Gesetzgeltende Fassung

§ 34 JVollzDSG NRW

Schutz der Daten in Akten und Dateien, Technikgestaltung und

Gesetz zum Schutz personenbezogener Daten im Justizvollzug in Nordrhein-Westfalen

Einzelne Bedienstete dürfen sich von personenbezogenen Daten nur Kenntnis verschaffen, soweit dies zur Erfüllung der ihnen obliegenden Aufgaben oder für die Zusammenarbeit nach § 2 Absatz 3 und § 5 Absatz 1 des Strafvollzugsgesetzes Nordrhein-Westfalen, § 3 Absatz 4 und § 6 Absatz 1 des Jugendstrafvollzugsgesetzes Nordrhein-Westfalen, § 1 Absatz 2 des Jugendarrestvollzugsgesetzes Nordrhein-Westfalen oder § 5 Absatz 1 des Sicherungsverwahrungsvollzugsgesetzes Nordrhein-Westfalen erforderlich ist.

(2)

Akten und Dateien mit personenbezogenen Daten sind durch die erforderlichen technischen und organisatorischen Maßnahmen gegen unbefugten Zugang und unbefugten Gebrauch zu schützen. Gesundheitsakten, Krankenblätter, Therapieakten sowie von den Behörden mit Sicherheitsaufgaben nach §§ 21 und 28 erhobene und verarbeitete Daten sind getrennt von anderen Unterlagen über die Gefangenen zu führen und besonders zu sichern. Satz 2 gilt entsprechend für die im Rahmen der Behandlungsuntersuchung und Vollzugsplanung erhobenen opferbezogenen Daten, insbesondere zur Person und zu den Schutzinteressen der Opfer und gefährdeter Dritter.

(3)

Es sind technische und organisatorische Maßnahmen zu treffen, die geeignet sind zu gewährleisten, dass

nur Befugte personenbezogene Daten zur Kenntnis nehmen können (Vertraulichkeit),

personenbezogene Daten während der Verarbeitung unversehrt, vollständig und aktuell bleiben (Integrität),

personenbezogene Daten zeitgerecht zur Verfügung stehen und ordnungsgemäß verarbeitet werden können (Verfügbarkeit),

jederzeit personenbezogene Daten ihrem Ursprung zugeordnet werden können (Authentizität),

festgestellt werden kann, wer wann welche personenbezogenen Daten in welcher Weise verarbeitet hat (Revisionsfähigkeit),

die Verfahrensweisen bei der Verarbeitung personenbezogener Daten vollständig, aktuell und in einer Weise dokumentiert sind, dass sie in zumutbarer Zeit nachvollzogen werden können (Transparenz),

personenbezogene Daten nicht oder nur mit unverhältnismäßig hohem Aufwand für einen anderen als den ausgewiesenen Zweck verarbeitet werden können (Nicht-Verkettbarkeit) und

Verfahren so gestaltet werden, dass sie den betroffenen Personen die Ausübung der in § 5 genannten Rechte wirksam ermöglichen (Intervenierbarkeit).

§ 34 Abs. 3 JVollzDSG NRW

Zur Umsetzung dieser Maßnahmen ergreifen die Vollzugsbehörden im Fall einer automatisierten Verarbeitung insbesondere die weiteren technischen und organisatorischen Anforderungen an die Verarbeitung der Daten gemäß § 64 Absatz 3 des Bundesdatenschutzgesetzes in der Fassung der Bekanntmachung vom 14. Januar 2003 (BGBl. I S. 66), das zuletzt durch Artikel 10 Absatz 2 des Gesetzes vom 31. Oktober 2017 (BGBl. I S. 3618) geändert worden ist.

(4)

Die zu treffenden technischen und organisatorischen Maßnahmen sind auf der Grundlage eines zu dokumentierenden Sicherheitskonzepts zu ermitteln, zu dessen Bestandteilen die Abschätzung der Eintrittswahrscheinlichkeit und der Schwere der mit der Verarbeitung verbundenen Risiken für das Recht auf informationelle Selbstbestimmung gehört. § 56 des Datenschutzgesetzes Nordrhein-Westfalen bleibt unberührt.

(5)

Die Wirksamkeit der Maßnahmen ist unter Berücksichtigung sich verändernder Rahmenbedingungen und Entwicklungen der Technik zu überprüfen. Die sich daraus ergebenden notwendigen Anpassungen sind zeitnah umzusetzen, soweit dies mit einem angemessenen Aufwand möglich ist.

(6)

Die technischen und organisatorischen Maßnahmen haben sicherzustellen, dass durch die Voreinstellungen grundsätzlich nur solche personenbezogenen Daten verarbeitet werden können, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist. Dies betrifft die Menge der erhobenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Die Maßnahmen müssen insbesondere gewährleisten, dass die Daten durch Voreinstellungen nicht automatisiert einer unbestimmten Anzahl von Personen zugänglich gemacht werden können.