Gesetzgeltende Fassung

§ 16 InfoSiG NRW

Datenverarbeitung

Gesetz zur Stärkung der Informationssicherheit des Landes Nordrhein-Westfalen

Eine automatisierte Auswertung der nach § 14 oder § 15 erlangten Daten durch Behörden muss unverzüglich erfolgen. Die Daten müssen nach erfolgtem Abgleich sofort und spurlos gelöscht werden, sofern nicht die nachfolgenden Absätze eine weitere Verarbeitung gestatten. Daten, die weder dem Fernmeldegeheimnis unterliegen noch Personenbezug aufweisen, sind von den Verarbeitungseinschränkungen dieser Vorschrift ausgenommen.

(2)

Protokolldaten nach § 15 Absatz 1 Nummer 1 dürfen über den für die automatisierte Auswertung erforderlichen Zeitraum hinaus, längstens jedoch für 18 Monate, gespeichert werden, soweit tatsächliche Anhaltspunkte bestehen, dass die Daten erforderlich sein können

für den Fall der Bestätigung eines Verdachts nach Absatz 4 Satz 1 Nummer 2 zur Abwehr von Gefahren für die Informationstechnik oder

zur Verhütung, Unterbindung oder Verfolgung damit zusammenhängender Straftaten.

§ 16 Abs. 2 InfoSiG NRW

Die Daten sind im Gebiet der Europäischen Union zu speichern. Durch organisatorische und technische Maßnahmen nach dem Stand der Technik ist sicherzustellen, dass eine Auswertung der nach diesem Absatz gespeicherten Daten nur automatisiert erfolgt. Die Daten sind zu pseudonymisieren, soweit dies automatisiert möglich ist.Eine nicht automatisierte Auswertung oder eine personenbezogene Verarbeitung ist nur nach Maßgabe der nachfolgenden Absätze zulässig. Soweit es hierzu erforderlich ist, pseudonymisierte Daten durch Heranziehung zusätzlicher Informationen einer natürlichen Person zuzuordnen, muss dies durch die Behördenleitung angeordnet werden. Die Entscheidung ist zu dokumentieren.

(3)

Für die Datenverarbeitung von Inhaltsdaten gilt Absatz 2 mit der Maßgabe, dass eine Speicherung für höchstens zwei Monate zulässig ist, die Speicherung und Auswertung von der Behördenleitung und einer oder einem weiteren Bediensteten mit der Befähigung zum Richteramt angeordnet sind und dies zum Schutz der technischen Systeme unerlässlich ist. Die Anordnung gilt längstens für zwei Monate; sie kann verlängert werden.

(4)

Eine über die Absätze 2 und 3 hinausgehende Verarbeitung der Daten ist nur zulässig,

wenn bestimmte Tatsachen den Verdacht begründen, dass die Daten Gefahren für die Informationstechnik, etwa durch Schadprogramme, programmtechnische Sicherheitslücken oder unbefugte Datenverarbeitung, enthalten, oder Hinweise auf solche Gefahren geben können und soweit die Datenverarbeitung erforderlich ist, um den Verdacht zu bestätigen oder zu widerlegen,

wenn sich der Verdacht nach Nummer 1 bestätigt und soweit dies zur Abwehr von Gefahren für die Informationstechnik erforderlich ist oder

wenn bei einer Verarbeitung der Daten ein nach § 17 Absatz 2 zu übermittelndes Datum festgestellt wird.

§ 16 Abs. 4 InfoSiG NRW

Wenn das CSIRT nach diesem Absatz Daten verarbeitet, welche die richterliche Unabhängigkeit berühren, ist dies der jeweils zuständigen obersten Landesbehörde unverzüglich zu berichten. Berührt die Datenverarbeitung die Aufgabenwahrnehmung anderer unabhängiger Stellen oder ein Berufs- oder besonderes Amtsgeheimnis, ist die betroffene Stelle unverzüglich zu unterrichten. Die jeweiligen Stellen nach den Sätzen 2 und 3 können Auskunft über die Verarbeitung von Daten nach diesem Absatz verlangen.

(5)

Eine Verarbeitung von besonderen Kategorien personenbezogener Daten durch Behörden ist abweichend von Artikel 9 Absatz 1 der Datenschutz-Grundverordnung und unbeschadet des § 15 des Datenschutzgesetzes Nordrhein-Westfalen vom 17. Mai 2018 (GV. NRW. S. 244, ber. S. 278 und S. 404) in der jeweils geltenden Fassung zulässig, wenn

diese Verarbeitung zur Abwehr einer erheblichen Gefahr für die Informationssicherheit erforderlich ist,

ein Ausschluss dieser Daten die Verarbeitung zur Abwehr einer erheblichen Gefahr für die Informationstechnik unmöglich machen oder erheblich gefährden würde und

kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss dieser Daten von der Verarbeitung überwiegt.

(6)

Bei der Datenverarbeitung ist, soweit möglich, technisch sicherzustellen, dass Daten nicht erhoben werden, die den Kernbereich privater Lebensgestaltung betreffen. Werden Erkenntnisse aus dem Kernbereich privater Lebensgestaltung erlangt, dürfen diese nicht verwendet werden und sind unverzüglich zu löschen. Die Tatsache ihrer Erlangung und Löschung ist zu dokumentieren. Dies gilt auch in Zweifelsfällen.