§ 23 Zulässigkeit der Verarbeitung personenbezogener Daten
(1) Die Verarbeitung personenbezogener Daten ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
(2) 1Zu dem Zweck der Verarbeitung personenbezogener Daten gehört auch die Verarbeitung zur Wahrnehmung von Aufsichts- und Kontrollbefugnissen, zur Rechnungsprüfung, zur Durchführung von Organisationsuntersuchungen und zur Prüfung und Wartung von automatisierten Verfahren. 2Dies gilt auch für die Verarbeitung personenbezogener Daten zu Aus- und Fortbildungszwecken, soweit nicht schutzwürdige Interessen der betroffenen Person entgegenstehen. 3Die Verarbeitung der Daten zu Test- und Prüfungszwecken ist davon nicht erfasst.
§ 24 Verarbeitung besonderer Kategorien personenbezogener Daten
(1) Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nur zulässig, wenn sie
| 1. |
zur Aufgabenerfüllung zwingend erforderlich ist, |
| 2. |
der Wahrung lebenswichtiger Interessen der betroffenen oder einer anderen natürlichen Person dient oder |
| 3. |
wenn sie sich auf Daten bezieht, die die betroffene Person offensichtlich öffentlich gemacht hat. |
(2) 1Werden besondere Kategorien personenbezogener Daten verarbeitet, sind geeignete Garantien für die Rechtsgüter der betroffenen Personen vorzusehen. 2Geeignete Garantien können insbesondere sein
| 1. |
spezifische Anforderungen an die Datensicherheit oder die Datenschutzkontrolle, |
| 2. |
die Festlegung von besonderen Aussonderungsprüffristen, |
| 3. |
die Sensibilisierung der an Verarbeitungsvorgängen Beteiligten, |
| 4. |
die Beschränkung des Zugangs zu den personenbezogenen Daten innerhalb der verantwortlichen Stelle, |
| 5. |
die von anderen Daten getrennte Verarbeitung, |
| 6. |
die Pseudonymisierung personenbezogener Daten, |
| 7. |
die Verschlüsselung personenbezogener Daten oder |
| 8. |
spezifische Verfahrensregelungen, die im Fall einer Übermittlung oder Verarbeitung für andere Zwecke die Rechtmäßigkeit der Verarbeitung sicherstellen. |
(3) Eine Verarbeitung genetischer und biometrischer Daten ist nur zulässig, wenn sie in einer Rechtsvorschrift vorgesehen ist.
§ 25 Verarbeitung zu anderen Zwecken
Eine Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu demjenigen, zu dem sie erhoben wurden, ist zulässig, wenn sie in einer Rechtsvorschrift vorgesehen ist.
§ 26 Verarbeitung zu archivarischen, wissenschaftlichen und statistischen Zwecken
1Personenbezogene Daten dürfen im Rahmen der in § 20 genannten Zwecke zu archivarischen, wissenschaftlichen oder statistischen Zwecken verarbeitet werden, wenn hieran ein öffentliches Interesse besteht und geeignete Garantien für die Rechtsgüter der betroffenen Personen vorgesehen werden. 2Solche Garantien können in einer so zeitnah wie möglich erfolgenden Anonymisierung der personenbezogenen Daten, in Vorkehrungen gegen ihre unbefugte Kenntnisnahme durch Dritte oder in ihrer räumlich und organisatorisch von den sonstigen Fachaufgaben getrennten Verarbeitung bestehen.
§ 27 Einwilligung
(1) Soweit die Verarbeitung personenbezogener Daten auf Grundlage einer Rechtsvorschrift, welche die Einwilligung der betroffenen Person vorsieht, erfolgt, muss der Verantwortliche die Einwilligung der betroffenen Person nachweisen können.
(2) Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die weitere Sachverhalte betrifft, muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist.
(3) 1Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. 2Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. 3Die betroffene Person ist vor Abgabe der Einwilligung hiervon in Kenntnis zu setzen.
(4) 1Die Einwilligung ist nur wirksam, wenn sie auf der freien Entscheidung der betroffenen Person beruht. 2Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, müssen die Umstände der Erteilung berücksichtigt werden. 3Die betroffene Person ist auf den vorgesehenen Zweck der Verarbeitung hinzuweisen. 4Ist dies nach den Umständen des Einzelfalles erforderlich oder verlangt die betroffene Person dies, ist sie auch über die Folgen der Verweigerung der Einwilligung zu belehren.
(5) Soweit besondere Kategorien personenbezogener Daten verarbeitet werden, muss sich die Einwilligung ausdrücklich auf diese Daten beziehen.
§ 28 Verarbeitung auf Weisung des Verantwortlichen
Jede einem Verantwortlichen oder einem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, darf diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, es sei denn, dass sie nach einer Rechtsvorschrift zur Verarbeitung verpflichtet ist.
§ 29 Datengeheimnis
1Mit Datenverarbeitung befasste Personen dürfen personenbezogene Daten nicht unbefugt verarbeiten (Datengeheimnis). 2Sie sind bei der Aufnahme ihrer Tätigkeit auf das Datengeheimnis zu verpflichten. 3Das Datengeheimnis besteht auch nach der Beendigung ihrer Tätigkeit fort.
§ 30 Automatisierte Einzelentscheidung
(1) Eine ausschließlich auf einer automatischen Verarbeitung beruhende Entscheidung, die mit einer n...