BSI-Gesetz

Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen

<p>(1) Im Fall der nicht automatisierten Verarbeitung besteht die Pflicht des Bundesamtes zur Löschung personenbezogener Daten gemäß <a href="/eu/vo_eu_2016_679/17" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Recht auf Löschung ( „Recht auf Vergessenwerden” )" data-lli="3" target="_blank">Artikel 17 Absatz 1 und 2</a> ergänzend zu den in Absatz 3 der <a href="/eu/vo_eu_2016_679" data-href="/[lawProviderSlug]/[lawAbbreviation]" data-ll="true" target="_blank">Verordnung (EU) 2016/679</a> genannten Ausnahmen nicht, wenn <dl><dt style="float: left;">1.</dt><dd><div>eine Löschung wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich ist und</div></dd><dt style="float: left;">2.</dt><dd><div>das Interesse der betroffenen Person an der Löschung als gering anzusehen ist.</div></dd></dl>In diesem Fall tritt an die Stelle der Löschung eine Einschränkung der Verarbeitung gemäß <a href="/eu/vo_eu_2016_679/18" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Recht auf Einschränkung der Verarbeitung" data-lli="2" target="_blank">Artikel 18</a> der <a href="/eu/vo_eu_2016_679" data-href="/[lawProviderSlug]/[lawAbbreviation]" data-ll="true" target="_blank">Verordnung (EU) 2016/679</a>. Die Sätze 1 und 2 sind nicht anzuwenden, wenn die personenbezogenen Daten unrechtmäßig verarbeitet wurden.</p><p>(2) Ist die Löschung lediglich für eine etwaige gerichtliche Überprüfung von Maßnahmen nach <a href="/bund/bsig/8" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Abwehr von Schadprogrammen und Gefahren für die Kommunikationstechnik des Bundes" data-lli="1" target="_blank">§ 8 Absatz 4</a> zurückgestellt, dürfen die Daten ohne Einwilligung der betroffenen Person nur zu diesem Zweck verwendet werden. Sie sind für andere Zwecke in der Verarbeitung einzuschränken. <a href="/bund/bsig/8" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Abwehr von Schadprogrammen und Gefahren für die Kommunikationstechnik des Bundes" data-lli="0" target="_blank">§ 8 Absatz 8</a> bleibt unberührt.</p>

Recht auf Löschung

Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG

<p>(1) Das Bundesamt darf zur Abwehr von Gefahren für die Kommunikationstechnik des Bundes <dl><dt style="float: left;">1.</dt><dd><div>Protokolldaten, die beim Betrieb von Kommunikationstechnik des Bundes anfallen, erheben und automatisiert auswerten, soweit dies zum Erkennen, Eingrenzen oder Beseitigen von Störungen oder Fehlern bei der Kommunikationstechnik des Bundes oder von Angriffen auf die Informationstechnik des Bundes erforderlich ist,</div></dd><dt style="float: left;">2.</dt><dd><div>die an den Schnittstellen der Kommunikationstechnik des Bundes anfallenden Daten automatisiert auswerten, soweit dies für die Erkennung und Abwehr von Schadprogrammen und sonstigen erheblichen Gefahren für die Kommunikationstechnik des Bundes erforderlich ist.</div></dd></dl>Sofern nicht die nachfolgenden Absätze eine weitere Verwendung gestatten, müssen die automatisierte Auswertung dieser Daten und deren anschließende vollständige und nicht wiederherstellbare Löschung unverzüglich erfolgen. Die Verwendungsbeschränkungen gelten nicht für Protokolldaten, sofern diese weder personenbezogene noch dem Fernmeldegeheimnis unterliegende Daten beinhalten. Die Einrichtungen der Bundesverwaltung sind verpflichtet, das Bundesamt bei Maßnahmen nach Satz 1 zu unterstützen und hierbei den Zugang des Bundesamtes zu einrichtungsinternen Protokolldaten nach Satz 1 Nummer 1 sowie zu Schnittstellendaten nach Satz 1 Nummer 2 sicherzustellen. Protokolldaten der Bundesgerichte dürfen nur in deren Einvernehmen erhoben werden.</p><p>(2) Protokolldaten nach Absatz 1 Satz 1 Nummer 1 dürfen über den für die automatisierte Auswertung nach Absatz 1 Satz 1 Nummer 1 erforderlichen Zeitraum hinaus, längstens jedoch für 18 Monate, gespeichert werden, soweit tatsächliche Anhaltspunkte dafür bestehen, dass diese im Falle der Bestätigung eines Verdachts nach Absatz 4 Satz 2 zur Abwehr von Gefahren, die von dem gefundenen Schadprogramm ausgehen, oder zur Erkennung und Abwehr anderer Schadprogramme oder sonstiger erheblicher Gefahren für die Kommunikationstechnik des Bundes erforderlich sein können. Durch organisatorische und technische Maßnahmen ist sicherzustellen, dass eine Auswertung der nach diesem Absatz gespeicherten Daten nur automatisiert erfolgt und dass ein Zugriff auf Daten, die länger als drei Monate gespeichert sind, nur bei Vorliegen tatsächlicher Erkenntnisse über die Betroffenheit des Bundes mit einem Schadprogramm oder einer sonstigen erheblichen Gefahr für die Kommunikationstechnik des Bundes erfolgt. Die Daten sind zu pseudonymisieren, soweit dies automatisiert möglich ist. Eine nicht automatisierte Verarbeitung ist nur nach Maßgabe der nachfolgenden Absätze zulässig. Soweit hierzu die Wiederherstellung pseudonymisierter Protokolldaten erforderlich ist, muss diese durch die Präsidentin oder den Präsidenten des Bundesamtes oder die Vertretung im Amt angeordnet werden. Die Entscheidung ist zu dokumentieren.</p><p>(3) Protokolldaten dürfen vor ihrer Pseudonymisierung und Speicherung nach Absatz 2 zur Sicherstellung einer fehlerfreien automatisierten Auswertung manuell verarbeitet werden. Liegen Hinweise vor, dass die fehlerfreie automatisierte Auswertung wegen eines erheblichen Fehlers erschwert wird, darf der Personenbezug von Protokolldaten zur Sicherstellung der fehlerfreien automatisierten Auswertung wiederhergestellt werden, sofern dies im Einzelfall erforderlich ist. Absatz 2 Satz 3 bis 6 gilt entsprechend.</p><p>(4) Eine über die Absätze 1 und 2 hinausgehende Verwendung personenbezogener Daten ist nur zulässig, wenn bestimmte Tatsachen den Verdacht begründen, dass <dl><dt style="float: left;">1.</dt><dd><div>diese Daten ein Schadprogramm enthalten,</div></dd><dt style="float: left;">2.</dt><dd><div>diese Daten durch ein Schadprogramm übermittelt wurden,</div></dd><dt style="float: left;">3.</dt><dd><div>diese Daten im Zusammenhang mit einer sonstigen erheblichen Gefahr für die Kommunikationstechnik des Bundes stehen oder</div></dd><dt style="float: left;">4.</dt><dd><div>sich aus diesen Daten Hinweise auf ein Schadprogramm oder eine sonstige erhebliche Gefahr für die Kommunikationstechnik des Bundes ergeben können,</div></dd></dl>und soweit die Datenverarbeitung erforderlich ist, um den Verdacht zu bestätigen oder zu widerlegen. Im Falle der Bestätigung des Verdachts ist die weitere Verarbeitung personenbezogener Daten zulässig, soweit dies erforderlich ist <dl><dt style="float: left;">1.</dt><dd><div>zur Abwehr des Schadprogramms der sonstigen erheblichen Gefahren für die Kommunikationstechnik des Bundes,</div></dd><dt style="float: left;">2.</dt><dd><div>zur Abwehr von Gefahren, die von dem aufgefundenen Schadprogramm ausgehen, oder</div></dd><dt style="float: left;">3.</dt><dd><div>zur Erkennung und Abwehr anderer Schadprogramme oder Gefahren für die Kommunikationstechnik des Bundes.</div></dd></dl>Ein Schadprogramm kann beseitigt oder in seiner Funktionsweise gehindert werden. Es dürfen die erforderlichen technischen Maßnahmen getroffen werden, um eine sonstige erhebliche Gefahr für die Kommunikationstechnik des Bundes zu beseitigen. Das Bundesamt kann die Daten an die betroffene Einrichtung der Bundesverwaltung übermitteln, soweit dies für eine Verwendung nach den Sätzen 1 bis 4 erforderlich ist. Die nicht automatisierte Verwendung der Daten nach den Sätzen 1 und 2 darf nur durch einen Bediensteten des Bundesamtes mit der Befähigung zum Richteramt angeordnet werden. Die Anordnung nach Satz 4 muss die daraus erwachsenden Übermittlungsbefugnisse nach Absatz 6 berücksichtigen.</p><p>(5) Die Beteiligten des Kommunikationsvorgangs sind spätestens nach dem Erkennen und der Abwehr eines Schadprogramms oder seiner Wirkungen oder von sonstigen erheblichen Gefahren für die Kommunikationstechnik des Bundes, die von einem Schadprogramm ausgehen, zu benachrichtigen, wenn sie bekannt sind oder ihre Identifikation ohne unverhältnismäßige weitere Ermittlungen möglich ist und nicht überwiegende schutzwürdige Belange Dritter entgegenstehen. Die Unterrichtung kann unterbleiben, wenn die Person nur unerheblich betroffen wurde und wenn anzunehmen ist, dass sie an einer Benachrichtigung kein Interesse hat. Das Bundesamt legt Fälle, in denen es von einer Benachrichtigung absieht, dem behördlichen Datenschutzbeauftragten des Bundesamtes sowie einem weiteren Bediensteten des Bundesamtes, der die Befähigung zum Richteramt hat, zur Kontrolle vor. Wenn der behördliche Datenschutzbeauftragte der Entscheidung des Bundesamtes widerspricht, ist die Benachrichtigung nachzuholen. Die Entscheidung über die Nichtbenachrichtigung ist zu dokumentieren. Die Dokumentation darf ausschließlich für Zwecke der Datenschutzkontrolle verwendet werden. Sie ist nach zwölf Monaten zu löschen. In den Fällen der Absätze 6 und 7 erfolgt die Benachrichtigung durch die dort genannten Behörden in entsprechender Anwendung der für diese Behörden geltenden Vorschriften. Enthalten diese Vorschriften keine Bestimmungen zu Benachrichtigungspflichten, sind die Vorschriften der Strafprozessordnung entsprechend anzuwenden.</p><p>(6) Das Bundesamt kann die nach Absatz 4 verwendeten personenbezogenen Daten an die Strafverfolgungsbehörden zur Verfolgung einer mittels eines Schadprogramms oder im Rahmen einer sonstigen erheblichen Gefahr für die Kommunikationstechnik des Bundes begangenen Straftat nach den §§ 202a, 202b, 303a oder 303b des Strafgesetzbuches übermitteln. Es kann diese Daten ferner übermitteln <dl><dt style="float: left;">1.</dt><dd><div>an die Polizeien des Bundes und der Länder zur Abwehr einer Gefahr für die öffentliche Sicherheit, die unmittelbar von einem Schadprogramm ausgeht,</div></dd><dt style="float: left;">2.</dt><dd><div>an das Bundesamt für Verfassungsschutz zur Unterrichtung über Tatsachen, die sicherheitsgefährdende oder geheimdienstliche Tätigkeiten für eine fremde Macht erkennen lassen, sowie an den Militärischen Abschirmdienst, wenn sich diese Tätigkeiten gegen Personen, Dienststellen oder Einrichtungen im Geschäftsbereich des Bundesministeriums der Verteidigung richten,</div></dd><dt style="float: left;">3.</dt><dd><div>an den Bundesnachrichtendienst zur Unterrichtung über Tatsachen, die einen internationalen kriminellen, terroristischen oder staatlichen Angriff mittels Schadprogrammen oder vergleichbarer schädlich wirkender informationstechnischer Mittel auf die Vertraulichkeit, Integrität oder Verfügbarkeit von IT-Systemen in Fällen von erheblicher Bedeutung mit Bezug zur Bundesrepublik Deutschland erkennen lassen.</div></dd></dl></p><p>(7) Für sonstige Zwecke kann das Bundesamt die Daten nach Absatz 4 Satz 1 übermitteln <dl><dt style="float: left;">1.</dt><dd><div>an die Strafverfolgungsbehörden zur Verfolgung einer Straftat von auch im Einzelfall erheblicher Bedeutung, insbesondere einer in § 100a Absatz 2 der Strafprozessordnung bezeichneten Straftat,</div></dd><dt style="float: left;">2.</dt><dd><div>an die Polizeien des Bundes und der Länder zur Abwehr einer Gefahr für den Bestand oder die Sicherheit des Staates oder Leib, Leben oder Freiheit einer Person oder Sachen von bedeutendem Wert, deren Erhalt im öffentlichen Interesse geboten ist,</div></dd><dt style="float: left;">3.</dt><dd><div>an die Verfassungsschutzbehörden des Bundes und der Länder sowie an den Militärischen Abschirmdienst, wenn tatsächliche Anhaltspunkte für Bestrebungen in der Bundesrepublik Deutschland vorliegen, die durch Anwendung von Gewalt oder darauf gerichtete Vorbereitungshandlungen gegen die in <a href="/bund/bverfschg/3" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Aufgaben der Verfassungsschutzbehörden" data-lli="6" target="_blank">§ 3 Absatz 1</a> des <a href="/bund/bverfschg" data-href="/[lawProviderSlug]/[lawAbbreviation]" data-ll="true" target="_blank">Bundesverfassungsschutzgesetzes</a> oder § 1 Absatz 1 des MAD-Gesetzes genannten Schutzgüter gerichtet sind,</div></dd><dt style="float: left;">4.</dt><dd><div>an den Bundesnachrichtendienst, wenn tatsächliche Anhaltspunkte für den Verdacht bestehen, dass jemand Straftaten nach <a href="/bund/g_10/3" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Voraussetzungen" data-lli="5" target="_blank">§ 3 Absatz 1 Nummer 8</a> des <a href="/bund/g_10" data-href="/[lawProviderSlug]/[lawAbbreviation]" data-ll="true" target="_blank">Artikel 10-Gesetzes</a> plant, begeht oder begangen hat und dies von außen- und sicherheitspolitischer Bedeutung für die Bundesrepublik Deutschland ist.</div></dd></dl>Die Übermittlung nach Satz 2 Nummer 1 und 2 bedarf der vorherigen gerichtlichen Zustimmung. Für das Verfahren nach Satz 2 Nummer 1 und 2 gelten die Vorschriften des Gesetzes über das Verfahren in Familiensachen und in den Angelegenheiten der freiwilligen Gerichtsbarkeit entsprechend. Zuständig ist das Amtsgericht, in dessen Bezirk das Bundesamt seinen Sitz hat. Die Übermittlung nach Satz 2 Nummer 3 und 4 erfolgt nach Anordnung des Bundesministeriums des Innern. Die §§ <a href="/bund/g_10/9" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Antrag" data-lli="4" target="_blank">9</a> bis <a href="/bund/g_10/16" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Parlamentarische Kontrolle in den Ländern" data-lli="3" target="_blank">16</a> des <a href="/bund/g_10" data-href="/[lawProviderSlug]/[lawAbbreviation]" data-ll="true" target="_blank">Artikel 10-Gesetzes</a> gelten entsprechend.</p><p>(8) Eine über die vorstehenden Absätze hinausgehende inhaltliche Auswertung zu anderen Zwecken und die Weitergabe von personenbezogenen Daten an Dritte sind unzulässig. Soweit möglich, ist technisch sicherzustellen, dass Daten, die den Kernbereich privater Lebensgestaltung betreffen, nicht erhoben werden. Werden aufgrund der Maßnahmen der Absätze 1 bis 4 Erkenntnisse aus dem Kernbereich privater Lebensgestaltung oder Daten nach <a href="/eu/vo_eu_2016_679/9" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Verarbeitung besonderer Kategorien personenbezogener Daten" data-lli="2" target="_blank">Artikel 9 Absatz 1</a> der <a href="/eu/vo_eu_2016_679" data-href="/[lawProviderSlug]/[lawAbbreviation]" data-ll="true" target="_blank">Verordnung (EU) 2016/679</a> erlangt, dürfen diese Erkenntnisse und Daten nicht verwendet werden. Erkenntnisse aus dem Kernbereich privater Lebensgestaltung sind unverzüglich zu löschen. Dies gilt auch in Zweifelsfällen. Die Tatsache der Erlangung und Löschung dieser Erkenntnisse ist zu dokumentieren. Die Dokumentation darf ausschließlich für Zwecke der Datenschutzkontrolle verwendet werden. Sie ist zu löschen, wenn sie für diese Zwecke nicht mehr erforderlich ist, spätestens jedoch am Ende des Kalenderjahres, das dem Jahr folgt, in dem die Dokumentation erstellt worden ist. Werden im Rahmen der Absätze 5 oder 6 Inhalte oder Umstände der Kommunikation von in <a href="/bund/bsig/53" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Konformitätsbewertung und Konformitätserklärung" data-lli="1" target="_blank">§ 53 Absatz 1 Satz 1</a> der Strafprozessordnung genannten Personen übermittelt, auf die sich das Zeugnisverweigerungsrecht dieser Personen erstreckt, ist die Verwertung dieser Daten zu Beweiszwecken in einem Strafverfahren nur insoweit zulässig, als Gegenstand dieses Strafverfahrens eine Straftat ist, die im Höchstmaß mit mindestens fünf Jahren Freiheitsstrafe bedroht ist.</p><p>(9) Vor Aufnahme der Datenerhebung und -verwendung hat das Bundesamt ein Datenerhebungs- und ‑verwendungskonzept zu erstellen und für Kontrollen durch die Bundesbeauftragte oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit bereitzuhalten. Das Konzept hat dem besonderen Schutzbedürfnis der Regierungskommunikation Rechnung zu tragen. Die für die automatisierte Auswertung verwendeten Kriterien sind zu dokumentieren. Die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit teilt das Ergebnis seiner Kontrollen nach <a href="/bund/bdsg/16" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Befugnisse" data-lli="0" target="_blank">§ 16</a> des <a href="/bund/bdsg" data-href="/[lawProviderSlug]/[lawAbbreviation]" data-ll="true" target="_blank">Bundesdatenschutzgesetzes</a> auch den Ressorts mit.</p><p>(10) Das Bundesamt unterrichtet die Bundesbeauftragte oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit kalenderjährlich jeweils bis zum 30. Juni des dem Berichtsjahr folgenden Jahres über <dl><dt style="float: left;">1.</dt><dd><div>die Anzahl der Vorgänge, in denen Daten nach Absatz 6 Satz 1, 2 Nummer 1 oder Absatz 7 Nummer 1 übermittelt wurden, aufgegliedert nach den einzelnen Übermittlungsbefugnissen,</div></dd><dt style="float: left;">2.</dt><dd><div>die Anzahl der personenbezogenen Auswertungen nach Absatz 4 Satz 1, in denen der Verdacht widerlegt wurde,</div></dd><dt style="float: left;">3.</dt><dd><div>die Anzahl der Fälle, in denen das Bundesamt nach Absatz 5 Satz 2 oder 3 von einer Benachrichtigung der Betroffenen abgesehen hat.</div></dd></dl></p><p>(11) Das Bundesamt unterrichtet kalenderjährlich jeweils bis zum 30. Juni des dem Berichtsjahr folgenden Jahres den Innenausschuss des Deutschen Bundestages über die Anwendung dieser Vorschrift.</p>

Abwehr von Schadprogrammen und Gefahren für die Kommunikationstechnik des Bundes

<p><p><span>(1) </span>Die betroffene Person hat das Recht, von dem Verantwortlichen die Einschränkung der Verarbeitung zu verlangen, wenn eine der folgenden Voraussetzungen gegeben ist:</p>
                <dl>
                  <dt style="float: left">
                    a)
                  </dt>
                  <dd>
                    die Richtigkeit der personenbezogenen Daten von der betroffenen Person bestritten wird, und zwar für eine Dauer, die es dem Verantwortlichen ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen,
                  </dd>
                  <dt style="float: left">
                    b)
                  </dt>
                  <dd>
                    die Verarbeitung unrechtmäßig ist und die betroffene Person die Löschung der personenbezogenen Daten ablehnt und stattdessen die Einschränkung der Nutzung der personenbezogenen Daten verlangt;
                  </dd>
                  <dt style="float: left">
                    c)
                  </dt>
                  <dd>
                    der Verantwortliche die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger benötigt, die betroffene Person sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt, oder
                  </dd>
                  <dt style="float: left">
                    d)
                  </dt>
                  <dd>
                    die betroffene Person Widerspruch gegen die Verarbeitung gemäß Artikel 21 Absatz 1 eingelegt hat, solange noch nicht feststeht, ob die berechtigten Gründe des Verantwortlichen gegenüber denen der betroffenen Person überwiegen.
                  </dd>
                </dl></p><p><p><span>(2) </span>Wurde die Verarbeitung gemäß Absatz 1 eingeschränkt, so dürfen diese personenbezogenen Daten — von ihrer Speicherung abgesehen — nur mit Einwilligung der betroffenen Person oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Union oder eines Mitgliedstaats verarbeitet werden.</p></p><p><p><span>(3) </span>Eine betroffene Person, die eine Einschränkung der Verarbeitung gemäß Absatz 1 erwirkt hat, wird von dem Verantwortlichen unterrichtet, bevor die Einschränkung aufgehoben wird.</p></p>

Recht auf Einschränkung der Verarbeitung

<p><p><span>(1) </span>Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:</p>
                <dl>
                  <dt style="float: left">
                    a)
                  </dt>
                  <dd>
                    Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.
                  </dd>
                  <dt style="float: left">
                    b)
                  </dt>
                  <dd>
                    Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.
                  </dd>
                  <dt style="float: left">
                    c)
                  </dt>
                  <dd>
                    Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.
                  </dd>
                  <dt style="float: left">
                    d)
                  </dt>
                  <dd>
                    Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.
                  </dd>
                  <dt style="float: left">
                    e)
                  </dt>
                  <dd>
                    Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.
                  </dd>
                  <dt style="float: left">
                    f)
                  </dt>
                  <dd>
                    Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.
                  </dd>
                </dl></p><p><p><span>(2) </span>Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.</p></p><p><p><span>(3) </span>Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist</p>
                <dl>
                  <dt style="float: left">
                    a)
                  </dt>
                  <dd>
                    zur Ausübung des Rechts auf freie Meinungsäußerung und Information;
                  </dd>
                  <dt style="float: left">
                    b)
                  </dt>
                  <dd>
                    zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
                  </dd>
                  <dt style="float: left">
                    c)
                  </dt>
                  <dd>
                    aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstaben h und i sowie Artikel 9 Absatz 3;
                  </dd>
                  <dt style="float: left">
                    d)
                  </dt>
                  <dd>
                    für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, oder
                  </dd>
                  <dt style="float: left">
                    e)
                  </dt>
                  <dd>
                    zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
                  </dd>
                </dl></p>

Recht auf Löschung ( „Recht auf Vergessenwerden” )

Allgemeine Vorschriften

Teil 1

Bundesamt für Sicherheit in der Informationstechnik

Begriffsbestimmungen

Das Bundesamt

Teil 2

Aufgaben und Befugnisse

Kapitel 1

Aufgaben des Bundesamtes

Zentrale Meldestelle für die Sicherheit in der Informationstechnik des Bundes

Allgemeine Meldestelle für die Sicherheit in der Informationstechnik

Informationsaustausch

Kontrolle der Kommunikationstechnik des Bundes, Betretensrechte

Verarbeitung von Protokollierungsdaten der Kommunikationstechnik des Bundes

Anordnungen von Maßnahmen zur Abwendung oder Behebung von Sicherheitsvorfällen

Wiederherstellung der Sicherheit oder Funktionsfähigkeit informationstechnischer Systeme in herausgehobenen Fällen

Bestandsdatenauskunft

Warnungen

Untersuchung der Sicherheit in der Informationstechnik, Auskunftsverlangen

Detektion von Angriffsmethoden und von Sicherheitsrisiken für die Netz- und IT-Sicherheit

Anordnungen von Maßnahmen des Bundesamtes gegenüber Anbietern von Telekommunikationsdiensten

Anordnungen von Maßnahmen des Bundesamtes gegenüber Anbietern von digitalen Diensten

Anordnungen von Maßnahmen des Bundesamtes gegenüber Herstellern von IKT-Produkten

Bereitstellung von IT-Sicherheitsprodukten

Datenverarbeitung

Kapitel 2

Verarbeitung personenbezogener Daten

Beschränkungen der Rechte der betroffenen Person

Informationspflicht bei Erhebung von personenbezogenen Daten

Auskunftsrecht der betroffenen Person

Recht auf Berichtigung

Widerspruchsrecht

Sicherheit in der Informationstechnik von Einrichtungen

Teil 3

Anwendungsbereich

Besonders wichtige Einrichtungen und wichtige Einrichtungen

Einrichtungen der Bundesverwaltung

Risikomanagement, Melde-, Registrierungs-, Nachweis- und Unterrichtungspflichten

Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen

Besondere Anforderungen an die Risikomanagementmaßnahmen von Betreibern kritischer Anlagen

Meldepflichten

Registrierungspflicht

Besondere Registrierungspflicht für bestimmte Einrichtungsarten

Unterrichtungspflichten

Rückmeldungen des Bundesamtes gegenüber meldenden Einrichtungen

Ausnahmebescheid

Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen

Nachweispflichten für Betreiber kritischer Anlagen

Nationale Verbindungsstelle sowie zentrale Melde- und Anlaufstelle für besonders wichtige und wichtige Einrichtungen

Untersagung des Einsatzes kritischer Komponenten

Auskunftsverlangen

Informationssicherheit der Einrichtungen der Bundesverwaltung

Kapitel 3

Informationssicherheitsmanagement

Vorgaben des Bundesamtes

Informationssicherheitsbeauftragte der Einrichtungen der Bundesverwaltung

Informationssicherheitsbeauftragte der Ressorts

Wesentliche Digitalisierungsvorhaben und Kommunikationsinfrastrukturen des Bundes

Amt des Koordinators für Informationssicherheit

Datenbanken der Domain-Name-Registrierungsdaten

Teil 4

Pflicht zum Führen einer Datenbank

Verpflichtung zur Zugangsgewährung

Kooperationspflicht

Zertifizierung, Konformitätserklärung und Kennzeichen

Teil 5

Zertifizierung

Konformitätsbewertung und Konformitätserklärung

Nationale Behörde für die Cybersicherheitszertifizierung

Freiwilliges IT-Sicherheitskennzeichen

Verordnungsermächtigungen, Grundrechtseinschränkungen und Berichtspflichten

Teil 6

Ermächtigung zum Erlass von Rechtsverordnungen

Einschränkung von Grundrechten

Berichtspflichten des Bundesamtes

Aufsicht

Teil 7

Zuständigkeit des Bundesamtes

Zentrale Zuständigkeit in der Europäischen Union für bestimmte Einrichtungsarten

§ 25 BSIG

Recht auf Löschung

Fußnote(n):