Datenschutzbestimungen

Datenschutzbestimungen

Bundesdatenschutzgesetz - BDSG

Erster Abschnitt:

Allgemeine Bestimmungen

§ 1

[Zweck und Anwendungsbereich des Gesetzes]

(1) Zweck dieses Gesetzes ist es, den einzelnen davor zu schützen, daß
er durch den Umgang mit seinen personenbezogenen Daten in seinem
Persönlichkeitsrecht beeinträchtigt wird.

(2) Dieses Gesetz gilt für die Erhebung, Verarbeitung und Nutzung
personenbezogener Daten durch

(3) Bei der Anwendung dieses Gesetzes gelten folgende Einschränkungen:

(4) Soweit andere Rechtsvorschriften des Bundes auf personenbezogene Daten
einschließlich deren Veröffentlichung anzuwenden sind, gehen sie
den Vorschriften dieses Gesetzes vor. Die Verpflichtung zur Wahrung gesetzlicher
Geheimhaltungspflichten oder von Berufs- oder besonderen Amtsgeheimnissen,
die nicht auf gesetzlichen Vorschriften beruhen, bleibt unberührt.

(5) Die Vorschriften dieses Gesetzes gehen denen des
Verwaltungsverfahrensgesetzes vor, soweit bei der Ermittlung des Sachverhalts
personenbezogene Daten verarbeitet werden.

§ 2

[Öffentliche und nicht-öffentliche Stellen]

(1) Öffentliche Stellen des Bundes sind die Behörden, die Organe
der Rechtspflege und andere öffentlich-rechtlich organisierte Einrichtungen
des Bundes, der bundesunmittelbaren Körperschaften, Anstalten und Stiftungen
des öffentlichen Rechts sowie deren Vereinigungen ungeachtet ihrer
Rechtsform. Als öffentliche Stellen gelten die aus dem Sondervermögen Deutsche Bundespost
durch Gesetz hervorgegangenen Unternehmen, solange ihnen ein ausschließliches Recht nach dem Postgesetz zusteht.

(2) Öffentliche Stellen der Länder sind die Behörden, die
Organe der Rechtspflege und andere öffentlich-rechtlich organisierte
Einrichtungen eines Landes, einer Gemeinde, eines Gemeindeverbandes und sonstiger
der Aufsicht des Landes unterstehender juristischer Personen des
öffentlichen Rechts sowie derer Vereinigungen ungeachtet ihrer Rechtsform.

(3) Vereinigungen des privaten Rechts von öffentlichen Stellen des Bundes
und der Länder, die Aufgaben der öffentlichen Verwaltung wahrnehmen,
gelten ungeachtet der Beteiligung nicht-öffentlicher Stellen als
öffentliche Stellen des Bundes, wenn

(4) Nicht-öffentliche Stellen sind natürliche und juristische Personen,
Gesellschaften und andere Personenvereinigungen des privaten Rechts, soweit
sie nicht unter die Absätze 1 bis 3 fallen. Nimmt eine
nicht-öffentliche Stelle hoheitliche Aufgaben der öffentlichen
Verwaltung wahr, ist sie insoweit öffentliche Stelle im Sinne dieses
Gesetzes.

§ 3

[Weitere Begriffsbestimmungen]

(1) Personenbezogene Daten sind Einzelangaben über persönliche
oder sachliche Verhältnisse einer bestimmten oder bestimmbaren
natürlichen Person (Betroffener).

(2) Eine Datei ist

(3) Eine Akte ist jede sonstige amtlichen oder dienstlichen Zwecken dienende
Unterlage; dazu zählen auch Bild- und Tonträger. Nicht hierunter
fallen Vorentwürfe und Notizen, die nicht Bestandteil eines Vorgangs
werden sollen.

(4) Erheben ist das Beschaffen von Daten über den Betroffenen.

(5) Verarbeiten ist das Speichern, Verändern, Übermitteln, Sperren
und Löschen personenbezogener Daten. Im einzelnen ist, ungeachtet der
dabei angewendeten Verfahren:

(6) Nutzen ist jede Verwendung personenbezogener Daten, soweit es sich nicht
um Verarbeitung handelt.

(7) Anonymisieren ist das Verändern personenbezogener Daten derart,
daß die Einzelangaben über persönliche oder sachliche
Verhältnisse nicht mehr oder nur mit einem
unverhältnismäßig großen Aufwand an Zeit, Kosten und
Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person
zugeordnet werden können.

(8) Speichernde Stelle ist jede Person oder Stelle, die personenbezogene
Daten für sich selbst speichert oder durch andere im Auftrag speichern
läßt.

(9) Dritter ist jede Person oder Stelle außerhalb der speichernden
Stelle. Dritte sind nicht der Betroffene sowie diejenigen Personen und Stellen,
die im Geltungsbereich dieses Gesetzes personenbezogene Daten im Auftrag
verarbeiten oder nutzen.

§ 4

[Zulässigkeit der Datenverarbeitung und -nutzung]

(1) Die Verarbeitung personenbezogener Daten und deren Nutzung sind nur
zulässig, wenn dieses Gesetz oder eine andere Rechtsvorschrift sie erlaubt
oder anordnet oder soweit der Betroffene eingewilligt hat.

(2) Wird die Einwilligung bei dem Betroffenen eingeholt, ist er auf den Zweck
der Speicherung und einer vorgesehenen Übermittlung sowie auf Verlangen
auf die Folgen der Verweigerung der Einwilligung hinzuweisen. Die Einwilligung
bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine
andere Form angemessen ist. Soll die Einwilligung zusammen mit anderen
Erklärungen schriftlich erteilt werden, ist die Einwilligungserklärung
im äußeren Erscheinungsbild der Erklärung hervorzuheben.

(3) Im Bereich der wissenschaftlichen Forschung liegt ein besonderer Umstand
im Sinne von Absatz 2 Satz 2 auch dann vor, wenn durch die Schriftform der
bestimmte Forschungszweck erheblich beeinträchtigt würde. In diesem
Fall sind der Hinweis nach Absatz 2 Satz 1 und die Gründe, aus denen
sich die erhebliche Beeinträchtigung des bestimmten Forschungszweckes
ergibt, schriftlich festzuhalten.

§ 5

[Datengeheimnis]

Den bei der Datenverarbeitung beschäftigten Personen ist untersagt,
personenbezogene Daten unbefugt zu verarbeiten oder zu nutzen (Datengeheimnis).
Diese Personen sind, soweit sie bei nicht-öffentlichen Stellen
beschäftigt werden, bei der Aufnahme ihrer Tätigkeit auf das
Datengeheimnis zu verpflichten. Das Datengeheimnis besteht auch nach Beendigung
ihrer Tätigkeit fort.

§ 6

[Unabdingbare Rechte des Betroffenen]

(1) Die Rechte des Betroffenen auf Auskunft (§§
19, 34) und auf Berichtigung, Löschung oder
Sperrung (§§ 20, 35) können nicht durch Rechtsgeschäft
ausgeschlossen oder beschränkt werden.

(2) Sind die Daten des Betroffenen in einer Datei gespeichert, bei der mehrere
Stellen speicherungsberechtigt sind, und ist der Betroffene nicht in der
Lage, die speichernde Stelle festzustellen, so kann er sich an jede dieser
Stellenwenden. Diese ist verpflichtet, das Vorbringen des Betroffenen an
die speichernde Stelle weiterzuleiten. Der Betroffene ist über die
Weiterleitung und die speichernde Stelle zu unterrichten. Die in §
19 Abs.3 genannten Stellen, die
Behörden der Staatsanwaltschaft und der Polizei sowie öffentliche
Stellen der Finanzverwaltung, soweit sie personenbezogene Daten in
Erfüllung ihrer gesetzlichen Aufgaben im Anwendungsbereich der
Abgabenordnung zur Überwachung und Prüfung speichern, können
statt des Betroffenen den Bundesbeauftragten für den Datenschutz
unterrichten. In diesem Fall richtet sich das weitere Verfahren nach §
19 Abs.6.

§ 7

[Schadensersatz durch öffentliche Stellen]

(1) Fügt eine öffentliche Stelle dem Betroffenen durch eine nach
den Vorschriften dieses Gesetzes oder nach anderen Vorschriften über
den Datenschutz unzulässige oder unrichtige automatisierte Verarbeitung
seiner personenbezogenen Daten einen Schaden zu, ist sie dem Betroffenen
unabhängig von einem Verschulden zum Ersatz des daraus entstehenden
Schadens verpflichtet.

(2) Bei einer schweren Verletzung des Persönlichkeitsrechts ist dem
Betroffenen der Schaden, der nicht Vermögensschaden ist, angemessen
in Geld zu ersetzen.

(3) Die Ansprüche nach den Absätzen 1 und 2 sind insgesamt bis
zu einem Betrag in Höhe von zweihundertfünfzigtausend Deutsche
Mark begrenzt. Ist aufgrund desselben Ereignisses an mehrere Personen
Schadensersatz zu leisten, der insgesamt den Höchstbetrag von
zweihundertfünfzigtausend Deutsche Mark übersteigt, so verringern
sich die einzelnen Schadensersatzleistungen in dem Verhältnis, in dem
ihr Gesamtbetrag zu dem Höchstbetrag steht.

(4) Sind bei einer Datei mehrere Stellen speicherungsberechtigt und ist der
Geschädigte nicht in der Lage, die speichernde Stelle festzustellen,
so haftet jede dieser Stellen.

(5) Mehrere Ersatzpflichtige haften als Gesamtschuldner.

(6) Auf das Mitverschulden des Betroffenen und die Verjährung sind die
§§ 254 und 852 des Bürgerlichen Gesetzbuches entsprechend
anzuwenden.

(7) Vorschriften, nach denen ein Ersatzpflichtiger in weiterem Umfang als
nach dieser Vorschrift haftet oder nach denen ein anderer für den Schaden
verantwortlich ist, bleiben unberührt.

(8) Der Rechtsweg vor den ordentlichen Gerichten steht offen.

§ 8

[Schadensersatz durch nicht-öffentliche Stellen]

Macht ein Betroffener gegenüber einer nicht-öffentlichen Stelle
einen Anspruch auf Schadensersatz wegen einer nach diesem Gesetz oder anderen
Vorschriften über den Datenschutz unzulässigen oder unrichtigen
automatisierten Datenverarbeitung geltend und ist streitig, ob der Schaden
die Folge eines von der speichernden Stelle zu vertretenden Umstandes ist,
so trifft die Beweislast die speichernde Stelle.

§ 9

[Technische und organisatorische Maßnahmen]

Öffentliche und nicht-öffentliche Stellen, die selbst oder im Auftrag
personenbezogene Daten verarbeiten, haben die technischen und organisatorischen
Maßnahmen zu treffen, die erforderlich sind, um die Ausführung
der Vorschriften dieses Gesetzes, insbesondere die in der
Anlage zu diesem Gesetz genannten Anforderungen,
zu gewährleisten. Erforderlich sind Maßnahmen nur, wenn ihr Aufwand
in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht.

§ 10

[Einrichtung automatisierter Abrufverfahren]

(1) Die Einrichtung eines automatisierten Verfahrens, das die Übermittlung
personenbezogener Daten durch Abruf ermöglicht, ist zulässig, soweit
dieses Verfahren unter Berücksichtigung der schutzwürdigen Interessen
der Betroffenen und der Aufgaben oder Geschäftszwecke der beteiligten
Stellen angemessen ist. Die Vorschriften über die Zulässigkeit
des einzelnen Abrufs bleiben unberührt.

(2) Die beteiligten Stellen haben zu gewährleisten, daß die
Zulässigkeit des Abrufverfahrens kontrolliert werden kann. Hierzu haben
sie schriftlich festzulegen:

(3) Über die Einrichtung von Abrufverfahren ist in Fällen, in denen
die in § 12 Abs.1 genannten
Stellen beteiligt sind, der Bundesbeauftragte für den Datenschutz unter
Mitteilung der Festlegungen nach Absatz 2 zu unterrichten. Die Einrichtung
von Abrufverfahren, bei denen die in §
6 Abs.2 und in §
19 Abs.3 genannten Stellen beteiligt
sind, ist nur zulässig, wenn der für die speichernde und die abrufende
Stelle jeweils zuständige Bundes- oder Landesminister oder deren Vertreter
zugestimmt haben.

(4) Die Verantwortung für die Zulässigkeit des einzelnen Abrufs
trägt der Empfänger. Die speichernde Stelle prüft die
Zulässigkeit der Abrufe nur, wenn dazu Anlaß besteht. Die speichernde
Stelle hat zu gewährleisten, daß die Übermittlung
personenbezogener Daten zumindest durch geeignete Stichprobenverfahren
festgestellt und überprüft werden kann. Wird ein Gesamtbestand
personenbezogener Daten abgerufen oder übermittelt (Stapelverarbeitung),
so bezieht sich die Gewährleistung der Feststellung und
Überprüfung nur auf die Zulässigkeit des Abrufes oder der
Übermittlung des Gesamtbestandes.

(5) Die Absätze 1 bis 4 gelten nicht für den Abruf aus
Datenbeständen, die jedermann, sei es ohne oder nach besonderer Zulassung,
zur Benutzung offenstehen.

§ 11

[Verarbeitung oder Nutzung personenbezogener Daten im Auftrag]

(1) Werden personenbezogene Daten im Auftrag durch andere Stellen verarbeitet
oder genutzt, ist der Auftraggeber für die Einhaltung der Vorschriften
dieses Gesetzes und anderer Vorschriften über den Datenschutz
verantwortlich. Die in den §§
6,
7 und
8 genannten Rechte sind ihm
gegenüber geltend zu machen.

(2) Der Auftragnehmer ist unter besonderer Berücksichtigung der Eignung
der von ihm getroffenen technischen und organisatorischen Maßnahmen
sorgfältig auszuwählen. Der Auftrag ist schriftlich zu erteilen,
wobei die Datenverarbeitung oder -nutzung, die technischen und organisatorischen
Maßnahmen und etwaige Unterauftragsverhältnisse festzulegen sind.
Er kann bei öffentlichen Stellen auch durch die Fachaufsichtsbehörde
erteilt werden.

(3) Der Auftragnehmer darf die Daten nur im Rahmen der Weisungen des
Auftraggebers verarbeiten oder nutzen. Ist er der Ansicht, daß eine
Weisung des Auftraggebers gegen dieses Gesetz oder andere Vorschriften über
den Datenschutz verstößt, hat er den Auftraggeber unverzüglich
darauf hinzuweisen.

(4) Für den Auftragnehmer gelten neben den §§
5,
9, 43
Abs.1, Abs.3 und 4 sowie § 44 Abs.1
Nr.2, 5, 6 und 7 und Abs.2 nur die Vorschriften über die
Datenschutzkontrolle oder die Aufsicht, und zwar für

Zweiter Abschnitt:

Datenverarbeitung der öffentlichen Stellen

Erster Unterabschnitt:

Rechtsgrundlagen der Datenverarbeitung

§ 12

[Anwendungsbereich]

(1) Die Vorschriften dieses Abschnittes gelten für öffentliche
Stellen des Bundes, soweit sie nicht als öffentlich-rechtliche Unternehmen
am Wettbewerb teilnehmen.

(2) Soweit der Datenschutz nicht durch Landesgesetz geregelt ist, gelten
die §§ 12,
13,
14,
15,
16,
17,
19 und
20 auch für die öffentlichen
Stellen der Länder, soweit sie

(3) Für Landesbeauftragte für den Datenschutz gilt §
23 Abs.4 entsprechend.

(4) Werden personenbezogene Daten für frühere, bestehende oder
zukünftige dienst- oder arbeitsrechtliche Rechtsverhältnisse
verarbeitet oder genutzt, gelten anstelle der §§
14,
15,
16 und
17,
19 und
20 der §
28 Abs.1 und 2 Nr.1 sowie die §§
33, 34 und
35.

§ 13

[Datenerhebung]

(1) Das Erheben personenbezogener Daten ist zulässig, wenn ihre Kenntnis
zur Erfüllung der Aufgaben der erhebenden Stellen erforderlich ist.

(2) Personenbezogene Daten sind beim Betroffenen zu erheben. Ohne seine
Mitwirkung dürfen sie nur erhoben werden, wenn

(3) Werden personenbezogene Daten beim Betroffenen mit seiner Kenntnis erhoben,
so ist der Erhebungszweck ihm gegenüber anzugeben. Werden sie beim
Betroffenen aufgrund einer Rechtsvorschrift erhoben, die zur Auskunft
verpflichtet, oder ist die Erteilung der Auskunft Voraussetzung für
die Gewährung von Rechtsvorteilen, so ist der Betroffene hierauf, sonst
auf die Freiwilligkeit seiner Angaben hinzuweisen. Auf Verlangen ist er
über die Rechtsvorschrift und über die Folgen der Verweigerung
von Angaben aufzuklären.

(4) Werden personenbezogene Daten statt beim Betroffenen bei einer
nicht-öffentlichen Stelle erhoben, so ist die Stelle auf die
Rechtsvorschrift, die zur Auskunft verpflichtet, sonst auf die Freiwilligkeit
ihrer Angaben hinzuweisen.

§ 14

[Datenspeicherung, -veränderung und -nutzung]

(1) Das Speichern, Verändern oder Nutzen personenbezogener Daten ist
zulässig, wenn es zur Erfüllung der in der Zuständigkeit der
speichernden Stelle liegenden Aufgaben erforderlich ist und es für die
Zwecke erfolgt, für die die Daten erhoben worden sind. Ist keine Erhebung
vorausgegangen, dürfen die Daten nur für die Zwecke geändert
oder genutzt werden, für die sie gespeichert worden sind.

(2) Das Speichern, Verändern oder Nutzen für andere Zwecke ist
nur zulässig, wenn

(3) Eine Verarbeitung oder Nutzung für andere Zwecke liegt nicht vor,
wenn sie der Wahrnehmung von Aufsichts- und Kontrollbefugnissen, der
Rechnungsprüfung oder der Durchführung von Organisationsuntersuchungen
für die speichernde Stelle dient. Das gilt auch für die Verarbeitung
oder Nutzung zu Ausbildungs- und Prüfungszwecken durch die speichernde
Stelle, soweit nicht überwiegende schutzwürdige Interessen des
Betroffenen entgegenstehen.

(4) Personenbezogene Daten, die ausschließlich zu Zwecken der
Datenschutzkontrolle, der Datensicherung oder zur Sicherstellung eines
ordnungsgemäßen Betriebes einer Datenverarbeitungsanlage gespeichert
werden, dürfen nur für diese Zwecke verwendet werden.

§ 15

[Datenübermittlung an öffentliche Stellen]

(1) Die Übermittlung personenbezogener Daten an öffentliche Stellen
ist zulässig, wenn

(2) Die Verantwortung für die Zulässigkeit der Übermittlung
trägt die übermittelnde Stelle. Erfolgt die Übermittlung auf
Ersuchen des Empfängers, trägt dieser die Verantwortung. In diesem
Falle prüft die übermittelnde Stelle nur, ob das
Übermittlungsersuchen im Rahmen der Aufgaben des Empfängers liegt,
es sei denn, daß besonderer Anlaß zur Prüfung der
Zulässigkeit der Übermittlung besteht. §
10 Abs.4 bleibt unberührt.

(3) Der Empfänger darf die übermittelten Daten für den Zweck
verarbeiten oder nutzen, zu dessen Erfüllung sie ihm übermittelt
werden. Eine Verarbeitung oder Nutzung für andere Zwecke ist nur unter
den Voraussetzungen des § 14
Abs.2 zulässig.

(4) Für die Übermittlung personenbezogener Daten an Stellen der
öffentlich-rechtlichen Religionsgesellschaften gelten die Absätze
1 bis 3 entsprechend, sofern sichergestellt ist, daß bei dem
Empfänger ausreichende Datenschutzmaßnahmen getroffen werden.

(5) Sind mit personenbezogenen Daten, die nach Absatz 1 übermittelt
werden dürfen, weitere personenbezogene Daten des Betroffenen oder eines
Dritten in Akten so verbunden, daß eine Trennung nicht oder nur mit
unvertretbarem Aufwand möglich ist, so ist die Übermittlung auch
dieser Daten zulässig, soweit nicht berechtigte Interessen des Betroffenen
oder eines Dritten an deren Geheimhaltung offensichtlich überwiegen;
eine Nutzung dieser Daten istunzulässig.

(6) Absatz 5 gilt entsprechend, wenn personenbezogene Daten innerhalb einer
öffentlichen Stelle weitergegeben werden.

§ 16

[Datenübermittlung an nicht-öffentliche Stellen]

(1) Die Übermittlung personenbezogener Daten an nicht-öffentliche
Stellen ist zulässig, wenn

(2) Die Verantwortung für die Zulässigkeit der Übermittlung
trägt die übermittelnde Stelle.

(3) In den Fällen der Übermittlung nach Absatz 1 Nr.2 unterrichtet
die übermittelnde Stelle den Betroffenen von der Übermittlung seiner
Daten. Dies gilt nicht, wenn damit zu rechnen ist, daß er davon auf
andere Weise Kenntnis erlangt, oder wenn die Unterrichtung die öffentliche
Sicherheit gefährden oder sonst dem Wohle des Bundes oder eines Landes
Nachteile bereiten würde.

(4) Der Empfänger darf die übermittelten Daten nur für den
Zweck verarbeiten oder nutzen, zu dessen Erfüllung sie ihm übermittelt
werden. Die übermittelnde Stelle hat den Empfänger darauf hinzuweisen.
Eine Verarbeitung oder Nutzung für andere Zwecke ist zulässig,
wenn eine Übermittlung nach Absatz 1 zulässig wäre und die
übermittelnde Stelle zugestimmt hat.

§ 17

[Datenübermittlung an Stellen außerhalb des Geltungsbereiches dieses Gesetzes]

(1) Für die Übermittlung personenbezogener Daten an Stellen
außerhalb des Geltungsbereichs dieses Gesetzes sowie an über-
und zwischenstaatliche Stellen gilt §
16 Abs.1 nach Maßgabe der
für diese Übermittlung geltenden Gesetze und Vereinbarungen, sowie
§ 16 Abs.3.

(2) Eine Übermittlung unterbleibt, soweit Grund zu der Annahme besteht,
daß durch sie gegen den Zweck eines deutschen Gesetzes verstoßen
würde.

(3) Die Verantwortung für die Zulässigkeit der Übermittlung
trägt die übermittelnde Stelle.

(4) Der Empfänger ist darauf hinzuweisen, daß die übermittelten
Daten nur zu dem Zweck verarbeitet oder genutzt werden dürfen, zu dessen
Erfüllung sie ihm übermittelt werden.

§ 18

[Durchführung des Datenschutzes in der Bundesverwaltung]

(1) Die obersten Bundesbehörden, der Präsident des
Bundeseisenbahnvermögens, die Vorstände der Unternehmen der Deutschen
Bundespost oder das Direktorium der Deutschen Bundespost im Rahmen seiner
Aufgabenstellung nach den §§ 9 bis 11 des Postverfassungsgesetzes
sowie die bundesunmittelbaren Körperschaften, Anstalten und Stiftungen
des öffentlichen Rechts, über die von der Bundesregierung oder
einer obersten Bundesbehörde lediglich die Rechtsaufsicht ausgeübt
wird, haben für ihren Geschäftsbereich die Ausführung dieses
Gesetzes sowie anderer Rechtsvorschriften über den Datenschutz
sicherzustellen. Das gleiche gilt für die Vorstände der aus dem Sondervermögen
Deutsche Bundespost hervorgegangenen Unternehmen, solange diesen ein ausschließliches
Recht nach dem Postgesetz zusteht.

(2) Die öffentlichen Stellen führen ein Verzeichnis der eingesetzten
Datenverarbeitungsanlagen. Für ihre Dateien haben sie schriftlich
festzulegen:

(3) Absatz 2 Satz 2 gilt nicht für Dateien, die nur vorübergehend
vorgehalten und innerhalb von drei Monaten nach ihrer Erstellung gelöscht
werden.

Zweiter Unterabschnitt:

Rechte des Betroffenen

§ 19

[Auskunft an den Betroffenen]

(1) Dem Betroffenen ist auf Antrag Auskunft zu erteilen über

(2) Absatz 1 gilt nicht für personenbezogene Daten, die nur deshalb
gespeichert sind, weil sie aufgrund gesetzlicher, satzungsmäßiger
oder vertraglicher Aufbewahrungsvorschriften nicht gelöscht werden
dürfen, oder ausschließlich Zwecken der Datensicherung oder der
Datenschutzkontrolle dienen.

(3) Bezieht sich die Auskunftserteilung auf die Übermittlung
personenbezogener Daten an Verfassungsschutzbehörden, den
Bundesnachrichtendienst, den Militärischen Abschirmdienst und, soweit
die Sicherheit des Bundes berührt wird, andere Behörden des
Bundesministers der Verteidigung, ist sie nur mit Zustimmung dieser Stellen
zulässig.

(4) Die Auskunftserteilung unterbleibt, soweit

(5) Die Ablehnung der Auskunftserteilung bedarf einer Begründung nicht,
soweit durch die Mitteilung der tatsächlichen und rechtlichen Gründe,
auf die die Entscheidung gestützt wird, der mit der Auskunftsverweigerung
verfolgte Zweck gefährdet würde. In diesem Falle ist der Betroffene
darauf hinzuweisen, daß er sich an den Bundesbeauftragten für
den Datenschutz wenden kann.

(6) Wird dem Betroffenen keine Auskunft erteilt, so ist sie auf sein Verlangen
dem Bundesbeauftragten für den Datenschutz zu erteilen, soweit nicht
die jeweils zuständige oberste Bundesbehörde im Einzelfall feststellt,
daß dadurch die Sicherheit des Bundes oder eines Landes gefährdet
würde. Die Mitteilung des Bundesbeauftragten an den Betroffenen darf
keine Rückschlüsse auf den Erkenntnisstand der speichernden Stelle
zulassen, sofern diese nicht einer weitergehenden Auskunft zustimmt.

(7) Die Auskunft ist unentgeltlich.

§ 20

[Berichtigung, Löschung und Sperrung von Daten]

(1) Personenbezogene Daten sind zu berichtigen, wenn sie unrichtig sind.
Wird festgestellt, daß personenbezogene Daten in Akten unrichtig sind,
oder wird ihre Richtigkeit von dem Betroffenen bestritten, so ist dies in
der Akte zu vermerken oder auf sonstige Weise festzuhalten.

(2) Personenbezogene Daten in Dateien sind zu löschen, wenn

(3) An die Stelle einer Löschung tritt eine Sperrung, soweit

(4) Personenbezogene Daten in Dateien sind ferner zu sperren, soweit ihre
Richtigkeit vom Betroffenen bestritten wird und sich weder die Richtigkeit
noch die Unrichtigkeit feststellen läßt.

(5) Personenbezogene Daten in Akten sind zu sperren, wenn die Behörde
im Einzelfall feststellt, daß ohne die Sperrung schutzwürdige
Interessen des Betroffenen beeinträchtigt würden und die Daten
für die Aufgabenerfüllung der Behörde nicht mehr erforderlich
sind.

(6) Gesperrte Daten dürfen ohne Einwilligung des Betroffenen nur
übermittelt oder genutzt werden, wenn

(7) Von der Berichtigung unrichtiger Daten, der Sperrung bestrittener Daten
sowie der Löschung oder Sperrung wegen Unzulässigkeit der Speicherung
sind die Stellen zu verständigen, denen im Rahmen einer
regelmäßigen Datenübermittlung diese Daten zur Speicherung
weitergegeben werden, wenn dies zur Wahrung schutzwürdiger Interessen
des Betroffenen erforderlich ist.

(8) § 2 Abs.1 bis 6, 8 und 9 des Bundesarchivgesetzes ist anzuwenden.

§ 21

[Anrufung des Bundesbeauftragten für den Datenschutz]

Jedermann kann sich an den Bundesbeauftragten für den Datenschutz wenden,
wenn er der Ansicht ist, bei der Erhebung, Verarbeitung oder Nutzung seiner
personenbezogenen Daten durch öffentliche Stellen des Bundes in seinen
Rechten verletzt worden zu sein. Für die Erhebung, Verarbeitung oder
Nutzung von personenbezogenen Daten durch Gerichte des Bundes gilt dies nur,
soweit diese in Verwaltungsangelegenheiten tätig werden.

Dritter Unterabschnitt:

Bundesbeauftragter für den Datenschutz

§ 22

[Wahl des Bundesbeauftragten für den Datenschutz]

(1) Der Deutsche Bundestag wählt auf Vorschlag der Bundesregierung den
Bundesbeauftragten für den Datenschutz mit mehr als der Hälfte
der gesetzlichen Zahl seiner Mitglieder. Der Bundesbeauftragte muß
bei seiner Wahl das 35. Lebensjahr vollendet haben. Der Gewählte ist
vom Bundespräsidenten zu ernennen.

(2) Der Beauftragte leistet vor dem Bundesminister des Innern folgenden Eid:

(3) Die Amtszeit des Bundesbeauftragten beträgt fünf Jahre. Einmalige
Wiederwahl ist zulässig.

(4) Der Bundesbeauftragte steht nach Maßgabe dieses Gesetzes zum Bund
in einem öffentlich-rechtlichen Amtsverhältnis. Er ist in
Ausübung seines Amtes unabhängig und nur dem Gesetz unterworfen.
Er untersteht der Rechtsaufsicht der Bundesregierung.

(5) Der Bundesbeauftragte wird beim Bundesminister des Innern eingerichtet.
Er untersteht der Dienstaufsicht des Bundesministers des Innern. Dem
Bundesbeauftragten ist die für die Erfüllung seiner Aufgaben notwendige
Personal- und Sachausstattung zur Verfügung zu stellen; sie ist im
Einzelplan des Bundesministers des Innern in einem eigenen Kapitel auszuweisen.
Die Stellen sind im Einvernehmen mit dem Bundesbeauftragten zu besetzen.
Die Mitarbeiter können, falls sie mit der beabsichtigten Maßnahme
nicht einverstanden sind, nur im Einvernehmen mit ihm versetzt, abgeordnet
oder umgesetzt werden.

(6) Ist der Bundesbeauftragte vorübergehend an der Ausübung seines
Amtes verhindert, kann der Bundesminister des Innern einen Vertreter mit
der Wahrnehmung der Geschäfte beauftragen. Der Bundesbeauftragte soll
dazu gehört werden.

§ 23

[Rechtsstellung des Bundesbeauftragten für den Datenschutz]

(1) Das Amtsverhältnis des Bundesbeauftragten für den Datenschutz
beginnt mit der Aushändigung der Ernennungsurkunde. Es endet

(2) Der Bundesbeauftragte darf neben seinem Amt kein anderes besoldetes Amt,
kein Gewerbe und keinen Beruf ausüben und weder der Leitung oder dem
Aufsichtsrat oder Verwaltungsrat eines auf Erwerb gerichteten Unternehmens
noch einer Regierung oder einer gesetzgebenden Körperschaft des Bundes
oder eines Landes angehören. Er darf nicht gegen Entgelt
außergerichtliche Gutachten abgeben.

(3) Der Bundesbeauftragte hat dem Bundesminister des Innern Mitteilung über
Geschenke zu machen, die er in bezug auf sein Amt erhält. Der Bundesminister
des Innern entscheidet über die Verwendung der Geschenke.

(4) Der Bundesbeauftragte ist berechtigt, über Personen, die ihm in
seiner Eigenschaft als Bundesbeauftragter Tatsachen anvertraut haben, sowie
über diese Tatsachen selbst das Zeugnis zu verweigern. Dies gilt auch
für die Mitarbeiter des Bundesbeauftragten mit der Maßgabe, daß
über die Ausübung dieses Rechts der Bundesbeauftragte entscheidet.
Soweit das Zeugnisverweigerungsrecht des Bundesbeauftragten reicht, darf
die Vorlegung oder Auslieferung von Akten oder anderen Schriftstücken
von ihm nicht gefordert werden.

(5) Der Bundesbeauftragte ist, auch nach Beendigung seines
Amtsverhältnisses, verpflichtet, über die ihm amtlich bekanntgewordenen
Angelegenheiten Verschwiegenheit zu bewahren. Dies gilt nicht für
Mitteilungen im dienstlichen Verkehr oder über Tatsachen, die offenkundig
sind oder ihrer Bedeutung nach keiner Geheimhaltung bedürfen. Der
Bundesbeauftragte darf, auch wenn er nicht mehr im Amt ist, über solche
Angelegenheiten ohne Genehmigung des Bundesministers des Innern weder vor
Gericht noch außergerichtlich aussagen oder Erklärungen abgeben.
Unberührt bleibt die gesetzlich begründete Pflicht, Straftaten
anzuzeigen und bei Gefährdung der freiheitlichen demokratischen Grundordnung
für deren Erhaltung einzutreten.

(6) Die Genehmigung, als Zeuge auszusagen, soll nur versagt werden, wenn
die Aussage dem Wohle des Bundes oder eines deutschen Landes Nachteile bereiten
oder die Erfüllung öffentlicher Aufgab en ernstlich gefährden
oder erheblich erschweren würde. Die Genehmigung, ein Gutachten zu
erstatten, kann versagt werden, wenn die Erstattung den dienstlichen Interessen
Nachteile bereiten würde. § 28 des Gesetzes über das
Bundesverfassungsgericht in der Fassung der Bekanntmachung vom 12.Dezember
1985 (BGBl. I S. 2229) bleibt unberührt.

(7) Der Bundesbeauftragte erhält vom Beginn des Kalendermonats an, in
dem das Amtsverhältnis beginnt, bis zum Schluß des Kalendermonats,
in dem das Amtsverhältnis endet, im Falle des Absatzes 1 Satz 6 bis
zum Ende des Monats, in dem die Geschäftsführung endet,
Amtsbezüge in Höhe der einem Bundesbeamten der Besoldungsgruppe
B9 zustehenden Besoldung. Das Bundesreisekostengesetz und das
Bundesumzugskostengesetz sind entsprechend anzuwenden. Im übrigen sind
die §§ 13 bis 20 des Bundesministergesetzes in der Fassung der
Bekanntmachung vom 27.Juli 1971 (BGBl. I S. 1166), zuletzt geändert
durch das Gesetz zur Kürzung des Amtsgehalts der Mitglieder der
Bundesregierung und der Parlamentarischen Staatssekretäre vom 22.Dezember
1982 (BGBl. I S. 2007), mit der Maßgabe anzuwenden, daß an die
Stelle der zweijährigen Amtszeit in § 15 Abs.1 des
Bundesministergesetzes eine Amtszeit von fünf Jahren tritt. Abweichend
von Satz 3 in Verbindung mit den §§ 15 bis 17 des
Bundesministergesetzes berechnet sich das Ruhegehalt des Bundesbeauftragten
unter Hinzurechnung der Amtszeit als ruhegehaltsfähige Dienstzeit in
entsprechender Anwendung des Beamtenversorgungsgesetzes, wenn dies
günstiger ist und der Bundesbeauftragte sich unmittelbar vor seiner
Wahl zum Bundesbeauftragten als Beamter oder Richter mindestens in dem letzten
gewöhnlich vor Erreichen der Besoldungsgruppe B9 zu durchlaufenden
Amt befunden hat.

§ 24

[Kontrolle durch den Bundesbeauftragten für den Datenschutz]

(1) Der Bundesbeauftragte für den Datenschutz kontrolliert bei den
öffentlichen Stellen des Bundes die Einhaltung der Vorschriften dieses
Gesetzes und anderer Vorschriften über den Datenschutz. Werden
personenbezogene Daten in Akten verarbeitet oder genutzt, kontrolliert der
Bundesbeauftragte die Erhebung, Verarbeitung oder Nutzung, wenn der Betroffene
ihm hinreichende Anhaltspunkte dafür darlegt, daß er dabei in
seinen Rechten verletzt worden ist, oder dem Bundesbeauftragten hinreichende
Anhaltspunkte für eine derartige Verletzung vorliegen.

(2) Die Kontrolle des Bundesbeauftragten erstreckt sich auch auf personenbezogene Daten, die einem
Berufsgeheimnis, insbesondere dem Steuergeheimnis nach § 30 der Abgabenordnung,
untrliegen. Bei den Stellen des Bundes im Sinne des § 2 Abs.1 Satz 2
wird das Postgeheimnis (Artikel 10 des Grundgesetzes) eingeschränkt,
soweit dies zur Ausübung der Kontrolle bei den speichernden Stellen erforderlich ist. Das Kontrollrecht
erstreckt sich mit Ausnahme von Nummer 1 nicht auf den Inhalt des Post- und Fernmeldeverkehrs.
Der Kontrolle durch den Bundesbeauftragten unterliegen nicht:

(3) Die Bundesgerichte unterliegen der Kontrolle des Bundesbeauftragten nur,
soweit sie in Verwaltungsangelegenheiten tätig werden.

(4) Die öffentlichen Stellen des Bundes sind verpflichtet, den
Bundesbeauftragten und seine Beauftragten bei der Erfüllung ihrer Aufgaben
zu unterstützen. Ihnen ist dabei insbesondere

(5) Der Bundesbeauftragte teilt das Ergebnis seiner Kontrolle der
öffentlichen Stelle mit. Damit kann er Vorschläge zur Verbesserung
des Datenschutzes, insbesondere zur Beseitigung von festgestellten Mängeln
bei der Verarbeitung oder Nutzung personenbezogener Daten, verbinden. §
25 bleibt unberührt.

(6) Absatz 2 gilt entsprechend für die öffentlichen Stellen, die
für die Kontrolle der Einhaltung der Vorschriften über den Datenschutz
in den Ländern zuständig sind.

§ 25

[Beanstandungen durch den Bundesbeauftragten für den Datenschutz]

(1) Stellt der Bundesbeauftragte für den Datenschutz Verstöße
gegen die Vorschriften dieses Gesetzes oder gegen andere Vorschriften über
den Datenschutz oder sonstige Mängel bei der Verarbeitung oder Nutzung
personenbezogener Daten fest, so beanstandet er dies

(2) Der Bundesbeauftragte kann von einer Beanstandung absehen oder auf eine
Stellungnahme der betroffenen Stelle verzichten, insbesondere wenn es sich
um unerhebliche oder inzwischen beseitigte Mängel handelt.

(3) Die Stellungnahme soll auch eine Darstellung der Maßnahmen enthalten,
die auf Grund der Beanstandung des Bundesbeauftragten getroffen worden sind.
Die in Absatz 1 Satz 1 Nr.4 genannten Stellen leiten der zuständigen
Aufsichtsbehörde gleichzeitig eine Abschrift ihrer Stellungnahme an
den Bundesbeauftragten zu.

§ 26

[Weitere Aufgaben des Bundesbeauftragten für den Datenschutz, Dateienregister]

(1) Der Bundesbeauftragte für den Datenschutz erstattet dem Deutschen
Bundestag alle zwei Jahre einen Tätigkeitsbericht. Der
Tätigkeitsbericht soll auch eine Darstellung der wesentlichen Entwicklung
des Datenschutzes im nicht-öffentlichen Bereich enthalten.

(2) Auf Anforderung des Deutschen Bundestages oder der Bundesregierung hat
der Bundesbeauftragte Gutachten zu erstellen und Berichte zu erstatten. Auf
Ersuchen des Deutschen Bundestages, des Petitionsausschusses, des
Innenausschusses oder der Bundesregierung geht der Bundesbeauftragte ferner
Hinweisen auf Angelegenheiten und Vorgänge des Datenschutzes bei den
öffentlichen Stellen des Bundes nach. Der Bundesbeauftragte kann sich
jederzeit an den Deutschen Bundestag wenden.

(3) Der Bundesbeauftragte kann der Bundesregierung und den in §
12 Abs.1 genannten Stellen des
Bundes Empfehlungen zur Verbesserung des Datenschutzes geben und sie in Fragen
des Datenschutzes beraten. Die in §
25 Abs.1 Nr.1 bis 4 genannten
Stellen sind durch den Bundesbeauftragten zu unterrichten, wenn die Empfehlung
oder Beratung sie nicht unmittelbar betrifft.

(4) Der Bundesbeauftragte wirkt auf die Zusammenarbeit mit den öffentlichen
Stellen, die für die Kontrolle der Einhaltung der Vorschriften über
den Datenschutz in den Ländern zuständig sind, sowie mit den
Aufsichtsbehörden nach § 38 hin.

(5) Der Bundesbeauftragte führt ein Register der automatisiert
geführten Dateien, in denen personenbezogene Daten gespeichert werden.
Das gilt nicht für die Dateien der in §
19 Abs.3 genannten Behörden
sowie für Dateien nach §
18 Abs.3. Die öffentlichen
Stellen, deren Dateien in das Register aufgenommen werden, sind verpflichtet,
dem Bundesbeauftragten eine Übersicht gemäß §
18 Abs.2 Satz 2 Nr.1 bis 6
zuzuleiten. Das Register kann von jedermann eingesehen werden. Die Angaben
nach § 18 Abs.2 Satz 2 Nr.3 und 5 über Dateien der in §
6 Abs.2 genannten Behörden
unterliegen nicht der Einsichtnahme. Der Bundesbeauftragte kann im Einzelfall
für andere öffentliche Stellen mit deren Einverständnis festlegen,
daß einzelne Angaben nicht der Einsichtnahme unterliegen.

Dritter Abschnitt:

Datenverarbeitung nicht-öffentlicher Stellen und öffentlich-rechtlicher Wettbewerbsunternehmen

Erster Unterabschnitt:

Rechtsgrundlagen der Datenverarbeitung

§ 27

[Anwendungsbereich]

(1) Die Vorschriften dieses Abschnittes finden Anwendung, soweit personenbezogene
Daten in oder aus Dateien geschäftsmäßig oder für berufliche
oder gewerbliche Zwecke verarbeitet oder genutzt werden durch

(2) Die Vorschriften dieses Abschnittes gelten nicht für die Verarbeitung
und Nutzung personenbezogener Daten in Akten, soweit es sich nicht um
personenbezogene Daten handelt, die offensichtlich aus einer Datei entnommen
worden sind.

§ 28

[Datenspeicherung, -übermittlung und -nutzung für eigene Zwecke]

(1) Das Speichern, Verändern oder Übermitteln personenbezogener
Daten oder ihre Nutzung als Mittel für die Erfüllung eigener
Geschäftszwecke ist zulässig

(2) Die Übermittlung oder Nutzung ist auch zulässig

(3) Widerspricht der Betroffene bei der speichernden Stelle der Nutzung oder
Übermittlung seiner Daten für Zwecke der Werbung oder der Markt-
oder Meinungsforschung, ist eine Nutzung oder Übermittlung für
diese Zwecke unzulässig. Widerspricht der Betroffene beim Empfänger
der nach Absatz 2 übermittelten Daten der Verarbeitung oder Nutzung
für Zwecke der Werbung oder der Markt- oder Meinungsforschung, hat dieser
die Daten für diese Zwecke zu sperren.

(4) Der Empfänger darf die übermittelten Daten für den Zweck
verarbeiten oder nutzen, zu dessen Erfüllung sie ihm übermittelt
werden. Eine Verarbeitung oder Nutzung für andere Zwecke ist nur unter
den Voraussetzungen der Absätze 1 und 2 zulässig. Die
übermittelnde Stelle hat den Empfänger darauf hinzuweisen.

§ 29

[Geschäftsmäßige Datenspeicherung zum Zwecke der Übermittlung]

(1) Das geschäftsmäßige Speichern oder Verändern
personenbezogener Daten zum Zwecke der Übermittlung ist zulässig,
wenn

(2) Die Übermittlung ist zulässig, wenn