Gesetz zur Umsetzung der Richtlinie (EU) 2016/680 und zur Anpassung von bereichsspezifischen Datenschutzvorschriften an die Richtlinie (EU) 2016/680 sowie zur Regelung der Datenschutzaufsicht im Bereich des Verfassungsschutzes Sachsen-Anhalt

§§ 1 - 3 Kapitel 1 Anwendungsbereich, Begriffsbestimmungen und allgemeine Grundsätze für die Verarbeitung personenbezogener Daten

§ 1 Anwendungsbereich

(1) ¹Die Vorschriften dieses Gesetzes gelten für die Verarbeitung personenbezogener Daten in Dateisystemen und Akten durch diejenigen öffentlichen Stellen, die zuständig sind

1.

für die

a)	Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder

b)	Verfolgung oder Ahndung von Ordnungswidrigkeiten, die nicht in den Anwendungsbereich des Bundesdatenschutzgesetzes fallen,

2.	für den Vollzug der durch strafrichterliche Entscheidung angeordneten freiheitsentziehenden Maßregeln nach den§§ 63 und 64 des Strafgesetzbuchs,

soweit sie Daten zum Zweck der Erfüllung dieser Aufgaben verarbeiten. ²Die öffentlichen Stellen gelten dabei als Verantwortliche. ³Öffentliche Stellen im Sinne dieses Gesetzes sind Behörden, Organe der Rechtspflege und andere öffentlich-rechtlich organisierte Einrichtungen des Landes, der Gemeinden, der Verbandsgemeinden, der Landkreise und sonstiger der Aufsicht des Landes unterstehender juristischer Personen des öffentlichen Rechts sowie deren Vereinigungen, ungeachtet ihrer Rechtsform. ⁴Nimmt eine nicht öffentliche Stelle Aufgaben nach Satz 1 wahr, ist sie insoweit öffentliche Stelle im Sinne dieses Gesetzes.

(2) Für die Verarbeitung personenbezogener Daten bei der straftatbezogenen Gefahrenabwehr der Polizeibehörden gelten die Vorschriften dieses Gesetzes.

§ 2 Begriffsbestimmungen

Es bezeichnen die Begriffe:

1.

"personenbezogene Daten" alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (betroffene Person) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser Person sind, identifiziert werden kann;

2.

"Verarbeitung" jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung, die Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich, die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

3.	"Einschränkung der Verarbeitung" die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken;

4.

"Profiling" jede Art der automatisierten Verarbeitung personenbezogener Daten, bei der diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte der Arbeitsleistung, der wirtschaftlichen Lage, der Gesundheit, der persönlichen Vorlieben, der Interessen, der Zuverlässigkeit, des Verhaltens, der Aufenthaltsorte oder der Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;

5.

"Anonymisierung" die Verarbeitung personenbezogener Daten derart, dass die Einzelangaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand an Zeit. Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können;

6.

"Pseudonymisierung" die Verarbeitung personenbezogener Daten in einer Weise, in der die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die Daten keiner betroffenen Person zugewiesen werden können;

7.

"Verschlüsselung" eine technische Maßnahme, die Daten unter Anwendung kryptographischer Verfahren in eine für Dritte unverständliche Form umwandelt, so dass diese nach dem Stand von Wissenschaft und Technik ausschließlich von einem Schlüsselinhaber wieder in eine allgemein verständliche Form überführt (entschlüsselt) werden können;

8.	"Dateisystem" jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;

9.

"Akte" jede amtlichen, dienstlichen oder Geschäftszwecken dienende Unterlage, einschließlich Bild und Tonträger, jedoch ohne Vorentwürfe und Notizen, die nicht Bestandteil eines Vorgangs werden sollen; soweit die Unterlagen die in Nummer 8 festgelegten Kriterien erfüllen, können Akten auch Dateisysteme sein;

10.	"Verantwortlicher" die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet;

11.	"Auftragsverarbeiter" eine natürliche oder juristische Person, Be...