(1) Die Dienststellen sind die verantwortlichen Stellen für die personenbezogenen Daten, die sie für ihren Dienstbereich erheben, verarbeiten und nutzen oder dies durch andere in ihrem Auftrag vornehmen lassen.
(2) Sie gewährleisten, dass alle notwendigen organisatorischen und technischen Maßnahmen nach den datenschutzrechtlichen Bestimmungen unter Beachtung der IT-Sicherheitsgrundsätze des Landes Berlin getroffen werden. Dies schließt die Umsetzung der erforderlichen Maßnahmen zur Zutritts-, Zugangs-, Zugriffs-, Auftrags- und Verfügbarkeitskontrolle ein.
(3) Zur Planung, Umsetzung und Prüfung der Maßnahmen gemäß Absatz 2 werden IT-Sicherheits- und Datenschutzkonzepte erstellt und den Beschäftigtenvertretungen im Rahmen ihrer Beteiligung vorgelegt, soweit dies unter Sicherheits- und Datenschutzaspekten zulässig und möglich ist.
(4) Die Erstellung der Sicherheitskonzepte erfolgt unter Beachtung des jeweils aktuellen BSI-Standards. Im Rahmen dessen erfolgt eine Risikoanalyse mit Feststellung des Schutzbedarfs und der Anforderungen an die Verfügbarkeit.
(5) Das Datenschutzkonzept beinhaltet eine Beschreibung der Rechteverwaltung, ein Berechtigungskonzept, in dem die Rollen der Nutzenden und deren Zugriffsrechte auf die personenbezogenen Daten dokumentiert sind, sowie eine Auflistung aller personenbezogenen Datenfelder der Beschäftigten mit Angaben zu ihrem Inhalt, ihrer Rechtsgrundlage und Zweckbestimmung sowie zu Aufbewahrungs- und Löschfristen.
(6) Die Erstellung des Berechtigungskonzepts erfolgt durch die Dienststellen. Hierbei sind die behördlichen Datenschutzbeauftragten frühzeitig einzubinden und zu beteiligen.
(7) Die Datenschutz- und IT-Sicherheitskonzepte sind bedarfsweise, insbesondere anlässlich festgestellter Mängel oder neuer technischer Entwicklungen und Bedrohungen, anzupassen und fortzuschreiben.
(8) Die getroffenen Maßnahmen zur Gewährleistung des Datenschutzes und der IT- Sicherheit sind zu dokumentieren. Die Einhaltung der Datenschutzbestimmungen und Sicherheitsrichtlinien ist regelmäßig durch die Dienststelle zu prüfen. Festgestellte Mängel sind unverzüglich zu beheben.
(9) Werden personenbezogene Daten im Auftrag durch eine andere Stelle verarbeitet, so ist dabei vertraglich sicherzustellen, dass datenschutzrechtliche Bestimmungen und die Regelungen dieser Rahmendienstvereinbarung eingehalten und kontrolliert werden. Die Kontrollrechte der Beschäftigtenvertretungen sowie die Betroffenenrechte sind in dem Vertrag über die Auftragsdatenverarbeitung sicherzustellen. Die Einhaltung der besonderen Belange der Justiz ist zu gewährleisten.
(10) Mit den elektronischen Aktensystemen dürfen keine Leistungskontrollen durchgeführt werden und keine Arbeitszeitüberwachungen erfolgen. Zur Verhaltenskontrolle dürfen sie nur insoweit verwendet werden, als dies zur Datenschutzkontrolle, Datensicherung oder Sicherstellung des ordnungsgemäßen Betriebs einer Datenverarbeitungsanlage erforderlich ist. Dies gilt insbesondere für Protokollierungen von Aktivitäten der Nutzenden. Dabei anfallende Kontroll- und Protokolldaten unterliegen einer strikten Zweckbindung. Missbrauchskontrollen sind nur bei begründetem Verdacht unter Berücksichtigung datenschutzrechtlicher Bestimmungen und Einbeziehung der jeweils zuständigen Beschäftigtenvertretung zulässig.
(11) Die Beschäftigten sind zur Einhaltung der festgelegten Standards des Datenschutzes und der IT-Sicherheit bei der Nutzung der elektronischen Aktensysteme verpflichtet. Dies gilt auch bei Heimarbeit (§ 7).