Teil 2: Verarbeitung personenbezogener Daten nach Maßgabe der Datenschutz-Grundverordnung

Abschnitt 4: Besonderer Datenschutz

§ 19 Verarbeitung besonderer Kategorien personenbezogener Daten

(1)  ¹Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Abs. 1 der Datenschutz-Grundverordnung ist auf der Basis einer ausdrücklichen Einwilligung der betroffenen Person zulässig. ²Die Einwilligung in die Verarbeitung genetischer oder biometrischer Daten oder Gesundheitsdaten bedarf der Schriftform. ³Die Übermittlung derartiger Daten auf der Grundlage einer Einwilligung ist nur wirksam, wenn die empfangende Stelle Kenntnis von Inhalt und Reichweite der Einwilligung hat.

(2)  ¹Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Abs. 1 der Datenschutz-Grundverordnung durch öffentliche Stellen ist zulässig, wenn sie aus Gründen eines erheblichen öffentlichen Interesses zwingend erforderlich ist und soweit die Interessen des Verantwortlichen an der Datenverarbeitung die schutzwürdigen Interessen der betroffenen Person überwiegen. ²Ein erhebliches öffentliches Interesse im Sinne des Satzes 1 ist insbesondere anzunehmen bei

1. der Abwehr einer Gefahr für die öffentliche Sicherheit,

2. der Verfolgung von Straftaten von Bedeutung,

3. der Verteidigung oder der Erfüllung über- oder zwischenstaatlicher Verpflichtungen einer öffentlichen Stelle des Bundes auf dem Gebiet der Krisenbewältigung oder Konfliktverhinderung oder für humanitäre Maßnahmen oder

4. der Abwehr von Nachteilen für das Gemeinwohl oder zur Wahrung von Belangen des Gemeinwohls.

(3)  ¹Bei der Verarbeitung genetischer oder biometrischer Daten oder Gesundheitsdaten haben die Verantwortlichen angemessene und spezifische Maßnahmen, insbesondere technische und organisatorische Maßnahmen, zur Wahrung der Grundrechte und Interessen der betroffenen Person vorzusehen. ²Mindestens haben die Verantwortlichen

1. zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem die Daten eingegeben, verändert oder entfernt worden sind,

2. die an den Verarbeitungsvorgängen Beteiligten zu sensibilisieren,

3. den Zugang zu den Daten beim Verantwortlichen und von Auftragsverarbeitern zu beschränken,

4. die Grundsätze der Datenminimierung und Speicherbegrenzung sowie die Notwendigkeit einer Datenschutz-Folgenabschätzung zu berücksichtigen,

5. die Daten im Fall der Übermittlung zu verschlüsseln,

6. die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung der Daten sicherzustellen,

7. die Fähigkeit, die Verfügbarkeit und den Zugang bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen,

8. ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung einzurichten und

9. im Fall einer Übermittlung oder Verarbeitung für andere Zwecke, die Einhaltung der Vorgaben dieses Gesetzes sowie der Datenschutz-Grundverordnung durch spezifische Verfahrensregelungen sicherzustellen.

³Artikel 32 der Datenschutz-Grundverordnung bleibt unberührt.

(4)  ¹Die Verarbeitung von genetischen oder biometrischen Daten oder Gesundheitsdaten im Auftrag ist nur zulässig, wenn der Auftragsverarbeiter entsprechend dem Schutzbedarf der Daten angemessene Vorkehrungen zum Datenschutz im Sinne des Absatzes 3 getroffen hat und keine überwiegenden schutzwürdigen Interessen der betroffenen Person einer Auslagerung der Datenverarbeitung entgegenstehen. ²Die Beauftragung von Stellen außerhalb des Geltungsbereichs der Datenschutz-Grundverordnung ist unzulässig.

(5) Sofern an einer gemeinsamen Verarbeitung personenbezogener Daten im Sinne von Artikel 26 der Datenschutz-Grundverordnung, die zumindest auch genetische oder biometrische Daten oder Gesundheitsdaten umfasst, Stellen beteiligt sind, die dem Geltungsbereich dieses Gesetzes unterliegen, ist diese nur zulässig, wenn die Erfüllung der in der Datenschutz-Grundverordnung enthaltenen Anforderungen vor Beginn der Datenverarbeitung gegenüber der oder dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit nachgewiesen worden ist.