Gesetz zur ambulanten Resozialisierung und Opferhilfe (AROG)
Abschnitt 7 – Datenschutz
§ 32c AROG – Datenschutz-Folgenabschätzung bei hohem Risiko, Konsultationspflicht
(1) Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich eine erhebliche Gefahr für die Rechtsgüter betroffener Personen zur Folge, führt das Kompetenzzentrum der Justiz für ambulante Resozialisierung und Opferhilfe vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für die betroffenen Personen durch.
(2) Für mehrere ähnliche Verarbeitungsvorgänge mit ähnlich hohem Gefahrenpotential kann eine gemeinsame Datenschutz-Folgenabschätzung vorgenommen werden. Die behördlichen Datenschutzbeauftragten sind an der Durchführung der Datenschutz-Folgenabschätzung zu beteiligen.
(3) Die Datenschutz-Folgenabschätzung hat den Rechten der von der Verarbeitung betroffenen Personen Rechnung zu tragen und zumindest Folgendes zu enthalten:
- 1.
eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung,
- 2.
eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf deren Zweck,
- 3.
eine Bewertung der Gefahren für die Rechtsgüter der betroffenen Personen und
- 4.
die Maßnahmen, mit denen Gefahren abgewendet werden sollen, einschließlich der Garantien, der Sicherheitsvorkehrungen und der Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und die Einhaltung der gesetzlichen Vorgaben nachgewiesen werden sollen.
(4) Das Kompetenzzentrum der Justiz für ambulante Resozialisierung und Opferhilfe hat vor der Inbetriebnahme von neu anzulegenden Dateisystemen die Landesbeauftragte oder den Landesbeauftragten für Datenschutz anzuhören,
- 1.
wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung eine erhebliche Gefahr für die Rechtsgüter der betroffenen Personen zur Folge hätte, wenn das Kompetenzzentrum der Justiz für ambulante Resozialisierung und Opferhilfe keine Abhilfemaßnahmen treffen würde, oder
- 2.
die Form der Verarbeitung, insbesondere bei der Verwendung neuer Technologien, Mechanismen oder Verfahren, eine erhebliche Gefahr für die Rechtsgüter der betroffenen Personen zur Folge hat.
Die oder der Landesbeauftragte für Datenschutz kann eine Liste der Verarbeitungsverfahren erstellen, die der Pflicht zur Anhörung nach Satz 1 unterliegen.
(5) Der oder dem Landesbeauftragten für Datenschutz sind im Fall des Absatzes 4 vorzulegen:
- 1.
die durchgeführte Datenschutz-Folgenabschätzung,
- 2.
die durchgeführte Datenschutz-Folgenabschätzung,
- 3.
Angaben zu den Zwecken und Mitteln der beabsichtigten Verarbeitung,
- 4.
Angaben zu den zum Schutz der Rechtsgüter der betroffenen Personen vorgesehenen Maßnahmen und Garantien und
- 5.
Name und Kontaktdaten der oder des behördlichen Datenschutzbeauftragten.
Auf Anforderung sind ihr oder ihm zudem alle sonstigen Informationen zu übermitteln, die sie oder er benötigt, um die Rechtmäßigkeit der Verarbeitung sowie insbesondere die in Bezug auf den Schutz der personenbezogenen Daten der betroffenen Personen bestehenden Gefahren und die diesbezüglichen Garantien bewerten zu können.
(6) Falls die oder Landesbeauftragte für Datenschutz der Auffassung ist, dass die geplante Verarbeitung gegen gesetzliche Vorgaben verstoßen würde, insbesondere weil der Verantwortliche das Risiko nicht ausreichend ermittelt oder keine ausreichenden Abhilfemaßnahmen getroffen hat, kann sie oder er dem Verantwortlichen und gegebenenfalls dem Auftragsverarbeiter innerhalb eines Zeitraums von sechs Wochen nach Einleitung der Anhörung schriftliche Empfehlungen unterbreiten, welche Maßnahmen noch ergriffen werden sollten. Die oder der Landesbeauftragte für Datenschutz kann diese Frist um einen Monat verlängern, wenn die geplante Verarbeitung besonders komplex ist. Sie oder er hat in diesem Fall innerhalb eines Monats nach Einleitung der Anhörung den Verantwortlichen und gegebenenfalls den Auftragsverarbeiter über die Fristverlängerung zu informieren.
(7) Hat die beabsichtigte Verarbeitung erhebliche Bedeutung für die Aufgabenerfüllung des Verantwortlichen und ist sie daher besonders dringlich, kann er mit der Verarbeitung nach Beginn der Anhörung, aber vor Ablauf der in Absatz 6 Satz 1 genannten Frist beginnen. In diesem Fall sind die Empfehlungen der oder des Landesbeauftragten für Datenschutz im Nachhinein zu berücksichtigen und sind die Art und Weise der Verarbeitung daraufhin gegebenenfalls anzupassen.
