(1)
Soweit die automatisierte Auswertung nach § 8 Abs. 1 oder § 9 Abs. 1 zureichende tatsächliche Anhaltspunkte dafür bietet, dass bestimmte Daten zur Abwehr von Gefahren im Sinne von § 8 Abs. 1 oder § 9 Abs. 1 erforderlich sind, dürfen diese für höchstens 90 Tage gespeichert werden. Die Daten sind unverzüglich automatisiert zu pseudonymisieren, soweit dies technisch möglich ist und die Daten nicht bereits pseudonym vorliegen. Die weitere Auswertung der nach Satz 1 gespeicherten Daten erfolgt nur automatisiert.
(2)
Eine über Abs. 1 hinausgehende, insbesondere nicht automatisierte oder direkt personenbezogene Verarbeitung der Daten nach § 8 Abs. 1 und § 9 Abs. 1 ist nur zulässig, soweit und solange
1.
hinreichende tatsächliche Anhaltspunkte den Verdacht begründen, dass
a)
die Daten ein Schadprogramm enthalten,
b)
die Daten durch einen Angriff oder ein Schadprogramm verursacht wurden oder
c)
sich aus den Daten Hinweise auf einen Angriff oder ein Schadprogramm ergeben können und
2.
die Datenverarbeitung zur Abwehr des Schadprogramms oder Angriffs, zur Abwehr von Gefahren, die von dem Schadprogramm oder Angriff ausgehen, oder zur Erkennung und Abwehr anderer Schadprogramme oder Angriffe erforderlich ist.
Die Datenverarbeitung nach Satz 1 bedarf der Anordnung durch die Leiterin oder den Leiter der nach § 12 zur Ergreifung der Maßnahme zuständigen Stelle. Sofern das Zentrum für Informationssicherheit zuständige Stelle ist, darf die Anordnung nur durch eine Beschäftigte oder einen Beschäftigten des für IT- und Cybersicherheit in der Landesverwaltung zuständigen Geschäftsbereichs mit der Befähigung zum Richteramt getroffen werden.