Bayerisches Digitalgesetz

Gesetz über die Digitalisierung im Freistaat Bayern

Die <a href="/bayern/baydig/44" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Abwehr von Gefahren für die Informationstechnik" data-lli="0" target="_blank">Art. 44</a>, <a href="/bayern/baydig/48" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Datenspeicherung und -auswertung" data-lli="1" target="_blank">48</a>, <a href="/bayern/baydig/49" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Datenübermittlung" data-lli="2" target="_blank">49</a> und <a href="/bayern/baydig/49c" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Aufsicht und Durchsetzung" data-lli="3" target="_blank">49c</a> schränken das Fernmeldegeheimnis (<a href="/bund/gg/10" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="" data-lli="4" target="_blank">Art. 10</a> des <a href="/bund/gg" data-href="/[lawProviderSlug]/[lawAbbreviation]" data-ll="true" target="_blank">Grundgesetzes</a>, <a href="/bayern/bayverf/112" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="" data-lli="5" target="_blank">Art. 112</a> der <a href="/bayern/bayverf" data-href="/[lawProviderSlug]/[lawAbbreviation]" data-ll="true" target="_blank">Verfassung</a> ein.

Einschränkung von Grundrechten

Grundgesetz für die Bundesrepublik Deutschland

Verfassung des Freistaates Bayern

(1) 
 1Das Landesamt kann zur Erfüllung seiner Aufgaben gegenüber staatlichen und an das Behördennetz angeschlossenen Stellen die nötigen Anordnungen treffen oder Maßnahmen ergreifen, um Gefahren für die Informationstechnik etwa durch Schadprogramme, programmtechnische Sicherheitslücken oder unbefugte Datenverarbeitung zu erkennen und abzuwehren.&nbsp;2Das umfasst insbesondere auch die dazu nötige Datenverarbeitung gemäß Abs. 2.&nbsp;3Die Sätze 1 und 2 gelten nicht für die vom Behördennetz getrennte Informationstechnik des Landesamts für Verfassungsschutz.(2) Das Landesamt kann hierzu, soweit dies zur Erfüllung seiner Aufgaben erforderlich ist,
 <dl>
 <dt style="float: left;">1.</dt><dd>
 
 Protokolldaten erheben und automatisiert auswerten, die beim Betrieb von Informationstechnik des Landes oder der an das Behördennetz angeschlossenen Stellen anfallen,
 </dd>
 <dt style="float: left;">2.</dt><dd>
 
 Daten erheben und automatisiert auswerten, die an den Schnittstellen zwischen dem Behördennetz und anderen Netzen und an vergleichbaren Schnittstellen innerhalb des Behördennetzes anfallen,
 </dd>
 <dt style="float: left;">3.</dt><dd>
 
 Daten aus öffentlich zugänglichen Quellen, die Informationen mit Auswirkungen auf die Sicherheit der Informationstechnik des Landes oder der an das Behördennetz angeschlossenen Stellen haben können, erheben und automatisiert auswerten und
 </dd>
 <dt style="float: left;">4.</dt><dd>
 
 bei der Untersuchung von Informationstechnik des Landes oder der an das Behördennetz angeschlossenen Stellen, soweit ein Angriff auf die Informationstechnik anzunehmen ist, zur Bearbeitung des Angriffs die dort gespeicherten Daten verarbeiten.
 </dd>
 </dl>(3) Soweit das Landesamt zur Erfüllung seiner Aufgaben nach <a href="/bayern/baydig/42" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Aufgaben" data-lli="0" target="_blank">Art. 42</a> Abs. 2 gegenüber kommunalen Stellen, öffentlichen Unternehmen, Betreibern kritischer Infrastrukturen und weiteren Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen personenbezogene Daten verarbeitet, handelt das Landesamt als Auftragsverarbeiter der für die Daten verantwortlichen Stelle nach Art. 28 DSGVO.

Abwehr von Gefahren für die Informationstechnik

(1) 
 1Sofern nicht die nachfolgenden Absätze eine weitere Verarbeitung gestatten, muss eine automatisierte Auswertung der Daten durch das Landesamt unverzüglich erfolgen und müssen die Daten nach erfolgtem Abgleich sofort und spurlos gelöscht werden.&nbsp;2Daten, die weder dem Fernmeldegeheimnis unterliegen noch Personenbezug aufweisen, sind von den Verarbeitungseinschränkungen dieser Vorschrift ausgenommen.(2) 
 1Protokolldaten nach <a href="/bayern/baydig/44" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Abwehr von Gefahren für die Informationstechnik" data-lli="0" target="_blank">Art. 44</a> Abs. 2 Nr. 1 dürfen über den für die automatisierte Auswertung erforderlichen Zeitraum hinaus, längstens jedoch für 18 Monate, gespeichert werden, soweit tatsächliche Anhaltspunkte bestehen, dass die Daten erforderlich sein können
 <dl>
 <dt style="float: left;">1.</dt><dd>
 
 für den Fall der Bestätigung eines Verdachts nach Abs. 4 Satz 1 Nr. 2 zur Abwehr von Gefahren für die Informationstechnik oder
 </dd>
 <dt style="float: left;">2.</dt><dd>
 
 zur Verhütung, Unterbindung oder Verfolgung damit zusammenhängender Straftaten.
 </dd>
 </dl>
 
 &nbsp;2Die Daten sind im Gebiet der Europäischen Union zu speichern.&nbsp;3Durch organisatorische und technische Maßnahmen nach dem Stand der Technik ist sicherzustellen, dass eine Auswertung der nach diesem Absatz gespeicherten Daten nur automatisiert erfolgt.&nbsp;4Die Daten sind zu pseudonymisieren, soweit dies automatisiert möglich ist.&nbsp;5Eine nicht automatisierte Auswertung oder eine personenbezogene Verarbeitung ist nur nach Maßgabe der nachfolgenden Absätze zulässig.&nbsp;6Soweit hierzu die Wiederherstellung des Personenbezugs pseudonymisierter Daten erforderlich ist, muss diese durch die Behördenleitung angeordnet werden.&nbsp;7Die Entscheidung ist zu dokumentieren.(3) 
 1Für die Datenverarbeitung von Inhaltsdaten gilt Abs. 2 mit der Maßgabe, dass eine Speicherung für höchstens zwei Monate zulässig ist, die Speicherung und Auswertung von der Behördenleitung und einem weiteren Bediensteten des Landesamts mit der Befähigung zum Richteramt angeordnet sind und dies zum Schutz der technischen Systeme unerlässlich ist.&nbsp;2Die Anordnung gilt längstens für zwei Monate; sie kann verlängert werden.(4) 
 1Eine über die Abs. 2 und 3 hinausgehende Verarbeitung der Daten ist nur zulässig,
 <dl>
 <dt style="float: left;">1.</dt><dd>
 
 wenn bestimmte Tatsachen den Verdacht begründen, dass die Daten Gefahren für die Informationstechnik, etwa durch Schadprogramme, programmtechnische Sicherheitslücken oder unbefugte Datenverarbeitung, enthalten oder Hinweise auf solche Gefahren geben können und soweit die Datenverarbeitung erforderlich ist, um den Verdacht zu bestätigen oder zu widerlegen,
 </dd>
 <dt style="float: left;">2.</dt><dd>
 
 wenn sich der Verdacht nach Nr. 1 bestätigt und soweit dies zur Abwehr von Gefahren für die Informationstechnik erforderlich ist oder
 </dd>
 <dt style="float: left;">3.</dt><dd>
 
 wenn bei einer Verarbeitung der Daten ein nach <a href="/bayern/baydig/49" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Datenübermittlung" data-lli="1" target="_blank">Art. 49</a> Abs. 2 zu übermittelndes Datum festgestellt wird.
 </dd>
 </dl>
 
 &nbsp;2Werden Daten, welche die richterliche Unabhängigkeit berühren, nach diesem Absatz verarbeitet, ist dies der jeweils zuständigen obersten Dienstbehörde unverzüglich zu berichten.&nbsp;3Berührt die Datenverarbeitung die Aufgabenwahrnehmung anderer unabhängiger Stellen oder ein Berufs- oder besonderes Amtsgeheimnis, ist die betroffene Stelle unverzüglich zu unterrichten.&nbsp;4Die jeweiligen Stellen nach den Sätzen 2 und 3 können vom Landesamt Auskunft über die Verarbeitung von Daten nach diesem Absatz verlangen.(5) 
 1Soweit möglich, ist bei der Datenverarbeitung technisch sicherzustellen, dass Daten, die den Kernbereich privater Lebensgestaltung betreffen, nicht erhoben werden.&nbsp;2Werden Erkenntnisse aus dem Kernbereich privater Lebensgestaltung erlangt, dürfen diese nicht verwendet werden und sind unverzüglich zu löschen.&nbsp;3Die Tatsache ihrer Erlangung und Löschung ist zu dokumentieren.&nbsp;4Dies gilt auch in Zweifelsfällen.

Datenspeicherung und -auswertung

(1) Das Landesamt übermittelt Daten nach <a href="/bayern/baydig/48" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Datenspeicherung und -auswertung" data-lli="0" target="_blank">Art. 48</a> Abs. 2 bis 4 an die für den Betrieb der Informations- und Kommunikationstechnik verantwortlichen Stellen, wenn und soweit dies zur Abwehr oder Beseitigung von Gefahren für die Vertraulichkeit, Verfügbarkeit und Integrität der Daten in der Informations- und Kommunikationsinfrastruktur erforderlich ist.(2) 
 1Das Landesamt soll Daten nach <a href="/bayern/baydig/48" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Datenspeicherung und -auswertung" data-lli="1" target="_blank">Art. 48</a> Abs. 2 bis 4 unverzüglich übermitteln
 <dl>
 <dt style="float: left;">1.</dt><dd>
 
 an die Polizei und sonstigen Sicherheitsbehörden zur Verhütung und Unterbindung von in Nr. 2 genannten Straftaten sowie zur Abwehr von Gefahren für Leib, Leben oder Freiheit einer Person; <a href="/bayern/bayvsg/24" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Informationsübermittlung durch öffentliche Stellen" data-lli="2" target="_blank">Art. 24</a> des <a href="/bayern/bayvsg" data-href="/[lawProviderSlug]/[lawAbbreviation]" data-ll="true" target="_blank">Bayerischen Verfassungsschutzgesetzes</a> bleibt unberührt; und
 </dd>
 <dt style="float: left;">2.</dt><dd>
 
 an die Strafverfolgungsbehörden zur Verfolgung einer Straftat,
 <dl>
 <dt style="float: left;">a)</dt><dd>
 
 soweit die Tatsachen, aus denen sich eine Gefahr für die Informationstechnik oder der diesbezügliche Verdacht ergibt, den Verdacht einer Straftat begründen oder
 </dd>
 <dt style="float: left;">b)</dt><dd>
 
 soweit bestimmte Tatsachen den Verdacht begründen, dass jemand als Täter oder Teilnehmer eine Straftat von auch im Einzelfall erheblicher Bedeutung, insbesondere eine in <a href="/bund/stpo/100a" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Telekommunikationsüberwachung" data-lli="3" target="_blank">§ 100a</a> Abs. 2 <a href="/bund/stpo" data-href="/[lawProviderSlug]/[lawAbbreviation]" data-ll="true" target="_blank">StPO</a> bezeichnete Straftat begangen hat, in Fällen, in denen der Versuch strafbar ist, zu begehen versucht oder durch eine Straftat vorbereitet hat.
 </dd>
 </dl>
 </dd>
 </dl>
 
 &nbsp;2Näheres regeln Verwaltungsvorschriften, die das Staatsministerium der Finanzen und für Heimat im Einvernehmen mit dem Staatsministerium des Innern, für Sport und Integration und dem Staatsministerium der Justiz festlegt.

Datenübermittlung

(1) 
 1Das Landesamt überwacht bei Einrichtungen mit Bedeutung für den Binnenmarkt die Einhaltung der Verpflichtungen nach <a href="/bayern/baydig/43" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Behördenübergreifende Pflichten" data-lli="0" target="_blank">Art. 43</a> Abs. 1, Art. <a href="/bayern/baydig/46" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Mindeststandards" data-lli="1" target="_blank">46</a>, <a href="/bayern/baydig/49a" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Einrichtung mit Bedeutung für den Binnenmarkt" data-lli="2" target="_blank">49a</a> Abs. 3 Satz 3, Abs. 4 und Art. <a href="/bayern/baydig/49b" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Besonderes Meldeverfahren" data-lli="3" target="_blank">49b</a> nach Maßgabe des Art. 33 der Richtlinie (EU) 2022/2555.&nbsp;2Rechtfertigen Tatsachen die Annahme, dass eine Einrichtung mit Bedeutung für den Binnenmarkt einer Verpflichtung nach Satz 1 nicht nachkommt, so kann das Landesamt, soweit dies zur Erfüllung seiner Aufgabe nach Satz 1 erforderlich ist, im Einvernehmen mit der zuständigen obersten Dienstbehörde
 
 
 <dl>
 <dt style="float: left;">1.</dt><dd>
 
 bei der betreffenden Einrichtung Vor-Ort-Kontrollen, externe nachträgliche Aufsichtsmaßnahmen, gezielte Sicherheitsprüfungen oder Sicherheitsscans auf der Grundlage objektiver, nichtdiskriminierender, fairer und transparenter Risikobewertungskriterien, erforderlichenfalls auch in Zusammenarbeit mit der betreffenden Einrichtung, durchführen oder unabhängige Stellen mit der Durchführung einer gezielten Sicherheitsüberprüfung beauftragen,
 </dd>
 <dt style="float: left;">2.</dt><dd>
 
 von der betreffenden Einrichtung Informationen zur nachträglichen Bewertung der ergriffenen Risikomanagementmaßnahmen im Bereich der Cybersicherheit, einschließlich dokumentierter Cybersicherheitskonzepte, oder zur Einhaltung der Verpflichtungen nach <a href="/bayern/baydig/49a" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Einrichtung mit Bedeutung für den Binnenmarkt" data-lli="4" target="_blank">Art. 49a</a> Abs. 3 Satz 3 anfordern,
 </dd>
 <dt style="float: left;">3.</dt><dd>
 
 bei der betreffenden Einrichtung den Zugang zu Daten, Dokumenten oder sonstigen Informationen anfordern oder
 </dd>
 <dt style="float: left;">4.</dt><dd>
 
 von der betreffenden Einrichtung Nachweise für die Umsetzung der Cybersicherheitskonzepte anfordern.
 </dd>
 </dl>
 
 &nbsp;3Das Landesamt kann, soweit dies zur Behebung festgestellter Verstöße einer Einrichtung mit Bedeutung für den Binnenmarkt gegen Verpflichtungen nach Satz 1 erforderlich ist, im Einvernehmen mit der zuständigen obersten Dienstbehörde
 <dl>
 <dt style="float: left;">1.</dt><dd>
 
 die betreffende Einrichtung anweisen oder ihr gegenüber anordnen, die festgestellten Mängel oder Verstöße gegen die Verpflichtungen nach Satz 1 zu beheben,
 </dd>
 <dt style="float: left;">2.</dt><dd>
 
 die betreffende Einrichtung anweisen, das gegen die Verpflichtungen nach Satz 1 verstoßende Verhalten einzustellen und von Wiederholungen abzusehen,
 </dd>
 <dt style="float: left;">3.</dt><dd>
 
 die betreffende Einrichtung anweisen, entsprechend bestimmter Vorgaben und innerhalb einer bestimmten Frist die Erfüllung der Verpflichtungen nach Satz 1 sicherzustellen oder
 </dd>
 <dt style="float: left;">4.</dt><dd>
 
 die betreffende Einrichtung anweisen, die im Rahmen einer Sicherheitsprüfung formulierten Empfehlungen innerhalb einer angemessenen Frist umzusetzen.
 </dd>
 </dl>
 
 &nbsp;4Anweisungen nach Satz 3 sind zu begründen.&nbsp;5Der anzuweisenden Einrichtung mit Bedeutung für den Binnenmarkt ist vorab mit angemessener Frist Gelegenheit zur Stellungnahme zu geben, es sei denn, dies würde die Wirksamkeit von sofortigen Maßnahmen zur Verhütung von Sicherheitsvorfällen oder zur Reaktion auf Sicherheitsvorfälle beeinträchtigen.(2) Stellt das Landesamt fest, dass der Verstoß einer Einrichtung mit Bedeutung für den Binnenmarkt gegen Verpflichtungen aus <a href="/bayern/baydig/43" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Behördenübergreifende Pflichten" data-lli="5" target="_blank">Art. 43</a> Abs. 1, Art. <a href="/bayern/baydig/46" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Mindeststandards" data-lli="6" target="_blank">46</a>, <a href="/bayern/baydig/49a" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Einrichtung mit Bedeutung für den Binnenmarkt" data-lli="7" target="_blank">49a</a> Abs. 4 oder Art. <a href="/bayern/baydig/49b" data-href="/[lawProviderSlug]/[lawAbbreviation]/[lawNormAbbreviation]" data-tooltip="Besonderes Meldeverfahren" data-lli="8" target="_blank">49b</a> eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO zur Folge haben kann, die gemäß Art. 33 DSGVO zu melden ist, unterrichtet es im Einvernehmen mit der zuständigen obersten Dienstbehörde unverzüglich den Landesbeauftragten für den Datenschutz.(3) 
 1Das Landesamt kann, soweit erforderlich, im Einvernehmen mit der zuständigen obersten Dienstbehörde die Öffentlichkeit oder von einem Sicherheitsvorfall betroffene Dritte über erhebliche Sicherheitsvorfälle bei Einrichtungen mit Bedeutung für den Binnenmarkt sowie mögliche Abwehr- oder Abhilfemaßnahmen informieren oder Einrichtungen mit Bedeutung für den Binnenmarkt anweisen, dies zu tun.&nbsp;2Zudem kann es diese im Einvernehmen mit der zuständigen obersten Dienstbehörde anweisen, Informationen zu Verstößen gegen die Verpflichtungen nach Abs. 1 Satz 1 nach bestimmten Vorgaben öffentlich bekannt zu machen oder selbst Warnungen über Verstöße gegen diese Verpflichtungen durch Einrichtungen mit Bedeutung für den Binnenmarkt herausgeben, soweit dies erforderlich ist.

Aufsicht und Durchsetzung

(1) Das Briefgeheimnis sowie das Post- und Fernmeldegeheimnis sind unverletzlich.(2) Beschränkungen dürfen nur auf Grund eines Gesetzes angeordnet werden. Dient die Beschränkung dem Schutze der freiheitlichen demokratischen Grundordnung oder des Bestandes oder der Sicherung des Bundes oder eines Landes, so kann das Gesetz bestimmen, daß sie dem Betroffenen nicht mitgeteilt wird und daß an die Stelle des Rechtsweges die Nachprüfung durch von der Volksvertretung bestellte Organe und Hilfsorgane tritt.

(1) Das Brief-, Post-, Telegraphen- und Fernsprechgeheimnis ist unverletzlich.(2) Beschränkungen des Rundfunkempfanges sowie des Bezuges von Druck-Erzeugnissen sind unzulässig.

Art. 58 BayDiG

Einschränkung von Grundrechten