Erster Abschnitt
Allgemeine Bestimmungen
1 Zweck
2 Geltungsbereich
3 Begriffsbestimmungen
4 Verarbeitung personenbezogener Daten im Auftrag
5 Zulässigkeit der Datenverarbeitung, Einwilligung
6 Rechte der Betroffenen
7 Automatisiertes Übermittlungsverfahren
8 Datengeheimnis
9 Technische und organisatorische Maßnahmen
10 Durchführung des Datenschutzes, Verzeichnisse
11 Behördlicher Datenschutzbeauftragter
Zweiter Abschnitt
Rechtsgrundlagen der Datenverarbeitung
12 Erhebung
13 Speicherung und Nutzung
14 Datenübermittlung an öffentliche Stellen
15 Datenübermittlung an Stellen der öffentlich-rechtlichen Religionsgesellschaften
16 Datenübermittlung an nicht-öffentliche Stellen
17 Datenübermittlung an ausländische, über- und zwischenstaatliche Stellen
Dritter Abschnitt
Rechte der Betroffenen
18 Auskunft
19 Berichtigung, Sperrung und Löschung
20 Unterlassungs- und Beseitigungsanspruch
21 Schadensersatz
Vierter Abschnitt
Landesbeauftragter für den Datenschutz
22 Wahl und Amtszeit
23 Rechtsstellung
24 Aufgaben des Landesbeauftragten für den Datenschutz
25 Beanstandungen durch den Landesbeauftragten für den Datenschutz
26 Kommission bei dem Landesbeauftragten für den Datenschutz
27 Anmeldepflicht, Datenschutzregister
28 Verpflichtungen der datenverarbeitenden Stellen
29 Anrufung des Landesbeauftragten für den Datenschutz, Berichtspflicht
Fünfter Abschnitt
Besonderer Datenschutz
30 Verarbeitung personenbezogener Daten durch Forschungseinrichtungen
31 Datenverarbeitung bei Dienst- und Arbeitsverhältnissen
32 Datenverarbeitung für Planungszwecke
33 Allgemeine Verwaltungstätigkeit
Sechster Abschnitt
Informationsrechte
34 Informationsrechte des Landtags und der kommunalen Gebietskörperschaften
Siebter Abschnitt
Strafbestimmungen
35 Strafbestimmungen
Achter Abschnitt
Übergangs- und Schlußbestimmungen
36 Verwaltungsvorschriften
37 Übergangsbestimmungen
38 Verweisungen und Bezeichnungen in anderen Vorschriften
39 Inkrafttreten
Der Landtag Rheinland-Pfalz hat das folgende Gesetz
beschlossen:
Erster Abschnitt
Allgemeine Bestimmungen
1. Zweck
(1) Zweck dieses Gesetzes ist es, das Recht einer jeden Person zu schützen, grundsätzlich selbst über die Preisgabe
und Verwendung ihrer personenbezogenen Daten zu bestimmen.
(2) Dieses Gesetz soll auch sicherstellen, daß die verfassungsmäßige Stellung des Landtags und der Landesregierung zueinander sowie die kommunale Selbstverwaltung und die Stellung ihrer Organe durch die automatisierte
Datenverarbeitung nicht beeinträchtigt werden.
2 . Geltungsbereich
(1) Dieses Gesetz gilt für die Verarbeitung personenbezogener Daten durch
1. die Behörden,
2. die Organe der Rechtspflege,
3. die sonstigen öffentlich-rechtlich organisierten Einrichtungen des Landes,
4. die kommunalen Gebietskörperschaften,
5. die sonstigen der Aufsicht des Landes unterstehenden juristischen Personen des öffentlichen Rechts und
6. die Vereinigungen der in den Nummern 1 bis 5 genannten Stellen ungeachtet ihrer Rechtsform (öffentliche Stellen). Als öffentliche Stellen gelten auch juristische Personen und sonstige Vereinigungen des privaten Rechts der in Satz 1 genannten öffentlichen Stellen, soweit diesen die absolute Mehrheit der Anteile gehört oder die absolute Mehrheit der Stimmen zusteht,
ungeachtet der Beteiligung nicht-öffentlicher Stellen. Nimmt eine nicht-öffentliche Stelle hoheitliche Aufgaben wahr, ist sie insoweit öffentliche Stelle im Sinne dieses Gesetzes.
(2) Der Landtag, seine Gremien, seine Mitglieder, die Fraktionen sowie deren Verwaltungen und deren Beschäftigte
unterliegen nicht den Bestimmungen dieses Gesetzes, soweit sie in Wahrnehmung parlamentarischer Aufgaben personenbezogene Daten verarbeiten. Der Landtag erläßt insoweit unter Berücksichtigung seiner verfassungsrechtlichen Stellung und der Grundsätze dieses Gesetzes eine Datenschutzordnung.
(3) Auf öffentliche Stellen, die als Unternehmen mit eigener Rechtspersönlichkeit am Wettbewerb teilnehmen und
deren Vereinigungen sind mit Ausnahme des 27 der Vierte Abschnitt sowie 31 anzuwenden. Im übrigen gelten für
diese Stellen die Bestimmungen des Bundesdatenschutzgesetzes (BDSG) mit Ausnahme des Zweiten Abschnitts
entsprechend.
(4) Für öffentlich-rechtliche Kreditinstitute gelten abweichend von Absatz 3 die Bestimmungen des Bundesdatenschutzgesetzes, die auf privatrechtliche Kreditinstitute anzuwenden sind. Die Aufgaben nach 38 BDSG
werden bei öffentlich-rechtlichen Kreditinstituten durch den Landesbeauftragten für den Datenschutz wahrge- nommen.
(5) Dieses Gesetz gilt nicht für personenbezogene Daten, solange diese in allgemein zugänglichen Quellen gespeichert sind, sowie für Daten der Betroffenen, die diese zur Veröffentlichung bestimmt haben.
(6) Werden personenbezogene Daten im Rahmen einer durch Rechtsvorschrift angeordneten statistischen Erhebung verarbeitet, sind nur 9 und der Vierte Abschnitt mit Ausnahme des 27 anzuwenden. Soweit eine Trennung der Hilfsmerkmale von den Erhebungsmerkmalen nach 12 Abs. 1 Satz 2 des Bundesstatistikgesetzes noch nicht erfolgt ist oder personenbezogene Daten in Adreßdateien nach 13 des Bundesstatistikgesetzes gespeichert sind, gilt außerdem 18.
(7) Soweit besondere Rechtsvorschriften des Bundes oder des Landes die Verarbeitung personenbezogener Daten regeln, gehen sie den Bestimmungen dieses Gesetzes vor. Die Verpflichtung zur Wahrung gesetzlicher Geheimhaltungspflichten oder von Berufsoder besonderen Amtsgeheimnissen, die nicht auf gesetzlichen Vorschriften beruhen, bleibt unberührt.
(8) Die Bestimmungen dieses Gesetzes gehen denen des Landesverwaltungsverfahrensgesetzes vor, soweit bei der
Ermittlung des Sachverhalts personenbezogene Daten verarbeitet werden.
3. Begriffsbestimmungen
(1) Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse bestimmter oder
bestimmbarer natürlicher Personen (Betroffene).
(2) Datenverarbeitung ist das Erheben, Speichern, Nutzen, Übermitteln, Sperren und Löschen personenbezogener Daten. Im einzelnen ist, ungeachtet der dabei angewendeten Verfahren,
1. Erheben das Beschaffen personenbezogener Daten,
2. Speichern das Erfassen, Aufnehmen oder Aufbewahren personenbezogener Daten auf einem Datenträger zum Zwecke ihrer weiteren Verwendung,
3. Nutzen jede sonstige Verwendung personenbezogener Daten innerhalb der datenverarbeitenden Stelle,
4. Übermitteln das Bekanntgeben oder sonstige Offenbaren personenbezogener Daten an Dritte, insbesondere in der Weise, daß
a) die Daten durch die datenverarbeitende Stelle weitergegeben werden oder
b) Dritte die zur Einsicht oder zum Abruf bereitgehaltenen Daten einsehen oder abrufen,
5. Sperren das Kennzeichnen personenbezogener Daten, um ihre weitere Verarbeitung einzuschränken,
6. Löschen das Unkenntlichmachen gespeicherter personenbezogener Daten.
(3) Datenverarbeitende Stelle ist jede öffentliche Stelle, die personenbezogene Daten für sich selbst verarbeitet oder
durch andere im Auftrag verarbeiten läßt.
(4) Dritte sind Personen oder Stellen außerhalb der datenverarbeitenden Stelle, ausgenommen die Betroffenen
sowie diejenigen Personen oder Stellen, die im Geltungsbereich dieses Gesetzes personenbezogene Daten im Auftrag der datenverarbeitenden Stelle verarbeiten.
(5) Eine Datei ist
1. eine Sammlung personenbezogener Daten, die durch automatisierte Verfahren personenbezogen ausgewertet
werden kann (automatisierte Datei), oder
2. eine gleichartig aufgebaute Sammlung personenbezogener Daten, die nach bestimmten Merkmalen personenbe-
zogen geordnet, umgeordnet und ausgewertet werden kann (nicht-automatisierte Datei).
(6) Eine Akte ist jede sonstige amtlichen oder dienstlichen Zwecken dienende Unterlage; dazu zählen auch Bild-
und Tonträger. Nicht hierunter fallen Vorentwürfe und Notizen, die nicht Bestandteil eines Vorgangs werden
sollen und alsbald vernichtet werden.
(7) Anonymisieren ist das Verändern personenbezogener Daten in der Weise, daß Einzelangaben über persönliche
oder sachliche Verhältnisse nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten
und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.
4. Verarbeitung personenbezogener Daten im Auftrag
(1) Werden personenbezogene Daten im Auftrag einer datenverarbeitenden Stelle durch andere Personen oder
Stellen verarbeitet, bleibt die auftraggebende Stelle für die Einhaltung der Bestimmungen dieses Gesetzes und
anderer Vorschriften über den Datenschutz verantwortlich. Die in 6 Abs. 1 Nr. 1 bis 4 genannten Rechte sind ihr
gegenüber geltend zu machen. Sofern die Bestimmungen dieses Gesetzes auf die auftragnehmende Person oder
Stelle keine Anwendung finden, ist die auftraggebende Stelle verpflichtet, sicherzustellen, daß die auftragnehmende Person oder Stelle die Bestimmungen dieses Gesetzes beachtet und sich der Kontrolle des Landesbeauftragten für den Datenschutz unterwirft.
(2) Die auftragnehmende Person oder Stelle ist unter besonderer Berücksichtigung der Eignung der von ihr
getroffenen technischen und organisatorischen Maßnahmen sorgfältig auszuwählen.
Der Auftrag ist unter Festlegung des Gegenstands und des Umfangs der Datenverarbeitung, der technischen und orga-
nisatorischen Maßnahmen und etwaiger Unterauftragsverhältnisse schriftlich zu erteilen. Für ergänzende Weisungen
gilt Satz 2 entsprechend. Der Auftrag kann auch durch die Fachaufsichtsbehörde mit Wirkung für die ihrer Aufsicht
unterliegenden öffentlichen Stellen des Landes erteilt werden; diese sind hiervon zu unterrichten.
(3) Die auftragnehmende Person oder Stelle darf die personenbezogenen Daten nur im Rahmen der Weisungen
der auftraggebenden Stelle verarbeiten. Ist sie der Ansicht, daß eine Weisung der auftraggebenden Stelle gegen
dieses Gesetz oder andere Vorschriften über den Datenschutz verstößt, hat sie diese unverzüglich darauf hinzu-
weisen.
(4) Ist die auftragnehmende Person oder Stelle eine öffentliche Stelle, gelten für sie neben Absatz 3 nur die 8,
9 und 35 sowie die Bestimmungen über die Datenschutzkontrolle. An nicht-öffentliche Stellen soll ein Auftrag nur
vergeben werden, wenn überwiegende schutzwürdige
Interessen, insbesondere Berufs- oder besondere Amtsgeheimnisse, nicht entgegenstehen.
(5) Die Absätze 1 bis 4 gelten auch für Personen und Stellen, die im Auftrag Hilfstätigkeiten bei der Datenverarbeitung erledigen.
5. Zulässigkeit der Datenverarbeitung, Einwilligung
(1) Die Verarbeitung personenbezogener Daten ist zulässig, soweit
1. die Betroffenen eingewilligt haben oder
2. dieses Gesetz oder eine andere Rechtsvorschrift sie erlaubt und die Verarbeitung nach Maßgabe der Bestimmungen
dieses Gesetzes erfolgt. 2 Abs. 7 Satz 1 bleibt unberührt.
(2) Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemes
sen ist. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist die Einwilligungserklärung im äußeren Erscheinungsbild der Erklärung hervorzuheben.
(3) Die Betroffenen sind in geeigneter Weise über die Bedeutung der Einwilligung, den Verwendungszweck der
Daten und den möglichen Empfängerkreis aufzuklären.
Dabei sind die Betroffenen unter Darlegung der Rechtsfolgen darauf hinzuweisen, daß sie die Einwilligung verweigern oder mit Wirkung für die Zukunft widerrufen können.
(4) Im Bereich der wissenschaftlichen Forschung liegen besondere Umstände im Sinne des Absatzes 2 Satz 1 auch
dann vor, wenn durch die Schriftform der bestimmte
Forschungszweck erheblich beeinträchtigt würde. In diesem Fall sind die Hinweise nach Absatz 3 und die Gründe,
aus denen sich die erhebliche Beeinträchtigung des bestimmten Forschungszweckes ergibt, schriftlich festzuhalten.
6. Rechte der Betroffenen
(1) Die Betroffenen haben nach Maßgabe dieses Gesetzes ein Recht auf
1. Auskunft über die zu ihrer Person gespeicherten Daten (18),
2. Berichtigung, Sperrung und Löschung der zu ihrer Person gespeicherten Daten (19),
3. Unterlassung und Beseitigung (20),
4. Schadensersatz (21),
5. Einsicht in das Datenschutzregister oder Auskunft aus diesem (27 Abs. 4) und
6. Anrufung des Landesbeauftragten für den Datenschutz (29 Abs. 1).
(2) Die Rechte der Betroffenen nach Absatz 1 können nicht durch Rechtsgeschäft ausgeschlossen oder beschränkt
werden. Vereinbarungen über die Höhe des eingetretenen
Schadens und seine Abwicklung bleiben unberührt.
(3) Sind die personenbezogenen Daten der Betroffenen in einer Datei gespeichert, bei der mehrere Stellen verarbeitungsberechtigt sind, und sind die Betroffenen nicht in der Lage, die datenverarbeitende Stelle festzustellen, so können
sie sich an jede dieser Stellen wenden. Diese ist verpflichtet, das Vorbringen der Betroffenen an die zuständige datenverarbeitende Stelle weiterzuleiten. Die Betroffenen sind über die Weiterleitung zu unterrichten.
7. Automatisiertes Übermittlungsverfahren
(1) Die Einrichtung eines automatisierten Verfahrens, das die Übermittlung personenbezogener Daten durch Abruf
ohne vorherige Prüfung des Einzelfalls durch die übermittelnde Stelle ermöglicht (automatisiertes Übermittlungsverfahren), ist zulässig, soweit dieses Verfahren unter Berücksichtigung der schutzwürdigen Belange der Betroffenen, des Schutzes besonderer Berufs- oder Amtsgeheimnisse und der Aufgaben der beteiligten öffentlichen Stellen angemessen ist. Die Bestimmungen über die Zulässigkeit der Übermittlung personenbezogener Daten durch Abruf im Einzelfall bleiben unberührt.
(2) Die beteiligten Stellen haben zu gewährleisten, daß die Zulässigkeit des automatisierten Übermittlungsverfahrens
kontrolliert werden kann. Hierzu haben sie schriftlich festzulegen:
1. den Anlaß und den Zweck des Übermittlungsverfahrens,
2. die Stellen, denen die Übermittlung personenbezogener Daten durch Abruf ermöglicht wird,
3. die Art der zu übermittelnden Daten sowie
4. die nach § 9 erforderlichen technischen und organisatorischen Maßnahmen.
Die erforderlichen Festlegungen können auch durch die Fachaufsichtsbehörde mit Wirkung für die ihrer Aufsicht
unterliegenden öffentlichen Stellen des Landes getroffen werden; diese sind hiervon zu unterrichten.
(3) Vor der Einrichtung eines automatisierten Übermittlungsverfahrens ist der Landesbeauftragte für den Datenschutz zu hören. Die Einrichtung eines automatisierten
Übermittlungsverfahrens, an dem öffentliche Stellen des Landes beteiligt sind, bedarf der Zustimmung der für die
übermittelnde und die abrufende Stelle jeweils zuständigen obersten Landesbehörde.
(4) Die Verantwortung für die Zulässigkeit der Übermittlung im Einzelfall trägt die abrufende Stelle. Die übermittelnde Stelle prüft die Zulässigkeit des Abrufs nur, wenn dazu Anlaß besteht. Die übermittelnde Stelle hat zu gewährleisten, daß die Zulässigkeit der Übermittlung personenbezogener Daten zumindest stichprobenweise überprüft werden kann.
(5) Die Absätze 1 bis 4 gelten entsprechend, wenn innerhalb einer öffentlichen Stelle ein automatisiertes Verfahren ein
gerichtet wird, das den Abruf personenbezogener Daten für einen anderen Zweck ermöglicht als den, für den sie gespeichert worden sind. Die Einrichtung des Verfahrens bedarf der Zulassung durch die Leitung der öffentlichen Stelle.
(6) Die Absätze 1 bis 5 gelten nicht für die Übermittlung personenbezogener Daten durch Abruf aus Datenbestän-
den, die allgemein zur Nutzung offenstehen oder deren Veröffentlichung zulässig wäre.
8. Datengeheimnis
(1) Den bei der datenverarbeitenden Stelle oder in deren Auftrag beschäftigten Personen, die dienstlichen Zugang zu
personenbezogenen Daten haben, ist es untersagt, diese Daten zu einem anderen als dem zur jeweiligen Aufgabenerfüllung gehörenden Zweck zu verarbeiten oder unbefugt zu offenbaren (Datengeheimnis). Das Datengeheimnis besteht auch nach Beendigung der Tätigkeit fort.
(2) Die in Absatz 1 Satz 1 genannten Personen sind bei der Aufnahme ihrer Tätigkeit über ihre Pflichten nach Absatzn1
sowie die sonstigen bei ihrer Tätigkeit zu beachtenden Vorschriften über den Datenschutz zu unterrichten und auf deren Einhaltung zu verpflichten.
9. Technische und organisatorische Maßnahmen
(1) Die öffentlichen Stellen haben die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind,
um die Ausführung der Bestimmungen dieses Gesetzes sowie anderer Vorschriften über den Datenschutz zu gewährleisten. Erforderlich sind Maßnahmen nur, wenn ihr Aufwand unter Berücksichtigung der Art der zu schützenden personenbezogenen Daten und ihrer Verwendung in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht.
(2) Werden personenbezogene Daten automatisiert verarbeitet, sind je nach Art der zu schützenden personenbezogenen Daten und unter Berücksichtigung des jeweiligen
Standes der Technik Maßnahmen zu treffen, die geeignet sind,
1. Unbefugten den Zugang zu Datenverarbeitungs anlagen zu verwehren (Zugangskontrolle),
2. zu verhindern, daß Datenträger unbefugt gelesen, kopiert, verändert, gelöscht oder entfernt werden können (Datenträgerkontrolle),
3. die unbefugte Speicherung sowie die unbefugte Kenntnisnahme, Veränderung oder Löschung gespeicherter
personenbezogener Daten zu verhindern (Speicherkontrolle),
4. zu verhindern, daß Datenverarbeitungssysteme mit Hilfe von Einrichtungen zur Datenübertragung von Unbefugten benutzt werden können (Benutzerkontrolle),
5. zu gewährleisten, daß die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten zugreifen können (Zugriffskontrolle),
6. zu gewährleisten, daß festgestellt werden kann, an wen welche personenbezogenen Daten durch Einrichtungen zur Datenübertragung übermittelt oder innerhalb einer datenverarbeitenden Stelle für einen anderen Zweck weitergegeben werden können und dieses ein schließlich des Zeitpunktes stichprobenweise über prüft werden kann (Übermittlungskontrolle),
7. zu gewährleisten, daß überprüft und festgestellt werden kann, welche personenbezogenen Daten zu welcher Zeit von wem in Datenverarbeitungssysteme eingegeben worden sind (Eingabekontrolle),
8. zu gewährleisten, daß personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen der auftraggebenden Stelle verarbeitet werden können (Auftragskontrolle),
9. zu gewährleisten, daß bei der Übertragung personenbezogener Daten sowie beim Transport von Datenträgern diese nicht unbefugt gelesen, kopiert, verändert, gelöscht oder entwendet werden können (Transportkontrolle), und
10. zu gewährleisten, daß die innerbehördliche oder innerbetriebliche Organisation den besonderen Anforderungen des Datenschutzes gerecht wird (Organisationskontrolle).
(3) Die Landesregierung wird ermächtigt, nach Anhörung des Landesbeauftragten für den Datenschutz die in Absatz 2 genannten Anforderungen nach dem jeweiligen Stand der Technik durch Rechtsverordnung fortzuschreiben.
(4) Werden personenbezogene Daten in nicht-automatisierten Dateien oder in Akten verarbeitet, sind insbesondere
Maßnahmen zu treffen, die verhindern, daß Unbefugte bei der Aufbewahrung, der Verarbeitung, dem Transport oder
der Vernichtung auf diese Daten zugreifen können.
(5) Die technischen und organisatorischen Maßnahmen nach den Absätzen 1, 2 und 4 sind durch Dienstanweisung
im einzelnen festzulegen. § 10 Abs. 2 Satz 2 Nr. 10 bleibt unberührt.
10. Durchführung des Datenschutzes, Verzeichnisse
(1) Die öffentlichen Stellen haben in ihrem Geschäftsbereich die Ausführung dieses Gesetzes sowie anderer
Rechtsvorschriften über den Datenschutz sicherzustellen.
(2) Die datenverarbeitenden Stellen sind verpflichtet, ein Verzeichnis der Verfahren zu führen, in denen personenbe-
zogene Daten automatisiert gespeichert werden. Für Verfahren ist in einer Verfahrensbeschreibung im einzelnen
festzulegen:
1. die Bezeichnung des Verfahrens,
2. die Rechtsgrundlage und der Zweck der Datenverarbeitung,
3. die Art der gespeicherten Daten,
4. der Kreis der Betroffenen,
5. die Herkunft regelmäßig übermittelter Daten,
6. die Art der für die regelmäßige Datenübermittlung vorgesehenen Daten und der mögliche Empfängerkreis,
7. die Fristen für die Sperrung und Löschung sowie deren Prüfung,
8. die zugriffsberechtigten Personengruppen oder Personen, die allein zugriffsberechtigt sind,
9. die Verarbeitung personenbezogener Daten im Auftrag sowie
10. die ergänzenden technischen und organisatorischen Maßnahmen nach 9.
Satz 2 Nr. 5 und 6 gilt auch für Daten, die innerhalb einer datenverarbeitenden Stelle für einen anderen Zweck weitergegeben werden. Die Sätze 1 bis 3 gelten nicht für Verfahren, die aus verarbeitungstechnischen Gründen für einen Zeitraum von nicht mehr als drei Monaten eingerichtet werden.
(3) Die datenverarbeitenden Stellen, die personenbezogene Daten automatisiert verarbeiten, sind verpflichtet, in einem
Geräteverzeichnis zu dokumentieren:
1. den Typ und die Art der Geräte,
2. die Herstellerfirma der Geräte,
3. den Standort der Geräte,
4. das eingesetzte Betriebssystem,
5. die Einrichtungen zur Datenfernverarbeitung und zur Datenübertragung sowie
6. die eingesetzten Programme.
Das Verzeichnis ist laufend auf dem neuesten Stand zu halten. Erfolgt die Verarbeitung personenbezogener Daten
im Auftrag, kann das Geräteverzeichnis bei der auftragnehmenden Person oder Stelle geführt werden.
(4) Die Gerichte und der Rechnungshof führen die Verzeichnisse nach den Absätzen 2 und 3 nur, soweit sie in Verwaltungsangelegenheiten tätig werden.
11. Behördlicher Datenschutzbeauftragter
(1) Öffentliche Stellen, bei denen mindestens zehn Beschäftigte regelmäßig personenbezogene Daten verarbeiten,
haben schriftlich einen behördlichen Datenschutzbeauftragten zu bestellen. Dieser ist insoweit unmittelbar der
Behördenleitung zu unterstellen. Bestellt werden darf nur, wer die zur Erfüllung seiner Aufgaben erforderliche Fachkunde und Zuverlässigkeit besitzt. Der behördliche Datenschutzbeauftragte ist bei Anwendung seiner Fachkunde auf dem Gebiet des Datenschutzes weisungsfrei und darf wegen der Erfüllung seiner Aufgaben nicht benachteiligt werden.
(2) Der behördliche Datenschutzbeauftragte ist zur Verschwiegenheit über die Identität der Betroffenen verpflichtet.
(3) Der behördliche Datenschutzbeauftragte hat die Aufgabe, die öffentlichen Stellen bei der Ausführung dieses
Gesetzes sowie anderer Vorschriften über den Datenschutz zu unterstützen. Zu seinen Aufgaben gehört es insbesondere
1. auf die Einhaltung der Datenschutzvorschriften bei der Einführung und Anwendung von Verfahren, in denen
personenbezogene Daten automatisiert verarbeitet werden, hinzuwirken; zu diesem Zweck ist er über Vorhaben der automatisierten Verarbeitung personenbezogener Daten rechtzeitig zu unterrichten,
2. die bei der Verarbeitung personenbezogener Daten tätigen Personen durch geeignete Maßnahmen mit den Bestimmungen dieses Gesetzes sowie den sonstigen Vorschriften über den Datenschutz vertraut zu machen,
3. die öffentlichen Stellen bei der Umsetzung der nach den 9, 10 und 27 erforderlichen Maßnahmen zu unterstützen sowie
4. Hinweise zur Einhaltung der sonstigen Bestimmungen dieses Gesetzes und anderer Vorschriften über den Datenschutz zu geben.
(4) Soweit die Voraussetzungen für die Bestellung eines behördlichen Datenschutzbeauftragten nach Absatz 1
Satz 1 nicht vorliegen, haben die öffentlichen Stellen die Anforderungen des Absatzes 3 in anderer Weise sicherzustellen.
(5) Für die Gerichte und den Rechnungshof gelten die Absätze 1 bis 4 nur, soweit sie in Verwaltungsangelegenheiten
tätig werden.
Zweiter Abschnitt
Rechtsgrundlagen der Datenverarbeitung
12. Erhebung
(1) Das Erheben personenbezogener Daten ist zulässig, wenn ihre Kenntnis zur rechtmäßigen Erfüllung der Aufgaben der erhebenden Stelle erforderlich ist.
(2) Personenbezogene Daten sind grundsätzlich bei den Betroffenen durch Befragen zu erheben. Dabei ist ihnen
gegenüber der Erhebungszweck anzugeben. Werden die personenbezogenen Daten auf Grund einer Rechtsvorschrift erhoben, die zur Auskunft verpflichtet, oder ist die Erteilung der Auskunft Voraussetzung für die Gewährung von Rechtsvorteilen, sind die Betroffenen hierauf, sonst auf die Freiwilligkeit ihrer Angaben hinzuweisen. Sind die Angaben für die Gewährung einer Leistung erforderlich, sind die Betroffenen über die möglichen Folgen einer Nichtbeantwortung aufzuklären.
(3) Personenbezogene Daten dürfen bei den Betroffenen ohne deren Mitwirkung erhoben werden, wenn
1. eine Rechtsvorschrift dies vorsieht oder zwingend vor aussetzt oder
2. die zu erfüllende Aufgabe ihrer Art nach eine solche Erhebung erforderlich macht und keine Anhaltspunkte
vorliegen, daß ihr überwiegende schutzwürdige Interessen der Betroffenen entgegenstehen.
(4) Eine Erhebung personenbezogener Daten bei Dritten ist nur zulässig, wenn
1. eine Rechtsvorschrift dies vorsieht oder zwingend vor aussetzt,
2. die Betroffenen eingewilligt haben,
3. Angaben der Betroffenen überprüft werden müssen, weil tatsächliche Anhaltspunkte für deren Unrichtigkeit bestehen,
4. dies zur Abwehr erheblicher Nachteile für das Gemein wohl oder einer sonst unmittelbar drohenden Gefahr für
die öffentliche Sicherheit erforderlich ist,
5. dies zur Abwehr einer schwerwiegenden Beeinträchtigung der Rechte einer anderen Person erforderlich ist,
6. offensichtlich ist, daß dies im Interesse der Betroffenen liegt, und kein Grund zu der Annahme besteht, daß sie in
Kenntnis des Zwecks ihre Einwilligung verweigern würden,
7. die Betroffenen einer durch Rechtsvorschrift festgelegten Auskunftspflicht nicht nachgekommen und über die
beabsichtigte Erhebung bei Dritten unterrichtet worden sind,
8. die Erhebung bei den Betroffenen einen unverhältnismäßigen Aufwand erfordern würde oder
9. die Daten unmittelbar aus allgemein zugänglichen Quellen entnommen werden können oder die datenverarbeitende Stelle sie veröffentlichen dürfte.
In den Fällen des Satzes 1 Nr. 7 bis 9 ist eine Erhebung bei Dritten nur zulässig, wenn keine Anhaltspunkte vorliegen,
daß ihr überwiegende schutzwürdige Interessen der Betroffenen entgegenstehen.
(5) Sollen personenbezogene Daten nach Absatz 4 erhoben werden, dürfen die für die Erfüllung des Übermittlungs-
ersuchens erforderlichen Angaben mitgeteilt werden.
(6) Die Absätze 1, 4 und 5 gelten entsprechend, wenn personenbezogene Daten innerhalb einer datenverarbeitenden
Stelle erhoben werden.
(7) Werden personenbezogene Daten nach Absatz 4 bei einer nicht-öffentlichen Stelle erhoben, so ist diese auf die
Rechtsvorschrift, die zur Auskunft verpflichtet, sonst auf die Freiwilligkeit ihrer Angaben hinzuweisen.
(8) 13 Abs. 3 bis 6 gilt entsprechend.
13. Speicherung und Nutzung
(1) Das Speichern oder Nutzen personenbezogener Daten ist zulässig, wenn dies
1. zur rechtmäßigen Erfüllung der in der Zuständigkeit der datenverarbeitenden Stelle liegenden Aufgaben erforderlich ist und
2. für Zwecke erfolgt, für die die Daten erhoben worden sind; ist keine Erhebung vorausgegangen, dürfen die personenbezogenen Daten nur für die Zwecke genutzt werden, für die sie erstmals gespeichert worden sind.
(2) Das Speichern oder Nutzen personenbezogener Daten für andere Zwecke ist nur zulässig, wenn
1. die Voraussetzungen vorliegen, die nach § 12 Abs. 4 eine Erhebung bei Dritten zulassen würden,
2. es zur Bekämpfung von Straftaten oder Ordnungswidrigkeiten, zur Vollstreckung oder zum Vollzug von
Strafen oder Maßnahmen im Sinne des 11 Abs. 1 Nr. 8 des Strafgesetzbuches oder von Erziehungsmaßregeln
oder Zuchtmitteln im Sinne des Jugendgerichtsgesetzes oder zur Vollstreckung von Bußgeldentscheidungen
erforderlich ist, oder
3. es zur Durchführung wissenschaftlicher Forschung erforderlich ist, das wissenschaftliche Interesse an der
Durchführung des Forschungsvorhabens das Interesse der Betroffenen an dem Ausschluß der Zweckänderung
erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem
Aufwand erreicht werden kann.
(3) Eine Speicherung oder Nutzung personenbezogener Daten für andere Zwecke liegt nicht vor, wenn sie der
Wahrnehmung von Aufsichts- und Kontrollbefugnissen, der Rechnungsprüfung, der Durchführung von Organisationsuntersuchungen oder statistischen Zwecken der datenverarbeitenden Stelle dient. Dies gilt auch für die Speicherung oder Nutzung personenbezogener Daten zu Ausbildungs- und Prüfungszwecken, soweit nicht überwiegende
schutzwürdige Interessen der Betroffenen entgegenstehen.
(4) Sind mit personenbezogenen Daten, die nach den Absätzen 1 und 2 gespeichert oder genutzt werden dürfen, weitere
personenbezogene Daten der Betroffenen oder Dritter in Akten so verbunden, daß eine Trennung nicht oder nur mit
unverhältnismäßigem Aufwand möglich ist, ist die Speicherung auch dieser Daten zulässig, soweit nicht überwiegende
schutzwürdige Interessen der Betroffenen oder Dritter entgegenstehen; die Nutzung dieser Daten ist unzulässig.
(5) Personenbezogene Daten, die auschließlich zu Zwecken der Datenschutzkontrolle, der Datensicherung oder zur
Sicherstellung eines ordnungsgemäßen Betriebs einer Datenverarbeitungsanlage gespeichert oder genutzt werden, dürfen für andere Zwecke nur insoweit genutzt werden, als dies zur Abwehr erheblicher Gefährdungen der öffentlichen Sicherheit, insbesondere für Leben, Gesundheit oder Freiheit, erforderlich ist.
(6) Personenbezogene Daten, die einem Berufsoder besonderen Amtsgeheimnis unterliegen und die von der zur Verschwiegenheit verpflichteten Stelle in Ausübung ihrer Berufsoder Amtspflicht zur Verfügung gestellt worden
sind, dürfen nur für den Zweck gespeichert oder genutzt werden, für den die datenverarbeitende Stelle sie erhalten
hat. Eine darüber hinausgehende Speicherung oder Nutzung der Daten ist nur zulässig, wenn ein Gesetz dies vorsieht oder zwingend voraussetzt.
14. Datenübermittlung an öffentliche Stellen
(1) Die Übermittlung personenbezogener Daten an öffentliche Stellen ist zulässig, wenn
1. sie zur rechtmäßigen Erfüllung der in der Zuständigkeit der übermittelnden oder der empfangenden Stelle liegenden Aufgaben erforderlich ist und
2. die Voraussetzungen vorliegen, die eine Verarbeitung nach 12 Abs. 4 oder 13 Abs. 2 Nr. 2 oder 3 zulassen würden.
(2) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle. Erfolgt die Übermittlung auf Ersuchen der empfangenden Stelle, trägt diese die Verantwortung. In diesem Fall prüft die übermittelnde
Stelle nur, ob das Übermittlungsersuchen im Rahmen der Aufgaben der empfangenden Stelle liegt, es sei denn, daß besonderer Anlaß zur Prüfung der Zulässigkeit der Übermittlung besteht. In diesem Fall hat die erhebende Stelle der um Übermittlung ersuchten Stelle die für ihre Prüfung erforderlichen Angaben mitzuteilen. 7 Abs. 4 bleibt unberührt.
(3) Die empfangende Stelle darf die übermittelten Daten nur für den Zweck verarbeiten, zu dessen Erfüllung sie ihr übermittelt worden sind. Eine Verarbeitung für andere Zwecke ist nur unter den Voraussetzungen des 12 Abs. 4 oder des 13 Abs. 2 Nr. 2 oder 3 zulässig.
(4) Sollen personenbezogene Daten zur Erfüllung von Aufgaben der empfangenden Stelle ohne Vorliegen eines Übermittlungsersuchens übermittelt werden, hat die übermittelnde Stelle zu prüfen, ob Anhaltspunkte vorliegen, die
einer Erhebung der personenbezogenen Daten durch die empfangende Stelle entgegenstehen würden.
(5) Die Absätze 1 bis 4 gelten entsprechend, wenn personenbezogene Daten innerhalb einer datenverarbeitenden Stelle
weitergegeben werden.
(6) 13 Abs. 3 bis 6 gilt entsprechend.
15 . Datenübermittlung an Stellen der öffentlich-rechtlichen Religionsgesellschaften
Für die Übermittlung personenbezogener Daten an Stellen der öffentlich-rechtlichen Religionsgesellschaften gilt 14
Abs. 1 bis 4 entsprechend, sofern sichergestellt ist, daß bei der empfangenden Stelle der Datenschutz gewährleistet ist.
16. Datenübermittlung an nicht-öffentliche Stellen
(1) Die Übermittlung personenbezogener Daten an nichtöffentliche Stellen ist zulässig, wenn
1. sie zur rechtmäßigen Erfüllung der in der Zuständigkeit
der übermittelnden Stelle liegenden Aufgaben erforderlich ist und die Voraussetzungen vorliegen, die eine Verarbeitung nach 12 Abs. 4 oder 13 Abs. 2 Nr. 3 zulassen würden,
2. die Voraussetzungen vorliegen, die eine Verarbeitung nach 12 Abs. 4 Satz 1 Nr. 1, 2, 4, 5 oder 9 und Satz 2 zulassen würden,
3. die empfangende Stelle ein rechtliches Interesse an der Kenntnis der zu übermittelnden Daten glaubhaft macht
und kein Grund zu der Annahme besteht, daß überwiegende schutzwürdige Interessen der Betroffenen entgegenstehen, oder
4. dies im öffentlichen Interesse liegt oder hierfür ein berechtigtes Interesse geltend gemacht wird und die Betroffenen nach Unterrichtung über die beabsichtigte Übermittlung, die Art der zu übermittelnden Daten und den Verwendungszweck der Datenübermittlung nicht widersprochen haben.
(2) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle.
(3) Die empfangende Stelle darf die übermittelten Daten nur für den Zweck verarbeiten, zu dessen Erfüllung sie ihr übermittelt worden sind. Die übermittelnde Stelle hat die empfangende Stelle darauf hinzuweisen.
(4) Die übermittelnde Stelle kann die Datenübermittlung mit Auflagen versehen, die den Datenschutz bei der empfangenden Stelle sicherstellen.
17. Datenübermittlung an ausländische, über- und zwischenstaatliche Stellen
(1) Die Übermittlung personenbezogener Daten an ausländische sowie an über- und zwischenstaatliche Stellen ist
nach Maßgabe der für diese Übermittlung geltenden Gesetze und Vereinbarungen zulässig.
(2) Die Übermittlung personenbezogener Daten an die in Absatz 1 genannten Stellen ist auch zulässig, wenn die Voraussetzungen des 14 Abs. 1 oder des 16 Abs. 1 vorliegen und im Empfängerland gleichwertige Datenschutzregelungen gelten. Eine Übermittlung nach Satz 1 ist unzulässig, soweit Grund zu der Annahme besteht, daß durch sie gegen
den Zweck dieses Gesetzes oder eines anderen deutschen Gesetzes verstoßen würde.
(3) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle.
(4) Die empfangende Stelle ist darauf hinzuweisen, daß die übermittelten Daten nur für den Zweck verarbeitet werden
dürfen, zu dessen Erfüllung sie ihr übermittelt worden sind.
Dritter Abschnitt
Rechte der Betroffenen
18. Auskunft
(1) Den Betroffenen ist auf Antrag unentgeltlich Auskunft zu erteilen über
1. die zu ihrer Person gespeicherten Daten, auch soweit sie sich auf die Herkunft oder die Personen oder Stellen beziehen, an die die Daten übermittelt worden sind, sowie
2. den Zweck und die Rechtsgrundlage der Speicherung. In dem Antrag soll die Art der personenbezogenen Daten, über die Auskunft erteilt werden soll, näher bezeichnet werden. Sind die personenbezogenen Daten in Akten gespeichert, haben die Betroffenen einen Anspruch auf Auskunft nur, soweit sie Angaben machen, die das Auffinden der Daten ermöglichen, und der für die Erteilung der Auskunft erforderliche Aufwand nicht außer Verhältnis zu dem Informationsinteresse der Betroffenen steht. Die datenverarbeitende Stelle bestimmt das Verfahren, insbesondere die Form der Auskunftserteilung, nach pflichtgemäßem Ermessen; sind die Daten in Akten gespeichert, kann den Betroffenen auf Verlangen Einsicht gewährt werden.
(2) Für personenbezogene Daten, die nur deshalb gespeichert sind, weil sie auf Grund gesetzlicher, satzungsmäßiger
oder vertraglicher Aufbewahrungsvorschriften nicht gelöscht werden dürfen, oder ausschließlich Zwecken der
Datensicherung oder der Datenschutzkontrolle dienen, gilt Absatz 1 nur, wenn die Betroffenen ein berechtigtes Interesse an der Auskunft darlegen.
(3) Die Auskunftserteilung unterbleibt, soweit
1. die Auskunft die ordnungsgemäße Erfüllung der in der Zuständigkeit der datenverarbeitenden Stelle liegenden
Aufgaben gefährden würde,
2. die Auskunft die öffentliche Sicherheit gefährden oder sonst dem Wohl des Bundes oder eines Landes Nachteile
bereiten würde oder
3. die personenbezogenen Daten oder die Tatsache ihrer Speicherung nach einer Rechtsvorschrift oder ihrem
Wesen nach, insbesondere wegen überwiegender schutz würdiger Interessen Dritter, geheimgehalten werden müssen.
(4) Die Ablehnung der Auskunftserteilung bedarf einer Begründung nicht, soweit durch die Mitteilung der tatsäch-
lichen und rechtlichen Gründe, auf die die Entscheidung gestützt wird, der mit der Auskunftsverweigerung verfolgte
Zweck gefährdet würde. In diesem Fall sind die Betroffenen darauf hinzuweisen, daß sie sich an den Landesbeauftragten
für den Datenschutz wenden können.
(5) Wird den Betroffenen eine Auskunft nicht erteilt, so ist sie auf deren Verlangen dem Landesbeauftragten für den
Datenschutz zu erteilen. Die Mitteilung des Landesbeauftragten für den Datenschutz an die Betroffenen darf keine
Rückschlüsse auf den Erkenntnisstand der datenverarbeitenden Stelle zulassen, sofern diese nicht einer weitergehen-
den Auskunft zustimmt.
(6) Die Absätze 1 bis 6 gelten nicht für die Gerichte, soweit sie nicht in Verwaltungsangelegenheiten tätig werden, und die Behörden der Staatsanwaltschaft, soweit sie strafverfolgend oder strafvollstreckend tätig werden, sowie für Vorgänge im Zusammenhang mit der Ausübung des Gnadenrechts.
19. Berichtigung, Sperrung und Löschung
(1) Personenbezogene Daten sind zu berichtigen, wenn sie unrichtig sind. Sind personenbezogene Daten in nicht-automatisierten Dateien oder in Akten zu berichtigen, ist es ausreichend, in geeigneter Weise kenntlich zu machen, zu welchem Zeitpunkt oder aus welchem Grund diese Daten unrichtig waren oder unrichtig geworden sind. Die perso
nenbezogenen Daten sind zu ergänzen, wenn der Zweck der Speicherung oder berechtigte Interessen der Betroffenen dies erfordern.
(2) Personenbezogene Daten sind zu löschen, wenn
1. ihre Speicherung unzulässig ist oder
2. 2. ihre Kenntnis für die datenverarbeitende Stelle zur Erfüllung der in ihrer Zuständigkeit liegenden Aufgaben nicht mehr erforderlich ist; die Erforderlichkeit richtet sich nach den für die datenverarbeitenden Stellen getroffenen allgemeinen Regelungen über die Dauer der Aufbewahrung von personenbezogenen Daten einschließlich der
Erfordernisse einer ordnungsgemäßen Dokumentation.
(3) An die Stelle einer Löschung tritt eine Sperrung der personenbezogenen Daten, wenn
1. die Richtigkeit personenbezogener Daten von den Betroffenen bestritten wird und sich weder die Richtig keit noch die Unrichtigkeit feststellen läßt,
2. einer Löschung gesetzliche, satzungsmäßige oder ver tragliche Aufbewahrungsfristen entgegenstehen,
3. Grund zu der Annahme besteht, daß durch die Löschung schutzwürdige Interessen der Betroffenen oder Dritter beeinträchtigt werden können,
4. eine Löschung wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Auf wand möglich ist oder
5. die Daten nur zu Zwecken der Datensicherung oder Datenschutzkontrolle gespeichert sind. Gesperrte personenbezogene Daten sind gesondert aufzubewahren. Ist dies mit einem vertretbaren Aufwand nicht möglich, sind die gesperrten Daten besonders zu kenn zeichnen.
(4) Gesperrte personenbezogene Daten dürfen ohne Einwilligung der Betroffenen nur genutzt oder übermittelt werden, wenn dies zur Behebung einer bestehenden Beweisnot oder aus sonstigen im überwiegenden Interesse der datenverarbeitenden Stelle oder Dritter liegenden Gründen unerläßlich ist und die Daten hierfür verarbeitet werden dürften, wenn sie nicht gesperrt wären. Die Gründe für die Nutzung oder Übermittlung gesperrter personenbezogener Daten sind zu dokumentieren.
(5) Von der Berichtigung unrichtiger Daten, der Sperrung bestrittener Daten sowie der Löschung oder Sperrung wegen Unzulässigkeit der Speicherung sind die Stellen zu unterrichten, denen diese Daten übermittelt oder innerhalb der datenverarbeitenden Stelle weitergegeben worden sind.
Die Unterrichtung kann unterbleiben, wenn sie einen unverhältnismäßigen Aufwand erfordern würde und kein Grund zu der Annahme besteht, daß dadurch schutzwürdige Interessen der Betroffenen beeinträchtigt werden.
Sind personenbezogene Daten nicht regelmäßig übermittelt worden, erfolgt eine Unterrichtung nach Satz 1 nur, soweit die Angaben über die empfangende Stelle und die übermittelten Daten bekannt sind.
20. Unterlassungs- und Beseitigungsanspruch
(1) Die Betroffenen können verlangen, daß eine Beeinträchtigung ihrer schutzwürdigen Interessen unterlassen oder beseitigt wird, wenn diese nach der Berichtigung, Sperrung oder Löschung ihrer personenbezogenen Daten andauert.
(2) Unterlassungs- und Beseitigungsansprüche auf Grund anderer Rechtsvorschriften bleiben unberührt.
21. Schadensersatz
(1) Fügt eine öffentliche Stelle den Betroffenen durch eine nach den Bestimmungen dieses Gesetzes oder nach anderen Vorschriften über den Datenschutz unzulässige oder unrichtige automatisierte Verarbeitung ihrer personenbezogenen Daten einen Schaden zu, ist sie diesen gegenüber unabhängig von einem Verschulden zum Ersatz des daraus entstehenden Schadens verpflichtet.
(2) Bei einer schweren Beeinträchtigung des Persönlichkeitsrechts ist den Betroffenen auch der Schaden, der nicht Vermögensschaden ist, angemessen in Geld zu ersetzen.
(3) Die Ansprüche nach den Absätzen 1 und 2 sind insgesamt bis zu einem Betrag in Höhe von 250 000 DM begrenzt. Ist auf Grund desselben Ereignisses an mehrere Personen Schadensersatz zu leisten, der insgesamt den Höchstbetrag von 250 000 DM übersteigt, so verringern sich die einzelnen Schadensersatzleistungen in dem Verhältnis, in dem ihr Gesamtbetrag zu dem Höchstbetrag steht.
(4) Sind bei einer automatisierten Datei mehrere Stellen verarbeitungsberechtigt und sind die Geschädigten nicht in der Lage, die datenverarbeitende Stelle festzustellen, so haftet jede dieser Stellen.
(5) Mehrere Ersatzpflichtige haften gesamtschuldnerisch.
(6) Auf das Mitverschulden der Betroffenen und die Verjährung sind die 254 und 852 des Bürgerlichen Gesetzbuches entsprechend anzuwenden.
(7) Die Geltendmachung weitergehender Schadensersatzansprüche auf Grund anderer Rechtsvorschriften bleibt unberührt.
(8) Der Rechtsweg vor den ordentlichen Gerichten steht offen.
Vierter Abschnitt
Landesbeauftragter für den Datenschutz
22. Wahl und Amtszeit
(1) Der Landtag wählt den Landesbeauftragten für den Datenschutz in geheimer Wahl mit der Mehrheit seiner Mitglieder auf Vorschlag einer Fraktion; eine Aussprache findet
nicht statt.
(2) Die Amtszeit des Landesbeauftragten für den Datenschutz beträgt acht Jahre. Wiederwahl ist zulässig. Der Landesbeauftragte für den Datenschutz bleibt solange im
Amt, bis ein Nachfolger gewählt ist. Der Landtag kann den Landesbeauftragten für den Datenschutz mit einer Mehrheit von zwei Dritteln seiner Mitglieder abwählen. Der
Landesbeauftragte für den Datenschutz kann jederzeit vom Amt zurücktreten.
23. Rechtsstellung
(1) Der Landesbeauftragte für den Datenschutz steht in einem öffentlich-rechtlichen Amtsverhältnis und ist in Ausübung seines Amtes unabhängig und nur dem Gesetz unterworfen.
(2) Die Vergütung des Landesbeauftragten für den Datenschutz ist durch Vertrag zu regeln. Sie unterliegt abweichend von § 71 a Abs. 5 des Landesbeamtengesetzes Rhein-
land-Pfalz nicht der nebentätigkeitsrechtlichen Ablieferungspflicht. Das Amt kann auch einem Beamten im Nebenamt oder im Ruhestand übertragen werden.
(3) Der Landesbeauftragte für den Datenschutz wird beim Präsidenten des Landtags eingerichtet, hat die Stellung einer diesem gegenüber unabhängigen obersten Landesbehörde und unterliegt keiner Dienst- und Rechtsaufsicht.
(4) Dem Landesbeauftragten für den Datenschutz ist das zur Aufgabenerfüllung notwendige Personal zur Verfügung zu stellen. Es untersteht seiner Dienstaufsicht.
Die Beamten werden auf Vorschlag des Landesbeauftragten für den Datenschutz vom Präsidenten des Landtags ernannt und entlassen. Sie können nur im Einvernehmen mit dem Landesbeauftragten für den Datenschutz versetzt oder abgeordnet werden; dies gilt auch für Beamte, die zum Landesbeauftragten für den Datenschutz versetzt oder abgeordnet werden. Für die sonstigen Bediensteten gelten die Sätze 3 und 4 entsprechend.
(5) Der Landesbeauftragte für den Datenschutz darf neben diesem Amt kein Gewerbe ausüben und weder der Leitung oder dem Aufsichtsrat oder Verwaltungsrat eines auf
Erwerb gerichteten Unternehmens noch einer Regierung oder einer gesetzgebenden Körperschaft des Bundes oder eines Landes angehören.
(6) Der Landesbeauftragte für den Datenschutz ist, auch nach Beendigung des Amtsverhältnisses, verpflichtet, über amtlich bekannt gewordene Angelegenheiten Verschwiegenheit zu wahren. Dies gilt nicht für Mitteilungen im dienstlichen Verkehr oder über Tatsachen, die offenkundig sind oder ihrer Bedeutung nach keiner Geheimhaltung bedürfen.
(7) Der Landesbeauftragte für den Datenschutz bestellt einen Stellvertreter für die Führung der Geschäfte im Falle seiner Verhinderung.
(8) Der Landesbeauftragte für den Datenschutz kann an den Sitzungen des Landtags und seiner Ausschüsse nach Maßgabe der Geschäftsordnung des Landtags teilnehmen. Der
Landtag und seine Ausschüsse können seine Anwesenheit verlangen. Der Landesbeauftragte für den Datenschutz kann sich in Ausschußsitzungen zu Fragen äußern, die für den Datenschutz von Bedeutung sind.
24. Aufgaben des Landesbeauftragten für den Datenschutz
(1) Der Landesbeauftragte für den Datenschutz kontrolliert die Einhaltung der Bestimmungen dieses Gesetzes sowie anderer Vorschriften über den Datenschutz.
(2) Die Gerichte und der Rechnungshof unterliegen der Kontrolle des Landesbeauftragten für den Datenschutz nur, soweit sie in Verwaltungsangelegenheiten tätig werden.
(3) Der Landesbeauftragte für den Datenschutz teilt das Ergebnis seiner Kontrolle der datenverarbeitenden Stelle mit. Damit können Vorschläge zur Verbesserung des
Datenschutzes, insbesondere zur Beseitigung von festgestellten Mängeln bei der Verarbeitung personenbezogener Daten, verbunden werden. 25 bleibt unberührt.
(4) Zu den Aufgaben des Landesbeauftragten für den Datenschutz gehört auch, den Landtag, die Landesregierung und ihre Mitglieder sowie die übrigen öffentlichen
Stellen zu beraten.
(5) Der Landtag und seine Ausschüsse sowie die Landesregierung können den Landesbeauftragten für den Datenschutz mit der Erstattung von Gutachten und Berichten zu Fragen des Datenschutzes betrauen. Auf Ersuchen der in Satz 1 genannten Stellen geht der Landesbeauftragte für den Datenschutz Hinweisen auf Angelegenheiten und Vorgänge, die den Datenschutz betreffen, nach.
(6) Der Landesbeauftragte für den Datenschutz beobachtet die Auswirkungen der Datenverarbeitung auf die Arbeitsweise und die Entscheidungsbefugnisse der öffentlichen Stellen. Er kann insoweit Maßnahmen anregen, die geeignet erscheinen, eine Beeinträchtigung der Wirkungsmöglichkeiten der Verfassungsorgane des Landes und der Organe der kommunalen Selbstverwaltung zu verhindern.
(7) Der Landesbeauftragte für den Datenschutz hält mit den für die Überwachung des Datenschutzes im öffentlichen und nicht-öffentlichen Bereich zuständigen Behörden und
Stellen des Landes, der übrigen Länder und des Bundes Verbindung und wirkt darauf hin, daß die Aufgabe des Datenschutzes nach einheitlichen Grundsätzen verwirklicht wird.
25. Beanstandungen durch den Landesbeauftragten für den Datenschutz
(1) Stellt der Landesbeauftragte für den Datenschutz Verstöße gegen die Bestimmungen dieses Gesetzes oder gegen andere Vorschriften über den Datenschutz oder sonstige
Mängel bei der Verarbeitung personenbezogener Daten fest, so beanstandet er dies
1. bei Stellen der Landesverwaltung gegenüber der zustän digen obersten Landesbehörde,
2. bei den kommunalen Gebietskörperschaften gegenüber den verantwortlichen Organen der Gemeinde oder des Gemeindeverbandes,
3. bei den wissenschaftlichen Hochschulen und Fachhochschulen gegenüber dem Präsidenten oder dem Rektor sowie
4. bei den sonstigen öffentlichen Stellen gegenüber dem Vorstand oder dem sonst vertretungsberechtigten Organ und fordert zur Stellungnahme innerhalb einer angemesse
nen Frist auf. In den Fällen des Satzes 1 Nr. 2 bis 4 unter richtet der Landesbeauftragte für den Datenschutz gleichzeitig die zuständige Aufsichtsbehörde.
(2) Der Landesbeauftragte für den Datenschutz kann von einer Beanstandung absehen oder auf eine Stellungnahme der betroffenen Stelle verzichten, wenn es sich um unerhebliche oder inzwischen beseitigte Mängel handelt.
(3) Die nach Absatz 1 Satz 1 abzugebende Stellungnahme soll auch eine Darstellung der Maßnahmen enthalten, die auf Grund der Beanstandung getroffen worden sind. Die in
Absatz 1 Satz 1 Nr. 2 bis 4 genannten Stellen leiten eine Abschrift ihrer Stellungnahme gegenüber dem Landesbeauftragten für den Datenschutz gleichzeitig der zuständigen
Aufsichtsbehörde zu.
(4) Bleiben die Vorschläge des Landesbeauftragten für den Datenschutz unbeachtet, kann er die Landesregierung und den Landtag verständigen.
26. Kommission bei dem Landesbeauftragten für den Datenschutz
(1) Bei dem Landesbeauftragten für den Datenschutz wird eine Kommission gebildet, die aus sechs Mitgliedern besteht. In die Kommission entsenden der Landtag fünf Mitglieder und die Landesregierung ein Mitglied.
(2) Die Mitglieder der Kommission werden vom Landtag aus seiner Mitte für die Dauer der Wahlperiode des Landtags, von der Landesregierung für die Dauer von fünf Jahren
entsandt.
(3) Die Kommission unterstützt den Landesbeauftragten für den Datenschutz bei der Wahrnehmung seiner Aufgaben. Der Landesbeauftragte für den Datenschutz nimmt
an den Sitzungen der Kommission teil. Über Maßnahmen nach 24 Abs. 6 Satz 2 und 25 Abs. 4 ist die Kommission zu unterrichten. Der Tätigkeitsbericht des Landesbeauftragten für den Datenschutz ist in der Kommission vorzuberaten.
(4) Die Kommission tritt auf Antrag eines ihrer Mitglieder oder des Landesbeauftragten für den Datenschutz zusammen.
(5) Die Kommission wählt aus dem Kreis der vom Landtag entsandten Mitglieder einen Vorsitzenden und einen Stellvertreter. Sie gibt sich eine Geschäftsordnung.
(6) Die Mitglieder der Kommission sind verpflichtet, auch nach ihrem Ausscheiden über die ihnen bei ihrer amtlichen Tätigkeit bekanntgewordenen Angelegenheiten Verschwiegenheit zu wahren. Dies gilt nicht für Mitteilungen im dienstlichen Verkehr oder für Tatsachen, die offenkundig sind oder ihrer Bedeutung nach keiner Geheimhaltung bedürfen.
(7) Der Vorsitzende der Kommission erhält eine monatliche Aufwandsentschädigung in gleicher Höhe wie der Vorsitzende eines Ausschusses des Landtags.
(8) Die Mitglieder der Kommission erhalten Reisekostenvergütung nach der höchsten Reisekostenstufe des Landesreisekostengesetzes.
27. Anmeldepflicht, Datenschutzregister
(1) Die öffentlichen Stellen sind verpflichtet, dem Landesbeauftragten für den Datenschutz Verfahren, in denen personenbezogene Daten automatisiert verarbeitet werden, anzumelden. Mit der Anmeldung ist die Beschreibung des Verfahrens nach 10 Abs. 2 vorzulegen. Wesentliche Änderungen des Verfahrens sind fortlaufend mitzuteilen. Für die Gerichte besteht eine Anmeldepflicht nur, soweit sie in Verwaltungangelegenheiten tätig werden, für den Rechnungshof nur außerhalb seiner Prüfungstätigkeit. 10 Abs. 2 Satz 3 gilt entsprechend. Die Anmeldung ist so rechtzeitig
vorzunehmen, daß der Landesbeauftragte für den Datenschutz vor der erstmaligen Speicherung personenbezogener Daten seiner Überwachungspflicht nach 24 nachkommen kann.
(2) Wird ein Verfahren bei mehreren öffentlichen Stellen eingesetzt, können nach der erstmaligen Anmeldung des Verfahrens durch die Fachaufsichtsbehörde oder eine der
beteiligten öffentlichen Stellen die übrigen öffentlichen Stellen mit Zustimmung des Landesbeauftragten für den Datenschutz eine verkürzte Anmeldung vornehmen.
(3) Der Landesbeauftragte für den Datenschutz führt ein Register der nach Absatz 1 angemeldeten automatisierten Verfahren, in denen personenbezogene Daten verarbeitet
werden (Datenschutzregister). Verfahren der Verfassungsschutzbehörde werden nicht in das Datenschutzregister aufgenommen.
(4) Der Landesbeauftragte für den Datenschutz gewährt auf Antrag Einsicht in das Datenschutzregister oder erteilt unentgeltlich Auskunft aus diesem. Dies gilt nicht, soweit
besondere Rechtsvorschriften entgegenstehen oder die Geheimhaltung der Verfahren im überwiegenden öffentlichen Interesse geboten ist.
28. Verpflichtungen der datenverarbeitenden Stellen
(1) Die datenverarbeitenden Stellen haben den Landesbeauftragten für den Datenschutz und seine Beauftragten bei der Erfüllung ihrer Aufgaben zu unterstützen. Sie sind
insbesondere verpflichtet,
1. Auskunft zu ihren Fragen sowie Einsicht in alle Unterlagen und Akten, insbesondere in die gespeicherten Daten und in die Datenverarbeitungsprogramme sowie
in die nach 10 Abs. 2 und 3 zu führenden Verzeichnisse zu gewähren, die im Zusammenhang mit der Verarbeitung personenbezogener Daten stehen, sowie
2. jederzeit Zutritt zu allen Diensträumen zu gewähren.
(2) Für die Gerichte und den Rechnungshof gelten die Verpflichtungen nach Absatz 1 nur, soweit sie in Verwaltungs-
angelegenheiten tätig werden.
29. Anrufung des Landesbeauftragten für den Datenschutz, Berichtspflicht
(1) Die Betroffenen können sich jederzeit unmittelbar an den Landesbeauftragten für den Datenschutz wenden,
wenn sie der Ansicht sind, bei der Verarbeitung ihrer personenbezogenen Daten in ihren Rechten verletzt worden zu
sein.
(2) Der Landesbeauftragte für den Datenschutz erstattet dem Landtag alle zwei Jahre jeweils zum 1. Oktober einen
Tätigkeitsbericht.
Fünfter Abschnitt
Besonderer Datenschutz
30. Verarbeitung personenbezogener Daten durch Forschungseinrichtungen
(1) Für Zwecke der wissenschaftlichen Forschung erhobene oder gespeicherte personenbezogene Daten dürfen nur für
Zwecke der wissenschaftlichen Forschung verarbeitet werden.
(2) Die Übermittlung personenbezogener Daten an andere als öffentliche Stellen für Zwecke der wissenschaftlichen
Forschung ist nur zulässig, wenn diese sich verpflichten, die übermittelten Daten nicht für andere Zwecke zu verarbei-
ten und die Bestimmungen der Absätze 3 und 4 einzuhalten.
(3) Die personenbezogenen Daten sind zu anonymisieren, sobald dies nach dem Forschungszweck möglich ist. Bis da-
hin sind die Merkmale gesondert zu speichern, mit denen Einzelangaben über persönliche oder sachliche Verhältnisse
einer bestimmten oder bestimmbaren Person zugeordnet werden können. Sie dürfen mit den Einzelangaben nur
zusammengeführt werden, soweit der Forschungszweck dies erfordert.
(4) Die wissenschaftliche Forschung betreibenden Stellen dürfen personenbezogene Daten nur veröffentlichen, wenn
1. die Betroffenen eingewilligt haben oder
2. 2. dies für die Darstellung von Forschungsergebnissen über Ereignisse der Zeitgeschichte unerläßlich ist und über-
wiegende schutzwürdige Interessen der Betroffenen nicht entgegenstehen.
31. Datenverarbeitung bei Dienst- und Arbeitsverhältnissen
(1) Die öffentlichen Stellen dürfen personenbezogene Daten von Beschäftigten nur verarbeiten, soweit dies zur
Begründung, Durchführung, Beendigung oder Abwicklung des Dienst- oder Arbeitsverhältnisses oder zur Durchführung organisatorischer, personeller und sozialer Maßnahmen erforderlich ist oder eine Rechtsvorschrift dies
erlaubt.
(2) Die Übermittlung personenbezogener Daten von Beschäftigten an andere als öffentliche Stellen ist nur zulässig, soweit
1. eine Rechtsvorschrift dies vorsieht oder zwingend voraussetzt,
2. die Betroffenen eingewilligt haben,
3. dies aus dienstlichen Gründen geboten ist,
4. dies zur Abwehr erheblicher Nachteile für das Gemein wohl oder Rechte Dritter erforderlich ist oder
5. die empfangende Stelle ein rechtliches Interesse darlegt und überwiegende schutzwürdige Interessen der Betroffenen nicht entgegenstehen.
(3) Im Zusammenhang mit der Begründung von Dienstoder Arbeitsverhältnissen ist die Erhebung personenbezogener Daten von Beschäftigten bei der bisherigen Beschäftigungsstelle nur zulässig, wenn die Betroffenen eingewilligt haben. Satz 1 gilt entsprechend für die Übermittlung personenbezogener Daten an zukünftige Beschäftigungsstellen.
(4) Entscheidungen im Rahmen von Dienst- und Arbeitsverhältnissen dürfen nicht ausschließlich auf Informationen
und Erkenntnisse gestützt werden, die durch die automatisierte Verarbeitung personenbezogener Daten gewonnen
wurden.
(5) Personenbezogene Daten der Beschäftigten, die im Rahmen der Durchführung der technischen und organisatori-
schen Maßnahmen nach 9 gespeichert wurden, dürfen nicht zu Zwecken der Verhaltens- oder Leistungskontrolle
genutzt werden.
(6) Personenbezogene Daten von Personen, die sich um eine Einstellung bewerben, dürfen nur verarbeitet werden,
soweit dies im Rahmen des Einstellungs- und Auswahlverfahrens erforderlich ist. Steht fest, daß ein Dienst- oder
Arbeitsverhältnis nicht zustande kommt, sind die von den Betroffenen vorgelegten Unterlagen diesen unverzüglich
zurückzusenden. Haben die Betroffenen in die weitere Verarbeitung der von ihnen vorgelegten Unterlagen eingewilligt oder ist dies wegen eines bereits anhängigen oder wahrscheinlich zu erwartenden Rechtsstreits erforderlich, ist
eine weitere Verarbeitung auch insoweit zulässig.
(7) Besondere Rechtsvorschriften über die Verarbeitung personenbezogener Daten bei Dienst- und Arbeitsverhält-
nissen bleiben unberührt.
32. Datenverarbeitung für Planungszwecke
(1) Für Zwecke der öffentlichen Planung dürfen personenbezogene Daten verarbeitet werden, wenn ein besonderes
öffentliches Interesse an der Planung besteht, der Planungszweck auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann und überwiegende schutzwürdige Interessen der Betroffenen nicht entgegenstehen.
(2) Die für Planungszwecke gespeicherten personenbezogenen Daten dürfen für andere Zwecke nicht genutzt oder
übermittelt werden. Sobald dies nach dem Planungszweck möglich ist, sind die personenbezogenen Daten zu anonymisieren.
(3) Für Zwecke der öffentlichen Planung verarbeitete personenbezogene Daten dürfen nur veröffentlicht oder in sonstiger Weise offenbart werden, wenn
1. die Betroffenen eingewilligt haben oder
2. dies für die Darstellung der Planungsergebnisse unerläß lich ist und überwiegende schutzwürdige Interessen der
Betroffenen nicht entgegenstehen.
33. Allgemeine Verwaltungstätigkeit
(1) Öffentliche Stellen dürfen personenbezogene Daten bei der Wahrnehmung ihrer Aufgaben verarbeiten, soweit dies
für die allgemeine Verwaltungstätigkeit erforderlich ist und überwiegende schutzwürdige Interessen der Betroffenen
wegen der Art der Daten, ihrer Verwendung oder ihrer Offenkundigkeit nicht entgegenstehen.
(2) Die allgemeine Verwaltungstätigkeit nach Absatz 1 umfaßt die Vorgangsverwaltung, die Dokumentation der Verwaltungsvorgänge einschließlich der Verfahrensbeteiligten, die Bürokommunikation sowie die sonstigen zur ordnungsgemäßen Erledigung der behördlichen Aufgaben erforderlichen organisatorischen Tätigkeiten. Als allgemeine Verwaltungstätigkeit gilt auch die Bearbeitung von Anträgen und Vorgängen, die einem gesetzlich geregelten Sachgebiet
nicht zugeordnet werden können, sowie die Durchführung von Rechtsstreitigkeiten.
Sechster Abschnitt
Informationsrechte
34. Informationsrechte des Landtags und der kommunalen Gebietskörperschaften
(1) Die öffentlichen Stellen sind verpflichtet, dem Landtag, dem Präsidenten des Landtags und den Fraktionen des
Landtags sowie den Gemeinden und Gemeindeverbänden die von diesen im Rahmen ihrer Zuständigkeiten verlangten
Auskünfte aus Datenbanken und anderen automatisierten Informationssystemen zu erteilen, soweit Programme zur
Auswertung vorhanden sind.
(2) Den Auskünften nach Absatz 1 darf ein gesetzliches Verbot, ein wichtiges öffentliches Interesse oder ein überwiegendes schutzwürdiges Interesse der Betroffenen oder Dritter nicht entgegenstehen; dem Auskunftsrecht des Landtags steht ein solches Interesse in der Regel nicht entgegen.
Siebter Abschnitt
Strafbestimmungen
35. Strafbestimmungen
(1) Wer gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen,
entgegen den Bestimmungen dieses Gesetzes personenbezogene Daten, die nicht offenkundig sind,
1. erhebt, speichert, nutzt, sperrt, löscht, zum Abruf bereithält oder übermittelt, oder
2. abruft, einsieht, sich verschafft oder durch Vortäuschung falscher Tatsachen ihre Weitergabe an sich oder einen
anderen veranlaßt, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.
(2) Der Versuch ist strafbar.
Achter Abschnitt
Übergangs- und Schlußbestimmungen
36. Verwaltungsvorschriften
Der Minister des Innern und für Sport erläßt die zur Durchführung dieses Gesetzes erforderlichen Verwaltungsvorschriften im Einvernehmen mit den Ministern, deren Geschäftsbereich berührt ist, und nach Anhörung des Landesbeauftragten für den Datenschutz.
37. Übergangsbestimmungen
(1) Werden im Zeitpunkt des Inkrafttretens dieses Gesetzes personenbezogene Daten im Auftrag verarbeitet, ist das
Auftragsverhältnis innerhalb eines Jahres den Bestimmungen des 4 anzupassen. Satz 1 gilt entsprechend für die
Anpassung eines automatisierten Übermittlungsverfahrens an die Erfordernisse des 7.
(2) Innerhalb eines Jahres nach Inkrafttreten dieses Gesetzes haben die öffentlichen Stellen
1. die nach 10 Abs. 2 und 3 zu führenden Verzeichnisse zu erstellen,
2. nach 11 Abs. 1 Satz 1 behördliche Datenschutzbeauftragte zu bestellen und
3. die Anmeldung der Verfahren, in denen personenbezogene Daten automatisiert verarbeitet werden, nach 27
Abs. 1 vorzunehmen.
(3) Vordrucke, die den Anforderungen des 5 Abs. 2 und 3 nicht entsprechen, dürfen bis zum Ablauf eines Jahres
nach Inkrafttreten dieses Gesetzes aufgebraucht werden.
38. Verweisungen und Bezeichnungen in anderen Vorschriften
Soweit in anderen Vorschriften auf Bestimmungen verwiesen wird, die durch dieses Gesetz außer Kraft gesetzt
werden, oder Bezeichnungen verwendet werden, die durch dieses Gesetz aufgehoben oder geändert werden, treten an
deren Stelle die entsprechenden Bestimmungen und Bezeichnungen dieses Gesetzes.
39. Inkrafttreten
(1) Dieses Gesetz tritt am Tage nach der Verkündung in Kraft.
(2) Gleichzeitig tritt das Landesdatenschutzgesetz vom 21. Dezember 1978 (GVBl. S. 749), zuletzt geändert durch
Artikel 1 des Gesetzes vom 13. Februar 1991 (GVBl. S. 46), BS 204-1, außer Kraft.