Gem. RdErl. des MI, der StK und der übrigen Min. vom 31.8.2002 – 41.21B-05519/1 – (MBl. LSA S. 1091), geändert durch Gem. RdErl. des MI, der StK und der übrigen Min. vom 13.7.2007 – 41.21A-05519/2 (MBl. LSA S. 629), vom 12.11.2007 – 41.21A-05519/2 (MBl. LSA S. 834), vom 10.3.2009 – 41-21A-05519/2 (MBl. LSA S. 198) und vom 19.4.2010 -41.21-05519/2 (MBl. LSA S 208).
Mit dem Gesetz zum Schutz personenbezogener Daten der Bürger (DSG-LSA) i. d. F. der Bek. vom 18.2.2002 (GVBl. LSA S. 54), zuletzt geändert durch Art. 15 des Gesetzes vom 18.11.2005 (GVBl. LSA S. 698, 701), in der jeweils geltenden Fassung, hat der Landesgesetzgeber allgemeine datenschutzrechtliche Vorschriften für Behörden und sonstige öffentliche Stellen des Landes, der Gemeinden, der Landkreise und der sonstigen der Aufsicht des Landes unterstehenden Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts sowie für Vereinigungen solcher Körperschaften, Anstalten und Stiftungen getroffen. Zugleich hat der Landesgesetzgeber für die genannten Stellen von der in § 12 Abs. 2 des Bundesdatenschutzgesetzes (BDSG) i. d. F. der Bek. vom 14.1.2003 (BGBl. I S. 66), zuletzt geändert durch Art. 1 des Gesetzes vom 22.8.2006 (BGBl. I S. 1970), in der jeweils geltenden Fassung, genannten Möglichkeit Gebrauch gemacht, den Datenschutz, auch soweit Bundesrecht ausgeführt wird, durch Landesrecht zu regeln.
Adressaten des Zweiten Abschnitts des Bundesdatenschutzgesetzes sind im öffentlichen Bereich grundsätzlich nur öffentliche Stellen des Bundes. Für natürliche und juristische Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts (§ 2 Abs. 4 BDSG) richtet sich die Zulässigkeit der Datenverarbeitung grundsätzlich nach dem Dritten Abschnitt des Bundesdatenschutzgesetzes.
1. Zu § 1 (Zweck des Gesetzes)
1.1 Zweck des Gesetzes
Nach Art. 6 Abs. 1 der Verfassung des Landes Sachsen-Anhalt hat jeder das Recht auf Schutz seiner personenbezogenen Daten; in dieses Recht darf unter Beachtung des Zitiergebotes nach Art. 20 Abs. 1 der Landesverfassung nur durch oder aufgrund eines Gesetzes eingegriffen werden. Dabei sind insbesondere Inhalt, Zweck und Ausmaß der Erhebung, Verarbeitung oder Nutzung der personenbezogenen Daten zu bestimmen und das Recht auf Auskunft, Löschung und Berichtigung näher zu regeln.
Entsprechend den Vorgaben der Landesverfassung trifft das DSG-LSA für die öffentlichen Stellen des Landes die für die Gewährleistung des Rechts auf informationelle Selbstbestimmung erforderlichen bereichsübergreifenden Regelungen. Das Gesetz berücksichtigt, dass aufgrund der Gemeinschaftsbezogenheit und -gebundenheit der Einzelnen und des dadurch bestehenden Spannungsverhältnisses zwischen dem Persönlichkeitsrecht der Einzelnen und den Interessen der Allgemeinheit die Einzelnen im überwiegenden Allgemeininteresse bestimmte Einschränkungen ihres Rechts auf informationelle Selbstbestimmung hinnehmen müssen. Es gibt hierfür vorbehaltlich bereichsspezifischer Regelungen die erforderliche rechtliche Grundlage. Des Weiteren sieht das DSG-LSA organisatorische und verfahrensrechtliche Vorkehrungen vor, die der Gefahr einer Verletzung des Persönlichkeitsrechts entgegenwirken.
1.2 Datensparsamkeit und Datenvermeidung
Die Pflichten zur Datensparsamkeit und Datenvermeidung sind Konkretisierungen des Grundsatzes der Verhältnismäßigkeit bei der Gestaltung von Datenverarbeitungsverfahren. Die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten ist soweit wie möglich zu vermeiden. Auf die Kenntnis der Identität Betroffener während der Datenverarbeitungsvorgänge ist zu verzichten, soweit dies sachgerecht und technisch möglich ist. Reicht eine anonymisierte oder pseudonymisierte Erhebung, Verarbeitung oder Nutzung von Daten aus, ist davon Gebrauch zu machen. Nach dem letzten Halbsatz muss die Anonymisierung und Pseudonymisierung nur erfolgen, wenn der durch diese Maßnahmen verursachte Aufwand in einem angemessenen Verhältnis zu dem vom Gesetz verlangten Schutz der Daten steht. Die Ausführungen zu § 6 Abs. 1 Satz 2 gelten entsprechend.
2. Zu § 2 (Begriffsbestimmungen)
2.1 Allgemeine Begriffsbestimmungen
Die Begriffsbestimmungen entsprechen grundsätzlich denen des § 3 BDSG. Sie weichen mitunter vom üblichen Sprachgebrauch, aber auch von Begriffsinhalten der Informationstechnologie ab. Um eine gleichmäßige Anwendung des Gesetzes zu erreichen, ist von Folgendem auszugehen:
2.1.1 Personenbezogene Daten
Einzelangaben sind Daten, die eine natürliche lebende Person (Betroffene oder Betroffener) bestimmen oder bestimmbar machen (z. B. Name, Personalnummer, Sozialversicherungsnummer, Personalausweisnummer, Kfz-Kennzeichen). Einzelangaben sind aber auch Daten, die in der Person der Betroffenen liegende oder auf die Betroffenen bezogene Sachverhalte beschreiben (z. B. Adresse, Einkommen, Familienstand, Geburtsdatum, Staatsangehörigkeit, Krankheit, Zeugnisnoten, Berufsbezeichnung); auch Werturteile, Planungs- und Prognosedaten über Betroffene gehören dazu. Einzelangaben in diesem Sinne sind nicht nur Daten, an deren Geheimhaltung die Betroffenen Interesse haben (Geheimnisse), sondern auch jedwede andere Angaben zur Person.
Die Einzelangaben können persönliche oder sachliche Verhältnisse einer Person betreffen (z. B. Familienstand, Geschlecht, Geburtsdatum einerseits, Besitz, Eigentum, Kraftfahrzeug, Wasserverbrauch andererseits). Die Unterscheidung ist wegen der gleichen Rechtsfolge nicht begriffserheblich, in der Praxis oft fließend. Nicht personenbezogen und damit vom Schutzbereich des Gesetzes nicht erfasst sind Daten über juristische Personen (AG, KG auf Aktien) oder über Personenvereinigungen (z. B. offene Handelsgesellschaften, nicht rechtsfähige Vereine), soweit kein Rückschluss auf eine natürliche Person möglich ist. Dieser Rückschluss ist nicht gegeben, soweit eine natürliche Person nur in ihrer Eigenschaft als Organ oder z. B. als Geschäftsführer oder Geschäftsführerin einer juristischen Person erfasst ist. Der Schutz von Daten über juristische Personen und andere in Satz 1 genannte Stellen bestimmt sich gegebenenfalls nach
a) allgemeinen Vorschriften, z. B. nach § 1 Abs. 1 Satz 1 des Verwaltungsverfahrensgesetzes Sachsen-Anhalt (VwVfG LSA) vom 18.11.2005 (GVBl. LSA S. 698, 699) i. V. m. § 30 des Verwaltungsverfahrensgesetzes (VwVfG), § 203 des Strafgesetzbuches (StGB) oder
b) speziellen Regelungen wie § 16 des Bundesstatistikgesetzes vom 22.1.1987 (BGBl. I S. 462, 565), zuletzt geändert durch Art. 2 des Gesetzes vom 9.6.2005 (BGBl. I S. 1534), in der jeweils geltenden Fassung.
Die natürliche Person muss bestimmt (z. B. durch Identifizierungsdaten wie Name und Anschrift, Personalnummer, Kontonummer) oder bestimmbar sein (z. B. durch Bezugnahme auf andere Daten oder äußere Umstände). Aggregierte Daten (Summendaten), wie sie z. B. in der Statistik anfallen, sind nicht personenbezogen; enthält die statistische Gruppe nur Angaben über eine oder zwei Personen, so sind die Daten grundsätzlich wieder personenbezogen.
Bei personenbezogenen Daten, bei denen die verantwortliche Stelle Namen und Anschrift der Betroffenen nicht kennt, ist sie von der Einhaltung solcher Bestimmungen entbunden, die eine solche Kenntnis voraussetzen.
2.1.2 Personenbezogene Daten besonderer Art
Angaben über die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben sind besonders schützenswert. Sie werden entsprechend § 3 Abs. 9 BDSG als personenbezogene Daten besonderer Art definiert. Die Erhebung, Verarbeitung oder Nutzung solcher Daten ist zusätzlichen formellen (§ 14 Abs. 2 Satz 1) und materiellen (§ 26 Abs. 1) Anforderungen unterworfen.
2.1.3 Allgemein zugängliche personenbezogene Daten
Personenbezogene Daten sind dann allgemein zugänglich, wenn sie jedermann ohne oder nach vorheriger Anmeldung, Zulassung oder Entrichtung eines Entgeltes frei verwenden kann. Hierzu zählen insbesondere personenbezogene Daten, die allgemein zugänglichen Quellen entnommen werden können (z.B. Tageszeitungen, Telefonbüchern, Internet).
2.2 Automatisiertes Verfahren
2.2.1.1 Die Definition des automatisierten Verfahrens beschränkt sich auf die Beschreibung der wesentlichen Kriterien, nämlich dass durch den gesteuerten Einsatz von Technik ohne weiteres menschliches Zutun die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten abläuft. Die Definition ist so offen formuliert, dass sie auch künftigen technischen Entwicklungen gerecht wird. Es kommt nicht auf die Speicherung in einer einzelnen Datei an. Entscheidend ist auch nicht, wie viele personenbezogene Daten oder Merkmale erhoben, verarbeitet oder genutzt werden. Regelungsgegenstand sind Vorgänge oder Vorgangsreihen; diese sind mit dem Begriff Verfahren umschrieben.
Auf das Vorliegen eines automatisierten Verfahrens stellen eine Vielzahl von Regelungen des Gesetzes ab, z. B. die Regelungen zum Verfahrensverzeichnis (§ 14 Abs. 3), zur Einsetzung des Beauftragten für den Datenschutz (§ 14a Abs. 1) und zur Gefährdungshaftung (§ 18 Abs. 2).
2.2.1.2a Datei
Das Gesetz verwendet einen doppelten Dateibegriff. Es unterscheidet zwischen automatisierten und nichtautomatisierten Dateien. Der Dateibegriff hat bei Anwendung des DSG-LSA nur geringe Bedeutung. Das DSG-LSA regelt die materielle Zulässigkeit des Umgangs öffentlicher Stellen mit personenbezogenen Daten grundsätzlich unabhängig davon, ob automatisierte Verfahren eingesetzt werden oder ob die Daten in nichtautomatisierten Dateien oder Akten enthalten sind. Der Dateibegriff ist nur bei der Anwendung einzelner Regelungen des DSG-LSA bedeutsam, insbesondere bei solchen verfahrensrechtlicher Art.
2.2.1.2b Automatisierte Datei
Im zweiten Halbsatz wird die bisherige Definition der automatisierten Datei beibehalten. Dies ist erforderlich, weil der Begriff automatisierte Datei in vielen bereichsspezifischen Rechtsvorschriften zum Datenschutz noch verwendet wird. Automatisierte Dateien sind sämtliche elektronisch verarbeiteten Datenbestände personenbezogenen Inhalts, die automatisiert ausgewertet werden können. Von dem Begriff erfasst werden auch Bild- und Tonaufzeichnungen in digitalisierter Form, bei denen eine Auswertbarkeit durch automatisierte Verfahren gegeben ist.
2.2a Nicht-automatisierte Datei
Nicht-automatisierte Datei ist jede sonstige Sammlung personenbezogener Daten, die gleichartig aufgebaut ist und nach bestimmten Merkmalen (mindestens zwei) geordnet, umgeordnet und ausgewertet werden kann (z. B. Kartei, Register, Sammlung von ausgefüllten Antragsvordrucken; nicht aber eine Liste, da sie – ohne physische Veränderung – nicht umgeordnet werden kann). Gleichartig aufgebaut ist eine Sammlung von Daten, die sich entweder auf einem einzigen Datenträger oder auf mehreren physisch gleichartigen Datenträgern (z. B. Karteikarten) befindet. Die darauf gespeicherten Daten müssen auf dem Datenträger in einer bestimmten Ordnung enthalten sein, also in einer für die weitere Verarbeitung geeigneten Weise formalisiert sein.
2.3 Akte
Obwohl das DSG-LSA – anders als das BDSG für den nicht-öffentlichen Bereich – bei seiner Anwendung nicht auf den Umgang mit personenbezogenen Daten in automatisierten Verfahren und in oder aus nicht-automatisierten Dateien beschränkt ist, kommt der Definition der Akte Bedeutung zu. Das Gesetz trifft für Akten einzelne differenzierende Regelungen, die auf die Besonderheiten dieses Mediums abstellen. Akte ist abweichend vom allgemeinen Sprachgebrauch jede sonstige amtlichen, dienstlichen oder Geschäftszwecken dienende Unterlage, die nicht Datei ist. Bild- und Tonträger sind danach Akten, sofern sie nicht bereits als nicht-automatisierte Dateien einzustufen sind oder Teil eines automatisierten Verfahrens sind. Nicht vom Aktenbegriff erfasst werden Notizen und Vorentwürfe. Die Sonderregelungen für Akten und Aktensammlungen gelten nicht, soweit diese durch automatisierte Verfahren umgeordnet und ausgewertet werden können. Das entsprechende Verfahren muss eingerichtet und einsatzbereit sein.
2.4 Erheben
Erheben ist die zielgerichtete (= mit Wissen und Wollen) Beschaffung oder Entgegennahme personenbezogener Daten, und zwar auch dann, wenn der Vorgang nicht in eine Verarbeitung oder Nutzung einmündet. Beispiel: Eine Befragung ergibt, dass keine weiteren Maßnahmen zu treffen sind. Die Übermittlung auf Ersuchen ist seitens der ersuchenden Stelle (Stelle, an die übermittelt werden soll) stets auf eine Erhebung gerichtet.
2.5 Verarbeitung
2.5.2.1 Speichern
Speichern ist das Erfassen, Aufnehmen oder Aufbewahren (z. B. gezielte Aneignung zum Zwecke eigener Verwendung) personenbezogener Daten auf einem Datenträger zum Zwecke ihrer weiteren Verarbeitung oder Nutzung. Datenträger ist jeder Informationsträger, auf dem Daten lesbar festgehalten sind, z. B. auch eine Liste oder ein einzelnes Blatt. Bereits die Kenntnisnahme unaufgefordert mitgeteilter personenbezogener Daten mit dem Ziele ihrer weiteren Verwendung ist Speichern. Das Speichern endet mit dem Löschen der Daten.
2.5.2.3 Übermitteln
Übermitteln setzt grundsätzlich voraus, dass personenbezogene Daten zielgerichtet in den Einflussbereich eines Dritten (Nr. 2.9) gelangen. Auch eine unbeabsichtigte, aber tatsächlich erfolgte Übermittlung kann zielgerichtet sein.
Weitergeben umfasst sowohl die physische Übergabe, Aushändigung oder Übersendung von Datenträgern als auch die bloße Informationsvermittlung (z. B. fernmündlich oder durch schlüssiges Verhalten). Hierbei ist nicht erforderlich, dass der Dritte die Daten tatsächlich zur Kenntnis nimmt. Zum Weitergeben innerhalb der verantwortlichen Stelle und an Auftragnehmer siehe Nrn. 2.6 und 2.9.
Eine Übermittlung durch Einsicht oder Abruf liegt nur vor, wenn der Dritte von der verantwortlichen Stelle zur Einsicht oder zum Abruf bereitgehaltene Daten tatsächlich einsieht oder abruft.
Ein Unterfall der Übermittlung ist die Veröffentlichung. Hierbei handelt es sich um die ungezielte Weitergabe von Daten an unbestimmte Dritte, z. B. in einem Presseorgan. Das Merkmal der Veröffentlichung ist aber auch erfüllt, wenn Daten zum Abruf für unbestimmte Dritte, also für jedermann, bereitgehalten werden.
2.5.2.4 Sperren
Gesperrte Daten sind mit einem entsprechenden Vermerk zu versehen; sie dürfen nur noch unter eingeschränkten Voraussetzungen übermittelt oder genutzt werden (Nr. 16.5).
2.5.2.5 Löschen
Mit dem Löschen endet die Verarbeitung der Daten. Löschen liegt vor, wenn die Daten von Menschen auch unter Zuhilfenahme technischer Mittel nicht mehr zur Kenntnis genommen werden können. Das kann in verschiedener Form geschehen. Auf Papier können Schriftzeichen durch Ausstreichen, Überschreiben oder Schwärzen unkenntlich gemacht werden, aber auch durch Vernichten des Datenträgers (z. B. Verbrennen oder Zerkleinern im Reißwolf). Auf maschinenlesbaren Datenträgern sind Daten dann unkenntlich, wenn durch technische oder organisatorische Mittel sichergestellt ist, dass sie von niemandem mehr zur Kenntnis genommen werden können. Das kann z. B. durch Neuformatierung von Magnetschichten (z. B. Überschreiben) geschehen, wenn die Daten danach für den Lesekopf der Verarbeitungsanlage nicht mehr lesbar gemacht werden können. Ein Datenbestand ist erst dann vollständig gelöscht, wenn auch die Datenträger, die der Datensicherung dienen (Duplikate, Archivbänder), gelöscht wurden.
2.6 Nutzen
Nutzen ist jede Verwendung personenbezogener Daten, die nicht den Begriff der Verarbeitung erfüllt. Dies betrifft wiederum Dateien wie Akten. Das Nutzen ist ein Auffangtatbestand, der immer dann greift, wenn eine Verwendung der Daten keiner Phase der Datenverarbeitung zugeordnet werden kann. Damit wird sichergestellt, dass jeder Umgang mit personenbezogenen Daten vom Gesetz erfasst wird. Nutzen ist insbesondere die Verwendung personenbezogener Daten innerhalb der verantwortlichen Stelle, z. B. die interne Weitergabe an eine andere Organisationseinheit innerhalb der gleichen Behörde. Die daran beteiligten Organisationseinheiten sind zueinander grundsätzlich nicht Dritte (Nr. 2.9).
Eine Nutzung liegt auch vor, wenn ein Datenabgleich durchgeführt wird. Fehlt bei der Informationsverwendung der Personenbezug, liegt ein Nutzen im Sinne des DSG-LSA nicht vor.
2.7 Anonymisieren
Es wird klargestellt, dass personenbezogene Daten nicht nur dann anonymisiert sind, wenn ein Personenbezug überhaupt nicht mehr herstellbar ist, sondern auch dann, wenn die Zuordnung nur noch mit unverhältnismäßigem Aufwand an Zeit, Kosten und Arbeitskraft möglich wäre (faktische Anonymisierung). Je sensibler die Daten sind, desto größer muss der Aufwand sein, sie zu repersonifizieren.
2.7a Pseudonymisieren
Pseudonymisieren ist das Verändern personenbezogener Daten durch Verwendung einer Zuordnungsfunktion derart, dass mit verhältnismäßigem Aufwand Einzelangaben nur in Kenntnis dieser Funktion einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können. An die Stelle identifizierbarer Daten tritt ein Pseudonym, das es ermöglicht, Daten ohne Kenntnis der Identität des Betroffenen zu nutzen. Bei der Wahl der Zuordnungsfunktionen ist darauf zu achten, dass die Pseudonyme möglichst wenig Informationsgehalt aufweisen. Pseudonyme können von unterschiedlichen Personen vergeben werden:
a) durch die betroffene Person,
b) durch einen vertrauenswürdigen Dritten, der allein die Zuordnungsfunktion kennt (z. B. pseudonymisierter Signaturschlüssel nach § 7 des Signaturgesetzes vom 16.5.2001, BGBl. I S. 876, zuletzt geändert durch Art. 4 des Gesetzes vom 26.2.2007, BGBl. I S. 179, in der jeweils geltenden Fassung),
c) durch den Datenverwender.
Im Rahmen des DSG-LSA kommen kurz- und mittelfristig vor allem die Varianten nach Buchst. a und c in Betracht.
2.8 Verantwortliche Stelle
Verantwortliche Stelle ist diejenige Stelle, die Daten für die ihr übertragenen Aufgaben selbst erhebt, verarbeitet oder nutzt oder durch Auftragnehmer erheben, verarbeiten oder nutzen lässt. Werden personenbezogene Daten im Auftrag verarbeitet, ist im Rahmen des Auftrages der Auftragnehmer nicht verantwortliche Stelle; dies ist vielmehr der jeweilige Auftraggeber. Verantwortliche Stellen sind grundsätzlich nicht die juristischen Personen des öffentlichen Rechts selbst, sondern deren Behörden und die von ihnen getragenen sonstigen öffentlichen Stellen. Das Gesetz geht vom organisatorischen und nicht vom funktionalen Stellenbegriff aus; d. h. verschiedene Organisationseinheiten einer Behörde sind grundsätzlich zueinander nicht Dritte, wohl aber Empfänger (Nr. 2.10). Außenstellen einer Behörde sind Teile der verantwortlichen Stelle, soweit sie nicht organisatorisch verselbständigt sind.
2.9 Dritter
2.9.1 Grundsätzlich ist jeder außerhalb der verantwortlichen Stelle Dritter. Außerhalb der verantwortlichen Stelle steht jede natürliche oder juristische Person, Gesellschaft oder andere Personenvereinigung des privaten Rechts sowie jede öffentliche Stelle, die nicht mit der verantwortlichen Stelle identisch oder ein Teil von ihr ist. Maßgebend ist die juristische, nicht die wirtschaftliche Betrachtungsweise.
2.9.2 Als Dritte gelten nicht
a) Betroffene oder
b) diejenigen Stellen, die im Inland, in einem anderen Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (Norwegen, Island und Liechtenstein) personenbezogene Daten im Auftrag erheben, verarbeiten oder nutzen.
2.10 Empfänger
Der Begriff «Empfänger» steht für alle, die Daten erhalten in ihrer Eigenschaft als
a) Dritte,
b) Personen oder Stellen, die für die verantwortliche Stelle personenbezogene Daten im Auftrag verarbeiten oder nutzen, oder
c) anderer Organisationsteil der verantwortlichen Stelle, dem Daten für andere Zwecke zur Verfügung gestellt werden.
Die Einbeziehung anderer Organisationsteile der verantwortlichen Stelle berücksichtigt den Beschluss des BVerfG vom 18.12.1987 (NJW 1988 S. 959), wonach auch innerhalb einer verantwortlichen Stelle eine aufgabenspezifische Trennung im Umgang mit personenbezogenen Daten besteht (informationelle Gewaltenteilung). Die stelleninterne Weitergabe personenbezogener Daten ist grundsätzlich keine Übermittlung, sondern ein Unterfall der Nutzung. Diese Differenzierung hat überwiegend formale Bedeutung, da die materiellen Voraussetzungen der internen Weitergabe nach § 10 und der Übermittlung im öffentlichen Bereich nach § 11 regelmäßig übereinstimmen.
Nicht Empfänger im Sinne des Gesetzes sind Betroffene.
2.11 Mobiler personenbezogener Datenträger
Dies ist ein Datenträger, der alle Voraussetzungen des Absatzes 11 Nrn. 1 bis 3 erfüllt. Die Definition des mobilen personenbezogenen Datenträgers erfasst nicht nur intelligente Medien, insbesondere Chipkarten, sondern auch nicht intelligente Medien, z. B. Magnetkarten oder maschinenlesbare Ausweise. Es wird nicht nur auf Prozesse abgestellt, die auf dem Medium ablaufen, sondern auch auf solche, die durch das Medium in anderen Datenverarbeitungssystemen ausgelöst werden.
Je nach Verwendung können mittels solcher Datenträger Bewegungsprofile erstellt oder beim Einlesen des Datenträgers gespeicherte Daten unbewusst anderen verfügbar gemacht werden. Um diesen Risiken für die Gewährleistung des Rechts auf informationelle Selbstbestimmung zu begegnen, ist vor dem Einsatz mobiler Datenträger nach § 14 Abs. 2 die Vorabkontrolle vorgeschrieben.
Soweit RFID-Tags durch öffentliche Stellen an Betroffene ausgegeben werden und unmittelbar der Verarbeitung personenbezogener Daten dienen, handelt es sich um Datenträger im Sinne des § 2 Abs. 11.
3. Zu § 3 (Anwendungsbereich)
Grundsätzlicher Anwendungsbereich
Die Vorschrift legt den Anwendungsbereich des DSG-LSA und die Ausnahmen hiervon fest. Dabei stellt das DSG-LSA grundsätzlich nur auf die Eigenschaft des Adressaten als einer öffentlichen Stelle ab, ohne danach zu differenzieren, ob dieser hoheitlich oder fiskalisch handelt.
3.1 Öffentliche Stelle
Absatz 1 führt die Adressaten des DSG-LSA an. Satz 1 trifft zugleich eine Legaldefinition öffentlicher Stellen des Landes. Hierzu gehören nicht die Kirchen (Nr. 11.4), wohl aber die Ortskrankenkasse, die allerdings in ihrer Eigenschaft als Leistungsträger bereichsspezifischen Datenschutzvorschriften des Zehnten Buches Sozialgesetzbuch – Sozialverwaltungsverfahren und Sozialdatenschutz -(SGB X) i. d. F. der Bek. vom 18.1.2001 (BGBl. I S. 130), zuletzt geändert durch Art. 263 der Verordnung vom 31.10.2006 (BGBl. I S. 2407), in der jeweils geltenden Fassung unterfällt.
3.1.1.1 Behörde
Behörde ist entsprechend § 1 Abs. 2 VwVfG LSA jede organisatorisch selbständige Stelle, der Aufgaben der öffentlichen Verwaltung zur eigenverantwortlichen Wahrnehmung übertragen sind (z. B. auch die Landtagsverwaltung, der Gerichtspräsident). Äußeres Zeichen der organisatorischen Selbständigkeit ist insbesondere die Befugnis zum eigenverantwortlichen Auftreten im eigenen Namen nach außen. Amtsträger oder Dienststellen, die nach den maßgeblichen organisatorischen Bestimmungen nur im Namen und mit Wirkung für und gegen andere Stellen handeln können, insbesondere Ämter, Sachgebiete, Dezernate, Referate und Abteilungen einer Behörde, sind nicht selbst Behörde oder öffentliche Stelle im Sinne dieses Gesetzes.
3.1.1.2 Organe der Rechtspflege
Zu den Organen der Rechtspflege zählen neben den Gerichten, soweit sie in ihrer originären Funktion der Streitentscheidung in Rechtssachen und im Bereich der freiwilligen Gerichtsbarkeit tätig werden, die Staatsanwaltschaften, die Strafvollzugsbehörden, die Gerichtsvollzieher und die Schiedspersonen. Auch Notare sind Organe der Rechtspflege, da sie Träger eines öffentlichen Amtes sind, durch Hoheitsakt bestellt werden und der Dienstaufsicht der Landesjustizverwaltung unterliegen. Nach § 1 der Bundesrechtsanwaltsordnung in der im BGBl. III, Gliederungs-Nr. 303-8, veröffentlichten bereinigten Fassung, zuletzt geändert durch Art. 1 des Gesetzes vom 26.3.2007 (BGBl. I S. 358), in der jeweils geltenden Fassung, sind auch Rechtsanwälte Organe der Rechtspflege; sie werden aber von § 3 deshalb nicht erfasst, weil es an einer öffentlich-rechtlichen Organisationsform fehlt. Für Rechtsanwälte gelten die für nicht-öffentliche Stellen einschlägigen Vorschriften des Bundesdatenschutzgesetzes.
3.1.1.3 Andere öffentlich-rechtlich organisierte Einrichtungen
Andere öffentlich-rechtlich organisierte Einrichtungen sind nach außen eigenverantwortlich handelnde Stellen, die keine Behördeneigenschaft besitzen, z. B. der Landtag als Parlament, Stellen mit lediglich fiskalischen Aufgaben und öffentliche Wettbewerbsunternehmen.
3.1.1.4 Vereinigungen
Vereinigungen juristischer Personen des öffentlichen Rechts sind ungeachtet ihrer Rechtsform öffentliche Stellen (z. B. die kommunalen Spitzenverbände). Vereinigungen in diesem Sinne sind auch Personen- oder Kapitalgesellschaften (des privaten Rechts), bei denen ausschließlich Adressaten des DSG-LSA (das Land, die Gemeinden, die Landkreise und sonstige der Aufsicht des Landes unterstehende juristische Personen des öffentlichen Rechts) Gesellschafter sind oder sämtliche Anteile halten. Dies gilt auch, wenn die Vereinigung nur von einer juristischen Person des öffentlichen Rechts gebildet ist, gegebenenfalls über eine Schachtelbeteiligung.
Der Begriff der Vereinigung ist hier nach dem Normzweck so auszulegen, dass entscheidendes weiteres Kriterium die Erfüllung einer öffentlichen Aufgabe ist. Im Bereich der Daseinsvorsorge ist von einer solchen Aufgabe nur auszugehen, wenn sich die öffentliche Hand der Wahrnehmung nicht entziehen kann, weil ein dringender öffentlicher Bedarf für eine wirtschaftliche Betätigung der öffentlichen Hand besteht. Dies ist z. B. bei Aufgaben des öffentlichen Personennahverkehrs der Fall. Soweit die Vereinigungen – ganz oder teilweise – keine öffentlichen Aufgaben in diesem Sinne erfüllen (z. B. Energieversorgung, Wohnungswirtschaft, Betrieb einer jedermann zugänglichen KfzWerkstatt), gilt für sie – wie für andere nicht-öffentliche Stellen – uneingeschränkt das BDSG.
Stehen die Vereinigungen bei Erledigung einer öffentlichen Aufgabe im oben beschriebenen Sinne faktisch oder potentiell im Wettbewerb, ist § 3 Abs. 2 Nr. 1 anzuwenden. Die Kontrolle erfolgt in diesem Fall durch den Landesbeauftragten für den Datenschutz unter überwiegender Anwendung des BDSG.
3.1.2 Beliehene
Nicht-öffentliche Stellen, die hoheitliche Aufgaben der öffentlichen Verwaltung wahrnehmen (beliehene Unternehmer), sind z. B. die KfzSachverständigen des TÜV und die Öffentlich bestellten Vermessungsingenieure. Soweit diese Stellen im Rahmen der Beleihung tätig werden, gelten sie als öffentliche Stellen.
Im Übrigen sind nicht-öffentliche Stellen natürliche und juristische Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts (§ 2 Abs. 4 BDSG).
3.2 Ausnahmen vom Anwendungsbereich des DSG-LSA
3.2.1 Am Wettbewerb teilnehmende öffentliche Unternehmen
Soweit Unternehmen, die öffentlichrechtlich organisiert sind (z. B. Eigenbetriebe oder selbständige Anstalten des öffentlichen Rechts) am Wettbewerb teilnehmen, werden sie den materiellen Datenschutzbestimmungen, die das Bundesdatenschutzgesetz für den nicht-öffentlichen Bereich trifft, unterworfen. Diese Vorschriften kommen gemäß § 1 Abs. 2 Nr. 3 bzw. § 27 BDSG grundsätzlich nur zur Anwendung, wenn personenbezogene Daten unter Einsatz von Datenverarbeitungsanlagen oder in oder aus nichtautomatisierten Dateien verarbeitet, genutzt oder dafür erhoben werden, nicht aber bei herkömmlicher Informationsverarbeitung in Akten. Die Unternehmen sind verpflichtet, die Durchführung des Datenschutzes gemäß § 14 zu gewährleisten. Sie haben Verfahrensverzeichnisse nach § 14 Abs. 3 zu führen und Beauftragte für den Datenschutz nach § 14a einzusetzen. Zu beachten sind ferner die Regelungen über den Umgang mit Personal- und Bewerberdaten in § 28 und zum Fernmessen und Fernwirken in § 29. Die Unternehmen unterliegen der Kontrolle durch den Landesbeauftragten für den Datenschutz in §§ 19, 22 bis 24.
3.2.1.1 Krankenhäuser
Krankenhäuser in öffentlich-rechtlicher Trägerschaft gehören zu den öffentlich-rechtlichen Wettbewerbsunternehmen. Bei Erledigung hoheitlicher Aufgaben (z. B. Zwangseinweisungen) nehmen sie nicht am Wettbewerb teil. Soweit Krankenhausträger ein entsprechendes Unternehmen in ihrer Eigenschaft als Sozialleistungsträger nach § 35 des Ersten Buches Sozialgesetzbuch – Allgemeiner Teil – (SGB I) vom 11.12.1975 (BGBl. I S. 3015), zuletzt geändert durch Art. 2 Abs. 15 des Gesetzes vom 5.12.2006 (BGBl. I S. 2748, in der jeweils geltenden Fassung, betreiben, unterliegt das Krankenhaus nach Maßgabe des § 81 Abs. 4 Satz 3 SGB X einzelnen Vorschriften des ersten und zweiten Abschnitts des Bundesdatenschutzgesetzes (Nr. 3.3).
3.2.1.2 Krankenkassen
Soweit sich Krankenkassen, die der Aufsicht des Landes unterstehen (z. B. die Ortskrankenkasse, Innungskrankenkassen, Landwirtschaftliche Krankenkassen oder bestimmte Betriebskrankenkassen) darum bemühen, freiwillig Versicherte im Sinne des § 9 des Fünften Buches Sozialgesetzbuch – Gesetzliche Krankenversicherung – (SGB V) vom 20.12.1988 (BGBl. I S. 2477), zuletzt geändert durch Art. 6 Abs. 3 des Gesetzes vom 20.7.2007 (BGBl. I S. 1574), in der jeweils geltenden Fassung, zu gewinnen oder nicht mehr Versicherungspflichtige als freiwillig Versicherte zu übernehmen, stehen sie damit in Wettbewerb zu privaten Krankenversicherungen. Sie werden insoweit aber nicht zu Wettbewerbsunternehmen im Sinne des § 3 Abs. 2 Nr. 1; die Beziehungen zwischen Krankenkasse und freiwillig Versicherten bestimmen sich ausschließlich nach Sozialleistungsrecht.
3.2.2 Öffentlich-rechtliche Kreditinstitute und öffentlich-rechtliche Versicherungsanstalten
Öffentlich-rechtliche Kreditinstitute und öffentlich-rechtliche Versicherungsanstalten unterliegen allen Vorschriften des Bundesdatenschutzgesetzes, die auf entsprechende privatrechtliche Unternehmen anzuwenden sind, also auch der Kontrolle der Aufsichtsbehörde nach § 38 BDSG. Im Übrigen ist nur § 28 zu beachten, der den Umgang mit Personal- und Bewerberdaten regelt.
Öffentlich-rechtliche Versicherungsanstalten, bei denen Beitrittszwang besteht, nehmen insoweit nicht am Wettbewerb teil und fallen deshalb insoweit in den Anwendungsbereich des DSG-LSA. Dieses gilt auch für organisatorisch und aufgabenmäßig verselbständigte Teile öffentlichrechtlicher Kreditinstitute und Versicherungsanstalten, die dem Wettbewerb nicht zugängliche Aufgaben der öffentlichen Verwaltung wahrnehmen, z. B. die Investitionsbank SachsenAnhalt, soweit sie über die Vergabe von Subventionen und Wohnungsbaufördermitteln entscheidet.
3.2.3 Ausübung des Gnadenrechts
Auch wenn wegen verfahrensmäßiger Besonderheiten bei der Ausübung des Gnadenrechts das DSG-LSA nicht gilt, sollte im Interesse des Persönlichkeitsschutzes soweit wie möglich entsprechend den materiellrechtlichen Vorgaben des DSG-LSA verfahren werden.
3.3 Andere Rechtsvorschriften
3.3.1 Subsidiarität des DSG-LSA
Das DSG-LSA gilt nur subsidiär. Soweit andere Rechtsvorschriften auf personenbezogene Daten anzuwenden sind, haben sie Vorrang, wie z. B.
a) das Gesetz über die öffentliche Sicherheit und Ordnung des Landes Sachsen-Anhalt (SOG LSA) i. d. F. der Bek. vom 23.9.2003 (GVBl. LSA S. 214),
b) das Gesetz über den Verfassungsschutz im Land Sachsen-Anhalt (VerfSchG-LSA) i. d. F. der Bek. vom 6.4.2006 (GVBl. LSA S. 236), zuletzt geändert durch Gesetz vom 16.11.2006 (GVBl. LSA S. 524), und
c) das Meldegesetz des Landes Sachsen-Anhalt (MG LSA) i. d. F. der Bek. vom 11.8.2004 (GVBl. LSA S. 506), zuletzt geändert durch Art. 17 des Gesetzes vom 18.11.2005 (GVBl. LSA S. 698, 702),
in der jeweils geltenden Fassung. Vorrang haben auch solche Rechtsvorschriften, die keine Datenschutzregelungen treffen, aber auf personenbezogene Daten anzuwenden sind, z. B. § 71 LHO hinsichtlich der Pflicht zur Buchführung. Der Umfang des Vorrangs anderer Rechtsvorschriften ist bei der Herausgabe von Verwaltungsvorschriften hierzu allgemein, im Übrigen anlässlich der laufenden Bearbeitung im Einzelfall zu ermitteln.
Treffen die anderen Rechtsvorschriften nur teilweise Regelungen, gilt ergänzend das DSG-LSA. Zum Beispiel ist die Pflicht zu technischen und organisatorischen Maßnahmen im Sinne des § 6 nicht im SOG LSA geregelt.
Für Rechtsvorschriften des Bundes ergibt sich der Vorrang bereits aus Art. 71, 72 oder 31 des Grundgesetzes. Solche Regelungen sind z. B.
a) §§ 67 bis 85 des SGB X,
b) §§ 16, 21 und 22 des Passgesetzes vom 19.4.1986 (BGBl. I S. 537), zuletzt geändert durch Art. 1 des Gesetzes vom 20.7.2007 (BGBl. I S. 1566),
c) § 61 des Personenstandsgesetzes in der im BGBl. III Gliederungsnummer 211-1 veröffentlichten bereinigten Fassung,
d) §§ 86 bis 91a des Aufenthaltsgesetzes vom 30.7.2004 (BGBl. I S. 1950), zuletzt geändert durch Art. 6 des Gesetzes vom 20.7.2007 (BGBl. I S. 1566) und
e) §§ 474 bis 495 der Strafprozessordnung (StPO) in der jeweils geltenden Fassung.
3.3.2 Berufs- oder besondere Amtsgeheimnisse
Die Verpflichtung zur Wahrung gesetzlicher Geheimhaltungspflichten oder von Berufs- oder besonderen Amtsgeheimnissen, die nicht auf gesetzlichen Vorschriften beruhen, bleibt unberührt. So ist z. B. das Arztgeheimnis nur standesrechtlich geregelt, auch wenn dessen Verletzung nach § 203 StGB strafbewehrt ist.
3.4 Abgrenzung zum VwVfG LSA i. V. m. dem VwVfG
Bei der Ermittlung des Sachverhalts im Verwaltungsverfahren ist das DSGLSA gegenüber dem VwVfG LSA i. V. m. den VwVfG vorrangig; dies ist insbesondere bei Anwendung des Untersuchungsgrundsatzes (§ 1 Abs. 1 Satz 1 VwVfG LSA i. V. m. § 24 VwVfG) und der Beiziehung von Beweismitteln (§ 1 Abs. 1 Satz 1 VwVfG LSA i. V. m. § 26 VwVfG) zu beachten. Eine um Amtshilfe ersuchte Behörde darf bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten Amtshilfe nur leisten, soweit dies insbesondere nach § 11 DSG-LSA zulässig ist. Ansonsten bestehen rechtliche Hinderungsgründe im Sinne des § 1 Abs. 1 Satz 1 VwVfG LSA i. V. m. § 5 Abs. 2 Satz 1 Nr. 2 VwVfG.
4. Zu § 4 (Zulässigkeit der Datenerhebung, -verarbeitung und -nutzung)
4.1 Zulässigkeit der Datenerhebung, -verarbeitung oder -nutzung
Ob eine Erhebung, Verarbeitung oder Nutzung personenbezogener Daten zulässig ist, kann sich aus anderen Rechtsvorschriften (Nr. 3.3) oder dem DSG-LSA selbst ergeben (z.B. §§ 4, 9, 10, 11). Gemeint sind damit materielle Rechtsnormen im weitesten Sinne; z. B. auch kommunale Satzungen und Satzungen sonstiger öffentlich-rechtlicher Körperschaften (z. B. der IHK). Ein Schluss von der Aufgabe auf die Befugnis ist grundsätzlich nicht möglich.
Die entsprechende Rechtsvorschrift muss die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten ausdrücklich erlauben oder vorschreiben.
4.2 Einwilligung
Soweit die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten von der Einwilligung Betroffener abhängig gemacht wird, ist eine informierte Einwilligung vorgesehen. Die Einwilligung ist die vorherige Zustimmung Betroffener. Die Betroffenen müssen handlungsfähig (§ 1 Abs. 1 Satz 1 VwVfG LSA i. V. m. § 12 VwVfG) sein (z. B. Religionsmündigkeit ab Vollendung des 14. Lebensjahres nach § 5 des Gesetzes über die religiöse Kindererziehung in der im BGBl. III, Gliederungs-Nr. 404-9, veröffentlichten bereinigten Fassung, geändert durch Art. 7 § 31 des Betreuungsgesetztes vom 12.9.1990, BGBl. I S. 2002, in der jeweils geltenden Fassung, eigene Meldepflicht nach § 9 Abs. 3 MG LSA ab Vollendung des 16. Lebensjahres). Sind Betroffene nicht handlungsfähig, erteilen die gesetzlichen Vertreter oder im Rahmen ihres Aufgabenkreises Betreuer im Sinne des Betreuungsgesetzes die Einwilligung.
Ein Muster für Einwilligungserklärungen ist als Anlage 1 beigefügt.
Die Einwilligung kann genutzt werden, um im Falle der Zweckänderung vom Grundsatz der Erhebung bei Betroffenen abzuweichen. Hierdurch können die Betroffenen über die Fälle des § 10 Abs. 2 Nr. 3 hinaus von Mehrfacherhebungen freigestellt werden.
4.2.1 Allgemeine Anforderungen
Die Einwilligung muss hinreichend bestimmt sein. Besondere Bedeutung kommt der Information der Betroffenen zu.
4.2.2 Form
Soweit nicht wegen besonderer Umstände eine andere Form oder ein anderer Inhalt angemessen ist, bedarf die Einwilligung der Schriftform (§ 126 des Bürgerlichen Gesetzbuches – BGB) und muss die Art der Daten, die Form ihrer Verarbeitung und die Dritten, an die Übermittlungen vorgesehen sind, bestimmen. Ist damit zu rechnen, dass die Daten von manuellen in automatisierte Verfahren übernommen werden, sollte die Einwilligung auch zur automatisierten Verarbeitung eingeholt werden.
Die Ersetzung der Schriftform durch die elektronische Form (mit qualifizierter elektronischer Signatur) kann nach § 126a BGB oder für die öffentlichrechtliche Verwaltungstätigkeit nach § 1 Abs. 1 Satz 1 VwVfG LSA i. V. m. § 3a Abs. 2 VwVfG erfolgen. Eine geringerwertige als die qualifizierte elektronische Signatur kommt in Betracht, wenn nach § 4 Abs. 2 Satz 2 wegen des Vorliegens besonderer Umstände von der Schriftform abgewichen werden darf.
4.2.3 Mehrzahl von Erklärungen
Die Einwilligung kann auch zusammen mit anderen Erklärungen schriftlich erteilt werden; sie ist dann aber drucktechnisch besonders hervorzuheben.
4.2.4 Widerruf
Das Recht, die Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen, ist abdingbar (Nr. 17.1). Haben sich Betroffene einmal mit der Erhebung, Verarbeitung oder Nutzung einverstanden erklärt, so wird bei unveränderten Verhältnissen davon ausgegangen werden können, dass die Einwilligung weiterhin Gültigkeit besitzt und nicht erneut eingeholt werden muss.
4.4 Einwendungsrecht
4.4.1 Recht der Betroffenen
Die Betroffenen haben das Recht, sich gegen die Erhebung, Verarbeitung oder Nutzung ihrer Daten zu wenden, auch wenn die rechtlichen Voraussetzungen für den Umgang mit den Daten dem Grunde nach vorliegen. Für das Erheben von Einwendungen ist keine bestimmte Form vorgeschrieben. Wenn die Behörde bei der gebotenen Abwägung zu dem Ergebnis kommt, dass die von der betroffenen Person vorgetragenen besonderen persönlichen Gründe das öffentliche Interesse an der Erhebung, Verarbeitung oder Nutzung der Daten überwiegen, dann muss der Umgang mit den Daten unterbleiben oder so gestaltet werden, wie es dem Anliegen der betroffenen Person entspricht. Die Einwendung kann z. B. darauf gerichtet sein, dass eine Angelegenheit, die höchstpersönliche Daten zum Gegenstand hat, nicht von zum Bekanntenkreis der betroffenen Person gehörenden Mitarbeitern bearbeitet wird. Solche Personen sind nicht nach § 1 Abs. 1 Satz 1 VwVfG LSA i. V. m. § 20 VwVfG LSA vom Handeln ausgeschlossen. Das Ergebnis der Abwägung ist den Betroffenen mitzuteilen. Gegen eine ablehnende Entscheidung kann Widerspruch nach den Regeln des Verwaltungsprozessrechtes einlegt werden (§§ 68 bis 70 der Verwaltungsgerichtsordnung (VwGO) i. d. F. der Bek. vom 19.3.1991 (BGBl. I S. 686), zuletzt geändert durch Art. 3 des Gesetzes vom 21.12.2006, BGBl. I S. 3316, in der jeweils geltenden Fassung).
4.4.2 Ausschluss des Einwendungsrechts
Das Einwendungsrecht besteht nur eingeschränkt gegenüber Sicherheitsbehörden, Strafverfolgungsorganen und Stellen der Finanzverwaltung.
4a. Zu 4a (Automatisierte Einzelentscheidungen)
4a.1 Verbot der alleinigen automatisierten Einzelentscheidung
Für eine betroffene Person nachteilige Entscheidungen, die auf einer Bewertung ihrer Persönlichkeitsmerkmale beruhen, dürfen vorbehaltlich einer spezialgesetzlichen Regelung nicht allein auf das Ergebnis einer automatisierten Verarbeitung gestützt sein. Solche Entscheidungen müssen letztlich immer von einer natürlichen Person verantwortet werden. § 90g Abs. 4 des Beamtengesetzes Sachsen-Anhalt (BG LSA) i. d. F. der Bek . vom 9.2.1998 (GVBl. LSA S. 50), zuletzt geändert durch Art. 2 des Gesetzes vom 21.3.2006 (GVBl. LSA S. 102, 120), in der jeweils geltenden Fassung geht nach § 3 Abs. 3 Satz 1 vor.
Das Verbot kommt dann zum Tragen, wenn mehrere Informationen über die Persönlichkeit der betroffenen Person zusammengeführt werden und einer rein automatisierten Bewertung unterzogen werden sollen. Die ausgewerteten Informationen müssen dabei eine gewisse Komplexität (z. B. Angaben über die berufliche Leistung, die Zuverlässigkeit) aufweisen. Bloße Vorentscheidungen, wie etwa die automatisierte Vorauswahl im Vorfeld einer Personalbesetzung (automatisierter Abgleich des Personalbestandes anhand bestimmter Suchkriterien wie Alter, Ausbildung, Zusatzqualifikation) sind nicht erfasst, auch nicht reine Messwerte.
4a.2 Ausnahmen vom Verbot automatisierter Einzelentscheidungen
Das Verbot automatisierter Einzelentscheidungen im Sinne des Abs. 1 gilt nicht, wenn
a) ein Gesetz solche Entscheidungen ausdrücklich vorsieht oder
b) die Betroffenen vorher Gelegenheit zur Stellungnahme erhalten und damit auf die Entscheidung Einfluss nehmen können.
5. Zu § 5 (Datengeheimnis)
Während das DSG-LSA im Allgemeinen nur Regelungen für die datenverarbeitenden Stellen enthält, wendet es sich in § 5 unmittelbar an die bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten beschäftigten Personen und untersagt jede Erhebung, Verarbeitung oder Nutzung, die nicht durch die zur jeweilig rechtmäßigen Aufgabenerfüllung gehörenden Zwecke gerechtfertigt ist. Eine Verletzung des Datengeheimnisses wird in den meisten Fällen gleichzeitig eine Verletzung der Amtverschwiegenheit oder einen Verstoß gegen die arbeitsvertragliche Schweigepflicht darstellen; auch kann zugleich eine Verletzung spezieller Geheimhaltungsvorschriften, z. B. der Schweigepflicht nach § 10 des Landespersonalvertretungsgesetzes Sachsen-Anhalt (PersVG LSA) i. d. F. der Bek. vom 16.3.2004 (GVBl. LSA S. 205, 491), zuletzt geändert durch Art. 3 des Gesetzes vom 21.3.2006 (GVBl. LSA S. 102, 122), in der jeweils geltenden Fassung, vorliegen. Die zur Wahrung des Datengeheimnisses Verpflichteten sind grundsätzlich Beamte oder Richter im statusrechtlichen Sinne; anderenfalls stehen sie in einem sonstigen öffentlich-rechtlichen Amtsverhältnis oder sind nach dem Verpflichtungsgesetz vom 2.3.1974, BGBl. I S. 469, geändert durch § 1 Nr. 4 des Gesetzes vom 15.8.1974 (BGBl. I S. 1942), in der jeweils geltenden Fassung verpflichtet und dementsprechend Amtsträger im Sinne des § 11 Abs. 1 Nr. 2 StGB.
Verstöße gegen das Datengeheimnis können dienstrechtlich verfolgt und nach § 31 und anderen einschlägigen Rechtsvorschriften (z. B. § 203 StGB) mit Freiheits- oder Geldstrafe geahndet werden. Sie können auch Anlass einer außerordentlichen Kündigung sein. ine förmliche Verpflichtung auf das Datengeheimnis sieht das DSG-LSA nicht vor. Es empfiehlt sich allerdings ein Hinweis oder eine Belehrung über die Pflichten nach dem DSG-LSA.
6. Zu § 6 (Technische und organisatorische Maßnahmen)
6.1 Datensicherheit
Das DSG-LSA verwendet in § 6 nicht den Begriff Datensicherheit, regelt aber diesem Zweck dienende Maßnahmen, soweit sie für den Datenschutz von Bedeutung sind, also dem Schutz des Persönlichkeitsrechts dienen. Durch geeignete technische und organisatorische Vorkehrungen soll die Erfüllung der Vorschriften des DSG-LSA gewährleistet werden, also der Beeinträchtigung schutzwürdiger Interessen Betroffener bei der Datenverarbeitung entgegengewirkt werden.
Datensicherheit bezeichnet also zunächst einen Zustand und beinhaltet darüber hinaus die Umsetzung aller technischen und organisatorischen Maßnahmen, die von einer öffentlichen Stelle zu treffen sind, um eine Verletzung des Persönlichkeitsrechts Einzelner bei der Erhebung, Verarbeitung oder Nutzung seiner personenbezogenen Daten zu verhindern. Diese Maßnahmen sind sowohl für automatisierte als auch für nicht-automatisierte Verfahren zu treffen und umzusetzen. Ziel aller getroffenen technischen und organisatorischen Maßnahmen ist eine störungsfreie und gegen Missbrauch gesicherte Datenverarbeitung. Maßnahmen der Datensicherheit sind für jede Art von Datenverarbeitung unerlässlich; besonders wichtig sind sie in automatisierten Verfahren. Jede Störung oder Verzögerung der Datenverarbeitung kann schwerwiegende Folgen haben.
6.1.1 Pflicht zur Datensicherheit
Nach Satz 1 sind Maßnahmen zur Gewährleistung der Datensicherheit unabhängig von der Art des Umgangs mit personenbezogenen Daten zu treffen. Der Verweis auf die Absätze 2 und 3 stellt klar, dass je nachdem, ob personenbezogene Daten automatisiert oder nicht-automatisiert erhoben, verarbeitet oder genutzt werden, unterschiedliche Anforderungen bestehen.
6.1.1.1 Verpflichtete Stelle
Zu den technischen und organisatorischen Maßnahmen ist jede öffentliche Stelle verpflichtet, die selbst oder im Auftrag solcher Stellen personenbezogene Daten erhebt, verarbeitet oder nutzt. Verpflichtet ist somit einmal die verantwortliche Stelle im Sinne des § 2 Abs. 8, zum anderen aber auch ein öffentlicher Auftragnehmer im Sinne des § 8 Abs. 4. Für andere Auftragnehmer ergibt sich die entsprechende Pflicht aus den für sie einschlägigen Datenschutzvorschriften, z. B. bei Auftragnehmern im Sinne des § 8 Abs. 5 oder 6, § 11 Abs. 4 BDSG.
Beauftragt eine verantwortliche Stelle ganz oder teilweise eine andere Stelle mit der Durchführung der Erhebung, Verarbeitung oder Nutzung, dann ist die Verantwortung für die Durchführung der Maßnahmen zwischen Auftraggeber und Auftragnehmer verteilt.
6.1.1.2 Pflichten der öffentlichen Stelle als Auftraggeber
Der Auftraggeber hat nach § 8 Abs. 2 Satz 1 bei Erteilung des Auftrages die vom Auftragnehmer vorgesehenen technischen und organisatorischen Maßnahmen zu berücksichtigen. Die Wirksamkeit dieser Maßnahmen ist ein Auswahlkriterium für die Vergabe des Auftrages. Dem Auftraggeber müssen aber nicht notwendigerweise alle im Einzelnen getroffenen Maßnahmen offengelegt werden; dies könnte zu einer Ausspähung führen.
6.1.1.3 Überprüfung der Maßnahmen des Auftragnehmers
Der Auftraggeber hat sich nach Maßgabe des § 8 Abs. 2 Satz 4 beim Auftragnehmer von der Einhaltung der getroffenen technischen und organisatorischen Maßnahmen zu überzeugen.
6.1.2 Angemessenheit der einzelnen Maßnahmen
Eine Datensicherheitsmaßnahme ist nicht schon allein deshalb zu treffen, weil sie objektiv geeignet ist, ein Höchstmaß an Datensicherheit zu gewährleisten. Alle Maßnahmen stehen unter dem Grundsatz der Angemessenheit (Abs. 1 Satz 2). Eine Maßnahme braucht dann nicht getroffen zu werden, wenn der durch sie verursachte Aufwand im Verhältnis zu dem vom Gesetz verlangten Schutz der Daten unangemessen groß wäre. Dieser Grundsatz darf jedoch nicht dazu führen, die dem DSG-LSA unterliegende Datenverarbeitung ohne jede Sicherheitsmaßnahme zu lassen. Soweit im Einzelfall eine Anforderung nicht durch angemessene Maßnahmen voll erfüllt wird, ist die dadurch entstehende Lücke durch entsprechende Maßnahmen zur Erfüllung anderer Anforderungen zu schließen.
Ob eine Maßnahme als verhältnismäßig anzusehen ist, kann nur an Hand der konkreten Umstände des Einzelfalles entschieden werden. Dabei ist zwischen dem vom DSG-LSA verlangten Schutz der Daten und dem durch die Maßnahme verursachten Aufwand abzuwägen.
Als Entscheidungshilfen bei der Angemessenheitsprüfung können neben der Art der verarbeiteten Daten und ihrer Schutzwürdigkeit auch die Menge der verarbeiteten Daten sowie die Art der eingesetzten Verfahren dienen; so erfordern z. B. Angaben über gesundheitliche Verhältnisse, strafbare Handlungen, religiöse oder politische Anschauungen weitergehende Schutzvorkehrungen. Gleiches gilt, je mehr Daten über Betroffene gespeichert werden (z. B. mit Hilfe einer Datenbank).
Es sind immer alle erforderlichen technischen und organisatorischen Maßnahmen zu treffen, um die Ausführung der Vorschriften des DSGLSA zu gewährleisten. Satz 3 verpflichtet dazu, das Sicherheitskonzept fortzuschreiben, d. h. die Technikentwicklung zu beobachten und dementsprechend die Schutzmaßnahmen zu überprüfen und bei Bedarf neu einzurichten.
6.1.3 Auswahl der Maßnahmen
Der zur Datensicherheit Verpflichtete muss in eigener Verantwortung unter den in Betracht kommenden technischen und organisatorischen Maßnahmen jene auswählen, die den vorgeschriebenen Schutz der Daten gewährleisten. Sie sind vor dem Einsatz eines neuen oder geänderten Verfahrens im Einzelnen festzulegen und mit Beginn des Einsatzes zu realisieren. Im Falle der Auftragsdatenverarbeitung wirken Auftraggeber und Auftragnehmer zusammen. Für das gesamte Verfahren trägt der Auftraggeber die Verantwortung.
Für die Wirksamkeit der Datensicherheit ist die Summe aller Maßnahmen entscheidend. Die Datensicherheit ist dann ausreichend, wenn die getroffenen technischen und organisatorischen Maßnahmen in ihrer Gesamtheit einen hinreichenden Schutz gegen die Beeinträchtigung schutzwürdiger Interessen der Betroffenen beim Umgang mit ihren Daten gewährleisten.
6.2 Anforderungen bei automatisierten Verfahren
Die neu eingeführten 6 Sicherheitsziele sind technologieunabhängig und zeigen einen Sicherheitsrahmen auf, der auch bei neuen Formen der Datenverarbeitung anwendbar ist. Das DSG-LSA greift teilweise die auch für Sicherheit in der Informationstechnik (IT-Sicherheit) notwendigen Sicherheitsziele auf (Vertraulichkeit, Integrität, Verfügbarkeit), teilweise geht es mit den in Abs. 2 festgelegten weiteren Sicherheitszielen (Authentizität, Revisionsfähigkeit, Transparenz) im Interesse eines wirksamen Schutzes der personenbezogenen Daten darüber hinaus.
Abhängig von den jeweiligen technischen Gegebenheiten sind im Einzelfall die Maßnahmen festzulegen, die den geforderten Sicherheitsrahmen erfüllen. Die Maßnahmen müssen zur Erreichung des angestrebten Schutzniveaus angemessen sein und das verbleibende Restrisiko tragbar machen. Dementsprechend ist vor dem Einsatz eines automatisierten Verfahrens
a) der Grad der Schutzbedürftigkeit der personenbezogenen Daten festzustellen,
b) eine Bedrohungs- und Risikoanalyse durchzuführen,
c) ein auf dem IT-Sicherheitskonzept basierendes Datensicherheitskonzept zu erstellen und umzusetzen sowie
d) eine entsprechende Kontrolle und Fortschreibung des Datensicherheitskonzeptes zu gewährleisten.
Diese Vorgehensweise ist auch Grundlage für die Verfahrensfreigabe und die Vorabkontrolle gemäß § 14 Abs. 2.
6.2.1 Vertraulichkeit
Vertraulichkeit ist gewährleistet, wenn die gespeicherten Daten nicht in die Hände Unbefugter geraten können. Das Ziel kann durch unterschiedliche Maßnahmen erreicht werden wie die sichere Aufbewahrung oder Unterbringung der verwendeten Hardware und Backup-Datenträger, die Nutzung von Verschlüsselungssoftware bei der Speicherung in unsicheren Umgebungen (z. B. Notebook, Laptop, lokaler PC) und bei der Datenübertragung in Netzwerken oder durch vertrauliche Behandlung von Angaben über verwendete Hard- und Software und die Systemkonfiguration. Beispiele:
a) sichere Unterbringung von Rechentechnik (z. B. Serverräume),
b) Schutz von Serverräumen vor unbefugtem Zugang,
c) Ausschluss der Nutzung von privater Hard- oder Software für dienstliche Belange oder Ausschluss der Nutzung dienstlicher Hard- oder Software für private Belange,
d) Sicherung von Hard- und Softwareschnittstellen,
e) Einsatz von Verschlüsselungsverfahren bei der Datenspeicherung oder der Datenübertragung (z. B. im lokalen Netz einer Behörde – LAN -, im Intranet des Landes – WAN – oder im Internet),
f) Einrichtung einer an der Aufgabenstellung orientierten restriktiven Benutzerverwaltung und Rechtevergabe (Sicherstellung des Zugriffs Berechtigter ausschließlich auf ihre Programme und ihren Datenbestand),
g) Ausnutzung und Aktivierung der Sicherheitseinstellungen von Betriebssystemen, Datenbankbetriebssystemen und anderen Verarbeitungsprogrammen,
h) Einrichtung von zuverlässigen Identifikations- und Authentisierungsmechanismen,
i) Festlegung von Anmeldeversuchsbeschränkungen (z. B. Sperrung der Benutzung nach mehr als drei Fehlversuchen),
j) Einrichtung von Zeitbeschränkungen, die sich an der regelmäßigen Arbeitszeit orientieren.
6.2.2 Integrität
Integrität ist gewährleistet, wenn Datenbestände unversehrt, vollständig und aktuell sind, also verlässlich richtig. Integrität muss während der Erhebung, allen Phasen der Verarbeitung und bei der Nutzung gegeben sein. Unter anderem muss gewährleistet sein, dass Daten nicht durch Computerviren oder andere Schadsoftware verfälscht werden. Dies ist beim Anschluss an das weltweite Internet besonders wichtig. Beispiele:
a) Plausibilitätskontrollen bei der Eingabe von Daten,
b) regelmäßige Überprüfung und Aktualisierung der Datenbestände,
c) Kontrolle der Durchführung von Reparaturen, Wartung oder Fernwartung von Hard- und Software durch Fremdfirmen,
d) Einsatz von Technologien zum Schutz vor schadenstiftender Software,
e) Einsatz von sogenannten FirewallSystemen (Firewall = Brandschutzmauer) zur Abschottung von Verwaltungsnetzen gegenüber Fremdnetzen (z. B. dem Internet).
6.2.3 Verfügbarkeit
Verfügbarkeit liegt vor, wenn Daten zeitgerecht zur Verfügung stehen und ordnungsgemäß verarbeitet oder genutzt werden können. Die Verfügbarkeit bezieht sich nicht nur auf die gespeicherten personenbezogenen Daten im engeren Sinne, sondern gleichermaßen auf die Hardware und die zur Verarbeitung erforderlichen Programme. Ein DV-System muss also in seiner Gesamtheit die vorgesehene Funktionalität bieten und zeitgerecht zur Verfügung stehen. Beispiele:
a) Maßnahmen zur Ausfallsicherheit des Verfahrens (z. B. ErsatzServer; Einsatz redundanter Datenträger; schnelle Wiederanlaufverfahren oder Wiedereinspielung eines Datenbestandes; ErsatzRechenzentren),
b) Einsatz von Technik für eine unterbrechungsfreie Stromversorgung der Hardware (USV),
c) Durchführung einer zeitnahen und regelmäßigen Datensicherung des Datenbestandes (Backup) und der Überprüfung des Backup-Datenbestandes auf Nutzbarkeit,
d) Schutz vor Vandalismus oder gefährlichen äußeren Einflüssen (Feuer, Wasser, starke mechanische Belastung, magnetische Störungen),
e) Aufbewahrung von Datenträgern und sonstigen Backup-Medien in einem sogenannten DATA-Safe oder einem Datensicherungsraum (mit entsprechenden RAL-Prüfsiegeln).
6.2.4 Authentizität
Die Authentizität ist hauptsächlich bei elektronisch übertragenen Dokumenten bedroht. Dem kann durch Verfahren begegnet werden, bei denen die Herkunft der Daten nachvollziehbar ist. Bei der Bewertung der Verfahren sind verwendete Hardwarekomponenten und Programme einzubeziehen, z. B. beim e-Government oder beim elektronischen Zahlungsverkehr. Beispiel: Einsatz von Signaturverfahren, bei denen rechtsverbindlich festgestellt werden kann, ob die Daten von den Betroffenen autorisiert (z. B. digital signiert) sind oder wer Urheber von Daten ist, die nicht von den Betroffenen stammen (z. B. bei Datenübermittlung).
6.2.5 Revisionsfähigkeit
Revisionsfähig sind Daten, wenn nachprüfbar ist, wie Daten in einen Datenbestand gelangt sind und welche Veränderungen sie im Laufe der Zeit erfahren haben. Nachprüfbar muss sein, wer für das Aufnehmen bestimmter Daten in einen Datenbestand oder ihr Entfernen daraus die Verantwortung trägt. Dabei ist jedoch zu bedenken, dass Protokollierungsdaten selbst ein datenschutzrechtliches Risiko bergen. Sie unterliegen deshalb einer engen Zweckbindung nach § 10 Abs. 4. Beispiele:
a) Auswertung von Protokolldateien,
b) Nachvollziehen, wer in welcher Weise Daten eingegeben, verändert oder gelöscht hat, woher oder wohin Daten übermittelt wurden (z. B. Auswertungstools für Protokolldateien).
6.2.6 Transparenz
Automatisierte Verfahren sind in aktueller Form nachvollziehbar zu dokumentieren. Die einzelnen Verfahrensschritte müssen dabei so beschrieben werden, dass die systematische Richtigkeit der Prozesse nachvollziehbar wird. Dieses Sicherungsziel steht in unmittelbarem Zusammenhang mit § 15 (Auskunft) und § 23 (Durchführung der Aufgaben). Beispiele:
a) Dokumentation der Freigabe oder der Vorabkontrolle nach § 14 Abs. 2,
b) Dokumentation von wesentlichen Programmveränderungen oder laufende Fortschreibung der Programmdokumentation, so dass ein Verfahren in allen Verarbeitungsschritten dokumentiert ist und in zumutbarer Zeit nachvollzogen werden kann,
c) ordnungsgemäße Führung des Verfahrensverzeichnisses gem. § 14 Abs. 3.
6.3 Nicht-automatisierte Verfahren
Nicht-automatisierte Verfahren sind solche Verfahren, in denen die Verfahrensschritte ohne Hilfe programmgesteuerter Geräte ablaufen. Dabei ist es unerheblich, ob diesen Verfahren automatisierte Verfahren vorausgehen oder nachfolgen. Datenverarbeitung in nicht-automatisierten Verfahren findet z. B. in manuellen Karteien, Sammlungen gleichartiger Formblätter oder herkömmlichen Akten statt.
Sammlungen von Datenträgern, die zugleich in automatisierten Verfahren verarbeitet werden, unterliegen hinsichtlich ihrer automatisierten Verarbeitung dem Abs. 2, hinsichtlich ihrer nicht-automatisierten Verarbeitung dem Abs. 3. Auch für diese Verfahren sind jedoch nach Abs. 1 geeignete technische und organisatorische Maßnahmen zu treffen, um der Beeinträchtigung schutzwürdiger Belange Betroffener entgegenzuwirken. Der Verhinderung des Zugriffs durch Unbefugte (Vertraulichkeit) kommt zentrale Bedeutung zu. Wenn dies erreicht ist, dann ist in aller Regel auch ausgeschlossen, dass jemand unbefugt Daten zur Kenntnis nehmen oder diese verändern oder löschen kann.
Notwendigkeit und Umfang einzelner Maßnahmen der Datensicherheit beurteilen sich nach den in Nrn. 6.1.1 bis 6.1.3 dargestellten Grundsätzen.
Besonders in nachstehenden Bereichen sind Maßnahmen angezeigt:
a) Erfassen und Bearbeiten von Daten,
b) Weitergeben von Daten, ihr Bereithalten zur Einsichtnahme und der Transport von Datenträgern,
c) Aufbewahren von Daten,
d) Vernichten von Datenträgern.
Soweit Vorentwürfe und Notizen nicht Bestandteil eines Vorgangs werden und personenbezogene Daten enthalten, ist eine ordnungsgemäße Vernichtung, z. B. mittels eines Aktenvernichters, zu gewährleisten.
7. Zu § 7 (Einrichtung automatisierter Abrufverfahren)
Ein automatisiertes Abrufverfahren ist ein Datenverarbeitungsverfahren, in dem Einzeldaten oder ganze Datenbestände durch Abruf an einen Dritten (§ 2 Abs. 9) übermittelt (§ 2 Abs. 5 Satz 2 Nr. 3 Buchst. a Doppelbuchst. bb) werden können.
Wesentlich für den Abruf ist das Moment der Selbstbedienung. Werden Art und Umfang der zu übermittelnden Daten allein von der übermittelnden Stelle bestimmt und kann der Dritte nur den Zeitpunkt festlegen, liegt kein Abrufverfahren im Sinne des § 7 vor, so etwa bei der regelmäßigen Übermittlung der Kfz-Zulassungsdaten durch Zulassungsstellen an das Kraftfahrtbundesamt im automatisierten Verfahren. In Betracht kommt der Abruf eines Datensatzes, des Teils eines Datensatzes oder mehrerer Datensätze (eines Datenbestandes). Gegenstand eines Abrufs kann auch das Ergebnis einer Datenverarbeitung sein, z. B. des Vergleichs oder Abgleichs zweier Datenbestände.
7.1 Zulässigkeit automatisierter Abrufverfahren
Automatisierte Abrufverfahren sind wegen des erhöhten Gefährdungspotentials für das Persönlichkeitsrecht und der Änderung der Verantwortlichkeit für die Übermittlung vom Gesetzgeber nur eingeschränkt zugelassen. Eine vorweg genommene pauschalierte Prüfung muss ergeben haben, dass das Verfahren bei Abwägung der Interessen Betroffener am Ausschluss automatisierter Abrufe mit den Interessen der an Abrufen beteiligten Stellen angemessen ist. Wesentliche Faktoren sind die Dringlichkeit und die Häufigkeit von Übermittlungen. Die Prüfung erfolgt im Rahmen der Vorabkontrolle nach § 14 Abs. 2.
Außerdem müssen beim einzelnen Abruf die Voraussetzungen für eine Übermittlung im Einzelfall gegeben sein.
7.2.1 Kontrollierbarkeit
Satz 1 verlangt nur, dass die Zulässigkeit des Abrufverfahrens, nicht jedoch des einzelnen Abrufs kontrolliert werden kann. Satz 2 schreibt vor, welche Einzelheiten vor Inbetriebnahme des Verfahrens schriftlich festzulegen sind.
7.2.2 Festlegungen bei automatisierten Abrufverfahren
Technische und organisatorische Maßnahmen haben die zum Abruf bereithaltende und die zum Abruf berechtigte Stelle zu treffen. Es ist Aufgabe der verantwortlichen Stelle, die einzelnen Benutzer (die einzelnen Mitarbeiterinnen und Mitarbeiter) der abrufenden Stelle zu identifizieren und deren Abrufberechtigung festzustellen. Einzelheiten dieser und aller weiteren Maßnahmen zur Sicherheit des Verfahrens sind bei der Vereinbarung des Abrufverfahrens von der verantwortlichen Stelle und der abrufenden Stelle festzulegen. Erforderlich sind solche Maßnahmen, die in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck stehen (§ 6 Abs. 1 Satz 2).
Wegen der prinzipiellen Angreifbarkeit des öffentlichen Wählnetzes, insbesondere des Telefonnetzes, können bei besonders sensiblen Daten anstelle von Wählanschlüssen auch festgeschaltete Leitungen erforderlich sein.
Die erforderlichen Festlegungen sind unter Berücksichtigung des Ergebnisses der Vorabprüfung (Nr. 14.2.1) durch den Beauftragten für den Datenschutz (Nr. 14a.4.2.2) zu treffen.
7.3 Vorabunterrichtung des Landesbeauftragten für den Datenschutz
Die Unterrichtung des Landesbeauftragten für den Datenschutz ist so rechtzeitig durchzuführen, dass er die Zulässigkeit des Verfahrens vor dessen Einrichtung prüfen kann. Die Unterrichtung erfolgt, sofern alle beteiligten Stellen seiner Kontrolle unterliegen, nur durch die Stelle, die die Daten zum Abruf bereithält. Für die Unterrichtung können Auszüge aus Entwürfen zum Verfahrensverzeichnis verwendet werden. Das Ergebnis der Vorabkontrolle sollte schriftlich festgehalten werden.
7.4 Protokollierung und Prüfung einzelner Abrufe
Die Prüfung der Zulässigkeit des einzelnen Abrufs kann grundsätzlich nur im Nachhinein, also nach erfolgtem Abruf, durch Auswertung von Abrufprotokollierungen erfolgen. Der Umfang der Protokollierung ist jeweils für das einzelne Abrufverfahren festzulegen. Zumindest für einen Teil der Abrufe werden Zeitpunkt und Inhalt (Anfragetext und Antworttext) sowie abrufende Stelle und abrufende Person dokumentiert. Eine Vollprotokollierung, d. h. eine lückenlose Protokollierung aller Abrufe mit allen genannten Details, ist grundsätzlich nicht gefordert. Gleichwohl kann sie unter besonderen Umständen geboten sein. Solche Umstände können sich aus der Sensibilität der gespeicherten Daten, der Art des Übertragungsweges, aus dem Benutzerkreis oder aus allen drei Kriterien ergeben. Selbst wenn alle Anforderungen des § 6 erfüllt sind, ist ein Eindringen über die Online-Verbindung in den Datenbestand durch Unbefugte nicht auszuschließen. Zwar dient die Einrichtung geeigneter Stichprobenverfahren der Gewährleistung der Kontrolle (durch den Landesbeauftragten für den Datenschutz oder die Aufsichtsbehörde), es ist aber vor allem Sache der verantwortlichen Stelle zu überprüfen, ob unbefugt auf die von ihr gespeicherten Daten zugegriffen wird. Dies schließt aber eine Schadenersatzpflicht der abrufenden Stelle für eintretende Schäden nicht aus.
Liegen keine besonderen Umstände vor, so erfolgt die Protokollierung in Form einer Auswahl oder ausschnittsweise, wobei sich die Ausschnitte auf Zeiträume, Benutzer oder Benutzergruppen, Datenarten oder Dateninhalte beziehen oder an definierte Ereignisse (z. B. Abrufhäufigkeit) anknüpfen können. Die Auswahl sollte flexibel und situationsangemessen sein. Eine statistisch gleichmäßige (repräsentative) Berücksichtigung des Gesamtaufkommens der Abrufe ist nicht geboten. Eine gezielte Auswahl nach bestimmten Kriterien, zu denen auch Zufallskriterien gehören können, erscheint am Wirkungsvollsten. Von entscheidender Bedeutung für die Missbrauchsprävention ist, dass die Art und Weise der Protokollierung nicht vorhersehbar ist; es muss immer das Risiko einer Protokollierung und Nachprüfung bestehen.
Die Protokolldaten müssen nicht in Papierform vorliegen; es reicht aus, wenn sie maschinenlesbar verfügbar sind.
Eine allgemeine Aussage, wie lange die Protokolle aufzubewahren sind, ist nicht möglich. Im Allgemeinen wird eine Aufbewahrungsdauer von längstens einem Jahr angemessen sein. Die verantwortliche Stelle muss in jedem Fall eine schriftliche Festlegung zur Aufbewahrungsdauer treffen.
7.5 Automatisierte Abrufe von allgemein zugänglichen Daten
Absatz 5 trifft Ausnahmeregelungen für den Abruf von allgemein zugänglichen Daten (z. B. Autorenverzeichnis einer öffentlichen Bibliothek; Nr. 2.1.3).
7.6 Abrufverfahren innerhalb öffentlicher Stellen
Bei Abrufverfahren innerhalb einer öffentlichen Stelle finden keine Übermittlungen an Dritte statt. Um Risiken für das Recht auf informationelle Selbstbestimmung bei dieser Form (stellen-)interner Datenweitergabe zu begegnen, ist bei der Einrichtung eines solchen Verfahrens eine Güterabwägung entsprechend Abs. 1 vorzunehmen. Ferner gelten Abs. 1 Satz 1 und 3 sowie Abs. 4 entsprechend. Auch ohne ausdrückliche Nennung des Abs. 5 unterliegt der interne Abruf von jedermann zugänglichen Daten keinen Beschränkungen.
8. Zu § 8 (Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag)
§ 8 umfasst nur jene Fälle, in denen die tatsächliche Erhebung, Verarbeitung oder Nutzung personenbezogener Daten für eine andere Stelle erfolgt, der Auftraggeber aber für die Verarbeitung und deren Ergebnisse nach außen verantwortlich bleibt. Bedienen sich öffentliche Stellen zur Erledigung ihrer Aufgaben gemeinsamer Rechenzentren oder Rechenzentren anderer öffentlicher oder privater Stellen, liegt Auftragsdatenverarbeitung vor. Auftragsdatenverarbeitung ist auch gegeben bei externer Datenverarbeitung, Datenerfassung auf Datenträgern, Mikroverfilmung von Unterlagen, Vernichtung von Schriftgut und Datenträgern sowie bei der Auftragsarchivierung. Auftragsdatenverarbeitung liegt im Regelfall nicht vor, wenn personenbezogene Daten im Rahmen einer (teilweise) übertragenen Sachaufgabe erhoben, verarbeitet oder genutzt werden, z. B. bei der Berechnung und Zahlbarmachung von Personalausgaben durch eine zentrale Bezügestelle. Es handelt sich hierbei um Fälle der Funktionsübertragung.
Die Art der Rechtsbeziehung zwischen Auftraggeber und Auftragnehmer (Dienstvertrag, Werkvertrag, gemischtes Vertragsverhältnis) ist unbeachtlich.
§ 8 ist auch dann anwendbar, wenn der Auftragnehmer Daten in nichtautomatisierten Verfahren verarbeitet oder nutzt, weil das Gesetz nicht darauf abstellt, welches Verfahren angewendet wird.
Eine Handreichung zur Auslagerung von Aufgaben (Outsourcing) einschließlich Vertragsmuster ist unter http://www.sachsen-anhalt.de/LPSA/index.php?id=20554 abrufbar.
8.1 Verantwortlichkeit
Bei Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag bleibt der Auftraggeber verantwortliche Stelle. Er trägt die Verantwortung für die Einhaltung datenschutzrechtlicher Vorschriften und bleibt Adressat der Rechte des Betroffenen. Bei ihm ist das Verfahrensverzeichnis (Nr. 14.3) zu führen.
8.2.1 Auswahl des Auftragnehmers
Dem Auftraggeber obliegt bei der Auswahl des Auftragnehmers eine besondere Sorgfaltspflicht.
8.2.2 Form und Inhalt des Auftrags
Der Auftrag ist schriftlich zu erteilen. Dies ist auch zu beachten, wenn eine nicht-öffentliche Stelle mit der Vernichtung von Akten betraut wird (Nr. 8.6.2). Zu den erforderlichen Festlegungen des Auftraggebers gehören unter anderem die Abgrenzung der Verantwortungsbereiche von Auftraggeber und Auftragnehmer, Regelungen des Verfahrens zum Test und zur Freigabe der Programme, Verfahren zur Fortschreibung, Änderung, Löschung und Sperrung sowie die Vorgabe der erforderlichen technischen und organisatorischen Maßnahmen nach § 6. Ist der Auftragnehmer eine nicht-öffentliche Stelle kann vereinbart werden, dass nur Beschäftigte eingesetzt werden, die nach dem Verpflichtungsgesetz verpflichtet sind; dies kommt insbesondere in Betracht, wenn personenbezogene Daten erhoben, verarbeitet oder genutzt werden, die durch Berufs- oder besondere Amtsgeheimnisse geschützt sind.
8.2.3 Auftragserteilung durch die Fachaufsichtsbehörde
Von der Möglichkeit der Auftragserteilung durch die Fachaufsichtsbehörde dürfte dann Gebrauch gemacht werden, wenn für nachgeordnete Behörden mit gleicher Aufgabenstellung der Auftragnehmer aus Rationalisierungsgründen ein einheitliches Verfahren anwenden soll. Der Umfang der Weisungsbefugnisse von Fachaufsichtsbehörden und verantwortlicher Stelle gegenüber dem Auftragnehmer ist eindeutig abzugrenzen.
8.3 Weisungsgebundenheit des Auftragnehmers
Der Auftragnehmer ist an die Weisungen des Auftraggebers gebunden. Den Auftragnehmer trifft aber eine Hinweispflicht gegenüber dem Auftraggeber und unter bestimmten Voraussetzungen eine Pflicht zur Information des Landesbeauftragten für den Datenschutz, wenn er der Ansicht ist, dass eine Weisung des Auftraggebers gegen datenschutzrechtliche Vorschriften verstößt.
8.4 Öffentliche Stellen als Auftragnehmer
Da der Auftragnehmer in dieser Funktion nicht selbst verantwortliche Stelle ist, finden auf ihn nicht alle Vorschriften des DSG-LSA Anwendung. Soweit öffentliche Stellen des Landes als Auftragnehmer (öffentliche Auftragnehmer) tätig werden, haben sie die in Abs. 4 genannten Vorschriften zu beachten. Für die meisten anderen Auftragnehmer trifft § 11 Abs. 4 BDSG vergleichbare Regelungen.
8.5 Von öffentlichen Stellen «beherrschte» Auftragnehmer
Von Adressaten des DSG-LSA «beherrschte» privatrechtlich organisierte Auftragnehmer unterliegen der Kontrolle des Landesbeauftragten für den Datenschutz, soweit sie für öffentliche Stellen im Sinne des § 3 Abs. 1 personenbezogene Daten im Auftrag erheben, verarbeiten oder nutzen. Bei Auftragsdatenverarbeitung für nicht-öffentliche Stellen verbleibt es bei der Kontrollkompetenz der Aufsichtsbehörde nach § 38 BDSG.
8.6.1 Unterwerfung des Auftragnehmers
Der Auftraggeber hat vertraglich sicherzustellen, dass sich der Auftragnehmer, auf den das DSG-LSA nicht anzuwenden ist, der Kontrolle des Landesbeauftragten unterwirft.
Die Unterwerfung führt im Fall der Auftragsdatenverarbeitung bei Auftragnehmern innerhalb des Landes zu einer Doppelüberwachung. Zuständig kraft Gesetzes ist die Aufsichtsbehörde nach § 38 BDSG und aufgrund Unterwerfung zusätzlich der Landesbeauftragte für den Datenschutz. Bei Auftragnehmern außerhalb des Landes schafft die Unterwerfung eine Kontrollkompetenz des Landesbeauftragten für den Datenschutz. Allerdings wird er regelmäßig nicht außerhalb des Landes prüfen, weil eine Prüfung grundsätzlich im Wege der Amtshilfe durch die originär zuständige Kontrollinstanz durchgeführt werden kann. Dies entspricht den Zusammenarbeitsregelungen nach § 26 Abs. 4 BDSG und Art. 28 Abs. 6 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24.10.1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. EG Nr. L 281 S. 31).
8.6.2 Unterrichtung des Landesbeauftragten für den Datenschutz über Auftragserteilung
Nach Satz 2 hat der Auftraggeber den Landesbeauftragten für den Datenschutz von der Auftragserteilung an einen Auftragnehmer, der nicht unter das DSG-LSA fällt, zu unterrichten. Diese Pflicht besteht auch, wenn eine nicht-öffentliche Stelle mit der Vernichtung von Akten betraut wird.
9. Zu § 9 (Datenerhebung)
9.1 Zulässigkeit der Datenerhebung
Öffentliche Stellen dürfen personenbezogene Daten nur für die jeweilige (Fach-) Aufgabe erheben. Die erhebende Stelle muss sowohl örtlich als auch sachlich zuständig sein. Die Zuständigkeit muss nicht durch Rechtsvorschrift begründet sein; sie kann auch auf einer Verwaltungsanordnung beruhen.
Bei der Beurteilung der Erforderlichkeit ist ein strenger Maßstab anzulegen. Die Erhebung ist auf das zum Erreichen des angegebenen Ziels erforderliche Minimum zu beschränken. Es ist jedoch möglich, mit Einwilligung der Betroffenen auch solche Daten zu erheben, die der Erfüllung der Aufgabe lediglich dienen oder sie erleichtern, z. B. Angabe der Telefonnummer durch einen Antragsteller. Eine Erhebung personenbezogener Daten auf Vorrat zu unbestimmten oder noch nicht bestimmbaren Zwecken ist unzulässig.
9.2.1 Erhebung bei Betroffenen
Aus dem Recht auf informationelle Selbstbestimmung ergibt sich grundsätzlich die Befugnis der Einzelnen, selbst über die Preisgabe ihrer personenbezogenen Daten zu entscheiden. Daher legt Abs. 2 Satz 1 fest, dass personenbezogene Daten grundsätzlich bei den Betroffenen selbst mit ihrer Kenntnis zu erheben sind. Ausnahmen hiervon sind die Erhebung bei Betroffenen ohne ihre Kenntnis (verdeckte Erhebung) sowie die Erhebung bei Dritten, z. B. Auskunftsersuchen an nicht-öffentliche Stellen und Übermittlungsersuchen an andere öffentliche Stellen.
9.2.2.1 Erhebung ohne Mitwirkung der Betroffenen aufgrund einer Rechtsvorschrift
Die Erhebung ohne Mitwirkung der Betroffenen ist zulässig, wenn eine besondere Rechtsvorschrift dies ausdrücklich vorsieht (z. B. § 15 Abs. 5 SOG LSA, § 13 Abs. 3 MG LSA). Ferner ist sie zulässig, wenn eine Rechtsvorschrift die Erhebung ohne Mitwirkung der Betroffenen nicht ausdrücklich regelt, aber nach ihrem Inhalt diese Erhebungsweise zwingend voraussetzt. Solche Regelungen finden sich insbesondere in Rechtsvorschriften, die vor dem Urteil des Bundesverfassungsgerichtes vom 15.12.1983 zum Volkszählungsgesetz – Volkszählungsurteil – (BVerfGE 65;1 = NJW 1984, 419) erlassen wurden (z. B. Auskunftspflicht nach § 95 LHO, ferner bezüglich der Vorfeldermittlungen der Steuerfahndung § 93 Abs. 1 Satz 3, § 208 Abs. 1 Nr. 3 Abgabenordnung -AO- i. d. F. der Bek. vom 1.10.2002, BGBl. I S. 3866; 2003 I S. 61, zuletzt geändert durch Art. 8 des Gesetzes vom 20.7.2007, BGBl. I S. 1566, in der jeweils geltenden Fassung).
9.2.2.2 Erhebung ohne Mitwirkung der Betroffenen aus sonstigen Gründen
Wann die zu erfüllende Aufgabe ihrer Art nach eine Erhebung bei anderen Personen oder Stellen erforderlich macht oder die Erhebung bei den Betroffenen einen unverhältnismäßigen Aufwand erfordern würde, wird durch die Bezugnahme auf § 10 Abs. 2 konkretisiert (Nr. 10.2). Liegen zur Aufgabenerfüllung erforderliche Daten einer anderen öffentlichen Stelle vor und hat diese die Daten zum gleichen Zweck bei Betroffenen erhoben, für den die um Übermittlung ersuchende Behörde die Daten benötigt, ist eine nochmalige Erhebung bei Betroffenen grundsätzlich nach Abs. 2 Satz 2 Nr. 2 b entbehrlich.
9.2.2.2.1 Güterabwägung
Die schutzwürdigen Interessen lassen sich abstrakt nicht abschließend fassen. Gemeint ist die Persönlichkeitssphäre im weitesten Sinne; besonderes Gewicht haben verfassungsrechtlich geschützte Positionen der Betroffenen. Ob Interessen der Betroffenen überwiegend schutzwürdig sind, ist durch Abwägung der Interessen der öffentlichen Stelle mit denen der jeweils betroffenen Person festzustellen. Haben Betroffene der Verarbeitung der sie betreffenden Daten widersprochen, ist dies Anhaltspunkt dafür, dass ihre schutzwürdigen Interessen beeinträchtigt sein können (Nr. 4.4.1).
9.3 Hinweise bei der Datenerhebung bei Betroffenen
Sofern personenbezogene Daten bei Betroffenen erhoben werden, sind die Hinweise so zu geben, dass allen Anforderungen des Abs. 3 Satz 1 bis 3 entsprochen wird. Hierauf ist bei der Vordruckgestaltung zu achten. Ein Muster ist als Anlage 2 beigefügt. Nummer 4.2 Sätze 3 und 4 gelten entsprechend.
9.3.2 Pflicht oder Obliegenheit zur Auskunft und Folgen verweigerter Auskunft
Die Betroffenen sind in jedem Fall über die für die Erhebung einschlägige Rechtsvorschrift aufzuklären, ferner über die Folgen der Verweigerung von Angaben (z. B. Erfüllen eines Ordnungswidrigkeitentatbestandes, Ablehnung einer beantragten Leistung, eventuell verzögerte Bearbeitung wegen des Ausschlusses telefonischer Rückfragen bei Nichtangabe der Telefonnummer).
9.3.3.2 Zweck der Erhebung, Verarbeitung oder Nutzung
Der Zweck der Erhebung bestimmt sich nach der Aufgabe, für die die Daten erhoben werden (z. B. Vollzug baurechtlicher Vorschriften, Sicherung des Straßenverkehrs), nicht nach dem meist engeren Anlass der Erhebung (vgl. OVG Münster Urteil vom 5.12.1988 – 13 A 1885/88, NJW 1989 S. 2966). Öffentliche Aufgaben werden grundsätzlich durch das jeweilige Fachgesetz umschrieben.
Neben dem Zweck der Erhebung ist den Betroffenen auch der Zweck der nachfolgenden Nutzung oder Verarbeitung zu nennen.
9.3.3.3 Vorgesehene Übermittlungsempfänger
Bei der Unterrichtung über den Zweck der Verarbeitung sind Betroffene gleichzeitig über die Dritten, an die Übermittlungen vorgesehen sind, zu unterrichten. Eine uneingeschränkte Pflicht, über vorgesehene Übermittlungen an Sicherheitsbehörden zu unterrichten, besteht nicht. Die Unterrichtung hängt von der Zustimmung der genannten Sicherheitsbehörden ab. Nicht vorgesehen ist eine Unterrichtung über die Weitergabe personenbezogener Daten an Personen oder Stellen, die nicht Dritte (Nrn. 2.9 und 2.5.3) sind, z. B. an
a) Auftragsdatenverarbeiter oder
b) andere Organisationseinheiten innerhalb der verantwortlichen Stelle, sofern dies zur Erfüllung der Aufgabe der weitergebenden Organisationseinheit notwendig ist (z. B. Weitergabe der Antragsdaten innerhalb der Gemeinde an das Meldeamt). Über eine sonstige interne Datenweitergabe ist bei der Angabe des Zwecks zu unterrichten.
9.4 Hinweise bei der Datenerhebung bei Dritten
Bei der Datenerhebung bei Dritten ist, soweit es sich dabei um nichtöffentliche Stellen (Nr. 12.1) handelt, im Falle der Auskunftspflicht auch auf die Folgen der Verweigerung einer Auskunftserteilung hinzuweisen.
Benötigen Dritte zur Beurteilung des Auskunftsersuchens weitere Angaben (z. B. für die Prüfung der Übermittlungsvoraussetzungen) sind diese, um unzulässige Übermittlungen auszuschließen, auf das unbedingt erforderliche Maß zu beschränken. Die Übermittlungsbeschränkungen nach § 12 sind zu beachten.
9.5. Benachrichtigung der Betroffenen
Grundsätzlich hat eine Benachrichtigung der jeweils Betroffenen zu erfolgen, wenn personenbezogene Daten nicht bei ihnen erhoben worden sind. Von der Unterrichtung kann abgesehen werden, wenn
a) die Betroffenen auf andere Weise Kenntnis von der Verarbeitung ihrer Daten erlangen. Das ist z. B. der Fall, wenn die bei Dritten erhobenen Daten in einen Bescheid einfließen, der an die betroffene Person gerichtet ist,
b) der Informationswert für die Betroffenen den mit der Benachrichtigung verbundenen Aufwand der öffentlichen Stelle nicht rechtfertigt, oder
c) die Verarbeitung oder Nutzung durch Gesetz ausdrücklich vorgesehen und damit für die Betroffenen transparent ist.
Betroffene werden nicht benachrichtigt, wenn eine Auskunft nach § 15 Abs. 2 nicht erfolgt oder nach § 15 Abs. 4 unterbleibt.
10. Zu § 10 (Datenspeicherung, -ver- änderung und -nutzung)
10.1 Zulässigkeit27
Die Zulässigkeit des Speicherns, Veränderns oder Nutzens personenbezogener Daten ist daran geknüpft, dass es zur Erfüllung der in der Zuständigkeit der verantwortlichen Stelle liegenden Aufgaben (Nr. 9.1) erforderlich ist und es für Zwecke erfolgt, für die die Daten erhoben worden sind.
10.1.1 Bindung an den Erhebungszweck
Ob das Speichern, Verändern oder Nutzen personenbezogener Daten im Rahmen des Erhebungszwecks liegt, ist im Falle der Einwilligung nach deren Inhalt zu prüfen. Ansonsten ist der Verwendungszweck regelmäßig in iner Rechtsvorschrift festgelegt oder aus ihr ableitbar. Es kann sowohl sehr enge Zweckbindungen geben (z. B. bei Gesundheitsdaten), als auch weite, z. B. innerhalb der Steuerverwaltung. So dient die Weitergabe von Steuerdaten Steuerpflichtiger innerhalb des Finanzamtes oder deren Übermittlung an andere zuständige Finanzämter grundsätzlich dem einheitlichen Zweck der Steuererhebung bei Steuerpflichtigen.
Für die Annahme eines gemeinsamen Zwecks reicht es regelmäßig nicht aus, dass zwischen verschiedenen Aufgaben Ähnlichkeit besteht oder die Aufgaben in einem gewissen zeitlichen, räumlichen oder sachlichen Zusammenhang stehen.
10.1.2 Bindung an den Zweck der erstmaligen Speicherung
Als nicht erhoben gelten solche Daten, die der verantwortlichen Stelle ohne Anforderung zugegangen sind, z. B. unverlangte Mitteilungen Dritter oder auf Grund besonderer Rechtsvorschrift durch öffentliche Stellen übermittelte Daten.
10.1.2.1 Unzulässig zugegangene oder erhobene Daten
Bestehen in Fällen des Abs. 1 Satz 2 Anhaltspunkte dafür, dass die personenbezogenen Daten der verantwortlichen Stelle unter Verletzung datenschutzrechtlicher Vorschriften zugegangen oder von ihr erhoben worden sind, gilt Folgendes:
Die Pflicht zur Rechtmäßigkeit staatlichen Verwaltungshandelns verbietet grundsätzlich, bisher rechtswidrige Verfahrensweisen oder rechtswidrig zustande gekommene personenbezogene Datensammlungen durch den Beginn eines neuen Verwaltungsverfahrens mit dem Status der Rechtmäßigkeit zu versehen. Zwar gilt im Verwaltungsrecht nicht das im Strafprozess anerkannte enge Beweisverwertungsverbot (z. B. § 136a Abs. 3 Satz 2 StPO), doch kann schon aus dem Grundsatz der Einheitlichkeit der Rechtsordnung der darin zum Ausdruck kommende Rechtsgedanke nicht völlig ignoriert werden. Eine Speicherung, Veränderung und Nutzung solcher Daten ist auf jeden Fall dann ausgeschlossen, wenn die Daten von der öffentlichen Stelle nicht auch auf zulässige Weise hätten erlangt werden können.
10.2 Allgemeine Zweckdurchbrechungstatbestände
Absatz 2 regelt, in welchen Fällen die Zweckbindung im überwiegenden Allgemeininteresse oder im Interesse Betroffener durchbrochen werden darf. Es besteht aber keine Verpflichtung zur Zweckänderung. Die verantwortliche Stelle entscheidet über die Zweckänderung – auch ohne ausdrückliche Erwähnung im DSG-LSA – unter Beachtung des Grundsatzes der Verhältnismäßigkeit.
10.2.1 Rechtsvorschrift
Soweit eine Rechtsvorschrift die Zweckänderung ausdrücklich vorsieht, geht diese Vorschrift gemäß § 3 Abs. 3 vor.
10.2.2 Einwilligung
Die Zulässigkeit der Zweckänderung mit Einwilligung Betroffener ergibt sich auch aus § 4 Abs. 1.
10.2.3 Mutmaßliche Einwilligung
Nummer 3 stellt die Betroffenen von sie belastenden Mehrfacherhebungen frei und kommt grundsätzlich nur zur Anwendung, wenn den jeweils Betroffenen aus der Zweckänderung der Daten ausschließlich Vorteile erwachsen. Dies ist nicht der Fall, wenn Betroffene wegen der Verletzung einer gesetzlichen Auskunftspflicht oder Obliegenheit belangt werden können.
10.2.4 Prüfung von Angaben Betroffener
Nummer 4 lässt, soweit erforderlich eine Zweckänderung zur Prüfung von Angaben der Betroffenen in anderen Verfahren zu. Es müssen tatsächliche Anhaltspunkte für die Unrichtigkeit der Angaben bestehen, z. B. der begründete Verdacht der Leistungserschleichung. Nicht zulässig ist ein Abgleich zwischen verschiedenen Datenbeständen, um solche Verdachtsfälle zu ermitteln; in solchen Fällen mag es zwar tatsächliche Anhaltspunkte für die Erschleichung von Leistungen geben, sie liegen aber (noch) nicht in der Person der Betroffenen.
10.2.5 Allgemein zugängliche Daten (Nr. 2.1.3)
Allgemein zugängliche Quellen sind insbesondere Veröffentlichungen in Zeitungen, im Rundfunk oder in Telefonbüchern und Adressbüchern. Schutzwürdige Interessen der Betroffenen an dem Ausschluss der Zweckänderung überwiegen offensichtlich, wenn es sich z. B. um Daten über Vorstrafen handelt und ihre zeitlich unbeschränkte Verwendung die Resozialisierung gefährdet, Urteil des BVerfG vom 5.6.1973 (BVerfG 35,202). Dies gilt in besonderem Maße, wenn ein Verwertungsverbot nach § 51 des Bundeszentralregistergesetzes i. d. F. der Bek. vom 21.9.1984 (BGBl. I S. 1229), zuletzt geändert durch Art. 2 Abs. 3 des Gesetzes vom 17.3.2007 (BGBl. I S. 314), in der jeweils geltenden Fassung besteht.
10.2.6.1 Gemeinwohl oder Gefahrenabwehr
Wann eine Zweckänderung aus Gründen des Gemeinwohls erforderlich ist, muss unter Berücksichtigung der höchstrichterlichen Rechtsprechung zum Gemeinwohl oder zum Wohl der Allgemeinheit ermittelt werden. Der abstrakte Rechtsbegriff des Gemeinwohls deckt eine Vielzahl von Sachverhalten und Zwecken ab; er bedarf daher der Konkretisierung im einzelnen Fall (BVerfGE 24, 367, 403). Der Begriff lässt sich nicht für alle denkbaren Fälle verlässlich bestimmen. Vielmehr ist von Fall zu Fall zu prüfen, ob übergeordnete Gründe vorliegen, die eine Beeinträchtigung von Einzelinteressen rechtfertigen. Dabei ist die Beachtung der Normen, die das Zusammenleben der Menschen verbindlich regeln und deren Beachtung im Ganzen als überragend notwendig angesehen werden muss, höher einzustufen als das Individualinteresse.
Es reicht nicht jeder Nachteil für das Gemeinwohl aus, die Zweckänderung zu rechtfertigen. Erforderlich ist die Abwehr eines erheblichen Nachteils. Hierzu ist eine Güterabwägung vorzunehmen, ob die Zweckänderung personenbezogener Daten zur Erreichung des Zwecks geeignet und erforderlich ist und bei einer Gesamtabwägung zwischen der Schwere des Eingriffs und dem Gewicht der ihn rechtfertigenden Gründe die Grenze des Zumutbaren noch gewahrt ist (BVerfGE 71, 183, 196 und BVerwGE 78, 77, 85). Bei einem lediglich fiskalischen Nachteil dürfte nur im Ausnahmefall eine Zweckänderung zulässig sein.
Soweit eine Zweckänderung zur Abwehr einer sonstigen gegenwärtigen erheblichen Gefahr für die öffentliche Sicherheit zugelassen ist, wird auf die entsprechenden Begriffsbestimmungen in § 3 Nrn. 1, 3b, c SOG LSA und die Ausführungsbestimmungen hierzu (RdErl. des MI vom 24.11.1993, MBl. LSA 1994 S. 14, zuletzt geändert durch RdErl. vom 2.9.2001, MBl. LSA S. 893) verwiesen.
10.2.7 Verfolgung von Straftaten oder Ordnungswidrigkeiten
Eine Zweckänderung für Zwecke der Verfolgung von Straftaten oder Ordnungswidrigkeiten liegt nicht vor, wenn die öffentliche Stelle im Rahmen ihrer ureigenen Aufgabenstellung Ordnungswidrigkeiten verfolgt oder Straftaten zur Anzeige bringt. Adressaten dieser Regelung sind grundsätzlich diejenigen öffentlichen Stellen, die nicht originär mit Aufgaben der Strafverfolgung und der Ahndung von Ordnungswidrigkeiten betraut sind. DieBefugnisse der Polizei und Staatsanwaltschaft ergeben sich aus der StPO.
10.2.8 Schwerwiegende Beeinträchtigung anderer
Nicht jede Beeinträchtigung der Rechte einer anderen Person rechtfertigt eine Zweckänderung. Eine schwerwiegende Beeinträchtigung ist vor allem anzunehmen bei der Gefährdung bedeutsamer Rechtsgüter wie Leben, Gesundheit, Freiheit, nicht unwesentlicher Vermögenswerte sowie anderer strafrechtlich geschützter Güter. Es muss eine hinreichende Wahrscheinlichkeit geben, dass der Schaden in absehbarer Zeit eintritt oder der Schaden muss bereits entstanden sein. Bei der Güterabwägung der widerstreitenden Interessen muss das rechtliche Interesse privater Dritter das Interesse der jeweils betroffenen Person am Ausschluss der Zweckänderung überwiegen. Ein rechtliches Interesse besteht, wenn Dritte personenbezogene Daten Betroffener zur Verfolgung von Rechten benötigen.
10.2.9 Forschung
Aus Art. 5 des Grundgesetzes ergibt sich kein subjektives Recht, zu Zwecken der Forschung personenbezogene Daten zu erhalten. Die widerstreitenden Interessen zweier Grundrechtsträger, der Forscher und der Betroffenen, sind in der Weise in praktische Konkordanz zu bringen, dass das wissenschaftliche Interesse das Interesse der betroffenen Person an dem Ausschluss der Zweckänderung erheblich überwiegen muss.
Der Zweck der Forschung darf auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden können. Hierfür ist der Aufwand an Zeit, Kosten und Arbeitskraft in Relation zum Nutzen zu stellen. Reichen für das Forschungsvorhaben aggregierte oder anonymisierte Daten aus und sind diese vorhanden oder lassen sie sich ohne unverhältnismäßigen Aufwand durch die verantwortliche Stelle herstellen, ist eine Übermittlung personenbezogener Daten für Forschungszwecke ausgeschlossen. Gegebenenfalls kann die Anonymisierung im Wege der Auftragsdatenverarbeitung herbeigeführt werden.
10.3 Zweckidentität
10.3.1 Aufsichts- und Kontrollbefugnisse
Eine Zweckänderung liegt nicht vor, wenn personenbezogene Daten zur Wahrnehmung von Aufsichts- und Kontrollbefugnissen, der Rechnungsprüfung oder der Durchführung von Organisationsuntersuchungen verarbeitet oder genutzt werden.
Die Einschränkung auf Organisationsuntersuchungen für die verantwortliche Stelle schließt nicht aus, dass diese Untersuchungen durch dienst- oder fachaufsichtsführende Stellen durchgeführt werden. Im Rahmen der Ressortverantwortung ist es Sache der Ministerien, die Aufgabenerledigung im nachgeordneten Bereich zu steuern und zu beaufsichtigen.
10.3.2 Ausbildungs- und Prüfungszwecke
Eine Zweckänderung liegt auch dann nicht vor, wenn innerhalb der verantwortlichen Stelle personenbezogene Daten zu Ausbildungs- und Prüfungszwecken verarbeitet oder genutzt werden; überwiegende schutzwürdige Interessen der Betroffenen dürfen jedoch nicht entgegenstehen (Nr. 9.2.2.2.1). Vorbehaltlich bereichsspezifischer Regelungen ist somit ausgeschlossen, dass Originalakten mit personenbezogenem Inhalt ohne Anonymisierung auch außerhalb der verantwortlichen Stelle zu Ausbildungszwecken verwendet werden.
10.4 Zweckbindung von Daten, die aus Gründen der Datenschutzkontrolle oder der Datensicherung gespeichert sind
Eine Zweckänderung personenbezogener Daten, die ausschließlich zu Zwecken der Datenschutzkontrolle, der Datensicherung oder zur Sicherung des ordnungsgemäßen Betriebes einer Datenverarbeitungsanlage gespeichert werden, liegt nicht vor, wenn diese Daten zur dienst-, arbeits-, haftungsoder strafrechtlichen Ahndung bei der Kontrolle aufgedeckter Verstöße verwendet werden.
Anders als nach § 22 Abs. 3 SOG LSA ist eine Zweckänderung zur Abwehr einer gegenwärtigen Gefahr für Leib, Leben oder Freiheit einer Person nicht ausdrücklich zugelassen. In einem solchen Fall muss eine Berufung auf rechtfertigenden Notstand (§ 34 StGB) erfolgen. Aufgrund des Vorrangs des Bundesrechts steht Abs. 4 einer Beschlagnahme nach § 94 StPO nicht entgegen.
Unter Datensicherung versteht das Gesetz hier die Gesamtheit der Maßnahmen im Sinne des § 6.
11. Zu § 11 (Datenübermittlung an öffentliche Stellen)
11.1 Zulässigkeit
Absatz 1 lässt im Prinzip eine Übermittlung personenbezogener Daten innerhalb des öffentlichen Bereichs materiell unter den gleichen Voraussetzungen zu, die auch für die Speicherung, Veränderung und Nutzung innerhalb der verantwortlichen Stelle nach § 10 gelten. Nach Nr. 2 muss die Übermittlung im Rahmen des Erhebungszwecks liegen; anderenfalls müssen die Voraussetzungen für eine Zweckänderung im Sinne des § 10 Abs. 2 erfüllt sein.
11.1.1.1 Übermittlung in Erfüllung einer eigenen Aufgabe
Eine Übermittlung gehört zu den eigenen Aufgaben der verantwortlichen (übermittelnden) Stelle, wenn dieser Stelle Benachrichtigungs- oder Beteiligungspflichten obliegen (z. B. Pflicht zur Beteiligung anderer Behörden im Rahmen der Erteilung einer Baugenehmigung). Gleiches gilt dann, wenn die verantwortliche Stelle Daten ohne Ersuchen bei Vorliegen der Voraussetzungen des § 10 Abs. 2 Nr. 6 bis 8 übermittelt.
11.1.1.2 Übermittlung zur Erfüllung von Aufgaben Dritter
Für die Erforderlichkeit einer Übermittlung nach Nr. 1, zweite Alternative, kommt es darauf an, ob der Dritte, an den die Daten übermittelt werden, auf die Kenntnis der Daten angewiesen ist. Nicht entscheidend ist, ob er die Daten auch auf andere Weise erhalten kann.
Bei einer Übermittlung auf Ersuchen kann grundsätzlich davon ausgegangen werden, dass seitens des Dritten geprüft worden ist, dass die Daten nicht vorrangig bei Betroffenen zu erheben sind (Nr. 9.2). Bei der Übermittlung auf Ersuchen liegt grundsätzlich Amtshilfe vor. Das Übermittlungsersuchen ist, soweit nicht bereichsspezifische Regelungen wie §§ 111 bis 115 AO 1977 oder §§ 3 bis 7 SGB X eingreifen, nach §§ 4 bis 8 VwVfG LSA zu behandeln. Sind die Voraussetzungen für eine Zweckänderung nicht erfüllt, steht der Leistung von Amtshilfe ein rechtlicher Hinderungsgrund im Sinne des § 5 Abs. 2 Satz 1 Nr. 1 VwVfG LSA entgegen. Hält sich die ersuchte Stelle nicht für verpflichtet, dem Übermittlungsersuchen nachzukommen, verfährt sie nach § 5 Abs. 5 VwVfG LSA.
11.2 Verantwortung für die Zulässigkeit
Die Verantwortung ist geteilt zwischen der übermittelnden Stelle und dem Dritten, an den die Daten übermittelt werden. Soweit die Übermittlung Amtshilfe ist, wird eine teilweise von § 7 VwVfG LSA abweichende Regelung zur Verantwortungsteilung getroffen.
Nach Satz 1 trägt die Verantwortung für die Zulässigkeit der Übermittlung grundsätzlich die übermittelnde Stelle. Bei Übermittlungen auf Ersuchen weist Satz 2 dem Dritten, an den die Daten übermittelt werden, die Verantwortung für die Zulässigkeit der Übermittlung zu. Satz 3 verpflichtet die übermittelnde Stelle dann nur zu prüfen, ob das Übermittlungsersuchen im Rahmen der Aufgaben des Dritten liegt. Hierzu ist die verantwortliche Stelle grundsätzlich auf entsprechende Darlegungen der ersuchenden Stelle angewiesen.
Das Übermittlungsersuchen muss so abgefasst sein, dass die ersuchte Stelle erkennen kann, ob die Übermittlung im Rahmen des Erhebungszwecks liegt oder die Voraussetzungen für eine Zweckänderung vorliegen. Für die Darlegung gilt der Grundsatz: Soviel Informationen wie nötig, so wenig Informationen wie möglich. Eine weitergehende Prüfung der Zulässigkeitsvoraussetzungen stellt die ersuchte Stelle nur dann an, wenn dazu besonderer Anlass besteht, z. B. bei Zweifeln, ob der Dritte, an den die Daten übermittelt werden, die Daten speichern darf.
Fernmündliche Übermittlungen sind nur zulässig, soweit sich die mit der Übermittlung betraute Person von der Identität der Person, an die übermittelt wird, durch Rückruf vergewissert hat. Bei Übermittlungen per Telefax sollte auch geprüft werden, ob der Adressat unter der bekannten Anschlussnummer erreichbar ist.
11.3 Zweckbindung übermittelter Daten
Nach Satz 1 darf der Dritte, an den die Daten übermittelt werden, die übermittelten Daten für den Zweck verarbeiten oder nutzen, zu dessen Erfüllung sie ihm übermittelt werden. Der Hinweis auf § 9 Abs. 1 und 2 bedeutet, dass bei der Verwendung personenbezogener Daten durch den Dritten, insbesondere bei der Übermittlung über mehrere Stufen, der Verwendungszweck von dem ursprünglichen Erhebungszweck nicht so stark abweichen darf, dass Betroffene nicht mehr nachvollziehen können, wer was wann und bei welcher Gelegenheit über sie wissen kann (BVerfGE 65, 1, 43).
Im Übrigen lässt Satz 2 zu, dass der Dritte, an den die Daten übermittelt werden, unter den Voraussetzungen des § 10 Abs. 2 die übermittelten Daten für andere Zwecke verarbeitet oder nutzt als den Übermittlungszweck.
11.4 Kirchen, Religionsgesellschaften und Weltanschauungsgemeinschaften des öffentlichen Rechts
Kirchen, Religionsgesellschaften und Weltanschauungsgemeinschaften des öffentlichen Rechts werden bei der Übermittlung wie Stellen innerhalb des öffentlichen Bereichs behandelt. An sie können unter den gleichen Voraussetzungen wie an öffentliche Stellen personenbezogene Daten übermittelt werden; sie müssen aber ausreichende Datenschutzmaßnahmen getroffen haben. Diese Anforderung ist bei den im Bezugserl. zu a genannten öffentlich-rechtlichen Religionsgesellschaften ohne weitere Prüfung durch die verantwortliche Stelle als erfüllt anzusehen.
Nicht zu den Stellen im Sinne des Abs. 4 gehören die privatrechtlich organisierten Einrichtungen und Werke der Kirchen (z. B. Diakonisches Werk, Caritas). An diese Stellen erfolgen Übermittlungen wie an andere Stellen außerhalb des öffentlichen Bereichs.
11.5 Nicht abtrennbare Daten
Bei der herkömmlichen Informationsverarbeitung in Akten sind weitere personenbezogene Daten der Betroffenen oder Dritter häufig so eng mit den zu übermittelnden Daten verbunden, dass sie bei der Übermittlung nicht oder nur mit unvertretbarem Aufwand voneinander getrennt werden können (z. B. Angaben zu verschiedenen Verfahren oder Personen auf einem einzelnen Blatt; Querverweise innerhalb einer Akte, die zum Verständnis und der richtigen Bewertung einer Information erforderlich sind). In einem solchen Fall kann es unmöglich sein, bei einer Übermittlung die überschüssigen Informationen abzutrennen. Denkbar ist auch, dass die Abtrennung der überschüssigen Informationen nur mit unverhältnismäßigem Aufwand (Nr. 10.2.9) möglich ist. Diese Voraussetzung ist nicht erfüllt, wenn die überschüssigen Informationen ohne besondere Umstände durch Übersendung nur eines Teils der Akte oder auszugsweiser Kopien abgetrennt werden können.
Überschüssige Informationen dürfen nicht mitübermittelt werden, soweit berechtigte Interessen (gleichzusetzen mit schutzwürdigen Interessen im Sinne von Nr. 9.2.2.2.1) der betroffenen Person oder eines Dritten an deren Geheimhaltung offensichtlich überwiegen. Überschüssige Informationen dürfen von dem Dritten, an den übermittelt wurde, nicht verarbeitet oder genutzt werden.
Für personenbezogene Daten aus ehemaligen Einrichtungen (§ 33) trifft § 34 Abs. 3 eine abweichende und strengere Regelung.
Die Regelungen des Abs. 5 gelten nicht für Übermittlungen an Stellen öffentlich-rechtlicher Religionsgesellschaften.
11.6 Stelleninterne Weitergabe
Absatz 6 überträgt die Regelung des Abs. 5 Satz 1 auf Fälle der Weitergabe überschüssiger Informationen innerhalb einer öffentlichen Stelle (Nr. 2.6).
12. Zu § 12 (Datenübermittlung an nicht-öffentliche Stellen)
12.1 Zulässigkeit der Übermittlung
§ 12 begründet keinen Anspruch privater Dritter auf Übermittlung personenbezogener Daten. Wenn sich ein solcher Anspruch nicht aus anderen Rechtsvorschriften ergibt, steht die Übermittlung bei Vorliegen der übrigen Voraussetzungen im pflichtgemäßen Ermessen der verantwortlichen Stelle.
12.1.1 Übermittlung als Aufgabe der übermittelnden Stelle
Gehört die Datenübermittlung zu den eigenen Aufgaben der übermittelnden Stelle, ist diese unter den gleichen Voraussetzungen zulässig wie innerhalb des öffentlichen Bereichs (Nr. 11.1.1.1).
12.1.2 Übermittlung im Interesse der Stelle, an die übermittelt wird
Bei Übermittlungen, die nicht zur Aufgabenerfüllung der übermittelnden Stelle erforderlich sind, muss nach Nr. 2 zwischen den berechtigten Interessen des Dritten, an den die Daten übermittelt werden, und den schutzwürdigen Interessen der jeweils betroffenen Person abgewogen werden. Grundsätzlich muss die Interessenabwägung in jedem Einzelfall nach dem Verhältnismäßigkeitsprinzip vorgenommen werden. Gruppen- und Massenauskünfte, z. B. zu Werbezwecken, sind wegen fehlender Einzelabwägung in der Regel nicht zulässig.
Als berechtigtes Interesse ist jedes ideelle oder wirtschaftliche Interesse anzusehen, das mit der Rechtsordnung in Einklang steht. Das berechtigte Interesse muss an Hand des Zwecks, zu dem die Kenntnis der Daten erstrebt wird, beurteilt werden. Der Dritte, an den die Daten übermittelt werden, muss ein eigenes Interesse an der Kenntnis der Daten haben.
Der Dritte, an den die Daten übermittelt werden, hat sein berechtigtes Interesse an der Kenntnis der Daten nicht zu beweisen, sondern lediglich glaubhaft zu machen. Das bedeutet, dass die Tatsachen, aus denen sich das berechtigte Interesse ergibt, nicht zur vollen Überzeugung der übermittelnden Stelle feststehen müssen; es reicht vielmehr aus, dass nach ihrer Wertung eine überwiegende Wahrscheinlichkeit hierfür besteht. Der Dritte, an den die Daten übermittelt werden, kann sich zur Glaubhaftmachung aller Beweismittel bedienen (§ 294 Abs. 1 der Zivilprozessordnung – ZPO).
12.3.1 Vorherige Unterrichtung
Die Betroffenen gehen grundsätzlich davon aus, dass öffentliche Stellen über sie gespeicherte personenbezogene Daten nicht außerhalb der eigenen Aufgabenstellung an nichtöffentliche Stellen übermitteln. Wird hiervon nach Abs. 1 Nr. 2 abgewichen, ist die übermittelnde Stelle grundsätzlich verpflichtet, die jeweils Betroffenen von der beabsichtigten Übermittlung vorher unter Hinweis auf die Möglichkeit, Einwendungen (Nr. 4.4.1) zu erheben, zu unterrichten.
Die Unterrichtung unterbleibt, wenn durch sie eine Vereitelung von Rechtsansprüchen zu befürchten wäre (z. B. Wegzug eines Schuldners mit unbekannter Adresse).
12.3.2 Ausschluss der vorherigen Unterrichtung
Die Pflicht zur Unterrichtung besteht nicht, wenn damit zu rechnen ist, dass die Betroffenen auf andere Weise Kenntnis von der Übermittlung erlangen. Hiervon ist z. B. auszugehen, wenn sich der Dritte, an den die Daten übermittelt werden, mit der betroffenen Person in Verbindung setzt. Auch in einem solchen Fall ist unter Berücksichtigung der Interessenlage der jeweils Betroffenen und der Sensibilität der Daten zu prüfen, ob der Verzicht auf die vorherige Unterrichtung der betroffenen Person vertretbar erscheint.
12.4 Zweckbindung
Nach Satz 1 darf der Dritte, an den die Daten übermittelt werden, die übermittelten Daten nur für den Zweck verarbeiten oder nutzen, zu dem sie ihm übermittelt worden sind. Auf diese Zweckbindung ist nach Satz 2 durch die verantwortliche (übermittelnde) Stelle hinzuweisen. Nach Satz 3 kann die übermittelnde Stelle einer Zweckänderung zustimmen, wenn sie die Daten auch für den anderen Zweck übermitteln dürfte. Die Nichtbeachtung der Zweckbindung steht nach § 31 Abs. 2 Nr. 2 unter Strafandrohung oder kann nach § 31a Abs. 2 Nr. 1 als Ordnungswidrigkeit verfolgt werden.
13. Zu § 13 (Datenübermittlung ins Ausland sowie an über- oder zwischenstaatliche Stellen)
13.1. Gleichstellung ausländischer mit inländischen Stellen
Die Übermittlung an öffentliche und nicht-öffentliche Stellen innerhalb der Europäischen Union, an entsprechende Stellen in Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum vom 2.5.1992 (BGBl. II 1993 S. 266), die nicht zugleich EUStaaten sind (Nr. 2.9.2), sowie an Einrichtungen der Europäischen Gemeinschaften ist unter den gleichen materiellen Voraussetzungen zulässig, die für Übermittlungen im Inland gelten.
13.2 Übermittlung an ausländische Stellen, die nicht gleichgestellt sind
13.2.1 Keine Differenzierung zwischen öffentlichen und nicht-öffentlichen Stellen
Für die Übermittlung an andere als unter Nr. 13.1. aufgeführte Stellen gelten regelmäßig die gleichen Grundsätze wie für Übermittlungen an nicht-öffentliche Stellen. Es wird nicht danach unterschieden, ob die Stelle, der Daten übermittelt werden, eine öffentliche oder nicht-öffentliche Stelle ist. Der Verzicht auf die Unterscheidung reduziert Verwaltungsaufwand. Außerdem wird verhindert, dass entsprechende ausländische öffentliche Stellen bei der Übermittlung privilegiert sind.
13.2.2 Angemessenes Datenschutzniveau
Die Stelle, an die Daten übermittelt werden, muss grundsätzlich über ein angemessenes Datenschutzniveau verfügen. Ein angemessenes Datenschutzniveau ist gegeben, wenn unter Berücksichtigung aller Umstände, die bei der Übermittlung bedeutsam sind, wie der Art der Daten, der Zweckbestimmung und der im Empfängerland geltenden Rechtsvorschriften, Standesregeln und Sicherheitsmaßnahmen, ein dem innereuropäischen Standard gleichwertiger Schutz personenbezogener Daten gegeben ist.
13.2.3 Fehlendes angemessenes Datenschutzniveau
Die Fälle, in denen eine Übermittlung in ein Drittland erfolgen darf, das über kein ausreichendes Datenschutzniveau verfügt, sind in § 13 Abs. 2 Satz 3 abschließend aufgeführt.
13.2a Sonderregelungen
Absatz 2a stellt klar, dass die in §§ 25 bis 30a getroffenen Sonderregelungen auch bei der Übermittlung an ausländische Stellen zu beachten sind.
13.3 Verantwortlichkeit
Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle, und zwar auch im Fall des Abs. 1. Dies gilt vorbehaltlich besonderer Rechtsvorschriften auch für Übermittlungen auf Grund supranationalen Rechts oder eines ratifizierten Staatsvertrages.
Zu 14. Zu § 14 (Durchführung des Datenschutzes)
14.1.1 Verantwortlichkeit für die Durchführung des Datenschutzes
Datenschutz ist Teil jeder (Fach-) Aufgabe. Dementsprechend liegt die Pflicht zur Einhaltung datenschutzrechtlicher Vorgaben grundsätzlich bei jeder verantwortlichen Stelle selbst.
Besonderes Gewicht hat der Gesetzgeber der Selbstkontrolle der Verwaltung beigemessen. Aus diesem Grund haben die obersten Landesbehörden und die sonstigen in Satz 1 genannten Stellen jeweils für ihren Organisationsbereich die Ausführung des DSGLSA sowie anderer Vorschriften über den Datenschutz sicherzustellen. Es müssen die organisatorischen Voraussetzungen für eine effektive Durchsetzung des Datenschutzes geschaffen werden. Aus der Verantwortung für die Sicherstellung des Datenschutzes folgt auch die Pflicht sicherzustellen, dass nur solche automatisierten Verfahren eingesetzt werden, die mit den Rechtsvorschriften über den Datenschutz in Einklang stehen. Orientierungshilfen für eine diesbezügliche Prüfung können sich aus Empfehlungen, Checklisten ergeben, die von den Datenschutzbeauftragten des Bundes und der Länder ins Internet eingestellt sind.
14.1.2 Unterrichtung des Landesbeauftragten für den Datenschutz
Um bei grundlegenden Planungen des Landes zum Aufbau oder zur Änderung von automatisierten Verfahren zur Erhebung, Verarbeitung oder Nutzung personenbezogener Daten Vorkehrungen zum Datenschutz treffen zu können, besteht die Pflicht, den Landesbeauftragten für den Datenschutz rechtzeitig und unaufgefordert zu unterrichten. Dabei ist der zuständige Beauftragte für den Datenschutz nach § 14a einzubinden. Die frühzeitige Einbindung des Landesbeauftragten für den Datenschutz bei grundlegenden Planungen bietet die Möglichkeit, dass die in der jeweiligen Projektierungs- und Realisierungsphase aus rechtlicher und technischer Sicht zu beachtenden Anforderungen des Datenschutzes nicht vernachlässigt werden. Hierdurch kann späteren zeit- und kostenaufwändigen Umplanungen entgegengewirkt werden. Die Unterrichtung ist an keine besondere Form gebunden.
Grundlegend sind solche Planungen, die den Aufbau oder die wesentliche Änderung bedeutsamer Automationsverfahren zur Erhebung, Verarbeitung oder Nutzung personenbezogener Daten betreffen. Als bedeutsam sind Verfahren insbesondere dann anzusehen, wenn sie landesweit oder ressortübergreifend zur Anwendung kommen (z. B. Personalverwaltungsoder Dokumentenmanagementsysteme). Gleiches gilt für ressortspezifische Anwendungen, wenn sehr große Datenmengen bzw. die Daten einer Vielzahl von Personen verarbeitet werden (z. B. bei zu Übermittlungszwecken geführten Registern). Erfasst werden auch Planungen zur Gestaltung der technischen Infrastruktur, wie z. B. des eGovernment-Konzepts, soweit es um die Prüfung der Erforderlichkeit oder die Realisierung technischer und organisatorischer Maßnahmen zur Gewährleistung der Sicherheitsziele des § 6 Abs. 2 im Allgemeinen geht. Die Unterrichtung über die anstehende Einrichtung von Abrufverfahren nach § 7 Abs. 3 bleibt unberührt.
Am Beispiel des eGovernmentMaßnahmeplans bedeutet dies: Die Unterrichtung obliegt der Stelle, die das jeweilige Verfahren plant oder ändert. So ist entsprechend dem eGovernment-Aktionsplan des Ministerium des Innern für die Bereitstellung der Basiskomponenten verantwortlich. Dem jeweiligen Fachressort obliegt dagegen die Zuständigkeit für die Umsetzung der einzelnen Leitprojekte. Die Regelung erfasst nicht Träger der Selbstverwaltung; diese sind aber nicht gehindert, entsprechend § 14 Abs. 1 Satz 2 zu verfahren. Dies gilt insbesondere in Fällen, in denen eine Beratung durch den Landesbeauftragten für den Datenschutz nach § 22 Abs. 4 gewünscht wird.
Unberührt bleibt die Verpflichtung der Ministerien nach § 40 Satz 2 der Gemeinsamen Geschäftsordnung der Ministerien – Allgemeiner Teil – (GGO LSA I, Beschluss der LReg. vom 15.3.2005, MBl. LSA S. 207, 231, zuletzt geändert durch Beschluss vom 6.3.2007, MBl. LSA S. 323), den Landesbeauftragten für den Datenschutz beim Erlass von allgemeinen Regelungen, insbesondere von Rechtsvorschriften, zu beteiligen, soweit die Verarbeitung personenbezogener Daten geregelt werden soll.
14.2 Vorabkontrolle
Regelmäßig wird die Vereinbarkeit von Verfahren mit dem Datenschutz im Rahmen ihrer Freigabe geprüft. Das Gesetz verzichtet auf formelle Festlegungen zur Freigabe für die Mehrzahl der Verfahren. Abstrakte Festlegungen könnten die Besonderheiten der einzelnen Verfahren nicht ausreichend berücksichtigen. Eine gesonderte Vorabprüfung ist nur vorgesehen, wenn mit personenbezogenen Daten besonderer Art (Nr. 2.1.2) umgegangen wird oder das Erheben, Verarbeiten oder Nutzen darauf gerichtet ist, die Persönlichkeit Betroffener zu bewerten (§ 4a). Ferner ist die Vorabkontrolle für automatisierte Abrufverfahren (§ 7) und den Einsatz mobiler personenbezogener Datenträger (§ 25) vorgeschrieben. Hierbei ist zu prüfen, ob das Verfahren datenschutzrechtlich zulässig ist und die vorgesehenen technischen und organisatorischen Maßnahmen ausreichen. Grundlage der Vorabprüfung sind die in § 23 Abs. 1 Satz 2 Nr. 1 genannten Unterlagen sowie Entwürfe für das Verfahrensverzeichnis. Vorabkontrollen sind auch im Anwendungsbereich des SOG und des VerfSchG LSA durchzuführen.
14.3 Verfahrensverzeichnis
Absatz 3 verpflichtet die verantwortlichen Stellen, über die eingesetzten automatisierten Verfahren, mit deren Hilfe personenbezogene Daten erhoben, verarbeitet oder genutzt werden, ein Verzeichnis zu führen. Geführt wird es grundsätzlich durch Beauftragte für den Datenschutz (Nr. 14a.4.1). Die Festlegungen, die im Verfahrensverzeichnis zu treffen sind, ergeben sich aus Satz 1 Nrn. 1 bis 9. Es wird empfohlen, das Verfahrensverzeichnis nach dem Muster der Anlage 3 zu führen. Die Führung kann auch in automatisierter Form erfolgen. Auf die Übergangsregelungen des § 32 zu früheren Dateifestlegungen nach § 14 Abs. 2 Satz 2, Errichtungsanordnungen nach § 33 Abs. 1 SOG LSA und Dateianordnungen nach § 13 Abs. 1 VerfSchG LSA wird verwiesen (Nr. 32.1.1).
Nach Satz 2 können die Festlegungen zum Verfahrensverzeichnis auch zentral von den in Abs. 1 genannten Stellen für ihren Organisationsbereich getroffen werden. Diese Möglichkeit dient der Verwaltungsvereinfachung, insbesondere wenn mehrere Stellen gleiche Verfahren betreiben. Zentrale Festlegungen müssen der jeweiligen verantwortlichen Stelle zugänglich sein, z.B. in Form von Abdrucken.
Für Verbunddateien, die beim Bundeskriminalamt oder dem Bundesamt für Verfassungsschutz geführt werden, reicht es aus, eine Kopie der entsprechenden Errichtungs- oder Dateianordnung, die die zuständige Bundesbehörde erstellt hat, zum Verfahrensverzeichnis zu nehmen.
14.4 Ausnahmen von der Aufnahme in das Verfahrensverzeichnis
Absatz 4 nimmt einzelne Verfahren von der Pflicht zur Aufnahme in das Verfahrensregister aus.
14.4.1 Register
Nummer 1 betrifft zur Information der Öffentlichkeit bestimmte Register, deren Führung aufgrund von Rechtsvorschriften vorgesehen ist (z. B. Grundbuch). Durch diese Rechtsvorschriften ist ausreichende Transparenz für die Betroffenen gegeben.
14.4.2 Verfahren zur Unterstützung der allgemeinen Bürotätigkeit
Auch Verfahren, die ausschließlich der Unterstützung der allgemeinen Bürotätigkeit dienen, sind grundsätzlich nicht in das Verfahrensverzeichnis aufzunehmen. Dies gilt grundsätzlich nur, wenn das Verfahren keine Beeinträchtigung der Rechte Betroffener erwarten lässt. Eine solche Beeinträchtigung ist nicht zu erwarten, wenn ein Verfahren ausschließlich dient
a) der Erstellung von Texten und die hierfür gespeicherten personenbezogenen Daten gelöscht werden, sobald sie nicht mehr benötigt werden,
b) dem internen Auffinden von Vorgängen, Anträgen oder Akten (Registraturverfahren),
c) der internen Überwachung von Terminen und Fristen (Termin- und Fristenkalender),
d) der Führung von Telefon-, Telefaxund sonstiger Kommunikationsund Teilnehmerverzeichnissen, die durch Dritte nicht abrufbar sind, oder
e) der Führung von Anschriftenverzeichnissen für die Versendung von Unterlagen an Betroffene.
Die Ausnahmeregelung gilt nicht für Verfahren, die über die beschriebenen Hilfsfunktionen hinausgehen. So dienen z. B. von Notaren zu führende Bücher auch als Nachweise über die ordnungsgemäße Erledigung ihrer Amtsgeschäfte.
14a. Zu § 14 a (Beauftragter für den Datenschutz)
14a.1.1 Pflicht zur Einsetzung von Beauftragten für den Datenschutz
Für öffentliche Stellen, die personenbezogene Daten automatisiert erheben, verarbeiten oder nutzen, ist eine Beauftragte für den Datenschutz oder ein Beauftragter für den Datenschutz einzusetzen. Die öffentlichen Stellen sind grundsätzlich mit den verantwortlichen Stellen im Sinne des § 2 Abs. 8 identisch. Die Einsetzung hat schriftlich zu erfolgen; hierfür sollte das Muster der Anlage 4 verwendet werden.
Die Einsetzung von Beauftragten für den Datenschutz ist für solche öffentlichen Stellen nicht vorgesehen, die ausschließlich Verfahren im Sinne des § 14 Abs. 4 Nr. 2 durchführen (Nr. 14.4.2).
14a.1.2 Einsetzen von Beauftragten für den Datenschutz im nachgeordneten Bereich
Im nachgeordneten Bereich können Beauftragte für den Datenschutz auch durch Dienstaufsicht führende Behörden eingesetzt werden. Das erleichtert die Einsetzung einer Person als Beauftragte für den Datenschutz für mehrere Stellen, z. B. durch ein Schulamt für die unterstehenden Schulen.
14a.1.3 Notare und Beliehene
Notare und Beliehene (Nr. 3.1.2) haben Beauftragte für den Datenschutz erst einzusetzen, wenn fünf oder mehr Beschäftigte mit der automatisierten Erhebung, Verarbeitung oder Nutzung personenbezogener Daten beschäftigt sind. Maßgeblich ist die Zahl der durchschnittlich Beschäftigten, auch wenn diese nicht vollbeschäftigt sind. Zu den Beschäftigten zählen auch Auszubildende.
14a.2.1 Anforderungen an Beauftragte für den Datenschutz
Beauftragte für den Datenschutz können nur natürliche Personen sein. Sie müssen fachkundig sein. Diese Personen müssen über die technischen, rechtlichen und organisatorischen Kenntnisse verfügen, die sie, abhängig von den Gegebenheiten der öffentlichen Stelle, in die Lage versetzen, ihre Aufgabe wahrzunehmen. Die Anforderungen an die Fachkunde sind nicht einheitlich, sondern hängen unter anderem von der Größe der öffentlichen Stelle, der Sensibilität der Daten und der eingesetzten Technik ab. Gefordert sind mindestens
a) Grundkenntnisse über Verfahren und Techniken der automatischen Datenverarbeitung,
b) allgemeine juristische Kenntnisse, Kenntnisse des Datenschutzrechts und sonstiger relevanter Vorschriften sowie
c) ausreichende Kenntnisse der Verwaltungsorganisation und –aufgaben.
Verfügen Beauftragte für den Datenschutz nicht von Anfang an über die erforderlichen Kenntnisse, müssen sie jedenfalls die Fähigkeit haben, sich diese Kenntnisse anzueignen. Beauftragte für den Datenschutz müssen zuverlässig, also integer, verschwiegen und verantwortungsbewusst sein. Zweifel an der Zuverlässigkeit bestehen z. B. bei erheblichen Interessenkonflikten (Nr. 14a.2.4).
14a.2.2 Organisatorische Stellung von Beauftragten für den Datenschutz
Beauftragte für den Datenschutz sind in dieser Funktion, also insbesondere bei Wahrnehmung ihrer Beratungsund Kontrolltätigkeit nach Abs. 4 Satz 2, weisungsfrei. Die Weisungsfreiheit entbindet Beauftragte für den Datenschutz jedoch nicht davon, nach Recht und Gesetz zu handeln, z. B. bei der Auskunftserteilung gegenüber Betroffenen.
Beauftragte für den Datenschutz sind in den Organigrammen der öffentlichen Stellen gesondert anzuführen.
Die besondere Stellung der Beauftragte für den Datenschutz wird dadurch deutlich, dass sie sich unmittelbar an die Leitung der öffentlichen Stellen wenden können. Außerhalb ihrer Funktion sind Beauftragte für den Datenschutz an den Dienstweg gebunden. Auch können sie sich grundsätzlich nicht unmittelbar an den Landesbeauftragten für den Datenschutz wenden; dieses Recht steht ihnen nur zu, wenn Zweifelsfragen im Rahmen der Vorabkontrolle auftreten.
14a.2.3 Benachteiligungsverbot
Satz 3 sichert die Unabhängigkeit durch ein ausdrückliches Benachteiligungsverbot. Dadurch sind Beauftragte für den Datenschutz vor Umsetzungen, Kündigungen oder anderen Beeinträchtigungen geschützt, die aus einer nicht genehmen Wahrnehmung ihrer Funktion als Beauftragte für den Datenschutz herrühren könnten. Ob eine Benachteiligung vorliegt, kann gerichtlich überprüft werden.
14a.2.4 Art und Umfang der Tätigkeit
Grundsätzlich werden Beauftragte für den Datenschutz Angehörige des öffentlichen Dienstes sein. Sie müssen nicht Beschäftigte der Stelle sein, für die sie die Funktion des Beauftragte für den Datenschutz ausüben. Beauftragte für den Datenschutz müssen nicht hauptberuflich tätig sein. Im Einzelfall kann es ausreichen, die Funktion stundenweise oder fallbezogen auszuüben. Nehmen Beauftragte für den Datenschutz auch andere Aufgaben wahr, sind sie von diesen freizustellen, soweit es die Tätigkeit als Beauftragte für den Datenschutz erfordert. Es ist darauf zu achten, dass durch die sonstigen Aufgaben keine erheblichen Interessenkonflikte entstehen können. Dies kann z. B. bei Entscheidungskompetenzen in den Bereichen
a) Personalverwaltung oder
b) Informationstechnik der Fall sein.
Die Einsetzung externer Beauftragter für den Datenschutz ist nicht ausgeschlossen. Sie kommt insbesondere bei öffentlichen Stellen im Sinne des § 3 Abs. 2 Nr. 1 (z. B. Eigenbetrieben) in Betracht. Sofern externe Beauftragte für den Datenschutz eingesetzt werden, sind diese bei Vorliegen der Voraussetzungen nach dem Verpflichtungsgesetz zur gewissenhaften Erfüllung ihrer Obliegenheiten zu verpflichten.
14a.3 Rechte und Pflichten der Beauftragten für den Datenschutz
14a.3.1/2 Einsicht in Datenverarbeitungsvorgänge
Um ihre Aufgaben erfüllen zu können, haben Beauftragte für den Datenschutz das Recht, Einsicht in Vorgänge über die Verarbeitung personenbezogener Daten zu nehmen. Die Kenntnisnahme ist auf das zur Aufgabenerledigung unerlässliche Maß zu beschränken. Der Einsicht entgegenstehende Berufs- oder besondere Amtsgeheimnisse sind zu beachten.
14a.3.3 Auskunfts- und Einsichtsrechte
Innerhalb der verantwortlichen Stelle stehen Beauftragten für den Datenschutz die gleichen Kontroll-, Auskunfts- und Einsichtsrechte wie dem Landesbeauftragten für den Datenschutz zu. Bedienstete können sich grundsätzlich ohne Einhaltung des Dienstweges an Beauftragte für den Datenschutz wenden, auch dann, wenn es sich nicht um eigene Angelegenheiten handelt. Sie sind nämlich stelleninterne Kontroll- und Beratungseinrichtungen.
14a.3.4 Verschwiegenheitspflicht
Nach Satz 4 dürfen Beauftragte für den Datenschutz die Identität Betroffener, die sich an sie wenden, nicht gegen deren Willen preisgeben. Sofern einer Angelegenheit nicht anonymisiert nachgegangen werden kann, haben Beauftragte für den Datenschutz die Betroffenen hiervon zu unterrichten. Die Betroffenen haben dann selbst zu entscheiden, ob ihre Identität aufgedeckt werden soll.
14a.4 Aufgaben der Beauftragten für den Datenschutz
14a.4.1 Führen des Verfahrensverzeichnisses
Beauftragte für den Datenschutz führen das Verfahrensverzeichnis nach § 14 Abs. 3 Satz 1. Mithin erteilen sie hieraus auch Auskünfte an Interessierte.
Verfahren der Personalvertretungen werden entsprechend dem Urteil des BAG vom 29.10.1997 (NJW 1998, 2466) nicht in das vom Beauftragten für den Datenschutz geführte Verfahrensverzeichnis aufgenommen. Die Personalvertretung ist zwar Teil der verantwortlichen Stelle, unterliegt aber wegen ihrer Unabhängigkeit nicht der Kontrolle des Beauftragte für den Datenschutz, sondern nur der des Landesbeauftragten für den Datenschutz.
14a.4.2 Unterstützungspflicht
Beauftragte für den Datenschutz sind verpflichtet, die öffentlichen Stellen bei der Ausführung der Vorschriften des DSG-LSA und anderer datenschutzrechtlicher Vorschriften zu unterstützen. Die Verantwortlichkeit für den Datenschutz liegt unverändert bei den verantwortlichen öffentlichen Stellen. Beauftragte für den Datenschutz haben dementsprechend keine Weisungsbefugnisse innerhalb der öffentlichen Stellen. Gleichwohl haben sie eine Garantenstellung innerhalb der öffentlichen Stellen. Ihre Aufgaben sind in Nr. 1 bis 3 nicht abschließend aufgezählt.
14a.4.2.1 Hinwirken auf die Beachtung datenschutzrechtlicher Vorschriften
Hinwirken auf die Beachtung datenschutzrechtlicher Vorschriften umfasst z. B. die Prüfung
a) der datenschutzrechtlichen Vereinbarkeit von Verfahren, über deren Einsatz öffentliche Stellen entscheiden,
b) von Dienstanweisungen zum Umgang mit personenbezogenen Daten,
c) ob die Individualrechte Betroffener auf Benachrichtigung, Auskunft, Berichtigung, Löschung und Sperrung (§§ 9, 15, 16) beachtet werden.
Dazu gehört es auch, Hinweise und Vorschläge zu unterbreiten
a) zur Datenvermeidung und Datensparsamkeit (§ 1 Abs. 2) und b) zur Verbesserung technischer und organisatorischer Maßnahmen im Sinne des § 6.
14a.4.2.2 Vorabkontrolle
Beauftragte für den Datenschutz haben die Vorabkontrolle durchzuführen (Nr. 14.2).
14a.4.2.3 Vertrautmachen mit datenschutzrechtlichen Vorschriften
Beauftragte für den Datenschutz haben die mit der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten beschäftigten Personen mit den einschlägigen datenschutzrechtlichen Vorschriften vertraut zu machen. Die Bedeutung und die Notwendigkeit des Datenschutzes ist verständlich zu machen. Beauftragte für den Datenschutz können dazu Mitarbeiterschulungen vornehmen, soweit solche nicht im Rahmen der zentralen Mitarbeiterfortbildung erfolgen.
15. Zu § 15 (Auskunft)
15.1 Allgemeines
§15 regelt im Interesse der Transparenz die grundsätzlich umfassende Auskunftserteilung an Betroffene. Der Anspruch kann formlos geltend gemacht werden. Während eines laufenden Verwaltungsverfahrens werden die Regelungen des §15 durch § 1 VwVfG LSA i. V. m. § 29 VwVfG verdrängt. Zuständig für die Auskunftserteilung ist die verantwortliche Stelle. Gehen Auskunftsersuchen bei Auftragnehmern ein, sind diese an den Auftraggeber weiterzuleiten, sofern nicht der Auftragnehmer zur Auskunftserteilung berechtigt worden ist.
Bei der Auskunftserteilung muss die Identität von Antragstellern hinreichend überprüft sein. Fernmündliche Auskünfte sind nur zulässig, wenn die antragstellende Person identifiziert werden kann (z. B. durch Rückruf).
15.1.1.1 Auskunft über personenbezogene Daten und deren Herkunft und Übermittlung
Der Auskunftsanspruch besteht für alle zur Person gespeicherten Daten. Die ausdrückliche Erwähnung von Daten über die Herkunft oder ihre erfolgte Übermittlung hat nur klarstellende Bedeutung, verpflichtet die öffentliche Stelle aber nicht, solche Daten ausschließlich für Auskunftszwecke zu speichern.
Auskunft ist auch zu erteilen über die Dritten, an die personenbezogene Daten übermittelt worden sind; siehe auch die Sonderregelung des § 15 Abs. 3 Satz 1. Voraussetzung ist, dass die Tatsache der Übermittlung gespeichert ist; dies ist zumindest befristet überwiegend der Fall. Unter Berücksichtigung des Urteils des Europäischen Gerichtshofes vom 7.5.2009 – C 553/07 – erscheint eine Speicherung von Angaben über erfolgte Übermittlungen mindestens so lange angezeigt, wie eine Pflicht zur Verständigung von Stellen, denen Daten übermittelt worden sind, über erfolgte Berichtigungen, Sperrungen und Löschungen nach § 16 Abs. 6 besteht. Eine solche Speicherung erfolgt aber regelmäßig nicht, wenn die Übermittlung im Abrufverfahren erfolgt ist. Hier greift eine Sonderregelung (Nr. 15.1.1.3). § 15 Abs. 2 Nr. 1 bleibt unberührt.
15.1.1.2 Auskunft über Verarbeitung oder Nutzung
Als Rechtsgrundlage der Verarbeitung oder Nutzung kommt, soweit keine andere Rechtsvorschrift vorgeht, § 4 (Einwilligung) oder § 10 Abs. 1 in Betracht. Zum Zweck der Speicherung siehe Nrn. 9.3.3.2 und 10.1.1.15.1.1.3 Auskunft über Dritte, an die Übermittlungen vorgesehen sind Den Betroffenen ist Auskunft über alle die Dritten zu erteilen, an die Übermittlungen vorgesehen sind. Dies sind insbesondere Stellen, an die bei Vorliegen bestimmter Voraussetzungen oder zu bestimmten Stichtagen von Amts wegen Daten übermittelt werden. Dazu gehören auch die Stellen, die Übermittlungen durch Abruf (§ 7) bewirken können.
15.1.1.4 Automatisierte Entscheidungen
Im Fall automatisierter Entscheidungen wird auch über den logischen Aufbau der automatisierten Verarbeitung oder Nutzung Auskunft erteilt. Durch Transparenz soll den Betroffenen veranschaulicht werden, was mit ihren Daten geschieht. Die Grenzen des Auskunftsrechtes können beim Schutz von Betriebs- oder Geschäftsgeheimnissen (z. B. Auskünften über die verwendete Software) liegen.
15.1.3 Auskunft aus Akten
Personenbezogene Daten in Sachakten können nur schwer personenbezogen selektiert werden. Es wird daher nur Auskunft erteilt, soweit die Betroffenen Angaben machen, die das Auffinden der Daten ermöglichen. Ferner wird dem erhöhten Verwaltungsaufwand bei der Auskunftserteilung aus Akten in der Weise Rechnung getragen, dass der für die Erteilung der Auskunft erforderliche Aufwand nicht außer Verhältnis zu dem von Betroffenen geltend gemachten Informationsinteresse stehen darf. Diese Prognose ist im Einzelfall zu erstellen.
15.1.4 Art der Auskunft
Die Auskunftserteilung kann auch durch Gewährung von Akteneinsicht erfolgen. Hierbei dürfen Betroffenen grundsätzlich nicht personenbezogene Daten unbeteiligter Dritter zur Kenntnis gelangen. Auch beschränkt sich die Auskunftserteilung auf die Teile der Akte, die personenbezogene Daten der betroffenen Person enthalten. Ein Recht auf Auskunft über Akteninhalte ohne Personenbezug ergibt sich nicht nach § 15, sondern gegebenenfalls aus anderen Gesetzen.
15.1a Auskunft über Daten, die aufgrund von Aufbewahrungsvorschriften nicht gelöscht werden dürfen
Bei den in Abs. 1a genannten personenbezogenen Daten handelt es sich regelmäßig um gesperrte Daten im Sinne des § 16 Abs. 3. Soweit Betroffene über Daten, die nach § 16 Abs. 3 Satz 1 Nr. 2 gesperrt sind, Auskunft begehren, ist die Ablehnung einer Auskunftserteilung grundsätzlich ermessensfehlerhaft.
15.2 Ausnahmen von der Auskunftspflicht
In Fällen des Abs. 2 besteht nur keine Auskunftspflicht, jedoch kein Auskunftsverbot.
15.2.1 Zwecke der Datensicherung oder der Datenschutzkontrolle
Datensicherung ist hier im Sinne von technischen Maßnahmen nach § 6 zu verstehen.
15.3 Unterrichtung des Landesbeauftragten bei Auskunftsverweigerung
Die Unterrichtung des Landesbeauftragten für den Datenschutz über die Versagung der Zustimmung zur Auskunftserteilung durch die genannten Sicherheitsbehörden erfolgt unverzüglich durch die für die Auskunftserteilung zuständige Stelle.
15.4 Auskunftsverweigerungsgründe
Der verantwortlichen Stelle steht bei Prüfung der Auskunftsverweigerungsgründe nach Nr. 1 bis 3 gemäß dem Urteil des BVerwG vom 3.9.1991 (BVerwGE 89, 14 = JZ 1992, 360) kein Ermessens- oder Beurteilungsspielraum zu. Es handelt sich um gerichtlich voll nachprüfbare unbestimmte Rechtsbegriffe. Die Auskunftsverweigerung ist nur dann gerechtfertigt, wenn das Interesse Betroffener an der Auskunftserteilung zurücktreten muss.
15.4.1 Gefährdung der Aufgabenerfüllung
Durch eine Häufung von Auskunftsersuchen wird die ordnungsgemäße Erfüllung der in der Zuständigkeit der verantwortlichen Stelle liegenden Aufgaben grundsätzlich nicht im Sinne der Nr. 1 gefährdet. Der Schutz der Funktionsfähigkeit der Behörden vor übermäßiger Belastung durch Auskunftsersuchen lässt sich erreichen, indem in solchen Fällen zunächst nur Zwischenbescheide und die Auskünfte selbst in angemessener Frist erteilt werden. Die ordnungsgemäße Erfüllung von Sicherheitsaufgaben der Polizei wäre aber z. B. dann gefährdet, wenn die Polizei im Rahmen der Bekämpfung besonders gefährlicher Kriminalität eingesetzte Informanten preisgeben müsste. Gegenüber diesem Geheimhaltungsinteresse kann dem Auskunftsinteresse Betroffener jedoch ausnahmsweise dann Vorrang zukommen, wenn ausreichende Anhaltspunkte dafür vorliegen, dass Informanten die Behörde wider besseres Wissen oder leichtfertig falsch über Betroffene informiert haben.
15.4.2 Gefährdung der öffentlichen
Sicherheit oder Bereitung von Nachteilen für das Wohl des Bundes oder eines Landes Die öffentliche Sicherheit wäre gefährdet, wenn im Falle der Auskunftserteilung die verfassungsmäßige Ordnung insgesamt oder wesentliche Rechtsgüter Einzelner wie Leib, Leben oder Freiheit beeinträchtigt würden.
Vom Wohl des Bundes oder eines Landes sind nur wesentliche Interessen erfasst, die den Bestand oder die Funktionsfähigkeit des Staates betreffen. Hierzu zählen die innere und äußere Sicherheit des Bundes oder eines Landes und die freundschaftlichen Beziehungen zu anderen Staaten. Wegen dieser hohen Anforderungen ist die Ausnahmeregelung praktisch nicht bedeutsam.
15.4.3 Geheimhaltungsinteressen
Eine Rechtsvorschrift, nach der Daten oder die Tatsache ihrer Speicherung geheimgehalten werden müssen, ist z. B. § 61 Abs. 2 PStG. Ob personenbezogene Daten ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheimgehalten werden müssen, ist durch eine Güterabwägung im Einzelfall festzustellen. Diese Güterabwägung entfällt, wenn der Dritte der Auskunftserteilung zugestimmt hat. Die öffentliche Stelle ist aber grundsätzlich nicht verpflichtet, die Zustimmung des Dritten einzuholen.
15.5 Begründung der Ablehnung
Grundsätzlich ist die Ablehnung einer Auskunftserteilung zu begründen, soweit nicht einer der im Gesetz aufgezählten Ausnahmefälle vorliegt. In diesen Fällen sind die Betroffenen darauf hinzuweisen, dass sie sich an den Landesbeauftragten für den Datenschutz wenden können.
15.7 Kosten der Auskunft
Für die Auskunft werden Gebühren und Auslagen grundsätzlich nicht erhoben. Dies gilt nicht in Fällen des Abs. 1a, wenn mit der Auskunft besonderer Verwaltungsaufwand verbunden ist. In Angelegenheiten der Landesverwaltung und des übertragenen Wirkungskreises bestimmt sich die Gebühr nach § 1 i. V. m. lfd. Nr. 1 Tarifstellen 2.1., 2.2.1., 2.2.4. oder 2.2.5. der Anlage der Allgemeinen Gebührenordnung des Landes Sachsen-Anhalt (AllGO LSA) vom 30.8.2004 (GVBl. LSA S. 554), zuletzt geändert durch Verordnung vom 25.7.2007 (GVBl. LSA S. 279), in der jeweils geltenden Fassung.
16. Zu § 16 (Berichtigung, Löschung und Sperrung von Daten)
16.1 Berichtigung
Die Berichtigung kann durch Verändern, Löschen oder Speichern erfolgen. Die Unrichtigkeit gespeicherter personenbezogener Daten kann darauf beruhen, dass Daten von Anfang an falsch waren (z. B. unrichtiges Geburtsdatum) oder sich nachträglich geändert haben (z. B. Änderung des Familienstandes).
Während in automatisierten Verfahren zu berichtigende Daten überschrieben werden können, ist dies in Akten regelmäßig nicht möglich. Der Akteninhalt baut aufeinander auf. Auch ist der Grundsatz der Aktenvollständigkeit (Beschluss des BVerfG vom 6.6.1983, NJW S. 2135) und der Urkundencharakter von Akten zu beachten. Deshalb wird die Berichtigung in einer Akte nach Satz 2 regelmäßig nur durch entsprechende Vermerke und Querverweise vorgenommen.
16.2 Löschung
16.2.1.1 Unzulässig gespeicherte Daten
Bei der Beurteilung, ob ein personenbezogenes Datum im Sinne der Nr. 1 unzulässig gespeichert ist, wird grundsätzlich auf den Zeitpunkt der Speicherung abgestellt.
16.2.1.2 Nicht mehr erforderliche Daten
Personenbezogene Daten sind zur Erfüllung der in der Zuständigkeit der verantwortlichen Stelle liegenden Aufgaben nicht mehr erforderlich, wenn die Voraussetzungen für eine weitere Speicherung im Sinne des § 10 nicht mehr vorliegen. Ob die Löschungsvoraussetzungen der Nr. 2 vorliegen, wird grundsätzlich nach Ablauf von Regelfristen für die Löschung (§ 14 Abs. 3 Satz 1 Nr. 7) geprüft, ansonsten bei der laufenden Bearbeitung. Dabei ist zu berücksichtigen, dass die öffentliche Verwaltung verpflichtet ist, Verwaltungsvorgänge zum Zwecke der Kontrolle durch die Rechts- und Fachaufsichtsbehörden, die Gerichte, den Landesrechnungshof sowie den Landtag verfügbar zu halten. Zur Aufgabenerfüllung gehören auch solche Dokumentationspflichten.
16.2.2 Löschung in Akten
Mit Rücksicht auf die Besonderheiten der Aktenführung erfolgt in Fällen des Satzes 1 Nr. 2 eine Löschung personenbezogener Daten in Akten nur, wenn die gesamte Akte zur Aufgabenerledigung nicht mehr erforderlich ist. Diese Voraussetzung liegt grundsätzlich nicht schon im Zeitpunkt der letzten inhaltlichen Bearbeitung vor, sondern erst bei Ablauf der regelmäßig durch Verwaltungsvorschriften bestimmten Aufbewahrungsfristen. Bis dahin werden die Akten noch zur Dokumentation, Rechnungsprüfung benötigt. Die nicht mehr aktuell benötigten Daten sind aber nach Abs. 3 zu sperren.
16.3 Sperrung statt Löschung
16.3.1.1 Gesetzliche Aufbewahrungsfristen
Gesetzliche Aufbewahrungsfristen, die der Löschung entgegenstehen, können sich z. B. aus haushaltsrechtlichen Vorschriften oder Bestimmungen des Steuerrechtes ergeben. Aufbewahrungsfristen können auch Satzungen der der Rechtsaufsicht des Landes unterliegenden Körperschaften, Anstalten oder Stiftungen des öffentlichen Rechtes vorsehen.
16.3.1.2 Schutzwürdige Interessen Betroffener
Grund zu der Annahme, dass durch eine Löschung schutzwürdige Interessen Betroffener beeinträchtigt werden, besteht in der Regel dann wenn,
a) Betroffene gegenüber Dritten oder der verantwortlichen Stelle in Beweisschwierigkeiten geraten würden (z. B. Nachweis unzulässiger Datenverarbeitung),
b) die Löschung wegen einer Bereinigungsaktion im Zusammenhang mit einer angekündigten Prüfung des Landesbeauftragten für den Datenschutz erfolgt. Grundsätzlich reicht es hier aus, das Ergebnis der Prüfung durch den Landesbeauftragten für den Datenschutz abzuwarten.
16.3.1.3 Art der Speicherung
In automatisierten Verfahren dürfte die besondere Art der Speicherung einer Löschung nur ausnahmsweise entgegenstehen, z. B. bei Mikroverfilmung. Bereits bei der Auswahl des Speichermediums wird zu berücksichtigen sein, ob die Daten Änderungen unterliegen oder grundsätzlich unverändert bleiben, z. B. aus Gründen der Beweissicherung. Ob bei Akten die Löschung nur mit unverhältnismäßig hohem Aufwand (Nr. 11.5) möglich ist, muss im Einzelfall geprüft werden. Soweit es sich um Daten im Sinne des Abs. 2 Satz 1 Nr. 1 handelt, ist auch die Sensibilität der Daten besonders zu berücksichtigen.
16.4 Bestrittene Daten
Die Richtigkeit personenbezogener Daten muss von Betroffenen substantiell bestritten werden. Die einfache Behauptung, die Daten seien unrichtig, reicht nicht aus. Die Betroffenen können aber vorbehaltlich gesetzlicher Auskunfts- oder Mitwirkungspflichten nicht angehalten werden, die richtigen Daten mitzuteilen.
16.5 Umgang mit gesperrten Daten
16.5.1 Erhöhte Anforderungen
Nach Nr. 1 muss die Übermittlung oder Nutzung zu den genannten Zwecken unerlässlich sein. Der verantwortlichen Stelle oder dem Dritten muss also der Zugriff auf die erforderlichen Daten auf andere Weise grundsätzlich nicht möglich sein.
16.5.2 Allgemeine Anforderungen
Neben den Anforderungen der Nr. 1 müssen stets auch die Voraussetzungen für eine Übermittlung oder Nutzung nach §§ 10 bis 13 erfüllt sein.
16.6.1.1 Verständigung Dritter
Grundsätzlich sind Dritte, denen Daten übermittelt wurden, über Berichtigungen, die Sperrung bestrittener Daten sowie die Löschung oder Sperrung wegen Unzulässigkeit der Speicherung zu verständigen. Es kommt nicht darauf an, ob die Übermittlung regelmäßig oder im Einzelfall erfolgt ist. Die Unterrichtungspflicht besteht grundsätzlich unabhängig davon, ob ein automatisiertes Verfahren vorliegt oder die Daten in nicht-automatisierten Dateien oder in Akten verarbeitet oder genutzt werden.
16.6.1.2 Ausnahmen von der Pflicht zur Verständigung Dritter
Die Unterrichtung unterbleibt, wenn sie
a) zur Wahrung schutzwürdiger Interessen der Betroffenen nicht erforderlich ist, z. B. wenn nach der Art der Verwendung der Daten beim Dritten bekannt ist, dass er die geänderten Daten nicht benötigt. Eine überflüssige Übermittlung könnte schutzwürdige Interessen der Betroffenen beeinträchtigen und brächte unnötigen Verwaltungsaufwand mit sich;
b) sich als unmöglich erweist. Dies ist z. B. der Fall, wenn Daten für Dritte zum Abruf oder zur Einsichtnahme bereitgehalten werden. Diese Stellen haben sich bei Bedarf von der Aktualität früher abgerufener oder eingesehener Daten durch erneuten Abruf oder erneute Einsichtnahme zu überzeugen. Da der bereithaltenden Stelle nicht bekannt ist, über welche Personen welche Daten abgerufen worden sind, würde eine generelle Unterrichtung über alle Veränderungen dazu führen, dass die abrufberechtigte Stelle auch Kenntnis von Daten erhielte, die sie nie abgerufen hat. Die Übermittlung solcher überschießender Informationen würde schutzwürdige Interessen der Betroffenen beeinträchtigen;
c) mit unverhältnismäßigem Aufwand verbunden wäre. Dies ist der Fall, wenn der zeitliche oder materielle Aufwand für die Unterrichtung außer Verhältnis zum Wert der Kenntnis von der Berichtigung, Sperrung oder Löschung betroffener Daten für den Dritten steht, und zwar auch aus Sicht der Betroffenen. Insbesondere bei Informationsverarbeitung in Akten kann die Feststellung, wem wann welche Daten übermittelt worden sind, mit enormem Aufwand verbunden sein.
16.6.2 Verständigung bei interner Weitergabe
Satz 2 erstreckt die Pflicht zur Verständigung auf Fälle der Datenweitergabe innerhalb der verantwortlichen Stelle.
16.7 Übermittlung von Daten an des zuständige Archiv
Nach § 9 des Landesarchivgesetzes (ArchG-LSA) vom 28.6.1995 (GVBl. LSA S. 190), zuletzt geändert durch Art. 2 des Gesetzes vom 18.6.2004 (GVBl. LSA S. 335, 341), in der jeweils geltenden Fassung, sind personenbezogene Daten vor der beabsichtigten Löschung dem jeweils zuständigen Archiv anzubieten. Die Übermittlung der Daten an das Archiv, deren Archivwürdigkeit vom Archiv im Benehmen mit der anbietenden (der verantwortlichen) Stelle festgestellt wird, ist zulässig. Daten können gelöscht werden, wenn das Archiv im Benehmen mit der verantwortlichen Stelle festgestellt hat, dass keine Archivwürdigkeit im Sinne des § 2 Abs. 4 ArchG-LSA vorliegt.
17. Zu § 17 (Unabdingbare Rechte des Betroffenen)
17.1 Unabdingbare Rechte
Die Rechte auf Auskunft, Berichtigung, Löschung und Sperrung können nicht bindend ausgeschlossen oder beschränkt werden. Bei weiteren Rechten, z. B. der jederzeitigen Widerrufbarkeit der Einwilligung (Nr. 4.2.4), ist das jedoch möglich; siehe aber Nr. 29.1.4/5.
18. Zu § 18 (Schadenersatz)
Allgemeines
Wird Betroffenen durch eine verantwortliche Stelle durch unzulässige oder unrichtige Erhebung, Verarbeitung oder Nutzung ihrer Daten ein Schaden zugefügt, kann dies Schadenersatzansprüche auslösen. § 18 regelt aber nicht die Haftung für Schäden, die dadurch eintreten, dass Dritte, denen personenbezogene Daten anderer (der Betroffenen) übermittelt worden sind, auf die Richtigkeit dieser Daten vertrauten. Die Haftung hierfür richtet sich nach anderen Vorschriften.
Absatz 1 regelt die Verschuldenshaftung, Abs. 2 die Gefährdungshaftung. § 18 regelt die Haftung nicht abschließend. Im Einzelfall kommt daneben oder anstelle der Haftung nach § 18 auch eine Haftung aufgrund einer anderen Vorschrift in Betracht; vgl. auch Nr. 3.3.
Für Streitigkeiten aus § 18 ist nach § 40 Abs. 2 Satz 1 VwGO der ordentliche Rechtsweg gegeben.
18.1 Verschuldenshaftung
18.1.1.1 Gegenstand der Haftung
Gehaftet wird für Schäden aus unzulässiger oder unrichtiger Erhebung, Verarbeitung oder Nutzung personenbezogener Daten. Es kommt nicht darauf an, ob der Schaden beim automatisierten oder nichtautomatisierten Umgang mit den Daten eingetreten ist.
18.1.1.2 Umfang der Haftung
Die Haftung ist betragsmäßig nicht begrenzt. Gehaftet wird sowohl für Vermögens- als auch für Nichtvermögensschäden.
18.1.1.3 Anspruchberechtigte und Anspruchsgegner
Anspruchsberechtigt sind nur Betroffene (Nr. 2.1.1), also ausschließlich natürliche Personen, mit deren auf sie bezogenen Daten unzulässig oder unrichtig umgegangen worden ist. Anspruchsgegner ist die verantwortliche Stelle (Nr. 2.8), also die Stelle, die im Einzelfall die unzulässige Erhebung, Verarbeitung oder Nutzung vorgenommen und den dadurch eingetretenen Schaden verursacht hat.
18.1.1.4 Verjährung, Mitverschulden, Haftung Mehrerer
Im Gegensatz zu Abs. 2 trifft Abs. 1 keine Regelungen zur Verjährung, zum Mitverschulden und zur gesamtschuldnerischen Haftung. Die Regelungen des BGB zur Verjährung nach §§ 194 bis 218 BGB, zum Mitverschulden in § 254 BGB und zur gesamtschuldnerischen Haftung nach § 840 sind unmittelbar anwendbar. Die regelmäßige Verjährungsfrist beträgt nach § 195 BGB drei Jahre; der Beginn der Verjährungsfrist bestimmt sich nach § 199 Abs. 1 BGB.
18.1.2. Haftungsfreizeichnung
Liegt eine unzulässige Erhebung, Verarbeitung oder Nutzung personenbezogener Daten vor, wird vermutet, dass die verantwortliche Stelle daran ein Verschulden trifft. Darin liegt eine Beweislastumkehr zu Gunsten der Betroffenen. Die verantwortliche Stelle kann sich von der Haftung freizeichnen. Sie muss nachweisen, dass sie den Umstand, durch den der Schaden entstanden ist, nicht zu vertreten hat. Dies ist der Fall, soweit die verantwortliche Stelle die nach den Umständen des Falles gebotene Sorgfalt beachtet hat. Hat den Schaden ein Auftragnehmer verursacht, muss die verantwortliche Stelle nachweisen, dass sie bei dessen Auswahl und Beaufsichtigung die erforderliche Sorgfalt hat walten lassen.
18.2 Gefährdungshaftung
18.2.1.1 Gegenstand der Haftung
Beim Umgang mit personenbezogenen Daten in automatisierten Verfahren sind die Daten, technisch gesehen, unbegrenzt nutzbar. Hiermit sind besondere Risiken für das Recht auf informationelle Selbstbestimmung verbunden. Aus diesem Grund wird für Schäden aus unzulässiger oder unrichtiger automatisierter Erhebung, Verarbeitung oder Nutzung personenbezogener Daten unabhängig von einem Verschulden gehaftet. Die Unzulässigkeit oder Unrichtigkeit muss unmittelbare Folge des Einsatzes des automatisierten Verfahrens (Nr. 2.2.1.1) sein. Liegt ein Verschulden vor, wird auch nach Abs. 1 gehaftet.
18.2.1.2 Anspruchsberechtigte und Anspruchsgegner
Auf die Ausführungen zu Nr. 18.1.1.3 wird verwiesen; siehe aber Nr. 18.2.5.
18.2.2 Umfang der Haftung
Gehaftet wird für Vermögensschäden und Nichtvermögensschäden. Nichtvermögensschäden sind angemessen in Geld zu ersetzen. Abweichend von sonstigen Regelungen zur Gefährdungshaftung ist bei einer Verletzung des Persönlichkeitsrechts nicht gefordert, dass es sich um eine schwere Verletzung des Rechts handelt. Die Höhe einer eventuellen Entschädigung richtet sich aber nach der Schwere der Verletzung.
18.2.3/4 Höhe der Haftung
Wie bei Gefährdungshaftung üblich, ist die Haftung der Höhe nach begrenzt. Die Haftungshöchstsumme liegt für die eingetretenen materiellen und immateriellen Schäden zusammen bei 125 000 Euro für jedes schädigende Ereignis. Sind mehrere Betroffene geschädigt, erhöht sich die Haftungssumme je schädigendes Ereignis auf 250 000 Euro. Reicht dieser Betrag nicht aus, werden die Schadensersatzleistungen anteilig gekürzt.
18.2.5 Mehrere Pflichtige
Für automatisierte Verfahren, z. B. Verbundverfahren, sind teilweise mehrere Stellen verantwortlich. In einem solchen Fall ist es denkbar, dass keine der beteiligten Stellen nachweisen kann, welche den eingetretenen Schaden verursacht hat. In diesem Fall sind auch Geschädigte nicht in der Lage, die verantwortliche Stelle festzustellen. Die beteiligten Stellen haften dann als Gesamtschuldner.
19. Zu § 19 (Anrufung des Landesbeauftragten für den Datenschutz)
19.1 Recht auf Anrufung
Die Anrufung des Landesbeauftragten für den Datenschutz ist eine Sonderform des jedermann verfassungsrechtlich garantierten Petitionsrechtes. Es besteht ein Anspruch auf Tätigwerden des Landesbeauftragten in angemessener Frist sowie auf Bescheidung. Wie der Landesbeauftragte für den Datenschutz tätig wird, entscheidet dieser unter Berücksichtigung seiner unabhängigen Rechtsstellung und der ihm eingeräumten Befugnisse. Das Anrufungsrecht steht nur Betroffenen (Nr. 2.1.1) zu. Die von Betroffenen behauptete Rechtsverletzung muss in Zusammenhang mit der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten stehen. Gegenstand muss eine Beeinträchtigung des allgemeinen Persönlichkeitsrechtes sein; eine abgeschlossene Rechtsverletzung ist aber nicht erforderlich.
Das Benachteiligungsverbot gilt nur bei der Anrufung in eigenen Angelegenheiten und in gesetzlich vorgesehenen Vertretungsfällen. Mitarbeiter des öffentlichen Dienstes sind insoweit nicht an die Einhaltung des Dienstweges gebunden. In fremden Angelegenheiten können sich dagegen Bedienstete der unmittelbaren oder mittelbaren Landesverwaltung nur in Ausnahmefällen unter Umgehung des Dienstweges an den Landesbeauftragten für den Datenschutz wenden.
19.2 Beschränkung des Anrufungsrechts
Die Beschränkung des Anrufungsrechts bezüglich der Gerichte steht in Zusammenhang mit § 22 Abs. 1 Satz 2. Danach unterliegen die Gerichte der Kontrolle durch den Landesbeauftragten für den Datenschutz nur, soweit sie in Verwaltungsangelegenheiten tätig werden.
22. Zu § 22 (Aufgaben und Befugnisse)
22.1 Der Kontrolle unterliegende Stellen
22.1.1 Adressaten der Kontrolle
Der Kontrolle des Landesbeauftragten für den Datenschutz unterliegen grundsätzlich alle in § 3 Abs. 1 genannten Adressaten des DSG-LSA; hinzu kommen nach Maßgabe des § 8 Abs. 5 von öffentlichen Stellen beherrschte privatrechtlich organisierte Auftragnehmer (Nr. 8.5). Nicht der Kontrolle des Landesbeauftragten für den Datenschutz unterliegen öffentlichrechtliche Kreditinstitute und öffentlichrechtliche Versicherungsanstalten (Nr. 3.2.2).
22.1.2 Sonderregelung für Gerichte
Gerichte sind der Kontrolle nur insoweit unterworfen, als sie in Verwaltungsangelegenheiten tätig werden. Keine Verwaltungsangelegenheiten sind vor allem die rechtsprechende Tätigkeit und die freiwillige Gerichtsbarkeit. Verwaltungsangelegenheiten sind z. B. die Führung des allgemeinen Geschäftsbetriebs und andere Tätigkeiten, die nicht Bestandteil von Verfahren der Rechtspflege sind.
22.3 Kontrolle bei Vorliegen von Berufs- oder besonderen Amtsgeheimnissen
Der Landesbeauftragte für den Datenschutz kann auch personenbezogene Daten kontrollieren, die einem Berufsoder besonderen Amtsgeheimnis unterliegen. Dies gilt gemäß § 24 Abs. 2 i. V. m. § 24 Abs. 6 BDSG auch, wenn der Landesbeauftragte für den Datenschutz z. B. nach § 81 Abs. 2 SGB X die Verarbeitung von Sozialdaten entsprechend §§ 24 bis 26 BDSG bei seiner Kontrolle unterliegenden öffentlichen Stellen überprüft.
Als Ausfluss des Rechts auf informationelle Selbstbestimmung haben Betroffene aber das Recht, hinsichtlich ihrer personenbezogenen Daten, die sich in Akten über die Sicherheitsüberprüfung befinden, der Kontrolle der auf sie bezogenen Daten zu widersprechen. Für personenbezogene Daten, die dem Post- und Fernmeldegeheimnis nach Art. 10 des Grundgesetzes unterliegen, ergibt sich dieses Recht unmittelbar aus § 24 Abs. 2 Satz 4 BDSG i. V. m. § 24 Abs. 6 BDSG. Im Übrigen besteht das allgemeine Einwendungsrecht nach § 4 Abs. 4 auch gegenüber dem Landesbeauftragten für den Datenschutz.
22.3.2/3 Widerspruchsrecht
Nach Satz 3 hat die verantwortliche Stelle die Betroffenen in allgemeiner Form über das Widerspruchsrecht zu unterrichten. Eine unterbliebene Unterrichtung schließt die Kontrolle durch den Landesbeauftragten für den Datenschutz nicht aus, denn die Verpflichtung zur Unterrichtung besteht unbeschadet des Kontrollrechts. Eine allgemeine Information (z. B. Hausmitteilung, Aushang) genügt. Es empfiehlt sich jedoch, die Unterrichtung im Einzelfall mit der Bitte, den Fragebogen für die Sicherheitsüberprüfung auszufüllen, zu verbinden. Die Unterrichtung sollte mit folgendem Hinweis versehen werden:
«Der Landesbeauftragte für den Datenschutz ist vom Landtag gewählt worden. Er ist unabhängig. Seine Aufgabe ist es, alle öffentlichen Stellen des Landes zu kontrollieren und zu beraten, damit beim Umgang mit personenbezogenen Daten das Persönlichkeitsrecht nicht beeinträchtigt wird. Seine Tätigkeit dient also dem Interesse des Einzelnen. Soweit Betroffene von ihrem Widerspruchsrecht Gebrauch machen, üben sie damit Verzicht auf eine Unterstützung durch den Landesbeauftragten für den Datenschutz bei der Gewährleistung des Persönlichkeitsschutzes.»
Betroffene haben den Widerspruch an den Landesbeauftragten für den Datenschutz zu richten; dessen Anschrift lautet: Landesbeauftragter für den Datenschutz Sachsen-Anhalt, Leiterstraße 9, 39104 Magdeburg oder Postfach 19 47, 39009 Magdeburg.
Geht der Widerspruch bei der verantwortlichen Stelle ein, leitet sie ihn an den Landesbeauftragten für den Datenschutz weiter.
22.4.1 Beratung
Neben der Kontrolle hat der Landesbeauftragte für den Datenschutz die Aufgabe der Beratung. Behörden der unmittelbaren Landesverwaltung richten Beratungsersuchen grundsätzlich nicht unmittelbar an den Landesbeauftragten für den Datenschutz, sondern haben den Dienstweg einzuhalten. Entsprechend verfahren Gemeinden, Landkreise und sonstige der Aufsicht des Landes unterstehende juristische Personen des öffentlichen Rechts in Angelegenheiten des übertragenen Wirkungskreises (Auftragsangelegenheiten). In der Regel ist eine Anfrage zunächst an die Beauftragte oder den Beauftragten für den Datenschutz der eigenen Dienststelle gemäß § 14a zu richten.
Geboten ist ein Ersuchen um Beratung durch den Landesbeauftragten für den Datenschutz stets, wenn oberste Landesbehörden allgemeine Erlassregelungen vorbereiten, die auch den Umgang mit personenbezogenen Daten regeln. Bei Gesetzesvorhaben der Landesregierung, die den Umgang mit personenbezogenen Daten betreffen, ist der Landesbeauftragte für den Datenschutz spätestens im Rahmen der Anhörung einzubinden.
Die Empfehlungen des Landesbeauftragten für den Datenschutz sind nicht bindend; sie ersetzen insbesondere nicht die erforderliche Mitzeichnung durch das Ministerium des Innern bei Grundsatzangelegenheiten des Datenschutzes.
22.8 Anzeige von Verstößen
Absatz 8 stellt klar, dass der Grundsatz der Zweckbindung den Landesbeauftragten für den Datenschutz nicht hindert, gegenüber der zuständigen Strafverfolgungs- oder Ordnungswidrigkeitenbehörde die Ahndung datenschutzrechtlicher Verstöße anzuregen. Falls ein arbeits-, dienst- oder gegebenenfalls auch standesrechtliches Vorgehen in Betracht kommt, kann der Landesbeauftragte für den Datenschutz ein solches gegenüber der dafür zuständigen Stelle anregen, falls dies geboten erscheint.
23. Zu § 23 (Durchführung der Aufgaben)
23.1 Unterstützung des Landesbeauftragten für den Datenschutz
Die Pflicht zur Unterstützung des Landesbeauftragten für den Datenschutz besteht nicht nur bei Kontrollen, sondern auch, wenn er nach § 22 Abs. 4 beratend oder nach § 22 Abs. 5 und 6 tätig wird.
23.2.2 Ausschluss der Unterstützung
Die Ausnahme, wonach die in Satz 1 genannten Stellen dem Landesbeauftragten für den Datenschutz Auskünfte sowie die Einsicht in Unterlagen und Akten versagen sowie den Zutritt zu Diensträumen verwehren können, wird kaum praktische Bedeutung erlangen. Von der Staatswohlklausel kann nur die fachlich zuständige oberste Landesbehörde Gebrauch machen.
23.3 Mitteilung des Kontrollergebnisses
Das Ergebnis der Kontrolle durch den Landesbeauftragten für den Datenschutz hat die überprüfte öffentliche Stelle, soweit es sich um eine Aufgabe des übertragenen Wirkungskreises oder um eine Stelle der unmittelbaren Landesverwaltung handelt, der zuständigen Aufsichtsbehörde mitzuteilen.
24. Zu § 24 (Beanstandungen durch den Landesbeauftragten für den Datenschutz)
24.1 Beanstandungsrecht
Der Landesbeauftragte für den Datenschutz kann beanstanden, wenn
a) Verstöße gegen die Vorschriften des DSG-LSA,
b) Verstöße gegen andere Vorschriften über den Datenschutz (dies können nur Rechtsvorschriften sein) oder
c) sonstige Mängel bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten vorliegen.
In der Regel wird es sich auch bei Buchst. c um Verstöße gegen Bestimmungen des DSG-LSA oder bereichsspezifische Datenschutzvorschriften handeln, z. B. Mängel in der Einwilligungserklärung (Nr. 4.2), Mängel bei der Unterrichtung hinsichtlich einer Datenerhebung (Nr. 9.3), unzureichende technisch-organisatorische Vorkehrungen (Nrn. 6.1 bis 6.2.6), unzulässige Durchbrechung des Zweckbindungsgebotes (Nr. 10.2).
Die Beanstandung ist kein Verwaltungsakt und somit nicht durch Widerspruch und Anfechtungsklage anfechtbar. Der in der Beanstandung zum Ausdruck kommenden Rechtsauffassung des Landesbeauftragten für den Datenschutz fehlt neben der verbindlichen Außenwirkung auch das Merkmal der Regelung (vgl. Beschluss des BVerwG vom 5.2.1992, DÖV S. 536). In Angelegenheiten des übertragenen Wirkungskreises scheidet auch eine andere Klageart gegen eine Beanstandung des Landesbeauftragten für den Datenschutz von vornherein aus.
24.1.1 Adressat der Beanstandungen
Nach Nr. 1 ist Adressat einer Beanstandung bei der unmittelbaren Landesverwaltung die (fachlich) zuständige oberste Landesbehörde; dies folgt aus der Ressortverantwortung.
24.1.2 Unterrichtung der Aufsichtsbehörde
Zuständige Aufsichtsbehörde im Sinne der Nr. 2 ist bei Gemeinden, Landkreisen und den sonstigen der Aufsicht des Landes unterstehenden Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts sowie bei Vereinigungen solcher Körperschaften, Anstalten und Stiftungen in Angelegenheiten des eigenen Wirkungskreises die Rechtsaufsichtsbehörde, des übertragenen Wirkungskreises die Fachaufsichtsbehörde.
24.2 Stellungnahmen zu Beanstandungen
Stellen der mittelbaren Landesverwaltung verkehren im Falle einer Beanstandung unmittelbar mit dem Landesbeauftragten für den Datenschutz. Die zuständige Aufsichtsbehörde erhält lediglich eine Abschrift der Stellungnahme an den Landesbeauftragten für den Datenschutz. Im übertragenen Wirkungskreis sind Weisungen der Fachaufsichtsbehörde zu beachten.
Stellen der unmittelbaren Landesverwaltung geben Stellungnahmen zu Beanstandungen des Landesbeauftragten für den Datenschutz auf dem Dienstweg ab.
25. Zu § 25 (Automatisierte Verfahren mittels mobiler personenbezogener Datenträger)
25.1 Zulässigkeit des Verfahrens
Automatisierte Verfahren, die auf mobilen personenbezogenen Datenträgern oder durch solche Datenträger ablaufen, dürfen von öffentlichen Stellen nur unter den Voraussetzungen der Nrn. 1 bis 3 eingesetzt werden. Ein Verfahren läuft auf dem Datenträger ab, wenn auf diesem selbst Daten der betroffenen Person verarbeitet werden. Es handelt sich hierbei um intelligente Datenträger (insbesondere Chipkarten), die § 6c Abs. 1 BDSG als mobile personenbezogene Speicher- und Verarbeitungsmedien definiert. Durch mobile personenbezogene Datenträger laufen Verfahren ab, soweit die Verwendung von intelligenten Datenträgern durch die Betroffenen korrespondierend zu den auf den Datenträgern stattfindenden Prozessen zur automatisierten Erhebung, Verarbeitung oder Nutzung von Daten bei einer öffentlichen Stelle führt (z. B. Führung sogenannter Schattenkonten). Aber auch die Verwendung nicht intelligenter mobiler personenbezogener Datenträger (z. B. Magnetkarten, nur maschinenlesbare Ausweise) durch die Betroffenen kann die automatische Erhebung, Verarbeitung oder Nutzung personenbezogener Daten durch öffentliche Stellen auslösen, z. B. bei der Arbeitszeiterfassung.
25.1.1 Zulassung durch oder aufgrund einer Rechtsvorschrift
Der Einsatz des Verfahrens ist durch Rechtsvorschrift vorgesehen, wenn ein Gesetz, eine Verordnung, eine Satzung oder gegebenenfalls auch eine Dienstvereinbarung dies vorsieht. Regelt eine Rechtsvorschrift nicht unmittelbar den Einsatz mobiler personenbezogener Datenträger, sondern lässt lediglich die Umsetzung einer Rechtsvorschrift den Einsatz solcher Datenträger geboten erscheinen, ist ein entsprechendes Verfahren als aufgrund einer Rechtsvorschrift vorgesehen zu betrachten. Dies gilt z. B.:
a) für die automatisierte Arbeitszeiterfassung, insbesondere im Hinblick auf die Regelungen des § 5 der Arbeitszeitverordnung zur gleitenden Arbeitszeit. Voraussetzung ist weiter, dass der Personalrat der elektronischen Zeiterfassung gemäß § 69 Nr. 3 des PersVG LSA zugestimmt hat;
b) wenn auf der Basis des Gesetzes zur Anpassung der Formvorschriften des Privatrechts und anderer Vorschriften an den modernen Rechtsgeschäftsverkehr vom 13.7.2001 (BGBl. I S. 1542) oder vergleichbarer Regelungen im VwVfG LSA, im SGB X, in der AO elektronische Signaturen zum Einsatz kommen. Dies setzt voraus, dass die Arbeitsplätze der davon betroffenen Bediensteten mit chipkartenbasierten kryptographischen Schlüsseln und entsprechenden Zertifikaten ausgestattet sind;
c) wenn es sich um eine erforderliche technische Maßnahme im Sinne des § 6 Abs. 2 Satz 1 Nrn. 4 und 5 zur Gewährleistung der Authentizität und Revisionsfähigkeit verarbeiteter oder genutzter personenbezogener Daten handelt.
Soweit öffentliche Bedienstete zu Zwecken der Zeiterfassung oder des e-Government mobile personenbezogene Datenträger zu verwenden haben, liegt dies im Übrigen im Rahmen des Direktionsrechts des Dienstherrn oder Arbeitgebers. Auch hierdurch ist der Einsatz der Datenträger als aufgrund einer Rechtsvorschrift vorgesehen anzusehen.
25.1.2 Einwilligung
Mit Einwilligung (§ 4) der Betroffenen ist der Einsatz von Verfahren mittels mobiler personenbezogener Datenträger stets zulässig.
25.1.3 Kontrolle von Zugangs- und Zugriffsberechtigungen
Nr. 3 regelt ausdrücklich die Zulässigkeit des Einsatzes von Verfahren mittels mobiler personenbezogener Datenträger zur Kontrolle von Zugangs- oder Zugriffsberechtigungen, z. B. im Rahmen der Objektsicherung oder technisch-organisatorischer Maßnahmen nach § 6.
25.2 Grenzen der Erhebung, Verarbeitung oder Nutzung
Es dürfen im Rahmen des Verfahrens nicht mehr personenbezogene Daten erhoben, verarbeitet oder genutzt werden, als zur Erreichung des nach Abs. 1 zulässigen Zwecks erforderlich sind. Die Regelung konkretisiert das Prinzip der Datensparsamkeit (Nr. 1.2).
25.3 Transparenz des Verfahrens
Betroffene, die mobile personenbezogene Datenträger gegenüber öffentlichen Stellen verwenden, müssen darauf vertrauen können, dass mit ihren Daten ordnungsgemäß umgegangen und ein Missbrauch des Datenträgers durch Unbefugte verhindert wird. Um sich hiervon überzeugen zu können, muss das Verfahren für die Betroffenen transparent sein. Dies setzt Folgendes voraus:
25.3.1 Unterrichtung über die Stelle, die das Verfahren einsetzt
Die Betroffenen müssen Kenntnis über die Identität und die Anschrift der Stelle haben, die das jeweilige Verfahren einsetzt. Multifunktionale mobile personenbezogene Datenträger (z. B. Chipkarten) können durchaus für Verfahren verschiedener Stellen (auch öffentlicher oder nicht-öffentlicher Stellen nebeneinander) eingesetzt werden. Die das Verfahren einsetzende Stelle muss auch nicht mit der ausgebenden Stelle identisch sein.
25.3.2 Unterrichtung über die Funktionsweise
Die Betroffenen müssen darüber unterrichtet sein, wie der Datenträger funktioniert und welche Art von Daten, nicht welches einzelne Datum, verarbeitet wird.
25.3.3 Unterrichtung über die Möglichkeit der Wahrnehmung von Rechten
Die Betroffenen müssen unterrichtet sein, wie sie ihre Rechte auf Auskunft, Berichtigung, Sperrung oder Löschung geltend machen können. Hierzu gehört es, dass die das jeweilige Verfahren einsetzende Stelle den Betroffenen die Möglichkeit gibt, sich über die auf dem Datenträger gespeicherten Daten zu informieren, z. B. durch das Vorhalten von Lesegeräten im erforderlichen Umfang.
25.3.4 Unterrichtung über Maßnahmen bei Verlust oder Zerstörung
Die Betroffenen müssen wissen, was bei Verlust oder Zerstörung des Datenträgers zu veranlassen ist. Ansonsten bestünde die Gefahr, dass Unbefugte den Datenträger verwenden, dass Unbefugten unter Umständen auf dem Datenträger gespeicherte Daten zur Kenntnis gelangen oder mittels des Datenträgers gespeicherte Daten nicht mehr aktuell gehalten werden können.
25.4 Erkennbarkeit ablaufender Prozesse
Der Vorgang des Erhebens, Verarbeitens oder Nutzens mittels mobiler personenbezogener Datenträger muss für die Betroffenen erkennbar sein. Es darf beim Einsatz mobiler personenbezogener Datenträger keine heimliche Informationsbeschaffung geben. Auch dürfen Prozesse für die Betroffenen nicht ungewollt ablaufen, etwa durch Abbuchung von einem Guthabenkonto, ohne dass die Betroffenen dies merken können. Nicht gefordert ist, dass die Betroffenen stets auch erkennen, welche Daten im Einzelnen erhoben, verarbeitet oder genutzt werden. Der Vorgang des Erhebens, Verarbeitens oder Nutzens ist für Betroffene stets erkennbar, wenn sie gezielt handeln müssen, z. B. beim Eingeben des Datenträgers in ein dafür bestimmtes Eingabegerät. Im Falle berührungsloser Funktion ist der Vorgang durch entsprechenden Hinweis erkennbar zu machen, z. B. durch ein akustisches Signal. Nur in Ausnahmefällen wird ein deutlicher und unübersehbarer schriftlicher Hinweis genügen.
26. Zu § 26 (Erhebung, Verarbeitung oder Nutzung besonders geschützter personenbezogener Daten)
26.1.1 Umgang mit Daten besonderer Art
Satz 1 führt die Fallgestaltungen abschließend auf, bei denen Daten besonderer Art (Nr. 2.1.2) erhoben, verarbeitet oder genutzt werden dürfen. Die Regelung stellt ab auf die verantwortliche Stelle, also diejenige öffentliche Stelle, die diese Daten zur Erfüllung der in ihrer Zuständigkeit liegenden Aufgaben erhebt, verarbeitet oder nutzt. Gleichwohl steht die Regelung einer Übermittlung an eine andere öffentliche Stelle nicht entgegen, soweit diese Stelle die Daten auch selbst nach Maßgabe des § 26 Abs. 1 oder vergleichbarer Regelungen erheben, verarbeiten oder nutzen darf. Dies gilt entsprechend für die Übermittlung an nicht-öffentliche Stellen, wobei die Fälle der Nrn. 1 bis 4 ohnehin unproblematisch sind. In Fällen der Nrn. 5 und 8 gehört die Übermittlung im Übrigen regelmäßig zur Aufgabe der übermittelnden Stelle.
26.1.1.1 Rechtsvorschrift
Die erste Alternative der Nr. 1 regelt deklaratorisch den durch besondere Rechtsvorschrift normierten Fall der Erhebung, Verarbeitung oder Nutzung solcher Daten. Die zweite Alternative der Nr. 1 stellt auf ältere Rechtsvorschriften ab, die den Umgang mit sensiblen Daten nicht ausdrücklich regeln, aber zwingend voraussetzen.
26.1.1.6 Forschungszwecke
Personenbezogene Daten besonderer Art dürfen im Rahmen des Erforderlichen zu Forschungszwecken erhoben, verarbeitet oder genutzt werden. Von einem solchen Umgang mit personenbezogenen Daten geht grundsätzlich keine besondere Gefährdung der Persönlichkeitssphäre der Betroffenen aus. Die Befugnis zur Übermittlung an andere öffentliche oder auch nichtöffentliche mit wissenschaftlicher Forschung befasste Stellen ergibt sich aus dem Verweis auf § 27 oder vergleichbare gesetzliche Regelungen. Solche Regelungen enthalten spezielle Forschungsklauseln in Fachgesetzen, aber auch die allgemeinen Forschungsklauseln im BDSG und in anderen Landesdatenschutzgesetzen. Bei der Übermittlung von Daten aus dem Verwaltungsvollzug müssen stets die Voraussetzungen des § 10 Abs. 2 Nr. 9 erfüllt sein.
26.1.1.7 Öffentliche Auszeichnungen
Für Zwecke öffentlicher Auszeichnungen müssen auch Daten besonderer Art erhoben, verarbeitet oder genutzt werden, um Art, Dauer und Qualität von besonderen Leistungen und Verdiensten sowie die Würdigung von Personen, die eine öffentliche Auszeichnung erhalten sollen, festzustellen. Zur Übermittlung siehe Nr. 30a.2.
26.1.2 Zwecke der Gefahrenabwehr oder der Verfolgung von Straftaten oder Ordnungswidrigkeiten
Inwieweit zu diesen Zwecken personenbezogene Daten besonderer Art erhoben, verarbeitet oder genutzt werden dürfen, bestimmt sich nach den hierfür einschlägigen Gesetzen. Satz 2 nimmt daher diese Aufgabenbereiche von der Anwendbarkeit des Satzes 1 aus.
26.2 Personenbezogene Daten, die Berufs- oder besonderen Amtsgeheimnissen unterliegen
Personenbezogene Daten, die Berufsoder besonderen Amtsgeheimnissen unterliegen, können auch Daten besonderer Art sein; in diesem Fall hat die verantwortliche Stelle auch Abs. 1 zu beachten. Besondere Berufsgeheimnisse können auf einer gesetzlichen Grundlage oder auf Standesrecht beruhen. Zur Wahrung von Berufsgeheimnissen sind insbesondere die in § 203 Abs. 1 StGB genannten Berufsinhaber z. B. Ärzte, Apotheker, Berufspsychologen, Rechtsanwälte, Steuerberater, Ehe-, Familien-, Erziehungs- oder Jugendberater sowie Berater für Suchtfragen verpflichtet. Besondere Amtsgeheimnisse bestehen z. B. nach § 30 AO (Steuergeheimnis), § 35 SGB I (Sozialgeheimnis) und § 16 BStatG (Statistikgeheimnis).
26.2.1 Verlängerter Geheimnisschutz
Die Stelle, der durch ein Berufs- oder besonderes Amtsgeheimnis geschützte Daten von der zur Verschwiegenheit verpflichteten Stelle zur Verfügung gestellt worden sind, ist bei der Verarbeitung oder Nutzung der geheimnisgeschützten Daten an den Zweck gebunden, zu dem sie die Daten erhalten hat. Dies gilt bei Datenweitergabe innerhalb der verantwortlichen Stelle auch für die Person oder Organisationseinheit, die dem Berufs- oder besonderen Amtsgeheimnis nicht unmittelbar unterliegt, aber an die vom Geheimnisverpflichteten die besonders geschützten Daten weitergegeben worden sind. Die Zweckbindung gilt auch für eventuelle Empfänger, an die die verantwortliche Stelle die vom Geheimnisverpflichteten erhaltenen Daten übermittelt oder weitergibt.
26.2.3 Ausschluss allgemeiner Zweckdurchbrechungsregelungen
Die in Satz 1 festgelegte Zweckbindung darf nur auf Grund einer besonderen gesetzlichen Regelung durchbrochen werden. Satz 3 verdrängt die allgemeine Zweckdurchbrechungsregelung des § 10 Abs. 2.
27. Zu § 27 (Verarbeitung und Nutzung personenbezogener Daten durch Forschungseinrichtungen)
Allgemeines
Adressaten der Regelung sind nur öffentliche Forschungseinrichtungen, die für Zwecke der wissenschaftlichen Forschung personenbezogene Daten verarbeiten oder nutzen, nicht dagegen andere öffentliche Stellen, die personenbezogene Daten für Zwecke der Forschung bereitstellen. Die Nutzung und Übermittlung personenbezogener Daten aus dem Verwaltungsvollzug für Forschungszwecke regelt z. B. § 10 Abs. 2 Nr. 9, gegebenenfalls i. V. m. §§ 11 und 12.
27.1 Ausschließliche Verarbeitung oder Nutzung für den Erhebungszweck
Für Zwecke der wissenschaftlichen Forschung erhobene oder gespeicherte personenbezogene Daten dürfen ausschließlich für diese Zwecke verarbeitet oder genutzt werden. Eine Nutzung der Daten zu Zwecken des Verwaltungsvollzugs ist ausgeschlossen.
27.4 Ausschluss der Übermittlung
Es ist grundsätzlich ausgeschlossen, dass die wissenschaftliche Forschung betreibenden Stellen bei der Darstellung von Forschungsergebnissen personenbezogene Daten übermitteln, insbesondere durch Veröffentlichung.
27.4.1 Einwilligung
Die Beschränkung der Übermittlung, etwa in Form der Veröffentlichung gilt nicht, wenn der Betroffene eingewilligt hat.
27.4.2 Ergebnisse der Zeitgeschichte
Die personenbezogene Übermittlung, insbesondere durch Veröffentlichung, ist zulässig, soweit dies für die Darstellung von Forschungsergebnissen über Ereignisse der Zeitgeschichte unerlässlich ist, z. B. bei Angaben über Personen des öffentlichen Lebens.
28. Zu § 28 (Erhebung, Verarbeitung oder Nutzung von Personal- und Bewerberdaten)
Umgang mit Personal- und Bewerberdaten § 28 regelt in Abs. 1 allgemein den Umgang öffentlicher Stellen mit Personaldaten. Adressaten der Regelung sind die in § 3 Abs. 1 bezeichneten öffentlichen Stellen. Erfasst sind nach § 3 Abs. 2 Nr. 1 ferner öffentliche Wettbewerbsunternehmen sowie nach § 3 Abs. 2 Nr. 2 die öffentlichrechtlichen Kreditinstitute und Versicherungsanstalten. Besonderheiten ergeben sich aus den Abs. 2 bis 4.
28.1. Gleiche Regelungen für Arbeitgeber und Dienstherren
28.1.1 Personalaktendaten
Im Interesse der Rechtseinheitlichkeit gelten für das Erheben, Verarbeiten oder Nutzen von Personaldaten über Angestellte, Arbeiter und Auszubildende, die in einem privatrechtlich ausgestalteten Ausbildungsverhältnis stehen, grundsätzlich die §§ 84 – 91 des Landesbeamtengesetzes (LBG LSA) vom 15.12.2009 (GVBl. LSA S. 648) entsprechend; also gelten die gleichen Regelungen wie für Beamte. Diese Vorschriften des LBG LSA regeln fast ausschließlich den Umgang mit Personalakten und Personalaktendaten. Personalaktendaten sind nur solche Daten, die mit dem Dienst- oder Arbeitsverhältnis in einem unmittelbaren inneren Zusammenhang stehen und daher ihrem Wesen nach Bestandteil der Personalakte sind. Es gilt der materielle Personalaktenbegriff. Welche Unterlagen Bestandteile der Personalakte sind, ist in der LT-Drs. 2/3306 vom 12.3.1997 aufgeführt.
Für die Aufnahme und Entfernung von Unterlagen ergeben sich aus dem Arbeits- und Tarifrecht einzelne Besonderheiten. Vorgänge, die zu einer Abmahnung, Änderungskündigung oder bei Bewährungsaufstieg zur Feststellung der Nichtbewährung geführt haben, müssen in der Personalakte verbleiben, soweit sie für im weiteren Verlauf des Arbeitsverhältnisses gegebenenfalls erforderliche Maßnahmen (Abmahnung, Änderungskündigung oder Kündigung) noch benötigt werden.
Für genetische Untersuchungen im Arbeitsleben gelten nach § 3 Abs. 3 dieses Gesetzes vorgehende Regelungen des Gendiagnostikgesetzes. Bei verständiger Auslegung der einschlägigen Vorschriften des LBG LSA, insbesondere der §§ 10, 49 und 84 bis 91, sowie unter Berücksichtigung der einschlägigen Rechtsprechung müssen die Verbote genetischer Untersuchungen nach §§ 19 und 20 sowie arbeitsrechtlicher Benachteiligungen nach § 21 des Gendiagnostikgesetzes auch bei Personen Beachtung finden, die sich in einem öffentlich-rechtlichen Dienstverhältnis zum Land oder zu einer der Aufsicht des Landes unterstehenden Körperschaft, Anstalt oder Stiftung des öffentlichen Rechts stehen oder sich für ein solches Dienstverhältnis beworben haben.
28.1.2 Personaldaten, die nicht Personalaktendaten sind
Für den Umgang mit sonstigen Personaldaten, die nicht Personalaktendaten sind (z. B. in Unterlagen über die Geschäftsverteilung, über Organisationsuntersuchungen, Stellenbesetzungen) gelten grundsätzlich die allgemeinen Regelungen des DSGLSA. Es handelt sich um Sachaktendaten. Letztlich liegt der Unterscheidung von Sach- und Personalaktendaten eine von der Fürsorgepflicht des Dienstherrn gesteuerte Wertung zu Grunde. Allerdings ist § 90 Abs. 4 Satz 1 BG LSA zu berücksichtigen, der in seiner Anwendung nicht auf Personalaktendaten beschränkt ist. Diese Vorschrift bestimmt, dass der Dienstherr oder Arbeitgeber über Bedienstete oder Bewerber personenbezogene Daten nur erheben darf, soweit dies zur Begründung, Durchführung, Beendigung oder Abwicklung des Dienstoder Arbeitsverhältnisses oder zur Durchführung organisatorischer, personeller oder sozialer Maßnahmen, insbesondere auch zu Zwecken der Personalplanung und des Personaleinsatzes, erforderlich ist oder eine Rechtsvorschrift dieses erlaubt. Die Regelung erfasst z. B. auch die Erhebung von Daten für Personalverzeichnisse oder im Rahmen der Kosten- und Leistungsrechnung; letztere sollte aber soweit möglich mit aggregierten Daten durchgeführt werden. Die Vorschrift geht der allgemeinen Erhebungsregelung des § 9 Abs. 1 vor. Die Zulässigkeit der nachfolgenden Verarbeitung oder Nutzung derjenigen Daten über Bedienstete, die nicht Personalaktendaten sind, beurteilt sich mangels bereichsspezifischer Regelungen nach §§ 10 bis 13, 15 und 16. Dabei ist zu beachten, dass aus § 10 Abs. 1 für die nachfolgende Speicherung, Veränderung und Nutzung der Daten grundsätzlich die Bindung an den Erhebungszweck folgt.
28.2 Anforderung von Befunden bei Einstellung
Die mit einer Einstellungsuntersuchung beauftragten Ärzte oder Psychologen dürfen der Einstellungsbehörde Befunde nur mit Einwilligung Betroffener zuleiten. Diese Einschränkung besteht nicht ausdrücklich, wenn entsprechende Untersuchungen im Laufe eines Dienst- oder Arbeitsverhältnisses vorgenommen werden, z. B. bei Prüfung der Dienstunfähigkeit von Beamten. Schon aus dem Erforderlichkeitsprinzip ergibt sich, dass nicht mehr Daten als erforderlich angefordert werden dürfen.
28.3 Daten abgelehnter Bewerber
Bei erfolglosen Bewerbungen sind die vor der Eingehung des Dienst- oder Arbeitsverhältnisses erhobenen Daten der Bewerber zu löschen. Von der Löschung kann mit Einwilligung (Nr. 4.2) der Betroffenen abgewichen werden. Die Löschung erfolgt am besten durch Rückgabe der Bewerbungsunterlagen; in diesem Fall wird nur das Bewerbungsschreiben zur Akte genommen.
29. Zu § 29 (Fernmessen und Fernwirken)
Allgemeines
Fernmessen liegt vor, wenn ferngesteuert oder –beobachtet Verbrauchsmessungen erfolgen. Fernwirken ist Fernschalten oder Ferneinstellen. § 29 trifft hierfür Sonderregelungen, soweit die Vorgänge in Wohnungen oder Geschäftsräumen erfolgen.
Sofern abweichende Regelungen z. B. in Verordnungen über Allgemeine Bedingungen für die Versorgung mit Wasser, Fernwärme usw. getroffen werden, gehen diese Regelungen vor (Nummer 3.3).
29.1.1/2 Informierte Einwilligung
Das Fernmessen oder Fernwirken in Wohnungen oder Geschäftsräumen bedarf der Einwilligung der Betroffenen. Die Betroffenen müssen über den Zweck des Dienstes sowie über die Art, den Umfang und den Zeitraum des Einsatzes unterrichtet sein. Im Übrigen müssen die Anforderungen des § 4 Abs. 2 erfüllt sein.
29.1.3.1 Erkennbarkeit
Fernmess- und Fernwirkdienste dürfen nicht eingerichtet werden, wenn die Betroffenen nicht erkennen können, wann ein Dienst in Anspruch genommen wird und welcher Art dieser Dienst ist. Es soll im Interesse des Persönlichkeitsschutzes keine heimliche Informationsbeschaffung geben.
29.1.3.2 Sonderregelung für Versorgungsunternehmen
Das Erfordernis der Erkennbarkeit einzelner Aktionen des Fernmessoder Fernwirkdienstes besteht wegen der geringeren Sensibilität der abgerufenen Daten (Verbrauchsangaben) nicht für Versorgungsunternehmen.
29.1.4/5 Widerruf der Einwilligung
Die Einwilligung nach Satz 1 zum Einsatz von Einrichtungen zum Fernmessen oder Fernwirken kann grundsätzlich jederzeit widerrufen werden. Dies gilt nicht, soweit der Widerruf mit der Zweckbestimmung des Dienstes nicht vereinbar ist. Der Widerruf der Einwilligung kann auch durch schlüssiges Handeln, etwa das Abschalten des Dienstes, erfolgen.
29.2 Folgen des Widerrufs
29.2.1 Verbot des Leistungsausschlusses
Weigern sich Betroffene, in Fällen des Satzes 1 in das Fernmessen oder Fernwirken einzuwilligen, darf dies nicht zum Leistungsausschluss führen.
29.2.2 Mehrkosten
Die Betroffenen können mit den Mehrkosten belastet werden, die dadurch entstehen, dass sie den Fernmess- oder Fernwirkdienst nicht zulassen, z. B. mit höheren Kosten einer Zählerablesung vor Ort.
29.3 Zweckbindung
29.3.1 Ausschluss der Zweckänderung
Personenbezogene Daten, die durch Fernmess- oder Fernwirkdienste erhoben werden, dürfen nur zu den vereinbarten Zwecken verarbeitet oder genutzt werden. Eine Zweckänderung nach § 10 Abs. 2 ist vorbehaltlich besonderer Rechtsvorschriften oder der Einwilligung der Betroffenen unzulässig.
29.3.2 Löschung nach Zweckerreichung
Die durch Fernmessung oder Fernwirkung erhobenen personenbezogenen Daten sind zu löschen, sobald sie zur Erfüllung des damit verfolgten Zwecks nicht mehr erforderlich sind, also spätestens nach Begleichung der abgerechneten Kosten. Dies ist eine Sonderregelung zu § 16 Abs. 2.
30. Zu § 30 (Optisch-elektronische Beobachtung)
Allgemeines
Die Vorschrift trifft nur Regelungen zur Beobachtung öffentlich zugänglicher Bereiche (Nr. 30.1) mittels optischelektronischer Einrichtungen, insbesondere durch Videotechnik. Eine Legaldefinition des öffentlichen Bereiches gibt es nicht. Entscheidend ist, ob die Bereiche für den öffentlichen Verkehr gewidmet worden sind oder dazu dienen, von jedermann genutzt und betreten zu werden. Betroffen sind also z. B. Schalterhallen in Rathäusern, Ausstellungsräume in Museen und Eingangsbereiche öffentlicher Gebäude. Es ist unerheblich, ob der Bereich überdacht ist oder sich unter freiem Himmel befindet. Bereichsspezifische Regelungen zur optisch-elektronischen Beobachtung, z. B. nach dem SOG LSA, betreffen andere Sachverhalte und bleiben unberührt. § 30 gilt auch nicht für die optisch-elektronische Beobachtung zu Zwecken der Verkehrslenkung und –beobachtung. Hierfür bedarf es keiner besonderen Befugnis. Für diese Zwecke werden Übersichtsaufnahmen gefertigt, die in keinem Fall Eingriffsqualität haben. Die Vorschrift gilt auch nicht für die Aufzeichnung von Verstößen gegen straßenverkehrsrechtliche Bestimmungen; solche Aufzeichnungen sind zulässige Beweismittel nach der Strafprozessordnung oder dem Gesetz über Ordnungswidrigkeiten i. d. F. der Bek. vom 19.2.1987 (BGBl. I S. 602), zuletzt geändert durch Art. 24 des Gesetzes vom 22.12.2006 (BGBl. I S. 3416), in der jeweils geltenden Fassung.
§ 30 regelt nicht die Zulässigkeit der Beobachtung mittels optischelektronischer Einrichtungen von solchen Bereichen, die nicht öffentlich zugänglich sind. Der Einsatz entsprechender Technik in nicht öffentlich zugänglichen Bereichen ist grundsätzlich als zulässig anzusehen; er bedarf keiner besonderen Ermächtigung. Sofern jedoch Mitarbeiter öffentlicher Stellen in nicht öffentlich zugänglichen Bereichen vom Einsatz entsprechender Technik betroffen sind, müssen die von der Rechtsprechung hierzu aufgestellten engen Anforderungen erfüllt sein.
Gesetzliche Regelungen über den Einsatz von Einrichtungen zur optischelektronischen Beobachtung am Arbeitsplatz gibt es noch nicht. Grundsätzlich gilt Folgendes:
a) Eine verdeckt und ohne Wissen des Arbeitnehmers durchgeführte Videoüberwachung stellt nach der gefestigten Rechtssprechung des Bundesarbeitsgerichts einen unzulässigen Eingriff in das Persönlichkeitsrecht des Arbeitnehmers dar, wenn keine überwiegenden schutzwürdigen Interessen des Arbeitgebers ersichtlich sind, vgl. Urteil des BAG vom 7.10.1987 – 5 AZR 116/86 (BB 1988 S. 137).
b) Das einen Eingriff in das Persönlichkeitsrecht rechtfertigende schutzwürdige Interesse des Arbeitgebers muss durch konkrete Anhaltspunkte und Verdachtsmomente belegt sein. Eine vage Vermutung oder ein pauschaler Verdacht gegen die gesamte Belegschaft genügt den Anforderungen nicht.
c) Eine unter diesen Voraussetzungen statthafte Videoüberwachung ist grundsätzlich offen mittels einer sichtbaren Anlage und nach vorheriger Information der Belegschaft durchzuführen.
d) Eine Überwachung durch verdeckte Kameras ist als ultima ratio nur dann zulässig, wenn dieses Mittel die einzige Möglichkeit darstellt, berechtigte und schützenswerte Interessen des Arbeitgebers zu wahren.
e) Die Videoüberwachung unterliegt der Mitbestimmung des Personalrates nach § 69 Nr. 3 des PersVG LSA. Eine unzulässige Videoüberwachung wird durch eine Zustimmung des Personalrates nicht legitimiert, vgl. Urteil des BAG vom 15.5.1991 – 5 AZR 115/90 (NZA 1992 S. 43).
f) Die durch eine rechtswidrige Überwachung gewonnenen Erkenntnisse unterliegen einem Verwertungsverbot.
30.1 Voraussetzungen für die Beobachtung mittels optischelektronischer Einrichtungen
Bei optisch-elektronischer Beobachtung werden Verhaltensweisen Betroffener zur Kenntnis genommen. Dies kann Entfaltungschancen des Einzelnen beeinträchtigen. Aus diesem Grund begrenzt Abs. 1 für öffentliche Stellen die Befugnis zur Beobachtung durch optisch-elektronische Einrichtungen auf öffentlich zugängliche Bereiche. Darüber hinaus wird die Beobachtung mittels solcher Einrichtungen davon abhängig gemacht, dass sie für einen von drei enumerativ aufgeführten Zwecken erforderlich ist. Der Einsatz eines Mittels ist nur erforderlich, wenn dies auch verhältnismäßig ist. Die Pflicht zur Beachtung dieses Grundsatzes wird in der Weise konkretisiert, dass schutzwürdige Interessen der Personen, die sich im Aufnahmebereich der optischelektronischen Einrichtung befinden, nicht überwiegen dürfen. Eine Beeinträchtigung schutzwürdiger Interessen Betroffener kann z. B. vorliegen, wenn sich die Beobachtung auf Nachbargrundstücke erstreckt. Dies wäre aber auch der Fall, wenn z. B. Umkleideräume in Badeanstalten per Videotechnik überwacht würden.
30.1.1 Wahrnehmung des Hausrechts
Das Hausrecht gibt die Befugnis darüber zu entscheiden, wer abgeschlossene Räume oder befriedetes Besitztum betreten darf, um unbefugtes Betreten zu verhindern. Das Hausrecht schließt grundsätzlich die Befugnis ein, durch Einsatz von Videotechnik in unübersichtlichen Bereichen einer öffentlichen Einrichtung Dritte vor dem Risiko zu schützen, einer Straftat ausgesetzt zu sein.
30.1.2 Schutz des öffentlichen Eigentums oder Besitzes
Nummer 2 lässt die optischelektronische Beobachtung zum Schutz des (öffentlichen) Eigentums oder Besitzes zu. Hierzu gehört der Schutz vor Sachbeschädigungen und Diebstahl bei öffentlichen Stellen; dazu gehören z. B. auch Museen.
30.1.3 Kontrolle von Zugangsberechtigungen
Die Zugangskontrolle ist in vielen Fällen Ausfluss des Hausrechts und erfasst z. B. die Abschottung sensibler Bereiche innerhalb eines Verwaltungsgebäudes (Sicherheitsbereiche).
30.2 Transparenz
Grundsätzlich muss eine Erhebung, sofern sie nicht Zwecken der Strafverfolgung oder Gefahrenabwehr dient, offen und für die Betroffenen erkennbar sein. Dies gilt auch bei optischelektronischer Beobachtung. Für die Personen, die sich im Aufnahmebereich optisch-elektronischer Einrichtungen befinden, muss die Tatsache oder zumindest die Möglichkeit der Beobachtung erkennbar sein. Dies ist der Fall, wenn
a) der einzelne Beobachtungsvorgang unmittelbar wahrnehmbar ist,
b) auf die Beobachtung durch deutlich sichtbare Schilder (z. B. Piktogramme, bei Bedarf mehrsprachige Texte) oder in sonstiger Weise hingewiesen wird oder
c) die optisch-elektronische Einrichtung deutlich sichtbar installiert ist.
Ein ausdrücklicher Hinweis auf die verantwortliche Stelle ist nur dann erforderlich, wenn Betroffene sonst nicht erkennen können, an welche Stelle sie sich im Beschwerdefall wenden können.
30.3.1 Zweckbindung
Satz 1 legt fest, dass bei Beobachtung mittels optisch-elektronischer Einrichtungen personenbezogene Daten nur erhoben oder gespeichert werden dürfen, wenn dies zur Erreichung des Zwecks der Beobachtung erforderlich oder technisch unvermeidlich (z. B. bei Erfassung Unbeteiligter) ist. Daten werden erst dann personenbezogen erhoben und gespeichert, wenn sie einer bestimmten Person zugeordnet werden. Werden keine Aufzeichnungen gefertigt, ist dies nur selten der Fall. Liegen Aufzeichnungen vor, besteht ein Personenbezug nur, wenn nach Art der Aufnahmetechnik ein solcher Bezug herstellbar ist. Grundsätzlich ist eine Verarbeitung oder Nutzung nur zum Zweck der Erhebung zulässig.
30.3.2 Zweckänderung
Eine Zweckänderung kommt nur entsprechend § 10 Abs. 2 Nrn. 1 bis 3 und 6 bis 8 in Betracht. Danach kann z. B. Betroffenen oder Dritten Beweismaterial zur Verfügung gestellt werden, wenn gelegentlich einer zulässigen Beobachtung mittels optischelektronischer Einrichtungen eine unerlaubte Handlung, die zu einem erheblichen Gesundheits- oder Vermögensschaden geführt hat, dokumentiert wurde. Ist es dagegen Zweck einer nach Abs. 1 Nrn. 1 oder 2 zulässigen Beobachtung, unerlaubte oder strafbare Handlungen zu dokumentieren, ist die Verwendung personenbezogener Daten zur Verfolgung zivilrechtlicher Ansprüche oder zur Verfolgung von Straftaten oder Ordnungswidrigkeiten zweckidentisch. Ein Rückgriff auf Zweckdurchbrechungstatbestände des § 10 Abs. 2 Nrn. 6 bis 8 ist hier entbehrlich.
30.4 Löschung
Satz 1 ist eine Sonderregelung im Verhältnis zu § 16 Abs. 2 Satz 1 Nr. 2. Die Löschungspflicht besteht unabhängig davon, ob die Aufzeichnungen personenbezogen sind. Die Pflicht zur unverzüglichen Löschung trägt dem vorrangigen Interesse der Betroffenen Rechnung, Aufzeichnungen nicht länger zu speichern, als dies für die Zwecke erforderlich ist, zu denen die Aufzeichnungen erfolgt sind. Es ist keine genau terminierte Löschungsfrist vorgegeben. Die Frist ist nach den Besonderheiten des Einzelfalls festzulegen; diese Festlegung ist gerichtlich nachprüfbar. In vielen Fällen dürfte es ausreichen, Aufzeichnungen in kurzen Zeitabständen (wenige Stunden bis maximal wenige Tage) durch automatisches Überschreiben zu löschen. Ist ein Sachverhalt dokumentiert, der Anlass der Beobachtung war, sollte – soweit dies technisch möglich ist – zu Zwecken der Beweissicherung nur die entsprechende Passage auf längere Zeit gespeichert bleiben.
Nur in Ausnahmefällen dürften schutzwürdige Interessen Betroffener eine Löschung vor Zweckerreichung erfordern.
30a. Zu § 30a (Öffentliche Auszeichnungen)
30a. Verhältnis des § 30a zu allgemeinen Regelungen des Gesetzes
Soweit § 30a keine Sonderregelungen trifft, gelten für den Umgang mit Daten, die zu Zwecken öffentlicher Auszeichnung erhoben werden, die allgemeinen Regelungen des Gesetzes, insbesondere zum Umfang zulässiger Erhebung.
30a.1.1 Diskretion bei der Vorbereitung von Auszeichnungen
Satz 1 lässt die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten ohne Kenntnis der Betroffenen zu, um bei diesen Personen keine Erwartungshaltung und im Falle der Nichtauszeichnung Enttäuschung auszulösen. Soweit für Zwecke der Vorbereitung einer Auszeichnung im Einzelfall personenbezogene Daten besonderer Art benötigt werden, siehe Nr. 26.1.1.7.
30a.1.2 Zweckbindung
Die für Zwecke öffentlicher Auszeichnungen erhobenen und gespeicherten Daten unterliegen einer strengen Zweckbindung. Abs. 2 verdrängt die allgemeine Zweckdurchbrechungsregelung des § 10 Abs. 2, nicht aber § 10 Abs. 3. Zufallserkenntnisse dürfen grundsätzlich selbst dann nicht verwendet werden, wenn sie für andere Zwecke, z. B. der Strafverfolgung, benötigt werden.
30a.2 Übermittlungsbefugnis anderer öffentlicher Stellen
Es wird ausdrücklich klargestellt, dass andere öffentliche Stellen den für die Vorbereitung von Auszeichnungen zuständigen Stellen die hierfür erforderlichen Daten übermitteln dürfen.
30a.3 Ausschluss der Auskunftserteilung
Auskunft über in Verfahren der Auszeichnung gespeicherte Daten ist den Betroffenen nicht zu erteilen. Da keine Auskunft erteilt wird, erfolgt auch keine Benachrichtigung. Der Ausschluss der Benachrichtigung ergibt sich aus § 9 Abs. 5 Satz 3 Nr. 3.
31. Zu § 31 (Strafvorschriften)
Allgemeines
Auch für die Strafvorschriften des § 31 gilt die Subsidiaritätsklausel (Nr. 3.3). Soweit andere Strafnormen gleiches Handeln aus § 31 gleichgerichteten persönlichkeitsschützenden Gründen unter Strafandrohung stellen, verdrängen sie die Strafbestimmungen des DSG-LSA. In einem solchen Fall besteht sogenannte Gesetzeskonkurrenz oder Gesetzeseinheit. So verdrängt regelmäßig § 203 StGB bei der Verletzung von Privatgeheimnissen die Strafbewehrung nach § 31 Abs. 1 Nr. 1 wegen unzulässiger Übermittlung.
Die Feststellung, ob Gesetzeseinheit besteht, ist insoweit von Bedeutung, als z. B.
a) abweichend von § 31 Abs. 1 die vorrangige Strafnorm nicht nur Handeln, Dulden oder Unterlassen gegen Entgelt, in Bereicherungsoder Schädigungsabsicht unter Strafe stellen kann (z. B. § 203 Abs. 1 StGB),
b) das Strafantragsrecht abweichend von § 31 Abs. 3 auf den Verletzten beschränkt sein kann (z. B. § 205 Abs. 1 StGB).
Idealkonkurrenz ist z. B. möglich mit Straftatbeständen des StGB zur Computerkriminalität (§§ 263a, 268 bis 271, 274 StGB).
Die Strafvorschriften des § 31 sind grundsätzlich Blankettnormen. Ob ein Handeln, Dulden oder Unterlassen strafbewehrt ist, ergibt sich erst aus der Anwendung anderer Normen. Dies können sowohl Vorschriften des DSGLSA als auch andere nicht besonders strafbewehrte bereichsspezifische Datenschutzvorschriften des Landes oder des Bundes sein, z. B. Bestimmungen des SOG LSA. Die strafbewehrten Handlungen sind Vergehen im Sinne des § 12 StGB.
31.1 Allgemeines zu den Straftatbeständen des Abs. 1
Die Strafvorschrift des Abs. 1 greift nur, soweit sich die Tathandlungen auf personenbezogene Daten beziehen, die nicht allgemein zugänglich (Nr. 2.1.3) sind.
Es muss sich um qualifizierte Delikte handeln; der Täter muss also gegen Entgelt oder aus Bereicherungs- oder Schädigungsabsicht gehandelt haben. Entgelt ist nach § 11 Abs. 1 Nr. 9 StGB jede in einem Vermögensvorteil bestehende Geldleistung. Bereicherungsabsicht ist die Absicht, sich oder einem anderen einen Vermögensvorteil zu beschaffen. Schädigungsabsicht setzt den auf einen Schaden gerichteten Willen voraus.
Vom DSG-LSA sind personenbezogene Daten geschützt durch die materiellen Datenschutzvorschriften, insbesondere die §§ 9 bis 13, 15 und 16. Auch die Verletzung nicht gesondert strafbewehrter bereichsspezifischer Datenschutzvorschriften steht unter Strafandrohung. Dies wird durch den Hinweis auf andere Rechtsvorschriften über den Datenschutz klargestellt; dies trägt dem Bestimmtheitsgebot von Strafnormen Rechnung. § 4 Abs. 1 spricht für die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten ein Verbot mit Erlaubnisvorbehalt aus. Die Erlaubnis zur Erhebung, Verarbeitung oder Nutzung kann sich aus dem DSGLSA oder einer anderen Rechtsvorschrift (Nr. 3.3) ergeben; ansonsten ist die Erhebung, Verarbeitung oder Nutzung grundsätzlich unbefugt.
31.1.1 Unbefugtes Erheben, Verarbeiten oder Nutzen
Zu den Tathandlungen im Sinne des Abs. 1 Nr. 1 wird auf die Begriffsbestimmungen des § 2 verwiesen. Täter können grundsätzlich nur Personen sein, die bei der verantwortlichen Stelle oder ihrem Auftraggeber tätig sind. Dritte können Täter sein, wenn sich eine Verbotsnorm ausdrücklich an Dritte wendet.
31.1.2 Unbefugtes Bereithalten zum Abruf
Das unbefugte Bereithalten personenbezogener Daten zum Abruf durch Dritte mittels automatisierten Verfahrens ist strafbewehrt. Dies gilt nicht für behördeninterne Abrufmöglichkeiten; es fehlt das Merkmal der beabsichtigten Übermittlung an Dritte. Unter welchen Voraussetzungen die Einrichtung automatisierter Abrufverfahren zulässig ist, ergibt sich vorbehaltlich anderer Rechtsvorschriften (Nr. 3.3) aus § 7 Abs. 1 bis 3. Täter können grundsätzlich nur die bei der verantwortlichen Stelle tätigen Personen sein.
31.1.3 Unbefugtes Abrufen oder Verschaffen aus Dateien
Nummer 3 erfasst sowohl den unbefugten Abruf durch einen sonst zum Abruf berechtigten Dritten als auch den internen Abruf unter Verletzung des Datengeheimnisses durch eine bei der verantwortlichen Stelle beschäftigte Person. Entsprechendes gilt für die unbefugte Verschaffung personenbezogener Daten aus Dateien.
31.2 Weitere Straftatbestände
Absatz 2 stellt weitere Tathandlungen unter Strafe. Auch hier muss der Täter gegen Entgelt, in Bereicherungs- oder in Schädigungsabsicht gehandelt haben. Täter können grundsätzlich nur Personen sein, die nicht bei der verantwortlichen Stelle tätig sind.
31.2.1 Erschleichen der Übermittlung durch unrichtige Angaben
Unter Erschleichen ist das Vortäuschen der Übermittlungsvoraussetzungen durch unrichtige Angaben zu verstehen.
31.2.2 Unbefugte Zweckänderung durch Weiterübermittlung
Die unbefugte Zweckänderung ist nur im Falle der Weiterübermittlung strafbewehrt. Adressaten dieser Strafbestimmung sind im Falle des § 12 Abs. 4 Satz 1 ausschließlich nichtöffentliche Stellen, in Fällen des § 26 Abs. 2 Satz 1 nur öffentliche Stellen und in Fällen des § 27 Abs. 1 sowohl öffentliche als auch nicht-öffentliche Forschungseinrichtungen.
31.2.3 Unbefugtes Deanonymisieren
Eine unzulässiges Deanonymisieren kann sowohl bei öffentlichen wie nichtöffentlichen Forschungseinrichtungen erfolgen.
31.2.4 Verletzung der Verwendungsbeschränkung von durch die Verfassungsschutzbehörde übermittelten Daten
Von der Verfassungsschutzbehörde übermittelte Daten unterliegen der Zweckbindung. Verstößt ein Dritter, dem die Daten übermittelt worden sind (in § 18 Abs. 4 Satz 3 und 4 VerfSchGLSA noch als Empfänger bezeichnet) gegen die Zweckbindung, steht dies unter Strafandrohung.
31.3 Verfolgung der Tat
Die Tat wird grundsätzlich nur auf Antrag der Geschädigten verfolgt. Nur wenn ein besonderes öffentliches Interesse an der Strafverfolgung besteht, kann die Strafverfolgungsbehörde von Amts wegen einschreiten. Daneben ist der Landesbeauftragte für den Datenschutz berechtigt, Verstöße gegen Vorschriften über den Datenschutz anzuzeigen (§ 22 Abs. 8).
31a. Zu § 31a (Bußgeldvorschriften)
Allgemeines/Zuständigkeit
Für die Verfolgung und Ahndung von Ordnungswidrigkeiten ist nach § 5 Nr. 9 der Verordnung über sachliche Zuständigkeiten für die Verfolgung und Ahndung von Ordnungswidrigkeiten (ZustVO OWi) in der Fassung der Bekanntmachung vom 26.9.1994 (GVBl. LSA S. 956), zuletzt geändert durch Verordnung vom 16.6.2008 (GVBl. LSA S. 208), das Landesverwaltungsamt zuständig.
31a.1/2 Ordnungswidrigkeitstatbestände
Die Ordnungswidrigkeitstatbestände der Abs. 1 und 2 entsprechen grundsätzlich den Straftatbeständen des § 31 Abs. 2; es fehlt aber das Merkmal der besonderen Verwerflichkeit (Handeln gegen Entgelt, in Bereicherungs- oder in Schädigungsabsicht).
32. Zu § 32 (Übergangsvorschriften)
32.1. Frühere Dateifestlegungen, Dateianordnungen oder Errichtungsanordnungen
32.1.1 Einstufung als Verfahrensverzeichnis
In der Vergangenheit waren Dateifestlegungen nach § 14 Abs. 2 Satz 2 (a. F.), Dateianordnungen nach § 13 Abs. 1 VerfSchG LSA und im Anwendungsbereich des SOG LSA Errichtungsanordnungen zu führen. Je nach Aufgabenbereich mussten einzelne öffentliche Stellen solche Unterlagen nebeneinander führen. An die Stelle dieser Unterlagen ist das Verfahrensverzeichnis nach § 14 Abs. 3 Satz 1 getreten. Um unnötigen Verwaltungsaufwand zu vermeiden, werden die bisherigen Unterlagen nicht umgestellt; sie gelten als Verfahrensverzeichnis.
32.1.2/3 Ergänzung von als Verfahrensverzeichnis geltenden Unterlagen
Sofern in den bisherigen Unterlagen mehr Angaben enthalten sind, als nach § 14 Abs. 5 eingesehen werden können, wird das Einsichtsrecht entsprechend eingeschränkt. Sollte das Verzeichnis weniger Festlegungen enthalten, als § 14 Abs. 3 Satz 1 Nrn. 1 bis 9 vorsehen, sind die fehlenden Angaben erst bei der nächsten Fortschreibung oder im Fall der ersten Einsichtnahme nachzuholen.
33. Zu § 33 (Personenbezogene Daten aus ehemaligen Einrichtungen)
33.1 Verfügungsbefugnis über Datenbestände
Absatz 1 trifft eine Verfügungsregelung über Datenbestände aus der Hinterlassenschaft ehemaliger Einrichtungen der Deutschen Demokratischen Republik. Die Regelung erfasst nur lebende Datenbestände, also solche, die vor dem 3.10.1990 und außerdem nach ihrer Zweckbestimmung überwiegend für Verwaltungsaufgaben gespeichert waren. Die Anforderung überwiegend ist erfüllt, wenn die Datenbestände zu mehr als 50 v. H. für Verwaltungszwecke gespeichert waren. Für Datenbestände, die bereits vor dem 3.10.1990 archiviert waren, gelten die §§ 33 – 35 nicht. Ebenso verhält es sich mit Datenbeständen, die vor dem genannten Termin an das zuständige Verwaltungsarchiv im Sinne des § 9 der 1. Durchführungsbestimmung zur ArchivwesenVO vom 19.3.1976 (GBl. I S. 169) abgegeben wurden und dem zuständigen Endarchiv zustehen. Die Benutzung dieser Unterlagen richtet sich nach dem Archivrecht.
33.1.1 Träger öffentlicher Verwaltung
Soweit die Datenbestände vor der Wiedervereinigung Verwaltungsaufgaben dienten, die nach der heutigen Rechtsordnung vom Land, den Gemeinden, den Gemeindeverbänden oder sonstigen Trägern öffentlicher Verwaltung der mittelbaren Landesverwaltung wahrzunehmen sind, stehen die Daten nach Satz 1 demjenigen Träger öffentlicher Verwaltung zu, der jetzt für diese Verwaltungsaufgabe zuständig ist.
33.1.2 Verantwortliche Stelle
Nach Satz 2 bestimmt der zuständige Träger der öffentlichen Verwaltung die verantwortliche Stelle; die Regelung konkretisiert Pflichten nach § 14 Abs. 1.
33.2 Ehemalige Einrichtungen
Ehemalige staatliche oder wirtschaftsleitende Organe, Kombinate, Betriebe oder Einrichtungen sowie gesellschaftliche Organisationen der Deutschen Demokratischen Republik waren insbesondere:
a) Die Volksvertretungen, die zentralen und örtlichen Staatsorgane sowie deren nachgeordnete Einrichtungen (einschließlich der Gerichte, Strafvollzugs- und Polizeibehörden).
b) Die Parteien:
aa) Sozialistische Einheitspartei Deutschlands (SED),
bb) Christlich-Demokratische Union (CDU),
cc) Liberal-Demokratische Partei Deutschlands (LDPD),
dd) National-Demokratische Partei Deutschlands (NDPD),
ee) Demokratische Bauernpartei Deutschlands (DBD).
c) Die mandatstragenden gesellschaftlichen Organisationen in den Volksvertretungen:
aa) die Nationale Front der DDR (NF),
bb) Freier Deutscher Gewerkschaftsbund (FDGB),
cc) Freie Deutsche Jugend (FDJ),
dd) Demokratischer Frauenbund Deutschlands (DFD),
ee) Kulturbund der DDR (KB),
ff) Vereinigung der gegenseitigen Bauernhilfe (VdgB),
gg) Konsumgenossenschaft der DDR (KG).
d) Sonstige Organisationen und Verbände:
aa) Arbeiter- und Bauerninspektion (ABI) einschließlich der Volkskontrollausschüsse,
bb) Blinden- und SehschwachenVerband der DDR (BSV),
cc) Bund der Architekten (BdA),
dd) Deutscher Turn- und Sportbund der DDR (DTSB),
ee) Deutsches Rotes Kreuz der DDR (DRK),
ff) Gehörlosen- und Schwerhörigen-Verband der DDR (GSV),
gg) Gesellschaft für DeutschSowjetische Freundschaft (DSF),
hh) Jagdgesellschaften,
ii) Kammer der Technik (KdT),
jj) Schriftstellerverband der DDR,
kk) Solidaritätskomitee der DDR,
ll) URANIA der DDR,
mm)Verband Bildender Künstler der DDR (VBK),
nn) Verband der Journalisten der DDR (VDJ),
oo) Verband der Kleingärtner, Siedler und Kleintierzüchter (VKSK),
pp) Verband der Theaterschaffenden der DDR (VT),
qq) Vereinigung der Juristen der DDR (VdJ),
rr) Volkssolidarität (VS),
ss) wissenschaftliche und andere Gesellschaften.
e) Die paramilitärischen Organisationen:
aa) Gesellschaft für Sport und Technik (GST),
bb) Kampfgruppen der Arbeiterklasse.
34. Zu § 34 (Verarbeitung personenbezogener Daten aus ehemaligen Einrichtungen)
34.1 Datenspeicherung, -veränderung oder -nutzung
Satz 1 stellt bei Vorliegen der Voraussetzungen der Nrn. 1 bis 4 die verantwortliche Stelle bei der Speicherung, Veränderung oder Nutzung personenbezogener Daten aus ehemaligen Einrichtungen von den Anforderungen des § 10 Abs. 1 frei. Dies bedeutet, dass keine Bindung an den Zweck der Erhebung oder den Zweck der erstmaligen Speicherung besteht. Diese Abweichung hat ihren Grund darin, dass die Erfüllung öffentlicher Aufgaben in einem demokratischen Rechtsstaat nicht mit der in einem totalitären System gleichgesetzt werden kann; die aktuelle Aufgabenstellung hat sich zumindest inhaltlich verändert.
34.2 Als erstmalig gespeichert geltende Daten
Absatz 2 ist eine Sonderregelung im Verhältnis zu § 10 Abs. 1 Satz 2. Personenbezogene Daten, deren Verarbeitung und Nutzung nach Abs. 1 zulässig ist, gelten als für den nach Abs. 1 Satz 1 Nr. 1 bestimmten Zweck erstmalig gespeichert, z. B. Angaben über Gaststättenkonzessionen für Zwecke der Gaststättenaufsicht. Daten, die nach Abs. 1 zulässig gespeichert, verändert oder genutzt werden dürfen, können nach Maßgabe der §§ 11 bis 13 oder anderer Rechtsvorschriften (Nr. 3.3) auch übermittelt werden.
34.3 Ausschluss der Übermittlung überschießender Daten
Absatz 3 ist eine Sonderregelung im Verhältnis zu § 11 Abs. 5. Datenbestände im Sinne des § 33 Abs. 1 können zum Teil personenbezogene Daten enthalten, die zur Aufgabenerfüllung nicht benötigt werden oder nach heutigem Rechtsverständnis unzulässig erhoben oder gespeichert wären und deshalb nicht weiter verwendet werden dürfen. Im Interesse des Persönlichkeitsschutzes wird abweichend von § 11 Abs. 5 bestimmt, dass solche Daten selbst dann nicht an öffentliche Stellen mitübermittelt werden dürfen, wenn die Abtrennung der überschießenden Daten mit unvertretbarem Aufwand verbunden ist. Die vorherige Abtrennung oder Unkenntlichmachung solcher Daten ist zwingend.
35. Zu § 35 (Widerspruchsrecht)
35.2 Unterrichtung
Die Betroffenen können von ihrem Widerspruchsrecht tatsächlich nur Gebrauch machen, wenn sie über das Vorhandensein des Datenbestandes und die näheren Umstände der Speicherung unterrichtet sind. Grundsätzlich kann die Unterrichtung in allgemeiner Form, z. B. durch Veröffentlichung im einschlägigen amtlichen Verkündungsblatt oder in der Tagespresse erfolgen. Eine Einzelunterrichtung der Betroffenen erscheint wegen des damit verbundenen unverhältnismäßigen Aufwandes (Nr. 10.2.9) grundsätzlich nicht geboten. Die Einzelabwägung kann aber ergeben, dass schutzwürdige Belange der Betroffenen an einer Einzelunterrichtung überwiegen. Dies kann bei solchen personenbezogenen Daten der Fall sein, bei denen anzunehmen ist, dass sie unter Verstoß gegen die Menschenwürde erhoben worden sind.
36. In-Kraft-Treten, Außer-Kraft-Treten
Dieser RdErl. tritt am Tage nach seiner Veröffentlichung in Kraft. Gleichzeitig tritt der RdErl. zu Buchst. b außer Kraft. Dieser RdErl. tritt zehn Jahre nach seinem In-Kraft-Treten außer Kraft.
—————————————————————————————————
An die Dienststellen der Landesverwaltung, Gemeinden und Landkreise, sonstigen Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts, sonstigen öffentlichen Stellen im Sinne des § 3 Abs. 1 DSG-LSA
—————————————————————————————————
VV-DSG-LSA – Anlage 1
Muster einer Einwilligungserklärung *)
Die Angaben (zu Nrn. …/zu den farblich, durch Fettdruck oder in sonstiger Weise gekennzeichneten Feldern) erfolgen für:
Bezeichnung des Zwecks der Erhebung, Verarbeitung und Nutzung
Dritte, an die Übermittlungen vorgesehen sind
Form der Verarbeitung:
automatisiert
nicht-automatisiert (in Akten oder nicht-automatisierten Dateien)
Hinweise:
Aus der Verweigerung der Einwilligung ergeben sich
keine Folgen (ggf. zusätzliche Begründung)
folgende Nachteile (z. B. Erschwerung der Leistungsgewährung, Ablehnung eines Antrages):
Mir ist bekannt, dass die Einwilligung Voraussetzung der vorgesehenen Erhebung, Verarbeitung oder Nutzung ist, und dass die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen werden kann.
Hierin willige ich ein.
———————————————————————————————–
Datum, Unterschrift
———————————————————————————————–
*) Soll die Einwilligungserklärung gemäß § 4 Abs. 2 Satz 3 DSG-LSA zusammen mit anderen Erklärungen erteilt werden, ist sie im äußeren Erscheinungsbild der Erklärung hervorzuheben z. B. dadurch, dass sie unmittelbar über dem Feld für die Unterschrift steht.
—————————————————————————————————————–
VV-DSG-LSA – Anlage 2
Muster eines Hinweises nach § 9 Abs. 3 oder 4 DSG-LSA
Die Angaben (zu Nrn. …/zu den farblich, durch Fettdruck oder in sonstiger Weise gekennzeichneten Feldern) erfolgen für:
Verantwortliche Stelle 1)
Bezeichnung des Zwecks der Erhebung, Verarbeitung und Nutzung 2)
Rechtsgrundlage der Erhebung (besondere Rechtsvorschrift/§ 9 Abs. 1 DSG-LSA)
Hiernach
besteht die Pflicht zur Auskunftserteilung.
ist die Erteilung der Auskunft Voraussetzung für die Gewährung von (folgenden) Rechtsvorteilen:
sind die Angaben freiwillig.
Dritte, an die Übermittlungen vorgesehen sind
Aus der Verweigerung der Auskunftserteilung ergeben sich für Sie
keine Folgen (ggf. zusätzliche Begründung)
folgende Nachteile (Ahndung als Ordnungswidrigkeit, Ablehnung des Antrages, bei Nichtangabe der Telefonnummer können längere Bearbeitungszeiten auftreten).
————————————————————————————————–
1) Angabe entbehrlich, wenn sich aus dem Briefkopf usw. die verantwortliche Stelle ergibt
2) Werden personenbezogene Daten statt bei Betroffenen bei einer nicht-öffentlichen Stelle erhoben, dürfen aus Gründen des Datenschutzes nicht mehr Daten preisgegeben werden, als nach § 12 DSG-LSA zulässig.
————————————————————————————————-
VV-DSG-LSA – Anlage 3
Muster der Festlegungen für ein automatisiertes Verfahren für das Verfahrensverzeichnis nach § 14 Abs. 3 Satz 1 DSG-LSA
Verantwortliche Stelle (1) Stand vom:
1. Bezeichnung des Verfahrens (2)
2. Zweckbestimmung (3) und Rechtsgrundlage der Erhebung, Verarbeitung oder Nutzung (4) (Die Zwecke und Rechtsgrundlagen vorgesehener Übermittlungen sind unter 5. angegeben)
3. Kreis der Betroffenen (5)
Vorabprüfung nach § 14 Abs. 2 DSG-LSA erfolgt, weil
es sich um ein Abrufverfahren nach § 7 Abs. 1 Satz 1 DSG-LSA handelt
personenbezogene Daten besonderer Art (§ 2 Abs. 1 Satz 2 DSG-LSA) erhoben, verarbeitet oder genutzt werden
das Erheben, Verarbeiten oder Nutzen dazu bestimmt ist, die Persönlichkeit der oder des Betroffenen zu bewerten (§ 4a Abs. 1 DSG-LSA)
mobile personenbezogene Datenträger (§ 2 Abs. 11 DSG-LSA) eingesetzt werden.
—————————————————————————————————
Datum/Unterschrift (der für die Erstellung/Änderung verantwortlichen Person)
4. Art der Daten (6)
5./6. Weitergabe oder Übermittlung
vorgesehene Empfänger (7) Zweck (8) Rechtsgrundlage (9) Anlass und Häufigkeit
a) innerhalb der verantwortlichen Stelle
b) bei Übermittlung (auch in Drittländer)
aa) im Inland, innerhalb der EU oder des Europäischen Wirtschaftsraums (10)
bb) in Drittländer (stets erfüllt bei Einstellung ins Internet) (10) A (11)
c) bei Erhebung, Verarbeitung oder Nutzung im Auftrag
7. Regelfristen für (12)
a) die Löschung
b) die Prüfung der Erforderlichkeit der weiteren Speicherung
8. Zugriffsberechtigte (13)
(bitte erläutern)
9.1 Maßnahmen nach § 6 Abs. 2 DSG-LSA (14) zur Gewährleistung der Dienstanweisung liegt bei
Vertraulichkeit Art der Maßnahme (bitte erläutern)
Integrität Art der Maßnahme (bitte erläutern)
Verfügbarkeit Art der Maßnahme (bitte erläutern)
Authentizität Art der Maßnahme (bitte erläutern)
Revisionsfähigkeit Art der Maßnahme (bitte erläutern)
Transparenz Art der Maßnahme (bitte erläutern)
9.2 Art der Geräte (Hardware) (15) : (bitte erläutern)
Großrechner:
Server:
Client:
Einzelplatzsystem:
9.2.1 Art der Geräte (Hardware) zum Anschluss an Fremdnetze (16) : (bitte erläutern)
kein Anschluss an Fremdnetze
Intranet (z. B. Landesnetz):
Internet:
9.2.2 Verfahren zur Übermittlung (bitte erläutern):
leitungsgebunden Funk Disketten Kassette (Streamer) Magnetband Sonstige (bitte erläutern)
9.3 eingesetzte Software (Betriebssysteme; Anwendungssoftware) (17) : (bitte erläutern)
Großrechner:
Server:
Client:
Einzelplatzsystem:
9.3.1 eingesetzte Software zum Anschluss an Fremdnetze (18) : (bitte erläutern)
kein Anschluss an Fremdnetze
Intranet (z. B. Landesnetz):
Internet:
9.3.2 Verfahren zur Sperrung von personenbezogenen Daten
nicht vorhanden vorhanden (bitte erläutern)
9.3.3 Verfahren zur Löschung von personenbezogenen Daten
nicht vorhanden vorhanden (bitte erläutern)
————————————————————————————————–
(1) Verantwortliche
Stelle:
a) ist grundsätzlich die jeweilige öffentliche Stelle (§ 2 Abs. 8 DSG-LSA) (z. B. Regierungspräsidium, Landkreis, Gemeinde)
b) ist nicht der Auftragnehmer bei einer Auftragsdatenverarbeitung
Wird die Festlegung für das Verfahrensverzeichnis gemäß § 14 Abs. 3 Satz 2 DSG-LSA zentral getroffen, sind alle verantwortlichen Stellen, die das Verfahren anwenden, mit genauer Anschrift zu bezeichnen.
Der jeweilige Beauftragte für den Datenschutz erhält eine Ausfertigung des Verfahrensverzeichnisses.
Das Verfahrensverzeichnis soll die Organisationseinheit bezeichnen, die innerhalb der jeweiligen verantwortlichen Stelle intern verantwortlich ist.
(2) Bezeichnung des Verfahrens:
a) hier ist der Name des Verfahrens anzugeben (z. B. Einwohnermeldedaten)
b) bei landeseinheitlichen DV-Verfahren ist deren Bezeichnung anzugeben
(3) Zweckbestimmung: der Zweck der Erhebung, Verarbeitung oder Nutzung (ohne Übermittlungen) ist kurz zu erläutern
(4) Rechtsgrundlage der Erhebung, Verarbeitung oder Nutzung: mit Angabe der Paragraphen der einschlägigen Rechtsvorschriften, z. B.:
a) spezialgesetzliche Regelung (z. B. § 22 MG LSA)
b) § 10 Abs. 1 DSG-LSA, wenn die Verarbeitung zur rechtmäßigen Erfüllung der in der Zuständigkeit der verantwortlichen Stelle liegenden Aufgaben erforderlich ist und keine besondere Rechtsvorschrift besteht
c) § 4 Abs. 1 DSG-LSA (Einwilligung des Betroffenen)
(5) Kreis der Betroffenen: Bezeichnung des Personenkreises, dessen Daten erhoben, verarbeitet oder genutzt werden (z. B. Gewerbetreibende, Einwohner des Landkreises)
(6) Art der Daten: Auflisten der einzelnen Daten (z. B. Name, Vorname, Geburtsdatum …)
(7) vorgesehene Empfänger: Vorgesehene Empfänger sind solche, an die nach vorab festgelegten Regeln unter bestimmten Voraussetzungen personenbezogene Daten weitergegeben oder übermittelt werden, auch durch Bereithalten zum Abruf.
Einzutragen ist in Spalte 5./6. die genaue Bezeichnung der Empfänger.
Dies können sein:
a) andere Organisationseinheiten innerhalb der verantwortlichen (speichernden) Stelle,
b) Dritte, an die Daten übermittelt werden (Werden personenbezogene Daten ins Internet eingestellt, liegt darin wegen der Möglichkeit des weltweiten Abrufs stets auch eine vorgesehene/geplante Übermittlung in Drittstaaten.),
c) Stellen, die personenbezogene Daten im Auftrag erheben, verarbeiten oder nutzen.
(8) Der Zweck der Weitergabe oder Übermittlung ist kurz darzustellen.
(9) Die Ausführungen zu (4) gelten entsprechend.
(10) Drittländer sind Länder außerhalb der EG oder anderer Vertragsstaaten des Abkommens über den europäischen Wirtschaftsraum (das sind Island, Norwegen und Liechtenstein).
(11) Die Unterspalte A ist nur anzukreuzen, wenn die einzelnen Daten durch automatisierte Abrufverfahren zur Übermittlung bereitgehalten werden.
(12) Regelfristen für die Löschung oder die Prüfung der Erforderlichkeit weiterer Speicherung: diese können sich ergeben aus speziellen Regelungen, z. B. Gesetz oder Verwaltungsvorschrift z. B.
a) … Jahre nach der Erstellung/letzten Änderung
b) § 16 Abs. 2 Satz 1 Nr. 2 DSG-LSA
(13) Zugriffsberechtigte: gemeint sind nur Zugriffsberechtigte innerhalb der verantwortlichen Stelle
(14) Es sind die von der verantwortlichen Stelle getroffenen technischen und organisatorischen Maßnahmen schriftlich festzulegen und entsprechend in einer Anlage zu erläutern (Beispiele für Maßnahmen vgl. Nrn. 6.2.1 bis 6.2.6 VV-DSG-LSA)
(15) Art der Geräte (Hardware): Auflisten der eingesetzten Informations- und Kommunikationstechnik (IuK) u. a. nach Typ, Anzahl und Standorten einschließlich Angaben zur Netzwerktopologie (LAN), die in der öffentlichen Stelle zum Einsatz kommt (gegebenenfalls zusätzliche Anlagen und Übersichten beifügen)
(16) Art der Geräte (Hardware) zum Anschluss an Fremdnetze: Die Ausführungen zu (15) gelten entsprechend. Auflisten der IuK, die speziell zum Anschluss an Fremdnetze benötigt wird und zum Einsatz kommt, wie z. B. Firewall- und RouterTechnik, Switches, Hubs u. ä.
(17) eingesetzte Software: Auflisten der eingesetzten Software für den Betrieb der IuK (Betriebssysteme, Anwendungssoftware, Datenbankbetriebssysteme u. ä.), die in der öffentlichen Stelle zum Einsatz kommt (gegebenenfalls zusätzliche Anlagen und Übersichten beifügen)
(18) eingesetzte Software zum Anschluss an Fremdnetze: Die Ausführungen zu (17) gelten entsprechend. Auflisten der eingesetzten Software für den Betrieb der IuK, die speziell zum Anschluss an Fremdnetze zum Einsatz kommt
——————————————————————————————-
Ausfüllanleitung
Das Verfahrensverzeichnis entfällt insbesondere bei:
§ 3 Abs. 2 Nr. 2 DSG-LSA für öffentlich-rechtliche Kreditinstitute und Versicherungsanstalten
§ 3 Abs. 2 Nr. 3 DSG-LSA bei Ausübung des Gnadenrechts
§ 14 Abs. 4 Nr. 1 DSG-LSA für durch Rechtsvorschrift vorgeschriebene Register
§ 14 Abs. 4 Nr. 2 DSG-LSA für Verfahren, die ausschließlich der Unterstützung der allgemeinen Bürotätigkeit dienen
Bereichsspezifische Regelungen, z. B. über Errichtungsanordnungen nach § 490 StPO, bleiben unberührt, ebenso für Festlegungen öffentlicher Stellen von Sozialversicherungsträgern und ihren Verbänden nach § 81 Abs. 4 Satz 1 SGB X i. V. m. Satz 1 und § 18 Abs. 2 Satz 2 BDSG.
——————————————————————————————-
VV-DSG-LSA – Anlage 4
Bezeichnung der einsetzenden Stelle
Adressatenbezeichnung (Name, Anschrift) Ort, Datum
Einsetzung zur/zum Beauftragten für den Datenschutz nach § 14a Abs. 1 des Gesetzes zum Schutz personenbezogener Daten der Bürger (DSG-LSA)
Sehr geehrte ……………,
ich setze Sie
zur Beauftragten für den Datenschutz / zum Beauftragten für den Datenschutz ein. Die Einsetzung erfolgt für
(genaue Bezeichnung der öffentlichen Stelle/n, für die eingesetzt wird)
Die Einsetzung gilt
mit sofortiger Wirkung,
ab _______________,
sie erfolgt
auf Dauer.
befristet bis zum _______________.
Sie haben diese Stelle(n) bei der Ausführung des DSG-LSA und anderer Vorschriften über den Datenschutz zu unterstützen. Die Datenschutzverantwortung der vorgenannten Stelle(n) bleibt unberührt; gleiches gilt für die Pflichten der in § 14a Abs. 1 Satz 2 DSG-LSA genannten Stellen.
Ihre Rechtstellung, Ihre Rechte und Pflichten sowie Ihre Aufgaben ergeben sich im Einzelnen aus § 14a DSG-LSA.
Insbesondere haben Sie einen Anspruch, von anderen Aufgaben in dem Umfang freigestellt zu werden, wie es Ihre Tätigkeit als Beauftragte oder Beauftragter für den Datenschutz nach § 14 Abs. 4 DSG-LSA erfordert.(1)
Mit freundlichen Grüßen
(Unterschrift)
————————————————————————————————–
(1) Nur ankreuzen, wenn die Funktion durch einen Angehörigen des öffentlichen Dienstes nicht hauptamtlich oder hauptberuflich ausgeübt werden soll.
————————————————————————————————-
*) ei der Nummerierung der einzelnen Vorschriften der VV-DSG-LSA entsprechen die Dezimalzahlen vor dem ersten Punkt dem entsprechenden Paragraphen des Gesetzes, die Dezimalzahlen hinter dem ersten Punkt – soweit vorhanden – dem Absatz oder – wenn der Paragraph nur aus einem Absatz besteht – dem Satz oder der Nummer und – soweit vorhanden – die Dezimalzahlen hinter dem zweiten Punkt der jeweiligen Nummer innerhalb eines Absatzes oder dem Satz innerhalb des Absatzes. Paragraphenangaben ohne Bezeichnung des Gesetzes beziehen sich auf das DSG-LSA.