Artikel 4

Datenschutz

1. (1) Die gegenseitige Übermittlung personenbezogener Daten zwischen den Vertragsparteien erfolgt unter Beachtung erteilter Auflagen und nach Maßgabe folgender Grundsätze, welche gleichermaßen auf automationsunterstützt und nicht automationsunterstützt verarbeitete Daten Anwendung finden:

1. 1. Die übermittelten Daten dürfen ohne vorherige Zustimmung der übermittelnden Behörden zu keinen anderen als den der Übermittlung zugrunde liegenden Zwecken verwendet werden. Eine solche Zustimmung darf nur erteilt werden, soweit das nationale Recht der Datei führenden Vertragspartei diese Verwendung zu solchen anderen Zwecken zulässt.
2. 2. Die übermittelten Daten sind zu löschen beziehungsweise richtig zu stellen,

1. a) sobald sich die Unrichtigkeit der Daten von Amts wegen oder aufgrund einer Mitteilung des Betroffenen ergibt, oder
2. b) sobald die übermittelnde Behörde mitteilt, dass die übermittelten Daten rechtswidrig ermittelt oder übermittelt worden sind, oder
3. c) sobald die Daten nicht mehr zur Erfüllung der für die Übermittlung maßgeblichen behördlichen Aufgabe benötigt werden, es sei denn, dass eine ausdrückliche Ermächtigung besteht, die übermittelten Daten zu anderen Zwecken zu verwenden, oder
4. d) nach Ablauf einer im nationalen Recht der übermittelnden Vertragspartei vorgesehenen Höchstfrist für die Aufbewahrung der Daten; die übermittelnde Stelle hat die empfangende Stelle bei der Übermittlung auf solche Höchstfristen hinzuweisen.

1. 3. Im Falle eines Ersuchens der zuständigen übermittelnden Behörde einer der Vertragsparteien ist durch die empfangende Behörde Auskunft über jegliche Verwendung der empfangenen Daten zu geben.

1. (2) Die Vertragsparteien sind verpflichtet, die Richtigkeit und Aktualität der von ihnen übermittelten Daten sicherzustellen. Sie sind zudem verpflichtet, auf die Erforderlichkeit und Verhältnismäßigkeit in Bezug auf den mit der Übermittlung verfolgten Zweck sowie die Einhaltung von nach dem jeweiligen nationalen Recht geltenden Übermittlungsverboten zu achten.
2. (3) Die Vertragsparteien unterrichten einander unverzüglich über alle Umstände, die zur Gewährleistung der Richtigkeit und Aktualität von personenbezogenen Daten von Bedeutung sind.
3. (4) Die übermittelnde Stelle und die empfangende Stelle sind verpflichtet, Übergabe, Übernahme und Vernichtung der Daten zu dokumentieren. Die Dokumentation beinhaltet den Grund der Übergabe, den Inhalt, die übermittelnde Stelle und die empfangende Stelle, den Zeitpunkt der Übermittlung sowie der Vernichtung der Daten. Diese Aufzeichnungen sind durch geeignete Vorkehrungen gegen zweckfremde Verwendung und sonstigen Missbrauch zu schützen und drei Jahre aufzubewahren. Nach dieser Frist sind sie unverzüglich zu löschen beziehungsweise zu vernichten. Die Dokumentationsdaten dürfen ausschließlich zur Kontrolle, ob die maßgeblichen Rechtsvorschriften über den Datenschutz eingehalten worden sind, verwendet werden.
4. (5) Jeder Betroffene hat das Recht, bei Nachweis seiner Identität auf Antrag von der für die Verarbeitung verantwortlichen Stelle in allgemein verständlicher Form und ohne unzumutbare Verzögerung Auskunft über die zu seiner Person im Rahmen dieses Abkommens übermittelten oder verarbeiteten Daten, deren Herkunft, allfällige Empfänger und Empfängerkategorien, den vorgesehenen Verwendungszweck und die Rechtsgrundlage zu erhalten, sowie auf Richtigstellung unrichtiger und Löschung unzulässigerweise verwendeter Daten. Die Vertragsparteien stellen darüber hinaus sicher, dass der Betroffene sich im Falle der Verletzung seiner Datenschutzrechte mit einer wirksamen Beschwerde an eine unabhängige, unparteiische und weisungsfreie, auf Gesetz basierende Einrichtung im Sinne des Artikel 6 Absatz 1 der Konvention zum Schutz der Menschenrechte und Grundfreiheiten (Europäische Menschenrechtskonvention) wenden kann und dass ihm die Möglichkeit eröffnet wird, einen Schadenersatzanspruch oder Abhilfe anderer Art gerichtlich durchzusetzen. Die Einzelheiten des Verfahrens zur Durchsetzung dieser Rechte richten sich nach dem nationalen Recht der Vertragspartei, bei der diese geltend gemacht werden. Die Vertragsparteien stellen dabei zumindest ein Schutzniveau sicher, wie es sich aus der Konvention Nr. 108 des Europarats zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten, des Zusatzprotokolls vom 23. Mai 2001 hiezu sowie der Empfehlung Nr. R (87) 15 des Ministerkomitees des Europarats vom 17. September 1987 zur Regelung der Benutzung personenbezogener Daten durch die Polizei, und zwar auch insoweit als die Daten nicht automatisiert verarbeitet werden, ergibt. Im Falle eines Ansuchens auf Geltendmachung dieser Rechte gibt die Behörde, die über die Daten verfügt, der übermittelnden Behörde Gelegenheit zur Stellungnahme, bevor eine Entscheidung über das Ansuchen getroffen wird.
5. (6) Die empfangende Behörde ist verpflichtet, die übermittelten personenbezogenen Daten wirksam vor zufälliger oder unbefugter Zerstörung, zufälligem Verlust, unbefugter oder zufälliger Änderung oder Weitergabe, unbefugtem Zugang und unbefugter Veröffentlichung zu schützen.