§ 32 SN-18195

In automatisierten Verarbeitungssystemen haben Verantwortliche und Auftragsverarbeiter folgende Verarbeitungsvorgänge zu protokollieren:

Die Protokolle über Abfragen und Offenlegungen müssen es ermöglichen, die Begründung, das Datum und die Uhrzeit dieser Vorgänge sowie, soweit möglich, die Identität der Person, die die personenbezogenen Daten abgefragt oder offengelegt hat, und die Identität des Empfängers der Daten festzustellen.

Die Protokolle dürfen ausschließlich für die Überprüfung der Rechtmäßigkeit der Datenverarbeitung durch den Datenschutzbeauftragten, den Sächsischen Datenschutzbeauftragten und die betroffene Person sowie für die Eigenüberwachung, für die Gewährleistung der Integrität und Sicherheit der personenbezogenen Daten, zur Ahndung von Ordnungswidrigkeiten nach diesem Gesetz und für Strafverfahren verwendet werden.

Der Verantwortliche und der Auftragsverarbeiter haben die Protokolle dem Sächsischen Datenschutzbeauftragten auf Anforderung zur Verfügung zu stellen.

Die Protokolldaten sind zwölf Monate nach ihrer Generierung zu löschen.

Vor dem 16. Mai 2016 eingerichtete automatisierte Verarbeitungssysteme sind in Ausnahmefällen, in denen die Anpassung mit einem unverhältnismäßigen Aufwand verbunden ist, zeitnah, jedoch spätestens bis zum 6. Mai 2023 anzupassen.

In außergewöhnlichen Umständen kann ein automatisiertes Verarbeitungssystem auch innerhalb einer bestimmten Frist nach Ablauf der Frist nach Absatz 6, spätestens jedoch bis zum 5. Mai 2026, angepasst werden, wenn sonst schwerwiegende Schwierigkeiten für den Betrieb dieses automatisierten Verarbeitungssystems entstehen würden.