Bremisches Ausführungsgesetz zur EU-Datenschutz-Grundverordnung (BremDSGVOAG)

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

Drucken Senden zur Inhaltsübersicht Veröffentlichungsdatum:08.05.2018 Inkrafttreten02.07.2026 Zuletzt geändert durch:zuletzt geändert durch Gesetz vom 30. Juni 2026 (Brem.GBl. S. 498) Fundstelle Brem.GBl. 2018, S. 131 Zitiervorschlag: "Bremisches Ausführungsgesetz zur EU-Datenschutz-Grundverordnung (BremDSGVOAG) vom 8. Mai 2018 (Brem.GBl. 2018, S. 131), zuletzt geändert durch Gesetz vom 30. Juni 2026 (Brem.GBl. S. 498)" Amtliche Abkürzung: BremDSGVOAG Ausfertigungsdatum: 08.05.2018 Gültig ab: 25.05.2018 Dokumenttyp: Gesetz Quelle: Fundstelle: Brem.GBl. 2018, 131 Gliederungs-Nr: - Bremisches Ausführungsgesetz zur EU-Datenschutz-Grundverordnung (BremDSGVOAG) Vom 8. Mai 2018 Gesamtausgabe in der Gültigkeit vom 02.07.2026 bis 15.10.2026 Stand: letzte berücksichtigte Änderung: zuletzt geändert durch Gesetz vom 30. Juni 2026 (Brem.GBl. S. 498) Der Senat verkündet das nachstehende, von der Bürgerschaft (Landtag) beschlossene Gesetz: Inhaltsübersicht Abschnitt 1 Allgemeine Bestimmungen § 1 Zweck § 2 Anwendungsbereich Abschnitt 2 Grundsätze der Verarbeitung personenbezogener Daten § 3 Zulässigkeit der Verarbeitung personenbezogener Daten § 4 Verarbeitung personenbezogener Daten zu anderen Zwecken § 5 Erhebung personenbezogener Daten bei einer nicht-öffentlichen Stelle § 6 Verantwortlicher bei der Übermittlung personenbezogener Daten § 7 Abrufverfahren und gemeinsame Verfahren Abschnitt 3 Rechte der betroffenen Person § 8 Beschränkung der Informationspflicht § 9 Beschränkung des Auskunftsrechts § 10 Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person Abschnitt 4 Besondere Verarbeitungssituationen § 11 Verarbeitung besonderer Kategorien personenbezogener Daten § 12 Datenverarbeitung im Beschäftigungskontext § 13 Verarbeitung besonderer Kategorien personenbezogener Daten zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken § 14 (weggefallen) § 15 Videoüberwachung § 15a Zuverlässigkeitsprüfungen bei Veranstaltungen von öffentlichen Stellen Abschnitt 5 Die oder der Landesbeauftragte für Datenschutz und Informationsfreiheit § 16 Errichtung § 17 Unabhängigkeit § 18 Ernennung und Amtszeit § 19 Amtsverhältnis § 20 Rechte und Pflichten § 21 Aufgaben und Befugnisse § 22 Tätigkeitsbericht Abschnitt 6 Sanktionen, Übergangsvorschrift, Inkrafttreten § 23 Ordnungswidrigkeiten § 24 Strafvorschrift § 25 Übergangsvorschrift § 26 Inkrafttreten, Außerkrafttreten Abschnitt 1 Allgemeine Bestimmungen § 1 Zweck Dieses Gesetz trifft ergänzende Regelungen zur Durchführung der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1, L 314 vom 22.11.2016, S. 72). § 2 Anwendungsbereich (1) Dieses Gesetz gilt für die Verarbeitung personenbezogener Daten im Anwendungsbereich der Verordnung (EU) 2016/679 durch öffentliche Stellen. Öffentliche Stellen im Sinne dieses Gesetzes sind die Behörden, die Organe der Rechtspflege und andere öffentlich-rechtlich organisierte Einrichtungen des Landes, einer Gemeinde oder sonstiger der Aufsicht des Landes unterstehender juristischer Personen des öffentlichen Rechts sowie deren Vereinigungen ungeachtet ihrer Rechtsform. (2) Nimmt eine nicht-öffentliche Stelle Aufgaben der öffentlichen Verwaltung wahr, ist sie insoweit öffentliche Stelle im Sinne dieses Gesetzes. Nicht-öffentliche Stellen sind natürliche und juristische Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts. (3) Öffentliche Stellen gelten als nicht-öffentliche Stellen, soweit sie als öffentlich-rechtliche Unternehmen am Wettbewerb teilnehmen. (4) (aufgehoben) (5) In Bezug auf Radio Bremen richten sich die Verarbeitung personenbezogener Daten zu journalistischen Zwecken sowie die Festlegung der zuständigen Aufsichtsbehörde im Sinne des Artikel 51 Absatz 1 der Verordnung (EU) 2016/679 ausschließlich nach den Bestimmungen des Medienstaatsvertrages in der jeweils geltenden Fassung. Im Übrigen finden die für Radio Bremen geltenden besonderen Bestimmungen des Medienstaatsvertrages in der jeweils geltenden Fassung zur Verarbeitung personenbezogener Daten ergänzend Anwendung. (6) Soweit die Verarbeitung personenbezogener Daten durch öffentliche Stellen nicht in den sachlichen Anwendungsbereich der Verordnung (EU) 2016/679 fällt, ist diese einschließlich der in diesem Gesetz geregelten Ausführungsbestimmungen entsprechend anzuwenden, es sei denn, dieses Gesetz oder andere Rechtsvorschriften enthalten abweichende Regelungen. Dies gilt nicht für die Verarbeitung personenbezogener Daten durch öffentliche Stellen im Rahmen von in den Anwendungsbereich der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. Nr. L 119 S. 89) fallenden Tätigkeiten. (7) Andere Rechtsvorschriften des Landes über die Verarbeitung personenbezogener Daten gehen den Vorschriften dieses Gesetzes vor. Regeln sie einen Sachverhalt, für den dieses Gesetz gilt, nicht oder nicht abschließend, finden insoweit die Vorschriften dieses Gesetzes Anwendung. Die Vorschriften dieses Gesetzes gehen denen des Bremischen Verwaltungsverfahrensgesetzes vor, soweit bei der Ermittlung des Sachverhalts personenbezogene Daten verarbeitet werden. Abschnitt 2 Grundsätze der Verarbeitung personenbezogener Daten § 3 Zulässigkeit der Verarbeitung personenbezogener Daten (1) Die Verarbeitung personenbezogener Daten durch öffentliche Stellen ist zulässig, soweit sie 1. zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt, oder 2. zur Erfüllung der dem Verantwortlichen durch Rechtsvorschrift übertragenen Aufgaben oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen durch Rechtsvorschrift übertragen wurde, erforderlich ist. (2) Die Verarbeitung personenbezogener Daten ist zulässig zu Zwecken der Wahrnehmung von Aufsichts- und Kontrollbefugnissen, der Rechnungsprüfung, der Durchführung von Organisationsuntersuchungen sowie der Prüfung und Wartung von automatisierten Verfahren. Die Verarbeitung personenbezogener Daten zu Aus-, Fortbildungs- und Prüfungszwecken ist zulässig, soweit nicht schutzwürdige Interessen der betroffenen Person entgegenstehen. (3) Die Verarbeitung personenbezogener Daten durch die Bürgerschaft (Landtag), die Stadtverordnetenversammlung und die Stadtbürgerschaft, ihre Mitglieder (Abgeordnete), ihre Gremien, die von ihnen gewählten Mitglieder der Deputationen, die Fraktionen und Gruppen, deren Mitarbeitende und die Mitarbeitenden der Bürgschaftskanzlei ist zulässig, soweit sie zur Wahrnehmung verfassungsmäßiger parlamentarischer Aufgaben erforderlich ist. § 4 Verarbeitung personenbezogener Daten zu anderen Zwecken (1) Die Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, ist im Rahmen der Aufgabenerfüllung des Verantwortlichen zulässig, wenn 1. es zur Abwehr erheblicher Nachteile für das Gemeinwohl oder einer sonst unmittelbar drohenden Gefahr für die öffentliche Sicherheit, die Verteidigung oder die nationale Sicherheit, zur Wahrung erheblicher Belange des Gemeinwohls oder zur Sicherung des Steuer- und Zollaufkommens erforderlich ist, 2. es zur Abwehr einer schwerwiegenden Beeinträchtigung der Rechte einer anderen oder der betroffenen Person erforderlich ist, 3. sie zur Verfolgung von Straftaten oder Ordnungswidrigkeiten, zur Vollstreckung oder zum Vollzug von Strafen oder Maßnahmen gemäß § 11 Absatz 1 Nummer 8 des Strafgesetzbuchs oder von Erziehungsmaßregeln oder Zuchtmitteln im Sinne des Jugendgerichtsgesetzes oder zur Vollstreckung von Geldbußen erforderlich ist, 4. es erforderlich ist, Angaben der betroffenen Person zu überprüfen, weil tatsächliche Anhaltspunkte für deren Unrichtigkeit bestehen, 5. die Einholung der Einwilligung der betroffenen Person nicht möglich ist oder mit unverhältnismäßig hohem Aufwand verbunden wäre, aber offensichtlich ist, dass die Verarbeitung der personenbezogenen Daten in ihrem Interesse liegt und sie in Kenntnis des anderen Zwecks ihre Einwilligung erteilen würde, 6. es zur Bearbeitung eines von der betroffenen Person gestellten Antrags erforderlich ist oder 7. sie der Erfüllung verfassungsmäßiger Informations- und Auskunftspflichten gegenüber der Bürgerschaft (Landtag), der Stadtverordnetenversammlung und der Stadtbürgerschaft und ihrer Gremien dient und überwiegende schutzwürdige Interesse der betroffenen Personen nicht entgegenstehen. (2) Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679 in der jeweils geltenden Fassung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, ist im Rahmen der Aufgabenerfüllung des Verantwortlichen zulässig, wenn die Voraussetzungen des Absatzes 1 und ein Ausnahmetatbestand nach Artikel 9 Absatz 2 der Verordnung (EU) 2016/679 in der jeweils geltenden Fassung oder nach § 11 Absatz 1 vorliegen. (3) Unterliegen personenbezogene Daten, die von einer zur Verschwiegenheit verpflichteten Person oder Stelle übermittelt worden sind, einem Berufsgeheimnis, ist ihre Verarbeitung zu einem anderen Zweck im Sinne der Absätze 1 und 2 nicht zulässig, außer die zur Verschwiegenheit verpflichtete Person oder Stelle hat eingewilligt. (4) Sind mit personenbezogenen Daten weitere personenbezogene Daten der betroffenen Person oder Dritter derart verbunden, dass ihre Trennung nach erforderlichen und nicht erforderlichen Daten nicht oder nur mit unvertretbarem Aufwand möglich ist, so ist die Übermittlung auch der nicht zu der Aufgabenerfüllung erforderlichen personenbezogenen Daten an öffentliche Stellen zulässig, soweit nicht berechtigte Interessen der betroffenen Person oder Dritter an deren Geheimhaltung offensichtlich überwiegen. Eine weitere Verarbeitung dieser Daten ist unzulässig. (5) Eine Information der betroffenen Person über die Verarbeitung personenbezogener Daten nach Absatz 1 Nummer 1 und 3 erfolgt abweichend von Artikel 13 Absatz 3 und Artikel 14 Absatz 4 der Verordnung (EU) 2016/679 in der jeweils geltenden Fassung nicht, soweit und solange hierdurch der Zweck der Verarbeitung gefährdet würde. Der Verantwortliche dokumentiert, aus welchen Gründen er von einer Information abgesehen hat. § 5 Erhebung personenbezogener Daten bei einer nicht-öffentlichen Stelle Werden personenbezogene Daten bei einer nicht-öffentlichen Stelle erhoben, ist diese auf Verlangen über den Erhebungszweck zu unterrichten, soweit dadurch berechtigte Interessen der betroffenen Person nicht beeinträchtigt werden. Werden die personenbezogenen Daten aufgrund einer Rechtsvorschrift erhoben, die zur Auskunft verpflichtet, ist auf die Auskunftspflicht, sonst auf die Freiwilligkeit der Angaben hinzuweisen. § 6 Verantwortlicher bei der Übermittlung personenbezogener Daten (1) Die übermittelnde Stelle ist der Verantwortliche bei der Übermittlung personenbezogener Daten, außer die Übermittlung erfolgt aufgrund des Ersuchens einer öffentlichen Stelle. Die übermittelnde Stelle prüft in diesem Fall nur, ob das Übermittlungsersuchen im Rahmen der Aufgaben der ersuchenden Stelle liegt, außer es besteht besonderer Anlass zur Prüfung der Zulässigkeit der Übermittlung. Die ersuchende Stelle hat die für diese Prüfung erforderlichen Angaben zu machen. (2) Die ersuchende Stelle ist der Verantwortliche, wenn die Übermittlung aufgrund ihres Ersuchens erfolgt. (3) Die abrufende Stelle ist der Verantwortliche, wenn die Übermittlung durch automatisierten Abruf erfolgt. § 7 Abrufverfahren und gemeinsame Verfahren (1) Ein automatisiertes Verfahren, das die Übermittlung personenbezogener Daten durch Abruf (Abrufverfahren) oder mehreren Verantwortlichen gemeinsam die Verarbeitung personenbezogener Daten aus einem Datenbestand (gemeinsames Verfahren) ermöglicht, darf eingerichtet werden, soweit dies unter Berücksichtigung der schutzwürdigen Interessen der betroffenen Person und der Aufgaben der beteiligten Stellen angemessen ist. Die beteiligten Stellen treffen als gemeinsam Verantwortliche eine Vereinbarung gemäß Artikel 26 Absatz 1 der Verordnung (EU) 2016/679 in der jeweils geltenden Fassung. (2) Für Abrufverfahren im Sinne des Absatzes 1 Satz 1 gilt § 6 Absatz 3. (3) Absatz 1 und 2 gelten nicht für Datenbestände, die jeder Person ohne oder nach Zulassung zur Benutzung offen stehen oder deren Veröffentlichung zulässig wäre. Abschnitt 3 Rechte der betroffenen Person § 8 Beschränkung der Informationspflicht (1) Eine Information der betroffenen Person nach Artikel 14 Absatz 1 und 2 der Verordnung (EU) 2016/679 in der jeweils geltenden Fassung erfolgt ergänzend zu den in Artikel 14 Absatz 5 der Verordnung (EU) 2016/679 in der jeweils geltenden Fassung genannten Ausnahmen nicht, soweit und solange 1. die Information die öffentliche Sicherheit gefährden oder sonst dem Wohl des Bundes oder eines Landes nicht unerhebliche Nachteile bereiten würde, 2. die Information den Erfolg der Verfolgung von Straftaten oder Ordnungswidrigkeiten gefährden würde, 3. die personenbezogenen Daten oder die Tatsache ihrer Verarbeitung nach einer Rechtsvorschrift oder wegen der überwiegenden Rechte und Freiheiten anderer Personen geheim zu halten sind oder 4. die Information die ordnungsgemäße Erfüllung verfassungsgemäßer parlamentarischer Aufgaben gefährden würde und deswegen das Interesse der betroffenen Person an der Informationserteilung zurücktreten muss. Die Informationspflichten gemäß Artikel 13 Absatz 1 Buchstabe e sowie Artikel 14 Absatz 1 Buchstabe d und e und Absatz 2 Buchstabe f der Verordnung (EU) 2016/679 finden keine Anwendung. (2) Der Verantwortliche dokumentiert in den Fällen des Absatzes 1, aus welchen Gründen er von einer Information der betroffenen Person abgesehen hat. § 9 Beschränkung des Auskunftsrechts (1) Eine Auskunft nach Artikel 15 der Verordnung (EU) 2016/679 in der jeweils geltenden Fassung unterbleibt, soweit und solange 1. die Auskunft die öffentliche Sicherheit gefährden oder sonst dem Wohl des Bundes oder eines Landes nicht unerhebliche Nachteile bereiten würde, 2. die Auskunft den Erfolg der Verfolgung von Straftaten oder Ordnungswidrigkeiten gefährden würde, 3. die personenbezogenen Daten oder die Tatsache ihrer Verarbeitung nach einer Rechtsvorschrift oder wegen der überwiegenden Rechte und Freiheiten anderer Personen geheim zu halten sind oder 4. die Auskunft die ordnungsgemäße Erfüllung verfassungsgemäßer parlamentarischer Aufgaben gefährden würde und deswegen das Interesse der betroffenen Person an der Informationserteilung zurücktreten muss. Die betroffene Person hat kein Recht auf Auskunft über personenbezogene Daten, die ausschließlich zu Zwecken der Datensicherung oder der Datenschutzkontrolle gespeichert sind und deren Verarbeitung zu anderen Zwecken durch geeignete technische und organisatorische Maßnahmen ausgeschlossen ist, es sei denn, die betroffene Person legt ein besonderes berechtigtes Interesse an der Kenntnis dieser Daten dar. (2) Bezieht sich die Auskunft auf die Übermittlung personenbezogener Daten an öffentliche Stellen der Gerichte, der Staatsanwaltschaft, der Polizei und andere für die Verfolgung von Straftaten zuständige öffentliche Stellen, an öffentliche Stellen des Verfassungsschutzes, des Militärischen Abschirmdienstes und, soweit die Sicherheit des Bundes berührt wird, an andere öffentliche Stellen des Bundesministeriums der Verteidigung, so ist diesen vorab Gelegenheit zur Stellungnahme zu geben. Gleiches gilt für die Übermittlung personenbezogener Daten von diesen öffentlichen Stellen. (3) Die Ablehnung der Auskunft bedarf abweichend von Artikel 12 Absatz 4 der Verordnung (EU) 2016/679 in der jeweils geltenden Fassung keiner Begründung, soweit durch die Begründung der Zweck der Ablehnung gefährdet würde. In diesem Fall sind die Gründe für die Ablehnung der Auskunft durch den Verantwortlichen zu dokumentieren. Die betroffene Person ist auf die Möglichkeit der Beschwerde bei der oder dem Landesbeauftragten für Datenschutz und Informationsfreiheit hinzuweisen. Auf Verlangen der betroffenen Person ist die Auskunft der oder dem Landesbeauftragten für Datenschutz und Informationsfreiheit zu erteilen. Die Mitteilung der oder des Landesbeauftragten für Datenschutz und Informationsfreiheit an die betroffene Person darf keine Rückschlüsse auf den Erkenntnisstand des Verantwortlichen zulassen, sofern dieser nicht einer weitergehenden Auskunft zugestimmt hat. § 10 Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person (1) Eine Benachrichtigung der betroffenen Person nach Artikel 34 Absatz 1 der Verordnung (EU) 2016/679 in der jeweils geltenden Fassung erfolgt ergänzend zu den in Artikel 34 Absatz 3 der Verordnung (EU) 2016/679 in der jeweils geltenden Fassung genannten Ausnahmen nicht, soweit und solange 1. die Benachrichtigung die öffentliche Sicherheit gefährden oder sonst dem Wohl des Bundes oder eines Landes nicht unerhebliche Nachteile bereiten würde, 2. die Benachrichtigung den Erfolg der Verfolgung von Straftaten oder Ordnungswidrigkeiten gefährden würde, 3. die personenbezogenen Daten oder die Tatsache ihrer Verarbeitung nach einer Rechtsvorschrift oder wegen der überwiegenden Rechte und Freiheiten anderer Personen geheim zu halten sind oder 4. die Benachrichtigung die Sicherheit von informationstechnischen Systemen gefährden würde. (2) Der Verantwortliche dokumentiert in den Fällen des Absatzes 1, aus welchen Gründen er von einer Benachrichtigung der betroffenen Person abgesehen hat. Abschnitt 4 Besondere Verarbeitungssituationen § 11 Verarbeitung besonderer Kategorien personenbezogener Daten (1) Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679 in der jeweils geltenden Fassung ist abweichend von Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 in der jeweils geltenden Fassung zulässig, soweit sie 1. erforderlich ist, damit der Verantwortliche oder die betroffene Person die ihm beziehungsweise ihr aus dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen beziehungsweise ihren diesbezüglichen Pflichten nachkommen kann, 2. aus Gründen eines erheblichen öffentlichen Interesses zwingend erforderlich ist und soweit die Interessen des Verantwortlichen an der Datenverarbeitung die Interessen der betroffenen Person überwiegen, 3. für Zwecke der Gesundheitsvorsorge, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheitsbereich oder für die Verwaltung von Diensten im Gesundheitsbereich erforderlich ist und diese Daten von ärztlichem Personal oder durch sonstige Personen, die einer entsprechenden Geheimhaltungspflicht unterliegen, oder unter deren Verantwortung verarbeitet werden oder 4. der Wahrnehmung verfassungsgemäßer parlamentarischer Aufgaben dient und soweit dies zur Aufgabenerfüllung erforderlich ist und somit ein erhebliches öffentliches Interesse an der Verarbeitung besteht. (2) In den Fällen des Absatzes 1 und in den weiteren Fällen der Verarbeitung besonderer Kategorien personenbezogener Daten gemäß dieses Abschnitts sind angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte, Freiheiten und Interessen der betroffenen Person vorzusehen. Unter Berücksichtigung des Stands der Technik und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen können dazu insbesondere gehören: 1. geeignete technische und organisatorische Maßnahmen, um sicherzustellen, dass die Verarbeitung gemäß der Verordnung (EU) 2016/679 in der jeweils geltenden Fassung erfolgt, 2. Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten eingegeben, verändert oder entfernt worden sind, 3. Sensibilisierung der an den Verarbeitungsvorgängen Beteiligten, 4. Beschränkung des Zugangs zu den personenbezogenen Daten innerhalb der verantwortlichen Stelle und von Auftragsverarbeitern, 5. Pseudonymisierung personenbezogener Daten, 6. Verschlüsselung personenbezogener Daten, 7. Sicherstellung der Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung personenbezogener Daten, einschließlich der Fähigkeit, die Verfügbarkeit und den Zugang bei einem physischen oder technischen Zwischenfall wiederherzustellen, 8. zur Gewährleistung der Sicherheit der Verarbeitung die Einrichtung eines Verfahrens zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen, 9. spezifische Verfahrensregelungen, die im Fall einer Übermittlung oder Verarbeitung für andere Zwecke die Einhaltung der Vorgaben dieses Gesetzes sowie der Verordnung (EU) 2016/679 in der jeweils geltenden Fassung sicherstellen. Der Verantwortliche und der Auftragsverarbeiter sollen insbesondere die Maßnahmen gemäß Nummer 1, 4, 7, 8 und 9 treffen. § 12 Datenverarbeitung im Beschäftigungskontext Öffentliche Stellen dürfen personenbezogene Daten über Bewerberinnen, Bewerber, Bedienstete und ehemalige Bedienstete nur nach Maßgabe der §§ 85 bis 92 des Bremischen Beamtengesetzes verarbeiten. § 13 Verarbeitung besonderer Kategorien personenbezogener Daten zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken (1) Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679 in der jeweils geltenden Fassung für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke ist abweichend von Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 in der jeweils geltenden Fassung durch Hochschulen und andere mit wissenschaftlicher Forschung beauftragte öffentliche Stellen für Forschungsvorhaben auch ohne Einwilligung zulässig, soweit die Verarbeitung zu diesen Zwecken erforderlich ist und die Interessen des Verantwortlichen an der Verarbeitung die Interessen der betroffenen Person am Unterbleiben der Verarbeitung erheblich überwiegen. (2) Der Verantwortliche sieht angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person gemäß § 11 Absatz 2 vor. Sofern und sobald es die wissenschaftlichen oder historischen Forschungszwecke oder die statistischen Zwecke ermöglichen, sind die zu diesen Zwecken verarbeiteten besonderen Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679 in der jeweils geltenden Fassung zu anonymisieren. Sofern dies nicht sofort der Fall ist, sind die Merkmale, mit denen Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren Person zugeordnet werden können, gesondert zu speichern, soweit es der Forschungs- oder Statistikzweck erlaubt. Sie dürfen mit den Einzelangaben nur zusammengeführt werden, soweit der Forschungs- oder Statistikzweck dies erfordert. Die Merkmale sind zu lö