertfünfzigtausend Euro geahndet werden.\nlässig\n1. entgegen § 4d Abs. 1, auch in Verbindung mit § 4e § 44\nSatz 2, eine Meldung nicht, nicht richtig, nicht voll-\nständig oder nicht rechtzeitig macht, Strafvorschriften\n2. entgegen § 4f Abs. 1 Satz 1 oder 2, jeweils auch in (1) Wer eine in § 43 Abs. 2 bezeichnete vorsätzliche\nVerbindung mit Satz 3 und 6, einen Beauftragten für Handlung gegen Entgelt oder in der Absicht, sich oder\nden Datenschutz nicht, nicht in der vorgeschriebenen einen anderen zu bereichern oder einen anderen zu schä-\nWeise oder nicht rechtzeitig bestellt, digen, begeht, wird mit Freiheitsstrafe bis zu zwei Jahren\noder mit Geldstrafe bestraft.\n3. entgegen § 28 Abs. 4 Satz 2 den Betroffenen nicht,\nnicht richtig oder nicht rechtzeitig unterrichtet oder (2) Die Tat wird nur auf Antrag verfolgt. Antragsberech-\nnicht sicherstellt, dass der Betroffene Kenntnis erhal- tigt sind der Betroffene, die verantwortliche Stelle, der\nten kann, Bundesbeauftragte für den Datenschutz und die Auf-\nsichtsbehörde.\n4. entgegen § 28 Abs. 5 Satz 2 personenbezogene\nDaten übermittelt oder nutzt,\n5. entgegen § 29 Abs. 2 Satz 3 oder 4 die dort bezeich- Sechster Abschnitt\nneten Gründe oder die Art und Weise ihrer glaubhaf- Übergangsvorschriften\nten Darlegung nicht aufzeichnet,\n6. entgegen § 29 Abs. 3 Satz 1 personenbezogene § 45\nDaten in elektronische oder gedruckte Adress-, Ruf- Laufende Verwendungen\nnummern-, Branchen- oder vergleichbare Verzeich-\nnisse aufnimmt, Erhebungen, Verarbeitungen oder Nutzungen perso-\nnenbezogener Daten, die am 23. Mai 2001 bereits begon-\n7. entgegen § 29 Abs. 3 Satz 2 die Übernahme von\nnen haben, sind binnen drei Jahren nach diesem Zeit-\nKennzeichnungen nicht sicherstellt,\npunkt mit den Vorschriften dieses Gesetzes in Überein-\n8. entgegen § 33 Abs. 1 den Betroffenen nicht, nicht stimmung zu bringen. Soweit Vorschriften dieses Geset-\nrichtig oder nicht vollständig benachrichtigt, zes in Rechtsvorschriften außerhalb des Anwendungs-\n9. entgegen § 35 Abs. 6 Satz 3 Daten ohne Gegendar- bereichs der Richtlinie 95/46/EG des Europäischen Parla-\nstellung übermittelt, ments und des Rates vom 24. Oktober 1995 zum Schutz\nnatürlicher Personen bei der Verarbeitung personenbe-\n10. entgegen § 38 Abs. 3 Satz 1 oder Abs. 4 Satz 1 eine zogener Daten und zum freien Datenverkehr zur Anwen-\nAuskunft nicht, nicht richtig, nicht vollständig oder dung gelangen, sind Erhebungen, Verarbeitungen oder\nnicht rechtzeitig erteilt oder eine Maßnahme nicht Nutzungen personenbezogener Daten, die am 23. Mai\nduldet oder 2001 bereits begonnen haben, binnen fünf Jahren nach\n11. einer vollziehbaren Anordnung nach § 38 Abs. 5 diesem Zeitpunkt mit den Vorschriften dieses Gesetzes in\nSatz 1 zuwiderhandelt. Übereinstimmung zu bringen.\n(2) Ordnungswidrig handelt, wer vorsätzlich oder fahr-\nlässig § 46\n1. unbefugt personenbezogene Daten, die nicht allgemein Weitergeltung\nzugänglich sind, erhebt oder verarbeitet, von Begriffsbestimmungen\n2. unbefugt personenbezogene Daten, die nicht all- (1) Wird in besonderen Rechtsvorschriften des Bundes\ngemein zugänglich sind, zum Abruf mittels automati- der Begriff Datei verwendet, ist Datei\nsierten Verfahrens bereithält, 1. eine Sammlung personenbezogener Daten, die durch\n3. unbefugt personenbezogene Daten, die nicht all- automatisierte Verfahren nach bestimmten Merkmalen\ngemein zugänglich sind, abruft oder sich oder einem ausgewertet werden kann (automatisierte Datei), oder\nanderen aus automatisierten Verarbeitungen oder 2. jede sonstige Sammlung personenbezogener Daten,\nnicht automatisierten Dateien verschafft, die gleichartig aufgebaut ist und nach bestimmten\n4. die Übermittlung von personenbezogenen Daten, die Merkmalen geordnet, umgeordnet und ausgewertet\nnicht allgemein zugänglich sind, durch unrichtige werden kann (nicht automatisierte Datei).\nAngaben erschleicht, Nicht hierzu gehören Akten und Aktensammlungen, es sei\n5. entgegen § 16 Abs. 4 Satz 1, § 28 Abs. 5 Satz 1, auch in denn, dass sie durch automatisierte Verfahren umgeord-\nVerbindung mit § 29 Abs. 4, § 39 Abs. 1 Satz 1 oder net und ausgewertet werden können.\n§ 40 Abs. 1, die übermittelten Daten für andere Zwecke (2) Wird in besonderen Rechtsvorschriften des Bundes\nnutzt, indem er sie an Dritte weitergibt, oder der Begriff Akte verwendet, ist Akte jede amtlichen oder","88 Bundesgesetzblatt Jahrgang 2003 Teil I Nr. 3, ausgegeben zu Bonn am 24. Januar 2003\ndienstlichen Zwecken dienende Unterlage, die nicht dem son oder Stelle außerhalb der verantwortlichen Stelle.\nDateibegriff des Absatzes 1 unterfällt; dazu zählen auch Empfänger sind nicht der Betroffene sowie Personen und\nBild- und Tonträger. Nicht hierunter fallen Vorentwürfe Stellen, die im Inland, in einem anderen Mitgliedstaat der\nund Notizen, die nicht Bestandteil eines Vorgangs werden Europäischen Union oder in einem anderen Vertragsstaat\nsollen. des Abkommens über den Europäischen Wirtschaftsraum\n(3) Wird in besonderen Rechtsvorschriften des Bundes personenbezogene Daten im Auftrag erheben, verarbeiten\nder Begriff Empfänger verwendet, ist Empfänger jede Per- oder nutzen.\nAnlage\n(zu § 9 Satz 1)\nWerden personenbezogene Daten automatisiert verarbeitet oder genutzt, ist\ndie innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass\nsie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind\ninsbesondere Maßnahmen zu treffen, die je nach der Art der zu schützenden\npersonenbezogenen Daten oder Datenkategorien geeignet sind,\n1. Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personen-\nbezogene Daten verarbeitet oder genutzt werden, zu verwehren (Zutritts-\nkontrolle),\n2. zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt\nwerden können (Zugangskontrolle),\n3. zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems\nBerechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden\nDaten zugreifen können, und dass personenbezogene Daten bei der Verar-\nbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert,\nverändert oder entfernt werden können (Zugriffskontrolle),\n4. zu gewährleisten, dass personenbezogene Daten bei der elektronischen\nÜbertragung oder während ihres Transports oder ihrer Speicherung auf\nDatenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden\nkönnen, und dass überprüft und festgestellt werden kann, an welche Stellen\neine Übermittlung personenbezogener Daten durch Einrichtungen zur\nDatenübertragung vorgesehen ist (Weitergabekontrolle),\n5. zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann,\nob und von wem personenbezogene Daten in Datenverarbeitungssysteme\neingegeben, verändert oder entfernt worden sind (Eingabekontrolle),\n6. zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet\nwerden, nur entsprechend den Weisungen des Auftraggebers verarbeitet\nwerden können (Auftragskontrolle),\n7. zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung\noder Verlust geschützt sind (Verfügbarkeitskontrolle),\n8. zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten\ngetrennt verarbeitet werden können."]}