(1)
Öffentliche Stellen dürfen personenbezogene Daten ihrer Beschäftigten an nicht-öffentliche Stellen und andere öffentliche Stellen übermitteln, soweit dies zur Begründung, Durchführung, Abwicklung oder Abrechnung von Leistungen erforderlich ist, die den Beschäftigten ohne gesetzlichen Anspruch auf Grund einer Kollektivvereinbarung, einer Dienstvereinbarung oder einer Entscheidung des Dienstherrn oder Arbeitgebers gewährt werden, insbesondere Leistungen der Mobilität, der Gesundheitsförderung sowie der Vereinbarkeit von Beruf und Familie. Wird die Leistung allen Beschäftigten oder abgrenzbaren Gruppen von Beschäftigten ohne individuelle Antragstellung gewährt, dürfen die Daten dieser Beschäftigten übermittelt werden.
(2)
Die Übermittlung ist beschränkt auf Familienname und Vorname, die Beschäftigungsbehörde, eine von der Personalnummer abweichende, eindeutige Identifikationsnummer der oder des Beschäftigten sowie das Entstehen und den Wegfall der Anspruchsberechtigung. Die übermittelnde Stelle teilt der empfangenden Stelle den Wegfall der Anspruchsberechtigung und dessen Zeitpunkt mit; der Grund des Wegfalls darf nicht mitgeteilt werden. Soweit die Erbringung der Leistung gegenüber der oder dem Beschäftigten die Einrichtung eines persönlichen Nutzerkontos oder eine unmittelbare Kontaktaufnahme durch die empfangende Stelle zwingend erfordert, darf zusätzlich die dienstliche E-Mail-Adresse übermittelt werden. Das Geburtsdatum darf nur übermittelt werden, soweit es zur eindeutigen Identifizierung der oder des Beschäftigten oder zur Prüfung der Leistungsvoraussetzungen erforderlich ist.
(3)
Die übermittelnde Stelle hat vor der Übermittlung durch Vereinbarung mit der empfangenden Stelle sicherzustellen, dass diese die übermittelten Daten
1.
ausschließlich zu dem Zweck nach Abs. 1 verarbeitet,
2.
nicht an Dritte übermittelt,
3.
durch technische und organisatorische Maßnahmen nach Art. 32 der Verordnung (EU) 2016/679 schützt und
4.
unverzüglich löscht, sobald sie für diesen Zweck nicht mehr erforderlich sind, spätestens mit Beendigung der Inanspruchnahme der Leistung durch die Beschäftigte oder den Beschäftigten. Gesetzliche Aufbewahrungspflichten bleiben unberührt, die Daten sind in diesem Fall für andere Zwecke zu sperren.
Die Einschaltung von Auftragsverarbeitern nach Art. 28 der Verordnung (EU) 2016/679 durch die empfangende Stelle bleibt unberührt.
(4)
Die Beschäftigten sind vor der erstmaligen Übermittlung in geeigneter Weise über deren Zweck, die empfangende Stelle und die Kategorien der übermittelten Daten zu unterrichten; die Unterrichtung kann in allgemeiner Form erfolgen.