Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

4.2         Polizei und Nachrichtendienste

Datenschutz bei Polizei- und Verfassungsschutzbehörden – das bedeutete für das ULD im vergangenen Jahr die Begleitung neuer IT-Verfahren und die Durchführung von Kontrollen, vor allem auf Grund von Eingaben betroffener Bürgerinnen und Bürger.

Die Verfahren der Polizei @rtus und INPOL, die schon länger unter Beobachtung und Begleitung des ULD stehen, werden weiter ausgebaut. Daneben werden weitere Verfahren geplant und eingerichtet. Das Landeskriminalamt (LKA) unterrichtete uns von neuen Planungen, z. B. zur einer elektronischen Kriminalakte.

Insbesondere im Bereich Polizei und Nachrichtendienste ist es wegen der hohen Sensibilität für das Leben der Menschen ein Anliegen des ULD, Eingaben betroffener Bürgerinnen und Bürger umfassend und zeitnah zu bearbeiten. Anlass hierfür sind oft polizeiliche Kontrollen, bei denen für die Betroffenen der Eindruck entsteht, etwas über sie sei in polizeilichen Dateien gespeichert, ohne dass ihnen dies ehrlich mitgeteilt wurde. In diesen Fällen stellen wir zunächst – o t durch Kontrollen vor Ort – fest, welche Daten zum Petenten gespeichert sind. Immer wieder führen diese Kontrollen zur Löschung gespeicherter Daten. Im Rahmen dieser Kontrolltätigkeit zeigte sich die zunehmende Bedeutung des Vorgangsbearbeitungssystems @rtus der Landespolizei. Es ergab sich Nachbesserungsbedarf bei den Löschfristen und wegen der fehlenden Möglichkeit der vorzeitigen Löschung einzelner Datensätze (Tz. 4.2.8).

Als besonders delikate Form polizeilicher Datenverarbeitung kann sich die Pressearbeit erweisen. Bei einer polizeilichen Pressemitteilung fehlt es an hinreichender Anonymisierung. Ein Petent aus einem kleinen Ort war bereits anhand der in der Pressemeldung genannten markanten Fahrzeugmarke für alle Einwohner identifizierbar. Dies muss und darf nicht sein, meint auch das Innenministerium.

4.2.1      Neues Polizeirecht – Verfassung und Auslegung

Das neue Polizeirecht des Landes, das „Gesetz zur Anpassung der gefahrenrechtlichen und verwaltungsverfahrensrechtlichen Bestimmungen“, ist in Kraft getreten. Im Gesetzgebungsverfahren konnten einige verfassungsrechtlich kritischen Punkte entschärft werden. Andere bestehen fort und sind nun eine Herausforderung für die Rechtspraxis.

Erfreulich ist, dass gegenüber den Ursprungsentwürfen die Eingriffsschwelle für die Telekommunikationsüberwachung zur Gefahrenabwehr angehoben wurde. Diese darf nur durchgeführt werden, wenn eine gegenwärtige Gefahr für Leib, Leben oder Freiheit einer Person vorliegt. In Schleswig-Holstein dürfen Polizeibehörden daher nicht auf Grund vager Verdachtslagen im sog. „Vorfeld“ Telefongespräche abhören. Nachgebessert wurden auch die Regelungen zum Schutz des Kernbereichs privater Lebengestaltung.

Sehr weitgehend ist nach wie vor die allgemeine Regelung zur Erhebung von Daten zur vorbeugenden Straftatenbekämpfung. Das Gesetz erlaubt solche Vorfelderhebung immer, wenn eine möglicherweise geplante Tat durch „Täterschaft und Teilnahme organisiert“ ist. Dies gilt nach dem Gesetzeswortlaut selbst für die Bagatellkriminalität, etwa bei spontanen Ladendiebstählen aus einer Gruppe von Jugendlichen heraus, selbst bei geringen Schäden. Von dieser Regelung darf bei verfassungskonformer Anwendung aber nur Gebrauch gemacht werden, wenn Straftaten von erheblicher Bedeutung in Rede stehen und der Verdacht der bevorstehenden Straftat hinreichend konkretisiert ist. Ähnliches gilt für die neu per Gesetz erlaubten lagebildabhängigen Kontrollen. Bei unseren kommenden Kontrollen werden wir eine verhältnismäßige, das heißt restriktive, Gesetzesanwendung einfordern. Auch bei der Videoüberwachung wurde gegenüber dem Ursprungstext eine Verbesserung durch eine höhere, numehr verfassungsrechtlich akzeptable Eingriffsschwelle erreicht.

Dagegen blieb die Regelung der Kfz-Kennzeichenerfassung im Hinblick auf Normenklarheit, Verhältnismäßigkeit und Gesetzgebungskompetenz notleidend. Das Gesetz erlaubt den Abgleich von Kfz-Kennzeichen mit jedwedem und dem gesamten polizeilichen Fahndungsbestand, der auch der Strafverfolgung dient. Dies hätte aber nur der Bundesgesetzgeber regeln dürfen. Auf Grund der kritischen Anmerkungen unter anderem des Wissenschaftlichen Dienstes des Landtages und des ULD beschränkt die Landespolizei den für den Kennzeichenscanning verwendeten Fahndungsbestand auf reine Gefahrenabwehrdaten – also vorrangig bei Verstößen gegen die Versicherungspflicht und bei der Suche gestohlener Autos. Ob dies ausreicht, um den verfassungsrechtlichen Vorgaben zu genügen, was wir bezweifeln, wird demnächst das Bundesverfassungsgericht in Kalrsruhe anlässlich einer Klage gegen die Neuregelung entscheiden.

Im letzten Tätigkeitsbericht hatten wir in Bezug auf die Regelung der Vorgangsbearbeitungssysteme die fehlende Zweckbindung moniert (vgl. 29. TB, Tz. 4.2.1.). Dieser Missstand wurde nicht behoben. Eine verfassungskonforme Nutzung solcher Systeme setzt voraus, dass bei der Verwendung der erhobenen und gespeicherten Daten der ursprüngliche Zweck beachtet wird.

 

4.2.2      Verweigerungshaltung bei Antiterrordatei

Die Antiterrordatei ist in Betrieb. Die Vorschläge der Datenschützer wurden vom Gesetzgeber übergangen. Daher musste das ULD erneut eine Stellungnahme zum Antiterrordateigesetz abgeben – gegenüber dem Bundesverfassungsgericht. Zwecks deren Erstellung erhielt das ULD von den zuständigen Behörden des Landes nicht die erfragten Informationen. In der Praxis zeichnet sich ein mangelhaftes Auskunftsverfahren gegenüber den Betroffenen ab.

Zur Vorbereitung unserer Stellungnahme – und als Vorlauf einer späteren Kontrolle – hatten wir der Verfassungsschutzbehörde und dem Landeskriminalamt einen Fragenkatalog übersandt und hofften, die nötigen Angaben auf kooperativem Wege zu erhalten, ohne sogleich zum Mittel der förmlichen Kontrolle zu greifen. Das Innenministerium zog als übergeordnete Stelle die Beantwortung an sich und beantwortete die Fragen nur auszugsweise – mit dem erläuternden Hinweis darauf, dass die Weitergabe der Daten an das Bundesverfassungsgericht beabsichtigt sei. Diese Verweigerungshaltung können wir nicht nachvollziehen. Im Ergebnis mussten wir uns daher weitgehend darauf beschränken, dem höchsten deutschen Gericht unsere rechtliche Bewertung der abstrakten Regelungen mitzuteilen.

Die in dem Gesetz vorgesehene weitgehende Aufhebung der informationellen Trennung zwischen Polizei und Nachrichtendiensten birgt massive Gefahren für die informationelle Selbstbestimmung. Das Trennungsgebot verpflichtet zur Abgrenzung der Aufgaben von Polizei und Geheimdiensten und der von diesen genutzten Daten. Für die Nachrichtendienste gelten nicht die Eingriffsschwellen der Polizei- beziehungsweise Strafverfolgungsbehörden. Die Ausforschung der Bürgerinnen und Bürger setzt keinen Tatverdacht und keine illegalen Handlungen voraus. Die Antiterrordatei und die noch unbefriegigender geregelter Projektdateien sind darauf angelegt, das Trennungsgebot zu umgehen und Polizeibehörden Zugriff auf Daten trotz fehlenden Tatverdachts zu gewähren. Unglücklich geregelt ist der weite und nicht hinreichend präzisierte Kreis der gespeicherten Personen. Dies sind nicht nur Terroristen, sondern selbst „Befürworter“ rechtswidriger Gewalt und Kontaktpersonen – all das auf der vagen Grundlage „tatsächlicher Anhaltspunkte“. Gespeichert werden nicht nur Grunddaten, sondern sog. „erweiterte Grunddaten“. Hierzu gehört ein nach dem Gesetzeswortlaut praktisch unbegrenztes Freitextfeld (vgl. 29. TB, Tz. 4.2.6.). Nicht hinnehmbar sind die unbestimmten Regelungen zu Löschfristen und zur Auskunft an Betroffene.

Für die Antiterrordatei ist in der Praxis ein mangelhaftes Auskunftsverfahren zu den verdeckt gespeicherten Daten geplant. Die aktuelle Rechtsprechung der höchsten deutschen Gerichte stellt immer wieder heraus, dass der Auskunftsanspruch für die informationelle Selbstbestimmung der Betroffenen von grundlegender Bedeutung ist. Jede Bürgerin und jeder Bürger muss grundsätzlich in Erfahrung bringen können, bei welcher Stelle welche Daten über sie beziehungsweise ihn gespeichert sind. Schon die Regelung des Antiterrordateigesetzes ist insofern eine Zumutung: „Die Auskunft zu verdeckt gespeicherten Daten richtet sich nach den für die Behörde, die die Daten eingegeben hat, geltenden Rechtsvorschriften“. Die Betroffenen sollen einen Hinweis auf diese Regelung und eine Adressenliste der beteiligten Stellen erhalten, um dort jeweils die Auskunft einzeln zu beantragen. Die Bürgerinnen und Bürger haben unter Umständen keine leise Ahnung, welche der zur Zeit mehr als 40 beteiligten Stellen Daten über sie gespeichert haben. Sie sind so gezwungen, mehr als 40 Anträge zu stellen. Im Zweifel sind ebenso viele Widerspruchs- und Klageverfahren „ins Blaue hinein“ nötig, ohne die Erfolgsaussichten ansatzweise vorher abschätzen zu können. Dieses Auskunftsverfahren ist weder mit den Grundrechten noch mit der Rechtsweggarantie des Grundgesetzes zu vereinbaren.

 

4.2.3      Zuverlässigkeitsüberprüfungen – Neuer Standard am Gesetzgeber vorbei?

Fernab von jeder politischen Diskussion breitet sich ein neues Verfahren mit wechselnden Namen aus: „Sicherheitsüberprüfung“, „Zuverlässigkeitsüberprüfung“, neuerdings „Akkreditierungsverfahren“.

Dahinter verbirgt sich ein umfassender Datenabgleich der Betroffenen bei Polizei und Geheimdiensten. Dessen Ergebnis bestimmt, ob der Betroffene eine bestimmte Aufgabe wahrnehmen darf, seinen Beruf ausüben kann, zu einer Veranstaltung zugelassen wird. All diese potenziellen Nachteile basieren auf „Einwilligungen“ der Betroffenen. Sicherheitsüberprüfungen sind im Sicherheitsüberprüfungsgesetz geregelt, weitere Zuverlässigkeitsprüfungen in Spezialgesetzen wie dem Atomgesetz oder dem Luftverkehrsgesetz. Daneben regelt das Bundeszentralregistergesetz, welche Daten in ein Führungszeugnis aufgenommen werden, das Arbeitgebern in begründeten Fällen die Möglichkeit gibt, bei der Besetzung sicherheitsrelevanter Stellen Relevantes aus dem „Vorleben“ des Arbeitnehmers zu erfahren. Das Bundeszentralregister schafft Transparenz für den Betroffenen, da ohne dessen Mitwirkung die Arbeitgeber grundsätzlich keine Möglichkeit haben, dessen Daten zu erhalten.

Diese etablierten und praktisch bewährten Regelungen werden zunehmend durch Phantasieverfahren ohne jegliche Rechtsgrundlage ersetzt. Sie berufen sich allein auf die „Einwilligung“ der Betroffenen. Hiermit werden Datenabgleiche gerechtfertigt, an denen Polizei- und unter Umständen Verfassungsschutzbehörden beteiligt sind. Dies ist nicht akzeptabel. Die Verfahren umgehen den Willen des Gesetzgebers. Dieser hat abschließend entschieden, in welchen Fällen nach welchen Verfahren Zuverlässigkeits- und Sicherheitsüberprüfungen durchgeführt werden dürfen. Vorgesehen ist neben anderen Voraussetzungen – zusätzlich – die Einwilligung der Betroffenen. Allein dies zeigt: Bloße Einwilligungserklärungen können für derart weitgehende Eingriffe nicht ausreichen. In Arbeitsverhältnissen kann zudem von einer echten Freiwilligkeit der Einwilligung oft keine Rede sein. Wer befürchtet, seinen Job zu verlieren, wenn er nicht einwilligt, der gibt diese Erklärung nicht freiwillig ab.

Diese Phantasieverfahren – erdacht von der Verwaltung, gegebenenfalls gemeinsam mit einer Interessengruppe oder einem Veranstalter – stellen die fein austarierte Systematik des Bundeszentralregistergesetzes und der Sicherheitsüberprüfungsgesetze auf den Kopf. Wenn eine Sicherheitsüberprüfung vom Gesetz nicht erlaubt ist, dann muss sie unterbleiben. Erlaubt das Gesetz dem Arbeitgeber nur das Verlangen eines Führungszeugnisses, so kann er nur dieses verlangen, nicht aber eine Überprüfung durch Polizei und Verfassungsschutz.

Den Anfang der Aufweichung bildete das „Akkreditierungsverfahren“ zur Fußballweltmeisterschaft (29. TB, Tz. 4.2.5). Dieses Verfahren entwickelt sich zunehmend zum Standard. Zunächst bezog sich das Verfahren auf Großveranstaltungen, inzwischen neigen erste Bundesbehörden dazu, Mitarbeiter mit ähnlichen Verfahren zu prüfen. Das Innenministerium hat bisher nicht erkannt, dass diese Verfahren auf eine schiefe Bahn des Grundrechtsentzugs führen.

 

4.2.4      Online-Durchsuchung – Keine rechtsstaatlichen Standards aufgeben!

Bundesweit wird die sog. „Online-Durchsuchung“ diskutiert. Gesetzlich erlaubt ist sie nicht. Der Bundesgerichtshof hat festgestellt, dass sie im Strafverfahren verboten ist. Für andere Bereiche gilt nichts anderes. Dies sollte in Zukunft so bleiben.

Seit 1877 sieht die Strafprozessordnung vor, dass Wohnungsdurchsuchungen im Strafverfahren nur offen erfolgen dürfen. Gegenüber Beschuldigten müssen die Ermittlungsbehörden mit „offenem Visier“ vorgehen. Der Bundesgerichtshof hat ausdrücklich klargestellt, dass es für darüber hinausgehende heimliche Durchsuchungen von Computern keine rechtliche Grundlage gibt. Für die Gefahrenabwehr und nachrichtendienstliche Zwecke ergibt sich nichts anderes.

Einige Sicherheitspolitiker wollen diese rechtsstaatliche Tradition aufgeben und fordern die sog. „Online-Durchsuchung“. Diese übertrifft in Bezug auf die Eingriffsintensität für die Betroffenen die auch nicht gerade harmlose Wohnungsdurchsuchung. Mit ihr sollen an das Internet oder ein anderes Netzwerk angeschlossene Computer, Festplatten oder sonstige elektronischen Geräte ohne Wissen der Betroffenen durchforstet werden. Dies wirft schwer wiegende verfassungsrechtliche Fragen auf und führt zur Verunsicherung bei der Nutzung von vernetzter Informationstechnik.

Nach der inzwischen gefestigten Rechtsprechung des Bundesverfassungsgerichts müssen heimliche Ermittlungsmaßnahmen stets den Kernbereich privater Lebensgestaltung respektieren. So dürfen z. B. innerste Gedankengänge der Betroffenen unter keinen Umständen zum Gegenstand einer staatlichen Überwachung gemacht werden. Die Wahrung dieses Kernbereichs ist bei der „Online-Durchsuchung“ praktisch unmöglich. Sobald Computer in einer Wohnung stehen, berührt die heimliche Ausforschung das Grundrecht auf Unverletzlichkeit der Wohnung (Art. 13 GG). Das Grundgesetz erlaubt jedoch – abgesehen von der akustischen Wohnraumüberwachung – nicht das heimliche Eindringen. Schon allein die Schranken des Art. 13 GG lassen diese Maßnahme also nicht zu.

Für die Bürgerinnen und Bürger steht ein praktischer Aspekt im Vordergrund: Niemand ist davor gefeit in ein Ermittlungsverfahren verwickelt zu werden. Zunächst sind die derart Betroffenen nur „Beschuldigte“, noch nicht „Täterinnen“ oder „Täter“. Ob sich der Tatverdacht erhärtet, muss sich im Strafermittlungsverfahren erst noch erweisen. Die Betroffenen wie die Strafverfolger haben ein Interesse daran, dass die erhobenen Indizien und Beweise sicher sind und keinem Risiko der Verfälschung unterliegen. Daher gilt in der Praxis bislang der unabdingbare Grundsatz, dass Datenträger nach der Beschlagnahme „eingefroren“ werden. Im Ermittlungsverfahren dürfen keine Veränderungen daran durchgeführt werden, um die Beweiskraft der Daten nicht zu gefährden. Die „Online-Durchsuchung“ wird jedoch im laufenden Betrieb durchgeführt. Dabei kann es den Ermittlern unter Umständen entgehen, dass ein Rechner von unbekannten Dritten mit einer Schadsoftware „gekapert“ und dann für kriminelle Zwecke missbraucht wurde. Versehentliche wie auch gezielte Veränderungen an den Daten sind nicht auszuschließen.

In Schleswig-Holstein sind wir der Frage nach der tatsächlichen Anwendung beziehungsweise Handhabung dieser Eingriffsmethode nachgegangen. Bei unseren Recherchen ergaben sich keine Anhaltspunkte für eine Überschreitung der gesetzlichen Befugnisse durch Stellen des Landes.

 

4.2.5      Auskunftsverfahren bei der Polizei

Auf Grund von Mängeln bei der polizeilichen Auskunftserteilung an die Betroffenen hat das ULD den Verantwortlichen im Land in einem „13-Punkte-Papier“ ein datenschutzrechtliches Anforderungsprofil an das „Auskunftsmanagement“ bereitgestellt. Jetzt ist Bewegung in die Sache gekommen; unsere Anregungen wurden weitgehend aufgegriffen.

Das ULD stellte anlässlich vieler Beschwerdefälle in der Vergangenheit fest, dass Auskunftsersuchen von der Polizei an die Betroffenen falsch waren, vor allem weil sie unvollständig beantwortet wurden (28. TB Tz. 4.2.5; 29. TB Tz. 4.2.2). Den anfragenden Bürgerinnen und Bürgern wurden oft unter Missachtung der gesetzlichen Pflicht keine umfassenden Auskünfte erteilt oder gar die Mitteilung verweigert, dass keine Daten zum Anfragenden in polizeilichen Dateien gespeichert sind. Jede Person, die Behörden des Landes Schleswig-Holstein um Auskunft über gespeicherte personenbezogene Daten bittet, muss korrekte Angaben hierüber erhalten. Dies ist ein verfassungsrechtlich begründeter Anspruch. Nur wenn sie weiß, ob Daten über sie verarbeitet werden, hat sie die Möglichkeit, ihre Datenschutzrechte auszuüben und kann sich gegebenenfalls zur Wehr zu setzen. Können die Bürgerinnnen und Bürger nicht darauf vertrauen, dass die ihnen gegebene Auskunft vollständig und korrekt ist, sind sie insoweit an ihrer Rechtsausübung gehindert.

In einem „13-Punkte-Papier“ haben wir festgehalten, wie in der Praxis mit Auskunftsansprüchen umgegangen werden sollte. Dazu gehört unter anderem, dass

• die behördlichen Datenschutzbeauftragten eingebunden werden,
• sichergestellt wird, dass alle relevanten Dateien überprüft werden,
• auch die Verbunddateien beim BKA berücksichtigt werden,
• keine Speicherungen im Zusammenhang mit einem Auskunftsersuchen in polizeilichen Datensammlungen erfasst werden,
• der Schriftwechsel getrennt von polizeilichen Unterlagen bei der beziehungsweise dem behördlichen Datenschutzbeauftragten aufbewahrt wird.

Das Innenministerium hat mitgeteilt, dass viele der Forderungen des ULD in der Praxis beim Landeskriminalamt (LKA) umgesetzt sind. Bei anderen Punkten besteht noch Gesprächsbedarf, z. B. bezüglich der elektronischen Aufbewahrung des Schriftwechsels in einem besonders geschützten Bereich einer Datenbank. Wir sehen das Thema inzwischen in guten Händen und sich positiv entwickeln.

 

4.2.6      Kontrolle beim Staatsschutz des LKA

Die datenschutzrechtliche Kontrolle des ULD bei der Abteilung 3 des Landeskriminalamtes (LKA) aus dem Jahre 2005 konnte lange nicht abgeschlossen werden. Zu gravierenden Feststellungen wurden nur vage, nicht hinreichend substanziierte Absichtserklärungen gegeben. Nachhaltige Interventionen des ULD brachten nun Bewegung in die Sache; das Innenministerium scheint um Schadensbegrenzung bemüht und hat erste Entscheidungen getroffen.

Vor etwa drei Jahren führte das ULD eine datenschutzrechtliche Kontrolle bei der Abteilung 3 – Staatsschutz – des LKA Schleswig-Holstein durch. Sachverhalte, wie die Speicherung erlaubten Verhaltens (bloße Teilnahme an Demonstrationen), die umfangreiche Informationsverarbeitung nach sich ziehen, wurden von uns beanstandet. Gewisse Datenverarbeitungsverfahren der Staatsschutzabteilung erwiesen sich aus Datenschutzsicht als sehr bedenklich. Wir baten um zusätzliche Angaben und Errichtungsanordnungen. Trotz förmlicher Rügen erfolgte bisher noch keine befriedigende Reaktion (28. TB, Tz. 4.2.7; 29. TB, Tz. 4.2.9). In Vorbereitung dieses Tätigkeitsberichtes erhielt das ULD auf erneute Mahnung nun eine Auflistung der anstehenden Maßnahmen der Abteilung 3.

Die Polizei hält die amtsinternen Dateien „Indexdatei Kalender“, „Innere Sicherheit Schleswig-Holstein“ (ISSH), „Warndatei Rechts“ für weiterhin erforderlich und will die gesetzlich vorgeschriebenen Errichtungsanordnungen dem ULD vorlegen. Leider hat das LKA bisher darauf verzichtet, dem ULD rechtlich nachvollziehbare Begründungen für die Fortführung der genannten Verfahren zu geben. Die Datei „COMPAS“ wurde in das Verfahren „@rtus“ migriert. Der Datenbestand von 16.740 Datensätzen mit insgesamt 31.408 Personalien wurde sukzessive auf weitere Speicherungswürdigkeit überprüft. Das Konzept sah wöchentlich eine Durchsicht von 250 Vorgängen vor. Das LKA zeigte sich zuversichtlich, dass alle Vorgänge kurzfristig bereinigt sein werden. Die COMPAS-Rechner bei den Polizeidienststellen werden sukzessiv deinstalliert und nur noch für Auskunftszwecke genutzt. Ein Rechner befindet sich bei der Abteilung 3 des Landeskriminalamtes und wird dort ausschließlich zur Verwaltung und Bearbeitung eines noch offenen Verfahrens eingesetzt, da die Falldaten nicht in @rtus migriert werden konnten.

 

4.2.7      Protokollierung bei polizeilicher Datenverarbeitung

Das Landesverwaltungsgesetz schreibt Protokollierungen von Zugriffen auf automatisierte Datenverarbeitungssysteme vor. Das ULD sieht sich von der Praxis mit der unerwarteten Frage konfrontiert, ob wirklich alle oder nur ein bestimmter Prozentsatz der getätigten Abrufe für die im Gesetz genannten Zwecke aufzuzeichnen und welche Daten hierfür notwendig sind.

Bei der Befassung mit der Errichtungsanordnung für die Datei „INPOL-SH“ (27. TB, Tz.4.2.4; 28. TB, Tz. 4.2.2) war die Ausgestaltung und die Nutzung von Protokolldaten bei automatisierter Informationsverarbeitung bei der schleswig-holsteinischen Polizei ein wichtiger Schwerpunkt. Das Landesverwaltungsgesetz bestimmt, dass Abrufe in überprüfbarer Form automatisiert zu protokollieren sind und dass diese Daten nur für Zwecke der Datenschutzkontrolle, der Datensicherheit, zur Sicherstellung eines ordnungsgemäßen Betriebs der Datenverarbeitungsanlage sowie zur Ausübung von Aufsichts- und Kontrollbefugnissen durch Dienst- und Fachvorgesetzte verwendet werden dürfen. Um diese Vorschrift ihrem Sinn und Zweck entsprechend anwenden zu können, bedarf es einer Aufzeichnung sämtlicher Abrufe von Daten aus der Datei – eine reduzierte Protokollierung von durchschnittlich jedem zehnten Abruf reicht nicht aus. Zudem bedarf es der klaren Festlegung des erforderlichen Umfangs der zu protokollierenden Daten, um den Zweck der Protokollierung zu erreichen.

Das ULD hat sich in Zusammenarbeit mit dem Landeskriminalamt und dem Innenministerium des Landes Schleswig-Holstein – ausgehend vom Verfahren INPOL-SH – auf einen Datensatz verständigt. Diese Vorgabe muss nun im Wirkbetrieb umgesetzt werden. Die Polizei hat ein eigenes starkes Interesse an einer revisionsfesten Protokollierung. Das ULD hat angeregt, dieses Protokollierungsmodell für alle automatisierten Datenverarbeitungsverfahren bei der Polizei des Landes einzu­führen. Dies verspricht Synergieeffekte durch verminderten Aufwand bei der Softwareentwicklung. Das Verfahren könnte in einer eigenen Errichtungsanordnung beschrieben und festgelegt werden, wodurch die weiteren Errichtungsanordnungen vereinfacht würden.

 

4.2.8      @rtus – Die neue Datei der Polizei in Schleswig-Holstein

Das Vorgangsbearbeitungs- und Dokumentationssystem „@rtus“ der schleswig-holsteinischen Polizei ist seit mehr als einem Jahr in Betrieb. Das Gesetz wurde geändert, um @rtus zu legalisieren; nun muss @rtus geändert werden, damit es dem Gesetz entspricht.

Das ULD hatte bereits im Jahre 2005 auf gravierende konzeptionelle Defizite des Systems @rtus hingewiesen und Lösungswege aufgezeigt, welche zu einer verbesserten technischen Ausgestaltung von @rtus geführt hätten. Dies betrifft insbesondere die gemeinsame Bestandsführung von Daten aus der „Vorgangsbearbeitung“ und der „Dokumentation“ und die damit verbundenen unterschiedlichen Zweckbestimmungen. Die notwendigen Änderungen wären aus unserer Sicht problemlos vor der Implementierung des Systems möglich gewesen. Einer Gesetzesnovellierung hätte es nicht bedurft (28. TB, Tz. 4.2.3; 29. TB, Tz. 4.2.3). Es wurden technische Fakten geschaffen, die zu Rechtsunsicherheit führen.

Die Landespolizei stellt inzwischen praktisch sämtliche laufenden Fälle im Rahmen der Bearbeitung in das System ein. Zusätzlich werden die Datenbestände älterer Verfahren wie COMPAS in den Datenbestand von @rtus überführt (Tz. 4.2.7). Der Gesamtbestand ist bereits auf ca. 2.000.000 Datensätze angewachsen. Im jetzigen Stadium noch datenschutzrechtliche Verbesserungen einzubringen erscheint fast unmöglich, soweit dabei technische Anpassungen nötig sind. Die Trennung und differenzierte Verarbeitung der Datensätze je nach ihrem Verwendungszweck sollte nach 30 Jahren Datenschutz eigentlich eine Selbstverständlichkeit sein. Das Gesetz differenziert zwischen Vorgangsbearbeitung und Vorgangsverwaltung. Die Lösung des Problems der Trennung der Datensätze sowie die nachträgliche Zuordnung der bereits gespeicherten Datensätze stellt die Polizei vor eine zunehmend schwieriger werdende Aufgabe. Bei frühzeitiger Befassung hiermit hätte viel überflüssige Polizeiarbeit vermieden werden können.

Zu der Errichtungsanordnung zu @rtus ist in den vergangenen Jahren viel zwischen ULD und Innenministerium hin- und hergeschrieben worden. Bis heute hat sich die Polizei aber nicht bereit gezeigt, auf unsere Argumente einzugehen. Das ULD hat den wirkungslosen Schriftwechsel nicht weitergeführt. Die Hoffnungen ruhten nun darauf, dass die Diskussion über das zu novellierende Polizeirecht und praktische Erfahrungen der Landespolizei mit dem neuen Verfahren das Problembewusstsein schärfen werden.

Bei Prüfungen haben wir nun festgestellt, dass der für die Berechnung der Speicherdauer relevante Beginn der Laufzeit oft nicht den gesetzlichen Vorgaben entspricht. In der Praxis beginnt die Frist regelmäßig mit der Speicherung der personenbezogenen Daten in der Datei. Der Gesetzgeber hat zur Fristberechnung dagegen eine klare Regelung getroffen, wonach die Frist regel­mäßig mit dem letzten Anlass, der zur Speicherung personenbezogener Daten geführt hat, beginnt. Ausgangspunkt für die Fristberechnung ist das Datum des Ereignisses, z. B. eine Straftat. Nicht relevant sein kann der manchmal sehr zufällige Zeitpunkt, an dem der Sachbearbeiter den Fall in das System eingibt. Auch in anderen Bereichen, wie bei der Berechnung von Verjährungsfristen, bedarf es der Bezugnahme auf das Datum des Deliktes.

Die Polizeibehörden sind auch nach dem neuen Gesetz verpflichtet, bei jeder Einzelfallbefassung die Erforderlichkeit der weiteren Verarbeitung von gespeicherten personenbezogenen Daten zu überprüfen. Dieser wichtige Datenschutzgrundsatz findet in der Praxis offensichtlich wenig Beachtung. Es genügt nicht, die Erforderlichkeit nur in den Fällen des Fristablaufes, einer Betroffeneneingabe oder einer externen Datenschutzkontrolle zu überprüfen. Die Polizei müsste ein Eigeninteresse an einem Datenbestand haben, der verlässliche, für die künftige Aufgabenerfüllung relevante Informationen enthält. Alles andere wäre unnötiger, eventuell Arbeit auslösender Ballast.

Bei ersten Kontrollen bei Polizeidirektionen haben wir unter anderem Folgendes festgestellt:

• Datensätze der Vorgangsverwaltung werden nicht entsprechend der gesetzlichen Vorgaben verarbeitet, sobald sie in den Bereich der Vorgangsverwaltung übergehen.
• Die datenschutzrechtlich verantwortlichen Polizeidirektionen können aus technischen Gründen keinen Einfluss auf die Speicherungsdauer von Datensätzen nehmen. Die Speicherungsfristen werden automatisch vom System vergeben und können nicht entsprechend den Anforderungen des Einzelfalls festgesetzt werden.
• Die Vergabe der Zugriffe auf @rtus erfolgt auf der Ebene der Fachdienststellen undifferenziert.

Zurück zum vorherigen Kapitel

Zum Inhaltsverzeichnis

Zum nächsten Kapitel