Datenschutz ELK-WUE

Dienstanweisung über Datenschutz und Datensicherheit bei dezentralem Computereinsatz vom 22. April 1992 AZ 11.820 Nr. 94


1. Zuständigkeiten

1.1 Entscheidungen

Für die Entscheidungen zum Einsatz von DV-Systemen (Hardware und Software) ist für den Bereich der Kirchengemeinden der Kirchengemeinderat zuständig.

Bei den übrigen landeskirchlichen Dienststellen, Werken und Einrichtungen ist das jeweilige Beschlußorgan zuständig.

Es ist darauf zu achten, daß notwendige bzw. erforderliche Genehmigungen und Zustimmungen eingeholt werden und evtl. Mitwirkungsrechte (z.B. Mitarbeitervertretung) beachtet werden.

Auch während des laufenden Betriebs bleibt das Beschlußgremium allein zuständig für

Einsatz neuer Programme und Änderungen von Programmen

Einsatz weiterer Hardware

Änderungen im Datenschutz- und Datensicherheitskonzept

Zulassung neuer Benutzer

Einrichtung von Vernetzungseinrichtungen

regelmäßige Kontrollen der Einhaltung der Regelungen

1.2 Systemverantwortung

Durch die zuständige Stelle ist ein Systembeauftragter zu benennen, der zuständig ist für

Funktionsfähigkeit der Hardware

Funktionsfähigkeit der Software

Einhaltung der nachfolgenden Regelungen, insbesondere zum Datenschutz (Einweisung der Mitarbeiter, Aushändigung datenschutzrechtlicher Regelungen, z.B. DSG-EKD, StGB)

Einweisung und ggf. Schulung der Benutzer

Verwaltung des Hauptpaßwortes (soweit vorhanden)

Beachtung der erlassenen Bestimmungen

Führung der "Dokumentation der EDV-Anwendungen" (Anlage 2)

regelmäßige Überprüfung des Systemeinsatzes Anhang des Maßnahmenkatalogs

Der Systembeauftragte bedient sich bei der Wahrnehmung seiner Aufgaben der Beratungen durch die Organisationsabteilung des Oberkirchenrats. Er macht Vorschläge über notwendige Änderungen bzw. Ergänzungen zur Hard- und Software. Hierbei koordiniert er die Vorschläge und Wünsche der einzelnen Benutzer.

In größeren Verwaltungseinheiten empfiehlt sich eine Personal Trennung zwischen dem Systemverantwortlichen und einer Person, die für die Kontrolle und Auswertung der Verarbeitungsprotokolle zuständig ist (Revisor).

1.3 Benutzer

Soweit noch kein automatisches Protokoll durch ein Datenschutzprogramm geführt wird, ist für jeden einzelnen Rechner ein Mitarbeiter zu benennen, der für den ordnungsgemäßen Betrieb zuständig ist, insbesondere für

Eröffnen und Beenden der Arbeiten am System

Datensicherung und Aufbewahrung der Datenträger

Durchführung von Reorganisationen

Bei Mehrplatzsystemen, Netzwerken oder bei der Benutzung von Einzelplatzsystemen durch mehrere Benutzer sind Regelungen zu treffen, wer für die vorgenannten Aufgaben zuständig ist. Hierbei sind zusätzlich Regelungen über die Zugangsberechtigung für die einzelnen Benutzer zu treffen.

2. Gerätekonfiguration (Hardware)

2.1 Systemkonfiguration

Die Beschreibung der eingesetzten Systemkonfiguration ergibt sich aus der Anlage 2.

Änderungen und Ergänzungen zur Systemkonfiguration sind durch die zuständige Stelle festzulegen. Solche Ergänzungen sind in die Anlage 2 aufzunehmen.

2.2 Standort

Die Geräte sind in abschließbaren Räumen unterzubringen. Soweit möglich, sind Bearbeitungs- und Publikumszonen zu trennen.

2.3 Sicherheit

Die Geräte müssen gesichert sein (siehe Nr. 1 der Übersicht über die Datenschutz- und Datensicherheitsmaßnahmen), z.B. durch ein Schloß am Gerät. Der Gebrauch der Sicherheitseinrichtungen ist zu kontrollieren.

3. Programme (Software) und Datenträger

3.1 Dokumentationen und Übersichten

Programmbeschreibungen einschließlich Bedienerhandbücher müssen für alle eingesetzten Verfahren (Betriebs- und Anwendungs-Software) zur Verfügung stehen. Eigenprogrammierungen müssen zusätzlich ausreichend dokumentiert sein. Bei der Verarbeitung personenbezogener Daten ist ein besonderes Datenschutzprogramm einzusetzen. Die zugelassene und eingesetzte Software ergibt sich aus Anlage 2. Dort sind insbesondere zu vermerken

Betriebssoftware

Hilfsprogramme

Arbeitsprogramme

Datenschutzprogramme

Programmanwendungen auf der Basis von Standarddatenbanksystemen, Tabellenkalkulationsprogramme

Soweit möglich, sind Programme (bzw. Programmbefehle) der Betriebssoftware nur bestimmten Benutzern oder dem Systembeauftragten zuzuordnen. Hierzu gehören insbesondere solche zum

Formatieren von Datenträgern

Kopieren von Programmen und Dateien

Löschen von Programmen und Dateien

Die Zugangsberechtigung zu den Programmen ist ebenfalls in dieser Übersicht festzulegen. Die Benutzer sind namentlich aufzuführen, und soweit möglich, sind Programme bzw. Teilprogramme entsprechend den Benutzern auf Disketten getrennt zu verwalten. Diese Regelung gilt insbesondere bei Mehrplatzsystemen, Netzwerken oder der Nutzung eines Arbeitsplatzcomputers durch mehrere Benutzer.

3.2 Programmergänzungen und Programmfehler

Der Einsatz neuer Programmversionen bedarf der Freigabe durch die zuständige Stelle. Das gleiche gilt für Programmergänzungen. Hierbei ist darauf zu achten, daß neue Programmversionen bzw. die Programmergänzungen ausreichend dokumentiert sind und entsprechende Ergänzungen der Bedienerbücher vorliegen. Evtl. Genehmigungs- bzw. Zustimmungserfordernisse sowie Mitwirkungsrechte sind hierbei zu beachten.

Die Berichtigung von Programmfehlern ist ebenfalls zu dokumentieren.

Programmergänzungen sowie das eigenständige Erstellen kleinerer Programme bedürfen der Zustimmung des Beschlußgremiums. Hierzu ist eine ausreichende Hilfsdokumentation, verbunden mit einer Programmabnahme, erforderlich.

Programmergänzungen sind in der Anlage 2 zu vermerken.

3.3 Datensicherung der Betriebs- und Anwendungssoftware

Von den Originalversionen der Betriebs- und Anwendungssoftware sind jeweils Arbeitsdisketten bzw. Bänder zu erstellen. Die Originalversionen sind hierbei durch Schreibschutz zu sichern. Die Datenträger sind mit den Daten der Übernahme zu versehen und in einer Diskettenbox in einem gesonderten Schrank (ggf. Tresor) aufzubewahren. Ihre Nutzung für den laufenden Betrieb ist nicht erlaubt.

Bei Programmergänzungen bzw. Bereitstellung neuer Programmversionen ist entsprechend zu verfahren.

4. Betrieb und Datenverwaltung

4.1 Allgemeines

Es ist festzulegen, wer für die einzelnen Maßnahmen zum Datenschutz und zur Datensicherheit, wie beispielsweise dem Abschließen der Geräte, zuständig ist. Soweit keine automatische Protokollierung stattfindet, ist eine Liste des Eröffnens und Schließens der Arbeiten am Rechner zu führen.

4.2 Paßwortschutz

Die Zugangsberechtigung zu einzelnen Programmen bzw. Programmteilen erfolgt in der Regel über ein Paßwort oder über eine programmäßig festgelegte Zugangsberechtigung. Jeder Benutzer erhält ein eigenes Paßwort.

4.3 Datensicherung

Die Datensicherung ist vom Benutzer vorzunehmen. Sie erfolgt mindestens in den Zeitabständen, die von der zuständigen Stelle festgelegt worden sind.

4.4 Verwaltung der Datenträger

Es ist ein Verzeichnis über alle vorhandenen Datenträger mit Kurzangabe über den Inhalt zu führen. Die Datenträger sind nach Anwendern getrennt einbruch- und feuersicher aufzubewahren.

Dabei ist zu prüfen, von welchen Datenträgern aus Sicherheitsgründen ein Duplikat an einem weiteren Ort hinterlegt werden soll.

4.5 Aufbewahrung und Löschung von Dateien

Soweit keine rechtlichen Regelungen für Aufbewahrungsfristen bestehen, sind sie vom Systembeauftragen festzulegen.

Es ist festzulegen, wer die Löschung von Dateien veranlassen darf.

4.6 Abgabe und Vernichtung von Datenträgern

Bei der Abgabe von Datenträgern und der Vernichtung nicht mehr brauchbarer Datenträger ist sicherzustellen, daß Daten nicht mehr rekonstruierbar sind.

Abgabe und Vernichtung sind ggf. zu protokollieren.

5. Weitergabe von Daten

Es ist festzulegen, wer für die Weitergabe von Daten im Rahmen der rechtlichen Bestimmungen zuständig ist.

Werden Daten weitergegeben, sind die jeweils erforderlichen Sicherungsmaßnahmen zu treffen (z.B. Verschlüsselung beim Versand von Datenträgern).

Eigentumsverhältnisse

Grundsätzlich wird davon ausgegangen, daß die EDV-Anlage im Besitz der kirchlichen Stelle ist. Für Ausnahmen kann eine Vereinbarung entsprechend Anlage 3 abgeschlossen werden. Diese tritt erst nach Genehmigung durch den Oberkirchenrat in Kraft.