Elektronisches Verwahrbuch

Es bedarf einer verbindlichen Verpflichtung zur Ausfüllung der Abfragemaske, und es muss sicher gestellt werden, dass die Verbindlichkeit, die Maske auszufüllen, nur in Eilfällen entfällt.

­ Nicht oder unzureichend ausgefüllte Abfragemasken müssen statistisch dokumentiert werden.

­ Es muss eine statistische Auswertung erfolgen, die erkennen lässt, wie die Kontrolleure die Zugriffe bewerten. Dies kann etwa durch ein (automatisiert bereit gestelltes) Formular erfolgen, auf dem die Kontrolleure die Rechtmäßigkeit des Zugriffs beurteilen.

­ Es muss dokumentiert werden, in wie vielen Fällen welche Maßnahmen ergriffen wurden.

­ Erledigte Kontrollmitteilungen müssen in einer gesicherten Umgebung so aufbewahrt werden, dass sie einer zusätzlichen Überprüfung, etwa durch unsere Behörde, zugänglich sind.

­ Die unbegrenzt mögliche Delegation der Durchführung der Stichprobenkontrollen auf Vorgesetzte niedrigerer Dienstgrade sollte begrenzt werden. Denn sonst besteht die Gefahr, dass Vorgesetzte sich aufgrund ihrer unmittelbaren Zusammenarbeit mit Kollegen scheuen, den Stichproben hinreichend nachzugehen und gegebenenfalls Maßnahmen gegen ihre Kollegen zu ergreifen.

Wir werden die Wirksamkeit des Stichprobenverfahrens und seine Überprüfbarkeit künftig im Auge behalten. Denn solange das Stichprobenverfahren nicht überprüfbar ist und keine Rückschlüsse auf seine Effizienz zulässt, wirft es nicht nur Fragen nach seiner Wirtschaftlichkeit auf, sondern ist auch die datenschutzrechtliche Revisionsfähigkeit des Verfahrens, die §8 HmbDSG fordert, nicht sicher gestellt.

Elektronisches Verwahrbuch:

Im Januar 2008 trat die Polizei Hamburg mit dem Anliegen an uns heran, mit dem „Elektronischen Verwahrbuch" (EVB) die digitale Verwaltung in Gewahrsam genommener Personen und verwahrter Sachen kurzfristig einzuführen.

Zweck des EVB soll sein, die revisionssichere Dokumentation aller Maßnahmen im Zusammenhang mit der Verwahrung von Personen und Gegenständen zu gewährleisten, damit polizeiliche Maßnahmen auch im Nachhinein detailliert nachvollzogen werden können. Neben Personendaten sollen Angaben über Datum und Uhrzeit von Ereignissen und über den Zustand von Personen oder Sachen festgehalten werden. Zugleich will die Polizei mit dem EVB einer Forderung des Rechnungshofes aus dem Jahr 2002 nachkommen. Die bestehende „Asservatenverwaltung" soll in das EVB integriert werden.

Zum EVB bzw. zur Risikoanalyse und Verfahrensbeschreibung hatten wir einige Fragen und Anregungen. Unter anderem fehlten, wie in anderen, uns vorgelegten Verfahren auch, Vereinbarungen mit Auftragnehmern nach §3 Hamburgisches Datenschutzgesetz (HmbDSG). Ebenso fehlte eine vertragliche Vereinbarung mit dem Dienstleister Dataport über ergänzende Schutzmaßnahmen für Daten mit hohem Schutzbedarf.

In einer ausführlichen Stellungnahme der IuK-Abteilung vom September 2008 wurden einige Anregungen aufgenommen und offene Fragen geklärt. Wir konnten erreichen, dass die unterschiedslose Speicherdauer von 5 Jahren ersetzt wurde durch eine differenzierte Speicherfrist. Bei Ingewahrsamnahmen und Freiheitsbeschränkungen wurde die Frist auf 2 Jahre gesenkt; eine 5-jährige Speicherdauer ist nur für Festnahmesachen vorgesehen. Nach Fristablauf werden die Daten automatisch gelöscht. Im Juli 2009 wurden uns die überarbeiteten Fassungen der Risikoanalyse und der Verfahrensbeschreibung überlassen. Angaben, durch welche technisch-organisatorischen Maßnahmen dem hohen Schutzbedarf genügt wird, bzw. notwendige vertragliche Vereinbarungen mit dem Dienstleister Dataport und mit den Auftragnehmern, stehen jedoch noch aus.

Videoüberwachung im Schanzenviertel Videoüberwachung zum Zwecke strafrechtlicher Ermittlungen richtet sich nach der Strafprozessordnung; technisch-organisatorische Sicherheitsmaßnahmen hat auch der Hamburgische Datenschutzbeauftragte zu bewerten.

Anfang Juni 2009 berichtete die Presse, dass die Polizei im Schanzenviertel private Geschäftsinhaber auffordere, zu ihrem Schutz Videokameras aufzustellen. Aber auch von „heimlichen Filmaufnahmen der Polizei in der Schanze" war die Rede. Da hier sehr verschiedene rechtliche Bewertungen in Betracht kamen ­ private Videoüberwachung des öffentlichen Raums, (präventive) polizeiliche Videoüberwachung zur Gefahrenabwehr und (repressive) Videoaufnahmen zur Aufklärung einer Straftat ­ erbaten wir von der Polizei Aufklärung. Diese teilte mit, es gehe ausschließlich um eine strafprozessuale Maßnahme: Wegen erwarteter Wiederholungstaten zeichnete in den Nachtstunden eine Videokamera im Geschäftsraum eines Opfers die Situation vor dem Geschäft auf. Erst später wurden wir nach weiteren Rückfragen darüber informiert, dass noch ein weiterer Ort durch mehrere Videokameras beobachtet wurde.

Aufgrund einer differenzierten Einsatzbeschreibung der Polizei zur erstgenannten Maßnahme und einer Besichtigung des zweiten Beobachtungsobjekts vor Ort konnten wir die strafprozessuale Zielrichtung der Videoüberwachung nachvollziehen. Damit richtete sich die Maßnahme hinsichtlich Anlass, Zielobjekt, Verhältnismäßigkeit, Datenkennzeichnung, späterer Benachrichtigung der Betroffenen und Löschung allein nach den §§100h, 101 Strafprozessordnung (StPO). Insofern wird das Hamburgische Datenschutzgesetz durch die bereichsspezifischen Normen der Strafverfolgung verdrängt.

Die StPO regelt jedoch nicht die erforderlichen technisch-organisatorischen Sicherungsmaßnahmen zum Schutz vor einem ungefugten Datenzugriff durch Dritte.

Hier wiesen wir auf Verbesserungsmöglichkeiten hin. Daraufhin wurde das Kassettenfach der eingesetzten Videokamera versiegelt. Wie schon im Rahmen der präventiv-polizeilichen Videoüberwachungen (21. TB, 8.2) blieben zwischen Polizei und uns grundsätzliche Meinungsverschiedenheiten zu der Frage, ob es sich bei der analogen oder digitalen Videobeobachtung und Bildaufzeichnung um ein „automatisiertes Verfahren" handelt ­ ob also Vorabkontrolle und Verfahrensbeschreibung erforderlich sind.

Wir nahmen die zunehmende öffentliche Diskussion über Videoüberwachungen im öffentlichen Raum ­ durch Wirtschaft und Staat ­ zum Anlass, die Frage des „automatisierten Verfahrens"" gerade auch aus technischer Sicht noch einmal breit in der Dienststelle zu diskutieren. Wir kamen zu dem Ergebnis, dass nicht nur digitale, sondern auch analoge Videokameras zusammen mit den modernen Möglichkeiten der Bildauswertung auf speziellen Recordern mit spezialisierter Software heute als „automatisierte Verfahren" im Sinne des Datenschutzrechts angesehen werden müssen. Anderslautende Meinungen in einem Teil der Kommentarliteratur konnten uns nicht überzeugen.

Im November 2009 konnten wir uns in einem Gespräch mit der Polizei für den besonderen Fall der Videoüberwachung zu Ermittlungszwecken auf Folgendes einigen: Staatsanwaltschaft und Polizei entscheiden über den konkreten Einsatz verdeckter Videokameras nach der StPO grundsätzlich ohne Beteiligung des Datenschutzbeauftragten. Zur Beurteilung der Datensicherheit der eingesetzten Systeme stellt uns die Polizei entsprechende Unterlagen zu den typischerweise eingesetzten Systemen und in bestimmten Intervallen eine Übersicht über die Anzahl der Einsätze zur Verfügung. Wir bieten der Polizei allgemeine Hinweise zu technisch-organisatorischen Sicherheitsmaßnahmen beim Einsatz der Videosysteme an. In besonderen Fallkonstellationen soll es einen Austausch über die vom Normalfall abweichenden Umstände und etwaige Folgerungen für die Datensicherheit geben.

5. Verfassungsschutz:

Erfassung von Personen, die Infostände anmelden Unsere Intervention beim Landesamt für Verfassungsschutz (LfV) und bei den Bezirken trug wesentlich dazu bei, dass das LfV seine Aufforderung an die Bezirke zurücknahm, die Personalien aller Infostand-Anmelder zu übermitteln.

Im Oktober 2008 hatte das LfV die Bezirke schriftlich gebeten, ihm regelmäßig Namen, Adresse und Organisation jeder Person zu übermitteln, die eine Sondernutzungserlaubnis für einen Informationsstand beantragt. Die Medien und eine Kleine parlamentarische Anfrage griffen das auf und offenbarten, dass in Hamburg jährlich mehr als 3000 Infostände vornehmlich von Parteien, aber auch von Hilfsorganisationen und Initiativen angemeldet werden.

Ohne vorher vom LfV angesprochen worden zu sein, teilten wir diesem im November unsere Rechtsauffassung mit: Die allgemeine Aufforderung an die Bezirke verstößt gegen das Verfassungsschutzgesetz, das eine Datenerhebung nur dann rechtfertigt, wenn sie zur Erfüllung der Aufgaben des LfV erforderlich ist. Die Aufgaben des LfV beziehen sich ausdrücklich auf die Bekämpfung von Bestrebungen gegen die freiheitliche demokratische Grundordnung und von sicherheitsgefährdenden Tätigkeiten. Wir forderten deswegen für eine Datenübermittlung aus den Bezirksämtern zumindest Anhaltspunkte dafür, dass der angemeldete Infostand bzw. die anmeldende Organisation solcher Handlungen verdächtig ist. Im Übrigen verwiesen wir darauf, dass die Bezirksämter nur bei besonders gefährlichen Organisationen zur Übermittlung an das LfV verpflichtet, ansonsten nur dazu „befugt" sind. Dieses teilten wir in gleichlautenden Schreiben allen Bezirksamtsleiterinnen und -leitern mit.

In seiner Antwort vom Dezember vertrat das LfV die Meinung, es müsse selbst alle Anmeldungen daraufhin überprüfen, welche von ihnen verfassungsschutz-relevant sind. Auf eine regelmäßige Übermittlung verzichtete das LfV jedoch in Zukunft.

Vielmehr würden LfV-Mitarbeiter die Vorgänge von Zeit zu Zeit in den Bezirksämtern sichten.

Parallel hielten wir Kontakt zu den Bezirksämtern. Im März 2009 beschlossen die bezirklichen Rechtsamtsleiter, sich der Meinung des Hamburgischen Datenschutzbeauftragten anzuschließen und Unterlagen zu Infostand-Anmeldungen nicht prüfungslos an das LfV herauszugeben. In Zukunft bitten die Bezirke die sie besuchenden Mitarbeiter des LfV um eine vorherige Festlegung, welche Organisationen oder Akten von besonderem verfassungsrechtlichen Interesses sind.