§ 5 Datenverarbeitung — CSZG

(1) Der Bundeskanzler ist zum Zwecke der Erfüllung der in der Verordnung (EU) 2019/881 und in diesem Hauptstück definierten Aufgaben als datenschutzrechtlicher Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO ermächtigt, personenbezogene Daten im Sinne des Art. 4 Nr. 1 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (DSGVO), ABl. Nr. L 119 vom 04.05.2016 S. 1, in der Fassung der Berichtigung ABl. Nr. L 74 vom 04.03.2021 S. 35, zu verarbeiten.

(2) Bei den in Abs. 1 genannten personenbezogenen Daten handelt es sich insbesondere um:

1. Kontakt- und Identitätsdaten von Teilnehmern und ihren Organisationseinheiten, die zur Ermöglichung und im Zuge der Teilnahme an internationalen, EU weiten und nationalen Gremien mit Relevanz für die Cybersicherheitszertifizierung erforderlich sind;

2. Daten von Personen, die an einem Geschäftsfall mitwirken oder davon betroffen sind, insbesondere von Konformitätsbewertungsstellen, Herstellern und Anbietern von IKT Produkten, Diensten und Prozessen, Inhabern europäischer Cybersicherheitszertifikate und Ausstellern von EU Konformitätserklärungen sowie von Antragstellern und Beschwerdeführern nach der Verordnung (EU) 2019/881 und nach diesem Hauptstück;

3. Daten von Personen sowie technische Daten, die mit einer gemäß § 3 Abs. 3 erfolgten Mitteilung über eine festgestellte Sicherheitslücke oder Unregelmäßigkeit in Zusammenhang stehen.

(3) Jede Abfrage, Übermittlung und Änderung personenbezogener Daten ist zu protokollieren. Die Protokollaufzeichnungen sind drei Jahre aufzubewahren und danach zu löschen.

(4) Personenbezogene Daten sind unverzüglich zu löschen, sofern sie zur Wahrnehmung der festgelegten Befugnisse und Aufgaben nicht mehr erforderlich sind, spätestens aber sieben Jahre nach rechtskräftiger Entscheidung eines Verfahrens.