§ 27a

(1) Ergänzend zu Art. 18 Abs. 1 Buchst. a der Verordnung (EU) Nr. 2016/679 gilt für Datenverarbeitungen zu Zwecken außerhalb des § 40 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes, dass insbesondere im Fall von Aussagen oder Bewertungen die Frage der Richtigkeit nicht den Inhalt der Aussage oder der Bewertung betrifft. Wenn die Richtigkeit oder Unrichtigkeit der Daten nicht festgestellt werden kann, tritt an die Stelle der Berichtigung nach Art. 16 der Verordnung (EU) Nr. 2016/679 eine Einschränkung der Verarbeitung nach Art. 18 der Verordnung (EU) Nr. 2016/679. Die oder der Verantwortliche hat die betroffene Person, die ihr Recht auf Berichtigung geltend gemacht hat, über die an die Stelle der Berichtigung tretende Einschränkung der Verarbeitung schriftlich zu unterrichten. Satz 3 gilt nicht, soweit bereits die Erteilung dieser Information eine Gefährdung im Sinne des § 32 Abs. 1 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes mit sich bringen würde. Die Unterrichtung nach Satz 3 ist zu begründen, es sei denn, dass die Mitteilung der Gründe den mit dem Absehen von der Unterrichtung verfolgten Zweck gefährden würde. § 33 Abs. 3 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes gilt entsprechend. Die oder der Verantwortliche hat die sachlichen oder rechtlichen Gründe für die Entscheidung zu dokumentieren. (2) Wird festgestellt, dass personenbezogene Daten in Akten unrichtig sind, ist die in Art. 16 der Verordnung (EU) Nr. 2016/679 genannte Berichtigungspflicht dadurch zu erfüllen, dass dies in der Akte vermerkt oder auf sonstige Weise festgehalten wird. Bestreitet die betroffene Person die Richtigkeit sie betreffender personenbezogener Daten und lässt sich weder die Richtigkeit noch die Unrichtigkeit feststellen, sind die Daten entsprechend zu kennzeichnen, um eine Verarbeitungseinschränkung nach Abs. 1 Satz 2 zu ermöglichen. (3) Ergänzend zu Art. 17 Abs. 1 der Verordnung (EU) Nr. 2016/679 gilt § 27 Abs. 2 Satz 1 und Abs. 5 im Fall der Löschung und Vernichtung personenbezogener Daten zu Zwecken außerhalb des § 40 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes entsprechend. Bei personenbezogenen Daten in Akten gilt § 27 Abs. 3 Satz 3 bis 6 entsprechend; an die Stelle der Löschung nach Art. 17 Abs. 1 der Verordnung (EU) Nr. 2016/679 tritt die Einschränkung der Verarbeitung nach Art. 18 der Verordnung (EU) Nr. 2016/679. (4) Abweichend von § 34 Abs. 1 und 2 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes gilt für die Verarbeitung personenbezogener Daten zu Zwecken außerhalb des § 40 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes das Recht der betroffenen Person auf und die Pflicht der oder des Verantwortlichen zur Löschung personenbezogener Daten und zur Vernichtung der dazugehörigen Unterlagen nach Art. 17 Abs. 1 der Verordnung (EU) Nr. 2016/679 ergänzend zu Art. 17 Abs. 3 der Verordnung (EU) Nr. 2016/679 nicht, wenn 1. Grund zu der Annahme besteht, dass eine Löschung schutzwürdige Interessen einer betroffenen Person beeinträchtigen würde, 2. die Daten zu Beweiszwecken weiter aufbewahrt werden müssen, 3. eine Löschung wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich ist oder 4. im Fall des § 27 Abs. 2 Satz 1 Nr. 2 die betroffene Person über eine verdeckte Datenerhebung noch nicht unterrichtet worden ist, es sei denn, dass die Datenerhebung den Kernbereich privater Lebensgestaltung betroffen hat. In den Fällen des Satz 1 tritt an die Stelle einer Löschung oder Vernichtung die Einschränkung der Verarbeitung nach Art. 18 der Verordnung (EU) Nr. 2016/679. Bei personenbezogenen Daten in Akten gilt Satz 2 mit der Maßgabe, dass anstelle der Vernichtung die Verarbeitung personenbezogener Daten in Akten durch Anbringung eines entsprechenden Vermerks einzuschränken ist. In ihrer Verarbeitung nach Satz 1 Nr. 1 bis 3 eingeschränkte Daten dürfen nur zu dem Zweck, der ihrer Löschung entgegenstand, oder sonst mit Einwilligung der betroffenen Person verwendet werden. In ihrer Verarbeitung nach Satz 1 Nr. 4 eingeschränkte Daten dürfen nur verwendet werden für die Zwecke der Benachrichtigung der betroffenen Person und um eine Prüfung zu ermöglichen, ob die Maßnahme rechtmäßig durchgeführt worden ist. (5) Die oder der Verantwortliche hat die betroffene Person über die Einschränkung der Verarbeitung nach Abs. 4 Satz 1 Nr. 1 bis 3 schriftlich zu unterrichten. Dies gilt nicht, soweit bereits die Erteilung dieser Information eine Gefährdung im Sinne des § 32 Abs. 1 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes mit sich bringen würde. Die Unterrichtung nach Satz 1 ist zu begründen, es sei denn, dass die Mitteilung der Gründe den mit dem Absehen von der Unterrichtung verfolgten Zweck gefährden würde. § 33 Abs. 3 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes gilt entsprechend. Die oder der Verantwortliche hat die sachlichen oder rechtlichen Gründe für die Entscheidung zu dokumentieren. (6) Ergänzend zu Art. 17 und 18 der Verordnung (EU) Nr. 2016/679 gelten § 53 Abs. 4 und § 70 Abs. 4 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes und § 27 Abs. 4 und 6 entsprechend.