(3)Eine Datenübermittlung an nichtöffentliche Stellen ist unzulässig.
\n
§ 33Abruf im automatisierten Verfahren
\n
Die in § 32 bezeichneten Stellen können zum Abruf von Daten im automatisierten Verfahren zugelassen werden. § 22 Absatz 1 Satz 2 bis 4 und Absatz 2 bis 4 gilt entsprechend.
\n
040Kapitel 4Rechte der betroffenen Person
\n
§ 34Auskunft an die betroffene Person; Datenschutzcockpit
\n
(1)In dem Antrag auf Auskunft nach Artikel 15 der Verordnung (EU) 2016/679 muss die betroffene Person ihre Grundpersonalien angeben.
\n
(2)Das Recht auf Auskunft der betroffenen Person nach Artikel 15 der Verordnung (EU) 2016/679 besteht dann nicht, soweit 1.die Auskunft die ordnungsgemäße Erfüllung der Aufgaben gefährden würde, die in der Zuständigkeit der öffentlichen Stelle liegen, die die Daten an das Register übermittelt hat,2.die Auskunft die öffentliche Sicherheit oder Ordnung gefährden oder sonst dem Wohl des Bundes oder eines Landes Nachteile bereiten würde oder3.die Daten oder die Tatsache ihrer Speicherung nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheimgehalten werden müssenund deswegen das Interesse der betroffenen Person an der Auskunftserteilung zurücktreten muß.
\n
(3)Sind die Daten der betroffenen Person von einer der in § 20 Abs. 1 bezeichneten öffentlichen Stellen, den Polizeivollzugsbehörden oder den Staatsanwaltschaften an das Register übermittelt worden, ist die Auskunft über die Herkunft der Daten nur mit deren Einwilligung zulässig. Dasselbe gilt für die Auskunft über den Empfänger oder Kategorien von Empfängern der Daten, soweit sie an die in Satz 1 bezeichneten Stellen oder an Gerichte übermittelt worden sind. Die Einwilligung darf nur unter den in Absatz 2 bezeichneten Voraussetzungen versagt werden. Die in § 20 Abs. 1 bezeichneten öffentlichen Stellen können ihre Einwilligung darüber hinaus unter den in § 15 Abs. 2 Nr. 2 des Bundesverfassungsschutzgesetzes, auch in Verbindung mit § 9 des BND-Gesetzes und § 9 des MAD-Gesetzes, bezeichneten Voraussetzungen versagen.
\n
(4)Gegenüber der betroffenen Person bedarf die Ablehnung der Auskunftserteilung keiner Begründung, wenn dadurch der mit der Ablehnung verfolgte Zweck gefährdet würde. Die Begründung ist in diesem Fall zum Zweck einer datenschutzrechtlichen Kontrolle schriftlich oder elektronisch niederzulegen und fünf Jahre aufzubewahren. Sie ist durch geeignete Maßnahmen gegen unberechtigten Zugriff zu sichern. Die betroffene Person ist darauf hinzuweisen, dass sie sich an die Bundesbeauftragte oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit wenden kann.
\n
(5)Wird der betroffenen Person keine Auskunft erteilt, ist sie auf sein oder ihr Verlangen die oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zu erteilen, soweit nicht die Daten der betroffenen Person von einer der in § 20 Abs. 1 bezeichneten öffentlichen Stelle übermittelt worden sind und die jeweils zuständige oberste Bundesbehörde im Einzelfall feststellt, daß dadurch die Sicherheit des Bundes oder eines Landes gefährdet würde. Die Mitteilung der oder des Bundesbeauftragten an die betroffene Person darf keine Rückschlüsse auf den Erkenntnisstand der speichernden Stelle zulassen, sofern diese nicht einer weitergehenden Auskunft zustimmt.
\n
(6)Die Registerbehörde ist verpflichtet, sämtliche Datenübermittlungen nach diesem Gesetz an das Register und aus dem Register gemäß den §§ 9, 13 zu protokollieren und der betroffenen Person digital über eine zentrale Stelle transparent zu machen (AZR-Datenschutzcockpit). Dazu stellt die Registerbehörde eine IT-Komponente zur Verfügung, mit der sich natürliche Personen Auskünfte zu den sie betreffenden Datenübermittlungen nach diesem Gesetz von öffentlichen Stellen an das Register und vom Register an öffentliche Stellen anzeigen lassen können. Diese Daten werden im AZR-Datenschutzcockpit nur für die Dauer des jeweiligen Nutzungsvorgangs gespeichert; nach Beendigung des Nutzungsvorgangs sind sie unverzüglich zu löschen.
\n
Die Absätze 2 bis 5 gelten entsprechend. § 10 des Onlinezugangsgesetzes bleibt unberührt für Datenübermittlungen nach dem Identifikationsnummerngesetz. Sobald das Bundesministerium des Innern und für Heimat im Bundesanzeiger bekannt gibt, dass die technischen und rechtlichen Voraussetzungen für eine Anzeige der Datenübermittlungen nach diesem Gesetz im Datenschutzcockpit nach § 10 des Onlinezugangsgesetzes vorliegen, sollen das Datenschutzcockpit nach dem Onlinezugangsgesetz und das Datenschutzcockpit nach diesem Gesetz in der Weise zusammengeführt werden, dass das AZR-Datenschutzcockpit im Datenschutzcockpit nach dem Onlinezugangsgesetz aufgeht. § 9 Absatz 2 und 3 des Identifikationsnummerngesetzes gilt ab diesem Zeitpunkt entsprechend.
\n
Das Nähere zum Zugang, zu den technischen Verfahren, den technischen Formaten der Datensätze und den Übertragungswegen legt das Bundesministerium des Innern und für Heimat durch Rechtsverordnung fest.
\n
§ 34aDatenschutzrechtliche Kontrolle
\n
(1)Die Kontrolle der Durchführung des Datenschutzes obliegt nach § 9 Absatz 1 des Bundesdatenschutzgesetzes der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit. Die von den Ländern in das Ausländerzentralregister eingegebenen Datensätze können auch von den jeweiligen Landesbeauftragten für den Datenschutz im Zusammenhang mit der Wahrnehmung ihrer Prüfungsaufgaben in den Ländern kontrolliert werden, soweit die Länder nach § 8 Absatz 1 verantwortlich sind. Die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit arbeitet insoweit mit den Landesbeauftragten für den Datenschutz zusammen.
\n
(2)Die in Absatz 1 genannten Stellen sind im Rahmen ihrer jeweiligen Zuständigkeiten verpflichtet, regelmäßig die Durchführung des Datenschutzes zu kontrollieren.
\n
050Kapitel 5Berichtigung von Daten, Löschung von Daten und Einschränkung der Verarbeitung
\n
§ 35Berichtigung
\n
Die Registerbehörde hat die nach den §§ 3 bis 5 und 29 gespeicherten Daten nach Artikel 5 Absatz 1 Buchstabe d der Verordnung (EU) 2016/679 zu berichtigen, wenn sie unrichtig sind.
\n
§ 36Löschung
\n
(1)Die Registerbehörde hat Daten spätestens mit Fristablauf zu löschen. Bei der Datenübermittlung teilt die übermittelnde Stelle für sie geltende Löschungsfristen mit. Die Registerbehörde hat die jeweils kürzere Frist zu beachten. Eine Löschung hat unverzüglich zu erfolgen, wenn die Speicherung der Daten unzulässig war. Eine Löschung erfolgt ferner, wenn die Registerbehörde eine Mitteilung nach § 8 Absatz 1 Satz 2 Nummer 2 erhält.
\n
(2)Der Datensatz eines Ausländers ist unverzüglich zu löschen, wenn die betroffene Person die deutsche Staatsangehörigkeit erworben hat oder die Registerbehörde nach der Speicherung der Daten der betroffenen Person erfährt, dass sie Deutscher im Sinne des Artikels 116 Absatz 1 des Grundgesetzes ist. Der Datensatz eines Ausländers nach § 2 Absatz 2a ist unverzüglich zu löschen, wenn seine Aufnahme aus dem Ausland abgelehnt wurde.
\n
(3)Sobald die Ausländerbehörden Kenntnis vom Erwerb der deutschen Staatsangehörigkeit oder von der Feststellung der Eigenschaft als Deutscher im Sinne des Artikels 116 des Grundgesetzes eines Ausländers erhalten haben, teilen sie dies der Registerbehörde mit.
\n
§ 37Einschränkung der Verarbeitung
\n
(1)Ergänzend zu Artikel 18 der Verordnung (EU) 2016/679 schränkt die Registerbehörde die Verarbeitung personenbezogener Daten ein, wenn die Daten nur zu Zwecken der Datensicherung oder Datenschutzkontrolle gespeichert sind.
\n
(2)In der Verarbeitung eingeschränkte Daten sind mit einem Sperrvermerk zu versehen. Sie dürfen außer zur Prüfung der Richtigkeit ohne Einwilligung der betroffenen Person nicht verarbeitet werden. In der Verarbeitung eingeschränkte Daten dürfen unter Hinweis auf den Sperrvermerk außerdem verwendet werden, soweit dies für Zwecke der Strafverfolgung erforderlich ist.
\n
§ 38Unterrichtung beteiligter Stellen
\n
(1)Die Registerbehörde hat im Fall einer Berichtigung, Löschung oder Einschränkung der Verarbeitung nach den §§ 35 bis 37 den Empfänger der betreffenden Daten zu unterrichten, wenn dies zur Wahrung überwiegender schutzwürdiger Interessen der betroffenen Person erforderlich ist. Sie hat auch diejenige Stelle zu unterrichten, die ihr diese Daten übermittelt hat.
\n
(2)Absatz 1 gilt nicht für Löschungen bei Fristablauf.
\n
060Kapitel 6Weitere Behörden
\n
§ 39Aufsichtsbehörden
\n
Auf Aufsichtsbehörden sind die für die beaufsichtigten Behörden jeweils geltenden Vorschriften dieses Gesetzes entsprechend anzuwenden, soweit dies für die Ausübung ihrer Aufsichtsfunktion erforderlich ist. Ein Abruf von Daten im automatisierten Verfahren ist unzulässig.
\n
070Kapitel 7Schlußvorschriften
\n
§ 40Rechtsverordnungen
\n
Das Bundesministerium des Innern, für Bau und Heimat bestimmt mit Zustimmung des Bundesrates durch Rechtsverordnung 1.Näheres zu den Daten, diea)von der Registerbehörde gespeichert werden,b)an und durch die Registerbehörde übermittelt oder innerhalb der Registerbehörde weitergegeben werden;2.Näheres zu den Voraussetzungen und zum Verfahrena)der Übermittlung von Daten an und durch die Registerbehörde, insbesondere der Direkteingabe von Daten und des Datenabrufs im automatisierten Verfahren, sowie der Weitergabe innerhalb der Registerbehörde,b)der Identitätsprüfung nach § 10 Abs. 3, § 21 Abs. 3 und § 31 Abs. 1,c)bei Gruppenauskünften,d)der Übermittlungssperren, der Einschränkung der Verarbeitung und der Auskunft an die betroffene Person,e)bei der Fertigung, Aufbewahrung, Verwendung, Löschung oder Vernichtung der im Gesetz vorgesehenen Aufzeichnungen,f)bei Dokumenten nach § 6 Absatz 5;3.Näheres zur Verantwortung für den Registerinhalt und die Datenpflege;4.die im Hinblick auf die Zweckbindung angemessenen Fristen für die Löschung der im Ausländerzentralregister gespeicherten Daten;5.Regelungen über die elektronische Registerführung und die elektronische Datenübermittlung zwischen der Registerbehörde und den mit der Durchführung ausländer- und asylrechtlicher Vorschriften beauftragten Behörden und anderen öffentlichen Stellen, die sich auf die technischen Grundsätze des Aufbaus der verwendeten Standards und das Verfahren der Datenübermittlung beziehen.
\n
§ 41Verwaltungsvorschriften
\n
(1)Die Bundesregierung kann mit Zustimmung des Bundesrates allgemeine Verwaltungsvorschriften zu diesem Gesetz und zu den auf Grund dieses Gesetzes erlassenen Rechtsverordnungen erlassen. Bei bundeseigener Verwaltung bedürfen die allgemeinen Verwaltungsvorschriften nicht der Zustimmung des Bundesrates.
\n
(2)Das Bundesministerium des Innern, für Bau und Heimat benennt in einer Dienstvorschrift die Daten, die von der Registerbehörde nach § 20 Abs. 1 übermittelt werden. Die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit ist vor Erlaß der Dienstvorschrift anzuhören.
\n
§ 42Strafvorschriften
\n
(1)Wer unbefugt personenbezogene Daten, die nicht offenkundig sind, 1.speichert, verändert oder übermittelt,2.zum Abruf mittels automatisiertem Verfahren bereithält oder3.abruft oder sich oder einem anderen aus Dateien verschafft,wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.
\n
(2)Ebenso wird bestraft, wer 1.die Übermittlung von personenbezogenen Daten, die nicht offenkundig sind, durch unrichtige Angaben erschleicht oder2.personenbezogene Daten entgegen § 25 Abs. 3 Satz 1, auch in Verbindung mit § 27 Abs. 1 Satz 3, verwendet, indem er sie innerhalb der nichtöffentlichen Stelle weitergibt.
\n
(3)Handelt der Täter gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, so ist die Strafe Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe.
\n
(4)(weggefallen)
\n
§ 43
\n
Aufhebung von Rechtsvorschriften-
\n
§ 44Bestimmungen zum Verwaltungsverfahren
\n
Von den in diesem Gesetz getroffenen Regelungen des Verwaltungsverfahrens der Länder kann mit Ausnahme von § 5 Abs. 4 Satz 1, § 10 Abs. 3 Satz 3 und § 11 Abs. 1 nicht durch Landesrecht abgewichen werden.