Sächsisches Datenschutzdurchführungsgesetz — für Schulen und ihre Auftragsverarbeiter maßgebliche Vorschriften

(1) ^1 Dieses Gesetz gilt für die Verarbeitung personenbezogener Daten im Anwendungsbereich der Verordnung (EU) 2016/679 durch Behörden und sonstige öffentliche Stellen des Freistaates Sachsen, der Gemeinden und Landkreise sowie der sonstigen der Aufsicht des Freistaates Sachsen unterstehenden juristischen Personen des öffentlichen Rechts (öffentliche Stellen). ^2 Nehmen nicht-öffentliche Stellen hoheitliche Aufgaben der öffentlichen Verwaltung wahr, sind sie insoweit öffentliche Stellen im Sinne dieses Gesetzes. ^3 Für den Landtag gilt dieses Gesetz nur, soweit er in Verwaltungsangelegenheiten tätig wird. ^4 Soweit der Landtag, seine Gremien, seine Mitglieder, die Fraktionen und deren Beschäftigte sowie die Landtagsverwaltung in Wahrnehmung parlamentarischer Aufgaben personenbezogene Daten verarbeiten, gibt sich der Landtag unter Berücksichtigung seiner verfassungsrechtlichen Stellung eine Datenschutzordnung.

(2) ^1 Als öffentliche Stellen gelten auch juristische Personen und sonstige Vereinigungen des privaten Rechts, an denen eine oder mehrere der in Absatz 1 genannten juristischen Personen des öffentlichen Rechts mit absoluter Mehrheit der Anteile oder absoluter Mehrheit der Stimmen beteiligt sind. ^2 Beteiligt sich eine juristische Person oder sonstige Vereinigung des privaten Rechts, die nach Satz 1 als öffentliche Stelle gilt, an einer weiteren Vereinigung des privaten Rechts, findet Satz 1 entsprechend Anwendung.

(3) Für die Sachsen-Finanzgruppe, die Sparkassen, andere öffentlich-rechtliche Unternehmen mit eigener Rechtspersönlichkeit und Stellen nach Absatz 2, die am Wettbewerb teilnehmen, gelten ergänzend zur Verordnung (EU) 2016/679 die für nicht-öffentliche Stellen geltenden Vorschriften des Bundesdatenschutzgesetzes vom 30. Juni 2017 (BGBl. I S. 2097), in der jeweils geltenden Fassung.

(4) ^1 Für die Verarbeitung personenbezogener Daten, die nicht in den sachlichen Anwendungsbereich nach Artikel 2 Absatz 1 der Verordnung (EU) 2016/679 fällt, oder die im Rahmen einer Tätigkeit erfolgt, die nach Artikel 2 Absatz 2 Buchstabe a der Verordnung (EU) 2016/679 nicht in deren Anwendungsbereich fällt, gelten ergänzend zu diesem Gesetz die Artikel 4 bis 26, 28 Absatz 1 bis 5, 9 und 10, Artikel 29 bis 35 Absatz 1 bis 3 und 7 bis 11, Artikel 36 bis 39, 44 bis 46 Absatz 1 bis 3, Artikel 48, 49, 55, 57 bis 59, 77 und 82 der Verordnung (EU) 2016/679 entsprechend, soweit dieses Gesetz oder andere spezielle Rechtsvorschriften keine abweichenden Regelungen enthalten. ^2 Die Artikel 30, 35 Absatz 1 bis 3 und 7 bis 11 und Artikel 36 der Verordnung (EU) 2016/679 gelten abweichend von Satz 1 nur, soweit die Verarbeitung automatisiert erfolgt oder die Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

(5) Soweit besondere Rechtsvorschriften des Freistaates Sachsen oder des Bundes den Schutz personenbezogener Daten regeln, gehen sie den Vorschriften dieses Gesetzes vor.

(1) Die Verarbeitung personenbezogener Daten durch öffentliche Stellen ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.

(2) ^1 Zu dem Zweck einer Verarbeitung personenbezogener Daten zählt auch die Verarbeitung zur Wahrnehmung von Aufsichts- und Kontrollbefugnissen, zur Rechnungsprüfung, zur Durchführung von Organisationsuntersuchungen und zur Prüfung und Wartung von automatisierten Verfahren sowie zu statistischen Zwecken des Verantwortlichen. ^2 Dies gilt auch für die Verarbeitung zu Aus-, Fort-, Weiterbildungs- und Prüfungszwecken, soweit nicht schutzwürdige Interessen der betroffenen Person entgegenstehen.

(1) Eine Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, ist zulässig, wenn

(2) Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679 zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, ist zulässig, wenn die Voraussetzungen nach Absatz 1 und ein Ausnahmetatbestand nach Artikel 9 Absatz 2 der Verordnung (EU) 2016/679 vorliegen.

(3) Sind mit personenbezogenen Daten, die auf Grund von Rechtsvorschriften im Sinne des Artikels 6 Absatz 1 Buchstabe c oder Buchstabe e der Verordnung (EU) 2016/679 verarbeitet werden, weitere personenbezogene Daten der betroffenen Person oder Dritter so verbunden, dass eine Trennung nicht oder nur mit unverhältnismäßigem Aufwand möglich ist, ist die Übermittlung auch dieser Daten an öffentliche Stellen zulässig, soweit nicht Rechte und Freiheiten der betroffenen Person oder anderer Personen an deren Geheimhaltung offensichtlich überwiegen; eine weitere Verarbeitung dieser Daten ist unzulässig.

(4) Unterliegen die übermittelten Daten einem Berufsgeheimnis, ist ihre Verarbeitung zu einem anderen Zweck im Sinne der Absätze 1 und 2 nur zulässig, wenn die zur Verschwiegenheit verpflichtete Person oder Stelle eingewilligt hat.

(5) Abweichend von Artikel 13 Absatz 3 und Artikel 14 Absatz 4 der Verordnung (EU) 2016/679 erfolgt eine Information der betroffenen Person über die Datenverarbeitung nach Absatz 1 Nummer 1 bis 3 nicht, soweit und solange hierdurch der Zweck der Verarbeitung gefährdet würde.

(1) ^1 Die Verantwortung für die Zulässigkeit der Übermittlung personenbezogener Daten trägt die übermittelnde Stelle. ^2 Erfolgt die Übermittlung auf Ersuchen einer öffentlichen Stelle, trägt diese die Verantwortung. ^3 In diesem Fall prüft die übermittelnde Stelle nur, ob das Übermittlungsersuchen im Rahmen der Aufgaben des Empfängers liegt, es sei denn, es besteht besonderer Anlass zur Prüfung der Zulässigkeit der Übermittlung.

(2) Erfolgt die Übermittlung durch automatisierten Abruf, trägt die Verantwortung für die Rechtmäßigkeit des Abrufes die abrufende öffentliche Stelle.

(1) ^1 Öffentliche Stellen dürfen personenbezogene Daten einschließlich Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679 von Bewerbern oder Beschäftigten nur verarbeiten, soweit dies zur Eingehung, Durchführung, Beendigung oder Abwicklung des Dienst- oder Arbeitsverhältnisses oder zur Durchführung organisatorischer, personeller und sozialer Maßnahmen, insbesondere auch zu Zwecken der Personalplanung und des Personaleinsatzes, erforderlich ist oder eine Rechtsvorschrift, ein Tarifvertrag oder eine Dienst- oder Betriebsvereinbarung dies vorsieht. ^2 Dies gilt auch für Daten Dritter, deren Verarbeitung für die in Satz 1 genannten Zwecke erforderlich ist.

(2) ^1 Bei der Verarbeitung von personenbezogenen Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679 sind angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person vorzusehen. ^2 Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und der Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen kann dazu unbeschadet der in den Artikeln 25, 32 und 36 der Verordnung (EU) 2016/679 genannten Maßnahmen insbesondere gehören:

(3) Eine Veröffentlichung der Daten von Beschäftigten ist unbeschadet des Artikels 6 Absatz 1 Buchstabe a der Verordnung (EU) 2016/679 nur zulässig, wenn diese zum Zweck der Information der Allgemeinheit oder der anderen Beschäftigten erforderlich ist und ihr keine schutzwürdigen Interessen der betroffenen Person entgegenstehen.

(4) ^1 Daten, die vor Beginn eines Dienst- oder Arbeitsverhältnisses erhoben wurden, sind unverzüglich zu löschen, sobald feststeht, dass ein Dienst- oder Arbeitsverhältnis nicht zustande kommt. ^2 Dies gilt nicht, wenn Grund zu der Annahme besteht, dass durch die Löschung schutzwürdige Belange der betroffenen Person beeinträchtigt werden. ^3 Die betroffene Person ist hiervon zu verständigen.

(5) Daten von Beschäftigten, die zur Verhaltens- oder Leistungskontrolle erhoben werden, dürfen nur zu diesem Zweck verarbeitet werden.

(1) Die Erhebung personenbezogener Daten mit Hilfe von optisch-elektronischen Einrichtungen (Videoüberwachung), deren Speicherung und sonstige Verarbeitung sind nur zulässig, soweit dies jeweils zur Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe oder in Ausübung des Hausrechts erforderlich ist und keine Anhaltspunkte dafür bestehen, dass schutzwürdige Interessen betroffener Personen überwiegen.

(2) Eine Weiterverarbeitung zu anderen Zwecken ist nur zulässig, soweit dies zur Abwehr von Gefahren für die öffentliche Sicherheit sowie zur Verfolgung von Straftaten, zur Geltendmachung von Rechtsansprüchen oder zur Wahrung schutzwürdiger Interessen betroffener Personen, insbesondere zur Behebung einer bestehenden Beweisnot, erforderlich ist.

(3) Die Tatsache der Videoüberwachung, der Name und die Kontaktdaten des Verantwortlichen sowie die Möglichkeit, beim Verantwortlichen die weiteren Informationen nach Artikel 13 der Verordnung (EU) 2016/679 zu erhalten, sind durch geeignete Maßnahmen erkennbar zu machen.

(4) Die nach Absatz 1 gespeicherten Daten sind unverzüglich, spätestens einen Monat nach der Erhebung zu löschen, soweit sie zur Erreichung der Zwecke nach Absatz 1 und 2 nicht mehr erforderlich sind.

(1) Der Sächsische Datenschutzbeauftragte und seine Mitarbeiter sind zur Erfüllung ihrer Aufgaben befugt, jederzeit Diensträume zu betreten und Zugang zu allen Datenverarbeitungsanlagen und -geräten zu erhalten.

(2) Stellt der Sächsische Datenschutzbeauftragte einen strafbewehrten Verstoß gegen dieses Gesetz oder andere Vorschriften über den Datenschutz fest, ist er befugt, diesen bei der zuständigen Behörde zur Anzeige zu bringen.

(3) Die Befugnis, Geldbußen zu verhängen, steht dem Sächsischen Datenschutzbeauftragten gegenüber Behörden und öffentlichen Stellen im Sinne des § 2 Absatz 1 und 2 nur zu, soweit diese als Unternehmen am Wettbewerb teilnehmen.

(1) Ordnungswidrig handelt, wer entgegen den Vorschriften dieses Gesetzes oder einer anderen Rechtsvorschrift über den Schutz personenbezogener Daten Daten, die nicht offenkundig sind, verarbeitet oder die Übermittlung durch unrichtige Angaben erschleicht.

(2) Die Ordnungswidrigkeit kann mit einer Geldbuße bis zu fünfundzwanzigtausend Euro geahndet werden.

(3) Der Sächsische Datenschutzbeauftragte ist Verwaltungsbehörde im Sinne des § 36 Absatz 1 Nummer 1 des Gesetzes über Ordnungswidrigkeiten in der Fassung der Bekanntmachung vom 19. Februar 1987 (BGBl. I S. 602), das zuletzt durch Artikel 5 des Gesetzes vom 27. August 2017 (BGBl. I S. 3295) geändert worden ist, in der jeweils geltenden Fassung.

(4) ^1 Wer eine der in Absatz 1 bezeichneten Handlungen gegen Entgelt oder in der Absicht begeht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft. ^2 Der Versuch ist strafbar.