Datenschutzgesetz Sachsen / § 10 Verzeichnis automatisierter Verarbeitungsverfahren, Meldepflicht, Vorabkontrolle

(1) ¹Jede datenverarbeitende Stelle führt ein Verzeichnis der bei ihr eingesetzten automatisierten Verarbeitungsverfahren. ²In dem Verzeichnis sind schriftlich festzulegen:

1.	die Bezeichnung und die Anschrift der datenverarbeitenden Stelle,

2.	die Bezeichnung des Verfahrens und dessen Zweckbestimmung,

3.	die Aufgabe, zu deren Erfüllung personenbezogene Daten verarbeitet werden und die Rechtsgrundlage der Verarbeitung,

4.	die Art der zu verarbeitenden Daten,

5.	der Kreis der Betroffenen,

6.	die Art der zu übermittelnden Daten und die Empfänger der Daten,

7.	die beabsichtigte Übermittlung in Drittländer gemäß § 17,

8.	die personellen, technischen und organisatorischen Maßnahmen gemäß § 9,

9.	Regelfristen für die Löschung der Daten.

(2) Die Gerichte führen Verzeichnisse nach Absatz 1 nur, soweit sie in Justizverwaltungsangelegenheiten tätig werden.

(3) ¹Die datenverarbeitenden Stellen sind verpflichtet, dem Sächsischen Datenschutzbeauftragten vor dem erstmaligen Einsatz eines automatisierten Verarbeitungsverfahrens das Verzeichnis im Sinne des Absatzes 1 zuzuleiten. ²Die datenverarbeitende Stelle bringt das von ihr geführte Verzeichnis regelmäßig auf den neuesten Stand und leitet das aktualisierte Verzeichnis jährlich zum 1. März dem Sächsischen Datenschutzbeauftragten zu. ³Bei der Bestellung eines Datenschutzbeauftragten nach § 11 entfällt die Pflicht zur Zuleitung an den Sächsischen Datenschutzbeauftragten.

(4) ¹Vor dem erstmaligen Einsatz oder der wesentlichen Änderung

1.	eines Verfahrens nach § 8,

2.	eines automatisierten Verfahrens, in dem Daten im Sinne des § 4 Abs. 2 verarbeitet werden oder

3.	eines automatisierten Verfahrens, in dem Daten von Beschäftigten im Sinne des § 37 verarbeitet werden,

ist durch den Sächsischen Datenschutzbeauftragten oder im Fall der Bestellung eines Datenschutzbeauftragten nach § 11 durch diesen zu prüfen, ob die Datenverarbeitung zulässig ist und die vorgesehenen Maßnahmen nach § 9 ausreichend sind (Vorabkontrolle). ²Die datenverarbeitende Stelle hat ihm dazu die erforderlichen Unterlagen zur Verfügung zu stellen. ³Die Stellungnahme soll innerhalb eines Monats abgegeben werden. ⁴In den Fällen, in denen die Personalvertretung nach den Vorschriften des Sächsischen Personalvertretungsgesetzes (SächsPersVG) in der Fassung der Bekanntmachung vom 25. Juni 1999 (SächsGVBl. S. 430), zuletzt geändert durch Artikel 3 des Gesetzes vom 22. April 2005 (SächsGVBl. S. 121, 124), in der jeweils geltenden Fassung, zu unterrichten ist oder die der Mitwirkung oder Mitbestimmung der Personalvertretung unterliegen, ist die Stellungnahme der zuständigen Personalvertretung zuzuleiten. ⁵Entsprechendes gilt für die Unterrichtung oder Mitbestimmung des Betriebsrates nach dem Betriebsverfassungsgesetz in der Fassung der Bekanntmachung vom 25. September 2001 (BGBl. I S. 2518), zuletzt geändert durch Artikel 3 Abs. 3 des Gesetzes vom 14. August 2006 (BGBl. I S. 1897, 1907), in der jeweils geltenden Fassung. ⁶Der Datenschutzbeauftragte nach § 11 einer mit der Aufsicht betrauten öffentlichen Stelle hat, wenn ein Verfahren auch von nachgeordneten öffentlichen Stellen eingesetzt werden soll, das Ergebnis seiner Vorabkontrolle diesen sowie dem Sächsischen Datenschutzbeauftragten mitzuteilen.

(5) Die Absätze 1 bis 4 gelten nicht für Verfahren,

1.	deren einziger Zweck das Führen eines durch Rechtsvorschrift vorgeschriebenen Registers ist, das zur Information der Öffentlichkeit bestimmt ist oder allen Personen, die ein berechtigtes Interesse nachweisen können, zur Einsichtnahme offen steht, oder

2.	die ausschließlich der Unterstützung der allgemeinen Bürotätigkeit dienen, insbesondere Verfahren der Textverarbeitung, Terminüberwachung und der Führung von Adress-, Telefon- und vergleichbaren Verzeichnissen, soweit sie keine Beeinträchtigung der Rechte Betroffener erwarten lassen.