|
Bundesdatenschutzgesetz (BDSG)
Stand: 15. November 2006
Dieses Gesetz dient der Umsetzung der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. EG Nr. L 281, S. 31 ff.).
Inhaltsübersicht
Erster Abschnitt Allgemeine und gemeinsame Bestimmungen
§ 1 Zweck und Anwendungsbereich des Gesetzes
§ 2 Öffentliche und nicht-öffentliche Stellen
§ 3 Weitere Begriffsbestimmungen
§ 3a Datenvermeidung und Datensparsamkeit
§ 4 Zulässigkeit der Datenerhebung, -verarbeitung und -nutzung
§ 4a Einwilligung
§ 4b Übermittlung personenbezogener Daten ins Ausland sowie an über- und zwischenstaatliche Stellen
§ 4c Ausnahmen
§ 4d Meldepflicht
§ 4e Inhalt der Meldepflicht
§ 4f Beauftragter für den Datenschutz
§ 4g Aufgaben des Beauftragten für den Datenschutz
§ 5 Datengeheimnis
§ 6 Unabdingbare Rechte des Betroffenen
§ 6a Automatisierte Einzelentscheidung
§ 6b Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen
§ 6c Mobile personenbezogene Speicher- und Verarbeitungsmedien
§ 7 Schadensersatz
§ 8 Schadensersatz bei automatisierter Datenverarbeitung durch öffentliche Stellen
§ 9 Technische und organisatorische Maßnahmen
§ 9a Datenschutzaudit
§ 10 Einrichtung automatisierter Abrufverfahren
§ 11 Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag
Zweiter Abschnitt Datenverarbeitung der öffentlichen Stellen
Erster Unterabschnitt Rechtsgrundlagen der Datenverarbeitung
§ 12 Anwendungsbereich
§ 13 Datenerhebung
§ 14 Datenspeicherung, -veränderung und -nutzung
§ 15 Datenübermittlung an öffentliche Stellen
§ 16 Datenübermittlung an nicht-öffentliche Stellen
§ 17 weggefallen
§ 18 Durchführung des Datenschutzes in der Bundesverwaltung
Zweiter Unterabschnitt Rechte des Betroffenen
§ 19 Auskunft an den Betroffenen
§ 19a Benachrichtigung
§ 20 Berichtigung, Löschung und Sperrung von Daten; Widerspruchsrecht
§ 21 Anrufung des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit
Dritter Unterabschnitt Bundesbeauftragter für den Datenschutz und die Informationsfreiheit
§ 22 Wahl des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit
§ 23 Rechtsstellung des Bundesbeauftragten für den Datenschutz und die Informations-freiheit
§ 24 Kontrolle durch den Bundesbeauftragten für den Datenschutz und die Informations-freiheit
§ 25 Beanstandungen durch den Bundesbeauftragten für den Datenschutz und die Informations-freiheit
§ 26 Weitere Aufgaben des Bundesbeauftragten für den Datenschutz und die Informations-freiheit
Dritter Abschnitt Datenverarbeitung nicht-öffentlicher Stellen und öffentlich-rechtlicher Wettbewerbsunternehmen
Erster Unterabschnitt Rechtsgrundlagen der Datenverarbeitung
§ 27 Anwendungsbereich
§ 28 Datenerhebung, -verarbeitung und -nutzung für eigene Zwecke
§ 29 Geschäftsmäßige Datenerhebung und -speicherung zum Zweck der Übermittlung
§ 30 Geschäftsmäßige Datenerhebung und -speicherung zum Zweck der Übermittlung in anonymisierter Form
§ 31 Besondere Zweckbindung
§ 32 weggefallen
Zweiter Unterabschnitt Rechte des Betroffenen
§ 33 Benachrichtigung des Betroffenen
§ 34 Auskunft an den Betroffenen
§ 35 Berichtigung, Löschung und Sperrung von Daten
Dritter Unterabschnitt Aufsichtsbehörde
§ 36 weggefallen
§ 37 weggefallen
§ 38 Aufsichtsbehörde
§ 38a Verhaltensregeln zur Förderung der Durchführung datenschutzrechtlicher Regelungen
Vierter Abschnitt Sondervorschriften
§ 39 Zweckbindung bei personenbezogenen Daten, die einem Berufs- oder besonderen Amtsgeheimnis unterliegen
§ 40 Verarbeitung und Nutzung personenbezogener Daten durch Forschungseinrichtungen
§ 41 Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch die Medien
§ 42 Datenschutzbeauftragter der Deutschen Welle
Fünfter Abschnitt Schlussvorschriften
§ 43 Bußgeldvorschriften
§ 44 Strafvorschriften
Sechster Abschnitt Übergangsvorschriften
§ 45 Laufende Verwendungen
§ 46 Weitergeltung von Begriffsbestimmungen
Anlage (zu § 9 Satz 1)
=========================================
=========================================
Erster Abschnitt Allgemeine und gemeinsame Bestimmungen
§ 1 Zweck und Anwendungsbereich des Gesetzes
(1) Zweck dieses Gesetzes ist es, den Einzelnen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird.
(2) Dieses Gesetz gilt für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch
1. öffentliche Stellen des Bundes,
2. öffentliche Stellen der Länder, soweit der Datenschutz nicht durch Landesgesetz geregelt ist und soweit sie
a) Bundesrecht ausführen oder
b) als Organe der Rechtspflege tätig werden und es sich nicht um Verwaltungsangelegenheiten handelt,
3. nicht öffentliche Stellen, soweit sie die Daten unter Einsatz von Datenverarbeitungsanlagen verarbeiten, nutzen oder dafür erheben oder die Daten in oder aus nicht automatisierten Dateien verarbeiten, nutzen oder dafür erheben, es sei denn, die Erhebung, Verarbeitung oder Nutzung der Daten erfolgt ausschließlich für persönliche oder familiäre Tätigkeiten.
(3) Soweit andere Rechtsvorschriften des Bundes auf personenbezogene Daten einschließlich deren Veröffentlichung anzuwenden sind, gehen sie den Vorschriften dieses Gesetzes vor. Die Verpflichtung zur Wahrung gesetzlicher Geheimhaltungspflichten oder von Berufs- oder besonderen Amtsgeheimnissen, die nicht auf gesetz-lichen Vorschriften beruhen, bleibt unberührt.
(4) Die Vorschriften dieses Gesetzes gehen denen des Verwaltungsverfahrensgesetzes vor, soweit bei der Ermittlung des Sachverhalts personenbezogene Daten verarbeitet werden.
(5) Dieses Gesetz findet keine Anwendung, sofern eine in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum belegene verantwortliche Stelle personenbezogene Daten im Inland erhebt, verarbeitet oder nutzt, es sei denn, dies erfolgt durch eine Niederlassung im Inland. Dieses Gesetz findet Anwendung, sofern eine verantwortliche Stelle, die nicht in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum belegen ist, personen-bezogene Daten im Inland erhebt, verarbeitet oder nutzt. Soweit die verantwortliche Stelle nach diesem Gesetz zu nennen ist, sind auch Angaben über im Inland ansässige Vertreter zu machen. Die Sätze 2 und 3 gelten nicht, sofern Datenträger nur zum Zweck des Transits durch das Inland eingesetzt werden. § 38 Abs. 1 Satz 1 bleibt unberührt.
§ 2 Öffentliche und nicht-öffentliche Stellen
(1) Öffentliche Stellen des Bundes sind die Behörden, die Organe der Rechtspflege und andere öffentlich-rechtlich organisierte Einrichtungen des Bundes, der bundes-unmittelbaren Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts sowie deren Vereinigungen ungeachtet ihrer Rechtsform. Als öffentliche Stellen gelten die aus dem Sondervermögen Deutsche Bundespost durch Gesetz hervorgegangenen Unternehmen, solange ihnen ein ausschließliches Recht nach dem Postgesetz zusteht.
(2) Öffentliche Stellen der Länder sind die Behörden, die Organe der Rechtspflege und andere öffentlich-rechtlich organisierte Einrichtungen eines Landes, einer Gemeinde, eines Gemeindeverbandes und sonstiger der Aufsicht des Landes unterstehender juristischer Personen des öffentlichen Rechts sowie deren Vereinigungen ungeachtet ihrer Rechtsform.
(3) Vereinigungen des privaten Rechts von öffentlichen Stellen des Bundes und der Länder, die Aufgaben der öffentlichen Verwaltung wahrnehmen, gelten ungeachtet der Beteiligung nicht-öffentlicher Stellen als öffentliche Stellen des Bundes, wenn
1. sie über den Bereich eines Landes hinaus tätig werden oder
2. dem Bund die absolute Mehrheit der Anteile gehört oder die absolute Mehrheit der Stimmen zusteht.
Andernfalls gelten sie als öffentliche Stellen der Länder.
Otherwise they shall be regarded as public bodies of the Länder.
(4) Nicht-öffentliche Stellen sind natürliche und juristische Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts, soweit sie nicht unter die Absätze 1 bis 3 fallen. Nimmt eine nicht-öffentliche Stelle hoheitliche Aufgaben der öffentlichen Verwaltung wahr, ist sie insoweit öffentliche Stelle im Sinne dieses Gesetzes.
§ 3 Weitere Begriffsbestimmungen
(1) Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener).
(2) Automatisierte Verarbeitung ist die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten unter Einsatz von Datenverarbeitungsanlagen. Eine nicht automatisierte Datei ist jede nicht automatisierte Sammlung personenbezogener Daten, die gleichartig aufgebaut ist und nach bestimmten Merkmalen zugänglich ist und ausgewertet werden kann.
(3) Erheben ist das Beschaffen von Daten über den Betroffenen.
(4) Verarbeiten ist das Speichern, Verändern, Übermitteln, Sperren und Löschen personenbezogener Daten. Im Einzelnen ist, ungeachtet der dabei angewendeten Verfahren:
1. Speichern das Erfassen, Aufnehmen oder Aufbewahren personenbezogener Daten auf einem Datenträger zum Zweck ihrer weiteren Verarbeitung oder Nutzung,
2. Verändern das inhaltliche Umgestalten gespeicherter personenbezogener Daten,
3. Übermitteln das Bekanntgeben gespeicherter oder durch Datenverarbeitung gewonnener personenbezogener Daten an einen Dritten in der Weise, dass
a) die Daten an den Dritten weitergegeben werden oder
b) der Dritte zur Einsicht oder zum Abruf bereitgehaltene Daten einsieht oder abruft,
4. Sperren das Kennzeichnen gespeicherter personenbezogener Daten, um ihre weitere Verarbeitung oder Nutzung einzuschränken,
5. Löschen das Unkenntlichmachen gespeicherter personenbezogener Daten.
(5) Nutzen ist jede Verwendung personenbezogener Daten, soweit es sich nicht um Verarbeitung handelt.
(6) Anonymisieren ist das Verändern personenbezogener Daten derart, dass die Einzelangaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.
(6a) Pseudonymisieren ist das Ersetzen des Namens und anderer Identifikationsmerkmale durch ein Kennzeichen zu dem Zweck, die Bestimmung des Betroffenen auszuschließen oder wesentlich zu erschweren.
(7) Verantwortliche Stelle ist jede Person oder Stelle, die personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt oder dies durch andere im Auftrag vornehmen lässt.
(8) Empfänger ist jede Person oder Stelle, die Daten erhält. Dritter ist jede Person oder Stelle außerhalb der verantwortlichen Stelle. Dritte sind nicht der Betroffene sowie Personen und Stellen, die im Inland, in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum personenbezogene Daten im Auftrag erheben, verarbeiten oder nutzen.
(9) Besondere Arten personenbezogener Daten sind Angaben über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben.
(10) Mobile personenbezogene Speicher- und Verarbeitungsmedien sind Datenträger,
1. die an den Betroffenen ausgegeben werden,
2. auf denen personenbezogene Daten über die Speicherung hinaus durch die ausgebende oder eine andere Stelle automatisiert verarbeitet werden können und
3. bei denen der Betroffene diese Verarbeitung nur durch den Gebrauch des Mediums beeinflussen kann.
§ 3a Datenvermeidung und Datensparsamkeit
Gestaltung und Auswahl von Datenverarbeitungssystemen haben sich an dem Ziel auszurichten, keine oder so wenig personenbezogene Daten wie möglich zu erheben, zu verarbeiten oder zu nutzen. Insbesondere ist von den Möglichkeiten der Anonymisierung und Pseudonymisierung Gebrauch zu machen, soweit dies möglich ist und der Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht.
§ 4 Zulässigkeit der Datenerhebung, -verarbeitung und -nutzung
(1) Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten sind nur zulässig, soweit dieses Gesetz oder eine andere Rechtsvorschrift dies erlaubt oder anordnet oder der Betroffene eingewilligt hat.
(2) Personenbezogene Daten sind beim Betroffenen zu erheben. Ohne seine Mitwirkung dürfen sie nur erhoben werden, wenn
1. eine Rechtsvorschrift dies vorsieht oder zwingend voraussetzt oder
2. a) die zu erfüllende Verwaltungsaufgabe ihrer Art nach oder der Geschäftszweck eine Erhebung bei anderen Personen oder Stellen erforderlich macht oder
b) die Erhebung beim Betroffenen einen unverhältnismäßigen Aufwand erfordern würde
(3) Werden personenbezogene Daten beim Betroffenen erhoben, so ist er, sofern er nicht bereits auf andere Weise Kenntnis erlangt hat, von der verantwortlichen Stelle über
1. die Identität der verantwortlichen Stelle,
2. die Zweckbestimmungen der Erhebung, Verarbeitung oder Nutzung und
3. die Kategorien von Empfängern nur, soweit der Betroffene nach den Umständen des Einzelfalles nicht mit der Übermittlung an diese rechnen muss,
zu unterrichten. Werden personenbezogene Daten beim Betroffenen aufgrund einer Rechtsvorschrift erhoben, die zur Auskunft verpflichtet, oder ist die Erteilung der Auskunft Voraussetzung für die Gewährung von Rechtsvorteilen, so ist der Betroffene hierauf, sonst auf die Freiwilligkeit seiner Angaben hinzuweisen. Soweit nach den Umständen des Einzelfalles erforderlich oder auf Verlangen, ist er über die Rechtsvorschrift und über die Folgen der Verweigerung von Angaben aufzuklären.
§ 4a Einwilligung
(1) Die Einwilligung ist nur wirksam, wenn sie auf der freien Entscheidung des Betroffenen beruht. Er ist auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung sowie, soweit nach den Umständen des Einzelfalles erforderlich oder auf Verlangen, auf die Folgen der Verweigerung der Einwilligung hinzuweisen. Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist sie besonders hervorzuheben.
(2) Im Bereich der wissenschaftlichen Forschung liegt ein besonderer Umstand im Sinne von Absatz 1 Satz 3 auch dann vor, wenn durch die Schriftform der bestimmte Forschungszweck erheblich beeinträchtigt würde. In diesem Fall sind der Hinweis nach Absatz 1 Satz 2 und die Gründe, aus denen sich die erhebliche Beeinträchtigung des bestimmten Forschungszwecks ergibt, schriftlich festzuhalten.
(3) Soweit besondere Arten personenbezogener Daten (§ 3 Abs. 9) erhoben, verarbeitet oder genutzt werden, muss sich die Einwilligung darüber hinaus ausdrücklich auf diese Daten beziehen.
§ 4b Übermittlung personenbezogener Daten ins Ausland sowie an über- oder zwischenstaatliche Stellen
(1) Für die Übermittlung personenbezogener Daten an Stellen
1. in anderen Mitgliedstaaten der Europäischen Union,
2. in anderen Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum oder
3. der Organe und Einrichtungen der Europäischen Gemeinschaften
gelten § 15 Abs. 1, § 16 Abs. 1 und §§ 28 bis 30 nach Maßgabe der für diese Übermittlung geltenden Gesetze und Vereinbarungen, soweit die Übermittlung im Rahmen von Tätigkeiten erfolgt, die ganz oder teilweise in den Anwendungsbereich des Rechts der Europäischen Gemeinschaften fallen.
(2) Für die Übermittlung personenbezogener Daten an Stellen nach Absatz 1, die nicht im Rahmen von Tätigkeiten erfolgt, die ganz oder teilweise in den Anwendungsbereich des Rechts der Europäischen Gemeinschaften fallen, sowie an sonstige ausländische oder über- oder zwischenstaatliche Stellen gilt Absatz 1 entsprechend. Die Übermittlung unterbleibt, soweit der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Übermittlung hat, insbesondere wenn bei den in Satz 1 genannten Stellen ein angemessenes Datenschutzniveau nicht gewährleistet ist. Satz 2 gilt nicht, wenn die Übermittlung zur Erfüllung eigener Aufgaben einer öffentlichen Stelle des Bundes aus zwingenden Gründen der Verteidigung oder der Erfüllung über- oder zwischenstaatlicher Verpflichtungen auf dem Gebiet der Krisenbewältigung oder Konfliktverhinderung oder für humanitäre Maßnahmen erforderlich ist.
(3) Die Angemessenheit des Schutzniveaus wird unter Berücksichtigung aller Umstände beurteilt, die bei einer Datenübermittlung oder einer Kategorie von Datenübermittlungen von Bedeutung sind; insbesondere können die Art der Daten, die Zweckbestimmung, die Dauer der geplanten Verarbeitung, das Herkunfts- und das Endbestimmungsland, die für den betreffenden Empfänger geltenden Rechtsnormen sowie die für ihn geltenden Standesregeln und Sicherheitsmaßnahmen herangezogen werden.
(4) In den Fällen des § 16 Abs. 1 Nr. 2 unterrichtet die übermittelnde Stelle den Betroffenen von der Übermittlung seiner Daten. Dies gilt nicht, wenn damit zu rechnen ist, dass er davon auf andere Weise Kenntnis erlangt, oder wenn die Unterrichtung die öffentliche Sicherheit gefährden oder sonst dem Wohl des Bundes oder eines Landes Nachteile bereiten würde.
(5) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle.
(6) Die Stelle, an die die Daten übermittelt werden, ist auf den Zweck hinzuweisen, zu dessen Erfüllung die Daten übermittelt werden.
§ 4c Ausnahmen
(1) Im Rahmen von Tätigkeiten, die ganz oder teilweise in den Anwendungsbereich des Rechts der Europäischen Gemeinschaften fallen, ist eine Übermittlung personenbezogener Daten an andere als die in § 4b Abs. 1 genannten Stellen, auch wenn bei ihnen ein angemessenes Datenschutzniveau nicht gewährleistet ist, zulässig, sofern
1. der Betroffene seine Einwilligung gegeben hat,
2. die Übermittlung für die Erfüllung eines Vertrags zwischen dem Betroffenen und der verantwortlichen Stelle oder zur Durchführung von vorvertraglichen Maßnahmen, die auf Veranlassung des Betroffenen getroffen worden sind, erforderlich ist,
3. die Übermittlung zum Abschluss oder zur Erfüllung eines Vertrags erforderlich ist, der im Interesse des Betroffenen von der verantwortlichen Stelle mit einem Dritten geschlossen wurde oder geschlossen werden soll,
4. die Übermittlung für die Wahrung eines wichtigen öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen vor Gericht erforderlich ist,
5. die Übermittlung für die Wahrung lebenswichtiger Interessen des Betroffenen erforderlich ist oder
6. die Übermittlung aus einem Register erfolgt, das zur Information der Öffentlichkeit bestimmt ist und entweder der gesamten Öffentlichkeit oder allen Personen, die ein berechtigtes Interesse nachweisen können, zur Einsichtnahme offen steht, soweit die gesetzlichen Voraussetzungen im Einzelfall gegeben sind.
Die Stelle, an die die Daten übermittelt werden, ist darauf hinzuweisen, dass die übermittelten Daten nur zu dem Zweck verarbeitet oder genutzt werden dürfen, zu dessen Erfüllung sie übermittelt werden.
(2) Unbeschadet des Absatzes 1 Satz 1 kann die zuständige Aufsichtsbehörde einzelne Übermittlungen oder bestimmte Arten von Übermittlungen personenbezogener Daten an andere als die in § 4b Abs. 1 genannten Stellen genehmigen, wenn die verantwortliche Stelle ausreichende Garantien hinsichtlich des Schutzes des Persönlichkeitsrechts und der Ausübung der damit verbundenen Rechte vorweist; die Garantien können sich insbesondere aus Vertragsklauseln oder verbindlichen Unternehmensregelungen ergeben. Bei den Post- und Telekommunikationsunternehmen ist der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit zuständig. Sofern die Übermittlung durch öffentliche Stellen erfolgen soll, nehmen diese die Prüfung nach Satz 1 vor.
(3) Die Länder teilen dem Bund die nach Absatz 2 Satz 1 ergangenen Entscheidungen mit.
§ 4d Meldepflicht
(1) Verfahren automatisierter Verarbeitungen sind vor ihrer Inbetriebnahme von nicht-öffentlichen verantwortlichen Stellen der zuständigen Aufsichtsbehörde und von öffentlichen verantwortlichen Stellen des Bundes sowie von den Post- und Telekommunikationsunternehmen dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit nach Maßgabe von § 4e zu melden.
(2) Die Meldepflicht entfällt, wenn die verantwortliche Stelle einen Beauftragten für den Datenschutz bestellt hat.
(3) Die Meldepflicht entfällt ferner, wenn die verantwortliche Stelle personenbezogene Daten für eigene Zwecke erhebt, verarbeitet oder nutzt, hierbei höchstens neun Personen mit der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten beschäftigt und entweder eine Einwilligung der Betroffenen vorliegt oder die Erhebung, Verarbeitung oder Nutzung der Zweckbestimmung eines Vertragsverhältnisses oder vertragsähnlichen Vertrauensverhältnisses mit den Betroffenen dient.
(4) Die Absätze 2 und 3 gelten nicht, wenn es sich um automatisierte Verarbeitungen handelt, in denen geschäftsmäßig personenbezogene Daten von der jeweiligen Stelle
gespeichert werden.
(5) Soweit automatisierte Verarbeitungen besondere Risiken für die Rechte und Freiheiten der Betroffenen aufweisen, unterliegen sie der Prüfung vor Beginn der Verarbeitung (Vorabkontrolle). Eine Vorabkontrolle ist insbesondere durchzuführen, wenn
1. besondere Arten personenbezogener Daten (§ 3 Abs. 9) verarbeitet werden oder
2. die Verarbeitung personenbezogener Daten dazu bestimmt ist, die Persönlichkeit des Betroffenen zu bewerten einschließlich seiner Fähigkeiten, seiner Leistung oder seines Verhaltens,
es sei denn, dass eine gesetzliche Verpflichtung oder eine Einwilligung des Betroffenen vorliegt oder die Erhebung, Verarbeitung oder Nutzung der Zweckbestimmung eines Vertragsverhältnisses oder vertragsähnlichen Vertrauensverhältnisses mit dem Betroffenen dient..
(6) Zuständig für die Vorabkontrolle ist der Beauftragte für den Datenschutz. Dieser nimmt die Vorabkontrolle nach Empfang der Übersicht nach § 4g Abs. 2 Satz 1 vor. Er hat sich in Zweifelsfällen an die Aufsichtsbehörde oder bei den Post- und Telekommunikationsunternehmen an den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zu wenden.
§ 4e Inhalt der Meldepflicht
Sofern Verfahren automatisierter Verarbeitungen meldepflichtig sind, sind folgende Angaben zu machen:
1. Name oder Firma der verantwortlichen Stelle,
2. Inhaber, Vorstände, Geschäftsführer oder sonstige gesetzliche oder nach der Verfassung des Unternehmens berufene Leiter und die mit der Leitung der Datenverarbeitung beauftragten Personen,
3. Anschrift der verantwortlichen Stelle,
4. Zweckbestimmungen der Datenerhebung, -verarbeitung oder -nutzung,
5. eine Beschreibung der betroffenen Personengruppen und der diesbezüglichen Daten oder Datenkategorien,
6. Empfänger oder Kategorien von Empfängern, denen die Daten mitgeteilt werden können,
7. Regelfristen für die Löschung der Daten,
8. eine geplante Datenübermittlung in Drittstaaten,
9. eine allgemeine Beschreibung, die es ermöglicht, vorläufig zu beurteilen, ob die Maßnahmen nach § 9 zur Gewährleistung der Sicherheit der Verarbeitung angemessen sind.
§ 4d Abs. 1 und 4 gilt für die Änderung der nach Satz 1 mit-geteilten Angaben sowie für den Zeitpunkt der Aufnahme und der Beendigung der meldepflichtigen Tätigkeit ent-sprechend.
§ 4f Beauftragter für den Datenschutz
(1) Öffentliche und nicht-öffentliche Stellen, die personenbezogene Daten automatisiert verarbeiten, haben einen Beauftragten für den Datenschutz schriftlich zu bestellen. Nicht-öffentliche Stellen sind hierzu spätestens innerhalb eines Monats nach Aufnahme ihrer Tätigkeit verpflichtet. Das Gleiche gilt, wenn personenbezogene Daten auf andere Weise erhoben, verarbeitet oder genutzt werden und damit in der Regel mindestens 20 Personen beschäftigt sind. Die Sätze 1 und 2 gelten nicht für die nichtöffentlichen Stellen, die in der Regel höchstens neun Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Soweit aufgrund der Struktur einer öffentlichen Stelle erforderlich, genügt die Bestellung eines Beauftragten für den Datenschutz für mehrere Bereiche. Soweit nicht-öffentliche Stellen automatisierte Verarbeitungen vornehmen, die einer Vorabkontrolle unterliegen, oder personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung oder der anonymisierten Übermittlung automatisiert verarbeiten haben sie unabhängig von der Anzahl der mit der automatisierten Verarbeitung beschäftigten Personen einen Beauftragten für den Datenschutz zu bestellen.
(2) Zum Beauftragten für den Datenschutz darf nur bestellt werden, wer die zur Erfüllung seiner Aufgaben erforderliche Fachkunde und Zuverlässigkeit besitzt. Das Maß der erforderlichen Fachkunde bestimmt sich insbesondere nach dem Umfang der Datenverarbeitung der verantwortlichen Stelle und dem Schutzbedarf der personenbezogenen Daten, die die verantwortliche Stelle erhebt oder verwendet. Zum Beauftragten für den Datenschutz kann auch eine Person außerhalb der verantwortlichen Stelle bestellt werden; die Kontrolle erstreckt sich auch auf personenbezogene Daten, die einem Berufs- oder besonderen Amtsgeheimnis, insbesondere dem Steuergeheimnis nach § 30 der Abgabenordnung, unterliegen.
(3) Der Beauftragte für den Datenschutz ist dem Leiter der öffentlichen oder nicht-öffentlichen Stelle unmittelbar zu unterstellen. Er ist in Ausübung seiner Fachkunde auf dem Gebiet des Datenschutzes weisungsfrei. Er darf wegen der Erfüllung seiner Aufgaben nicht benachteiligt werden. Die Bestellung zum Beauftragten für den Datenschutz kann in entsprechender Anwendung von § 626 des Bürgerlichen Gesetzbuchs, bei nicht-öffentlichen Stellen auch auf Verlangen der Aufsichtsbehörde, widerrufen werden.
(4) Der Beauftragte für den Datenschutz ist zur Verschwiegenheit über die Identität des Betroffenen sowie über Umstände, die Rückschlüsse auf den Betroffenen zulassen, verpflichtet, soweit er nicht davon durch den Betroffenen befreit wird.
(4a) Soweit der Beauftragte für den Datenschutz bei seiner Tätigkeit Kenntnis von Daten erhält, für die dem Leiter oder einer bei der öffentlichen oder nichtöffentlichen Stelle beschäftigten Person aus beruflichen Gründen ein Zeugnisverweigerungsrecht zusteht, steht dieses Recht auch dem Beauftragten für den Datenschutz und dessen Hilfspersonal zu. Über die Ausübung dieses Rechts entscheidet die Person, der das Zeugnisverweigerungsrecht aus beruf-lichen Gründen zusteht, es sei denn, dass diese Entscheidung in absehbarer Zeit nicht herbeigeführt werden kann. Soweit das Zeugnisverweigerungsrecht des Beauftragten für den Datenschutz reicht, unterliegen seine Akten und andere Schrift-stücke einem Beschlagnahmeverbot.e.
(5) Die öffentlichen und nicht-öffentlichen Stellen haben den Beauftragten für den Datenschutz bei der Erfüllung seiner Aufgaben zu unterstützen und ihm insbesondere, soweit dies zur Erfüllung seiner Aufgaben erforderlich ist, Hilfspersonal sowie Räume, Einrichtungen, Geräte und Mittel zur Verfügung zu stellen. Betroffene können sich jederzeit an den Beauftragten für den Datenschutz wenden.
§ 4g Aufgaben des Beauftragten für den Datenschutz
(1) Der Beauftragte für den Datenschutz wirkt auf die Einhaltung dieses Gesetzes und anderer Vorschriften über den Datenschutz hin. Zu diesem Zweck kann sich der Beauftragte für den Datenschutz in Zweifelsfällen an die für die Datenschutzkontrolle bei der verantwortlichen Stelle zuständige Behörde wenden. Er hat insbesondere
1. die ordnungsgemäße Anwendung der Datenverarbeitungsprogramme, mit deren Hilfe personenbezogene Daten verarbeitet werden sollen, zu überwachen; zu diesem Zweck ist er über Vorhaben der automatisierten Verarbeitung personenbezogener Daten rechtzeitig zu unterrichten,
2. die bei der Verarbeitung personenbezogener Daten tätigen Personen durch geeignete Maßnahmen mit den Vorschriften dieses Gesetzes sowie anderen Vorschriften über den Datenschutz und mit den jeweiligen besonderen Erfordernissen des Datenschutzes vertraut zu machen.
Er kann die Beratung nach § 38 Abs. 1 Satz 2 in Anspruch nehmen.
(2) Dem Beauftragten für den Datenschutz ist von der verantwortlichen Stelle eine Übersicht über die in § 4e Satz 1 genannten Angaben sowie über zugriffsberechtigte Personen zur Verfügung zu stellen. Der Beauftragte für den Datenschutz macht die Angaben nach § 4e Satz 1 Nr. 1 bis 8 auf Antrag jedermann in geeigneter Weise verfügbar.
(2a) Soweit bei einer nichtöffentlichen Stelle keine Verpflichtung zur Bestellung eines Beauftragten für den Datenschutz besteht, hat der Leiter der nichtöffentlichen Stelle die Erfüllung der Aufgaben nach den Absätzen 1 und 2 in anderer Weise sicherzustellen.
(3) Auf die in § 6 Abs. 2 Satz 4 genannten Behörden findet Absatz 2 Satz 2 keine Anwendung. Absatz 1 Satz 2 findet mit der Maßgabe Anwendung, dass der behördliche Beauftragte für den Datenschutz das Benehmen mit dem Behördenleiter herstellt; bei Unstimmigkeiten zwischen dem behördlichen Beauftragten für den Datenschutz und dem Behördenleiter entscheidet die oberste Bundesbehörde.
§ 5 Datengeheimnis
Den bei der Datenverarbeitung beschäftigten Personen ist untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen (Datengeheimnis). Diese Personen sind, soweit sie bei nicht-öffentlichen Stellen beschäftigt werden, bei der Aufnahme ihrer Tätigkeit auf das Datengeheimnis zu verpflichten. Das Datengeheimnis besteht auch nach Beendigung ihrer Tätigkeit fort.
§ 6 Unabdingbare Rechte des Betroffenen
(1) Die Rechte des Betroffenen auf Auskunft (§§ 19, 34) und auf Berichtigung, Löschung oder Sperrung (§§ 20, 35) können nicht durch Rechtsgeschäft ausgeschlossen oder beschränkt werden.
(2) Sind die Daten des Betroffenen automatisiert in der Weise gespeichert, dass mehrere Stellen speicherungsberechtigt sind, und ist der Betroffene nicht in der Lage festzustellen, welche Stelle die Daten gespeichert hat, so kann er sich an jede dieser Stellen wenden. Diese ist verpflichtet, das Vorbringen des Betroffenen an die Stelle, die die Daten gespeichert hat, weiterzuleiten. Der Betroffene ist über die Weiterleitung und jene Stelle zu unterrichten. Die in § 19 Abs. 3 genannten Stellen, die Behörden der Staatsanwaltschaft und der Polizei sowie öffentliche Stellen der Finanzverwaltung, soweit sie personenbezogene Daten in Erfüllung ihrer gesetzlichen Aufgaben im Anwendungsbereich der Abgabenordnung zur Überwachung und Prüfung speichern, können statt des Betroffenen den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit unterrichten. In diesem Fall richtet sich das weitere Verfahren nach § 19 Abs. 6.
§ 6a Automatisierte Einzelentscheidung
(1) Entscheidungen, die für den Betroffenen eine rechtliche Folge nach sich ziehen oder ihn erheblich beeinträchtigen, dürfen nicht ausschließlich auf eine automatisierte Verarbeitung personenbezogener Daten gestützt werden, die der Bewertung einzelner Persönlichkeitsmerkmale dienen.
(2) Dies gilt nicht, wenn
1. die Entscheidung im Rahmen des Abschlusses oder der Erfüllung eines Vertragsverhältnisses oder eines sonstigen Rechtsverhältnisses ergeht und dem Begehren des Betroffenen stattgegeben wurde oder
2. die Wahrung der berechtigten Interessen des Betroffenen durch geeignete Maßnahmen gewährleistet und dem Betroffenen von der verantwortlichen Stelle die Tatsache des Vorliegens einer Entscheidung im Sinne des Absatzes 1 mitgeteilt wird. Als geeignete Maßnahme gilt insbesondere die Möglichkeit des Betroffenen, seinen Standpunkt geltend zu machen. Die verantwortliche Stelle ist verpflichtet, ihre Entscheidung erneut zu prüfen.
(3) Das Recht des Betroffenen auf Auskunft nach den §§ 19 und 34 erstreckt sich auch auf den logischen Aufbau der automatisierten Verarbeitung der ihn betreffenden Daten..
§ 6b Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen
(1) Die Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen (Videoüberwachung) ist nur zulässig, soweit sie
1. zur Aufgabenerfüllung öffentlicher Stellen,
2. zur Wahrnehmung des Hausrechts oder
3. zur Wahrnehmung berechtigter Interessen für konkret festgelegte Zwecke
erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen.
(2) Der Umstand der Beobachtung und die verantwortliche Stelle sind durch geeignete Maßnahmen erkennbar zu machen.
(3) Die Verarbeitung oder Nutzung von nach Absatz 1 erhobenen Daten ist zulässig, wenn sie zum Erreichen des verfolgten Zwecks erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen. Für einen anderen Zweck dürfen sie nur verarbeitet oder genutzt werden, soweit dies zur Abwehr von Gefahren für die staatliche und öffentliche Sicherheit sowie zur Verfolgung von Straftaten erforderlich ist.
(4) Werden durch Videoüberwachung erhobene Daten einer bestimmten Person zugeordnet, ist diese über eine Verarbeitung oder Nutzung entsprechend den §§ 19a und 33 zu benachrichtigen.
(5) Die Daten sind unverzüglich zu löschen, wenn sie zur Erreichung des Zwecks nicht mehr erforderlich sind oder schutzwürdige Interessen der Betroffenen einer weiteren Speicherung entgegenstehen.
§ 6c Mobile personenbezogene Speicher- und Verarbeitungsmedien
(1) Die Stelle, die ein mobiles personenbezogenes Speicher- und Verarbeitungsmedium ausgibt oder ein Verfahren zur automatisierten Verarbeitung personenbezogener Daten, das ganz oder teilweise auf einem solchen Medium abläuft, auf das Medium aufbringt, ändert oder hierzu bereithält, muss den Betroffenen
1. über ihre Identität und Anschrift,
2. in allgemein verständlicher Form über die Funktionsweise des Mediums einschließlich der Art der zu verarbeitenden personenbezogenen Daten,
3. darüber, wie er seine Rechte nach den §§ 19, 20, 34 und 35 ausüben kann, und
4. über die bei Verlust oder Zerstörung des Mediums zu treffenden Maßnahmen
unterrichten, soweit der Betroffene nicht bereits Kenntnis erlangt hat.
(2) Die nach Absatz 1 verpflichtete Stelle hat dafür Sorge zu tragen, dass die zur Wahrnehmung des Auskunftsrechts erforderlichen Geräte oder Einrichtungen in angemessenem Umfang zum unentgeltlichen Gebrauch zur Verfügung stehen.
(3) Kommunikationsvorgänge, die auf dem Medium eine Datenverarbeitung auslösen, müssen für den Betroffenen eindeutig erkennbar sein.
§ 7 Schadensersatz
Fügt eine verantwortliche Stelle dem Betroffenen durch eine nach diesem Gesetz oder nach anderen Vorschriften über den Datenschutz unzulässige oder unrichtige Erhebung, Verarbeitung oder Nutzung seiner personenbezogenen Daten einen Schaden zu, ist sie oder ihr Träger dem Betroffenen zum Schadensersatz verpflichtet. Die Ersatzpflicht entfällt, soweit die verantwortliche Stelle die nach den Umständen des Falles gebotene Sorgfalt beachtet hat.
§ 8 Schadensersatz bei automatisierter Datenverarbeitung durch öffentliche Stellen
(1) Fügt eine verantwortliche öffentliche Stelle dem Betroffenen durch eine nach diesem Gesetz oder nach anderen Vorschriften über den Datenschutz unzulässige oder unrichtige automatisierte Erhebung, Verarbeitung oder Nutzung seiner personenbezogenen Daten einen Schaden zu, ist ihr Träger dem Betroffenen unabhängig von einem Verschulden zum Schadensersatz verpflichtet.
(2) Bei einer schweren Verletzung des Persönlichkeitsrechts ist dem Betroffenen der Schaden, der nicht Vermögensschaden ist, angemessen in Geld zu ersetzen.
(3) Die Ansprüche nach den Absätzen 1 und 2 sind insgesamt auf einen Betrag von 130 000 Euro begrenzt. Ist aufgrund desselben Ereignisses an mehrere Personen Schadensersatz zu leisten, der insgesamt den Höchstbetrag von 130 000 Euro übersteigt, so verringern sich die einzelnen Schadensersatzleistungen in dem Verhältnis, in dem ihr Gesamtbetrag zu dem Höchstbetrag steht.
(4) Sind bei einer automatisierten Verarbeitung mehrere Stellen speicherungsberechtigt und ist der Geschädigte nicht in der Lage, die speichernde Stelle festzustellen, so haftet jede dieser Stellen.
(5) Hat bei der Entstehung des Schadens ein Verschulden des Betroffenen mitgewirkt, gilt § 254 des Bürgerlichen Gesetzbuchs.
(6) Auf die Verjährung finden die für unerlaubte Handlungen geltenden Verjährungsvorschriften des Bürgerlichen Gesetzbuchs entsprechende Anwendung.
§ 9 Technische und organisatorische Maßnahmen
Öffentliche und nicht-öffentliche Stellen, die selbst oder im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, haben die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften dieses Gesetzes, insbesondere die in der Anlage zu diesem Gesetz genannten Anforderungen, zu gewährleisten. Erforderlich sind Maßnahmen nur, wenn ihr Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht.
§ 9a Datenschutzaudit
Zur Verbesserung des Datenschutzes und der Datensicherheit können Anbieter von Datenverarbeitungssystemen und -programmen und datenverarbeitende Stellen ihr Datenschutzkonzept sowie ihre technischen Einrichtungen durch unabhängige und zugelassene Gutachter prüfen und bewerten lassen sowie das Ergebnis der Prüfung veröffentlichen. Die näheren Anforderungen an die Prüfung und Bewertung, das Verfahren sowie die Auswahl und Zulassung der Gutachter werden durch besonderes Gesetz geregelt.
§ 10 Einrichtung automatisierter Abrufverfahren
(1) Die Einrichtung eines automatisierten Verfahrens, das die Übermittlung personenbezogener Daten durch Abruf ermöglicht, ist zulässig, soweit dieses Verfahren unter Berücksichtigung der schutzwürdigen Interessen der Betroffenen und der Aufgaben oder Geschäftszwecke der beteiligten Stellen angemessen ist. Die Vorschriften über die Zulässigkeit des einzelnen Abrufs bleiben unberührt.
(2) Die beteiligten Stellen haben zu gewährleisten, dass die Zulässigkeit des Abrufverfahrens kontrolliert werden kann. Hierzu haben sie schriftlich festzulegen:
1. Anlass und Zweck des Abrufverfahrens,
2. Dritte, an die übermittelt wird,
3. Art der zu übermittelnden Daten,
4. nach § 9 erforderliche technische und organisatorische Maßnahmen.
Im öffentlichen Bereich können die erforderlichen Festlegungen auch durch die Fachaufsichtsbehörden getroffen werden.
(3) Über die Einrichtung von Abrufverfahren ist in Fällen, in denen die in § 12 Abs. 1 genannten Stellen beteiligt sind, der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit unter Mitteilung der Festlegungen nach Absatz 2 zu unterrichten. Die Einrichtung von Abrufverfahren, bei denen die in § 6 Abs. 2 und in § 19 Abs. 3 genannten Stellen beteiligt sind, ist nur zulässig, wenn das für die speichernde und die abrufende Stelle jeweils zuständige Bundes- oder Landesministerium zugestimmt hat.
(4) Die Verantwortung für die Zulässigkeit des einzelnen Abrufs trägt der Dritte, an den übermittelt wird. Die speichernde Stelle prüft die Zulässigkeit der Abrufe nur, wenn dazu Anlass besteht. Die speichernde Stelle hat zu gewährleisten, dass die Übermittlung personenbezogener Daten zumindest durch geeignete Stichprobenverfahren festgestellt und überprüft werden kann. Wird ein Gesamtbestand personenbezogener Daten abgerufen oder übermittelt (Stapelverarbeitung), so bezieht sich die Gewährleistung der Feststellung und Überprüfung nur auf die Zulässigkeit des Abrufes oder der Übermittlung des Gesamtbestandes.
(5) Die Absätze 1 bis 4 gelten nicht für den Abruf allgemein zugänglicher Daten. Allgemein zugänglich sind Daten, die jedermann, sei es ohne oder nach vorheriger Anmeldung, Zulassung oder Entrichtung eines Entgelts, nutzen kann.
§ 11 Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag
(1) Werden personenbezogene Daten im Auftrag durch andere Stellen erhoben, verarbeitet oder genutzt, ist der Auftraggeber für die Einhaltung der Vorschriften dieses Gesetzes und anderer Vorschriften über den Datenschutz verantwortlich. Die in den §§ 6, 7 und 8 genannten Rechte sind ihm gegenüber geltend zu machen.
(2) Der Auftragnehmer ist unter besonderer Berücksichtigung der Eignung der von ihm getroffenen technischen und organisatorischen Maßnahmen sorgfältig auszuwählen. Der Auftrag ist schriftlich zu erteilen, wobei die Datenerhebung, -verarbeitung oder -nutzung, die technischen und organisatorischen Maßnahmen und etwaige Unterauftragsverhältnisse festzulegen sind. Er kann bei öffentlichen Stellen auch durch die Fachaufsichtsbehörde erteilt werden. Der Auftraggeber hat sich von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen.
(3) Der Auftragnehmer darf die Daten nur im Rahmen der Weisungen des Auftraggebers erheben, verarbeiten oder nutzen. Ist er der Ansicht, dass eine Weisung des Auftraggebers gegen dieses Gesetz oder andere Vorschriften über den Datenschutz verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen.
(4) Für den Auftragnehmer gelten neben den §§ 5, 9, 43 Abs. 1 Nr. 2, 10 und 11, Abs. 2 Nr. 1 bis 3 und Abs. 3 sowie § 44 nur die Vorschriften über die Datenschutzkontrolle oder die Aufsicht, und zwar für
1. a) öffentliche Stellen,
b) nicht-öffentliche Stellen, bei denen der öffentlichen Hand die Mehrheit der Anteile gehört oder die Mehrheit der Stimmen zusteht und der Auftraggeber eine öffentliche Stelle ist,
die §§ 18, 24 bis 26 oder die entsprechenden Vorschriften der Datenschutzgesetze der Länder,
2. die übrigen nicht-öffentlichen Stellen, soweit sie personenbezogene Daten im Auftrag als Dienstleistungsunternehmen geschäftsmäßig erheben, verarbeiten oder nutzen, die §§ 4f , 4g und 38.
(5) Die Absätze 1 bis 4 gelten entsprechend, wenn die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag vorgenommen wird und dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.
Zweiter Abschnitt Datenverarbeitung der öffentlichen Stellen
Erster Unterabschnitt Rechtsgrundlagen der Datenverarbeitung
§ 12 Anwendungsbereich
(1) Die Vorschriften dieses Abschnittes gelten für öffentliche Stellen des Bundes, soweit sie nicht als öffentlich-rechtliche Unternehmen am Wettbewerb teilnehmen.
(2) Soweit der Datenschutz nicht durch Landesgesetz geregelt ist, gelten die §§ 12 bis 16, 19 bis 20 auch für die öffentlichen Stellen der Länder, soweit sie
1. Bundesrecht ausführen und nicht als öffentlich-rechtliche Unternehmen am Wettbewerb teilnehmen oder
2. als Organe der Rechtspflege tätig werden und es sich nicht um Verwaltungsangelegenheiten handelt.
(3) Für Landesbeauftragte für den Datenschutz gilt § 23 Abs. 4 entsprechend.
(4) Werden personenbezogene Daten für frühere, bestehende oder zukünftige dienst- oder arbeitsrechtliche Rechtsverhältnisse erhoben, verarbeitet oder genutzt, gelten anstelle der §§ 13 bis 16, 19 bis 20 der § 28 Abs. 1 und 3 Nr. 1 sowie die §§ 33 bis 35, auch soweit personenbezogene Daten weder automatisiert verarbeitet noch in nicht automatisierten Dateien verarbeitet oder genutzt oder dafür erhoben werden.
§ 13 Datenerhebung
(1) Das Erheben personenbezogener Daten ist zulässig, wenn ihre Kenntnis zur Erfüllung der Aufgaben der verantwortlichen Stelle erforderlich ist.
(1a) Werden personenbezogene Daten statt beim Betroffenen bei einer nicht-öffentlichen Stelle erhoben, so ist die Stelle auf die Rechtsvorschrift, die zur Auskunft verpflichtet, sonst auf die Freiwilligkeit ihrer Angaben hinzuweisen.
(2) Das Erheben besonderer Arten personenbezogener Daten (§ 3 Abs. 9) ist nur zulässig, soweit
1. eine Rechtsvorschrift dies vorsieht oder aus Gründen eines wichtigen öffentlichen Interesses zwingend erfordert,
2. der Betroffene nach Maßgabe des § 4a Abs. 3 eingewilligt hat,
3. dies zum Schutz lebenswichtiger Interessen des Betroffenen oder eines Dritten erforderlich ist, sofern der Betroffene aus physischen oder rechtlichen Gründen außerstande ist, seine Einwilligung zu geben,
4. es sich um Daten handelt, die der Betroffene offenkundig öffentlich gemacht hat,
5. dies zur Abwehr einer erheblichen Gefahr für die öffentliche Sicherheit erforderlich ist,
6. dies zur Abwehr erheblicher Nachteile für das Gemeinwohl oder zur Wahrung erheblicher Belange des Gemeinwohls zwingend erforderlich ist,
7. dies zum Zweck der Gesundheitsvorsorge, der medizinischen Diagnostik, der Gesundheitsversorgung oder Behandlung oder für die Verwaltung von Gesundheitsdiensten erforderlich ist und die Verarbeitung dieser Daten durch ärztliches Personal oder durch sonstige Personen erfolgt, die einer entsprechenden Geheimhaltungspflicht unterliegen,
8. dies zur Durchführung wissenschaftlicher Forschung erforderlich ist, das wissenschaftliche Interesse an der Durchführung des Forschungsvorhabens das Interesse des Betroffenen an dem Ausschluss der Erhebung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann oder
9. dies aus zwingenden Gründen der Verteidigung oder der Erfüllung über- oder zwischenstaatlicher Verpflichtungen einer öffentlichen Stelle des Bundes auf dem Gebiet der Krisenbewältigung oder Konfliktverhinderung oder für humanitäre Maßnahmen erforderlich ist.
§ 14 Datenspeicherung, -veränderung und -nutzung
(1) Das Speichern, Verändern oder Nutzen personenbezogener Daten ist zulässig, wenn es zur Erfüllung der in der Zuständigkeit der verantwortlichen Stelle liegenden Aufgaben erforderlich ist und es für die Zwecke erfolgt, für die die Daten erhoben worden sind. Ist keine Erhebung vorausgegangen, dürfen die Daten nur für die Zwecke geändert oder genutzt werden, für die sie gespeichert worden sind.
(2) Das Speichern, Verändern oder Nutzen für andere Zwecke ist nur zulässig, wenn
1. eine Rechtsvorschrift dies vorsieht oder zwingend voraussetzt,
2. der Betroffene eingewilligt hat,
3. offensichtlich ist, dass es im Interesse des Betroffenen liegt, und kein Grund zu der Annahme besteht, dass er in Kenntnis des anderen Zwecks seine Einwilligung verweigern würde,
4. Angaben des Betroffenen überprüft werden müssen, weil tatsächliche Anhaltspunkte für deren Unrichtigkeit bestehen,
5. die Daten allgemein zugänglich sind oder die verantwortliche Stelle sie veröffentlichen dürfte, es sei denn, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Zweckänderung offensichtlich überwiegt,
6. es zur Abwehr erheblicher Nachteile für das Gemeinwohl oder einer Gefahr für die öffentliche Sicherheit oder zur Wahrung erheblicher Belange des Gemeinwohls erforderlich ist,
7. es zur Verfolgung von Straftaten oder Ordnungswidrigkeiten, zur Vollstreckung oder zum Vollzug von Strafen oder Maßnahmen im Sinne des § 11 Abs. 1 Nr. 8 des Strafgesetzbuchs oder von Erziehungsmaßregeln oder Zuchtmitteln im Sinne des Jugendgerichtsgesetzes oder zur Vollstreckung von Bußgeldentscheidungen erforderlich ist,
8. es zur Abwehr einer schwerwiegenden Beeinträchtigung der Rechte einer anderen Person erforderlich ist oder
9. es zur Durchführung wissenschaftlicher Forschung erforderlich ist, das wissenschaftliche Interesse an der Durchführung des Forschungsvorhabens das Interesse des Betroffenen an dem Ausschluss der Zweckänderung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann.
(3) Eine Verarbeitung oder Nutzung für andere Zwecke liegt nicht vor, wenn sie der Wahrnehmung von Aufsichts- und Kontrollbefugnissen, der Rechnungsprüfung oder der Durchführung von Organisationsuntersuchungen für die verantwortliche Stelle dient. Das gilt auch für die Verarbeitung oder Nutzung zu Ausbildungs- und Prüfungszwecken durch die verantwortliche Stelle, soweit nicht überwiegende schutzwürdige Interessen des Betroffenen entgegenstehen.
(4) Personenbezogene Daten, die ausschließlich zu Zwecken der Datenschutzkontrolle, der Datensicherung oder zur Sicherstellung eines ordnungsgemäßen Betriebes einer Datenverarbeitungsanlage gespeichert werden, dürfen nur für diese Zwecke verwendet werden.
(5) Das Speichern, Verändern oder Nutzen von besonderen Arten personenbezogener Daten (§ 3 Abs. 9) für andere Zwecke ist nur zulässig, wenn
1. die Voraussetzungen vorliegen, die eine Erhebung nach § 13 Abs. 2 Nr. 1 bis 6 oder 9 zulassen würden oder
2. dies zur Durchführung wissenschaftlicher Forschung erforderlich ist, das öffentliche Interesse an der Durchführung des Forschungsvorhabens das Interesse des Betroffenen an dem Ausschluss der Zweckänderung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann.
Bei der Abwägung nach Satz 1 Nr. 2 ist im Rahmen des öffentlichen Interesses das wissenschaftliche Interesse an dem Forschungsvorhaben besonders zu berücksichtigen.
(6) Die Speicherung, Veränderung oder Nutzung von besonderen Arten personenbezogener Daten (§ 3 Abs. 9) zu den in § 13 Abs. 2 Nr. 7 genannten Zwecken richtet sich nach den für die in § 13 Abs. 2 Nr. 7 genannten Personen geltenden Geheimhaltungspflichten.
§ 15 Datenübermittlung an öffentliche Stellen
(1) Die Übermittlung personenbezogener Daten an öffentliche Stellen ist zulässig, wenn
1. sie zur Erfüllung der in der Zuständigkeit der übermittelnden Stelle oder des Dritten, an den die Daten übermittelt werden, liegenden Aufgaben erforderlich ist und
2. die Voraussetzungen vorliegen, die eine Nutzung nach § 14 zulassen würden.
(2) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle. Erfolgt die Übermittlung auf Ersuchen des Dritten, an den die Daten übermittelt werden, trägt dieser die Verantwortung. In diesem Fall prüft die übermittelnde Stelle nur, ob das Übermittlungsersuchen im Rahmen der Aufgaben des Dritten, an den die Daten übermittelt werden, liegt, es sei denn, dass besonderer Anlass zur Prüfung der Zulässigkeit der Übermittlung besteht. § 10 Abs. 4 bleibt unberührt.
(3) Der Dritte, an den die Daten übermittelt werden, darf diese für den Zweck verarbeiten oder nutzen, zu dessen Erfüllung sie ihm übermittelt werden. Eine Verarbeitung oder Nutzung für andere Zwecke ist nur unter den Voraussetzungen des § 14 Abs. 2 zulässig.
(4) Für die Übermittlung personenbezogener Daten an Stellen der öffentlich-rechtlichen Religionsgesellschaften gelten die Absätze 1 bis 3 entsprechend, sofern sichergestellt ist, dass bei diesen ausreichende Datenschutzmaßnahmen getroffen werden.
(5) Sind mit personenbezogenen Daten, die nach Absatz 1 übermittelt werden dürfen, weitere personenbezogene Daten des Betroffenen oder eines Dritten so verbunden, dass eine Trennung nicht oder nur mit unvertretbarem Aufwand möglich ist, so ist die Übermittlung auch dieser Daten zulässig, soweit nicht berechtigte Interessen des Betroffenen oder eines Dritten an deren Geheimhaltung offensichtlich überwiegen; eine Nutzung dieser Daten ist unzulässig.
(6) Absatz 5 gilt entsprechend, wenn personenbezogene Daten innerhalb einer öffentlichen Stelle weitergegeben werden.
§ 16 Datenübermittlung an nicht-öffentliche Stellen
(1) Die Übermittlung personenbezogener Daten an nicht-öffentliche Stellen ist zulässig, wenn
1. sie zur Erfüllung der in der Zuständigkeit der übermittelnden Stelle liegenden Aufgaben erforderlich ist und die Voraussetzungen vorliegen, die eine Nutzung nach § 14 zulassen würden, oder
2. der Dritte, an den die Daten übermittelt werden, ein berechtigtes Interesse an der Kenntnis der zu übermittelnden Daten glaubhaft darlegt und der Betroffene kein schutzwürdiges Interesse an dem Ausschluss der Übermittlung hat. Das Übermitteln von besonderen Arten personenbezogener Daten (§ 3 Abs. 9) ist abweichend von Satz 1 Nr. 2 nur zulässig, wenn die Voraussetzungen vorliegen, die eine Nutzung nach § 14 Abs. 5 und 6 zulassen würden oder soweit dies zur Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche erforderlich ist.
(2) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle.
(3) In den Fällen der Übermittlung nach Absatz 1 Nr. 2 unterrichtet die übermittelnde Stelle den Betroffenen von der Übermittlung seiner Daten. Dies gilt nicht, wenn damit zu rechnen ist, dass er davon auf andere Weise Kenntnis erlangt, oder wenn die Unterrichtung die öffentliche Sicherheit gefährden oder sonst dem Wohle des Bundes oder eines Landes Nachteile bereiten würde.
(4) Der Dritte, an den die Daten übermittelt werden, darf diese nur für den Zweck verarbeiten oder nutzen, zu dessen Erfüllung sie ihm übermittelt werden. Die übermittelnde Stelle hat ihn darauf hinzuweisen. Eine Verarbeitung oder Nutzung für andere Zwecke ist zulässig, wenn eine Übermittlung nach Absatz 1 zulässig wäre und die übermittelnde Stelle zugestimmt hat.
§ 17 weggefallen
§ 18 Durchführung des Datenschutzes in der Bundesverwaltung
(1) Die obersten Bundesbehörden, der Präsident des Bundeseisenbahnvermögens sowie die bundesunmittelbaren Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts, über die von der Bundesregierung oder einer obersten Bundesbehörde lediglich die Rechtsaufsicht ausgeübt wird, haben für ihren Geschäftsbereich die Ausführung dieses Gesetzes sowie anderer Rechtsvorschriften über den Datenschutz sicherzustellen. Das Gleiche gilt für die Vorstände der aus dem Sondervermögen Deutsche Bundespost durch Gesetz hervorgegangenen Unternehmen, solange diesen ein ausschließliches Recht nach dem Postgesetz zusteht.
(2) Die öffentlichen Stellen führen ein Verzeichnis der eingesetzten Datenverarbeitungsanlagen. Für ihre automatisierten Verarbeitungen haben sie die Angaben nach § 4e sowie die Rechtsgrundlage der Verarbeitung schriftlich festzulegen. Bei allgemeinen Verwaltungszwecken dienenden automatisierten Verarbeitungen, bei welchen das Auskunftsrecht des Betroffenen nicht nach § 19 Abs. 3 oder 4 eingeschränkt wird, kann hiervon abgesehen werden. Für automatisierte Verarbeitungen, die in gleicher oder ähnlicher Weise mehrfach geführt werden, können die Festlegungen zusammengefasst werden.
Zweiter Unterabschnitt Rechte des Betroffenen
§ 19 Auskunft an den Betroffenen
(1) Dem Betroffenen ist auf Antrag Auskunft zu erteilen über
1. die zu seiner Person gespeicherten Daten, auch soweit sie sich auf die Herkunft dieser Daten beziehen,
2. die Empfänger oder Kategorien von Empfängern, an die die Daten weitergegeben werden, und
3. den Zweck der Speicherung.
In dem Antrag soll die Art der personenbezogenen Daten, über die Auskunft erteilt werden soll, näher bezeichnet werden. Sind die personenbezogenen Daten weder automatisiert noch in nicht automatisierten Dateien gespeichert, wird die Auskunft nur erteilt, soweit der Betroffene Angaben macht, die das Auffinden der Daten ermöglichen, und der für die Erteilung der Auskunft erforderliche Aufwand nicht außer Verhältnis zu dem vom Betroffenen geltend gemachten Informationsinteresse steht. Die verantwortliche Stelle bestimmt das Verfahren, insbesondere die Form der Auskunftserteilung, nach pflichtgemäßem Ermessen.
(2) Absatz 1 gilt nicht für personenbezogene Daten, die nur deshalb gespeichert sind, weil sie aufgrund gesetzlicher, satzungsmäßiger oder vertraglicher Aufbewahrungsvorschriften nicht gelöscht werden dürfen, oder ausschließlich Zwecken der Datensicherung oder der Datenschutzkontrolle dienen und eine Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde.
(3) Bezieht sich die Auskunftserteilung auf die Übermittlung personenbezogener Daten an Verfassungsschutzbehörden, den Bundesnachrichtendienst, den Militärischen Abschirmdienst und, soweit die Sicherheit des Bundes berührt wird, andere Behörden des Bundesministeriums der Verteidigung, ist sie nur mit Zustimmung dieser Stellen zulässig.
(4) Die Auskunftserteilung unterbleibt, soweit
1. die Auskunft die ordnungsgemäße Erfüllung der in der Zuständigkeit der verantwortlichen Stelle liegenden Aufgaben gefährden würde,
2. die Auskunft die öffentliche Sicherheit oder Ordnung gefährden oder sonst dem Wohle des Bundes oder eines Landes Nachteile bereiten würde oder
3. die Daten oder die Tatsache ihrer Speicherung nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen
(5) Die Ablehnung der Auskunftserteilung bedarf einer Begründung nicht, soweit durch die Mitteilung der tatsächlichen und rechtlichen Gründe, auf die die Entscheidung gestützt wird, der mit der Auskunftsverweigerung verfolgte Zweck gefährdet würde. In diesem Fall ist der Betroffene darauf hinzuweisen, dass er sich an den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit wenden kann.
(6) Wird dem Betroffenen keine Auskunft erteilt, so ist sie auf sein Verlangen dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zu erteilen, soweit nicht die jeweils zuständige oberste Bundesbehörde im Einzelfall feststellt, dass dadurch die Sicherheit des Bundes oder eines Landes gefährdet würde. Die Mitteilung des Bundesbeauftragten an den Betroffenen darf keine Rückschlüsse auf den Erkenntnisstand der verantwortlichen Stelle zulassen, sofern diese nicht einer weitergehenden Auskunft zustimmt.
(7) Die Auskunft ist unentgeltlich.
§ 19a Benachrichtigung
(1) Werden Daten ohne Kenntnis des Betroffenen erhoben, so ist er von der Speicherung, der Identität der verantwortlichen Stelle sowie über die Zweckbestimmungen der Erhebung, Verarbeitung oder Nutzung zu unterrichten. Der Betroffene ist auch über die Empfänger oder Kategorien von Empfängern von Daten zu unterrichten, soweit er nicht mit der Übermittlung an diese rechnen muss. Sofern eine Übermittlung vorgesehen ist, hat die Unterrichtung spätestens bei der ersten Übermittlung zu erfolgen.
(2) Eine Pflicht zur Benachrichtigung besteht nicht, wenn
1. der Betroffene auf andere Weise Kenntnis von der Speicherung oder der Übermittlung erlangt hat,
2. die Unterrichtung des Betroffenen einen unverhältnismäßigen Aufwand erfordert oder
3. die Speicherung oder Übermittlung der personenbezogenen Daten durch Gesetz ausdrücklich vorgesehen ist.
Die verantwortliche Stelle legt schriftlich fest, unter welchen Voraussetzungen von einer Benachrichtigung nach Nummer 2 oder 3 abgesehen wird.
(3) § 19 Abs. 2 bis 4 gilt entsprechend.
§ 20 Berichtigung, Löschung und Sperrung von Daten; Widerspruchsrecht
(1) Personenbezogene Daten sind zu berichtigen, wenn sie unrichtig sind. Wird festgestellt, dass personenbezogene Daten, die weder automatisiert verarbeitet noch in nicht automatisierten Dateien gespeichert sind, unrichtig sind, oder wird ihre Richtigkeit von dem Betroffenen bestritten, so ist dies in geeigneter Weise festzuhalten.
(2) Personenbezogene Daten, die automatisiert verarbeitet oder in nicht automatisierten Dateien gespeichert sind, sind zu löschen, wenn
1. ihre Speicherung unzulässig ist oder
2. ihre Kenntnis für die verantwortliche Stelle zur Erfüllung der in ihrer Zuständigkeit liegenden Aufgaben nicht mehr erforderlich ist.
(3) An die Stelle einer Löschung tritt eine Sperrung, soweit
1. einer Löschung gesetzliche, satzungsmäßige oder vertragliche Aufbewahrungsfristen entgegenstehen,
2. Grund zu der Annahme besteht, dass durch eine Löschung schutzwürdige Interessen des Betroffenen beeinträchtigt würden, oder
3. eine Löschung wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich ist.
(4) Personenbezogene Daten, die automatisiert verarbeitet oder in nicht automatisierten Dateien gespeichert sind, sind ferner zu sperren, soweit ihre Richtigkeit vom Betroffenen bestritten wird und sich weder die Richtigkeit noch die Unrichtigkeit feststellen lässt.
(5) Personenbezogene Daten dürfen nicht für eine automatisierte Verarbeitung oder Verarbeitung in nicht automatisierten Dateien erhoben, verarbeitet oder genutzt werden, soweit der Betroffene dieser bei der verantwortlichen Stelle widerspricht und eine Prüfung ergibt, dass das schutzwürdige Interesse des Betroffenen wegen seiner besonderen persönlichen Situation das Interesse der verantwortlichen Stelle an dieser Erhebung, Verarbeitung oder Nutzung überwiegt. Satz 1 gilt nicht, wenn eine Rechtsvorschrift zur Erhebung, Verarbeitung oder Nutzung verpflichtet.
(6) Personenbezogene Daten, die weder automatisiert verarbeitet noch in einer nicht automatisierten Datei gespeichert sind, sind zu sperren, wenn die Behörde im Einzelfall feststellt, dass ohne die Sperrung schutzwürdige Interessen des Betroffenen beeinträchtigt würden und die Daten für die Aufgabenerfüllung der Behörde nicht mehr erforderlich sind.
(7) Gesperrte Daten dürfen ohne Einwilligung des Betroffenen nur übermittelt oder genutzt werden, wenn
(7) Blocked data may be transferred or used without the consent of the data subject only if
1. es zu wissenschaftlichen Zwecken, zur Behebung einer bestehenden Beweisnot oder aus sonstigen im überwiegenden Interesse der verantwortlichen Stelle oder eines Dritten liegenden Gründen unerlässlich ist und
2. die Daten hierfür übermittelt oder genutzt werden dürften, wenn sie nicht gesperrt wären.
(8) Von der Berichtigung unrichtiger Daten, der Sperrung bestrittener Daten sowie der Löschung oder Sperrung wegen Unzulässigkeit der Speicherung sind die Stellen zu verständigen, denen im Rahmen einer Datenübermittlung diese Daten zur Speicherung weitergegeben wurden, wenn dies keinen unverhältnismäßigen Aufwand erfordert und schutzwürdige Interessen des Betroffenen nicht entgegenstehen.
.
(9) § 2 Abs. 1 bis 6, 8 und 9 des Bundesarchivgesetzes ist anzuwenden.
§ 21 Anrufung des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit
Jedermann kann sich an den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit wenden, wenn er der Ansicht ist, bei der Erhebung, Verarbeitung oder Nutzung seiner personenbezogenen Daten durch öffentliche Stellen des Bundes in seinen Rechten verletzt worden zu sein. Für die Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten durch Gerichte des Bundes gilt dies nur, soweit diese in Verwaltungsangelegenheiten tätig werden.
Dritter Unterabschnitt Bundesbeauftragter für den Datenschutz und die Informationsfreiheit
§ 22 Wahl des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit
(1) Der Deutsche Bundestag wählt auf Vorschlag der Bundesregierung den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit mit mehr als der Hälfte der gesetzlichen Zahl seiner Mitglieder. Der Bundesbeauftragte muss bei seiner Wahl das 35. Lebensjahr vollendet haben. Der Gewählte ist vom Bundespräsidenten zu ernennen.
(2) Der Bundesbeauftragte leistet vor dem Bundesminister des Innern folgenden Eid:
„Ich schwöre, dass ich meine Kraft dem Wohle des deutschen Volkes widmen, seinen Nutzen mehren, Schaden von ihm wenden, das Grundgesetz und die Gesetze des Bundes wahren und verteidigen, meine Pflichten gewissenhaft erfüllen und Gerechtigkeit gegen jedermann üben werde. So wahr mir Gott helfe.“
Der Eid kann auch ohne religiöse Beteuerung geleistet werden.
(3) Die Amtszeit des Bundesbeauftragten beträgt fünf Jahre. Einmalige Wiederwahl ist zulässig.
(4) Der Bundesbeauftragte steht nach Maßgabe dieses Gesetzes zum Bund in einem öffentlich-rechtlichen Amtsverhältnis. Er ist in Ausübung seines Amtes unabhängig und nur dem Gesetz unterworfen. Er untersteht der Rechtsaufsicht der Bundesregierung.
(5) Der Bundesbeauftragte wird beim Bundesministerium des Innern eingerichtet. Er untersteht der Dienstaufsicht des Bundesministeriums des Innern. Dem Bundesbeauftragten ist die für die Erfüllung seiner Aufgaben notwendige Personal- und Sachausstattung zur Verfügung zu stellen; sie ist im Einzelplan des Bundesministeriums des Innern in einem eigenen Kapitel auszuweisen. Die Stellen sind im Einvernehmen mit dem Bundesbeauftragten zu besetzen. Die Mitarbeiter können, falls sie mit der beabsichtigten Maßnahme nicht einverstanden sind, nur im Einvernehmen mit ihm versetzt, abgeordnet oder umgesetzt werden.
(6) Ist der Bundesbeauftragte vorübergehend an der Ausübung seines Amtes verhindert, kann der Bundesminister des Innern einen Vertreter mit der Wahrnehmung der Geschäfte beauftragen. Der Bundesbeauftragte soll dazu gehört werden.
§ 23 Rechtsstellung des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit
(1) Das Amtsverhältnis des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit beginnt mit der Aushändigung der Ernennungsurkunde. Es endet
1. mit Ablauf der Amtszeit,
2. mit der Entlassung.
Der Bundespräsident entlässt den Bundesbeauftragten, wenn dieser es verlangt oder auf Vorschlag der Bundesregierung, wenn Gründe vorliegen, die bei einem Richter auf Lebenszeit die Entlassung aus dem Dienst rechtfertigen. Im Fall der Beendigung des Amtsverhältnisses erhält der Bundesbeauftragte eine vom Bundespräsidenten vollzogene Urkunde. Eine Entlassung wird mit der Aushändigung der Urkunde wirksam. Auf Ersuchen des Bundesministers des Innern ist der Bundesbeauftragte verpflichtet, die Geschäfte bis zur Ernennung seines Nachfolgers weiterzuführen.
(2) Der Bundesbeauftragte darf neben seinem Amt kein anderes besoldetes Amt, kein Gewerbe und keinen Beruf ausüben und weder der Leitung oder dem Aufsichtsrat oder Verwaltungsrat eines auf Erwerb gerichteten Unternehmens noch einer Regierung oder einer gesetzgebenden Körperschaft des Bundes oder eines Landes angehören. Er darf nicht gegen Entgelt außergerichtliche Gutachten abgeben.
(3) Der Bundesbeauftragte hat dem Bundesministerium des Innern Mitteilung über Geschenke zu machen, die er in Bezug auf sein Amt erhält. Das Bundesministerium des Innern entscheidet über die Verwendung der Geschenke.
(4) Der Bundesbeauftragte ist berechtigt, über Personen, die ihm in seiner Eigenschaft als Bundesbeauftragter Tatsachen anvertraut haben, sowie über diese Tatsachen selbst das Zeugnis zu verweigern. Dies gilt auch für die Mitarbeiter des Bundesbeauftragten mit der Maßgabe, dass über die Ausübung dieses Rechts der Bundesbeauftragte entscheidet. Soweit das Zeugnisverweigerungsrecht des Bundesbeauftragten reicht, darf die Vorlegung oder Auslieferung von Akten oder anderen Schriftstücken von ihm nicht gefordert werden.
(5) Der Bundesbeauftragte ist, auch nach Beendigung seines Amtsverhältnisses, verpflichtet, über die ihm amtlich bekannt gewordenen Angelegenheiten Verschwiegenheit zu bewahren. Dies gilt nicht für Mitteilungen im dienstlichen Verkehr oder über Tatsachen, die offenkundig sind oder ihrer Bedeutung nach keiner Geheimhaltung bedürfen. Der Bundesbeauftragte darf, auch wenn er nicht mehr im Amt ist, über solche Angelegenheiten ohne Genehmigung des Bundesministeriums des Innern weder vor Gericht noch außergerichtlich aussagen oder Erklärungen abgeben. Unberührt bleibt die gesetzlich begründete Pflicht, Straftaten anzuzeigen und bei Gefährdung der freiheitlichen demokratischen Grundordnung für deren Erhaltung einzutreten. Für den Bundesbeauftragten und seine Mitarbeiter gelten die §§ 93, 97, 105 Abs. 1, § 111 Abs. 5 in Verbindung mit § 105 Abs. 1 sowie § 116 Abs. 1 der Abgabenordnung nicht. Satz 5 findet keine Anwendung, soweit die Finanzbehörden die Kenntnis für die Durchführung eines Verfahrens wegen einer Steuerstraftat sowie eines damit zusammenhängenden Steuerverfahrens benötigen, an deren Verfolgung ein zwingendes öffentliches Interesse besteht, oder soweit es sich um vorsätzlich falsche Angaben des Auskunftspflichtigen oder der für ihn tätigen Personen handelt. Stellt der Bundesbeauftragte einen Datenschutzverstoß fest, ist er befugt, diesen anzuzeigen und den Betroffenen hierüber zu informieren.
(6) Die Genehmigung, als Zeuge auszusagen, soll nur versagt werden, wenn die Aussage dem Wohle des Bundes oder eines deutschen Landes Nachteile bereiten oder die Erfüllung öffentlicher Aufgaben ernstlich gefährden oder erheblich erschweren würde. Die Genehmigung, ein Gutachten zu erstatten, kann versagt werden, wenn die Erstattung den dienstlichen Interessen Nachteile bereiten würde. § 28 des Bundesverfassungsgerichtsgesetzes bleibt unberührt.
(7) Der Bundesbeauftragte erhält vom Beginn des Kalendermonats an, in dem das Amtsverhältnis beginnt, bis zum Schluss des Kalendermonats, in dem das Amtsverhältnis endet, im Fall des Absatzes 1 Satz 6 bis zum Ende des Monats, in dem die Geschäftsführung endet, Amtsbezüge in Höhe der einem Bundesbeamten der Besoldungsgruppe B 9 zustehenden Besoldung. Das Bundesreisekostengesetz und das Bundesumzugskostengesetz sind entsprechend anzuwenden. Im Übrigen sind die §§ 13 bis 20 und 21a Abs. 5 des Bundesministergesetzes mit der Maßgabe anzuwenden, dass an die Stelle der zweijährigen Amtszeit in § 15 Abs. 1 des Bundesministergesetzes eine Amtszeit von fünf Jahren und an die Stelle der Besoldungsgruppe B 11 in § 21a Abs. 5 des Bundesministergesetzes die Besoldungsgruppe B 9 tritt. Abweichend von Satz 3 in Verbindung mit den §§ 15 bis 17 und 21a Abs. 5 des Bundesministergesetzes berechnet sich das Ruhegehalt des Bundesbeauftragten unter Hinzurechnung der Amtszeit als ruhegehaltsfähige Dienstzeit in entsprechender Anwendung des Beamtenversorgungsgesetzes, wenn dies günstiger ist und der Bundesbeauftragte sich unmittelbar vor seiner Wahl zum Bundesbeauftragten als Beamter oder Richter mindestens in dem letzten gewöhnlich vor Erreichen der Besoldungsgruppe B 9 zu durchlaufenden Amt befunden hat.*)
*) Gemäß Artikel 3 Nr. 2 des Versorgungsänderungsgesetzes 2001 vom 20. Dezember 2001 (BGBl. I S. 3926) ist am 1. Januar 2003 § 23 Abs. 7 wie folgt geändert worden:
a) Satz 3 wird wie folgt gefasst:
„Im Übrigen sind die §§ 13 bis 20 und 21a Abs. 5 des Bundesministergesetzes mit den Maßgaben anzuwenden, dass an die Stelle der zweijährigen Amtszeit in § 15 Abs. 1 des Bundesministergesetzes eine Amtszeit von fünf Jahren und an die Stelle der Besoldungsgruppe B 11 in § 21a Abs. 5 des Bundesministergesetzes die Besoldungsgruppe B 9 tritt.“
b) In Satz 4 wird die Angabe „§§ 15 bis 17“ durch die Angabe „§§ 15 bis 17 und 21a Abs. 5“ ersetzt.
(8) Absatz 5 Satz 5 bis 7 gilt entsprechend für die öffentlichen Stellen, die für die Kontrolle der Einhaltung der Vorschriften über den Datenschutz in den Ländern zuständig sind.
§ 24 Kontrolle durch den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit
(1) Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit kontrolliert bei den öffentlichen Stellen des Bundes die Einhaltung der Vorschriften dieses Gesetzes und anderer Vorschriften über den Datenschutz.
(2) Die Kontrolle des Bundesbeauftragten erstreckt sich auch auf
1. von öffentlichen Stellen des Bundes erlangte personenbezogene Daten über den Inhalt und die näheren Umstände des Brief-, Post- und Fernmeldeverkehrs und
2. personenbezogene Daten, die einem Berufs- oder besonderen Amtsgeheimnis, insbesondere dem Steuergeheimnis nach § 30 der Abgabenordnung, unterliegen.
Das Grundrecht des Brief-, Post- und Fernmeldegeheimnisses des Artikels 10 des Grundgesetzes wird insoweit eingeschränkt. Personenbezogene Daten, die der Kontrolle durch die Kommission nach § 15 des Artikel 10-Gesetzes unterliegen, unterliegen nicht der Kontrolle durch den Bundesbeauftragten, es sei denn, die Kommission ersucht den Bundesbeauftragten, die Einhaltung der Vorschriften über den Datenschutz bei bestimmten Vorgängen oder in bestimmten Bereichen zu kontrollieren und ausschließlich ihr darüber zu berichten. Der Kontrolle durch den Bundesbeauftragten unterliegen auch nicht personenbezogene Daten in Akten über die Sicherheitsüberprüfung, wenn der Betroffene der Kontrolle der auf ihn bezogenen Daten im Einzelfall gegenüber dem Bundesbeauftragten widerspricht.
(3) Die Bundesgerichte unterliegen der Kontrolle des Bundesbeauftragten nur, soweit sie in Verwaltungsangelegenheiten tätig werden.
(4) Die öffentlichen Stellen des Bundes sind verpflichtet, den Bundesbeauftragten und seine Beauftragten bei der Erfüllung ihrer Aufgaben zu unterstützen. Ihnen ist dabei insbesondere
1. Auskunft zu ihren Fragen sowie Einsicht in alle Unterlagen, insbesondere in die gespeicherten Daten und in die Datenverarbeitungsprogramme, zu gewähren, die im Zusammenhang mit der Kontrolle nach Absatz 1 stehen,
2. jederzeit Zutritt in alle Diensträume zu gewähren.
Die in § 6 Abs. 2 und § 19 Abs. 3 genannten Behörden gewähren die Unterstützung nur dem Bundesbeauftragten selbst und den von ihm schriftlich besonders Beauftragten. Satz 2 gilt für diese Behörden nicht, soweit die oberste Bundesbehörde im Einzelfall feststellt, dass die Auskunft oder Einsicht die Sicherheit des Bundes oder eines Landes gefährden würde.
(5) Der Bundesbeauftragte teilt das Ergebnis seiner Kontrolle der öffentlichen Stelle mit. Damit kann er Vorschläge zur Verbesserung des Datenschutzes, insbesondere zur Beseitigung von festgestellten Mängeln bei der Verarbeitung oder Nutzung personenbezogener Daten, verbinden. § 25 bleibt unberührt.
(6) Absatz 2 gilt entsprechend für die öffentlichen Stellen, die für die Kontrolle der Einhaltung der Vorschriften über den Datenschutz in den Ländern zuständig sind.
§ 25 Beanstandungen durch den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit
(1) Stellt der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Verstöße gegen die Vorschriften dieses Gesetzes oder gegen andere Vorschriften über den Datenschutz oder sonstige Mängel bei der Verarbeitung oder Nutzung personenbezogener Daten fest, so beanstandet er dies
1. bei der Bundesverwaltung gegenüber der zuständigen obersten Bundesbehörde,
2. beim Bundeseisenbahnvermögen gegenüber dem Präsidenten,
3. bei den aus dem Sondervermögen Deutsche Bundespost durch Gesetz hervorgegangenen Unternehmen, solange ihnen ein ausschließliches Recht nach dem Postgesetz zusteht, gegenüber deren Vorständen,
4. bei den bundesunmittelbaren Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts sowie bei Vereinigungen solcher Körperschaften, Anstalten und Stiftungen gegenüber dem Vorstand oder dem sonst vertretungsberechtigten Organ
und fordert zur Stellungnahme innerhalb einer von ihm zu bestimmenden Frist auf. In den Fällen von Satz 1 Nr. 4 unterrichtet der Bundesbeauftragte gleichzeitig die zu-ständige Aufsichtsbehörde.
(2) Der Bundesbeauftragte kann von einer Beanstandung absehen oder auf eine Stellungnahme der betroffenen Stelle verzichten, insbesondere wenn es sich um unerhebliche oder inzwischen beseitigte Mängel handelt.
(3) Die Stellungnahme soll auch eine Darstellung der Maßnahmen enthalten, die aufgrund der Beanstandung des Bundesbeauftragten getroffen worden sind. Die in Absatz 1 Satz 1 Nr. 4 genannten Stellen leiten der zuständigen Aufsichtsbehörde gleichzeitig eine Abschrift ihrer Stellungnahme an den Bundesbeauftragten zu.
§ 26 Weitere Aufgaben des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit
(1) Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit erstattet dem Deutschen Bundestag alle zwei Jahre einen Tätigkeitsbericht. Er unterrichtet den Deutschen Bundestag und die Öffentlichkeit über wesentliche Entwicklungen des Datenschutzes.
(2) Auf Anforderung des Deutschen Bundestages oder der Bundesregierung hat der Bundesbeauftragte Gutachten zu erstellen und Berichte zu erstatten. Auf Ersuchen des Deutschen Bundestages, des Petitionsausschusses, des Innenausschusses oder der Bundesregierung geht der Bundesbeauftragte ferner Hinweisen auf Angelegenheiten und Vorgänge des Datenschutzes bei den öffentlichen Stellen des Bundes nach. Der Bundesbeauftragte kann sich jederzeit an den Deutschen Bundestag wenden.
(3) Der Bundesbeauftragte kann der Bundesregierung und den in § 12 Abs. 1 genannten Stellen des Bundes Empfehlungen zur Verbesserung des Datenschutzes geben und sie in Fragen des Datenschutzes beraten. Die in § 25 Abs. 1 Nr. 1 bis 4 genannten Stellen sind durch den Bundesbeauftragten zu unterrichten, wenn die Empfehlung oder Beratung sie nicht unmittelbar betrifft.
(4) Der Bundesbeauftragte wirkt auf die Zusammenarbeit mit den öffentlichen Stellen, die für die Kontrolle der Einhaltung der Vorschriften über den Datenschutz in den Ländern zuständig sind, sowie mit den Aufsichtsbehörden nach § 38 hin. § 38 Abs. 1 Satz 3 und 4 gilt entsprechend.
Dritter Abschnitt Datenverarbeitung nicht-öffentlicher Stellen und öffentlich-rechtlicher Wettbewerbsunternehmen
Erster Unterabschnitt Rechtsgrundlagen der Datenverarbeitung
§ 27 Anwendungsbereich
(1) Die Vorschriften dieses Abschnittes finden Anwendung, soweit personenbezogene Daten unter Einsatz von Datenverarbeitungsanlagen verarbeitet, genutzt oder dafür erhoben werden oder die Daten in oder aus nicht automatisierten Dateien verarbeitet, genutzt oder dafür erhoben werden durch
1. nicht-öffentliche Stellen,
2. a) öffentliche Stellen des Bundes, soweit sie als öffentlich-rechtliche Unternehmen am Wettbewerb teilnehmen,
b) öffentliche Stellen der Länder, soweit sie als öffentlich-rechtliche Unternehmen am Wettbewerb teilnehmen, Bundesrecht ausführen und der Datenschutz nicht durch Landesgesetz geregelt ist.
Dies gilt nicht, wenn die Erhebung, Verarbeitung oder Nutzung der Daten ausschließlich für persönliche oder familiäre Tätigkeiten erfolgt. In den Fällen der Nummer 2 Buchstabe a gelten anstelle des § 38 die §§ 18, 21 und 24 bis 26.
(2) Die Vorschriften dieses Abschnittes gelten nicht für die Verarbeitung und Nutzung personenbezogener Daten außerhalb von nicht automatisierten Dateien, soweit es sich nicht um personenbezogene Daten handelt, die offensichtlich aus einer automatisierten Verarbeitung entnommen worden sind.
§ 28 Datenerhebung, -verarbeitung und -nutzung für eigene Zwecke
(1) Das Erheben, Speichern, Verändern oder Übermitteln personenbezogener Daten oder ihre Nutzung als Mittel für die Erfüllung eigener Geschäftszwecke ist zulässig,
1. wenn es der Zweckbestimmung eines Vertragsverhältnisses oder vertragsähnlichen Vertrauensverhältnisses mit dem Betroffenen dient,
2. soweit es zur Wahrung berechtigter Interessen der verantwortlichen Stelle erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung oder Nutzung überwiegt, oder
3. wenn die Daten allgemein zugänglich sind oder die verantwortliche Stelle sie veröffentlichen dürfte, es sei denn, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung oder Nutzung gegenüber dem berechtigten Interesse der verantwortlichen Stelle offensichtlich überwiegt.
Bei der Erhebung personenbezogener Daten sind die Zwecke, für die die Daten verarbeitet oder genutzt werden sollen, konkret festzulegen.
(2) Für einen anderen Zweck dürfen sie nur unter den Voraussetzungen des Absatzes 1 Satz 1 Nr. 2 und 3 übermittelt oder genutzt werden.
(3) Die Übermittlung oder Nutzung für einen anderen Zweck ist auch zulässig:
1. soweit es zur Wahrung berechtigter Interessen eines Dritten oder
2. zur Abwehr von Gefahren für die staatliche und öffentliche Sicherheit sowie zur Verfolgung von Straftaten erforderlich ist, oder
3. für Zwecke der Werbung, der Markt- und Meinungsforschung, wenn es sich um listenmäßig oder sonst zusammengefasste Daten über Angehörige einer Personengruppe handelt, die sich auf
a) eine Angabe über die Zugehörigkeit des Betroffenen zu dieser Personengruppe,
b) Berufs-, Branchen- oder Geschäftsbezeichnung,
c) Namen,
d) Titel,
e) akademische Grade,
f) Anschrift und
g) Geburtsjahr
beschränken
und kein Grund zu der Annahme besteht, dass der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Übermittlung oder Nutzung hat, oder
4. wenn es im Interesse einer Forschungseinrichtung zur Durchführung wissenschaftlicher Forschung erforderlich ist, das wissenschaftliche Interesse an der Durchführung des Forschungsvorhabens das Interesse des Betroffenen an dem Ausschluss der Zweckänderung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann.
In den Fällen des Satzes 1 Nr. 3 ist anzunehmen, dass dieses Interesse besteht, wenn im Rahmen der Zweckbestimmung eines Vertragsverhältnisses oder vertragsähnlichen Vertrauensverhältnisses gespeicherte Daten übermittelt werden sollen, die sich
1. auf strafbare Handlungen,
2. auf Ordnungswidrigkeiten sowie
3. bei Übermittlung durch den Arbeitgeber auf arbeitsrechtliche Rechtsverhältnisse
beziehen.
(4) Widerspricht der Betroffene bei der verantwortlichen Stelle der Nutzung oder Übermittlung seiner Daten für Zwecke der Werbung oder der Markt- oder Meinungsforschung, ist eine Nutzung oder Übermittlung für diese Zwecke unzulässig. Der Betroffene ist bei der Ansprache zum Zweck der Werbung oder der Markt- oder Meinungsforschung über die verantwortliche Stelle sowie über das Widerspruchsrecht nach Satz 1 zu unterrichten; soweit der Ansprechende personenbezogene Daten des Betroffenen nutzt, die bei einer ihm nicht bekannten Stelle gespeichert sind, hat er auch sicherzustellen, dass der Betroffene Kenntnis über die Herkunft der Daten erhalten kann. Widerspricht der Betroffene bei dem Dritten, dem die Daten nach Absatz 3 übermittelt werden, der Verarbeitung oder Nutzung für Zwecke der Werbung oder der Markt- oder Meinungsforschung, hat dieser die Daten für diese Zwecke zu sperren.
(5) Der Dritte, dem die Daten übermittelt worden sind, darf diese nur für den Zweck verarbeiten oder nutzen, zu dessen Erfüllung sie ihm übermittelt werden. Eine Verarbeitung oder Nutzung für andere Zwecke ist nicht-öffentlichen Stellen nur unter den Voraussetzungen der Absätze 2 und 3 und öffentlichen Stellen nur unter den Voraussetzungen des § 14 Abs. 2 erlaubt. Die übermittelnde Stelle hat ihn darauf hinzuweisen.
(6) Das Erheben, Verarbeiten und Nutzen von besonderen Arten personenbezogener Daten (§ 3 Abs. 9) für eigene Geschäftszwecke ist zulässig, soweit nicht der Betroffene nach Maßgabe des § 4a Abs. 3 eingewilligt hat, wenn
1. dies zum Schutz lebenswichtiger Interessen des Betroffenen oder eines Dritten erforderlich ist, sofern der Betroffene aus physischen oder rechtlichen Gründen außerstande ist, seine Einwilligung zu geben,
2. es sich um Daten handelt, die der Betroffene offenkundig öffentlich gemacht hat,
3. dies zur Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Erhebung, Verarbeitung oder Nutzung überwiegt, oder
4. dies zur Durchführung wissenschaftlicher Forschung erforderlich ist, das wissenschaftliche Interesse an der Durchführung des Forschungsvorhabens das Interesse des Betroffenen an dem Ausschluss der Erhebung, Verarbeitung und Nutzung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann.
(7) Das Erheben von besonderen Arten personenbezogener Daten (§ 3 Abs. 9) ist ferner zulässig, wenn dies zum Zweck der Gesundheitsvorsorge, der medizinischen Diagnostik, der Gesundheitsversorgung oder Behandlung oder für die Verwaltung von Gesundheitsdiensten erforderlich ist und die Verarbeitung dieser Daten durch ärztliches Personal oder durch sonstige Personen erfolgt, die einer entsprechenden Geheimhaltungspflicht unterliegen. Die Verarbeitung und Nutzung von Daten zu den in Satz 1 genannten Zwecken richtet sich nach den für die in Satz 1 genannten Personen geltenden Geheimhaltungspflichten. Werden zu einem in Satz 1 genannten Zweck Daten über die Gesundheit von Personen durch Angehörige eines anderen als in § 203 Abs. 1 und 3 des Strafgesetzbuchs genannten Berufes, dessen Ausübung die Feststellung, Heilung oder Linderung von Krankheiten oder die Herstellung oder den Vertrieb von Hilfsmitteln mit sich bringt, erhoben, verarbeitet oder genutzt, ist dies nur unter den Voraussetzungen zulässig, unter denen ein Arzt selbst hierzu befugt wäre.
(8) Für einen anderen Zweck dürfen die besonderen Arten personenbezogener Daten (§ 3 Abs. 9) nur unter den Voraussetzungen des Absatzes 6 Nr. 1 bis 4 oder des Absatzes 7 Satz 1 übermittelt oder genutzt werden. Eine Übermittlung oder Nutzung ist auch zulässig, wenn dies zur Abwehr von erheblichen Gefahren für die staatliche und öffentliche Sicherheit sowie zur Verfolgung von Straftaten von erheblicher Bedeutung erforderlich ist.
(9) Organisationen, die politisch, philosophisch, religiös oder gewerkschaftlich ausgerichtet sind und keinen Erwerbszweck verfolgen, dürfen besondere Arten personenbezogener Daten (§ 3 Abs. 9) erheben, verarbeiten oder nutzen, soweit dies für die Tätigkeit der Organisation erforderlich ist. Dies gilt nur für personenbezogene Daten ihrer Mitglieder oder von Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßig Kontakte mit ihr unterhalten. Die Übermittlung dieser personenbezogenen Daten an Personen oder Stellen außerhalb der Organisation ist nur unter den Voraussetzungen des § 4a Abs. 3 zulässig. Absatz 3 Nr. 2 gilt entsprechend.
§ 29 Geschäftsmäßige Datenerhebung und -speicherung zum Zweck der Übermittlung
(1) Das geschäftsmäßige Erheben, Speichern oder Verändern personenbezogener Daten zum Zweck der Übermittlung, insbesondere wenn dies der Werbung, der Tätigkeit von Auskunfteien, dem Adresshandel oder der Markt- und Meinungsforschung dient, ist zulässig, wenn
1. kein Grund zu der Annahme besteht, dass der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Erhebung, Speicherung oder Veränderung hat, oder
2. die Daten aus allgemein zugänglichen Quellen entnommen werden können oder die verantwortliche Stelle sie veröffentlichen dürfte, es sei denn, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Erhebung, Speicherung oder Veränderung offensichtlich überwiegt.
§ 28 Abs. 1 Satz 2 ist anzuwenden.
(2) Die Übermittlung im Rahmen der Zwecke nach Absatz 1 ist zulässig, wenn
1. a) der Dritte, dem die Daten übermittelt werden, ein berechtigtes Interesse an ihrer Kenntnis glaubhaft dargelegt hat oder
b) es sich um listenmäßig oder sonst zusammengefasste Daten nach § 28 Abs. 3 Nr. 3 handelt, die für Zwecke der Werbung oder der Markt- oder Meinungsforschung übermittelt werden sollen, und
2. kein Grund zu der Annahme besteht, dass der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Übermittlung hat.
§ 28 Abs. 3 Satz 2 gilt entsprechend. Bei der Übermittlung nach Nummer 1 Buchstabe a sind die Gründe für das Vorliegen eines berechtigten Interesses und die Art und Weise ihrer glaubhaften Darlegung von der übermittelnden Stelle aufzuzeichnen. Bei der Übermittlung im automatisierten Abrufverfahren obliegt die Aufzeichnungspflicht dem Dritten, dem die Daten übermittelt werden.
(3) Die Aufnahme personenbezogener Daten in elektronische oder gedruckte Adress-, Telefon-, Branchen- oder vergleichbare Verzeichnisse hat zu unterbleiben, wenn der entgegenstehende Wille des Betroffenen aus dem zugrunde liegenden elektronischen oder gedruckten Verzeichnis oder Register ersichtlich ist. Der Empfänger der Daten hat sicherzustellen, dass Kennzeichnungen aus elektronischen oder gedruckten Verzeichnissen oder Registern bei der Übernahme in Verzeichnisse oder Register übernommen werden.
(4) Für die Verarbeitung oder Nutzung der übermittelten Daten gilt § 28 Abs. 4 und 5.
(5) § 28 Abs. 6 bis 9 gilt entsprechend.
§ 30 Geschäftsmäßige Datenerhebung und -speicherung zum Zweck der Übermittlung in anonymisierter Form
(1) Werden personenbezogene Daten geschäftsmäßig erhoben und gespeichert, um sie in anonymisierter Form zu übermitteln, sind die Merkmale gesondert zu speichern, mit denen Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können. Diese Merkmale dürfen mit den Einzelangaben nur zusammengeführt werden, soweit dies für die Erfüllung des Zwecks der Speicherung oder zu wissenschaftlichen Zwecken erforderlich ist.
(2) Die Veränderung personenbezogener Daten ist zulässig, wenn
1. kein Grund zu der Annahme besteht, dass der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Veränderung hat, oder
2. die Daten aus allgemein zugänglichen Quellen entnommen werden können oder die verantwortliche Stelle sie veröffentlichen dürfte, soweit nicht das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Veränderung offensichtlich überwiegt.
(3) Die personenbezogenen Daten sind zu löschen, wenn ihre Speicherung unzulässig ist.
(4) § 29 gilt nicht.
(5) § 28 Abs. 6 bis 9 gilt entsprechend.
§ 31 Besondere Zweckbindung
Personenbezogene Daten, die ausschließlich zu Zwecken der Datenschutzkontrolle, der Datensicherung oder zur Sicherstellung eines ordnungsgemäßen Betriebes einer Datenverarbeitungsanlage gespeichert werden, dürfen nur für diese Zwecke verwendet werden.
§ 32 weggefallen
Zweiter Unterabschnitt Rechte des Betroffenen
§ 33 Benachrichtigung des Betroffenen
(1) Werden erstmals personenbezogene Daten für eigene Zwecke ohne Kenntnis des Betroffenen gespeichert, ist der Betroffene von der Speicherung, der Art der Daten, der Zweckbestimmung der Erhebung, Verarbeitung oder Nutzung und der Identität der verantwortlichen Stelle zu benachrichtigen. Werden personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung ohne Kenntnis des Betroffenen gespeichert, ist der Betroffene von der erstmaligen Übermittlung und der Art der übermittelten Daten zu benachrichtigen. Der Betroffene ist in den Fällen der Sätze 1 und 2 auch über die Kategorien von Empfängern zu unterrichten, soweit er nach den Umständen des Einzelfalles nicht mit der Übermittlung an diese rechnen muss.
(2) Eine Pflicht zur Benachrichtigung besteht nicht, wenn
1. der Betroffene auf andere Weise Kenntnis von der Speicherung oder der Übermittlung erlangt hat,
2. die Daten nur deshalb gespeichert sind, weil sie aufgrund gesetzlicher, satzungsmäßiger oder vertraglicher Aufbewahrungsvorschriften nicht gelöscht werden dürfen oder ausschließlich der Datensicherung oder der Datenschutzkontrolle dienen und eine Benachrichtigung einen unverhältnismäßigen Aufwand erfordern würde,
3. die Daten nach einer Rechtsvorschrift oder ihrem Wesen nach, namentlich wegen des überwiegenden rechtlichen Interesses eines Dritten, geheim gehalten werden müssen,,
4. die Speicherung oder Übermittlung durch Gesetz ausdrücklich vorgesehen ist,
5. die Speicherung oder Übermittlung für Zwecke der wissenschaftlichen Forschung erforderlich ist und eine Benachrichtigung einen unverhältnismäßigen Aufwand erfordern würde,
6. die zuständige öffentliche Stelle gegenüber der verantwortlichen Stelle festgestellt hat, dass das Bekanntwerden der Daten die öffentliche Sicherheit oder Ordnung gefährden oder sonst dem Wohle des Bundes oder eines Landes Nachteile bereiten würde,
7. die Daten für eigene Zwecke gespeichert sind und
a) aus allgemein zugänglichen Quellen entnommen sind und eine Benachrichtigung wegen der Vielzahl der betroffenen Fälle unverhältnismäßig ist, oder
b) die Benachrichtigung die Geschäftszwecke der verantwortlichen Stelle erheblich gefährden würde, es sei denn, dass das Interesse an der Benachrichtigung die Gefährdung überwiegt, oder
8. die Daten geschäftsmäßig zum Zweck der Übermittlung gespeichert sind und
a) aus allgemein zugänglichen Quellen entnommen sind, soweit sie sich auf diejenigen Personen beziehen, die diese Daten veröffentlicht haben, oder
b) es sich um listenmäßig oder sonst zusammengefasste Daten handelt (§ 29 Abs. 2 Nr. 1 Buchstabe b)
und eine Benachrichtigung wegen der Vielzahl der betroffenen Fälle unverhältnismäßig ist.
Die verantwortliche Stelle legt schriftlich fest, unter welchen Voraussetzungen von einer Benachrichtigung nach Satz 1 Nr. 2 bis 7 abgesehen wird.
§ 34 Auskunft an den Betroffenen
(1) Der Betroffene kann Auskunft verlangen über
1. die zu seiner Person gespeicherten Daten, auch soweit sie sich auf die Herkunft dieser Daten beziehen,
2. Empfänger oder Kategorien von Empfängern, an die Daten weitergegeben werden, und
3. den Zweck der Speicherung.
Er soll die Art der personenbezogenen Daten, über die Auskunft erteilt werden soll, näher bezeichnen. Werden die personenbezogenen Daten geschäftsmäßig zum Zweck der Übermittlung gespeichert, kann der Betroffene über Herkunft und Empfänger nur Auskunft verlangen, sofern nicht das Interesse an der Wahrung des Geschäftsgeheimnisses überwiegt. In diesem Fall ist Auskunft über Herkunft und Empfänger auch dann zu erteilen, wenn diese Angaben nicht gespeichert sind.
(2) Der Betroffene kann von Stellen, die geschäftsmäßig personenbezogene Daten zum Zweck der Auskunftserteilung speichern, Auskunft über seine personenbezogenen Daten verlangen, auch wenn sie weder in einer automatisierten Verarbeitung noch in einer nicht automatisierten Datei gespeichert sind. Auskunft über Herkunft und Empfänger kann der Betroffene nur verlangen, sofern nicht das Interesse an der Wahrung des Geschäftsgeheimnisses überwiegt.
(3) Die Auskunft wird schriftlich erteilt, soweit nicht wegen der besonderen Umstände eine andere Form der Auskunftserteilung angemessen ist.
(4) Eine Pflicht zur Auskunftserteilung besteht nicht, wenn der Betroffene nach § 33 Abs. 2 Satz 1 Nr. 2, 3 und 5 bis 7 nicht zu benachrichtigen ist.
(5) Die Auskunft ist unentgeltlich. Werden die personenbezogenen Daten geschäftsmäßig zum Zweck der Übermittlung gespeichert, kann jedoch ein Entgelt verlangt werden, wenn der Betroffene die Auskunft gegenüber Dritten zu wirtschaftlichen Zwecken nutzen kann. Das Entgelt darf über die durch die Auskunftserteilung entstandenen direkt zurechenbaren Kosten nicht hinausgehen. Ein Entgelt kann in den Fällen nicht verlangt werden, in denen besondere Umstände die Annahme rechtfertigen, dass Daten unrichtig oder unzulässig gespeichert werden, oder in denen die Auskunft ergibt, dass die Daten zu berichtigen oder unter der Voraussetzung des § 35 Abs. 2 Satz 2 Nr. 1 zu löschen sind.
(6) Ist die Auskunftserteilung nicht unentgeltlich, ist dem Betroffenen die Möglichkeit zu geben, sich im Rahmen seines Auskunftsanspruchs persönlich Kenntnis über die ihn betreffenden Daten und Angaben zu verschaffen. Er ist hierauf in geeigneter Weise hinzuweisen.
§ 35 Berichtigung, Löschung und Sperrung von Daten
(1) Personenbezogene Daten sind zu berichtigen, wenn sie unrichtig sind.
(2) Personenbezogene Daten können außer in den Fällen des Absatzes 3 Nr. 1 und 2 jederzeit gelöscht werden. Personenbezogene Daten sind zu löschen, wenn
1. ihre Speicherung unzulässig ist,
2. es sich um Daten über die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder die Gewerkschaftszugehörigkeit, über Gesundheit oder das Sexualleben, strafbare Handlungen oder Ordnungswidrigkeiten handelt und ihre Richtigkeit von der verantwortlichen Stelle nicht bewiesen werden kann,
3. sie für eigene Zwecke verarbeitet werden, sobald ihre Kenntnis für die Erfüllung des Zwecks der Speicherung nicht mehr erforderlich ist, oder
4. sie geschäftsmäßig zum Zweck der Übermittlung verarbeitet werden und eine Prüfung jeweils am Ende des vierten Kalenderjahres beginnend mit ihrer erstmaligen Speicherung ergibt, dass eine längerwährende Speicherung nicht erforderlich ist.
(3) An die Stelle einer Löschung tritt eine Sperrung, soweit
1. im Fall des Absatzes 2 Nr. 3 einer Löschung gesetzliche, satzungsmäßige oder vertragliche Aufbewahrungsfristen entgegenstehen,
2. Grund zu der Annahme besteht, dass durch eine Löschung schutzwürdige Interessen des Betroffenen beeinträchtigt würden, oder
3. eine Löschung wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich ist.
(4) Personenbezogene Daten sind ferner zu sperren, soweit ihre Richtigkeit vom Betroffenen bestritten wird und sich weder die Richtigkeit noch die Unrichtigkeit feststellen lässt.
(5) Personenbezogene Daten dürfen nicht für eine automatisierte Verarbeitung oder Verarbeitung in nicht automatisierten Dateien erhoben, verarbeitet oder genutzt werden, soweit der Betroffene dieser bei der verantwortlichen Stelle widerspricht und eine Prüfung ergibt, dass das schutzwürdige Interesse des Betroffenen wegen seiner besonderen persönlichen Situation das Interesse der verantwortlichen Stelle an dieser Erhebung, Verarbeitung oder Nutzung überwiegt. Satz 1 gilt nicht, wenn eine Rechtsvorschrift zur Erhebung, Verarbeitung oder Nutzung verpflichtet.
(6) Personenbezogene Daten, die unrichtig sind oder deren Richtigkeit bestritten wird, müssen bei der geschäftsmäßigen Datenspeicherung zum Zweck der Übermittlung außer in den Fällen des Absatzes 2 Nr. 2 nicht berichtigt, gesperrt oder gelöscht werden, wenn sie aus allgemein zugänglichen Quellen entnommen und zu Dokumentationszwecken gespeichert sind. Auf Verlangen des Betroffenen ist diesen Daten für die Dauer der Speicherung seine Gegendarstellung beizufügen. Die Daten dürfen nicht ohne diese Gegendarstellung übermittelt werden.
(7) Von der Berichtigung unrichtiger Daten, der Sperrung bestrittener Daten sowie der Löschung oder Sperrung wegen Unzulässigkeit der Speicherung sind die Stellen zu verständigen, denen im Rahmen einer Datenübermittlung diese Daten zur Speicherung weitergegeben werden, wenn dies keinen unverhältnismäßigen Aufwand erfordert und schutzwürdige Interessen des Betroffenen nicht entgegenstehen.
(8) Gesperrte Daten dürfen ohne Einwilligung des Betroffenen nur übermittelt oder genutzt werden, wenn
1. es zu wissenschaftlichen Zwecken, zur Behebung einer bestehenden Beweisnot oder aus sonstigen im überwiegenden Interesse der verantwortlichen Stelle oder eines Dritten liegenden Gründen unerlässlich ist und
2. die Daten hierfür übermittelt oder genutzt werden dürften, wenn sie nicht gesperrt wären.
Dritter Unterabschnitt Aufsichtsbehörde
§ 36 und § 37 weggefallen
§ 38 Aufsichtsbehörde
(1) Die Aufsichtsbehörde kontrolliert die Ausführung dieses Gesetzes sowie anderer Vorschriften über den Datenschutz, soweit diese die automatisierte Verarbeitung personenbezogener Daten oder die Verarbeitung oder Nutzung personenbezogener Daten in oder aus nicht automatisierten Dateien regeln einschließlich des Rechts der Mitgliedstaaten in den Fällen des § 1 Abs. 5. Sie berät und unterstützt die Beauftragten für den Datenschutz und die verantwortlichen Stellen mit Rücksicht auf deren typischen Bedürfnisse. Die Aufsichtsbehörde darf die von ihr gespeicherten Daten nur für Zwecke der Aufsicht verarbeiten und nutzen; § 14 Abs. 2 Nr. 1 bis 3, 6 und 7 gilt entsprechend. Insbesondere darf die Aufsichtsbehörde zum Zweck der Aufsicht Daten an andere Aufsichtsbehörden übermitteln. Sie leistet den Aufsichtsbehörden anderer Mitgliedstaaten der Europäischen Union auf Ersuchen ergänzende Hilfe (Amtshilfe). Stellt die Aufsichtsbehörde einen Verstoß gegen dieses Gesetz oder andere Vorschriften über den Datenschutz fest, so ist sie befugt, die Betroffenen hierüber zu unterrichten, den Verstoß bei den für die Verfolgung oder Ahndung zuständigen Stellen anzuzeigen sowie bei schwerwiegenden Verstößen die Gewerbeaufsichtsbehörde zur Durchführung gewerberechtlicher Maßnahmen zu unterrichten. Sie veröffentlicht regelmäßig, spätestens alle zwei Jahre, einen Tätigkeitsbericht. § 21 Satz 1 und § 23 Abs. 5 Satz 4 bis 7 gelten entsprechend.
(2) Die Aufsichtsbehörde führt ein Register der nach § 4d meldepflichtigen automatisierten Verarbeitungen mit den Angaben nach § 4e Satz 1. Das Register kann von jedem eingesehen werden. Das Einsichtsrecht erstreckt sich nicht auf die Angaben nach § 4e Satz 1 Nr. 9 sowie auf die Angabe der zugriffsberechtigten Personen.
(3) Die der Kontrolle unterliegenden Stellen sowie die mit deren Leitung beauftragten Personen haben der Aufsichtsbehörde auf Verlangen die für die Erfüllung ihrer Aufgaben erforderlichen Auskünfte unverzüglich zu erteilen. Der Auskunftspflichtige kann die Auskunft auf solche Fragen verweigern, deren Beantwortung ihn selbst oder einen der in § 383 Abs. 1 Nr. 1 bis 3 der Zivilprozessordnung bezeichneten Angehörigen der Gefahr strafgerichtlicher Verfolgung oder eines Verfahrens nach dem Gesetz über Ordnungswidrigkeiten aussetzen würde. Der Auskunftspflichtige ist darauf hinzuweisen.
(4) Die von der Aufsichtsbehörde mit der Kontrolle beauftragten Personen sind befugt, soweit es zur Erfüllung der der Aufsichtsbehörde übertragenen Aufgaben erforderlich ist, während der Betriebs- und Geschäftszeiten Grundstücke und Geschäftsräume der Stelle zu betreten und dort Prüfungen und Besichtigungen vorzunehmen. Sie können geschäftliche Unterlagen, insbesondere die Übersicht nach § 4g Abs. 2 Satz 1 sowie die gespeicherten personenbezogenen Daten und die Datenverarbeitungsprogramme, einsehen. § 24 Abs. 6 gilt ent-sprechend. Der Auskunftspflichtige hat diese Maßnahmen zu dulden.
(5) Zur Gewährleistung des Datenschutzes nach diesem Gesetz und anderen Vorschriften über den Datenschutz, soweit diese die automatisierte Verarbeitung personenbezogener Daten oder die Verarbeitung personenbezogener Daten in oder aus nicht automatisierten Dateien regeln, kann die Aufsichtsbehörde anordnen, dass im Rahmen der Anforderungen nach § 9 Maßnahmen zur Beseitigung festgestellter technischer oder organisatorischer Mängel getroffen werden. Bei schwerwiegenden Mängeln dieser Art, insbesondere, wenn sie mit besonderer Gefährdung des Persönlichkeitsrechts verbunden sind, kann sie den Einsatz einzelner Verfahren untersagen, wenn die Mängel entgegen der Anordnung nach Satz 1 und trotz der Verhängung eines Zwangsgeldes nicht in angemessener Zeit beseitigt werden. Sie kann die Abberufung des Beauftragten für den Datenschutz verlangen, wenn er die zur Erfüllung seiner Aufgaben erforderliche Fachkunde und Zuverlässigkeit nicht besitzt.
(6) Die Landesregierungen oder die von ihnen ermächtigten Stellen bestimmen die für die Kontrolle der Durchführung des Datenschutzes im Anwendungsbereich dieses Abschnittes zuständigen Aufsichtsbehörden..
(7) Die Anwendung der Gewerbeordnung auf die den Vorschriften dieses Abschnittes unterliegenden Gewerbebetriebe bleibt unberührt.
§ 38a Verhaltensregeln zur Förderung der Durchführung datenschutzrechtlicher Regelungen
(1) Berufsverbände und andere Vereinigungen, die bestimmte Gruppen von verantwortlichen Stellen vertreten, können Entwürfe für Verhaltensregeln zur Förderung der Durchführung von datenschutzrechtlichen Regelungen der zuständigen Aufsichtsbehörde unterbreiten.
(2) Die Aufsichtsbehörde überprüft die Vereinbarkeit der ihr unterbreiteten Entwürfe mit dem geltenden Datenschutzrecht.
Vierter Abschnitt Sondervorschriften
§ 39 Zweckbindung bei personenbezogenen Daten, die einem Berufs- oder besonderen Amtsgeheimnis unterliegen
(1) Personenbezogene Daten, die einem Berufs- oder besonderen Amtsgeheimnis unterliegen und die von der zur Verschwiegenheit verpflichteten Stelle in Ausübung ihrer Berufs- oder Amtspflicht zur Verfügung gestellt worden sind, dürfen von der verantwortlichen Stelle nur für den Zweck verarbeitet oder genutzt werden, für den sie sie erhalten hat. In die Übermittlung an eine nicht-öffentliche Stelle muss die zur Verschwiegenheit verpflichtete Stelle einwilligen.
(2) Für einen anderen Zweck dürfen die Daten nur verarbeitet oder genutzt werden, wenn die Änderung des Zwecks durch besonderes Gesetz zugelassen ist.
§ 40 Verarbeitung und Nutzung personenbezogener Daten durch Forschungseinrichtungen
(1) Für Zwecke der wissenschaftlichen Forschung erhobene oder gespeicherte personenbezogene Daten dürfen nur für Zwecke der wissenschaftlichen Forschung verarbeitet oder genutzt werden.
(2) Die personenbezogenen Daten sind zu anonymisieren, sobald dies nach dem Forschungszweck möglich ist. Bis dahin sind die Merkmale gesondert zu speichern, mit denen Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren Person zugeordnet werden können. Sie dürfen mit den Einzelangaben nur zusammengeführt werden, soweit der Forschungszweck dies erfordert.
(3) Die wissenschaftliche Forschung betreibenden Stellen dürfen personenbezogene Daten nur veröffentlichen, wenn
1. der Betroffene eingewilligt hat oder
2. dies für die Darstellung von Forschungsergebnissen über Ereignisse der Zeitgeschichte unerlässlich ist.
§ 41 Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch die Medien
(1) Die Länder haben in ihrer Gesetzgebung vorzusehen, dass für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten von Unternehmen und Hilfsunternehmen der Presse ausschließlich zu eigenen journalistisch-redaktionellen oder literarischen Zwecken den Vorschriften der §§ 5, 9 und 38a entsprechende Regelungen einschließlich einer hierauf bezogenen Haftungsregelung entsprechend § 7 zur Anwendung kommen.
(2) Führt die journalistisch-redaktionelle Erhebung, Verarbeitung oder Nutzung personenbezogener Daten durch die Deutsche Welle zur Veröffentlichung von Gegendarstellungen des Betroffenen, so sind diese Gegendarstellungen zu den gespeicherten Daten zu nehmen und für dieselbe Zeitdauer aufzubewahren wie die Daten selbst.
(3) Wird jemand durch eine Berichterstattung der Deutschen Welle in seinem Persönlichkeitsrecht beeinträchtigt, so kann er Auskunft über die der Berichterstattung zugrunde liegenden, zu seiner Person gespeicherten Daten verlangen. Die Auskunft kann nach Abwägung der schutzwürdigen Interessen der Beteiligten verweigert werden, soweit
1. aus den Daten auf Personen, die bei der Vorbereitung, Herstellung oder Verbreitung von Rundfunksendungen berufsmäßig journalistisch mitwirken oder mitgewirkt haben, geschlossen werden kann,
2. aus den Daten auf die Person des Einsenders oder des Gewährsträgers von Beiträgen, Unterlagen und Mitteilungen für den redaktionellen Teil geschlossen werden kann,
3. durch die Mitteilung der recherchierten oder sonst erlangten Daten die journalistische Aufgabe der Deutschen Welle durch Ausforschung des Informationsbestandes beeinträchtigt würde.
Der Betroffene kann die Berichtigung unrichtiger Daten verlangen.
(4) Im Übrigen gelten für die Deutsche Welle von den Vorschriften dieses Gesetzes die §§ 5, 7, 9 und 38a. Anstelle der §§ 24 bis 26 gilt § 42, auch soweit es sich um Verwaltungsangelegenheiten handelt.
§ 42 Datenschutzbeauftragter der Deutschen Welle
(1) Die Deutsche Welle bestellt einen Beauftragten für den Datenschutz, der an die Stelle des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit tritt. Die Bestellung erfolgt auf Vorschlag des Intendanten durch den Verwaltungsrat für die Dauer von vier Jahren, wobei Wiederbestellungen zulässig sind. Das Amt eines Beauftragten für den Datenschutz kann neben anderen Aufgaben innerhalb der Rundfunkanstalt wahrgenommen werden.
(2) Der Beauftragte für den Datenschutz kontrolliert die Einhaltung der Vorschriften dieses Gesetzes sowie anderer Vorschriften über den Datenschutz. Er ist in Ausübung dieses Amtes unabhängig und nur dem Gesetz unterworfen. Im Übrigen untersteht er der Dienst- und Rechtsaufsicht des Verwaltungsrates.
(3) Jedermann kann sich entsprechend § 21 Satz 1 an den Beauftragten für den Datenschutz wenden.
(4) Der Beauftragte für den Datenschutz erstattet den Organen der Deutschen Welle alle zwei Jahre, erstmals zum 1. Januar 1994 einen Tätigkeitsbericht. Er erstattet darüber hinaus besondere Berichte auf Beschluss eines Organes der Deutschen Welle. Die Tätigkeitsberichte übermittelt der Beauftragte auch an den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit.
(5) Weitere Regelungen entsprechend den §§ 23 bis 26 trifft die Deutsche Welle für ihren Bereich. Die §§ 4f und 4g bleiben unberührt.
Fünfter Abschnitt Schlussvorschriften
§ 43 Bußgeldvorschriften
(
1) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig
1. entgegen § 4d Abs. 1, auch in Verbindung mit § 4e Satz 2, eine Meldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht,
2. entgegen § 4f Abs. 1 Satz 1 oder 2, jeweils auch in Verbindung mit Satz 3 und 6, einen Beauftragten für den Datenschutz nicht, nicht in der vorgeschriebenen Weise oder nicht rechtzeitig bestellt,
3. entgegen § 28 Abs. 4 Satz 2 den Betroffenen nicht, nicht richtig oder nicht rechtzeitig unterrichtet oder nicht sicherstellt, dass der Betroffene Kenntnis erhalten kann,
4. entgegen § 28 Abs. 5 Satz 2 personenbezogene Daten übermittelt oder nutzt,
5. entgegen § 29 Abs. 2 Satz 3 oder 4 die dort bezeichneten Gründe oder die Art und Weise ihrer glaubhaften Darlegung nicht aufzeichnet,
6. entgegen § 29 Abs. 3 Satz 1 personenbezogene Daten in elektronische oder gedruckte Adress-, Rufnummern-, Branchen- oder vergleichbare Verzeichnisse aufnimmt,
7. entgegen § 29 Abs. 3 Satz 2 die Übernahme von Kennzeichnungen nicht sicherstellt,
8. entgegen § 33 Abs. 1 den Betroffenen nicht, nicht richtig oder nicht vollständig benachrichtigt,,
9. entgegen § 35 Abs. 6 Satz 3 Daten ohne Gegendarstellung übermittelt,
10. entgegen § 38 Abs. 3 Satz 1 oder Abs. 4 Satz 1 eine Auskunft nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig erteilt oder eine Maßnahme nicht duldet oder
11. einer vollziehbaren Anordnung nach § 38 Abs. 5 Satz 1 zuwiderhandelt.
(2) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig
1. unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, erhebt oder verarbeitet,
2. unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, zum Abruf mittels automatisierten Verfahrens bereithält,
3. unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, abruft oder sich oder einem anderen aus automatisierten Verarbeitungen oder nicht automatisierten Dateien verschafft,
4. die Übermittlung von personenbezogenen Daten, die nicht allgemein zugänglich sind, durch unrichtige Angaben erschleicht,
5. entgegen § 16 Abs. 4 Satz 1, § 28 Abs. 5 Satz 1, auch in Verbindung mit § 29 Abs. 4, § 39 Abs. 1 Satz 1 oder § 40 Abs. 1, die übermittelten Daten für andere Zwecke nutzt, indem er sie an Dritte weitergibt, oder
6. entgegen § 30 Abs. 1 Satz 2 die in § 30 Abs. 1 Satz 1 bezeichneten Merkmale oder entgegen § 40 Abs. 2 Satz 3 die in § 40 Abs. 2 Satz 2 bezeichneten Merkmale mit den Einzelangaben zusammenführt.
(3) Die Ordnungswidrigkeit kann im Fall des Absatzes 1 mit einer Geldbuße bis zu fünfundzwanzigtausend Euro, in den Fällen des Absatzes 2 mit einer Geldbuße bis zu zweihundertfünfzigtausend Euro geahndet werden.
§ 44 Strafvorschriften
(1) Wer eine in § 43 Abs. 2 bezeichnete vorsätzliche Handlung gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, begeht, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.
(2) Die Tat wird nur auf Antrag verfolgt. Antragsberechtigt sind der Betroffene, die verantwortliche Stelle, der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit und die Aufsichtsbehörde.
Sechster Abschnitt Übergangsvorschriften
§ 45 Laufende Verwendungen
Erhebungen, Verarbeitungen oder Nutzungen personenbezogener Daten, die am 23. Mai 2001 bereits begonnen haben, sind binnen drei Jahren nach diesem Zeitpunkt mit den Vorschriften dieses Gesetzes in Übereinstimmung zu bringen. Soweit Vorschriften dieses Gesetzes in Rechtsvorschriften außerhalb des Anwendungsbereichs der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr zur Anwendung gelangen, sind Erhebungen, Verarbeitungen oder Nutzungen personenbezogener Daten, die am 23. Mai 2001 bereits begonnen haben, binnen fünf Jahren nach diesem Zeitpunkt mit den Vorschriften dieses Gesetzes in Übereinstimmung zu bringen.
§ 46 Weitergeltung von Begriffsbestimmungen
(1) Wird in besonderen Rechtsvorschriften des Bundes der Begriff Datei verwendet, ist Datei
1. eine Sammlung personenbezogener Daten, die durch automatisierte Verfahren nach bestimmten Merkmalen ausgewertet werden kann (automatisierte Datei), oder
2. jede sonstige Sammlung personenbezogener Daten, die gleichartig aufgebaut ist und nach bestimmten Merkmalen geordnet, umgeordnet und ausgewertet werden kann (nicht automatisierte Datei).
Nicht hierzu gehören Akten und Aktensammlungen, es sei denn, dass sie durch automatisierte Verfahren umgeordnet und ausgewertet werden können.
(2) Wird in besonderen Rechtsvorschriften des Bundes der Begriff Akte verwendet, ist Akte jede amtlichen oder dienstlichen Zwecken dienende Unterlage, die nicht dem Dateibegriff des Absatzes 1 unterfällt; dazu zählen auch Bild- und Tonträger. Nicht hierunter fallen Vorentwürfe und Notizen, die nicht Bestandteil eines Vorgangs werden sollen.
(3) Wird in besonderen Rechtsvorschriften des Bundes der Begriff Empfänger verwendet, ist Empfänger jede Person oder Stelle außerhalb der verantwortlichen Stelle. Empfänger sind nicht der Betroffene sowie Personen und Stellen, die im Inland, in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum personenbezogene Daten im Auftrag erheben, verarbeiten oder nutzen.
Anlage (zu § 9 Satz 1)
Werden personenbezogene Daten automatisiert verarbeitet oder genutzt, ist die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind insbesondere Maßnahmen zu treffen, die je nach der Art der zu schützenden personenbezogenen Daten oder Datenkategorien geeignet sind,
1. Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren (Zutrittskontrolle),
2. zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können (Zugangskontrolle),
3. zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle),
4. zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist (Weitergabekontrolle),
5. zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind (Eingabekontrolle),
6. zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle),
7. zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle),
8. zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.
|
|
 |
Federal Data Protection Act
As of 15 November 2006
This Act serves to implement directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data (OJ EC no. L 281, p. 31 ff.).
Contents
Part I General and common provisions
Section 1 Purpose and scope
Section 2 Public and private bodies
Section 3 Further definitions
Section 3a Data reduction and data economy
Section 4 Admissibility of data collection, processing and use
Section 4a Consent
Section 4b Transfer of personal data abroad and to supranational or international bodies
Section 4c Exceptions
Section 4d Obligatory registration
Section 4e Contents of the obligatory registration
Section 4f Data protection official
Section 4g Duties of the data protection official
Section 5 Confidentiality
Section 6 Inalienable rights of the data subject
Section 6a Automated individual decision
Section 6b Monitoring of publicly accessible areas with optic-electronic devices
Section 6c Mobile storage and processing media for personal data
Section 7 Compensation
Section 8 Compensation in case of automated data processing by public bodies
Section 9 Technical and organisational measures
Section 9a Data protection audit
Section 10 Establishment of automated retrieval procedures
Section 11 Commissioned collection, processing or use of personal data
Part II Data processing by public bodies
Chapter I Legal basis for data processing
Section 12 Scope
Section 13 Collection of data
Section 14 Storage, modification and use of data
Section 15 Transfer of data to public bodies
Section 16 Transfer of data to private bodies
Section 17 deleted
Section 18 Implementation of data protection in the federal administration
Chapter II Rights of the data subject
Section 19 Provision of information to the data subject
Section 19a Notification
Section 20 Correction, erasure and blocking of data; right of objection
Section 21 Appeals to the Federal Commissioner for Data Protection and Freedom of Information
Chapter III Federal Commissioner for Data Protection and Freedom of Information
Section 22 Election of the Federal Commissioner for Data Protection and Freedom of Information
Section 23 Legal status of the Federal Commissioner for Data Protection and Freedom of Information
Section 24 Monitoring by the Federal Commissioner for Data Protection and Freedom of Information
Section 25 Complaints lodged by the Federal Commissioner for Data Protection and Freedom of Information
Section 26 Further duties of the Federal Commissioner for Data Protection and Freedom of Information
Part III Data processing by private bodies and public-law enterprises participating in competition
Chapter I Legal basis for data processing
Section 27 Scope
Section 28 Collection, processing and use of data for own purposes
Section 29 Collection and storage of data in the course of business for the purpose of transfer
Section 30 Collection and storage of data in the course of business for the purpose of transfer in anonymised form
Section 31 Limitation of use to specific circumstances
Section 32 deleted
Chapter II Rights of the data subject
Section 33 Notification of the data subject
Section 34 Provision of information to the data subject
Section 35 Correction, erasure and blocking of data
Chapter III Supervisory authority
Section 36 deleted
Section 37 deleted
Section 38 Supervisory authority
Section 38a Code of conduct to promote the implementation of data protection provisions
Part IV Special provisions
Section 39 Limited use of personal data subject to professional or special official secrecy
Section 40 Processing and use of personal data by research institutes
Section 41 Collection, processing and use of personal data by the media
Section 42 Data protection official of Deutsche Welle
Part V Final provisions
Section 43 Administrative offences
Section 44 Criminal offences
Part VI Transitional provisions
Section 45 Current applications
Section 46 Overreaching validity of definitions
Annex (to the first sentence of Section 9 of this Act)
=========================================
=========================================
Part I General and common provisions
Section 1 Purpose and scope
(1) The purpose of this Act is to protect the individual against his right to privacy being impaired through the handling of his personal data.
(2) This Act shall apply to the collection, processing and use of personal data by
1. public bodies of the Federation,
2. public bodies of the Länder in so far as data protection is not governed by Land legislation and in so far as they
a) execute federal law or,
b) act as bodies of the judicature and are not dealing with administrative matters,
3. private bodies in so far as they process or use data by means of data processing systems or collect data for such systems, process or use data in or from non-automated filing systems or collect data for such systems, except where the collection, processing or use of such data is effected solely for personal or family activities.
(3) In so far as other legal provisions of the Federation are applicable to personal data, including their publication, such provisions shall take precedence over the provisions of this Act. This shall not affect the duty to observe the legal obligation of maintaining secrecy or professional or special official confidentiality not based on legal provisions.
(4) The provisions of this Act shall take precedence over those of the Administrative Procedures Act in so far as personal data are processed in ascertaining the facts.
(5) This Act shall not apply in so far as a controller located in another member state of the European Union or in another state party to the Agreement on the European Economic Area collects, processes or uses personal data, except where such collection, processing or use is carried out by a branch in Germany. This Act shall apply in so far as a controller which is not located in a member state of the European Union or in another state party to the Agreement on the European Economic Area collects, processes or uses personal data in Germany. In so far as the controller is to be named under this Act, information is also to be furnished on representatives established in Germany. Sentences 2 and 3 shall not apply in so far as data storage media are employed solely for the purposes of transit through Germany. The first sentence of Section 38 (1) shall remain unaffected.
Section 2 Public and private bodies
(1) “Public bodies of the Federation“ means the authorities, the bodies of the judicature and other public-law institutions of the Federation, of the Federal corporations, establishments and foundations under public law as well as of their associations irrespective of their legal structure. The successor companies created from the Special Fund Deutsche Bundespost by act of law are considered public bodies as long as they have an exclusive right under the Postal Law.
(2) “Public bodies of the Länder“ means the authorities, the bodies of the judicature and other public-law institutions of a Land, of a municipality, an association of municipalities or other legal persons under public law subject to Land supervision as well as of their associations irrespective of their legal structure.
(3) Private-law associations of public bodies of the Federation and the Länder performing public administration duties shall be regarded as public bodies of the Federation, irrespective of private shareholdings, if
1. they operate beyond the territory of a Land or
2. the Federation possesses the absolute majority of shares or votes.
Otherwise they shall be regarded as public bodies of the Länder.
(4) “Private bodies“ means natural or legal persons, companies and other private-law associations in so far as they are not covered by sub-sections 1 to 3 above. To the extent that a private body performs sovereign public administration duties, it shall be treated as a public body for the purposes of this Act.
Section 3 Further definitions
(1) “Personal data“ means any information concerning the personal or material circumstances of an identified or identifiable individual (the data subject).
(2) "Automated processing" means the collection, processing or use of personal data by means of data processing systems. A non-automated filing system is any non-automated collection of personal data which is similarly structured and which can be accessed and evaluated according to specific characteristics.
(3) “Collection“ means the acquisition of data on the data subject.
(4) “Processing” means the storage, modification, transfer, blocking and erasure of personal data. In particular cases, irrespective of the procedures applied:
1. “storage” means the entry, recording or preservation of personal data on a storage medium so that they can be processed or used again,
2. “modification” means the alteration of the substance of stored personal data,
3. “transfer” means the disclosure to a third party of personal data stored or obtained by means of data processing either
a) through transmission of the data to the third party or
b) through the third party inspecting or retrieving data held ready for inspection or retrieval,
4. “blocking” means labelling stored personal data so as to restrict their further processing or use,
5. “erasure” means the deletion of stored personal data.
(5) “Use” means any utilisation of personal data other than processing.
(6) “Rendering anonymous” means the modification of personal data so that the information concerning personal or material circumstances can no longer or only with a disproportionate amount of time, expense and labour be attributed to an identified or identifiable individual.
(6a) "Aliasing" means replacing a person's name and other identifying characteristics with a label, in order to preclude identification of the data subject or to render such identification substantially difficult.
(7) "Controller" means any person or body collecting, processing or using personal data on his or its own behalf or commissioning others to do the same.
(8) "Recipient" means any person or body receiving data. "Third party" means any person or body other than the controller. This shall not include the data subject or persons and bodies commissioned to collect, process or use personal data in Germany, in another member state of the European Union or in another state party to the Agreement on the European Economic Area.
(9) "Special categories of personal data" means information on a person's racial and ethnic origin, political opinions, religious or philosophical convictions, union membership, health or sex life.
(10) "Mobile personal storage and processing media" means storage media
1. which are issued to the data subject,
2. on which personal data can be processed automatically beyond the storage function by the issuing body or another body and
3. which enable the data subject to influence this processing only by using the medium.
Section 3a Data reduction and data economy
Data processing systems are to be designed and selected in accordance with the aim of collecting, processing or using no personal data or as little personal data as possible. In particular, use is to be made of the possibilities for aliasing and rendering persons anonymous, in so far as this is possible and the effort involved is reasonable in relation to the desired level of protection.
Section 4 Admissibility of data collection, processing and use
(1) The collection, processing and use of personal data shall be admissible only if permitted or prescribed by this Act or any other legal provision or if the data subject has consented.
(2) Personal data shall be collected from the data subject. They may be collected without his participation only if
1. a legal provision prescribes or peremptorily presupposes such collection or
2. a) the nature of the administrative duty to be performed or the business purpose necessitates collection of the data from other persons or bodies or
b) collection of the data from the data subject would necessitate disproportionate effort
and there are no indications that overriding legitimate interests of the data subject are impaired.
(3) If personal data are collected from the data subject, the controller is to inform him as to
1. the identity of the controller,
2. the purposes of collection, processing or use and
3. the categories of recipients only in so far as the circumstances of the individual case provide no grounds for the data subject to assume that data will be transferred to such recipients,
unless the data subject has already acquired such knowledge by other means. If personal data are collected from the data subject pursuant to a legal provision which makes the supply of particulars obligatory or if such supply is the prerequisite for the granting of legal benefits, the data subject shall be informed that such supply is obligatory or voluntary, as the case may be. In so far as the circumstances of the individual case dictate or at his request, he shall be informed of the legal provision and of the consequences of withholding particulars.
Section 4a Consent
(1) Consent shall be effective only when based on the data subject's free decision. He shall be informed of the purpose of collection, processing or use and, in so far as the circumstances of the individual case dictate or at his request, of the consequences of withholding consent. Consent shall be given in writing unless special circumstances warrant any other form. If consent is to be given together with other written declarations, it shall be made distinguishable in its appearance.
(2) In the field of scientific research, a special circumstance pursuant to the third sentence of sub-section 1 above shall also be deemed to exist where the defined purpose of research would be impaired considerably if consent were obtained in writing. In such case the information pursuant to the second sentence of sub-section 1 above and the reasons from which considerable impairment of the defined purpose of research would arise shall be recorded in writing.
(3) In so far as special categories of personal data (Section 3 (9)) are collected, processed or used, the consent must further refer expressly to these data.
Section 4b Transfer of personal data abroad and to supranational or international bodies
(1) The transfer of personal data to bodies
1. in other Member States of the European Union,
2. in other states parties to the Agreement on the European Economic Area or
3. institutions and bodies of the European Communities
shall be subject to Section 15 (1), Section 16 (1) and Sections 28 to 30 in accordance with the laws and agreements applicable to such transfer, in so far as transfer is effected in connection with activities which fall in part or in their entirety within the scope of the law of the European Communities.
(2) Sub-section 1 shall apply mutatis mutandis to the transfer of personal data to bodies in accordance with sub-section 1 when effected outside of activities which fall in part or in their entirety within the scope of the law of the European Communities and to the transfer of such data to other foreign, supranational or international bodies. Transfer shall not be effected in so far as the data subject has a legitimate interest in excluding transfer, in particular if an adequate level of data protection is not guaranteed at the bodies stated in the first sentence of this sub-section. The second sentence shall not apply if transfer is necessary in order to enable a public body of the Federation to perform its duties for compelling reasons of defence or to discharge supranational or international duties in the field of crisis management or conflict prevention or for humanitarian measures.
(3) The adequacy of the afforded level of protection shall be assessed in the light of all circumstances surrounding a data transfer operation or a category of data transfer operations; particular consideration shall be given to the nature of the data, the purpose, the duration of the proposed processing operation, the country of origin, the recipient country and the legal norms, professional rules and securities measures which apply to the recipient.
(4) In the cases referred to in Section 16 (1) No. 2 above, the body transferring the data shall inform the data subject of the transfer of his data. This shall not apply if it can be assumed that he will acquire knowledge of such transfer in another manner or if such information would jeopardise public safety or otherwise be detrimental to the Federation or a Land.
(5) Responsibility for the admissibility of the transfer shall rest with the body transferring the data.
(6) The body to which the data are transferred shall be informed of the purpose for which the data are transferred.
Section 4c Exceptions
(1) In connection with activities which fall in part or in their entirety within the scope of the law of the European Communities, the transfer of personal data to bodies other than those stated in Section 4b (1) above shall be admissible even if such bodies do not guarantee an adequate level of data protection, in so far as
1. the data subject has given his consent,
2. the transfer is necessary for the performance of a contract between the data subject and the controller or the implementation of pre-contractual measures taken in response to the data subject's request,
3. the transfer is necessary for the conclusion or performance of a contract which has been or is to be entered into in the interest of the data subject between the controller and a third party,
4. the transfer is necessary on important public interest grounds, or for the establishment, exercise or defence of legal claims,
5. the transfer is necessary in order to protect the vital interests of the data subject,
6. the transfer is made from a register which is intended to provide information to the public and which is open to consultation either by the public in general or by any person who can demonstrate a legitimate interest, to the extent that the statutory conditions are fulfilled in the particular case.
It shall be pointed out to the recipient body that the transferred data may be processed or used only for the purpose for which they have been transferred.
(2) Without prejudice to the first sentence of Section 1, the competent supervisory authority may authorise individual transfers or certain categories of transfers of personal data to bodies other than those stated in Section 4b (1) above, if the controller adduces adequate safeguards with respect to the protection of privacy and exercise of the corresponding rights; such safeguards may in particular result from contractual clauses or binding corporate regulations. In the case of postal and telecommunications companies, competence lies with the Federal Commissioner for Data Protection and Freedom of Information. In so far as transfer is to be effected by public bodies, the latter shall carry out the examination in accordance with the first sentence of Section 1 above
(3) The Länder shall notify the Federation of the decisions made in accordance with sentence 1 of Section 2 above.
Section 4d Obligatory registration
(1) Prior to putting automated processing procedures into operation, private controllers of the competent supervisory authorities, public controllers of the Federation and postal and telecommunications companies shall register such procedures with the Federal Commissioner for Data Protection and Freedom of Information in accordance with Section 4e.
(2) Obligatory registration shall not apply if the controller has appointed a data protection official.
(3) Obligatory registration shall further not apply if the controller collects, processes or uses personal data for its own purposes, provided that a maximum of nine employees are concerned with the collection, processing or use of personal data and either consent has been obtained from the data subject or the collection, processing or use serves the purposes of a contract or a quasi-contractual fiduciary relationship with the data subject.
(4) Sub-sections 2 and 3 above shall not apply in cases of automated processing in which the controller concerned stores personal data in the course of business
1. for the purpose of transfer or
2. for the purpose of anonymised transfer.
(5) In so far as automated processing operations involve risks for the rights and liberties of the data subject, they are subject to examination prior to the beginning of processing (prior checking). Prior checking is to be carried out in particular when
1. special categories of personal data (Section 3 (9)) are to be processed or
2. the processing of personal data is intended to appraise the data subject's personality, including his abilities, performance or conduct,
unless a statutory obligation applies, the data subject's consent has been obtained or the collection, processing or use serves the purposes of a contract or a quasi-contractual fiduciary relationship with the data subject.
(6) Prior checking is the responsibility of the data protection official. The latter shall carry out prior checking after receiving the list in accordance with the first sentence of Section 4g (2). In cases of doubt, he is to refer to the supervisory authority or, in the case of postal and telecommunications companies, to the Federal Commissioner for Data Protection and Freedom of Information.
Section 4e Contents of the obligatory registration
In so far as automated processing procedures are subject to obligatory registration, the following information is to be furnished:
1. Name or title of the controller,
2. owners, managing boards, managing directors or other lawfully or constitutionally appointed managers and the persons placed in charge of data processing,
3. address of the controller,
4. purposes of collecting, processing or using data,
5. a description of the groups of data subjects and the appurtenant data or categories of data,
6. recipients or categories of recipients to whom the data may be transferred,
7. standard periods for the erasure of data,
8. any planned data transfer in third states,
9. a general description enabling preliminary assessment as to whether the measures in accordance with Section 9 to guarantee the safety of processing are adequate.
Section 4d (1) and (4) shall apply mutatis mutandis to the amendment of information furnished in accordance with sentence 1 above and to the time of commencement and termination of the activity subject to obligatory registration.
Section 4f Data protection official
(1) Public and private bodies which process personal data automatically shall appoint in writing a data protection official. Private bodies are obliged to appoint such an officer within one month of commencing their activities. The same shall apply where personal data are processed by other means and at least 20 persons are permanently employed for this purpose. The first and second sentences above shall not apply to private bodies which generally deploy a maximum of nine employees to carry out the automatic processing of personal data on an ongoing basis. In so far as the structure of a public body requires, the appointment of one data protection official for several areas shall be sufficient. In so far as private bodies carry out automated processing operations which are subject to prior checking or process personal data in the course of business for the purposes of transfer or anonymised transfer, they are to appoint a data protection official irrespective of the number of persons deployed to carry out automatic processing.
(2) Only persons who possess the specialised knowledge and demonstrate the reliability necessary for the performance of the duties concerned may be appointed data protection official. The required level of specialised knowledge is determined in particular according to the scope of data processing carried out by the controller concerned and the protection requirements of the personal data collected or used by the controller concerned. A person from outside the body concerned may also be appointed data protection official; monitoring shall also extend to personal data which are subject to professional or official secrecy, in particular tax secrecy pursuant to Section 30 of the Fiscal Code.
(3) The data protection official shall be directly subordinate to the head of the public or private body. He shall be free to use his specialised knowledge in the area of data protection. He shall suffer no disadvantage through the performance of his duties. The appointment of a data protection official may be revoked by applying Section 626 of the Civil Code mutatis mutandis or, in the case of private bodies, at the request of the supervisory authority.
(4) The data protection official shall be bound to maintain secrecy on the identity of the data subject and on circumstances permitting conclusions to be drawn about the data subject, unless he is released from this obligation by the data subject.
(4a) In so far as the data protection official obtains knowledge of data in the course of his or her activities in connection with which a right of refusal to give evidence applies on professional grounds to the head of the public or private body or a person employed at such a body, this right shall also apply to the data protection official and his assistants. The person to whom the right of refusal to give evidence applies on professional grounds shall decide on the exercising of this right, except where it will not be possible to effect such a decision in the foreseeable future. To the extent to which the data protection official’s right of refusal to give evidence applies, the data protection official’s files and other documentation shall be subject to a prohibition of seizure.
(5) The public and private bodies shall support the data protection official in the performance of his duties and in particular, to the extent needed for such performance, make available assistants as well as premises, furnishings, equipment and other resources. Data subjects may approach the data protection official at any time.
Section 4g Duties of the data protection official
(1) The data protection official shall work towards ensuring compliance with this Act and other data protection provisions. For this purpose, the data protection official may consult the competent authority responsible for data protection control with regard to the controller concerned. In particular, he shall
1. monitor the proper use of data processing programs with the aid of which personal data are to be processed; for this purpose he shall be informed in good time of projects for automatic processing of personal data,
2. take suitable steps to familiarise the persons employed in the processing of personal data with the provisions of this Act and other provisions concerning data protection, and with the various special requirements of data protection.
He may avail himself of the advisory services pursuant to Section 38 (1), sentence 2.
(2) The controller shall provide the data protection official with an overview of the information stipulated in the first sentence of Section 4e and a list of persons entitled to access. The data protection official shall, on request, make the information pursuant to Nos. 1 to 8 of the first sentence of Section 4e available to anyone in an appropriate manner.
(2a) Where no obligation to appoint a data protection official applies at a private body, the head of the private body is to ensure due discharge of the duties pursuant to sub-sections 1 and 2.
(3) Sentence 2 of Section 2 shall not apply to the authorities stated in sentence 4 of Section 6 (2). Sentence 2 of Section 1 shall apply on condition that the authority's data protection official contacts the head of the authority; any disagreements between the authority's data protection official and the head of the authority shall be settled by the supreme federal authority.
Section 5 Confidentiality
Persons employed in data processing shall not collect, process or use personal data without authorisation (confidentiality). On taking up their duties such persons, in so far as they work for private bodies, shall be required to give an undertaking to maintain such confidentiality. This undertaking shall continue to be valid after termination of their activity.
Section 6 Inalienable rights of the data subject
(1) The data subject’s right of access (Sections 19, 34) and to correction, erasure or blocking (Sections 20, 35) may not be excluded or restricted by a legal transaction.
(2) If the data of the data subject are stored by means of automated procedures such that several bodies are entitled to store and if the data subject is unable to ascertain which body has stored the data, he may approach any of these bodies. Such body is obliged to forward the request of the data subject to the body which has stored the data. The data subject shall be informed of the forwarding of the request and of the identity of the body concerned. The bodies listed in Section 19 (3) of this Act, public prosecution and police authorities as well as public finance authorities may, in so far as they store personal data in performing their legal duties within the area of application of the Fiscal Code for monitoring and control purposes, inform the Federal Commissioner for Data Protection and Freedom of Information instead of the data subject. In such case the further procedure shall be as described in Section 19 (6) of this Act.
Section 6a Automated individual decision
(1) Decisions which have legal consequences for or substantially impair the interests of the data subject must not be based exclusively on the automated processing of personal data which serve to evaluate individual personal characteristics.
(2) This shall not apply if
1. the decision is made in connection with the conclusion or fulfilment of a contract or any other legal relationship and the data subject's request has been met or
2. protection of the data subject's justified interests is ensured via appropriate measures and the controller notifies the data subject of the existence of a decision pursuant to sub-section 1. In particular, the possibility for the data subject to assert his standpoint shall constitute an appropriate measure. The controller shall be obliged to review its decision.
(3) The data subject's right of access in accordance with Sections 19 and 34 shall also extend to the logic pattern of the data concerning his person.
Section 6b Monitoring of publicly accessible areas with optic-electronic devices
(1) Monitoring publicly accessible areas with optic-electronic devices (video surveillance) is allowable only in so far as it is necessary
1. to fulfil public tasks,
2. to exercise the right to determine who shall be allowed or denied access or
3. to pursue rightful interests for precisely defined purposes
and if there are no indications that the data subjects' legitimate interests prevail.
(2) The fact that the area is being monitored and the controller's identity shall be made discernible by appropriate means.
(3) Data that have been collected under sub-section 1 above may be processed or used if this is necessary for the pursued purpose and if there are no indications that the data subjects' legitimate interests prevail. They may only be processed or used for another purpose if this is necessary to avert dangers to state security or public safety or to prosecute crimes.
(4) Where data collected through video-surveillance are attributed to an identified person, this person shall be informed about such processing or use in conformity with Sections 19a and 33.
(5) The data shall be deleted without delay, if they are no longer needed for the pursued purpose or if the data subject's legitimate interests stand in the way of any further storage.
Section 6c Mobile storage and processing media for personal data
(1) A body which issues a mobile storage and processing medium for personal data or which applies a procedure for the automated processing of personal data which runs in part or in its entirety on such a medium to the medium or modifies or makes such data available must inform the data subject
1. of its identity and address,
2. of the medium's mode of functioning in generally comprehensible terms, including the type of personal data to be processed,
3. how he can exercise his rights in accordance with Sections 19, 20, 34 and 35, and
4. of the measures to be undertaken in the event of loss or destruction of the medium,
in so far as the data subject has not already acquired such knowledge.
(2) The body which is subject to the obligations stipulated in sub-section 1 shall ensure that devices or facilities which are necessary in order to enable the data subject to assert his right of access are available in adequate numbers for use free of charge.
(3) Communications procedures which initiate data processing on the medium must be clearly apparent to the data subject.
Section 7 Compensation
Where a controller causes harm to the data subject through the collection, processing or use of his personal data that is inadmissible or incorrect under the provisions of this Act or other data protection provisions, such controller or its supporting organisation shall be obliged to compensate the data subject for the harm thus caused. This obligation to provide compensation shall not apply if the controller has exercised due care in accordance with the circumstances of the case concerned.
Section 8 Compensation in case of automated data processing by public bodies
(1) Where a public body causes harm to the data subject through the automated collection, processing or use of his personal data that is inadmissible or incorrect under the provisions of this Act or other data protection provisions, such body's supporting organisation shall be obliged to compensate the data subject for the harm thus caused, irrespective of any fault.
(2) In grave cases of violation of privacy, the data subject shall receive adequate pecuniary compensation for the immaterial harm caused.
(3) The claims under sub-sections 1 and 2 above shall be limited to a total amount of € 130,000. Where, due to the same occurrence, compensation has to be paid to several persons and exceeds the maximum amount of € 130,000, the compensation paid to each of them shall be reduced in proportion to the maximum amount.
(4) If, in the case of automated processing, several bodies are entitled to store the data and the injured person is unable to ascertain the controller of the filing system, each body shall be liable.
(5) Section 254 of the Civil Code shall apply to contributory negligence on the part of the data subject.
(6) The limitation provisions stipulated for tortious acts in the Civil Code shall apply mutatis mutandis with regard to statutory limitation.
Section 9 Technical and organisational measures
Public and private bodies processing personal data either on their own behalf or on behalf of others shall take the technical and organisational measures necessary to ensure the implementation of the provisions of this Act, in particular the requirements set out in the annex to this Act. Measures shall be required only if the effort involved is reasonable in relation to the desired level of protection.
Section 9a Data protection audit
In order to improve data protection and data security, suppliers of data processing systems and programmes and bodies conducting data processing can have their data protection concepts and their technical facilities examined and evaluated by independent and approved appraisers, and can publish the result of the audit. The detailed requirements pertaining to examination and evaluation, the procedure and selection and approval of the appraisers are stipulated in a separate act.
Section 10 Establishment of automated retrieval procedures
(1) An automated procedure for the retrieval of personal data may be established in so far as such procedure is appropriate, having due regard to the legitimate interests of the data subjects and to the duties or business purposes of the bodies involved. The provisions on the admissibility of retrieval in a particular case shall remain unaffected.
(2) The bodies involved shall ensure that the admissibility of the retrieval procedure can be monitored. For such purpose they shall specify in writing:
1. the reason for and purpose of the retrieval procedure,
2. third parties to whom transfer is effected,
3. the type of data to be transferred,
4. the technical and organisational measures required under Section 9 of this Act.
In the public sector the supervisory authorities may lay down such specifications.
(3) In cases where the bodies mentioned in Section 12 (1) of this Act are involved, the Federal Commissioner for Data Protection and Freedom of Information shall be notified of the establishment of retrieval procedures and of the specifications made under sub-section 2 above. The establishment of retrieval procedures in which the bodies mentioned in Sections 6 (2) and 19 (3) of this Act are involved shall be admissible only if the federal or Land ministries responsible for the controller of the filing system and for the retrieving body or their representatives have given their consent.
(4) Responsibility for the admissibility of retrieval in a particular case shall rest with the third party to whom transfer is effected. The controller of the filing system shall examine the admissibility of retrieval only if there is cause for such examination. The controller of the filing system shall ensure that the transfer of personal data can be ascertained and checked at least by means of suitable sampling procedures. If all personal data are retrieved or transferred (batch processing), it shall be sufficient to ensure that the admissibility of the retrieval or transfer of all data can be ascertained and checked.
(5) Sub-sections 1 to 4 above shall not apply to the retrieval of generally accessible data. Generally accessible data are data which anyone can use, be it with or without prior registration, permission or the payment of a fee.
Section 11 Commissioned collection, processing or use of personal data
(1) Where other bodies are commissioned to collect, process or use personal data, responsibility for compliance with the provisions of this Act and with other data protection provisions shall rest with the principal. The rights referred to in Sections 6, 7 and 8 of this Act shall be asserted vis-à-vis the principal.
(2) The agent shall be carefully selected, with particular regard for the suitability of the technical and organisational measures taken by him. The commission shall be given in writing, specifying the collection, processing and use of the data, the technical and organisational measures and any subcommissions. In the case of public bodies, the commission may be given by the supervisory authority. The principal shall verify compliance with the technical and organisational measures undertaken by the agent.
(3) The agent may collect, process or use the data only as instructed by the principal. If he thinks that an instruction of the principal infringes this Act or other data protection provisions, he shall point this out to the principal without delay.
(4) For the agent the only applicable provisions other than those of Sections 5, 9, 43 (1), Nos. 2, 10 and 11, (2) Nos. 1 to 3 and (3) and Section 44 of this Act shall be the provisions on data protection control or supervision, namely for
1. a) public bodies,
b) private bodies where the public sector possesses the majority of shares or votes and where the principal is a public body,
Sections 18, 24 to 26 of this Act or the relevant data protection laws of the Länder,
2. other private bodies in so far as they are commissioned to collect, process or use personal data in the course of business as service enterprises, Sections 4 f, 4 g and 38 of this Act.
(5) Sub-sections 1 to 4 shall apply mutatis mutandis if other bodies are commissioned to carry out the inspection or maintenance of automated procedures or data processing systems, in the course of which the possibility of personal data being accessed cannot be excluded.
Part II Data processing by public bodies
Chapter I Legal basis for data processing
Section 12 Scope
(1) The provisions of this Part shall apply to public bodies of the Federation in so far as they do not participate in competition as public-law enterprises.
(2) Where data protection is not governed by Land legislation, Sections 12 to 16, 19 and 20 of this Act shall also apply to public bodies of the Länder in so far as they
1. execute federal law and do not participate in competition as public-law enterprises or
2. act as bodies of the judicature and are not dealing with administrative matters.
(3) Section 23 (4) of this Act shall apply mutatis mutandis to Land commissioners for data protection.
(4) If personal data are collected, processed or used for the purpose of past, present or future service or employment contracts, Section 28 (1) and (3), No. 1, as well as Sections 33 to 35 of this Act shall apply instead of Sections 13 to 16, 19 to 20, also in so far as personal data are neither processed by automated procedures nor processed or used in automated filing systems or collected for such filing systems.
Section 13 Collection of data
(1) The collection of personal data shall be admissible if knowledge of them is needed to perform the duties of the bodies collecting them.
(1a) Where personal data are collected from a private body and not from the data subject, such body shall be informed of the legal provision requiring the supply of particulars or that such supply is voluntary, as the case may be.
(2) The collection of special types of personal data (Section 3 (9)) is permissible only in so far as
1. such collection is stipulated in a legal provision or essential on account of an important public interest,
2. the data subject has consented pursuant to Section 4a (3) of this Act,
3. such collection is necessary in order to protect vital interests of the data subject or of a third party, in so far as the data subject is unable to give his consent for physical or legal reasons,
4. such collection concerns data which the data subject has evidently made public,
5. such collection is necessary in order to avert a substantial threat to public safety,
6. such collection is necessary in order to avert substantial detriment to the common weal or to protect substantial interests of the common weal,
7. such collection is necessary for the purposes of preventive medicine, medical diagnosis, health care or the administration of health services and the processing of these data is carried out by medical personnel or other persons who are subject to an obligation to maintain secrecy,
8. dies zur Durchführung wissenschaftlicher Forschung erforderlich ist, das wissenschaftliche Interesse an der Durchführung des Forschungsvorhabens das Interesse des Betroffenen an dem Ausschluss der Erhebung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann oder
8. such collection is necessary for the purposes of scientific research, where the scientific interest in carrying out the research project substantially outweighs the data subject's interest in excluding collection and the purpose of the research cannot be achieved in any other way or would otherwise necessitate disproportionate effort, or
9. such collection is necessary in order to enable a public body of the Federation to perform its duties for compelling reasons of defence or to discharge supranational or international duties in the field of crisis management or conflict prevention or for humanitarian measures.
Section 14 Storage, modification and use of data
(1) The storage, modification or use of personal data shall be admissible where it is necessary for the performance of the duties of the controller of the filing system and if it serves the purposes for which the data were collected. If there has been no preceding collection, the data may be modified or used only for the purposes for which they were stored.
(2) Storage, modification or use for other purposes shall be admissible only if
1. a legal provision prescribes or peremptorily presupposes this,
2. the data subject has consented,
3. it is evident that this is in the interest of the data subject and there is no reason to assume that he would withhold consent if he knew of such other purpose,
4. particulars supplied by the data subject have to be checked because there are actual indications that they are incorrect,
5. the data are generally accessible or the controller would be permitted to publish them, unless the data subject clearly has an overriding legitimate interest in excluding the change of purpose,
6. this is necessary in order to avert substantial detriment to the common weal or a threat to public order, or to protect substantial interests of the common weal,
7. this is necessary to prosecute criminal or administrative offences, to implement sentences or measures as defined in Section 11 (1), No. 8 of the Penal Code or reformatory or disciplinary measures as defined in the Youth Courts Act, or to execute decisions imposing administrative fines,
8. this is necessary to avert a grave infringement of another person’s rights or
9. this is necessary in order to conduct scientific research, scientific interest in conduct of the research project substantially outweighs the interest of the data subject in excluding the change of purpose, and the research purpose cannot be attained by other means or can be attained thus only with disproportionate effort.
(3) Processing or use for other purposes shall not be deemed to occur if this serves the exercise of powers of supervision or control, the execution of auditing or the conduct of organisational studies for the controller of the filing system. This shall also apply to processing or use for training and examination purposes by the controller, unless the data subject has overriding legitimate interests.
(4) Personal data stored exclusively for the purpose of monitoring data protection, safeguarding data or ensuring proper operation of a data processing system may be used exclusively for such purposes.
(5) The storage, modification or use of special types of personal data (Section 3 (9)) for other purposes shall be permissible only if
1. the requirements which would permit collection in accordance with Section 13 (2), Nos. 1 to 6 or No. 9 are met or
2. this is necessary for the conduct of scientific research, scientific interest in conduct of the research project substantially outweighs the interest of the data subject in excluding the change of purpose, and the research purpose cannot be attained by other means or can be attained thus only with disproportionate effort.
In weighing up the circumstances in accordance with sentence 1, No. 2, the scientific interest in the research project is to receive special consideration in the context of the public interest.
(6) The storage, modification or use of special types of personal data (Section 3 (9)) for the purposes stated in Section 13 (2), No. 7 shall be subject to the obligations to maintain secrecy which apply to the persons stated in Section 13 (2), No. 7.
Section 15 Transfer of data to public bodies
(1) The transfer of personal data to public bodies shall be admissible if
1. this is necessary for the performance of duties of the transferring body or the third party to whom the data are transferred and
2. the requirements of Section 14 of this Act are met.
(2) Responsibility for the admissibility of transfer shall rest with the transferring body. If the data are transferred at the request of the third party to whom the data are transferred, the latter shall bear responsibility. In such case the transferring body shall merely examine whether the request for transfer lies within the remit of the third party to whom the data are transferred, unless there is special reason to examine the admissibility of transfer. Section 10 (4) of this Act shall remain unaffected.
(3) The third party to whom the data are transferred may process or use the transferred data for the purpose for which they were transferred. Processing or use for other purposes shall be admissible only if the requirements of Section 14 (2) of this Act are met.
(4) Sub-sections 1 to 3 above shall apply mutatis mutandis to the transfer of personal data to bodies of public-law religious societies, provided it is ensured that the latter take adequate data protection measures.
(5) Where personal data that may be transferred under sub-section 1 above are linked to other personal data of the data subject or a third party in such a way that separation is not possible or is possible only with unreasonable effort, transfer of the latter data shall also be admissible, unless the data subject or a third party clearly has an overriding justified interest in keeping them secret; use of these data shall be inadmissible.
(6) Sub-section 5 above shall apply mutatis mutandis if personal data are transmitted within a public body.
Section 16 Transfer of data to private bodies
(1) The transfer of personal data to private bodies shall be admissible if
1. this is necessary for the performance of the duties of the transferring body and the requirements of Section 14 of this Act are met or
2. the third party to whom the data are transferred credibly proves a justified interest in knowledge of the data to be transferred and the data subject does not have a legitimate interest in excluding their transfer. By way of derogation from sentence 1, No. 2, the transfer of special types of personal data (Section 3 (9)) is permissible only if the requirements which would permit use in accordance with Section 14 (5) and (9) are met, or in so far as this is necessary in order to assert, exercise or defend legal claims.
(2) Responsibility for the admissibility of transfer shall rest with the transferring body.
(3) In cases of transfer under sub-section 1, No. 2 above, the transferring body shall inform the data subject of the transfer of his data. This shall not apply if it can be assumed that he will acquire knowledge of such transfer in another manner or if such information would jeopardise public safety or otherwise be detrimental to the Federation or a Land.
(4) The third party to whom the data are transferred may process or use the transferred data only for the purpose for which they were transferred to him. The transferring body shall point this out to him. Processing or use for other purposes shall be admissible if transfer under sub-section 1 above would be admissible and the transferring body has consented.
Section 17 deleted
Section 18 Implementation of data protection in the federal administration
(1) The supreme federal authorities, the President of the Federal Railway Property as well as the federal corporations, establishments and foundations under public law subject to only legal supervision by the Federal Government or a supreme federal authority shall ensure that this Act and other legal provisions concerning data protection are implemented in their respective spheres of activity. The same shall apply to the managing boards of the successor companies created from the Special Fund Deutsche Bundespost by act of law as long as they have an exclusive right under the Postal Law.
(2) Public bodies shall keep a register of the data processing systems used. In respect of their automated processing operations, they shall record the information in accordance with Section 4e and the legal basis for processing in writing. This requirement can be waived in the case of automated processing operations for administrative purposes which involve no restrictions of the data subject's right of access in accordance with Section 19 (3) or (4). The specifications may be combined for automated processing operations which are conducted several times in the same manner or a similar manner.
Chapter II Rights of the data subject
Section 19 Provision of information to the data subject
(1) The data subject shall, at his request, be provided with information on
1. stored data concerning him, including any reference in them to their origin,
2. the recipients or categories of recipients to whom the data are transmitted, and
3. the purpose of storage.
The request should specify the type of personal data on which information is to be provided. If the personal data are stored neither by automated procedures nor in non-automated filing systems, information shall be provided only in so far as the data subject supplies particulars making it possible to locate the data and the effort needed to provide the information is not out of proportion to the interest in such information expressed by the data subject. The controller shall exercise due discretion in determining the procedure for providing such information and, in particular, the form in which it is provided.
(2) Sub-section 1 above shall not apply to personal data which are stored merely because they may not be erased due to legal, statutory or contractual provisions on their preservation or exclusively serve purposes of data security or data protection control and the provision of information would require disproportionate effort.
(3) If the provision of information relates to the transfer of personal data to authorities for the protection of the constitution, to the Federal Intelligence Service, the Federal Armed Forces Counterintelligence Office and, where the security of the Federation is concerned, other authorities of the Federal Ministry of Defence, it shall be admissible only with the consent of such bodies.
(4) Information shall not be provided if
1. this would be prejudicial to the proper performance of the duties of the controller,
2. this would impair public safety or order or otherwise be detrimental to the Federation or a Land or
3. the data or the fact that they are being stored must be kept secret in accordance with a legal provision or by virtue of their nature, in particular on account of an overriding justified interest of a third party
and for this reason the interest of the data subject in the provision of information must be subordinated.
(5) Reasons need not be stated for the refusal to provide information if the statement of the actual and legal reasons on which the decision is based would jeopardise the purpose pursued by refusing to provide information. In such case it shall be pointed out to the data subject that he may appeal to the Federal Commissioner for Data Protection and Freedom of Information.
(6) If no information is provided to the data subject, it shall at his request be supplied to the Federal Commissioner for Data Protection and Freedom of Information unless the relevant supreme federal authority determines in a particular case that this would jeopardise the security of the Federation or a Land. The transfer from the Federal Commissioner to the data subject must not allow any conclusions to be drawn as to the knowledge at the disposal of the controller, unless the latter consents to more extensive information being provided.
(7) Information shall be provided free of charge.
Section 19a Notification
(1) If data are collected without the data subject's knowledge, he is to be informed of storage, of the controller's identity and of the purposes of collection, processing or use. The data subject is also to be notified of the recipients or categories of recipients of data, except where he must expect transfer to such recipients. When transfer is envisaged, notification is to be provided at the time of the first transfer at the latest.
(2) Notification shall not be required if
1. the data subject has received knowledge by other means of the storage or transfer of the data,
2. notification of the data subject would require disproportionate effort or
3. the law expressly provides for storage or transfer of the personal data.
The controller shall stipulate in writing under what conditions notification shall not be provided in accordance with Nos. 2 or 3 above.
(3) Section 19 (2) to (4) shall apply mutatis mutandis.
Section 20 Correction, erasure and blocking of data; right of objection
(1) Incorrect personal data shall be corrected. If it is established that personal data which have neither been processed by automated procedures nor stored in automated filing systems are incorrect, or if their correctness is contested by the data subject, this is to be recorded in an appropriate manner.
(2) Personal data which are processed by automated procedures or stored in non-automated filing systems are to be erased if
1. their storage is inadmissible or
2. knowledge of them is no longer required by the controller of the filing system for the performance of his duties.
(3) Instead of erasure, personal data shall be blocked in so far as
1. preservation periods prescribed by law, statutes or contracts rule out any erasure,
2. there is reason to assume that erasure would impair legitimate interests of the data subject or
3. erasure is not possible or is only possible with disproportionate effort due to the specific type of storage.
(4) Personal data which are processed by automated procedures or stored in non-automated filing systems shall also be blocked if the data subject disputes that they are correct and it cannot be ascertained whether they are correct or incorrect.
(5) Personal data must not be collected, processed or used for automated processing or processing in non-automated filing systems if the data subject files an objection with the controller and an examination reveals that the data subject's legitimate interest outweighs the controller's interest in such collection, processing or use, on account of the data subject's personal situation. Sentence 1 shall apply only when an obligation to carry out collection, processing or use is established by a legal provision.
(6) Personal data which are neither processed by automatic procedures nor stored in a non-automated filing system are to be blocked if, in the individual case concerned, the authority establishes that legitimate interests of the data subject would be impaired without such blockage and the data are no longer required in order for the authority to be able to discharge its duties.
(7) Blocked data may be transferred or used without the consent of the data subject only if
1. this is indispensable for scientific purposes, for use as evidence or for other reasons in the overriding interests of the controller of the data or a third party and
2. transfer or use of the data for this purpose would be admissible if they were not blocked.
(8) The correction of incorrect data, the blocking of disputed data and the erasure or blocking of data due to inadmissible storage shall be notified to the bodies to which these data are transmitted for storage within the framework of regular data transfer, provided that this does not require disproportionate effort and does not conflict with any legitimate interests of the data subject.
(9) Section 2 (1) to (6), (8) and (9) of the Federal Archives Act shall apply.
Section 21 Appeals to the Federal Commissioner for Data Protection and Freedom of Information
Anyone may appeal to the Federal Commissioner for Data Protection and Freedom of Information if he believes that his rights have been infringed through the collection, processing or use of his personal data by public bodies of the Federation. This shall apply to the collection, processing or use of personal data by courts of the Federation only in so far as they deal with administrative matters.
Chapter III Federal Commissioner for Data Protection and Freedom of Information
Section 22 Election of the Federal Commissioner for Data Protection and Freedom of Information
(1) On a proposal from the Federal Government the Bundestag shall elect the Federal Commissioner for Data Protection and Freedom of Information with over half of the statutory number of its members. The Federal Commissioner must be at least 35 years old at the time of his election. The person elected shall be appointed by the Federal President.
(2) The Federal Commissioner shall swear the following oath in the presence of the Federal Minister of the Interior:
"I swear to do everything in my power to further the well-being of the German people, to protect it from harm and to defend the Basic Law and the laws of the Federation, to perform my duties conscientiously and to exercise justice in all my dealings, so help me God."
The reference to God may be omitted from the oath.
(3) The term of office of the Federal Commissioner shall be five years. It may be renewed once.
(4) The Federal Commissioner shall, as directed by this Act, have public-law official status with respect to the Federation. He shall be independent in the performance of his duties and subject to the law only. He shall be subject to the legal supervision of the Federal Government.
(5) The Federal Commissioner shall be established with the Federal Minister of the Interior. He shall be subject to the hierarchical supervision of the Federal Minister of the Interior. The Federal Commissioner shall be provided with the personnel and material resources necessary for the performance of his duties; these resources shall be shown in a separate chapter of the budget of the Federal Minister of the Interior. The posts shall be filled in agreement with the Federal Commissioner. If they do not agree to the envisaged measure, staff members may be transferred, delegated or relocated only in agreement with the Federal Commissioner.
(6) If the Federal Commissioner is temporarily prevented from performing his duties, the Federal Minister of the Interior may appoint a substitute to perform such duties. The Federal Commissioner shall be consulted on such appointment.
Section 23 Legal status of the Federal Commissioner for Data Protection and Freedom of Information
(1) The mandate of the Federal Commissioner for Data Protection and Freedom of Information shall commence on delivery of the certificate of appointment. It shall end
1. on expiry of his term of office,
2. on his dismissal.
The Federal President shall dismiss the Federal Commissioner at the latter’s request or on a proposal by the Federal Government when there are grounds which, in the case of an established judge, justify dismissal from service. In the event of termination of office, the Federal Commissioner shall receive a document signed by the Federal President. Dismissal shall be effective on delivery of this document. If the Federal Minister of the Interior so requests, the Federal Commissioner shall be obliged to continue his work until a successor has been appointed.
(2) The Federal Commissioner shall not hold any other paid office or pursue any gainful activity or occupation in addition to his official duties and shall not belong to the management, supervisory board or board of directors of a profit-making enterprise nor to a government or a legislative body of the Federation or a Land. He may not deliver extra-judicial opinions in exchange for payment.
(3) The Federal Commissioner shall inform the Federal Ministry of the Interior of any gifts that he receives in the performance of his duties. The Federal Ministry of the Interior shall decide how such gifts shall be used.
(4) The Federal Commissioner shall be entitled to refuse to give testimony as a witness on persons who have entrusted information to him in his capacity as Federal Commissioner and on such information itself. This shall also apply to the staff of the Federal Commissioner, on condition that the Federal Commissioner decides on the exercise of this right. Within the scope of the Federal Commissioner’s right to refuse to give testimony as a witness, he may not be required to submit or surrender files or other documents.
(5) The Federal Commissioner shall be obliged, even after termination of his service, to maintain secrecy concerning information of which he has knowledge by reason of his duties. This shall not apply to communications made in the normal course of duties or concerning facts which are common knowledge or are not sufficiently important to warrant confidential treatment. The Federal Commissioner may not, even after leaving the service, make any pronouncements or statements either in or out of court concerning such matters without the consent of the Federal Ministry of the Interior. This provision shall not, however, affect his duty by law to report criminal offences and to take action to uphold the free democratic fundamental order whenever it is jeopardised. Sections 93, 97, 105 (1), Section 111 (5) in conjunction with Section 105 (1) and Section 116 (1) of the Fiscal Code shall not apply to the Federal Commissioner for Data Protection and his staff in so far as the fiscal authorities require such knowledge in order to conduct legal proceedings due to a tax offence and a related tax procedure, the prosecution of which is necessary on account of a compelling public interest, or in so far as the person obliged to provide information or persons acting on his behalf have intentionally provided false information. If the Federal Commissioner establishes a violation of data protection provisions, he shall be authorised to file charges and to inform the data subject accordingly.
(6) Consent to give testimony as a witness shall be refused only when such testimony would be to the detriment of the Federation or a Land or seriously jeopardise or impede the performance of public duties. Consent to deliver an opinion may be refused where it would be against the interest of the service. Section 28 of the Act on the Federal Constitutional Court shall remain unaffected.
(7) From the beginning of the calendar month in which he commences his duties until the end of the calendar month in which he terminates his duties or, in the event of the sixth sentence of sub-section 1 above being applied, until the end of the month in which his activities cease, the Federal Commissioner shall receive the remuneration of a grade B 9 federal official. The Federal Act on Travel Expenses and the Federal Act on Removal Expenses shall apply mutatis mutandis. In all other respects, Sections 13 to 20 and 21a (5) of the Act on Federal Ministers shall apply, except that the period of office of two years provided in Section 15 (1) of the Act on Federal Ministers shall be replaced by a period of office of five years and pay grade B 11 as stipulated in Section 21a (5) of the Act on Federal Ministers shall be replaced by pay grade B 9. Notwithstanding the third sentence above in conjunction with Sections 15 to 17 and 21a (5) of the Act on Federal Ministers, the pension of the Federal Commissioner shall be calculated, taking account of the pensionable period of service, on the basis of the Civil Servants Pensions Act if this is more favourable and if, immediately before his election, the Federal Commissioner held as a civil servant or judge at least the last position customarily required before reaching the B 9 pay grade.
(8) Sentences 5 to 7 of Section 5 shall apply mutatis mutandis to the public bodies which are responsible for monitoring compliance with the provisions on data protection in the individual Länder.
Section 24 Monitoring by the Federal Commissioner for Data Protection and Freedom of Information
(1) The Federal Commissioner for Data Protection and Freedom of Information shall monitor compliance with the provisions of this Act and other data protection provisions by public bodies of the Federation.
(2) Monitoring by the Federal Commissioner shall also extend to
1. personal data obtained by public bodies of the Federation on the contents of and the specific circumstances relating to correspondence, postal communications and telecommunications and
2. personal data subject to professional or special official secrecy, especially tax secrecy under Section 30 of the Tax Code.
The fundamental right to privacy of correspondence, posts and telecommunications as enshrined in Article 10 of the Basic Law is in so far curtailed. Personal data subject to monitoring by the commission set up under Section 15 of the Act on Article 10 shall not be subject to monitoring by the Federal Commissioner unless the commission requests the Federal Commissioner to monitor compliance with data protection provisions in connection with specific procedures or in specific areas and to report thereon exclusively to it. Personal data in files on the security check shall not be subject to monitoring by the Federal Commissioner if the data subject files a complaint with the Federal Commissioner objecting to monitoring of the data relating to his person in the individual case concerned.
(3) The activities of judges at federal courts which directly serve the purposes of adjudication shall be exempted from monitoring.
(4) Public bodies of the Federation shall be obliged to support the Federal Commissioner and his assistants in the performance of their duties. In particular they shall be granted
1. information in reply to their questions as well as the opportunity to inspect all documents, especially stored data and data processing programs, connected with the monitoring referred to in sub-section 1 above,
2. access to all official premises at any time.
The authorities referred to in Sections 6 (2) and 19 (3) of this Act shall afford support exclusively to the Federal Commissioner himself and the assistants appointed by him in writing. The second sentence above shall not apply to such authorities where the supreme federal authority establishes in a particular case that such information or inspection would jeopardise the security of the Federation or a Land.
(5) The Federal Commissioner shall inform the public body of the results of his monitoring. He may combine them with proposals for improving data protection, especially for rectifying irregularities discovered in the processing or use of personal data. Section 25 of this Act shall remain unaffected.
(6) Sub-section 2 above shall apply mutatis mutandis to public bodies responsible for monitoring compliance with data protection provisions in the Länder.
Section 25 Complaints lodged by the Federal Commissioner for Data Protection and Freedom of Information
(1) Should the Federal Commissioner for Data Protection and Freedom of Information discover infringements of this Act or of other data protection provisions or other irregularities in the processing or use of personal data, he shall lodge a complaint
1. in the case of the federal administration, with the competent supreme federal authority,
2. in the case of the Federal Railway Property, with the President,
3. in the case of the successor companies created from the Special Fund Deutsche Bundespost by act of law, as long as they have an exclusive right under the Postal Law, with their managing boards,
4. in the case of federal corporations, establishments and foundations under public law as well as associations of such corporations, establishments and foundations, with the managing board or the relevant representative body
and shall request a statement by a date which he shall determine. In the cases referred to in No. 4 of the first sentence above, the Federal Commissioner shall at the same time inform the competent supervisory authority.
(2) The Federal Commissioner may dispense with a complaint or with a statement from the body concerned especially if the irregularities involved are insignificant or have meanwhile been rectified.
(3) The statement to be delivered should also describe the measures taken as a result of the Federal Commissioner’s complaint. The bodies referred in No. 4 of the first sentence of sub-section 1 above shall submit to the competent supervisory authority a copy of the statement communicated to the Federal Commissioner.
Section 26 Further duties of the Federal Commissioner for Data Protection and Freedom of Information
(1) The Federal Commissioner for Data Protection and Freedom of Information shall submit an activity report to the Bundestag every two years. Such report should inform the Bundestag and the public on key developments in the field of data protection.
(2) When so requested by the Bundestag or the Federal Government, the Federal Commissioner shall draw up opinions and reports. When so requested by the Bundestag, the Petitions Committee, the Internal Affairs Committee or the Federal Government, the Federal Commissioner shall also investigate data protection matters and occurrences at public bodies of the Federation. The Federal Commissioner may at any time consult the Bundestag.
(3) The Federal Commissioner may make recommendations on the improvement of data protection to the Federal Government and to the bodies of the Federation referred to in Section 12 (1) of this Act and may advise them in matters regarding data protection. The bodies referred to in Nos. 1 to 4 of Section 25 (1) of this Act shall be informed by the Federal Commissioner when the recommendation or advice does not concern them directly.
(4) The Federal Commissioner shall seek cooperation with public bodies responsible for monitoring compliance with data protection provisions in the Länder and with supervisory authorities under Section 38 of this Act. Sentences 3 and 4 of Section 38 (1) shall apply mutatis mutandis.
Part III Data processing by private bodies and public-law enterprises participating in competition
Chapter I Legal basis for data processing
Section 27 Scope
(1) The provisions of this Part shall apply in so far as personal data are processed or used by means of data processing systems or collected for such purposes, or in so far as data are processed or used in or from automated filing systems or collected for such purposes by
1. private bodies,
2. a) public bodies of the Federation in so far as they participate in competition as public-law enterprises,
b) public bodies of the Länder in so far as they participate in competition as public-law enterprises, execute federal law and data protection is not governed by Land legislation.
This shall not apply where the collection, processing or use of such data is effected solely for personal or family activities. In the cases referred to in No. 2 a) above, Sections 18, 21 and 24 to 26 shall apply instead of Section 38.
(2) The provisions of this Part shall not apply to the processing and use of personal data outside of non-automated filing systems in so far as they are not personal data clearly taken from an automated processing operation.
Section 28 Collection, processing and use of data for own purposes
(1) The collection, storage, modification or transfer of personal data or their use as a means of fulfilling one’s own business purposes shall be admissible
1. in accordance with the purposes of a contract or a quasi-contractual fiduciary relationship with the data subject,
2. in so far as this is necessary to safeguard justified interests of the controller of the filing system and there is no reason to assume that the data subject has an overriding legitimate interest in his data being excluded from processing or use,
3. if the data is generally accessible or the controller of the filing system would be entitled to publish them, unless the data subject's legitimate interest in his data being excluded from processing or use clearly outweighs the justified interest of the controller of the filing system.
In connection with the collection of personal data, the purposes for which the data are to be processed or used are to be stipulated in concrete terms.
(2) Transfer or use for another purpose shall be admissible only if the requirements of Section 1, sentence 1, Nos. 2 and 3 are met.
(3) Transfer or use for another purpose shall also be admissible:
1. in so far as it is necessary to protect the justified interests of a third party or
2. to avert threats to the state security and public safety and to prosecute criminal offences or
3. for purposes of advertising, market and opinion research if the data, compiled in lists or otherwise combined, concern members of a group of persons and are restricted to
a) the data subject’s membership of this group of persons,
b) occupation or type of business,
c) name,
d) title,
e) academic degrees,
f) address and
g) year of birth
and if there is no reason to assume that the data subject has a legitimate interest in his data being excluded from transfer, or
4. if this is necessary in the interest of a research institute for the conduct of scientific research, if scientific interest in conduct of the research project substantially outweighs the interest of the data subject in excluding the change of purpose and if the research purpose cannot be attained by other means or can be attained thus only with disproportionate effort.
In the cases referred to in the first sentence of No. 3, it is to be assumed that such interest exists where data are to be transferred which were stored for the purposes of a contract or a quasi-contractual fiduciary relationship and which concern
1. criminal offences,
2. administrative offences and,
3. when transferred by the employer, to the legal status under labour law.
(4) If the data subject objects vis-à-vis the controller of the filing system to the use or transfer of his data for purposes of advertising or of market opinion research, use or transfer for such purposes shall be inadmissible. In approaching the data subject for the purpose of advertising or market or opinion research, the data subject shall be informed of the identity of the controller and the right of objections in accordance with sentence 1 above; in so far as the party approaching the data subject uses personal data of the latter which are stored by a body which is unknown to him, he shall also ensure that the data subject is able to obtain information on the origin of the data. If the data subject lodges an objection to the processing or use of the data for the purpose of advertising or market or opinion research with the third party to whom the data are transferred pursuant to sub-section 3, the latter shall block the data for these purposes.
(5) The third party to whom the data have been transferred may process or use the transferred data only for the purpose for which they were transferred to him. Processing or use for other purposes shall be admissible for private bodies only if the requirements of sub-sections 1 and 2 above are met and for public bodies only if the requirements of Section 14 (2) are met. The transferring body shall point this out to the third party.
(6) The collection, processing and use of special types of personal data (Section 3 (9)) for own business purposes shall be admissible when the data subject has not consented in accordance with Section 4a (3) if
1. this is necessary in order to protect vital interests of the data subject or of a third party, in so far as the data subject is unable to give his consent for physical or legal reasons,
2. the data concerned has evidently been made public by the data subject,
3. this is necessary in order to assert, exercise or defend legal claims and there is no reason to assume that the data subject has an overriding legitimate interest in excluding such collection, processing or use, or
4. this is necessary for the purposes of scientific research, where the scientific interest in carrying out the research project substantially outweighs the data subject's interest in excluding collection, processing and use and the purpose of the research cannot be achieved in any other way or would otherwise necessitate disproportionate effort.
(7) The collection of special types of personal data (Section 3 (9)) shall further be admissible if this is necessary for the purposes of preventive medicine, medical diagnosis, health care or treatment or the administration of health services and the processing of these data is carried out by medical personnel or other persons who are subject to an obligation to maintain secrecy. The processing and use of data for the purposes stated in sentence 1 shall be subject to the obligations to maintain secrecy which apply to the persons stated in sentence 1. The collection, processing or use of data on the health of persons by members of a profession other than those stipulated in Section 203 (1) and (3) of the Penal Code, the exercising of which profession involves determining, curing or alleviating illnesses or producing or selling aids shall be admissible only under those conditions according to which a doctor would also be authorised for these purposes.
(8) Special types of personal data (Section 3 (9)) may be transferred or used only if the requirements of sub-section 6, Nos. 1 to 4 or the first sentence of sub-section 7 are met. Transfer or use shall also be admissible if necessary to avert substantial threats to state security or public safety and to prosecute major criminal offences.
(9) Organisations of a political, philosophical or religious nature and trade union organisations may collect, process or use special types of personal data (Section 3 (9)) in so far as this is necessary for the organisation's activities. This shall apply only to personal data of their members or of persons who maintain regular contact with the organisations in connection with the purposes of their activities. The transfer of these personal data to persons or bodies outside of the organisation concerned shall be admissible only if the requirements of Section 4a (3) are met. Sub-section 3, No. 2 shall apply mutatis mutandis.
Section 29 Collection and storage of data in the course of business for the purpose of transfer
(1) The collection, storage or modification of personal data in the course of business for the purpose of transfer, in particular when this serves the purposes of advertising, the activities of credit inquiry agencies, trading in addresses or market or opinion research, shall be admissible if
1. there is no reason to assume that the data subject has a legitimate interest in excluding such collection, storage or modification, or
2. the data are retrievable from generally accessible sources or the controller would be permitted to publish them, unless the data subject clearly has an overriding legitimate interest in excluding such collection, storage or modification.
§ 28 Abs. 1 Satz 2 ist anzuwenden.
The first sentence of Section 28 (1) shall be applied.
(2) Transfer for the purposes specified in sub-section 1 shall be admissible if
1. a) the third party to whom the data are transferred credibly proves a justified interest in knowledge of the data or
b) the data pursuant to Section 28 (3), No. 3 of this Act have been compiled in lists or otherwise combined and are to be transferred for purposes of advertising or of market or opinion research and
2. there is no reason to assume that the data subject has a legitimate interest in his data being excluded from transfer.
The second sentence of Section 28 (3) of this Act shall apply mutatis mutandis. In the case of transfer under No. 1 (a) above, the reasons for the existence of a justified interest and the means of credibly presenting them shall be recorded by the transferring body. In the case of transfer through automated retrieval, such recording shall be required of the third party to whom the data are transferred.
(3) Personal data are not to be included in electronic or printed address, telephone, classified or similar directories if it is evident from the electronic or printed directory or register that such inclusion is contrary to the will of the data subject. The recipient of the data shall ensure that labels from electronic or printed directories or registers are retained upon adoption into directories or registers.
(4) Section 28 (4) and (5) shall apply to processing or use of the transferred data.
(5) Section 28 (6) to (9) shall apply mutatis mutandis.
Section 30 Collection and storage of data in the course of business for the purpose of transfer in anonymised form
(1) If personal data are collected and stored in the course of business in order to transfer them in anonymised form, the characteristics enabling information concerning personal or material circumstances to be attributed to an identified or identifiable individual shall be stored separately. Such characteristics may be combined with the information only where necessary for storage or scientific purposes.
(2) The modification of personal data shall be admissible if
1. there is no reason to assume that the data subject has a legitimate interest in his data being excluded from modification or
2. the data can be taken from generally accessible sources or the controller of the filing system would be entitled to publish them, unless the data subject clearly has an overriding legitimate interest in his data being excluded from modification.
(3) Personal data shall be erased if their storage is inadmissible.
(4) Section 29 shall not apply.
(5) Section 28 (6) to (9) shall apply mutatis mutandis.
Section 31 Limitation of use to specific purposes
Personal data stored exclusively for the purposes of data protection control or data security or to ensure the proper operation of a data processing system may be used only for these purposes.
Section 32 deleted
Chapter II Rights of the data subject
Section 33 Notification of the data subject
(1) If personal data are stored for the first time for one’s own purposes without the data subject's knowledge, the data subject shall be notified of such storage, the type of data, the purposes of collection, processing or use and the identity of the controller. If personal data are stored in the course of business without the data subject's knowledge for the purpose of transfer, the data subject shall be notified of their initial transfer and of the type of data transferred. In the cases covered by the first and second sentences above, the data subject shall also be notified of the categories of recipients, in so far as he cannot be expected to assume transfer to such recipients according to the circumstances of the individual case concerned.
(2) Notification shall not be required if
1. the data subject has received knowledge by other means of the storage or transfer of the data,
2. the data are stored merely because they may not be erased due to legal statutory or contractual provisions on their preservation or exclusively serve purposes of data security or data protection control and notification would require disproportionate effort.
3. the data must be kept secret in accordance with a legal provision or by virtue of their nature, in particular on account of an overriding legal interest of a third party,
4. the law expressly provides for such storage or transfer,
5. storage or transfer is necessary for the purposes of scientific research and notification would require disproportionate effort,
6. the relevant public body has stated to the controller of the filing system that publication of the data would jeopardise public safety or order or would otherwise be detrimental to the Federation or a Land,
7. the data are stored for one’s own purposes and
a) are taken from generally accessible sources and notification is unfeasible on account of the large number of cases concerned or
b) notification would considerably impair the business purposes of the controller of the filing system, unless the interest in notification outweighs such impairment, or
8. the data are stored in the course of business for the purpose of transfer and
a) are taken from generally accessible sources in so far as they relate to those persons who published these data or
b) the data are compiled in lists or otherwise combined (Section 29 (2), No. 1 (b) of this Act)
and notification is unfeasible on account of the large number of cases concerned.
The controller shall stipulate in writing under what conditions notification shall not be provided in accordance with sentence 1, Nos. 2 to 7.
Section 34 Provision of information to the data subject
(1) The data subject may request information on
1. stored data concerning him, including any reference in them to their origin and recipient,
2. recipients or categories of recipients to whom data are transmitted and
3. the purpose of storage.
He should specify the type of personal data on which information is to be provided. If the personal data are stored in the course of business for the purpose of transfer, the data subject may request information on their origin and recipient only if there is no overriding interest in protecting trade secrets. In such case, information on the origin and recipient shall be provided even if these particulars are not stored.
(2) In the case of bodies which store personal data in the course of business for the purpose of supplying information, the data subject may request information on his personal data even if they are not stored in an automated processing procedure or in a non-automated filing system. The data subject may request information on their origin and recipient only if there is no overriding interest in protecting trade secrets.
(3) Information shall be provided in writing unless special circumstances warrant any other form.
(4) The provision of information shall not be required if the data subject does not have to be notified in accordance with Section 33 (2), sentence 1, Nos. 2, 3 and 5 to 7 of this Act.
(5) Information shall be provided free of charge. However, if the personal data are stored in the course of business for the purpose of transfer, a fee may be charged if the data subject can use the information vis-à-vis third parties for commercial purposes. The fee shall not exceed the costs directly attributable to the provision of information. No fee may be charged in cases where special circumstances give rise to the assumption that stored personal data are incorrect or that their storage was inadmissible, or where the information has revealed that the personal data have to be corrected or, subject to No. 1 of the second sentence of Section 35 (2) of this Act, have to be erased.
(6) Where information is not provided free of charge, the data subject shall be given the possibility to acquire personal knowledge of the data and particulars concerning him within the framework of his entitlement to information. This shall be pointed out to him in a suitable manner.
Section 35 Correction, erasure and blocking of data
(1) Incorrect personal data shall be corrected.
(2) Personal data may be erased at any time, except in the cases specified in sub-section 3, Nos. 1 and 2. Personal data in filing systems shall be erased if
1. ihre Speicherung unzulässig ist,
1. their storage is inadmissible,,
2. they concern information on racial or ethnic origin, political opinions, religious or philosophical convictions, union membership, health or sex life, criminal offences or administrative offences and the controller is unable to prove their correctness,
3. they are processed for one’s own purposes, as soon as knowledge of them is no longer needed for fulfilling the purpose for which they are stored, or
4. they are processed in the course of business for the purpose of transfer and an examination five calendar years after their first being stored shows that further storage is not necessary.
(3) Instead of erasure, personal data shall be blocked in so far as
1. in the case of sub-section 2, No. 3 above, preservation periods prescribed by law, statutes or contracts rule out any erasure,
2. there is reason to assume that erasure would impair legitimate interests of the data subject or
3. erasure is not possible or is only possible with disproportionate effort due to the specific type of storage.
(4) Personal data shall also be blocked if the data subject disputes that they are correct and it cannot be ascertained whether they are correct or incorrect.
(5) Personal data must not be collected, processed or used for automated processing or processing in non-automated filing systems if the data subject files an objection with the controller and an examination reveals that the data subject's legitimate interest outweighs the controller's interest in such collection, processing or use, on account of the data subject's personal situation. Sentence 1 shall apply only when an obligation to carry out collection, processing or use is established by a legal provision.
(6) Where they are stored in the course of business for the purpose of transfer, personal data which are incorrect or whose correctness is disputed need not be corrected, blocked or erased except in the cases mentioned in sub-section 2, No. 2 above, if they are taken from generally accessible sources and are stored for documentation purposes. At the request of the data subject, his counter-statement shall be added to the data for the duration of their storage. The data may not be transferred without this counter-statement.
(7) The correction of incorrect data, the blocking of disputed data and the erasure or blocking of data due to inadmissible storage shall be notified to the bodies to which these data are transmitted for storage in the course of a data transfer process, provided that this does not require disproportionate effort and the data subject has no overriding legitimate interests.
(8) Blocked data may be transferred or used without the consent of the data subject only if
1. this is indispensable for scientific purposes, for use as evidence or for other reasons in the overriding interests of the controller of the data or a third party and
2. transfer or use of the data for this purpose would be admissible if they were not blocked.
Chapter III Supervisory authority
Section 36 and 37 deleted
Section 38 Supervisory authority
(1) The supervisory authority shall monitor implementation of this Act and other data protection provisions governing the automated processing of personal data or the processing or use of personal data in or from non-automated filing systems, including the rights of the members states in the cases under Section 1 (5) of this Act. It shall advise and support the data protection officials and the controllers with due regard to their typical requirements. The supervisory authority may process and use the data which it stores for supervisory purposes only; Section 14 (2), Nos. 1 to 3, 6 and 7 shall apply mutatis mutandis. The supervisory authority may, in particular, transfer data to other supervisory authorities for supervisory purposes. On request, it shall provide supplementary assistance to other Member States of the European Union (administrative assistance). If the supervisory authority establishes a breach of this Act or other data protection provisions, it shall be authorised to notify the data subjects accordingly, to report the breach to the bodies responsible for prosecution or punishment and, in cases of serious breaches, to notify the trade supervisory authority in order to initiate measures under industrial law. It shall publish an activity report on a regular basis, but every two years at the latest. The first sentence of Section 21 and sentences 4 to 7 of Section 23 (5) shall apply mutatis mutandis.
(2) The supervisory authority shall keep a register of the automated processing operations which are subject to obligatory registration in accordance with Section 4d, stating the information specified in the first sentence of Section 4e. The register shall be open to inspection by any person. The right to inspection shall not extend to the information in accordance with Section 4e, sentence 1, No. 9 or stipulation of the persons entitled to access.
(3) The bodies subject to monitoring and the persons responsible for their management shall provide the supervisory authority on request and without delay with the information necessary for the performance of its duties. A person obliged to provide information may refuse to do so where he would expose himself or one of the persons designated in Section 383 (1), Nos. 1 to 3, of the Code of Civil Procedure to the danger of criminal prosecution or of proceedings under the Administrative Offences Act. This shall be pointed out to the person obliged to provide information.
(4) The persons appointed by the supervisory authority to exercise monitoring shall be authorised, in so far as necessary for the performance of the duties of the supervisory authority, to enter the property and premises of the body during business hours and to carry out checks and inspections there. They may inspect business documents, especially the list stipulated in the first sentence of Section 4g (2) of this Act as well as the stored personal data and the data processing programs. Section 24 (6) of this Act shall apply mutatis mutandis. The person obliged to provide information shall permit such measures.
(5) To guarantee data protection under this Act and other data protection provisions governing the automated processing of personal data or the processing of personal data in or from non-automated filing systems, the supervisory authority may instruct that, within the scope of the requirements set out in Section 9 of this Act, measures be taken to rectify technical or organisational irregularities discovered. In the event of grave irregularities of this kind, especially where they are connected with a specific impairment of privacy, the supervisory authority may prohibit the use of particular procedures if the irregularities are not rectified within a reasonable period contrary to the instruction pursuant to the first sentence above and despite the imposition of a fine. The supervisory authority may demand the dismissal of the data protection official if he does not possess the specialised knowledge and demonstrate the reliability necessary for the performance of his duties.
(6) The Land governments or the bodies authorised by them shall designate the supervisory authorities responsible for monitoring the implementation of data protection within the area of application of this Part.
(7) The Industrial Code shall continue to apply to commercial firms subject to the provisions of this Part.
Section 38a Code of conduct to promote the implementation of data protection provisions
(1) Professional associations and other associations which represent specific groups of controllers may submit draft rules of conduct to promote the implementation of data protection provisions to the competent supervisory authority.
(2) The supervisory authority shall examine the compatibilty of the submitted drafts with the applicable law on data protection.
Part IV Special provisions
Section 39 Limited use of personal data subject to professional or special official secrecy
(1) Personal data which are subject to professional or special official secrecy and which have been supplied by the body bound to secrecy in the performance of its professional or official duties may be processed or used by the controller of the filing system only for the purpose for which he has received them. In the event of transfer to a private body, the body bound to secrecy must give its consent.
(2) The data may be processed or used for another purpose only if the change of purpose is permitted by special legislation.
Section 40 Processing and use of personal data by research institutes
(1) Personal data collected or stored for scientific research purposes may processed or used only for such purposes.
(2) The personal data shall be rendered anonymous as soon as the research purpose permits this. Until such time the characteristics enabling information concerning personal or material circumstances to be attributed to an identified or identifiable individual shall be stored separately. They may be combined with the information only to the extent required by the research purpose.
(3) Bodies conducting scientific research may publish personal data only if
1. the data subject has consented or
2. this is indispensable for the presentation of research findings on contemporary events.
Section 41 Collection, processing and use of personal data by the media
(1) The Länder are to ensure in their legislation that regulations corresponding to the provisions of Sections 5, 9 and 38a of this Act, including an appurtenant regulation on liability in accordance with Section 7 of this Act, shall apply to the collection, processing and use of personal data by enterprises or auxiliary enterprises in the press exclusively for their own journalistic-editorial or literary purposes.
(2) If journalistic-editorial processing or use of personal data by Deutsche Welle leads to the publication of counter-statements by the data subject, such counter-statements shall be combined with the stored data and preserved for the same period as the data themselves.
(3) If the privacy of a person is impaired by reporting by Deutsche Welle, he may request information on the stored personal data on which the reporting was based. Such information may be refused, after considering the legitimate interests of the parties concerned, in so far as
1. the data enable conclusions to be drawn as to the persons who are or have been professionally involved in a journalistic capacity in the preparation, production or dissemination of broadcasts,
2. the data enable conclusions to be drawn as to the supplier or source of contributions, documents and communications for the editorial part,
3. disclosure of the data obtained by research or other means would compromise Deutsche Welle's journalistic function by divulging its information resources.
The data subject may request that incorrect data be corrected.
(4) In all other respects, Sections 5, 7, 9 and 38a of this Act shall apply to Deutsche Welle. Instead of Sections 24 to 26 of this Act, Section 42 shall apply even where administrative matters are concerned.
Section 42 Data protection official of Deutsche Welle
(1) Deutsche Welle shall appoint a data protection official, who shall take the place of the Federal Commissioner for Data Protection and Freedom of Information. The data protection official shall be appointed by the board of administration for a term of four years upon nomination by the director-general; reappointments shall be admissible. The office of data protection official may be exercised alongside other duties within the broadcasting corporation.
(2) The data protection official shall monitor compliance with the provisions of this Act and with other provisions concerning data protection. He shall be independent in the exercise of this office and shall be subject to the law only. In all other respects he shall be subject to the official and legal authority of the board of administration.
(3) Anyone may appeal to the data protection official in accordance with the first sentence of Section 21 of this Act.
(4) The data protection official shall submit an activity report to the organs of Deutsche Welle every two years, beginning on 1 January 1994. In addition he shall submit special reports pursuant to a decision by an organ of Deutsche Welle. The data protection official shall forward the activity reports to the Federal Commissioner for Data Protection and Freedom of Information as well.
(5) Deutsche Welle shall make further arrangements for its area of activity in accordance with Sections 23 to 26 of this Act. Sections 4f and 4g of this Act shall remain unaffected.
Part V Final provisions
Section 43 Administrative offences
(1) An administrative offence shall be deemed to have been committed by anyone who, whether intentionally or through negligence,
1. contrary to Section 4d (1), also in conjunction with the second sentence of Section 4e of this Act, fails to submit a notification, fails to do so within the prescribed time limit or fails to provide complete particulars,
2. contrary to the first or second sentence of Section 4f (1) of this Act, fails to appoint a data protection official or fails to do so within the prescribed time limit or in the prescribed manner,
3. contrary to the second sentence of Section 28 (4) of this Act, fails to notify the data subject, or fails to do so within the prescribed time limit or in the prescribed manner, or fails to ensure that the data subject is able to obtain due knowledge,
4. entgegen § 28 Abs. 5 Satz 2 personenbezogene Daten übermittelt oder nutzt,
4. transfers or uses personal data contrary to the second sentence of Section 28 (5) of this Act,
5. contrary to the third or fourth sentence of Section 29 (2) of this Act, fails to record the reasons described there or the means of credibly presenting them,
6. incorporates personal data into electronic or printed address, telephone number, classified or similar directories contrary to the first sentence of Section 29 (3) of this Act,
7. contrary to the second sentence of Section 29 (3) of this Act, fails to ensure the adoption of labels,
8. contrary to Section 33 (1) of this Act, fails to notify the data subject or fails to do so correctly or completely,
9. contrary to the third sentence of Section 35 (5) of this Act, transfers data without a counter-statement,
10. contrary to the first sentence of Section 38 (3) of this Act, fails to provide information or fails to do so correctly, completely or within the prescribed time limit or fails to permit a measure
11. fails to comply with an executable instruction under the first sentence of Section 38 (5) of this Act.
(2) An administrative offence shall be deemed to have been committed by anyone who, whether intentionally or through negligence,
1. collects or processes personal data which are not generally accessible without authorisation,
2. holds personal data which are not generally accessible ready for retrieval by means of an automated procedure without authorisation,
3. retrieves personal data which are not generally accessible or obtains such data for themselves or another from automated processing operations without authorisation,
4. obtains by means of incorrect information the transfer of personal data which are not generally accessible,
5. contrary to the first sentence of Section 16 (4) and the first sentence of Section 28 (5) if this Act, also in conjunction Section 29 (4), the first sentence of Section 39 (1) or Section 40 (1) of this Act, uses data for other purposes by transmitted them to third parties, or
6. contrary to the second sentence of Section 30 (1) of this Act, combines the characteristics mentioned in the first sentence of Section 30 (1) with the information or, contrary to the third sentence of Section 40 (2), combines the characteristics mentioned in the second sentence of Section 40 (2) with the information.
(3) Administrative offences shall be punishable by a fine of up to € 25,000 in case of sub-section 1 above, and by a fine of up to € 250,000 in the cases under sub-section 2 above.
Section 44 Criminal offences
(1) Anyone wilfully committing an offence specified in Section 43 (2) of this Act in exchange for payment or with the intention of enriching himself or another person or of harming another person shall be liable to imprisonment for up to two years or to a fine.
(2) Such offences shall be prosecuted only if a complaint is filed. Complaints may be filed by the data subject, the Federal Commissioner for Data Protection and Freedom of Information and the supervisory authority.
Part VI Transitional provisions
Section 45 Current applications
Collections, processing or usages of personal data which have already begun on 23 May 2001 shall be harmonised with the provisions of this Act within three years of the aforesaid date. In so far as provisions of this Act are applied in legal provisions outside of the scope of application of directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data, collections, processing or usages of personal data which have already begun on 23 May 2001 shall be harmonised with the provisions of this Act within five years of the aforesaid date.
Section 46 Overreaching validity of definitions
(1) Where the term "filing system" is employed in special legal provisions of the Federation, a filing system is
1. a set of personal data which can be evaluated according to specific characteristics by means of automated procedures (automated filing system) or
2. any other set of personal data which is similarly structured and can be arranged, rearranged and evaluated according to specific characteristics (non-automated filing system).
This shall not include files and sets of files, unless they can be rearranged and evaluated by means of automated procedures.
(2) Where the term "file" is employed in special legal provisions of the Federation, a file is any document serving official purposes which does not fall within the definition of a filing system as specified in sub-section 1 above; this shall include image and sound recording media. It shall not include drafts and notes that are not intended to form part of a record.
(3) Where the term "recipient" is employed in special legal provisions of the Federation, a recipient is any person or body other than the controller. This shall not include the data subject or persons and bodies commissioned to collect, process or use personal data in Germany, in another member state of the European Union or in another state party to the Agreement on the European Economic Area.
Annex (to the first sentence of Section 9 of this Act)
Where personal data are processed or used automatically, the internal organisation of authorities or enterprises is to be arranged in such a way that it meets the specific requirements of data protection. In particular, measures suited to the type of personal data or data categories to be protected shall be taken,
1. to prevent unauthorised persons from gaining access to data processing systems with which personal data are processed or used (access control),
2. to prevent data processing systems from being used without authorisation (access control),
3. to ensure that persons entitled to use a data processing system have access only to the data to which they have a right of access, and that personal data cannot be read, copied, modified or removed without authorisation in the course of processing or use and after storage (access control),
4. to ensure that personal data cannot be read, copied, modified or removed without authorisation during electronic transmission or transport, and that it is possible to check and establish to which bodies the transfer of personal data by means of data transmission facilities is envisaged (transmission control),
5. to ensure that it is possible to check and establish whether and by whom personal data have been input into data processing systems, modified or removed (input control),
6. to ensure that, in the case of commissioned processing of personal data, the data are processed strictly in accordance with the instructions of the principal (job control),
7. to ensure that personal data are protected from accidental destruction or loss (availability control),
8. to ensure that data collected for different purposes can be processed separately.
|
|
