Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

4.2         Polizei  und Verfassungsschutz

4.2.1      „@rtus“ – Vorgangsbearbeitungssystem und mehr

Das Vorgangsbearbeitungssystem „@rtus-VBS“ der Polizei Schleswig-Holstein ging mit Unzulänglichkeiten in Betrieb. Gravierend sind die fehlende technische Trennung der Datenbestände „Vorgangsbearbeitung“ und „Dokumentation“ sowie eine unzureichende Protokollierung der Abrufe. Demnächst soll „@rtus-Auswertung“ eingesetzt werden, obwohl die Mängel an dem Vorgangsbearbeitungssystem nicht beseitigt sind. Doch die Kooperation von Polizei und ULD entwickelt sich vielversprechend.

Die Polizei des Landes Schleswig-Holstein verwendet seit einigen Jahren in der täglichen Arbeit das Verfahren „@rtus-VBS“ (31. TB, Tz. 4.2.1). Damit werden tägliche Arbeitsabläufe technisch erfasst und gesteuert. Das Vorgangsbearbeitungssystem unterliegt den Bestimmungen des Landesverwaltungsgesetzes (LVwG). Das Gesetz erlaubt unter dem Stichwort „Vorgangsbearbeitung“ die Verarbeitung personenbezogener Daten durch die Landespolizei, soweit dies zur Erfüllung der jeweiligen ordnungsbehördlichen oder polizeilichen Aufgabe erforderlich ist. Außerdem dürfen unter dem Stichwort „Dokumentation“ Daten zur Vorgangsverwaltung oder zur befristeten Dokumentation des behördlichen Handelns gespeichert werden. Hierfür genügt ein reduzierter Datenbestand. Das Innenministerium hat in einem Erlass aus dem Jahre 1996 beispielhaft die Daten genannt, die für die Vorgangsverwaltung erforderlich sind.

Diese beiden unterschiedlichen Datenbestände müssen getrennt geführt werden. Das Verfahren „@rtus-VBS“ lässt bisher die Trennung der Daten für die „Vorgangsbearbeitung“ und für die „Dokumentation und Vorgangsverwaltung“ nicht zu. Die Polizei meint, die gesetzlich vorgeschriebene Trennung und Nutzung der Daten durch organisatorische Regelungen, vor allem aber durch Schulungsmaßnahmen, bis zur technischen Umstellung sicherstellen zu können.

Wir bezweifeln, dass dadurch die zweckgemäße Verarbeitung der Daten im Polizeialltag sichergestellt wird. Die Gefahr, Vorgangsverwaltungsdaten dennoch im Rahmen der laufenden Sachbearbeitung zu nutzen, ist groß. Eine technische Trennung und ein wirksamer Zugriffsschutz würden diese Gefahr ausschließen. Es fällt uns schwer, das Argument des verantwortlichen Landespolizeiamtes nachzuvollziehen, dass eine Änderung des Zustandes erst mit der Einführung der Erweiterung um eine Auswertungskomponente möglich sei.

Die Projektleitung von „@rtus-Auswertung“ hat erfreulicherweise frühzeitig das Beratungsangebot des ULD angenommen. Im vorgelegten Berechtigungskonzept fehlen u. a. noch detaillierte Informationen zu den Funktionalitäten dieses Verfahrens, zu den rechtlichen Rahmenbedingungen und zur technischen Umsetzung. Beim Berechtigungskonzept nahm die Projektgruppe erforderliche und sachgerechte Beschränkungen bei der Recherche und den Auswertungsergebnissen vor. Der Kreis der Nutzenden des Verfahrens ist eingeschränkt: Bearbeiter mit Ermittlungsaufgaben, Kriminalitätsphänomene bearbeitende Zentralstellen beim Landeskriminalamt und eine kleine Gruppe in der Zentralen Auswertung sollen Rechercherechte für „@rtus-Auswertung“ erhalten. Das Konzept sieht für jeden Nutzerkreis ein abgestuftes Anwenderprofil vor, das die Erforderlichkeit der Recherche im Rahmen der Aufgabenerfüllung widerspiegelt. Unser erster Eindruck von den bisher vorgelegten Konzeptunterlagen ist positiv.

Das ULD hat der Projektgruppe auch in technisch-organisatorischer Hinsicht Beratung und Unterstützung zugesagt. Es geht primär darum, konzeptionell und in Tests die Anforderungen des Landesdatenschutzgesetzes und der neu gefassten Datenschutzverordnung umzusetzen. Sicherheitsmanagement und Risikoanalysen werden auf dem Prüfstand stehen. Wir halten den eingeschlagenen Weg für richtig und effizient. Beide Seiten können vom offenen und konstruktiven Dialog profitieren.

 

4.2.2      Nutzung der Daten von INPOL-SH

Die Daten aus den Bereichen Gefahrenabwehr und Strafverfolgung werden in INPOL-SH, einer Datei der Landespolizei, gespeichert. Nach Ansicht des ULD unterliegt die Nutzung der Daten aus dem Bereich der Strafverfolgung den Regeln des Landesverwaltungsgesetzes; die Polizei hält die Strafprozessordnung für anwendbar. Vor Übermittlung der dort gespeicherten Daten muss eine Rechtmäßigkeitsprüfung erfolgen.

Ein Petent beschwerte sich, weil Angaben aus lange Zeit zurückliegenden Strafverfahren durch eine Polizeidienststelle im Rahmen einer Anzeigenbearbeitung genutzt wurden. Diese Daten, die in einer Kriminalakte und in INPOL-SH gespeichert waren, bezogen sich auf Anzeigen wegen des Verdachts der Körperverletzung im Jahre 2004 und wegen des Verdachts einer falschen Verdächtigung im Jahre 2005.

Auch nach Ansicht des Datenschutzbeauftragten des Landespolizeiamtes rechtfertigten die Sachverhalte nicht die Anlegung einer Kriminalakte und die Speicherung in INPOL-SH, weshalb umgehend die Löschung der Daten in INPOL-SH veranlasst wurde. Vor der Nutzung der Daten hätten diese aber auch im Rahmen der Sachbearbeitung gemäß dem Landesverwaltungsgesetz (LVwG) auf ihre Rechtmäßigkeit hin überprüft werden müssen, zumal die turnusmäßige Prüfung nach der vom Gesetz vorgesehenen Frist fast unmittelbar bevorstand. Auch vor Ablauf dieser Frist kann im Einzelfall eine Prüfung und Aussonderung wegen nicht mehr bestehender Erforderlichkeit der Speicherung geboten sein. Bei den Aussonderungsprüffristen nach der Errichtungsanordnung für die Datei handelt es sich um verallgemeinerte Fristen. Sie werden den Umständen des Einzelfalls nur bedingt gerecht. Stellt die Polizei bei der Bearbeitung fest, dass die Daten nicht mehr erforderlich sind, sind sie zu löschen. Sie dürfen vorher nicht übermittelt werden.

Die Beanstandung des ULD wegen unterbliebener Löschung und wegen Übermittlung der in INPOL-SH gespeicherten Daten wurde vom Innenministerium zurückgewiesen. Es sah sich nicht zur nachträglichen Bewertung des unstreitigen Sachverhalts imstande. Es vertrat zudem die Ansicht, dass überhaupt keine Übermittlung personenbezogener Daten aus INPOL-SH an die die Anzeige bearbeitende Polizeidienststelle stattgefunden habe. Der Kreis derer, die Kenntnis von den Daten erhält, sei nicht erweitert worden. Das Ministerium verkennt bei der Argumentation, dass es sich bei INPOL-SH um ein automatisiertes Abrufverfahren handelt. Es dreht sich bei dem Abruf nicht um eine interne Nutzung, sondern um eine Übermittlung. Die Daten abrufende Polizeidienststelle ist immer Dritter, wenn sie nicht selbst für die Datenspeicherung verantwortlich ist.

Das ULD musste auch der Auffassung des Innenministeriums widersprechen, dass für die Verwendung der übermittelten Daten die Strafprozessordnung (StPO) gilt. Die in INPOL-SH bereitgehaltenen Daten gehen über die enumerativ in der StPO genannten Datenkategorien hinaus. Zudem handelt es sich bei den in INPOL-SH gespeicherten Sachverhalten um solche der Gefahrenabwehr, also auch aus Strafverfahren. Somit handelt es sich um eine sogenannte „Mischdatei“ der Polizei. Für solche Mischdateien ist nach der StPO das Polizeirecht des jeweiligen Landes anzuwenden, also das Landesverwaltungsgesetz mit seinen Regelungen zur Datenübermittlung und -nutzung.

 

4.2.3      Prüfung  im Jahr 2005: Abteilung 3 des Landeskriminalamt es

Nach langem Warten, viel Schriftwechsel und einigen Gesprächen ist es dank der Intervention des Innenministeriums gelungen, die Kontrolle der Abteilung 3 des Landeskriminalamtes abzuschließen.

Alle Beteiligten sind inzwischen anscheinend nicht nur erleichert, sondern auch zufrieden (31. TB, Tz. 4.2.5). Die wichtigsten Ergebnisse sind folgende: Die Errichtungsanordnungen für die Dateien „Warndatei rechts“ und „Innere Sicherheit Schleswig-Holstein“ konnten präzisiert und den gesetzlichen Vorgaben angepasst werden, insbesondere hinsichtlich des zu erfassenden Personenkreises und der Speicherungsfristen.

Die Datenverarbeitung in der Abteilung 3 des Landeskriminalamtes, also des sogenannten Staatsschutzes, wurde strukturell der übrigen Verarbeitung der Landespolizei angeglichen. Die Entscheidungen für eine bedarfsgerechte Anpassung der Technik sind getroffen und sollen kurzfristig umgesetzt werden. Die Aktenvorgänge werden fortan in einem geschützten Bestand in @rtus geführt und unterliegen denselben Regelungen wie die übrigen Polizeiakten.

4.2.4      Kooperative Leitstellen von Polizei  und Kommunen gehen an den Start

Im September 2009 hat die Leitstelle Nord in Harrislee ihren Betrieb aufgenommen. Damit ist deutschlandweit die erste Leitstelle in Betrieb, in der Polizei, Rettungsdienste und Feuerwehr kooperativ unter einem Dach zusammenarbeiten.

Die Zusammenarbeit von Polizei und kommunalen Einsatzdiensten ist technisch eine gewaltige Herausforderung. Die Datenbestände der einzelnen Stellen sind streng voneinander zu trennen, denn jede Stelle erledigt ihre Aufgaben eigenständig und bleibt für ihre Daten verantwortlich. Andererseits sollen so weit wie möglich Synergien genutzt und die Zusammenarbeit untereinander unterstützt werden. Das ULD war von Beginn an in die Planungen der kooperativen Leitstelle beratend eingebunden.

Von Beginn an haben wir auf die nötige Trennung der polizeilichen und der kommunalen Datenbestände hingewiesen. Umgesetzt wurde eine konzeptionell als „schwach“ zu bezeichnende Mandantentrennung, die auf der Ebene der Zugriffsrechte, nicht hardwareseitig oder datenbanktechnisch durchgesetzt ist. Dieses Defizit muss durch eine konzeptionell stark ausgelegte Revisionsfähigkeit von System und konkreter Datenverarbeitung kompensiert werden. Die Möglichkeiten automatisierter Protokollierungen müssen stärker als bislang genutzt werden. Noch fehlt es an einer Darlegung, wie die Nutzung der zentralen Sprachaufzeichnungsanlage und die Sprachaufzeichnung am Disponententisch protokolliert wird. Das Aufsetzen eines dedizierten Protokollservers wäre angemessen.

Auf polizeilicher Seite bestehen mehrere Möglichkeiten zur Aufzeichnung von Telefonanrufen. Die eingesetzte Software erlaubt nicht nur, die Notrufe unter 110 und 112 automatisch aufzuzeichnen. Auch auf anderen Anschlüssen eingehende Gespräche lassen sich bei Bedarf speichern. Hiervon macht nur die Polizei, nicht aber die kommunale Seite Gebrauch. Die Begründung: Ruft eine Hilfe suchende Person nicht unter der Nummer 110, sondern unter der Amtsnummer an, und ist das Gespräch inhaltlich ein Notruf, so soll es wie ein Notruf behandelt werden. Dazu gehört die unter 110 allgemein übliche Gesprächsaufzeichnung. Das Gesetz sieht dies nicht vor. Eine gesetzliche Grundlage wäre aber erforderlich, da durch die Aufzeichnungen in das Recht am gesprochenen Wort und damit in erheblichem Umfang in ein Grundrecht eingegriffen wird. Bei Aufzeichnungen im Bedarfsfall hätten die Polizeibeamten, anders als bei der automatischen Aufzeichnung von Anrufen unter 110, einen Entscheidungsspielraum. Im Interesse einer einheitlichen und verhältnismäßigen Vorgehensweise muss der Gesetzgeber der Polizei klare Entscheidungskriterien an die Hand geben.

4.2.5      Protokollierung

 

Es müsste im selbstverständlichen Eigeninteresse der Verantwortlichen eines Datenverarbeitungssystems liegen, dass sämtliche Transaktionen zu Revisionszwecken festgehalten werden, um Missbräuche oder Fehler rekonstruieren zu können. Die Landespolizei versucht dagegen, Ausnahmen von der Protokollierungspflicht und somit Sicherheitslücken zu rechtfertigen.

Gesetze der Länder und des Bundes regeln in unterschiedlicher Weise die Protokollierungspflichten der Daten verarbeitenden Stellen. Umfang und Inhalt lassen sich durch die Zwecke der Protokollierung bestimmen: Es geht um die Datenschutzkontrolle, die Datensicherheit, die Sicherstellung eines ordnungsgemäßen Betriebs der Datenverarbeitungsanlage und die Ausübung von Aufsichts- und Kontrollbefugnissen durch Dienst- und Fachvorgesetzte. Klärungsbedürftig ist außerdem, wo die Protokolldaten abgelegt werden und wer diese nutzen darf. Dies sind eigentlich einfach zu lösende Fragen, aber ...

In der Praxis der Polizei gibt es vielfältige Varianten von Protokollierungen. Bei Dateien, die sowohl von Behörden der Länder als auch des Bundes genutzt werden, den sogenannten Verbunddateien wie z. B. dem polizeilichen Informationsverbund INPOL, erfolgen lückenlose Protokollierungen.

Die Errichtungsanordnung für das Verfahren @rtus der Landespolizei Schleswig-Holstein benennt die Zwecke der Protokollierung, die Löschfrist für Protokolldaten, die Auswertungsmöglichkeiten und die Personen, die den Datenbestand nutzen dürfen. Danach werden bei Zugriffen der Zeitpunkt des Zugriffs, der Nutzer von @rtus, die Dienststelle, die Vorgangsnummer und die Dienststelle des geöffneten Vorgangs protokolliert. Ein Mangel besteht darin, dass nicht alle Zugriffe protokolliert werden. Das Landespolizeiamt meint, Dateizugriffe bestimmter Personengruppen, wie z. B. von Vorgesetzten der zuständigen Bearbeiterin bzw. des zuständigen Bearbeiters, müssten nicht aufgezeichnet werden, da ihre Zugriffe auf Datensätze von @rtus stets zulässig seien. Die Performance leide unter zu viel Protokollierung. Zudem seien die Kosten für die Protokollierung dieser Daten unverhältnismäßig hoch.

Nach dem Fachkonzept Protokollierung ist auch keine anlassunabhängige Auswertung vorgesehen. Für die Auswertung werden auch keine gesonderten Masken und Anwendungsfälle bereitgestellt. Erstaunlich für uns ist zudem die Aussage, bei Lesezugriffen auf Vorgänge einer Fremddienststelle erfolge die Protokollierung nicht zu Auswertezwecken, sondern zum „Nachweis des Datenschutzes“. Die Regelungen des Fachkonzepts ermöglichen noch keine datenschutzgerechte und revisionssichere Protokollierung, die den gesetzlichen Anforderungen genügt, sie müssen daher nachgebessert werden.

 

4.2.6      AG INPOL der Datenschutzbeauftragten des Bundes und der Länder

Eine Projektgruppe arbeitet seit Jahren an der Modernisierung und Weiterentwicklung des polizeilichen Informationssystems der Polizeien des Bundes und der Länder – INPOL. Die Datenschutzbeauftragten werden über wesentliche Schritte informiert. Sie legten Empfehlungen zur Speicherung personengebundener Hinweise vor.

Das Speichern von personengebundenen Hinweisen in INPOL ist seit dem Jahr 1988 ein Dauerbrenner in der Diskussion zwischen Polizei und Datenschutz: Unter welchen Voraussetzungen dürfen solche Hinweise gespeichert werden? Deren Inhalt kann leicht stigmatisierend wirken. Bei Merkmalen wie z. B. „gewalttätig“, „Ansteckungsgefahr“ oder „geisteskrank“ geraten die betroffenen Personen leicht in Gefahr, „abgestempelt“ zu werden.

Klärungsbedürftig ist, in welchen Dateien diese Merkmale zu welchem Zweck gespeichert werden, ob alle Polizeibeamte hierauf Zugriff haben müssen und wie lange eine Speicherung erlaubt sein soll. Einige personengebundene Hinweise verlieren im Laufe der Zeit an Aktualität und Wahrheitsgehalt. Die Polizei darf sich nicht „blind“ auf die Richtigkeit verlassen. Bei Kontrollen können die Hinweise Auslöser für nicht angemessenes Vorgehen sein. Die Betroffenen haben von diesen Speicherungen in der Regel keine Kenntnis. Daher kann eine kurzfristige Löschung bzw. Aktualisierung geboten sein. Die Arbeitsgruppe der Datenschützer hat ihre Anforderungen bei der Verwendung von personengebundenen Hinweisen im polizeilichen Informationssystem INPOL festgehalten und der Projektgruppe INPOL beim Bundeskriminalamt übermittelt.

 

 

4.2.7      NADIS-neu

Das nachrichtendienstliche Informationssystem der Verfassungsschutzbehörden des Bundes und der Länder (NADIS) ist „in die Jahre gekommen“. Das Projekt einer technischen Runderneuerung wird nach bisherigen Planungen mehr als 20 Millionen Euro kosten.

Die Verfassungsschutzbehörden des Bundes und der Länder arbeiten unter Federführung des Bundes in dem Projekt NADIS-neu an einer Neugestaltung. Angestrebt wird eine zukunftssichere technische Plattform, mit der auch flexibel auf sich ändernde gesetzliche Anforderungen reagiert werden kann. Multimediadaten, also auch Bilder und Töne, sollen verarbeitet werden können. Die informationelle Zusammenarbeit der Verfassungsschutzbehörden soll durch technische Vereinheitlichung optimiert werden, u. a. durch Integration der vorhandenen Amtsdateien der Länder.

Nach dem bestehenden Recht ist NADIS ein Indexverfahren zur Erfüllung der gegenseitigen Unterrichtungspflichten. Die zum Auffinden von Akten und zur Identifizierung von Personen erforderlichen Daten dürfen gespeichert werden. Weiter gehende Informationen dürfen den Verbundteilnehmern grundsätzlich nicht zum Abruf online zur Verfügung gestellt werden. Sie werden in spezifischen Dateien beim Bundesamt für Verfassungsschutz gespeichert. Alle weiteren Datenbestände sind nach den Regelungen der jeweiligen Landesverfassungsschutzgesetze oder in Amtsdateien des Bundesamtes für Verfassungsschutz zu verarbeiten.

Bei einer Erweiterung in NADIS-neu müssen natürlich die bestehenden gesetzlichen Begrenzungen beachtet werden. Dies gilt auch für die Einbeziehung von Multimediadaten. Das ULD hat der Verfassungsschutzbehörde des Landes angeboten, den weiteren Entwicklungsprozess zu begleiten.

 

4.2.8      ADOS  – neu beim Verfassungsschutz

Bei der Verfassungsschutzbehörde des Landes wurde unter frühzeitiger Beteiligung des ULD eine neue „Arbeitsdatei operative Sachverhalte“ (ADOS) eingerichtet.

Bei ADOS handelt es sich um ein Verfahren für einen sehr eingeschränkten Nutzerkreis zur Steuerung der Aufgabenerledigung innerhalb des zuständigen Referats sowie zur Koordination operativer Vorgänge mit anderen Nachrichtendiensten. Auf Anregung des ULD wurde die Dateianordnung verbessert. Angesichts der weitgehenden Geheimhaltungsbedürftigkeit der beim Verfassungsschutz erfolgenden Datenverarbeitung kommt der Beteiligung des ULD eine wichtige Funktion bei der Gewährleistung der gesetzlichen Vorgaben und der Grundrechte der Bürgerinnen und Bürger zu. Bei der Festlegung der Vorgaben der Dateianordnung zu ADOS zeigte sich, dass trotz unterschiedlicher Blickwinkel eine erfolgreiche Zusammenarbeit zwischen Verfassungsschutz und Datenschutz möglich ist.

 

4.2.9      Körperscanner  – Sicherheitsgewinn oder unverschämte Schamlosigkeit?

Auf Flughäfen in den USA werden bereits Körperscanner zur Personenkontrolle eingesetzt. In Europa sind solche Geräte bislang nur vereinzelt und in Deutschland gar nicht im Einsatz. Eine flächendeckende verpflichtende Nutzung steht zur Diskussion.

Auslöser der Debatte war der vereitelte Attentatsversuch am 1. Weihnachtstag 2009. Körperscanner nutzen zumeist Terahertz-, teilweise auch Röntgenstrahlung, um ein dreidimensionales Bild von der Körperoberfläche des Menschen unterhalb seiner Kleidung zu erstellen. Gegenstände wie Waffen oder feste und flüssige Sprengstoffe können damit sichtbar gemacht werden. Genauso ist der Körperscanner aber auch in der Lage, Merkmale zu erkennen und abzubilden, die keine Sicherheits-, aber dafür eine umso höhere Persönlichkeitsrelevanz haben, wie etwa Genitalien, Implantate, Prothesen bis hin zum künstlichen Darmausgang.

In Deutschland wird die Technologie seit 2008 von der Bundespolizei in Labors getestet. Untersucht werden neben der Wirksamkeit der Geräte deren Auswirkungen auf die Gesundheit sowie Möglichkeiten zum Schutz der Privatsphäre. Erste Ergebnisse sind für 2010 angekündigt. In der Entwicklung zeichnet sich ab, dass ein Verzicht auf eine detailgetreue Abbildung des nackten Körpers, wie sie bei den Geräten der ersten Generation gezeigt wird, durchaus möglich ist. Viele Fragen, etwa der Umgang mit besonderen körperlichen Merkmalen oder nach der Speicherung und weiteren Verwendung der vom Gerät erzeugten Bilder, sind noch offen. Dies gilt auch für den Nutzen der Geräte. Bis heute ist nicht wissenschaftlich dargelegt, wie welche Sicherheitsgewinne mit dem Scanner erreicht werden können.

Die zentrale Frage ist, welche Maßnahmen geeignet und im Interesse der Wahrung des Persönlichkeitsrechts, des Schamgefühls, der religiösen Überzeugung nicht nur von uns, sondern auch von Menschen aus anderen Kulturen verhältnismäßig sind. Die gemäß unserem Grundgesetz unantastbare Menschenwürde kann durch technische Vorkehrungen bewahrt werden. Doch Schamgefühl, religiöses Empfinden und die Wahrnehmung von Nacktheit sind individuell unterschiedlich. Scanner sollen besser optional eingesetzt werden. Technische Maßnahmen sind oft keine intelligenten Sicherheitsmaßnahmen; mit durchdachtem personalen Vorgehen ist offensichtlich ein höherer Sicherheitsstandard erreichbar. Ungeklärt ist, weshalb wirklich ausnahmslos alle Fluggäste gescannt werden müssen, vom Baby bis zum Greis. Das Bundesverfassungsgericht hat anlässlich einer Entscheidung zur „Entkleidungsuntersuchung“ im Strafvollzug hohe rechtliche Hürden bei derartigen Maßnahmen festgestellt. Danach wäre der undifferenzierte Einsatz des Körperscanners bei Flughafenkontrollen schlicht unverhältnismäßig.

 

Zurück zum vorherigen Kapitel

Zum Inhaltsverzeichnis

Zum nächsten Kapitel