Hessisches Datenschutzgesetz

Der Erste Teil des Hessischen Datenschutzgesetzes ist in drei Abschnitte untergliedert. Der Erste Abschnitt (§§ 1 bis 10) enthält Grundsatzregelungen.

In § 1 ist der Gesetzeszweck genannt.

In § 2 werden grundlegende Begriffe des Gesetzes definiert, u. a. die Begriffe „personenbezogene Daten“, „datenverarbeitende Stelle“, „Dritter“, „Empfänger“, „Akte“ und „Datei“. § 2 Abs. 2 stellt klar, was unter dem Begriff der „Datenverarbeitung“ zu verstehen ist, nämlich „jede Verwendung gespeicherter oder zur Speicherung vorgesehener personenbezogener Daten“. Der Datenverarbeitungsbegriff des HDSG umfasst also auch die erstmalige Erhebung von personenbezogenen Daten. Darin unterscheidet er sich von der Datenverarbeitung im Sinne des Bundesdatenschutzgesetzes, die den Vorgang der Datenerhebung nicht umfasst.

In § 3 wird der Anwendungsbereich bestimmt.

§ 4 regelt die Datenverarbeitung im Auftrag. Ist der Auftragnehmer eine Stelle, die nicht dem Geltungsbereich des HDSG unterfällt, so muss vertraglich sichergestellt werden, dass der Auftragnehmer die Bestimmungen des HDSG befolgt und sich der Kontrolle durch den Hessischen Datenschutzbeauftragten unterwirft. Dadurch soll verhindert werden, dass der Datenschutz durch eine Verlagerung der Datenverarbeitung ausgehebelt wird.

§ 5 legt fest, dass jede datenverarbeitende Stelle einen Datenschutzbeauftragten zu bestellen hat, und bestimmt dessen Aufgabenbereich. Die Pflicht zur Führung von Verfahrensverzeichnissen ist in § 6 festgelegt. § 7 Abs. 1 regelt, in welchen Fällen überhaupt Daten verarbeitet werden dürfen, nämlich dann, wenn das Hessische Datenschutzgesetz oder eine diesem vorgehende Rechtsvorschrift dies vorsieht, zulässt oder zwingend voraussetzt oder wenn der Betroffene eingewilligt hat. § 7 Abs. 2 enthält Details zu den Voraussetzungen einer wirksamen Einwilligung. § 8 zählt auf, welche Rechte die Personen haben, deren Daten verarbeitet werden. Das Datengeheimnis ist in § 9 statuiert. § 10 verpflichtet die datenverarbeitenden Stellen, bestimmte organisatorische und technische Maßnahmen zu ergreifen, um den Datenschutz und die Datensicherheit zu gewährleisten.

Der Zweite Abschnitt des Ersten Teils (§§ 11–17) enthält die Rechtsgrundlagen der Datenverarbeitung. Gemäß § 11 Abs. 1 S. 1 ist die Verarbeitung personenbezogener Daten nur zulässig, „wenn sie zur rechtmäßigen Erfüllung der in der Zuständigkeit der datenverarbeitenden Stelle liegenden Aufgaben und für den jeweils damit verbundenen Zweck erforderlich ist“. Wie personenbezogene Daten zu erheben sind, ist in § 12 geregelt. § 13 verbietet es grundsätzlich, Daten zu anderen Zwecken als ursprünglich vorgesehen zu verwenden (sog. Zweckbindung). Die §§ 14, 16–17 regeln die Übermittlung von Daten an anderen Stellen und Personen, § 15 die Zulässigkeit von so genannten gemeinsamen Verfahren. Dies sind automatisierten Verfahren, die mehreren datenverarbeitenden Stellen gemeinsam die Verarbeitung personenbezogener Daten ermöglichen, also insbesondere zentralisierte Datenbanken.

Der Dritte Abschnitt (§§ 18–20) präzisiert die bereits in § 8 genannten Betroffenenrechte auf Auskunft und Benachrichtigung (§ 18), Datenberichtigung, -sperrung und -löschung (§ 19) und auf Schadensersatz (§ 20).

Im Zweiten Teil des Gesetzes (§§ 21–31) sind die Rechtsstellung, die Aufgaben und Befugnisse sowie die Pflichten des Hessischen Datenschutzbeauftragten geregelt. Gemäß § 22 ist der Datenschutzbeauftragte „in Ausübung seines Amtes unabhängig und nur dem Gesetz unterworfen“. Er wird gemäß § 21 Abs. 1 vom Landtag gewählt.

Hauptaufgabe des Hessischen Datenschutzbeauftragte ist es gemäß § 24 Abs. 1 S. 1, die Einhaltung des Datenschutzes bei den datenverarbeitenden Stellen zu überwachen. Dabei liegt der Schwerpunkt auf einer Beratung der Stellen. Führt die Beratung nicht zum Erfolg, so kann der Hessische Datenschutzbeauftragte festgestellte Datenschutzverstöße gemäß § 27 beanstanden, d. h. der obersten Landesbehörde oder der zuständigen Aufsichtsbehörde melden. Schwerwiegende Datenschutzmängel stellt der Datenschutzbeauftragte in seinem Jahresbericht dar, den er gemäß § 30 Abs. 1 dem Landtag vorzulegen hat. Die Landesregierung hat dazu eine Stellungnahme abzugeben (§ 30 Abs. 2).

Die für seine Tätigkeit erforderliche Personal- und Sachausstattung ist dem Hessischen Datenschutzbeauftragten durch den Präsidenten des Landtages zur Verfügung zu stellen (§ 31 Abs. 1). Auf seinen Vorschlag ernennt der Präsident des Landtages die Beamten (§ 31 Abs. 2 Satz 1), ihr Dienstvorgesetzter ist aber der Hessische Datenschutzbeauftragte, an dessen Weisungen sie ausschließlich gebunden sind. Dies gilt analog für alle übrigen Mitarbeiter (§ 31 Abs. 2 Satz 2 und 3).

Der Dritte Teil des Gesetzes (§§ 32–37) enthält Sondervorschriften, die den Vorschriften des Ersten Teils vorgehen. Einige von ihnen (§§ 32, 33 und 35) erlauben bestimmte Datenverarbeitungen unter erleichterten Voraussetzungen, andere (§§ 34 und 36) legen für besonders datenschutzkritische Verarbeitungen einen erhöhten Maßstab an.

Unter erleichterten Umständen dürfen Daten für Planungszwecke und für wissenschaftliche Zwecke verarbeitet werden (§§ 32, 33). Die Übermittlung von Daten an öffentlich-rechtliche Religionsgesellschaften ist durch § 35 privilegiert.

Verschärfte Regelungen gelten hingegen für den Datenschutz bei Dienst- und Arbeitsverhältnissen (§ 34). Diese Regelungen schützen ausschließlich Beschäftigte der in § 3 Abs. 1 genannten Stellen, also insbesondere Landesbedienstete. § 36 bestimmt, dass ferngesteuerte Messungen und Fernwirkungen nur mit Zustimmung der davon betroffenen Person zulässig sind.

§ 37 regelt die Datenverarbeitung des Hessischen Rundfunks zu journalistisch-redaktionellen Zwecken und betrifft unter anderen den Umgang mit Gegendarstellungen.

Der Vierte Teil besteht aus den §§ 38 und 39. Dies sind Sondervorschriften für den Hessischen Landtag und bestimmte kommunale Organe.

§ 38 Abs. 1 gewährt dem Landtag, dem Landtagspräsidenten und den im Landtag vertretenen Fraktionen umfassende Auskunftsrechte gegenüber Landesbehörden und staatlichen bzw. kommunalen Rechenzentren, z. B. gegenüber der Hessischen Zentrale für Datenverarbeitung. Die Auskunftsrechte beziehen sich nicht auf einzelne personenbezogene Daten, sondern auf Informationen, die durch Auswertung dieser Daten gewonnen werden. Dadurch soll ein mögliches Informationsgefälle zwischen hessischen Behörden einerseits und dem hessischen Gesetzgeber andererseits nivelliert werden. Damit der Landtag überhaupt in die Lage versetzt wird, sein Auskunftsrecht sinnvoll auszuüben, kann er von der Landesregierung verlangen, dass diese ihn über die existierenden Datenverarbeitungsverfahren und Datenbanken informiert (§ 38 Abs. 2). § 38 Abs. 3 weitet das Auskunftsrecht auf hessische Gemeindevertretungen und Kreistage sowie die dort vertretenen Fraktionen aus.

Für den Landtag gilt das Hessische Datenschutzgesetz nur teilweise, um seiner besonderen verfassungsrechtlichen Stellung gerecht zu werden: Die Verwaltung des Landtages ist (bis auf drei Vorschriften) an das HDSG gebunden (§ 39 Abs. 1 Satz 1), in seiner Eigenschaft als Verfassungsorgan hat er sich selbst eine Datenschutzordnung für die Abgeordneten, die Fraktionen und deren Mitarbeiter zu geben (§ 39 Abs. 1 Satz 2 und 3).

Der Fünfte Teil des Gesetzes (§§ 40–44) stellt in § 40 bestimmte rechtswidrige Datenverarbeitungen unter Strafe. § 41 definiert Ordnungswidrigkeiten. § 42 enthält eine Übergangsregelung für alte Akten, die unrichtige oder rechtswidrig gespeicherte Daten enthalten. Die Daten müssen nur dann aus den Akten korrigiert oder getilgt werden, wenn die „speichernde Stelle die Voraussetzungen für die Berichtigung, Löschung oder Sperrung bei der Erfüllung ihrer laufenden Aufgaben feststellt“. Durch diese Vorschrift wird klargestellt, dass die datenverarbeitenden Stelle nicht verpflichtet sind, ihre Altaktenbestände auf mögliche unrichtige Daten zu untersuchen.

Durch § 43 wurden drei Gesetze aufgehoben, nämlich das Hessische Datenschutzgesetz vom 31. Januar 1978 (GVBl. I S. 96), die Hessische Verordnung über die Veröffentlichung der Angaben über gespeicherte personenbezogene Daten vom 1. November 1978 (GVBl. I S. 553) und die Hessische Verordnung über die vom Hessischen Datenschutzbeauftragten zu führenden Dateienregister vom 8. Dezember 1978 (GVBl. I S. 682). § 44 regelt das Inkrafttreten und das Außerkrafttreten des Gesetzes.

• Hans-Hermann Schild, Michael Ronellenfitsch u. a.: Hessisches Datenschutzgesetz. Kommentar. Kommunal- und Schul-Verlag. Wiesbaden 2009, ISBN 978-3-88061-810-7.

• Gerhard Fuckner: Das neue Hessische Datenschutzgesetz. In: CR 1988, S. 144–147.
• Spiros Simitis, Stefan Walz: Das neue Hessische Datenschutzgesetz. In: RDV 1987, S. 157–169.
• H.-A. Lennartz: Neues Datenschutzrecht in Hessen. In: RDV 1987, S. 74–78.

• Hans-Hermann Schild: Hessisches Datenschutzgesetz novelliert. JurPC Web-Dok. 45/1999.
• Hans-Hermann Schild: Das neue Hessische Datenschutzgesetz. In: RDV 1999, S. 52–60.