Bundesgesetzblatt  Bundesgesetzblatt Teil I  2001  Nr. 23 vom 22.05.2001  - Seite 904 bis 928 - Gesetz zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze

204-312-412-512-612-1013-7-22190-2860-1860-3860-10-1/2860-10-1/27601-17860-10-1/2600-1900-1451-150-1312-2312-9-1613-7
904 Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 Gesetz zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze*) Vom 18. Mai 2001 Der Bundestag hat mit Zustimmung des Bundesrates das folgende Gesetz beschlossen: § 6b Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen § 6c Mobile personenbezogene Speicher- und Verarbeitungsmedien Artikel 1 Änderung des Bundesdatenschutzgesetzes Das Bundesdatenschutzgesetz vom 20. Dezember 1990 (BGBl. I S. 2954, 2955), zuletzt geändert durch Artikel 2 Abs. 5 des Gesetzes vom 17. Dezember 1997 (BGBl. I S. 3108), wird wie folgt geändert: § 7 § 8 § 9 § 10 § 11 Schadensersatz Schadensersatz bei automatisierter Datenverarbeitung durch öffentliche Stellen Technische und organisatorische Maßnahmen Einrichtung automatisierter Abrufverfahren Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag Zweiter Abschnitt Datenverarbeitung der öffentlichen Stellen § 9a Datenschutzaudit 1. Nach der Überschrift wird folgende Inhaltsübersicht eingefügt: ,,Inhaltsübersicht Erster Abschnitt Allgemeine und gemeinsame Bestimmungen § 1 § 2 § 3 § 4 Zweck und Anwendungsbereich des Gesetzes Öffentliche und nicht öffentliche Stellen Weitere Begriffsbestimmungen Zulässigkeit der Datenerhebung, -verarbeitung und -nutzung § 12 § 13 § 14 § 15 § 16 § 17 § 18 Erster Unterabschnitt Rechtsgrundlagen der Datenverarbeitung Anwendungsbereich Datenerhebung Datenspeicherung, -veränderung und -nutzung Datenübermittlung an öffentliche Stellen Datenübermittlung an nicht öffentliche Stellen (weggefallen) Durchführung des Datenschutzes in der Bundesverwaltung Zweiter Unterabschnitt Rechte des Betroffenen § 19 § 20 § 21 Auskunft an den Betroffenen Berichtigung, Löschung und Sperrung von Daten; Widerspruchsrecht Anrufung des Bundesbeauftragten für den Datenschutz Dritter Unterabschnitt Bundesbeauftragter für den Datenschutz § 22 Wahl des Bundesbeauftragten für den Datenschutz Rechtsstellung des Bundesbeauftragten für den Datenschutz § 3a Datenvermeidung und Datensparsamkeit § 4a Einwilligung § 4b Übermittlung personenbezogener Daten ins Ausland sowie an über- und zwischenstaatliche Stellen § 4c Ausnahmen § 4d Meldepflicht § 4e Inhalt der Meldepflicht § 4f Beauftragter für den Datenschutz § 4g Aufgaben des Beauftragten für den Datenschutz § 5 § 6 Datengeheimnis Unabdingbare Rechte des Betroffenen § 19a Benachrichtigung § 6a Automatisierte Einzelentscheidung *) Dieses Gesetz dient der Umsetzung der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. EG Nr. L 281 S. 31). § 23 Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 § 24 § 25 § 26 Kontrolle durch den Bundesbeauftragten für den Datenschutz Beanstandungen durch den Bundesbeauftragten für den Datenschutz Weitere Aufgaben des Bundesbeauftragten für den Datenschutz Dritter Abschnitt Datenverarbeitung nicht öffentlicher Stellen und öffentlich-rechtlicher Wettbewerbsunternehmen Erster Unterabschnitt Rechtsgrundlagen der Datenverarbeitung § 27 § 28 § 29 § 30 Anwendungsbereich Datenerhebung, -verarbeitung und -nutzung für eigene Zwecke Geschäftsmäßige Datenerhebung und -speicherung zum Zweck der Übermittlung Geschäftsmäßige Datenerhebung und -speicherung zum Zweck der Übermittlung in anonymisierter Form Besondere Zweckbindung (weggefallen) Zweiter Unterabschnitt Rechte des Betroffenen § 33 § 34 § 35 Benachrichtigung des Betroffenen Auskunft an den Betroffenen Berichtigung, Löschung und Sperrung von Daten Dritter Unterabschnitt Aufsichtsbehörde § 36 § 37 § 38 (weggefallen) (weggefallen) Aufsichtsbehörde 3. § 1 wird wie folgt geändert: a) Absatz 2 Nr. 3 wird wie folgt gefasst: 2. Die Überschrift vor § 1 wird wie folgt gefasst: ,,Erster Abschnitt § 45 § 46 Sechster Abschnitt Übergangsvorschriften Laufende Verwendungen Weitergeltung von Begriffsbestimmungen 905 Anlage (zu § 9 Satz 1)". Allgemeine und gemeinsame Bestimmungen". § 31 § 32 ,,3. nicht öffentliche Stellen, soweit sie die Daten unter Einsatz von Datenverarbeitungsanlagen verarbeiten, nutzen oder dafür erheben oder die Daten in oder aus nicht automatisierten Dateien verarbeiten, nutzen oder dafür erheben, es sei denn, die Erhebung, Verarbeitung oder Nutzung der Daten erfolgt ausschließlich für persönliche oder familiäre Tätigkeiten." b) Absatz 3 wird aufgehoben. c) Die bisherigen Absätze 4 und 5 werden die Absätze 3 und 4. d) Nach Absatz 4 wird folgender Absatz 5 eingefügt: ,,(5) Dieses Gesetz findet keine Anwendung, sofern eine in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum belegene verantwortliche Stelle personenbezogene Daten im Inland erhebt, verarbeitet oder nutzt, es sei denn, dies erfolgt durch eine Niederlassung im Inland. Dieses Gesetz findet Anwendung, sofern eine verantwortliche Stelle, die nicht in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum belegen ist, personenbezogene Daten im Inland erhebt, verarbeitet oder nutzt. Soweit die verantwortliche Stelle nach diesem Gesetz zu nennen ist, sind auch Angaben über im Inland ansässige Vertreter zu machen. Die Sätze 2 und 3 gelten nicht, sofern Datenträger nur zum Zweck des Transits durch das Inland eingesetzt werden. § 38 Abs. 1 Satz 1 bleibt unberührt." 4. § 3 wird wie folgt geändert: a) Absatz 2 wird wie folgt gefasst: ,,(2) Automatisierte Verarbeitung ist die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten unter Einsatz von Datenverarbeitungsanlagen. Eine nicht automatisierte Datei ist jede nicht automatisierte Sammlung personenbezogener Daten, die gleichartig aufgebaut ist und nach bestimmten Merkmalen zugänglich ist und ausgewertet werden kann." b) Absatz 3 wird aufgehoben. § 38a Verhaltensregeln zur Förderung der Durchführung datenschutzrechtlicher Regelungen Vierter Abschnitt Sondervorschriften § 39 Zweckbindung bei personenbezogenen Daten, die einem Berufs- oder besonderen Amtsgeheimnis unterliegen Verarbeitung und Nutzung personenbezogener Daten durch Forschungseinrichtungen Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch die Medien Datenschutzbeauftragter der Deutschen Welle Fünfter Abschnitt Schlussvorschriften § 43 § 44 Bußgeldvorschriften Strafvorschriften § 40 § 41 § 42 906 Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 c) Die bisherigen Absätze 4 bis 9 werden die Absätze 3 bis 8. d) Absatz 4 Satz 2 Nr. 3 wird wie folgt geändert: aa) Nach dem Wort ,,Dritten" wird der Klammerzusatz ,,(Empfänger)" gestrichen. bb) In Buchstabe a werden die Wörter ,,durch die speichernde Stelle an den Empfänger" durch die Wörter ,,an den Dritten" ersetzt. cc) In Buchstabe b werden die Wörter ,,Empfänger von der speichernden Stelle" durch das Wort ,,Dritte" ersetzt. e) Nach Absatz 6 wird folgender Absatz 6a eingefügt: ,,(6a) Pseudonymisieren ist das Ersetzen des Namens und anderer Identifikationsmerkmale durch ein Kennzeichen zu dem Zweck, die Bestimmung des Betroffenen auszuschließen oder wesentlich zu erschweren." f) Die Absätze 7 und 8 werden wie folgt gefasst: ,,(7) Verantwortliche Stelle ist jede Person oder Stelle, die personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt oder dies durch andere im Auftrag vornehmen lässt. (8) Empfänger ist jede Person oder Stelle, die Daten erhält. Dritter ist jede Person oder Stelle außerhalb der verantwortlichen Stelle. Dritte sind nicht der Betroffene sowie Personen und Stellen, die im Inland, in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum personenbezogene Daten im Auftrag erheben, verarbeiten oder nutzen." g) Nach Absatz 8 werden folgende Absätze 9 und 10 angefügt: ,,(9) Besondere Arten personenbezogener Daten sind Angaben über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben. (10) Mobile personenbezogene Speicher- und Verarbeitungsmedien sind Datenträger, 1. die an den Betroffenen ausgegeben werden, 2. auf denen personenbezogene Daten über die Speicherung hinaus durch die ausgebende oder eine andere Stelle automatisiert verarbeitet werden können und 3. bei denen der Betroffene diese Verarbeitung nur durch den Gebrauch des Mediums beeinflussen kann." und Pseudonymisierung Gebrauch zu machen, soweit dies möglich ist und der Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht." 6. § 4 wird wie folgt gefasst: ,,§ 4 Zulässigkeit der Datenerhebung, -verarbeitung und -nutzung (1) Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten sind nur zulässig, soweit dieses Gesetz oder eine andere Rechtsvorschrift dies erlaubt oder anordnet oder der Betroffene eingewilligt hat. (2) Personenbezogene Daten sind beim Betroffenen zu erheben. Ohne seine Mitwirkung dürfen sie nur erhoben werden, wenn 1. eine Rechtsvorschrift dies vorsieht oder zwingend voraussetzt oder 2. a) die zu erfüllende Verwaltungsaufgabe ihrer Art nach oder der Geschäftszweck eine Erhebung bei anderen Personen oder Stellen erforderlich macht oder b) die Erhebung beim Betroffenen einen unverhältnismäßigen Aufwand erfordern würde und keine Anhaltspunkte dafür bestehen, dass überwiegende schutzwürdige Interessen des Betroffenen beeinträchtigt werden. (3) Werden personenbezogene Daten beim Betroffenen erhoben, so ist er, sofern er nicht bereits auf andere Weise Kenntnis erlangt hat, von der verantwortlichen Stelle über 1. die Identität der verantwortlichen Stelle, 2. die Zweckbestimmungen der Erhebung, Verarbeitung oder Nutzung und 3. die Kategorien von Empfängern nur, soweit der Betroffene nach den Umständen des Einzelfalles nicht mit der Übermittlung an diese rechnen muss, zu unterrichten. Werden personenbezogene Daten beim Betroffenen aufgrund einer Rechtsvorschrift erhoben, die zur Auskunft verpflichtet, oder ist die Erteilung der Auskunft Voraussetzung für die Gewährung von Rechtsvorteilen, so ist der Betroffene hierauf, sonst auf die Freiwilligkeit seiner Angaben hinzuweisen. Soweit nach den Umständen des Einzelfalles erforderlich oder auf Verlangen, ist er über die Rechtsvorschrift und über die Folgen der Verweigerung von Angaben aufzuklären." 7. Nach § 4 werden folgende §§ 4a bis 4g eingefügt: ,,§ 4a 5. Nach § 3 wird folgender § 3a eingefügt: ,,§ 3a Datenvermeidung und Datensparsamkeit Gestaltung und Auswahl von Datenverarbeitungssystemen haben sich an dem Ziel auszurichten, keine oder so wenig personenbezogene Daten wie möglich zu erheben, zu verarbeiten oder zu nutzen. Insbesondere ist von den Möglichkeiten der Anonymisierung Einwilligung (1) Die Einwilligung ist nur wirksam, wenn sie auf der freien Entscheidung des Betroffenen beruht. Er ist auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung sowie, soweit nach den Umständen des Einzelfalles erforderlich oder auf Verlangen, auf die Folgen der Verweigerung der Einwilligung hinzuweisen. Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Um- Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 stände eine andere Form angemessen ist. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist sie besonders hervorzuheben. (2) Im Bereich der wissenschaftlichen Forschung liegt ein besonderer Umstand im Sinne von Absatz 1 Satz 3 auch dann vor, wenn durch die Schriftform der bestimmte Forschungszweck erheblich beeinträchtigt würde. In diesem Fall sind der Hinweis nach Absatz 1 Satz 2 und die Gründe, aus denen sich die erhebliche Beeinträchtigung des bestimmten Forschungszwecks ergibt, schriftlich festzuhalten. (3) Soweit besondere Arten personenbezogener Daten (§ 3 Abs. 9) erhoben, verarbeitet oder genutzt werden, muss sich die Einwilligung darüber hinaus ausdrücklich auf diese Daten beziehen. § 4b Übermittlung personenbezogener Daten ins Ausland sowie an über- oder zwischenstaatliche Stellen (1) Für die Übermittlung personenbezogener Daten an Stellen 1. in anderen Mitgliedstaaten der Europäischen Union, 2. in anderen Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum oder 3. der Organe und Einrichtungen der Europäischen Gemeinschaften gelten § 15 Abs. 1, § 16 Abs. 1 und §§ 28 bis 30 nach Maßgabe der für diese Übermittlung geltenden Gesetze und Vereinbarungen, soweit die Übermittlung im Rahmen von Tätigkeiten erfolgt, die ganz oder teilweise in den Anwendungsbereich des Rechts der Europäischen Gemeinschaften fallen. (2) Für die Übermittlung personenbezogener Daten an Stellen nach Absatz 1, die nicht im Rahmen von Tätigkeiten erfolgt, die ganz oder teilweise in den Anwendungsbereich des Rechts der Europäischen Gemeinschaften fallen, sowie an sonstige ausländische oder über- oder zwischenstaatliche Stellen gilt Absatz 1 entsprechend. Die Übermittlung unterbleibt, soweit der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Übermittlung hat, insbesondere wenn bei den in Satz 1 genannten Stellen ein angemessenes Datenschutzniveau nicht gewährleistet ist. Satz 2 gilt nicht, wenn die Übermittlung zur Erfüllung eigener Aufgaben einer öffentlichen Stelle des Bundes aus zwingenden Gründen der Verteidigung oder der Erfüllung über- oder zwischenstaatlicher Verpflichtungen auf dem Gebiet der Krisenbewältigung oder Konfliktverhinderung oder für humanitäre Maßnahmen erforderlich ist. (3) Die Angemessenheit des Schutzniveaus wird unter Berücksichtigung aller Umstände beurteilt, die bei einer Datenübermittlung oder einer Kategorie von Datenübermittlungen von Bedeutung sind; insbesondere können die Art der Daten, die Zweckbestimmung, die Dauer der geplanten Verarbeitung, das Herkunfts- und das Endbestimmungsland, die für den betreffenden Empfänger geltenden Rechtsnormen sowie die für ihn geltenden Standesregeln und Sicherheitsmaßnahmen herangezogen werden. 907 (4) In den Fällen des § 16 Abs. 1 Nr. 2 unterrichtet die übermittelnde Stelle den Betroffenen von der Übermittlung seiner Daten. Dies gilt nicht, wenn damit zu rechnen ist, dass er davon auf andere Weise Kenntnis erlangt, oder wenn die Unterrichtung die öffentliche Sicherheit gefährden oder sonst dem Wohl des Bundes oder eines Landes Nachteile bereiten würde. (5) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle. (6) Die Stelle, an die die Daten übermittelt werden, ist auf den Zweck hinzuweisen, zu dessen Erfüllung die Daten übermittelt werden. § 4c Ausnahmen (1) Im Rahmen von Tätigkeiten, die ganz oder teilweise in den Anwendungsbereich des Rechts der Europäischen Gemeinschaften fallen, ist eine Übermittlung personenbezogener Daten an andere als die in § 4b Abs. 1 genannten Stellen, auch wenn bei ihnen ein angemessenes Datenschutzniveau nicht gewährleistet ist, zulässig, sofern 1. der Betroffene seine Einwilligung gegeben hat, 2. die Übermittlung für die Erfüllung eines Vertrags zwischen dem Betroffenen und der verantwortlichen Stelle oder zur Durchführung von vorvertraglichen Maßnahmen, die auf Veranlassung des Betroffenen getroffen worden sind, erforderlich ist, 3. die Übermittlung zum Abschluss oder zur Erfüllung eines Vertrags erforderlich ist, der im Interesse des Betroffenen von der verantwortlichen Stelle mit einem Dritten geschlossen wurde oder geschlossen werden soll, 4. die Übermittlung für die Wahrung eines wichtigen öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen vor Gericht erforderlich ist, 5. die Übermittlung für die Wahrung lebenswichtiger Interessen des Betroffenen erforderlich ist oder 6. die Übermittlung aus einem Register erfolgt, das zur Information der Öffentlichkeit bestimmt ist und entweder der gesamten Öffentlichkeit oder allen Personen, die ein berechtigtes Interesse nachweisen können, zur Einsichtnahme offen steht, soweit die gesetzlichen Voraussetzungen im Einzelfall gegeben sind. Die Stelle, an die die Daten übermittelt werden, ist darauf hinzuweisen, dass die übermittelten Daten nur zu dem Zweck verarbeitet oder genutzt werden dürfen, zu dessen Erfüllung sie übermittelt werden. (2) Unbeschadet des Absatzes 1 Satz 1 kann die zuständige Aufsichtsbehörde einzelne Übermittlungen oder bestimmte Arten von Übermittlungen personenbezogener Daten an andere als die in § 4b Abs. 1 genannten Stellen genehmigen, wenn die verantwortliche Stelle ausreichende Garantien hinsichtlich des Schutzes des Persönlichkeitsrechts und der Ausübung der damit verbundenen Rechte vorweist; die Garantien können sich insbesondere aus Vertragsklauseln oder verbindlichen Unternehmensregelungen ergeben. Bei den Post- und Telekom- 908 Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 munikationsunternehmen ist der Bundesbeauftragte für den Datenschutz zuständig. Sofern die Übermittlung durch öffentliche Stellen erfolgen soll, nehmen diese die Prüfung nach Satz 1 vor. (3) Die Länder teilen dem Bund die nach Absatz 2 Satz 1 ergangenen Entscheidungen mit. § 4d Meldepflicht (1) Verfahren automatisierter Verarbeitungen sind vor ihrer Inbetriebnahme von nicht öffentlichen verantwortlichen Stellen der zuständigen Aufsichtsbehörde und von öffentlichen verantwortlichen Stellen des Bundes sowie von den Post- und Telekommunikationsunternehmen dem Bundesbeauftragten für den Datenschutz nach Maßgabe von § 4e zu melden. (2) Die Meldepflicht entfällt, wenn die verantwortliche Stelle einen Beauftragten für den Datenschutz bestellt hat. (3) Die Meldepflicht entfällt ferner, wenn die verantwortliche Stelle personenbezogene Daten für eigene Zwecke erhebt, verarbeitet oder nutzt, hierbei höchstens vier Arbeitnehmer mit der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten beschäftigt und entweder eine Einwilligung der Betroffenen vorliegt oder die Erhebung, Verarbeitung oder Nutzung der Zweckbestimmung eines Vertragsverhältnisses oder vertragsähnlichen Vertrauensverhältnisses mit den Betroffenen dient. (4) Die Absätze 2 und 3 gelten nicht, wenn es sich um automatisierte Verarbeitungen handelt, in denen geschäftsmäßig personenbezogene Daten von der jeweiligen Stelle 1. zum Zweck der Übermittlung oder 2. zum Zweck der anonymisierten Übermittlung gespeichert werden. (5) Soweit automatisierte Verarbeitungen besondere Risiken für die Rechte und Freiheiten der Betroffenen aufweisen, unterliegen sie der Prüfung vor Beginn der Verarbeitung (Vorabkontrolle). Eine Vorabkontrolle ist insbesondere durchzuführen, wenn 1. besondere Arten personenbezogener Daten (§ 3 Abs. 9) verarbeitet werden oder 2. die Verarbeitung personenbezogener Daten dazu bestimmt ist, die Persönlichkeit des Betroffenen zu bewerten einschließlich seiner Fähigkeiten, seiner Leistung oder seines Verhaltens, es sei denn, dass eine gesetzliche Verpflichtung oder eine Einwilligung des Betroffenen vorliegt oder die Erhebung, Verarbeitung oder Nutzung der Zweckbestimmung eines Vertragsverhältnisses oder vertragsähnlichen Vertrauensverhältnisses mit dem Betroffenen dient. (6) Zuständig für die Vorabkontrolle ist der Beauftragte für den Datenschutz. Dieser nimmt die Vorabkontrolle nach Empfang der Übersicht nach § 4g Abs. 2 Satz 1 vor. Er hat sich in Zweifelsfällen an die Aufsichtsbehörde oder bei den Post- und Telekommunikationsunternehmen an den Bundesbeauftragten für den Datenschutz zu wenden. § 4e Inhalt der Meldepflicht Sofern Verfahren automatisierter Verarbeitungen meldepflichtig sind, sind folgende Angaben zu machen: 1. Name oder Firma der verantwortlichen Stelle, 2. Inhaber, Vorstände, Geschäftsführer oder sonstige gesetzliche oder nach der Verfassung des Unternehmens berufene Leiter und die mit der Leitung der Datenverarbeitung beauftragten Personen, 3. Anschrift der verantwortlichen Stelle, 4. Zweckbestimmungen der Datenerhebung, -verarbeitung oder -nutzung, 5. eine Beschreibung der betroffenen Personengruppen und der diesbezüglichen Daten oder Datenkategorien, 6. Empfänger oder Kategorien von Empfängern, denen die Daten mitgeteilt werden können, 7. Regelfristen für die Löschung der Daten, 8. eine geplante Datenübermittlung in Drittstaaten, 9. eine allgemeine Beschreibung, die es ermöglicht, vorläufig zu beurteilen, ob die Maßnahmen nach § 9 zur Gewährleistung der Sicherheit der Verarbeitung angemessen sind. § 4d Abs. 1 und 4 gilt für die Änderung der nach Satz 1 mitgeteilten Angaben sowie für den Zeitpunkt der Aufnahme und der Beendigung der meldepflichtigen Tätigkeit entsprechend. § 4f Beauftragter für den Datenschutz (1) Öffentliche und nicht öffentliche Stellen, die personenbezogene Daten automatisiert erheben, verarbeiten oder nutzen, haben einen Beauftragten für den Datenschutz schriftlich zu bestellen. Nicht öffentliche Stellen sind hierzu spätestens innerhalb eines Monats nach Aufnahme ihrer Tätigkeit verpflichtet. Das Gleiche gilt, wenn personenbezogene Daten auf andere Weise erhoben, verarbeitet oder genutzt werden und damit in der Regel mindestens 20 Personen beschäftigt sind. Die Sätze 1 und 2 gelten nicht für nicht öffentliche Stellen, die höchstens vier Arbeitnehmer mit der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten beschäftigen. Soweit aufgrund der Struktur einer öffentlichen Stelle erforderlich, genügt die Bestellung eines Beauftragten für den Datenschutz für mehrere Bereiche. Soweit nicht öffentliche Stellen automatisierte Verarbeitungen vornehmen, die einer Vorabkontrolle unterliegen oder personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung oder der anonymisierten Übermittlung erheben, verarbeiten oder nutzen, haben sie unabhängig von der Anzahl der Arbeitnehmer einen Beauftragten für den Datenschutz zu bestellen. (2) Zum Beauftragten für den Datenschutz darf nur bestellt werden, wer die zur Erfüllung seiner Aufgaben erforderliche Fachkunde und Zuverlässigkeit besitzt. Mit dieser Aufgabe kann auch eine Person außerhalb der verantwortlichen Stelle betraut werden. Öffent- Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 liche Stellen können mit Zustimmung ihrer Aufsichtsbehörde einen Bediensteten aus einer anderen öffentlichen Stelle zum Beauftragten für den Datenschutz bestellen. (3) Der Beauftragte für den Datenschutz ist dem Leiter der öffentlichen oder nicht öffentlichen Stelle unmittelbar zu unterstellen. Er ist in Ausübung seiner Fachkunde auf dem Gebiet des Datenschutzes weisungsfrei. Er darf wegen der Erfüllung seiner Aufgaben nicht benachteiligt werden. Die Bestellung zum Beauftragten für den Datenschutz kann in entsprechender Anwendung von § 626 des Bürgerlichen Gesetzbuches, bei nicht öffentlichen Stellen auch auf Verlangen der Aufsichtsbehörde, widerrufen werden. (4) Der Beauftragte für den Datenschutz ist zur Verschwiegenheit über die Identität des Betroffenen sowie über Umstände, die Rückschlüsse auf den Betroffenen zulassen, verpflichtet, soweit er nicht davon durch den Betroffenen befreit wird. (5) Die öffentlichen und nicht öffentlichen Stellen haben den Beauftragten für den Datenschutz bei der Erfüllung seiner Aufgaben zu unterstützen und ihm insbesondere, soweit dies zur Erfüllung seiner Aufgaben erforderlich ist, Hilfspersonal sowie Räume, Einrichtungen, Geräte und Mittel zur Verfügung zu stellen. Betroffene können sich jederzeit an den Beauftragten für den Datenschutz wenden. § 4g Aufgaben des Beauftragten für den Datenschutz (1) Der Beauftragte für den Datenschutz wirkt auf die Einhaltung dieses Gesetzes und anderer Vorschriften über den Datenschutz hin. Zu diesem Zweck kann sich der Beauftragte für den Datenschutz in Zweifelsfällen an die für die Datenschutzkontrolle bei der verantwortlichen Stelle zuständige Behörde wenden. Er hat insbesondere 1. die ordnungsgemäße Anwendung der Datenverarbeitungsprogramme, mit deren Hilfe personenbezogene Daten verarbeitet werden sollen, zu überwachen; zu diesem Zweck ist er über Vorhaben der automatisierten Verarbeitung personenbezogener Daten rechtzeitig zu unterrichten, 2. die bei der Verarbeitung personenbezogener Daten tätigen Personen durch geeignete Maßnahmen mit den Vorschriften dieses Gesetzes sowie anderen Vorschriften über den Datenschutz und mit den jeweiligen besonderen Erfordernissen des Datenschutzes vertraut zu machen. (2) Dem Beauftragten für den Datenschutz ist von der verantwortlichen Stelle eine Übersicht über die in § 4e Satz 1 genannten Angaben sowie über zugriffsberechtigte Personen zur Verfügung zu stellen. Im Fall des § 4d Abs. 2 macht der Beauftragte für den Datenschutz die Angaben nach § 4e Satz 1 Nr. 1 bis 8 auf Antrag jedermann in geeigneter Weise verfügbar. Im Fall des § 4d Abs. 3 gilt Satz 2 entsprechend für die verantwortliche Stelle. (3) Auf die in § 6 Abs. 2 Satz 4 genannten Behörden findet Absatz 2 Satz 2 keine Anwendung. Absatz 1 Satz 2 findet mit der Maßgabe Anwendung, dass der behördliche Beauftragte für den Daten- 909 schutz das Benehmen mit dem Behördenleiter herstellt; bei Unstimmigkeiten zwischen dem behördlichen Beauftragten für den Datenschutz und dem Behördenleiter entscheidet die oberste Bundesbehörde." 8. In § 5 Satz 1 werden nach dem Wort ,,unbefugt" die Wörter ,,zu erheben," eingefügt. 9. § 6 Abs. 2 wird wie folgt geändert: a) In Satz 1 werden die Wörter ,,in einer Datei gespeichert, bei der" durch die Wörter ,,automatisiert in der Weise gespeichert, dass" und die Wörter ,, , die speichernde Stelle festzustellen" durch die Wörter ,,festzustellen, welche Stelle die Daten gespeichert hat" ersetzt. b) In Satz 2 werden die Wörter ,,speichernde Stelle" durch die Wörter ,,Stelle, die die Daten gespeichert hat," ersetzt. c) In Satz 3 werden die Wörter ,,die speichernde" durch das Wort ,,jene" ersetzt. 10. Nach § 6 werden folgende §§ 6a bis 6c eingefügt: ,,§ 6a Automatisierte Einzelentscheidung (1) Entscheidungen, die für den Betroffenen eine rechtliche Folge nach sich ziehen oder ihn erheblich beeinträchtigen, dürfen nicht ausschließlich auf eine automatisierte Verarbeitung personenbezogener Daten gestützt werden, die der Bewertung einzelner Persönlichkeitsmerkmale dienen. (2) Dies gilt nicht, wenn 1. die Entscheidung im Rahmen des Abschlusses oder der Erfüllung eines Vertragsverhältnisses oder eines sonstigen Rechtsverhältnisses ergeht und dem Begehren des Betroffenen stattgegeben wurde oder 2. die Wahrung der berechtigten Interessen des Betroffenen durch geeignete Maßnahmen gewährleistet und dem Betroffenen von der verantwortlichen Stelle die Tatsache des Vorliegens einer Entscheidung im Sinne des Absatzes 1 mitgeteilt wird. Als geeignete Maßnahme gilt insbesondere die Möglichkeit des Betroffenen, seinen Standpunkt geltend zu machen. Die verantwortliche Stelle ist verpflichtet, ihre Entscheidung erneut zu prüfen. (3) Das Recht des Betroffenen auf Auskunft nach den §§ 19 und 34 erstreckt sich auch auf den logischen Aufbau der automatisierten Verarbeitung der ihn betreffenden Daten. § 6b Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen (1) Die Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen (Videoüberwachung) ist nur zulässig, soweit sie 1. zur Aufgabenerfüllung öffentlicher Stellen, 2. zur Wahrnehmung des Hausrechts oder 3. zur Wahrnehmung berechtigter Interessen für konkret festgelegte Zwecke 910 Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen. (2) Der Umstand der Beobachtung und die verantwortliche Stelle sind durch geeignete Maßnahmen erkennbar zu machen. (3) Die Verarbeitung oder Nutzung von nach Absatz 1 erhobenen Daten ist zulässig, wenn sie zum Erreichen des verfolgten Zwecks erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen. Für einen anderen Zweck dürfen sie nur verarbeitet oder genutzt werden, soweit dies zur Abwehr von Gefahren für die staatliche und öffentliche Sicherheit sowie zur Verfolgung von Straftaten erforderlich ist. (4) Werden durch Videoüberwachung erhobene Daten einer bestimmten Person zugeordnet, ist diese über eine Verarbeitung oder Nutzung entsprechend den §§ 19a und 33 zu benachrichtigen. (5) Die Daten sind unverzüglich zu löschen, wenn sie zur Erreichung des Zwecks nicht mehr erforderlich sind oder schutzwürdige Interessen der Betroffenen einer weiteren Speicherung entgegenstehen. § 6c Mobile personenbezogene Speicher- und Verarbeitungsmedien (1) Die Stelle, die ein mobiles personenbezogenes Speicher- und Verarbeitungsmedium ausgibt oder ein Verfahren zur automatisierten Verarbeitung personenbezogener Daten, das ganz oder teilweise auf einem solchen Medium abläuft, auf das Medium aufbringt, ändert oder hierzu bereithält, muss den Betroffenen 1. über ihre Identität und Anschrift, 2. in allgemein verständlicher Form über die Funktionsweise des Mediums einschließlich der Art der zu verarbeitenden personenbezogenen Daten, 3. darüber, wie er seine Rechte nach den §§ 19, 20, 34 und 35 ausüben kann, und 4. über die bei Verlust oder Zerstörung des Mediums zu treffenden Maßnahmen unterrichten, soweit der Betroffene nicht bereits Kenntnis erlangt hat. (2) Die nach Absatz 1 verpflichtete Stelle hat dafür Sorge zu tragen, dass die zur Wahrnehmung des Auskunftsrechts erforderlichen Geräte oder Einrichtungen in angemessenem Umfang zum unentgeltlichen Gebrauch zur Verfügung stehen. (3) Kommunikationsvorgänge, die auf dem Medium eine Datenverarbeitung auslösen, müssen für den Betroffenen eindeutig erkennbar sein." seiner personenbezogenen Daten einen Schaden zu, ist sie oder ihr Träger dem Betroffenen zum Schadensersatz verpflichtet. Die Ersatzpflicht entfällt, soweit die verantwortliche Stelle die nach den Umständen des Falles gebotene Sorgfalt beachtet hat. §8 Schadensersatz bei automatisierter Datenverarbeitung durch öffentliche Stellen (1) Fügt eine verantwortliche öffentliche Stelle dem Betroffenen durch eine nach diesem Gesetz oder nach anderen Vorschriften über den Datenschutz unzulässige oder unrichtige automatisierte Erhebung, Verarbeitung oder Nutzung seiner personenbezogenen Daten einen Schaden zu, ist ihr Träger dem Betroffenen unabhängig von einem Verschulden zum Schadensersatz verpflichtet. (2) Bei einer schweren Verletzung des Persönlichkeitsrechts ist dem Betroffenen der Schaden, der nicht Vermögensschaden ist, angemessen in Geld zu ersetzen. (3) Die Ansprüche nach den Absätzen 1 und 2 sind insgesamt auf einen Betrag von 250 000 Deutsche Mark begrenzt. Ist aufgrund desselben Ereignisses an mehrere Personen Schadensersatz zu leisten, der insgesamt den Höchstbetrag von 250 000 Deutsche Mark übersteigt, so verringern sich die einzelnen Schadensersatzleistungen in dem Verhältnis, in dem ihr Gesamtbetrag zu dem Höchstbetrag steht. (4) Sind bei einer automatisierten Verarbeitung mehrere Stellen speicherungsberechtigt und ist der Geschädigte nicht in der Lage, die speichernde Stelle festzustellen, so haftet jede dieser Stellen. (5) Auf das Mitverschulden des Betroffenen und die Verjährung sind die §§ 254 und 852 des Bürgerlichen Gesetzbuches entsprechend anzuwenden." 12. In § 9 Satz 1 wird das Wort ,,verarbeiten" durch die Wörter ,,erheben, verarbeiten oder nutzen" ersetzt. 13. Nach § 9 wird folgender § 9a eingefügt: ,,§ 9a Datenschutzaudit Zur Verbesserung des Datenschutzes und der Datensicherheit können Anbieter von Datenverarbeitungssystemen und -programmen und datenverarbeitende Stellen ihr Datenschutzkonzept sowie ihre technischen Einrichtungen durch unabhängige und zugelassene Gutachter prüfen und bewerten lassen sowie das Ergebnis der Prüfung veröffentlichen. Die näheren Anforderungen an die Prüfung und Bewertung, das Verfahren sowie die Auswahl und Zulassung der Gutachter werden durch besonderes Gesetz geregelt." 14. § 10 wird wie folgt geändert: a) In Absatz 2 Satz 2 Nr. 2 wird das Wort ,,Datenempfänger" durch die Wörter ,,Dritte, an die übermittelt wird" ersetzt. 11. Die §§ 7 und 8 werden wie folgt gefasst: ,,§ 7 Schadensersatz Fügt eine verantwortliche Stelle dem Betroffenen durch eine nach diesem Gesetz oder nach anderen Vorschriften über den Datenschutz unzulässige oder unrichtige Erhebung, Verarbeitung oder Nutzung Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 b) In Absatz 3 Satz 2 werden das Wort ,,der" durch das Wort ,,das", das Wort ,,Landesminister" durch das Wort ,,Landesministerium" und das Wort ,,haben" durch das Wort ,,hat" ersetzt sowie die Wörter ,,oder deren Vertreter" gestrichen. c) In Absatz 4 Satz 1 wird das Wort ,,Empfänger" durch die Wörter ,,Dritte, an den übermittelt wird" ersetzt. d) Absatz 5 wird wie folgt gefasst: ,,(5) Die Absätze 1 bis 4 gelten nicht für den Abruf allgemein zugänglicher Daten. Allgemein zugänglich sind Daten, die jedermann, sei es ohne oder nach vorheriger Anmeldung, Zulassung oder Entrichtung eines Entgelts, nutzen kann." 15. § 11 wird wie folgt geändert: a) In der Überschrift wird vor dem Wort ,,Verarbeitung" das Wort ,,Erhebung," eingefügt. b) In Absatz 1 Satz 1 wird vor dem Wort ,,verarbeitet" das Wort ,,erhoben," eingefügt. c) In Absatz 1 Satz 2 wird die Angabe ,,bis 8" durch die Angabe ,, , 7 und 8" ersetzt. d) Absatz 2 wird wie folgt geändert: aa) In Satz 2 wird das Wort ,,Datenverarbeitung" durch die Wörter ,,Datenerhebung, -verarbeitung" ersetzt. bb) Dem Absatz wird folgender Satz angefügt: ,,Der Auftraggeber hat sich von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen." e) In Absatz 3 Satz 1 wird vor dem Wort ,,verarbeiten" das Wort ,,erheben," eingefügt. f) In Absatz 4 Nr. 2 werden vor dem Wort ,,verarbeiten" das Wort ,,erheben," eingefügt und die Angabe ,,32, 36 bis" durch die Angabe ,,4f, 4g und" ersetzt. g) Nach Absatz 4 wird folgender Absatz 5 angefügt: ,,(5) Die Absätze 1 bis 4 gelten entsprechend, wenn die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag vorgenommen wird und dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann." 16. § 12 wird wie folgt geändert: a) In Absatz 2 wird die Angabe ,,17, 19 und" durch die Angabe ,,16, 19 bis" ersetzt. b) Absatz 4 wird wie folgt gefasst: ,,(4) Werden personenbezogene Daten für frühere, bestehende oder zukünftige dienst- oder arbeitsrechtliche Rechtsverhältnisse erhoben, verarbeitet oder genutzt, gelten anstelle der §§ 13 bis 16, 19 bis 20 der § 28 Abs. 1 und 3 Nr. 1 sowie die §§ 33 bis 35, auch soweit personenbezogene Daten weder automatisiert verarbeitet noch in nicht automatisierten Dateien verarbeitet oder genutzt oder dafür erhoben werden." 17. § 13 wird wie folgt geändert: a) 911 In Absatz 1 werden die Wörter ,,erhebenden Stellen" durch die Wörter ,,verantwortlichen Stelle" ersetzt. a1) Nach Absatz 1 wird folgender Absatz 1a eingefügt: ,,(1a) Werden personenbezogene Daten statt beim Betroffenen bei einer nicht öffentlichen Stelle erhoben, so ist die Stelle auf die Rechtsvorschrift, die zur Auskunft verpflichtet, sonst auf die Freiwilligkeit ihrer Angaben hinzuweisen." b) Absatz 2 wird wie folgt gefasst: ,,(2) Das Erheben besonderer Arten personenbezogener Daten (§ 3 Abs. 9) ist nur zulässig, soweit 1. eine Rechtsvorschrift dies vorsieht oder aus Gründen eines wichtigen öffentlichen Interesses zwingend erfordert, 2. der Betroffene nach Maßgabe des § 4a Abs. 3 eingewilligt hat, 3. dies zum Schutz lebenswichtiger Interessen des Betroffenen oder eines Dritten erforderlich ist, sofern der Betroffene aus physischen oder rechtlichen Gründen außerstande ist, seine Einwilligung zu geben, 4. es sich um Daten handelt, die der Betroffene offenkundig öffentlich gemacht hat, 5. dies zur Abwehr einer erheblichen Gefahr für die öffentliche Sicherheit erforderlich ist, 6. dies zur Abwehr erheblicher Nachteile für das Gemeinwohl oder zur Wahrung erheblicher Belange des Gemeinwohls zwingend erforderlich ist, 7. dies zum Zweck der Gesundheitsvorsorge, der medizinischen Diagnostik, der Gesundheitsversorgung oder Behandlung oder für die Verwaltung von Gesundheitsdiensten erforderlich ist und die Verarbeitung dieser Daten durch ärztliches Personal oder durch sonstige Personen erfolgt, die einer entsprechenden Geheimhaltungspflicht unterliegen, 8. dies zur Durchführung wissenschaftlicher Forschung erforderlich ist, das wissenschaftliche Interesse an der Durchführung des Forschungsvorhabens das Interesse des Betroffenen an dem Ausschluss der Erhebung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann oder 9. dies aus zwingenden Gründen der Verteidigung oder der Erfüllung über- oder zwischenstaatlicher Verpflichtungen einer öffentlichen Stelle des Bundes auf dem Gebiet der Krisenbewältigung oder Konfliktverhinderung oder für humanitäre Maßnahmen erforderlich ist." c) Die Absätze 3 und 4 werden aufgehoben. 912 Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 20. § 16 wird wie folgt geändert: a) Absatz 1 wird wie folgt geändert: aa) In Nummer 2 wird das Wort ,,Empfänger" durch die Wörter ,,Dritte, an den die Daten übermittelt werden," ersetzt. bb) Der Nummer 2 wird folgender Satz angefügt: ,,Das Übermitteln von besonderen Arten personenbezogener Daten (§ 3 Abs. 9) ist abweichend von Satz 1 Nr. 2 nur zulässig, wenn die Voraussetzungen vorliegen, die eine Nutzung nach § 14 Abs. 5 und 6 zulassen würden oder soweit dies zur Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche erforderlich ist." b) Absatz 4 wird wie folgt geändert: aa) In Satz 1 werden die Wörter ,,Empfänger darf die übermittelten Daten" durch die Wörter ,,Dritte, an den die Daten übermittelt werden, darf diese" ersetzt. bb) In Satz 2 werden die Wörter ,,den Empfänger" durch das Wort ,,ihn" ersetzt. 21. § 17 wird aufgehoben. 22. § 18 wird wie folgt geändert: a) Absatz 2 wird wie folgt gefasst: ,,(2) Die öffentlichen Stellen führen ein Verzeichnis der eingesetzten Datenverarbeitungsanlagen. Für ihre automatisierten Verarbeitungen haben sie die Angaben nach § 4e sowie die Rechtsgrundlage der Verarbeitung schriftlich festzulegen. Bei allgemeinen Verwaltungszwecken dienenden automatisierten Verarbeitungen, bei welchen das Auskunftsrecht des Betroffenen nicht nach § 19 Abs. 3 oder 4 eingeschränkt wird, kann hiervon abgesehen werden. Für automatisierte Verarbeitungen, die in gleicher oder ähnlicher Weise mehrfach geführt werden, können die Festlegungen zusammengefasst werden." b) Absatz 3 wird aufgehoben. 23. § 19 wird wie folgt geändert: a) Absatz 1 wird wie folgt geändert: aa) In Satz 1 werden in Nummer 1 die Wörter ,,oder Empfänger" und das Wort ,,und" gestrichen sowie vor das Wort ,,Herkunft" das Wort ,,die" eingefügt und nach Nummer 1 folgende Nummer 2 eingefügt: ,,2. die Empfänger oder Kategorien von Empfängern, an die die Daten weitergegeben werden, und". bb) Der bisherige Satz 1 Nr. 2 wird Satz 1 Nr. 3. cc) In Satz 3 werden die Wörter ,,in Akten" durch die Wörter ,,weder automatisiert noch in nicht automatisierten Dateien" ersetzt. dd) In Satz 4 wird das Wort ,,speichernde" durch das Wort ,,verantwortliche" ersetzt. 18. § 14 wird wie folgt geändert: a) In Absatz 1 wird das Wort ,,speichernden" durch das Wort ,,verantwortlichen" ersetzt. b) Absatz 2 wird wie folgt geändert: aa) In Nummer 5 werden die Wörter ,,aus allgemein zugänglichen Quellen entnommen werden können" durch die Wörter ,,allgemein zugänglich sind" und das Wort ,,speichernde" durch das Wort ,,verantwortliche" ersetzt. bb) In Nummer 6 werden nach dem Wort ,,einer" die Wörter ,,sonst unmittelbar drohenden" gestrichen und nach dem Wort ,,Sicherheit" die Wörter ,,oder zur Wahrung erheblicher Belange des Gemeinwohls" eingefügt. c) In Absatz 3 Satz 1 und 2 wird jeweils das Wort ,,speichernde" durch das Wort ,,verantwortliche" ersetzt. d) Nach Absatz 4 werden folgende Absätze 5 und 6 angefügt: ,,(5) Das Speichern, Verändern oder Nutzen von besonderen Arten personenbezogener Daten (§ 3 Abs. 9) für andere Zwecke ist nur zulässig, wenn 1. die Voraussetzungen vorliegen, die eine Erhebung nach § 13 Abs. 2 Nr. 1 bis 6 oder 9 zulassen würden oder 2. dies zur Durchführung wissenschaftlicher Forschung erforderlich ist, das öffentliche Interesse an der Durchführung des Forschungsvorhabens das Interesse des Betroffenen an dem Ausschluss der Zweckänderung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann. Bei der Abwägung nach Satz 1 Nr. 2 ist im Rahmen des öffentlichen Interesses das wissenschaftliche Interesse an dem Forschungsvorhaben besonders zu berücksichtigen. (6) Die Speicherung, Veränderung oder Nutzung von besonderen Arten personenbezogener Daten (§ 3 Abs. 9) zu den in § 13 Abs. 2 Nr. 7 genannten Zwecken richtet sich nach den für die in § 13 Abs. 2 Nr. 7 genannten Personen geltenden Geheimhaltungspflichten." 19. § 15 wird wie folgt geändert: a) In Absatz 1 Nr. 1 und Absatz 2 Satz 2 und 3 werden jeweils das Wort ,,Empfängers" durch die Wörter ,,Dritten, an den die Daten übermittelt werden," ersetzt. b) In Absatz 3 werden die Wörter ,,Empfänger darf die übermittelten Daten" durch die Wörter ,,Dritte, an den die Daten übermittelt werden, darf diese" ersetzt. c) In Absatz 4 werden die Wörter ,,dem Empfänger" durch das Wort ,,diesen" ersetzt. d) In Absatz 5 werden die Wörter ,,in Akten" gestrichen. Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 b) Dem Absatz 2 wird folgender Halbsatz angefügt: ,,und eine Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde". c) In Absatz 3 wird das Wort ,,Bundesministers" durch das Wort ,,Bundesministeriums" ersetzt. d) In Absatz 4 Nr. 1 und in Absatz 6 Satz 2 werden jeweils das Wort ,,speichernden" durch das Wort ,,verantwortlichen" ersetzt. 24. Nach § 19 wird folgender § 19a eingefügt: ,,§ 19a Benachrichtigung (1) Werden Daten ohne Kenntnis des Betroffenen erhoben, so ist er von der Speicherung, der Identität der verantwortlichen Stelle sowie über die Zweckbestimmungen der Erhebung, Verarbeitung oder Nutzung zu unterrichten. Der Betroffene ist auch über die Empfänger oder Kategorien von Empfängern von Daten zu unterrichten, soweit er nicht mit der Übermittlung an diese rechnen muss. Sofern eine Übermittlung vorgesehen ist, hat die Unterrichtung spätestens bei der ersten Übermittlung zu erfolgen. (2) Eine Pflicht zur Benachrichtigung besteht nicht, wenn 1. der Betroffene auf andere Weise Kenntnis von der Speicherung oder der Übermittlung erlangt hat, 2. die Unterrichtung des Betroffenen einen unverhältnismäßigen Aufwand erfordert oder 3. die Speicherung oder Übermittlung der personenbezogenen Daten durch Gesetz ausdrücklich vorgesehen ist. Die verantwortliche Stelle legt schriftlich fest, unter welchen Voraussetzungen von einer Benachrichtigung nach Nummer 2 oder 3 abgesehen wird. (3) § 19 Abs. 2 bis 4 gilt entsprechend." 25. § 20 wird wie folgt geändert: a) In der Überschrift wird ein Semikolon und das Wort ,,Widerspruchsrecht" angefügt. b) In Absatz 1 Satz 2 werden die Wörter ,,in Akten" durch die Wörter ,,die weder automatisiert verarbeitet noch in nicht automatisierten Dateien gespeichert sind," und die Wörter ,,der Akte zu vermerken oder auf sonstige" durch das Wort ,,geeigneter" ersetzt sowie vor die Wörter ,,die weder automatisiert verarbeitet noch in nicht automatisierten Dateien gespeichert sind," ein Komma gesetzt. c) Absatz 2 wird wie folgt geändert: aa) Die Wörter ,,in Dateien" werden durch die Wörter ,,die automatisiert verarbeitet oder in nicht automatisierten Dateien gespeichert sind," ersetzt sowie vor die Wörter ,,die automatisiert verarbeitet oder in nicht automatisierten Dateien gespeichert sind," ein Komma gesetzt. bb) In Nummer 2 wird das Wort ,,speichernde" durch das Wort ,,verantwortliche" ersetzt. 26. § 22 wird wie folgt geändert: 913 d) In Absatz 4 werden die Wörter ,,in Dateien" durch die Wörter ,,die automatisiert verarbeitet oder in nicht automatisierten Dateien gespeichert sind," ersetzt sowie vor die Wörter ,,die automatisiert verarbeitet oder in nicht automatisierten Dateien gespeichert sind," ein Komma gesetzt. e) Nach Absatz 4 wird folgender Absatz 5 eingefügt: ,,(5) Personenbezogene Daten dürfen nicht für eine automatisierte Verarbeitung oder Verarbeitung in nicht automatisierten Dateien erhoben, verarbeitet oder genutzt werden, soweit der Betroffene dieser bei der verantwortlichen Stelle widerspricht und eine Prüfung ergibt, dass das schutzwürdige Interesse des Betroffenen wegen seiner besonderen persönlichen Situation das Interesse der verantwortlichen Stelle an dieser Erhebung, Verarbeitung oder Nutzung überwiegt. Satz 1 gilt nicht, wenn eine Rechtsvorschrift zur Erhebung, Verarbeitung oder Nutzung verpflichtet." f) Die bisherigen Absätze 5 bis 8 werden die Absätze 6 bis 9. g) In Absatz 6 werden die Wörter ,,in Akten" durch die Wörter ,,die weder automatisiert verarbeitet noch in einer nicht automatisierten Datei gespeichert sind," ersetzt sowie vor die Wörter ,,die weder automatisiert verarbeitet noch in einer nicht automatisierten Datei gespeichert sind," ein Komma gesetzt. h) In Absatz 7 Nr. 1 wird das Wort ,,speichernden" durch das Wort ,,verantwortlichen" ersetzt. i) Absatz 8 wird wie folgt geändert: aa) Das Wort ,,regelmäßigen" wird gestrichen. bb) Die Wörter ,,werden, wenn dies zur Wahrung schutzwürdiger Interessen des Betroffenen erforderlich ist" werden durch die Wörter ,,wurden, wenn dies keinen unverhältnismäßigen Aufwand erfordert und schutzwürdige Interessen des Betroffenen nicht entgegenstehen" ersetzt. a) In Absatz 2 wird das Wort ,,Beauftragte" durch das Wort ,,Bundesbeauftragte" ersetzt. b) In Absatz 5 Satz 1 wird das Wort ,,Bundesminister" durch das Wort ,,Bundesministerium" und in den Sätzen 2 und 3 wird das Wort ,,Bundesministers" durch das Wort ,,Bundesministeriums" ersetzt. 27. § 23 wird wie folgt geändert: a) In Absatz 3 Satz 1 und 2 wird das Wort ,,Bundesminister" durch das Wort ,,Bundesministerium" und in Absatz 5 Satz 3 wird das Wort ,,Bundesministers" durch das Wort ,,Bundesministeriums" ersetzt. Dem Absatz 5 werden die folgenden Sätze angefügt: ,,Für den Bundesbeauftragten und seine Mitarbeiter gelten die §§ 93, 97, 105 Abs. 1, § 111 Abs. 5 in Verbindung mit § 105 Abs. 1 sowie § 116 Abs. 1 der Abgabenordnung nicht. Satz 5 findet keine b) 914 Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 Anwendung, soweit die Finanzbehörden die Kenntnis für die Durchführung eines Verfahrens wegen einer Steuerstraftat sowie eines damit zusammenhängenden Steuerverfahrens benötigen, an deren Verfolgung ein zwingendes öffentliches Interesse besteht, oder soweit es sich um vorsätzlich falsche Angaben des Auskunftspflichtigen oder der für ihn tätigen Personen handelt. Stellt der Bundesbeauftragte einen Datenschutzverstoß fest, ist er befugt, diesen anzuzeigen und den Betroffenen hierüber zu informieren." b1) Absatz 6 Satz 3 wird wie folgt gefasst: ,,§ 28 des Bundesverfassungsgerichtsgesetzes bleibt unberührt." c) Nach Absatz 7 wird folgender Absatz 8 angefügt: ,,(8) Absatz 5 Satz 5 bis 7 gilt entsprechend für die öffentlichen Stellen, die für die Kontrolle der Einhaltung der Vorschriften über den Datenschutz in den Ländern zuständig sind." c) Dem Absatz 4 wird folgender Satz angefügt: ,,§ 38 Abs. 1 Satz 3 und 4 gilt entsprechend." d) Absatz 5 wird aufgehoben. 30. § 27 wird wie folgt geändert: a) In Absatz 1 Satz 1 werden die Wörter ,,in oder aus Dateien geschäftsmäßig oder für berufliche oder gewerbliche Zwecke verarbeitet oder genutzt" durch die Wörter ,,unter Einsatz von Datenverarbeitungsanlagen verarbeitet, genutzt oder dafür erhoben werden oder die Daten in oder aus nicht automatisierten Dateien verarbeitet, genutzt oder dafür erhoben" ersetzt. b) Nach Absatz 1 Satz 1 wird folgender Satz 2 eingefügt: ,,Dies gilt nicht, wenn die Erhebung, Verarbeitung oder Nutzung der Daten ausschließlich für persönliche oder familiäre Tätigkeiten erfolgt." c) In Absatz 2 werden die Wörter ,,in Akten" durch die Wörter ,,außerhalb von nicht automatisierten Dateien" und das Wort ,,Datei" durch die Wörter ,,automatisierten Verarbeitung" ersetzt. 31. § 28 wird wie folgt geändert: a) In der Überschrift werden die Wörter ,,Datenspeicherung, -übermittlung" durch die Wörter ,,Datenerhebung, -verarbeitung" ersetzt. b) Absatz 1 Satz 1 wird wie folgt geändert: aa) Nach dem Wort ,,Das" wird das Wort ,,Erheben," eingefügt. bb) In Nummer 1 werden die Wörter ,,im Rahmen" durch die Wörter ,,wenn es" ersetzt und nach dem Wort ,,Betroffenen" wird das Wort ,,dient" eingefügt. cc) In Nummer 2 wird das Wort ,,speichernden" durch das Wort ,,verantwortlichen" ersetzt und nach dem Wort ,,überwiegt" das Wort ,,oder" angefügt. dd) Nummer 3 wird wie folgt gefasst: ,,3. wenn die Daten allgemein zugänglich sind oder die verantwortliche Stelle sie veröffentlichen dürfte, es sei denn, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung oder Nutzung gegenüber dem berechtigten Interesse der verantwortlichen Stelle offensichtlich überwiegt." ee) Nummer 4 wird aufgehoben. c) Absatz 1 Satz 2 wird wie folgt gefasst: ,,Bei der Erhebung personenbezogener Daten sind die Zwecke, für die die Daten verarbeitet oder genutzt werden sollen, konkret festzulegen." d) Nach Absatz 1 wird folgender Absatz 2 eingefügt: ,,(2) Für einen anderen Zweck dürfen sie nur unter den Voraussetzungen des Absatzes 1 Satz 1 Nr. 2 und 3 übermittelt oder genutzt werden." e) Die bisherigen Absätze 2 bis 4 werden die Absätze 3 bis 5. 28. § 24 wird wie folgt geändert: a) Absatz 1 Satz 2 wird aufgehoben. b) Absatz 2 wird wie folgt gefasst: ,,(2) Die Kontrolle des Bundesbeauftragten erstreckt sich auch auf 1. von öffentlichen Stellen des Bundes erlangte personenbezogene Daten über den Inhalt und die näheren Umstände des Brief-, Post- und Fernmeldeverkehrs, und 2. personenbezogene Daten, die einem Berufsoder besonderen Amtsgeheimnis, insbesondere dem Steuergeheimnis nach § 30 der Abgabenordnung, unterliegen. Das Grundrecht des Brief-, Post- und Fernmeldegeheimnisses des Artikels 10 des Grundgesetzes wird insoweit eingeschränkt. Personenbezogene Daten, die der Kontrolle durch die Kommission nach § 9 des Gesetzes zu Artikel 10 Grundgesetz unterliegen, unterliegen nicht der Kontrolle durch den Bundesbeauftragten, es sei denn, die Kommission ersucht den Bundesbeauftragten, die Einhaltung der Vorschriften über den Datenschutz bei bestimmten Vorgängen oder in bestimmten Bereichen zu kontrollieren und ausschließlich ihr darüber zu berichten. Der Kontrolle durch den Bundesbeauftragten unterliegen auch nicht personenbezogene Daten in Akten über die Sicherheitsüberprüfung, wenn der Betroffene der Kontrolle der auf ihn bezogenen Daten im Einzelfall gegenüber dem Bundesbeauftragten widerspricht." c) In Absatz 4 Satz 2 Nr. 1 werden die Wörter ,,und Akten" gestrichen. 29. § 26 wird wie folgt geändert: a) In der Überschrift werden das Semikolon und das Wort ,,Dateienregister" gestrichen. b) Absatz 1 Satz 2 wird wie folgt gefasst: ,,Er unterrichtet den Deutschen Bundestag und die Öffentlichkeit über wesentliche Entwicklungen des Datenschutzes." Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 f) Absatz 3 wird wie folgt gefasst: ,,(3) Die Übermittlung oder Nutzung für einen anderen Zweck ist auch zulässig: 1. soweit es zur Wahrung berechtigter Interessen eines Dritten oder 2. zur Abwehr von Gefahren für die staatliche und öffentliche Sicherheit sowie zur Verfolgung von Straftaten erforderlich ist, oder 3. für Zwecke der Werbung, der Markt- und Meinungsforschung, wenn es sich um listenmäßig oder sonst zusammengefasste Daten über Angehörige einer Personengruppe handelt, die sich auf a) eine Angabe über die Zugehörigkeit des Betroffenen zu dieser Personengruppe, b) Berufs-, Branchen- oder Geschäftsbeziehung, c) Namen, d) Titel, e) akademische Grade, f) Anschrift und g) Geburtsjahr beschränken und kein Grund zu der Annahme besteht, dass der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Übermittlung oder Nutzung hat, oder 4. wenn es im Interesse einer Forschungseinrichtung zur Durchführung wissenschaftlicher Forschung erforderlich ist, das wissenschaftliche Interesse an der Durchführung des Forschungsvorhabens das Interesse des Betroffenen an dem Ausschluss der Zweckänderung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann. In den Fällen des Satzes 1 Nr. 3 ist anzunehmen, dass dieses Interesse besteht, wenn im Rahmen der Zweckbestimmung eines Vertragsverhältnisses oder vertragsähnlichen Vertrauensverhältnisses gespeicherte Daten übermittelt werden sollen, die sich 1. auf strafbare Handlungen, 2. auf Ordnungswidrigkeiten sowie 3. bei Übermittlung durch den Arbeitgeber auf arbeitsrechtliche Rechtsverhältnisse beziehen." g) Absatz 4 wird wie folgt geändert: aa) In Satz 1 wird das Wort ,,speichernden" durch das Wort ,,verantwortlichen" ersetzt. bb) Nach Satz 1 wird folgender Satz eingefügt: ,,Der Betroffene ist bei der Ansprache zum Zweck der Werbung oder der Markt- oder Meinungsforschung über die verantwortliche Stelle sowie über das Widerspruchsrecht nach Satz 1 zu unterrichten; soweit der Ansprechende personenbezogene Daten des 915 Betroffenen nutzt, die bei einer ihm nicht bekannten Stelle gespeichert sind, hat er auch sicherzustellen, dass der Betroffene Kenntnis über die Herkunft der Daten erhalten kann." cc) In dem neuen Satz 3 werden die Wörter ,,beim Empfänger der nach Absatz 2 übermittelten Daten" durch die Wörter ,,bei dem Dritten, dem die Daten nach Absatz 3 übermittelt werden," ersetzt. h) Absatz 5 wird wie folgt geändert: aa) In Satz 1 werden die Wörter ,,Empfänger darf die übermittelten Daten" durch die Wörter ,,Dritte, dem die Daten übermittelt worden sind, darf diese nur" ersetzt. bb) In Satz 2 werden nach dem Wort ,,ist" die Wörter ,,nicht öffentlichen Stellen" eingefügt und die Wörter ,,1 und 2 zulässig" durch die Wörter ,,2 und 3 und öffentlichen Stellen nur unter den Voraussetzungen des § 14 Abs. 2 erlaubt" ersetzt. cc) In Satz 3 werden die Wörter ,,den Empfänger" durch das Wort ,,ihn" ersetzt. i) Nach Absatz 5 werden die folgenden Absätze 6 bis 9 angefügt: ,,(6) Das Erheben, Verarbeiten und Nutzen von besonderen Arten personenbezogener Daten (§ 3 Abs. 9) für eigene Geschäftszwecke ist zulässig, soweit nicht der Betroffene nach Maßgabe des § 4a Abs. 3 eingewilligt hat, wenn 1. dies zum Schutz lebenswichtiger Interessen des Betroffenen oder eines Dritten erforderlich ist, sofern der Betroffene aus physischen oder rechtlichen Gründen außerstande ist, seine Einwilligung zu geben, 2. es sich um Daten handelt, die der Betroffene offenkundig öffentlich gemacht hat, 3. dies zur Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Erhebung, Verarbeitung oder Nutzung überwiegt, oder 4. dies zur Durchführung wissenschaftlicher Forschung erforderlich ist, das wissenschaftliche Interesse an der Durchführung des Forschungsvorhabens das Interesse des Betroffenen an dem Ausschluss der Erhebung, Verarbeitung und Nutzung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann. (7) Das Erheben von besonderen Arten personenbezogener Daten (§ 3 Abs. 9) ist ferner zulässig, wenn dies zum Zweck der Gesundheitsvorsorge, der medizinischen Diagnostik, der Gesundheitsversorgung oder Behandlung oder für die Verwaltung von Gesundheitsdiensten erforderlich ist und die Verarbeitung dieser Daten durch ärztliches Personal oder durch sonstige Personen erfolgt, die einer entsprechenden Geheimhaltungspflicht unterliegen. Die Verarbeitung und 916 Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 Nutzung von Daten zu den in Satz 1 genannten Zwecken richtet sich nach den für die in Satz 1 genannten Personen geltenden Geheimhaltungspflichten. Werden zu einem in Satz 1 genannten Zweck Daten über die Gesundheit von Personen durch Angehörige eines anderen als in § 203 Abs. 1 und 3 des Strafgesetzbuches genannten Berufes, dessen Ausübung die Feststellung, Heilung oder Linderung von Krankheiten oder die Herstellung oder den Vertrieb von Hilfsmitteln mit sich bringt, erhoben, verarbeitet oder genutzt, ist dies nur unter den Voraussetzungen zulässig, unter denen ein Arzt selbst hierzu befugt wäre. (8) Für einen anderen Zweck dürfen die besonderen Arten personenbezogener Daten (§ 3 Abs. 9) nur unter den Voraussetzungen des Absatzes 6 Nr. 1 bis 4 oder des Absatzes 7 Satz 1 übermittelt oder genutzt werden. Eine Übermittlung oder Nutzung ist auch zulässig, wenn dies zur Abwehr von erheblichen Gefahren für die staatliche und öffentliche Sicherheit sowie zur Verfolgung von Straftaten von erheblicher Bedeutung erforderlich ist. (9) Organisationen, die politisch, philosophisch, religiös oder gewerkschaftlich ausgerichtet sind und keinen Erwerbszweck verfolgen, dürfen besondere Arten personenbezogener Daten (§ 3 Abs. 9) erheben, verarbeiten oder nutzen, soweit dies für die Tätigkeit der Organisation erforderlich ist. Dies gilt nur für personenbezogene Daten ihrer Mitglieder oder von Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßig Kontakte mit ihr unterhalten. Die Übermittlung dieser personenbezogenen Daten an Personen oder Stellen außerhalb der Organisation ist nur unter den Voraussetzungen des § 4a Abs. 3 zulässig. Absatz 3 Nr. 2 gilt entsprechend." cc) In Satz 1 Nr. 1 Buchstabe b wird die Angabe ,,Abs. 2 Nr. 1 Buchstabe b" durch die Angabe ,,Abs. 3 Nr. 3" ersetzt. dd) In Satz 2 wird die Angabe ,,Abs. 2 Nr. 1" durch die Angabe ,,Abs. 3" ersetzt. ee) In Satz 3 wird das Wort ,,Empfänger" durch die Wörter ,,Dritten, dem die Daten übermittelt werden" ersetzt. d) Nach Absatz 2 wird folgender Absatz 3 eingefügt: ,,(3) Die Aufnahme personenbezogener Daten in elektronische oder gedruckte Adress-, Telefon-, Branchen- oder vergleichbare Verzeichnisse hat zu unterbleiben, wenn der entgegenstehende Wille des Betroffenen aus dem zugrunde liegenden elektronischen oder gedruckten Verzeichnis oder Register ersichtlich ist. Der Empfänger der Daten hat sicherzustellen, dass Kennzeichnungen aus elektronischen oder gedruckten Verzeichnissen oder Registern bei der Übernahme in Verzeichnisse oder Register übernommen werden." e) Der bisherige Absatz 3 wird Absatz 4. f) In Absatz 4 wird die Angabe ,,3 und 4" durch die Angabe ,,4 und 5" ersetzt. g) Nach Absatz 4 wird folgender Absatz 5 angefügt: ,,(5) § 28 Abs. 6 bis 9 gilt entsprechend." 33. § 30 wird wie folgt geändert: a) In der Überschrift wird das Wort ,,Datenspeicherung" durch die Wörter ,,Datenerhebung und -speicherung" ersetzt. b) In Absatz 1 Satz 1 werden nach dem Wort ,,geschäftsmäßig" die Wörter ,,erhoben und" eingefügt. c) Absatz 2 Nr. 2 wird wie folgt geändert: aa) Das Wort ,,speichernde" wird durch das Wort ,,verantwortliche" ersetzt. bb) Die Wörter ,,es sei denn, daß" werden durch die Wörter ,,soweit nicht" ersetzt. d) Absatz 4 wird wie folgt gefasst: ,,(4) § 29 gilt nicht." e) Nach Absatz 4 wird folgender Absatz 5 angefügt: ,,(5) § 28 Abs. 6 bis 9 gilt entsprechend." 34. § 32 wird aufgehoben. 35. § 33 wird wie folgt geändert: a) Absatz 1 wird wie folgt geändert: aa) Satz 1 wird wie folgt gefasst: ,,Werden erstmals personenbezogene Daten für eigene Zwecke ohne Kenntnis des Betroffenen gespeichert, ist der Betroffene von der Speicherung, der Art der Daten, der Zweckbestimmung der Erhebung, Verarbeitung oder Nutzung und der Identität der verantwortlichen Stelle zu benachrichtigen." bb) In Satz 2 werden nach den Wörtern ,,der Übermittlung" die Wörter ,,ohne Kenntnis des Betroffenen" eingefügt. 32. § 29 wird wie folgt geändert: a) In der Überschrift wird das Wort ,,Datenspeicherung" durch die Wörter ,,Datenerhebung und -speicherung" ersetzt. b) Absatz 1 Satz 1 wird wie folgt geändert: aa) Nach dem Wort ,,geschäftsmäßige" wird das Wort ,,Erheben," und nach dem Wort ,,Übermittlung" werden ein Komma und die Wörter ,,insbesondere wenn dies der Werbung, der Tätigkeit von Auskunfteien, dem Adresshandel oder der Markt- und Meinungsforschung dient," eingefügt. bb) In Nummer 1 wird vor dem Wort ,,Speicherung" das Wort ,,Erhebung," eingefügt. cc) In Nummer 2 wird das Wort ,,speichernde" durch das Wort ,,verantwortliche" ersetzt sowie vor dem Wort ,,Speicherung" das Wort ,,Erhebung," eingefügt. c) Absatz 2 wird wie folgt geändert: aa) In Satz 1 werden im ersten Halbsatz nach dem Wort ,,Übermittlung" die Wörter ,,im Rahmen der Zwecke nach Absatz 1" eingefügt. bb) In Satz 1 Nr. 1 Buchstabe a wird das Wort ,,Empfänger" durch die Wörter ,,Dritte, dem die Daten übermittelt werden," ersetzt. Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 cc) Dem Absatz wird folgender Satz 3 angefügt: ,,Der Betroffene ist in den Fällen der Sätze 1 und 2 auch über die Kategorien von Empfängern zu unterrichten, soweit er nach den Umständen des Einzelfalles nicht mit der Übermittlung an diese rechnen muss." b) Absatz 2 wird wie folgt geändert: aa) In Nummer 2 werden nach dem Wort ,,dienen" die Wörter ,,und eine Benachrichtigung einen unverhältnismäßigen Aufwand erfordern würde" eingefügt. bb) Nach Nummer 3 werden folgende Nummern 4 und 5 eingefügt: ,,4. die Speicherung oder Übermittlung durch Gesetz ausdrücklich vorgesehen ist, 5. die Speicherung oder Übermittlung für Zwecke der wissenschaftlichen Forschung erforderlich ist und eine Benachrichtigung einen unverhältnismäßigen Aufwand erfordern würde,". cc) Die bisherige Nummer 4 wird die Nummer 6. dd) Die bisherige Nummer 5 wird aufgehoben. ee) Die bisherigen Nummern 6 und 7 werden die Nummern 7 und 8. ff) In Nummer 6 wird das Wort ,,speichernden" durch das Wort ,,verantwortlichen" ersetzt. 917 bb) Nach Satz 1 Nr. 1 wird folgende Nummer 2 eingefügt: ,,2. Empfänger oder Kategorien von Empfängern, an die Daten weitergegeben werden, und". cc) Der bisherige Satz 1 Nr. 2 wird Satz 1 Nr. 3. dd) Der bisherige Satz 1 Nr. 3 wird aufgehoben. ee) In Satz 1 Nr. 3 wird das Wort ,,und" durch einen Punkt ersetzt. ff) In Satz 3 werden die Wörter ,,wenn er begründete Zweifel an der Richtigkeit der Daten geltend macht" durch die Wörter ,,sofern nicht das Interesse an der Wahrung des Geschäftsgeheimnisses überwiegt" ersetzt. b) Absatz 2 wird wie folgt geändert: aa) In Satz 1 werden die Wörter ,,nicht in einer" durch die Wörter ,,weder in einer automatisierten Verarbeitung noch in einer nicht automatisierten" ersetzt. In Satz 2 werden die Wörter ,,wenn er begründete Zweifel an der Richtigkeit der Daten geltend macht" durch die Wörter ,,sofern nicht das Interesse an der Wahrung des Geschäftsgeheimnisses überwiegt" ersetzt. bb) Satz 3 wird aufgehoben. c) In Absatz 4 wird die Angabe ,,Nr. 2 bis 6" durch die Angabe ,,Satz 1 Nr. 2, 3 und 5 bis 7" ersetzt. 37. § 35 wird wie folgt geändert: a) Absatz 2 Satz 2 wird wie folgt geändert: aa) Nummer 2 wird wie folgt gefasst: ,,2. es sich um Daten über die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder die Gewerkschaftszugehörigkeit, über Gesundheit oder das Sexualleben, strafbare Handlungen oder Ordnungswidrigkeiten handelt und ihre Richtigkeit von der verantwortlichen Stelle nicht bewiesen werden kann,". bb) Nummer 4 wird wie folgt gefasst: ,,4. sie geschäftsmäßig zum Zweck der Übermittlung verarbeitet werden und eine Prüfung jeweils am Ende des vierten Kalenderjahres beginnend mit ihrer erstmaligen Speicherung ergibt, dass eine längerwährende Speicherung nicht erforderlich ist." b) In Absatz 3 Nr. 1 wird die Angabe ,,oder 4" gestrichen. c) Nach Absatz 4 wird folgender Absatz 5 eingefügt: ,,(5) Personenbezogene Daten dürfen nicht für eine automatisierte Verarbeitung oder Verarbeitung in nicht automatisierten Dateien erhoben, verarbeitet oder genutzt werden, soweit der Betroffene dieser bei der verantwortlichen Stelle widerspricht und eine Prüfung ergibt, dass das schutzwürdige Interesse des Betroffenen wegen seiner besonderen persönlichen Situation das gg) In Nummer 7 Buchstabe a werden nach dem Wort ,,sind" die Wörter ,,und eine Benachrichtigung wegen der Vielzahl der betroffenen Fälle unverhältnismäßig ist," eingefügt. hh) In Nummer 7 Buchstabe b wird das Wort ,,speichernden" durch das Wort ,,verantwortlichen" ersetzt. ii) Nummer 8 wird wie folgt gefasst: ,,8. die Daten geschäftsmäßig zum Zwecke der Übermittlung gespeichert sind und a) aus allgemein zugänglichen Quellen entnommen sind, soweit sie sich auf diejenigen Personen beziehen, die diese Daten veröffentlicht haben, oder b) es sich um listenmäßig oder sonst zusammengefasste Daten handelt (§ 29 Abs. 2 Nr. 1 Buchstabe b) und eine Benachrichtigung wegen der Vielzahl der betroffenen Fälle unverhältnismäßig ist." jj) Dem Absatz wird folgender Satz angefügt: ,,Die verantwortliche Stelle legt schriftlich fest, unter welchen Voraussetzungen von einer Benachrichtigung nach Satz 1 Nr. 2 bis 7 abgesehen wird." 36. § 34 wird wie folgt geändert: a) Absatz 1 wird wie folgt geändert: aa) In Satz 1 Nr. 1 werden die Wörter ,,Herkunft und Empfänger" durch die Wörter ,,die Herkunft dieser Daten" ersetzt. 918 Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 Interesse der verantwortlichen Stelle an dieser Erhebung, Verarbeitung oder Nutzung überwiegt. Satz 1 gilt nicht, wenn eine Rechtsvorschrift zur Erhebung, Verarbeitung oder Nutzung verpflichtet." d) Die bisherigen Absätze 5 bis 7 werden die Absätze 6 bis 8. e) Absatz 7 wird wie folgt geändert: aa) Das Wort ,,regelmäßigen" wird gestrichen. bb) Die Wörter ,,zur Wahrung der schutzwürdigen Interessen des Betroffenen erforderlich ist" werden durch die Wörter ,,keinen unverhältnismäßigen Aufwand erfordert und schutzwürdige Interessen des Betroffenen nicht entgegenstehen" ersetzt. f) In Absatz 8 Nr. 1 wird das Wort ,,speichernden" durch das Wort ,,verantwortlichen" ersetzt. cc) Der bisherige Satz 3 wird Satz 2. dd) Nach Satz 2 wird folgender Satz 3 angefügt: ,,Das Einsichtsrecht erstreckt sich nicht auf die Angaben nach § 4e Satz 1 Nr. 9 sowie auf die Angabe der zugriffsberechtigten Personen." b1) In Absatz 3 Satz 1 wird das Wort ,,Prüfung" durch das Wort ,,Kontrolle" ersetzt. c) Absatz 4 wird wie folgt geändert: aa) In Satz 1 werden die Wörter ,,Überprüfung oder Überwachung" durch das Wort ,,Kontrolle" ersetzt. bb) In Satz 2 wird die Angabe ,,§ 37 Abs. 2" durch die Angabe ,,§ 4g Abs. 2 Satz 1" ersetzt. d) In Absatz 5 Satz 1 werden die Wörter ,,Verarbeitung oder Nutzung" durch die Wörter ,,automatisierte Verarbeitung personenbezogener Daten oder die Verarbeitung" ersetzt sowie vor dem Wort ,,Dateien" das Wort ,,nicht automatisierten" eingefügt. In Absatz 6 wird das Wort ,,Überwachung" durch das Wort ,,Kontrolle" ersetzt. 38. In der Überschrift des Dritten Unterabschnitts zum Dritten Abschnitt werden die Wörter ,,Beauftragter für den Datenschutz," gestrichen. 39. § 36 wird aufgehoben. 40. § 37 wird aufgehoben. e) 42. Nach § 38 wird folgender § 38a eingefügt: 41. § 38 wird wie folgt geändert: a) Absatz 1 wird wie folgt gefasst: ,,(1) Die Aufsichtsbehörde kontrolliert die Ausführung dieses Gesetzes sowie anderer Vorschriften über den Datenschutz, soweit diese die automatisierte Verarbeitung personenbezogener Daten oder die Verarbeitung oder Nutzung personenbezogener Daten in oder aus nicht automatisierten Dateien regeln einschließlich des Rechts der Mitgliedstaaten in den Fällen des § 1 Abs. 5. Die Aufsichtsbehörde darf die von ihr gespeicherten Daten nur für Zwecke der Aufsicht verarbeiten und nutzen; § 14 Abs. 2 Nr. 1 bis 3, 6 und 7 gilt entsprechend. Insbesondere darf die Aufsichtsbehörde zum Zweck der Aufsicht Daten an andere Aufsichtsbehörden übermitteln. Sie leistet den Aufsichtsbehörden anderer Mitgliedstaaten der Europäischen Union auf Ersuchen ergänzende Hilfe (Amtshilfe). Stellt die Aufsichtsbehörde einen Verstoß gegen dieses Gesetz oder andere Vorschriften über den Datenschutz fest, so ist sie befugt, die Betroffenen hierüber zu unterrichten, den Verstoß bei den für die Verfolgung oder Ahndung zuständigen Stellen anzuzeigen sowie bei schwerwiegenden Verstößen die Gewerbeaufsichtsbehörde zur Durchführung gewerberechtlicher Maßnahmen zu unterrichten. Sie veröffentlicht regelmäßig, spätestens alle zwei Jahre, einen Tätigkeitsbericht. § 21 Satz 1 und § 23 Abs. 5 Satz 4 bis 7 gelten entsprechend." b) Absatz 2 wird wie folgt geändert: aa) Satz 1 wird aufgehoben. bb) Der neue Satz 1 wird wie folgt gefasst: ,,Die Aufsichtsbehörde führt ein Register der nach § 4d meldepflichtigen automatisierten Verarbeitungen mit den Angaben nach § 4e Satz 1." ,,§ 38a Verhaltensregeln zur Förderung der Durchführung datenschutzrechtlicher Regelungen (1) Berufsverbände und andere Vereinigungen, die bestimmte Gruppen von verantwortlichen Stellen vertreten, können Entwürfe für Verhaltensregeln zur Förderung der Durchführung von datenschutzrechtlichen Regelungen der zuständigen Aufsichtsbehörde unterbreiten. (2) Die Aufsichtsbehörde überprüft die Vereinbarkeit der ihr unterbreiteten Entwürfe mit dem geltenden Datenschutzrecht." 43. In § 39 Abs. 1 Satz 1 wird das Wort ,,speichernden" durch das Wort ,,verantwortlichen" ersetzt. 44. § 40 wird wie folgt geändert: a) Absatz 2 wird aufgehoben. b) Die bisherigen Absätze 3 und 4 werden die Absätze 2 und 3. 45. § 41 wird wie folgt geändert: a) In der Überschrift wird vor dem Wort ,,Verarbeitung" das Wort ,,Erhebung," eingefügt. b) Absatz 1 wird wie folgt gefasst: ,,(1) Die Länder haben in ihrer Gesetzgebung vorzusehen, dass für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten von Unternehmen und Hilfsunternehmen der Presse ausschließlich zu eigenen journalistisch-redaktionellen oder literarischen Zwecken den Vorschriften der §§ 5, 9 und 38a entsprechende Regelungen einschließlich einer hierauf bezogenen Haftungsregelung entsprechend § 7 zur Anwendung kommen." Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 c) In Absatz 2 wird vor dem Wort ,,Verarbeitung" das Wort ,,Erhebung," eingefügt. d) Absatz 3 Satz 2 wird wie folgt gefasst: ,,Die Auskunft kann nach Abwägung der schutzwürdigen Interessen der Beteiligten verweigert werden, soweit 1. aus den Daten auf Personen, die bei der Vorbereitung, Herstellung oder Verbreitung von Rundfunksendungen berufsmäßig journalistisch mitwirken oder mitgewirkt haben, geschlossen werden kann, 2. aus den Daten auf die Person des Einsenders oder des Gewährsträgers von Beiträgen, Unterlagen und Mitteilungen für den redaktionellen Teil geschlossen werden kann, 3. durch die Mitteilung der recherchierten oder sonst erlangten Daten die journalistische Aufgabe der Deutschen Welle durch Ausforschung des Informationsbestandes beeinträchtigt würde." e) In Absatz 4 Satz 1 wird die Angabe ,,§§ 5 und 9" durch die Angabe ,,§§ 5, 7, 9 und 38a" ersetzt. 46. § 42 Abs. 5 Satz 2 wird wie folgt gefasst: ,,Die §§ 4f und 4g bleiben unberührt." 47. § 43 wird wie folgt gefasst: ,,§ 43 Bußgeldvorschriften (1) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig 1. entgegen § 4d Abs. 1, auch in Verbindung mit § 4e Satz 2, eine Meldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht, 2. entgegen § 4f Abs. 1 Satz 1 oder 2, jeweils auch in Verbindung mit Satz 3 und 6, einen Beauftragten für den Datenschutz nicht, nicht in der vorgeschriebenen Weise oder nicht rechtzeitig bestellt, 3. entgegen § 28 Abs. 4 Satz 2 den Betroffenen nicht, nicht richtig oder nicht rechtzeitig unterrichtet oder nicht sicherstellt, dass der Betroffene Kenntnis erhalten kann, 4. entgegen § 28 Abs. 5 Satz 2 personenbezogene Daten übermittelt oder nutzt, 5. entgegen § 29 Abs. 2 Satz 3 oder 4 die dort bezeichneten Gründe oder die Art und Weise ihrer glaubhaften Darlegung nicht aufzeichnet, 6. entgegen § 29 Abs. 3 Satz 1 personenbezogene Daten in elektronische oder gedruckte Adress-, Rufnummern-, Branchen- oder vergleichbare Verzeichnisse aufnimmt, 7. entgegen § 29 Abs. 3 Satz 2 die Übernahme von Kennzeichnungen nicht sicherstellt, 8. entgegen § 33 Abs. 1 den Betroffenen nicht, nicht richtig oder nicht vollständig benachrichtigt, 919 9. entgegen § 35 Abs. 6 Satz 3 Daten ohne Gegendarstellung übermittelt, 10. entgegen § 38 Abs. 3 Satz 1 oder Abs. 4 Satz 1 eine Auskunft nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig erteilt oder eine Maßnahme nicht duldet oder 11. einer vollziehbaren Anordnung nach § 38 Abs. 5 Satz 1 zuwiderhandelt. (2) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig 1. unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, erhebt oder verarbeitet, 2. unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, zum Abruf mittels automatisierten Verfahrens bereithält, 3. unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, abruft oder sich oder einem anderen aus automatisierten Verarbeitungen oder nicht automatisierten Dateien verschafft, 4. die Übermittlung von personenbezogenen Daten, die nicht allgemein zugänglich sind, durch unrichtige Angaben erschleicht, 5. entgegen § 16 Abs. 4 Satz 1, § 28 Abs. 5 Satz 1, auch in Verbindung mit § 29 Abs. 4, § 39 Abs. 1 Satz 1 oder § 40 Abs. 1, die übermittelten Daten für andere Zwecke nutzt, indem er sie an Dritte weitergibt, oder 6. entgegen § 30 Abs. 1 Satz 2 die in § 30 Abs. 1 Satz 1 bezeichneten Merkmale oder entgegen § 40 Abs. 2 Satz 3 die in § 40 Abs. 2 Satz 2 bezeichneten Merkmale mit den Einzelangaben zusammenführt. (3) Die Ordnungswidrigkeit kann im Falle des Absatzes 1 mit einer Geldbuße bis zu fünfzigtausend Deutsche Mark, in den Fällen des Absatzes 2 mit einer Geldbuße bis zu fünfhunderttausend Deutsche Mark geahndet werden." 48. § 44 wird wie folgt gefasst: ,,§ 44 Strafvorschriften (1) Wer eine in § 43 Abs. 2 bezeichnete vorsätzliche Handlung gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, begeht, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft. (2) Die Tat wird nur auf Antrag verfolgt. Antragsberechtigt sind der Betroffene, die verantwortliche Stelle, der Bundesbeauftragte für den Datenschutz und die Aufsichtsbehörde." 49. Nach § 44 wird folgende Überschrift eingefügt: ,,Sechster Abschnitt Übergangsvorschriften". 50. Nach der Überschrift ,,Sechster Abschnitt Übergangsvorschriften" werden folgende §§ 45 und 46 eingefügt: 920 Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 ,,§ 45 Laufende Verwendungen Erhebungen, Verarbeitungen oder Nutzungen personenbezogener Daten, die am 23. Mai 2001 bereits begonnen haben, sind binnen drei Jahren nach diesem Zeitpunkt mit den Vorschriften dieses Gesetzes in Übereinstimmung zu bringen. Soweit Vorschriften dieses Gesetzes in Rechtsvorschriften außerhalb des Anwendungsbereichs der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr zur Anwendung gelangen, sind Erhebungen, Verarbeitungen oder Nutzungen personenbezogener Daten, die am 23. Mai 2001 bereits begonnen haben, binnen fünf Jahren nach diesem Zeitpunkt mit den Vorschriften dieses Gesetzes in Übereinstimmung zu bringen. § 46 Weitergeltung von Begriffsbestimmungen (1) Wird in besonderen Rechtsvorschriften des Bundes der Begriff Datei verwendet, ist Datei 1. eine Sammlung personenbezogener Daten, die durch automatisierte Verfahren nach bestimmten Merkmalen ausgewertet werden kann (automatisierte Datei), oder 2. jede sonstige Sammlung personenbezogener Daten, die gleichartig aufgebaut ist und nach bestimmten Merkmalen geordnet, umgeordnet und ausgewertet werden kann (nicht automatisierte Datei). Nicht hierzu gehören Akten und Aktensammlungen, es sei denn, dass sie durch automatisierte Verfahren umgeordnet und ausgewertet werden können. (2) Wird in besonderen Rechtsvorschriften des Bundes der Begriff Akte verwendet, ist Akte jede amtlichen oder dienstlichen Zwecken dienende Unterlage, die nicht dem Dateibegriff des Absatzes 1 unterfällt; dazu zählen auch Bild- und Tonträger. Nicht hierunter fallen Vorentwürfe und Notizen, die nicht Bestandteil eines Vorgangs werden sollen. (3) Wird in besonderen Rechtsvorschriften des Bundes der Begriff Empfänger verwendet, ist Empfänger jede Person oder Stelle außerhalb der verantwortlichen Stelle. Empfänger sind nicht der Betroffene sowie Personen und Stellen, die im Inland, in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum personenbezogene Daten im Auftrag erheben, verarbeiten oder nutzen." schutzes gerecht wird. Dabei sind insbesondere Maßnahmen zu treffen, die je nach der Art der zu schützenden personenbezogenen Daten oder Datenkategorien geeignet sind, 1. Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren (Zutrittskontrolle), 2. zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können (Zugangskontrolle), 3. zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle), 4. zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist (Weitergabekontrolle), 5. zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind (Eingabekontrolle), 6. zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle), 7. zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle), 8. zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können." Artikel 2 Änderung des Bundesverfassungsschutzgesetzes § 27 des Bundesverfassungsschutzgesetzes vom 20. Dezember 1990 (BGBl. I S. 2954, 2970), das zuletzt durch Artikel 11 des Gesetzes vom 2. August 2000 (BGBl. I S. 1253) geändert worden ist, wird wie folgt gefasst: ,,§ 27 Geltung des Bundesdatenschutzgesetzes Bei der Erfüllung der Aufgaben nach § 3 durch das Bundesamt für Verfassungsschutz finden § 3 Abs. 2 und 8 Satz 1, § 4 Abs. 2 und 3, §§ 4b und 4c sowie §§ 10 und 13 bis 20 des Bundesdatenschutzgesetzes keine Anwendung." 51. Die Anlage zu § 9 Satz 1 wird wie folgt gefasst: ,,Anlage (zu § 9 Satz 1) Werden personenbezogene Daten automatisiert verarbeitet oder genutzt, ist die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Daten- Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 921 Artikel 3 Änderung des MAD-Gesetzes § 13 des MAD-Gesetzes vom 20. Dezember 1990 (BGBl. I S. 2954, 2977), das zuletzt durch Artikel 3 § 4 des Gesetzes vom 16. Februar 2001 (BGBl. I S. 266) geändert worden ist, wird wie folgt gefasst: ,,§ 13 Geltung des Bundesdatenschutzgesetzes Bei der Erfüllung der Aufgaben nach § 1 Abs. 1 bis 3 und § 2 finden § 3 Abs. 2 und 8 Satz 1, § 4 Abs. 2 und 3, §§ 4b und 4c sowie §§ 10 und 13 bis 20 des Bundesdatenschutzgesetzes keine Anwendung." Artikel 7 Änderung des Bundeskriminalamtgesetzes Das Bundeskriminalamtgesetz vom 7. Juli 1997 (BGBl. I S. 1650), geändert durch Artikel 10 des Gesetzes vom 2. August 2000 (BGBl. I S. 1253), wird wie folgt geändert: 1. In § 12 Abs. 4 Satz 1 wird die Angabe ,,§ 7" durch die Angabe ,,§ 8" ersetzt. 2. § 37 wird wie folgt gefasst: ,,§ 37 Geltung des Bundesdatenschutzgesetzes Bei der Erfüllung der Aufgaben nach den §§ 2, 3, 5 und 6 durch das Bundeskriminalamt finden § 3 Abs. 2 und 8 Satz 1, § 4 Abs. 2 und 3, §§ 4b, 4c, 10 Abs. 1, §§ 13, 14 Abs. 1, 2, 4 und 5, §§ 15, 16, 18 Abs. 2 Satz 2 und 3 sowie die §§ 19a und 20 des Bundesdatenschutzgesetzes keine Anwendung." Artikel 4 Änderung des BND-Gesetzes § 11 des BND-Gesetzes vom 20. Dezember 1990 (BGBl. I S. 2954, 2979), das durch § 38 Abs. 5 des Gesetzes vom 20. April 1994 (BGBl. I S. 867) geändert worden ist, wird wie folgt gefasst: ,,§ 11 Geltung des Bundesdatenschutzgesetzes Bei der Erfüllung der Aufgaben des Bundesnachrichtendienstes finden § 3 Abs. 2 und 8 Satz 1, § 4 Abs. 2 und 3, §§ 4b und 4c sowie §§ 10 und 13 bis 20 des Bundesdatenschutzgesetzes keine Anwendung." Artikel 8 Änderung des Sozialgesetzbuches §1 Änderung des Ersten Buches Sozialgesetzbuch ­ Allgemeiner Teil ­ § 35 Abs. 3 des Ersten Buches Sozialgesetzbuch ­ Allgemeiner Teil ­ (Artikel I des Gesetzes vom 11. Dezember 1975, BGBl. I S. 3015), das zuletzt durch Artikel 3 § 48 des Gesetzes vom 16. Februar 2001 (BGBl. I S. 266) geändert worden ist, wird wie folgt gefasst: ,,(3) Soweit eine Übermittlung nicht zulässig ist, besteht keine Auskunftspflicht, keine Zeugnispflicht und keine Pflicht zur Vorlegung oder Auslieferung von Schriftstücken, nicht automatisierten Dateien und automatisiert erhobenen, verarbeiteten oder genutzten Sozialdaten." § 1a Änderung des Dritten Buches Sozialgesetzbuch ­ Arbeitsförderung ­ In § 298 Abs. 1 Satz 2 des Dritten Buches Sozialgesetzbuch ­ Arbeitsförderung ­ (Artikel 1 des Gesetzes vom 24. März 1997, BGBl. I S. 594, 595), das zuletzt durch Artikel 2 des Gesetzes vom 21. März 2001 (BGBl. I S. 403) geändert worden ist, wird die Angabe ,,§ 4" durch die Angabe ,,§ 4a" ersetzt. §2 Änderung des Zehnten Buches Sozialgesetzbuch ­ Sozialverwaltungsverfahren und Sozialdatenschutz ­ Das Zehnte Buch Sozialgesetzbuch ­ Sozialverwaltungsverfahren und Sozialdatenschutz ­ in der Fassung der Bekanntmachung vom 18. Januar 2001 (BGBl. I S. 130) wird wie folgt geändert: 0. Die Inhaltsübersicht wird wie folgt geändert: a) Die Angabe ,,§ 77 Einschränkung der Übermittlungsbefugnis ins Ausland sowie an über- und zwischenstaatliche Stellen" wird durch die Angabe ,,§ 77 Übermittlung ins Ausland und an über- oder zwischenstaatliche Stellen" ersetzt. Artikel 5 Änderung des Sicherheitsüberprüfungsgesetzes In § 36 Abs. 1 des Sicherheitsüberprüfungsgesetzes vom 20. April 1994 (BGBl. I S. 867), das durch Artikel 3 § 5 des Gesetzes vom 16. Februar 2001 (BGBl. I S. 266) geändert worden ist, werden nach den Wörtern ,,Vorschriften des Ersten Abschnitts" die Wörter ,,mit Ausnahme von § 3 Abs. 2 und 8 Satz 1, § 4 Abs. 2 und 3, §§ 4b und 4c sowie § 13 Abs. 1a" eingefügt. Artikel 6 Änderung des Bundesgrenzschutzgesetzes § 37 des Bundesgrenzschutzgesetzes vom 19. Oktober 1994 (BGBl. I S. 2978, 2979), das zuletzt durch Artikel 1 des Gesetzes vom 22. Dezember 1999 (BGBl. I S. 2534) geändert worden ist, wird wie folgt gefasst: ,,§ 37 Geltung des Bundesdatenschutzgesetzes Bei der Erfüllung der dem Bundesgrenzschutz nach den §§ 1 bis 7 obliegenden Aufgaben finden § 3 Abs. 2 und 8 Satz 1, § 4 Abs. 2 und 3, §§ 4b, 4c, 10 Abs. 1, §§ 13, 14 Abs. 1, 2 und 5, §§ 15, 16, 18 Abs. 2 Satz 2 und 3 sowie §§ 19a und 20 des Bundesdatenschutzgesetzes keine Anwendung." 922 Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 b) In der Angabe zu § 78 werden die Wörter ,,des Empfängers" durch die Wörter ,,eines Dritten, an den Daten übermittelt werden" ersetzt. c) Nach der Angabe zu § 78a werden folgende Angaben eingefügt: ,,§ 78b Datenvermeidung und Datensparsamkeit § 78c Datenschutzaudit". d) In der Angabe zu § 80 wird vor dem Wort ,,Verarbeitung" das Wort ,,Erhebung," eingefügt. e) Der Angabe zu § 84 wird das Wort ,, ; Widerspruchsrecht" angefügt. f) Die Angabe ,,§ 85 Strafvorschriften" wird durch die Angabe ,,§ 85 Bußgeldvorschriften" ersetzt. g) Die Angabe ,,§ 85a Bußgeldvorschriften" wird durch die Angabe ,,§ 85a Strafvorschriften" ersetzt. h) Nach der Angabe ,,§ 120 Übergangsregelung" wird die Angabe ,,Anlage (zu § 78a)" angefügt. bb) In Satz 3 wird das Wort ,,speichernde" durch das Wort ,,verantwortliche" ersetzt. g) Absatz 10 wird wie folgt gefasst: ,,(10) Empfänger ist jede Person oder Stelle, die Sozialdaten erhält. Dritter ist jede Person oder Stelle außerhalb der verantwortlichen Stelle. Dritte sind nicht der Betroffene sowie diejenigen Personen und Stellen, die im Inland, in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum Sozialdaten im Auftrag erheben, verarbeiten oder nutzen." h) Nach Absatz 11 wird folgender Absatz 12 angefügt: ,,(12) Besondere Arten personenbezogener Daten sind Angaben über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben." 2. § 67a wird wie folgt geändert: a) Dem Absatz 1 werden folgende Sätze angefügt: ,,Dies gilt auch für besondere Arten personenbezogener Daten (§ 67 Abs. 12). Angaben über die rassische Herkunft dürfen ohne Einwilligung des Betroffenen, die sich ausdrücklich auf diese Daten beziehen muss, nicht erhoben werden. Ist die Einwilligung des Betroffenen durch Gesetz vorgesehen, hat sie sich ausdrücklich auf besondere Arten personenbezogener Daten (§ 67 Abs. 12) zu beziehen." b) Absatz 3 wird wie folgt gefasst: ,,(3) Werden Sozialdaten beim Betroffenen erhoben, ist er, sofern er nicht bereits auf andere Weise Kenntnis erlangt hat, über die Zweckbestimmungen der Erhebung, Verarbeitung oder Nutzung und die Identität der verantwortlichen Stelle zu unterrichten. Über Kategorien von Empfängern ist der Betroffene nur zu unterrichten, soweit 1. er nach den Umständen des Einzelfalles nicht mit der Nutzung oder der Übermittlung an diese rechnen muss, 2. es sich nicht um eine Verarbeitung oder Nutzung innerhalb einer in § 35 des Ersten Buches genannten Stelle oder einer Organisationseinheit im Sinne von § 67 Abs. 9 Satz 3 handelt oder 3. es sich nicht um eine Kategorie von in § 35 des Ersten Buches genannten Stellen oder von Organisationseinheiten im Sinne von § 67 Abs. 9 Satz 3 handelt, die auf Grund eines Gesetzes zur engen Zusammenarbeit verpflichtet sind. Werden Sozialdaten beim Betroffenen auf Grund einer Rechtsvorschrift erhoben, die zur Auskunft verpflichtet, oder ist die Erteilung der Auskunft Voraussetzung für die Gewährung von Rechtsvorteilen, ist der Betroffene hierauf sowie auf die Rechtsvorschrift, die zur Auskunft verpflichtet, und die Folgen der Verweigerung von Angaben, sonst auf die Freiwilligkeit seiner Angaben hinzuweisen." 1. § 67 wird wie folgt geändert: a) Absatz 3 wird wie folgt gefasst: ,,(3) Automatisiert im Sinne dieses Gesetzbuches ist die Erhebung, Verarbeitung oder Nutzung von Sozialdaten, wenn sie unter Einsatz von Datenverarbeitungsanlagen durchgeführt wird (automatisierte Verarbeitung). Eine nicht automatisierte Datei ist jede nicht automatisierte Sammlung von Sozialdaten, die gleichartig aufgebaut ist und nach bestimmten Merkmalen zugänglich ist und ausgewertet werden kann." b) Absatz 4 wird aufgehoben. c) Absatz 6 Satz 2 Nr. 3 wird wie folgt geändert: aa) Nach den Wörtern ,,an einen Dritten" wird der Klammerzusatz ,,(Empfänger)" gestrichen. bb) In Buchstabe a werden die Wörter ,,durch die speichernde Stelle" gestrichen und das Wort ,,Empfänger" durch das Wort ,,Dritten" ersetzt. cc) In Buchstabe b werden das Wort ,,Empfänger" durch das Wort ,,Dritte" ersetzt und die Wörter ,,von der speichernden Stelle" gestrichen. d) In Absatz 7 wird das Wort ,,speichernden" durch das Wort ,,verantwortlichen" ersetzt. e) Nach Absatz 8 wird folgender Absatz 8a eingefügt: ,,(8a) Pseudonymisieren ist das Ersetzen des Namens und anderer Identifikationsmerkmale durch ein Kennzeichen zu dem Zweck, die Bestimmung des Betroffenen auszuschließen oder wesentlich zu erschweren." f) Absatz 9 wird wie folgt geändert: aa) Die Sätze 1 und 2 werden wie folgt gefasst: ,,Verantwortliche Stelle ist jede Person oder Stelle, die Sozialdaten für sich selbst erhebt, verarbeitet oder nutzt oder dies durch andere im Auftrag vornehmen lässt. Werden Sozialdaten von einem Leistungsträger im Sinne von § 12 des Ersten Buches erhoben, verarbeitet oder genutzt, ist verantwortliche Stelle der Leistungsträger." Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 c) Nach Absatz 4 wird folgender Absatz 5 angefügt: ,,(5) Werden Sozialdaten weder beim Betroffenen noch bei einer in § 35 des Ersten Buches genannten Stelle erhoben und hat der Betroffene davon keine Kenntnis, ist er von der Speicherung, der Identität der verantwortlichen Stelle sowie über die Zweckbestimmungen der Erhebung, Verarbeitung oder Nutzung zu unterrichten. Eine Pflicht zur Unterrichtung besteht nicht, wenn 1. der Betroffene bereits auf andere Weise Kenntnis von der Speicherung oder der Übermittlung erlangt hat, 2. die Unterrichtung des Betroffenen einen unverhältnismäßigen Aufwand erfordert oder 3. die Speicherung oder Übermittlung der Sozialdaten auf Grund eines Gesetzes ausdrücklich vorgesehen ist. Über Kategorien von Empfängern ist der Betroffene nur zu unterrichten, soweit 1. er nach den Umständen des Einzelfalles nicht mit der Nutzung oder der Übermittlung an diese rechnen muss, 2. es sich nicht um eine Verarbeitung oder Nutzung innerhalb einer in § 35 des Ersten Buches genannten Stelle oder einer Organisationseinheit im Sinne von § 67 Abs. 9 Satz 3 handelt oder 3. es sich nicht um eine Kategorie von in § 35 des Ersten Buches genannten Stellen oder von Organisationseinheiten im Sinne von § 67 Abs. 9 Satz 3 handelt, die auf Grund eines Gesetzes zur engen Zusammenarbeit verpflichtet sind. Sofern eine Übermittlung vorgesehen ist, hat die Unterrichtung spätestens bei der ersten Übermittlung zu erfolgen. Die verantwortliche Stelle legt schriftlich fest, unter welchen Voraussetzungen von einer Unterrichtung nach Satz 2 Nr. 2 und 3 abgesehen wird. § 83 Abs. 2 bis 4 gilt entsprechend." bb) Folgender Satz 2 wird eingefügt: 923 ,,Die Einwilligung des Betroffenen ist nur wirksam, wenn sie auf dessen freier Entscheidung beruht." c) In Absatz 3 Satz 1 wird die Angabe ,,Satz 2" durch die Angabe ,,Satz 3" ersetzt. d) Nach Absatz 3 wird folgender Absatz 4 angefügt: ,,(4) Entscheidungen, die für den Betroffenen eine rechtliche Folge nach sich ziehen oder ihn erheblich beeinträchtigen, dürfen nicht ausschließlich auf eine automatisierte Verarbeitung von Sozialdaten gestützt werden, die der Bewertung einzelner Persönlichkeitsmerkmale dient." 4. § 67c wird wie folgt geändert: a) In Absatz 1 Satz 1 wird das Wort ,,speichernden" durch das Wort ,,verantwortlichen" ersetzt. b) In Absatz 3 Satz 1 und 2 wird jeweils das Wort ,,speichernde" durch das Wort ,,verantwortliche" ersetzt. 5. § 67d wird wie folgt geändert: a) In Absatz 2 Satz 2 werden die Wörter ,,des Empfängers" durch die Wörter ,,des Dritten, an den die Daten übermittelt werden" ersetzt. b) In Absatz 3 werden die Wörter ,,in Akten" gestrichen. 6. In § 69 Abs. 1 Nr. 1 werden die Wörter ,,des Empfängers" durch die Wörter ,,des Dritten, an den die Daten übermittelt werden" ersetzt. 7. § 75 wird wie folgt geändert: a) In Absatz 2 Satz 3 Nr. 1 wird das Wort ,,Empfänger" durch die Wörter ,,Dritten, an den die Daten übermittelt werden" ersetzt. b) Absatz 4 wird wie folgt gefasst: ,,(4) Ist der Dritte, an den Daten übermittelt werden, eine nicht öffentliche Stelle, gilt § 38 des Bundesdatenschutzgesetzes mit der Maßgabe, dass die Kontrolle auch erfolgen kann, wenn die Daten nicht automatisiert oder nicht in nicht automatisierten Dateien verarbeitet oder genutzt werden." 8. In § 76 Abs. 2 Nr. 1 wird das Wort ,,speichernden" durch das Wort ,,verantwortlichen" ersetzt. 9. § 77 wird wie folgt gefasst: ,,§ 77 Übermittlung ins Ausland und an über- oder zwischenstaatliche Stellen (1) Die Übermittlung von Sozialdaten an Personen oder Stellen in anderen Mitgliedstaaten der Europäischen Union oder in anderen Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum oder an Stellen der Organe und Einrichtungen der Europäischen Gemeinschaften ist zulässig, soweit 3. § 67b wird wie folgt geändert: a) Dem Absatz 1 wird folgender Satz angefügt: ,,§ 67a Abs. 1 Satz 2 bis 4 gilt entsprechend mit der Maßgabe, dass die Übermittlung ohne Einwilligung des Betroffenen nur insoweit zulässig ist, als es sich um Daten über die Gesundheit oder das Sexualleben handelt oder die Übermittlung zwischen Trägern der gesetzlichen Rentenversicherung oder zwischen Trägern der gesetzlichen Rentenversicherung und deren Verbänden und Arbeitsgemeinschaften zur Erfüllung einer gesetzlichen Aufgabe erforderlich ist." b) Absatz 2 wird wie folgt geändert: aa) In Satz 1 werden die Wörter ,,Speicherung und einer vorgesehenen Übermittlung" durch die Wörter ,,vorgesehenen Verarbeitung oder Nutzung" ersetzt. 924 Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 1. dies für die Erfüllung einer gesetzlichen Aufgabe der in § 35 des Ersten Buches genannten übermittelnden Stelle nach diesem Gesetzbuch oder zur Erfüllung einer solchen Aufgabe von ausländischen Stellen erforderlich ist, soweit diese Aufgaben wahrnehmen, die denen der in § 35 des Ersten Buches genannten Stellen entsprechen, 2. die Voraussetzungen des § 69 Abs. 1 Nr. 3 oder des § 70 oder einer Übermittlungsvorschrift nach dem Dritten Buch oder dem Arbeitnehmerüberlassungsgesetz vorliegen und die Aufgaben der ausländischen Stelle den in diesen Vorschriften genannten entsprechen oder 3. die Voraussetzungen des § 74 vorliegen und die gerichtlich geltend gemachten Ansprüche oder die Rechte des Empfängers den in dieser Vorschrift genannten entsprechen. (2) Absatz 1 gilt entsprechend für die Übermittlung an Personen oder Stellen in einem Drittstaat sowie an über- oder zwischenstaatliche Stellen, wenn der Drittstaat oder die über- oder zwischenstaatliche Stelle ein angemessenes Datenschutzniveau gewährleistet. Die Angemessenheit des Datenschutzniveaus wird unter Berücksichtigung aller Umstände beurteilt, die bei einer Datenübermittlung oder einer Kategorie von Datenübermittlungen von Bedeutung sind; insbesondere können die Art der Sozialdaten, die Zweckbestimmung, die Dauer der geplanten Verarbeitung, das Herkunfts- und das Endbestimmungsland, die für den betreffenden Empfänger geltenden Rechtsnormen sowie die für ihn geltenden Standesregeln und Sicherheitsmaßnahmen herangezogen werden. Bis zur Feststellung der Kommission der Europäischen Gemeinschaften entscheidet das Bundesversicherungsamt, ob ein angemessenes Datenschutzniveau gewährleistet ist. (3) Eine Übermittlung von Sozialdaten an Personen oder Stellen im Ausland oder an über- oder zwischenstaatliche Stellen ist auch zulässig, wenn 1. der Betroffene seine Einwilligung gegeben hat, 2. die Übermittlung in Anwendung zwischenstaatlicher Übereinkommen auf dem Gebiet der sozialen Sicherheit erfolgt oder 3. die Voraussetzungen des § 69 Abs. 1 Nr. 2 oder des § 73 vorliegen, die Aufgaben der ausländischen Stelle den in diesen Vorschriften genannten entsprechen und der ausländische Staat oder die über- oder zwischenstaatliche Stelle ein angemessenes Datenschutzniveau (Absatz 2) gewährleistet; für die Anordnung einer Übermittlung nach § 73 ist ein Gericht im Inland zuständig. Die Übermittlung ist nur zulässig, soweit der Betroffene kein schutzwürdiges Interesse an dem Ausschluss der Übermittlung hat. (4) Gewährleistet der Drittstaat oder die über- oder zwischenstaatliche Stelle ein angemessenes Datenschutzniveau (Absatz 2) nicht, ist die Übermittlung von Sozialdaten an die Stelle im Drittstaat oder die über- oder zwischenstaatliche Stelle auch zulässig, soweit die Voraussetzungen des § 69 Abs. 1 Nr. 1 und 2, des § 70 oder einer Übermittlungsvorschrift nach dem Dritten Buch oder dem Arbeitnehmerüberlassungsgesetz vorliegen und der Betroffene kein schutzwürdiges Interesse an dem Ausschluss der Übermittlung hat. (5) Die Stelle, an die die Sozialdaten übermittelt werden, ist auf den Zweck hinzuweisen, zu dessen Erfüllung die Sozialdaten übermittelt werden. (6) Das Bundesversicherungsamt unterrichtet das Bundesministerium des Innern über Drittstaaten und über- oder zwischenstaatliche Stellen, die kein angemessenes Datenschutzniveau gewährleisten." 10. § 78 wird wie folgt geändert: a) In der Überschrift werden die Wörter ,,des Empfängers" durch die Wörter ,,eines Dritten, an den Daten übermittelt werden" ersetzt. b) In Absatz 1 Satz 2 und 3 wird jeweils das Wort ,,Empfänger" durch das Wort ,,Dritten" ersetzt. 11. In § 78a Satz 1 werden vor dem Wort ,,verarbeiten" die Angabe ,,erheben," und nach dem Wort ,,verarbeiten" die Wörter ,,oder nutzen" eingefügt. 12. Nach § 78a werden folgende §§ 78b und 78c eingefügt: ,,§ 78b Datenvermeidung und Datensparsamkeit Gestaltung und Auswahl von Datenverarbeitungssystemen haben sich an dem Ziel auszurichten, keine oder so wenig Sozialdaten wie möglich zu erheben, zu verarbeiten oder zu nutzen. Insbesondere ist von den Möglichkeiten der Anonymisierung und Pseudonymisierung Gebrauch zu machen, soweit dies möglich ist und der Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht. § 78c Datenschutzaudit Zur Verbesserung des Datenschutzes und der Datensicherheit können Anbieter von Datenverarbeitungssystemen und -programmen und datenverarbeitende Stellen ihr Datenschutzkonzept sowie ihre technischen Einrichtungen durch unabhängige und zugelassene Gutachter prüfen und bewerten lassen sowie das Ergebnis der Prüfung veröffentlichen. Die näheren Anforderungen an die Prüfung und Bewertung, das Verfahren sowie die Auswahl und Zulassung der Gutachter werden durch besonderes Gesetz geregelt. Die Sätze 1 und 2 gelten nicht für öffentliche Stellen der Länder mit Ausnahme der Sozialversicherungsträger und ihrer Verbände." 13. § 79 wird wie folgt geändert: a) In Absatz 2 Satz 2 Nr. 2 wird das Wort ,,Datenempfänger" durch die Wörter ,,Dritte, an die übermittelt wird" ersetzt. b) In Absatz 4 Satz 1 wird das Wort ,,Empfänger" durch die Wörter ,,Dritte, an den übermittelt wird" ersetzt. Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 14. § 80 wird wie folgt geändert: a) Die Überschrift wird wie folgt gefasst: ,,Erhebung, Verarbeitung oder Nutzung von Sozialdaten im Auftrag". b) In Absatz 1 Satz 1 wird nach dem Wort ,,Stellen" die Angabe ,,erhoben," eingefügt. c) Absatz 2 Satz 1 und 2 wird wie folgt gefasst: ,,Eine Auftragserteilung für die Erhebung, Verarbeitung oder Nutzung von Sozialdaten ist nur zulässig, wenn der Datenschutz beim Auftragnehmer nach der Art der zu erhebenden, zu verarbeitenden oder zu nutzenden Daten den Anforderungen genügt, die für den Auftraggeber gelten. Der Auftrag ist schriftlich zu erteilen, wobei die Datenerhebung, -verarbeitung oder -nutzung, die technischen und organisatorischen Maßnahmen und etwaige Unterauftragsverhältnisse festzulegen sind." d) In Absatz 3 Satz 1 werden die Nummern 2 und 3 wie folgt gefasst: ,,2. die Art der Daten, die im Auftrag erhoben, verarbeitet oder genutzt werden sollen, und den Kreis der Betroffenen, 3. die Aufgabe, zu deren Erfüllung die Erhebung, Verarbeitung oder Nutzung der Daten im Auftrag erfolgen soll, sowie". e) In Absatz 5 wird vor den Wörtern ,,Verarbeitung oder Nutzung" die Angabe ,,Erhebung," eingefügt. f) In Absatz 6 Satz 1 wird die Angabe ,,§ 18 Abs. 2 und 3 und die §§ 24, 25, 26 Abs. 1 bis 4 des Bundesdatenschutzgesetzes" durch die Angabe ,,§ 4g Abs. 2, § 18 Abs. 2 und die §§ 24 bis 26 des Bundesdatenschutzgesetzes" ersetzt. g) Nach Absatz 6 wird folgender Absatz 7 angefügt: ,,(7) Die Absätze 1, 2, 4 und 6 gelten entsprechend, wenn die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag vorgenommen wird und dabei ein Zugriff auf Sozialdaten nicht ausgeschlossen werden kann. Verträge über Wartungsarbeiten sind in diesem Falle rechtzeitig vor der Auftragserteilung der Aufsichtsbehörde mitzuteilen; sind Störungen im Betriebsablauf zu erwarten oder bereits eingetreten, ist der Vertrag unverzüglich mitzuteilen." 15. § 81 wird wie folgt geändert: a) Absatz 2 Satz 1 wird wie folgt gefasst: ,,Bei der Wahrnehmung von Aufgaben nach diesem Gesetzbuch gelten für die in § 35 des Ersten Buches genannten Stellen die §§ 24 bis 26 des Bundesdatenschutzgesetzes." b) Absatz 4 wird wie folgt gefasst: ,,(4) Auf die in § 35 des Ersten Buches genannten Stellen und die Vermittlungsstellen nach § 67d Abs. 4 sind die §§ 4f, 4g mit Ausnahme des Absatzes 1 Satz 3 sowie § 18 Abs. 2 des Bundesdatenschutzgesetzes entsprechend anzuwenden. In räumlich getrennten Organisationseinheiten ist sicherzustellen, dass der Beauftragte für den 925 Datenschutz bei der Erfüllung seiner Aufgaben unterstützt wird. Die Sätze 1 und 2 gelten nicht für öffentliche Stellen der Länder mit Ausnahme der Sozialversicherungsträger und ihrer Verbände. Absatz 2 Satz 2 und 3 gilt entsprechend." 16. § 82 wird wie folgt gefasst: ,,§ 82 Schadensersatz Fügt eine in § 35 des Ersten Buches genannte Stelle dem Betroffenen durch eine nach diesem Gesetzbuch oder nach anderen Vorschriften über den Datenschutz unzulässige oder unrichtige Erhebung, Verarbeitung oder Nutzung seiner personenbezogenen Sozialdaten einen Schaden zu, ist § 7 des Bundesdatenschutzgesetzes entsprechend anzuwenden. Für den Ersatz des Schadens bei unzulässiger oder unrichtiger automatisierter Erhebung, Verarbeitung oder Nutzung von personenbezogenen Sozialdaten gilt auch § 8 des Bundesdatenschutzgesetzes entsprechend." 17. § 83 wird wie folgt geändert: a) Absatz 1 wird wie folgt geändert: aa) Satz 1 wird wie folgt gefasst: ,,Dem Betroffenen ist auf Antrag Auskunft zu erteilen über 1. die zu seiner Person gespeicherten Sozialdaten, auch soweit sie sich auf die Herkunft dieser Daten beziehen, die Empfänger oder Kategorien von Empfängern, an die Daten weitergegeben werden, und den Zweck der Speicherung." 2. 3. bb) In Satz 3 werden die Wörter ,,in Akten" durch die Wörter ,,nicht automatisiert oder nicht in nicht automatisierten Dateien" ersetzt. cc) In Satz 4 wird das Wort ,,speichernde" durch das Wort ,,verantwortliche" ersetzt. b) Absatz 2 wird wie folgt gefasst: ,,(2) Für Sozialdaten, die nur deshalb gespeichert sind, weil sie auf Grund gesetzlicher, satzungsmäßiger oder vertraglicher Aufbewahrungsvorschriften nicht gelöscht werden dürfen, oder die ausschließlich Zwecken der Datensicherung oder der Datenschutzkontrolle dienen, gilt Absatz 1 nicht, wenn eine Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde." c) In Absatz 4 Nr. 1 wird das Wort ,,speichernden" durch das Wort ,,verantwortlichen" ersetzt. 18. § 84 wird wie folgt geändert: a) In der Überschrift wird nach dem Wort ,,Daten" ein Semikolon sowie das Wort ,,Widerspruchsrecht" angefügt. b) Absatz 1 Satz 2 wird wie folgt gefasst: ,,Wird die Richtigkeit von Sozialdaten von dem Betroffenen bestritten und lässt sich weder die Richtigkeit noch die Unrichtigkeit der Daten fest- 926 Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 stellen, bewirkt dies keine Sperrung, soweit es um die Erfüllung sozialer Aufgaben geht; die ungeklärte Sachlage ist in geeigneter Weise festzuhalten." c) Nach Absatz 1 wird folgender Absatz 1a eingefügt: ,,(1a) § 20 Abs. 5 des Bundesdatenschutzgesetzes gilt entsprechend." d) In Absatz 2 Satz 2 wird das Wort ,,speichernde" durch das Wort ,,verantwortliche" ersetzt. e) In Absatz 4 Nr. 1 wird das Wort ,,speichernden" durch das Wort ,,verantwortlichen" ersetzt. f) Absatz 5 wird wie folgt gefasst: ,,(5) Von der Tatsache, dass Sozialdaten bestritten oder nicht mehr bestritten sind, von der Berichtigung unrichtiger Daten sowie der Löschung oder Sperrung wegen Unzulässigkeit der Speicherung sind die Stellen zu verständigen, denen im Rahmen einer Datenübermittlung diese Daten zur Speicherung weitergegeben worden sind, wenn dies keinen unverhältnismäßigen Aufwand erfordert und schutzwürdige Interessen des Betroffenen nicht entgegenstehen." 2. unbefugt Sozialdaten, die nicht allgemein zugänglich sind, zum Abruf mittels automatisierten Verfahrens bereithält, 3. unbefugt Sozialdaten, die nicht allgemein zugänglich sind, abruft oder sich oder einem anderen aus automatisierten Verarbeitungen oder nicht automatisierten Dateien verschafft, 4. die Übermittlung von Sozialdaten, die nicht allgemein zugänglich sind, durch unrichtige Angaben erschleicht oder 5. entgegen § 67c Abs. 5 Satz 1 oder § 78 Abs. 1 Satz 1 Sozialdaten für andere Zwecke nutzt, indem er sie an Dritte weitergibt. (3) Die Ordnungswidrigkeit kann im Falle des Absatzes 1 mit einer Geldbuße bis zu fünfzigtausend Deutsche Mark, in den Fällen des Absatzes 2 mit einer Geldbuße bis zu fünfhunderttausend Deutsche Mark geahndet werden." 21. § 85a wird wie folgt gefasst: ,,§ 85a Strafvorschriften (1) Wer eine in § 85 Abs. 2 bezeichnete vorsätzliche Handlung gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, begeht, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft. (2) Die Tat wird nur auf Antrag verfolgt. Antragsberechtigt sind der Betroffene, die verantwortliche Stelle, der Bundesbeauftragte für den Datenschutz oder der zuständige Landesbeauftragte für den Datenschutz." 22. Dem § 120 wird folgender Absatz 4 angefügt: ,,(4) Erhebungen, Verarbeitungen oder Nutzungen von Sozialdaten, die am 23. Mai 2001 bereits begonnen haben, sind binnen drei Jahren nach diesem Zeitpunkt mit den Vorschriften dieses Gesetzes in Übereinstimmung zu bringen." 23. Die Anlage zu § 78a wird wie folgt gefasst: ,,Anlage (zu § 78a) Werden Sozialdaten automatisiert verarbeitet oder genutzt, ist die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind insbesondere Maßnahmen zu treffen, die je nach der Art der zu schützenden Sozialdaten oder Kategorien von Sozialdaten geeignet sind, 1. Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen Sozialdaten verarbeitet oder genutzt werden, zu verwehren (Zutrittskontrolle), 2. zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können (Zugangskontrolle), 3. zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung 19. § 84a Abs. 2 wird wie folgt geändert: a) Satz 1 wird wie folgt gefasst: ,,Sind die Daten des Betroffenen automatisiert oder in einer nicht automatisierten Datei gespeichert und sind mehrere Stellen speicherungsberechtigt, kann der Betroffene sich an jede dieser Stellen wenden, wenn er nicht in der Lage ist festzustellen, welche Stelle die Daten gespeichert hat." b) In Satz 2 werden die Wörter ,,speichernde Stelle" durch die Wörter ,,Stelle, die die Daten gespeichert hat," ersetzt. c) In Satz 3 werden die Wörter ,,die speichernde" durch das Wort ,,jene" ersetzt. 20. § 85 wird wie folgt gefasst: ,,§ 85 Bußgeldvorschriften (1) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig 1. entgegen § 78 Abs. 1 Satz 1 Sozialdaten verarbeitet oder nutzt, wenn die Handlung nicht nach Absatz 2 Nr. 5 geahndet werden kann, 2. entgegen § 80 Abs. 4, auch in Verbindung mit § 67d Abs. 4 Satz 2, Sozialdaten anderweitig verarbeitet, nutzt oder länger speichert oder 3. entgegen § 81 Abs. 4 Satz 1 dieses Gesetzes in Verbindung mit § 4f Abs. 1 Satz 1 oder 2 des Bundesdatenschutzgesetzes, diese jeweils auch in Verbindung mit § 4f Abs. 1 Satz 3 und 6 des Bundesdatenschutzgesetzes, einen Beauftragten für den Datenschutz nicht oder nicht rechtzeitig bestellt. (2) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig 1. unbefugt Sozialdaten, die nicht allgemein zugänglich sind, erhebt oder verarbeitet, Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 unterliegenden Daten zugreifen können, und dass Sozialdaten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle), 4. zu gewährleisten, dass Sozialdaten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung von Sozialdaten durch Einrichtungen zur Datenübertragung vorgesehen ist (Weitergabekontrolle), 5. zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem Sozialdaten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind (Eingabekontrolle), 6. zu gewährleisten, dass Sozialdaten, die im Auftrag erhoben, verarbeitet oder genutzt werden, nur entsprechend den Weisungen des Auftraggebers erhoben, verarbeitet oder genutzt werden können (Auftragskontrolle), 7. zu gewährleisten, dass Sozialdaten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle), 8. zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Sozialdaten getrennt verarbeitet werden können." 927 Gesetzes vom 20. Dezember 2000 (BGBl. I S. 1850) geändert worden ist, wird die Angabe ,,§ 20 Abs. 7" durch die Angabe ,,§ 20 Abs. 8" ersetzt. Artikel 8b Änderung des Postgesetzes In § 41 Abs. 1 Satz 4 des Postgesetzes vom 22. Dezember 1997 (BGBl. I S. 3294) wird die Angabe ,,§ 20 Abs. 1 bis 7" durch die Angabe ,,§ 20 Abs. 1 bis 4 und 6 bis 8" ersetzt. Artikel 8c Änderung des Soldatengesetzes In § 29 Abs. 4 Satz 4 des Soldatengesetzes in der Fassung der Bekanntmachung vom 14. Februar 2001 (BGBl. I S. 232, 478) wird die Angabe ,,§ 40 Abs. 3" durch die Angabe ,,§ 40 Abs. 2" ersetzt. Artikel 8d Änderung des Wehrpflichtgesetzes In § 25 Abs. 4 Satz 4 des Wehrpflichtgesetzes in der Fassung der Bekanntmachung vom 15. Dezember 1995 (BGBl. I S. 1756), das durch Artikel 6 Abs. 7 des Gesetzes vom 25. März 1997 (BGBl. I S. 726) geändert worden ist, wird die Angabe ,,§ 40 Abs. 3" durch die Angabe ,,§ 40 Abs. 2" ersetzt. §3 Änderung des Zehnten Buches Sozialgesetzbuch zur Umstellung auf Euro In § 85 Abs. 3 des Zehnten Buches Sozialgesetzbuch ­ Sozialverwaltungsverfahren und Sozialdatenschutz ­ in der Fassung der Bekanntmachung vom 18. Januar 2001 (BGBl. I S. 130), das zuletzt durch Artikel 8 § 2 dieses Gesetzes geändert worden ist, werden die Wörter ,,fünfzigtausend Deutsche Mark" durch die Wörter ,,fünfundzwanzigtausend Euro" und die Wörter ,,fünfhunderttausend Deutsche Mark" durch die Wörter ,,zweihundertfünfzigtausend Euro" ersetzt. §4 Änderung des 4. Euro-Einführungsgesetzes Artikel 11 Nr. 5 des 4. Euro-Einführungsgesetzes vom 21. Dezember 2000 (BGBl. I S. 1983) wird aufgehoben. Artikel 8e Änderung der Strafprozessordnung In § 486 Abs. 2 der Strafprozessordnung in der Fassung der Bekanntmachung vom 7. April 1987 (BGBl. I S. 1074, 1319), die zuletzt durch Artikel 3 § 18 des Gesetzes vom 16. Februar 2001 (BGBl. I S. 266) geändert worden ist, wird die Angabe ,,§ 7" durch die Angabe ,,§ 8" ersetzt. Artikel 8f Änderung des Strafvollzugsgesetzes Das Strafvollzugsgesetz vom 16. März 1976 (BGBl. I S. 581, 2088, 1977 I S. 436), zuletzt geändert durch Artikel 1 des Gesetzes vom 27. Dezember 2000 (BGBl. I S. 2043), wird wie folgt geändert: 1. In § 179 Abs. 2 Satz 2 wird die Angabe ,,§ 13 Abs. 2 bis 4" durch die Angabe ,,§ 4 Abs. 2 und 3 und § 13 Abs. 1a" ersetzt. 2. In § 184 Abs. 5 wird die Angabe ,,§ 20 Abs. 1 bis 7" durch die Angabe ,,§ 20 Abs. 1 bis 4 und 6 bis 8" ersetzt. Artikel 8a Änderung des Finanzverwaltungsgesetzes In § 5a Abs. 5 des Finanzverwaltungsgesetzes in der Fassung der Bekanntmachung vom 30. August 1971 (BGBl. I S. 1426, 1427), das zuletzt durch Artikel 7 des 928 Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 23, ausgegeben zu Bonn am 22. Mai 2001 Herausgeber: Bundesministerium der Justiz ­ Verlag: Bundesanzeiger Verlagsges.mbH. ­ Druck: Bundesdruckerei GmbH, Zweigniederlassung Bonn. Bundesgesetzblatt Teil I enthält Gesetze sowie Verordnungen und sonstige Bekanntmachungen von wesentlicher Bedeutung, soweit sie nicht im Bundesgesetzblatt Teil II zu veröffentlichen sind. Bundesgesetzblatt Teil II enthält a) völkerrechtliche Übereinkünfte und die zu ihrer Inkraftsetzung oder Durchsetzung erlassenen Rechtsvorschriften sowie damit zusammenhängende Bekanntmachungen, b) Zolltarifvorschriften. Laufender Bezug nur im Verlagsabonnement. Postanschrift für Abonnementsbestellungen sowie Bestellungen bereits erschienener Ausgaben: Bundesanzeiger Verlagsges.mbH., Postfach 13 20, 53003 Bonn Telefon: (02 28) 3 82 08-0, Telefax: (02 28) 3 82 08-36 Internet: www.bundesgesetzblatt.de bzw. www.bgbl.de Bezugspreis für Teil I und Teil II halbjährlich je 88,00 DM. Einzelstücke je angefangene 16 Seiten 2,80 DM zuzüglich Versandkosten. Dieser Preis gilt auch für Bundesgesetzblätter, die vor dem 1. Januar 2001 ausgegeben worden sind. Lieferung gegen Voreinsendung des Betrages auf das Konto der Bundesanzeiger Verlagsges.mbH. (Kto.Nr. 399-509) bei der Postbank Köln (BLZ 370 100 50) oder gegen Vorausrechnung. Preis dieser Ausgabe: 7,40 DM (5,60 DM zuzüglich 1,80 DM Versandkosten), bei Lieferung gegen Vorausrechnung 8,50 DM. Im Bezugspreis ist die Mehrwertsteuer enthalten; der angewandte Steuersatz beträgt 7%. ISSN 0341-1095 Bundesanzeiger Verlagsges.mbH. · Postfach 13 20 · 53003 Bonn Postvertriebsstück · Deutsche Post AG · G 5702 · Entgelt bezahlt 3. In § 187 Satz 1 werden a) die Angabe ,,(§ 4 Abs. 2 und 3)" durch die Angabe ,,(§ 4a Abs. 1 und 2)" und b) die Angabe ,,(§ 18 Abs. 2 und 3)" durch die Angabe ,,(§ 18 Abs. 2)" ersetzt. Artikel 8h Neufassung des Bundesdatenschutzgesetzes Das Bundesministerium des Innern kann den Wortlaut des Bundesdatenschutzgesetzes in der vom Inkrafttreten dieses Gesetzes an geltenden Fassung im Bundesgesetzblatt bekannt machen. Artikel 8g Änderung des Zollverwaltungsgesetzes In § 28 Abs. 3 Satz 2 des Zollverwaltungsgesetzes vom 21. Dezember 1992 (BGBl. I S. 2125, 1993 I S. 2493), das zuletzt durch Artikel 4 des Gesetzes vom 26. Mai 1998 (BGBl. I S. 1121) geändert worden ist, wird die Angabe ,,§§ 15 bis 17" durch die Angabe ,,§§ 4b, 4c, 15 und 16" ersetzt. Artikel 9 Inkrafttreten (1) Dieses Gesetz tritt am Tage nach der Verkündung in Kraft, soweit in Absatz 2 nichts Abweichendes bestimmt ist. (2) Artikel 8 § 3 tritt am 1. Januar 2002 in Kraft. Das vorstehende Gesetz wird hiermit ausgefertigt und wird im Bundesgesetzblatt verkündet. Berlin, den 18. Mai 2001 Der Bundespräsident Johannes Rau Der Bundeskanzler Gerhard Schröder Der Bundesminister des Innern Schily Die Bundesministerin der Justiz Däubler-Gmelin Der Bundesminister für Arbeit und Sozialordnung Walter Riester