Sächsisches Informationssicherheitsgesetz

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

itslücken, unbefugte Datennutzung oder unbefugte Datenverarbeitung durch Dritte zu erkennen und abzuwehren. 2Das umfasst insbesondere die dazu erforderliche Datenverarbeitung. (4) 1Die Verarbeitung personenbezogener Daten durch das Sicherheitsnotfallteam zu anderen Zwecken als demjenigen, zu dem die Daten ursprünglich erhoben wurden, ist zur Sammlung, Auswertung oder Untersuchung von Informationen zu Sicherheitslücken, Schadprogrammen, erfolgten oder versuchten Angriffen auf die Sicherheit in den informationstechnischen Systemen und der dabei beobachteten Vorgehensweise oder zur Unterstützung oder Beratung zu Fragen der Informationssicherheit zulässig, wenn sie zur Gewährleistung der Informationssicherheit erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt. 2Die Verarbeitung personenbezogener Daten im Sinne von Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 durch das Sicherheitsnotfallteam ist zulässig, wenn 1. die Verarbeitung erforderlich ist zur Abwehr einer erheblichen Gefahr für die Netz-, Daten- oder Informationssicherheit, 2. ein Ausschluss dieser Daten von der Verarbeitung die Erfüllung der Aufgaben des Sicherheitsnotfallteams unmöglich machen oder diese erheblich gefährden würde und 3. kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss dieser Daten von der Verarbeitung überwiegt. 3Personenbezogene Daten sind unverzüglich zu löschen, sobald sie für die Erfüllung der Aufgaben des Sicherheitsnotfallteams nicht mehr benötigt werden. 4Sie sind spätestens 90 Tage nach ihrer Erhebung zu pseudonymisieren; § 13 Absatz 2 Satz 6 und 7 gilt entsprechend. 5Satz 1 gilt nicht für Daten, die dem richterlichen, staatsanwaltschaftlichen oder rechtspflegerischen Arbeitsprozess zuzurechnen sind. (5) 1Das Sicherheitsnotfallteam sieht angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person vor. 2§ 22 Absatz 2 Satz 2 des Bundesdatenschutzgesetzes gilt entsprechend. (6) Das Sicherheitsnotfallteam muss an einem sicheren Standort eingerichtet werden und ausgestattet sein mit 1. einer geeigneten, sicheren und belastbaren Kommunikations- und Informationsinfrastruktur, 2. einer Anzahl an Kommunikationskanälen, die einen hohen Grad von deren Verfügbarkeit gewährleistet, 3. einem geeigneten System zur Verwaltung und Weiterleitung von Anfragen, insbesondere um wirksame und effiziente Übergaben zu erleichtern, 4. Personal, das die ständige Bereitschaft seiner Dienste gewährleistet, sowie 5. Redundanzsystemen und Ausweicharbeitsräumen.6 § 7 Beauftragte für Informationssicherheit der staatlichen Stellen (1) 1In jedem Staatsministerium, in der Staatskanzlei, dem Landespolizeipräsidium, der Leitstelle für Informationstechnologie der sächsischen Justiz, dem Staatsbetrieb Sächsische Informatik Dienste sowie bei dem Sächsischen Rechnungshof und der oder dem Sächsischen Datenschutzbeauftragten werden je eine hauptamtliche Beauftragte oder ein hauptamtlicher Beauftragter für Informationssicherheit und eine Vertreterin oder ein Vertreter ernannt. 2Die oder der Beauftragte für Informationssicherheit berichtet der Leiterin oder dem Leiter der staatlichen Stelle und der oder dem Beauftragten für Informationssicherheit des Landes mindestens einmal jährlich zum Stand der Informationssicherheit in seinem Zuständigkeitsbereich. 3Die Leiterin oder der Leiter unterstützt die oder den Beauftragten für Informationssicherheit bei der Erfüllung ihrer oder seiner Aufgaben nach Absatz 3, indem er die für die Erfüllung dieser Aufgaben erforderlichen Ressourcen zur Verfügung stellt. (2) 1Für jede nachgeordnete staatliche Stelle werden je eine Beauftragte oder ein Beauftragter für Informationssicherheit und eine Vertreterin oder ein Vertreter ernannt. 2Die jeweils zuständigen Beauftragten für Informationssicherheit der Aufsichtsbehörden sind innerhalb eines Monats über die Ernennung zu unterrichten. 3Bei der organisatorischen Zuweisung der Aufgaben sollen Interessenkonflikte vermieden werden. 4Die oder der Beauftragte für Informationssicherheit einer nachgeordneten staatlichen Stelle muss nicht Beschäftigte oder Beschäftigter der staatlichen Stelle sein. 5Beauftragte und Vertreter können jeweils für mehrere staatliche Stellen zuständig sein. 6Die oder der Beauftragte für Informationssicherheit berichtet der Leiterin oder dem Leiter der staatlichen Stelle und der oder dem Beauftragten für Informationssicherheit der zuständigen Aufsichtsbehörde in angemessenen Abständen zum Stand der Informationssicherheit in ihrem oder seinem Zuständigkeitsbereich. (3) 1Die oder der Beauftragte für Informationssicherheit fördert die Belange der Informationssicherheit innerhalb ihres oder seines Zuständigkeitsbereichs und koordiniert entsprechende Maßnahmen. 2Die oder der Beauftragte für Informationssicherheit hat ein unmittelbares Vortragsrecht bei der Leiterin oder dem Leiter der staatlichen Stelle. 3Die oder der Beauftragte für Informationssicherheit ist für die Einhaltung der Meldepflichten nach den §§ 15 und 16 in ihrem oder seinem Zuständigkeitsbereich verantwortlich. 4Im Fall eines Sicherheitsvorfalls oder eines Sicherheitsereignisses ist die oder der Beauftragte für Informationssicherheit oder deren oder dessen Vertreterin oder Vertreter berechtigt, Einsicht in die Protokolldaten ihres oder seines Zuständigkeitsbereichs zu nehmen oder diese anzufordern. 5Daten des Sächsischen Rechnungshofs, der oder des Sächsischen Datenschutzbeauftragten, der Gerichte und Staatsanwaltschaften, der Behörden und Organisationen mit Sicherheitsaufgaben sowie der Hochschulen im Sinne von § 1 Absatz 1 des Sächsischen Hochschulgesetzes dürfen nur einvernehmlich mit diesen erhoben, gespeichert, ausgewertet, genutzt oder sonst verarbeitet werden. 6Sind Daten betroffen, die dem richterlichen, staatsanwaltschaftlichen oder rechtspflegerischen Arbeitsprozess zuzurechnen sind, ist § 41c des Sächsischen Justizgesetzes entsprechend anzuwenden. 7Die oder der Beauftragte für Informationssicherheit ist bei der Ausübung ihrer oder seiner Aufgaben weisungsfrei. 8Sie oder er darf wegen der Erfüllung der ihr oder ihm übertragenen Aufgaben nicht benachteiligt werden. (4) 1Das Gremium nach § 17 Absatz 1 des Sächsischen E-Government-Gesetzes beschließt ein Konzept zur Identifizierung der staatlichen Stellen nach Artikel 2 Absatz 2 Buchstabe f Ziffer ii der Richtlinie (EU) 2022/2555. 2Die obersten Staatsbehörden identifizieren für ihre jeweiligen Geschäftsbereiche auf der Grundlage dieses Identifizierungskonzeptes die betroffenen staatlichen Stellen und übermitteln der oder dem Beauftragten für Informationssicherheit des Landes für die von ihnen erstmals oder erneut identifizierten staatlichen Stellen 1. den Namen der staatlichen Stelle, 2. die Anschrift und die aktuellen Kontaktdaten der oder des Beauftragten für Informationssicherheit der staatlichen Stelle, einschließlich E-Mail-Adresse und Telefonnummer, 3. die IP-Adressbereiche der staatlichen Stelle. 3Die erste Identifizierung nehmen die obersten Staatsbehörden zum 17. Januar 2025 vor und überprüfen diese alle zwei Jahre.7 § 8 Beauftragte für Informationssicherheit der nicht-staatlichen Stellen (1) 1Für nicht-staatliche Stellen sollen eine Beauftragte oder ein Beauftragter für Informationssicherheit und eine Vertreterin oder ein Vertreter ernannt werden. 2Die oder der Beauftragte für Informationssicherheit muss nicht Beschäftigte oder Beschäftigter der nicht-staatlichen Stelle sein. 3Beauftragte und Vertreter können jeweils für mehrere nicht-staatliche Stellen zuständig sein. 4Für Schulen in kommunaler Trägerschaft ist die oder der Beauftragte für Informationssicherheit des jeweiligen Schulträgers zuständig. 5Die oder der Beauftragte für Informationssicherheit des Landes ist innerhalb eines Monats über die Ernennung zu unterrichten. (2) Für die oder den Beauftragten für Informationssicherheit der nicht-staatlichen Stelle gilt § 7 Absatz 3 entsprechend.8 § 9 Informationssicherheitsmanagement-Teams 1In jedem Staatsministerium, in der Staatskanzlei, dem Landespolizeipräsidium, der Leitstelle für Informationstechnologie der sächsischen Justiz, dem Staatsbetrieb Sächsische Informatik Dienste sowie bei dem Sächsischen Rechnungshof und der oder dem Sächsischen Datenschutzbeauftragten sollen Informationssicherheitsmanagement-Teams im Rahmen des Informationssicherheitsmanagementsystems eingerichtet werden. 2In den anderen staatlichen Stellen können Informationssicherheitsmanagement-Teams im Rahmen des Informationssicherheitsmanagementsystems eingerichtet werden. 3Sie unterstützen die jeweilige Beauftragte oder den jeweiligen Beauftragten für Informationssicherheit bei ihrer oder seiner Arbeit.9 § 10 Arbeitsgruppe Informationssicherheit (1) 1Die Arbeitsgruppe Informationssicherheit berät die Beauftragte oder den Beauftragten für Informationssicherheit des Landes in Fragen der Informationssicherheit. 2Sie besteht aus den Beauftragten für Informationssicherheit der Staatskanzlei, der Staatsministerien, des Sächsischen Rechnungshofs, der oder des Sächsischen Datenschutzbeauftragten, des Landespolizeipräsidiums, der Leitstelle für Informationstechnologie der sächsischen Justiz und des Staatsbetriebes Sächsische Informatik Dienste sowie zwei Personen, die die Kommunen vertreten. 3Weitere Mitglieder können aufgenommen werden. (2) Die oder der IT- und Informationssicherheitsbeauftragte des Landtages kann an den Sitzungen teilnehmen. (3) 1Die Arbeitsgruppe Informationssicherheit wird von der oder dem Beauftragten für Informationssicherheit des Landes geleitet. 2Die Arbeitsgruppe Informationssicherheit gibt sich eine Geschäftsordnung.10 Abschnitt 3 Maßnahmen zur Sicherstellung der Informationssicherheit § 11 Datenübermittlung der nicht-staatlichen Stellen (1) 1Den Zugang zu dem Sächsischen Verwaltungsnetz können die kommunalen Träger der Selbstverwaltung über das Kommunale Datennetz und die sonstigen nicht-staatlichen Stellen über einen unmittelbaren Anschluss herstellen. 2Stattdessen kann der Zugang der nicht-staatlichen Stellen zu dem Sächsischen Verwaltungsnetz über eine Schnittstelle hergestellt werden, die eine vergleichbare Funktionalität und eine gleichwertige Informationssicherheit nach § 4 Absatz 1 Satz 1 bis 3 gewährleistet. 3Soweit auf speziellen Rechtsvorschriften beruhende technische und organisatorische Maßnahmen eine zuverlässige und sichere Datenübertragung für einzelne Fachverfahren gewährleisten, muss die verwaltungsübergreifende elektronische Datenübermittlung im Sinne von § 15 des Sächsischen E-Government-Gesetzes zwischen den staatlichen und den nicht-staatlichen Stellen nicht über das Sächsische Verwaltungsnetz geführt werden. (2) 1Die Staatsregierung wird ermächtigt, die Eigenschaften der Schnittstelle gemäß Absatz 1 Satz 2 durch Rechtsverordnung näher zu bestimmen. 2In dieser Rechtsverordnung können Vorgaben vorgesehen werden zu: 1. der Informationssicherheit für die in § 3 Absatz 1 genannten Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit, 2. der Informationssicherheit bei der Verarbeitung personenbezogener Daten, 3. der Art der Datenverarbeitung, 4. der Mindest-Verfügbarkeit der Schnittstelle, 5. der Mindest-Bandbreite der Schnittstelle, 6. den für die Datenverbindung eingesetzten Protokollen, 7. der verwendeten Systeminfrastruktur und 8. der internen Organisation, die durch die jeweiligen Anbieter der Datenverbindung zu berücksichtigen sind. 3Vom IT-Kooperationsrat und den Trägern der Selbstverwaltung sind frühzeitig Stellungnahmen einzuholen. 4Beschließt der IT-Kooperationsrat daraufhin eine Empfehlung im Sinne von § 18 Absatz 3 Satz 1 Nummer 6 des Sächsischen E-Government-Gesetzes, ist diese bei Erlass der Rechtsverordnung zu berücksichtigen. 5Gleiches gilt für die Stellungnahmen der Träger der Selbstverwaltung. (3) Werden dem Freistaat Sachsen Anforderungen für die Zugangsschnittstellen zu dem Verbindungsnetz im Sinne von Artikel 91c Absatz 4 Satz 1 des Grundgesetzes für die Bundesrepublik Deutschland durch Beschlüsse des IT-Planungsrates als Koordinierungsgremium gemäß § 1 in Verbindung mit § 4 des Gesetzes über die Verbindung der informationstechnischen Netze des Bundes und der Länder – Gesetz zur Ausführung von Artikel 91c Absatz 4 des Grundgesetzes – vom 10. August 2009 (BGBl. I S. 2702, 2706), in der jeweils geltenden Fassung, vorgegeben oder nach § 5 des Onlinezugangsgesetzes festgelegt, sind diese Standards durch die nicht-staatlichen Stellen bei den von ihnen eingesetzten und mit dem Verbindungsnetz zumindest mittelbar verbundenen informationstechnischen Systemen einzuhalten.11 § 12 Abwehr von Gefahren für die informationstechnischen Systeme im Freistaat Sachsen (1) 1Zur Erkennung und Abwehr von Gefahren für die informationstechnischen Systeme im Freistaat Sachsen etwa durch Schadprogramme, Sicherheitslücken oder unbefugte Datenverarbeitung dürfen das Sicherheitsnotfallteam sowie die staatlichen und nicht-staatlichen Stellen im Freistaat Sachsen innerhalb ihres jeweiligen Zuständigkeitsbereichs 1. Protokolldaten erheben und automatisiert auswerten sowie 2. die an den Schnittstellen der informationstechnischen Systeme anfallenden Protokoll- und Inhaltsdaten erheben und automatisiert auswerten, soweit dies zur Verhinderung oder Abwehr von Angriffen auf informationstechnische Systeme der staatlichen und nicht-staatlichen Stellen im Freistaat Sachsen oder zum Erkennen, Eingrenzen oder Beseitigen dieser Störungen der Informationssicherheit erforderlich ist. 2Jede staatliche Stelle kann ihre Befugnisse nach den §§ 12 und 13 im Einvernehmen mit dem Sicherheitsnotfallteam auf dieses übertragen. (2) Die staatlichen und nicht-staatlichen Stellen im Freistaat Sachsen sind verpflichtet, das Sicherheitsnotfallteam bei Maßnahmen nach Absatz 1 Satz 1 und § 13 zu unterstützen sowie hierbei dem Sicherheitsnotfallteam behördeninterne Protokolldaten nach Absatz 1 Satz 1 Nummer 1 und Daten nach Absatz 1 Satz 1 Nummer 2 zur Verfügung zu stellen. (3) 1Daten des Landtags, des Sächsischen Rechnungshofs, der oder des Sächsischen Datenschutzbeauftragten, der Gerichte und Staatsanwaltschaften, der Behörden und Organisationen mit Sicherheitsaufgaben sowie der Hochschulen im Sinne von § 1 Absatz 1 des Sächsischen Hochschulgesetzes dürfen nur einvernehmlich mit diesen erhoben, gespeichert, ausgewertet, genutzt oder sonst verarbeitet werden. 2Sind Daten betroffen, die dem richterlichen, staatsanwaltschaftlichen oder rechtspflegerischen Arbeitsprozess zuzurechnen sind, ist § 41c des Sächsischen Justizgesetzes entsprechend anzuwenden.12 § 13 Datenspeicherung und -auswertung (1) 1Sofern nicht die Absätze 2 bis 8 eine weitere Verarbeitung gestatten, muss eine automatisierte Auswertung der Daten nach § 12 Absatz 1 unverzüglich erfolgen und diese müssen nach erfolgtem Abgleich sofort und nach dem Stand der Technik sicher gelöscht werden. 2Daten, die weder personenbezogen sind noch dem Fernmeldegeheimnis unterliegen, sind von den Verarbeitungseinschränkungen dieser Vorschrift ausgenommen. (2) 1Protokolldaten dürfen über den für die automatisierte Auswertung erforderlichen Zeitraum hinaus, längstens jedoch für 90 Tage, gespeichert werden, soweit tatsächliche Anhaltspunkte bestehen, dass die Daten erforderlich sein können: 1. für den Fall der Bestätigung eines Verdachts nach Absatz 4 Satz 1 zur Abwehr von Gefahren für die informationstechnischen Systeme oder 2. zur Verhütung, Unterbindung oder Verfolgung damit zusammenhängender Straftaten. 2Die Daten sind im Gebiet der Europäischen Union zu speichern. 3Durch organisatorische und technische Maßnahmen nach dem Stand der Technik ist sicherzustellen, dass eine Auswertung der nach Satz 1 gespeicherten Daten nur automatisiert erfolgt. 4Die Daten sind zu pseudonymisieren, soweit dies automatisiert möglich ist. 5Eine nicht automatisierte Auswertung oder eine personenbezogene Verarbeitung ist nur nach Maßgabe der Absätze 4 bis 8 zulässig. 6Soweit hierzu die Wiederherstellung des Personenbezugs pseudonymisierter Daten erforderlich ist, muss diese durch die zuständige Leiterin oder den zuständigen Leiter der staatlichen oder nicht-staatlichen Stelle angeordnet werden. 7Diese Entscheidung ist zu dokumentieren. (3) 1Inhaltsdaten dürfen über den für die automatisierte Auswertung erforderlichen Zeitraum hinaus, längstens für 60 Tage gespeichert werden, soweit tatsächliche Anhaltspunkte bestehen, dass die Daten erforderlich sein können: 1. für den Fall der Bestätigung eines Verdachts nach Absatz 4 Satz 1 zur Abwehr von Gefahren für die informationstechnischen Systeme oder 2. zur Verhütung, Unterbindung oder Verfolgung damit zusammenhängender Straftaten und die Speicherung zum Schutz der technischen Systeme unerlässlich ist. 2Die Speicherung und Auswertung der Inhaltsdaten ist von der zuständigen Leiterin oder dem zuständigen Leiter der staatlichen oder nicht-staatlichen Stelle und einer oder einem weiteren Bediensteten dieser Stelle mit Befähigung zum Richteramt anzuordnen. 3Die Daten sind im Gebiet der Europäischen Union zu speichern. 4Durch organisatorische und technische Maßnahmen nach dem Stand der Technik ist sicherzustellen, dass eine Auswertung der nach Satz 1 gespeicherten Daten nur automatisiert erfolgt. 5Die Daten sind zu pseudonymisieren, soweit dies automatisiert möglich ist. 6Eine nicht automatisierte Auswertung oder eine personenbezogene Verarbeitung ist nur nach Maßgabe der Absätze 4 bis 8 zulässig. 7Soweit hierzu die Wiederherstellung des Personenbezugs pseudonymisierter Daten erforderlich ist, muss diese durch die zuständige Leiterin oder den zuständigen Leiter der staatlichen oder nicht-staatlichen Stelle und einer oder einen weiteren Bediensteten dieser Stelle mit der Befähigung zum Richteramt angeordnet werden. 8Sofern diese Stelle keine weitere Bedienstete oder keinen weiteren Bediensteten mit der Befähigung zum Richteramt beschäftigt, ist die Anordnung der Speicherung und Auswertung der Inhaltsdaten oder der Wiederherstellung des Personenbezugs pseudonymisierter Daten von der Leiterin oder dem Leiter der staatlichen oder nicht-staatlichen Stelle und einer oder einem Bediensteten der Aufsichtsbehörde mit der Befähigung zum Richteramt zu treffen. 9Die Anordnung gilt längstens für zwei Monate; sie kann verlängert werden. 10Diese Entscheidung ist zu dokumentieren. (4) 1Die Verarbeitung der in § 12 Absatz 1 genannten Daten ist auch zulässig, 1. wenn bestimmte Tatsachen den Verdacht begründen, dass die Daten Gefahren für die informationstechnischen Systeme etwa durch Schadprogramme, programmtechnische Sicherheitslücken oder unbefugte Datenverarbeitung enthalten oder Hinweise auf solche Gefahren geben können, und 2. soweit die Datenverarbeitung erforderlich ist, um den Verdacht zu bestätigen oder zu widerlegen. 2Im Falle der Bestätigung des Verdachts ist die weitere Verarbeitung der Daten zulässig, soweit die Datenverarbeitung zur Abwehr von Gefahren für die informationstechnischen Systeme erforderlich ist. 3Ein Schadprogramm darf beseitigt oder in seiner Funktionsweise gehindert werden. 4Die nicht automatisierte Verarbeitung der Daten nach den Sätzen 1 und 2 darf nur von der Leiterin oder dem Leiter der staatlichen oder nicht-staatlichen Stelle und iner oder einem Bediensteten dieser Stelle mit der Befähigung zum Richteramt angeordnet werden. 5Sofern diese Stelle keine weitere Bedienstete oder keinen weiteren Bediensteten mit der Befähigung zum Richteramt beschäftigt, ist die Anordnung nach Satz 4 von der Leiterin oder dem Leiter der staatlichen oder nicht-staatlichen Stelle und einer oder einem Bediensteten der Aufsichtsbehörde mit der Befähigung zum Richteramt zu treffen. (5) 1Die von den Maßnahmen nach Absatz 4 betroffenen Personen und betroffenen staatlichen oder nicht-staatlichen Stellen sind spätestens nach dem Erkennen und der Abwehr eines Schadprogramms oder von Gefahren, die von einem Schadprogramm ausgehen, zu benachrichtigen, wenn sie bekannt sind oder ihre Identifikation ohne unverhältnismäßigen Aufwand möglich ist sowie nicht überwiegende schutzwürdige Belange Dritter entgegenstehen. 2Die Benachrichtigung kann unterbleiben, wenn die Person nur unerheblich betroffen wurde und anzunehmen ist, dass sie an einer Benachrichtigung kein Interesse hat. 3Die staatlichen und nicht-staatlichen Stellen legen Fälle, in denen sie von einer Benachrichtigung absehen, der oder dem zuständigen Datenschutzbeauftragten dieser Stelle und einer oder einem weiteren Bediensteten dieser Stelle mit Befähigung zum Richteramt zur Kontrolle vor. 4Die oder der zuständige Datenschutzbeauftragte ist bei Ausübung dieser Aufgabe weisungsfrei und darf deswegen nicht benachteiligt werden (Artikel 38 Absatz 3 der Verordnung [EU] 2016/679). 5Wenn die oder der zuständige Datenschutzbeauftragte der Entscheidung der staatlichen oder nicht-staatlichen Stelle widerspricht, ist die Benachrichtigung nachzuholen. 6Die Entscheidung über die Nichtbenachrichtigung ist zu dokumentieren. 7Die Dokumentation darf ausschließlich für Zwecke der Datenschutzkontrolle verwendet werden. 8Sie ist nach zwölf Monaten zu löschen. 9In den Fällen der Absätze 6 und 7 erfolgt die Benachrichtigung durch die dort genannten Behörden nach den für diese Behörden geltenden Vorschriften. 10Enthalten diese keine Bestimmungen zu Benachrichtigungspflichten, sind die Vorschriften der Strafprozessordnung in der Fassung der Bekanntmachung vom 7. April 1987 (BGBl. I S. 1074, 1319), die zuletzt durch Artikel 3 des Gesetzes vom 18. April 2019 (BGBl. I S. 466) geändert worden ist, in der jeweils geltenden Fassung, entsprechend anzuwenden. (6) 1Die nach Absatz 4 verarbeiteten personenbezogenen Daten dürfen an die Strafverfolgungsbehörden zur Verfolgung einer Straftat nach den §§ 202a, 202b, 303a oder 303b des Strafgesetzbuches übermittelt werden. 2Ferner dürfen diese Daten zur Abwehr einer Gefahr für die öffentliche Sicherheit, die unmittelbar von einem Schadprogramm ausgeht, an die Polizei des Freistaates Sachsen übermittelt werden. (7) 1Für sonstige Zwecke dürfen die Daten übermittelt werden an: 1. die Strafverfolgungsbehörden zur Verfolgung einer Straftat von auch im Einzelfall erheblicher Bedeutung, insbesondere einer in § 100a Absatz 2 der Strafprozessordnung bezeichneten Straftat, 2. die Polizeibehörden zur Abwehr einer gegenwärtigen Gefahr für Leib, Leben oder Freiheit einer Person sowie zur Verhütung und Unterbindung von in Nummer 1 genannten Straftaten, 3. das Landesamt für Verfassungsschutz, wenn tatsächliche Anhaltspunkte für Tätigkeiten nach § 2 Absatz 1 Nummer 2 des Sächsischen Verfassungsschutzgesetzes vom 22. Juli 2024 (SächsGVBl. S. 706) oder für Bestrebungen vorliegen, die durch Anwendung von Gewalt oder darauf gerichtete Vorbereitungshandlungen gegen die in § 2 Absatz 1 Nummer 1, 3 und 4 des Sächsischen Verfassungsschutzgesetzes genannten Schutzgüter gerichtet sind; § 21 des Sächsischen Verfassungsschutzgesetzes bleibt unberührt. 2Die Übermittlung nach Satz 1 Nummer 1 und 2 bedarf der vorherigen gerichtlichen Zustimmung. 3Für das Verfahren nach Satz 1 Nummer 1 und 2 gelten die Vorschriften des Gesetzes über das Verfahren in Familiensachen und in den Angelegenheiten der freiwilligen Gerichtsbarkeit vom 17. Dezember 2008 (BGBl. I S. 2586, 2587), das zuletzt durch Artikel 13 des Gesetzes vom 18. Dezember 2018 (BGBl. I S. 2639) geändert worden ist, entsprechend. 4Zuständig ist das Amtsgericht, in dessen Bezirk die übermittelnde Stelle ihren Sitz hat. 5Die Übermittlung nach Satz 1 Nummer 3 erfolgt nach Zustimmung des Staatsministeriums des Innern; die §§ 9 bis 16 des Artikel 10-Gesetzes vom 26. Juni 2001 (BGBl. I S. 1254, 2298; 2007 I S. 154), das zuletzt durch Artikel 12 des Gesetzes vom 14. August 2017 (BGBl. I S. 3202) geändert worden ist, gelten entsprechend. (8) 1Eine über die Absätze 1