IT-Dienstanweisung für das Ministerium der Finanzen (Stand: 01. November 2004)

A/1 O 1624 IT-Dienstanweisung für das Ministerium der Finanzen (Stand: 01. November 2004) Inhaltsverzeichnis Seite 1. Rechtsgrundlagen ................................................................................. 3 2. Geltungsbereich und Zweck ................................................................. 3 3. Grundsätze für den Einsatz von Informations- und Kommunikationstechnik (IuK-Einsatz) ................................................ 3 4. Zuständigkeiten ..................................................................................... 4 5. Zentrale IT-Stelle .................................................................................... 4 6. Behördliche / r Datenschutzbeauftragte / r.......................................... 4 7. IT-Sicherheitsbeauftragte / r ................................................................. 5 8. IT-Sicherheitsmanagement ................................................................... 5 9. IT-Nutzer / innen..................................................................................... 5 10. Datensicherheit und Datenschutz ........................................................ 6 11. Technische und organisatorische Maßnahmen .................................. 6 12. Störungen / Reparaturen ....................................................................... 7 13. Einsatz elektronischer Kommunikationssysteme............................... 7 14. Konsequenzen einer Nichtbeachtung der Dienstanweisung:............ 10 15. Inkrafttreten der IT-Dienstanweisung................................................... 10 Anlagen Anlage 1: Aufgaben der zentralen IT-Stelle................................................ 1 Anlage 2: Aufgaben des / der behördlichen Datenschutzbeauftragten....... 3 Anlage 3: Aufgaben des / der IT-Sicherheitsbeauftragten.......................... 4 Anlage 4: Aufgaben des IT-Sicherheitsmanagements ............................... 5 Anlage 5: Hinweise für die / den IT-Nutzer / in ........................................... 6 Anlage 6: Regelungen der Nutzung elektronischer Kommunikationssysteme ........................................................... 8 Anlage 7: Hinweise und Regeln zur Nutzung des Internet ........................ 11 Anlage 8: Merkblatt der wichtigsten datenschutzrechtlichen Bestimmungen .......................................................................... 13 Anlage 9: Bestätigung über die Kenntnisnahme der IT-Dienstanweisung. 18 ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 2 1. Rechtsgrundlagen Rechtsgrundlage für die Verarbeitung personenbezogener Daten ist das Saarländische Datenschutzgesetz (SDSG)1, insbesondere die §§ 3, 4, 6, 11 sowie § 14 SDSG. Des weiteren wird auf die IT-Sicherheitsrichtlinie2 sowie auf die Gemeinsame Geschäftsordnung3 der obersten Landesbehörden (GGO), die auszugsweise als Anlage 6 beigefügt ist, verwiesen. Die Dienstanweisung entspricht der in der GGO geforderten Benutzerordnung. 2. Geltungsbereich und Zweck Die IT-Dienstanweisung gilt für alle Arbeitsplätze mit informationstechnischer Unterstützung beim Ministerium der Finanzen (MdF). Sie regelt den Einsatz und die Nutzung der Informations- und Kommunikationstechnik auf zentralen und dezentralen Systemen einschließlich der elektronischen Post, des Internets, des Intranets und des Telefaxbetriebes. Ferner regelt diese Dienstanweisung die ordnungsgemäße Verarbeitung der Daten im Hinblick auf die geltenden Bestimmungen des Datenschutzes und die gesetzlichen und behördlichen Anforderungen an die Datensicherung. Die Nutzung von Verfahren angeschlossener externer IT-Systeme richtet sich nach den hierfür geltenden Dienstanweisungen der externen Stellen. 3. Grundsätze für den Einsatz von Informations- und Kommunikationstechnik (IuK-Einsatz) Um die Ordnungsmäßigkeit und die Sicherheit des IuK-Einsatzes zu gewährleisten, wird nach folgenden Grundsätzen verfahren: • Es wird ausschließlich eine vom MDF bereitgestellte Hard- und Software eingesetzt. In begründeten Ausnahmefällen erteilt der / die IT- Sicherheitsbeauftragte im Einvernehmen mit der zentralen IT-Stelle und dem / der behördlichen Datenschutzbeauftragten eine Ausnahmegenehmigung. Dies gilt auch für elektronische Organizer. • Verfahren, mit denen personenbezogene Daten verarbeitet werden, müssen zuvor nach § 7 Abs. 2 SDSG freigegeben worden sein. • Benutzereigene Verfahren dürfen nur im Einvernehmen mit der zentralen IT- Stelle entwickelt und eingesetzt werden. • Die erforderlichen Datensicherheits- und Datenschutzmaßnahmen müssen eingehalten werden (vgl. Tz. 10). • Tragbare Systeme müssen besonders gesichert werden. • Vor dem erstmaligen IuK-Einsatz muss eine ausreichende Schulung der Benutzer unter Berücksichtigung der datenschutzrechtlichen Anforderungen erfolgen. 1 in der Fassung vom 22. Aug. 2001 (Amtsbl. S. 2066), zuletzt geändert am 27. Febr. 2002 (Amtsbl. S. 498) 2 vom 5. Juni 2003 (GMBl S. 326) 3 vom 16. Okt. 2001 (GMBl S. 374) ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 3 Es ist untersagt, • die dienstlich zur Verfügung gestellte Hard- und Software privat zu nutzen, • nicht für das MDF lizenzierte oder zugelassene Software (private Programme, Raubkopien oder Spielprogramme) einzusetzen, • Programme und Daten unbefugt zu verändern, • Programme und Daten an Dritte ohne Erlaubnis weiterzugeben und • Programme und Daten zu anderen Zwecken als zur rechtmäßigen Aufgabenerfüllung zu verwenden. 4. Zuständigkeiten Im MDF sind zur Gewährleistung eines ordnungsgemäßen IuK-Einsatzes sowie zur Sicherstellung des Datenschutzes und der Datensicherheit folgende Zuständigkeiten und Verantwortungsbereiche gegeben: • Zentrale IT-Stelle, • Behördliche / r Datenschutzbeauftragte / r, • IT-Sicherheitsbeauftragte / r, • IT-Sicherheitsmanagement, • IT-Nutzer / innen. Der / die IT-Sicherheitsbeauftragte kann der zentralen IT-Stelle angehören. Die Funktionen des / der Behördlichen Datenschutzbeauftragten und des / der IT- Sicherheitsbeauftragten können in Personalunion wahrgenommen werden. In diesem Fall kann er / sie jedoch nicht der zentralen IT-Stelle angehören. 5. Zentrale IT-Stelle Der Zentralen IT-Stelle obliegt die IT-Rahmenplanung sowie die Weiterentwicklung des Nutzungskonzeptes der Dienststelle. Sie ist verantwortlich für die Beschaffung, Installation und den Betrieb der Hard- und Software sowie für die Pflege der Kommunikationssysteme. Ferner ist sie für die Betreuung der IT-Nutzer / innen zuständig. Das Nähere regelt Anlage 1. 6. Behördliche / r Datenschutzbeauftragte / r Der / die behördliche Datenschutzbeauftragte hat festzustellen, ob die für den Datenschutz vorgegebenen Bestimmungen bei der Verarbeitung personenbezogenen Daten beachtet werden. Er führt die Vorabkontrolle gemäß § 11 Abs. 1 SDSG durch. Ihm / Ihr sind die in § 9 des SDSG vorgeschriebenen Verfahrensbeschreibungen zur Verfügung zu stellen. Seine / Ihre Aufgaben ergeben sich insbesondere aus § 8 SDSG. Das Nähere regelt Anlage 2. ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 4 7. IT-Sicherheitsbeauftragte / r Der / die IT-Sicherheitsbeauftragte wirkt bei der Erstellung und Evaluation eines IT-Sicherheitskonzeptes für das MDF mit und kontrolliert die Effektivität der Sicherheitsmaßnahmen im Verwaltungsablauf. Das Nähere regelt Anlage 3. 8. IT-Sicherheitsmanagement Das IT-Sicherheitsmanagement hat nach Maßgabe der IT-Sicherheitsrichtlinie dafür Sorge zu tragen, dass die Aspekte der Datensicherheit und des Datenschutzes im MDF berücksichtigt werden. Es ist zuständig für die Entwicklung einer IT- Sicherheitsstrategie sowie für die Erstellung und Evaluierung des IT- Sicherheitskonzeptes des MDF. Das IT-Sicherheitsmanagement setzt sich zusammen aus: • den Vertreter / innen der Zentralen IT-Stelle, • dem / der behördlichen Datenschutzbeauftragten, • dem / der IT-Sicherheitsbeauftragten, • den Interessenvertretungen. Weitere Stellen können bei Bedarf hinzugezogen werden. Das Nähere regelt Anlage 4. 9. IT-Nutzer / innen Jede / r IT-Nutzer / in ist im Rahmen seines / ihres Zuständigkeitsbereiches verantwortlich für: • den ordnungsgemäßen Arbeitsablauf und die Richtigkeit der Arbeitsergebnisse, • die Sicherstellung der datenschutzrechtlichen Zulässigkeit der Verarbeitung und Speicherung personenbezogener Daten; dies gilt insbesondere für die auf den lokalen Rechnern gespeicherten Daten, • die Einhaltung der Datensicherheitsbestimmungen, • die regelmäßige Erstellung von Sicherungskopien der Daten und ggf. Programme, soweit sie nicht auf den zentralen Servern erfolgt, • den Schutz der IT-Systeme vor unbefugter, unsachgemäßer und missbräuchlicher Benutzung, • den ordnungsgemäßen Gebrauch von Passwörtern. Bei Arbeitsbeginn ist auf mögliche Änderungen und Beschädigungen am Gerät sowie seinen Anschlüssen und Verbindungen zu achten; ebenso auf ein verändertes Programm- und Systemverhalten beim Beginn und während der Arbeit. In diesen Fällen ist die zentrale IT-Stelle oder der /die IT-Sicherheitsbeauftragte zu informieren; bei Verdacht der missbräuchlichen Nutzung personenbezogener Daten der / die behördliche Datenschutzbeauftragte. ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 5 Bei Arbeitsunterbrechung oder wenn Gefahr einer unbefugten Kenntnisnahme besteht, sollte der Bildschirm gesperrt und der Bildschirmschoner aktiviert werden. Das Deaktivieren darf nur durch Eingabe des Passwortes möglich sein. Dateien sind grundsätzlich auf dem zentralen Server in nutzerbezogenen Verzeichnissen abzulegen. Sollte die technische Möglichkeit der Datenspeicherung auf einem Server nicht gegeben oder aus anderen Gründen nicht zweckmäßig sein, so ist die Datensicherung durch die Nutzer / innen in eigener Verantwortung durchzuführen. Die in der Anlage 5 aufgeführten Hinweise für die IT-Nutzer / innen für den Gebrauch von Passwörtern sowie die Anmerkungen zum Umgang mit Viren sind zu beachten. 10. Datensicherheit und Datenschutz • Beim Einsatz von IT-Systemen sind die zur Gewährleistung der Datensicherheit (Sicherung der Daten und ihrer Verarbeitung) und des Datenschutzes (Schutz des informationellen Selbstbestimmungsrechts) erforderlichen Maßnahmen vorzunehmen. • Diese Maßnahmen müssen unter Berücksichtigung des Standes der Technik und der bei ihrer Durchführung entstehenden Kosten ein Schutzniveau gewährleisten, das den von der Verarbeitung ausgehenden Gefahren und der Art der zu schützenden personenbezogenen Daten angemessen ist. • Allen Bediensteten, die Zugang zu personenbezogenen Daten haben, ist es untersagt, solche Daten unbefugt zu verarbeiten. Dies gilt auch nach Beendigung ihrer Tätigkeit. • Die Bediensteten sind vor der Aufnahme ihrer Tätigkeit über die zu beachtenden Vorschriften über den Datenschutz zu unterrichten (§ 6 SDSG), wozu das Merkblatt der Anlage 8 als Grundlage herangezogen werden kann. • Der erstmalige Einsatz von automatisierten Verfahren, mit denen personenbezogene Daten verarbeitet werden, bedarf der vorherigen schriftlichen Freigabe durch die verantwortliche Stelle im Sinne des § 3 Abs. 3 SDSG. Entsprechendes gilt für wesentliche Änderungen der Verfahren. Der Landesbeauftragte für Datenschutz ist vorab zu hören. Hinweis: Die Anlage 8 enthält ein Merkblatt über die wichtigsten datenschutzrechtlichen Bestimmungen. 11. Technische und organisatorische Maßnahmen Die IT-Nutzer / innen sowie die in Textziffern 5 bis 8 genannten Funktionsträger / innen haben im Rahmen ihrer Zuständigkeits- und Verantwortungsbereiche besondere Maßnahmen nach § 11 Abs. 2 SDSG zu treffen, die je nach Art der zu schützenden Daten geeignet sind: • Unbefugten den Zutritt zu den Datenverarbeitungsanlagen zu verwehren (Zutrittskontrolle), z. B. Verschließen der Türen bei Verlassen des Raumes, ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 6 • zu verhindern, dass Datenverarbeitungsanlagen von Unbefugten genutzt werden können. Der Systemstart ist mittels Passwort abzusichern. Wartungsarbeiten dürfen nur in Anwesenheit befugter Bediensteter oder nach Löschung aller Daten vorgenommen werden. Werden Hard- oder Software außerhalb des MDF mitgeführt, sind sie in besonderem Maße (z.B. durch Verschlüsselung) vor Missbrauch zu schützen (Zugangskontrolle), • zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten nur auf die Daten und Programme zugreifen können, die für ihre Aufgabenerfüllung erforderlich sind. Dies ist durch ein der Geschäftsverteilung nachgebildetes Zugriffsverwaltungs- und -kontrollsystem sicher zu stellen (Zugriffskontrolle), • zu gewährleisten, dass bei der elektronischen Übertragung, beim Transport oder der Speicherung auf Datenträger Daten nicht unbefugt gelesen, kopiert, verändert oder gelöscht werden können und dass festgestellt werden kann, an welche Stellen die Übertragung von Daten vorgesehen ist (Weitergabekontrolle), z. B. durch Verschlüsselung und / oder elektronische Unterschrift, • zu gewährleisten, dass nachträglich festgestellt werden kann, von wem personenbezogene Daten eingegeben, verändert oder entfernt worden sind (Eingabekontrolle), z. B. Logdatei, • zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle), z. B. Vertrag mit dem Auftragnehmer nach § 5 SDSG, • zu gewährleisten, dass personenbezogene Daten gegen Verlust geschützt sind. Datenträger sind sicher aufzubewahren (Verfügbarkeitskontrolle), • zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können, z. B. Abschottung der Datenbestände und Verfahren. Die konkreten Maßnahmen werden in einem IT-Sicherheitskonzept beschrieben. 12. Störungen / Reparaturen Störungen, die durch Hard- oder Softwarefehler verursacht sein können, sind der zentralen IT-Stelle oder dem / der IT-Sicherheitsbeauftragten zu melden. Gleiches gilt bei einem Viren-Verdacht. 13. Einsatz elektronischer Kommunikationssysteme Für die Nutzung der elektronischen Kommunikationssysteme gelten die Regelungen der Anlage 2 der GGO, die als Anlage 6 beigefügt ist. ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 7 13.1. Formen der elektronischen Kommunikation Unter elektronischer Kommunikation versteht man vor allem die elektronische Post mit dem Austausch von Dokumenten (E-Mail), das Surfen im World Wide Web (WWW) oder im verwaltungsinternen Intranet, die Übertragung von Dateien mit Hilfe des Protokolls FTP sowie die Nutzung von Newsgroups. Die Nutzung der elektronischen Kommunikation ist ausschließlich zu dienstlichen Zwecken zulässig. 13.2. Bedrohungen aus dem Internet und aus sonstigen öffentlichen Netzen Hinsichtlich der Bedrohungen wird auf die TZ 2.1.3 der GGO (Anlage 6) sowie auf die Regeln zur Nutzung des Internets (Anlage 7) verwiesen. 13.3. Verantwortung und Schulung der Mitarbeiterinnen und Mitarbeiter Allgemein obliegt den Mitarbeiterinnen und Mitarbeitern selbst die Verantwortung für die Nutzung der Kommunikationsdienste und die Kontrolle auf mögliche Schadensfunktionen wie beispielsweise Viren. Sie sind daher in geeigneter Weise zu unterrichten. In Zweifelsfällen ist die zentrale IT-Stelle zu befragen. 13.4. Versand und Empfang elektronischer Dokumente per E-Mail Nachrichten und übermittelte Dokumente, die von besonderer Bedeutung sind oder die die Entscheidungskompetenz des Beschäftigten überschreiten, sind in den Geschäftsgang zu bringen. Den als Anlage übermittelten Dokumenten ist ein Ausdruck der E-Mail beizufügen. Sollen nicht nur einfache unverbindliche Nachrichten per E-Mail versandt werden, sind diese unter Verwendung eines förmlichen Briefkopfes als Anlage beizufügen. Diese ist als elektronisches Dokument zu kennzeichnen. Beim Versand von Word-Dokumenten als Anlage ist aus Sicherheits- und Datenschutzgründen statt des üblichen doc-Formats das rtf-Format zu verwenden. 13.5. Versand und Empfang ausführbarer Programme und aktiver Dokumentinhalte Das Übermitteln von Programmen und Ausführen empfangener Programme bedarf der Abstimmung mit der zentralen IT-Stelle. Bei der Ausführung aktiver Dokumentinhalte (z. B. Makros) ist besondere Vorsicht geboten. Im Zweifelsfall sollte eine Abstimmung mit der zentralen IT-Stelle erfolgen. ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 8 13.6. Telefax Für die Behandlung von Posteingängen mittels Telefax gelten die Bestimmungen für die übrigen Posteingänge sinngemäß. Schreiben mit vertraulichen Informationen, insbesondere personenbezogenen Daten, sollen möglichst nicht mit Telefax versandt werden. Ist ein Telefax-Versand aus dringenden Gründen erforderlich, darf dieser nur erfolgen, wenn zuvor sichergestellt ist, dass das eingehende Telefax bei der empfangenden Stelle auch sofort vertraulich behandelt werden kann. Im Zweifelsfall ist mit dem Adressaten zu vereinbaren, dass dieser am Telefax-Gerät steht, wenn die vertrauliche Telefax-Sendung ausgedruckt wird. 13.7. Internet-Nutzung • Jegliche private Nutzung des Internets ist untersagt. Dies gilt insbesondere auch für die nicht dienstlich veranlasste Teilnahme an Foren, Gästebüchern und Chats. Bei einem Verstoß trägt der Teilnehmer das daraus sich ergebende Haftungsrisiko. • Bei Nutzung des Internet im privaten (häuslichen) Umfeld dürfen dienstliche Kennungen einschl. der E-Mail-Adresse nicht für private Zwecke benutzt werden. • Aus Sicherheitsgründen ist der Browser von der Systemverwaltung in besonderer Art und Weise konfiguriert. Dem / Der Nutzer / in ist es nicht erlaubt, diese Einstellungen zu verändern. • Die Installation oder der Einsatz von Programmen oder von ausführbaren Programmcodes, die über das Internet beschafft wurden, ist grundsätzlich nicht zulässig. In begründeten Ausnahmefällen erteilt der IT- Sicherheitsbeauftragte im Einvernehmen mit dem behördlichen Datenschutzbeauftragten eine Ausnahmegenehmigung. • Ein Herunterladen von Dateien ist nur gestattet, soweit keine Lizenzoder Kopierrechte verletzt werden. Ein Speichern von Informationen ist auf das notwendige Maß zu beschränken. • Bei der Übermittlung personenbezogener Daten sind die datenschutzrechtlichen Bestimmungen, insb. das Steuergeheimnis und das Personalaktengeheimnis, zu beachten. Das Einstellen von personenbezogenen Inhalten ins Internet muss gemäß den Vorgaben des § 4 Abs. 4 SDSG zur Datenvermeidung und Datensparsamkeit erfolgen. • Alle sicherheitsrelevanten Ereignisse (z. B. unerklärliches Systemverhalten, Verlust oder Veränderung von Daten und Programmen, Verfügbarkeit nicht explizit freigegebener Dienste, Verdacht auf Missbrauch der eigenen Benutzerkennung usw.) sind sofort der zentralen IT-Stelle, ggf. auch dem / der behördlichen Datenschutzbeauftragten mitzuteilen. Von den Nutzerinnen und Nutzern sind keine eigenen Aufklärungsversuche zu unternehmen, da evtl. wertvolle Hinweise und Spuren verwischt werden oder verloren gehen können. Das Nähere regelt die Anlage 7. ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 9 13.8. Nutzung portabler Systeme Personenbezogene Daten dürfen auf portablen Systemen nur mit einer geeigneten Verschlüsselung gespeichert werden. Organizer dürfen mit den Arbeitsplatzcomputern nur zur Synchronisation der Outlook-Funktionalitäten „Kalender“, „Kontakte“ sowie „Aufgaben“ verbunden werden. Die Nutzung sonstiger portabler Systeme (z. B. USB-Speicher, PDAs) erfolgt in Abstimmung mit der zentralen IT-Stelle unter Berücksichtigung der in dieser Dienstanweisung festgeschriebenen Grundsätze. 14. Konsequenzen einer Nichtbeachtung der Dienstanweisung: Die Nichtbeachtung der Regeln der in der IT-Dienstanweisung festgelegten Regelungen kann bei Beamten ein Dienstvergehen und bei Angestellten eine Dienstpflichtverletzung sein. 15. Inkrafttreten der IT-Dienstanweisung Diese Dienstanweisung tritt am 01. November 2004 in Kraft. Gleichzeitig wird die „Dienstanweisung für IT-unterstützte Arbeitsplätze beim Ministerium für Wirtschaft und Finanzen vom 21.05.1996“ aufgehoben. Die Dienstanweisung ist von jedem Bediensteten, der mit Geräten und Verfahren der Informationstechnik arbeitet, zu beachten. Ihre Kenntnisnahme ist mit einer Bescheinigung gemäß Anlage 9 zu dokumentieren. Die Bescheinigung ist zu den Personalakten zu nehmen. Der Personalrat des MDF hat nach § 83 Abs. 2 SPersVG an der Erstellung dieser Dienstanweisung mitgewirkt. Die Frauenbeauftragte und der Vertrauensmann der Schwerbehinderten wurden beteiligt. Saarbrücken, den ______________________________ Gerhard Wack, Staatssekretär ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 10 Anlage 1 ___________________________________________________________________ Aufgaben der zentralen IT-Stelle • die Erarbeitung von Vorschlägen für die Verbesserung und Weiterentwicklung des allgemeinen Einsatzkonzeptes, • die Auswahl und Dokumentation, ggf. die Entwicklung und Pflege von Verfahren, sowie die Erteilung von Aufträgen für Verfahrensentwicklungen in Zusammenarbeit mit den zuständigen Fachreferaten, • die Planung des Gerätebedarfes, die Beschaffung neuer Geräte und Produkte im Rahmen der dafür geltenden Regelungen, • die Installation der Hard- und Software und die Einrichtung der Benutzerprofile, • die Zuweisung oder Sperrung von Benutzerkennungen und Zugriffsrechten auf Anweisung des Vorgesetzten, • die regelmäßige Überprüfung, dass nur freigegebene Programme in der gültigen Fassung eingesetzt werden und die allgemeinen organisatorischen Anforderungen an einen ordnungsgemäßen und sicheren IT-Betrieb – insbesondere auch unter Gesichtspunkten des Datenschutzes und der Datensicherheit – erfüllt werden, • die Verwaltung von Betriebsunterlagen (z. B. Bedienungsanweisungen, Vernetzungspläne, Produktbeschreibungen), • die Datensicherung der Systemkonfiguration von Einzelarbeitsplätzen, • die Behebung von Störungen und den Wiederanlauf bei Systemabstürzen, • die Einschaltung der ZDV-Saar oder anderer externer Stellen bei Bedarf, • die Abwicklung von Reparaturen und Wartungsarbeiten. Müssen Rechner zur Reparatur außer Haus gegeben werden, so muss sichergestellt sein, dass mit den gespeicherten Daten kein Missbrauch getrieben werden kann. Der Auftragnehmer ist hierzu zu verpflichten. Erforderlichenfalls sind die Speicher durch Überschreiben zu löschen oder auszubauen, • der Schutz vor Viren und Überprüfung der Systeme auf Virenbefall, • die Beratung und Schulung der Benutzer beim Umgang mit Hard- und Software, • die Führung eines Bestandsverzeichnisses gem. § 73 LHO, ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 1 Anlage 1 ___________________________________________________________________ • die Netzwerkverwaltung. Zum Aufgaben- und Verantwortungsbereich der Netzwerkverwaltung, die ein priviligiertes, sicher hinterlegtes Passwort erhält, gehört folgendes: o die Gewährleistung der Betriebssicherheit der Systeme und Sicherheit der Daten im Netzwerk, o die Installation der Netzwerksoftware, o die Gewährleistung regelmäßiger Datensicherung und Rücksicherung, o die Einrichtung und Verwaltung der Server, Benutzergruppen, Zugriffsrechte und Verzeichnisse. ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 2 Anlage 2 ___________________________________________________________________ Aufgaben des / der behördlichen Datenschutzbeauftragten Der / Die behördliche Datenschutzbeauftragte hat darüber zu wachen und sicherzustellen, daß die bei der Verarbeitung von personenbezogenen Daten für die Datensicherheit und den Datenschutz vorgegebenen Bestimmungen beachtet werden. Er / Sie hat als Mitglied des IT-Sicherheitsmanagements dafür Sorge zu tragen, dass die gesetzlichen Regelungen des Datenschutzes im Sicherheitskonzept des MDF umgesetzt werden. Im Rahmen seiner / ihrer gesetzlichen Aufgaben ist er / sie unmittelbar der Dienststellenleitung zugeordnet. Seine / Ihre Aufgaben ergeben sich aus § 8 SDSG. Hierzu gehören insbesondere: • die Führung der Verfahrensverzeichnisse gem. § 9 SDSG, • die Vorabkontrolle gem. § 11 Abs. 1 SDSG in Zusammenarbeit mit der zentralen IT-Stelle, • die Unterstützung der Zentralen IT-Stelle bei der Erarbeitung der technischen und organisatorischen Maßnahmen nach § 11 Abs. 2 und 3 SDSG, • die unabhängige Überwachung der Einhaltung der datenschutzrechtlichen Regelungen, • die Schulung und Beratung der Mitarbeiter / innen in datenschutzrechtlichen Fragestellungen, • Beratung der Dienststelle in datenschutzrechtlichen Fragen, • Bearbeitung datenschutzrechtlich relevanter Bürgeranfragen und -beschwerden, • Mitwirkung bei der Auftragsvergabe gem. § 5 SDSG. ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 3 Anlage 3 ___________________________________________________________________ Aufgaben des / der IT-Sicherheitsbeauftragten Der / die IT-Sicherheitsbeauftragte ist Ansprechpartner / in für IT- sicherheitsrelevante Fragen und hat dafür Sorge zu tragen, dass im Verwaltungsablauf des MDF den Aspekten der IT-Sicherheit Rechnung getragen wird. Er / Sie hat das vom IT- Sicherheitsmanagement zu erarbeitende Sicherheitskonzept für das MDF in Zusammenarbeit mit der Zentralen IT-Stelle und dem Datenschutzbeauftragten umzusetzen und dessen Einhaltung zu kontrollieren. Angelegenheiten bzw. Probleme grundsätzlicher Bedeutung hat er dem IT-Sicherheitsmanagement vorzulegen. Aufgabenbeschreibung Der / Die IT-Sicherheitsbeauftragte • wirkt als Mitglied des IT-Sicherheitsmanagements an der Entwicklung von Richtlinien und Regelungen zur IT-Sicherheit mit, • wirkt bei der Anwendung des IT-Grundschutzes und der Durchführung von Risikoanalysen zur Erstellung des IT-Sicherheitskonzeptes mit, • koordiniert die IT-Sicherheitsziele mit dem IT-Einsatzkonzept des MDF, • bereitet die Entscheidung über zu treffende IT-Sicherheitsmaßnahmen vor, • kontrolliert den Fortschritt der Realisierung von IT-Sicherheitsmaßnahmen, • koordiniert Kontrollen der Effektivität von IT-Sicherheitsmaßnahmen im laufenden Betrieb, • koordiniert Sensibilisierungs- und Schulungsmaßnahmen zum Thema IT- Sicherheit. ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 4 Anlage 4 ___________________________________________________________________ Aufgaben des IT-Sicherheitsmanagements Hauptaufgabe des IT-Sicherheitsmanagements ist die Entwicklung einer IT- Sicherheitsstrategie sowie die Konzeption und Fortschreibung eines IT- Sicherheitskonzepts. Hierbei sind sowohl die Aspekte der Datensicherheit als auch des Datenschutzes zu berücksichtigen. Das IT-Sicherheitsmanagement ist unmittelbar der Dienststellenleitung zugeordnet. Die Aufgaben des IT-Sicherheitsmanagements sind: • die Definition bzw. Aktualisierung der IT-Sicherheitsziele in Abstimmung mit der Leitungsebene, • die Erstellung bzw. Aktualisierung des IT-Sicherheitskonzepts des MDF (Schutzbedarfsfeststellung, Risikoanalyse, technische und organisatorische Maßnahmen), • das Entwickeln eines Realisierungsplans zur Umsetzung der Maßnahmen, Prioritätensetzung, • die Konzipierung der Schulungen, Sensibilisierung aller Ebenen (von der Leitungsebene bis zu den IT-Nutzer / innen), • die Unterrichtung der Amtsleitung über den Status Quo zur IT-Sicherheit, • das Entwerfen und Einführen eines Meldesystems für sicherheitsrelevante Informationen, • die Organisation, Koordination und Aktualisierung der IT-Sicherheitsmaßnahmen im laufenden Betrieb, • die Kontrolle des IT-Sicherheitsprozesses vor Ort durch eine IT-Revision und eine interne Datenschutzkontrolle und Optimierung der Maßnahmen. ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 5 Anlage 5 ___________________________________________________________________ Hinweise für die / den IT-Nutzer / in a. Gebrauch von Passwörtern • Halten Sie Passwörter geheim. Lassen Sie sich bei der Eingabe eines Passwortes nicht "auf die Finger schauen". • Legen Sie auf keinen Fall Passwörter auf eine Funktionstaste • Benutzen Sie keine "Trivial"-Passwörter. • Das Passwort muss mindestens 8 Zeichen haben und sollte aus einer Kombination von Buchstaben und Zahlen bestehen. • Wechseln Sie das Passwort mindestens halbjährlich. • Ändern Sie Ihr Passwort, wenn der Verdacht besteht, dass eine andere Person davon Kenntnis erlangt hat. • Verändern Sie herstellerseitig eingestellte Passwörter, da diese meist allgemein bekannt sind. • Hinterlegen Sie Passwörter ggf. in einem versiegelten Umschlag an einer sicheren Stelle. b. Umgang mit Viren Allgemeines Computerviren sind Programme mit Schadensfunktion, die zur Verfälschung oder zum Verlust von Daten (bis zur Löschung der gesamten Festplatte) führen können. Computerviren gelangen als Teil eines Programms oder einer Datei oder durch Softwarelücken im Betriebssystem oder der Anwendungssoftware in den PC. Wird ein infiziertes Programm gestartet oder eine infizierte Datei bearbeitet, wird auch dieser Virus aktiviert. Neben seiner direkten Schadensfunktion auf Daten kann ein Computervirus die Eigenschaft haben, sich selbständig in andere Dateien (Programme und Daten) hineinzukopieren. Dadurch kommt es zu einer unkontrollierten Ausbreitung eines Virus im PC. Computerviren werden meistens beim Datenaustausch per Datenträger oder über ein Netzwerk (z. B. per E-Mail oder offene Internet-Ports) übertragen. Es wird aber auch von Fällen berichtet, bei denen schon auf den Datenträgern renommierter Softwarehersteller Viren gefunden wurden. Aus diesen Gründen ist jeder PC mit einem Virenscanner eingerichtet, der regelmäßig aktualisiert wird. ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 6 Anlage 5 ___________________________________________________________________ Was deutet auf einen Virenbefall hin? In den meisten Fällen wird ein Virus erst anhand seiner Auswirkungen und Schäden erkannt. Dazu gehören unnormales Verhalten des PC wie z. B. • unerwartete Verzögerungen beim Aufruf von Programmen und Daten, • unerklärlicher Rückgang des verfügbaren Speicherplatzes im Arbeitsspeicher, auf der Festplatte und auf Datenträgern, • auffällig lange Reaktionszeiten im Programmablauf, • unerklärliche Systemabstürze in bisher einwandfrei laufenden Programmen, • falsche oder veränderte Bildschirmdarstellung, • Massenversand von E-Mails, • veränderte oder fehlende Dateien bzw. Programme. Wie sollte man sich beim Verdacht auf Virenbefall verhalten? Beenden Sie möglichst sofort alle Arbeiten am PC wie gewohnt. Schalten Sie den PC aus. Informieren Sie umgehend die zentrale IT-Stelle. Wie kann man einem Virenbefall vorbeugen? Durch konsequente Einhaltung von Schutzmaßnahmen lässt sich ein Virenbefall verhindern. Insbesondere darf das Einlesen von Daten von externen Datenträgern nur unter besonderen Sicherheitsvorkehrungen erfolgen. Externe Datenträger sind vor dem ersten Lesezugriff mittels eines aktuellen Viren-Suchprogramms auf Virenbefall zu überprüfen. Dateien, die über ein Netz in Ihren PC gelangen (z. B. per E-Mail oder Internet), sind ebenfalls vor dem ersten Zugriff durch ein aktuelles VirenSuchprogramm zu prüfen. Das auf dem PC installierte Virensuchprogramm darf nicht deaktiviert werden. ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 7 Anlage 6 ___________________________________________________________________ Regelungen der Nutzung elektronischer Kommunikationssysteme ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 8 Anlage 6 ___________________________________________________________________ ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 9 Anlage 6 ___________________________________________________________________ ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 10 Anlage 7 ___________________________________________________________________ Hinweise und Regeln zur Nutzung des Internet 1. Allgemeine Grundsätze 1.1 Das Internet ist eine zusätzliche Quelle der Informationsbeschaffung. Das Bewegen im Internet birgt Risiken, die es gilt, verantwortungsvoll zu vermeiden bzw. zu begrenzen (siehe TZ 3). Im Internet sind in der Regel keine Maßnahmen zur Sicherung der Integrität, Vertraulichkeit und Authentizität der übertragenen Daten, der Kommunikation und der Kommunikationspartnerinnen und –partner vorgesehen und realisiert. 1.2 Bei der Übermittlung personenbezogener Daten sind die datenschutzrechtlichen Bestimmungen, insb. das Steuergeheimnis und das Personalaktengeheimnis zu beachten. 2. Organisatorische Grundsätze 2.1 Die Nutzung des Internet ist nur für den Dienstgebrauch zugelassen. Der Datenverkehr mit dem Internet wird automatisch auf dem Server für den zentralen Internetzugang (Proxy-Server) beim Landesamt für Finanzen protokolliert. Für jeden Zugriff werden dabei • ggf. die Benutzer-Identifikation, • die Geräte-Identifikation (IP-Adresse), • Datum und Uhrzeit, • die aufgesuchte Internetseite (URL) • sowie alle geladenen Elemente der Internetseite (z. B. Namen der Grafikdateien) aufgezeichnet. Im Übrigen wird darauf hingewiesen, dass auf jedem aufgesuchten InternetServer wie auch auf den zwischengeschalteten Netzwerkkomponenten außerhalb der lokalen Netze Daten über das Benutzerverhalten gespeichert werden können. 2.2 Die Protokolle dienen der Datenschutzkontrolle, der Datensicherheit und der Sicherstellung eines ordnungsgemäßen Betriebs der Internetanbindung. Die Protokolldaten werden für einen Zeitraum von 80 Tagen aufbewahrt und können stichprobenweise sowie aufgrund eines besonderen Anlasses ausgewertet werden. Kontrollen durch den / die behördliche / n Datenschutzbeauftragte /n sowie den Landesbeauftragten für Datenschutz sind ebenfalls möglich. ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 11 Anlage 7 ___________________________________________________________________ Soweit Daten der Beschäftigten im Rahmen der Durchführung der technischen und organisatorischen Maßnahmen nach § 11 Abs. 2 SDSG gespeichert werden, dürfen sie nicht zu Zwecken der Verhaltens- oder Leistungskontrolle genutzt werden. Ansonsten dürfen sie nur bei einem begründeten Missbrauchsverdacht weiter verwendet werden. 3. Datenschutz und IT-Sicherheit 3.1 Es ist stets zu bedenken, dass die Inhaber der Internetzugänge identifiziert werden können. 3.2 Für die Nutzung des Internets über den zentralen Zugang des Landesamtes für Finanzen wurde eine Reihe von Sicherheitsmaßnahmen (z. B. „Firewall“) getroffen. Diese Maßnahmen können aber nur zu einem gewissen Teil die Gefahren des Internets ausschalten. Alle technischen Maßnahmen können nicht das verantwortungsvolle Handeln der einzelnen Bearbeiterin bzw. des einzelnen Bearbeiters ersetzen. Daher sind die geltenden gesetzlichen Regelungen, Anweisungen und Verwaltungsvorschriften (z. B. Anlage 2 GGO der saarländischen Landesregierung) zur Gewährleistung von Datenschutz und Datensicherheit konsequent und gewissenhaft zu beachten. Jede Missachtung und Nichteinhaltung dieser Regelungen gefährdet nicht nur die Vertraulichkeit, Verfügbarkeit und Integrität der auf dem Arbeitsplatzcomputer unmittelbar verarbeiteten Daten sondern auch die Vertraulichkeit, Verfügbarkeit und Integrität aller sonstigen Behördendaten und damit auch das Ansehen der Behörde. ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 12 Anlage 8 ___________________________________________________________________ Merkblatt der wichtigsten datenschutzrechtlichen Bestimmungen Der Landesbeauftragte für Datenschutz Saarbrücken 01.12.2001 Merkblatt zur Information über die wichtigsten Bestimmungen des Saarländischen Datenschutzgesetzes und zur Beachtung datenschutzrechtlicher Anforderungen Mit dem Saarländischen Gesetz zum Schutz personenbezogener Daten (Saarländisches Datenschutzgesetz -SDSG-) sind Bereiche des Schutzes personenbezogener Daten, eine Information der damit in Berührung kommenden Personen und die zur Einhaltung des Datenschutzes zu treffenden technischen, personellen und organisatorischen Maßnahmen einschließlich der Kontrollmöglichkeiten grundsätzlich geregelt. Der vollständige Gesetzestext ist im Internet-Angebot des LfD unter www.lfd.saarland.de im Abschnitt „Datenschutzrecht“ enthalten; eine Kenntnisnahme des vollständigen Gesetzestextes wird dringend empfohlen. In manchen Verwaltungsbereichen gelten besondere, bereichsspezifische Datenschutzbestimmungen, die den Regelungen des SDSG vorgehen (z. B. im Geschäftsbereich des MiFAGS das Sozialgesetzbuch und das Saarl. Krankenhausgesetz, ansonsten im Bereich des MFIS das Meldegesetz und das Polizeigesetz, im Bereich des MBKW die Datenschutzbestimmungen für den Schulbereich). Zu einer ersten Information und zur leichteren Umsetzung der relevanten Regelungen sollen im Folgenden eine Auswahl der Grundsätze, Grundbegriffe und Regelungen vorgestellt und eventuelle Maßnahmen vorgeschlagen werden, sofern sie nicht schon durch eine entsprechende Dienstanweisung geregelt sind: Zielsetzung des SDSG (§ 1) Aufgabe des SDSG ist es, den einzelnen davor zu schützen, dass er durch die Verarbeitung personenbezogener Daten in unzulässiger Weise in seinem Recht beeinträchtigt wird, selbst über die Preisgabe und Verwendung seiner Daten zu bestimmen. Das Gesetz trägt damit dem vom Bundesverfassungsgericht 1983 im sogenannten "Volkszählungsurteil" herausgestellten "Recht auf informationelle Selbstbestimmung" Rechnung, das Artikel 2 der Saarländischen Landesverfassung als Grundrecht besonders heraushebt. Der Begriff "Personenbezogene Daten" (§ 3) Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren, natürlichen Person. Auch Daten ohne direkten Personenbezug (z. B. ohne Namensangabe) können personenbezogene Daten sein, wenn aus ihnen auf die zugehörigen Personen Bezug genommen werden kann (z. B. Personalnummer, maschinenbezogene Nutzungszeiten bei nur einem in Frage kommenden Benutzer). Der Begriff "Datenverarbeitung" (§ 3) Datenverarbeitung ist das Erheben, Speichern, Verändern, Übermitteln, Sperren, Löschen sowie Nutzen personenbezogener Daten, wobei Nutzen jede sonstige Verwendung von Daten ist. Damit unterliegt jede Verwendung personenbezogener Daten dem Datenschutz. Die - inzwischen zum Regelfall gewordene - automatisierte Datenverarbeitung wird wegen ihres Gefährdungspotentials besonders erwähnt und teilweise strengeren Regeln unterworfen. ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 13 Anlage 8 ___________________________________________________________________ Zulässigkeit der Datenverarbeitung, Datenvermeidung und Datensparsamkeit (§ 4) Die Verarbeitung personenbezogener Daten ist nur zulässig, wenn das Saarländische Datenschutzgesetz oder eine andere Rechtsvorschrift sie erlaubt oder Der / Die Betroffene - in Kenntnis der Bedeutung - eingewilligt hat. Einschränkungen gelten für „sensible“ Daten und für Bewertung von Persönlichkeitsmerkmalen allein durch automatisierte Verfahren. Die Art der Verarbeitung und die dabei genutzte Technik sind so auszurichten, dass so wenig wie möglich personenbezogene Daten verarbeitet werden. Erforderlichkeit (§§ 12 - 13) Jede einzelne Phase der Datenverarbeitung ist nur in dem Umfang und solange zulässig, wie ohne sie die Aufgaben der öffentlichen Stelle im konkreten Einzelfall nicht, nicht vollständig oder nicht in rechtmäßiger Weise erfüllt werden könnten. Bei der Verarbeitung ist die Art und Weise zu wählen, die den Betroffenen am wenigsten beeinträchtigt. Zweckbindung (§ 13) Personenbezogene Daten dürfen grundsätzlich nur für die Zwecke (weiter) verarbeitet werden, für die sie erhoben bzw. erstmals gespeichert worden sind; nur in gesetzlich bestimmten Fällen oder mit Einwilligung des Betroffenen ist eine anderweitige Verarbeitung zulässig. Verpflichtung zur Wahrung des Datengeheimnisses (§ 6) Allen Personen, die bei öffentlichen Stellen oder ihren Auftragnehmern dienstlichen Zugang zu personenbezogenen Daten haben, ist es untersagt, solche Daten unbefugt zu verarbeiten; dies gilt auch nach Beendigung ihrer Tätigkeit. Diese Personen sind über die zu beachtenden Vorschriften über den Datenschutz zu unterrichten (damit ist die frühere Verpflichtung auf den Datenschutz hinfällig). Sicherstellung des Datenschutzes, behördlicher Datenschutzbeauftragter (§ 7, 8) Die obersten Landesbehörden, die Gemeinden und Gemeindeverbände sowie die sonstigen der Aufsicht des Landes unterstehenden juristischen Personen des öffentlichen Rechts und deren Vereinigungen haben für ihren Geschäftsbereich den Datenschutz sicherzustellen. Behördliche Datenschutzbeauftragte unterstützen die verantwortliche Stelle bei der Ausführung der datenschutzrechtlichen Vorschriften und wirken auf deren Einhaltung hin. Automatisierte Verfahren zur Verarbeitung personenbezogener Daten sind vor ihrem erstmaligen Einsatz und bei wesentlichen Änderungen schriftlich freizugeben. Vor der Freigabe von Verfahren und der Inkraftsetzung von Verwaltungsvorschriften ist der Landesbeauftragte für Datenschutz zu hören. Vorabkontrolle (§ 11 Abs. 1) Vor dem erstmaligen Einsatz von automatisierten Verfahren ist im Rahmen einer Vorabkontrolle zu prüfen, welche Gefahren hierdurch für das informationelle Selbstbestimmungsrecht entstehen können und welche Maßnahmen dagegen zu treffen sind. Grundlage hierzu ist die IT- Sicherheitsrichtlinie in Verbindung mit dem IT-Grundschutzhandbuch des Bundesamtes für die Sicherheit in der Informationstechnik. ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 14 Anlage 8 ___________________________________________________________________ Technische und organisatorische Maßnahmen (§ 11 Abs. 2) Es sind technische und organisatorische Vorkehrungen zu treffen, die den Datenschutz bei der automatisierten Verarbeitung sicherstellen. Hierzu gehören Maßnahmen zur Zutrittskontrolle, Zugangskontrolle, Zugriffskontrolle, Weitergabekontrolle, Eingabekontrolle, Verfügbarkeitskontrolle und zur getrennten Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden. Das Datenschutzgesetz schreibt aufgrund des permanenten technischen Wandels keine konkreten Maßnahmen vor, sondern beschreibt in § 11 deren angestrebten Zweck. Die IT- Sicherheitsrichtlinie legt dazu fest, dass mindestens Maßnahmen für den mittleren Schutzbedarf zutreffen sind, die im IT-Grundschutzhandbuch beschrieben sind. Je nach Sensibilität der Daten sind unter Umständen zusätzliche Maßnahmen notwendig. Diese Maßnahmen müssen unter Berücksichtigung des Standes der Technik und der bei ihrer Durchführung entstehenden Kosten ein Schutzniveau gewährleisten, das den von der Verarbeitung ausgehenden Risiken und der Art der zu schützenden personenbezogenen Daten oder Datenkategorien geeignet sind. Als notwendig erkannte Maßnahmen sind auch dann zu treffen, wenn sie die Entwicklung und den Einsatz einer IT-Anwendung erschweren. Sofern Datenschutz (im Interesse der Betroffenen) und Datensicherheit (im Interesse des Dienstbetriebes) mit angemessenen Maßnahmen nicht gewährleistet werden können, muss entweder ein höherer Aufwand in Kauf genommen oder auf den Einsatz der Informationstechnik bzw. des Verfahrens verzichtet werden. Als regelmäßige Mindestanforderungen sind in einer Dienstanweisung festzulegen: • Es dürfen nur die Daten verarbeitet werden, die für die Aufgabenerfüllung erforderlich sind. Die bei zulässiger Verarbeitung geltenden Bestimmungen sind einzuhalten. • Unbefugten Personen ist der Zugang zur Kommunikations- und Informationstechnik und der Zugriff auf Programme und Daten durch geeignete Sicherungsmaßnahmen (z. B. Benutzerkennung und Passwort, Menüsystem, abgestufte Zugriffsberechtigungen) zu verwehren. • Es darf nur die vor- und freigegebene Hard- und Software eingesetzt werden. Damit ist grundsätzlich der Einsatz privater Hard- und Software und die Benutzung von unlizenzierter, selbsterstellter oder sonstwie beschaffter Software verboten. • Vorhandene Programme und Daten dürfen nur zur Erfüllung der vorgegebenen Aufgaben genutzt werden. Damit ist auch die Verarbeitung privater Daten mit dienstlichen Mitteln unzulässig. Eine Weitergabe an Dritte darf nicht ohne Erlaubnis erfolgen. Eine Verfälschung ist verboten. • Daten sind beim Transport (per Datenträger) oder bei der Übertragung (per Datenfernübertragung) vor unbefugtem Lesen, Kopieren, Verändern oder Löschen zu schützen (z. B. durch Verschlüsselung). • Daten und Programme sind regelmäßig zu sichern und die Sicherungsdatenträger vor missbräuchlichem Zugriff zu schützen. • Nicht mehr benötigte Daten sind so zu löschen, dass eine missbräuchliche Verarbeitung ausgeschlossen ist; falls erforderlich, ist der Datenträger sicher zu vernichten. • Für Zwecke der Datensicherung oder der Datenschutzkontrolle gespeicherte Daten (z. B. Logdatei) sind gegen sonstige Nutzung zu sperren und dürfen insbesondere nicht zur Verhaltens- und Leistungskontrolle genutzt werden. ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 15 Anlage 8 ___________________________________________________________________ • Bei einer Auftragsdatenverarbeitung (durch Externe; dazu zählen auch Installation, Wartung, Softwarepflege, Reparatur, Vernichtung) dürfen die Daten nur entsprechend den Weisungen des Auftraggebers verarbeitet werden. • Irreguläre Situationen, z. B. unerwartetes Verhalten, Hinweise auf missbräuchliche Benutzung, Anzeichen von Virenbefall, sind den zuständigen Stellen sofort zu melden. Übermittlungsregeln (§§14, 16, 17) Außer zur eigenen Aufgabenerfüllung dürfen personenbezogene Daten auch innerhalb der Stelle an andere Bedienstete oder an andere öffentliche Stellen nur weitergegeben werden, wenn diese sie zur Erfüllung ihrer Aufgaben benötigen; die Verantwortung liegt - außer bei gesetzlich bestimmten Fällen automatisierten Abrufs - beim Übermittler. Bei Übermittlung an Stellen außerhalb des öffentlichen Bereichs sind noch strengere Voraussetzungen zu beachten. Verfahrensbeschreibung (§ 9) Für automatisierte Verfahren sind u. A. der Zweck, der wesentliche Inhalt, die Ergebnisse der Vorabkontrolle, die Technik mit Hard- und Software und die Angaben zur Art der Verarbeitung sowie zu den Schutzmaßnahmen in einer Verfahrensbeschreibung festzulegen und auf dem neuesten Stand zu halten. Kontrolle durch den Landesbeauftragten für Datenschutz (§§ 26 - 28) Der Landesbeauftragte für Datenschutz kontrolliert die Einhaltung der Vorschriften über den Datenschutz. Falls erforderlich, informiert er die zuständigen Aufsichtsbehörden über die Beanstandungen und fordert innerhalb einer bestimmten Frist zur Stellungnahme auf. Er kann Empfehlungen zur Verbesserung geben und die zuständigen Stellen beraten. Die öffentlichen Stellen sind verpflichtet, dem Landesbeauftragten für Datenschutz und seinen Beauftragten Auskunft auf Fragen zu erteilen, sowie Einsicht in alle Vorgänge und Aufzeichnungen zu gewähren, die im Zusammenhang mit der Verarbeitung personenbezogener Daten stehen. Ihnen ist jederzeit - auch unangemeldet - ungehinderter Zutritt zu allen Diensträumen zu gewähren. Rechte des Betroffenen (§§ 19 - 24) Jeder, dessen personenbezogene Daten verarbeitet werden, hat gegenüber der verantwortlichen Stelle grundsätzlich das Recht auf Auskunft über gespeicherte Daten, Zweck und Rechtsgrundlage der Speicherung sowie Herkunft und Empfänger von Übermittlungen. Unzutreffende Daten sind zu berichtigen, unzulässig gespeicherte oder nicht mehr erforderliche Daten zu löschen. Bei unklarer Richtigkeit oder nicht möglicher bzw. nicht zulässiger Löschung muss die weitere Verarbeitung durch Sperrung ausgeschlossen werden. Wenn jemandem durch eine unrechtmäßige automatisierte Verarbeitung seiner personenbezogenen Daten ein Schaden zugefügt wird, ist ihm unabhängig von einem Verschulden Schadenersatz bis zu 125.000 Euro zu gewähren. Jedermann hat das Recht, sich unmittelbar an den Landesbeauftragten für Datenschutz zu wenden, wenn er der Ansicht ist, bei der Verarbeitung seiner personenbezogenen Daten in seinen Rechten verletzt zu sein; dies gilt auch für Bedienstete der öffentlichen Stellen. Er kann Auskunft aus dem und Einsicht in das beim behördlichen Datenschutzbeauftragten oder dem Landesbeauftragten für Datenschutz geführten Verfahrensverzeichnis beanspruchen. ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 16 Anlage 8 ___________________________________________________________________ Straf- und Bußgeldvorschriften (§ 35, § 36) Wer unbefugt von dem SDSG geschützte personenbezogene Daten verarbeitet, handelt ordnungswidrig; dies kann mit einer Geldbuße bis zu 50.000 Euro geahndet werden. Wer für diese unbefugte Verarbeitung ein Entgelt erzielt oder sie unternimmt, um sich oder einen anderen zu bereichern oder einen anderen zu schädigen, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft; schon der Versuch ist strafbar. Dienst- und arbeitsrechtliche Verantwortlichkeit Die Missachtung von Sorgfaltspflichten beim Umgang mit personenbezogenen Daten stellt regelmäßig zugleich eine Verletzung von Verpflichtungen aus dem Beschäftigungsverhältnis dar, die zu dienst- oder arbeitsrechtlichen Konsequenzen führen kann. Allgemeine Strafvorschriften des StGB (§ 202a Ausspähung von Daten) Wer unbefugt Daten, die nicht für ihn bestimmt sind und die gegen unberechtigten Zugang besonders gesichert sind, sich oder einem anderen verschafft, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft. (§ 203 Verletzung von Privatgeheimnissen, § 204 Verwertung fremder Geheimnisse) Wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis bzw. Einzelangaben über persönliche oder sachliche Verhältnisse eines Anderen, offenbart oder verwertet, das ihm als Amtsträger oder als für den öffentlichen Dienst besonders Verpflichtetem anvertraut worden oder sonst bekanntgeworden ist, wird mit Freiheitsstrafe bis zu einem Jahr (bei Handeln gegen Entgelt oder mit Bereicherungs- oder Schädigungsabsicht: zwei Jahren) oder mit Geldstrafe bestraft. (§ 263a Computerbetrug) Wer in der Absicht, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen, das Vermögen eines anderen dadurch beschädigt, dass er das Ergebnis eines Datenverarbeitungsvorgangs durch unrichtige Gestaltung des Programms, durch Verwendung unrichtiger oder unvollständiger Daten, durch unbefugte Verwendung von Daten oder sonst durch unbefugte Einwirkung auf den Ablauf beeinflusst, wird mit Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe bestraft. Der Versuch ist strafbar. (§ 269 Fälschung beweiserheblicher Daten) Wer zur Täuschung im Rechtsverkehr beweiserhebliche Daten so speichert oder verändert, dass bei ihrer Wahrnehmung eine unechte oder verfälschte Urkunde vorliegen würde, oder derart gespeicherte oder veränderte Daten gebraucht, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft. Der Versuch ist strafbar. (§ 303a Datenveränderung) Wer rechtswidrig Daten löscht, unterdrückt, unbrauchbar macht oder verändert, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft. Der Versuch ist strafbar. (§ 303b Computersabotage) Wer eine Datenverarbeitung, die für einen fremden Betrieb, ein fremdes Unternehmen oder eine Behörde von wesentlicher Bedeutung ist, dadurch stört, dass er 1. eine Tat nach § 303a Abs. 1 begeht oder 2. eine Datenverarbeitungsanlage oder einen Datenträger zerstört, beschädigt, unbrauchbar macht, beseitigt oder verändert, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft. Der Versuch ist strafbar. ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 17 Anlage 9 ___________________________________________________________________ Bestätigung über die Kenntnisnahme der IT-Dienstanweisung Ministerium der Finanzen Ich, << Vorname, Zuname>>, bestätige hiermit, dass ich von der IT-Dienstanweisung des Ministeriums der Finanzen und ihren Anlagen Kenntnis genommen habe. Saarbrücken, den <<Datum>> ................................................. (Unterschrift) ___________________________________________________________________ IT-Dienstanweisung für das MdF vom 01.11.04 Seite 18