Gesetze / Gesetzblätter
Bundesgesetzblatt, Teil I, Jahrgang 2001, S. 904
BGBl. 2001 I S. 904 · 134.894 Zeichen · Textauszug aus unserem Bestand.
Textauszug (durchsuchbar)
Gesetz
zur Änderung des Bundesdatenschutzgesetzes
und anderer Gesetze*)
Vom 18.
Der Bundestag hat mit Zustimmung des Bundesrates
das folgende Gesetz beschlossen:
Artikel 1
Änderung des Bundesdatenschutzgesetzes
Das Bundesdatenschutzgesetz vom 20. Dezember
1990 (BGBl. I S. 2954, 2955), zuletzt geändert durch
Artikel 2 Abs. 5 des Gesetzes vom 17. Dezember 1997
(BGBl. I S. 3108), wird wie folgt geändert:
1. Nach der Überschrift wird folgende Inhaltsübersicht
eingefügt:
„Inhaltsübersicht
Erster Abschnitt
Allgemeine und gemeinsame Bestimmungen
§ 1 Zweck und Anwendungsbereich des Gesetzes
§ 2 Öffentliche und nicht öffentliche Stellen
§ 3 Weitere Begriffsbestimmungen
§ 3a Datenvermeidung und Datensparsamkeit
§ 4 Zulässigkeit der Datenerhebung, -verarbeitung
und -nutzung
§ 4a Einwilligung
§ 4b Übermittlung personenbezogener Daten ins
Ausland sowie an über- und zwischenstaat-
liche Stellen
§ 4c Ausnahmen
§ 4d Meldepflicht
§ 4e Inhalt der Meldepflicht
§ 4f Beauftragter für den Datenschutz
§ 4g Aufgaben des Beauftragten für den Daten-
schutz
§ 5 Datengeheimnis
§ 6 Unabdingbare Rechte des Betroffenen
§ 6a Automatisierte Einzelentscheidung
*) Dieses Gesetz dient der Umsetzung der Richtlinie 95/46/EG des
Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum
Mai 2001
§ 6b Beobachtung öffentlich zugänglicher Räume
mit optisch-elektronischen Einrichtungen
§ 6c Mobile personenbezogene Speicher- und
Verarbeitungsmedien
§ 7 Schadensersatz
§ 8 Schadensersatz bei automatisierter Daten-
verarbeitung durch öffentliche Stellen
§ 9 Technische und organisatorische Maßnahmen
§ 9a Datenschutzaudit
§ 10 Einrichtung automatisierter Abrufverfahren
§ 11 Erhebung, Verarbeitung oder Nutzung per-
sonenbezogener Daten im Auftrag
Zweiter Abschnitt
Datenverarbeitung der öffentlichen Stellen
Erster Unterabschnitt
Rechtsgrundlagen der Datenverarbeitung
§ 12 Anwendungsbereich
§ 13 Datenerhebung
§ 14 Datenspeicherung, -veränderung und -nutzung
§ 15 Datenübermittlung an öffentliche Stellen
§ 16 Datenübermittlung an nicht öffentliche Stellen
§ 17 (weggefallen)
§ 18 Durchführung des Datenschutzes in der
Bundesverwaltung
Zweiter Unterabschnitt
Rechte des Betroffenen
§ 19 Auskunft an den Betroffenen
§ 19a Benachrichtigung
§ 20 Berichtigung, Löschung und Sperrung von
Daten; Widerspruchsrecht
§ 21 Anrufung des Bundesbeauftragten für den
Datenschutz
Dritter Unterabschnitt
Bundesbeauftragter für den Datenschutz
§ 22 Wahl des Bundesbeauftragten für den Daten-
schutz
Schutz natürlicher Personen bei der Verarbeitung personenbezogener § 23 Rechtsstellung des Bundesbeauftragten für
Daten und zum freien Datenverkehr (ABl. EG Nr. L 281 S. 31).
den Datenschutz
§ 24 Kontrolle durch den Bundesbeauftragten für
den Datenschutz
§ 25 Beanstandungen durch den Bundesbeauf-
tragten für den Datenschutz
§ 26 Weitere Aufgaben des Bundesbeauftragten für
den Datenschutz
Dritter Abschnitt
Datenverarbeitung nicht öffentlicher Stellen
und öffentlich-rechtlicher Wettbewerbsunternehmen
Erster Unterabschnitt
Rechtsgrundlagen der Datenverarbeitung
§ 27 Anwendungsbereich
§ 28 Datenerhebung, -verarbeitung und -nutzung
für eigene Zwecke
§ 29 Geschäftsmäßige Datenerhebung und -spei-
cherung zum Zweck der Übermittlung
§ 30 Geschäftsmäßige Datenerhebung und -spei-
cherung zum Zweck der Übermittlung in
anonymisierter Form
§ 31 Besondere Zweckbindung
§ 32 (weggefallen)
Zweiter Unterabschnitt
Rechte des Betroffenen
§ 33 Benachrichtigung des Betroffenen
§ 34 Auskunft an den Betroffenen
§ 35 Berichtigung, Löschung und Sperrung von
Daten
Dritter Unterabschnitt
Aufsichtsbehörde
§ 36 (weggefallen)
§ 37 (weggefallen)
§ 38 Aufsichtsbehörde
§ 38a Verhaltensregeln zur Förderung der Durch-
führung datenschutzrechtlicher Regelungen
Vierter Abschnitt
Sondervorschriften
§ 39 Zweckbindung bei personenbezogenen Daten,
die einem Berufs- oder besonderen Amts-
geheimnis unterliegen
§ 40 Verarbeitung und Nutzung personenbezoge-
ner Daten durch Forschungseinrichtungen
§ 41 Erhebung, Verarbeitung und Nutzung per-
sonenbezogener Daten durch die Medien
§ 42 Datenschutzbeauftragter der Deutschen Welle
Fünfter Abschnitt
Schlussvorschriften
§ 43 Bußgeldvorschriften
§ 44 Strafvorschriften
Sechster Abschnitt
Übergangsvorschriften
§ 45 Laufende Verwendungen
§ 46 Weitergeltung von Begriffsbestimmungen
Anlage (zu § 9 Satz 1)“.
2. Die Überschrift vor § 1 wird wie folgt gefasst:
„Erster Abschnitt
Allgemeine und gemeinsame Bestimmungen“.
3. § 1 wird wie folgt geändert:
a) Absatz 2 Nr. 3 wird wie folgt gefasst:
„3. nicht öffentliche Stellen, soweit sie die Daten
unter Einsatz von Datenverarbeitungsanlagen
verarbeiten, nutzen oder dafür erheben oder
die Daten in oder aus nicht automatisierten
Dateien verarbeiten, nutzen oder dafür erhe-
ben, es sei denn, die Erhebung, Verarbeitung
oder Nutzung der Daten erfolgt ausschließlich
für persönliche oder familiäre Tätigkeiten.“
b) Absatz 3 wird aufgehoben.
c) Die bisherigen Absätze 4 und 5 werden die Ab-
sätze 3 und 4.
d) Nach Absatz 4 wird folgender Absatz 5 eingefügt:
„(5) Dieses Gesetz findet keine Anwendung,
sofern eine in einem anderen Mitgliedstaat der
Europäischen Union oder in einem anderen Ver-
tragsstaat des Abkommens über den Euro-
päischen Wirtschaftsraum belegene verantwort-
liche Stelle personenbezogene Daten im Inland
erhebt, verarbeitet oder nutzt, es sei denn, dies
erfolgt durch eine Niederlassung im Inland. Dieses
Gesetz findet Anwendung, sofern eine verant-
wortliche Stelle, die nicht in einem Mitgliedstaat
der Europäischen Union oder in einem anderen
Vertragsstaat des Abkommens über den Euro-
päischen Wirtschaftsraum belegen ist, personen-
bezogene Daten im Inland erhebt, verarbeitet oder
nutzt. Soweit die verantwortliche Stelle nach die-
sem Gesetz zu nennen ist, sind auch Angaben
über im Inland ansässige Vertreter zu machen. Die
Sätze 2 und 3 gelten nicht, sofern Datenträger
nur zum Zweck des Transits durch das Inland
eingesetzt werden. § 38 Abs. 1 Satz 1 bleibt
unberührt.“
4. § 3 wird wie folgt geändert:
a) Absatz 2 wird wie folgt gefasst:
„(2) Automatisierte Verarbeitung ist die Er-
hebung, Verarbeitung oder Nutzung personen-
bezogener Daten unter Einsatz von Datenverarbei-
tungsanlagen. Eine nicht automatisierte Datei ist
jede nicht automatisierte Sammlung personen-
bezogener Daten, die gleichartig aufgebaut ist und
nach bestimmten Merkmalen zugänglich ist und
ausgewertet werden kann.“
b) Absatz 3 wird aufgehoben.
c) Die bisherigen Absätze 4 bis 9 werden die Absätze
3 bis 8.
d) Absatz 4 Satz 2 Nr. 3 wird wie folgt geändert:
aa) Nach dem Wort „Dritten“ wird der Klammer-
zusatz „(Empfänger)“ gestrichen.
bb) In Buchstabe a werden die Wörter „durch die
speichernde Stelle an den Empfänger“ durch
die Wörter „an den Dritten“ ersetzt.
cc) In Buchstabe b werden die Wörter „Empfän-
ger von der speichernden Stelle“ durch das
Wort „Dritte“ ersetzt.
e) Nach Absatz 6 wird folgender Absatz 6a eingefügt:
„(6a) Pseudonymisieren ist das Ersetzen des
Namens und anderer Identifikationsmerkmale
durch ein Kennzeichen zu dem Zweck, die Be-
stimmung des Betroffenen auszuschließen oder
wesentlich zu erschweren.“
f) Die Absätze 7 und 8 werden wie folgt gefasst:
„(7) Verantwortliche Stelle ist jede Person oder
Stelle, die personenbezogene Daten für sich selbst
erhebt, verarbeitet oder nutzt oder dies durch
andere im Auftrag vornehmen lässt.
(8) Empfänger ist jede Person oder Stelle, die
Daten erhält. Dritter ist jede Person oder Stelle
außerhalb der verantwortlichen Stelle. Dritte sind
nicht der Betroffene sowie Personen und Stellen,
die im Inland, in einem anderen Mitgliedstaat
der Europäischen Union oder in einem anderen
Vertragsstaat des Abkommens über den Euro-
päischen Wirtschaftsraum personenbezogene
Daten im Auftrag erheben, verarbeiten oder
nutzen.“
g) Nach Absatz 8 werden folgende Absätze 9 und 10
angefügt:
„(9) Besondere Arten personenbezogener Daten
sind Angaben über die rassische und ethnische
Herkunft, politische Meinungen, religiöse oder
philosophische Überzeugungen, Gewerkschafts-
zugehörigkeit, Gesundheit oder Sexualleben.
(10) Mobile personenbezogene Speicher- und
Verarbeitungsmedien sind Datenträger,
1. die an den Betroffenen ausgegeben werden,
2. auf denen personenbezogene Daten über die
Speicherung hinaus durch die ausgebende
oder eine andere Stelle automatisiert ver-
arbeitet werden können und
3. bei denen der Betroffene diese Verarbeitung
nur durch den Gebrauch des Mediums be-
einflussen kann.“
5. Nach § 3 wird folgender § 3a eingefügt:
㤠3a
Datenvermeidung und Datensparsamkeit
Gestaltung und Auswahl von Datenverarbeitungs-
systemen haben sich an dem Ziel auszurichten, keine
oder so wenig personenbezogene Daten wie möglich
zu erheben, zu verarbeiten oder zu nutzen. Insbeson-
dere ist von den Möglichkeiten der Anonymisierung
und Pseudonymisierung Gebrauch zu machen,
soweit dies möglich ist und der Aufwand in einem
angemessenen Verhältnis zu dem angestrebten
Schutzzweck steht.“
6. § 4 wird wie folgt gefasst:
㤠4
Zulässigkeit der Datenerhebung,
-verarbeitung und -nutzung
(1) Die Erhebung, Verarbeitung und Nutzung
personenbezogener Daten sind nur zulässig, soweit
dieses Gesetz oder eine andere Rechtsvorschrift dies
erlaubt oder anordnet oder der Betroffene eingewilligt
hat.
(2) Personenbezogene Daten sind beim Betroffe-
nen zu erheben. Ohne seine Mitwirkung dürfen sie nur
erhoben werden, wenn
1. eine Rechtsvorschrift dies vorsieht oder zwingend
voraussetzt oder
2. a) die zu erfüllende Verwaltungsaufgabe ihrer Art
nach oder der Geschäftszweck eine Erhebung
bei anderen Personen oder Stellen erforderlich
macht oder
b) die Erhebung beim Betroffenen einen unver-
hältnismäßigen Aufwand erfordern würde
und keine Anhaltspunkte dafür bestehen, dass
überwiegende schutzwürdige Interessen des
Betroffenen beeinträchtigt werden.
(3) Werden personenbezogene Daten beim Be-
troffenen erhoben, so ist er, sofern er nicht bereits
auf andere Weise Kenntnis erlangt hat, von der
verantwortlichen Stelle über
1. die Identität der verantwortlichen Stelle,
2. die Zweckbestimmungen der Erhebung, Verarbei-
tung oder Nutzung und
3. die Kategorien von Empfängern nur, soweit der
Betroffene nach den Umständen des Einzelfalles
nicht mit der Übermittlung an diese rechnen muss,
zu unterrichten. Werden personenbezogene Daten
beim Betroffenen aufgrund einer Rechtsvorschrift
erhoben, die zur Auskunft verpflichtet, oder ist die
Erteilung der Auskunft Voraussetzung für die
Gewährung von Rechtsvorteilen, so ist der Betroffene
hierauf, sonst auf die Freiwilligkeit seiner Angaben
hinzuweisen. Soweit nach den Umständen des Ein-
zelfalles erforderlich oder auf Verlangen, ist er über
die Rechtsvorschrift und über die Folgen der Ver-
weigerung von Angaben aufzuklären.“
7. Nach § 4 werden folgende §§ 4a bis 4g eingefügt:
㤠4a
Einwilligung
(1) Die Einwilligung ist nur wirksam, wenn sie auf
der freien Entscheidung des Betroffenen beruht. Er
ist auf den vorgesehenen Zweck der Erhebung, Ver-
arbeitung oder Nutzung sowie, soweit nach den
Umständen des Einzelfalles erforderlich oder auf
Verlangen, auf die Folgen der Verweigerung der
Einwilligung hinzuweisen. Die Einwilligung bedarf der
Schriftform, soweit nicht wegen besonderer Um-
stände eine andere Form angemessen ist. Soll die
Einwilligung zusammen mit anderen Erklärungen
schriftlich erteilt werden, ist sie besonders hervor-
zuheben.
(2) Im Bereich der wissenschaftlichen Forschung
liegt ein besonderer Umstand im Sinne von Absatz 1
Satz 3 auch dann vor, wenn durch die Schriftform
der bestimmte Forschungszweck erheblich beein-
trächtigt würde. In diesem Fall sind der Hinweis nach
Absatz 1 Satz 2 und die Gründe, aus denen sich
die erhebliche Beeinträchtigung des bestimmten
Forschungszwecks ergibt, schriftlich festzuhalten.
(3) Soweit besondere Arten personenbezogener
Daten (§ 3 Abs. 9) erhoben, verarbeitet oder genutzt
werden, muss sich die Einwilligung darüber hinaus
ausdrücklich auf diese Daten beziehen.
§ 4b
Übermittlung
personenbezogener Daten ins Ausland
sowie an über- oder zwischenstaatliche Stellen
(1) Für die Übermittlung personenbezogener
Daten an Stellen
1. in anderen Mitgliedstaaten der Europäischen
Union,
2. in anderen Vertragsstaaten des Abkommens über
den Europäischen Wirtschaftsraum oder
3. der Organe und Einrichtungen der Europäischen
Gemeinschaften
gelten § 15 Abs. 1, § 16 Abs. 1 und §§ 28 bis 30 nach
Maßgabe der für diese Übermittlung geltenden Ge-
setze und Vereinbarungen, soweit die Übermittlung
im Rahmen von Tätigkeiten erfolgt, die ganz oder
teilweise in den Anwendungsbereich des Rechts der
Europäischen Gemeinschaften fallen.
(2) Für die Übermittlung personenbezogener Daten
an Stellen nach Absatz 1, die nicht im Rahmen von
Tätigkeiten erfolgt, die ganz oder teilweise in den
Anwendungsbereich des Rechts der Europäischen
Gemeinschaften fallen, sowie an sonstige ausländi-
sche oder über- oder zwischenstaatliche Stellen gilt
Absatz 1 entsprechend. Die Übermittlung unterbleibt,
soweit der Betroffene ein schutzwürdiges Interesse
an dem Ausschluss der Übermittlung hat, insbeson-
dere wenn bei den in Satz 1 genannten Stellen ein
angemessenes Datenschutzniveau nicht gewähr-
leistet ist. Satz 2 gilt nicht, wenn die Übermittlung
zur Erfüllung eigener Aufgaben einer öffentlichen
Stelle des Bundes aus zwingenden Gründen der
Verteidigung oder der Erfüllung über- oder zwischen-
staatlicher Verpflichtungen auf dem Gebiet der
Krisenbewältigung oder Konfliktverhinderung oder für
humanitäre Maßnahmen erforderlich ist.
(3) Die Angemessenheit des Schutzniveaus wird
unter Berücksichtigung aller Umstände beurteilt, die
bei einer Datenübermittlung oder einer Kategorie
von Datenübermittlungen von Bedeutung sind; ins-
besondere können die Art der Daten, die Zweck-
bestimmung, die Dauer der geplanten Verarbeitung,
das Herkunfts- und das Endbestimmungsland, die
für den betreffenden Empfänger geltenden Rechts-
normen sowie die für ihn geltenden Standesregeln
und Sicherheitsmaßnahmen herangezogen werden.
(4) In den Fällen des § 16 Abs. 1 Nr. 2 unterrichtet
die übermittelnde Stelle den Betroffenen von der
Übermittlung seiner Daten. Dies gilt nicht, wenn damit
zu rechnen ist, dass er davon auf andere Weise
Kenntnis erlangt, oder wenn die Unterrichtung die
öffentliche Sicherheit gefährden oder sonst dem Wohl
des Bundes oder eines Landes Nachteile bereiten
würde.
(5) Die Verantwortung für die Zulässigkeit der
Übermittlung trägt die übermittelnde Stelle.
(6) Die Stelle, an die die Daten übermittelt werden,
ist auf den Zweck hinzuweisen, zu dessen Erfüllung
die Daten übermittelt werden.
§ 4c
Ausnahmen
(1) Im Rahmen von Tätigkeiten, die ganz oder teil-
weise in den Anwendungsbereich des Rechts der
Europäischen Gemeinschaften fallen, ist eine Über-
mittlung personenbezogener Daten an andere als die
in § 4b Abs. 1 genannten Stellen, auch wenn bei ihnen
ein angemessenes Datenschutzniveau nicht gewähr-
leistet ist, zulässig, sofern
1. der Betroffene seine Einwilligung gegeben hat,
2. die Übermittlung für die Erfüllung eines Vertrags
zwischen dem Betroffenen und der verantwort-
lichen Stelle oder zur Durchführung von vorver-
traglichen Maßnahmen, die auf Veranlassung des
Betroffenen getroffen worden sind, erforderlich ist,
3. die Übermittlung zum Abschluss oder zur Erfüllung
eines Vertrags erforderlich ist, der im Interesse
des Betroffenen von der verantwortlichen Stelle
mit einem Dritten geschlossen wurde oder
geschlossen werden soll,
4. die Übermittlung für die Wahrung eines wich-
tigen öffentlichen Interesses oder zur Geltend-
machung, Ausübung oder Verteidigung von Rechts-
ansprüchen vor Gericht erforderlich ist,
5. die Übermittlung für die Wahrung lebenswichtiger
Interessen des Betroffenen erforderlich ist oder
6. die Übermittlung aus einem Register erfolgt, das
zur Information der Öffentlichkeit bestimmt ist
und entweder der gesamten Öffentlichkeit oder
allen Personen, die ein berechtigtes Interesse
nachweisen können, zur Einsichtnahme offen
steht, soweit die gesetzlichen Voraussetzungen im
Einzelfall gegeben sind.
Die Stelle, an die die Daten übermittelt werden, ist
darauf hinzuweisen, dass die übermittelten Daten
nur zu dem Zweck verarbeitet oder genutzt werden
dürfen, zu dessen Erfüllung sie übermittelt werden.
(2) Unbeschadet des Absatzes 1 Satz 1 kann
die zuständige Aufsichtsbehörde einzelne Übermitt-
lungen oder bestimmte Arten von Übermittlungen
personenbezogener Daten an andere als die in § 4b
Abs. 1 genannten Stellen genehmigen, wenn die
verantwortliche Stelle ausreichende Garantien hin-
sichtlich des Schutzes des Persönlichkeitsrechts und
der Ausübung der damit verbundenen Rechte vor-
weist; die Garantien können sich insbesondere aus
Vertragsklauseln oder verbindlichen Unternehmens-
regelungen ergeben. Bei den Post- und Telekom-
munikationsunternehmen ist der Bundesbeauftragte
für den Datenschutz zuständig. Sofern die Über-
mittlung durch öffentliche Stellen erfolgen soll,
nehmen diese die Prüfung nach Satz 1 vor.
(3) Die Länder teilen dem Bund die nach Absatz 2
Satz 1 ergangenen Entscheidungen mit.
§ 4d
Meldepflicht
(1) Verfahren automatisierter Verarbeitungen sind
vor ihrer Inbetriebnahme von nicht öffentlichen ver-
antwortlichen Stellen der zuständigen Aufsichts-
behörde und von öffentlichen verantwortlichen
Stellen des Bundes sowie von den Post- und Tele-
kommunikationsunternehmen dem Bundesbeauf-
tragten für den Datenschutz nach Maßgabe von § 4e
zu melden.
(2) Die Meldepflicht entfällt, wenn die verantwort-
liche Stelle einen Beauftragten für den Datenschutz
bestellt hat.
(3) Die Meldepflicht entfällt ferner, wenn die ver-
antwortliche Stelle personenbezogene Daten für
eigene Zwecke erhebt, verarbeitet oder nutzt, hierbei
höchstens vier Arbeitnehmer mit der Erhebung, Ver-
arbeitung oder Nutzung personenbezogener Daten
beschäftigt und entweder eine Einwilligung der
Betroffenen vorliegt oder die Erhebung, Verarbeitung
oder Nutzung der Zweckbestimmung eines Vertrags-
verhältnisses oder vertragsähnlichen Vertrauens-
verhältnisses mit den Betroffenen dient.
(4) Die Absätze 2 und 3 gelten nicht, wenn es sich
um automatisierte Verarbeitungen handelt, in denen
geschäftsmäßig personenbezogene Daten von der
jeweiligen Stelle
1. zum Zweck der Übermittlung oder
2. zum Zweck der anonymisierten Übermittlung
gespeichert werden.
(5) Soweit automatisierte Verarbeitungen be-
sondere Risiken für die Rechte und Freiheiten der
Betroffenen aufweisen, unterliegen sie der Prüfung
vor Beginn der Verarbeitung (Vorabkontrolle). Eine
Vorabkontrolle ist insbesondere durchzuführen, wenn
1. besondere Arten personenbezogener Daten (§ 3
Abs. 9) verarbeitet werden oder
2. die Verarbeitung personenbezogener Daten dazu
bestimmt ist, die Persönlichkeit des Betroffenen zu
bewerten einschließlich seiner Fähigkeiten, seiner
Leistung oder seines Verhaltens,
es sei denn, dass eine gesetzliche Verpflichtung oder
eine Einwilligung des Betroffenen vorliegt oder die
Erhebung, Verarbeitung oder Nutzung der Zweck-
bestimmung eines Vertragsverhältnisses oder ver-
tragsähnlichen Vertrauensverhältnisses mit dem
Betroffenen dient.
(6) Zuständig für die Vorabkontrolle ist der Be-
auftragte für den Datenschutz. Dieser nimmt die
Vorabkontrolle nach Empfang der Übersicht nach
§ 4g Abs. 2 Satz 1 vor. Er hat sich in Zweifelsfällen
an die Aufsichtsbehörde oder bei den Post- und
Telekommunikationsunternehmen an den Bundes-
beauftragten für den Datenschutz zu wenden.
§ 4e
Inhalt der Meldepflicht
Sofern Verfahren automatisierter Verarbeitungen
meldepflichtig sind, sind folgende Angaben zu
machen:
1. Name oder Firma der verantwortlichen Stelle,
2. Inhaber, Vorstände, Geschäftsführer oder sonstige
gesetzliche oder nach der Verfassung des Unter-
nehmens berufene Leiter und die mit der Leitung
der Datenverarbeitung beauftragten Personen,
3. Anschrift der verantwortlichen Stelle,
4. Zweckbestimmungen der Datenerhebung, -ver-
arbeitung oder -nutzung,
5. eine Beschreibung der betroffenen Personen-
gruppen und der diesbezüglichen Daten oder
Datenkategorien,
6. Empfänger oder Kategorien von Empfängern,
denen die Daten mitgeteilt werden können,
7. Regelfristen für die Löschung der Daten,
8. eine geplante Datenübermittlung in Drittstaaten,
9. eine allgemeine Beschreibung, die es ermöglicht,
vorläufig zu beurteilen, ob die Maßnahmen nach
§ 9 zur Gewährleistung der Sicherheit der Ver-
arbeitung angemessen sind.
§ 4d Abs. 1 und 4 gilt für die Änderung der nach Satz 1
mitgeteilten Angaben sowie für den Zeitpunkt der
Aufnahme und der Beendigung der meldepflichtigen
Tätigkeit entsprechend.
§ 4f
Beauftragter für den Datenschutz
(1) Öffentliche und nicht öffentliche Stellen, die
personenbezogene Daten automatisiert erheben,
verarbeiten oder nutzen, haben einen Beauftragten
für den Datenschutz schriftlich zu bestellen. Nicht
öffentliche Stellen sind hierzu spätestens innerhalb
eines Monats nach Aufnahme ihrer Tätigkeit verpflich-
tet. Das Gleiche gilt, wenn personenbezogene Daten
auf andere Weise erhoben, verarbeitet oder genutzt
werden und damit in der Regel mindestens 20 Perso-
nen beschäftigt sind. Die Sätze 1 und 2 gelten nicht
für nicht öffentliche Stellen, die höchstens vier Arbeit-
nehmer mit der Erhebung, Verarbeitung oder Nutzung
personenbezogener Daten beschäftigen. Soweit
aufgrund der Struktur einer öffentlichen Stelle er-
forderlich, genügt die Bestellung eines Beauftragten
für den Datenschutz für mehrere Bereiche. Soweit
nicht öffentliche Stellen automatisierte Verarbeitun-
gen vornehmen, die einer Vorabkontrolle unterliegen
oder personenbezogene Daten geschäftsmäßig zum
Zweck der Übermittlung oder der anonymisierten
Übermittlung erheben, verarbeiten oder nutzen,
haben sie unabhängig von der Anzahl der Arbeit-
nehmer einen Beauftragten für den Datenschutz zu
bestellen.
(2) Zum Beauftragten für den Datenschutz darf nur
bestellt werden, wer die zur Erfüllung seiner Aufgaben
erforderliche Fachkunde und Zuverlässigkeit besitzt.
Mit dieser Aufgabe kann auch eine Person außerhalb
der verantwortlichen Stelle betraut werden. Öffent-
liche Stellen können mit Zustimmung ihrer Aufsichts-
behörde einen Bediensteten aus einer anderen öffent-
lichen Stelle zum Beauftragten für den Datenschutz
bestellen.
(3) Der Beauftragte für den Datenschutz ist dem
Leiter der öffentlichen oder nicht öffentlichen Stelle
unmittelbar zu unterstellen. Er ist in Ausübung seiner
Fachkunde auf dem Gebiet des Datenschutzes
weisungsfrei. Er darf wegen der Erfüllung seiner
Aufgaben nicht benachteiligt werden. Die Bestellung
zum Beauftragten für den Datenschutz kann in ent-
sprechender Anwendung von § 626 des Bürgerlichen
Gesetzbuches, bei nicht öffentlichen Stellen auch auf
Verlangen der Aufsichtsbehörde, widerrufen werden.
(4) Der Beauftragte für den Datenschutz ist zur
Verschwiegenheit über die Identität des Betroffenen
sowie über Umstände, die Rückschlüsse auf den
Betroffenen zulassen, verpflichtet, soweit er nicht
davon durch den Betroffenen befreit wird.
(5) Die öffentlichen und nicht öffentlichen Stellen
haben den Beauftragten für den Datenschutz bei der
Erfüllung seiner Aufgaben zu unterstützen und ihm
insbesondere, soweit dies zur Erfüllung seiner Auf-
gaben erforderlich ist, Hilfspersonal sowie Räume,
Einrichtungen, Geräte und Mittel zur Verfügung zu
stellen. Betroffene können sich jederzeit an den
Beauftragten für den Datenschutz wenden.
§ 4g
Aufgaben des
Beauftragten für den Datenschutz
(1) Der Beauftragte für den Datenschutz wirkt auf
die Einhaltung dieses Gesetzes und anderer Vor-
schriften über den Datenschutz hin. Zu diesem Zweck
kann sich der Beauftragte für den Datenschutz in
Zweifelsfällen an die für die Datenschutzkontrolle
bei der verantwortlichen Stelle zuständige Behörde
wenden. Er hat insbesondere
1. die ordnungsgemäße Anwendung der Datenverar-
beitungsprogramme, mit deren Hilfe personenbe-
zogene Daten verarbeitet werden sollen, zu über-
wachen; zu diesem Zweck ist er über Vorhaben
der automatisierten Verarbeitung personenbezo-
gener Daten rechtzeitig zu unterrichten,
2. die bei der Verarbeitung personenbezogener
Daten tätigen Personen durch geeignete Maßnah-
men mit den Vorschriften dieses Gesetzes sowie
anderen Vorschriften über den Datenschutz und
mit den jeweiligen besonderen Erfordernissen des
Datenschutzes vertraut zu machen.
(2) Dem Beauftragten für den Datenschutz ist
von der verantwortlichen Stelle eine Übersicht über
die in § 4e Satz 1 genannten Angaben sowie über
zugriffsberechtigte Personen zur Verfügung zu
stellen. Im Fall des § 4d Abs. 2 macht der Beauftragte
für den Datenschutz die Angaben nach § 4e Satz 1
Nr. 1 bis 8 auf Antrag jedermann in geeigneter
Weise verfügbar. Im Fall des § 4d Abs. 3 gilt Satz 2
entsprechend für die verantwortliche Stelle.
(3) Auf die in § 6 Abs. 2 Satz 4 genannten Be-
hörden findet Absatz 2 Satz 2 keine Anwendung.
Absatz 1 Satz 2 findet mit der Maßgabe Anwendung,
dass der behördliche Beauftragte für den Daten-
schutz das Benehmen mit dem Behördenleiter her-
stellt; bei Unstimmigkeiten zwischen dem behörd-
lichen Beauftragten für den Datenschutz und dem Be-
hördenleiter entscheidet die oberste Bundesbehörde.“
8. In § 5 Satz 1 werden nach dem Wort „unbefugt“ die
Wörter „zu erheben,“ eingefügt.
9. § 6 Abs. 2 wird wie folgt geändert:
a) In Satz 1 werden die Wörter „in einer Datei gespei-
chert, bei der“ durch die Wörter „automatisiert in
der Weise gespeichert, dass“ und die Wörter „ , die
speichernde Stelle festzustellen“ durch die Wörter
„festzustellen, welche Stelle die Daten gespeichert
hat“ ersetzt.
b) In Satz 2 werden die Wörter „speichernde Stelle“
durch die Wörter „Stelle, die die Daten gespeichert
hat,“ ersetzt.
c) In Satz 3 werden die Wörter „die speichernde“
durch das Wort „jene“ ersetzt.
10. Nach § 6 werden folgende §§ 6a bis 6c eingefügt:
㤠6a
Automatisierte Einzelentscheidung
(1) Entscheidungen, die für den Betroffenen eine
rechtliche Folge nach sich ziehen oder ihn erheblich
beeinträchtigen, dürfen nicht ausschließlich auf eine
automatisierte Verarbeitung personenbezogener
Daten gestützt werden, die der Bewertung einzelner
Persönlichkeitsmerkmale dienen.
(2) Dies gilt nicht, wenn
1. die Entscheidung im Rahmen des Abschlusses
oder der Erfüllung eines Vertragsverhältnisses
oder eines sonstigen Rechtsverhältnisses ergeht
und dem Begehren des Betroffenen stattgegeben
wurde oder
2. die Wahrung der berechtigten Interessen des
Betroffenen durch geeignete Maßnahmen gewähr-
leistet und dem Betroffenen von der verantwort-
lichen Stelle die Tatsache des Vorliegens einer
Entscheidung im Sinne des Absatzes 1 mitgeteilt
wird. Als geeignete Maßnahme gilt insbesondere
die Möglichkeit des Betroffenen, seinen Stand-
punkt geltend zu machen. Die verantwortliche
Stelle ist verpflichtet, ihre Entscheidung erneut zu
prüfen.
(3) Das Recht des Betroffenen auf Auskunft nach
den §§ 19 und 34 erstreckt sich auch auf den
logischen Aufbau der automatisierten Verarbeitung
der ihn betreffenden Daten.
§ 6b
Beobachtung öffentlich zugänglicher Räume
mit optisch-elektronischen Einrichtungen
(1) Die Beobachtung öffentlich zugänglicher
Räume mit optisch-elektronischen Einrichtungen
(Videoüberwachung) ist nur zulässig, soweit sie
1. zur Aufgabenerfüllung öffentlicher Stellen,
2. zur Wahrnehmung des Hausrechts oder
3. zur Wahrnehmung berechtigter Interessen für
konkret festgelegte Zwecke
erforderlich ist und keine Anhaltspunkte bestehen,
dass schutzwürdige Interessen der Betroffenen über-
wiegen.
(2) Der Umstand der Beobachtung und die verant-
wortliche Stelle sind durch geeignete Maßnahmen
erkennbar zu machen.
(3) Die Verarbeitung oder Nutzung von nach
Absatz 1 erhobenen Daten ist zulässig, wenn sie zum
Erreichen des verfolgten Zwecks erforderlich ist und
keine Anhaltspunkte bestehen, dass schutzwürdige
Interessen der Betroffenen überwiegen. Für einen
anderen Zweck dürfen sie nur verarbeitet oder
genutzt werden, soweit dies zur Abwehr von Gefahren
für die staatliche und öffentliche Sicherheit sowie zur
Verfolgung von Straftaten erforderlich ist.
(4) Werden durch Videoüberwachung erhobene
Daten einer bestimmten Person zugeordnet, ist diese
über eine Verarbeitung oder Nutzung entsprechend
den §§ 19a und 33 zu benachrichtigen.
(5) Die Daten sind unverzüglich zu löschen, wenn
sie zur Erreichung des Zwecks nicht mehr erforderlich
sind oder schutzwürdige Interessen der Betroffenen
einer weiteren Speicherung entgegenstehen.
§ 6c
Mobile personenbezogene
Speicher- und Verarbeitungsmedien
(1) Die Stelle, die ein mobiles personenbezogenes
Speicher- und Verarbeitungsmedium ausgibt oder
ein Verfahren zur automatisierten Verarbeitung per-
sonenbezogener Daten, das ganz oder teilweise auf
einem solchen Medium abläuft, auf das Medium
aufbringt, ändert oder hierzu bereithält, muss den
Betroffenen
1. über ihre Identität und Anschrift,
2. in allgemein verständlicher Form über die Funk-
tionsweise des Mediums einschließlich der Art der
zu verarbeitenden personenbezogenen Daten,
3. darüber, wie er seine Rechte nach den §§ 19, 20,
34 und 35 ausüben kann, und
4. über die bei Verlust oder Zerstörung des Mediums
zu treffenden Maßnahmen
unterrichten, soweit der Betroffene nicht bereits
Kenntnis erlangt hat.
(2) Die nach Absatz 1 verpflichtete Stelle hat dafür
Sorge zu tragen, dass die zur Wahrnehmung des
Auskunftsrechts erforderlichen Geräte oder Ein-
richtungen in angemessenem Umfang zum unent-
geltlichen Gebrauch zur Verfügung stehen.
(3) Kommunikationsvorgänge, die auf dem Medium
eine Datenverarbeitung auslösen, müssen für den
Betroffenen eindeutig erkennbar sein.“
11. Die §§ 7 und 8 werden wie folgt gefasst:
㤠7
Schadensersatz
Fügt eine verantwortliche Stelle dem Betroffenen
durch eine nach diesem Gesetz oder nach anderen
Vorschriften über den Datenschutz unzulässige oder
unrichtige Erhebung, Verarbeitung oder Nutzung
seiner personenbezogenen Daten einen Schaden
zu, ist sie oder ihr Träger dem Betroffenen zum
Schadensersatz verpflichtet. Die Ersatzpflicht entfällt,
soweit die verantwortliche Stelle die nach den
Umständen des Falles gebotene Sorgfalt beachtet
hat.
§8
Schadensersatz bei automatisierter
Datenverarbeitung durch öffentliche Stellen
(1) Fügt eine verantwortliche öffentliche Stelle dem
Betroffenen durch eine nach diesem Gesetz oder
nach anderen Vorschriften über den Datenschutz
unzulässige oder unrichtige automatisierte Erhebung,
Verarbeitung oder Nutzung seiner personenbezo-
genen Daten einen Schaden zu, ist ihr Träger dem
Betroffenen unabhängig von einem Verschulden zum
Schadensersatz verpflichtet.
(2) Bei einer schweren Verletzung des Persön-
lichkeitsrechts ist dem Betroffenen der Schaden, der
nicht Vermögensschaden ist, angemessen in Geld zu
ersetzen.
(3) Die Ansprüche nach den Absätzen 1 und 2 sind
insgesamt auf einen Betrag von 250 000 Deutsche
Mark begrenzt. Ist aufgrund desselben Ereignisses
an mehrere Personen Schadensersatz zu leisten, der
insgesamt den Höchstbetrag von 250 000 Deutsche
Mark übersteigt, so verringern sich die einzelnen
Schadensersatzleistungen in dem Verhältnis, in dem
ihr Gesamtbetrag zu dem Höchstbetrag steht.
(4) Sind bei einer automatisierten Verarbeitung
mehrere Stellen speicherungsberechtigt und ist der
Geschädigte nicht in der Lage, die speichernde Stelle
festzustellen, so haftet jede dieser Stellen.
(5) Auf das Mitverschulden des Betroffenen und
die Verjährung sind die §§ 254 und 852 des Bürger-
lichen Gesetzbuches entsprechend anzuwenden.“
12. In § 9 Satz 1 wird das Wort „verarbeiten“ durch die
Wörter „erheben, verarbeiten oder nutzen“ ersetzt.
13. Nach § 9 wird folgender § 9a eingefügt:
㤠9a
Datenschutzaudit
Zur Verbesserung des Datenschutzes und der
Datensicherheit können Anbieter von Datenverarbei-
tungssystemen und -programmen und datenver-
arbeitende Stellen ihr Datenschutzkonzept sowie ihre
technischen Einrichtungen durch unabhängige und
zugelassene Gutachter prüfen und bewerten lassen
sowie das Ergebnis der Prüfung veröffentlichen. Die
näheren Anforderungen an die Prüfung und Bewer-
tung, das Verfahren sowie die Auswahl und Zulassung
der Gutachter werden durch besonderes Gesetz
geregelt.“
14. § 10 wird wie folgt geändert:
a) In Absatz 2 Satz 2 Nr. 2 wird das Wort „Datenemp-
fänger“ durch die Wörter „Dritte, an die übermittelt
wird“ ersetzt.
b) In Absatz 3 Satz 2 werden das Wort „der“ durch
das Wort „das“, das Wort „Landesminister“ durch
das Wort „Landesministerium“ und das Wort
„haben“ durch das Wort „hat“ ersetzt sowie die
Wörter „oder deren Vertreter“ gestrichen.
c) In Absatz 4 Satz 1 wird das Wort „Empfänger“
durch die Wörter „Dritte, an den übermittelt wird“
ersetzt.
d) Absatz 5 wird wie folgt gefasst:
„(5) Die Absätze 1 bis 4 gelten nicht für den
Abruf allgemein zugänglicher Daten. Allgemein
zugänglich sind Daten, die jedermann, sei es ohne
oder nach vorheriger Anmeldung, Zulassung oder
Entrichtung eines Entgelts, nutzen kann.“
15. § 11 wird wie folgt geändert:
a) In der Überschrift wird vor dem Wort „Verarbei-
tung“ das Wort „Erhebung,“ eingefügt.
b) In Absatz 1 Satz 1 wird vor dem Wort „verarbeitet“
das Wort „erhoben,“ eingefügt.
c) In Absatz 1 Satz 2 wird die Angabe „bis 8“ durch
die Angabe „ , 7 und 8“ ersetzt.
d) Absatz 2 wird wie folgt geändert:
aa) In Satz 2 wird das Wort „Datenverarbeitung“
durch die Wörter „Datenerhebung, -verarbei-
tung“ ersetzt.
bb) Dem Absatz wird folgender Satz angefügt:
„Der Auftraggeber hat sich von der Einhaltung
der beim Auftragnehmer getroffenen tech-
nischen und organisatorischen Maßnahmen
zu überzeugen.“
e) In Absatz 3 Satz 1 wird vor dem Wort „verarbeiten“
das Wort „erheben,“ eingefügt.
f) In Absatz 4 Nr. 2 werden vor dem Wort „ver-
arbeiten“ das Wort „erheben,“ eingefügt und die
Angabe „32, 36 bis“ durch die Angabe „4f, 4g und“
ersetzt.
g) Nach Absatz 4 wird folgender Absatz 5 angefügt:
„(5) Die Absätze 1 bis 4 gelten entsprechend,
wenn die Prüfung oder Wartung automatisierter
Verfahren oder von Datenverarbeitungsanlagen
durch andere Stellen im Auftrag vorgenommen
wird und dabei ein Zugriff auf personenbezogene
Daten nicht ausgeschlossen werden kann.“
16. § 12 wird wie folgt geändert:
a) In Absatz 2 wird die Angabe „17, 19 und“ durch die
Angabe „16, 19 bis“ ersetzt.
b) Absatz 4 wird wie folgt gefasst:
„(4) Werden personenbezogene Daten für
frühere, bestehende oder zukünftige dienst- oder
arbeitsrechtliche Rechtsverhältnisse erhoben, ver-
arbeitet oder genutzt, gelten anstelle der §§ 13
bis 16, 19 bis 20 der § 28 Abs. 1 und 3 Nr. 1 sowie
die §§ 33 bis 35, auch soweit personenbezogene
Daten weder automatisiert verarbeitet noch in
nicht automatisierten Dateien verarbeitet oder
genutzt oder dafür erhoben werden.“
17. § 13 wird wie folgt geändert:
a) In Absatz 1 werden die Wörter „erhebenden
Stellen“ durch die Wörter „verantwortlichen
Stelle“ ersetzt.
a1) Nach Absatz 1 wird folgender Absatz 1a ein-
gefügt:
„(1a) Werden personenbezogene Daten statt
beim Betroffenen bei einer nicht öffentlichen
Stelle erhoben, so ist die Stelle auf die Rechts-
vorschrift, die zur Auskunft verpflichtet, sonst auf
die Freiwilligkeit ihrer Angaben hinzuweisen.“
b) Absatz 2 wird wie folgt gefasst:
„(2) Das Erheben besonderer Arten personen-
bezogener Daten (§ 3 Abs. 9) ist nur zulässig,
soweit
1. eine Rechtsvorschrift dies vorsieht oder aus
Gründen eines wichtigen öffentlichen Inter-
esses zwingend erfordert,
2. der Betroffene nach Maßgabe des § 4a Abs. 3
eingewilligt hat,
3. dies zum Schutz lebenswichtiger Interessen
des Betroffenen oder eines Dritten erforderlich
ist, sofern der Betroffene aus physischen oder
rechtlichen Gründen außerstande ist, seine
Einwilligung zu geben,
4. es sich um Daten handelt, die der Betroffene
offenkundig öffentlich gemacht hat,
5. dies zur Abwehr einer erheblichen Gefahr für
die öffentliche Sicherheit erforderlich ist,
6. dies zur Abwehr erheblicher Nachteile für das
Gemeinwohl oder zur Wahrung erheblicher
Belange des Gemeinwohls zwingend erfor-
derlich ist,
7. dies zum Zweck der Gesundheitsvorsorge,
der medizinischen Diagnostik, der Gesund-
heitsversorgung oder Behandlung oder für die
Verwaltung von Gesundheitsdiensten erfor-
derlich ist und die Verarbeitung dieser Daten
durch ärztliches Personal oder durch sonstige
Personen erfolgt, die einer entsprechenden
Geheimhaltungspflicht unterliegen,
8. dies zur Durchführung wissenschaftlicher
Forschung erforderlich ist, das wissenschaft-
liche Interesse an der Durchführung des For-
schungsvorhabens das Interesse des Be-
troffenen an dem Ausschluss der Erhebung
erheblich überwiegt und der Zweck der For-
schung auf andere Weise nicht oder nur
mit unverhältnismäßigem Aufwand erreicht
werden kann oder
9. dies aus zwingenden Gründen der Ver-
teidigung oder der Erfüllung über- oder
zwischenstaatlicher Verpflichtungen einer
öffentlichen Stelle des Bundes auf dem
Gebiet der Krisenbewältigung oder Konflikt-
verhinderung oder für humanitäre Maß-
nahmen erforderlich ist.“
c) Die Absätze 3 und 4 werden aufgehoben.
18. § 14 wird wie folgt geändert:
a) In Absatz 1 wird das Wort „speichernden“ durch
das Wort „verantwortlichen“ ersetzt.
b) Absatz 2 wird wie folgt geändert:
aa) In Nummer 5 werden die Wörter „aus all-
gemein zugänglichen Quellen entnommen
werden können“ durch die Wörter „allgemein
zugänglich sind“ und das Wort „speichernde“
durch das Wort „verantwortliche“ ersetzt.
bb) In Nummer 6 werden nach dem Wort „einer“
die Wörter „sonst unmittelbar drohenden“
gestrichen und nach dem Wort „Sicherheit“
die Wörter „oder zur Wahrung erheblicher
Belange des Gemeinwohls“ eingefügt.
c) In Absatz 3 Satz 1 und 2 wird jeweils das Wort
„speichernde“ durch das Wort „verantwortliche“
ersetzt.
d) Nach Absatz 4 werden folgende Absätze 5 und 6
angefügt:
„(5) Das Speichern, Verändern oder Nutzen von
besonderen Arten personenbezogener Daten
(§ 3 Abs. 9) für andere Zwecke ist nur zulässig,
wenn
1. die Voraussetzungen vorliegen, die eine Er-
hebung nach § 13 Abs. 2 Nr. 1 bis 6 oder 9
zulassen würden oder
2. dies zur Durchführung wissenschaftlicher For-
schung erforderlich ist, das öffentliche Inter-
esse an der Durchführung des Forschungs-
vorhabens das Interesse des Betroffenen an
dem Ausschluss der Zweckänderung erheblich
überwiegt und der Zweck der Forschung auf
andere Weise nicht oder nur mit unverhältnis-
mäßigem Aufwand erreicht werden kann.
Bei der Abwägung nach Satz 1 Nr. 2 ist im Rahmen
des öffentlichen Interesses das wissenschaftliche
Interesse an dem Forschungsvorhaben besonders
zu berücksichtigen.
(6) Die Speicherung, Veränderung oder Nut-
zung von besonderen Arten personenbezogener
Daten (§ 3 Abs. 9) zu den in § 13 Abs. 2 Nr. 7
genannten Zwecken richtet sich nach den für die in
§ 13 Abs. 2 Nr. 7 genannten Personen geltenden
Geheimhaltungspflichten.“
19. § 15 wird wie folgt geändert:
a) In Absatz 1 Nr. 1 und Absatz 2 Satz 2 und 3 werden
jeweils das Wort „Empfängers“ durch die Wörter
„Dritten, an den die Daten übermittelt werden,“
ersetzt.
b) In Absatz 3 werden die Wörter „Empfänger darf
die übermittelten Daten“ durch die Wörter „Dritte,
an den die Daten übermittelt werden, darf diese“
ersetzt.
c) In Absatz 4 werden die Wörter „dem Empfänger“
durch das Wort „diesen“ ersetzt.
d) In Absatz 5 werden die Wörter „in Akten“ ge-
strichen.
20. § 16 wird wie folgt geändert:
a) Absatz 1 wird wie folgt geändert:
aa) In Nummer 2 wird das Wort „Empfänger“
durch die Wörter „Dritte, an den die Daten
übermittelt werden,“ ersetzt.
bb) Der Nummer 2 wird folgender Satz angefügt:
„Das Übermitteln von besonderen Arten per-
sonenbezogener Daten (§ 3 Abs. 9) ist ab-
weichend von Satz 1 Nr. 2 nur zulässig,
wenn die Voraussetzungen vorliegen, die
eine Nutzung nach § 14 Abs. 5 und 6 zu-
lassen würden oder soweit dies zur Geltend-
machung, Ausübung oder Verteidigung recht-
licher Ansprüche erforderlich ist.“
b) Absatz 4 wird wie folgt geändert:
aa) In Satz 1 werden die Wörter „Empfänger darf
die übermittelten Daten“ durch die Wörter
„Dritte, an den die Daten übermittelt werden,
darf diese“ ersetzt.
bb) In Satz 2 werden die Wörter „den Empfänger“
durch das Wort „ihn“ ersetzt.
21. § 17 wird aufgehoben.
22. § 18 wird wie folgt geändert:
a) Absatz 2 wird wie folgt gefasst:
„(2) Die öffentlichen Stellen führen ein Verzeich-
nis der eingesetzten Datenverarbeitungsanlagen.
Für ihre automatisierten Verarbeitungen haben sie
die Angaben nach § 4e sowie die Rechtsgrundlage
der Verarbeitung schriftlich festzulegen. Bei all-
gemeinen Verwaltungszwecken dienenden auto-
matisierten Verarbeitungen, bei welchen das Aus-
kunftsrecht des Betroffenen nicht nach § 19 Abs. 3
oder 4 eingeschränkt wird, kann hiervon abge-
sehen werden. Für automatisierte Verarbeitungen,
die in gleicher oder ähnlicher Weise mehrfach
geführt werden, können die Festlegungen zu-
sammengefasst werden.“
b) Absatz 3 wird aufgehoben.
23. § 19 wird wie folgt geändert:
a) Absatz 1 wird wie folgt geändert:
aa) In Satz 1 werden in Nummer 1 die Wörter
„oder Empfänger“ und das Wort „und“ ge-
strichen sowie vor das Wort „Herkunft“ das
Wort „die“ eingefügt und nach Nummer 1
folgende Nummer 2 eingefügt:
„2. die Empfänger oder Kategorien von Emp-
fängern, an die die Daten weitergegeben
werden, und“.
bb) Der bisherige Satz 1 Nr. 2 wird Satz 1 Nr. 3.
cc) In Satz 3 werden die Wörter „in Akten“ durch
die Wörter „weder automatisiert noch in nicht
automatisierten Dateien“ ersetzt.
dd) In Satz 4 wird das Wort „speichernde“ durch
das Wort „verantwortliche“ ersetzt.
b) Dem Absatz 2 wird folgender Halbsatz angefügt:
„und eine Auskunftserteilung einen unverhältnis-
mäßigen Aufwand erfordern würde“.
c) In Absatz 3 wird das Wort „Bundesministers“
durch das Wort „Bundesministeriums“ ersetzt.
d) In Absatz 4 Nr. 1 und in Absatz 6 Satz 2 werden
jeweils das Wort „speichernden“ durch das Wort
„verantwortlichen“ ersetzt.
24. Nach § 19 wird folgender § 19a eingefügt:
㤠19a
Benachrichtigung
(1) Werden Daten ohne Kenntnis des Betroffenen
erhoben, so ist er von der Speicherung, der Identität
der verantwortlichen Stelle sowie über die Zweck-
bestimmungen der Erhebung, Verarbeitung oder Nut-
zung zu unterrichten. Der Betroffene ist auch über
die Empfänger oder Kategorien von Empfängern
von Daten zu unterrichten, soweit er nicht mit der
Übermittlung an diese rechnen muss. Sofern eine
Übermittlung vorgesehen ist, hat die Unterrichtung
spätestens bei der ersten Übermittlung zu erfolgen.
(2) Eine Pflicht zur Benachrichtigung besteht nicht,
wenn
1. der Betroffene auf andere Weise Kenntnis von der
Speicherung oder der Übermittlung erlangt hat,
2. die Unterrichtung des Betroffenen einen unverhält-
nismäßigen Aufwand erfordert oder
3. die Speicherung oder Übermittlung der personen-
bezogenen Daten durch Gesetz ausdrücklich vor-
gesehen ist.
Die verantwortliche Stelle legt schriftlich fest, unter
welchen Voraussetzungen von einer Benachrichti-
gung nach Nummer 2 oder 3 abgesehen wird.
(3) § 19 Abs. 2 bis 4 gilt entsprechend.“
25. § 20 wird wie folgt geändert:
a) In der Überschrift wird ein Semikolon und das Wort
„Widerspruchsrecht“ angefügt.
b) In Absatz 1 Satz 2 werden die Wörter „in Akten“
durch die Wörter „die weder automatisiert ver-
arbeitet noch in nicht automatisierten Dateien
gespeichert sind,“ und die Wörter „der Akte zu
vermerken oder auf sonstige“ durch das Wort
„geeigneter“ ersetzt sowie vor die Wörter „die
weder automatisiert verarbeitet noch in nicht
automatisierten Dateien gespeichert sind,“ ein
Komma gesetzt.
c) Absatz 2 wird wie folgt geändert:
aa) Die Wörter „in Dateien“ werden durch die
Wörter „die automatisiert verarbeitet oder
in nicht automatisierten Dateien gespeichert
sind,“ ersetzt sowie vor die Wörter „die
automatisiert verarbeitet oder in nicht auto-
matisierten Dateien gespeichert sind,“ ein
Komma gesetzt.
bb) In Nummer 2 wird das Wort „speichernde“
durch das Wort „verantwortliche“ ersetzt.
d) In Absatz 4 werden die Wörter „in Dateien“ durch
die Wörter „die automatisiert verarbeitet oder in
nicht automatisierten Dateien gespeichert sind,“
ersetzt sowie vor die Wörter „die automatisiert
verarbeitet oder in nicht automatisierten Dateien
gespeichert sind,“ ein Komma gesetzt.
e) Nach Absatz 4 wird folgender Absatz 5 eingefügt:
„(5) Personenbezogene Daten dürfen nicht für
eine automatisierte Verarbeitung oder Verarbei-
tung in nicht automatisierten Dateien erhoben,
verarbeitet oder genutzt werden, soweit der Be-
troffene dieser bei der verantwortlichen Stelle
widerspricht und eine Prüfung ergibt, dass das
schutzwürdige Interesse des Betroffenen wegen
seiner besonderen persönlichen Situation das
Interesse der verantwortlichen Stelle an dieser
Erhebung, Verarbeitung oder Nutzung überwiegt.
Satz 1 gilt nicht, wenn eine Rechtsvorschrift zur Er-
hebung, Verarbeitung oder Nutzung verpflichtet.“
f) Die bisherigen Absätze 5 bis 8 werden die Ab-
sätze 6 bis 9.
g) In Absatz 6 werden die Wörter „in Akten“ durch die
Wörter „die weder automatisiert verarbeitet noch
in einer nicht automatisierten Datei gespeichert
sind,“ ersetzt sowie vor die Wörter „die weder
automatisiert verarbeitet noch in einer nicht auto-
matisierten Datei gespeichert sind,“ ein Komma
gesetzt.
h) In Absatz 7 Nr. 1 wird das Wort „speichernden“
durch das Wort „verantwortlichen“ ersetzt.
i) Absatz 8 wird wie folgt geändert:
aa) Das Wort „regelmäßigen“ wird gestrichen.
bb) Die Wörter „werden, wenn dies zur Wahrung
schutzwürdiger Interessen des Betroffenen
erforderlich ist“ werden durch die Wörter
„wurden, wenn dies keinen unverhältnismäßi-
gen Aufwand erfordert und schutzwürdige
Interessen des Betroffenen nicht entgegen-
stehen“ ersetzt.
26. § 22 wird wie folgt geändert:
a) In Absatz 2 wird das Wort „Beauftragte“ durch das
Wort „Bundesbeauftragte“ ersetzt.
b) In Absatz 5 Satz 1 wird das Wort „Bundesminister“
durch das Wort „Bundesministerium“ und in den
Sätzen 2 und 3 wird das Wort „Bundesministers“
durch das Wort „Bundesministeriums“ ersetzt.
27. § 23 wird wie folgt geändert:
a) In Absatz 3 Satz 1 und 2 wird das Wort „Bundes-
minister“ durch das Wort „Bundesministerium“
und in Absatz 5 Satz 3 wird das Wort „Bundes-
ministers“ durch das Wort „Bundesministeriums“
ersetzt.
b) Dem Absatz 5 werden die folgenden Sätze an-
gefügt:
„Für den Bundesbeauftragten und seine Mitarbei-
ter gelten die §§ 93, 97, 105 Abs. 1, § 111 Abs. 5
in Verbindung mit § 105 Abs. 1 sowie § 116 Abs. 1
der Abgabenordnung nicht. Satz 5 findet keine
Anwendung, soweit die Finanzbehörden die
Kenntnis für die Durchführung eines Verfahrens
wegen einer Steuerstraftat sowie eines damit
zusammenhängenden Steuerverfahrens benöti-
gen, an deren Verfolgung ein zwingendes öffent-
liches Interesse besteht, oder soweit es sich um
vorsätzlich falsche Angaben des Auskunftspflich-
tigen oder der für ihn tätigen Personen handelt.
Stellt der Bundesbeauftragte einen Datenschutz-
verstoß fest, ist er befugt, diesen anzuzeigen und
den Betroffenen hierüber zu informieren.“
b1) Absatz 6 Satz 3 wird wie folgt gefasst:
㤠28 des Bundesverfassungsgerichtsgesetzes
bleibt unberührt.“
c) Nach Absatz 7 wird folgender Absatz 8 angefügt:
„(8) Absatz 5 Satz 5 bis 7 gilt entsprechend für
die öffentlichen Stellen, die für die Kontrolle der
Einhaltung der Vorschriften über den Daten-
schutz in den Ländern zuständig sind.“
28. § 24 wird wie folgt geändert:
a) Absatz 1 Satz 2 wird aufgehoben.
b) Absatz 2 wird wie folgt gefasst:
„(2) Die Kontrolle des Bundesbeauftragten er-
streckt sich auch auf
1. von öffentlichen Stellen des Bundes erlangte
personenbezogene Daten über den Inhalt und
die näheren Umstände des Brief-, Post- und
Fernmeldeverkehrs, und
2. personenbezogene Daten, die einem Berufs-
oder besonderen Amtsgeheimnis, insbeson-
dere dem Steuergeheimnis nach § 30 der
Abgabenordnung, unterliegen.
Das Grundrecht des Brief-, Post- und Fernmelde-
geheimnisses des Artikels 10 des Grundgesetzes
wird insoweit eingeschränkt. Personenbezogene
Daten, die der Kontrolle durch die Kommission
nach § 9 des Gesetzes zu Artikel 10 Grund-
gesetz unterliegen, unterliegen nicht der Kontrolle
durch den Bundesbeauftragten, es sei denn, die
Kommission ersucht den Bundesbeauftragten, die
Einhaltung der Vorschriften über den Datenschutz
bei bestimmten Vorgängen oder in bestimmten
Bereichen zu kontrollieren und ausschließlich ihr
darüber zu berichten. Der Kontrolle durch den
Bundesbeauftragten unterliegen auch nicht per-
sonenbezogene Daten in Akten über die Sicher-
heitsüberprüfung, wenn der Betroffene der Kon-
trolle der auf ihn bezogenen Daten im Einzelfall
gegenüber dem Bundesbeauftragten widerspricht.“
c) In Absatz 4 Satz 2 Nr. 1 werden die Wörter „und
Akten“ gestrichen.
29. § 26 wird wie folgt geändert:
a) In der Überschrift werden das Semikolon und das
Wort „Dateienregister“ gestrichen.
b) Absatz 1 Satz 2 wird wie folgt gefasst:
„Er unterrichtet den Deutschen Bundestag und
die Öffentlichkeit über wesentliche Entwicklungen
des Datenschutzes.“
c) Dem Absatz 4 wird folgender Satz angefügt:
„§ 38 Abs. 1 Satz 3 und 4 gilt entsprechend.“
d) Absatz 5 wird aufgehoben.
30. § 27 wird wie folgt geändert:
a) In Absatz 1 Satz 1 werden die Wörter „in oder aus
Dateien geschäftsmäßig oder für berufliche oder
gewerbliche Zwecke verarbeitet oder genutzt“
durch die Wörter „unter Einsatz von Datenver-
arbeitungsanlagen verarbeitet, genutzt oder dafür
erhoben werden oder die Daten in oder aus nicht
automatisierten Dateien verarbeitet, genutzt oder
dafür erhoben“ ersetzt.
b) Nach Absatz 1 Satz 1 wird folgender Satz 2 ein-
gefügt:
„Dies gilt nicht, wenn die Erhebung, Verarbeitung
oder Nutzung der Daten ausschließlich für per-
sönliche oder familiäre Tätigkeiten erfolgt.“
c) In Absatz 2 werden die Wörter „in Akten“ durch
die Wörter „außerhalb von nicht automatisierten
Dateien“ und das Wort „Datei“ durch die Wörter
„automatisierten Verarbeitung“ ersetzt.
31. § 28 wird wie folgt geändert:
a) In der Überschrift werden die Wörter „Daten-
speicherung, -übermittlung“ durch die Wörter
„Datenerhebung, -verarbeitung“ ersetzt.
b) Absatz 1 Satz 1 wird wie folgt geändert:
aa) Nach dem Wort „Das“ wird das Wort „Er-
heben,“ eingefügt.
bb) In Nummer 1 werden die Wörter „im Rahmen“
durch die Wörter „wenn es“ ersetzt und nach
dem Wort „Betroffenen“ wird das Wort „dient“
eingefügt.
cc) In Nummer 2 wird das Wort „speichernden“
durch das Wort „verantwortlichen“ ersetzt und
nach dem Wort „überwiegt“ das Wort „oder“
angefügt.
dd) Nummer 3 wird wie folgt gefasst:
„3. wenn die Daten allgemein zugänglich sind
oder die verantwortliche Stelle sie ver-
öffentlichen dürfte, es sei denn, dass das
schutzwürdige Interesse des Betroffenen
an dem Ausschluss der Verarbeitung oder
Nutzung gegenüber dem berechtigten
Interesse der verantwortlichen Stelle
offensichtlich überwiegt.“
ee) Nummer 4 wird aufgehoben.
c) Absatz 1 Satz 2 wird wie folgt gefasst:
„Bei der Erhebung personenbezogener Daten sind
die Zwecke, für die die Daten verarbeitet oder
genutzt werden sollen, konkret festzulegen.“
d) Nach Absatz 1 wird folgender Absatz 2 eingefügt:
„(2) Für einen anderen Zweck dürfen sie nur
unter den Voraussetzungen des Absatzes 1 Satz 1
Nr. 2 und 3 übermittelt oder genutzt werden.“
e) Die bisherigen Absätze 2 bis 4 werden die Ab-
sätze 3 bis 5.
f) Absatz 3 wird wie folgt gefasst:
„(3) Die Übermittlung oder Nutzung für einen
anderen Zweck ist auch zulässig:
1. soweit es zur Wahrung berechtigter Interessen
eines Dritten oder
2. zur Abwehr von Gefahren für die staatliche und
öffentliche Sicherheit sowie zur Verfolgung von
Straftaten erforderlich ist, oder
3. für Zwecke der Werbung, der Markt- und Mei-
nungsforschung, wenn es sich um listenmäßig
oder sonst zusammengefasste Daten über
Angehörige einer Personengruppe handelt, die
sich auf
a) eine Angabe über die Zugehörigkeit des
Betroffenen zu dieser Personengruppe,
b) Berufs-, Branchen- oder Geschäftsbeziehung,
c) Namen,
d) Titel,
e) akademische Grade,
f) Anschrift und
g) Geburtsjahr
beschränken
und kein Grund zu der Annahme besteht, dass der
Betroffene ein schutzwürdiges Interesse an dem
Ausschluss der Übermittlung oder Nutzung hat,
oder
4. wenn es im Interesse einer Forschungsein-
richtung zur Durchführung wissenschaftlicher
Forschung erforderlich ist, das wissenschaft-
liche Interesse an der Durchführung des For-
schungsvorhabens das Interesse des Betroffe-
nen an dem Ausschluss der Zweckänderung
erheblich überwiegt und der Zweck der For-
schung auf andere Weise nicht oder nur mit
unverhältnismäßigem Aufwand erreicht werden
kann.
In den Fällen des Satzes 1 Nr. 3 ist anzunehmen,
dass dieses Interesse besteht, wenn im Rahmen
der Zweckbestimmung eines Vertragsverhältnis-
ses oder vertragsähnlichen Vertrauensverhältnis-
ses gespeicherte Daten übermittelt werden sollen,
die sich
1. auf strafbare Handlungen,
2. auf Ordnungswidrigkeiten sowie
3. bei Übermittlung durch den Arbeitgeber auf
arbeitsrechtliche Rechtsverhältnisse
beziehen.“
g) Absatz 4 wird wie folgt geändert:
aa) In Satz 1 wird das Wort „speichernden“ durch
das Wort „verantwortlichen“ ersetzt.
bb) Nach Satz 1 wird folgender Satz eingefügt:
„Der Betroffene ist bei der Ansprache zum
Zweck der Werbung oder der Markt- oder
Meinungsforschung über die verantwortliche
Stelle sowie über das Widerspruchsrecht
nach Satz 1 zu unterrichten; soweit der
Ansprechende personenbezogene Daten des
Betroffenen nutzt, die bei einer ihm nicht
bekannten Stelle gespeichert sind, hat er auch
sicherzustellen, dass der Betroffene Kenntnis
über die Herkunft der Daten erhalten kann.“
cc) In dem neuen Satz 3 werden die Wörter „beim
Empfänger der nach Absatz 2 übermittelten
Daten“ durch die Wörter „bei dem Dritten,
dem die Daten nach Absatz 3 übermittelt
werden,“ ersetzt.
h) Absatz 5 wird wie folgt geändert:
aa) In Satz 1 werden die Wörter „Empfänger darf
die übermittelten Daten“ durch die Wörter
„Dritte, dem die Daten übermittelt worden
sind, darf diese nur“ ersetzt.
bb) In Satz 2 werden nach dem Wort „ist“ die
Wörter „nicht öffentlichen Stellen“ eingefügt
und die Wörter „1 und 2 zulässig“ durch die
Wörter „2 und 3 und öffentlichen Stellen nur
unter den Voraussetzungen des § 14 Abs. 2
erlaubt“ ersetzt.
cc) In Satz 3 werden die Wörter „den Empfänger“
durch das Wort „ihn“ ersetzt.
i) Nach Absatz 5 werden die folgenden Absätze 6
bis 9 angefügt:
„(6) Das Erheben, Verarbeiten und Nutzen von
besonderen Arten personenbezogener Daten (§ 3
Abs. 9) für eigene Geschäftszwecke ist zulässig,
soweit nicht der Betroffene nach Maßgabe des
§ 4a Abs. 3 eingewilligt hat, wenn
1. dies zum Schutz lebenswichtiger Interessen
des Betroffenen oder eines Dritten erforderlich
ist, sofern der Betroffene aus physischen oder
rechtlichen Gründen außerstande ist, seine
Einwilligung zu geben,
2. es sich um Daten handelt, die der Betroffene
offenkundig öffentlich gemacht hat,
3. dies zur Geltendmachung, Ausübung oder Ver-
teidigung rechtlicher Ansprüche erforderlich ist
und kein Grund zu der Annahme besteht, dass
das schutzwürdige Interesse des Betroffenen
an dem Ausschluss der Erhebung, Verarbei-
tung oder Nutzung überwiegt, oder
4. dies zur Durchführung wissenschaftlicher For-
schung erforderlich ist, das wissenschaft-
liche Interesse an der Durchführung des For-
schungsvorhabens das Interesse des Betrof-
fenen an dem Ausschluss der Erhebung, Ver-
arbeitung und Nutzung erheblich überwiegt
und der Zweck der Forschung auf andere
Weise nicht oder nur mit unverhältnismäßigem
Aufwand erreicht werden kann.
(7) Das Erheben von besonderen Arten per-
sonenbezogener Daten (§ 3 Abs. 9) ist ferner
zulässig, wenn dies zum Zweck der Gesund-
heitsvorsorge, der medizinischen Diagnostik, der
Gesundheitsversorgung oder Behandlung oder für
die Verwaltung von Gesundheitsdiensten erforder-
lich ist und die Verarbeitung dieser Daten durch
ärztliches Personal oder durch sonstige Perso-
nen erfolgt, die einer entsprechenden Geheim-
haltungspflicht unterliegen. Die Verarbeitung und
Nutzung von Daten zu den in Satz 1 genannten
Zwecken richtet sich nach den für die in Satz 1
genannten Personen geltenden Geheimhaltungs-
pflichten. Werden zu einem in Satz 1 genannten
Zweck Daten über die Gesundheit von Personen
durch Angehörige eines anderen als in § 203
Abs. 1 und 3 des Strafgesetzbuches genannten
Berufes, dessen Ausübung die Feststellung, Hei-
lung oder Linderung von Krankheiten oder die
Herstellung oder den Vertrieb von Hilfsmitteln mit
sich bringt, erhoben, verarbeitet oder genutzt, ist
dies nur unter den Voraussetzungen zulässig,
unter denen ein Arzt selbst hierzu befugt wäre.
(8) Für einen anderen Zweck dürfen die beson-
deren Arten personenbezogener Daten (§ 3 Abs. 9)
nur unter den Voraussetzungen des Absatzes 6
Nr. 1 bis 4 oder des Absatzes 7 Satz 1 übermittelt
oder genutzt werden. Eine Übermittlung oder Nut-
zung ist auch zulässig, wenn dies zur Abwehr von
erheblichen Gefahren für die staatliche und öffent-
liche Sicherheit sowie zur Verfolgung von Straf-
taten von erheblicher Bedeutung erforderlich ist.
(9) Organisationen, die politisch, philosophisch,
religiös oder gewerkschaftlich ausgerichtet sind
und keinen Erwerbszweck verfolgen, dürfen
besondere Arten personenbezogener Daten (§ 3
Abs. 9) erheben, verarbeiten oder nutzen, soweit
dies für die Tätigkeit der Organisation erforderlich
ist. Dies gilt nur für personenbezogene Daten ihrer
Mitglieder oder von Personen, die im Zusam-
menhang mit deren Tätigkeitszweck regelmäßig
Kontakte mit ihr unterhalten. Die Übermittlung
dieser personenbezogenen Daten an Personen
oder Stellen außerhalb der Organisation ist nur
unter den Voraussetzungen des § 4a Abs. 3 zu-
lässig. Absatz 3 Nr. 2 gilt entsprechend.“
32. § 29 wird wie folgt geändert:
a) In der Überschrift wird das Wort „Datenspei-
cherung“ durch die Wörter „Datenerhebung und
-speicherung“ ersetzt.
b) Absatz 1 Satz 1 wird wie folgt geändert:
aa) Nach dem Wort „geschäftsmäßige“ wird das
Wort „Erheben,“ und nach dem Wort „Über-
mittlung“ werden ein Komma und die Wörter
„insbesondere wenn dies der Werbung, der
Tätigkeit von Auskunfteien, dem Adresshan-
del oder der Markt- und Meinungsforschung
dient,“ eingefügt.
bb) In Nummer 1 wird vor dem Wort „Speiche-
rung“ das Wort „Erhebung,“ eingefügt.
cc) In Nummer 2 wird das Wort „speichernde“
durch das Wort „verantwortliche“ ersetzt
sowie vor dem Wort „Speicherung“ das Wort
„Erhebung,“ eingefügt.
c) Absatz 2 wird wie folgt geändert:
aa) In Satz 1 werden im ersten Halbsatz nach dem
Wort „Übermittlung“ die Wörter „im Rahmen
der Zwecke nach Absatz 1“ eingefügt.
bb) In Satz 1 Nr. 1 Buchstabe a wird das Wort
„Empfänger“ durch die Wörter „Dritte, dem die
Daten übermittelt werden,“ ersetzt.
cc) In Satz 1 Nr. 1 Buchstabe b wird die Angabe
„Abs. 2 Nr. 1 Buchstabe b“ durch die Angabe
„Abs. 3 Nr. 3“ ersetzt.
dd) In Satz 2 wird die Angabe „Abs. 2 Nr. 1“ durch
die Angabe „Abs. 3“ ersetzt.
ee) In Satz 3 wird das Wort „Empfänger“ durch die
Wörter „Dritten, dem die Daten übermittelt
werden“ ersetzt.
d) Nach Absatz 2 wird folgender Absatz 3 eingefügt:
„(3) Die Aufnahme personenbezogener Daten in
elektronische oder gedruckte Adress-, Telefon-,
Branchen- oder vergleichbare Verzeichnisse hat
zu unterbleiben, wenn der entgegenstehende Wille
des Betroffenen aus dem zugrunde liegenden
elektronischen oder gedruckten Verzeichnis oder
Register ersichtlich ist. Der Empfänger der Daten
hat sicherzustellen, dass Kennzeichnungen aus
elektronischen oder gedruckten Verzeichnissen
oder Registern bei der Übernahme in Verzeich-
nisse oder Register übernommen werden.“
e) Der bisherige Absatz 3 wird Absatz 4.
f) In Absatz 4 wird die Angabe „3 und 4“ durch die
Angabe „4 und 5“ ersetzt.
g) Nach Absatz 4 wird folgender Absatz 5 angefügt:
„(5) § 28 Abs. 6 bis 9 gilt entsprechend.“
33. § 30 wird wie folgt geändert:
a) In der Überschrift wird das Wort „Datenspei-
cherung“ durch die Wörter „Datenerhebung und
-speicherung“ ersetzt.
b) In Absatz 1 Satz 1 werden nach dem Wort
„geschäftsmäßig“ die Wörter „erhoben und“ ein-
gefügt.
c) Absatz 2 Nr. 2 wird wie folgt geändert:
aa) Das Wort „speichernde“ wird durch das Wort
„verantwortliche“ ersetzt.
bb) Die Wörter „es sei denn, daß“ werden durch
die Wörter „soweit nicht“ ersetzt.
d) Absatz 4 wird wie folgt gefasst:
„(4) § 29 gilt nicht.“
e) Nach Absatz 4 wird folgender Absatz 5 angefügt:
„(5) § 28 Abs. 6 bis 9 gilt entsprechend.“
34. § 32 wird aufgehoben.
35. § 33 wird wie folgt geändert:
a) Absatz 1 wird wie folgt geändert:
aa) Satz 1 wird wie folgt gefasst:
„Werden erstmals personenbezogene Daten
für eigene Zwecke ohne Kenntnis des Betrof-
fenen gespeichert, ist der Betroffene von der
Speicherung, der Art der Daten, der Zweck-
bestimmung der Erhebung, Verarbeitung oder
Nutzung und der Identität der verantwort-
lichen Stelle zu benachrichtigen.“
bb) In Satz 2 werden nach den Wörtern „der
Übermittlung“ die Wörter „ohne Kenntnis des
Betroffenen“ eingefügt.
cc) Dem Absatz wird folgender Satz 3 angefügt:
„Der Betroffene ist in den Fällen der Sätze 1
und 2 auch über die Kategorien von Emp-
fängern zu unterrichten, soweit er nach den
Umständen des Einzelfalles nicht mit der
Übermittlung an diese rechnen muss.“
b) Absatz 2 wird wie folgt geändert:
aa) In Nummer 2 werden nach dem Wort „dienen“
die Wörter „und eine Benachrichtigung einen
unverhältnismäßigen Aufwand erfordern
würde“ eingefügt.
bb) Nach Nummer 3 werden folgende Nummern 4
und 5 eingefügt:
„4. die Speicherung oder Übermittlung durch
Gesetz ausdrücklich vorgesehen ist,
5. die Speicherung oder Übermittlung für
Zwecke der wissenschaftlichen For-
schung erforderlich ist und eine Benach-
richtigung einen unverhältnismäßigen
Aufwand erfordern würde,“.
cc) Die bisherige Nummer 4 wird die Nummer 6.
dd) Die bisherige Nummer 5 wird aufgehoben.
ee) Die bisherigen Nummern 6 und 7 werden die
Nummern 7 und 8.
ff) In Nummer 6 wird das Wort „speichernden“
durch das Wort „verantwortlichen“ ersetzt.
gg) In Nummer 7 Buchstabe a werden nach dem
Wort „sind“ die Wörter „und eine Benachrich-
tigung wegen der Vielzahl der betroffenen
Fälle unverhältnismäßig ist,“ eingefügt.
hh) In Nummer 7 Buchstabe b wird das Wort
„speichernden“ durch das Wort „verantwort-
lichen“ ersetzt.
ii) Nummer 8 wird wie folgt gefasst:
„8. die Daten geschäftsmäßig zum Zwecke
der Übermittlung gespeichert sind und
a) aus allgemein zugänglichen Quellen
entnommen sind, soweit sie sich
auf diejenigen Personen beziehen, die
diese Daten veröffentlicht haben, oder
b) es sich um listenmäßig oder sonst zu-
sammengefasste Daten handelt (§ 29
Abs. 2 Nr. 1 Buchstabe b)
und eine Benachrichtigung wegen der
Vielzahl der betroffenen Fälle unverhält-
nismäßig ist.“
jj) Dem Absatz wird folgender Satz angefügt:
„Die verantwortliche Stelle legt schriftlich fest,
unter welchen Voraussetzungen von einer
Benachrichtigung nach Satz 1 Nr. 2 bis 7
abgesehen wird.“
36. § 34 wird wie folgt geändert:
a) Absatz 1 wird wie folgt geändert:
aa) In Satz 1 Nr. 1 werden die Wörter „Herkunft
und Empfänger“ durch die Wörter „die Her-
kunft dieser Daten“ ersetzt.
bb) Nach Satz 1 Nr. 1 wird folgende Nummer 2
eingefügt:
„2. Empfänger oder Kategorien von Emp-
fängern, an die Daten weitergegeben
werden, und“.
cc) Der bisherige Satz 1 Nr. 2 wird Satz 1 Nr. 3.
dd) Der bisherige Satz 1 Nr. 3 wird aufgehoben.
ee) In Satz 1 Nr. 3 wird das Wort „und“ durch
einen Punkt ersetzt.
ff) In Satz 3 werden die Wörter „wenn er be-
gründete Zweifel an der Richtigkeit der Daten
geltend macht“ durch die Wörter „sofern nicht
das Interesse an der Wahrung des Geschäfts-
geheimnisses überwiegt“ ersetzt.
b) Absatz 2 wird wie folgt geändert:
aa) In Satz 1 werden die Wörter „nicht in einer“
durch die Wörter „weder in einer automatisier-
ten Verarbeitung noch in einer nicht automati-
sierten“ ersetzt. In Satz 2 werden die Wörter
„wenn er begründete Zweifel an der Rich-
tigkeit der Daten geltend macht“ durch die
Wörter „sofern nicht das Interesse an der
Wahrung des Geschäftsgeheimnisses über-
wiegt“ ersetzt.
bb) Satz 3 wird aufgehoben.
c) In Absatz 4 wird die Angabe „Nr. 2 bis 6“ durch die
Angabe „Satz 1 Nr. 2, 3 und 5 bis 7“ ersetzt.
37. § 35 wird wie folgt geändert:
a) Absatz 2 Satz 2 wird wie folgt geändert:
aa) Nummer 2 wird wie folgt gefasst:
„2. es sich um Daten über die rassische oder
ethnische Herkunft, politische Meinun-
gen, religiöse oder philosophische Über-
zeugungen oder die Gewerkschafts-
zugehörigkeit, über Gesundheit oder das
Sexualleben, strafbare Handlungen oder
Ordnungswidrigkeiten handelt und ihre
Richtigkeit von der verantwortlichen Stelle
nicht bewiesen werden kann,“.
bb) Nummer 4 wird wie folgt gefasst:
„4. sie geschäftsmäßig zum Zweck der Über-
mittlung verarbeitet werden und eine
Prüfung jeweils am Ende des vierten
Kalenderjahres beginnend mit ihrer erst-
maligen Speicherung ergibt, dass eine
längerwährende Speicherung nicht erfor-
derlich ist.“
b) In Absatz 3 Nr. 1 wird die Angabe „oder 4“
gestrichen.
c) Nach Absatz 4 wird folgender Absatz 5 eingefügt:
„(5) Personenbezogene Daten dürfen nicht für
eine automatisierte Verarbeitung oder Verarbei-
tung in nicht automatisierten Dateien erhoben,
verarbeitet oder genutzt werden, soweit der Be-
troffene dieser bei der verantwortlichen Stelle
widerspricht und eine Prüfung ergibt, dass das
schutzwürdige Interesse des Betroffenen wegen
seiner besonderen persönlichen Situation das
Interesse der verantwortlichen Stelle an dieser
Erhebung, Verarbeitung oder Nutzung überwiegt.
Satz 1 gilt nicht, wenn eine Rechtsvorschrift zur Er-
hebung, Verarbeitung oder Nutzung verpflichtet.“
d) Die bisherigen Absätze 5 bis 7 werden die Absätze
6 bis 8.
e) Absatz 7 wird wie folgt geändert:
aa) Das Wort „regelmäßigen“ wird gestrichen.
bb) Die Wörter „zur Wahrung der schutzwürdigen
Interessen des Betroffenen erforderlich ist“
werden durch die Wörter „keinen unverhält-
nismäßigen Aufwand erfordert und schutz-
würdige Interessen des Betroffenen nicht
entgegenstehen“ ersetzt.
f) In Absatz 8 Nr. 1 wird das Wort „speichernden“
durch das Wort „verantwortlichen“ ersetzt.
38. In der Überschrift des Dritten Unterabschnitts zum
Dritten Abschnitt werden die Wörter „Beauftragter für
den Datenschutz,“ gestrichen.
39. § 36 wird aufgehoben.
40. § 37 wird aufgehoben.
41. § 38 wird wie folgt geändert:
a) Absatz 1 wird wie folgt gefasst:
„(1) Die Aufsichtsbehörde kontrolliert die Aus-
führung dieses Gesetzes sowie anderer Vor-
schriften über den Datenschutz, soweit diese die
automatisierte Verarbeitung personenbezogener
Daten oder die Verarbeitung oder Nutzung per-
sonenbezogener Daten in oder aus nicht auto-
matisierten Dateien regeln einschließlich des
Rechts der Mitgliedstaaten in den Fällen des § 1
Abs. 5. Die Aufsichtsbehörde darf die von ihr
gespeicherten Daten nur für Zwecke der Aufsicht
verarbeiten und nutzen; § 14 Abs. 2 Nr. 1 bis 3, 6
und 7 gilt entsprechend. Insbesondere darf die
Aufsichtsbehörde zum Zweck der Aufsicht Daten
an andere Aufsichtsbehörden übermitteln. Sie
leistet den Aufsichtsbehörden anderer Mitglied-
staaten der Europäischen Union auf Ersuchen
ergänzende Hilfe (Amtshilfe). Stellt die Aufsichts-
behörde einen Verstoß gegen dieses Gesetz oder
andere Vorschriften über den Datenschutz fest,
so ist sie befugt, die Betroffenen hierüber zu
unterrichten, den Verstoß bei den für die Ver-
folgung oder Ahndung zuständigen Stellen anzu-
zeigen sowie bei schwerwiegenden Verstößen
die Gewerbeaufsichtsbehörde zur Durchführung
gewerberechtlicher Maßnahmen zu unterrichten.
Sie veröffentlicht regelmäßig, spätestens alle
zwei Jahre, einen Tätigkeitsbericht. § 21 Satz 1
und § 23 Abs. 5 Satz 4 bis 7 gelten entsprechend.“
b) Absatz 2 wird wie folgt geändert:
aa) Satz 1 wird aufgehoben.
bb) Der neue Satz 1 wird wie folgt gefasst:
„Die Aufsichtsbehörde führt ein Register der
nach § 4d meldepflichtigen automatisierten
Verarbeitungen mit den Angaben nach § 4e
Satz 1.“
cc) Der bisherige Satz 3 wird Satz 2.
dd) Nach Satz 2 wird folgender Satz 3 angefügt:
„Das Einsichtsrecht erstreckt sich nicht auf
die Angaben nach § 4e Satz 1 Nr. 9 so-
wie auf die Angabe der zugriffsberechtigten
Personen.“
b1) In Absatz 3 Satz 1 wird das Wort „Prüfung“ durch
das Wort „Kontrolle“ ersetzt.
c) Absatz 4 wird wie folgt geändert:
aa) In Satz 1 werden die Wörter „Überprüfung
oder Überwachung“ durch das Wort „Kon-
trolle“ ersetzt.
bb) In Satz 2 wird die Angabe „§ 37 Abs. 2“ durch
die Angabe „§ 4g Abs. 2 Satz 1“ ersetzt.
d) In Absatz 5 Satz 1 werden die Wörter „Verarbei-
tung oder Nutzung“ durch die Wörter „automa-
tisierte Verarbeitung personenbezogener Daten
oder die Verarbeitung“ ersetzt sowie vor dem
Wort „Dateien“ das Wort „nicht automatisierten“
eingefügt.
e) In Absatz 6 wird das Wort „Überwachung“ durch
das Wort „Kontrolle“ ersetzt.
42. Nach § 38 wird folgender § 38a eingefügt:
㤠38a
Verhaltensregeln
zur Förderung der Durchführung
datenschutzrechtlicher Regelungen
(1) Berufsverbände und andere Vereinigungen,
die bestimmte Gruppen von verantwortlichen Stellen
vertreten, können Entwürfe für Verhaltensregeln zur
Förderung der Durchführung von datenschutzrecht-
lichen Regelungen der zuständigen Aufsichtsbehörde
unterbreiten.
(2) Die Aufsichtsbehörde überprüft die Vereinbar-
keit der ihr unterbreiteten Entwürfe mit dem geltenden
Datenschutzrecht.“
43. In § 39 Abs. 1 Satz 1 wird das Wort „speichernden“
durch das Wort „verantwortlichen“ ersetzt.
44. § 40 wird wie folgt geändert:
a) Absatz 2 wird aufgehoben.
b) Die bisherigen Absätze 3 und 4 werden die Ab-
sätze 2 und 3.
45. § 41 wird wie folgt geändert:
a) In der Überschrift wird vor dem Wort „Verarbei-
tung“ das Wort „Erhebung,“ eingefügt.
b) Absatz 1 wird wie folgt gefasst:
„(1) Die Länder haben in ihrer Gesetzgebung
vorzusehen, dass für die Erhebung, Verarbeitung
und Nutzung personenbezogener Daten von Un-
ternehmen und Hilfsunternehmen der Presse aus-
schließlich zu eigenen journalistisch-redaktionellen
oder literarischen Zwecken den Vorschriften der
§§ 5, 9 und 38a entsprechende Regelungen ein-
schließlich einer hierauf bezogenen Haftungsrege-
lung entsprechend § 7 zur Anwendung kommen.“
c) In Absatz 2 wird vor dem Wort „Verarbeitung“ das
Wort „Erhebung,“ eingefügt.
d) Absatz 3 Satz 2 wird wie folgt gefasst:
„Die Auskunft kann nach Abwägung der schutz-
würdigen Interessen der Beteiligten verweigert
werden, soweit
1. aus den Daten auf Personen, die bei der
Vorbereitung, Herstellung oder Verbreitung
von Rundfunksendungen berufsmäßig jour-
nalistisch mitwirken oder mitgewirkt haben,
geschlossen werden kann,
2. aus den Daten auf die Person des Einsenders
oder des Gewährsträgers von Beiträgen, Unter-
lagen und Mitteilungen für den redaktionellen
Teil geschlossen werden kann,
3. durch die Mitteilung der recherchierten oder
sonst erlangten Daten die journalistische
Aufgabe der Deutschen Welle durch Aus-
forschung des Informationsbestandes beein-
trächtigt würde.“
e) In Absatz 4 Satz 1 wird die Angabe „§§ 5 und 9“
durch die Angabe „§§ 5, 7, 9 und 38a“ ersetzt.
46. § 42 Abs. 5 Satz 2 wird wie folgt gefasst:
„Die §§ 4f und 4g bleiben unberührt.“
47. § 43 wird wie folgt gefasst:
㤠43
Bußgeldvorschriften
(1) Ordnungswidrig handelt, wer vorsätzlich oder
fahrlässig
1. entgegen § 4d Abs. 1, auch in Verbindung mit
§ 4e Satz 2, eine Meldung nicht, nicht richtig,
nicht vollständig oder nicht rechtzeitig macht,
2. entgegen § 4f Abs. 1 Satz 1 oder 2, jeweils auch
in Verbindung mit Satz 3 und 6, einen Beauf-
tragten für den Datenschutz nicht, nicht in der
vorgeschriebenen Weise oder nicht rechtzeitig
bestellt,
3. entgegen § 28 Abs. 4 Satz 2 den Betroffenen
nicht, nicht richtig oder nicht rechtzeitig unter-
richtet oder nicht sicherstellt, dass der Betroffene
Kenntnis erhalten kann,
4. entgegen § 28 Abs. 5 Satz 2 personenbezogene
Daten übermittelt oder nutzt,
5. entgegen § 29 Abs. 2 Satz 3 oder 4 die dort
bezeichneten Gründe oder die Art und Weise
ihrer glaubhaften Darlegung nicht aufzeichnet,
6. entgegen § 29 Abs. 3 Satz 1 personenbezogene
Daten in elektronische oder gedruckte Adress-,
Rufnummern-, Branchen- oder vergleichbare
Verzeichnisse aufnimmt,
7. entgegen § 29 Abs. 3 Satz 2 die Übernahme von
Kennzeichnungen nicht sicherstellt,
8. entgegen § 33 Abs. 1 den Betroffenen nicht, nicht
richtig oder nicht vollständig benachrichtigt,
9. entgegen § 35 Abs. 6 Satz 3 Daten ohne Gegen-
darstellung übermittelt,
10. entgegen § 38 Abs. 3 Satz 1 oder Abs. 4 Satz 1
eine Auskunft nicht, nicht richtig, nicht vollständig
oder nicht rechtzeitig erteilt oder eine Maßnahme
nicht duldet oder
11. einer vollziehbaren Anordnung nach § 38 Abs. 5
Satz 1 zuwiderhandelt.
(2) Ordnungswidrig handelt, wer vorsätzlich oder
fahrlässig
1. unbefugt personenbezogene Daten, die nicht all-
gemein zugänglich sind, erhebt oder verarbeitet,
2. unbefugt personenbezogene Daten, die nicht all-
gemein zugänglich sind, zum Abruf mittels auto-
matisierten Verfahrens bereithält,
3. unbefugt personenbezogene Daten, die nicht all-
gemein zugänglich sind, abruft oder sich oder
einem anderen aus automatisierten Verarbeitun-
gen oder nicht automatisierten Dateien verschafft,
4. die Übermittlung von personenbezogenen Daten,
die nicht allgemein zugänglich sind, durch un-
richtige Angaben erschleicht,
5. entgegen § 16 Abs. 4 Satz 1, § 28 Abs. 5 Satz 1,
auch in Verbindung mit § 29 Abs. 4, § 39 Abs. 1
Satz 1 oder § 40 Abs. 1, die übermittelten Daten
für andere Zwecke nutzt, indem er sie an Dritte
weitergibt, oder
6. entgegen § 30 Abs. 1 Satz 2 die in § 30 Abs. 1
Satz 1 bezeichneten Merkmale oder entgegen
§ 40 Abs. 2 Satz 3 die in § 40 Abs. 2 Satz 2
bezeichneten Merkmale mit den Einzelangaben
zusammenführt.
(3) Die Ordnungswidrigkeit kann im Falle des Ab-
satzes 1 mit einer Geldbuße bis zu fünfzigtausend
Deutsche Mark, in den Fällen des Absatzes 2 mit einer
Geldbuße bis zu fünfhunderttausend Deutsche Mark
geahndet werden.“
48. § 44 wird wie folgt gefasst:
㤠44
Strafvorschriften
(1) Wer eine in § 43 Abs. 2 bezeichnete vorsätz-
liche Handlung gegen Entgelt oder in der Absicht, sich
oder einen anderen zu bereichern oder einen anderen
zu schädigen, begeht, wird mit Freiheitsstrafe bis zu
zwei Jahren oder mit Geldstrafe bestraft.
(2) Die Tat wird nur auf Antrag verfolgt. Antrags-
berechtigt sind der Betroffene, die verantwortliche
Stelle, der Bundesbeauftragte für den Datenschutz
und die Aufsichtsbehörde.“
49. Nach § 44 wird folgende Überschrift eingefügt:
„Sechster Abschnitt
Übergangsvorschriften“.
50. Nach der Überschrift „Sechster Abschnitt Über-
gangsvorschriften“ werden folgende §§ 45 und 46
eingefügt:
㤠45
Laufende Verwendungen
Erhebungen, Verarbeitungen oder Nutzungen per-
sonenbezogener Daten, die am 23. Mai 2001 be-
reits begonnen haben, sind binnen drei Jahren
nach diesem Zeitpunkt mit den Vorschriften dieses
Gesetzes in Übereinstimmung zu bringen. Soweit
Vorschriften dieses Gesetzes in Rechtsvorschrif-
ten außerhalb des Anwendungsbereichs der Richt-
linie 95/46/EG des Europäischen Parlaments und des
Rates vom 24. Oktober 1995 zum Schutz natürlicher
Personen bei der Verarbeitung personenbezogener
Daten und zum freien Datenverkehr zur Anwendung
gelangen, sind Erhebungen, Verarbeitungen oder
Nutzungen personenbezogener Daten, die am 23. Mai
2001 bereits begonnen haben, binnen fünf Jahren
nach diesem Zeitpunkt mit den Vorschriften dieses
Gesetzes in Übereinstimmung zu bringen.
§ 46
Weitergeltung von Begriffsbestimmungen
(1) Wird in besonderen Rechtsvorschriften des
Bundes der Begriff Datei verwendet, ist Datei
1. eine Sammlung personenbezogener Daten, die
durch automatisierte Verfahren nach bestimmten
Merkmalen ausgewertet werden kann (automati-
sierte Datei), oder
2. jede sonstige Sammlung personenbezogener
Daten, die gleichartig aufgebaut ist und nach
bestimmten Merkmalen geordnet, umgeordnet
und ausgewertet werden kann (nicht automati-
sierte Datei).
Nicht hierzu gehören Akten und Aktensammlungen,
es sei denn, dass sie durch automatisierte Verfahren
umgeordnet und ausgewertet werden können.
(2) Wird in besonderen Rechtsvorschriften des
Bundes der Begriff Akte verwendet, ist Akte jede amt-
lichen oder dienstlichen Zwecken dienende Unter-
lage, die nicht dem Dateibegriff des Absatzes 1 unter-
fällt; dazu zählen auch Bild- und Tonträger. Nicht
hierunter fallen Vorentwürfe und Notizen, die nicht
Bestandteil eines Vorgangs werden sollen.
(3) Wird in besonderen Rechtsvorschriften des
Bundes der Begriff Empfänger verwendet, ist Emp-
fänger jede Person oder Stelle außerhalb der verant-
wortlichen Stelle. Empfänger sind nicht der Betroffene
sowie Personen und Stellen, die im Inland, in einem
anderen Mitgliedstaat der Europäischen Union oder
in einem anderen Vertragsstaat des Abkommens
über den Europäischen Wirtschaftsraum personen-
bezogene Daten im Auftrag erheben, verarbeiten oder
nutzen.“
51. Die Anlage zu § 9 Satz 1 wird wie folgt gefasst:
„Anlage
(zu § 9 Satz 1)
Werden personenbezogene Daten automatisiert
verarbeitet oder genutzt, ist die innerbehördliche
oder innerbetriebliche Organisation so zu gestalten,
dass sie den besonderen Anforderungen des Daten-
schutzes gerecht wird. Dabei sind insbesondere
Maßnahmen zu treffen, die je nach der Art der zu
schützenden personenbezogenen Daten oder Daten-
kategorien geeignet sind,
1. Unbefugten den Zutritt zu Datenverarbeitungs-
anlagen, mit denen personenbezogene Daten
verarbeitet oder genutzt werden, zu verwehren
(Zutrittskontrolle),
2. zu verhindern, dass Datenverarbeitungssysteme
von Unbefugten genutzt werden können (Zu-
gangskontrolle),
3. zu gewährleisten, dass die zur Benutzung eines
Datenverarbeitungssystems Berechtigten aus-
schließlich auf die ihrer Zugriffsberechtigung
unterliegenden Daten zugreifen können, und dass
personenbezogene Daten bei der Verarbeitung,
Nutzung und nach der Speicherung nicht unbefugt
gelesen, kopiert, verändert oder entfernt werden
können (Zugriffskontrolle),
4. zu gewährleisten, dass personenbezogene Daten
bei der elektronischen Übertragung oder während
ihres Transports oder ihrer Speicherung auf
Datenträger nicht unbefugt gelesen, kopiert, ver-
ändert oder entfernt werden können, und dass
überprüft und festgestellt werden kann, an welche
Stellen eine Übermittlung personenbezogener
Daten durch Einrichtungen zur Datenübertragung
vorgesehen ist (Weitergabekontrolle),
5. zu gewährleisten, dass nachträglich überprüft
und festgestellt werden kann, ob und von wem
personenbezogene Daten in Datenverarbeitungs-
systeme eingegeben, verändert oder entfernt
worden sind (Eingabekontrolle),
6. zu gewährleisten, dass personenbezogene Daten,
die im Auftrag verarbeitet werden, nur entsprechend
den Weisungen des Auftraggebers verarbeitet
werden können (Auftragskontrolle),
7. zu gewährleisten, dass personenbezogene Daten
gegen zufällige Zerstörung oder Verlust geschützt
sind (Verfügbarkeitskontrolle),
8. zu gewährleisten, dass zu unterschiedlichen
Zwecken erhobene Daten getrennt verarbeitet
werden können.“
Artikel 2
Änderung des
Bundesverfassungsschutzgesetzes
§ 27 des Bundesverfassungsschutzgesetzes vom
20. Dezember 1990 (BGBl. I S. 2954, 2970), das zuletzt
durch Artikel 11 des Gesetzes vom 2. August 2000 (BGBl. I
S. 1253) geändert worden ist, wird wie folgt gefasst:
㤠27
Geltung des Bundesdatenschutzgesetzes
Bei der Erfüllung der Aufgaben nach § 3 durch das
Bundesamt für Verfassungsschutz finden § 3 Abs. 2
und 8 Satz 1, § 4 Abs. 2 und 3, §§ 4b und 4c sowie §§ 10
und 13 bis 20 des Bundesdatenschutzgesetzes keine
Anwendung.“
Artikel 3
Änderung des MAD-Gesetzes
§ 13 des MAD-Gesetzes vom 20. Dezember 1990
(BGBl. I S. 2954, 2977), das zuletzt durch Artikel 3 § 4 des
Gesetzes vom 16. Februar 2001 (BGBl. I S. 266) geändert
worden ist, wird wie folgt gefasst:
㤠13
Geltung des Bundesdatenschutzgesetzes
Bei der Erfüllung der Aufgaben nach § 1 Abs. 1 bis 3 und
§ 2 finden § 3 Abs. 2 und 8 Satz 1, § 4 Abs. 2 und 3, §§ 4b
und 4c sowie §§ 10 und 13 bis 20 des Bundesdaten-
schutzgesetzes keine Anwendung.“
Artikel 4
Änderung des BND-Gesetzes
§ 11 des BND-Gesetzes vom 20. Dezember 1990
(BGBl. I S. 2954, 2979), das durch § 38 Abs. 5 des
Gesetzes vom 20. April 1994 (BGBl. I S. 867) geändert
worden ist, wird wie folgt gefasst:
㤠11
Geltung des Bundesdatenschutzgesetzes
Bei der Erfüllung der Aufgaben des Bundesnachrichten-
dienstes finden § 3 Abs. 2 und 8 Satz 1, § 4 Abs. 2 und 3,
§§ 4b und 4c sowie §§ 10 und 13 bis 20 des Bundesdaten-
schutzgesetzes keine Anwendung.“
Artikel 5
Änderung des
Sicherheitsüberprüfungsgesetzes
In § 36 Abs. 1 des Sicherheitsüberprüfungsgesetzes
vom 20. April 1994 (BGBl. I S. 867), das durch Artikel 3
§ 5 des Gesetzes vom 16. Februar 2001 (BGBl. I S. 266)
geändert worden ist, werden nach den Wörtern „Vor-
schriften des Ersten Abschnitts“ die Wörter „mit Aus-
nahme von § 3 Abs. 2 und 8 Satz 1, § 4 Abs. 2 und 3,
§§ 4b und 4c sowie § 13 Abs. 1a“ eingefügt.
Artikel 6
Änderung des Bundesgrenzschutzgesetzes
§ 37 des Bundesgrenzschutzgesetzes vom 19. Oktober
1994 (BGBl. I S. 2978, 2979), das zuletzt durch Artikel 1
des Gesetzes vom 22. Dezember 1999 (BGBl. I S. 2534)
geändert worden ist, wird wie folgt gefasst:
㤠37
Geltung des Bundesdatenschutzgesetzes
Bei der Erfüllung der dem Bundesgrenzschutz nach den
§§ 1 bis 7 obliegenden Aufgaben finden § 3 Abs. 2 und 8
Satz 1, § 4 Abs. 2 und 3, §§ 4b, 4c, 10 Abs. 1, §§ 13, 14
Abs. 1, 2 und 5, §§ 15, 16, 18 Abs. 2 Satz 2 und 3 sowie
§§ 19a und 20 des Bundesdatenschutzgesetzes keine
Anwendung.“
Artikel 7
Änderung des Bundeskriminalamtgesetzes
Das Bundeskriminalamtgesetz vom 7. Juli 1997 (BGBl. I
S. 1650), geändert durch Artikel 10 des Gesetzes vom
2. August 2000 (BGBl. I S. 1253), wird wie folgt geändert:
1. In § 12 Abs. 4 Satz 1 wird die Angabe „§ 7“ durch die
Angabe „§ 8“ ersetzt.
2. § 37 wird wie folgt gefasst:
㤠37
Geltung des Bundesdatenschutzgesetzes
Bei der Erfüllung der Aufgaben nach den §§ 2, 3,
5 und 6 durch das Bundeskriminalamt finden § 3
Abs. 2 und 8 Satz 1, § 4 Abs. 2 und 3, §§ 4b, 4c, 10
Abs. 1, §§ 13, 14 Abs. 1, 2, 4 und 5, §§ 15, 16, 18 Abs. 2
Satz 2 und 3 sowie die §§ 19a und 20 des Bundes-
datenschutzgesetzes keine Anwendung.“
Artikel 8
Änderung des Sozialgesetzbuches
§1
Änderung des Ersten Buches
Sozialgesetzbuch – Allgemeiner Teil –
§ 35 Abs. 3 des Ersten Buches Sozialgesetzbuch – All-
gemeiner Teil – (Artikel I des Gesetzes vom 11. Dezember
1975, BGBl. I S. 3015), das zuletzt durch Artikel 3 § 48 des
Gesetzes vom 16. Februar 2001 (BGBl. I S. 266) geändert
worden ist, wird wie folgt gefasst:
„(3) Soweit eine Übermittlung nicht zulässig ist, besteht
keine Auskunftspflicht, keine Zeugnispflicht und keine
Pflicht zur Vorlegung oder Auslieferung von Schrift-
stücken, nicht automatisierten Dateien und automatisiert
erhobenen, verarbeiteten oder genutzten Sozialdaten.“
§ 1a
Änderung des Dritten Buches
Sozialgesetzbuch – Arbeitsförderung –
In § 298 Abs. 1 Satz 2 des Dritten Buches Sozialgesetz-
buch – Arbeitsförderung – (Artikel 1 des Gesetzes vom
24. März 1997, BGBl. I S. 594, 595), das zuletzt durch Ar-
tikel 2 des Gesetzes vom 21. März 2001 (BGBl. I S. 403)
geändert worden ist, wird die Angabe „§ 4“ durch die
Angabe „§ 4a“ ersetzt.
§2
Änderung des
Zehnten Buches Sozialgesetzbuch
– Sozialverwaltungsverfahren und Sozialdatenschutz –
Das Zehnte Buch Sozialgesetzbuch – Sozialverwaltungs-
verfahren und Sozialdatenschutz – in der Fassung der
Bekanntmachung vom 18. Januar 2001 (BGBl. I S. 130)
wird wie folgt geändert:
0. Die Inhaltsübersicht wird wie folgt geändert:
a) Die Angabe „§ 77 Einschränkung der Übermitt-
lungsbefugnis ins Ausland sowie an über- und
zwischenstaatliche Stellen“ wird durch die Angabe
„§ 77 Übermittlung ins Ausland und an über- oder
zwischenstaatliche Stellen“ ersetzt.
b) In der Angabe zu § 78 werden die Wörter „des
Empfängers“ durch die Wörter „eines Dritten, an
den Daten übermittelt werden“ ersetzt.
c) Nach der Angabe zu § 78a werden folgende Anga-
ben eingefügt:
㤠78b Datenvermeidung und Datensparsamkeit
§ 78c Datenschutzaudit“.
d) In der Angabe zu § 80 wird vor dem Wort „Verar-
beitung“ das Wort „Erhebung,“ eingefügt.
e) Der Angabe zu § 84 wird das Wort „ ; Wider-
spruchsrecht“ angefügt.
f) Die Angabe „§ 85 Strafvorschriften“ wird durch die
Angabe „§ 85 Bußgeldvorschriften“ ersetzt.
g) Die Angabe „§ 85a Bußgeldvorschriften“ wird
durch die Angabe „§ 85a Strafvorschriften“
ersetzt.
h) Nach der Angabe „§ 120 Übergangsregelung“
wird die Angabe „Anlage (zu § 78a)“ angefügt.
1. § 67 wird wie folgt geändert:
a) Absatz 3 wird wie folgt gefasst:
„(3) Automatisiert im Sinne dieses Gesetzbuches
ist die Erhebung, Verarbeitung oder Nutzung von
Sozialdaten, wenn sie unter Einsatz von Daten-
verarbeitungsanlagen durchgeführt wird (auto-
matisierte Verarbeitung). Eine nicht automatisierte
Datei ist jede nicht automatisierte Sammlung
von Sozialdaten, die gleichartig aufgebaut ist und
nach bestimmten Merkmalen zugänglich ist und
ausgewertet werden kann.“
b) Absatz 4 wird aufgehoben.
c) Absatz 6 Satz 2 Nr. 3 wird wie folgt geändert:
aa) Nach den Wörtern „an einen Dritten“ wird der
Klammerzusatz „(Empfänger)“ gestrichen.
bb) In Buchstabe a werden die Wörter „durch die
speichernde Stelle“ gestrichen und das Wort
„Empfänger“ durch das Wort „Dritten“ ersetzt.
cc) In Buchstabe b werden das Wort „Empfänger“
durch das Wort „Dritte“ ersetzt und die Wörter
„von der speichernden Stelle“ gestrichen.
d) In Absatz 7 wird das Wort „speichernden“ durch
das Wort „verantwortlichen“ ersetzt.
e) Nach Absatz 8 wird folgender Absatz 8a eingefügt:
„(8a) Pseudonymisieren ist das Ersetzen des
Namens und anderer Identifikationsmerkmale
durch ein Kennzeichen zu dem Zweck, die Be-
stimmung des Betroffenen auszuschließen oder
wesentlich zu erschweren.“
f) Absatz 9 wird wie folgt geändert:
aa) Die Sätze 1 und 2 werden wie folgt gefasst:
„Verantwortliche Stelle ist jede Person oder
Stelle, die Sozialdaten für sich selbst erhebt,
verarbeitet oder nutzt oder dies durch andere
im Auftrag vornehmen lässt. Werden Sozial-
daten von einem Leistungsträger im Sinne von
§ 12 des Ersten Buches erhoben, verarbeitet
oder genutzt, ist verantwortliche Stelle der
Leistungsträger.“
bb) In Satz 3 wird das Wort „speichernde“ durch
das Wort „verantwortliche“ ersetzt.
g) Absatz 10 wird wie folgt gefasst:
„(10) Empfänger ist jede Person oder Stelle, die
Sozialdaten erhält. Dritter ist jede Person oder
Stelle außerhalb der verantwortlichen Stelle.
Dritte sind nicht der Betroffene sowie diejenigen
Personen und Stellen, die im Inland, in einem
anderen Mitgliedstaat der Europäischen Union
oder in einem anderen Vertragsstaat des Ab-
kommens über den Europäischen Wirtschafts-
raum Sozialdaten im Auftrag erheben, verarbeiten
oder nutzen.“
h) Nach Absatz 11 wird folgender Absatz 12 angefügt:
„(12) Besondere Arten personenbezogener Daten
sind Angaben über die rassische und ethnische
Herkunft, politische Meinungen, religiöse oder
philosophische Überzeugungen, Gewerkschafts-
zugehörigkeit, Gesundheit oder Sexualleben.“
2. § 67a wird wie folgt geändert:
a) Dem Absatz 1 werden folgende Sätze angefügt:
„Dies gilt auch für besondere Arten personen-
bezogener Daten (§ 67 Abs. 12). Angaben über die
rassische Herkunft dürfen ohne Einwilligung des
Betroffenen, die sich ausdrücklich auf diese Daten
beziehen muss, nicht erhoben werden. Ist die
Einwilligung des Betroffenen durch Gesetz vor-
gesehen, hat sie sich ausdrücklich auf besondere
Arten personenbezogener Daten (§ 67 Abs. 12) zu
beziehen.“
b) Absatz 3 wird wie folgt gefasst:
„(3) Werden Sozialdaten beim Betroffenen er-
hoben, ist er, sofern er nicht bereits auf andere
Weise Kenntnis erlangt hat, über die Zweckbe-
stimmungen der Erhebung, Verarbeitung oder Nut-
zung und die Identität der verantwortlichen Stelle
zu unterrichten. Über Kategorien von Empfängern
ist der Betroffene nur zu unterrichten, soweit
1. er nach den Umständen des Einzelfalles nicht
mit der Nutzung oder der Übermittlung an diese
rechnen muss,
2. es sich nicht um eine Verarbeitung oder Nut-
zung innerhalb einer in § 35 des Ersten Buches
genannten Stelle oder einer Organisations-
einheit im Sinne von § 67 Abs. 9 Satz 3 handelt
oder
3. es sich nicht um eine Kategorie von in § 35
des Ersten Buches genannten Stellen oder
von Organisationseinheiten im Sinne von § 67
Abs. 9 Satz 3 handelt, die auf Grund eines
Gesetzes zur engen Zusammenarbeit ver-
pflichtet sind.
Werden Sozialdaten beim Betroffenen auf Grund
einer Rechtsvorschrift erhoben, die zur Auskunft
verpflichtet, oder ist die Erteilung der Auskunft
Voraussetzung für die Gewährung von Rechts-
vorteilen, ist der Betroffene hierauf sowie auf die
Rechtsvorschrift, die zur Auskunft verpflichtet, und
die Folgen der Verweigerung von Angaben, sonst
auf die Freiwilligkeit seiner Angaben hinzuweisen.“
c) Nach Absatz 4 wird folgender Absatz 5 angefügt:
„(5) Werden Sozialdaten weder beim Betroffe-
nen noch bei einer in § 35 des Ersten Buches
genannten Stelle erhoben und hat der Betroffene
davon keine Kenntnis, ist er von der Speicherung,
der Identität der verantwortlichen Stelle sowie
über die Zweckbestimmungen der Erhebung,
Verarbeitung oder Nutzung zu unterrichten. Eine
Pflicht zur Unterrichtung besteht nicht, wenn
1. der Betroffene bereits auf andere Weise Kennt-
nis von der Speicherung oder der Übermittlung
erlangt hat,
2. die Unterrichtung des Betroffenen einen un-
verhältnismäßigen Aufwand erfordert oder
3. die Speicherung oder Übermittlung der Sozial-
daten auf Grund eines Gesetzes ausdrücklich
vorgesehen ist.
Über Kategorien von Empfängern ist der Betrof-
fene nur zu unterrichten, soweit
1. er nach den Umständen des Einzelfalles nicht
mit der Nutzung oder der Übermittlung an diese
rechnen muss,
2. es sich nicht um eine Verarbeitung oder Nut-
zung innerhalb einer in § 35 des Ersten Buches
genannten Stelle oder einer Organisationsein-
heit im Sinne von § 67 Abs. 9 Satz 3 handelt
oder
3. es sich nicht um eine Kategorie von in § 35
des Ersten Buches genannten Stellen oder
von Organisationseinheiten im Sinne von § 67
Abs. 9 Satz 3 handelt, die auf Grund eines
Gesetzes zur engen Zusammenarbeit ver-
pflichtet sind.
Sofern eine Übermittlung vorgesehen ist, hat die
Unterrichtung spätestens bei der ersten Über-
mittlung zu erfolgen. Die verantwortliche Stelle legt
schriftlich fest, unter welchen Voraussetzungen
von einer Unterrichtung nach Satz 2 Nr. 2 und 3
abgesehen wird. § 83 Abs. 2 bis 4 gilt ent-
sprechend.“
3. § 67b wird wie folgt geändert:
a) Dem Absatz 1 wird folgender Satz angefügt:
㤠67a Abs. 1 Satz 2 bis 4 gilt entsprechend mit
der Maßgabe, dass die Übermittlung ohne Ein-
willigung des Betroffenen nur insoweit zulässig
ist, als es sich um Daten über die Gesundheit oder
das Sexualleben handelt oder die Übermittlung
zwischen Trägern der gesetzlichen Rentenver-
sicherung oder zwischen Trägern der gesetzlichen
Rentenversicherung und deren Verbänden und
Arbeitsgemeinschaften zur Erfüllung einer gesetz-
lichen Aufgabe erforderlich ist.“
b) Absatz 2 wird wie folgt geändert:
aa) In Satz 1 werden die Wörter „Speicherung
und einer vorgesehenen Übermittlung“ durch
die Wörter „vorgesehenen Verarbeitung oder
Nutzung“ ersetzt.
bb) Folgender Satz 2 wird eingefügt:
„Die Einwilligung des Betroffenen ist nur wirk-
sam, wenn sie auf dessen freier Entscheidung
beruht.“
c) In Absatz 3 Satz 1 wird die Angabe „Satz 2“ durch
die Angabe „Satz 3“ ersetzt.
d) Nach Absatz 3 wird folgender Absatz 4 angefügt:
„(4) Entscheidungen, die für den Betroffenen
eine rechtliche Folge nach sich ziehen oder ihn
erheblich beeinträchtigen, dürfen nicht aus-
schließlich auf eine automatisierte Verarbeitung
von Sozialdaten gestützt werden, die der Bewer-
tung einzelner Persönlichkeitsmerkmale dient.“
4. § 67c wird wie folgt geändert:
a) In Absatz 1 Satz 1 wird das Wort „speichernden“
durch das Wort „verantwortlichen“ ersetzt.
b) In Absatz 3 Satz 1 und 2 wird jeweils das Wort
„speichernde“ durch das Wort „verantwortliche“
ersetzt.
5. § 67d wird wie folgt geändert:
a) In Absatz 2 Satz 2 werden die Wörter „des Emp-
fängers“ durch die Wörter „des Dritten, an den die
Daten übermittelt werden“ ersetzt.
b) In Absatz 3 werden die Wörter „in Akten“ ge-
strichen.
6. In § 69 Abs. 1 Nr. 1 werden die Wörter „des Empfän-
gers“ durch die Wörter „des Dritten, an den die Daten
übermittelt werden“ ersetzt.
7. § 75 wird wie folgt geändert:
a) In Absatz 2 Satz 3 Nr. 1 wird das Wort „Empfän-
ger“ durch die Wörter „Dritten, an den die Daten
übermittelt werden“ ersetzt.
b) Absatz 4 wird wie folgt gefasst:
„(4) Ist der Dritte, an den Daten übermittelt
werden, eine nicht öffentliche Stelle, gilt § 38 des
Bundesdatenschutzgesetzes mit der Maßgabe,
dass die Kontrolle auch erfolgen kann, wenn die
Daten nicht automatisiert oder nicht in nicht
automatisierten Dateien verarbeitet oder genutzt
werden.“
8. In § 76 Abs. 2 Nr. 1 wird das Wort „speichernden“
durch das Wort „verantwortlichen“ ersetzt.
9. § 77 wird wie folgt gefasst:
㤠77
Übermittlung ins Ausland und
an über- oder zwischenstaatliche Stellen
(1) Die Übermittlung von Sozialdaten an Personen
oder Stellen in anderen Mitgliedstaaten der Euro-
päischen Union oder in anderen Vertragsstaaten des
Abkommens über den Europäischen Wirtschaftsraum
oder an Stellen der Organe und Einrichtungen der
Europäischen Gemeinschaften ist zulässig, soweit
1. dies für die Erfüllung einer gesetzlichen Aufgabe
der in § 35 des Ersten Buches genannten über-
mittelnden Stelle nach diesem Gesetzbuch oder
zur Erfüllung einer solchen Aufgabe von aus-
ländischen Stellen erforderlich ist, soweit diese
Aufgaben wahrnehmen, die denen der in § 35
des Ersten Buches genannten Stellen ent-
sprechen,
2. die Voraussetzungen des § 69 Abs. 1 Nr. 3 oder
des § 70 oder einer Übermittlungsvorschrift nach
dem Dritten Buch oder dem Arbeitnehmerüber-
lassungsgesetz vorliegen und die Aufgaben der
ausländischen Stelle den in diesen Vorschriften
genannten entsprechen oder
3. die Voraussetzungen des § 74 vorliegen und die
gerichtlich geltend gemachten Ansprüche oder die
Rechte des Empfängers den in dieser Vorschrift
genannten entsprechen.
(2) Absatz 1 gilt entsprechend für die Übermittlung
an Personen oder Stellen in einem Drittstaat sowie an
über- oder zwischenstaatliche Stellen, wenn der Dritt-
staat oder die über- oder zwischenstaatliche Stelle ein
angemessenes Datenschutzniveau gewährleistet. Die
Angemessenheit des Datenschutzniveaus wird unter
Berücksichtigung aller Umstände beurteilt, die bei
einer Datenübermittlung oder einer Kategorie von
Datenübermittlungen von Bedeutung sind; insbeson-
dere können die Art der Sozialdaten, die Zweck-
bestimmung, die Dauer der geplanten Verarbeitung,
das Herkunfts- und das Endbestimmungsland, die
für den betreffenden Empfänger geltenden Rechts-
normen sowie die für ihn geltenden Standesregeln
und Sicherheitsmaßnahmen herangezogen werden.
Bis zur Feststellung der Kommission der Euro-
päischen Gemeinschaften entscheidet das Bundes-
versicherungsamt, ob ein angemessenes Daten-
schutzniveau gewährleistet ist.
(3) Eine Übermittlung von Sozialdaten an Per-
sonen oder Stellen im Ausland oder an über- oder
zwischenstaatliche Stellen ist auch zulässig, wenn
1. der Betroffene seine Einwilligung gegeben hat,
2. die Übermittlung in Anwendung zwischenstaat-
licher Übereinkommen auf dem Gebiet der sozia-
len Sicherheit erfolgt oder
3. die Voraussetzungen des § 69 Abs. 1 Nr. 2
oder des § 73 vorliegen, die Aufgaben der aus-
ländischen Stelle den in diesen Vorschriften
genannten entsprechen und der ausländische
Staat oder die über- oder zwischenstaatliche
Stelle ein angemessenes Datenschutzniveau (Ab-
satz 2) gewährleistet; für die Anordnung einer
Übermittlung nach § 73 ist ein Gericht im Inland
zuständig.
Die Übermittlung ist nur zulässig, soweit der Be-
troffene kein schutzwürdiges Interesse an dem
Ausschluss der Übermittlung hat.
(4) Gewährleistet der Drittstaat oder die über- oder
zwischenstaatliche Stelle ein angemessenes Daten-
schutzniveau (Absatz 2) nicht, ist die Übermittlung
von Sozialdaten an die Stelle im Drittstaat oder die
über- oder zwischenstaatliche Stelle auch zulässig,
soweit die Voraussetzungen des § 69 Abs. 1 Nr. 1
und 2, des § 70 oder einer Übermittlungsvorschrift
nach dem Dritten Buch oder dem Arbeitnehmerüber-
lassungsgesetz vorliegen und der Betroffene kein
schutzwürdiges Interesse an dem Ausschluss der
Übermittlung hat.
(5) Die Stelle, an die die Sozialdaten übermittelt
werden, ist auf den Zweck hinzuweisen, zu dessen
Erfüllung die Sozialdaten übermittelt werden.
(6) Das Bundesversicherungsamt unterrichtet das
Bundesministerium des Innern über Drittstaaten und
über- oder zwischenstaatliche Stellen, die kein an-
gemessenes Datenschutzniveau gewährleisten.“
10. § 78 wird wie folgt geändert:
a) In der Überschrift werden die Wörter „des Emp-
fängers“ durch die Wörter „eines Dritten, an den
Daten übermittelt werden“ ersetzt.
b) In Absatz 1 Satz 2 und 3 wird jeweils das Wort
„Empfänger“ durch das Wort „Dritten“ ersetzt.
11. In § 78a Satz 1 werden vor dem Wort „verarbeiten“ die
Angabe „erheben,“ und nach dem Wort „verarbeiten“
die Wörter „oder nutzen“ eingefügt.
12. Nach § 78a werden folgende §§ 78b und 78c ein-
gefügt:
㤠78b
Datenvermeidung und Datensparsamkeit
Gestaltung und Auswahl von Datenverarbeitungs-
systemen haben sich an dem Ziel auszurichten, keine
oder so wenig Sozialdaten wie möglich zu erheben, zu
verarbeiten oder zu nutzen. Insbesondere ist von den
Möglichkeiten der Anonymisierung und Pseudonymi-
sierung Gebrauch zu machen, soweit dies möglich ist
und der Aufwand in einem angemessenen Verhältnis
zu dem angestrebten Schutzzweck steht.
§ 78c
Datenschutzaudit
Zur Verbesserung des Datenschutzes und der
Datensicherheit können Anbieter von Datenverarbei-
tungssystemen und -programmen und datenverar-
beitende Stellen ihr Datenschutzkonzept sowie ihre
technischen Einrichtungen durch unabhängige und
zugelassene Gutachter prüfen und bewerten lassen
sowie das Ergebnis der Prüfung veröffentlichen. Die
näheren Anforderungen an die Prüfung und Bewer-
tung, das Verfahren sowie die Auswahl und Zulassung
der Gutachter werden durch besonderes Gesetz
geregelt. Die Sätze 1 und 2 gelten nicht für öffentliche
Stellen der Länder mit Ausnahme der Sozialversiche-
rungsträger und ihrer Verbände.“
13. § 79 wird wie folgt geändert:
a) In Absatz 2 Satz 2 Nr. 2 wird das Wort „Datenemp-
fänger“ durch die Wörter „Dritte, an die übermittelt
wird“ ersetzt.
b) In Absatz 4 Satz 1 wird das Wort „Empfänger“
durch die Wörter „Dritte, an den übermittelt wird“
ersetzt.
14. § 80 wird wie folgt geändert:
a) Die Überschrift wird wie folgt gefasst:
„Erhebung, Verarbeitung oder
Nutzung von Sozialdaten im Auftrag“.
b) In Absatz 1 Satz 1 wird nach dem Wort „Stellen“
die Angabe „erhoben,“ eingefügt.
c) Absatz 2 Satz 1 und 2 wird wie folgt gefasst:
„Eine Auftragserteilung für die Erhebung, Ver-
arbeitung oder Nutzung von Sozialdaten ist nur
zulässig, wenn der Datenschutz beim Auftrag-
nehmer nach der Art der zu erhebenden, zu ver-
arbeitenden oder zu nutzenden Daten den Anfor-
derungen genügt, die für den Auftraggeber gelten.
Der Auftrag ist schriftlich zu erteilen, wobei die
Datenerhebung, -verarbeitung oder -nutzung, die
technischen und organisatorischen Maßnahmen
und etwaige Unterauftragsverhältnisse festzulegen
sind.“
d) In Absatz 3 Satz 1 werden die Nummern 2 und 3
wie folgt gefasst:
„2. die Art der Daten, die im Auftrag erhoben, ver-
arbeitet oder genutzt werden sollen, und den
Kreis der Betroffenen,
3. die Aufgabe, zu deren Erfüllung die Erhebung,
Verarbeitung oder Nutzung der Daten im Auf-
trag erfolgen soll, sowie".
e) In Absatz 5 wird vor den Wörtern „Verarbeitung
oder Nutzung“ die Angabe „Erhebung,“ eingefügt.
f) In Absatz 6 Satz 1 wird die Angabe 㤠18 Abs. 2
und 3 und die §§ 24, 25, 26 Abs. 1 bis 4 des
Bundesdatenschutzgesetzes“ durch die Angabe
„§ 4g Abs. 2, § 18 Abs. 2 und die §§ 24 bis 26 des
Bundesdatenschutzgesetzes“ ersetzt.
g) Nach Absatz 6 wird folgender Absatz 7 angefügt:
„(7) Die Absätze 1, 2, 4 und 6 gelten ent-
sprechend, wenn die Prüfung oder Wartung
automatisierter Verfahren oder von Datenverar-
beitungsanlagen durch andere Stellen im Auftrag
vorgenommen wird und dabei ein Zugriff auf
Sozialdaten nicht ausgeschlossen werden kann.
Verträge über Wartungsarbeiten sind in diesem
Falle rechtzeitig vor der Auftragserteilung der
Aufsichtsbehörde mitzuteilen; sind Störungen
im Betriebsablauf zu erwarten oder bereits ein-
getreten, ist der Vertrag unverzüglich mitzuteilen.“
15. § 81 wird wie folgt geändert:
a) Absatz 2 Satz 1 wird wie folgt gefasst:
„Bei der Wahrnehmung von Aufgaben nach die-
sem Gesetzbuch gelten für die in § 35 des Ersten
Buches genannten Stellen die §§ 24 bis 26 des
Bundesdatenschutzgesetzes.“
b) Absatz 4 wird wie folgt gefasst:
„(4) Auf die in § 35 des Ersten Buches genannten
Stellen und die Vermittlungsstellen nach § 67d
Abs. 4 sind die §§ 4f, 4g mit Ausnahme des Ab-
satzes 1 Satz 3 sowie § 18 Abs. 2 des Bundes-
datenschutzgesetzes entsprechend anzuwenden.
In räumlich getrennten Organisationseinheiten
ist sicherzustellen, dass der Beauftragte für den
Datenschutz bei der Erfüllung seiner Aufgaben
unterstützt wird. Die Sätze 1 und 2 gelten nicht für
öffentliche Stellen der Länder mit Ausnahme der
Sozialversicherungsträger und ihrer Verbände.
Absatz 2 Satz 2 und 3 gilt entsprechend.“
16. § 82 wird wie folgt gefasst:
㤠82
Schadensersatz
Fügt eine in § 35 des Ersten Buches genannte
Stelle dem Betroffenen durch eine nach diesem
Gesetzbuch oder nach anderen Vorschriften über den
Datenschutz unzulässige oder unrichtige Erhebung,
Verarbeitung oder Nutzung seiner personenbezoge-
nen Sozialdaten einen Schaden zu, ist § 7 des Bun-
desdatenschutzgesetzes entsprechend anzuwenden.
Für den Ersatz des Schadens bei unzulässiger oder
unrichtiger automatisierter Erhebung, Verarbeitung
oder Nutzung von personenbezogenen Sozialdaten
gilt auch § 8 des Bundesdatenschutzgesetzes ent-
sprechend.“
17. § 83 wird wie folgt geändert:
a) Absatz 1 wird wie folgt geändert:
aa) Satz 1 wird wie folgt gefasst:
„Dem Betroffenen ist auf Antrag Auskunft zu
erteilen über
1. die zu seiner Person gespeicherten
Sozialdaten, auch soweit sie sich auf die
Herkunft dieser Daten beziehen,
2. die Empfänger oder Kategorien von
Empfängern, an die Daten weitergegeben
werden, und
3. den Zweck der Speicherung.“
bb) In Satz 3 werden die Wörter „in Akten“ durch
die Wörter „nicht automatisiert oder nicht in
nicht automatisierten Dateien“ ersetzt.
cc) In Satz 4 wird das Wort „speichernde“ durch
das Wort „verantwortliche“ ersetzt.
b) Absatz 2 wird wie folgt gefasst:
„(2) Für Sozialdaten, die nur deshalb gespeichert
sind, weil sie auf Grund gesetzlicher, satzungs-
mäßiger oder vertraglicher Aufbewahrungsvor-
schriften nicht gelöscht werden dürfen, oder die
ausschließlich Zwecken der Datensicherung oder
der Datenschutzkontrolle dienen, gilt Absatz 1
nicht, wenn eine Auskunftserteilung einen un-
verhältnismäßigen Aufwand erfordern würde.“
c) In Absatz 4 Nr. 1 wird das Wort „speichernden“
durch das Wort „verantwortlichen“ ersetzt.
18. § 84 wird wie folgt geändert:
a) In der Überschrift wird nach dem Wort „Daten“ ein
Semikolon sowie das Wort „Widerspruchsrecht“
angefügt.
b) Absatz 1 Satz 2 wird wie folgt gefasst:
„Wird die Richtigkeit von Sozialdaten von dem
Betroffenen bestritten und lässt sich weder die
Richtigkeit noch die Unrichtigkeit der Daten fest-
stellen, bewirkt dies keine Sperrung, soweit es
um die Erfüllung sozialer Aufgaben geht; die
ungeklärte Sachlage ist in geeigneter Weise fest-
zuhalten.“
c) Nach Absatz 1 wird folgender Absatz 1a eingefügt:
„(1a) § 20 Abs. 5 des Bundesdatenschutz-
gesetzes gilt entsprechend.“
d) In Absatz 2 Satz 2 wird das Wort „speichernde“
durch das Wort „verantwortliche“ ersetzt.
e) In Absatz 4 Nr. 1 wird das Wort „speichernden“
durch das Wort „verantwortlichen“ ersetzt.
f) Absatz 5 wird wie folgt gefasst:
„(5) Von der Tatsache, dass Sozialdaten bestrit-
ten oder nicht mehr bestritten sind, von der Berich-
tigung unrichtiger Daten sowie der Löschung oder
Sperrung wegen Unzulässigkeit der Speicherung
sind die Stellen zu verständigen, denen im Rah-
men einer Datenübermittlung diese Daten zur
Speicherung weitergegeben worden sind, wenn
dies keinen unverhältnismäßigen Aufwand erfor-
dert und schutzwürdige Interessen des Betroffe-
nen nicht entgegenstehen.“
19. § 84a Abs. 2 wird wie folgt geändert:
a) Satz 1 wird wie folgt gefasst:
„Sind die Daten des Betroffenen automatisiert
oder in einer nicht automatisierten Datei ge-
speichert und sind mehrere Stellen speicherungs-
berechtigt, kann der Betroffene sich an jede dieser
Stellen wenden, wenn er nicht in der Lage ist fest-
zustellen, welche Stelle die Daten gespeichert
hat.“
b) In Satz 2 werden die Wörter „speichernde Stelle“
durch die Wörter „Stelle, die die Daten gespeichert
hat,“ ersetzt.
c) In Satz 3 werden die Wörter „die speichernde“
durch das Wort „jene“ ersetzt.
20. § 85 wird wie folgt gefasst:
㤠85
Bußgeldvorschriften
(1) Ordnungswidrig handelt, wer vorsätzlich oder
fahrlässig
1. entgegen § 78 Abs. 1 Satz 1 Sozialdaten verarbei-
tet oder nutzt, wenn die Handlung nicht nach
Absatz 2 Nr. 5 geahndet werden kann,
2. entgegen § 80 Abs. 4, auch in Verbindung mit
§ 67d Abs. 4 Satz 2, Sozialdaten anderweitig
verarbeitet, nutzt oder länger speichert oder
3. entgegen § 81 Abs. 4 Satz 1 dieses Gesetzes
in Verbindung mit § 4f Abs. 1 Satz 1 oder 2 des
Bundesdatenschutzgesetzes, diese jeweils auch
in Verbindung mit § 4f Abs. 1 Satz 3 und 6 des
Bundesdatenschutzgesetzes, einen Beauftragten
für den Datenschutz nicht oder nicht rechtzeitig
bestellt.
(2) Ordnungswidrig handelt, wer vorsätzlich oder
fahrlässig
1. unbefugt Sozialdaten, die nicht allgemein zu-
gänglich sind, erhebt oder verarbeitet,
2. unbefugt Sozialdaten, die nicht allgemein zu-
gänglich sind, zum Abruf mittels automatisierten
Verfahrens bereithält,
3. unbefugt Sozialdaten, die nicht allgemein zu-
gänglich sind, abruft oder sich oder einem anderen
aus automatisierten Verarbeitungen oder nicht
automatisierten Dateien verschafft,
4. die Übermittlung von Sozialdaten, die nicht allge-
mein zugänglich sind, durch unrichtige Angaben
erschleicht oder
5. entgegen § 67c Abs. 5 Satz 1 oder § 78 Abs. 1
Satz 1 Sozialdaten für andere Zwecke nutzt, indem
er sie an Dritte weitergibt.
(3) Die Ordnungswidrigkeit kann im Falle des Ab-
satzes 1 mit einer Geldbuße bis zu fünfzigtausend
Deutsche Mark, in den Fällen des Absatzes 2 mit einer
Geldbuße bis zu fünfhunderttausend Deutsche Mark
geahndet werden.“
21. § 85a wird wie folgt gefasst:
㤠85a
Strafvorschriften
(1) Wer eine in § 85 Abs. 2 bezeichnete vorsätz-
liche Handlung gegen Entgelt oder in der Absicht, sich
oder einen anderen zu bereichern oder einen anderen
zu schädigen, begeht, wird mit Freiheitsstrafe bis zu
zwei Jahren oder mit Geldstrafe bestraft.
(2) Die Tat wird nur auf Antrag verfolgt. Antrags-
berechtigt sind der Betroffene, die verantwortliche
Stelle, der Bundesbeauftragte für den Datenschutz
oder der zuständige Landesbeauftragte für den
Datenschutz.“
22. Dem § 120 wird folgender Absatz 4 angefügt:
„(4) Erhebungen, Verarbeitungen oder Nutzungen
von Sozialdaten, die am 23. Mai 2001 bereits be-
gonnen haben, sind binnen drei Jahren nach diesem
Zeitpunkt mit den Vorschriften dieses Gesetzes in
Übereinstimmung zu bringen.“
23. Die Anlage zu § 78a wird wie folgt gefasst:
„Anlage
(zu § 78a)
Werden Sozialdaten automatisiert verarbeitet oder
genutzt, ist die innerbehördliche oder innerbetrieb-
liche Organisation so zu gestalten, dass sie den be-
sonderen Anforderungen des Datenschutzes gerecht
wird. Dabei sind insbesondere Maßnahmen zu treffen,
die je nach der Art der zu schützenden Sozialdaten
oder Kategorien von Sozialdaten geeignet sind,
1. Unbefugten den Zutritt zu Datenverarbeitungs-
anlagen, mit denen Sozialdaten verarbeitet oder
genutzt werden, zu verwehren (Zutrittskontrolle),
2. zu verhindern, dass Datenverarbeitungssysteme
von Unbefugten genutzt werden können (Zugangs-
kontrolle),
3. zu gewährleisten, dass die zur Benutzung eines
Datenverarbeitungssystems Berechtigten aus-
schließlich auf die ihrer Zugriffsberechtigung
unterliegenden Daten zugreifen können, und dass
Sozialdaten bei der Verarbeitung, Nutzung und
nach der Speicherung nicht unbefugt gelesen,
kopiert, verändert oder entfernt werden können
(Zugriffskontrolle),
4. zu gewährleisten, dass Sozialdaten bei der elek-
tronischen Übertragung oder während ihres
Transports oder ihrer Speicherung auf Datenträger
nicht unbefugt gelesen, kopiert, verändert oder
entfernt werden können, und dass überprüft und
festgestellt werden kann, an welche Stellen eine
Übermittlung von Sozialdaten durch Einrichtungen
zur Datenübertragung vorgesehen ist (Weiter-
gabekontrolle),
5. zu gewährleisten, dass nachträglich überprüft und
festgestellt werden kann, ob und von wem Sozial-
daten in Datenverarbeitungssysteme eingegeben,
verändert oder entfernt worden sind (Eingabe-
kontrolle),
6. zu gewährleisten, dass Sozialdaten, die im Auftrag
erhoben, verarbeitet oder genutzt werden, nur
entsprechend den Weisungen des Auftraggebers
erhoben, verarbeitet oder genutzt werden können
(Auftragskontrolle),
7. zu gewährleisten, dass Sozialdaten gegen zu-
fällige Zerstörung oder Verlust geschützt sind
(Verfügbarkeitskontrolle),
8. zu gewährleisten, dass zu unterschiedlichen
Zwecken erhobene Sozialdaten getrennt ver-
arbeitet werden können.“
§3
Änderung
des Zehnten Buches Sozialgesetzbuch
zur Umstellung auf Euro
In § 85 Abs. 3 des Zehnten Buches Sozialgesetz-
buch – Sozialverwaltungsverfahren und Sozialdaten-
schutz – in der Fassung der Bekanntmachung vom
18. Januar 2001 (BGBl. I S. 130), das zuletzt durch
Artikel 8 § 2 dieses Gesetzes geändert worden
ist, werden die Wörter „fünfzigtausend Deutsche
Mark“ durch die Wörter „fünfundzwanzigtausend
Euro“ und die Wörter „fünfhunderttausend Deutsche
Mark“ durch die Wörter „zweihundertfünfzigtausend
Euro“ ersetzt.
§4
Änderung
des 4. Euro-Einführungsgesetzes
Artikel 11 Nr. 5 des 4. Euro-Einführungsgesetzes vom
21. Dezember 2000 (BGBl. I S. 1983) wird aufgehoben.
Artikel 8a
Änderung des Finanzverwaltungsgesetzes
In § 5a Abs. 5 des Finanzverwaltungsgesetzes in der
Fassung der Bekanntmachung vom 30. August 1971
(BGBl. I S. 1426, 1427), das zuletzt durch Artikel 7 des
Gesetzes vom 20. Dezember 2000 (BGBl. I S. 1850)
geändert worden ist, wird die Angabe „§ 20 Abs. 7“ durch
die Angabe „§ 20 Abs. 8“ ersetzt.
Artikel 8b
Änderung des Postgesetzes
In § 41 Abs. 1 Satz 4 des Postgesetzes vom 22. De-
zember 1997 (BGBl. I S. 3294) wird die Angabe 㤠20
Abs. 1 bis 7“ durch die Angabe „§ 20 Abs. 1 bis 4 und
6 bis 8“ ersetzt.
Artikel 8c
Änderung des Soldatengesetzes
In § 29 Abs. 4 Satz 4 des Soldatengesetzes in der
Fassung der Bekanntmachung vom 14. Februar 2001
(BGBl. I S. 232, 478) wird die Angabe „§ 40 Abs. 3“ durch
die Angabe „§ 40 Abs. 2“ ersetzt.
Artikel 8d
Änderung des Wehrpflichtgesetzes
In § 25 Abs. 4 Satz 4 des Wehrpflichtgesetzes in der
Fassung der Bekanntmachung vom 15. Dezember 1995
(BGBl. I S. 1756), das durch Artikel 6 Abs. 7 des Gesetzes
vom 25. März 1997 (BGBl. I S. 726) geändert worden
ist, wird die Angabe „§ 40 Abs. 3“ durch die Angabe
„§ 40 Abs. 2“ ersetzt.
Artikel 8e
Änderung der Strafprozessordnung
In § 486 Abs. 2 der Strafprozessordnung in der
Fassung der Bekanntmachung vom 7. April 1987 (BGBl. I
S. 1074, 1319), die zuletzt durch Artikel 3 § 18 des
Gesetzes vom 16. Februar 2001 (BGBl. I S. 266) geändert
worden ist, wird die Angabe „§ 7“ durch die Angabe „§ 8“
ersetzt.
Artikel 8f
Änderung des Strafvollzugsgesetzes
Das Strafvollzugsgesetz vom 16. März 1976 (BGBl. I
S. 581, 2088, 1977 I S. 436), zuletzt geändert durch
Artikel 1 des Gesetzes vom 27. Dezember 2000 (BGBl. I
S. 2043), wird wie folgt geändert:
1. In § 179 Abs. 2 Satz 2 wird die Angabe „§ 13 Abs. 2
bis 4“ durch die Angabe „§ 4 Abs. 2 und 3 und § 13
Abs. 1a“ ersetzt.
2. In § 184 Abs. 5 wird die Angabe „§ 20 Abs. 1 bis 7“
durch die Angabe „§ 20 Abs. 1 bis 4 und 6 bis 8“
ersetzt.
928 Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu
Herausgeber: Bundesministerium der Justiz – Verlag: Bundesanzeiger Verlags-
ges.mbH. – Druck: Bundesdruckerei GmbH, Zweigniederlassung Bonn.
Bundesgesetzblatt Teil I enthält Gesetze sowie Verordnungen und sonstige Be-
kanntmachungen von wesentlicher Bedeutung, soweit sie nicht im Bundesgesetz-
blatt Teil II zu veröffentlichen sind.
Bundesgesetzblatt Teil II enthält
a) völkerrechtliche Übereinkünfte und die zu ihrer Inkraftsetzung oder Durch-
setzung erlassenen Rechtsvorschriften sowie damit zusammenhängende
Bekanntmachungen,
b) Zolltarifvorschriften.
Laufender Bezug nur im Verlagsabonnement. Postanschrift für Abonnements-
bestellungen sowie Bestellungen bereits erschienener Ausgaben:
Bundesanzeiger Verlagsges.mbH., Postfach 13 20, 53003 Bonn
Telefon: (02 28) 3 82 08-0, Telefax: (02 28) 3 82 08-36
Internet: www.bundesgesetzblatt.de bzw. www.bgbl.de
Bezugspreis für Teil I und Teil II halbjährlich je 88,00 DM. Einzelstücke je angefan-
gene 16 Seiten 2,80 DM zuzüglich Versandkosten. Dieser Preis gilt auch für
Bundesgesetzblätter, die vor dem 1. Januar 2001 ausgegeben worden sind.
Lieferung gegen Voreinsendung des Betrages auf das Konto der Bundesanzeiger
Verlagsges.mbH. (Kto.Nr. 399-509) bei der Postbank Köln (BLZ 370 100 50) oder
gegen Vorausrechnung.
Preis dieser Ausgabe: 7,40 DM (5,60 DM zuzüglich 1,80 DM Versandkosten),
bei Lieferung gegen Vorausrechnung 8,50 DM.
Im Bezugspreis ist die Mehrwertsteuer enthalten; der angewandte Steuersatz
beträgt 7%.
ISSN 0341-1095
3. In § 187 Satz 1 werden
a) die Angabe „(§ 4 Abs. 2 und 3)“ durch die Angabe
„(§ 4a Abs. 1 und 2)“ und
b) die Angabe „(§ 18 Abs. 2 und 3)“ durch die Angabe
„(§ 18 Abs. 2)“ ersetzt.
Artikel 8g
Änderung des Zollverwaltungsgesetzes
In § 28 Abs. 3 Satz 2 des Zollverwaltungsgesetzes vom
21. Dezember 1992 (BGBl. I S. 2125, 1993 I S. 2493),
das zuletzt durch Artikel 4 des Gesetzes vom 26. Mai 1998
(BGBl. I S. 1121) geändert worden ist, wird die Angabe
„§§ 15 bis 17“ durch die Angabe „§§ 4b, 4c, 15 und 16“
ersetzt.
Bonn am 22. Mai 2001
Bundesanzeiger Verlagsges.mbH. · Postfach 13 20 · 53003 Bonn
Postvertriebsstück · Deutsche Post AG · G 5702 · Entgelt bezahlt
Artikel 8h
Neufassung des Bundesdatenschutzgesetzes
Das Bundesministerium des Innern kann den Wortlaut
des Bundesdatenschutzgesetzes in der vom Inkrafttreten
dieses Gesetzes an geltenden Fassung im Bundesgesetz-
blatt bekannt machen.
Artikel 9
Inkrafttreten
(1) Dieses Gesetz tritt am Tage nach der Verkündung
in Kraft, soweit in Absatz 2 nichts Abweichendes
bestimmt ist.
(2) Artikel 8 § 3 tritt am 1. Januar 2002 in Kraft.
Das vorstehende Gesetz wird hiermit ausgefertigt und
wird im Bundesgesetzblatt verkündet.
Berlin, den 18. Mai 2001
Der Bundespräsident
Johannes Rau
Der Bundeskanzler
Gerhard Schröder
Der Bundesminister des Innern
Schily
Die Bundesministerin der Justiz
Däubler-Gmelin
Der Bundesminister
für Arbeit und Sozialordnung
Walter Riester
Herkunft dieses Textes
Quelle: Bundesgesetzblatt, BGBl. 2001 I S. 904. Gesetze, Verordnungen und amtliche Bekanntmachungen sind amtliche Werke (§ 5 Abs. 1 UrhG) und genießen keinen Urheberrechtsschutz. Der Text ist unverändert wiedergegeben (§ 62 UrhG); Herkunft und Prüfwerte stehen hier (§ 63 UrhG).
Ableitung: issue-pdf-decol ·
Prüfwert des Textes 95027e15e42f36a4….