Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 1 von 38 -
Bundesdatenschutzgesetz (BDSG) BDSG
Ausfertigungsdatum: 20.12.1990
Vollzitat:
"Bundesdatenschutzgesetz in der Fassung der Bekanntmachung vom 14. Januar 2003 (BGBl. I S. 66), das zuletzt durch Artikel 1 des Gesetzes vom 14. August 2009 (BGBl. I S. 2814) geändert worden ist"
Stand: Neugefasst durch Bek. v. 14.1.2003 I 66; Zuletzt geändert durch Art. 1 G v. 14.8.2009 I 2814
Fußnote
(+++ Textnachweis ab: 1.6.1991 +++)
Das G wurde als Art. 1 des G v. 20.12.1990 I 2954 vom Bundestag mit Zustimmung des Bundesrates beschlossen; § 10 Abs. 4 Satz 3 und 4 ist am ersten Tage des vierundzwanzigsten auf die Verkündung folgenden Kalendermonats, im übrigen am ersten Tage des sechsten auf die Verkündung folgenden Kalendermonats gem. Art. 6 Abs. 2 Satz 1 u. 2 G v. 20.12.1990 I 2954 in Kraft getreten. Das G wurde am 29.12.1990 verkündet.
Inhaltsübersicht
Erster Abschnitt Allgemeine und gemeinsame Bestimmungen
§ 1 Zweck und Anwendungsbereich des Gesetzes § 2 Öffentliche und nicht-öffentliche Stellen § 3 Weitere Begriffsbestimmungen § 3a Datenvermeidung und Datensparsamkeit § 4 Zulässigkeit der Datenerhebung, -verarbeitung und -nutzung § 4a Einwilligung § 4b Übermittlung personenbezogener Daten ins Ausland sowie an über- und zwischenstaatliche
Stellen § 4c Ausnahmen § 4d Meldepflicht § 4e Inhalt der Meldepflicht § 4f Beauftragter für den Datenschutz § 4g Aufgaben des Beauftragten für den Datenschutz § 5 Datengeheimnis § 6 Rechte des Betroffenen § 6a Automatisierte Einzelentscheidung § 6b Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen § 6c Mobile personenbezogene Speicher- und Verarbeitungsmedien § 7 Schadensersatz § 8 Schadensersatz bei automatisierter Datenverarbeitung durch öffentliche Stellen
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 2 von 38 -
§ 9 Technische und organisatorische Maßnahmen § 9a Datenschutzaudit § 10 Einrichtung automatisierter Abrufverfahren § 11 Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag Zweiter Abschnitt
Datenverarbeitung der öffentlichen Stellen Erster Unterabschnitt
Rechtsgrundlagen der Datenverarbeitung § 12 Anwendungsbereich § 13 Datenerhebung § 14 Datenspeicherung, -veränderung und -nutzung § 15 Datenübermittlung an öffentliche Stellen § 16 Datenübermittlung an nicht-öffentliche Stellen § 17 (weggefallen) § 18 Durchführung des Datenschutzes in der Bundesverwaltung
Zweiter Unterabschnitt Rechte des Betroffenen
§ 19 Auskunft an den Betroffenen § 19a Benachrichtigung § 20 Berichtigung, Löschung und Sperrung von Daten; Widerspruchsrecht § 21 Anrufung des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit
Dritter Unterabschnitt Bundesbeauftragter für den Datenschutz und die Informationsfreiheit
§ 22 Wahl des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit § 23 Rechtsstellung des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit § 24 Kontrolle durch den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit § 25 Beanstandungen durch den Bundesbeauftragten für den Datenschutz und die
Informationsfreiheit § 26 Weitere Aufgaben des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit Dritter Abschnitt
Datenverarbeitung nicht-öffentlicher Stellen und öffentlich-rechtlicher Wettbewerbsunternehmen Erster Unterabschnitt
Rechtsgrundlagen der Datenverarbeitung § 27 Anwendungsbereich § 28 Datenerhebung und -speicherung für eigene Geschäftszwecke § 28a Datenübermittlung an Auskunfteien § 28b Scoring § 29 Geschäftsmäßige Datenerhebung und -speicherung zum Zweck der Übermittlung § 30 Geschäftsmäßige Datenerhebung und -speicherung zum Zweck der Übermittlung in
anonymisierter Form § 30a Geschäftsmäßige Datenerhebung und -speicherung für Zwecke der Markt- oder
Meinungsforschung
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 3 von 38 -
§ 31 Besondere Zweckbindung § 32 Datenerhebung, -verarbeitung und -nutzung für Zwecke des Beschäftigungsverhältnisses
Zweiter Unterabschnitt Rechte des Betroffenen
§ 33 Benachrichtigung des Betroffenen § 34 Auskunft an den Betroffenen § 35 Berichtigung, Löschung und Sperrung von Daten
Dritter Unterabschnitt Aufsichtsbehörde
§§ 36 und 37 (weggefallen) § 38 Aufsichtsbehörde § 38a Verhaltensregeln zur Förderung der Durchführung datenschutzrechtlicher Regelungen Vierter Abschnitt
Sondervorschriften § 39 Zweckbindung bei personenbezogenen Daten, die einem Berufs- oder besonderen
Amtsgeheimnis unterliegen § 40 Verarbeitung und Nutzung personenbezogener Daten durch Forschungseinrichtungen § 41 Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch die Medien § 42 Datenschutzbeauftragter der Deutschen Welle § 42a Informationspflicht bei unrechtmäßiger Kenntniserlangung von Daten Fünfter Abschnitt
Schlussvorschriften § 43 Bußgeldvorschriften § 44 Strafvorschriften Sechster Abschnitt
Übergangsvorschriften § 45 Laufende Verwendungen § 46 Weitergeltung von Begriffsbestimmungen § 47 Übergangsregelung § 48 Bericht der Bundesregierung Anlage (zu § 9 Satz 1)
Erster Abschnitt Allgemeine und gemeinsame Bestimmungen § 1 Zweck und Anwendungsbereich des Gesetzes
(1) Zweck dieses Gesetzes ist es, den Einzelnen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird.
(2) Dieses Gesetz gilt für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch 1. öffentliche Stellen des Bundes, 2. öffentliche Stellen der Länder, soweit der Datenschutz nicht durch Landesgesetz geregelt ist und soweit sie
a) Bundesrecht ausführen oder
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 4 von 38 -
b) als Organe der Rechtspflege tätig werden und es sich nicht um Verwaltungsangelegenheiten handelt,
3. nicht-öffentliche Stellen, soweit sie die Daten unter Einsatz von Datenverarbeitungsanlagen verarbeiten, nutzen oder dafür erheben oder die Daten in oder aus nicht automatisierten Dateien verarbeiten, nutzen oder dafür erheben, es sei denn, die Erhebung, Verarbeitung oder Nutzung der Daten erfolgt ausschließlich für persönliche oder familiäre Tätigkeiten.
(3) Soweit andere Rechtsvorschriften des Bundes auf personenbezogene Daten einschließlich deren Veröffentlichung anzuwenden sind, gehen sie den Vorschriften dieses Gesetzes vor. Die Verpflichtung zur Wahrung gesetzlicher Geheimhaltungspflichten oder von Berufs- oder besonderen Amtsgeheimnissen, die nicht auf gesetzlichen Vorschriften beruhen, bleibt unberührt.
(4) Die Vorschriften dieses Gesetzes gehen denen des Verwaltungsverfahrensgesetzes vor, soweit bei der Ermittlung des Sachverhalts personenbezogene Daten verarbeitet werden.
(5) Dieses Gesetz findet keine Anwendung, sofern eine in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum belegene verantwortliche Stelle personenbezogene Daten im Inland erhebt, verarbeitet oder nutzt, es sei denn, dies erfolgt durch eine Niederlassung im Inland. Dieses Gesetz findet Anwendung, sofern eine verantwortliche Stelle, die nicht in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum belegen ist, personenbezogene Daten im Inland erhebt, verarbeitet oder nutzt. Soweit die verantwortliche Stelle nach diesem Gesetz zu nennen ist, sind auch Angaben über im Inland ansässige Vertreter zu machen. Die Sätze 2 und 3 gelten nicht, sofern Datenträger nur zum Zweck des Transits durch das Inland eingesetzt werden. § 38 Abs. 1 Satz 1 bleibt unberührt.
§ 2 Öffentliche und nicht-öffentliche Stellen
(1) Öffentliche Stellen des Bundes sind die Behörden, die Organe der Rechtspflege und andere öffentlich- rechtlich organisierte Einrichtungen des Bundes, der bundesunmittelbaren Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts sowie deren Vereinigungen ungeachtet ihrer Rechtsform. Als öffentliche Stellen gelten die aus dem Sondervermögen Deutsche Bundespost durch Gesetz hervorgegangenen Unternehmen, solange ihnen ein ausschließliches Recht nach dem Postgesetz zusteht.
(2) Öffentliche Stellen der Länder sind die Behörden, die Organe der Rechtspflege und andere öffentlich-rechtlich organisierte Einrichtungen eines Landes, einer Gemeinde, eines Gemeindeverbandes und sonstiger der Aufsicht des Landes unterstehender juristischer Personen des öffentlichen Rechts sowie deren Vereinigungen ungeachtet ihrer Rechtsform.
(3) Vereinigungen des privaten Rechts von öffentlichen Stellen des Bundes und der Länder, die Aufgaben der öffentlichen Verwaltung wahrnehmen, gelten ungeachtet der Beteiligung nicht-öffentlicher Stellen als öffentliche Stellen des Bundes, wenn 1. sie über den Bereich eines Landes hinaus tätig werden oder 2. dem Bund die absolute Mehrheit der Anteile gehört oder die absolute Mehrheit der Stimmen zusteht. Andernfalls gelten sie als öffentliche Stellen der Länder.
(4) Nicht-öffentliche Stellen sind natürliche und juristische Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts, soweit sie nicht unter die Absätze 1 bis 3 fallen. Nimmt eine nicht- öffentliche Stelle hoheitliche Aufgaben der öffentlichen Verwaltung wahr, ist sie insoweit öffentliche Stelle im Sinne dieses Gesetzes.
§ 3 Weitere Begriffsbestimmungen
(1) Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener).
(2) Automatisierte Verarbeitung ist die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten unter Einsatz von Datenverarbeitungsanlagen. Eine nicht automatisierte Datei ist jede nicht automatisierte Sammlung personenbezogener Daten, die gleichartig aufgebaut ist und nach bestimmten Merkmalen zugänglich ist und ausgewertet werden kann.
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 5 von 38 -
(3) Erheben ist das Beschaffen von Daten über den Betroffenen.
(4) Verarbeiten ist das Speichern, Verändern, Übermitteln, Sperren und Löschen personenbezogener Daten. Im Einzelnen ist, ungeachtet der dabei angewendeten Verfahren: 1. Speichern das Erfassen, Aufnehmen oder Aufbewahren personenbezogener Daten auf einem Datenträger
zum Zweck ihrer weiteren Verarbeitung oder Nutzung, 2. Verändern das inhaltliche Umgestalten gespeicherter personenbezogener Daten, 3. Übermitteln das Bekanntgeben gespeicherter oder durch Datenverarbeitung gewonnener
personenbezogener Daten an einen Dritten in der Weise, dass a) die Daten an den Dritten weitergegeben werden oder b) der Dritte zur Einsicht oder zum Abruf bereitgehaltene Daten einsieht oder abruft,
4. Sperren das Kennzeichnen gespeicherter personenbezogener Daten, um ihre weitere Verarbeitung oder Nutzung einzuschränken,
5. Löschen das Unkenntlichmachen gespeicherter personenbezogener Daten.
(5) Nutzen ist jede Verwendung personenbezogener Daten, soweit es sich nicht um Verarbeitung handelt.
(6) Anonymisieren ist das Verändern personenbezogener Daten derart, dass die Einzelangaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.
(6a) Pseudonymisieren ist das Ersetzen des Namens und anderer Identifikationsmerkmale durch ein Kennzeichen zu dem Zweck, die Bestimmung des Betroffenen auszuschließen oder wesentlich zu erschweren.
(7) Verantwortliche Stelle ist jede Person oder Stelle, die personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt oder dies durch andere im Auftrag vornehmen lässt.
(8) Empfänger ist jede Person oder Stelle, die Daten erhält. Dritter ist jede Person oder Stelle außerhalb der verantwortlichen Stelle. Dritte sind nicht der Betroffene sowie Personen und Stellen, die im Inland, in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum personenbezogene Daten im Auftrag erheben, verarbeiten oder nutzen.
(9) Besondere Arten personenbezogener Daten sind Angaben über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben.
(10) Mobile personenbezogene Speicher- und Verarbeitungsmedien sind Datenträger, 1. die an den Betroffenen ausgegeben werden, 2. auf denen personenbezogene Daten über die Speicherung hinaus durch die ausgebende oder eine andere
Stelle automatisiert verarbeitet werden können und 3. bei denen der Betroffene diese Verarbeitung nur durch den Gebrauch des Mediums beeinflussen kann. (11) Beschäftigte sind: 1. Arbeitnehmerinnen und Arbeitnehmer, 2. zu ihrer Berufsbildung Beschäftigte, 3. Teilnehmerinnen und Teilnehmer an Leistungen zur Teilhabe am Arbeitsleben sowie an Abklärungen der
beruflichen Eignung oder Arbeitserprobung (Rehabilitandinnen und Rehabilitanden), 4. in anerkannten Werkstätten für behinderte Menschen Beschäftigte, 5. nach dem Jugendfreiwilligendienstegesetz Beschäftigte, 6. Personen, die wegen ihrer wirtschaftlichen Unselbständigkeit als arbeitnehmerähnliche Personen anzusehen
sind; zu diesen gehören auch die in Heimarbeit Beschäftigten und die ihnen Gleichgestellten, 7. Bewerberinnen und Bewerber für ein Beschäftigungsverhältnis sowie Personen, deren
Beschäftigungsverhältnis beendet ist,
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 6 von 38 -
8. Beamtinnen, Beamte, Richterinnen und Richter des Bundes, Soldatinnen und Soldaten sowie Zivildienstleistende.
§ 3a Datenvermeidung und Datensparsamkeit
Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten und die Auswahl und Gestaltung von Datenverarbeitungssystemen sind an dem Ziel auszurichten, so wenig personenbezogene Daten wie möglich zu erheben, zu verarbeiten oder zu nutzen. Insbesondere sind personenbezogene Daten zu anonymisieren oder zu pseudonymisieren, soweit dies nach dem Verwendungszweck möglich ist und keinen im Verhältnis zu dem angestrebten Schutzzweck unverhältnismäßigen Aufwand erfordert.
§ 4 Zulässigkeit der Datenerhebung, -verarbeitung und -nutzung
(1) Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten sind nur zulässig, soweit dieses Gesetz oder eine andere Rechtsvorschrift dies erlaubt oder anordnet oder der Betroffene eingewilligt hat.
(2) Personenbezogene Daten sind beim Betroffenen zu erheben. Ohne seine Mitwirkung dürfen sie nur erhoben werden, wenn 1. eine Rechtsvorschrift dies vorsieht oder zwingend voraussetzt oder 2. a) die zu erfüllende Verwaltungsaufgabe ihrer Art nach oder der Geschäftszweck eine Erhebung bei
anderen Personen oder Stellen erforderlich macht oder b) die Erhebung beim Betroffenen einen unverhältnismäßigen Aufwand erfordern würde und keine Anhaltspunkte dafür bestehen, dass überwiegende schutzwürdige Interessen des Betroffenen beeinträchtigt werden.
(3) Werden personenbezogene Daten beim Betroffenen erhoben, so ist er, sofern er nicht bereits auf andere Weise Kenntnis erlangt hat, von der verantwortlichen Stelle über 1. die Identität der verantwortlichen Stelle, 2. die Zweckbestimmungen der Erhebung, Verarbeitung oder Nutzung und 3. die Kategorien von Empfängern nur, soweit der Betroffene nach den Umständen des Einzelfalles nicht mit
der Übermittlung an diese rechnen muss, zu unterrichten. Werden personenbezogene Daten beim Betroffenen aufgrund einer Rechtsvorschrift erhoben, die zur Auskunft verpflichtet, oder ist die Erteilung der Auskunft Voraussetzung für die Gewährung von Rechtsvorteilen, so ist der Betroffene hierauf, sonst auf die Freiwilligkeit seiner Angaben hinzuweisen. Soweit nach den Umständen des Einzelfalles erforderlich oder auf Verlangen, ist er über die Rechtsvorschrift und über die Folgen der Verweigerung von Angaben aufzuklären.
§ 4a Einwilligung
(1) Die Einwilligung ist nur wirksam, wenn sie auf der freien Entscheidung des Betroffenen beruht. Er ist auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung sowie, soweit nach den Umständen des Einzelfalles erforderlich oder auf Verlangen, auf die Folgen der Verweigerung der Einwilligung hinzuweisen. Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist sie besonders hervorzuheben.
(2) Im Bereich der wissenschaftlichen Forschung liegt ein besonderer Umstand im Sinne von Absatz 1 Satz 3 auch dann vor, wenn durch die Schriftform der bestimmte Forschungszweck erheblich beeinträchtigt würde. In diesem Fall sind der Hinweis nach Absatz 1 Satz 2 und die Gründe, aus denen sich die erhebliche Beeinträchtigung des bestimmten Forschungszwecks ergibt, schriftlich festzuhalten.
(3) Soweit besondere Arten personenbezogener Daten (§ 3 Abs. 9) erhoben, verarbeitet oder genutzt werden, muss sich die Einwilligung darüber hinaus ausdrücklich auf diese Daten beziehen.
§ 4b Übermittlung personenbezogener Daten ins Ausland sowie an über- oder zwischenstaatliche Stellen
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 7 von 38 -
(1) Für die Übermittlung personenbezogener Daten an Stellen 1. in anderen Mitgliedstaaten der Europäischen Union, 2. in anderen Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum oder 3. der Organe und Einrichtungen der Europäischen Gemeinschaften gelten § 15 Abs. 1, § 16 Abs. 1 und §§ 28 bis 30a nach Maßgabe der für diese Übermittlung geltenden Gesetze und Vereinbarungen, soweit die Übermittlung im Rahmen von Tätigkeiten erfolgt, die ganz oder teilweise in den Anwendungsbereich des Rechts der Europäischen Gemeinschaften fallen.
(2) Für die Übermittlung personenbezogener Daten an Stellen nach Absatz 1, die nicht im Rahmen von Tätigkeiten erfolgt, die ganz oder teilweise in den Anwendungsbereich des Rechts der Europäischen Gemeinschaften fallen, sowie an sonstige ausländische oder über- oder zwischenstaatliche Stellen gilt Absatz 1 entsprechend. Die Übermittlung unterbleibt, soweit der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Übermittlung hat, insbesondere wenn bei den in Satz 1 genannten Stellen ein angemessenes Datenschutzniveau nicht gewährleistet ist. Satz 2 gilt nicht, wenn die Übermittlung zur Erfüllung eigener Aufgaben einer öffentlichen Stelle des Bundes aus zwingenden Gründen der Verteidigung oder der Erfüllung über- oder zwischenstaatlicher Verpflichtungen auf dem Gebiet der Krisenbewältigung oder Konfliktverhinderung oder für humanitäre Maßnahmen erforderlich ist.
(3) Die Angemessenheit des Schutzniveaus wird unter Berücksichtigung aller Umstände beurteilt, die bei einer Datenübermittlung oder einer Kategorie von Datenübermittlungen von Bedeutung sind; insbesondere können die Art der Daten, die Zweckbestimmung, die Dauer der geplanten Verarbeitung, das Herkunfts- und das Endbestimmungsland, die für den betreffenden Empfänger geltenden Rechtsnormen sowie die für ihn geltenden Standesregeln und Sicherheitsmaßnahmen herangezogen werden.
(4) In den Fällen des § 16 Abs. 1 Nr. 2 unterrichtet die übermittelnde Stelle den Betroffenen von der Übermittlung seiner Daten. Dies gilt nicht, wenn damit zu rechnen ist, dass er davon auf andere Weise Kenntnis erlangt, oder wenn die Unterrichtung die öffentliche Sicherheit gefährden oder sonst dem Wohl des Bundes oder eines Landes Nachteile bereiten würde.
(5) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle.
(6) Die Stelle, an die die Daten übermittelt werden, ist auf den Zweck hinzuweisen, zu dessen Erfüllung die Daten übermittelt werden.
§ 4c Ausnahmen
(1) Im Rahmen von Tätigkeiten, die ganz oder teilweise in den Anwendungsbereich des Rechts der Europäischen Gemeinschaften fallen, ist eine Übermittlung personenbezogener Daten an andere als die in § 4b Abs. 1 genannten Stellen, auch wenn bei ihnen ein angemessenes Datenschutzniveau nicht gewährleistet ist, zulässig, sofern 1. der Betroffene seine Einwilligung gegeben hat, 2. die Übermittlung für die Erfüllung eines Vertrags zwischen dem Betroffenen und der verantwortlichen Stelle
oder zur Durchführung von vorvertraglichen Maßnahmen, die auf Veranlassung des Betroffenen getroffen worden sind, erforderlich ist,
3. die Übermittlung zum Abschluss oder zur Erfüllung eines Vertrags erforderlich ist, der im Interesse des Betroffenen von der verantwortlichen Stelle mit einem Dritten geschlossen wurde oder geschlossen werden soll,
4. die Übermittlung für die Wahrung eines wichtigen öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen vor Gericht erforderlich ist,
5. die Übermittlung für die Wahrung lebenswichtiger Interessen des Betroffenen erforderlich ist oder 6. die Übermittlung aus einem Register erfolgt, das zur Information der Öffentlichkeit bestimmt ist und
entweder der gesamten Öffentlichkeit oder allen Personen, die ein berechtigtes Interesse nachweisen können, zur Einsichtnahme offen steht, soweit die gesetzlichen Voraussetzungen im Einzelfall gegeben sind.
Die Stelle, an die die Daten übermittelt werden, ist darauf hinzuweisen, dass die übermittelten Daten nur zu dem Zweck verarbeitet oder genutzt werden dürfen, zu dessen Erfüllung sie übermittelt werden.
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 8 von 38 -
(2) Unbeschadet des Absatzes 1 Satz 1 kann die zuständige Aufsichtsbehörde einzelne Übermittlungen oder bestimmte Arten von Übermittlungen personenbezogener Daten an andere als die in § 4b Abs. 1 genannten Stellen genehmigen, wenn die verantwortliche Stelle ausreichende Garantien hinsichtlich des Schutzes des Persönlichkeitsrechts und der Ausübung der damit verbundenen Rechte vorweist; die Garantien können sich insbesondere aus Vertragsklauseln oder verbindlichen Unternehmensregelungen ergeben. Bei den Post- und Telekommunikationsunternehmen ist der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit zuständig. Sofern die Übermittlung durch öffentliche Stellen erfolgen soll, nehmen diese die Prüfung nach Satz 1 vor.
(3) Die Länder teilen dem Bund die nach Absatz 2 Satz 1 ergangenen Entscheidungen mit.
§ 4d Meldepflicht
(1) Verfahren automatisierter Verarbeitungen sind vor ihrer Inbetriebnahme von nicht-öffentlichen verantwortlichen Stellen der zuständigen Aufsichtsbehörde und von öffentlichen verantwortlichen Stellen des Bundes sowie von den Post- und Telekommunikationsunternehmen dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit nach Maßgabe von § 4e zu melden.
(2) Die Meldepflicht entfällt, wenn die verantwortliche Stelle einen Beauftragten für den Datenschutz bestellt hat.
(3) Die Meldepflicht entfällt ferner, wenn die verantwortliche Stelle personenbezogene Daten für eigene Zwecke erhebt, verarbeitet oder nutzt, hierbei in der Regel höchstens neun Personen ständig mit der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten beschäftigt und entweder eine Einwilligung des Betroffenen vorliegt oder die Erhebung, Verarbeitung oder Nutzung für die Begründung, Durchführung oder Beendigung eines rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses mit dem Betroffenen erforderlich ist.
(4) Die Absätze 2 und 3 gelten nicht, wenn es sich um automatisierte Verarbeitungen handelt, in denen geschäftsmäßig personenbezogene Daten von der jeweiligen Stelle 1. zum Zweck der Übermittlung, 2. zum Zweck der anonymisierten Übermittlung oder 3. für Zwecke der Markt- oder Meinungsforschung gespeichert werden.
(5) Soweit automatisierte Verarbeitungen besondere Risiken für die Rechte und Freiheiten der Betroffenen aufweisen, unterliegen sie der Prüfung vor Beginn der Verarbeitung (Vorabkontrolle). Eine Vorabkontrolle ist insbesondere durchzuführen, wenn 1. besondere Arten personenbezogener Daten (§ 3 Abs. 9) verarbeitet werden oder 2. die Verarbeitung personenbezogener Daten dazu bestimmt ist, die Persönlichkeit des Betroffenen zu
bewerten einschließlich seiner Fähigkeiten, seiner Leistung oder seines Verhaltens, es sei denn, dass eine gesetzliche Verpflichtung oder eine Einwilligung des Betroffenen vorliegt oder die Erhebung, Verarbeitung oder Nutzung für die Begründung, Durchführung oder Beendigung eines rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses mit dem Betroffenen erforderlich ist.
(6) Zuständig für die Vorabkontrolle ist der Beauftragte für den Datenschutz. Dieser nimmt die Vorabkontrolle nach Empfang der Übersicht nach § 4g Abs. 2 Satz 1 vor. Er hat sich in Zweifelsfällen an die Aufsichtsbehörde oder bei den Post- und Telekommunikationsunternehmen an den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zu wenden.
§ 4e Inhalt der Meldepflicht
Sofern Verfahren automatisierter Verarbeitungen meldepflichtig sind, sind folgende Angaben zu machen: 1. Name oder Firma der verantwortlichen Stelle, 2. Inhaber, Vorstände, Geschäftsführer oder sonstige gesetzliche oder nach der Verfassung des Unternehmens
berufene Leiter und die mit der Leitung der Datenverarbeitung beauftragten Personen, 3. Anschrift der verantwortlichen Stelle,
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 9 von 38 -
4. Zweckbestimmungen der Datenerhebung, -verarbeitung oder -nutzung, 5. eine Beschreibung der betroffenen Personengruppen und der diesbezüglichen Daten oder Datenkategorien, 6. Empfänger oder Kategorien von Empfängern, denen die Daten mitgeteilt werden können, 7. Regelfristen für die Löschung der Daten, 8. eine geplante Datenübermittlung in Drittstaaten, 9. eine allgemeine Beschreibung, die es ermöglicht, vorläufig zu beurteilen, ob die Maßnahmen nach § 9 zur
Gewährleistung der Sicherheit der Verarbeitung angemessen sind. § 4d Abs. 1 und 4 gilt für die Änderung der nach Satz 1 mitgeteilten Angaben sowie für den Zeitpunkt der Aufnahme und der Beendigung der meldepflichtigen Tätigkeit entsprechend.
§ 4f Beauftragter für den Datenschutz
(1) Öffentliche und nicht-öffentliche Stellen, die personenbezogene Daten automatisiert verarbeiten, haben einen Beauftragten für den Datenschutz schriftlich zu bestellen. Nicht-öffentliche Stellen sind hierzu spätestens innerhalb eines Monats nach Aufnahme ihrer Tätigkeit verpflichtet. Das Gleiche gilt, wenn personenbezogene Daten auf andere Weise erhoben, verarbeitet oder genutzt werden und damit in der Regel mindestens 20 Personen beschäftigt sind. Die Sätze 1 und 2 gelten nicht für die nichtöffentlichen Stellen, die in der Regel höchstens neun Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Soweit aufgrund der Struktur einer öffentlichen Stelle erforderlich, genügt die Bestellung eines Beauftragten für den Datenschutz für mehrere Bereiche. Soweit nicht-öffentliche Stellen automatisierte Verarbeitungen vornehmen, die einer Vorabkontrolle unterliegen, oder personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung automatisiert verarbeiten, haben sie unabhängig von der Anzahl der mit der automatisierten Verarbeitung beschäftigten Personen einen Beauftragten für den Datenschutz zu bestellen.
(2) Zum Beauftragten für den Datenschutz darf nur bestellt werden, wer die zur Erfüllung seiner Aufgaben erforderliche Fachkunde und Zuverlässigkeit besitzt. Das Maß der erforderlichen Fachkunde bestimmt sich insbesondere nach dem Umfang der Datenverarbeitung der verantwortlichen Stelle und dem Schutzbedarf der personenbezogenen Daten, die die verantwortliche Stelle erhebt oder verwendet. Zum Beauftragten für den Datenschutz kann auch eine Person außerhalb der verantwortlichen Stelle bestellt werden; die Kontrolle erstreckt sich auch auf personenbezogene Daten, die einem Berufs- oder besonderen Amtsgeheimnis, insbesondere dem Steuergeheimnis nach § 30 der Abgabenordnung, unterliegen. Öffentliche Stellen können mit Zustimmung ihrer Aufsichtsbehörde einen Bediensteten aus einer anderen öffentlichen Stelle zum Beauftragten für den Datenschutz bestellen.
(3) Der Beauftragte für den Datenschutz ist dem Leiter der öffentlichen oder nicht-öffentlichen Stelle unmittelbar zu unterstellen. Er ist in Ausübung seiner Fachkunde auf dem Gebiet des Datenschutzes weisungsfrei. Er darf wegen der Erfüllung seiner Aufgaben nicht benachteiligt werden. Die Bestellung zum Beauftragten für den Datenschutz kann in entsprechender Anwendung von § 626 des Bürgerlichen Gesetzbuches, bei nicht- öffentlichen Stellen auch auf Verlangen der Aufsichtsbehörde, widerrufen werden. Ist nach Absatz 1 ein Beauftragter für den Datenschutz zu bestellen, so ist die Kündigung des Arbeitsverhältnisses unzulässig, es sei denn, dass Tatsachen vorliegen, welche die verantwortliche Stelle zur Kündigung aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist berechtigen. Nach der Abberufung als Beauftragter für den Datenschutz ist die Kündigung innerhalb eines Jahres nach der Beendigung der Bestellung unzulässig, es sei denn, dass die verantwortliche Stelle zur Kündigung aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist berechtigt ist. Zur Erhaltung der zur Erfüllung seiner Aufgaben erforderlichen Fachkunde hat die verantwortliche Stelle dem Beauftragten für den Datenschutz die Teilnahme an Fort- und Weiterbildungsveranstaltungen zu ermöglichen und deren Kosten zu übernehmen.
(4) Der Beauftragte für den Datenschutz ist zur Verschwiegenheit über die Identität des Betroffenen sowie über Umstände, die Rückschlüsse auf den Betroffenen zulassen, verpflichtet, soweit er nicht davon durch den Betroffenen befreit wird.
(4a) Soweit der Beauftragte für den Datenschutz bei seiner Tätigkeit Kenntnis von Daten erhält, für die dem Leiter oder einer bei der öffentlichen oder nichtöffentlichen Stelle beschäftigten Person aus beruflichen Gründen ein Zeugnisverweigerungsrecht zusteht, steht dieses Recht auch dem Beauftragten für den Datenschutz und dessen Hilfspersonal zu. Über die Ausübung dieses Rechts entscheidet die Person, der das Zeugnisverweigerungsrecht aus beruflichen Gründen zusteht, es sei denn, dass diese Entscheidung in
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 10 von 38 -
absehbarer Zeit nicht herbeigeführt werden kann. Soweit das Zeugnisverweigerungsrecht des Beauftragten für den Datenschutz reicht, unterliegen seine Akten und andere Schriftstücke einem Beschlagnahmeverbot.
(5) Die öffentlichen und nicht-öffentlichen Stellen haben den Beauftragten für den Datenschutz bei der Erfüllung seiner Aufgaben zu unterstützen und ihm insbesondere, soweit dies zur Erfüllung seiner Aufgaben erforderlich ist, Hilfspersonal sowie Räume, Einrichtungen, Geräte und Mittel zur Verfügung zu stellen. Betroffene können sich jederzeit an den Beauftragten für den Datenschutz wenden.
§ 4g Aufgaben des Beauftragten für den Datenschutz
(1) Der Beauftragte für den Datenschutz wirkt auf die Einhaltung dieses Gesetzes und anderer Vorschriften über den Datenschutz hin. Zu diesem Zweck kann sich der Beauftragte für den Datenschutz in Zweifelsfällen an die für die Datenschutzkontrolle bei der verantwortlichen Stelle zuständige Behörde wenden. Er kann die Beratung nach § 38 Abs. 1 Satz 2 in Anspruch nehmen. Er hat insbesondere 1. die ordnungsgemäße Anwendung der Datenverarbeitungsprogramme, mit deren Hilfe personenbezogene
Daten verarbeitet werden sollen, zu überwachen; zu diesem Zweck ist er über Vorhaben der automatisierten Verarbeitung personenbezogener Daten rechtzeitig zu unterrichten,
2. die bei der Verarbeitung personenbezogener Daten tätigen Personen durch geeignete Maßnahmen mit den Vorschriften dieses Gesetzes sowie anderen Vorschriften über den Datenschutz und mit den jeweiligen besonderen Erfordernissen des Datenschutzes vertraut zu machen.
(2) Dem Beauftragten für den Datenschutz ist von der verantwortlichen Stelle eine Übersicht über die in § 4e Satz 1 genannten Angaben sowie über zugriffsberechtigte Personen zur Verfügung zu stellen. Der Beauftragte für den Datenschutz macht die Angaben nach § 4e Satz 1 Nr. 1 bis 8 auf Antrag jedermann in geeigneter Weise verfügbar.
(2a) Soweit bei einer nichtöffentlichen Stelle keine Verpflichtung zur Bestellung eines Beauftragten für den Datenschutz besteht, hat der Leiter der nichtöffentlichen Stelle die Erfüllung der Aufgaben nach den Absätzen 1 und 2 in anderer Weise sicherzustellen.
(3) Auf die in § 6 Abs. 2 Satz 4 genannten Behörden findet Absatz 2 Satz 2 keine Anwendung. Absatz 1 Satz 2 findet mit der Maßgabe Anwendung, dass der behördliche Beauftragte für den Datenschutz das Benehmen mit dem Behördenleiter herstellt; bei Unstimmigkeiten zwischen dem behördlichen Beauftragten für den Datenschutz und dem Behördenleiter entscheidet die oberste Bundesbehörde.
§ 5 Datengeheimnis
Den bei der Datenverarbeitung beschäftigten Personen ist untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen (Datengeheimnis). Diese Personen sind, soweit sie bei nicht-öffentlichen Stellen beschäftigt werden, bei der Aufnahme ihrer Tätigkeit auf das Datengeheimnis zu verpflichten. Das Datengeheimnis besteht auch nach Beendigung ihrer Tätigkeit fort.
§ 6 Rechte des Betroffenen
(1) Die Rechte des Betroffenen auf Auskunft (§§ 19, 34) und auf Berichtigung, Löschung oder Sperrung (§§ 20, 35) können nicht durch Rechtsgeschäft ausgeschlossen oder beschränkt werden.
(2) Sind die Daten des Betroffenen automatisiert in der Weise gespeichert, dass mehrere Stellen speicherungsberechtigt sind, und ist der Betroffene nicht in der Lage festzustellen, welche Stelle die Daten gespeichert hat, so kann er sich an jede dieser Stellen wenden. Diese ist verpflichtet, das Vorbringen des Betroffenen an die Stelle, die die Daten gespeichert hat, weiterzuleiten. Der Betroffene ist über die Weiterleitung und jene Stelle zu unterrichten. Die in § 19 Abs. 3 genannten Stellen, die Behörden der Staatsanwaltschaft und der Polizei sowie öffentliche Stellen der Finanzverwaltung, soweit sie personenbezogene Daten in Erfüllung ihrer gesetzlichen Aufgaben im Anwendungsbereich der Abgabenordnung zur Überwachung und Prüfung speichern, können statt des Betroffenen den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit unterrichten. In diesem Fall richtet sich das weitere Verfahren nach § 19 Abs. 6.
(3) Personenbezogene Daten über die Ausübung eines Rechts des Betroffenen, das sich aus diesem Gesetz oder aus einer anderen Vorschrift über den Datenschutz ergibt, dürfen nur zur Erfüllung der sich aus der Ausübung des Rechts ergebenden Pflichten der verantwortlichen Stelle verwendet werden.
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 11 von 38 -
§ 6a Automatisierte Einzelentscheidung
(1) Entscheidungen, die für den Betroffenen eine rechtliche Folge nach sich ziehen oder ihn erheblich beeinträchtigen, dürfen nicht ausschließlich auf eine automatisierte Verarbeitung personenbezogener Daten gestützt werden, die der Bewertung einzelner Persönlichkeitsmerkmale dienen. Eine ausschließlich auf eine automatisierte Verarbeitung gestützte Entscheidung liegt insbesondere dann vor, wenn keine inhaltliche Bewertung und darauf gestützte Entscheidung durch eine natürliche Person stattgefunden hat.
(2) Dies gilt nicht, wenn 1. die Entscheidung im Rahmen des Abschlusses oder der Erfüllung eines Vertragsverhältnisses oder eines
sonstigen Rechtsverhältnisses ergeht und dem Begehren des Betroffenen stattgegeben wurde oder 2. die Wahrung der berechtigten Interessen des Betroffenen durch geeignete Maßnahmen gewährleistet ist und
die verantwortliche Stelle dem Betroffenen die Tatsache des Vorliegens einer Entscheidung im Sinne des Absatzes 1 mitteilt sowie auf Verlangen die wesentlichen Gründe dieser Entscheidung mitteilt und erläutert.
(3) Das Recht des Betroffenen auf Auskunft nach den §§ 19 und 34 erstreckt sich auch auf den logischen Aufbau der automatisierten Verarbeitung der ihn betreffenden Daten.
§ 6b Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen
(1) Die Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen (Videoüberwachung) ist nur zulässig, soweit sie 1. zur Aufgabenerfüllung öffentlicher Stellen, 2. zur Wahrnehmung des Hausrechts oder 3. zur Wahrnehmung berechtigter Interessen für konkret festgelegte Zwecke erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen.
(2) Der Umstand der Beobachtung und die verantwortliche Stelle sind durch geeignete Maßnahmen erkennbar zu machen.
(3) Die Verarbeitung oder Nutzung von nach Absatz 1 erhobenen Daten ist zulässig, wenn sie zum Erreichen des verfolgten Zwecks erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen. Für einen anderen Zweck dürfen sie nur verarbeitet oder genutzt werden, soweit dies zur Abwehr von Gefahren für die staatliche und öffentliche Sicherheit sowie zur Verfolgung von Straftaten erforderlich ist.
(4) Werden durch Videoüberwachung erhobene Daten einer bestimmten Person zugeordnet, ist diese über eine Verarbeitung oder Nutzung entsprechend den §§ 19a und 33 zu benachrichtigen.
(5) Die Daten sind unverzüglich zu löschen, wenn sie zur Erreichung des Zwecks nicht mehr erforderlich sind oder schutzwürdige Interessen der Betroffenen einer weiteren Speicherung entgegenstehen.
§ 6c Mobile personenbezogene Speicher- und Verarbeitungsmedien
(1) Die Stelle, die ein mobiles personenbezogenes Speicher- und Verarbeitungsmedium ausgibt oder ein Verfahren zur automatisierten Verarbeitung personenbezogener Daten, das ganz oder teilweise auf einem solchen Medium abläuft, auf das Medium aufbringt, ändert oder hierzu bereithält, muss den Betroffenen 1. über ihre Identität und Anschrift, 2. in allgemein verständlicher Form über die Funktionsweise des Mediums einschließlich der Art der zu
verarbeitenden personenbezogenen Daten, 3. darüber, wie er seine Rechte nach den §§ 19, 20, 34 und 35 ausüben kann, und 4. über die bei Verlust oder Zerstörung des Mediums zu treffenden Maßnahmen unterrichten, soweit der Betroffene nicht bereits Kenntnis erlangt hat.
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 12 von 38 -
(2) Die nach Absatz 1 verpflichtete Stelle hat dafür Sorge zu tragen, dass die zur Wahrnehmung des Auskunftsrechts erforderlichen Geräte oder Einrichtungen in angemessenem Umfang zum unentgeltlichen Gebrauch zur Verfügung stehen.
(3) Kommunikationsvorgänge, die auf dem Medium eine Datenverarbeitung auslösen, müssen für den Betroffenen eindeutig erkennbar sein.
§ 7 Schadensersatz
Fügt eine verantwortliche Stelle dem Betroffenen durch eine nach diesem Gesetz oder nach anderen Vorschriften über den Datenschutz unzulässige oder unrichtige Erhebung, Verarbeitung oder Nutzung seiner personenbezogenen Daten einen Schaden zu, ist sie oder ihr Träger dem Betroffenen zum Schadensersatz verpflichtet. Die Ersatzpflicht entfällt, soweit die verantwortliche Stelle die nach den Umständen des Falles gebotene Sorgfalt beachtet hat.
§ 8 Schadensersatz bei automatisierter Datenverarbeitung durch öffentliche Stellen
(1) Fügt eine verantwortliche öffentliche Stelle dem Betroffenen durch eine nach diesem Gesetz oder nach anderen Vorschriften über den Datenschutz unzulässige oder unrichtige automatisierte Erhebung, Verarbeitung oder Nutzung seiner personenbezogenen Daten einen Schaden zu, ist ihr Träger dem Betroffenen unabhängig von einem Verschulden zum Schadensersatz verpflichtet.
(2) Bei einer schweren Verletzung des Persönlichkeitsrechts ist dem Betroffenen der Schaden, der nicht Vermögensschaden ist, angemessen in Geld zu ersetzen.
(3) Die Ansprüche nach den Absätzen 1 und 2 sind insgesamt auf einen Betrag von 130.000 Euro begrenzt. Ist aufgrund desselben Ereignisses an mehrere Personen Schadensersatz zu leisten, der insgesamt den Höchstbetrag von 130.000 Euro übersteigt, so verringern sich die einzelnen Schadensersatzleistungen in dem Verhältnis, in dem ihr Gesamtbetrag zu dem Höchstbetrag steht.
(4) Sind bei einer automatisierten Verarbeitung mehrere Stellen speicherungsberechtigt und ist der Geschädigte nicht in der Lage, die speichernde Stelle festzustellen, so haftet jede dieser Stellen.
(5) Hat bei der Entstehung des Schadens ein Verschulden des Betroffenen mitgewirkt, gilt § 254 des Bürgerlichen Gesetzbuchs.
(6) Auf die Verjährung finden die für unerlaubte Handlungen geltenden Verjährungsvorschriften des Bürgerlichen Gesetzbuchs entsprechende Anwendung.
§ 9 Technische und organisatorische Maßnahmen
Öffentliche und nicht-öffentliche Stellen, die selbst oder im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, haben die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften dieses Gesetzes, insbesondere die in der Anlage zu diesem Gesetz genannten Anforderungen, zu gewährleisten. Erforderlich sind Maßnahmen nur, wenn ihr Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht.
§ 9a Datenschutzaudit
Zur Verbesserung des Datenschutzes und der Datensicherheit können Anbieter von Datenverarbeitungssystemen und -programmen und datenverarbeitende Stellen ihr Datenschutzkonzept sowie ihre technischen Einrichtungen durch unabhängige und zugelassene Gutachter prüfen und bewerten lassen sowie das Ergebnis der Prüfung veröffentlichen. Die näheren Anforderungen an die Prüfung und Bewertung, das Verfahren sowie die Auswahl und Zulassung der Gutachter werden durch besonderes Gesetz geregelt.
§ 10 Einrichtung automatisierter Abrufverfahren
(1) Die Einrichtung eines automatisierten Verfahrens, das die Übermittlung personenbezogener Daten durch Abruf ermöglicht, ist zulässig, soweit dieses Verfahren unter Berücksichtigung der schutzwürdigen Interessen der Betroffenen und der Aufgaben oder Geschäftszwecke der beteiligten Stellen angemessen ist. Die Vorschriften über die Zulässigkeit des einzelnen Abrufs bleiben unberührt.
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 13 von 38 -
(2) Die beteiligten Stellen haben zu gewährleisten, dass die Zulässigkeit des Abrufverfahrens kontrolliert werden kann. Hierzu haben sie schriftlich festzulegen: 1. Anlass und Zweck des Abrufverfahrens, 2. Dritte, an die übermittelt wird, 3. Art der zu übermittelnden Daten, 4. nach § 9 erforderliche technische und organisatorische Maßnahmen. Im öffentlichen Bereich können die erforderlichen Festlegungen auch durch die Fachaufsichtsbehörden getroffen werden.
(3) Über die Einrichtung von Abrufverfahren ist in Fällen, in denen die in § 12 Abs. 1 genannten Stellen beteiligt sind, der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit unter Mitteilung der Festlegungen nach Absatz 2 zu unterrichten. Die Einrichtung von Abrufverfahren, bei denen die in § 6 Abs. 2 und in § 19 Abs. 3 genannten Stellen beteiligt sind, ist nur zulässig, wenn das für die speichernde und die abrufende Stelle jeweils zuständige Bundes- oder Landesministerium zugestimmt hat.
(4) Die Verantwortung für die Zulässigkeit des einzelnen Abrufs trägt der Dritte, an den übermittelt wird. Die speichernde Stelle prüft die Zulässigkeit der Abrufe nur, wenn dazu Anlass besteht. Die speichernde Stelle hat zu gewährleisten, dass die Übermittlung personenbezogener Daten zumindest durch geeignete Stichprobenverfahren festgestellt und überprüft werden kann. Wird ein Gesamtbestand personenbezogener Daten abgerufen oder übermittelt (Stapelverarbeitung), so bezieht sich die Gewährleistung der Feststellung und Überprüfung nur auf die Zulässigkeit des Abrufes oder der Übermittlung des Gesamtbestandes.
(5) Die Absätze 1 bis 4 gelten nicht für den Abruf allgemein zugänglicher Daten. Allgemein zugänglich sind Daten, die jedermann, sei es ohne oder nach vorheriger Anmeldung, Zulassung oder Entrichtung eines Entgelts, nutzen kann.
§ 11 Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag
(1) Werden personenbezogene Daten im Auftrag durch andere Stellen erhoben, verarbeitet oder genutzt, ist der Auftraggeber für die Einhaltung der Vorschriften dieses Gesetzes und anderer Vorschriften über den Datenschutz verantwortlich. Die in den §§ 6, 7 und 8 genannten Rechte sind ihm gegenüber geltend zu machen.
(2) Der Auftragnehmer ist unter besonderer Berücksichtigung der Eignung der von ihm getroffenen technischen und organisatorischen Maßnahmen sorgfältig auszuwählen. Der Auftrag ist schriftlich zu erteilen, wobei insbesondere im Einzelnen festzulegen sind: 1. der Gegenstand und die Dauer des Auftrags, 2. der Umfang, die Art und der Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten,
die Art der Daten und der Kreis der Betroffenen, 3. die nach § 9 zu treffenden technischen und organisatorischen Maßnahmen, 4. die Berichtigung, Löschung und Sperrung von Daten, 5. die nach Absatz 4 bestehenden Pflichten des Auftragnehmers, insbesondere die von ihm vorzunehmenden
Kontrollen, 6. die etwaige Berechtigung zur Begründung von Unterauftragsverhältnissen, 7. die Kontrollrechte des Auftraggebers und die entsprechenden Duldungs- und Mitwirkungspflichten des
Auftragnehmers, 8. mitzuteilende Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen Vorschriften
zum Schutz personenbezogener Daten oder gegen die im Auftrag getroffenen Festlegungen, 9. der Umfang der Weisungsbefugnisse, die sich der Auftraggeber gegenüber dem Auftragnehmer vorbehält, 10. die Rückgabe überlassener Datenträger und die Löschung beim Auftragnehmer gespeicherter Daten nach
Beendigung des Auftrags. Er kann bei öffentlichen Stellen auch durch die Fachaufsichtsbehörde erteilt werden. Der Auftraggeber hat sich vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Das Ergebnis ist zu dokumentieren.
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 14 von 38 -
(3) Der Auftragnehmer darf die Daten nur im Rahmen der Weisungen des Auftraggebers erheben, verarbeiten oder nutzen. Ist er der Ansicht, dass eine Weisung des Auftraggebers gegen dieses Gesetz oder andere Vorschriften über den Datenschutz verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen.
(4) Für den Auftragnehmer gelten neben den §§ 5, 9, 43 Abs. 1 Nr. 2, 10 und 11, Abs. 2 Nr. 1 bis 3 und Abs. 3 sowie § 44 nur die Vorschriften über die Datenschutzkontrolle oder die Aufsicht, und zwar für 1. a) öffentliche Stellen,
b) nicht-öffentliche Stellen, bei denen der öffentlichen Hand die Mehrheit der Anteile gehört oder die Mehrheit der Stimmen zusteht und der Auftraggeber eine öffentliche Stelle ist,
die §§ 18, 24 bis 26 oder die entsprechenden Vorschriften der Datenschutzgesetze der Länder, 2. die übrigen nicht-öffentlichen Stellen, soweit sie personenbezogene Daten im Auftrag als
Dienstleistungsunternehmen geschäftsmäßig erheben, verarbeiten oder nutzen, die §§ 4f, 4g und 38.
(5) Die Absätze 1 bis 4 gelten entsprechend, wenn die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag vorgenommen wird und dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.
Zweiter Abschnitt Datenverarbeitung der öffentlichen Stellen
Erster Unterabschnitt Rechtsgrundlagen der Datenverarbeitung § 12 Anwendungsbereich
(1) Die Vorschriften dieses Abschnittes gelten für öffentliche Stellen des Bundes, soweit sie nicht als öffentlich- rechtliche Unternehmen am Wettbewerb teilnehmen.
(2) Soweit der Datenschutz nicht durch Landesgesetz geregelt ist, gelten die §§ 12 bis 16, 19 bis 20 auch für die öffentlichen Stellen der Länder, soweit sie 1. Bundesrecht ausführen und nicht als öffentlich-rechtliche Unternehmen am Wettbewerb teilnehmen oder 2. als Organe der Rechtspflege tätig werden und es sich nicht um Verwaltungsangelegenheiten handelt.
(3) Für Landesbeauftragte für den Datenschutz gilt § 23 Abs. 4 entsprechend.
(4) Werden personenbezogene Daten für frühere, bestehende oder zukünftige Beschäftigungsverhältnisse erhoben, verarbeitet oder genutzt, gelten § 28 Absatz 2 Nummer 2 und die §§ 32 bis 35 anstelle der §§ 13 bis 16 und 19 bis 20.
§ 13 Datenerhebung
(1) Das Erheben personenbezogener Daten ist zulässig, wenn ihre Kenntnis zur Erfüllung der Aufgaben der verantwortlichen Stelle erforderlich ist.
(1a) Werden personenbezogene Daten statt beim Betroffenen bei einer nicht-öffentlichen Stelle erhoben, so ist die Stelle auf die Rechtsvorschrift, die zur Auskunft verpflichtet, sonst auf die Freiwilligkeit ihrer Angaben hinzuweisen.
(2) Das Erheben besonderer Arten personenbezogener Daten (§ 3 Abs. 9) ist nur zulässig, soweit 1. eine Rechtsvorschrift dies vorsieht oder aus Gründen eines wichtigen öffentlichen Interesses zwingend
erfordert, 2. der Betroffene nach Maßgabe des § 4a Abs. 3 eingewilligt hat,
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 15 von 38 -
3. dies zum Schutz lebenswichtiger Interessen des Betroffenen oder eines Dritten erforderlich ist, sofern der Betroffene aus physischen oder rechtlichen Gründen außerstande ist, seine Einwilligung zu geben,
4. es sich um Daten handelt, die der Betroffene offenkundig öffentlich gemacht hat, 5. dies zur Abwehr einer erheblichen Gefahr für die öffentliche Sicherheit erforderlich ist, 6. dies zur Abwehr erheblicher Nachteile für das Gemeinwohl oder zur Wahrung erheblicher Belange des
Gemeinwohls zwingend erforderlich ist, 7. dies zum Zweck der Gesundheitsvorsorge, der medizinischen Diagnostik, der Gesundheitsversorgung
oder Behandlung oder für die Verwaltung von Gesundheitsdiensten erforderlich ist und die Verarbeitung dieser Daten durch ärztliches Personal oder durch sonstige Personen erfolgt, die einer entsprechenden Geheimhaltungspflicht unterliegen,
8. dies zur Durchführung wissenschaftlicher Forschung erforderlich ist, das wissenschaftliche Interesse an der Durchführung des Forschungsvorhabens das Interesse des Betroffenen an dem Ausschluss der Erhebung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann oder
9. dies aus zwingenden Gründen der Verteidigung oder der Erfüllung über- oder zwischenstaatlicher Verpflichtungen einer öffentlichen Stelle des Bundes auf dem Gebiet der Krisenbewältigung oder Konfliktverhinderung oder für humanitäre Maßnahmen erforderlich ist.
§ 14 Datenspeicherung, -veränderung und -nutzung
(1) Das Speichern, Verändern oder Nutzen personenbezogener Daten ist zulässig, wenn es zur Erfüllung der in der Zuständigkeit der verantwortlichen Stelle liegenden Aufgaben erforderlich ist und es für die Zwecke erfolgt, für die die Daten erhoben worden sind. Ist keine Erhebung vorausgegangen, dürfen die Daten nur für die Zwecke geändert oder genutzt werden, für die sie gespeichert worden sind.
(2) Das Speichern, Verändern oder Nutzen für andere Zwecke ist nur zulässig, wenn 1. eine Rechtsvorschrift dies vorsieht oder zwingend voraussetzt, 2. der Betroffene eingewilligt hat, 3. offensichtlich ist, dass es im Interesse des Betroffenen liegt, und kein Grund zu der Annahme besteht, dass
er in Kenntnis des anderen Zwecks seine Einwilligung verweigern würde, 4. Angaben des Betroffenen überprüft werden müssen, weil tatsächliche Anhaltspunkte für deren Unrichtigkeit
bestehen, 5. die Daten allgemein zugänglich sind oder die verantwortliche Stelle sie veröffentlichen dürfte, es sei denn,
dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Zweckänderung offensichtlich überwiegt,
6. es zur Abwehr erheblicher Nachteile für das Gemeinwohl oder einer Gefahr für die öffentliche Sicherheit oder zur Wahrung erheblicher Belange des Gemeinwohls erforderlich ist,
7. es zur Verfolgung von Straftaten oder Ordnungswidrigkeiten, zur Vollstreckung oder zum Vollzug von Strafen oder Maßnahmen im Sinne des § 11 Abs. 1 Nr. 8 des Strafgesetzbuchs oder von Erziehungsmaßregeln oder Zuchtmitteln im Sinne des Jugendgerichtsgesetzes oder zur Vollstreckung von Bußgeldentscheidungen erforderlich ist,
8. es zur Abwehr einer schwerwiegenden Beeinträchtigung der Rechte einer anderen Person erforderlich ist oder
9. es zur Durchführung wissenschaftlicher Forschung erforderlich ist, das wissenschaftliche Interesse an der Durchführung des Forschungsvorhabens das Interesse des Betroffenen an dem Ausschluss der Zweckänderung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann.
(3) Eine Verarbeitung oder Nutzung für andere Zwecke liegt nicht vor, wenn sie der Wahrnehmung von Aufsichts- und Kontrollbefugnissen, der Rechnungsprüfung oder der Durchführung von Organisationsuntersuchungen für die verantwortliche Stelle dient. Das gilt auch für die Verarbeitung oder Nutzung zu Ausbildungs- und Prüfungszwecken durch die verantwortliche Stelle, soweit nicht überwiegende schutzwürdige Interessen des Betroffenen entgegenstehen.
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 16 von 38 -
(4) Personenbezogene Daten, die ausschließlich zu Zwecken der Datenschutzkontrolle, der Datensicherung oder zur Sicherstellung eines ordnungsgemäßen Betriebes einer Datenverarbeitungsanlage gespeichert werden, dürfen nur für diese Zwecke verwendet werden.
(5) Das Speichern, Verändern oder Nutzen von besonderen Arten personenbezogener Daten (§ 3 Abs. 9) für andere Zwecke ist nur zulässig, wenn 1. die Voraussetzungen vorliegen, die eine Erhebung nach § 13 Abs. 2 Nr. 1 bis 6 oder 9 zulassen würden oder 2. dies zur Durchführung wissenschaftlicher Forschung erforderlich ist, das öffentliche Interesse an
der Durchführung des Forschungsvorhabens das Interesse des Betroffenen an dem Ausschluss der Zweckänderung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann.
Bei der Abwägung nach Satz 1 Nr. 2 ist im Rahmen des öffentlichen Interesses das wissenschaftliche Interesse an dem Forschungsvorhaben besonders zu berücksichtigen.
(6) Die Speicherung, Veränderung oder Nutzung von besonderen Arten personenbezogener Daten (§ 3 Abs. 9) zu den in § 13 Abs. 2 Nr. 7 genannten Zwecken richtet sich nach den für die in § 13 Abs. 2 Nr. 7 genannten Personen geltenden Geheimhaltungspflichten.
§ 15 Datenübermittlung an öffentliche Stellen
(1) Die Übermittlung personenbezogener Daten an öffentliche Stellen ist zulässig, wenn 1. sie zur Erfüllung der in der Zuständigkeit der übermittelnden Stelle oder des Dritten, an den die Daten
übermittelt werden, liegenden Aufgaben erforderlich ist und 2. die Voraussetzungen vorliegen, die eine Nutzung nach § 14 zulassen würden.
(2) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle. Erfolgt die Übermittlung auf Ersuchen des Dritten, an den die Daten übermittelt werden, trägt dieser die Verantwortung. In diesem Fall prüft die übermittelnde Stelle nur, ob das Übermittlungsersuchen im Rahmen der Aufgaben des Dritten, an den die Daten übermittelt werden, liegt, es sei denn, dass besonderer Anlass zur Prüfung der Zulässigkeit der Übermittlung besteht. § 10 Abs. 4 bleibt unberührt.
(3) Der Dritte, an den die Daten übermittelt werden, darf diese für den Zweck verarbeiten oder nutzen, zu dessen Erfüllung sie ihm übermittelt werden. Eine Verarbeitung oder Nutzung für andere Zwecke ist nur unter den Voraussetzungen des § 14 Abs. 2 zulässig.
(4) Für die Übermittlung personenbezogener Daten an Stellen der öffentlich-rechtlichen Religionsgesellschaften gelten die Absätze 1 bis 3 entsprechend, sofern sichergestellt ist, dass bei diesen ausreichende Datenschutzmaßnahmen getroffen werden.
(5) Sind mit personenbezogenen Daten, die nach Absatz 1 übermittelt werden dürfen, weitere personenbezogene Daten des Betroffenen oder eines Dritten so verbunden, dass eine Trennung nicht oder nur mit unvertretbarem Aufwand möglich ist, so ist die Übermittlung auch dieser Daten zulässig, soweit nicht berechtigte Interessen des Betroffenen oder eines Dritten an deren Geheimhaltung offensichtlich überwiegen; eine Nutzung dieser Daten ist unzulässig.
(6) Absatz 5 gilt entsprechend, wenn personenbezogene Daten innerhalb einer öffentlichen Stelle weitergegeben werden.
§ 16 Datenübermittlung an nicht-öffentliche Stellen
(1) Die Übermittlung personenbezogener Daten an nicht-öffentliche Stellen ist zulässig, wenn 1. sie zur Erfüllung der in der Zuständigkeit der übermittelnden Stelle liegenden Aufgaben erforderlich ist und
die Voraussetzungen vorliegen, die eine Nutzung nach § 14 zulassen würden, oder 2. der Dritte, an den die Daten übermittelt werden, ein berechtigtes Interesse an der Kenntnis der zu
übermittelnden Daten glaubhaft darlegt und der Betroffene kein schutzwürdiges Interesse an dem Ausschluss der Übermittlung hat. Das Übermitteln von besonderen Arten personenbezogener Daten (§ 3 Abs. 9) ist abweichend von Satz 1 Nr. 2 nur zulässig, wenn die Voraussetzungen vorliegen, die eine Nutzung
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 17 von 38 -
nach § 14 Abs. 5 und 6 zulassen würden oder soweit dies zur Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche erforderlich ist.
(2) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle.
(3) In den Fällen der Übermittlung nach Absatz 1 Nr. 2 unterrichtet die übermittelnde Stelle den Betroffenen von der Übermittlung seiner Daten. Dies gilt nicht, wenn damit zu rechnen ist, dass er davon auf andere Weise Kenntnis erlangt, oder wenn die Unterrichtung die öffentliche Sicherheit gefährden oder sonst dem Wohle des Bundes oder eines Landes Nachteile bereiten würde.
(4) Der Dritte, an den die Daten übermittelt werden, darf diese nur für den Zweck verarbeiten oder nutzen, zu dessen Erfüllung sie ihm übermittelt werden. Die übermittelnde Stelle hat ihn darauf hinzuweisen. Eine Verarbeitung oder Nutzung für andere Zwecke ist zulässig, wenn eine Übermittlung nach Absatz 1 zulässig wäre und die übermittelnde Stelle zugestimmt hat.
§ 17
(weggefallen)
§ 18 Durchführung des Datenschutzes in der Bundesverwaltung
(1) Die obersten Bundesbehörden, der Präsident des Bundeseisenbahnvermögens sowie die bundesunmittelbaren Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts, über die von der Bundesregierung oder einer obersten Bundesbehörde lediglich die Rechtsaufsicht ausgeübt wird, haben für ihren Geschäftsbereich die Ausführung dieses Gesetzes sowie anderer Rechtsvorschriften über den Datenschutz sicherzustellen. Das Gleiche gilt für die Vorstände der aus dem Sondervermögen Deutsche Bundespost durch Gesetz hervorgegangenen Unternehmen, solange diesen ein ausschließliches Recht nach dem Postgesetz zusteht.
(2) Die öffentlichen Stellen führen ein Verzeichnis der eingesetzten Datenverarbeitungsanlagen. Für ihre automatisierten Verarbeitungen haben sie die Angaben nach § 4e sowie die Rechtsgrundlage der Verarbeitung schriftlich festzulegen. Bei allgemeinen Verwaltungszwecken dienenden automatisierten Verarbeitungen, bei welchen das Auskunftsrecht des Betroffenen nicht nach § 19 Abs. 3 oder 4 eingeschränkt wird, kann hiervon abgesehen werden. Für automatisierte Verarbeitungen, die in gleicher oder ähnlicher Weise mehrfach geführt werden, können die Festlegungen zusammengefasst werden.
Zweiter Unterabschnitt Rechte des Betroffenen § 19 Auskunft an den Betroffenen
(1) Dem Betroffenen ist auf Antrag Auskunft zu erteilen über 1. die zu seiner Person gespeicherten Daten, auch soweit sie sich auf die Herkunft dieser Daten beziehen, 2. die Empfänger oder Kategorien von Empfängern, an die die Daten weitergegeben werden, und 3. den Zweck der Speicherung. In dem Antrag soll die Art der personenbezogenen Daten, über die Auskunft erteilt werden soll, näher bezeichnet werden. Sind die personenbezogenen Daten weder automatisiert noch in nicht automatisierten Dateien gespeichert, wird die Auskunft nur erteilt, soweit der Betroffene Angaben macht, die das Auffinden der Daten ermöglichen, und der für die Erteilung der Auskunft erforderliche Aufwand nicht außer Verhältnis zu dem vom Betroffenen geltend gemachten Informationsinteresse steht. Die verantwortliche Stelle bestimmt das Verfahren, insbesondere die Form der Auskunftserteilung, nach pflichtgemäßem Ermessen.
(2) Absatz 1 gilt nicht für personenbezogene Daten, die nur deshalb gespeichert sind, weil sie aufgrund gesetzlicher, satzungsmäßiger oder vertraglicher Aufbewahrungsvorschriften nicht gelöscht werden dürfen, oder ausschließlich Zwecken der Datensicherung oder der Datenschutzkontrolle dienen und eine Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde.
(3) Bezieht sich die Auskunftserteilung auf die Übermittlung personenbezogener Daten an Verfassungsschutzbehörden, den Bundesnachrichtendienst, den Militärischen Abschirmdienst und, soweit die
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 18 von 38 -
Sicherheit des Bundes berührt wird, andere Behörden des Bundesministeriums der Verteidigung, ist sie nur mit Zustimmung dieser Stellen zulässig.
(4) Die Auskunftserteilung unterbleibt, soweit 1. die Auskunft die ordnungsgemäße Erfüllung der in der Zuständigkeit der verantwortlichen Stelle liegenden
Aufgaben gefährden würde, 2. die Auskunft die öffentliche Sicherheit oder Ordnung gefährden oder sonst dem Wohle des Bundes oder
eines Landes Nachteile bereiten würde oder 3. die Daten oder die Tatsache ihrer Speicherung nach einer Rechtsvorschrift oder ihrem Wesen nach,
insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen
und deswegen das Interesse des Betroffenen an der Auskunftserteilung zurücktreten muss.
(5) Die Ablehnung der Auskunftserteilung bedarf einer Begründung nicht, soweit durch die Mitteilung der tatsächlichen und rechtlichen Gründe, auf die die Entscheidung gestützt wird, der mit der Auskunftsverweigerung verfolgte Zweck gefährdet würde. In diesem Fall ist der Betroffene darauf hinzuweisen, dass er sich an den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit wenden kann.
(6) Wird dem Betroffenen keine Auskunft erteilt, so ist sie auf sein Verlangen dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zu erteilen, soweit nicht die jeweils zuständige oberste Bundesbehörde im Einzelfall feststellt, dass dadurch die Sicherheit des Bundes oder eines Landes gefährdet würde. Die Mitteilung des Bundesbeauftragten an den Betroffenen darf keine Rückschlüsse auf den Erkenntnisstand der verantwortlichen Stelle zulassen, sofern diese nicht einer weitergehenden Auskunft zustimmt.
(7) Die Auskunft ist unentgeltlich.
§ 19a Benachrichtigung
(1) Werden Daten ohne Kenntnis des Betroffenen erhoben, so ist er von der Speicherung, der Identität der verantwortlichen Stelle sowie über die Zweckbestimmungen der Erhebung, Verarbeitung oder Nutzung zu unterrichten. Der Betroffene ist auch über die Empfänger oder Kategorien von Empfängern von Daten zu unterrichten, soweit er nicht mit der Übermittlung an diese rechnen muss. Sofern eine Übermittlung vorgesehen ist, hat die Unterrichtung spätestens bei der ersten Übermittlung zu erfolgen.
(2) Eine Pflicht zur Benachrichtigung besteht nicht, wenn 1. der Betroffene auf andere Weise Kenntnis von der Speicherung oder der Übermittlung erlangt hat, 2. die Unterrichtung des Betroffenen einen unverhältnismäßigen Aufwand erfordert oder 3. die Speicherung oder Übermittlung der personenbezogenen Daten durch Gesetz ausdrücklich vorgesehen
ist. Die verantwortliche Stelle legt schriftlich fest, unter welchen Voraussetzungen von einer Benachrichtigung nach Nummer 2 oder 3 abgesehen wird.
(3) § 19 Abs. 2 bis 4 gilt entsprechend.
§ 20 Berichtigung, Löschung und Sperrung von Daten; Widerspruchsrecht
(1) Personenbezogene Daten sind zu berichtigen, wenn sie unrichtig sind. Wird festgestellt, dass personenbezogene Daten, die weder automatisiert verarbeitet noch in nicht automatisierten Dateien gespeichert sind, unrichtig sind, oder wird ihre Richtigkeit von dem Betroffenen bestritten, so ist dies in geeigneter Weise festzuhalten.
(2) Personenbezogene Daten, die automatisiert verarbeitet oder in nicht automatisierten Dateien gespeichert sind, sind zu löschen, wenn 1. ihre Speicherung unzulässig ist oder 2. ihre Kenntnis für die verantwortliche Stelle zur Erfüllung der in ihrer Zuständigkeit liegenden Aufgaben nicht
mehr erforderlich ist.
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 19 von 38 -
(3) An die Stelle einer Löschung tritt eine Sperrung, soweit 1. einer Löschung gesetzliche, satzungsmäßige oder vertragliche Aufbewahrungsfristen entgegenstehen, 2. Grund zu der Annahme besteht, dass durch eine Löschung schutzwürdige Interessen des Betroffenen
beeinträchtigt würden, oder 3. eine Löschung wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem
Aufwand möglich ist.
(4) Personenbezogene Daten, die automatisiert verarbeitet oder in nicht automatisierten Dateien gespeichert sind, sind ferner zu sperren, soweit ihre Richtigkeit vom Betroffenen bestritten wird und sich weder die Richtigkeit noch die Unrichtigkeit feststellen lässt.
(5) Personenbezogene Daten dürfen nicht für eine automatisierte Verarbeitung oder Verarbeitung in nicht automatisierten Dateien erhoben, verarbeitet oder genutzt werden, soweit der Betroffene dieser bei der verantwortlichen Stelle widerspricht und eine Prüfung ergibt, dass das schutzwürdige Interesse des Betroffenen wegen seiner besonderen persönlichen Situation das Interesse der verantwortlichen Stelle an dieser Erhebung, Verarbeitung oder Nutzung überwiegt. Satz 1 gilt nicht, wenn eine Rechtsvorschrift zur Erhebung, Verarbeitung oder Nutzung verpflichtet.
(6) Personenbezogene Daten, die weder automatisiert verarbeitet noch in einer nicht automatisierten Datei gespeichert sind, sind zu sperren, wenn die Behörde im Einzelfall feststellt, dass ohne die Sperrung schutzwürdige Interessen des Betroffenen beeinträchtigt würden und die Daten für die Aufgabenerfüllung der Behörde nicht mehr erforderlich sind.
(7) Gesperrte Daten dürfen ohne Einwilligung des Betroffenen nur übermittelt oder genutzt werden, wenn 1. es zu wissenschaftlichen Zwecken, zur Behebung einer bestehenden Beweisnot oder aus sonstigen im
überwiegenden Interesse der verantwortlichen Stelle oder eines Dritten liegenden Gründen unerlässlich ist und
2. die Daten hierfür übermittelt oder genutzt werden dürften, wenn sie nicht gesperrt wären.
(8) Von der Berichtigung unrichtiger Daten, der Sperrung bestrittener Daten sowie der Löschung oder Sperrung wegen Unzulässigkeit der Speicherung sind die Stellen zu verständigen, denen im Rahmen einer Datenübermittlung diese Daten zur Speicherung weitergegeben wurden, wenn dies keinen unverhältnismäßigen Aufwand erfordert und schutzwürdige Interessen des Betroffenen nicht entgegenstehen.
(9) § 2 Abs. 1 bis 6, 8 und 9 des Bundesarchivgesetzes ist anzuwenden.
§ 21 Anrufung des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit
Jedermann kann sich an den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit wenden, wenn er der Ansicht ist, bei der Erhebung, Verarbeitung oder Nutzung seiner personenbezogenen Daten durch öffentliche Stellen des Bundes in seinen Rechten verletzt worden zu sein. Für die Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten durch Gerichte des Bundes gilt dies nur, soweit diese in Verwaltungsangelegenheiten tätig werden.
Dritter Unterabschnitt Bundesbeauftragter für den Datenschutz und die Informationsfreiheit § 22 Wahl des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit
(1) Der Deutsche Bundestag wählt auf Vorschlag der Bundesregierung den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit mit mehr als der Hälfte der gesetzlichen Zahl seiner Mitglieder. Der Bundesbeauftragte muss bei seiner Wahl das 35. Lebensjahr vollendet haben. Der Gewählte ist vom Bundespräsidenten zu ernennen.
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 20 von 38 -
(2) Der Bundesbeauftragte leistet vor dem Bundesminister des Innern folgenden Eid: "Ich schwöre, dass ich meine Kraft dem Wohle des deutschen Volkes widmen, seinen Nutzen mehren, Schaden von ihm wenden, das Grundgesetz und die Gesetze des Bundes wahren und verteidigen, meine Pflichten gewissenhaft erfüllen und Gerechtigkeit gegen jedermann üben werde. So wahr mir Gott helfe."
Der Eid kann auch ohne religiöse Beteuerung geleistet werden.
(3) Die Amtszeit des Bundesbeauftragten beträgt fünf Jahre. Einmalige Wiederwahl ist zulässig.
(4) Der Bundesbeauftragte steht nach Maßgabe dieses Gesetzes zum Bund in einem öffentlich-rechtlichen Amtsverhältnis. Er ist in Ausübung seines Amtes unabhängig und nur dem Gesetz unterworfen. Er untersteht der Rechtsaufsicht der Bundesregierung.
(5) Der Bundesbeauftragte wird beim Bundesministerium des Innern eingerichtet. Er untersteht der Dienstaufsicht des Bundesministeriums des Innern. Dem Bundesbeauftragten ist die für die Erfüllung seiner Aufgaben notwendige Personal- und Sachausstattung zur Verfügung zu stellen; sie ist im Einzelplan des Bundesministeriums des Innern in einem eigenen Kapitel auszuweisen. Die Stellen sind im Einvernehmen mit dem Bundesbeauftragten zu besetzen. Die Mitarbeiter können, falls sie mit der beabsichtigten Maßnahme nicht einverstanden sind, nur im Einvernehmen mit ihm versetzt, abgeordnet oder umgesetzt werden.
(6) Ist der Bundesbeauftragte vorübergehend an der Ausübung seines Amtes verhindert, kann der Bundesminister des Innern einen Vertreter mit der Wahrnehmung der Geschäfte beauftragen. Der Bundesbeauftragte soll dazu gehört werden.
§ 23 Rechtsstellung des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit
(1) Das Amtsverhältnis des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit beginnt mit der Aushändigung der Ernennungsurkunde. Es endet 1. mit Ablauf der Amtszeit, 2. mit der Entlassung. Der Bundespräsident entlässt den Bundesbeauftragten, wenn dieser es verlangt oder auf Vorschlag der Bundesregierung, wenn Gründe vorliegen, die bei einem Richter auf Lebenszeit die Entlassung aus dem Dienst rechtfertigen. Im Falle der Beendigung des Amtsverhältnisses erhält der Bundesbeauftragte eine vom Bundespräsidenten vollzogene Urkunde. Eine Entlassung wird mit der Aushändigung der Urkunde wirksam. Auf Ersuchen des Bundesministers des Innern ist der Bundesbeauftragte verpflichtet, die Geschäfte bis zur Ernennung seines Nachfolgers weiterzuführen.
(2) Der Bundesbeauftragte darf neben seinem Amt kein anderes besoldetes Amt, kein Gewerbe und keinen Beruf ausüben und weder der Leitung oder dem Aufsichtsrat oder Verwaltungsrat eines auf Erwerb gerichteten Unternehmens noch einer Regierung oder einer gesetzgebenden Körperschaft des Bundes oder eines Landes angehören. Er darf nicht gegen Entgelt außergerichtliche Gutachten abgeben.
(3) Der Bundesbeauftragte hat dem Bundesministerium des Innern Mitteilung über Geschenke zu machen, die er in Bezug auf sein Amt erhält. Das Bundesministerium des Innern entscheidet über die Verwendung der Geschenke.
(4) Der Bundesbeauftragte ist berechtigt, über Personen, die ihm in seiner Eigenschaft als Bundesbeauftragter Tatsachen anvertraut haben, sowie über diese Tatsachen selbst das Zeugnis zu verweigern. Dies gilt auch für die Mitarbeiter des Bundesbeauftragten mit der Maßgabe, dass über die Ausübung dieses Rechts der Bundesbeauftragte entscheidet. Soweit das Zeugnisverweigerungsrecht des Bundesbeauftragten reicht, darf die Vorlegung oder Auslieferung von Akten oder anderen Schriftstücken von ihm nicht gefordert werden.
(5) Der Bundesbeauftragte ist, auch nach Beendigung seines Amtsverhältnisses, verpflichtet, über die ihm amtlich bekanntgewordenen Angelegenheiten Verschwiegenheit zu bewahren. Dies gilt nicht für Mitteilungen im dienstlichen Verkehr oder über Tatsachen, die offenkundig sind oder ihrer Bedeutung nach keiner Geheimhaltung bedürfen. Der Bundesbeauftragte darf, auch wenn er nicht mehr im Amt ist, über solche Angelegenheiten ohne Genehmigung des Bundesministeriums des Innern weder vor Gericht noch außergerichtlich aussagen oder Erklärungen abgeben. Unberührt bleibt die gesetzlich begründete Pflicht, Straftaten anzuzeigen und bei Gefährdung der freiheitlichen demokratischen Grundordnung für deren Erhaltung einzutreten. Für den
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 21 von 38 -
Bundesbeauftragten und seine Mitarbeiter gelten die §§ 93, 97, 105 Abs. 1, § 111 Abs. 5 in Verbindung mit § 105 Abs. 1 sowie § 116 Abs. 1 der Abgabenordnung nicht. Satz 5 findet keine Anwendung, soweit die Finanzbehörden die Kenntnis für die Durchführung eines Verfahrens wegen einer Steuerstraftat sowie eines damit zusammenhängenden Steuerverfahrens benötigen, an deren Verfolgung ein zwingendes öffentliches Interesse besteht, oder soweit es sich um vorsätzlich falsche Angaben des Auskunftspflichtigen oder der für ihn tätigen Personen handelt. Stellt der Bundesbeauftragte einen Datenschutzverstoß fest, ist er befugt, diesen anzuzeigen und den Betroffenen hierüber zu informieren.
(6) Die Genehmigung, als Zeuge auszusagen, soll nur versagt werden, wenn die Aussage dem Wohle des Bundes oder eines deutschen Landes Nachteile bereiten oder die Erfüllung öffentlicher Aufgaben ernstlich gefährden oder erheblich erschweren würde. Die Genehmigung, ein Gutachten zu erstatten, kann versagt werden, wenn die Erstattung den dienstlichen Interessen Nachteile bereiten würde. § 28 des Bundesverfassungsgerichtsgesetzes bleibt unberührt.
(7) Der Bundesbeauftragte erhält vom Beginn des Kalendermonats an, in dem das Amtsverhältnis beginnt, bis zum Schluss des Kalendermonats, in dem das Amtsverhältnis endet, im Falle des Absatzes 1 Satz 6 bis zum Ende des Monats, in dem die Geschäftsführung endet, Amtsbezüge in Höhe der einem Bundesbeamten der Besoldungsgruppe B 9 zustehenden Besoldung. Das Bundesreisekostengesetz und das Bundesumzugskostengesetz sind entsprechend anzuwenden. Im Übrigen sind § 12 Abs 6 sowie die §§ 13 bis 20 und 21a Abs. 5 des Bundesministergesetzes mit den Maßgaben anzuwenden, dass an die Stelle der vierjährigen Amtszeit in § 15 Abs. 1 des Bundesministergesetzes eine Amtszeit von fünf Jahren und an die Stelle der Besoldungsgruppe B 11 in § 21a Abs. 5 des Bundesministergesetzes die Besoldungsgruppe B 9 tritt. Abweichend von Satz 3 in Verbindung mit den §§ 15 bis 17 und 21a Abs. 5 des Bundesministergesetzes berechnet sich das Ruhegehalt des Bundesbeauftragten unter Hinzurechnung der Amtszeit als ruhegehaltsfähige Dienstzeit in entsprechender Anwendung des Beamtenversorgungsgesetzes, wenn dies günstiger ist und der Bundesbeauftragte sich unmittelbar vor seiner Wahl zum Bundesbeauftragten als Beamter oder Richter mindestens in dem letzten gewöhnlich vor Erreichen der Besoldungsgruppe B 9 zu durchlaufenden Amt befunden hat.
(8) Absatz 5 Satz 5 bis 7 gilt entsprechend für die öffentlichen Stellen, die für die Kontrolle der Einhaltung der Vorschriften über den Datenschutz in den Ländern zuständig sind.
§ 24 Kontrolle durch den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit
(1) Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit kontrolliert bei den öffentlichen Stellen des Bundes die Einhaltung der Vorschriften dieses Gesetzes und anderer Vorschriften über den Datenschutz.
(2) Die Kontrolle des Bundesbeauftragten erstreckt sich auch auf 1. von öffentlichen Stellen des Bundes erlangte personenbezogene Daten über den Inhalt und die näheren
Umstände des Brief-, Post- und Fernmeldeverkehrs, und 2. personenbezogene Daten, die einem Berufs- oder besonderen Amtsgeheimnis, insbesondere dem
Steuergeheimnis nach § 30 der Abgabenordnung, unterliegen. Das Grundrecht des Brief-, Post- und Fernmeldegeheimnisses des Artikels 10 des Grundgesetzes wird insoweit eingeschränkt. Personenbezogene Daten, die der Kontrolle durch die Kommission nach § 15 des Artikel 10-Gesetzes unterliegen, unterliegen nicht der Kontrolle durch den Bundesbeauftragten, es sei denn, die Kommission ersucht den Bundesbeauftragten, die Einhaltung der Vorschriften über den Datenschutz bei bestimmten Vorgängen oder in bestimmten Bereichen zu kontrollieren und ausschließlich ihr darüber zu berichten. Der Kontrolle durch den Bundesbeauftragten unterliegen auch nicht personenbezogene Daten in Akten über die Sicherheitsüberprüfung, wenn der Betroffene der Kontrolle der auf ihn bezogenen Daten im Einzelfall gegenüber dem Bundesbeauftragten widerspricht.
(3) Die Bundesgerichte unterliegen der Kontrolle des Bundesbeauftragten nur, soweit sie in Verwaltungsangelegenheiten tätig werden.
(4) Die öffentlichen Stellen des Bundes sind verpflichtet, den Bundesbeauftragten und seine Beauftragten bei der Erfüllung ihrer Aufgaben zu unterstützen. Ihnen ist dabei insbesondere
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 22 von 38 -
1. Auskunft zu ihren Fragen sowie Einsicht in alle Unterlagen, insbesondere in die gespeicherten Daten und in die Datenverarbeitungsprogramme, zu gewähren, die im Zusammenhang mit der Kontrolle nach Absatz 1 stehen,
2. jederzeit Zutritt in alle Diensträume zu gewähren. Die in § 6 Abs. 2 und § 19 Abs. 3 genannten Behörden gewähren die Unterstützung nur dem Bundesbeauftragten selbst und den von ihm schriftlich besonders Beauftragten. Satz 2 gilt für diese Behörden nicht, soweit die oberste Bundesbehörde im Einzelfall feststellt, dass die Auskunft oder Einsicht die Sicherheit des Bundes oder eines Landes gefährden würde.
(5) Der Bundesbeauftragte teilt das Ergebnis seiner Kontrolle der öffentlichen Stelle mit. Damit kann er Vorschläge zur Verbesserung des Datenschutzes, insbesondere zur Beseitigung von festgestellten Mängeln bei der Verarbeitung oder Nutzung personenbezogener Daten, verbinden. § 25 bleibt unberührt.
(6) Absatz 2 gilt entsprechend für die öffentlichen Stellen, die für die Kontrolle der Einhaltung der Vorschriften über den Datenschutz in den Ländern zuständig sind.
§ 25 Beanstandungen durch den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit
(1) Stellt der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Verstöße gegen die Vorschriften dieses Gesetzes oder gegen andere Vorschriften über den Datenschutz oder sonstige Mängel bei der Verarbeitung oder Nutzung personenbezogener Daten fest, so beanstandet er dies 1. bei der Bundesverwaltung gegenüber der zuständigen obersten Bundesbehörde, 2. beim Bundeseisenbahnvermögen gegenüber dem Präsidenten, 3. bei den aus dem Sondervermögen Deutsche Bundespost durch Gesetz hervorgegangenen Unternehmen,
solange ihnen ein ausschließliches Recht nach dem Postgesetz zusteht, gegenüber deren Vorständen, 4. bei den bundesunmittelbaren Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts sowie bei
Vereinigungen solcher Körperschaften, Anstalten und Stiftungen gegenüber dem Vorstand oder dem sonst vertretungsberechtigten Organ
und fordert zur Stellungnahme innerhalb einer von ihm zu bestimmenden Frist auf. In den Fällen von Satz 1 Nr. 4 unterrichtet der Bundesbeauftragte gleichzeitig die zuständige Aufsichtsbehörde.
(2) Der Bundesbeauftragte kann von einer Beanstandung absehen oder auf eine Stellungnahme der betroffenen Stelle verzichten, insbesondere wenn es sich um unerhebliche oder inzwischen beseitigte Mängel handelt.
(3) Die Stellungnahme soll auch eine Darstellung der Maßnahmen enthalten, die aufgrund der Beanstandung des Bundesbeauftragten getroffen worden sind. Die in Absatz 1 Satz 1 Nr. 4 genannten Stellen leiten der zuständigen Aufsichtsbehörde gleichzeitig eine Abschrift ihrer Stellungnahme an den Bundesbeauftragten zu.
§ 26 Weitere Aufgaben des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit
(1) Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit erstattet dem Deutschen Bundestag alle zwei Jahre einen Tätigkeitsbericht. Er unterrichtet den Deutschen Bundestag und die Öffentlichkeit über wesentliche Entwicklungen des Datenschutzes.
(2) Auf Anforderung des Deutschen Bundestages oder der Bundesregierung hat der Bundesbeauftragte Gutachten zu erstellen und Berichte zu erstatten. Auf Ersuchen des Deutschen Bundestages, des Petitionsausschusses, des Innenausschusses oder der Bundesregierung geht der Bundesbeauftragte ferner Hinweisen auf Angelegenheiten und Vorgänge des Datenschutzes bei den öffentlichen Stellen des Bundes nach. Der Bundesbeauftragte kann sich jederzeit an den Deutschen Bundestag wenden.
(3) Der Bundesbeauftragte kann der Bundesregierung und den in § 12 Abs. 1 genannten Stellen des Bundes Empfehlungen zur Verbesserung des Datenschutzes geben und sie in Fragen des Datenschutzes beraten. Die in § 25 Abs. 1 Nr. 1 bis 4 genannten Stellen sind durch den Bundesbeauftragten zu unterrichten, wenn die Empfehlung oder Beratung sie nicht unmittelbar betrifft.
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 23 von 38 -
(4) Der Bundesbeauftragte wirkt auf die Zusammenarbeit mit den öffentlichen Stellen, die für die Kontrolle der Einhaltung der Vorschriften über den Datenschutz in den Ländern zuständig sind, sowie mit den Aufsichtsbehörden nach § 38 hin. § 38 Abs. 1 Satz 4 und 5 gilt entsprechend.
Dritter Abschnitt Datenverarbeitung nicht-öffentlicher Stellen und öffentlich- rechtlicher Wettbewerbsunternehmen
Erster Unterabschnitt Rechtsgrundlagen der Datenverarbeitung § 27 Anwendungsbereich
(1) Die Vorschriften dieses Abschnittes finden Anwendung, soweit personenbezogene Daten unter Einsatz von Datenverarbeitungsanlagen verarbeitet, genutzt oder dafür erhoben werden oder die Daten in oder aus nicht automatisierten Dateien verarbeitet, genutzt oder dafür erhoben werden durch 1. nicht-öffentliche Stellen, 2. a) öffentliche Stellen des Bundes, soweit sie als öffentlich-rechtliche Unternehmen am Wettbewerb
teilnehmen, b) öffentliche Stellen der Länder, soweit sie als öffentlich-rechtliche Unternehmen am Wettbewerb
teilnehmen, Bundesrecht ausführen und der Datenschutz nicht durch Landesgesetz geregelt ist.
Dies gilt nicht, wenn die Erhebung, Verarbeitung oder Nutzung der Daten ausschließlich für persönliche oder familiäre Tätigkeiten erfolgt. In den Fällen der Nummer 2 Buchstabe a gelten anstelle des § 38 die §§ 18, 21 und 24 bis 26.
(2) Die Vorschriften dieses Abschnittes gelten nicht für die Verarbeitung und Nutzung personenbezogener Daten außerhalb von nicht automatisierten Dateien, soweit es sich nicht um personenbezogene Daten handelt, die offensichtlich aus einer automatisierten Verarbeitung entnommen worden sind.
§ 28 Datenerhebung und -speicherung für eigene Geschäftszwecke
(1) Das Erheben, Speichern, Verändern oder Übermitteln personenbezogener Daten oder ihre Nutzung als Mittel für die Erfüllung eigener Geschäftszwecke ist zulässig 1. wenn es für die Begründung, Durchführung oder Beendigung eines rechtsgeschäftlichen oder
rechtsgeschäftsähnlichen Schuldverhältnisses mit dem Betroffenen erforderlich ist, 2. soweit es zur Wahrung berechtigter Interessen der verantwortlichen Stelle erforderlich ist und kein Grund
zu der Annahme besteht, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung oder Nutzung überwiegt, oder
3. wenn die Daten allgemein zugänglich sind oder die verantwortliche Stelle sie veröffentlichen dürfte, es sei denn, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung oder Nutzung gegenüber dem berechtigten Interesse der verantwortlichen Stelle offensichtlich überwiegt.
Bei der Erhebung personenbezogener Daten sind die Zwecke, für die die Daten verarbeitet oder genutzt werden sollen, konkret festzulegen.
(2) Die Übermittlung oder Nutzung für einen anderen Zweck ist zulässig 1. unter den Voraussetzungen des Absatzes 1 Satz 1 Nummer 2 oder Nummer 3, 2. soweit es erforderlich ist,
a) zur Wahrung berechtigter Interessen eines Dritten oder b) zur Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit oder zur Verfolgung von
Straftaten
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 24 von 38 -
und kein Grund zu der Annahme besteht, dass der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Übermittlung oder Nutzung hat, oder
3. wenn es im Interesse einer Forschungseinrichtung zur Durchführung wissenschaftlicher Forschung erforderlich ist, das wissenschaftliche Interesse an der Durchführung des Forschungsvorhabens das Interesse des Betroffenen an dem Ausschluss der Zweckänderung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann.
(3) Die Verarbeitung oder Nutzung personenbezogener Daten für Zwecke des Adresshandels oder der Werbung ist zulässig, soweit der Betroffene eingewilligt hat und im Falle einer nicht schriftlich erteilten Einwilligung die verantwortliche Stelle nach Absatz 3a verfährt. Darüber hinaus ist die Verarbeitung oder Nutzung personenbezogener Daten zulässig, soweit es sich um listenmäßig oder sonst zusammengefasste Daten über Angehörige einer Personengruppe handelt, die sich auf die Zugehörigkeit des Betroffenen zu dieser Personengruppe, seine Berufs-, Branchen- oder Geschäftsbezeichnung, seinen Namen, Titel, akademischen Grad, seine Anschrift und sein Geburtsjahr beschränken, und die Verarbeitung oder Nutzung erforderlich ist 1. für Zwecke der Werbung für eigene Angebote der verantwortlichen Stelle, die diese Daten mit Ausnahme der
Angaben zur Gruppenzugehörigkeit beim Betroffenen nach Absatz 1 Satz 1 Nummer 1 oder aus allgemein zugänglichen Adress-, Rufnummern-, Branchen- oder vergleichbaren Verzeichnissen erhoben hat,
2. für Zwecke der Werbung im Hinblick auf die berufliche Tätigkeit des Betroffenen und unter seiner beruflichen Anschrift oder
3. für Zwecke der Werbung für Spenden, die nach § 10b Absatz 1 und § 34g des Einkommensteuergesetzes steuerbegünstigt sind.
Für Zwecke nach Satz 2 Nummer 1 darf die verantwortliche Stelle zu den dort genannten Daten weitere Daten hinzuspeichern. Zusammengefasste personenbezogene Daten nach Satz 2 dürfen auch dann für Zwecke der Werbung übermittelt werden, wenn die Übermittlung nach Maßgabe des § 34 Absatz 1a Satz 1 gespeichert wird; in diesem Fall muss die Stelle, die die Daten erstmalig erhoben hat, aus der Werbung eindeutig hervorgehen. Unabhängig vom Vorliegen der Voraussetzungen des Satzes 2 dürfen personenbezogene Daten für Zwecke der Werbung für fremde Angebote genutzt werden, wenn für den Betroffenen bei der Ansprache zum Zwecke der Werbung die für die Nutzung der Daten verantwortliche Stelle eindeutig erkennbar ist. Eine Verarbeitung oder Nutzung nach den Sätzen 2 bis 4 ist nur zulässig, soweit schutzwürdige Interessen des Betroffenen nicht entgegenstehen. Nach den Sätzen 1, 2 und 4 übermittelte Daten dürfen nur für den Zweck verarbeitet oder genutzt werden, für den sie übermittelt worden sind.
(3a) Wird die Einwilligung nach § 4a Absatz 1 Satz 3 in anderer Form als der Schriftform erteilt, hat die verantwortliche Stelle dem Betroffenen den Inhalt der Einwilligung schriftlich zu bestätigen, es sei denn, dass die Einwilligung elektronisch erklärt wird und die verantwortliche Stelle sicherstellt, dass die Einwilligung protokolliert wird und der Betroffene deren Inhalt jederzeit abrufen und die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen kann. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist sie in drucktechnisch deutlicher Gestaltung besonders hervorzuheben.
(3b) Die verantwortliche Stelle darf den Abschluss eines Vertrags nicht von einer Einwilligung des Betroffenen nach Absatz 3 Satz 1 abhängig machen, wenn dem Betroffenen ein anderer Zugang zu gleichwertigen vertraglichen Leistungen ohne die Einwilligung nicht oder nicht in zumutbarer Weise möglich ist. Eine unter solchen Umständen erteilte Einwilligung ist unwirksam.
(4) Widerspricht der Betroffene bei der verantwortlichen Stelle der Verarbeitung oder Nutzung seiner Daten für Zwecke der Werbung oder der Markt- oder Meinungsforschung, ist eine Verarbeitung oder Nutzung für diese Zwecke unzulässig. Der Betroffene ist bei der Ansprache zum Zweck der Werbung oder der Markt- oder Meinungsforschung und in den Fällen des Absatzes 1 Satz 1 Nummer 1 auch bei Begründung des rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses über die verantwortliche Stelle sowie über das Widerspruchsrecht nach Satz 1 zu unterrichten; soweit der Ansprechende personenbezogene Daten des Betroffenen nutzt, die bei einer ihm nicht bekannten Stelle gespeichert sind, hat er auch sicherzustellen, dass der Betroffene Kenntnis über die Herkunft der Daten erhalten kann. Widerspricht der Betroffene bei dem Dritten, dem die Daten im Rahmen der Zwecke nach Absatz 3 übermittelt worden sind, der Verarbeitung oder Nutzung für Zwecke der Werbung oder der Markt- oder Meinungsforschung, hat dieser die Daten für diese Zwecke zu sperren. In den Fällen des Absatzes 1 Satz 1 Nummer 1 darf für den Widerspruch keine strengere Form verlangt werden als für die Begründung des rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses.
(5) Der Dritte, dem die Daten übermittelt worden sind, darf diese nur für den Zweck verarbeiten oder nutzen, zu dessen Erfüllung sie ihm übermittelt werden. Eine Verarbeitung oder Nutzung für andere Zwecke ist nicht-
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 25 von 38 -
öffentlichen Stellen nur unter den Voraussetzungen der Absätze 2 und 3 und öffentlichen Stellen nur unter den Voraussetzungen des § 14 Abs. 2 erlaubt. Die übermittelnde Stelle hat ihn darauf hinzuweisen.
(6) Das Erheben, Verarbeiten und Nutzen von besonderen Arten personenbezogener Daten (§ 3 Abs. 9) für eigene Geschäftszwecke ist zulässig, soweit nicht der Betroffene nach Maßgabe des § 4a Abs. 3 eingewilligt hat, wenn 1. dies zum Schutz lebenswichtiger Interessen des Betroffenen oder eines Dritten erforderlich ist, sofern der
Betroffene aus physischen oder rechtlichen Gründen außerstande ist, seine Einwilligung zu geben, 2. es sich um Daten handelt, die der Betroffene offenkundig öffentlich gemacht hat, 3. dies zur Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche erforderlich ist und kein
Grund zu der Annahme besteht, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Erhebung, Verarbeitung oder Nutzung überwiegt, oder
4. dies zur Durchführung wissenschaftlicher Forschung erforderlich ist, das wissenschaftliche Interesse an der Durchführung des Forschungsvorhabens das Interesse des Betroffenen an dem Ausschluss der Erhebung, Verarbeitung und Nutzung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann.
(7) Das Erheben von besonderen Arten personenbezogener Daten (§ 3 Abs. 9) ist ferner zulässig, wenn dies zum Zweck der Gesundheitsvorsorge, der medizinischen Diagnostik, der Gesundheitsversorgung oder Behandlung oder für die Verwaltung von Gesundheitsdiensten erforderlich ist und die Verarbeitung dieser Daten durch ärztliches Personal oder durch sonstige Personen erfolgt, die einer entsprechenden Geheimhaltungspflicht unterliegen. Die Verarbeitung und Nutzung von Daten zu den in Satz 1 genannten Zwecken richtet sich nach den für die in Satz 1 genannten Personen geltenden Geheimhaltungspflichten. Werden zu einem in Satz 1 genannten Zweck Daten über die Gesundheit von Personen durch Angehörige eines anderen als in § 203 Abs. 1 und 3 des Strafgesetzbuchs genannten Berufes, dessen Ausübung die Feststellung, Heilung oder Linderung von Krankheiten oder die Herstellung oder den Vertrieb von Hilfsmitteln mit sich bringt, erhoben, verarbeitet oder genutzt, ist dies nur unter den Voraussetzungen zulässig, unter denen ein Arzt selbst hierzu befugt wäre.
(8) Für einen anderen Zweck dürfen die besonderen Arten personenbezogener Daten (§ 3 Abs. 9) nur unter den Voraussetzungen des Absatzes 6 Nr. 1 bis 4 oder des Absatzes 7 Satz 1 übermittelt oder genutzt werden. Eine Übermittlung oder Nutzung ist auch zulässig, wenn dies zur Abwehr von erheblichen Gefahren für die staatliche und öffentliche Sicherheit sowie zur Verfolgung von Straftaten von erheblicher Bedeutung erforderlich ist.
(9) Organisationen, die politisch, philosophisch, religiös oder gewerkschaftlich ausgerichtet sind und keinen Erwerbszweck verfolgen, dürfen besondere Arten personenbezogener Daten (§ 3 Abs. 9) erheben, verarbeiten oder nutzen, soweit dies für die Tätigkeit der Organisation erforderlich ist. Dies gilt nur für personenbezogene Daten ihrer Mitglieder oder von Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßig Kontakte mit ihr unterhalten. Die Übermittlung dieser personenbezogenen Daten an Personen oder Stellen außerhalb der Organisation ist nur unter den Voraussetzungen des § 4a Abs. 3 zulässig. Absatz 2 Nummer 2 Buchstabe b gilt entsprechend.
§ 28a Datenübermittlung an Auskunfteien
(1) Die Übermittlung personenbezogener Daten über eine Forderung an Auskunfteien ist nur zulässig, soweit die geschuldete Leistung trotz Fälligkeit nicht erbracht worden ist, die Übermittlung zur Wahrung berechtigter Interessen der verantwortlichen Stelle oder eines Dritten erforderlich ist und 1. die Forderung durch ein rechtskräftiges oder für vorläufig vollstreckbar erklärtes Urteil festgestellt worden ist
oder ein Schuldtitel nach § 794 der Zivilprozessordnung vorliegt, 2. die Forderung nach § 178 der Insolvenzordnung festgestellt und nicht vom Schuldner im Prüfungstermin
bestritten worden ist, 3. der Betroffene die Forderung ausdrücklich anerkannt hat, 4. a) der Betroffene nach Eintritt der Fälligkeit der Forderung mindestens zweimal schriftlich gemahnt worden
ist, b) zwischen der ersten Mahnung und der Übermittlung mindestens vier Wochen liegen, c) die verantwortliche Stelle den Betroffenen rechtzeitig vor der Übermittlung der Angaben, jedoch
frühestens bei der ersten Mahnung über die bevorstehende Übermittlung unterrichtet hat und
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 26 von 38 -
d) der Betroffene die Forderung nicht bestritten hat oder
5. das der Forderung zugrunde liegende Vertragsverhältnis aufgrund von Zahlungsrückständen fristlos gekündigt werden kann und die verantwortliche Stelle den Betroffenen über die bevorstehende Übermittlung unterrichtet hat.
Satz 1 gilt entsprechend, wenn die verantwortliche Stelle selbst die Daten nach § 29 verwendet.
(2) Zur zukünftigen Übermittlung nach § 29 Abs. 2 dürfen Kreditinstitute personenbezogene Daten über die Begründung, ordnungsgemäße Durchführung und Beendigung eines Vertragsverhältnisses betreffend ein Bankgeschäft nach § 1 Abs. 1 Satz 2 Nr. 2, 8 oder Nr. 9 des Kreditwesengesetzes an Auskunfteien übermitteln, es sei denn, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Übermittlung gegenüber dem Interesse der Auskunftei an der Kenntnis der Daten offensichtlich überwiegt. Der Betroffene ist vor Abschluss des Vertrages hierüber zu unterrichten. Satz 1 gilt nicht für Giroverträge, die die Einrichtung eines Kontos ohne Überziehungsmöglichkeit zum Gegenstand haben. Zur zukünftigen Übermittlung nach § 29 Abs. 2 ist die Übermittlung von Daten über Verhaltensweisen des Betroffenen, die im Rahmen eines vorvertraglichen Vertrauensverhältnisses der Herstellung von Markttransparenz dienen, an Auskunfteien auch mit Einwilligung des Betroffenen unzulässig.
(3) Nachträgliche Änderungen der einer Übermittlung nach Absatz 1 oder Absatz 2 zugrunde liegenden Tatsachen hat die verantwortliche Stelle der Auskunftei innerhalb von einem Monat nach Kenntniserlangung mitzuteilen, solange die ursprünglich übermittelten Daten bei der Auskunftei gespeichert sind. Die Auskunftei hat die übermittelnde Stelle über die Löschung der ursprünglich übermittelten Daten zu unterrichten.
§ 28b Scoring
Zum Zweck der Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit dem Betroffenen darf ein Wahrscheinlichkeitswert für ein bestimmtes zukünftiges Verhalten des Betroffenen erhoben oder verwendet werden, wenn 1. die zur Berechnung des Wahrscheinlichkeitswerts genutzten Daten unter Zugrundelegung eines
wissenschaftlich anerkannten mathematisch-statistischen Verfahrens nachweisbar für die Berechnung der Wahrscheinlichkeit des bestimmten Verhaltens erheblich sind,
2. im Fall der Berechnung des Wahrscheinlichkeitswerts durch eine Auskunftei die Voraussetzungen für eine Übermittlung der genutzten Daten nach § 29 und in allen anderen Fällen die Voraussetzungen einer zulässigen Nutzung der Daten nach § 28 vorliegen,
3. für die Berechnung des Wahrscheinlichkeitswerts nicht ausschließlich Anschriftendaten genutzt werden, 4. im Fall der Nutzung von Anschriftendaten der Betroffene vor Berechnung des Wahrscheinlichkeitswerts über
die vorgesehene Nutzung dieser Daten unterrichtet worden ist; die Unterrichtung ist zu dokumentieren.
§ 29 Geschäftsmäßige Datenerhebung und -speicherung zum Zweck der Übermittlung
(1) Das geschäftsmäßige Erheben, Speichern, Verändern oder Nutzen personenbezogener Daten zum Zweck der Übermittlung, insbesondere wenn dies der Werbung, der Tätigkeit von Auskunfteien oder dem Adresshandel dient, ist zulässig, wenn 1. kein Grund zu der Annahme besteht, dass der Betroffene ein schutzwürdiges Interesse an dem Ausschluss
der Erhebung, Speicherung oder Veränderung hat, 2. die Daten aus allgemein zugänglichen Quellen entnommen werden können oder die verantwortliche Stelle
sie veröffentlichen dürfte, es sei denn, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Erhebung, Speicherung oder Veränderung offensichtlich überwiegt, oder
3. die Voraussetzungen des § 28a Abs. 1 oder Abs. 2 erfüllt sind; Daten im Sinne von § 28a Abs. 2 Satz 4 dürfen nicht erhoben oder gespeichert werden.
§ 28 Absatz 1 Satz 2 und Absatz 3 bis 3b ist anzuwenden.
(2) Die Übermittlung im Rahmen der Zwecke nach Absatz 1 ist zulässig, wenn 1. der Dritte, dem die Daten übermittelt werden, ein berechtigtes Interesse an ihrer Kenntnis glaubhaft
dargelegt hat und
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 27 von 38 -
2. kein Grund zu der Annahme besteht, dass der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Übermittlung hat.
§ 28 Absatz 3 bis 3b gilt entsprechend. Bei der Übermittlung nach Satz 1 Nr. 1 sind die Gründe für das Vorliegen eines berechtigten Interesses und die Art und Weise ihrer glaubhaften Darlegung von der übermittelnden Stelle aufzuzeichnen. Bei der Übermittlung im automatisierten Abrufverfahren obliegt die Aufzeichnungspflicht dem Dritten, dem die Daten übermittelt werden. Die übermittelnde Stelle hat Stichprobenverfahren nach § 10 Abs. 4 Satz 3 durchzuführen und dabei auch das Vorliegen eines berechtigten Interesses einzelfallbezogen festzustellen und zu überprüfen.
(3) Die Aufnahme personenbezogener Daten in elektronische oder gedruckte Adress-, Rufnummern-, Branchen- oder vergleichbare Verzeichnisse hat zu unterbleiben, wenn der entgegenstehende Wille des Betroffenen aus dem zugrunde liegenden elektronischen oder gedruckten Verzeichnis oder Register ersichtlich ist. Der Empfänger der Daten hat sicherzustellen, dass Kennzeichnungen aus elektronischen oder gedruckten Verzeichnissen oder Registern bei der Übernahme in Verzeichnisse oder Register übernommen werden.
(4) Für die Verarbeitung oder Nutzung der übermittelten Daten gilt § 28 Abs. 4 und 5.
(5) § 28 Abs. 6 bis 9 gilt entsprechend.
(6) Eine Stelle, die geschäftsmäßig personenbezogene Daten, die zur Bewertung der Kreditwürdigkeit von Verbrauchern genutzt werden dürfen, zum Zweck der Übermittlung erhebt, speichert oder verändert, hat Auskunftsverlangen von Darlehensgebern aus anderen Mitgliedstaaten der Europäischen Union oder anderen Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum genauso zu behandeln wie Auskunftsverlangen inländischer Darlehensgeber.
(7) Wer den Abschluss eines Verbraucherdarlehensvertrags oder eines Vertrags über eine entgeltliche Finanzierungshilfe mit einem Verbraucher infolge einer Auskunft einer Stelle im Sinne des Absatzes 6 ablehnt, hat den Verbraucher unverzüglich hierüber sowie über die erhaltene Auskunft zu unterrichten. Die Unterrichtung unterbleibt, soweit hierdurch die öffentliche Sicherheit oder Ordnung gefährdet würde. § 6a bleibt unberührt.
§ 30 Geschäftsmäßige Datenerhebung und -speicherung zum Zweck der Übermittlung in anonymisierter Form
(1) Werden personenbezogene Daten geschäftsmäßig erhoben und gespeichert, um sie in anonymisierter Form zu übermitteln, sind die Merkmale gesondert zu speichern, mit denen Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können. Diese Merkmale dürfen mit den Einzelangaben nur zusammengeführt werden, soweit dies für die Erfüllung des Zwecks der Speicherung oder zu wissenschaftlichen Zwecken erforderlich ist.
(2) Die Veränderung personenbezogener Daten ist zulässig, wenn 1. kein Grund zu der Annahme besteht, dass der Betroffene ein schutzwürdiges Interesse an dem Ausschluss
der Veränderung hat, oder 2. die Daten aus allgemein zugänglichen Quellen entnommen werden können oder die verantwortliche Stelle
sie veröffentlichen dürfte, soweit nicht das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Veränderung offensichtlich überwiegt.
(3) Die personenbezogenen Daten sind zu löschen, wenn ihre Speicherung unzulässig ist.
(4) § 29 gilt nicht.
(5) § 28 Abs. 6 bis 9 gilt entsprechend.
§ 30a Geschäftsmäßige Datenerhebung und -speicherung für Zwecke der Markt- oder Meinungsforschung
(1) Das geschäftsmäßige Erheben, Verarbeiten oder Nutzen personenbezogener Daten für Zwecke der Markt- oder Meinungsforschung ist zulässig, wenn 1. kein Grund zu der Annahme besteht, dass der Betroffene ein schutzwürdiges Interesse an dem Ausschluss
der Erhebung, Verarbeitung oder Nutzung hat, oder
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 28 von 38 -
2. die Daten aus allgemein zugänglichen Quellen entnommen werden können oder die verantwortliche Stelle sie veröffentlichen dürfte und das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Erhebung, Verarbeitung oder Nutzung gegenüber dem Interesse der verantwortlichen Stelle nicht offensichtlich überwiegt.
Besondere Arten personenbezogener Daten (§ 3 Absatz 9) dürfen nur für ein bestimmtes Forschungsvorhaben erhoben, verarbeitet oder genutzt werden.
(2) Für Zwecke der Markt- oder Meinungsforschung erhobene oder gespeicherte personenbezogene Daten dürfen nur für diese Zwecke verarbeitet oder genutzt werden. Daten, die nicht aus allgemein zugänglichen Quellen entnommen worden sind und die die verantwortliche Stelle auch nicht veröffentlichen darf, dürfen nur für das Forschungsvorhaben verarbeitet oder genutzt werden, für das sie erhoben worden sind. Für einen anderen Zweck dürfen sie nur verarbeitet oder genutzt werden, wenn sie zuvor so anonymisiert werden, dass ein Personenbezug nicht mehr hergestellt werden kann.
(3) Die personenbezogenen Daten sind zu anonymisieren, sobald dies nach dem Zweck des Forschungsvorhabens, für das die Daten erhoben worden sind, möglich ist. Bis dahin sind die Merkmale gesondert zu speichern, mit denen Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren Person zugeordnet werden können. Diese Merkmale dürfen mit den Einzelangaben nur zusammengeführt werden, soweit dies nach dem Zweck des Forschungsvorhabens erforderlich ist.
(4) § 29 gilt nicht.
(5) § 28 Absatz 4 und 6 bis 9 gilt entsprechend.
§ 31 Besondere Zweckbindung
Personenbezogene Daten, die ausschließlich zu Zwecken der Datenschutzkontrolle, der Datensicherung oder zur Sicherstellung eines ordnungsgemäßen Betriebes einer Datenverarbeitungsanlage gespeichert werden, dürfen nur für diese Zwecke verwendet werden.
§ 32 Datenerhebung, -verarbeitung und -nutzung für Zwecke des Beschäftigungsverhältnisses
(1) Personenbezogene Daten eines Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses erhoben, verarbeitet oder genutzt werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung erforderlich ist. Zur Aufdeckung von Straftaten dürfen personenbezogene Daten eines Beschäftigten nur dann erhoben, verarbeitet oder genutzt werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass der Betroffene im Beschäftigungsverhältnis eine Straftat begangen hat, die Erhebung, Verarbeitung oder Nutzung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse des Beschäftigten an dem Ausschluss der Erhebung, Verarbeitung oder Nutzung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind.
(2) Absatz 1 ist auch anzuwenden, wenn personenbezogene Daten erhoben, verarbeitet oder genutzt werden, ohne dass sie automatisiert verarbeitet oder in oder aus einer nicht automatisierten Datei verarbeitet, genutzt oder für die Verarbeitung oder Nutzung in einer solchen Datei erhoben werden.
(3) Die Beteiligungsrechte der Interessenvertretungen der Beschäftigten bleiben unberührt.
Zweiter Unterabschnitt Rechte des Betroffenen § 33 Benachrichtigung des Betroffenen
(1) Werden erstmals personenbezogene Daten für eigene Zwecke ohne Kenntnis des Betroffenen gespeichert, ist der Betroffene von der Speicherung, der Art der Daten, der Zweckbestimmung der Erhebung, Verarbeitung oder Nutzung und der Identität der verantwortlichen Stelle zu benachrichtigen. Werden personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung ohne Kenntnis des Betroffenen gespeichert, ist der Betroffene von der erstmaligen Übermittlung und der Art der übermittelten Daten zu benachrichtigen. Der Betroffene ist
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 29 von 38 -
in den Fällen der Sätze 1 und 2 auch über die Kategorien von Empfängern zu unterrichten, soweit er nach den Umständen des Einzelfalles nicht mit der Übermittlung an diese rechnen muss.
(2) Eine Pflicht zur Benachrichtigung besteht nicht, wenn 1. der Betroffene auf andere Weise Kenntnis von der Speicherung oder der Übermittlung erlangt hat, 2. die Daten nur deshalb gespeichert sind, weil sie aufgrund gesetzlicher, satzungsmäßiger oder vertraglicher
Aufbewahrungsvorschriften nicht gelöscht werden dürfen oder ausschließlich der Datensicherung oder der Datenschutzkontrolle dienen und eine Benachrichtigung einen unverhältnismäßigen Aufwand erfordern würde,
3. die Daten nach einer Rechtsvorschrift oder ihrem Wesen nach, namentlich wegen des überwiegenden rechtlichen Interesses eines Dritten, geheimgehalten werden müssen,
4. die Speicherung oder Übermittlung durch Gesetz ausdrücklich vorgesehen ist, 5. die Speicherung oder Übermittlung für Zwecke der wissenschaftlichen Forschung erforderlich ist und eine
Benachrichtigung einen unverhältnismäßigen Aufwand erfordern würde, 6. die zuständige öffentliche Stelle gegenüber der verantwortlichen Stelle festgestellt hat, dass das
Bekanntwerden der Daten die öffentliche Sicherheit oder Ordnung gefährden oder sonst dem Wohle des Bundes oder eines Landes Nachteile bereiten würde,
7. die Daten für eigene Zwecke gespeichert sind und a) aus allgemein zugänglichen Quellen entnommen sind und eine Benachrichtigung wegen der Vielzahl der
betroffenen Fälle unverhältnismäßig ist, oder b) die Benachrichtigung die Geschäftszwecke der verantwortlichen Stelle erheblich gefährden würde, es
sei denn, dass das Interesse an der Benachrichtigung die Gefährdung überwiegt,
8. die Daten geschäftsmäßig zum Zweck der Übermittlung gespeichert sind und a) aus allgemein zugänglichen Quellen entnommen sind, soweit sie sich auf diejenigen Personen beziehen,
die diese Daten veröffentlicht haben, oder b) es sich um listenmäßig oder sonst zusammengefasste Daten handelt (§ 29 Absatz 2 Satz 2) und eine Benachrichtigung wegen der Vielzahl der betroffenen Fälle unverhältnismäßig ist,
9. aus allgemein zugänglichen Quellen entnommene Daten geschäftsmäßig für Zwecke der Markt- oder Meinungsforschung gespeichert sind und eine Benachrichtigung wegen der Vielzahl der betroffenen Fälle unverhältnismäßig ist.
Die verantwortliche Stelle legt schriftlich fest, unter welchen Voraussetzungen von einer Benachrichtigung nach Satz 1 Nr. 2 bis 7 abgesehen wird.
§ 34 Auskunft an den Betroffenen
(1) Die verantwortliche Stelle hat dem Betroffenen auf Verlangen Auskunft zu erteilen über 1. die zu seiner Person gespeicherten Daten, auch soweit sie sich auf die Herkunft dieser Daten beziehen, 2. den Empfänger oder die Kategorien von Empfängern, an die Daten weitergegeben werden, und 3. den Zweck der Speicherung. Der Betroffene soll die Art der personenbezogenen Daten, über die Auskunft erteilt werden soll, näher bezeichnen. Werden die personenbezogenen Daten geschäftsmäßig zum Zweck der Übermittlung gespeichert, ist Auskunft über die Herkunft und die Empfänger auch dann zu erteilen, wenn diese Angaben nicht gespeichert sind. Die Auskunft über die Herkunft und die Empfänger kann verweigert werden, soweit das Interesse an der Wahrung des Geschäftsgeheimnisses gegenüber dem Informationsinteresse des Betroffenen überwiegt.
(1a) Im Fall des § 28 Absatz 3 Satz 4 hat die übermittelnde Stelle die Herkunft der Daten und den Empfänger für die Dauer von zwei Jahren nach der Übermittlung zu speichern und dem Betroffenen auf Verlangen Auskunft über die Herkunft der Daten und den Empfänger zu erteilen. Satz 1 gilt entsprechend für den Empfänger.
(2) Im Fall des § 28b hat die für die Entscheidung verantwortliche Stelle dem Betroffenen auf Verlangen Auskunft zu erteilen über
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 30 von 38 -
1. die innerhalb der letzten sechs Monate vor dem Zugang des Auskunftsverlangens erhobenen oder erstmalig gespeicherten Wahrscheinlichkeitswerte,
2. die zur Berechnung der Wahrscheinlichkeitswerte genutzten Datenarten und 3. das Zustandekommen und die Bedeutung der Wahrscheinlichkeitswerte einzelfallbezogen und
nachvollziehbar in allgemein verständlicher Form. Satz 1 gilt entsprechend, wenn die für die Entscheidung verantwortliche Stelle 1. die zur Berechnung der Wahrscheinlichkeitswerte genutzten Daten ohne Personenbezug speichert, den
Personenbezug aber bei der Berechnung herstellt oder 2. bei einer anderen Stelle gespeicherte Daten nutzt. Hat eine andere als die für die Entscheidung verantwortliche Stelle 1. den Wahrscheinlichkeitswert oder 2. einen Bestandteil des Wahrscheinlichkeitswerts berechnet, hat sie die insoweit zur Erfüllung der Auskunftsansprüche nach den Sätzen 1 und 2 erforderlichen Angaben auf Verlangen der für die Entscheidung verantwortlichen Stelle an diese zu übermitteln. Im Fall des Satzes 3 Nr. 1 hat die für die Entscheidung verantwortliche Stelle den Betroffenen zur Geltendmachung seiner Auskunftsansprüche unter Angabe des Namens und der Anschrift der anderen Stelle sowie der zur Bezeichnung des Einzelfalls notwendigen Angaben unverzüglich an diese zu verweisen, soweit sie die Auskunft nicht selbst erteilt. In diesem Fall hat die andere Stelle, die den Wahrscheinlichkeitswert berechnet hat, die Auskunftsansprüche nach den Sätzen 1 und 2 gegenüber dem Betroffenen unentgeltlich zu erfüllen. Die Pflicht der für die Berechnung des Wahrscheinlichkeitswerts verantwortlichen Stelle nach Satz 3 entfällt, soweit die für die Entscheidung verantwortliche Stelle von ihrem Recht nach Satz 4 Gebrauch macht.
(3) Eine Stelle, die geschäftsmäßig personenbezogene Daten zum Zweck der Übermittlung speichert, hat dem Betroffenen auf Verlangen Auskunft über die zu seiner Person gespeicherten Daten zu erteilen, auch wenn sie weder automatisiert verarbeitet werden noch in einer nicht automatisierten Datei gespeichert sind. Dem Betroffenen ist auch Auskunft zu erteilen über Daten, die 1. gegenwärtig noch keinen Personenbezug aufweisen, bei denen ein solcher aber im Zusammenhang mit der
Auskunftserteilung von der verantwortlichen Stelle hergestellt werden soll, 2. die verantwortliche Stelle nicht speichert, aber zum Zweck der Auskunftserteilung nutzt. Die Auskunft über die Herkunft und die Empfänger kann verweigert werden, soweit das Interesse an der Wahrung des Geschäftsgeheimnisses gegenüber dem Informationsinteresse des Betroffenen überwiegt.
(4) Eine Stelle, die geschäftsmäßig personenbezogene Daten zum Zweck der Übermittlung erhebt, speichert oder verändert, hat dem Betroffenen auf Verlangen Auskunft zu erteilen über 1. die innerhalb der letzten zwölf Monate vor dem Zugang des Auskunftsverlangens übermittelten
Wahrscheinlichkeitswerte für ein bestimmtes zukünftiges Verhalten des Betroffenen sowie die Namen und letztbekannten Anschriften der Dritten, an die die Werte übermittelt worden sind,
2. die Wahrscheinlichkeitswerte, die sich zum Zeitpunkt des Auskunftsverlangens nach den von der Stelle zur Berechnung angewandten Verfahren ergeben,
3. die zur Berechnung der Wahrscheinlichkeitswerte nach den Nummern 1 und 2 genutzten Datenarten sowie 4. das Zustandekommen und die Bedeutung der Wahrscheinlichkeitswerte einzelfallbezogen und
nachvollziehbar in allgemein verständlicher Form. Satz 1 gilt entsprechend, wenn die verantwortliche Stelle 1. die zur Berechnung des Wahrscheinlichkeitswerts genutzten Daten ohne Personenbezug speichert, den
Personenbezug aber bei der Berechnung herstellt oder 2. bei einer anderen Stelle gespeicherte Daten nutzt.
(5) Die nach den Absätzen 1a bis 4 zum Zweck der Auskunftserteilung an den Betroffenen gespeicherten Daten dürfen nur für diesen Zweck sowie für Zwecke der Datenschutzkontrolle verwendet werden; für andere Zwecke sind sie zu sperren.
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 31 von 38 -
(6) Die Auskunft ist auf Verlangen in Textform zu erteilen, soweit nicht wegen der besonderen Umstände eine andere Form der Auskunftserteilung angemessen ist.
(7) Eine Pflicht zur Auskunftserteilung besteht nicht, wenn der Betroffene nach § 33 Abs. 2 Satz 1 Nr. 2, 3 und 5 bis 7 nicht zu benachrichtigen ist.
(8) Die Auskunft ist unentgeltlich. Werden die personenbezogenen Daten geschäftsmäßig zum Zweck der Übermittlung gespeichert, kann der Betroffene einmal je Kalenderjahr eine unentgeltliche Auskunft in Textform verlangen. Für jede weitere Auskunft kann ein Entgelt verlangt werden, wenn der Betroffene die Auskunft gegenüber Dritten zu wirtschaftlichen Zwecken nutzen kann. Das Entgelt darf über die durch die Auskunftserteilung entstandenen unmittelbar zurechenbaren Kosten nicht hinausgehen. Ein Entgelt kann nicht verlangt werden, wenn 1. besondere Umstände die Annahme rechtfertigen, dass Daten unrichtig oder unzulässig gespeichert werden,
oder 2. die Auskunft ergibt, dass die Daten nach § 35 Abs. 1 zu berichtigen oder nach § 35 Abs. 2 Satz 2 Nr. 1 zu
löschen sind.
(9) Ist die Auskunftserteilung nicht unentgeltlich, ist dem Betroffenen die Möglichkeit zu geben, sich im Rahmen seines Auskunftsanspruchs persönlich Kenntnis über die ihn betreffenden Daten zu verschaffen. Er ist hierauf hinzuweisen.
§ 35 Berichtigung, Löschung und Sperrung von Daten
(1) Personenbezogene Daten sind zu berichtigen, wenn sie unrichtig sind. Geschätzte Daten sind als solche deutlich zu kennzeichnen.
(2) Personenbezogene Daten können außer in den Fällen des Absatzes 3 Nr. 1 und 2 jederzeit gelöscht werden. Personenbezogene Daten sind zu löschen, wenn 1. ihre Speicherung unzulässig ist, 2. es sich um Daten über die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder
philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit, Sexualleben, strafbare Handlungen oder Ordnungswidrigkeiten handelt und ihre Richtigkeit von der verantwortlichen Stelle nicht bewiesen werden kann,
3. sie für eigene Zwecke verarbeitet werden, sobald ihre Kenntnis für die Erfüllung des Zwecks der Speicherung nicht mehr erforderlich ist, oder
4. sie geschäftsmäßig zum Zweck der Übermittlung verarbeitet werden und eine Prüfung jeweils am Ende des vierten, soweit es sich um Daten über erledigte Sachverhalte handelt und der Betroffene der Löschung nicht widerspricht, am Ende des dritten Kalenderjahres beginnend mit dem Kalenderjahr, das der erstmaligen Speicherung folgt, ergibt, dass eine längerwährende Speicherung nicht erforderlich ist.
Personenbezogene Daten, die auf der Grundlage von § 28a Abs. 2 Satz 1 oder § 29 Abs. 1 Satz 1 Nr. 3 gespeichert werden, sind nach Beendigung des Vertrages auch zu löschen, wenn der Betroffene dies verlangt.
(3) An die Stelle einer Löschung tritt eine Sperrung, soweit 1. im Fall des Absatzes 2 Satz 2 Nr. 3 einer Löschung gesetzliche, satzungsmäßige oder vertragliche
Aufbewahrungsfristen entgegenstehen, 2. Grund zu der Annahme besteht, dass durch eine Löschung schutzwürdige Interessen des Betroffenen
beeinträchtigt würden, oder 3. eine Löschung wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem
Aufwand möglich ist.
(4) Personenbezogene Daten sind ferner zu sperren, soweit ihre Richtigkeit vom Betroffenen bestritten wird und sich weder die Richtigkeit noch die Unrichtigkeit feststellen lässt.
(4a) Die Tatsache der Sperrung darf nicht übermittelt werden.
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 32 von 38 -
(5) Personenbezogene Daten dürfen nicht für eine automatisierte Verarbeitung oder Verarbeitung in nicht automatisierten Dateien erhoben, verarbeitet oder genutzt werden, soweit der Betroffene dieser bei der verantwortlichen Stelle widerspricht und eine Prüfung ergibt, dass das schutzwürdige Interesse des Betroffenen wegen seiner besonderen persönlichen Situation das Interesse der verantwortlichen Stelle an dieser Erhebung, Verarbeitung oder Nutzung überwiegt. Satz 1 gilt nicht, wenn eine Rechtsvorschrift zur Erhebung, Verarbeitung oder Nutzung verpflichtet.
(6) Personenbezogene Daten, die unrichtig sind oder deren Richtigkeit bestritten wird, müssen bei der geschäftsmäßigen Datenspeicherung zum Zweck der Übermittlung außer in den Fällen des Absatzes 2 Nr. 2 nicht berichtigt, gesperrt oder gelöscht werden, wenn sie aus allgemein zugänglichen Quellen entnommen und zu Dokumentationszwecken gespeichert sind. Auf Verlangen des Betroffenen ist diesen Daten für die Dauer der Speicherung seine Gegendarstellung beizufügen. Die Daten dürfen nicht ohne diese Gegendarstellung übermittelt werden.
(7) Von der Berichtigung unrichtiger Daten, der Sperrung bestrittener Daten sowie der Löschung oder Sperrung wegen Unzulässigkeit der Speicherung sind die Stellen zu verständigen, denen im Rahmen einer Datenübermittlung diese Daten zur Speicherung weitergegeben wurden, wenn dies keinen unverhältnismäßigen Aufwand erfordert und schutzwürdige Interessen des Betroffenen nicht entgegenstehen.
(8) Gesperrte Daten dürfen ohne Einwilligung des Betroffenen nur übermittelt oder genutzt werden, wenn 1. es zu wissenschaftlichen Zwecken, zur Behebung einer bestehenden Beweisnot oder aus sonstigen im
überwiegenden Interesse der verantwortlichen Stelle oder eines Dritten liegenden Gründen unerlässlich ist und
2. die Daten hierfür übermittelt oder genutzt werden dürften, wenn sie nicht gesperrt wären.
Dritter Unterabschnitt Aufsichtsbehörde §§ 36 und 37 (weggefallen)
-
§ 38 Aufsichtsbehörde
(1) Die Aufsichtsbehörde kontrolliert die Ausführung dieses Gesetzes sowie anderer Vorschriften über den Datenschutz, soweit diese die automatisierte Verarbeitung personenbezogener Daten oder die Verarbeitung oder Nutzung personenbezogener Daten in oder aus nicht automatisierten Dateien regeln einschließlich des Rechts der Mitgliedstaaten in den Fällen des § 1 Abs. 5. Sie berät und unterstützt die Beauftragten für den Datenschutz und die verantwortlichen Stellen mit Rücksicht auf deren typische Bedürfnisse. Die Aufsichtsbehörde darf die von ihr gespeicherten Daten nur für Zwecke der Aufsicht verarbeiten und nutzen; § 14 Abs. 2 Nr. 1 bis 3, 6 und 7 gilt entsprechend. Insbesondere darf die Aufsichtsbehörde zum Zweck der Aufsicht Daten an andere Aufsichtsbehörden übermitteln. Sie leistet den Aufsichtsbehörden anderer Mitgliedstaaten der Europäischen Union auf Ersuchen ergänzende Hilfe (Amtshilfe). Stellt die Aufsichtsbehörde einen Verstoß gegen dieses Gesetz oder andere Vorschriften über den Datenschutz fest, so ist sie befugt, die Betroffenen hierüber zu unterrichten, den Verstoß bei den für die Verfolgung oder Ahndung zuständigen Stellen anzuzeigen sowie bei schwerwiegenden Verstößen die Gewerbeaufsichtsbehörde zur Durchführung gewerberechtlicher Maßnahmen zu unterrichten. Sie veröffentlicht regelmäßig, spätestens alle zwei Jahre, einen Tätigkeitsbericht. § 21 Satz 1 und § 23 Abs. 5 Satz 4 bis 7 gelten entsprechend.
(2) Die Aufsichtsbehörde führt ein Register der nach § 4d meldepflichtigen automatisierten Verarbeitungen mit den Angaben nach § 4e Satz 1. Das Register kann von jedem eingesehen werden. Das Einsichtsrecht erstreckt sich nicht auf die Angaben nach § 4e Satz 1 Nr. 9 sowie auf die Angabe der zugriffsberechtigten Personen.
(3) Die der Kontrolle unterliegenden Stellen sowie die mit deren Leitung beauftragten Personen haben der Aufsichtsbehörde auf Verlangen die für die Erfüllung ihrer Aufgaben erforderlichen Auskünfte unverzüglich zu erteilen. Der Auskunftspflichtige kann die Auskunft auf solche Fragen verweigern, deren Beantwortung ihn selbst oder einen der in § 383 Abs. 1 Nr. 1 bis 3 der Zivilprozessordnung bezeichneten Angehörigen der Gefahr
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 33 von 38 -
strafgerichtlicher Verfolgung oder eines Verfahrens nach dem Gesetz über Ordnungswidrigkeiten aussetzen würde. Der Auskunftspflichtige ist darauf hinzuweisen.
(4) Die von der Aufsichtsbehörde mit der Kontrolle beauftragten Personen sind befugt, soweit es zur Erfüllung der der Aufsichtsbehörde übertragenen Aufgaben erforderlich ist, während der Betriebs- und Geschäftszeiten Grundstücke und Geschäftsräume der Stelle zu betreten und dort Prüfungen und Besichtigungen vorzunehmen. Sie können geschäftliche Unterlagen, insbesondere die Übersicht nach § 4g Abs. 2 Satz 1 sowie die gespeicherten personenbezogenen Daten und die Datenverarbeitungsprogramme, einsehen. § 24 Abs. 6 gilt entsprechend. Der Auskunftspflichtige hat diese Maßnahmen zu dulden.
(5) Zur Gewährleistung der Einhaltung dieses Gesetzes und anderer Vorschriften über den Datenschutz kann die Aufsichtsbehörde Maßnahmen zur Beseitigung festgestellter Verstöße bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten oder technischer oder organisatorischer Mängel anordnen. Bei schwerwiegenden Verstößen oder Mängeln, insbesondere solchen, die mit einer besonderen Gefährdung des Persönlichkeitsrechts verbunden sind, kann sie die Erhebung, Verarbeitung oder Nutzung oder den Einsatz einzelner Verfahren untersagen, wenn die Verstöße oder Mängel entgegen der Anordnung nach Satz 1 und trotz der Verhängung eines Zwangsgeldes nicht in angemessener Zeit beseitigt werden. Sie kann die Abberufung des Beauftragten für den Datenschutz verlangen, wenn er die zur Erfüllung seiner Aufgaben erforderliche Fachkunde und Zuverlässigkeit nicht besitzt.
(6) Die Landesregierungen oder die von ihnen ermächtigten Stellen bestimmen die für die Kontrolle der Durchführung des Datenschutzes im Anwendungsbereich dieses Abschnittes zuständigen Aufsichtsbehörden.
(7) Die Anwendung der Gewerbeordnung auf die den Vorschriften dieses Abschnittes unterliegenden Gewerbebetriebe bleibt unberührt.
§ 38a Verhaltensregeln zur Förderung der Durchführung datenschutzrechtlicher Regelungen
(1) Berufsverbände und andere Vereinigungen, die bestimmte Gruppen von verantwortlichen Stellen vertreten, können Entwürfe für Verhaltensregeln zur Förderung der Durchführung von datenschutzrechtlichen Regelungen der zuständigen Aufsichtsbehörde unterbreiten.
(2) Die Aufsichtsbehörde überprüft die Vereinbarkeit der ihr unterbreiteten Entwürfe mit dem geltenden Datenschutzrecht.
Vierter Abschnitt Sondervorschriften § 39 Zweckbindung bei personenbezogenen Daten, die einem Berufs- oder besonderen Amtsgeheimnis unterliegen
(1) Personenbezogene Daten, die einem Berufs- oder besonderen Amtsgeheimnis unterliegen und die von der zur Verschwiegenheit verpflichteten Stelle in Ausübung ihrer Berufs- oder Amtspflicht zur Verfügung gestellt worden sind, dürfen von der verantwortlichen Stelle nur für den Zweck verarbeitet oder genutzt werden, für den sie sie erhalten hat. In die Übermittlung an eine nicht-öffentliche Stelle muss die zur Verschwiegenheit verpflichtete Stelle einwilligen.
(2) Für einen anderen Zweck dürfen die Daten nur verarbeitet oder genutzt werden, wenn die Änderung des Zwecks durch besonderes Gesetz zugelassen ist.
§ 40 Verarbeitung und Nutzung personenbezogener Daten durch Forschungseinrichtungen
(1) Für Zwecke der wissenschaftlichen Forschung erhobene oder gespeicherte personenbezogene Daten dürfen nur für Zwecke der wissenschaftlichen Forschung verarbeitet oder genutzt werden.
(2) Die personenbezogenen Daten sind zu anonymisieren, sobald dies nach dem Forschungszweck möglich ist. Bis dahin sind die Merkmale gesondert zu speichern, mit denen Einzelangaben über persönliche oder sachliche
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 34 von 38 -
Verhältnisse einer bestimmten oder bestimmbaren Person zugeordnet werden können. Sie dürfen mit den Einzelangaben nur zusammengeführt werden, soweit der Forschungszweck dies erfordert.
(3) Die wissenschaftliche Forschung betreibenden Stellen dürfen personenbezogene Daten nur veröffentlichen, wenn 1. der Betroffene eingewilligt hat oder 2. dies für die Darstellung von Forschungsergebnissen über Ereignisse der Zeitgeschichte unerlässlich ist.
§ 41 Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch die Medien
(1) Die Länder haben in ihrer Gesetzgebung vorzusehen, dass für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten von Unternehmen und Hilfsunternehmen der Presse ausschließlich zu eigenen journalistisch-redaktionellen oder literarischen Zwecken den Vorschriften der §§ 5, 9 und 38a entsprechende Regelungen einschließlich einer hierauf bezogenen Haftungsregelung entsprechend § 7 zur Anwendung kommen.
(2) Führt die journalistisch-redaktionelle Erhebung, Verarbeitung oder Nutzung personenbezogener Daten durch die Deutsche Welle zur Veröffentlichung von Gegendarstellungen des Betroffenen, so sind diese Gegendarstellungen zu den gespeicherten Daten zu nehmen und für dieselbe Zeitdauer aufzubewahren wie die Daten selbst.
(3) Wird jemand durch eine Berichterstattung der Deutschen Welle in seinem Persönlichkeitsrecht beeinträchtigt, so kann er Auskunft über die der Berichterstattung zugrunde liegenden, zu seiner Person gespeicherten Daten verlangen. Die Auskunft kann nach Abwägung der schutzwürdigen Interessen der Beteiligten verweigert werden, soweit 1. aus den Daten auf Personen, die bei der Vorbereitung, Herstellung oder Verbreitung von
Rundfunksendungen berufsmäßig journalistisch mitwirken oder mitgewirkt haben, geschlossen werden kann, 2. aus den Daten auf die Person des Einsenders oder des Gewährsträgers von Beiträgen, Unterlagen und
Mitteilungen für den redaktionellen Teil geschlossen werden kann, 3. durch die Mitteilung der recherchierten oder sonst erlangten Daten die journalistische Aufgabe der
Deutschen Welle durch Ausforschung des Informationsbestandes beeinträchtigt würde. Der Betroffene kann die Berichtigung unrichtiger Daten verlangen.
(4) Im Übrigen gelten für die Deutsche Welle von den Vorschriften dieses Gesetzes die §§ 5, 7, 9 und 38a. Anstelle der §§ 24 bis 26 gilt § 42, auch soweit es sich um Verwaltungsangelegenheiten handelt.
§ 42 Datenschutzbeauftragter der Deutschen Welle
(1) Die Deutsche Welle bestellt einen Beauftragten für den Datenschutz, der an die Stelle des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit tritt. Die Bestellung erfolgt auf Vorschlag des Intendanten durch den Verwaltungsrat für die Dauer von vier Jahren, wobei Wiederbestellungen zulässig sind. Das Amt eines Beauftragten für den Datenschutz kann neben anderen Aufgaben innerhalb der Rundfunkanstalt wahrgenommen werden.
(2) Der Beauftragte für den Datenschutz kontrolliert die Einhaltung der Vorschriften dieses Gesetzes sowie anderer Vorschriften über den Datenschutz. Er ist in Ausübung dieses Amtes unabhängig und nur dem Gesetz unterworfen. Im Übrigen untersteht er der Dienst- und Rechtsaufsicht des Verwaltungsrates.
(3) Jedermann kann sich entsprechend § 21 Satz 1 an den Beauftragten für den Datenschutz wenden.
(4) Der Beauftragte für den Datenschutz erstattet den Organen der Deutschen Welle alle zwei Jahre, erstmals zum 1. Januar 1994 einen Tätigkeitsbericht. Er erstattet darüber hinaus besondere Berichte auf Beschluss eines Organes der Deutschen Welle. Die Tätigkeitsberichte übermittelt der Beauftragte auch an den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit.
(5) Weitere Regelungen entsprechend den §§ 23 bis 26 trifft die Deutsche Welle für ihren Bereich. Die §§ 4f und 4g bleiben unberührt.
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 35 von 38 -
§ 42a Informationspflicht bei unrechtmäßiger Kenntniserlangung von Daten
Stellt eine nichtöffentliche Stelle im Sinne des § 2 Absatz 4 oder eine öffentliche Stelle nach § 27 Absatz 1 Satz 1 Nummer 2 fest, dass bei ihr gespeicherte 1. besondere Arten personenbezogener Daten (§ 3 Absatz 9), 2. personenbezogene Daten, die einem Berufsgeheimnis unterliegen, 3. personenbezogene Daten, die sich auf strafbare Handlungen oder Ordnungswidrigkeiten oder den Verdacht
strafbarer Handlungen oder Ordnungswidrigkeiten beziehen, oder 4. personenbezogene Daten zu Bank- oder Kreditkartenkonten unrechtmäßig übermittelt oder auf sonstige Weise Dritten unrechtmäßig zur Kenntnis gelangt sind, und drohen schwerwiegende Beeinträchtigungen für die Rechte oder schutzwürdigen Interessen der Betroffenen, hat sie dies nach den Sätzen 2 bis 5 unverzüglich der zuständigen Aufsichtsbehörde sowie den Betroffenen mitzuteilen. Die Benachrichtigung des Betroffenen muss unverzüglich erfolgen, sobald angemessene Maßnahmen zur Sicherung der Daten ergriffen worden oder nicht unverzüglich erfolgt sind und die Strafverfolgung nicht mehr gefährdet wird. Die Benachrichtigung der Betroffenen muss eine Darlegung der Art der unrechtmäßigen Kenntniserlangung und Empfehlungen für Maßnahmen zur Minderung möglicher nachteiliger Folgen enthalten. Die Benachrichtigung der zuständigen Aufsichtsbehörde muss zusätzlich eine Darlegung möglicher nachteiliger Folgen der unrechtmäßigen Kenntniserlangung und der von der Stelle daraufhin ergriffenen Maßnahmen enthalten. Soweit die Benachrichtigung der Betroffenen einen unverhältnismäßigen Aufwand erfordern würde, insbesondere aufgrund der Vielzahl der betroffenen Fälle, tritt an ihre Stelle die Information der Öffentlichkeit durch Anzeigen, die mindestens eine halbe Seite umfassen, in mindestens zwei bundesweit erscheinenden Tageszeitungen oder durch eine andere, in ihrer Wirksamkeit hinsichtlich der Information der Betroffenen gleich geeignete Maßnahme. Eine Benachrichtigung, die der Benachrichtigungspflichtige erteilt hat, darf in einem Strafverfahren oder in einem Verfahren nach dem Gesetz über Ordnungswidrigkeiten gegen ihn oder einen in § 52 Absatz 1 der Strafprozessordnung bezeichneten Angehörigen des Benachrichtigungspflichtigen nur mit Zustimmung des Benachrichtigungspflichtigen verwendet werden.
Fünfter Abschnitt Schlussvorschriften § 43 Bußgeldvorschriften
(1) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig 1. entgegen § 4d Abs. 1, auch in Verbindung mit § 4e Satz 2, eine Meldung nicht, nicht richtig, nicht
vollständig oder nicht rechtzeitig macht, 2. entgegen § 4f Abs. 1 Satz 1 oder 2, jeweils auch in Verbindung mit Satz 3 und 6, einen Beauftragten für
den Datenschutz nicht, nicht in der vorgeschriebenen Weise oder nicht rechtzeitig bestellt, 2a. entgegen § 10 Absatz 4 Satz 3 nicht gewährleistet, dass die Datenübermittlung festgestellt und überprüft
werden kann, 2b. entgegen § 11 Absatz 2 Satz 2 einen Auftrag nicht richtig, nicht vollständig oder nicht in der
vorgeschriebenen Weise erteilt oder entgegen § 11 Absatz 2 Satz 4 sich nicht vor Beginn der Datenverarbeitung von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen überzeugt,
3. entgegen § 28 Abs. 4 Satz 2 den Betroffenen nicht, nicht richtig oder nicht rechtzeitig unterrichtet oder nicht sicherstellt, dass der Betroffene Kenntnis erhalten kann,
3a. entgegen § 28 Absatz 4 Satz 4 eine strengere Form verlangt, 4. entgegen § 28 Abs. 5 Satz 2 personenbezogene Daten übermittelt oder nutzt, 4a. entgegen § 28a Abs. 3 Satz 1 eine Mitteilung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig
macht, 5. entgegen § 29 Abs. 2 Satz 3 oder 4 die dort bezeichneten Gründe oder die Art und Weise ihrer glaubhaften
Darlegung nicht aufzeichnet,
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 36 von 38 -
6. entgegen § 29 Abs. 3 Satz 1 personenbezogene Daten in elektronische oder gedruckte Adress-, Rufnummern-, Branchen- oder vergleichbare Verzeichnisse aufnimmt,
7. entgegen § 29 Abs. 3 Satz 2 die Übernahme von Kennzeichnungen nicht sicherstellt, 7a. entgegen § 29 Abs. 6 ein Auskunftsverlangen nicht richtig behandelt, 7b. entgegen § 29 Abs. 7 Satz 1 einen Verbraucher nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig
unterrichtet, 8. entgegen § 33 Abs. 1 den Betroffenen nicht, nicht richtig oder nicht vollständig benachrichtigt, 8a. entgegen § 34 Absatz 1 Satz 1, auch in Verbindung mit Satz 3, entgegen § 34 Absatz 1a, entgegen § 34
Absatz 2 Satz 1, auch in Verbindung mit Satz 2, oder entgegen § 34 Absatz 2 Satz 5, Absatz 3 Satz 1 oder Satz 2 oder Absatz 4 Satz 1, auch in Verbindung mit Satz 2, eine Auskunft nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig erteilt oder entgegen § 34 Absatz 1a Daten nicht speichert,
8b. entgegen § 34 Abs. 2 Satz 3 Angaben nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt,
8c. entgegen § 34 Abs. 2 Satz 4 den Betroffenen nicht oder nicht rechtzeitig an die andere Stelle verweist, 9. entgegen § 35 Abs. 6 Satz 3 Daten ohne Gegendarstellung übermittelt, 10. entgegen § 38 Abs. 3 Satz 1 oder Abs. 4 Satz 1 eine Auskunft nicht, nicht richtig, nicht vollständig oder
nicht rechtzeitig erteilt oder eine Maßnahme nicht duldet oder 11. einer vollziehbaren Anordnung nach § 38 Abs. 5 Satz 1 zuwiderhandelt.
(2) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig 1. unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, erhebt oder verarbeitet, 2. unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, zum Abruf mittels automatisierten
Verfahrens bereithält, 3. unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, abruft oder sich oder einem
anderen aus automatisierten Verarbeitungen oder nicht automatisierten Dateien verschafft, 4. die Übermittlung von personenbezogenen Daten, die nicht allgemein zugänglich sind, durch unrichtige
Angaben erschleicht, 5. entgegen § 16 Abs. 4 Satz 1, § 28 Abs. 5 Satz 1, auch in Verbindung mit § 29 Abs. 4, § 39 Abs. 1 Satz 1 oder
§ 40 Abs. 1, die übermittelten Daten für andere Zwecke nutzt, 5a. entgegen § 28 Absatz 3b den Abschluss eines Vertrages von der Einwilligung des Betroffenen abhängig
macht, 5b. entgegen § 28 Absatz 4 Satz 1 Daten für Zwecke der Werbung oder der Markt- oder Meinungsforschung
verarbeitet oder nutzt, 6. entgegen § 30 Absatz 1 Satz 2, § 30a Absatz 3 Satz 3 oder § 40 Absatz 2 Satz 3 ein dort genanntes
Merkmal mit einer Einzelangabe zusammenführt oder 7. entgegen § 42a Satz 1 eine Mitteilung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht.
(3) Die Ordnungswidrigkeit kann im Fall des Absatzes 1 mit einer Geldbuße bis zu fünfzigtausend Euro, in den Fällen des Absatzes 2 mit einer Geldbuße bis zu dreihunderttausend Euro geahndet werden. Die Geldbuße soll den wirtschaftlichen Vorteil, den der Täter aus der Ordnungswidrigkeit gezogen hat, übersteigen. Reichen die in Satz 1 genannten Beträge hierfür nicht aus, so können sie überschritten werden.
§ 44 Strafvorschriften
(1) Wer eine in § 43 Abs. 2 bezeichnete vorsätzliche Handlung gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, begeht, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.
(2) Die Tat wird nur auf Antrag verfolgt. Antragsberechtigt sind der Betroffene, die verantwortliche Stelle, der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit und die Aufsichtsbehörde.
Sechster Abschnitt
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 37 von 38 -
Übergangsvorschriften § 45 Laufende Verwendungen
Erhebungen, Verarbeitungen oder Nutzungen personenbezogener Daten, die am 23. Mai 2001 bereits begonnen haben, sind binnen drei Jahren nach diesem Zeitpunkt mit den Vorschriften dieses Gesetzes in Übereinstimmung zu bringen. Soweit Vorschriften dieses Gesetzes in Rechtsvorschriften außerhalb des Anwendungsbereichs der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr zur Anwendung gelangen, sind Erhebungen, Verarbeitungen oder Nutzungen personenbezogener Daten, die am 23. Mai 2001 bereits begonnen haben, binnen fünf Jahren nach diesem Zeitpunkt mit den Vorschriften dieses Gesetzes in Übereinstimmung zu bringen.
§ 46 Weitergeltung von Begriffsbestimmungen
(1) Wird in besonderen Rechtsvorschriften des Bundes der Begriff Datei verwendet, ist Datei 1. eine Sammlung personenbezogener Daten, die durch automatisierte Verfahren nach bestimmten Merkmalen
ausgewertet werden kann (automatisierte Datei), oder 2. jede sonstige Sammlung personenbezogener Daten, die gleichartig aufgebaut ist und nach bestimmten
Merkmalen geordnet, umgeordnet und ausgewertet werden kann (nicht automatisierte Datei). Nicht hierzu gehören Akten und Aktensammlungen, es sei denn, dass sie durch automatisierte Verfahren umgeordnet und ausgewertet werden können.
(2) Wird in besonderen Rechtsvorschriften des Bundes der Begriff Akte verwendet, ist Akte jede amtlichen oder dienstlichen Zwecken dienende Unterlage, die nicht dem Dateibegriff des Absatzes 1 unterfällt; dazu zählen auch Bild- und Tonträger. Nicht hierunter fallen Vorentwürfe und Notizen, die nicht Bestandteil eines Vorgangs werden sollen.
(3) Wird in besonderen Rechtsvorschriften des Bundes der Begriff Empfänger verwendet, ist Empfänger jede Person oder Stelle außerhalb der verantwortlichen Stelle. Empfänger sind nicht der Betroffene sowie Personen und Stellen, die im Inland, in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum personenbezogene Daten im Auftrag erheben, verarbeiten oder nutzen.
§ 47 Übergangsregelung
Für die Verarbeitung und Nutzung vor dem 1. September 2009 erhobener oder gespeicherter Daten ist § 28 in der bis dahin geltenden Fassung weiter anzuwenden 1. für Zwecke der Markt- oder Meinungsforschung bis zum 31. August 2010, 2. für Zwecke der Werbung bis zum 31. August 2012.
§ 48 Bericht der Bundesregierung
Die Bundesregierung berichtet dem Bundestag 1. bis zum 31. Dezember 2012 über die Auswirkungen der §§ 30a und 42a, 2. bis zum 31. Dezember 2014 über die Auswirkungen der Änderungen der §§ 28 und 29. Sofern sich aus Sicht der Bundesregierung gesetzgeberische Maßnahmen empfehlen, soll der Bericht einen Vorschlag enthalten.
Anlage (zu § 9 Satz 1)
(Fundstelle des Originaltextes: BGBl. I 2003, 88; bzgl. der einzelnen Änderungen vgl. Fußnote)
Werden personenbezogene Daten automatisiert verarbeitet oder genutzt, ist die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes
Ein Service des Bundesministeriums der Justiz und für Verbraucherschutz in Zusammenarbeit mit der juris GmbH - www.juris.de
- Seite 38 von 38 -
gerecht wird. Dabei sind insbesondere Maßnahmen zu treffen, die je nach der Art der zu schützenden personenbezogenen Daten oder Datenkategorien geeignet sind, 1. Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder
genutzt werden, zu verwehren (Zutrittskontrolle), 2. zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können
(Zugangskontrolle), 3. zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf
die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle),
4. zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist (Weitergabekontrolle),
5. zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind (Eingabekontrolle),
6. zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle),
7. zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle),
8. zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. Eine Maßnahme nach Satz 2 Nummer 2 bis 4 ist insbesondere die Verwendung von dem Stand der Technik entsprechenden Verschlüsselungsverfahren.
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 1 of 39
Übersetzung durch den Sprachendienst des Bundesministeriums des Innern. Translations provided by the Language Service of the Federal Ministry of the Interior. Stand: Die Übersetzung berücksichtigt die Änderung(en) des Gesetzes durch Artikel 1 des Gesetzes vom 14.8.2009 (BGBl. I S. 2814) Version information: The translation includes the amendment(s) to the Act by Article 1 of the Act of 14.8.2009 (Federal Law Gazette I p. 2814) © 2013 juris GmbH, Saarbrücken
Federal Data Protection Act
Federal Data Protection Act in the version promulgated on 14 January 2003 (Federal Law Gazette I p. 66), as most recently amended by Article 1 of the Act of 14 August 2009 (Federal Law Gazette I p. 2814) This Act serves to implement directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data (OJ EC no. L 281, p. 31 ff.).
Part I General and common provisions
Section 1 Purpose and scope
(1) The purpose of this Act is to protect the individual against his/her right to privacy being impaired through the handling of his/her personal data. (2) This Act shall apply to the collection, processing and use of personal data by
1. public bodies of the Federation,
2. public bodies of the Länder in so far as data protection is not governed by Land legislation and in so far as they
a) execute federal law or,
b) act as bodies of the judicature and are not dealing with administrative matters,
3. private bodies in so far as they process or use data by means of data processing systems or collect data for such systems, process or use data in or from non- automated filing systems or collect data for such systems, except where the collection, processing or use of such data is effected solely for personal or family activities.
(3) In so far as other legal provisions of the Federation are applicable to personal data, including their publication, such provisions shall take precedence over the provisions of this Act. This shall not affect the duty to observe the legal obligation of maintaining secrecy or professional or special official confidentiality not based on legal provisions. (4) The provisions of this Act shall take precedence over those of the Administrative Procedures Act in so far as personal data are processed in ascertaining the facts. (5) This Act shall not apply in so far as a controller located in another Member State of the European Union or in another state party to the Agreement on the European Economic Area collects, processes or uses personal data, except where such collection, processing or use is carried out by a branch in Germany. This Act shall apply in so far as a controller which is not located in a Member State of the European Union or in another state party to the Agreement on the European Economic Area collects, processes or uses personal data in Germany. In so far as the controller is to be named under this Act, information is also to be furnished on representatives established in Germany. Sentences 2 and 3 shall not apply in so far as data storage media are employed solely for the purposes of transit through Germany. Section 38 (1) first sentence shall remain unaffected.
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 2 of 39
Section 2 Public and private bodies
(1) “Public bodies of the Federation” means the authorities, the bodies of the judicature and other public-law institutions of the Federation, of the Federal corporations, establishments and foundations under public law as well as of their associations irrespective of their legal structure. The successor companies created from the Special Fund Deutsche Bundespost by act of law are considered public bodies as long as they have an exclusive right under the Postal Law. (2) “Public bodies of the Länder” means the authorities, the bodies of the judicature and other public-law institutions of a Land, of a municipality, an association of municipalities or other legal persons under public law subject to Land supervision as well as of their associations irrespective of their legal structure. (3) Private-law associations of public bodies of the Federation and the Länder performing public administration duties shall be regarded as public bodies of the Federation, irrespective of private shareholdings, if
1. they operate beyond the territory of a Land or
2. the Federation possesses the absolute majority of shares or votes. Otherwise they shall be regarded as public bodies of the Länder. (4) “Private bodies” means natural or legal persons, companies and other private-law associations where they are not covered by sub-sections 1 to 3 above. To the extent that a private body performs sovereign public administration duties, it shall be treated as a public body for the purposes of this Act.
Section 3 Further definitions
(1) “Personal data” means any information concerning the personal or material circumstances of an identified or identifiable individual (the data subject). (2) “Automated processing” means the collection, processing or use of personal data by means of data processing systems. A non-automated filing system is any non-automated collection of personal data which is similarly structured and which can be accessed and evaluated according to specific characteristics. (3) “Collection” means the acquisition of data on the data subject. (4) “Processing” means the storage, modification, transfer, blocking and erasure of personal data. In particular cases, irrespective of the procedures applied:
1. “storage” means the entry, recording or preservation of personal data on a storage medium so that they can be processed or used again,
2. “modification” means the alteration of the substance of stored personal data,
3. “transfer” means the disclosure to a third party of personal data stored or obtained by means of data processing either
a) through transmission of the data to the third party or
b) through the third party inspecting or retrieving data held ready for inspection or retrieval,
4. “blocking” means labelling stored personal data so as to restrict their further processing or use,
5. “erasure” means the deletion of stored personal data. (5) “Use” means any utilization of personal data other than processing.
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 3 of 39
(6) “Rendering anonymous” means the modification of personal data so that the information concerning personal or material circumstances can no longer or only with a disproportionate amount of time, expense and labour be attributed to an identified or identifiable individual. (6a) “Aliasing” means replacing a person’s name and other identifying characteristics with a label, in order to preclude identification of the data subject or to render such identification substantially difficult. (7) “Controller” means any person or body collecting, processing or using personal data on his or its own behalf or commissioning others to do the same. (8) “Recipient” means any person or body receiving data. “Third party” means any person or body other than the controller. This shall not include the data subject or persons and bodies commissioned to collect, process or use personal data in Germany, in another Member State of the European Union or in another state party to the Agreement on the European Economic Area. (9) “Special categories of personal data” means information on a person’s racial or ethnic origin, political opinions, religious or philosophical convictions, union membership, health or sex life. (10) “Mobile personal storage and processing media” means storage media
1. which are issued to the data subject,
2. on which personal data can be processed automatically beyond the storage function by the issuing body or another body and
3. which enable the data subject to influence this processing only by using the medium.
(11) “Employees” include
1. employees,
2. persons hired for the purpose of occupational training,
3. persons participating in measures to integrate them into the labour market or to clarify their ability or suitability for work (rehabilitation measures),
4. persons employed at certified workshops for persons with a disability,
5. persons employed under the Youth Volunteer Service Act,
6. persons comparable to employees due to their economic dependence, including home-based workers and those of similar status,
7. applicants for employment and those whose employment has ended,
8. civil servants, federal judges, military personnel and persons in the alternative civilian service.
Section 3a Data reduction and data economy
Personal data are to be collected, processed and used, and processing systems are to be designed in accordance with the aim of collecting, processing and using as little personal data as possible. In particular, personal data are to be aliased or rendered anonymous as far as possible and the effort involved is reasonable in relation to the desired level of protection.
Section 4 Admissibility of data collection, processing and use
(1) The collection, processing and use of personal data shall be admissible only if permitted or prescribed by this Act or any other legal provision or if the data subject has consented. (2) Personal data shall be collected from the data subject. They may be collected without his/her participation only if
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 4 of 39
1. a legal provision prescribes or peremptorily presupposes such collection or
2.
a) the nature of the administrative duty to be performed or the business purpose necessitates collection of the data from other persons or bodies or
b) collection of the data from the data subject would necessitate disproportionate effort
and there are no indications that overriding legitimate interests of the data subject are impaired. (3) If personal data are collected from the data subject, the controller is to inform him/her as to
1. the identity of the controller,
2. the purposes of collection, processing or use and
3. the categories of recipients only in so far as the circumstances of the individual case provide no grounds for the data subject to assume that data will be transferred to such recipients,
unless the data subject has already acquired such knowledge by other means. If personal data are collected from the data subject pursuant to a legal provision which makes the supply of particulars obligatory or if such supply is the prerequisite for the granting of legal benefits, the data subject shall be informed that such supply is obligatory or voluntary, as the case may be. In so far as the circumstances of the individual case dictate or at the data subject’s request, he/she shall be informed of the legal provision and of the consequences of withholding particulars.
Section 4a Consent
(1) Consent shall be effective only when based on the data subject's free decision. Data subjects shall be informed of the purpose of collection, processing or use and, in so far as the circumstances of the individual case dictate or upon request, of the consequences of withholding consent. Consent shall be given in writing unless special circumstances warrant any other form. If consent is to be given together with other written declarations, it shall be made distinguishable in its appearance. (2) In the field of scientific research, a special circumstance pursuant to sub-Section 1 third sentence above shall also be deemed to exist where the defined purpose of research would be impaired considerably if consent were obtained in writing. In such case the information pursuant to sub-Section 1 second sentence above and the reasons from which considerable impairment of the defined purpose of research would arise shall be recorded in writing. (3) In so far as special categories of personal data (Section 3 (9)) are collected, processed or used, the consent must further refer expressly to these data.
Section 4b Transfer of personal data abroad and to supranational or international bodies
(1) The transfer of personal data to bodies
1. in other Member States of the European Union,
2. in other states parties to the Agreement on the European Economic Area or
3. institutions and bodies of the European Communities shall be subject to Section 15 (1), Section 16 (1) and Sections 28 to 30a in accordance with the laws and agreements applicable to such transfer, in so far as transfer is effected in
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 5 of 39
connection with activities which fall in part or in their entirety within the scope of the law of the European Communities. (2) Sub-Section 1 shall apply mutatis mutandis to the transfer of personal data to bodies in accordance with sub-Section 1 when effected outside of activities which fall in part or in their entirety within the scope of the law of the European Communities and to the transfer of such data to other foreign, supranational or international bodies. Transfer shall not be effected in so far as the data subject has a legitimate interest in excluding transfer, in particular if an adequate level of data protection is not guaranteed at the bodies stated in the first sentence of this sub-section. The second sentence shall not apply if transfer is necessary in order to enable a public body of the Federation to perform its duties for compelling reasons of defence or to discharge supranational or international duties in the field of crisis management or conflict prevention or for humanitarian measures. (3) The adequacy of the afforded level of protection shall be assessed in the light of all circumstances surrounding a data transfer operation or a category of data transfer operations; particular consideration shall be given to the nature of the data, the purpose, the duration of the proposed processing operation, the country of origin, the recipient country and the legal norms, professional rules and securities measures which apply to the recipient. (4) In the cases referred to in Section 16 (1) No. 2 above, the body transferring the data shall inform the data subject of the transfer of his/her data. This shall not apply if it can be assumed that the data subject will acquire knowledge of such transfer in another manner or if such information would jeopardize public safety or otherwise be detrimental to the Federation or a Land. (5) Responsibility for the admissibility of the transfer shall rest with the body transferring the data. (6) The body to which the data are transferred shall be informed of the purpose for which the data are transferred.
Section 4c Exceptions
(1) In connection with activities which fall in part or in their entirety within the scope of the law of the European Communities, the transfer of personal data to bodies other than those stated in Section 4b (1) above shall be admissible even if such bodies do not guarantee an adequate level of data protection, in so far as
1. the data subject has given his/her consent,
2. the transfer is necessary for the performance of a contract between the data subject and the controller or the implementation of pre-contractual measures taken in response to the data subject's request,
3. the transfer is necessary for the conclusion or performance of a contract which has been or is to be entered into in the interest of the data subject between the controller and a third party,
4. the transfer is necessary on important public interest grounds, or for the establishment, exercise or defence of legal claims,
5. the transfer is necessary in order to protect the vital interests of the data subject,
6. the transfer is made from a register which is intended to provide information to the public and which is open to consultation either by the public in general or by any person who can demonstrate a legitimate interest, to the extent that the statutory conditions are fulfilled in the particular case.
It shall be pointed out to the recipient body that the transferred data may be processed or used only for the purpose for which they have been transferred.
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 6 of 39
(2) Without prejudice to the first sentence of Section 1, the competent supervisory authority may authorize individual transfers or certain categories of transfers of personal data to bodies other than those stated in Section 4b (1) above, if the controller adduces adequate safeguards with respect to the protection of privacy and exercise of the corresponding rights; such safeguards may in particular result from contractual clauses or binding corporate regulations. In the case of postal and telecommunications companies, competence lies with the Federal Commissioner for Data Protection and Freedom of Information. In so far as transfer is to be effected by public bodies, the latter shall carry out the examination in accordance with the first sentence of Section 1 above. (3) The Länder shall notify the Federation of the decisions made in accordance with sentence 1 of Section 2 above.
Section 4d Obligatory registration
(1) Prior to putting automated processing procedures into operation, private controllers of the competent supervisory authorities, public controllers of the Federation and postal and telecommunications companies shall register such procedures with the Federal Commissioner for Data Protection and Freedom of Information in accordance with Section 4e. (2) Obligatory registration shall not apply if the controller has appointed a data protection official. (3) Obligatory registration shall further not apply if the controller collects, processes or uses personal data for its own purposes, provided that, as a rule, no more than nine employees are permanently employed in collecting, processing or using personal data and either consent has been obtained from the data subject or the collection, processing or use is needed to create, carry out or terminate a legal obligation or quasi-legal obligation with the data subject. (4) Sub-sections 2 and 3 above shall not apply in cases of automated processing in which the controller concerned stores personal data in the course of business
1. for the purpose of transfer,
2. for the purpose of anonymized transfer, or
3. for the purpose of market or opinion research.
(5) In so far as automated processing operations involve risks for the rights and liberties of the data subject, they are subject to examination prior to the beginning of processing (prior checking). Prior checking is to be carried out in particular when
1. special categories of personal data (Section 3 (9)) are to be processed or
2. the processing of personal data is intended to appraise the data subject's personality, including his abilities, performance or conduct,
unless a statutory obligation applies, the data subject's consent has been obtained, or the collection, processing or use is needed to create, carry out or terminate a legal obligation or quasi-legal obligation with the data subject. (6) Prior checking is the responsibility of the data protection official. The latter shall carry out prior checking after receiving the list in accordance with Section 4g (2) first sentence. In cases of doubt, he is to refer to the supervisory authority or, in the case of postal and telecommunications companies, to the Federal Commissioner for Data Protection and Freedom of Information.
Section 4e Contents of the obligatory registration
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 7 of 39
In so far as automated processing procedures are subject to obligatory registration, the following information is to be furnished:
1. Name or title of the controller,
2. owners, managing boards, managing directors or other lawfully or constitutionally appointed managers and the persons placed in charge of data processing,
3. address of the controller,
4. purposes of collecting, processing or using data,
5. a description of the groups of data subjects and the appurtenant data or categories of data,
6. recipients or categories of recipients to whom the data may be transferred,
7. standard periods for the erasure of data,
8. any planned data transfer in third states,
9. a general description enabling preliminary assessment as to whether the measures in accordance with Section 9 to guarantee the safety of processing are adequate.
Section 4d (1) and (4) shall apply mutatis mutandis to the amendment of information furnished in accordance with sentence 1 above and to the time of commencement and termination of the activity subject to obligatory registration.
Section 4f Data protection official
(1) Public and private bodies which process personal data automatically shall appoint in writing a data protection official. Private bodies are obliged to appoint such an officer within one month of commencing their activities. The same shall apply where personal data are processed by other means and at least 20 persons are permanently employed for this purpose. The first and second sentences above shall not apply to private bodies which generally deploy a maximum of nine employees to carry out the automatic processing of personal data on an ongoing basis. In so far as the structure of a public body requires, the appointment of one data protection official for several areas shall be sufficient. In so far as private bodies carry out automated processing operations which are subject to prior checking or process personal data in the course of business for the purposes of transfer, anonymized transfer, or market or opinion research, they are to appoint a data protection official irrespective of the number of persons deployed to carry out automatic processing. (2) Only persons who possess the specialized knowledge and demonstrate the reliability necessary for the performance of the duties concerned may be appointed data protection official. The required level of specialized knowledge is determined in particular according to the scope of data processing carried out by the controller concerned and the protection requirements of the personal data collected or used by the controller concerned. A person from outside the body concerned may also be appointed data protection official; monitoring shall also extend to personal data which are subject to professional or official secrecy, in particular tax secrecy pursuant to Section 30 of the Fiscal Code. (3) The data protection official shall be directly subordinate to the head of the public or private body. He or she shall be free to use his/her specialized knowledge in the area of data protection. He/she shall suffer no disadvantage through the performance of his/her duties. The appointment of a data protection official may be revoked by applying Section 626 of the Civil Code mutatis mutandis or, in the case of private bodies, at the request of the supervisory authority. If a data protection official is to be appointed under sub-Section 1, then
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 8 of 39
this appointment shall not be subject to termination, unless there is reason for the controller to terminate the appointment for just cause without complying with a notice period. After the data protection official has been removed from office, he or she cannot be terminated for a year following the end of the appointment unless the responsible body has just cause for termination without complying with a notice period. The controller shall enable the data protection official to take part in advanced training measures and shall assume the expense of such measures, in order for the data protection official to maintain the expertise needed to perform his/her tasks. (4) The data protection official shall be bound to maintain secrecy on the identity of the data subject and on circumstances permitting conclusions to be drawn about the data subject, unless he/she is released from this obligation by the data subject. (4a) In so far as the data protection official obtains knowledge of data in the course of his or her activities in connection with which a right of refusal to give evidence applies on professional grounds to the head of the public or private body or a person employed at such a body, this right shall also apply to the data protection official and his/her assistants. The person to whom the right of refusal to give evidence applies on professional grounds shall decide whether to exercise this right, except where it will not be possible to effect such a decision in the foreseeable future. To the extent to which the data protection official’s right of refusal to give evidence applies, the data protection official’s files and other documentation shall be subject to a prohibition of seizure. (5) The public and private bodies shall support the data protection official in the performance of his/her duties and in particular, to the extent needed for such performance, make available assistants as well as premises, furnishings, equipment and other resources. Data subjects may approach the data protection official at any time.
Section 4g Duties of the data protection official
(1) The data protection official shall work to ensure compliance with this Act and other data protection provisions. For this purpose, the data protection official may consult the competent authority responsible for data protection control with regard to the controller concerned. In particular, he shall
1. monitor the proper use of data processing programs with the aid of which personal data are to be processed; for this purpose he/she shall be informed in good time of projects for automatic processing of personal data,
2. take suitable steps to familiarize the persons employed in the processing of personal data with the provisions of this Act and other provisions concerning data protection, and with the various special requirements of data protection.
The data protection official may avail him- or herself of the advisory services pursuant to Section 38 (1), sentence 2. (2) The controller shall provide the data protection official with an overview of the information stipulated in Section 4e first sentence and a list of persons entitled to access. The data protection official shall, on request, make the information pursuant to Section 4e first sentence Nos. 1 to 8 available to anyone in an appropriate manner. (2a) Where no obligation to appoint a data protection official applies at a private body, the head of the private body is to ensure due discharge of the duties pursuant to sub-sections 1 and 2. (3) Sentence 2 of Section 2 shall not apply to the authorities stated in sentence 4 of Section 6 (2). Sentence 2 of Section 1 shall apply on condition that the authority's data protection official contacts the head of the authority; any disagreements between the authority's data protection official and the head of the authority shall be settled by the supreme federal authority.
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 9 of 39
Section 5 Confidentiality
Persons employed in data processing shall not collect, process or use personal data without authorization (confidentiality). On taking up their duties such persons, in so far as they work for private bodies, shall be required to give an undertaking to maintain such confidentiality. This undertaking shall continue to be valid after termination of their activity.
Section 6 Rights of the data subject
(1) The data subject’s right of access (Sections 19, 34) and to correction, erasure or blocking (Sections 20, 35) may not be excluded or restricted by a legal transaction. (2) If the data of the data subject are stored by means of automated procedures such that several bodies are entitled to store and if the data subject is unable to ascertain which body has stored the data, he may approach any of these bodies. Such body is obliged to forward the request of the data subject to the body which has stored the data. The data subject shall be informed of the forwarding of the request and of the identity of the body concerned. The bodies listed in Section 19 (3) of this Act, public prosecution and police authorities as well as public finance authorities may, in so far as they store personal data in performing their legal duties within the area of application of the Fiscal Code for monitoring and control purposes, inform the Federal Commissioner for Data Protection and Freedom of Information instead of the data subject. In such case the further procedure shall be as described in Section 19 (6) of this Act. (3) Personal data concerning the data subject’s exercise of a right based on this or another law on data protection may be used only to fulfil obligations of the responsible body arising from the exercise of this right.
Section 6a Automated individual decision
(1) Decisions which have legal consequences for or substantially impair the interests of the data subject must not be based exclusively on the automated processing of personal data which serve to evaluate individual personal characteristics. In particular, a decision not made by a natural person based on the evaluation of content shall constitute a decision based exclusively on automated processing. (2) This shall not apply if
1. the decision is made in connection with the conclusion or fulfilment of a contract or any other legal relationship and the data subject's request has been met or
2. if there are appropriate measures to protect the legitimate interests of the data subject and the controller informs the data subject that a decision as referred to in sub- Section 1 has been made and, upon request, explains the main reasons for this decision.
(3) The data subject's right of access in accordance with Sections 19 and 34 shall also extend to the logic of the processing of his/her personal data.
Section 6b Monitoring of publicly accessible areas with optic-electronic devices
(1) Monitoring publicly accessible areas with optic-electronic devices (video surveillance) is allowable only in so far as it is necessary
1. to fulfil public tasks,
2. to exercise the right to determine who shall be allowed or denied access or
3. to pursue rightful interests for precisely defined purposes and if there are no indications that the data subjects' legitimate interests prevail.
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 10 of 39
(2) The fact that the area is being monitored and the controller's identity shall be made discernible by appropriate means. (3) Data that have been collected under sub-Section 1 above may be processed or used if this is necessary for the pursued purpose and if there are no indications that the data subjects' legitimate interests prevail. They may only be processed or used for another purpose if this is necessary to avert dangers to state security or public safety or to prosecute crimes. (4) Where data collected through video-surveillance are attributed to an identified person, this person shall be informed about such processing or use in conformity with Sections 19a and 33. (5) The data shall be deleted without delay, if they are no longer needed for the pursued purpose or if the data subject's legitimate interests stand in the way of any further storage.
Section 6c Mobile storage and processing media for personal data
(1) A body which issues a mobile storage and processing medium for personal data or which applies a procedure for the automated processing of personal data which runs in part or in its entirety on such a medium to the medium or modifies or makes such data available must inform the data subject
1. of its identity and address,
2. of the medium's mode of functioning in generally comprehensible terms, including the type of personal data to be processed,
3. how he can exercise his rights in accordance with Sections 19, 20, 34 and 35, and
4. of the measures to be undertaken in the event of loss or destruction of the medium,
in so far as the data subject has not already acquired such knowledge. (2) The body which is subject to the obligations stipulated in sub-Section 1 shall ensure that devices or facilities which are necessary in order to enable the data subject to assert his right of access are available in adequate numbers for use free of charge. (3) Communications procedures which initiate data processing on the medium must be clearly apparent to the data subject.
Section 7 Compensation
Where a controller causes harm to the data subject through the collection, processing or use of his/her personal data that is inadmissible or incorrect under the provisions of this Act or other data protection provisions, such controller or its supporting organization shall be obliged to compensate the data subject for the harm thus caused. This obligation to provide compensation shall not apply if the controller has exercised due care in accordance with the circumstances of the case concerned.
Section 8 Compensation in case of automated data processing by public bodies
(1) Where a public body causes harm to the data subject through the automated collection, processing or use of his/her personal data that is inadmissible or incorrect under the provisions of this Act or other data protection provisions, such body's supporting organization shall be obliged to compensate the data subject for the harm thus caused, irrespective of any fault. (2) In grave cases of violation of privacy, the data subject shall receive adequate pecuniary compensation for the immaterial harm caused.
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 11 of 39
(3) The claims under sub-sections 1 and 2 above shall be limited to a total amount of € 130,000. Where, due to the same occurrence, compensation has to be paid to several persons and exceeds the maximum amount of € 130,000, the compensation paid to each of them shall be reduced in proportion to the maximum amount. (4) If, in the case of automated processing, several bodies are entitled to store the data and the injured person is unable to ascertain the controller of the filing system, each body shall be liable. (5) Section 254 of the Civil Code shall apply to contributory negligence on the part of the data subject. (6) The limitation provisions stipulated for tortious acts in the Civil Code shall apply mutatis mutandis with regard to statutory limitation.
Section 9 Technical and organizational measures
Public and private bodies processing personal data either on their own behalf or on behalf of others shall take the technical and organizational measures necessary to ensure the implementation of the provisions of this Act, in particular the requirements set out in the annex to this Act. Measures shall be required only if the effort involved is reasonable in relation to the desired level of protection.
Section 9a Data protection audit
In order to improve data protection and data security, suppliers of data processing systems and programs and bodies conducting data processing may have their data protection strategies and their technical facilities examined and evaluated by independent and approved appraisers, and may publish the result of the audit. The detailed requirements pertaining to examination and evaluation, the procedure and selection and approval of the appraisers shall be stipulated in a separate act.
Section 10 Establishment of automated retrieval procedures
(1) An automated procedure for the retrieval of personal data may be established in so far as such procedure is appropriate, having due regard to the legitimate interests of the data subjects and to the duties or business purposes of the bodies involved. The provisions on the admissibility of retrieval in a particular case shall remain unaffected. (2) The bodies involved shall ensure that the admissibility of the retrieval procedure can be monitored. For such purpose they shall specify in writing:
1. the reason for and purpose of the retrieval procedure,
2. third parties to whom transfer is effected,
3. the type of data to be transferred,
4. the technical and organizational measures required under Section 9 of this Act. In the public sector the supervisory authorities may lay down such specifications. (3) In cases where the bodies mentioned in Section 12 (1) of this Act are involved, the Federal Commissioner for Data Protection and Freedom of Information shall be notified of the establishment of retrieval procedures and of the specifications made under sub-Section 2 above. The establishment of retrieval procedures in which the bodies mentioned in Sections 6 (2) and 19 (3) of this Act are involved shall be admissible only if the federal or Land ministries responsible for the controller of the filing system and for the retrieving body or their representatives have given their consent. (4) Responsibility for the admissibility of retrieval in a particular case shall rest with the third party to whom transfer is effected. The controller of the filing system shall examine the admissibility of retrieval only if there is cause for such examination. The controller of the filing
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 12 of 39
system shall ensure that the transfer of personal data can be ascertained and checked at least by means of suitable sampling procedures. If all personal data are retrieved or transferred (batch processing), it shall be sufficient to ensure that the admissibility of the retrieval or transfer of all data can be ascertained and checked. (5) Sub-sections 1 to 4 above shall not apply to the retrieval of generally accessible data. Generally accessible data are data which anyone can use, be it with or without prior registration, permission or the payment of a fee.
Section 11 Commissioned collection, processing or use of personal data
(1) Where other bodies are commissioned to collect, process or use personal data, responsibility for compliance with the provisions of this Act and with other data protection provisions shall rest with the principal. The rights referred to in Sections 6, 7 and 8 of this Act shall be asserted vis-à-vis the principal. (2) The agent shall be carefully selected, with particular regard for the suitability of the technical and organizational measures taken by him/her. The commission shall be given in writing, specifying the collection, processing and use of the data, the technical and organizational measures and any subcommissions. The commission shall be given in writing and shall specify in particular:
1. the subject and the duration of the commission,
2. the extent, type and purpose of the planned collection, processing or use of data; the type of data and group of persons affected,
3. technical and organizational measures to be taken under Section 9,
4. the correction, erasure and blocking of data,
5. the agent’s obligation under sub-Section 4, in particular controls to be undertaken,
6. any right to issue subcontracts,
7. the principal’s rights of control and the agent’s corresponding obligations to tolerate and cooperate,
8. violations by the agent or persons employed by him/her of provisions to protect personal data or of terms specified in the commission which must be reported,
9. the extent of the principal’s authority to issue instructions to the agent,
10. the return of data storage media and the erasure of data stored by the agent after the commission has been completed.
In the case of public bodies, the commission may be given by the supervisory authority. The principal shall verify compliance with the technical and organizational measures undertaken by the agent before data processing begins and regularly thereafter. The result shall be documented. (3) The agent may collect, process or use the data only as instructed by the principal. If the agent thinks that an instruction of the principal infringes this Act or other data protection provisions, he/she shall point this out to the principal without delay. (4) For the agent the only applicable provisions other than those of Sections 5, 9, 43 (1), Nos. 2, 10 and 11, (2) Nos. 1 to 3 and (3) and Section 44 of this Act shall be the provisions on data protection control or supervision, namely for
1.
a) public bodies,
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 13 of 39
b) private bodies where the public sector possesses the majority of shares or votes and where the principal is a public body,
Sections 18, 24 to 26 of this Act or the relevant data protection laws of the Länder,
2. other private bodies in so far as they are commissioned to collect, process or use personal data in the course of business as service enterprises, Sections 4 f, 4 g and 38 of this Act.
(5) Sub-sections 1 to 4 shall apply mutatis mutandis if other bodies are commissioned to carry out the inspection or maintenance of automated procedures or data processing systems, in the course of which the possibility of personal data being accessed cannot be excluded.
Part II Data processing by public bodies
Chapter I Legal basis for data processing
Section 12 Scope
(1) The provisions of this Part shall apply to public bodies of the Federation in so far as they do not participate in competition as public-law enterprises. (2) Where data protection is not governed by Land legislation, Sections 12 to 16, 19 and 20 of this Act shall also apply to public bodies of the Länder in so far as they
1. execute federal law and do not participate in competition as public-law enterprises or
2. act as bodies of the judicature and are not dealing with administrative matters. (3) Section 23 (4) of this Act shall apply mutatis mutandis to Land commissioners for data protection. (4) If personal data are collected, processed or used for the purpose of past, present or future employment contracts, Section 28 (2) No. 2 and Sections 32 to 35 of this Act shall apply instead of Sections 13 to 16 and 19 to 20.
Section 13 Collection of data
(1) The collection of personal data shall be admissible if knowledge of them is needed to perform the duties of the bodies collecting them. (1a) Where personal data are collected from a private body and not from the data subject, such body shall be informed of the legal provision requiring the supply of particulars or that such supply is voluntary, as the case may be. (2) The collection of special types of personal data (Section 3 (9)) is permissible only in so far as
1. such collection is stipulated in a legal provision or essential on account of an important public interest,
2. the data subject has consented pursuant to Section 4a (3) of this Act,
3. such collection is necessary in order to protect vital interests of the data subject or of a third party, in so far as the data subject is unable to give his/her consent for physical or legal reasons,
4. such collection concerns data which the data subject has evidently made public,
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 14 of 39
5. such collection is necessary in order to avert a substantial threat to public safety,
6. such collection is necessary in order to avert substantial detriment to the common weal or to protect substantial interests of the common weal,
7. such collection is necessary for the purposes of preventive medicine, medical diagnosis, health care or the administration of health services and the processing of these data is carried out by medical personnel or other persons who are subject to an obligation to maintain secrecy,
8. such collection is necessary for the purposes of scientific research, where the scientific interest in carrying out the research project substantially outweighs the data subject's interest in excluding collection and the purpose of the research cannot be achieved in any other way or would otherwise necessitate disproportionate effort, or
9. such collection is necessary in order to enable a public body of the Federation to perform its duties for compelling reasons of defence or to discharge supranational or international duties in the field of crisis management or conflict prevention or for humanitarian measures.
Section 14 Storage, modification and use of data
(1) The storage, modification or use of personal data shall be admissible where it is necessary for the performance of the duties of the controller of the filing system and if it serves the purposes for which the data were collected. If there has been no preceding collection, the data may be modified or used only for the purposes for which they were stored. (2) Storage, modification or use for other purposes shall be admissible only if
1. a legal provision prescribes or peremptorily presupposes this,
2. the data subject has consented,
3. it is evident that this is in the interest of the data subject and there is no reason to assume that he/she would withhold consent if he/she knew of such other purpose,
4. particulars supplied by the data subject have to be checked because there are actual indications that they are incorrect,
5. the data are generally accessible or the controller would be permitted to publish them, unless the data subject clearly has an overriding legitimate interest in excluding the change of purpose,
6. this is necessary in order to avert substantial detriment to the common weal or a threat to public security, or to protect substantial interests of the common weal,
7. this is necessary to prosecute criminal or administrative offences, to implement sentences or measures as defined in Section 11 (1), No. 8 of the Penal Code or reformatory or disciplinary measures as defined in the Youth Courts Act, or to execute decisions imposing administrative fines,
8. this is necessary to avert a grave infringement of another person’s rights or
9. this is necessary in order to conduct scientific research, scientific interest in conduct of the research project substantially outweighs the interest of the data subject in excluding the change of purpose, and the research purpose cannot be attained by other means or can be attained thus only with disproportionate effort.
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 15 of 39
(3) Processing or use for other purposes shall not be deemed to occur if this serves the exercise of powers of supervision or control, the execution of auditing or the conduct of organizational studies for the controller of the filing system. This shall also apply to processing or use for training and examination purposes by the controller, unless the data subject has overriding legitimate interests. (4) Personal data stored exclusively for the purpose of monitoring data protection, safeguarding data or ensuring proper operation of a data processing system may be used exclusively for such purposes. (5) The storage, modification or use of special types of personal data (Section 3 (9)) for other purposes shall be permissible only if
1. the requirements which would permit collection in accordance with Section 13 (2), Nos. 1 to 6 or No. 9 are met or
2. this is necessary for the conduct of scientific research, scientific interest in conduct of the research project substantially outweighs the interest of the data subject in excluding the change of purpose, and the research purpose cannot be attained by other means or can be attained thus only with disproportionate effort.
In weighing up the circumstances in accordance with sentence 1, No. 2, the scientific interest in the research project is to receive special consideration in the context of the public interest. (6) The storage, modification or use of special types of personal data (Section 3 (9)) for the purposes stated in Section 13 (2), No. 7 shall be subject to the obligations to maintain secrecy which apply to the persons stated in Section 13 (2), No. 7.
Section 15 Transfer of data to public bodies
(1) The transfer of personal data to public bodies shall be admissible if
1. this is necessary for the performance of duties of the transferring body or the third party to whom the data are transferred and
2. the requirements of Section 14 of this Act are met. (2) Responsibility for the admissibility of transfer shall rest with the transferring body. If the data are transferred at the request of the third party to whom the data are transferred, the latter shall bear responsibility. In such case the transferring body shall merely examine whether the request for transfer lies within the remit of the third party to whom the data are transferred, unless there is special reason to examine the admissibility of transfer. Section 10 (4) of this Act shall remain unaffected. (3) The third party to whom the data are transferred may process or use the transferred data for the purpose for which they were transferred. Processing or use for other purposes shall be admissible only if the requirements of Section 14 (2) of this Act are met. (4) Sub-sections 1 to 3 above shall apply mutatis mutandis to the transfer of personal data to bodies of public-law religious societies, provided it is ensured that the latter take adequate data protection measures. (5) Where personal data that may be transferred under sub-Section 1 above are linked to other personal data of the data subject or a third party in such a way that separation is not possible or is possible only with unreasonable effort, transfer of the latter data shall also be admissible, unless the data subject or a third party clearly has an overriding justified interest in keeping them secret; use of these data shall be inadmissible. (6) Sub-Section 5 above shall apply mutatis mutandis if personal data are transmitted within a public body.
Section 16 Transfer of data to private bodies
(1) The transfer of personal data to private bodies shall be admissible if
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 16 of 39
1. this is necessary for the performance of the duties of the transferring body and the requirements of Section 14 of this Act are met or
2. the third party to whom the data are transferred credibly proves a justified interest in knowledge of the data to be transferred and the data subject does not have a legitimate interest in excluding their transfer. By way of derogation from sentence 1, No. 2, the transfer of special types of personal data (Section 3 (9)) is permissible only if the requirements which would permit use in accordance with Section 14 (5) and (9) are met, or in so far as this is necessary in order to assert, exercise or defend legal claims.
(2) Responsibility for the admissibility of transfer shall rest with the transferring body. (3) In cases of transfer under sub-Section 1, No. 2 above, the transferring body shall inform the data subject of the transfer of his data. This shall not apply if it can be assumed that he will acquire knowledge of such transfer in another manner or if such information would jeopardize public safety or otherwise be detrimental to the Federation or a Land. (4) The third party to whom the data are transferred may process or use the transferred data only for the purpose for which they were transferred to him. The transferring body shall point this out to him. Processing or use for other purposes shall be admissible if transfer under sub-Section 1 above would be admissible and the transferring body has consented.
Section 17 Transfer of data to bodies outside the area of application of this Act
deleted
Section 18 Implementation of data protection in the federal administration
(1) The supreme federal authorities, the President of the Federal Railway Property as well as the federal corporations, establishments and foundations under public law subject to only legal supervision by the Federal Government or a supreme federal authority shall ensure that this Act and other legal provisions concerning data protection are implemented in their respective spheres of activity. The same shall apply to the managing boards of the successor companies created from the Special Fund Deutsche Bundespost by act of law as long as they have an exclusive right under the Postal Law. (2) Public bodies shall keep a register of the data processing systems used. In respect of their automated processing operations, they shall record the information in accordance with Section 4e and the legal basis for processing in writing. This requirement can be waived in the case of automated processing operations for administrative purposes which involve no restrictions of the data subject's right of access in accordance with Section 19 (3) or (4). The specifications may be combined for automated processing operations which are conducted several times in the same manner or a similar manner.
Chapter II Rights of the data subject
Section 19 Provision of information to the data subject
(1) The data subject shall, at his request, be provided with information on
1. stored data concerning him, including any reference in them to their origin,
2. the recipients or categories of recipients to whom the data are transmitted, and
3. the purpose of storage. The request should specify the type of personal data on which information is to be provided. If the personal data are stored neither by automated procedures nor in non-automated filing systems, information shall be provided only in so far as the data subject supplies particulars making it possible to locate the data and the effort needed to provide the information is not
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 17 of 39
out of proportion to the interest in such information expressed by the data subject. The controller shall exercise due discretion in determining the procedure for providing such information and, in particular, the form in which it is provided. (2) Sub-Section 1 above shall not apply to personal data which are stored merely because they may not be erased due to legal, statutory or contractual provisions on their retention or exclusively serve purposes of data security or data protection control and the provision of information would require disproportionate effort. (3) If the provision of information relates to the transfer of personal data to authorities for the protection of the constitution, to the Federal Intelligence Service, the Federal Armed Forces Counterintelligence Office and, where the security of the Federation is concerned, other authorities of the Federal Ministry of Defence, it shall be admissible only with the consent of such bodies. (4) Information shall not be provided if
1. this would be prejudicial to the proper performance of the duties of the controller,
2. this would impair public safety or order or otherwise be detrimental to the Federation or a Land or
3. the data or the fact that they are being stored must be kept secret in accordance with a legal provision or by virtue of their nature, in particular on account of an overriding justified interest of a third party
and for this reason the interest of the data subject in the provision of information must be subordinated. (5) Reasons need not be stated for the refusal to provide information if the statement of the actual and legal reasons on which the decision is based would jeopardize the purpose pursued by refusing to provide information. In such case it shall be pointed out to the data subject that he/she may appeal to the Federal Commissioner for Data Protection and Freedom of Information. (6) If no information is provided to the data subject, it shall at his/her request be supplied to the Federal Commissioner for Data Protection and Freedom of Information unless the relevant supreme federal authority determines in a particular case that this would jeopardize the security of the Federation or a Land. The transfer from the Federal Commissioner to the data subject must not allow any conclusions to be drawn as to the knowledge at the disposal of the controller, unless the latter consents to more extensive information being provided. (7) Information shall be provided free of charge.
Section 19a Notification
(1) If data are collected without the data subject's knowledge, he/she is to be informed of storage, of the controller's identity and of the purposes of collection, processing or use. The data subject is also to be notified of the recipients or categories of recipients of data, except where he/she must expect transfer to such recipients. When transfer is envisaged, notification is to be provided at the time of the first transfer at the latest. (2) Notification shall not be required if
1. the data subject has received knowledge by other means of the storage or transfer of the data,
2. notification of the data subject would require disproportionate effort or
3. the law expressly provides for storage or transfer of the personal data. The controller shall stipulate in writing under what conditions notification shall not be provided in accordance with Nos. 2 or 3 above. (3) Section 19 (2) to (4) shall apply mutatis mutandis.
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 18 of 39
Section 20 Correction, erasure and blocking of data; right of objection
(1) Incorrect personal data shall be corrected. If it is established that personal data which have neither been processed by automated procedures nor stored in automated filing systems are incorrect, or if their accuracy is contested by the data subject, this is to be recorded in an appropriate manner. (2) Personal data which are processed by automated procedures or stored in non-automated filing systems are to be erased if
1. their storage is inadmissible or
2. knowledge of them is no longer required by the controller of the filing system for the performance of his duties.
(3) Instead of erasure, personal data shall be blocked in so far as
1. retention periods prescribed by law, statutes or contracts rule out any erasure,
2. there is reason to assume that erasure would impair legitimate interests of the data subject or
3. erasure is not possible or is only possible with disproportionate effort due to the specific type of storage.
(4) Personal data which are processed by automated procedures or stored in non-automated filing systems shall also be blocked if the data subject disputes that they are correct and it cannot be ascertained whether they are correct or incorrect. (5) Personal data must not be collected, processed or used for automated processing or processing in non-automated filing systems if the data subject files an objection with the controller and an examination reveals that the data subject's legitimate interest outweighs the controller's interest in such collection, processing or use, on account of the data subject's personal situation. Sentence 1 shall apply only when an obligation to carry out collection, processing or use is established by a legal provision. (6) Personal data which are neither processed by automatic procedures nor stored in a non- automated filing system are to be blocked if, in the individual case concerned, the authority establishes that legitimate interests of the data subject would be impaired without such blockage and the data are no longer required in order for the authority to be able to discharge its duties. (7) Blocked data may be transferred or used without the consent of the data subject only if
1. this is indispensable for scientific purposes, for use as evidence or for other reasons in the overriding interests of the controller of the data or a third party and
2. transfer or use of the data for this purpose would be admissible if they were not blocked.
(8) The correction of incorrect data, the blocking of disputed data and the erasure or blocking of data due to inadmissible storage shall be notified to the bodies to which these data are transmitted for storage within the framework of regular data transfer, provided that this does not require disproportionate effort and does not conflict with any legitimate interests of the data subject. (9) Section 2 (1) to (6), (8) and (9) of the Federal Archives Act shall apply.
Section 21 Appeals to the Federal Commissioner for Data Protection and Freedom of Information Anyone may appeal to the Federal Commissioner for Data Protection and Freedom of Information if he or she believes that his or her rights have been infringed through the collection, processing or use of his or her personal data by public bodies of the Federation.
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 19 of 39
This shall apply to the collection, processing or use of personal data by courts of the Federation only in so far as they deal with administrative matters.
Chapter III Federal Commissioner for Data Protection and Freedom of Information
Section 22 Election of the Federal Commissioner for Data Protection and Freedom of Information (1) On a proposal from the Federal Government the Bundestag shall elect the Federal Commissioner for Data Protection and Freedom of Information with over half of the statutory number of its members. The Federal Commissioner must be at least 35 years old at the time of his election. The person elected shall be appointed by the Federal President. (2) The Federal Commissioner shall swear the following oath in the presence of the Federal Minister of the Interior: "I swear to do everything in my power to further the well-being of the German people, to protect them from harm and to defend the Basic Law and the laws of the Federation, to perform my duties conscientiously and to exercise justice in all my dealings, so help me God." The reference to God may be omitted from the oath. (3) The term of office of the Federal Commissioner shall be five years. It may be renewed once. (4) The Federal Commissioner shall, as directed by this Act, have public-law official status with respect to the Federation. He or she shall be independent in the performance of his/her duties and subject to the law only. He or she shall be subject to the legal supervision of the Federal Government. (5) The Federal Commissioner shall be established with the Federal Minister of the Interior. He or she shall be subject to the hierarchical supervision of the Federal Minister of the Interior. The Federal Commissioner shall be provided with the personnel and material resources necessary for the performance of his/her duties; these resources shall be shown in a separate chapter of the budget of the Federal Minister of the Interior. The posts shall be filled in agreement with the Federal Commissioner. If they do not agree to the envisaged measure, staff members may be transferred, delegated or relocated only in agreement with the Federal Commissioner. (6) If the Federal Commissioner is temporarily prevented from performing his/her duties, the Federal Minister of the Interior may appoint a substitute to perform such duties. The Federal Commissioner shall be consulted on such appointment.
Section 23 Legal status of the Federal Commissioner for Data Protection and Freedom of
Information (1) The mandate of the Federal Commissioner for Data Protection and Freedom of Information shall commence on delivery of the certificate of appointment. It shall end
1. on expiry of his/her term of office,
2. on his/her dismissal. The Federal President shall dismiss the Federal Commissioner at the latter’s request or on a proposal by the Federal Government when there are grounds which, in the case of an established judge, justify dismissal from service. In the event of termination of office, the Federal Commissioner shall receive a document signed by the Federal President. Dismissal shall be effective on delivery of this document. If the Federal Minister of the Interior so requests, the Federal Commissioner shall be obliged to continue his/her work until a successor has been appointed. (2) The Federal Commissioner shall not hold any other paid office or pursue any gainful activity or occupation in addition to his/her official duties and shall not belong to the management, supervisory board or board of directors of a profit-making enterprise nor to a
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 20 of 39
government or a legislative body of the Federation or a Land. He or she may not deliver extra-judicial opinions in exchange for payment. (3) The Federal Commissioner shall inform the Federal Ministry of the Interior of any gifts received in the performance of his/her duties. The Federal Ministry of the Interior shall decide how such gifts shall be used. (4) The Federal Commissioner shall be entitled to refuse to give testimony as a witness on persons who have entrusted information to him/her in his/her capacity as Federal Commissioner and on such information itself. This shall also apply to the staff of the Federal Commissioner, on condition that the Federal Commissioner decides on the exercise of this right. Within the scope of the Federal Commissioner’s right to refuse to give testimony as a witness, he/she may not be required to submit or surrender files or other documents. (5) The Federal Commissioner shall be obliged, even after termination of his/her service, to maintain secrecy concerning information of which he/she has knowledge by reason of his/her duties. This shall not apply to communications made in the normal course of duties or concerning facts which are common knowledge or are not sufficiently important to warrant confidential treatment. The Federal Commissioner may not, even after leaving the service, make any pronouncements or statements either in or out of court concerning such matters without the consent of the Federal Ministry of the Interior. This provision shall not, however, affect his/her duty by law to report criminal offences and to take action to uphold the free democratic fundamental order whenever it is jeopardized. Sections 93, 97, 105 (1), Section 111 (5) in conjunction with Section 105 (1) and Section 116 (1) of the Fiscal Code shall not apply to the Federal Commissioner for Data Protection and his/her staff in so far as the fiscal authorities require such knowledge in order to conduct legal proceedings due to a tax offence and a related tax procedure, the prosecution of which is necessary on account of a compelling public interest, or in so far as the person obliged to provide information or persons acting on his behalf have intentionally provided false information. If the Federal Commissioner establishes a violation of data protection provisions, he/she shall be authorized to file charges and to inform the data subject accordingly. (6) Consent to give testimony as a witness shall be refused only when such testimony would be to the detriment of the Federation or a Land or seriously jeopardize or impede the performance of public duties. Consent to deliver an opinion may be refused where it would be against the interest of the service. Section 28 of the Act on the Federal Constitutional Court shall remain unaffected. (7) From the beginning of the calendar month in which he/she commences his/her duties until the end of the calendar month in which he/she terminates his/her duties or, in the event of sub-Section 1 sixth sentence above being applied, until the end of the month in which his/her activities cease, the Federal Commissioner shall receive the remuneration of a grade B 9 federal official. The Federal Act on Travel Expenses and the Federal Act on Removal Expenses shall apply mutatis mutandis. In all other respects, Section 12 (6) and Sections 13 to 20 and 21a (5) of the Act on Federal Ministers shall apply, except that the period of office of four years provided in Section 15 (1) of the Act on Federal Ministers shall be replaced by a period of office of five years and pay grade B 11 as stipulated in Section 21a (5) of the Act on Federal Ministers shall be replaced by pay grade B 9. Notwithstanding the third sentence above in conjunction with Sections 15 to 17 and 21a (5) of the Act on Federal Ministers, the pension of the Federal Commissioner shall be calculated, taking account of the pensionable period of service, on the basis of the Civil Servants Pensions Act if this is more favourable and if, immediately before his/her election, the Federal Commissioner held as a civil servant or judge at least the last position customarily required before reaching the B 9 pay grade. (8) Sentences 5 to 7 of sub-Section 5 shall apply mutatis mutandis to the public bodies which are responsible for monitoring compliance with the provisions on data protection in the individual Länder.
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 21 of 39
Section 24 Monitoring by the Federal Commissioner for Data Protection and Freedom of
Information (1) The Federal Commissioner for Data Protection and Freedom of Information shall monitor compliance with the provisions of this Act and other data protection provisions by public bodies of the Federation. (2) Monitoring by the Federal Commissioner shall also extend to
1. personal data obtained by public bodies of the Federation on the contents of and the specific circumstances relating to correspondence, postal communications and telecommunications and
2. personal data subject to professional or special official secrecy, especially tax secrecy under Section 30 of the Tax Code.
The fundamental right to privacy of correspondence, posts and telecommunications as enshrined in Article 10 of the Basic Law is in so far curtailed. Personal data subject to monitoring by the commission set up under Section 15 of the Act on Article 10 shall not be subject to monitoring by the Federal Commissioner unless the commission requests the Federal Commissioner to monitor compliance with data protection provisions in connection with specific procedures or in specific areas and to report thereon exclusively to it. Personal data in files on the security check shall not be subject to monitoring by the Federal Commissioner if the data subject files a complaint with the Federal Commissioner objecting to monitoring of the data relating to his/her person in the individual case concerned. (3) The activities of judges at federal courts which directly serve the purposes of adjudication shall be exempted from monitoring. (4) Public bodies of the Federation shall be obliged to support the Federal Commissioner and his assistants in the performance of their duties. In particular they shall be granted
1. information in reply to their questions as well as the opportunity to inspect all documents, especially stored data and data processing programs, connected with the monitoring referred to in sub-Section 1 above,
2. access to all official premises at any time. The authorities referred to in Sections 6 (2) and 19 (3) of this Act shall afford support exclusively to the Federal Commissioner himself and the assistants appointed by him in writing. The second sentence above shall not apply to such authorities where the supreme federal authority establishes in a particular case that such information or inspection would jeopardize the security of the Federation or a Land. (5) The Federal Commissioner shall inform the public body of the results of his monitoring. He or she may combine them with proposals for improving data protection, especially for rectifying irregularities discovered in the processing or use of personal data. Section 25 of this Act shall remain unaffected. (6) Sub-Section 2 above shall apply mutatis mutandis to public bodies responsible for monitoring compliance with data protection provisions in the Länder.
Section 25 Complaints lodged by the Federal Commissioner for Data Protection and Freedom of
Information (1) Should the Federal Commissioner for Data Protection and Freedom of Information discover infringements of this Act or of other data protection provisions or other irregularities in the processing or use of personal data, he/she shall lodge a complaint
1. in the case of the federal administration, with the competent supreme federal authority,
2. in the case of the Federal Railway Property, with the President,
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 22 of 39
3. in the case of the successor companies created from the Special Fund Deutsche Bundespost by act of law, as long as they have an exclusive right under the Postal Law, with their managing boards,
4. in the case of federal corporations, establishments and foundations under public law as well as associations of such corporations, establishments and foundations, with the managing board or the relevant representative body
and shall request a statement by a date which he shall determine. In the cases referred to in No. 4 of the first sentence above, the Federal Commissioner shall at the same time inform the competent supervisory authority. (2) The Federal Commissioner may dispense with a complaint or with a statement from the body concerned especially if the irregularities involved are insignificant or have meanwhile been rectified. (3) The statement to be delivered should also describe the measures taken as a result of the Federal Commissioner’s complaint. The bodies referred to in sub-Section 1 first sentence No. 4 above shall submit to the competent supervisory authority a copy of the statement communicated to the Federal Commissioner.
Section 26 Further duties of the Federal Commissioner for Data Protection and Freedom of
Information (1) The Federal Commissioner for Data Protection and Freedom of Information shall submit an activity report to the Bundestag every two years. Such report should inform the Bundestag and the public on key developments in the field of data protection. (2) When so requested by the Bundestag or the Federal Government, the Federal Commissioner shall draw up opinions and reports. When so requested by the Bundestag, the Petitions Committee, the Internal Affairs Committee or the Federal Government, the Federal Commissioner shall also investigate data protection matters and occurrences at public bodies of the Federation. The Federal Commissioner may at any time consult the Bundestag. (3) The Federal Commissioner may make recommendations on the improvement of data protection to the Federal Government and to the bodies of the Federation referred to in Section 12 (1) of this Act and may advise them in matters regarding data protection. The bodies referred to in Nos. 1 to 4 of Section 25 (1) of this Act shall be informed by the Federal Commissioner when the recommendation or advice does not concern them directly. (4) The Federal Commissioner shall seek cooperation with public bodies responsible for monitoring compliance with data protection provisions in the Länder and with supervisory authorities under Section 38 of this Act. Sentences 4 and 5 of Section 38 (1) shall apply mutatis mutandis.
Part III Data processing by private bodies and public-law enterprises participating in
competition
Chapter I Legal basis for data processing
Section 27 Scope
(1) The provisions of this Part shall apply in so far as personal data are processed or used by means of data processing systems or collected for such purposes, or in so far as data are processed or used in or from automated filing systems or collected for such purposes by
1. private bodies,
2.
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 23 of 39
a) public bodies of the Federation in so far as they participate in competition as public-law enterprises,
b) public bodies of the Länder in so far as they participate in competition as public-law enterprises, execute federal law and data protection is not governed by Land legislation.
This shall not apply where the collection, processing or use of such data is effected solely for personal or family activities. In the cases referred to in No. 2 a) above, Sections 18, 21 and 24 to 26 shall apply instead of Section 38.
(2) The provisions of this Part shall not apply to the processing and use of personal data outside of non-automated filing systems in so far as they are not personal data clearly taken from an automated processing operation.
Section 28 Collection and storage of data for own commercial purposes
(1) The collection, storage, modification or transfer of personal data or their use as a means of fulfilling one’s own business purposes shall be admissible
1. when needed to create, carry out or terminate a legal obligation or quasi-legal obligation with the data subject,
2. in so far as this is necessary to safeguard justified interests of the controller of the filing system and there is no reason to assume that the data subject has an overriding legitimate interest in his data being excluded from processing or use,
3. if the data are generally accessible or the controller of the filing system would be entitled to publish them, unless the data subject's legitimate interest in his data being excluded from processing or use clearly outweighs the justified interest of the controller of the filing system.
In connection with the collection of personal data, the purposes for which the data are to be processed or used are to be stipulated in concrete terms. (2) Transfer or use for another purpose shall be admissible:
1. under the conditions given in sub-Section 1 first sentence No. 2 or No. 3,
2. where necessary
a) to protect the legitimate interests of a third party or
b) to avert threats to state or public security or to prosecute criminal offences,
and there is no reason to believe that the data subject has a legitimate interest in excluding transfer or use, or
3. if necessary in the interest of a research institute for the conduct of scientific research, if scientific interest in conduct of the research project substantially outweighs the interest of the data subject in excluding the change of purpose and if the research purpose cannot be attained by other means or can be attained thus only with disproportionate effort.
(3) The processing or use of personal data for purposes of advertising or trading in addresses shall be admissible if the data subject has provided consent and, if such consent was not provided in written form, if the controller proceeds in accordance with sub- Section 3a. In addition, processing or use of personal data shall be admissible where such data consist of lists or other summaries of data from groups of persons which are limited to the data subject’s membership of this group, his/her occupation, name, title, academic degrees, address and year of birth and where processing or use is necessary
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 24 of 39
1. for advertising offers from the controller which collected the data, other than information concerning membership of the group, from the data subject in accordance with sub-Section 1 first sentence No. 1, or from generally accessible sources such as address, telephone and classified directories, and the like,
2. for purposes of advertising in view of the data subject's occupation and under his/her work address, or
3. for the purpose of soliciting donations eligible for tax concessions under Section 10 b (1) and Section 34 g of the Income Tax Act.
For purposes pursuant to sentence 2 No. 1, the controller may store data in addition to those stated there. Summarized personal data referred to in sentence 2 may be transferred for advertising purposes also when the transferred data are stored in accordance with Section 34 (1a) first sentence; in this case, the advertisement must make clear which body originally collected the data. Regardless of whether the conditions of sentence 2 are met, personal data may be used for advertising third-party offers if the data subject can clearly identify from the advertisement the body responsible for using the data. Processing or use as referred to in sentences 2 through 4 shall be admissible if not in conflict with legitimate interests of the data subject. Data transferred pursuant to sentences 1, 2 and 4 may be used only for the same purpose for which they were transferred. (3a) If consent as referred to in Section 4 a (1) third sentence is provided in other than written form, the controller shall provide the data subject with written confirmation of the substance of the consent unless consent was provided in electronic form and the controller ensures that the declaration of con-sent is recorded and the data subject can access and revoke it at any time, to take future effect. If consent is provided in written form together with other declarations, the printing and format of the declaration shall distinguish it from the others. (3b) The controller may not make the conclusion of a contract dependent on the data subject’s con-sent under sub-Section 3 first sentence if access to equivalent contractual benefits is impossible or unreasonable without providing consent. Consent provided under such circumstances shall be invalid. (4) If the data subject objects vis-à-vis the controller of the filing system to the processing or use of his/her data for purposes of advertising or of market or opinion research, processing or use for such purposes shall be inadmissible. In approaching the data subject for the purpose of advertising or market or opinion research and, in the cases referred to in sub- Section 1 first sentence No. 1 also when creating a legal or quasi-legal obligation, the data subject shall be informed of the identity of the controller and the right of objections in accordance with sentence 1 above; in so far as the party approaching the data subject uses the data subject’s personal data which are stored by a body unknown to that party, the approaching party shall also ensure that the data subject is able to obtain information on the origin of the data. If the data subject objects to the processing or use of the data for the purpose of advertising or market or opinion research with the third party to whom the data were transferred for the purposes pursuant to sub-Section 3, the latter shall block the data for these purposes. In the cases of sub-Section 1 first sentence No. 1, the requirements as to the form of the objection cannot be stricter than for the creation of a legal or quasi-legal obligation. (5) The third party to whom the data have been transferred may process or use the transferred data only for the purpose for which they were transferred. Processing or use for other purposes shall be admissible for private bodies only if the requirements of sub-sections 1 and 2 above are met and for public bodies only if the requirements of Section 14 (2) are met. The transferring body shall point this out to the third party. (6) The collection, processing and use of special types of personal data (Section 3 (9)) for own commercial purposes shall be admissible when the data subject has not consented in accordance with Section 4a (3) if
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 25 of 39
1. this is necessary in order to protect vital interests of the data subject or of a third party, in so far as the data subject is unable to provide consent for physical or legal reasons,
2. the data concerned have evidently been made public by the data subject,
3. this is necessary in order to assert, exercise or defend legal claims and there is no reason to assume that the data subject has an overriding legitimate interest in excluding such collection, processing or use, or
4. this is necessary for the purposes of scientific research, where the scientific interest in carrying out the research project substantially outweighs the data subject's interest in excluding collection, processing and use and the purpose of the research cannot be achieved in any other way or would otherwise necessitate disproportionate effort.
(7) The collection of special types of personal data (Section 3 (9)) shall further be admissible if this is necessary for the purposes of preventive medicine, medical diagnosis, health care or treatment or the administration of health services and the processing of these data is carried out by medical personnel or other persons who are subject to an obligation to maintain secrecy. The processing and use of data for the purposes stated in sentence 1 shall be subject to the obligations to maintain secrecy which apply to the persons stated in sentence 1. The collection, processing or use of data on the health of persons by members of a profession other than those stipulated in Section 203 (1) and (3) of the Penal Code, the exercising of which profession involves determining, curing or alleviating illnesses or producing or selling aids shall be admissible only under those conditions according to which a doctor would also be authorized for these purposes. (8) Special types of personal data (Section 3 (9)) may be transferred or used only if the requirements of sub-Section 6, Nos. 1 to 4 or sub-Section 7 first sentence are met. Transfer or use shall also be admissible if necessary to avert substantial threats to state security or public safety and to prosecute major criminal offences. (9) Organizations of a political, philosophical or religious nature and trade union organizations may collect, process or use special types of personal data (Section 3 (9)) in so far as this is necessary for the organization's activities. This shall apply only to personal data of their members or of persons who maintain regular contact with the organizations in connection with the purposes of their activities. The transfer of these personal data to persons or bodies outside of the organization concerned shall be admissible only if the requirements of Section 4a (3) are met. Sub-Section 3, No. 2 shall apply mutatis mutandis.
Section 28a Data transfer to credit inquiry agencies
(1) Personal data concerning a claim may be transferred to credit inquiry agencies only if the performance owed has not been rendered on time, the transfer is necessary to protect the justified interests of the controller or a third party and
1. the claim has been established by a final decision or a decision declared enforceable for the time being, or if an executory title has been issued under Section 794 of the Code of Civil Procedure,
2. the claim has been established under Section 178 of the Insolvency Act and has not been disputed by the debtor at the verification meeting,
3. the data subject has expressly acknowledged the claim,
4.
a) the data subject received at least two written reminders after the due date,
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 26 of 39
b) at least four weeks elapsed between the first warning and the data transfer,
c) the controller gave the data subject sufficient notice before transferring the information, or at least informed the data subject of the impending transfer in the first reminder and
d) the data subject did not dispute the claim, or
5. the contractual relationship on which the claim is based can be terminated without prior notice for payment in arrears and the controller has informed the data subject of the impending transfer.
The first sentence shall apply mutatis mutandis if the controller uses the data itself under Section 29. (2) For the future transfer under Section 29 (2), financial institutions may transfer personal data on the creation, orderly execution and termination of a contractual relationship concerning a bank transaction under Section 1 (1) second sentence No. 2, No. 8 or No. 9 of the Banking Act to rating agencies unless the data subject’s legitimate interest in excluding such transfer obviously outweighs the interest of the credit inquiry agency in the data. The data subject shall be informed of this before the contract has been concluded. The first sentence shall not apply to contracts concerning current accounts without overdraft protection. For the future transfer under Section 29 (2), data concerning the behaviour of data subjects which serve to create market transparency in the context of pre-contractual relationships of trust may not be transferred to credit inquiry agencies even with the data subject’s consent. (3) Within one month of becoming aware of any subsequent modification of facts based on a transfer under sub-Section 1 or 2, the controller shall inform the credit inquiry agency of such modification, as long as the credit inquiry agency is still storing the originally transferred data. The credit inquiry agency shall inform the body which transferred the data when it has erased the originally transferred data.
Section 28b Scoring
For the purpose of deciding on the creation, execution or termination of a contractual relationship with the data subject, a probability value for certain future action by the data subject may be calculated or used if
1. the data used to calculate the probability value are demonstrably essential for calculating the probability of the action on the basis of a scientifically recognized mathematic-statistical procedure,
2. in case the probability value is calculated by a credit inquiry agency, the conditions for transferring the data used under Section 29, and in all other cases the conditions of admissible use of data under Section 28 are met,
3. data in addition to address data are used to calculated the probability value,
4. in case address data are used, the data subject shall be notified ahead of time of the planned use of these data; this notification shall be documented.
Section 29 Commercial collection and storage of data for the purpose of transfer
(1) The commercial collection, storage, modification or use of personal data for the purpose of transfer, in particular when this serves the purposes of advertising, the activities of credit inquiry agencies or trading in addresses shall be admissible if
1. there is no reason to assume that the data subject has a legitimate interest in excluding such collection, storage or modification,
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 27 of 39
2. the data are retrievable from generally accessible sources or the controller would be permitted to publish them, unless the data subject clearly has an overriding legitimate interest in excluding such collection, storage or modification, or
3. the conditions of Section 28a (1) or (2) are met; data as defined in Section 28a (2) fourth sentence may not be collected or stored.
Section 28 (1) second sentence and sub-sections 3 to 3b shall be applied. (2) Transfer for the purposes specified in sub-Section 1 shall be admissible if
1. the third party to whom the data are transferred credibly proves a justified interest in knowledge of the data and
2. there is no reason to assume that the data subject has a legitimate interest in his data being excluded from transfer.
Section 28 (3) to (3b) of this Act shall apply mutatis mutandis. In the case of transfer under sentence 1 No. 1 above, the reasons for the existence of a justified interest and the means of credibly presenting them shall be recorded by the transferring body. In the case of transfer through automated retrieval, such recording shall be required of the third party to whom the data are transferred. The transferring body shall take random samples in accordance with Section 10 (4) third sentence and thereby determine whether a legitimate interest exists. (3) Personal data are not to be included in electronic or printed address, telephone, classified or similar directories if it is evident from the electronic or printed directory or register that such inclusion is contrary to the will of the data subject. The recipient of the data shall ensure that labels from electronic or printed directories or registers are retained upon adoption into directories or registers. (4) Section 28 (4) and (5) shall apply to processing or use of the transferred data. (5) Section 28 (6) to (9) shall apply mutatis mutandis. (6) Any body which for the purpose of transfer commercially collects, stores or modifies personal data which may be used to evaluate the creditworthiness of consumers shall treat requests for in-formation from lenders in other European Union Member States or other states party to the Agreement on the European Economic Area the same way it treats information requests from do-mestic lenders. (7) Anyone who refuses to conclude a consumer loan contract or a contract concerning financial assistance for payment with a consumer as the result of information provided by a body as referred to in sub-Section 6 shall immediate notify the consumer of this refusal and the information received. Such notification shall not be made if doing so would endanger public security or order. Section 6a shall remain unaffected.
Section 30 Commercial collection and storage of data for the purpose of transfer in anonymized
form (1) If personal data are collected and stored in the course of business in order to transfer them in anonymized form, the characteristics enabling information concerning personal or material circumstances to be attributed to an identified or identifiable individual shall be stored separately. Such characteristics may be combined with the information only where necessary for storage or scientific purposes. (2) The modification of personal data shall be admissible if
1. there is no reason to assume that the data subject has a legitimate interest in his/her data being excluded from modification or
2. the data can be taken from generally accessible sources or the controller of the filing system would be entitled to publish them, unless the data subject clearly has an overriding legitimate interest in his/her data being excluded from modification.
(3) Personal data shall be erased if their storage is inadmissible.
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 28 of 39
(4) Section 29 shall not apply. (5) Section 28 (6) to (9) shall apply mutatis mutandis.
Section 30a Commercial data collection and storage for purposes of market or opinion research
(1) The commercial collection, processing or use of personal data for purposes of market or opinion research shall be admissible if
1. there is no reason to assume that the data subject has a legitimate interest in excluding such data from collection, processing or use, or
2. the data can be taken from generally accessible sources or the controller would be entitled to publish them and the data subject’s legitimate interest in excluding such data from collection, processing or use does not obviously outweigh the interest of the controller.
Special types of personal data (Section 3 (9)) may be collected, processed or used only for certain research purposes. (2) Personal data collected or stored for purposes of market or opinion research may be processed or used only for these purposes. Data which were not taken from generally accessible sources and which the controller is not entitled to publish may be processed or used only for the research project for which they were collected. They may be processed or used for another purpose only if they have been rendered anonymous in such a way that it is no longer possible to trace them to a specific person. (3) Personal data shall be rendered anonymous as soon as allowed by the purpose of the research project for which they were collected. Until then, the characteristics enabling information concerning personal or material circumstances to be attributed to an identified or identifiable individual shall be stored separately. Such characteristics may be combined with the information only where necessary for the purpose of the research project. (4) Section 29 shall not apply. (5) Section 28 (4) and (6) to (9) shall apply mutatis mutandis.
Section 31 Limitation of use to specific purposes
Personal data stored exclusively for the purposes of data protection control or data security or to ensure the proper operation of a data processing system may be used only for these purposes.
Section 32 Data collection, processing and use for employment-related purposes
(1) Personal data of an employee may be collected, processed or used for employment- related purposes where necessary for hiring decisions or, after hiring, for carrying out or terminating the employment contract. Employees’ personal data may be collected, processed or used to detect crimes only if there is a documented reason to believe the data subject has committed a crime while employed, the collection, processing or use of such data is necessary to investigate the crime and is not outweighed by the data subject’s legitimate interest in excluding the collection, processing or use, and in particular the type and extent are not disproportionate to the reason. (2) Sub-Section 1 shall also be applied when personal data are collected, processed or used without being processed by automatic procedures nor processed, used in or from a non- automated filing system, nor collected in such a filing system for the purpose of processing or use. (3) The rights of participation of staff councils shall remain unaffected.
Chapter II Rights of the data subject
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 29 of 39
Section 33 Notification of the data subject
(1) If personal data are stored for the first time for one’s own purposes without the data subject's knowledge, the data subject shall be notified of such storage, the type of data, the purposes of collection, processing or use and the identity of the controller. If personal data are stored commercially without the data subject's knowledge for the purpose of transfer, the data subject shall be notified of their initial transfer and of the type of data transferred. In the cases covered by the first and second sentences above, the data subject shall also be notified of the categories of recipients, in so far as he/she cannot be expected to assume transfer to such recipients according to the circumstances of the individual case concerned. (2) Notification shall not be required if
1. the data subject has received knowledge by other means of the storage or transfer of the data,
2. the data are stored merely because they may not be erased due to legal statutory or contractual provisions on their preservation or exclusively serve purposes of data security or data protection control and notification would require disproportionate effort.
3. the data must be kept secret in accordance with a legal provision or by virtue of their nature, in particular on account of an overriding legal interest of a third party,
4. the law expressly provides for such storage or transfer,
5. storage or transfer is necessary for the purposes of scientific research and notification would require disproportionate effort,
6. the relevant public body has stated to the controller of the filing system that publication of the data would jeopardize public safety or order or would otherwise be detrimental to the Federation or a Land,
7. the data are stored for one’s own purposes and
a) are taken from generally accessible sources and notification is unfeasible on account of the large number of cases concerned or
b) notification would considerably impair the business purposes of the controller of the filing system, unless the interest in notification outweighs such impairment, or
8. the data are stored commercially for the purpose of transfer and
a) are taken from generally accessible sources in so far as they relate to those persons who published these data or
b) the data are compiled in lists or otherwise combined (Section 29 (2), No. 1 (b) of this Act)
and notification is unfeasible on account of the large number of cases concerned,
9. data taken from generally accessible sources stored commercially for purposes of market or opinion research and notification would not be feasible due to the large number of cases con-cerned.
The controller shall stipulate in writing under what conditions notification shall not be provided in accordance with sentence 1, Nos. 2 to 7.
Section 34 Provision of information to the data subject
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 30 of 39
(1) At the request of the data subject, the controller shall provide information
1. on stored data about the data subject, also where they refer to the origin of these data,
2. on the recipient or type of recipients to whom the data are provided, and
3. the reason for storage. The data subject should provide a detailed description of the type of personal data he or she would like information about. If the personal data are commercially stored for the purpose of transfer, information about the origin and the recipients shall be provided even if this information is not stored. Information about the origin and recipients may be withheld if the interest in protecting trade secrets outweighs the data subject’s interest in the information. (1a) In the cases covered by Section 28 (3) fourth sentence, the transferring body shall store the origin of the data and the recipient for two years following the transfer and shall provide the data subject with information about the origin of the data and the recipient upon request. The first sentence shall apply to the recipient accordingly. (2) In the cases covered by Section 28b, the decision-making body shall provide the data subject with the following information upon request:
1. probability values calculated or stored for the first time within the six months preceding the receipt of the information request,
2. the types of data used to calculate the probability values, and
3. how probability values are calculated and their significance, with reference to the individual case and in a form understandable to a general audience.
The first sentence shall apply mutatis mutandis when the decision-making body
1. stores the data used to calculate probability values without reference to specific persons but creates such reference when calculating the probability value, or
2. uses data stored by another body. If a body other than the decision-making body calculated
1. the probability value or
2. one component of the probability value, it shall provide the decision-making body at its request with the information necessary to satisfy the information claims under the first and second sentences. In the cases covered by sentence 3 No. 1, the decision-making body shall provide the data subject with the name and address of the other body as well as the information necessary to reference the individual case, so that the data subject may assert his/her claim to information, where the decision-making body does not provide this information itself. In this case, the body that calculated the probability value shall fulfil the data subject’s request for information under the first and second sentences free of charge. The body responsible for calculating the probability value shall not be subject to the obligation referred to in the third sentence where the decision-making body uses its right under the fourth sentence. (3) Any body which stores personal data commercially for the purpose of transfer shall provide the data subject upon request information about stored data concerning the data subject, even where these data are neither processed by automatic procedures nor stored in a non-automated filing system. The data subject shall be informed also about data which currently have no reference to specific persons but for which the controller is to create such reference when responding to the information request, which the controller does not store but uses for the purpose of providing information. Information about the origin and recipients may be withheld if the interest in protecting trade secrets outweighs the data subject’s interest in the information.
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 31 of 39
(4) Any body which collects, stores or modifies personal data commercially for the purpose of transfer shall provide the data subject upon request information about
1. probability values for certain future action by the data subject transferred within the twelve months preceding the receipt of the information request, as well as the names and last-known addresses of third parties to whom the values were transferred,
2. probability values at the time of the information request calculated according to the method used by the calculating body,
3. the types of data used to calculate the probability values under Nos. 1 and 2, and
4. how probability values are calculated and their significance, with reference to the individual case and in a form understandable to a general audience.
The first sentence shall apply mutatis mutandis when the responsible body
1. stores the data used to calculate probability values without reference to specific persons but creates such reference when calculating the probability value, or
2. uses data stored by another body. (5) Data stored for the purpose of providing information to data subjects pursuant to sub- sections 1a to 4 may be used only for this purpose and for data protection control; they shall be blocked for other purposes. (6) Upon request, the information shall be provided in written form, unless another form would be more appropriate in the circumstances. (7) There shall be no obligation to provide information when the data subject does not have to be notified in accordance with Section 33 (2) first sentence Nos. 2, 3 and 5 to 7. (8) The information shall be free of charge. If the personal data are stored commercially for the purpose of transfer, the data subject may request information in written form once per calendar year free of charge. For each additional request a fee may be charged, if the data subject can use the information for commercial purposes with respect to third parties. The fee may not exceed the direct costs of providing the information. No fee may be charged if
1. there is reason to believe that data are stored improperly or without permission, or
2. the information shows that the data are to be corrected under Section 35 (1) or to be erased under Section 35 (2) second sentence No. 1.
(9) If a fee is charged to provide information, the data subject shall be given the possibility of personal information about the data concerning him/her within the framework of his/her entitlement to information. The data subject shall be informed of this possibility.
Section 35 Correction, erasure and blocking of data
(1) Inaccurate personal data shall be corrected. Estimated data shall be clearly identified as such. (2) Personal data may be erased at any time, except in the cases specified in sub-Section 3, Nos. 1 and 2. Personal data in filing systems shall be erased if
1. their storage is inadmissible,
2. they concern information on racial or ethnic origin, political opinions, religious or philosophical convictions, union membership, health, sex life, criminal offences or administrative offences and the controller is unable to prove their accuracy,
3. they are processed for one’s own purposes, as soon as knowledge of them is no longer needed for fulfilling the purpose for which they are stored, or
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 32 of 39
4. they are processed commercially for the purpose of transfer and an examination at the end of the fourth calendar year, for data concerning matters that have been concluded and the data subject does not object at the end of the third calendar year after the data were first stored, if an examination shows that further storage is unnecessary.
Personal data stored on the basis of Section 28a (2) first sentence or Section 29 (1) first sentence No. 3 shall be erased at the data subject’s request. (3) Instead of erasure, personal data shall be blocked where
1. in the case of sub-Section 2 second sentence No. 3 above, retention periods prescribed by law, statutes or contracts rule out any erasure,
2. there is reason to assume that erasure would impair legitimate interests of the data subject or
3. erasure is not possible or is only possible with disproportionate effort due to the specific type of storage.
(4) Personal data shall also be blocked if the data subject disputes that they are correct and it cannot be ascertained whether they are correct or incorrect. (4a) The fact that the data are blocked shall not be transmitted. (5) Personal data must not be collected, processed or used for automated processing or processing in non-automated filing systems if the data subject files an objection with the controller and an examination reveals that the data subject's legitimate interest outweighs the controller's interest in such collection, processing or use, on account of the data subject's personal situation. Sentence 1 shall apply only when an obligation to carry out collection, processing or use is established by a legal provision. (6) Where they are stored commercially for the purpose of transfer, personal data which are incorrect or whose accuracy is disputed need not be corrected, blocked or erased except in the cases mentioned in sub-Section 2, No. 2 above, if they are taken from generally accessible sources and are stored for documentation purposes. At the request of the data subject, his/her counter-statement shall be added to the data for the duration of their storage. The data may not be transferred without this counter-statement. (7) The bodies to which data were transmitted for storage in the course of a data transfer process shall be notified of the correction of incorrect data, the blocking of disputed data and the erasure or blocking of data due to inadmissible storage, where this does not require disproportionate effort and the data subject has no overriding legitimate interests. (8) Blocked data may be transferred or used without the consent of the data subject only if
1. this is indispensable for scientific purposes, for use as evidence or for other reasons in the overriding interests of the controller of the data or a third party and
2. transfer or use of the data for this purpose would be admissible if they were not blocked.
Chapter III Supervisory authority
Section 36 Appointment of a data protection official
deleted
Section 38 Supervisory authority
(1) The supervisory authority shall monitor implementation of this Act and other data protection provisions governing the automated processing of personal data or the processing or use of personal data in or from non-automated filing systems, including the rights of the member states in the cases under Section 1 (5) of this Act. It shall advise and support the
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 33 of 39
data protection officials and the controllers with due regard to their typical requirements. The supervisory authority may process and use the data which it stores for supervisory purposes only; Section 14 (2), Nos. 1 to 3, 6 and 7 shall apply mutatis mutandis. The supervisory authority may, in particular, transfer data to other supervisory authorities for supervisory purposes. On request, it shall provide supplementary assistance to other Member States of the European Union (administrative assistance). If the supervisory authority establishes a breach of this Act or other data protection provisions, it shall be authorized to notify the data subjects accordingly, to report the breach to the bodies responsible for prosecution or punishment and, in cases of serious breaches, to notify the trade supervisory authority in order to initiate measures under industrial law. It shall publish an activity report on a regular basis, but at least every two years. Section 21 first sentence and Section 23 (5) sentences 4 to 7 shall apply mutatis mutandis. (2) The supervisory authority shall keep a register of the automated processing operations which are subject to obligatory registration in accordance with Section 4d, stating the information specified in Section 4e first sentence. The register shall be open to inspection by any person. The right to inspection shall not extend to the information in accordance with Section 4e, sentence 1, No. 9 or stipulation of the persons entitled to access. (3) The bodies subject to monitoring and the persons responsible for their management shall provide the supervisory authority on request and without delay with the information necessary for the performance of its duties. A person obliged to provide information may refuse to do so where he/she would expose himself or one of the persons designated in Section 383 (1), Nos. 1 to 3, of the Code of Civil Procedure to the danger of criminal prosecution or of proceedings under the Administrative Offences Act. This shall be pointed out to the person obliged to provide information. (4) The persons appointed by the supervisory authority to exercise monitoring shall be authorized, where necessary for the performance of the duties of the supervisory authority, to enter the property and premises of the body during business hours and to carry out checks and inspections there. They may inspect business documents, especially the list stipulated in Section 4g (2) first sentence of this Act as well as the stored personal data and the data processing programs. Section 24 (6) of this Act shall apply mutatis mutandis. The person obliged to provide information shall permit such measures. (5) To guarantee compliance with this Act and other data protection provisions, the supervisory authority may order measures to rectify violations during the collection, processing or use of personal data or technical or organizational irregularities detected. In the event of serious violations or irregularities, especially those connected with a special threat to privacy, the supervisory authority may prohibit collection, processing or use, or the use of particular procedures if the violations or irregularities are not rectified within a reasonable period contrary to the order pursuant to the first sentence above and despite the imposition of a fine. The supervisory authority may demand the dismissal of the data protection official if he/she does not possess the specialized knowledge and demonstrate the reliability necessary for the performance of his/her duties. (6) The Land governments or the bodies authorized by them shall designate the supervisory authorities responsible for monitoring the implementation of data protection within the area of application of this Part. (7) The Industrial Code shall continue to apply to commercial firms subject to the provisions of this Part.
Section 38a Code of conduct to promote the implementation of data protection provisions
(1) Professional associations and other associations which represent specific groups of controllers may submit draft rules of conduct to promote the implementation of data protection provisions to the competent supervisory authority. (2) The supervisory authority shall examine the compatibilty of the submitted drafts with the applicable law on data protection.
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 34 of 39
Part IV Special provisions
Section 39 Limited use of personal data subject to professional or special official secrecy
(1) Personal data which are subject to professional or special official secrecy and which have been supplied by the body bound to secrecy in the performance of its professional or official duties may be processed or used by the controller of the filing system only for the purpose for which they were received. In the event of transfer to a private body, the body bound to secrecy must give its consent. (2) The data may be processed or used for another purpose only if the change of purpose is permitted by special legislation.
Section 40 Processing and use of personal data by research institutes
(1) Personal data collected or stored for scientific research purposes may processed or used only for such purposes. (2) The personal data shall be rendered anonymous as soon as the research purpose permits this. Until such time the characteristics enabling information concerning personal or material circumstances to be attributed to an identified or identifiable individual shall be stored separately. They may be combined with the information only to the extent required by the research purpose. (3) Bodies conducting scientific research may publish personal data only if
1. the data subject has consented or
2. this is indispensable for the presentation of research findings on contemporary events.
Section 41 Collection, processing and use of personal data by the media
(1) The Länder are to ensure in their legislation that regulations corresponding to the provisions of Sections 5, 9 and 38a of this Act, including an appurtenant regulation on liability in accordance with Section 7 of this Act, shall apply to the collection, processing and use of personal data by enterprises or auxiliary enterprises in the press exclusively for their own journalistic-editorial or literary purposes. (2) If journalistic-editorial processing or use of personal data by Deutsche Welle leads to the publication of counter-statements by the data subject, such counter-statements shall be combined with the stored data and preserved for the same period as the data themselves. (3) If the privacy of a person is impaired by reporting by Deutsche Welle, he/she may request information on the stored personal data on which the reporting was based. Such information may be refused, after considering the legitimate interests of the parties concerned, in so far as
1. the data enable conclusions to be drawn as to the persons who are or have been professionally involved in a journalistic capacity in the preparation, production or dissemination of broadcasts,
2. the data enable conclusions to be drawn as to the supplier or source of contributions, documents and communications for the editorial part,
3. disclosure of the data obtained by research or other means would compromise Deutsche Welle's journalistic function by divulging its information resources.
The data subject may request that incorrect data be corrected. (4) In all other respects, Sections 5, 7, 9 and 38a of this Act shall apply to Deutsche Welle. Instead of Sections 24 to 26 of this Act, Section 42 shall apply even where administrative matters are concerned.
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 35 of 39
Section 42 Data protection official of Deutsche Welle
(1) Deutsche Welle shall appoint a data protection official, who shall take the place of the Federal Commissioner for Data Protection and Freedom of Information. The data protection official shall be appointed by the board of administration for a term of four years upon nomination by the director-general; reappointments shall be admissible. The office of data protection official may be exercised alongside other duties within the broadcasting corporation. (2) The data protection official shall monitor compliance with the provisions of this Act and with other provisions concerning data protection. He/she shall be independent in the exercise of this office and shall be subject to the law only. In all other respects he/she shall be subject to the official and legal authority of the board of administration. (3) Anyone may appeal to the data protection official in accordance with Section 21 first sentence of this Act. (4) The data protection official shall submit an activity report to the organs of Deutsche Welle every two years, beginning on 1 January 1994. In addition he/she shall submit special reports pursuant to a decision by an organ of Deutsche Welle. The data protection official shall forward the activity reports to the Federal Commissioner for Data Protection and Freedom of Information as well. (5) Deutsche Welle shall make further arrangements for its area of activity in accordance with Sections 23 to 26 of this Act. Sections 4f and 4g of this Act shall remain unaffected.
Section 42a Obligation to report unlawful access to data
If a private body as defined in Section 2 (4) or a public body as defined in Section 27 (1) first sentence No. 2 determines that
1. special types of personal data (Section 3 (9)),
2. personal data subject to professional secrecy,
3. personal data related to criminal offences or administrative offences or the suspicion of punishable actions or administrative offences, or
4. personal data concerning bank or credit card accounts stored with that body have been unlawfully transferred or otherwise unlawfully revealed to third parties, with the threat of serious harm to the data subject’s rights or legitimate interests, then in accordance with sentences 2 to 5 the body shall notify the responsible supervisory authority and the data subject without delay. The data subject shall be notified as soon as appropriate measures have been taken to protect the data and notification would no longer put criminal prosecution at risk. The notification for the data subjects shall describe the nature of the unlawful access and include recommendations for measures to minimize possible harm. The notification for the competent supervisory authority shall also describe possible harmful consequences of the unlawful access and measures taken by the body. Where notifying the data subjects would require unreasonable effort, in particular due to the large number of cases involved, such notification may be replaced by public advertisements of at least one-half page in at least two national daily newspapers, or by another equally effective measure for notifying the data subjects. A notification distributed by the body required to provide notification may be used against that body in criminal proceedings or in proceedings in accordance with the Administrative Offences Act, or against an associate of the body required to provide notification as defined in Section 52 (1) of the Code of Criminal Procedure only with the consent of the body required to provide notification.
Part V Final provisions
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 36 of 39
Section 43 Administrative offences
(1) An administrative offence shall be deemed to have been committed by anyone who, whether intentionally or through negligence,
1. contrary to Section 4d (1), also in conjunction with Section 4e second sentence of this Act, fails to submit a notification, fails to do so within the prescribed time limit or fails to provide complete particulars,
2. contrary to Section 4f (1) first or second sentence of this Act, fails to appoint a data protection official or fails to do so within the prescribed time limit or in the prescribed manner,
2a. contrary to Section 10 (4) third sentence fails to ensure that data transfer can be ascertained and checked,
2b. contrary to Section 11 (2) second sentence fails to give the commission correctly, completely or in accordance with the rules, or contrary to Section 11 (2) fourth sentence fails to ensure prior to the processing of the data that technical and organizational measures taken by the agent are being complied with,
3. contrary to Section 28 (4) second sentence of this Act, fails to notify the data subject, or fails to do so within the prescribed time limit or in the prescribed manner, or fails to ensure that the data subject is able to obtain due knowledge,
3a. contrary to Section 28 (4) fourth sentence requires a stricter form,
4. transfers or uses personal data contrary to Section 28 (5) second sentence of this Act,
4a. contrary to Section 28a (3) first sentence fails to inform or fails to do so correctly, completely or within the prescribed time limits,
5. contrary to Section 29 (2) third or fourth sentence of this Act, fails to record the reasons described there or the means of credibly presenting them,
6. incorporates personal data into electronic or printed address, telephone, classified or similar directories contrary to Section 29 (3) first sentence of this Act,
7. contrary to Section 29 (3) second sentence of this Act, fails to ensure the adoption of labels,
7a. contrary to Section 29 (6) fails to handle an information request properly,
7b. contrary to Section 29 (7) first sentence fails to inform a consumer or fails to do so correctly, completely or within the prescribed time limits,
8. contrary to Section 33 (1) of this Act, fails to notify the data subject or fails to do so correctly or completely,
8a. contrary to Section 34 (1) first sentence, also in conjunction with sentence 3, contrary to Section 34 (1a), contrary to Section 34 (2) first sentence, also in conjunction with sentence 2, or contrary to Section 34 (2) fifth sentence, (3) first or second sentence, or (4) first sentence, also in conjunction with sentence 2 fails to provide information or fails to do so correctly, completely or within the prescribed time limits, or contrary to Section 34 (1a) fails to store data,
8b. contrary to Section 34 (2) third sentence fails to transmit information or fails to do so correctly, completely or within the prescribed time limits,
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 37 of 39
8c. contrary to Section 34 (2) fourth sentence fails to refer the data subject to the other body, or fails to do so within the prescribed time limits,
9. contrary to Section 35 (6) third sentence of this Act, transfers data without a counter-statement,
10. contrary to Section 38 (3) first sentence of this Act, fails to provide information or fails to do so correctly, completely or within the prescribed time limit or fails to permit a measure
11. fails to comply with an executable instruction under Section 38 (5) first sentence of this Act.
(2) An administrative offence shall be deemed to have been committed by anyone who, whether intentionally or through negligence,
1. collects or processes personal data which are not generally accessible without authorization,
2. holds personal data which are not generally accessible ready for retrieval by means of an automated procedure without authorization,
3. retrieves personal data which are not generally accessible or obtains such data for themselves or another from automated processing operations without authorization,
4. obtains by means of incorrect information the transfer of personal data which are not generally accessible,
5. contrary to Section 16 (4) first sentence, Section 28 (5) first sentence of this Act, also in conjunction with Section 29 (4), Section 39 (1) first sentence or Section 40 (1) of this Act, uses data for other purposes by transmitted them to third parties, or
5a. contrary to Section 28 (3b) makes concluding a contract dependent on the consent of the data subject,
5b. contrary to Section 28 (4) first sentence processes or uses data for purposes of advertising or market or opinion research,
6. contrary to Section 30 (1) second sentence, Section 30a (3) third sentence, Section 40 (2) third sentence of this Act, combines a characteristic mentioned there with specific information, or
7a. contrary to Section 42a first sentence fails to notify or fails to do so correctly, completely or within the prescribed time limit.
(3) Administrative offences shall be punishable by a fine of up to € 50,000 in case of sub- Section 1 above, and by a fine of up to € 300,000 in the cases under sub-Section 2 above. The fine shall exceed the financial benefit to the perpetrator derived from the administrative offence. If the amounts mentioned in the first sentence are not sufficient to do so, they may be increased.
Section 44 Criminal offences
(1) Anyone wilfully committing an offence specified in Section 43 (2) of this Act in exchange for payment or with the intention of enriching himself or another person or of harming another person shall be liable to imprisonment for up to two years or to a fine. (2) Such offences shall be prosecuted only if a complaint is filed. Complaints may be filed by the data subject, the Federal Commissioner for Data Protection and Freedom of Information and the supervisory authority.
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 38 of 39
Part VI Transitional provisions
Section 45 Current applications
Collections, processing or usages of personal data which have already begun on 23 May 2001 shall be harmonized with the provisions of this Act within three years of the aforesaid date. In so far as provisions of this Act are applied in legal provisions outside of the scope of application of directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data, collections, processing or usages of personal data which have already begun on 23 May 2001 shall be harmonized with the provisions of this Act within five years of the aforesaid date.
Section 46 Overreaching validity of definitions
(1) Where the term "filing system" is employed in special legal provisions of the Federation, a filing system is
1. a set of personal data which can be evaluated according to specific characteristics by means of automated procedures (automated filing system) or
2. any other set of personal data which is similarly structured and can be arranged, rearranged and evaluated according to specific characteristics (non-automated filing system).
This shall not include files and sets of files, unless they can be rearranged and evaluated by means of automated procedures. (2) Where the term "file" is employed in special legal provisions of the Federation, a file is any document serving official purposes which does not fall within the definition of a filing system as specified in sub-Section 1 above; this shall include image and sound recording media. It shall not include drafts and notes that are not intended to form part of a record. (3) Where the term "recipient" is employed in special legal provisions of the Federation, a recipient is any person or body other than the controller. This shall not include the data subject or persons and bodies commissioned to collect, process or use personal data in Germany, in another Member State of the European Union or in another state party to the Agreement on the European Economic Area.
Section 47 Transitional provision
For the processing and use of data collected or stored prior to 1 September 2009, Section 28 of the version applicable up to that date shall continue to apply
1. to purposes of market or opinion research until 31 August 2010,
2. to advertising purposes until 31 August 2012.
Section 48 Report of the Federal Government
The Federal Government shall report to the Bundestag
1. until 31 December 2012 on the impacts of Sections 30a and 42a,
2. until 31 December 2014 on the impacts of the amendments to Sections 28 and 29.
If the Federal Government is of the view that legislative measures are advisable, the report shall contain a recommendation.
Service provided by the Federal Ministry of Justice and Consumer Protection in cooperation with juris GmbH – www.juris.de
Page 39 of 39
Annex (to the first sentence of Section 9 of this Act)
Where personal data are processed or used automatically, the internal organization of authorities or enterprises is to be arranged in such a way that it meets the specific requirements of data protection. In particular, measures suited to the type of personal data or data categories to be protected shall be taken,
1. to prevent unauthorized persons from gaining access to data processing systems with which personal data are processed or used (access control),
2. to prevent data processing systems from being used without authorization (access control),
3. to ensure that persons entitled to use a data processing system have access only to the data to which they have a right of access, and that personal data cannot be read, copied, modified or removed without authorization in the course of processing or use and after storage (access control),
4. to ensure that personal data cannot be read, copied, modified or removed without authorization during electronic transmission or transport, and that it is possible to check and establish to which bodies the transfer of personal data by means of data transmission facilities is envisaged (transmission control),
5. to ensure that it is possible to check and establish whether and by whom personal data have been input into data processing systems, modified or removed (input control),
6. to ensure that, in the case of commissioned processing of personal data, the data are processed strictly in accordance with the instructions of the principal (job control),
7. to ensure that personal data are protected from accidental destruction or loss (availability control),
8. to ensure that data collected for different purposes can be processed separately.
One measure in accordance with the second sentence Nos. 2 to 4 is in particular the use of the latest encryption procedures.