§ 20 EGovGRP Speicherung und Verwendung von Daten bei begründetem Gefahrenverdacht
Daten nach § 18 Abs. 1 und § 19 Abs. 1 dürfen über den für die automatisierte Auswertung erforderlichen Zeitraum hinaus, längstens jedoch für zwölf Monate, gespeichert werden, soweit sie zur Abwehr von Gefahren für die Vertraulichkeit, Verfügbarkeit und Integrität der Daten in der Informations- und Kommunikationsinfrastruktur des Landes, insbesondere im Rahmen einer späteren Analyse der Daten, grundsätzlich geeignet sein können.
Sind die Daten nicht bereits pseudonym, sind sie automatisiert zu pseudonymisieren, soweit dies technisch möglich ist und keinen unverhältnismäßig hohen Aufwand bewirkt.
Eine Auswertung der nach Satz 1 gespeicherten Daten ist nur zulässig, wenn zureichende tatsächliche Anhaltspunkte für die Betroffenheit des Landes von Sicherheitslücken, Schadprogrammen oder Angriffen vorliegen.
Durch organisatorische und technische Maßnahmen nach dem Stand der Technik ist sicherzustellen, dass die Auswertung automatisiert erfolgt.
Die Daten sind unverzüglich zu löschen, wenn und soweit sie zu den in Satz 1 genannten Zwecken nicht mehr erforderlich sind.
Satz 5 gilt nicht, soweit die Daten zur Rechts- oder Strafverfolgung erforderlich sind.
Im Sinne dieses Gesetzes bezeichnen die Begriffe:
„Angriff“ den Versuch, die IT-Sicherheit unbefugt zu beeinflussen;
„Sicherheitslücken“, die Eigenschaften von Computerprogrammen oder sonstigen IT-Systemen, durch deren Ausnutzung es möglich ist, dass sich Unbefugte gegen den Willen der Berechtigten Zugang zu diesen IT-Systemen verschaffen oder die Funktion dieser IT-Systeme beeinflussen können;
„Schadprogramm“ ein Computerprogramm, dessen Ausführung die IT-Sicherheit gefährden kann.
Eine über Absatz 1 hinausgehende, insbesondere eine nicht automatisierte oder eine personenbezogene Verarbeitung von Daten nach § 18 Abs. 1, § 19 Abs. 1 und § 20 Abs. 1 ist nur zulässig, soweit hinreichende Anhaltspunkte den Verdacht begründen, dass
diese eine Sicherheitslücke, ein Schadprogramm oder einen Angriff enthalten oder
diese durch eine Sicherheitslücke, ein Schadprogramm oder einen Angriff verursacht wurden oder
sich aus ihnen Hinweise auf eine Sicherheitslücke, ein Schadprogramm oder einen Angriff ergeben können
und soweit die Datenverarbeitung erforderlich ist, um den Verdacht zu bestätigen oder zu widerlegen.
Im Falle der Bestätigung des Verdachts ist die weitere Verarbeitung der Daten zulässig, soweit dies erforderlich ist
zur Abwehr einer Sicherheitslücke, eines Schadprogrammes oder eines Angriffes oder
zur Abwehr von Gefahren, die von der Sicherheitslücke, dem Schadprogramm oder dem Angriff ausgehen oder
zur Erkennung und Abwehr anderer Sicherheitslücken, Schadprogramme oder Angriffe.
Die nicht automatisierte oder die personenbezogene Verarbeitung der Daten bedarf der Genehmigung einer oder eines Bediensteten des Landesbetriebs Daten und Information mit der Befähigung zum Richteramt.
Die Genehmigung ist zu dokumentieren.
Soweit für eine Verarbeitung nach Satz 1 oder Satz 2 die Wiederherstellung des Personenbezugs pseudonymisierter Daten erforderlich ist, muss dies durch die Geschäftsführerin oder den Geschäftsführer des Landesbetriebs Daten und Information genehmigt werden.
Im Ausnahmefall kann die Genehmigung durch eine Bedienstete oder einen Bediensteten des Landesbetriebs Daten und Information mit der Befähigung zum Richteramt erteilt werden.
Wird die Genehmigung nicht durch die Geschäftsführerin oder den Geschäftsführer erteilt, ist sie oder er sowie die oder der behördliche Datenschutzbeauftragte unverzüglich zu informieren.
Die Entscheidung über die Wiederherstellung des Personenbezugs ist zu dokumentieren.
Die Daten sind unverzüglich zu löschen, wenn und soweit sie zu den in Satz 1 und 2 genannten Zwecken nicht mehr erforderlich sind.
Satz 9 gilt nicht soweit die Daten zur Rechts- oder Strafverfolgung erforderlich sind.
Soweit die Verarbeitung von Daten nach Absatz 1 oder Absatz 2 eine Sicherheitslücke, ein Schadprogramm oder einen Angriff identifiziert, können diese jederzeit beseitigt oder in ihrer Funktionsweise gehindert werden.
§ 18 Abs. 3 gilt entsprechend.
Rheinland-Pfalz