(1)
Die nach §§ 8 bis 11 erhobenen oder gespeicherten Daten sind durch technische und organisatorische Maßnahmen nach dem Stand der Technik gegen unbefugte Kenntnisnahme, Veränderung und Verwendung zu schützen. Bei der Umsetzung dieser Maßnahmen ist ein besonders hohes Maß an Informationssicherheit zu gewährleisten.
(2)
Die zu treffenden Maßnahmen umfassen insbesondere
1.
die organisatorische Trennung von den für die üblichen Aufgaben des IT-Betriebs verantwortlichen Organisationseinheiten,
2.
die technische Trennung von den für die üblichen Aufgaben des IT-Betriebs vorgehaltenen informationstechnischen Systemen, insbesondere die Speicherung in gesonderten, von den für die üblichen betrieblichen Aufgaben getrennten Speichereinrichtungen,
3.
besondere Sicherungsmaßnahmen gegen unberechtigte Zugriffe aus anderen Netzen, insbesondere aus dem Internet,
4.
die Umsetzung von Maßnahmen nach dem Stand der Technik zur Gewährleistung der Vertraulichkeit, Integrität und Verfügbarkeit der gespeicherten Daten,
5.
die Beschränkung des Zutritts zu den und des Zugriffs auf die Datenverarbeitungsanlagen auf Personen, die durch die jeweilige Leitung der Stelle hierzu besonders ermächtigt sind, und
6.
das Zusammenwirken von mindestens zwei Personen beim Zugriff auf die Daten.
(3)
Zum Zwecke der Datenschutzkontrolle ist jeder Zugriff auf die Datenverarbeitungsanlagen, insbesondere das Lesen, Kopieren, Ändern, Löschen und Sperren von den nach §§ 8 bis 11 erhobenen oder gespeicherten Daten, in einem Protokoll aufzunehmen. Das Protokoll hat Zeitpunkt und Art des Zugriffs sowie eine eindeutige Kennung der auf die Daten zugreifenden Personen zu enthalten. Das Protokoll darf ausschließlich zum Zwecke der Rechtmäßigkeitskontrolle verwendet werden. Die Einträge in das Protokoll sind nach zwölf Monaten zu löschen.
(4)
Der oder dem Hessischen Datenschutzbeauftragten ist durch das Zentrum für Informationssicherheit einmal im Jahr eine Aufstellung über die nach den §§ 8 bis 11, 13 und 16 erfolgten Verarbeitungen vorzulegen. Inhalt und Frist der Aufstellung erfolgen im Einvernehmen mit der oder dem Hessischen Datenschutzbeauftragten. Soweit Daten der hessischen Justiz betroffen sind, ist eine Aufstellung über die betreffenden Verarbeitungen zusätzlich dem Kontrollgremium bei der IT-Stelle der hessischen Justiz vorzulegen. Das Kontrollgremium ist berechtigt, Auskünfte zu verlangen und Einsicht in die Datenverarbeitungen durch das Zentrum für Informationssicherheit zu nehmen.