§ 8 Ergänzende Regelungen und Verfahrensdokumentation
Bei Einrichtung eines Abrufverfahrens sind von den beteiligten Stellen zu regeln und in einer für sachverständige Dritte verständlichen Weise zu dokumentieren
1.
Anlass, Zweck und beteiligte Stellen des Abrufverfahrens,
2.
die notwendigen technischen Voraussetzungen und die verwendeten Programme,
3.
die zum Abruf bereitgehaltenen Daten,
4.
auf welche Weise und zu welchem Zeitpunkt die verantwortlichen Stellen über die Abrufbefugnis anderer Behörden zu unterrichten sind,
5.
die Gruppen der zum Abruf berechtigten Personen (§ 3) und der Umfang der Abrufbefugnisse (§ 4),
6.
die protokollierende Stelle,
7.
die zur Identifizierung, Authentisierung und Verschlüsselung verwendeten Verfahren,
8.
die für die Vergabe und Verwaltung von Benutzerkennungen, Passwörtern und Ausweiskarten sowie die für die Prüfung der aufgezeichneten Abrufe und Stichproben zuständigen Stellen,
9.
Art und Umfang der Maßnahmen zur nachträglichen Überprüfung eingeräumter Abrufbefugnisse sowie die Frist zur Aufbewahrung der revisionsfähigen Unterlagen,
10.
die Einzelheiten des Prüfungsverfahrens nach § 7,
11.
das Verfahren zur Erprobung und zur Qualitätssicherung der Programme vor dem Einsatz,
12.
die Fristen, nach deren Ablauf Daten zum Abruf durch Abrufberechtigte außerhalb der für die Speicherung verantwortlichen Stelle nicht mehr für einen Datenabruf bereitgehalten werden dürfen,
13.
die sonstigen zur Wahrung der schutzwürdigen Belange der Betroffenen sowie zur Gewährleistung von Datenschutz und Datensicherheit getroffenen technischen und organisatorischen Maßnahmen.
Die Verfahrensdokumentation ist fortlaufend zu aktualisieren. Sie ist mindestens zwei Jahre über das Ende des Verfahrenseinsatzes hinaus aufzubewahren.