Regelwerk

Änderungstext

Der Landtag hat das folgende Gesetz beschlossen:

Artikel 1
Änderung des Thüringer Datenschutzgesetzes

Das Thüringer Datenschutzgesetz in der Fassung vom 10. Oktober 2001 (GVBl. S. 276), geändert durch Artikel 18 des Gesetzes vom 25. November 2004 (GVBl. S. 853), wird wie folgt geändert:

1. § 1 wird wie folgt geändert:

a) Die Überschrift erhält folgende Fassung:

b) Der bisherige Wortlaut wird Absatz 1.

c) Folgender Absatz 2 wird angefügt:

"(2) Die Verarbeitung und Nutzung personenbezogener Daten sowie die Gestaltung und Auswahl von Datenverarbeitungssystemen haben sich an dem Ziel auszurichten, so wenig wie möglich personenbezogene Daten zu verarbeiten und zu nutzen. Personenbezogene Daten sind zu anonymisieren oder zu pseudonymisieren, soweit dies nach dem Verwendungszweck möglich ist und keinen im Verhältnis zu dem angestrebten Schutzzweck unverhältnismäßigen Aufwand erfordert."

2. § 4 wird wie folgt geändert:

a) Dem Absatz 1 wird folgender Satz angefügt:

"Im Falle der Einwilligung ist die Verarbeitung oder Nutzung personenbezogener Daten nur zulässig, wenn dies zur Erfüllung anerkannter Zwecke erforderlich ist."

b) Nach Absatz 1 wird folgender Absatz 1a eingefügt:

"(1 a) Eine Verknüpfung personenbezogener Daten aus verschiedenen Erhebungen ist nur dann zulässig, wenn sie zur Erfüllung der Aufgaben der Daten verarbeitenden oder nutzenden Stelle erforderlich ist, sie den der ursprünglichen Erhebung zugrunde liegenden Verwendungszweck nicht verändert oder ausweitet und schutzwürdige Belange des Betroffenen dem nicht entgegenstehen."

c) Absatz 3 Satz 1 erhält folgende Fassung:

3. § 5 wird wie folgt geändert:

a) Nach Absatz 1 Nr. 5 wird folgende neue Nummer 6 eingefügt:

"6. Information über die Übermittlung von zu seiner Person erhobenen Daten (§ 21 Abs. 6, § 22 Abs. 3),"

b) Die bisherigen Nummern 6 bis 8 werden die Nummern 7 bis 9.

4. § 7 wird wie folgt geändert:

a) Die Überschrift erhält folgende Fassung:

b) Folgender Absatz 7 wird angefügt:

"(7) Die Absätze 1 bis 6 sind auf die Zulassung regelmäßiger Datenübermittlungen entsprechend anzuwenden."

5. Nach § 7 werden folgende §§ 7a und 7b eingefügt:

" § 7a Verbundverfahren

(1) Automatisierte Verbundverfahren sind Verfahren, die mehreren Daten verarbeitenden Stellen gemeinsam die Verarbeitung personenbezogener Daten ermöglichen. Die Einrichtung derartiger Verfahren ist nur zulässig, wenn dies unter Berücksichtigung der schutzwürdigen Belange der Betroffenen und der Aufgaben der beteiligten Stellen angemessen ist. § 7 Abs. 1 Satz 2, Abs. 3 und 5 gilt entsprechend. Die weiteren gesetzlichen Vorgaben an die Zulässigkeit der Datenverarbeitung und die Verantwortung der Daten verarbeitenden Stellen bleiben unberührt.

(2) Die beteiligten Stellen legen vor der Einrichtung eines Verbundverfahrens schriftlich fest:

1. die Aufgaben jeder beteiligten Stelle,
2. die Befugnisse jeder beteiligten Stelle zur Verarbeitung personenbezogener Daten,
3. die Art der zu verarbeitenden Daten und
4. die für die Durchführung des gemeinsamen Verfahrens nach § 9 erforderlichen technischen und organisatorischen Maßnahmen.

(3) Betroffene können ihre Rechte nach § 5 Abs. 1 Nr. 2 bis 4 und 7 gegenüber jeder der an dem Verbundverfahren beteiligten Stellen geltend machen, unabhängig davon, welche Stelle im Einzelfall für die Verarbeitung der betroffenen Daten verantwortlich ist. Die Stelle, an die sich der Betroffene wendet, leitet das Anliegen an die jeweils zuständige Stelle weiter. Das Einsichtsrecht nach § 10 Abs. 3 erstreckt sich auch auf die Angaben nach Absatz 2 Nr. 1 und 2.

§ 7b Mobile personenbezogene Speicher- und Verarbeitungsmedien

(1) Mobile personenbezogene Speicher- und Verarbeitungsmedien sind Datenträger,

1. die an den Betroffenen ausgegeben werden,
2. auf denen personenbezogene Daten über die Speicherung hinaus durch die ausgebende oder eine andere Stelle automatisiert verarbeitet werden können und
3. bei denen der Betroffene diese Verarbeitung nur durch den Gebrauch des Mediums beeinflussen kann.

(2) Die Stelle, die ein mobiles personenbezogenes Speicher- und Verarbeitungsmedium ausgibt oder ein Verfahren zur automatisierten Verarbeitung personenbezogener Daten, das ganz oder teilweise auf einem solchen Medium abläuft, auf das Medium aufbringt, ändert oder hierzu bereithält, muss den Betroffenen

1. über ihre Identität und Anschrift,