Gesetz zur Änderung des Datenschutzgesetzes

Artikel 1

Das Gesetz zum Schutz der informationellen Selbstbestimmung im Freistaat Sachsen (Sächsisches Datenschutzgesetz – SächsDSG) vom 25. August 2003 (SächsGVBl. S. 330) wird wie folgt geändert:

1.

Die Inhaltsübersicht wird wie folgt geändert:

 

a)

Nach der Angabe zu § 30 wird folgende Angabe eingefügt:
„§ 30a Aufsichtsbehörde für den nicht-öffentlichen Bereich“.

 

b)

Die Angabe zu § 40 wird wie folgt gefasst:
„§ 40 (aufgehoben)“.

2.

§ 2 wird wie folgt geändert:

 

a)

Dem Absatz 1 wird folgender Satz angefügt:
„Nehmen nicht-öffentliche Stellen hoheitliche Aufgaben der öffentlichen Verwaltung wahr, sind sie insoweit öffentliche Stellen im Sinne dieses Gesetzes.“

 

b)

Absatz 2 wird wie folgt gefasst:
„(2) Als öffentliche Stellen gelten auch juristische Personen und sonstige Vereinigungen des privaten Rechts, an denen eine oder mehrere der in Absatz 1 genannten juristischen Personen des öffentlichen Rechts mit absoluter Mehrheit der Anteile oder absoluter Mehrheit der Stimmen beteiligt sind. Beteiligt sich eine juristische Person oder sonstige Vereinigung des privaten Rechts, die nach Satz 1 als öffentliche Stelle gilt, an einer weiteren Vereinigung des privaten Rechts, so findet Satz 1 entsprechende Anwendung.“

 

c)

In Absatz 3 werden die Wörter „und die Sparkassen sowie für andere öffentlich-rechtliche Unternehmen mit eigener Rechtspersönlichkeit,“ durch die Wörter „die Sparkassen, für andere öffentlich-rechtliche Unternehmen mit eigener Rechtspersönlichkeit sowie für Stellen nach Absatz 2,“ ersetzt.

3.

§ 3 wird wie folgt geändert:

 

a)

Absatz 3 wird wie folgt gefasst:
„(3) Datenverarbeitende Stelle ist jede Stelle, die personenbezogene Daten für sich selbst verarbeitet oder durch andere im Auftrag verarbeiten lässt.“

 

b)

In Absatz 4 werden die Wörter „und der Auftragnehmer im Sinne des § 7 im Verhältnis zu seinem Auftraggeber in Ausführung des konkreten Auftragsverhältnisses“ gestrichen.

4.

§ 7 Abs. 1 Satz 2 wird wie folgt gefasst:
„Für die Einhaltung dieses Gesetzes und anderer Vorschriften über den Datenschutz ist der Auftraggeber verantwortlich.“

5.

§ 9 Abs. 1 wird wie folgt gefasst:
„(1) Öffentliche Stellen, die personenbezogene Daten verarbeiten, haben alle angemessenen personellen, technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um eine den Vorschriften dieses Gesetzes entsprechende Datenverarbeitung zu gewährleisten. Die Grundsätze der Datenvermeidung und Datensparsamkeit sind zu beachten.“

6.

§ 10 wird wie folgt geändert:

 

a)

Absatz 1 wird wie folgt geändert:

 

 

aa)

In Satz 2 Nr. 8 wird der Punkt durch ein Komma ersetzt und folgende Nummer 9 angefügt:
„9. Regelfristen für die Löschung der Daten.“

 

 

bb)

Satz 3 wird gestrichen.

 

b)

Absatz 5 wird Absatz 4 und wie folgt geändert:
Dem Absatz werden folgende Sätze angefügt:
„In den Fällen, in denen die Personalvertretung nach den Vorschriften des Sächsischen Personalvertretungsgesetzes (SächsPersVG) in der Fassung der Bekanntmachung vom 25. Juni 1999 (SächsGVBl. S. 430), zuletzt geändert durch Artikel 3 des Gesetzes vom 22. April 2005 (SächsGVBl. S. 121, 124), in der jeweils geltenden Fassung, zu unterrichten ist oder die der Mitwirkung oder Mitbestimmung der Personalvertretung unterliegen, ist die Stellungnahme der zuständigen Personalvertretung zuzuleiten. Entsprechendes gilt für die Unterrichtung oder Mitbestimmung des Betriebsrates nach dem Betriebsverfassungsgesetz in der Fassung der Bekanntmachung vom 25. September 2001 (BGBl. I S. 2518), zuletzt geändert durch Artikel 3 Abs. 3 des Gesetzes vom 14. August 2006 (BGBl. I S. 1897, 1907), in der jeweils geltenden Fassung. Der Datenschutzbeauftragte nach § 11 einer mit der Aufsicht betrauten öffentlichen Stelle hat, wenn ein Verfahren auch von nachgeordneten öffentlichen Stellen eingesetzt werden soll, das Ergebnis seiner Vorabkontrolle diesen sowie dem Sächsischen Datenschutzbeauftragten mitzuteilen.“

 

c)

Der bisherige Absatz 4 wird Absatz 5 und wie folgt geändert:

 

 

aa)

Die Angabe „Absätze 1 bis 3“ wird durch die Angabe „Absätze 1 bis 4“ ersetzt.

 

 

bb)

In Nummer 2 wird das Wort „Vorgangsverwaltung,“ gestrichen.

7.

§ 11 wird wie folgt geändert:

 

a)

In Absatz 1 Satz 1 werden nach dem Wort „Datenschutzbeauftragten“ die Wörter „sowie einen Vertreter, der ihn bei Abwesenheit vertritt,“ eingefügt.

 

b)

Nach Absatz 2 wird folgender Absatz 3 eingefügt:
„(3) Der Datenschutzbeauftragte darf zur Aufgabenerfüllung Einsicht in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie deren Anwendungsvorschriften nehmen. Seine Kontrolle erstreckt sich auch auf personenbezogene Daten, die einem Berufs- oder besonderem Amtsgeheimnis, insbesondere dem Steuergeheimnis nach § 30 der Abgabenordnung, unterliegen. § 27 Abs. 2 gilt entsprechend.“

 

c)

Der bisherige Absatz 3 wird Absatz 4 und wie folgt geändert:
In Satz 2 Nr. 5 werden die Wörter „Auskunft über die Angaben nach § 10 Abs. 1 Satz 2 Nr. 1 bis 7 zu erteilen“ durch die Wörter „Einsicht in die Unterlagen mit den Angaben nach § 10 Abs. 1 Satz 2 Nr. 1 bis 7 zu gewähren“ ersetzt.

 

d)

Der bisherige Absatz 4 wird Absatz 5.

8.

Dem § 30 Abs. 1 wird folgender Satz angefügt:
„Er unterrichtet den Sächsischen Landtag und die Öffentlichkeit über wesentliche Entwicklungen des Datenschutzes.“

9.

Nach § 30 wird folgender § 30a eingefügt:

„§ 30a
Aufsichtsbehörde für den nicht-öffentlichen Bereich

Der Sächsische Datenschutzbeauftragte ist die zuständige Aufsichtsbehörde nach § 38 BDSG über nicht-öffentliche Stellen im Anwendungsbereich des Dritten Abschnitts des Bundesdatenschutzgesetzes. Er unterliegt insoweit, abweichend von § 25 Abs. 4 Satz 1, der Rechtsaufsicht der Staatsregierung.“

10.

§ 31 Abs. 2 Satz 1 wird wie folgt gefasst:
„Das Register nach Absatz 1 kann von jedermann eingesehen werden.“

11.

In § 36 Abs. 6 Satz 2 und 3 wird jeweils die Angabe "Abs. 3" durch die Angabe "Abs. 4" ersetzt.

12.

§ 38 wird wie folgt geändert:

 

a)

Absatz 1 wird wie folgt geändert:

 

 

aa)

Nach Nummer 3 wird folgende Nummer 3a eingefügt:
„3a. entgegen § 10 Abs. 3 Satz 1 eine Meldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht,“.

 

 

bb)

In Nummer 5 wird die Angabe „Abs. 4“ durch die Angabe „Abs. 5“ ersetzt.

 

 

cc)

Nach Nummer 8 werden die folgenden Nummern 8a und 8b eingefügt:
„8a. entgegen § 28 Abs. 1 Satz 1 Nr. 1 eine Auskunft nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig erteilt,
8b. entgegen § 28 Abs. 1 Satz 1 Nr. 2 Einsicht in Unterlagen und Akten oder Zutritt zu den Diensträumen nicht, nicht vollständig oder nicht rechtzeitig gewährt,“.

 

b)

Absatz 3 wird wie folgt gefasst:
„(3) Der Sächsische Datenschutzbeauftragte ist Verwaltungsbehörde im Sinne von § 36 Abs. 1 Nr. 1 des Gesetzes über Ordnungswidrigkeiten (OWiG) in der Fassung der Bekanntmachung vom 19. Februar 1987 (BGBl. I S. 602), das zuletzt durch Artikel 3 Abs. 6 des Gesetzes vom 12. Juli 2006 (BGBl. I S. 1466, 1470), geändert worden ist, in der jeweils geltenden Fassung. Die Staatsregierung wird ermächtigt, dem Sächsischen Datenschutzbeauftragten durch Rechtsverordnung die Zuständigkeit für die Verfolgung und Ahndung von Ordnungswidrigkeiten nach anderen datenschutzrechtlichen Bestimmungen zuzuweisen. Die Zuweisung bedarf der Zustimmung des Sächsischen Datenschutzbeauftragten.“

13.

§ 40 wird aufgehoben.

Artikel 2

Die Verordnung der Sächsischen Staatsregierung über Zuständigkeiten nach dem Gesetz über Ordnungswidrigkeiten ( OWiZuVO) vom 2. Juli 1993 (SächsGVBl. S. 561), zuletzt geändert durch Artikel 2 der Verordnung vom 19. Juni 2006 (SächsGVBl. S. 152, 154), wird aufgrund von § 36 Abs. 2 des Gesetzes über Ordnungswidrigkeiten (OWiG) in der Fassung der Bekanntmachung vom 19. Februar 1987 (BGBl. I S. 602), das zuletzt durch Artikel 3 Abs. 6 des Gesetzes vom 12. Juli 2006 (BGBl. I S. 1466, 1470) geändert worden ist, und § 38 Abs. 3 des Gesetzes zum Schutz der informationellen Selbstbestimmung im Freistaat Sachsen (Sächsisches Datenschutzgesetz – SächsDSG) vom 25. August 2003 (SächsGVBl. S. 330), das durch Artikel 1 des Gesetzes vom 14. Dezember 2006 (SächsGVBl. S. 530) geändert worden ist, wie folgt geändert:

1.

Nach § 3 wird folgender § 3a eingefügt:

„§ 3a
Zuständigkeit des Sächsischen Datenschutzbeauftragten

Der Sächsische Datenschutzbeauftragte ist zuständig für die Verfolgung und Ahndung von Ordnungswidrigkeiten nach dem Bundesdatenschutzgesetz.“

2.

§ 4 Abs. 4 Nr. 4 wird gestrichen.

Artikel 3

Das Staatsministerium des Innern kann den Wortlaut des Sächsischen Datenschutzgesetzes in der vom Inkrafttreten dieses Gesetzes an geltenden Fassung im Sächsischen Gesetz- und Verordnungsblatt bekannt machen.

Artikel 4

Dieses Gesetz tritt am 1. Januar 2007 in Kraft. Gleichzeitig tritt die Verordnung der Sächsischen Staatsregierung über die Regelung der Zuständigkeit der Aufsichtsbehörden nach § 38 Abs. 6 des Bundesdatenschutzgesetztes vom 27. August 1991 (SächsGVBl. S. 324) außer Kraft.

Das vorstehende Gesetz wird hiermit ausgefertigt und ist zu verkünden.

Dresden, den 14. Dezember 2006

Der Landtagspräsident
Erich Iltgen

Der Ministerpräsident
Prof. Dr. Georg Milbradt

Der Staatsminister des Innern
Dr. Albrecht Buttolo