Verordnung zur Regelung der datenschutzrechtlichen Pflichten der gemeinsam Verantwortlichen im Zusammenhang mit dem Landesamt Zentrum für Digitalisierung Mecklenburg-Vorpommern (Verordnung über die gemeinsame Verantwortung im Zusammenhang mit dem ZDMV - GemVZDMVVO M-V) Vom 6. Oktober 2023

Aufgrund des § 6 Absatz 2 des Errichtungsgesetzes ZDMV vom 30. Dezember 2022 (GVOBl. M-V S. 637) verordnet das Ministerium für Inneres, Bau und Digitalisierung Mecklenburg-Vorpommern im Einvernehmen mit der Ministerpräsidentin, dem Finanzministerium, dem Ministerium für Wirtschaft, Infrastruktur, Tourismus und Arbeit, dem Ministerium für Klimaschutz, Landwirtschaft, ländliche Räume und Umwelt, dem Ministerium für Bildung und Kindertagesförderung, dem Ministerium für Wissenschaft, Kultur, Bundes- und Europaangelegenheiten und dem Ministerium für Soziales, Gesundheit und Sport:

§ 1 Geltungsbereich und Zweck(1) Diese das Errichtungsgesetz ZDMV ergänzende Verordnung regelt, welche Stelle im Rahmen der gemeinsamen Verantwortung des ZDMV und der jeweiligen datenverarbeitenden Stelle nach § 1 Absatz 1 und 2 des Errichtungsgesetzes ZDMV für die Erfüllung der datenschutzrechtlichen Pflichten jeweils zuständig ist.(2) Nach Maßgabe der folgenden Regelungen und im Rahmen der gemeinsamen Verantwortung erfüllt das ZDMV datenschutzrechtliche Pflichten, die sich aus den Aufgaben nach § 3 des Errichtungsgesetzes ZDMV ergeben. Davon unberührt bleibt die datenschutzrechtliche Verantwortung der nach § 1 Absatz 1 und 2 des Errichtungsgesetzes ZDMV datenverarbeitenden Stellen.(3) Das Einvernehmenserfordernis nach § 7 Absatz 1 des Errichtungsgesetzes ZDMV bleibt unberührt.

§ 2 Verantwortungsbereich(1) Für das ZDMV ergibt sich der Verantwortungsbereich aus den Aufgaben nach § 3 des Errichtungsgesetzes ZDMV.(2) Für die datenverarbeitenden Stellen nach § 1 Absatz 1 und 2 des Errichtungsgesetzes ZDMV ergibt sich der Verantwortungsbereich aus der jeweiligen Fachaufgabe. Das ZDMV unterstützt die datenverarbeitenden Stellen bei der Erfüllung dieser Pflichten.

§ 3 Erfüllung von Betroffenenrechten(1) Jeder der gemeinsam Verantwortlichen ergreift alle erforderlichen technischen und organisatorischen Maßnahmen, damit die Rechte der betroffenen Personen, insbesondere nach den Artikeln 12 bis 22 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46 EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314, S. 72; 2018 L 127, S. 2) sowie nach den §§ 45, 46, 47 bis 48a des Sicherheits- und Ordnungsgesetzes, innerhalb der gesetzlichen Fristen jederzeit gewährleistet werden.(2) Die jeweils fachlich zuständige datenverarbeitende Stelle nach § 1 Absatz 1 und 2 des Errichtungsgesetzes ZDMV stellt der betroffenen Person die gemäß der Artikel 13, 14 und 26 Absatz 2 der Verordnung (EU) 2016/679 sowie § 46 des Sicherheits- und Ordnungsgesetzes erforderlichen Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache unentgeltlich zur Verfügung. Das ZDMV stellt der datenverarbeitenden Stelle nach Satz 1 die aus den Aufgaben nach § 3 des Errichtungsgesetzes ZDMV resultierenden Informationen zur Verfügung.(3) Betroffene Personen können die ihnen aus Artikel 7 Absatz 3 und Artikel 15 bis 22 der Verordnung (EU) 2016/679 sowie aus den §§ 48 und 48a des Sicherheits- und Ordnungsgesetzes zustehenden Rechte gegenüber jedem einzelnen der gemeinsam Verantwortlichen geltend machen. Diese sind verpflichtet, den Antrag der betroffenen Person unverzüglich an die jeweils fachlich zuständige datenverarbeitende Stelle weiterzuleiten. Die Beantwortung der Anliegen nach Satz 1 erfolgt durch die jeweils fachlich zuständige datenverarbeitende Stelle. Dazu stellt das ZDMV der jeweils fachlich zuständigen datenverarbeitenden Stelle die aus den Aufgaben nach § 3 des Errichtungsgesetzes ZDMV resultierenden Informationen unverzüglich zur Verfügung.(4) §§ 5 und 6 des Landesdatenschutzgesetzes Mecklenburg-Vorpommern bleiben unberührt.

§ 4 Melde- und Benachrichtigungspflichten(1) Die gemeinsam Verantwortlichen kommen für ihren jeweiligen Verantwortungsbereich den aus den Artikeln 33 und 34 der Verordnung (EU) 2016/679 beziehungsweise den aus § 48d des Sicherheits- und Ordnungsgesetzes resultierenden Melde- und Benachrichtigungspflichten gegenüber der Aufsichtsbehörde und den von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen nach. Soweit geboten, unterrichten sich die gemeinsam Verantwortlichen gegenseitig.(2) Die jeweils fachlich zuständige datenverarbeitende Stelle und das ZDMV informieren sich gegenseitig unverzüglich und vollständig, soweit sie bei der Prüfung der Verarbeitungstätigkeiten Fehler oder Unregelmäßigkeiten hinsichtlich datenschutzrechtlicher Bestimmungen feststellen.

§ 5 Schutzbedarfsfeststellung und Datenschutz-Folgenabschätzung(1) Vor der erstmaligen Aufnahme einer Verarbeitungstätigkeit hat jeder der gemeinsam Verantwortlichen eine Schutzbedarfsfeststellung vorzunehmen.(2) Soweit eine Datenschutz-Folgenabschätzung mit Blick auf das im Rahmen der jeweiligen Verarbeitungstätigkeit zu erwartende Risiko für die Rechte und Freiheiten betroffener Personen erforderlich ist, wird diese durch die gemeinsam Verantwortlichen durchgeführt.(3) § 2 findet entsprechende Anwendung.

§ 6 Belehrungs-, Dokumentations- und Aufbewahrungspflichten(1) Die gemeinsam Verantwortlichen stellen sicher, dass alle mit der Datenverarbeitung befassten Mitarbeitenden die Vertraulichkeit der Daten gemäß den Artikeln 28 Absatz 3, 29 und 32 der Verordnung (EU) 2016/679 sowie gemäß der §§ 46i und 46k des Sicherheits- und Ordnungsgesetzes für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses wahren und dass diese vor Aufnahme ihrer Tätigkeit entsprechend auf das Datengeheimnis verpflichtet sowie in die für sie relevanten Bestimmungen zum Datenschutz eingewiesen werden. Das ZDMV unterstützt die datenverarbeitenden Stellen bei der Erfüllung dieser Pflicht in geeigneter Weise.(2) Hinsichtlich der notwendigen Dokumentationen im Sinne von Artikel 5 Absatz 2 der Verordnung (EU) 2016/679 sowie nach den Vorschriften des Sicherheits- und Ordnungsgesetzes, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, hat jeder der gemeinsam Verantwortlichen entsprechend den rechtlichen Befugnissen und Verpflichtungen dafür Sorge zu tragen, dass sie sämtliche in Bezug auf die verarbeiteten Daten bestehenden gesetzlichen Aufbewahrungs- sowie die daraus resultierenden Löschfristen und -pflichten einhalten. Sie haben hierzu angemessene Datensicherheits- und Löschvorkehrungen zu treffen. § 2 findet entsprechende Anwendung.

§ 7 Verzeichnis von Verarbeitungstätigkeiten; VerfahrensbeschreibungDie gemeinsam Verantwortlichen führen ein eigenes Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 Absatz 1 der Verordnung (EU) 2016/679 und, soweit erforderlich, dokumentieren sie die Verfahrensbeschreibungen gemäß § 42 Absatz 4 bis Absatz 7 des Sicherheits- und Ordnungsgesetzes. Das ZDMV unterstützt die datenverarbeitenden Stellen bei der Erfüllung dieser Pflicht in geeigneter Weise. § 2 findet entsprechende Anwendung.

§ 8 InkrafttretenDiese Verordnung tritt am Tag nach der Verkündung in Kraft.