Historische Fassung Datenschutz und Datensicherung beim Einsatz von DV-Systemen in Justizbehörden

1. Geltungsbereich

1.1 Diese Dienstanweisung gilt für die Benutzung von DV-Systemen im Bereich des Ministeriums der Justiz und für Bundes- und Europaangelegenheiten, der Gerichte, der Staatsanwaltschaften, des Strafvollzugs sowie der dem Ministerium der Justiz und für Bundes- und Europaangelegenheiten nachgeordneten Aus- und Fortbildungseinrichtungen des Landes Brandenburg. Zu den DV-Systemen zählen alle Personalcomputer (PC mit und ohne Netzwerkbetrieb), Mehrplatzanlagen der mittleren Datentechnik, Textverarbeitungssysteme und Datenendgeräte (Terminals).

1.2 Rechtsvorschriften, insbesondere die spezialgesetzlichen Datenschutzbestimmungen, das Brandenburgische Datenschutzgesetz (BbgDSG) sowie das subsidiär anzuwendende Bundesdatenschutzgesetz (BDSG) und die Vorschriften über die Geheimhaltung bleiben unberührt.

2. Begriffsbestimmungen

2.1 Benutzer

Benutzer sind Mitarbeiter, denen ein PC oder ein Datenendgerät zur Verfügung steht.

2.2 Systemverwalter

Systemverwalter sind Mitarbeiter, denen die technische Betreuung von DV-Systemen übertragen ist.

2.3 DV-Betreuer

DV-Betreuer sind Mitarbeiter, denen die organisatorische Betreuung von DV-Systemen übertragen worden ist.

3. Zuständigkeiten

3.1 Die Verantwortung für den Datenschutz und die Datensicherung tragen die Benutzer und die Systemverwalter für ihren jeweiligen Aufgabenbereich.

3.2 Die Überwachung der getroffenen Maßnahmen sowie der Einhaltung der einschlägigen Vorschriften obliegt der Behördenleitung oder der von ihr bestimmten Person. Davon ausgenommen sind Dateien und Datenverarbeitungsanlagen der Personalvertretungen, der Gleichstellungsbeauftragten und anderer Stellen, die nicht der Dienstaufsicht unterliegen.

4. Benutzungsberechtigung

4.1 Die Behördenleitung oder die von ihr bestimmte Person regelt die Befugnis zur Benutzung von dienstlichen DV-Anlagen.

4.2 Bei Mehrplatzsystemen (Zentralrechneranlagen/PC-Netzwerke) ist ein Systemverwalter zu bestellen. Die Vergabe von Zugangs- und Zugriffsrechten an einzelne Mitarbeiter ist zu dokumentieren.

4.3 Dienstliche DV-Systeme dürfen grundsätzlich aus den Diensträumen nicht entfernt werden. Die Behördenleitung oder die von ihr bestimmte Person kann Ausnahmen gestatten, falls dies im Einzelfall zur Erfüllung dienstlicher Aufgaben oder zur Wahrung von Aufgaben der Rechtspflege notwendig ist.

5. Einsatz privater DV-Systeme

5.1 Der Einsatz privater Einzelplatzsysteme für dienstliche Zwecke am Arbeitsplatz ist vor Inbetriebnahme der Behördenleitung anzuzeigen und nur nach Maßgabe dieser Allgemeinen Verfügung zulässig. Richter und Staatsanwälte dürfen private Einzelplatzsysteme für dienstliche Zwecke auch am häuslichen Arbeitsplatz einsetzen.

5.2 Der Betrieb von privaten Einzelplatzsystemen durch Richter und Staatsanwälte am häuslichen Arbeitsplatz ist nur zulässig, wenn der Benutzer Maßnahmen trifft, die die Einhaltung des Brandenburgischen Datenschutzgesetzes (BbgDSG) und des Bundesdatenschutzgesetzes (BDSG) gewährleisten. Auf Anforderung hat der Benutzer die getroffenen Maßnahmen zu erläutern und gegebenenfalls überprüfen zu lassen. Die Behördenleitung oder die von ihr bestimmte Person kann weitere Sicherungsmaßnahmen verlangen.

5.3 Die Verarbeitung personenbezogener Daten auf privaten DV-Systemen ist darüber hinaus nur zulässig, soweit sie Aufgaben der Rechtspflege dient.

5.4 Datenträger, die auf einem privaten DV-System eingesetzt waren, sind vor der Verwendung auf einem dienstlichen System auf Viren zu überprüfen. Im übrigen ist Nr. 12.2 zu beachten.

6. Einsatz von Programmen

Das Aufspielen privater Software in durch Netzwerke verbundene DV-Systeme ist unzulässig. Auf dienstlichen Einzelplatzsystemen darf nur Software eingesetzt werden, für die entweder eine allgemeine Genehmigung des MdJBE oder eine entsprechende Einzelfallgenehmigung des Behördenleiters vorliegt.

7. Zugangsberechtigung

7.1 Diensträume, in denen DV-Geräte aufgestellt sind, sind bei Abwesenheit des Benutzers möglichst abzuschließen.

7.2 Der Benutzer hat dafür zu sorgen, daß bei der Darstellung von Daten auf Bildschirmen Unbefugten die Einsicht verwehrt wird.

7.3 Wird die Zentraleinheit eines Mehrplatzsystems (Server) in einem gesonderten Raum untergebracht (Maschinenraum), sind nur die zuständigen Systemverwalter, der DV-Betreuer sowie der Beauftragte für Datenschutz zugangsberechtigt. Anderen Personen ist der Zugang nur in Anwesenheit eines Zugangsberechtigten gestattet. Über weitere Zugangsberechtigungen entscheidet der Behördenleiter.

8. Schutz vor unberechtigtem Zugriff

Die in den DV-Systemen gespeicherten Daten und Programme sind durch entsprechende Maßnahmen gegen Einsichtnahme, Veränderung, Löschung und Kopieren und Eingabe sowie jede sonstige Verarbeitung oder Nutzung durch unberechtigte Personen zu schützen.

9. Benutzerkennworte

Jedes DV-Gerät ist durch Kennworte vor unbefugter Benutzung und vor Eingriffen in das Betriebssystem zu schützen. Das Kennwort ist regelmäßig zu wechseln.

10. Technisch-organisatorische Maßnahmen

Als technisch-organisatorische Maßnahmen eines Zugriffsschutzes kommen in Betracht:

• Aktivierung einer Bildschirmsperre mit Kennwort,
• Abmeldung vom System (LOGOUT) bei Mehrplatzanlagen,
• Verschließen des Gerätes (Tastatursperre),

sowie

• Vergabe von Dateikennworten und Verschlüsselung einzelner Daten.

11. Sicherung der gespeicherten Daten

Auf allen DV-Systemen ist in regelmäßigen Abständen eine Sicherung der gespeicherten Daten vorzunehmen, die die Rekonstruktion des Vortagesbestandes ermöglicht.

12. Schutz vor Computerviren

12.1 Für dienstliche Zwecke eingesetzte DV-Systeme sind mit selbstlaufenden Virenschutzprogrammen auszurüsten, soweit dies möglich ist.

12.2 Zur Verringerung der Virengefahr soll ein Dateiaustausch zwischen dienstlichen sowie dienstlichen und privaten DV-Systemen auf das notwendige Mindestmaß beschränkt werden. Der Austausch von Programmen ist unzulässig. Nr. 5.4 und 6. sind zu beachten.

12.3 Treten bei der Nutzung eines dienstlichen DV-Systems oder der Anwendung eines darauf gespeicherten Programms Fehler oder Unregelmäßigkeiten auf, die auf einen Computer-Virus hindeuten, ist der Systemverwalter oder DV-Betreuer zu informieren.

13. Aufbewahrung von Datenträgern

13.1 Datenträger (z. B. Disketten, Magnetbänder, Wechselfestplatten, CD-ROMs) sind für Unbefugte unzugänglich aufzubewahren.

13.2 Die Aufbewahrungsdauer von zu archivierenden Datenträgern richtet sich nach den zugrunde liegenden Aufgaben und den dafür geltenden Vorschriften. Datenträger, die zu Datensicherungen verwendet wurden, sollen solange aufbewahrt werden, bis zwei jüngere Sicherungen derselben Datenträger vorliegen. Danach können die Sicherungsmedien zur Datensicherung wieder verwendet werden. Andere Datenträger können nach vollständiger physischer Löschung der Daten wieder genutzt werden.

14. Transport von Datenträgern

14.1 Die Versendung von Datenträgern mit personenbezogenen Daten über die Deutsche Post AG - Postdienst muß als Wertbrief oder Wertpaket erfolgen.

14.2 Der Transport von Datenträgern mit personenbezogenen Daten hat so zu erfolgen, daß ein Verlust ausgeschlossen ist. Die Aushändigung darf nur an empfangsberechtigte Personen erfolgen.

14.3 Jeder Verlust von Datenträgern mit personenbezogenen Daten ist der Behördenleitung oder der von ihr bestimmten Person unverzüglich schriftlich anzuzeigen.

14.4 Von Datenträgern, die im Rahmen des Datenträgeraustausches nach Auswertung der Daten zurückgesandt werden sollen, sind vor der Rücksendung sämtliche Daten physisch zu löschen.

15. Löschung und Vernichtung von Datenträgern

Auf maschinell einsetzbaren Datenträgern, die an den Hersteller zurückgegeben werden sollen, verkauft werden sollen oder nicht mehr verwendbar sind, sind noch vorhandene Daten physisch zu löschen. Ist dies technisch nicht möglich, ist der Datenträger zu vernichten.

16. Wartung

16.1 Es ist sicherzustellen, daß Wartungs- und Fernwartungsarbeiten so durchgeführt werden, daß der für die Durchführung erforderliche Zugriff auf personenbezogene Daten auf das unverzichtbar notwendige Maß beschränkt wird. Wartungs- und Fernwartungsarbeiten sind grundsätzlich durch eigenes Personal durchzuführen. Die Beauftragung von externen Firmen ist nur zulässig, wenn die Wartung oder Fernwartung nicht durch eigenes Personal durchgeführt werden kann. Der Zugriff auf personenbezogene Daten bedarf einer ausdrücklichen Genehmigung durch die Behördenleitung oder die von ihr bestimmte Person.

16.2 Bei Wartungs- und Fernwartungsarbeiten durch externe Firmen hat der die Wartung oder Reparatur ausführende Techniker eine schriftliche Erklärung zu unterzeichnen, daß alle Daten, die ihm infolge seiner Tätigkeit bekannt werden, vertraulich behandelt und an niemanden weitergegeben werden und daß die Grundsätze der Geheimhaltung und des Datenschutzes beachtet werden.

16.3 Ein Richter oder Staatsanwalt, der ein privates Einzelplatzsystem für dienstliche Zwecke nutzt, darf eine Wartung nur in seiner Anwesenheit durchführen lassen. Ist dies nicht möglich, so sind sämtliche gespeicherten personenbezogenen Daten vollständig zu sichern und danach auf dem Massenspeicher des DV-Systems zu löschen oder zu verschlüsseln.

17. Ergänzungen

Die Behörden werden ermächtigt, diese Allgemeine Verfügung für ihren Geschäftsbereich durch Dienstanweisung zu konkretisieren und zu ergänzen.

18. Organisationskontrolle

18.1 Die Mitarbeiter sind regelmäßig über den Datenschutz im allgemeinen und über ihre eigene datenschutzrechtliche Verantwortung zu informieren. Diese Information ist zu dokumentieren.

18.2 Alle Regelungen, die sich auf die Verteilung von Aufgaben und Rechten beziehen, sind schriftlich festzuhalten.

19. Inkrafttreten

Diese Allgemeine Verfügung tritt am 1. November 1997 in Kraft.

Potsdam, den 2. September 1997

Der Minister der Justiz und für Bundes- und Europaangelegenheiten

Dr. Bräutigam