204-3772-4900-15
2814
Bundesgesetzblatt Jahrgang 2009 Teil I Nr. 54, ausgegeben zu Bonn am 19. August 2009
Gesetz zur Änderung datenschutzrechtlicher Vorschriften
Vom 14. August 2009
Der Bundestag hat das folgende Gesetz beschlossen:
Artikel 1 Änderung des Bundesdatenschutzgesetzes
2. zu ihrer Berufsbildung Beschäftigte, 3. Teilnehmerinnen und Teilnehmer an Leistungen zur Teilhabe am Arbeitsleben sowie an Abklärungen der beruflichen Eignung oder Arbeitserprobung (Rehabilitandinnen und Rehabilitanden), 4. in anerkannten Werkstätten für behinderte Menschen Beschäftigte, 5. nach dem Jugendfreiwilligendienstegesetz Beschäftigte, 6. Personen, die wegen ihrer wirtschaftlichen Unselbständigkeit als arbeitnehmerähnliche Personen anzusehen sind; zu diesen gehören auch die in Heimarbeit Beschäftigten und die ihnen Gleichgestellten, 7. Bewerberinnen und Bewerber für ein Beschäftigungsverhältnis sowie Personen, deren Beschäftigungsverhältnis beendet ist, 8. Beamtinnen, Beamte, Richterinnen und Richter des Bundes, Soldatinnen und Soldaten sowie Zivildienstleistende." 3. § 3a wird wie folgt gefasst: ,,§ 3a Datenvermeidung und Datensparsamkeit Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten und die Auswahl und Gestaltung von Datenverarbeitungssystemen sind an dem Ziel auszurichten, so wenig personenbezogene Daten wie möglich zu erheben, zu verarbeiten oder zu nutzen. Insbesondere sind personenbezogene Daten zu anonymisieren oder zu pseudonymisieren, soweit dies nach dem Verwendungszweck möglich ist und keinen im Verhältnis zu dem angestrebten Schutzzweck unverhältnismäßigen Aufwand erfordert." 4. In § 4b Absatz 1 wird die Angabe ,,§§ 28 bis 30" durch die Angabe ,,§§ 28 bis 30a" ersetzt. 5. § 4d wird wie folgt geändert:
Das Bundesdatenschutzgesetz in der Fassung der Bekanntmachung vom 14. Januar 2003 (BGBl. I S. 66), das zuletzt durch Artikel 5 des Gesetzes vom 29. Juli 2009 (BGBl. I S. 2355) geändert worden ist, wird wie folgt geändert: 1. Die Inhaltsübersicht wird wie folgt geändert: a) Die Angabe zu § 28 wird wie folgt gefasst: ,,§ 28 Datenerhebung und -speicherung für eigene Geschäftszwecke". b) Nach der Angabe zu § 30 wird folgende Angabe eingefügt: ,,§ 30a Geschäftsmäßige Datenerhebung und -speicherung für Zwecke der Markt- oder Meinungsforschung". c) Nach der Angabe zu § 31 wird folgende Angabe eingefügt: ,,§ 32 Datenerhebung, -verarbeitung und -nutzung für Zwecke des Beschäftigungsverhältnisses". d) Nach der Angabe zu § 42 wird folgende Angabe eingefügt: ,,§ 42a Informationspflicht bei unrechtmäßiger Kenntniserlangung von Daten". e) Nach der Angabe zu § 46 werden folgende Angaben eingefügt: ,,§ 47 Übergangsregelung § 48 Bericht der Bundesregierung". 2. Dem § 3 wird folgender Absatz 11 angefügt: ,,(11) Beschäftigte sind: 1. Arbeitnehmerinnen und Arbeitnehmer,
Bundesgesetzblatt Jahrgang 2009 Teil I Nr. 54, ausgegeben zu Bonn am 19. August 2009
2815
a) In Absatz 3 werden die Wörter ,,der Betroffenen vorliegt oder die Erhebung, Verarbeitung oder Nutzung der Zweckbestimmung eines Vertragsverhältnisses oder vertragsähnlichen Vertrauensverhältnisses mit dem Betroffenen dient" durch die Wörter ,,des Betroffenen vorliegt oder die Erhebung, Verarbeitung oder Nutzung für die Begründung, Durchführung oder Beendigung eines rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses mit dem Betroffenen erforderlich ist" ersetzt. b) Absatz 4 wird wie folgt geändert: aa) In Nummer 1 wird das Wort ,,oder" durch ein Komma ersetzt. bb) In Nummer 2 wird das Wort ,,oder" angefügt. cc) Folgende Nummer 3 wird angefügt: ,,3. für Zwecke der Markt- oder Meinungsforschung". c) In Absatz 5 Satz 2 werden die Wörter ,,der Zweckbestimmung eines Vertragsverhältnisses oder vertragsähnlichen Vertrauensverhältnisses mit dem Betroffenen dient" durch die Wörter ,,für die Begründung, Durchführung oder Beendigung eines rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses mit dem Betroffenen erforderlich ist" ersetzt. 6. § 4f wird wie folgt geändert: a) In Absatz 1 Satz 6 werden die Wörter ,,oder der anonymisierten Übermittlung" durch die Wörter ,, , der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung" ersetzt. b) Dem Absatz 3 werden folgende Sätze angefügt: ,,Ist nach Absatz 1 ein Beauftragter für den Datenschutz zu bestellen, so ist die Kündigung des Arbeitsverhältnisses unzulässig, es sei denn, dass Tatsachen vorliegen, welche die verantwortliche Stelle zur Kündigung aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist berechtigen. Nach der Abberufung als Beauftragter für den Datenschutz ist die Kündigung innerhalb eines Jahres nach der Beendigung der Bestellung unzulässig, es sei denn, dass die verantwortliche Stelle zur Kündigung aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist berechtigt ist. Zur Erhaltung der zur Erfüllung seiner Aufgaben erforderlichen Fachkunde hat die verantwortliche Stelle dem Beauftragten für den Datenschutz die Teilnahme an Fort- und Weiterbildungsveranstaltungen zu ermöglichen und deren Kosten zu übernehmen." 7. § 11 Absatz 2 wird wie folgt geändert: a) Satz 2 wird wie folgt gefasst: ,,Der Auftrag ist schriftlich zu erteilen, wobei insbesondere im Einzelnen festzulegen sind: 1. der Gegenstand und die Dauer des Auftrags, 2. der Umfang, die Art und der Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten, die Art der Daten und der Kreis der Betroffenen,
3. die nach § 9 zu treffenden technischen und organisatorischen Maßnahmen, 4. die Berichtigung, Löschung und Sperrung von Daten, 5. die nach Absatz 4 bestehenden Pflichten des Auftragnehmers, insbesondere die von ihm vorzunehmenden Kontrollen, 6. die etwaige Berechtigung zur Begründung von Unterauftragsverhältnissen, 7. die Kontrollrechte des Auftraggebers und die entsprechenden Duldungs- und Mitwirkungspflichten des Auftragnehmers, 8. mitzuteilende Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die im Auftrag getroffenen Festlegungen, 9. der Umfang der Weisungsbefugnisse, die sich der Auftraggeber gegenüber dem Auftragnehmer vorbehält, 10. die Rückgabe überlassener Datenträger und die Löschung beim Auftragnehmer gespeicherter Daten nach Beendigung des Auftrags." b) In Satz 4 werden nach dem Wort ,,sich" die Wörter ,,vor Beginn der Datenverarbeitung und sodann regelmäßig" eingefügt. c) Folgender Satz wird angefügt: ,,Das Ergebnis ist zu dokumentieren." 8. § 12 Absatz 4 wird wie folgt gefasst: ,,(4) Werden personenbezogene Daten für frühere, bestehende oder zukünftige Beschäftigungsverhältnisse erhoben, verarbeitet oder genutzt, gelten § 28 Absatz 2 Nummer 2 und die §§ 32 bis 35 anstelle der §§ 13 bis 16 und 19 bis 20." 9. § 28 wird wie folgt geändert: a) Die Überschrift wird wie folgt gefasst: ,,§ 28 Datenerhebung und -speicherung für eigene Geschäftszwecke". b) Absatz 1 Satz 1 Nummer 1 wird wie folgt gefasst: ,,1. wenn es für die Begründung, Durchführung oder Beendigung eines rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses mit dem Betroffenen erforderlich ist,". c) Absatz 2 wird wie folgt gefasst: ,,(2) Die Übermittlung oder Nutzung für einen anderen Zweck ist zulässig 1. unter den Voraussetzungen des Absatzes 1 Satz 1 Nummer 2 oder Nummer 3, 2. soweit es erforderlich ist, a) zur Wahrung berechtigter Interessen eines Dritten oder b) zur Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit oder zur Verfolgung von Straftaten
2816
Bundesgesetzblatt Jahrgang 2009 Teil I Nr. 54, ausgegeben zu Bonn am 19. August 2009
und kein Grund zu der Annahme besteht, dass der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Übermittlung oder Nutzung hat, oder 3. wenn es im Interesse einer Forschungseinrichtung zur Durchführung wissenschaftlicher Forschung erforderlich ist, das wissenschaftliche Interesse an der Durchführung des Forschungsvorhabens das Interesse des Betroffenen an dem Ausschluss der Zweckänderung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann." d) Absatz 3 wird wie folgt gefasst: ,,(3) Die Verarbeitung oder Nutzung personenbezogener Daten für Zwecke des Adresshandels oder der Werbung ist zulässig, soweit der Betroffene eingewilligt hat und im Falle einer nicht schriftlich erteilten Einwilligung die verantwortliche Stelle nach Absatz 3a verfährt. Darüber hinaus ist die Verarbeitung oder Nutzung personenbezogener Daten zulässig, soweit es sich um listenmäßig oder sonst zusammengefasste Daten über Angehörige einer Personengruppe handelt, die sich auf die Zugehörigkeit des Betroffenen zu dieser Personengruppe, seine Berufs-, Branchen- oder Geschäftsbezeichnung, seinen Namen, Titel, akademischen Grad, seine Anschrift und sein Geburtsjahr beschränken, und die Verarbeitung oder Nutzung erforderlich ist 1. für Zwecke der Werbung für eigene Angebote der verantwortlichen Stelle, die diese Daten mit Ausnahme der Angaben zur Gruppenzugehörigkeit beim Betroffenen nach Absatz 1 Satz 1 Nummer 1 oder aus allgemein zugänglichen Adress-, Rufnummern-, Branchenoder vergleichbaren Verzeichnissen erhoben hat, 2. für Zwecke der Werbung im Hinblick auf die berufliche Tätigkeit des Betroffenen und unter seiner beruflichen Anschrift oder 3. für Zwecke der Werbung für Spenden, die nach § 10b Absatz 1 und § 34g des Einkommensteuergesetzes steuerbegünstigt sind. Für Zwecke nach Satz 2 Nummer 1 darf die verantwortliche Stelle zu den dort genannten Daten weitere Daten hinzuspeichern. Zusammengefasste personenbezogene Daten nach Satz 2 dürfen auch dann für Zwecke der Werbung übermittelt werden, wenn die Übermittlung nach Maßgabe des § 34 Absatz 1a Satz 1 gespeichert wird; in diesem Fall muss die Stelle, die die Daten erstmalig erhoben hat, aus der Werbung eindeutig hervorgehen. Unabhängig vom Vorliegen der Voraussetzungen des Satzes 2 dürfen personenbezogene Daten für Zwecke der Werbung für fremde Angebote genutzt werden, wenn für den Betroffenen bei der Ansprache zum Zwecke der Werbung die für die Nutzung der Daten verantwortliche Stelle eindeutig erkennbar ist. Eine Verarbeitung oder Nutzung nach den Sätzen 2 bis 4 ist nur zulässig, soweit schutzwürdige Interessen des Betroffenen nicht entgegenstehen.
Nach den Sätzen 1, 2 und 4 übermittelte Daten dürfen nur für den Zweck verarbeitet oder genutzt werden, für den sie übermittelt worden sind." e) Nach Absatz 3 werden folgende Absätze 3a und 3b eingefügt: ,,(3a) Wird die Einwilligung nach § 4a Absatz 1 Satz 3 in anderer Form als der Schriftform erteilt, hat die verantwortliche Stelle dem Betroffenen den Inhalt der Einwilligung schriftlich zu bestätigen, es sei denn, dass die Einwilligung elektronisch erklärt wird und die verantwortliche Stelle sicherstellt, dass die Einwilligung protokolliert wird und der Betroffene deren Inhalt jederzeit abrufen und die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen kann. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist sie in drucktechnisch deutlicher Gestaltung besonders hervorzuheben. (3b) Die verantwortliche Stelle darf den Abschluss eines Vertrags nicht von einer Einwilligung des Betroffenen nach Absatz 3 Satz 1 abhängig machen, wenn dem Betroffenen ein anderer Zugang zu gleichwertigen vertraglichen Leistungen ohne die Einwilligung nicht oder nicht in zumutbarer Weise möglich ist. Eine unter solchen Umständen erteilte Einwilligung ist unwirksam." f) Absatz 4 wird wie folgt geändert: aa) In Satz 1 wird das Wort ,,Nutzung" jeweils durch das Wort ,,Verarbeitung" und das Wort ,,Übermittlung" jeweils durch das Wort ,,Nutzung" ersetzt. bb) In Satz 2 werden nach dem Wort ,,Meinungsforschung" die Wörter ,,und in den Fällen des Absatzes 1 Satz 1 Nummer 1 auch bei Begründung des rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses" eingefügt. cc) Satz 3 wird wie folgt geändert: aaa) Nach dem Wort ,,Daten" werden die Wörter ,,im Rahmen der Zwecke" eingefügt. bbb) Das Wort ,,werden" wird durch die Wörter ,,worden sind" ersetzt. dd) Folgender Satz wird angefügt: ,,In den Fällen des Absatzes 1 Satz 1 Nummer 1 darf für den Widerspruch keine strengere Form verlangt werden als für die Begründung des rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses." g) In Absatz 9 Satz 4 wird die Angabe ,,Absatz 3 Nr. 2" durch die Angabe ,,Absatz 2 Nummer 2 Buchstabe b" ersetzt. 10. § 29 wird wie folgt geändert: a) Absatz 1 wird wie folgt geändert: aa) In Satz 1 wird nach dem Wort ,,Auskunfteien" das Komma durch das Wort ,,oder" ersetzt
Bundesgesetzblatt Jahrgang 2009 Teil I Nr. 54, ausgegeben zu Bonn am 19. August 2009
2817
und werden die Wörter ,,oder der Markt- und Meinungsforschung" gestrichen. bb) In Satz 2 wird die Angabe ,,§ 28 Abs. 1 Satz 2" durch die Angabe ,,§ 28 Absatz 1 Satz 2 und Absatz 3 bis 3b" ersetzt. b) Absatz 2 wird wie folgt geändert: aa) Satz 1 Nummer 1 wird wie folgt gefasst: ,,1. der Dritte, dem die Daten übermittelt werden, ein berechtigtes Interesse an ihrer Kenntnis glaubhaft dargelegt hat und". bb) In Satz 2 wird die Angabe ,,§ 28 Abs. 3 Satz 2" durch die Angabe ,,§ 28 Absatz 3 bis 3b" ersetzt. cc) In Satz 3 wird die Angabe ,,Buchstabe a" gestrichen. c) In Absatz 3 Satz 1 wird das Wort ,,Telefon-" durch das Wort ,,Rufnummern-" ersetzt. 11. Nach § 30 wird folgender § 30a eingefügt: ,,§ 30a Geschäftsmäßige Datenerhebung und -speicherung für Zwecke der Markt- oder Meinungsforschung (1) Das geschäftsmäßige Erheben, Verarbeiten oder Nutzen personenbezogener Daten für Zwecke der Markt- oder Meinungsforschung ist zulässig, wenn 1. kein Grund zu der Annahme besteht, dass der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Erhebung, Verarbeitung oder Nutzung hat, oder 2. die Daten aus allgemein zugänglichen Quellen entnommen werden können oder die verantwortliche Stelle sie veröffentlichen dürfte und das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Erhebung, Verarbeitung oder Nutzung gegenüber dem Interesse der verantwortlichen Stelle nicht offensichtlich überwiegt. Besondere Arten personenbezogener Daten (§ 3 Absatz 9) dürfen nur für ein bestimmtes Forschungsvorhaben erhoben, verarbeitet oder genutzt werden. (2) Für Zwecke der Markt- oder Meinungsforschung erhobene oder gespeicherte personenbezogene Daten dürfen nur für diese Zwecke verarbeitet oder genutzt werden. Daten, die nicht aus allgemein zugänglichen Quellen entnommen worden sind und die die verantwortliche Stelle auch nicht veröffentlichen darf, dürfen nur für das Forschungsvorhaben verarbeitet oder genutzt werden, für das sie erhoben worden sind. Für einen anderen Zweck dürfen sie nur verarbeitet oder genutzt werden, wenn sie zuvor so anonymisiert werden, dass ein Personenbezug nicht mehr hergestellt werden kann. (3) Die personenbezogenen Daten sind zu anonymisieren, sobald dies nach dem Zweck des Forschungsvorhabens, für das die Daten erhoben worden sind, möglich ist. Bis dahin sind die Merkmale gesondert zu speichern, mit denen Einzelan-
gaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren Person zugeordnet werden können. Diese Merkmale dürfen mit den Einzelangaben nur zusammengeführt werden, soweit dies nach dem Zweck des Forschungsvorhabens erforderlich ist. (4) § 29 gilt nicht. (5) § 28 Absatz 4 und 6 bis 9 gilt entsprechend." 12. Nach § 31 wird folgender § 32 eingefügt: ,,§ 32 Datenerhebung, -verarbeitung und -nutzung für Zwecke des Beschäftigungsverhältnisses (1) Personenbezogene Daten eines Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses erhoben, verarbeitet oder genutzt werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung erforderlich ist. Zur Aufdeckung von Straftaten dürfen personenbezogene Daten eines Beschäftigten nur dann erhoben, verarbeitet oder genutzt werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass der Betroffene im Beschäftigungsverhältnis eine Straftat begangen hat, die Erhebung, Verarbeitung oder Nutzung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse des Beschäftigten an dem Ausschluss der Erhebung, Verarbeitung oder Nutzung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind. (2) Absatz 1 ist auch anzuwenden, wenn personenbezogene Daten erhoben, verarbeitet oder genutzt werden, ohne dass sie automatisiert verarbeitet oder in oder aus einer nicht automatisierten Datei verarbeitet, genutzt oder für die Verarbeitung oder Nutzung in einer solchen Datei erhoben werden. (3) Die Beteiligungsrechte der Interessenvertretungen der Beschäftigten bleiben unberührt." 13. § 33 Absatz 2 Satz 1 wird wie folgt geändert: a) In Nummer 7 Buchstabe b wird das Wort ,,oder" gestrichen. b) Nummer 8 wird wie folgt geändert: aa) In Buchstabe b wird die Angabe ,,§ 29 Abs. 2 Nr. 1 Buchstabe b" durch die Angabe ,,§ 29 Absatz 2 Satz 2" ersetzt. bb) Der Punkt am Ende wird durch ein Komma ersetzt. c) Folgende Nummer 9 wird angefügt: ,,9. aus allgemein zugänglichen Quellen entnommene Daten geschäftsmäßig für Zwecke der Markt- oder Meinungsforschung gespeichert sind und eine Benachrichtigung wegen der Vielzahl der betroffenen Fälle unverhältnismäßig ist." 14. § 34 wird wie folgt geändert: a) In Absatz 1 Satz 1 Nummer 2 werden die Wörter ,,die Empfänger" durch die Wörter ,,den Empfänger" ersetzt.
2818
Bundesgesetzblatt Jahrgang 2009 Teil I Nr. 54, ausgegeben zu Bonn am 19. August 2009
b) Nach Absatz 1 wird folgender Absatz 1a eingefügt: ,,(1a) Im Fall des § 28 Absatz 3 Satz 4 hat die übermittelnde Stelle die Herkunft der Daten und den Empfänger für die Dauer von zwei Jahren nach der Übermittlung zu speichern und dem Betroffenen auf Verlangen Auskunft über die Herkunft der Daten und den Empfänger zu erteilen. Satz 1 gilt entsprechend für den Empfänger." c) Absatz 5 wird wie folgt gefasst: ,,(5) Die nach den Absätzen 1a bis 4 zum Zweck der Auskunftserteilung an den Betroffenen gespeicherten Daten dürfen nur für diesen Zweck sowie für Zwecke der Datenschutzkontrolle verwendet werden; für andere Zwecke sind sie zu sperren." 15. § 38 Absatz 5 Satz 1 und 2 wird wie folgt gefasst: ,,Zur Gewährleistung der Einhaltung dieses Gesetzes und anderer Vorschriften über den Datenschutz kann die Aufsichtsbehörde Maßnahmen zur Beseitigung festgestellter Verstöße bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten oder technischer oder organisatorischer Mängel anordnen. Bei schwerwiegenden Verstößen oder Mängeln, insbesondere solchen, die mit einer besonderen Gefährdung des Persönlichkeitsrechts verbunden sind, kann sie die Erhebung, Verarbeitung oder Nutzung oder den Einsatz einzelner Verfahren untersagen, wenn die Verstöße oder Mängel entgegen der Anordnung nach Satz 1 und trotz der Verhängung eines Zwangsgeldes nicht in angemessener Zeit beseitigt werden." 16. Nach § 42 wird folgender § 42a eingefügt: ,,§ 42a Informationspflicht bei unrechtmäßiger Kenntniserlangung von Daten Stellt eine nichtöffentliche Stelle im Sinne des § 2 Absatz 4 oder eine öffentliche Stelle nach § 27 Absatz 1 Satz 1 Nummer 2 fest, dass bei ihr gespeicherte 1. besondere Arten personenbezogener Daten (§ 3 Absatz 9), 2. personenbezogene Daten, die einem Berufsgeheimnis unterliegen, 3. personenbezogene Daten, die sich auf strafbare Handlungen oder Ordnungswidrigkeiten oder den Verdacht strafbarer Handlungen oder Ordnungswidrigkeiten beziehen, oder 4. personenbezogene Daten zu Bank- oder Kreditkartenkonten unrechtmäßig übermittelt oder auf sonstige Weise Dritten unrechtmäßig zur Kenntnis gelangt sind, und drohen schwerwiegende Beeinträchtigungen für die Rechte oder schutzwürdigen Interessen der Betroffenen, hat sie dies nach den Sätzen 2 bis 5 unverzüglich der zuständigen Aufsichtsbehörde sowie den Betroffenen mitzuteilen. Die Benachrichtigung des Betroffenen muss unverzüglich erfolgen, sobald angemessene Maßnahmen zur Sicherung der Daten ergriffen worden oder nicht unverzüglich erfolgt sind und die Strafverfolgung nicht mehr ge-
fährdet wird. Die Benachrichtigung der Betroffenen muss eine Darlegung der Art der unrechtmäßigen Kenntniserlangung und Empfehlungen für Maßnahmen zur Minderung möglicher nachteiliger Folgen enthalten. Die Benachrichtigung der zuständigen Aufsichtsbehörde muss zusätzlich eine Darlegung möglicher nachteiliger Folgen der unrechtmäßigen Kenntniserlangung und der von der Stelle daraufhin ergriffenen Maßnahmen enthalten. Soweit die Benachrichtigung der Betroffenen einen unverhältnismäßigen Aufwand erfordern würde, insbesondere aufgrund der Vielzahl der betroffenen Fälle, tritt an ihre Stelle die Information der Öffentlichkeit durch Anzeigen, die mindestens eine halbe Seite umfassen, in mindestens zwei bundesweit erscheinenden Tageszeitungen oder durch eine andere, in ihrer Wirksamkeit hinsichtlich der Information der Betroffenen gleich geeignete Maßnahme. Eine Benachrichtigung, die der Benachrichtigungspflichtige erteilt hat, darf in einem Strafverfahren oder in einem Verfahren nach dem Gesetz über Ordnungswidrigkeiten gegen ihn oder einen in § 52 Absatz 1 der Strafprozessordnung bezeichneten Angehörigen des Benachrichtigungspflichtigen nur mit Zustimmung des Benachrichtigungspflichtigen verwendet werden." 17. § 43 wird wie folgt geändert: a) Absatz 1 wird wie folgt geändert: aa) Nach Nummer 2 werden folgende Nummern 2a und 2b eingefügt: ,,2a. entgegen § 10 Absatz 4 Satz 3 nicht gewährleistet, dass die Datenübermittlung festgestellt und überprüft werden kann, 2b. entgegen § 11 Absatz 2 Satz 2 einen Auftrag nicht richtig, nicht vollständig oder nicht in der vorgeschriebenen Weise erteilt oder entgegen § 11 Absatz 2 Satz 4 sich nicht vor Beginn der Datenverarbeitung von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen überzeugt,". bb) Nach Nummer 3 wird folgende Nummer 3a eingefügt: ,,3a. entgegen § 28 Absatz 4 Satz 4 eine strengere Form verlangt,". cc) Nummer 8a wird wie folgt gefasst: ,,8a. entgegen § 34 Absatz 1 Satz 1, auch in Verbindung mit Satz 3, entgegen § 34 Absatz 1a, entgegen § 34 Absatz 2 Satz 1, auch in Verbindung mit Satz 2, oder entgegen § 34 Absatz 2 Satz 5, Absatz 3 Satz 1 oder Satz 2 oder Absatz 4 Satz 1, auch in Verbindung mit Satz 2, eine Auskunft nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig erteilt oder entgegen § 34 Absatz 1a Daten nicht speichert,". b) Absatz 2 wird wie folgt geändert: aa) In Nummer 5 werden die Angabe ,,, indem er sie an Dritte weitergibt" und am Ende das Wort ,,oder" gestrichen.
Bundesgesetzblatt Jahrgang 2009 Teil I Nr. 54, ausgegeben zu Bonn am 19. August 2009
2819
bb) Folgende Nummern 5a und 5b werden angefügt: ,,5a. entgegen § 28 Absatz 3b den Abschluss eines Vertrages von der Einwilligung des Betroffenen abhängig macht, 5b. entgegen § 28 Absatz 4 Satz 1 Daten für Zwecke der Werbung oder der Markt- oder Meinungsforschung verarbeitet oder nutzt,". cc) Nummer 6 wird wie folgt gefasst: ,,6. entgegen § 30 Absatz 1 Satz 2, § 30a Absatz 3 Satz 3 oder § 40 Absatz 2 Satz 3 ein dort genanntes Merkmal mit einer Einzelangabe zusammenführt oder". dd) Folgende Nummer 7 wird angefügt: ,,7. entgegen § 42a Satz 1 eine Mitteilung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht." c) Absatz 3 wird wie folgt geändert: aa) Das Wort ,,fünfundzwanzigtausend" wird durch das Wort ,,fünfzigtausend" und das Wort ,,zweihundertfünfzigtausend" wird durch das Wort ,,dreihunderttausend" ersetzt. bb) Nach Satz 1 werden folgende Sätze eingefügt: ,,Die Geldbuße soll den wirtschaftlichen Vorteil, den der Täter aus der Ordnungswidrigkeit gezogen hat, übersteigen. Reichen die in Satz 1 genannten Beträge hierfür nicht aus, so können sie überschritten werden." 18. Nach § 46 werden folgende §§ 47 und 48 eingefügt: ,,§ 47 Übergangsregelung Für die Verarbeitung und Nutzung vor dem 1. September 2009 erhobener oder gespeicherter Daten ist § 28 in der bis dahin geltenden Fassung weiter anzuwenden 1. für Zwecke der Markt- oder Meinungsforschung bis zum 31. August 2010, 2. für Zwecke der Werbung bis zum 31. August 2012. § 48 Bericht der Bundesregierung Die Bundesregierung berichtet dem Bundestag 1. bis zum 31. Dezember 2012 über die Auswirkungen der §§ 30a und 42a, 2. bis zum 31. Dezember 2014 über die Auswirkungen der Änderungen der §§ 28 und 29. Sofern sich aus Sicht der Bundesregierung gesetzgeberische Maßnahmen empfehlen, soll der Bericht einen Vorschlag enthalten." 19. Der Anlage zu § 9 Satz 1 wird folgender Satz angefügt: ,,Eine Maßnahme nach Satz 2 Nummer 2 bis 4 ist insbesondere die Verwendung von dem Stand der
Technik entsprechenden Verschlüsselungsverfahren."
Artikel 2 Änderung des Telemediengesetzes*)
Das Telemediengesetz vom 26. Februar 2007 (BGBl. I S. 179, 251), das durch Artikel 2 des Gesetzes vom 25. Dezember 2008 (BGBl. I S. 3083) geändert worden ist, wird wie folgt geändert: 1. In § 11 Absatz 3 wird die Angabe ,,§ 12 Abs. 3, § 15 Abs. 8 und § 16 Abs. 2 Nr. 2 und 5" durch die Angabe ,,§ 15 Absatz 8 und § 16 Absatz 2 Nummer 4" ersetzt. 2. § 12 wird wie folgt geändert: a) Absatz 3 wird aufgehoben. b) Der bisherige Absatz 4 wird Absatz 3. 3. Nach § 15 wird folgender § 15a eingefügt: ,,§ 15a Informationspflicht bei unrechtmäßiger Kenntniserlangung von Daten Stellt der Diensteanbieter fest, dass bei ihm gespeicherte Bestands- oder Nutzungsdaten unrechtmäßig übermittelt worden oder auf sonstige Weise Dritten unrechtmäßig zur Kenntnis gelangt sind, und drohen schwerwiegende Beeinträchtigungen für die Rechte oder schutzwürdigen Interessen des betroffenen Nutzers, gilt § 42a des Bundesdatenschutzgesetzes entsprechend." 4. § 16 Absatz 2 wird wie folgt geändert: a) Nummer 2 wird aufgehoben. b) Die bisherigen Nummern 3 bis 6 werden die Nummern 2 bis 5.
Artikel 3 Änderung des Telekommunikationsgesetzes
Das Telekommunikationsgesetz vom 22. Juni 2004 (BGBl. I S. 1190), das zuletzt durch Artikel 3 des Gesetzes vom 29. Juli 2009 (BGBl. I S. 2413) geändert worden ist, wird wie folgt geändert: 1. Dem § 93 wird folgender Absatz 3 angefügt: ,,(3) Stellt der Diensteanbieter fest, dass bei ihm gespeicherte Bestandsdaten oder Verkehrsdaten unrechtmäßig übermittelt worden oder auf sonstige Weise Dritten unrechtmäßig zur Kenntnis gelangt sind, und drohen schwerwiegende Beeinträchtigungen für die Rechte oder schutzwürdigen Interessen des betroffenen Nutzers, gilt § 42a des Bundesdatenschutzgesetzes entsprechend." 2. § 95 Absatz 5 wird wie folgt gefasst: ,,(5) Die Erbringung von Telekommunikationsdiensten darf nicht von einer Einwilligung des Teilnehmers in eine Verwendung seiner Daten für andere Zwecke abhängig gemacht werden, wenn dem Teilnehmer ein anderer Zugang zu diesen Telekommuni*) Die Verpflichtungen aus der Richtlinie 98/34/EG des Europäischen Parlaments und des Rates vom 22. Juni 1998 über ein Informationsverfahren auf dem Gebiet der Normen und technischen Vorschriften und der Vorschriften für die Dienste der Informationsgesellschaft (ABl. L 204 vom 21.7.1998, S. 37), die zuletzt durch die Richtlinie 2006/96/EG (ABl. L 363 vom 20.12.2006, S. 82) geändert worden ist, sind beachtet worden.
2820
Bundesgesetzblatt Jahrgang 2009 Teil I Nr. 54, ausgegeben zu Bonn am 19. August 2009
kationsdiensten ohne die Einwilligung nicht oder in nicht zumutbarer Weise möglich ist. Eine unter solchen Umständen erteilte Einwilligung ist unwirksam."
Artikel 4
2010 an geltenden Fassung im Bundesgesetzblatt bekannt machen.
Artikel 5
Inkrafttreten Dieses Gesetz tritt vorbehaltlich des Satzes 2 am 1. September 2009 in Kraft. Artikel 1 Nummer 14 und 17 Buchstabe a Doppelbuchstabe cc tritt am 1. April 2010 in Kraft.
Bekanntmachungserlaubnis Das Bundesministerium des Innern kann den Wortlaut des Bundesdatenschutzgesetzes in der vom 1. April
Die verfassungsmäßigen Rechte des Bundesrates sind gewahrt. Das vorstehende Gesetz wird hiermit ausgefertigt. Es ist im Bundesgesetzblatt zu verkünden.
Berlin, den 14. August 2009 Der Bundespräsident Horst Köhler Die Bundeskanzlerin Dr. A n g e l a M e r k e l Der Bundesminister des Innern Schäuble Der Bundesminister f ü r W i r t s c h a f t u n d Te c h n o l o g i e Dr. K a r l - T h e o d o r z u G u t t e n b e r g