Gesetz zum Schutz personenbezogener Daten im Justizvollzug in Nordrhein-Westfalen

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

ann die für die elektronische Aufenthaltsüberwachung zuständige zentrale Datenverarbeitungsstelle Daten über den Aufenthaltsort der Gefangenen und den Zeitpunkt der Datenerhebung (aufenthaltsbezogene Daten) mit der zugelassenen Technik, namentlich mittels Global Positioning (GPS) und Funksystemen, durch Empfangsgeräte erheben. Es kann als Sender ein Überwachungsgerät zur automatisierten Identifikation und Lokalisierung mit dem Hand- oder Fußgelenk der zu überwachenden Person so verbunden werden, dass eine ordnungsgemäße Trennung nur durch die Anstalt oder die Überwachungsstelle erfolgen kann. (3) Datenverantwortliche Stelle ist das für Justiz zuständige Ministerium. Es kann die gemeinsame Überwachungsstelle der Länder nach Maßgabe der folgenden Absätze mit der elektronischen Aufenthaltsüberwachung beauftragen. (4) Zur Einhaltung der Zweckbindung erfolgt die Erhebung und Verarbeitung der aufenthaltsbezogenen Daten automatisiert. Bei jedem Abruf sind zumindest der Zeitpunkt, die abgerufenen Daten und die Bearbeiter zu protokollieren. (5) Die zentrale Datenverarbeitungsstelle weist den mit dem Hand- oder Fußgelenk der zu überwachenden Personen zu verbindenden Überwachungsgeräten eine Identifikationsnummer zu, die personenbezogene Daten der zu überwachenden Personen nicht enthalten darf. Die zuständige Anstalt ordnet ein mit einer Identifikationsnummer versehenes Überwachungsgerät rechtzeitig vor einer Ausführung einer bestimmten zu überwachenden Person zu und beauftragt die zentrale Datenverarbeitungsstelle für die Zeit der Ausführung mit der elektronischen Aufenthaltsüberwachung. In dem Auftrag sind nur die zugeordnete Identifikationsnummer des eingesetzten Überwachungsgerätes sowie der voraussichtliche Zeitraum der Überwachung zu benennen. Der Überwachungsstelle ist ein Personendatenblatt zu übersenden, das die für die Zuordnung der Überwachung erforderlichen personenbezogenen Daten und die für den Alarmfall erforderlichen Angaben enthalten darf. In das Personendatenblatt dürfen namentlich Angaben über die zuständige Anstalt, ihre Erreichbarkeit, den Namen der die Ausführung begleitenden Bediensteten und die im Falle einer Entweichung für die Fahndung und Wiederergreifung zuständige Polizeidienststelle aufgenommen werden. In der Mitteilung an die Überwachungsstelle dürfen darüber hinaus die Vor- und Nachnamen und das Geburtsdatum der zu überwachenden Person sowie das Datum, der Zeitpunkt und der Ort der Ausführung angegeben werden. (6) Das Überwachungsgerät ist durch Bedienstete der Anstalt anzulegen und die zu überwachende Person ist vor der ersten Ausführung in die Funktionsweise und die möglichen rechtlichen Folgen einer gewaltsamen Entfernung des Überwachungsgerätes einzuweisen. Die Einweisung ist zu dokumentieren. (7) Die nach Absatz 1 erhobenen aufenthaltsbezogenen Daten sind nach Abschluss der Ausführung innerhalb einer Frist von 24 Stunden automatisiert zu löschen. Hierzu teilt die Anstalt der Überwachungsstelle unverzüglich das Ende der elektronischen Aufenthaltsüberwachung mit, die die Löschung der Daten veranlasst, soweit nicht eine weitere Verarbeitung im Einzelfall zur Aufklärung und Ahndung eines Pflichtenverstoßes, zur Aufklärung oder Verfolgung von Straftaten oder zur Abwehr erheblicher gegenwärtiger Gefahr für das Leben, die körperliche Unversehrtheit, die persönliche Freiheit oder die sexuelle Selbstbestimmung Dritter erforderlich ist. Ist die automatisierte Löschung der aufenthaltsbezogenen Daten zu diesen Zwecken auszusetzen, beantragt die Anstalt dies unverzüglich bei der Überwachungsstelle. Für die erweiterten Zwecke darf die Überwachungsstelle die Daten mit Einwilligung der Anstalt unmittelbar den zuständigen Polizei- und Strafverfolgungsbehörden übermitteln. (8) Im Falle einer Entweichung lösen die die Ausführung begleitenden Bediensteten unverzüglich den Alarmfall aus. Hierzu benachrichtigen sie unverzüglich die Überwachungsstelle über die Entweichung. Die Verpflichtung der Anstalt und der Bediensteten zur unverzüglichen Benachrichtigung der zuständigen Polizeidienststelle bleibt unberührt. Die Überwachungsstelle darf den für die Fahndung oder die Wiederergreifung zuständigen Polizeidienststellen die bei der elektronischen Aufenthaltsüberwachung erhobenen aufenthaltsbezogenen Daten unmittelbar mitteilen. Absatz 7 gilt entsprechend. Die Frist des Absatzes 7 Satz 1 beginnt mit der Wiederergreifung der oder des Gefangenen oder mit der Beendigung der elektronischen Aufenthaltsüberwachung. (9) Die Absätze 1 bis 8 finden im Jugendarrest keine Anwendung. Link kopiert Der Link zum Pragraph wurde kopiert § 28 Fallkonferenzen Mehr Paragraph ausdrucken Paragraph Link kopieren (1) Die Vollzugsbehörden dürfen personenbezogene Daten, einschließlich solcher besonderer Kategorien, die sie zulässig erhoben haben, insbesondere den voraussichtlichen Entlassungszeitpunkt, die voraussichtliche Entlassungsadresse sowie die Vollzugs- und Eingliederungspläne, zur Vorbereitung, Durchführung und Nachbereitung von Fallkonferenzen 1. den Polizeibehörden des Bundes und der Länder übermitteln, sofern a) tatsächliche Anhaltspunkte für die nach einer Entlassung fortdauernde erhebliche Gefährlichkeit von Gefangenen für die Allgemeinheit vorliegen oder Führungsaufsicht angeordnet wurde und b) dies zur vorbeugenden Bekämpfung von Straftaten von erheblicher Bedeutung erforderlich ist, oder 2. den Verfassungsschutzbehörden des Bundes und der Länder übermitteln, sofern a) bestimmte Tatsachen den Verdacht für Tätigkeiten oder Bestrebungen nach § 12 Absatz 2 Nummer 1 begründen und b) eine damit im Zusammenhang stehende Gefahr für die Sicherheit der Anstalt oder die Erreichung des Vollzugsziels in einem überschaubaren Zeitraum einzutreten droht und dies zur Verhütung dieser Gefahren erforderlich ist. (2) Der Datenaustausch darf auch in Fallkonferenzen zur Vorbereitung von Ausführungen, Vorführungen, Ausantwortungen, Überstellungen und Verlegungen bei tatsächlichen Anhaltspunkten für eine Gefahr der Entweichung, von Gewalttätigkeiten gegen Personen oder Sachen von bedeutendem Wert, deren Erhaltung im öffentlichen Interesse geboten ist, und der Selbstverletzung oder Selbsttötung von Gefangenen stattfinden. (3) Behördenübergreifende Fallkonferenzen dürfen zwischen den Vollzugsbehörden, den Polizeibehörden des Bundes und der Länder und den Verfassungsschutzbehörden des Bundes und der Länder stattfinden, sofern 1. bestimmte Tatsachen den Verdacht für Tätigkeiten oder Bestrebungen nach § 12 Absatz 2 Nummer 1 begründen und 2. bestimmte Tatsachen die Annahme einer gegenwärtigen Gefahr für Leib, Leben, Gesundheit oder Freiheit einer Person oder für Sachen von erheblichem Wert, deren Erhaltung im öffentlichen Interesse geboten ist, begründen und die Durchführung von Fallkonferenzen zur Verhütung dieser Gefahren erforderlich erscheint. (4) An den Fallkonferenzen können die Strafvollstreckungsbehörden, die Strafvollstreckungskammer, der Jugendrichter als Vollstreckungsleiter nach § 82 Absatz 1 Satz 2 des Jugendgerichtsgesetzes in der Fassung der Bekanntmachung vom 11. Dezember 1974 (BGBl. I S. 3427), das zuletzt durch Artikel 4 des Gesetzes vom 27. August 2017 (BGBl. I S. 3295) geändert worden ist, der ambulante Soziale Dienst und die Nachsorgeambulanzen beteiligt werden. (5) Die Vollzugsbehörden dürfen zur Vorbereitung, Durchführung und Nachbereitung von Fallkonferenzen personenbezogene Daten, einschließlich solcher besonderer Kategorien, bei den Polizeibehörden des Bundes und der Länder, den Verfassungsschutzbehörden des Bundes und der Länder und den anderen beteiligten Behörden für vollzugliche Zwecke erheben und verarbeiten. (6) Die Vollzugsbehörden dokumentieren die Gründe für die Fallkonferenz sowie die Teilnehmer und die wesentlichen Ergebnisse der Fallkonferenz. Die im Rahmen der Fallkonferenzen gewonnenen personenbezogenen Daten sind in gesonderten Akten oder in personenbezogenen Dateien zu verarbeiten. (7) Der Datenaustausch nach anderen Bestimmungen dieses Gesetzes bleibt unberührt. Abschnitt 4 Elektronische Aktenführung, Datenverarbeitung im Auftrag, Verzeichnis von Verarbeitungstätigkeiten und automatisierte Verarbeitung Link kopiert Der Link zum Pragraph wurde kopiert § 29 Elektronische Aktenführung, Datenverarbeitung im Auftrag, Verzeichnis vonVerarbeitungstätigkeiten Mehr Paragraph ausdrucken Paragraph Link kopieren (1) Gefangenenpersonalakten, Gesundheitsakten oder sonstige Akten können auch elektronisch geführt werden. (2) Für eine Verarbeitung personenbezogener Daten im Auftrag und das Verzeichnis von Verarbeitungstätigkeiten gelten die §§ 52, 53 und 70 Absatz 2 des Datenschutzgesetzes Nordrhein-Westfalen. Link kopiert Der Link zum Pragraph wurde kopiert § 30 Zentrale Datei, Einrichtung automatisierter Übermittlungsverfahren Mehr Paragraph ausdrucken Paragraph Link kopieren Fußnoten § 30 Absatz 6 neu gefasst durch Artikel 6 des Gesetzes vom 10. Dezember 2024 (GV. NRW. S. 1211), in Kraft getreten am 1. Juli 2025. Veröffentlichung GV. NRW. 2026 S. 208 Absatz 4 neu gefasst durch Artikel 6 des Gesetzes vom 24. März 2026, in Kraft getreten am 1. April 2026. (1) Die nach Maßgabe dieses Gesetzes zu verarbeitenden Daten können im Geltungsbereich dieses Gesetzes für die Vollzugsbehörden in einer zentralen Datei gespeichert werden. Die speichernde Stelle hat zu gewährleisten, dass die Verarbeitung der Daten nach Maßgabe des § 35 protokolliert wird. (2) Die Einrichtung eines gemeinsamen oder verbundenen automatisierten Verfahrens, in dem innerhalb einer Vollzugsbehörde oder in oder aus mehreren Vollzugsbehörden personenbezogene Daten automatisiert verarbeitet werden und abgerufen werden können, ist zulässig, soweit die automatisierte Übermittlung von Daten zur Aufrechterhaltung der Sicherheit und Ordnung in den Anstalten oder anderen Einrichtungen des Vollzuges, zu Zwecken der Behandlung oder der Nachsorge von Gefangenen, aus Gründen der Vereinfachung der Verwaltung oder zur Wahrnehmung von Kontroll- und Aufsichtsbefugnissen der Aufsichtsbehörde unter Berücksichtigung der schutzwürdigen Belange der betroffenen Personen und der Aufgaben der beteiligten Stellen angemessen ist. Die Verantwortung für die Einrichtung von automatisierten Verfahren, Verbundverfahren und Verbunddateien trägt das für Justiz zuständige Ministerium oder die von ihm für das jeweilige Fachverfahren bestimmte Stelle. Innerhalb einer speichernden Stelle legt die Leitung der Einrichtung den Umfang der Verarbeitungsbefugnis in den einzelnen Aufgabengebieten im Einvernehmen mit dem für Justiz zuständigen Ministerium fest. (3) Die elektronische Übermittlung personenbezogener Daten Gefangener an die eingerichteten Zentralstellen des Vollzuges erfolgt im automatisierten Verfahren. (4) Die Gerichte der ordentlichen Gerichtsbarkeit und die Staatsanwaltschaften in Nordrhein-Westfalen sind befugt, personenbezogene Daten über Freiheitsentziehungen im automatisierten Verfahren abzurufen, soweit diese Daten für Zwecke der Strafrechtspflege erforderlich sind. (5) Die Landesregierung bestimmt durch Rechtsverordnung die Einzelheiten der Einrichtung automatisierter Übermittlungs- und Abrufverfahren. Die empfangende Stelle, die Datenart und der Zweck des Abrufs sind festzulegen. Die Rechtsverordnung hat zudem Maßnahmen der Datensicherung und der Kontrolle vorzusehen, die in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck stehen. Die oder der Landesbeauftragte für Datenschutz und Informationsfreiheit ist vorher zu unterrichten. Die Ermächtigung zum Erlass der Rechtsverordnung kann auf das für Justiz zuständige Ministerium übertragen werden. Die Vorschriften über die Zulässigkeit des einzelnen Abrufs bleiben unberührt. (6) Die am Abrufverfahren beteiligten Stellen haben die nach § 34 erforderlichen Maßnahmen zu treffen. (7) Erfolgt die Übermittlung oder der Abruf von personenbezogenen Daten im automatisierten Verfahren oder im automatisierten Verbundverfahren, so trägt der Empfänger die Verantwortung für die Rechtmäßigkeit des Abrufs. (8) Die Absätze 1 bis 7 sind auf die Zulassung regelmäßiger Datenübermittlungen entsprechend anzuwenden. (9) Die Zulässigkeit der automatisierten Übermittlung der in § 32 Absatz 2 des Bundeskriminalamtgesetzes vom 7. Juli 1997 (BGBl. I S. 1650), das zuletzt durch Artikel 2 des Gesetzes vom 1. Juni 2017 (BGBl. I S. 1354) geändert worden ist, jeweils angeführten personenbezogenen Daten bleibt unberührt. (10) Das Land kann mit anderen Ländern und dem Bund in einem automatisierten Verfahren Daten austauschen oder einen Datenverbund vereinbaren, der eine automatisierte Datenübermittlung ermöglicht. Die Absätze 1, 2 und 5 bis 8 gelten entsprechend. (11) Die Absätze 1 bis 10 finden im Jugendarrest keine Anwendung. Abschnitt 5 Schutzanforderungen Link kopiert Der Link zum Pragraph wurde kopiert § 31 Zweckbindung Mehr Paragraph ausdrucken Paragraph Link kopieren (1) Öffentliche Stellen dürfen personenbezogene Daten, die ihnen nach Maßgabe dieses Gesetzes übermittelt worden sind, nur weiterverarbeiten, soweit dies für die Wahrnehmung ihrer Aufgaben erforderlich oder bei besonderen Kategorien personenbezogener Daten unbedingt erforderlich ist. Eine Weiterverarbeitung darf auch dann erfolgen, wenn in einem Verwaltungsvorgang mehrere öffentliche Stellen beteiligt sind und es der Weiterverarbeitung der übermittelten Daten bedarf, die Weiterverarbeitung der Wahrnehmung von Aufsichts- und Kontrollbefugnissen, der Rechnungsprüfung oder der Durchführung von Organisationsuntersuchungen dient oder die Daten auch für diese anderen Zwecke hätten übermittelt werden dürfen. Zulässig ist auch die Verarbeitung zu Ausbildungs- und Prüfungszwecken, soweit nicht berechtigte Interessen der betroffenen Person an der Geheimhaltung der Daten offensichtlich überwiegen. (2) Von der Vollzugsbehörde übermittelte personenbezogene Daten dürfen von nicht öffentlichen Stellen nur zu dem Zweck weiterverarbeitet werden, zu dessen Erfüllung sie auch übermittelt worden sind. Die empfangende Stelle darf diese Daten für andere Zwecke nur verarbeiten, soweit sie ihr auch für diese Zwecke hätten überlassen werden dürfen und wenn die übermittelnde Vollzugsbehörde zugestimmt hat. (3) Die Vollzugsbehörde weist den Empfänger auf die Zweckbindung hin. Link kopiert Der Link zum Pragraph wurde kopiert § 32 Erkenntnisse aus Überwachungs- und Kontrollmaßnahmen Mehr Paragraph ausdrucken Paragraph Link kopieren Die bei der Beaufsichtigung oder der Überwachung der Besuche, der Überwachung der Telekommunikation, der Sichtkontrolle oder der Überwachung des Schriftwechsels oder der Kontrolle des Inhalts von Paketen bekannt gewordenen personenbezogenen Daten dürfen nur 1. für die in § 12 Absatz 2 aufgeführten Zwecke, 2. für den gerichtlichen Rechtsschutz im Zusammenhang mit diesem Gesetz oder den Vollzugsgesetzen, 3. zur Wahrung der Sicherheit oder Ordnung der Anstalt oder 4. nach Anhörung des Gefangenen zum Zweck der Behandlung verarbeitet werden. Link kopiert Der Link zum Pragraph wurde kopiert § 33 Schutz besonderer Daten Mehr Paragraph ausdrucken Paragraph Link kopieren Fußnoten § 2, § 12; § 13 Absatz 2, § 15 Absatz 2, § 20 Absatz 3, § 24 Absatz 7, § 33 Absatz 2, 3 und 5 und § 38 Absatz 2 durch Artikel 6 des Gesetzes vom 13. April 2022 (GV. NRW. S. 543), in Kraft getreten am 28. April 2022. (1) Das religiöse oder weltanschauliche Bekenntnis Gefangener und personenbezogene Daten, die anlässlich medizinischer Untersuchungen erhoben worden sind, sowie andere personenbezogene Daten besonderer Kategorien dürfen in der Anstalt nicht allgemein kenntlich gemacht werden. Andere personenbezogene Daten über Gefangene dürfen innerhalb der Anstalt allgemein kenntlich gemacht werden, soweit dies für ein geordnetes Zusammenleben in der Anstalt erforderlich ist. § 12 Absatz 2 und die §§ 32, 43 Absatz 1 bleiben unberührt. (2) Personenbezogene Daten, die den in § 203 Absatz 1 Satz 1 Nummer 1, 2 und 6 des Strafgesetzbuches genannten Personen von Gefangenen als Geheimnis anvertraut oder über Gefangene sonst bekannt geworden sind, unterliegen auch gegenüber der Vollzugsbehörde der Schweigepflicht. Die in § 203 Absatz 1 Satz 1 Nummer 1, 2 und 6 des Strafgesetzbuches genannten Personen haben sich gegenüber der Anstaltsleitung zu offenbaren, soweit dies auch unter Berücksichtigung der Interessen der Gefangenen an der Geheimhaltung der personenbezogenen Daten zur Verhinderung von Selbstverletzungen, zur Abwehr von erheblichen Gefahren für Leib oder Leben anderer Gefangener oder Dritter oder zur Abwehr der Gefahr erheblicher Straftaten im Einzelfall erforderlich oder für die Aufgabenerfüllung der Vollzugsbehörde unerlässlich ist. Die Ärztin oder der Arzt ist zur Offenbarung ihr oder ihm im Rahmen der allgemeinen Gesundheitsfürsorge bekannt gewordener Geheimnisse befugt, soweit dies für die Aufgabenerfüllung der Vollzugsbehörde unerlässlich oder zur Abwehr von erheblichen Gefahren für Leib oder Leben Gefangener oder Dritter erforderlich ist. Sonstige Offenbarungsbefugnisse bleiben unberührt. Gefangene sind vor der Erhebung von personenbezogenen Daten über die nach den Sätzen 2 und 3 bestehenden Offenbarungsbefugnisse zu unterrichten. (3) Die nach Absatz 2 offenbarten Daten dürfen nur für den Zweck, für den sie offenbart wurden oder für den eine Offenbarung zulässig gewesen wäre, und nur unter denselben Voraussetzungen verarbeitet werden, unter denen eine in § 203 Absatz 1 Nummer 1, 2 und 6 des Strafgesetzbuches genannte Person selbst hierzu befugt wäre. Die Anstaltsleitung kann unter diesen Voraussetzungen die unmittelbare Offenbarung gegenüber bestimmten Bediensteten allgemein zulassen. (4) Sofern Ärztinnen oder Ärzte oder Psychologinnen oder Psychologen außerhalb des Vollzuges mit der Untersuchung oder Behandlung Gefangener beauftragt werden, gilt Absatz 2 mit der Maßgabe entsprechend, dass die beauftragte Person auch zur Unterrichtung des ärztlichen Dienstes der Anstalt oder der in der Anstalt mit der Behandlung der betroffenen Gefangenen betrauten Person des psychologischen Dienstes befugt ist. (5) Behandeln die in § 203 Absatz 1 Satz 1 Nummer 1, 2 und 6 des Strafgesetzbuches genannten Personen gleichzeitig oder nacheinander dieselben Gefangenen, so unterliegen sie im Verhältnis zueinander nicht der Schweigepflicht und sind zur umfassenden gegenseitigen Information und Auskunft verpflichtet, soweit dies zum Zwecke einer zielgerichteten gemeinsamen Behandlung erforderlich ist und 1. eine wirksame Einwilligung der Gefangenen vorliegt oder 2. sie in Bezug auf die betreffenden Gefangenen nicht mit anderen Aufgaben im Vollzug betraut sind. Link kopiert Der Link zum Pragraph wurde kopiert § 34 Schutz der Daten in Akten und Dateien, Technikgestaltung und Mehr Paragraph ausdrucken Paragraph Link kopieren (1) Einzelne Bedienstete dürfen sich von personenbezogenen Daten nur Kenntnis verschaffen, soweit dies zur Erfüllung der ihnen obliegenden Aufgaben oder für die Zusammenarbeit nach § 2 Absatz 3 und § 5 Absatz 1 des Strafvollzugsgesetzes Nordrhein-Westfalen, § 3 Absatz 4 und § 6 Absatz 1 des Jugendstrafvollzugsgesetzes Nordrhein-Westfalen, § 1 Absatz 2 des Jugendarrestvollzugsgesetzes Nordrhein-Westfalen oder § 5 Absatz 1 des Sicherungsverwahrungsvollzugsgesetzes Nordrhein-Westfalen erforderlich ist. (2) Akten und Dateien mit personenbezogenen Daten sind durch die erforderlichen technischen und organisatorischen Maßnahmen gegen unbefugten Zugang und unbefugten Gebrauch zu schützen. Gesundheitsakten, Krankenblätter, Therapieakten sowie von den Behörden mit Sicherheitsaufgaben nach §§ 21 und 28 erhobene und verarbeitete Daten sind getrennt von anderen Unterlagen über die Gefangenen zu führen und besonders zu sichern. Satz 2 gilt entsprechend für die im Rahmen der Behandlungsuntersuchung und Vollzugsplanung erhobenen opferbezogenen Daten, insbesondere zur Person und zu den Schutzinteressen der Opfer und gefährdeter Dritter. (3) Es sind technische und organisatorische Maßnahmen zu treffen, die geeignet sind zu gewährleisten, dass 1. nur Befugte personenbezogene Daten zur Kenntnis nehmen können (Vertraulichkeit), 2. personenbezogene Daten während der Verarbeitung unversehrt, vollständig und aktuell bleiben (Integrität), 3. personenbezogene Daten zeitgerecht zur Verfügung stehen und ordnungsgemäß verarbeitet werden können (Verfügbarkeit), 4. jederzeit personenbezogene Daten ihrem Ursprung zugeordnet werden können (Authentizität), 5. festgestellt werden kann, wer wann welche personenbezogenen Daten in welcher Weise verarbeitet hat (Revisionsfähigkeit), 6. die Verfahrensweisen bei der Verarbeitung personenbezogener Daten vollständig, aktuell und in einer Weise dokumentiert sind, dass sie in zumutbarer Zeit nachvollzogen werden können (Transparenz), 7. personenbezogene Daten nicht oder nur mit unverhältnismäßig hohem Aufwand für einen anderen als den ausgewiesenen Zweck verarbeitet werden können (Nicht-Verkettbarkeit) und 8. Verfahren so gestaltet werden, dass sie den betroffenen Personen die Ausübung der in § 5 genannten Rechte wirksam ermöglichen (Intervenierbarkeit). Zur Umsetzung dieser Maßnahmen ergreifen die Vollzugsbehörden im Fall einer automatisierten Verarbeitung insbesondere die weiteren technischen und organisatorischen Anforderungen an die Verarbeitung der Daten gemäß § 64 Absatz 3 des Bundesdatenschutzgesetzes in der Fassung der Bekanntmachung vom 14. Januar 2003 (BGBl. I S. 66), das zuletzt durch Artikel 10 Absatz 2 des Gesetzes vom 31. Oktober 2017 (BGBl. I S. 3618) geändert worden ist. (4) Die zu treffenden technischen und organisatorischen Maßnahmen sind auf der Grundlage eines zu dokumentierenden Sicherheitskonzepts zu ermitteln, zu dessen Bestandteilen die Abschätzung der Eintrittswahrscheinlichkeit und der Schwere der mit der Verarbeitung verbundenen Risiken für das Recht auf informationelle Selbstbestimmung gehört. § 56 des Datenschutzgesetzes Nordrhein-Westfalen bleibt unberührt. (5) Die Wirksamkeit der Maßnahmen ist unter Berücksichtigung sich verändernder Rahmenbedingungen und Entwicklungen der Technik zu überprüfen. Die sich daraus ergebenden notwendigen Anpassungen sind zeitnah umzusetzen, soweit dies mit einem angemessenen Aufwand möglich ist. (6) Die technischen und organisatorischen Maßnahmen haben sicherzustellen, dass durch die Voreinstellungen grundsätzlich nur solche personenbezogenen Daten verarbeitet werden können, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist. Dies betrifft die Menge der erhobenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Die Maßnahmen müssen insbesondere gewährleisten, dass die Daten durch Voreinstellungen nicht automatisiert einer unbestimmten Anzahl von Personen zugänglich gemacht werden können. Link kopiert Der Link zum Pragraph wurde kopiert § 35 Protokollierung Mehr Paragraph ausdrucken Paragraph Link kopieren (1) In automatisierten Verarbeitungssystemen sind die folgenden Verarbeitungsvorgänge zu protokollieren: 1. Erhebung und Speicherung, 2. Veränderung, 3. Abfrage, 4. Offenlegung einschließlich Übermittlung, 5. Kombination und 6. Löschung oder Einschränkung der Verarbeitung. (2) Die Protokolle über Abfragen und Offenlegungen müssen es ermöglichen, das Datum und die Uhrzeit dieser Vorgänge und so weit wie möglich die Identifizierung der Person, die die personenbezogenen Daten abgefragt oder offengelegt hat, und die Identität der empfangenden Stelle der Daten festzustellen. Aus der Identität der Person muss sich auch die Begründung für eine Abfrage oder Offenlegung ableiten lassen. (3) Die Protokolle dürfen ausschließlich zur Überprüfung der Rechtmäßigkeit der Datenverarbeitung durch die behördliche Datens