Source: http://docplayer.org/2442320-Hessischer-landtag-siebenunddreissigster-taetigkeitsbericht-des-hessischen-datenschutzbeauftragten-18-wahlperiode-drucksache-18-106-27-02.html
Timestamp: 2018-04-20 15:40:00+00:00

Document:
HESSISCHER LANDTAG. Siebenunddreißigster Tätigkeitsbericht des Hessischen Datenschutzbeauftragten. 18. Wahlperiode. Drucksache 18/ - PDF
HESSISCHER LANDTAG. Siebenunddreißigster Tätigkeitsbericht des Hessischen Datenschutzbeauftragten. 18. Wahlperiode. Drucksache 18/
Download "HESSISCHER LANDTAG. Siebenunddreißigster Tätigkeitsbericht des Hessischen Datenschutzbeauftragten. 18. Wahlperiode. Drucksache 18/106 27. 02."
1 18. Wahlperiode Drucksache 18/106 HESSISCHER LANDTAG Siebenunddreißigster Tätigkeitsbericht des Hessischen Datenschutzbeauftragten vorgelegt zum 31. Dezember 2008 vom Hessischen Datenschutzbeauftragten Prof. Dr. Michael Ronellenfitsch nach 30 des Hessischen Datenschutzgesetzes vom 7. Januar 1999 Eingegangen am 27. Februar 2009 Ausgegeben am 24. März 2009 Druck und Auslieferung: Kanzlei des Hessischen Landtags Postfach Wiesbaden
2 2 Hessischer Landtag 18. Wahlperiode Drucksache 18/106 Inhaltsverzeichnis Abkürzungsverzeichnis zum 37. Tätigkeitsbericht Register der Rechtsvorschriften zum 37. Tätigkeitsbericht Kernpunkte 1. Einführung 1.1 Allgemeines 1.2 Datenschutz 1.3 Rechtsentwicklung 1.4 Daseinsvorsorge 2. Europa 2.1 Gemeinsame Kontrollinstanzen für das Schengener Informationssystem und für EUROPOL 2.2 EURODAC - Koordinierung der Kontrolle 2.3 Auswirkungen des Vertrags von Lissabon auf den Datenschutz 3. Bund 3.1 Grobkonzept zum elektronischen Personalausweis 3.2 Neuorganisation der Durchführung des SGB II - Zentren für Arbeit und Grundsicherung 4. Land 4.1 Querschnitt Entwicklungen im Bereich der Videoüberwachung Datenschutzprobleme bei der Bereitstellung des Staatsanzeigers im Internet 4.2 Justiz und Strafvollzug Netzkonzept in der Praxis bei kleinen Gerichten Überwachung des Besuchs in einer Justizvollzugsanstalt durch Videokamera 4.3 Polizei und Ordnungsbehörden Novellierung des HSOG Datenspeicherungen über Teilnehmer an Demonstrationen gegen die Einführung von Studiengebühren Auskunft über eigene Daten aus der Vorgangsverwaltungsdatei ComVor der Polizei Zugriff auf das Passbild bei der Fahrerfeststellung 4.4 Ausländerrecht Prüfung von Ausländerbehörden 4.5 Schulen und Schulverwaltung Ergebnisse der Prüfung beim Staatlichen Schulamt Hanau Panne bei der Datenübermittlung nach 17 Meldedatenübermittlungsverordnung an Wiesbadener Schulen 4.6 Landwirtschaft Unzulässige Datenerhebung der Hessischen Tierseuchenkasse bei Tierpensionen 4.7 Gesundheitswesen Aufbau einrichtungsübergreifender elektronischer Fallakten im Gesundheitsbereich Ein Netzwerk für Ärzte und Krankenhäuser Datenschutzkonzept für das europäische IPF-Register Prüfung der Datenübermittlung zwischen Kliniken und Medizinischen Versorgungszentren Sozialmedizinische Fallberatung des MDK Hessen Weiterleitung von Verdachtsdiagnosen an Dritte gegen den Willen des Betroffenen 4.8 Sozialwesen Hartz IV - Bekämpfung von Leistungsmissbrauch Hartz IV - Auskunftspflichten von Trägern der freien Wohlfahrtspflege gegenüber Arbeitsagenturen Zusammenarbeit zwischen Arbeitsschutzbehörden und Unfallversicherungsträgern 4.9 Personalwesen Informationsrecht des Personalrats Amtsbezeichnungen im Intranet der Finanzverwaltung
3 Hessischer Landtag 18. Wahlperiode Drucksache 18/ Finanzwesen Auskunftspflicht der Finanzämter gegenüber Sozialleistungsbehörden für die Bearbeitung von Arbeitslosengeld II- Anträgen 5. Kommunen 5.1 Ergebnisse der Prüfung von Kommunen 5.2 Ergebnisse der Prüfung von Passbehörden 5.3 Melderegisterauskünfte an Adresshändler 5.4 Weitergabe von Daten durch eine Stadträtin 5.5 Vorlage von Scheidungsurteilen bei erneuter Eheschließung 6. Stiftungsaufsicht 6.1 Hessisches Stiftungsverzeichnis 7. Sonstige Selbstverwaltungskörperschaften 7.1 Rundfunk Verbesserter Datenschutz bei der Befreiung von der Rundfunkgebührenpflicht Änderung der "Impressumspflicht" für Beiträge im Offenen Kanal 8. Entwicklungen und Empfehlungen im Bereich der Technik 8.1 Orientierungshilfe Internet 9. Bilanz 9.1 Online-Durchsuchungen 9.2 Änderungen im Personenstandswesen 9.3 Räumliche Situation der Ausländerbehörde in Fulda 9.4 LUSD - Zentrale Lehrer- und Schülerdatenbank 9.5 Löschung von Daten im SAP R/3 HR-System 9.6 Business-Warehouse-HR (HEPISneu) 9.7 Personalkostenhochrechnung 10. Entschließungen 10.1 Berliner Erklärung: Herausforderungen für den Datenschutz zu Beginn des 21. Jahrhunderts 10.2 Medienkompetenz und Datenschutzbewusstsein in der jungen "Online-Generation" 10.3 Mehr Augenmaß bei der Novellierung des BKA-Gesetzes 10.4 Vorgaben des Bundesverfassungsgerichts bei der Online-Durchsuchung beachten 10.5 Keine Daten der Sicherheitsbehörden an Arbeitgeber zur Überprüfung von Arbeitnehmerinnen und Arbeitnehmern 10.6 Keine Vorratsspeicherung von Flugpassagierdaten 10.7 Unzureichender Datenschutz beim deutsch-amerikanischen Abkommen über die Zusammenarbeit der Sicherheitsbehörden 10.8 Datenschutzförderndes Identitätsmanagement statt Personenkennzeichen 10.9 Entschlossenes Handeln ist das Gebot der Stunde Adress- und Datenhandel nur mit Einwilligung der Betroffenen Gegen Blankettbefugnisse für die Software-Industrie Mehr Transparenz durch Informationspflichten bei Datenschutzpannen Abfrage von Telekommunikationsverkehrsdaten einschränken: Gesetzgeber und Praxis müssen aus wissenschaftlichen Erkenntnissen Konsequenzen ziehen Datenschutzgerechter Zugang zu Geoinformationen Angemessener Datenschutz bei der polizeilichen und justiziellen Zusammenarbeit in der EU dringend erforderlich Besserer Datenschutz bei der Umsetzung der "Schwedischen Initiative" zur Vereinfachung des polizeilichen Datenaustausches zwischen den EU-Mitgliedstaaten geboten Elektronische Steuererklärung sicher und datenschutzgerecht gestalten Weiterhin verfassungsrechtliche Zweifel am ELENA-Verfahren Steuerungsprogramme der gesetzlichen Krankenkassen datenschutzkonform gestalten
4 4 Hessischer Landtag 18. Wahlperiode Drucksache 18/106 Abkürzungsverzeichnis zum 37. Tätigkeitsbericht a.f. AAH-SDÜ ABl. ABlEG Abs. AEUV AK ALG II AO AOK ArbSchG ARGE Art. Az. BAB BAföG BAnz. BGB BGBl. BIOS BKA BKAG BMI BRDrucks. BRRG BSI BVerfG BVerfGE bzgl. bzw. CD d.h. d.j. DFB Drucks. EDV efa EG egk ELENA ELSTER epa epass EU EU-Richtlinie EURODAC Eurojust EUROPOL evtl. ff. FIDIS gem. GEZ GG ggf. GK GMBl. GMG GVBl. HAGTierSG HArchivG HBA HBG HDSG HessLStatG HessVGH HGO alte Fassung Allgemeine Anwendungshinweise zum Schengener Durchführungsübereinkommen Amtsblatt des Hessischen Kultusministeriums Amtsblatt der Europäischen Gemeinschaften Absatz Vertrag über die Arbeitsweise der Europäischen Union Arbeitskreis Arbeitslosengeld II Abgabenordnung Allgemeine Ortskrankenkasse Arbeitsschutzgesetz Arbeitsgemeinschaften Artikel Aktenzeichen Bundesautobahn Bundesausbildungsförderungsgesetz Bundesanzeiger Bürgerliches Gesetzbuch Bundesgesetzblatt Basic Input/Output System Bundeskriminalamt Bundeskriminalamtgesetz Bundesministerium des Innern Bundesratsdrucksache Beamtenrechtsrahmengesetz Bundesamt für Sicherheit in der Informationstechnik Bundesverfassungsgericht Entscheidungssammlung des Bundesverfassungsgerichts bezüglich beziehungsweise Compact Disc das heißt dieses Jahres Deutscher Fußballbund Drucksache elektronische Datenverarbeitung elektronische Fallakte Europäische Gemeinschaft elektronische Gesundheitskarte elektronischer Entgeltnachweis elektronische Steuererklärung elektronischer Personalausweis elektronischer Reisepass Europäische Union Richtlinie der Europäischen Union Europäisches Fingerabdrucksystem (Européen und Dactyloscopie) Europäische Stelle zur justiziellen Zusammenarbeit Europäisches Polizeiamt eventuell fortfolgende/r/s Future of Identity in the Information Society gemäß Gebühreneinzugszentrale Grundgesetz gegebenenfalls Gemeinsame Kontrollinstanz Gemeinsames Ministerialblatt Gesundheitsmodernisierungsgesetz Gesetz- und Verordnungsblatt Hessisches Ausführungsgesetz zum Tierseuchengesetz Hessisches Archivgesetz Heilberufeausweis Hessisches Beamtengesetz Hessisches Datenschutzgesetz Hessisches Landesstatistikgesetz Hessischer Verwaltungsgerichtshof Hessische Gemeindeordnung
5 Hessischer Landtag 18. Wahlperiode Drucksache 18/106 5 HKHG Hessisches Krankenhausgesetz HKM Hessisches Kultusministerium HLKA Hessisches Landeskriminalamt HMDIS Hessisches Ministerium des Innern und für Sport HMDJ Hessisches Ministerium der Justiz HMG Hessisches Meldegesetz HMULV Hessisches Ministerium für Umwelt, ländlichen Raum und Verbraucherschutz HPRG Hessisches Privatrundfunkgesetz HPVG Hessisches Personalvertretungsgesetz HSchulG Hessisches Schulgesetz HSL Hessisches Statistisches Landesamt HSOG Hessisches Gesetz über die öffentliche Sicherheit und Ordnung HStiftG Hessisches Stiftungsgesetz HZD Hessische Zentrale für Datenverarbeitung i.d.f. in der Fassung i.d.r. in der Regel i.r.d. im Rahmen des/der i.s.d. im Sinne des/der i.s.v. im Sinne von i.v.m. in Verbindung mit ICAO International Civil Aviation Organisation IDAT Identitätsdaten inkl. inklusive IPF Idiopathische Pulmonale Fibrose ISO International Standards Organisation IT Informationstechnik JMBl. Justizministerialblatt KIS Klinikinformationssystem KV Hessen Kassenärztliche Vereinigung Hessen LÄK Landesärztekammer LIMO politisch links motivierter Straftäter LTDrucks. Landtagsdrucksache LUSD Lehrer- und Schüler-Datenbank LWO Landeswahlordnung m.w.v. mit Wirkung vom MDAT medizinische Daten MDK Medizinischer Dienst der Krankenversicherung MDS Medizinischer Dienst der Spitzenverbände der Krankenkassen MeldDÜVO Meldedatenübermittlungsverordnung MVZ Medizinisches Versorgungszentrum Nr. Nummer o.ä. oder Ähnliches o.g. oben genannte/r/s OCR Optical Character Recognition OFD Oberfinanzdirektion OWiG Ordnungswidrigkeitengesetz PC Personal Computer PassG Passgesetz PAuswG Personalausweisgesetz PDF/A Portable Document Format für die Langzeitarchivierung PID Personally-Identifiable Data PIN Personal Identification Number (persönliche Geheimzahl) PKI Public Key Infrastruktur PKW Personenkraftwagen POLAS Polizeiliches Arbeitsplatzsystem PStG Personenstandsgesetz PStV Verordnung zur Ausführung des Personenstandsgesetzes PTLV Präsidium für Technik, Logistik und Verwaltung PRIME Privacy and Identity Management für Europe PUK Personal Unblocking Key QES qualifizierte elektronische Signatur Rdnr. Randnummer RFID Radio frequency identification RGebStV Rundfunkgebührenstaatsvertrag RP Regierungspräsidium s. siehe S. Seite oder Satz SAP R/3 HR in der Hessischen Landesverwaltung eingesetztes DV-System zur Personaldatenverarbeitung
6 6 Hessischer Landtag 18. Wahlperiode Drucksache 18/106 SDÜ sec SFB SGB SIS SIS II sog. StAnz. Steuer-ID StPO StVollzG TierSG TIFF TMF u.a. USB VIS VO VPS XML z.b. z.t. ZAG Ziff. Schengener Durchführungsübereinkommen Sekunde/n sozialmedizinische Fallberatung Sozialgesetzbuch Schengener Informationssystem Schengener Informationssystem der zweiten Generation sogenannte/r/s Staatsanzeiger für das Land Hessen Steueridentifikationsnummer Strafprozessordnung Strafvollzugsgesetz Tierseuchengesetz Tagged Image File Format Telematikplattform für Medizinische Forschungsnetze unter anderem Universal Serial Bus (Schnittstelle bei Geräten) (europäisches) Visa-Informationssystem Verordnung Virtuelle Poststelle Extensible Markup Language zum Beispiel zum Teil Zentrum für Arbeit und Grundsicherung Ziffer
7 Hessischer Landtag 18. Wahlperiode Drucksache 18/106 7 Register der Rechtsvorschriften zum 37. Tätigkeitsbericht AAH-SDÜ AEUV Allgemeine Anwendungshinweise zum Schengener Durchführungsübereinkommen vom 28. Jan Vertrag über die Arbeitsweise der Europäischen Union i.d.f. des Vertrags von Lissabon vom 13. Dez (ABlEG 2007/C 306/1) AO Abgabenordnung 1977 i.d.f. vom 1. Okt (BGBl. I S. 3866), zuletzt geändert durch Art. 89 des Gesetzes vom 17. Dez (BGBl. I S m.w.v. 1- Sept. 2009) ArbSchG AufenthG BGB BKAG BRRG Gesetz über die Durchführung von Maßnahmen des Arbeitsschutzgesetzes zur Verbesserung der Sicherheit und des Gesundheitsschutzes der Beschäftigten bei der Arbeit (Arbeitsschutzgesetz) i.d.f. vom 7. Aug (BGBl. I S. 1246), zuletzt geändert durch 62 Abs. 16 des Gesetzes vom 17. Juni 2008 (BGBl. I S. 1010) Gesetz über den Aufenthalt, die Erwerbstätigkeit und die Integration von Ausländern im Bundesgebiet (Aufenthaltsgesetz) i.d.f. vom 25. Feb (BGBl. I S. 162), zuletzt geändert durch Art. 1 des Gesetzes vom 20. Dez (BGBl. I S. 2846) Bürgerliches Gesetzbuch i.d.f. vom 2. Jan (BGBl. I S. 42; 2003 I S. 738), zuletzt geändert durch Art. 6 des Gesetzes vom 12. Aug (BGBl. I S. 1666) Gesetz über das Bundeskriminalamt und die Zusammenarbeit des Bundes und der Länder in kriminalpolizeilichen Angelegenheiten (Bundeskriminalamtgesetz) vom 7. Juli 1997 (BGBl. I S. 1650), zuletzt geändert durch Art. 1 des Gesetzes vom 25. Dez (BGBl. I S. 3083) Rahmengesetz zur Vereinheitlichung des Beamtenrechts (Beamtenrechtsrahmengesetz) i.d.f. vom 31. März 1999 (BGBl. I S. 654), zuletzt geändert durch Gesetz vom 17. Juni 2008 (BGBl. I S. 1010) Charta der Grundrechte der EU Charta der Grundrechte der Europäischen Union vom 7. Dez (ABlEG 2000/C 364/1), i.d.f. vom 12. Dez (bislang nicht ratifiziert) EG-Richtlinie Nr. 2002/58 bzw. Nr. 2006/24 EG-Richtlinie Nr. 2004/82 EG-Richtlinie Nr. 2007/2 EG-Verordnung Nr. 2725/2000 EG-Verordnung Nr. 2252/2004 Richtlinie des Europäischen Parlaments und des Rates über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation vom 12. Juli 2002 (Datenschutz- Richtlinie für elektronische Kommunikation; ABlEG 2002/L 201/27), geändert durch die Richtlinie über die Vorratsspeicherung von Daten, die bei der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste oder öffentlicher Kommunikationsnetze erzeugt oder verarbeitet werden vom 15. März 2006 (ABlEG 2006/L 105/54) Richtlinie des Rates über die Verpflichtung von Beförderungsunternehmen, Angaben über die beförderten Personen zu übermitteln vom 29. Apr (ABlEG 2004/L 261/24) Richtlinie des Europäischen Parlaments und des Rates zur Schaffung einer Geodateninfrastruktur in der Europäischen Gemeinschaft (INSPIRE) vom 14. März 2007 (ABlEG 2007/L 108/1) Verordnung des Europäischen Rates vom 11. Dez über die Einrichtung von "Eurodac" für den Vergleich von Fingerabdrücken zum Zwecke der effektiven Anwendung des Dubliner Übereinkommens (ABlEG 2000/L 316/1) Verordnung des Europäischen Rates vom 13. Dez über Normen für Sicherheitsmerkmale und biometrische Daten in von den Mitgliedstaaten ausgestellten Pässen und Reisedokumenten (ABlEG 2004/L 385/1)
8 8 Hessischer Landtag 18. Wahlperiode Drucksache 18/106 EU-Vertrag GG GMG HAGTierSG HArchivG Vertrag über die Europäische Union vom 25. März 1957 (Rom; ABlEG 2002/C 325/33), i.d.f. des Vertrags von Maastricht vom 7. Feb (ABlEG 1992/C 191/1), i.d.f. des Vertrags von Amsterdam vom 2. Okt (ABlEG 1997/C 340/1), i.d.f. des Vertrags von Nizza vom 26. Feb (ABlEG 2001/C 80/1), i.d.f. des Vertrags von Lissabon vom 13. Dez (ABlEG 2007/C 306/1) Grundgesetz für die Bundesrepublik Deutschland i.d.f. vom 23. Mai 1949 (BGBl. I S. 1), zuletzt geändert durch Gesetz vom 28. Aug (BGBl. I S. 2034) Gesetz zur Modernisierung der gesetzlichen Krankenversicherung (GKV-Modernisierungsgesetz) i.d.f. vom 14. Nov (BGBl. I S. 2190), zuletzt geändert durch Art. 1 des Gesetz vom 15. Dez (BGBl. I. S. 3445) Hessisches Ausführungsgesetz zum Tierseuchengesetz i.d.f. vom 22. Dez (BGBl. I S. 624), zuletzt geändert durch Art. 6 des Gesetzes vom 29. Nov (GVBl. I S. 769) Hessisches Archivgesetz vom 18. Okt (GVBl. I S. 270), zuletzt geändert durch Gesetz vom 5. Juli 2007 (GVBl. I S. 380) HBG Hessisches Beamtengesetz i.d.f. vom 11. Jan (GVBl. I S. 25), zuletzt geändert durch Art. 4 des Gesetzes vom 5. Juli 2007 (GVBl. I S. 378) HDSG Hessisches Datenschutzgesetz i.d.f. vom 7. Jan (GVBl. I S. 98) HessLStatG Gesetz über die Statistik im Land Hessen (Hessisches Landesstatistikgesetz) vom 19. Mai 1987 (GVBl. I S. 67), zuletzt geändert durch Art. 1 des Gesetzes vom 11. Dez (GVBl. I S. 921) HGO Hessische Gemeindeordnung i.d.f. vom 7. März 2005 (GVBl. I S. 142); zuletzt geändert durch Art. 32b des Gesetzes vom 17. Okt (GVBl. I S. 674) HKHG Gesetz zur Weiterentwicklung des Krankenhauswesens in Hessen (Hessisches Krankenhausgesetz 2002) vom 6. Nov (GVBl. I S. 662), zuletzt geändert durch Gesetz vom 17. Dez (GVBl. I S. 908) HMG Hessisches Meldegesetz i.d.f. vom 10. März 2006 (GVBl. I S. 66) HPRG Gesetz über den privaten Rundfunk in Hessen (Hessisches Privatrundfunkgesetz) i.d.f. vom 25. Jan (GVBl. I S. 87), zuletzt geändert durch Art. 2 Nr. 9 des Gesetzes vom 10. Juni 2008 (GVBl. I S. 740) HPVG Hessisches Personalvertretungsgesetz vom 24. März 1988 (GVBl. I S. 103), zuletzt geändert durch Gesetz vom 6. Juli 1999 (GVBl. I S. 338) HSchulG Hessisches Schulgesetz i.d.f. vom 14. Juni 2005 (GVBl. I S. 442), zuletzt geändert durch Gesetz vom 5. Juni 2008 (GVBl. I S. 761) HSOG HStiftG MeldDÜVO OWiG Hessisches Gesetz über die öffentliche Sicherheit und Ordnung i.d.f. vom 14. Jan (GVBl. I S. 14); zuletzt geändert durch Urteil des BVerfG vom 11. März 2008 (BGBl. I S. 541) Hessisches Stiftungsgesetz vom 4. Apr (GVBl. I S. 77), zuletzt geändert durch Gesetz vom 6. Sept (GVBl. I S. 546) Verordnung über regelmäßige Datenübermittlungen der Meldebehörden (Meldedaten-Übermittlungsverordnung) vom 6. Juli 2006 (GVBl. I S. 427), zuletzt geändert durch die Zweite Verordnung vom 22. Sept (GVBl. I S. 883) Gesetz über Ordnungswidrigkeiten i.d.f. der Bekanntmachung vom 19. Feb (BGBl. I S. 602), zuletzt geändert durch Art. 2 des Gesetzes vom 7. Aug (BGBl. I S. 1786)
9 Hessischer Landtag 18. Wahlperiode Drucksache 18/106 9 PassG PassVwV PersAuswG Passgesetz vom 19. Apr (BGBl. I S. 537), zuletzt geändert durch Art. 11 des Gesetzes vom 26. Feb (BGBl. I S. 215) Allgemeine Verwaltungsvorschriften zur Durchführung des Passgesetzes vom 3. Juli 2000 (GMBl. S. 587/BAnz. S ) Gesetz über Personalausweise i.d.f. vom 21. April 1986 (BGBl. I S. 548), zuletzt geändert durch Art. 2 des Gesetzes vom 20. Juli 2007 (BGBl. I S. 1566) PStG Personenstandsgesetz in der im BGBl. III, Gliederungsnummer 211-1, veröffentlichten bereinigten Fassung, zuletzt geändert durch Art. 3 des Gesetzes vom 4. Juli 2008 (BGBl. I S. 1188) Aufgehoben durch Art. 5 Abs. 2 des Gesetzes (PStRG) vom 19. Feb mit Wirkung vom 1. Jan (BGBl. I S. 122) PStRG Gesetz zur Reform des Personenstandsrechts i.d.f. vom 19. Febr (BGBl. I S. 122), zuletzt geändert durch Gesetz vom 13. März 2008 (BGBl. I S. 313) Tritt gem. Art. 5 Abs. 2 des Gesetzes am in Kraft. PStV RGebStV SDÜ Verordnung zur Ausführung des Personenstandsgesetzes vom 22. Nov (BGBl. I S. 2263) Rundfunkgebührenstaatsvertrag vom 31. August 1991, zuletzt geändert durch Art. 5 des Zehnten Rundfunkänderungsstaatsvertrags vom 18. Juni 2008 (GVBl. I S. 742) Übereinkommen zur Durchführung des Übereinkommens von Schengen vom 14. Juni 1985 zwischen den Regierungen der Staaten der Benelux- Wirtschaftsunion, der Bundesrepublik Deutschland und der Französischen Republik betreffend den schrittweisen Abbau der Kontrollen an den gemeinsamen Grenzen vom 19. Juni Schengener Durchführungsübereinkommen (GVBl II S. 1010), zuletzt geändert durch EG-Verordnung Nr des Europäischen Parlaments und des Rates vom 20. Dez (ABlEG 2006/L 405/1) SGB I Erstes Buch Sozialgesetzbuch - Allgemeiner Teil - vom 11. Dez (BGBl. I S. 3015), zuletzt geändert durch Art. 2 des Gesetzes vom 24. Sept (BGBl. I S. 1856) SGB II Zweites Buch Sozialgesetzbuch - Grundsicherung für Arbeitsuchende - vom 24. Dez (BGBl. I S. 2954), zuletzt geändert durch Art. 2a des Gesetzes vom 24. Sept (BGBl. I S. 1856) SGB V Fünftes Buch Sozialgesetzbuch - Gesetzliche Krankenversicherung - vom 20. Dez (BGBl. I S. 2477), zuletzt geändert durch Art. 6 des Gesetzes vom 21. Dez (BGBl. I S. 2940) SGB VII SGB X StGB Siebtes Buch Sozialgesetzbuch - Gesetzliche Unfallversicherung - i.d.f. vom 7. Aug (BGBl. I S. 1254), zuletzt geändert durch 62 Abs. 19 des Gesetzes vom 17. Juni 2008 (BGBl. I S. 1010) Zehntes Buch Sozialgesetzbuch - Sozialverwaltungsverfahren und Sozialdatenschutz - i.d.f. vom 18. Jan (BGBl. I S. 130), zuletzt geändert durch Art. 2c des Gesetzes vom 24. Sept (BGBl. I S. 1856) Strafgesetzbuch i.d.f. vom 13. Nov (BGBl. I S. 3322), zuletzt geändert durch Art. 1 des Gesetzes vom 13. Aug (BGBl. I S. 1690) StPO Strafprozessordnung i.d.f. der Bekanntmachung vom 7. April 1987 (BGBl. I S. 1074, 1319), zuletzt geändert durch Art. 2 des Gesetzes vom 31. Okt (BGBl. I S. 2149) StVollzG Gesetz über den Vollzug der Freiheitsstrafe und der freiheitsentziehenden Maßregeln der Besserung und Sicherung (Strafvollzugsgesetz) vom 16. März 1976 (BGBl. I S. 581), zuletzt geändert durch 62 Abs. 10 des Gesetzes vom 17. Juni 2008 (BGBl. I S. 1010)
10 10 Hessischer Landtag 18. Wahlperiode Drucksache 18/106 TierSG Tierseuchengesetz i.d.f. vom 22. Juni 2004 (BGBl. I S. 1260, 3588), zuletzt geändert durch Art. 1 des Gesetzes vom 13. Dez (BGBl. I S. 2930) TMG Telemediengesetz vom 26. Feb (BGBl. I S. 179) Vertrag von Amsterdam Vertrag von Lissabon Vertrag von Nizza Vertrag von Prüm Vertrag zur Änderung des Vertrags über die Europäische Union, der Verträge zur Gründung der Europäischen Gemeinschaften sowie einiger damit zusammenhängender Rechtsakte vom 2. Okt (ABlEG 1997/C 340/1) Vertrag zur Änderung des Vertrags über die Europäische Union und des Vertrags zur Gründung der Europäischen Gemeinschaft vom 13. Dez (ABlEG 2007/C 306/1) Vertrag zur Änderung des Vertrags über die Europäische Union, der Verträge zur Gründung der Europäischen Gemeinschaften sowie einiger damit zusammenhängender Rechtsakte vom 26. Feb (ABlEG 2001/C 80/1) Vertrag über die Vertiefung der grenzüberschreitenden Zusammenarbeit, insbesondere zur Bekämpfung des Terrorismus, der grenzüberschreitenden Kriminalität und der illegalen Migration zwischen dem Königreich Belgien, der Bundesrepublik Deutschland, dem Königreich Spanien, der Französischen Republik, dem Großherzogtum Luxemburg, dem Königreich der Niederlande und der Republik Österreich vom 27. Mai 2005 (BGBl I S. 1458)
11 Hessischer Landtag 18. Wahlperiode Drucksache 18/ Kernpunkte 1. Hessen hat seine Vorreiterrolle auf dem Gebiet des Datenschutzes eingebüßt. Die übrigen Länder und der Bund zogen insoweit nach. Mehr noch: Der deutsche, zum Teil auch der hessische Datenschutz sieht sich gegenwärtig dem Vorwurf ausgesetzt, gegen Europarecht zu verstoßen. Bezogen auf die gemeinschaftsrechtlich gebotene Unabhängigkeit des (gesamten) Datenschutzes ist wieder das hessische Vorbild gefragt. Gemeinschaftsrechtliche Bedenken ließen sich unter Wahrung des deutschen Verfassungsrechts ausräumen, wenn dem HDSB unter Beibehaltung seiner Unabhängigkeit auch der private Bereich in der Zuständigkeit des Landes übertragen und dabei die parlamentarische Verantwortlichkeit des HDSB verstärkt würde (Ziff. 1.1). 2. Durch zahlreiche Gerichtsentscheidungen wurde der Datenschutz im Berichtszeitraum bekräftigt. Besondere Beachtung verdienen die Entscheidungen des Bundesverfassungsgerichts vom 27. Februar 2008 zur "Online-Durchsuchung" und - unmittelbar auf Hessen bezogen - vom 11. März 2008 zu Kfz-Kennzeichenerfassungen. Diese Entscheidungen betreffen die Abwehrkomponente des Datenschutzes gegen staatliche Eingriffe. Die Datenskandale im privaten Bereich haben aber gezeigt, dass vor allem die Schutzkomponente (Datenschutz durch den Staat) an Bedeutung gewinnt (Ziff. 1.2 und 1.3.2). 3. Dass sich der öffentliche und private Bereich nicht trennen lassen, zeigt sich auf dem Gebiet der Daseinsvorsorge. Hier bedient sich der Staat Privater oder privatrechtlicher Rechtsformen zur Erfüllung öffentlicher Aufgaben. Am Charakter der Aufgaben ändert sich dadurch nichts. Daher fällt die Daseinsvorsorge in den öffentlichen Bereich mit der Rechtsfolge, dass der HDSB für den Datenschutz bei der hessischen Daseinsvorsorge zuständig ist (Ziff. 1.4). 4. Die Bundesrepublik Deutschland hat u.a. zur Erhöhung der Sicherheitsstandards neue Identitätsdokumente eingeführt (epass) bzw. plant dieses (epersonalausweis). Der neue elektronische Personalausweis wird neben der Funktion als Identitätsdokument und der neuen Möglichkeit, Fingerabdrücke zu speichern, gleichzeitig als multifunktionale Bürgerkarte einsetzbar sein. Das Grobkonzept des Bundesinnenministeriums enthält Schwachstellen, weil insbesondere die Risiken der angebotenen Möglichkeiten nicht hinreichend abgeklärt waren. Teilweise sind diese durch das im Dezember verabschiedete Gesetz ausgeräumt (Ziff. 3.1). Wird auf die Sicherheit von Identitätsdokumenten wirklich Wert gelegt, muss die Bundesdruckerei vor der Herstellung von Reisepässen die Signatur prüfen, mit der die Übermittlung der Daten von den Passbehörden an sie authentisiert und gesichert wird (Ziff ). 5. Die Videoüberwachung wird vielfältig eingesetzt. Sie dient nicht nur der Überwachung von Kriminalitätsschwerpunkten, wie z.b. der Konstablerwache in Frankfurt (Ziff ), sondern auch der Verbesserung der Sicherheit von Großveranstaltungen, wie z.b. Bundesligaspielen (Ziff ), der Verkehrssteuerung (Ziff ) und - überwachung (Ziff ) und wird auch in Justizvollzugsanstalten zur Besuchskontrolle eingesetzt (Ziff ). Für einen datenschutzgerechten Einsatz sind dabei je nach dem Zweck und den Nutzenden unterschiedliche Restriktionen zu beachten. Meine Beratung vor dem Einsatz dieser Technik ist zunehmend gefragt. 6. Werden Informationen ins Internet eingestellt, ohne zu bedenken, dass diese auch schützenswerte personenbezogene Daten enthalten, so kann dem Recht der Betroffenen auf Löschung der Daten nur aufwändig und - wenn die Daten von Suchmaschinen abgegriffen wurden - meist nicht vollständig Rechnung getragen werden (Ziff ). Werden dagegen bereits bei der Konzeption von Verfahren, die der Bereitstellung auch personenbezogener Informationen im Internet dienen, Datenschutzanforderungen berücksichtigt, steht der Nutzung dieses Veröffentlichungsmediums nichts im Weg (Ziff. 6.1). 7. Bereits mehrfach hatte ich die Novellierung des HSOG angemahnt. Auch der Hessische Gesetzgeber ist aufgefordert, die Rechtsprechung des Bundesverfassungsgerichts insbesondere zum Schutz des Kernbereichs privater Lebensführung und zur Kennzeichenerkennung umzusetzen. Die bisherigen Entwürfe für eine Überarbeitung des HSOG genügen dem nicht (Ziff ). 8. Die Polizei in Frankfurt speicherte zu einer Vielzahl vorübergehend festgenommener Teilnehmer der Demonstrationen gegen die Einführung von Studiengebühren Daten. Dabei wurden u.a. die Merkmale "gewalttätig" und "politisch links motivierte Straftäter" gespeichert - auch wenn keine konkreten Tatbeteiligungen vorgeworfen werden konnten. Die unzulässigen Datenspeicherungen wurden auf meine Intervention hin gelöscht (Ziff ). 9. Leider sind die bereits 2004 festgestellten Fehler und Versäumnisse der hessischen Ausländerbehörden bei den Ausschreibungen zum schengenweiten Wiedereinreiseverbot von Ausländern auch heute noch anzutreffen. Dies hat die in der Gemeinsamen Kontrollinstanz für das Schengener Informationssystem verabredete und im Geltungsbereich des Schengenabkommens einheitlich vorgenommene Prüfung auch bei zwei hessischen Ausländerbehörden ergeben (Ziff ). 10. Im Gesundheitsbereich stehen Datenschutzfragen im Mittelpunkt, weil höchst sensible personenbezogene Daten verarbeitet werden. Bei dem datenschutzgerechten Austausch von Patientendaten zwischen Ärzten, Krankenhäusern und Krankenkassen und bei der Gestaltung der Patienteninformationen und den technischen Lösungen sind komplexe Strukturen und Verantwortlichkeiten zu berücksichtigen. Umfassende Beratungen waren deshalb beim Aufbau einrichtungsübergreifender elektronischer Fallakten (Ziff ) und sicheren Netzwerken zwischen Ärzten und Krankenhäusern (Ziff ) sowie bei der zunehmenden Kooperation zwischen Medizinischen Versorgungszentren und Kliniken (Ziff ) erforderlich. Auch bei der Erstellung des Datenschutzkonzepts für einen europäischen Forschungsverbund zu speziellen Lungenerkrankungen fand intensive Beratung statt (Ziff ).
12 12 Hessischer Landtag 18. Wahlperiode Drucksache 18/ Ein Dauerbrenner sind die datenschutzrechtlichen Fragestellungen, die im Zusammenhang mit der Gewährung von Sozialleistungen entstehen, sei es zur Verhältnismäßigkeit von Maßnahmen zur Bekämpfung von Leistungsmissbrauch (Ziff ), der Auskunftspflichten gegenüber Sozialbehörden (Ziff Träger der freien Wohlfahrtspflege gegenüber Hartz IV-Stellen; Ziff Finanzbehörden gegenüber Arbeitslosengeld II-Stellen) oder den Nachweispflichten für eine Rundfunkgebührenbefreiung (Ziff ). 12. Melderegisterauskünfte als Sammelauskünfte an Adresshändler sind bei der derzeitigen Rechtslage nur schwer zu begrenzen. Zwar dürfen schon heute Sammelauskünfte nur erteilt werden, wenn schutzwürdige Belange Betroffener nicht beeinträchtigt werden. Dies ist in der Praxis nicht zu gewährleisten, weil nicht erkennbar ist für welche Zwecke und ggf. für welche Auftraggeber die Auskünfte begehrt werden. Deshalb sind dringend Änderungen im Hessischen Meldegesetz erforderlich. Die um Sammelauskünfte Ersuchenden müssen zur Angabe des Auftraggebers und des Zwecks und zur Einhaltung der Zweckbindung verpflichtet und für die Betroffenen muss mindestens ein Widerspruchsrecht gegen die Datenweitergabe zu Direktwerbezwecken vorgesehen werden (Ziff. 5.3).
13 Hessischer Landtag 18. Wahlperiode Drucksache 18/ Einführung 1.1 Allgemeines Wer mobil sein will, hinterlässt eine Vielzahl von Spuren. Das war schon früher so und war immer riskant. Daher gibt es den alten Spruch von Laotse "Gut geht, wer ohne Spuren geht". Wer heute unbeobachtet mobil sein möchte, ist auf Sicherheitspfade angewiesen. Solche Pfade eröffnet ihm der Datenschutz. Der moderne Datenschutz entstand bekanntlich in Hessen. Die hessischen Regelungen entfalteten bis ins Ausland Vorbildwirkung. Mittlerweile haben Bund, Länder und die Europäische Gemeinschaft auf dem Gebiet des Datenschutzes nachgezogen und teilweise im Hinblick auf den Datenzugangsschutz (Informationsfreiheit) überholt. Mehr noch: der deutsche Datenschutz steht gegenwärtig auf dem gemeinschaftsrechtlichen Prüfstand. Bezogen auf die gemeinschaftsrechtlich gebotene Unabhängigkeit des (gesamten) Datenschutzes ist wieder ein hessisches Vorbild gefragt. Das Problem liegt in der Kollision von institutioneller Unabhängigkeit des Datenschutzes und der Ministerialverantwortlichkeit. Einen ministerialfreien Datenschutz gibt es in Deutschland aus verfassungsrechtlichen Gründen, d.h. mit Rücksicht auf die nationale Ausgestaltung der Gewaltenteilung, aus verständlichen Gründen nicht. Bei einer Zusammenführung von privatem und öffentlichem Bereich ließe sich die Gewaltenteilung jedoch auch jenseits der Ministerialverantwortlichkeit wahren. Es kommt nur darauf an, Unabhängigkeitsprinzip und Verantwortlichkeitsprinzip zu harmonisieren. Aus der Sicht des Hessischen Datenschutzbeauftragten ist das realisierbar, wenn dem HDSB unter Beibehaltung seiner Unabhängigkeit auch der private Bereich in der Zuständigkeit des Landes übertragen und dabei seine parlamentarische Verantwortlichkeit verstärkt würde. Zu denken wäre an eine parlamentarische Kontrollkommission nach dem Vorbild etwa der G10-Kommission. Eine derartige Kommission bietet sich mit Rücksicht auf den Grundrechtsschutz an. Das Modell hat den Vorteil, dass auf dem Gebiet des Datenschutzes die Rechte des Parlaments gravierend verstärkt würden. Die Einzelheiten bedürfen noch sorgfältiger Prüfung. Der Gesetzgeber verfügt hinsichtlich der konkreten Ausformung des Datenschutzes über eine weitgehende Gestaltungsfreiheit. Der materielle Datenschutz ist im Übrigen grundrechtlich verbürgt, ohne dass es einer Änderung des Grundgesetzes oder der Hessischen Verfassung bedürfte. Allerdings ist das Grundrecht auf informationelle Selbstbestimmung nicht ausdrücklich dort aufgeführt. Vielmehr handelt es sich um ein unbenanntes Grundrecht, das durch das Volkszählungs-Urteil des Bundesverfassungsgerichts vom 15. Dezember 1983 (BVerfGE 65,1) getauft wurde. Aus diesem Grund veranstaltete die Konferenz der Datenschutzbeauftragten am 15. Dezember 2008 zusammen mit dem Bundesverfassungsgericht in Karlsruhe eine Feier "25 Jahre Volkszählungsurteil", auf der die deutsche Vorreiterrolle auf dem Gebiet des Datenschutzes noch einmal deutlich hervortrat. Wie alle Grundrechte hat das unbenannte Grundrecht auf informationelle Selbstbestimmung mehrere Dimensionen. Auch der vorliegende Tätigkeitsbericht beginnt mit nach den Hauptstoßrichtungen des Datenschutzes unterscheidenden allgemeinen Bemerkungen. Daran anknüpfend wird auf die Rechtsentwicklung des Datenschutzes im Berichtszeitraum sowie auf die Rechtsstellung des Hessischen Datenschutzbeauftragten eingegangen. Es folgen Überblicke über die Entwicklungen des Datenschutzes auf europäischer Ebene und auf der Ebene des Bundes, namentlich über die die Rechtsprechung des Bundesverfassungsgerichts. Den Schwerpunkt dieses Tätigkeitsberichts bilden landesspezifische datenschutzrechtlich relevante Fragestellungen und Entwicklungen im Zusammenhang mit der Videoüberwachung und der Bereitstellung von Daten im Internet, im Bereich der Justiz, der Polizei, des Ausländerrechts, der Schulen und Schulverwaltung, des Gesundheitswesens, des Sozialwesens, des Personal- und Finanzwesens, der Kommunen und sonstigen Selbstverwaltungskörperschaften. Bei den Prüfungen und Beratungen ist die Untersuchung der eingesetzten oder geplanten Technik und die Abschätzung von deren Folgen oft unverzichtbare Voraussetzung für die Beurteilung, ob das Recht auf informationelle Selbstbestimmung beeinträchtigt ist. Rechtliche und technische Bewertungen verzahnen sich zunehmend. Der Bilanzbericht und die vom Hessischen Datenschutzbeauftragten mitgetragenen Entschließungen der Konferenz der Datenschutzbeauftragten des Bundes und der Länder schließen wiederum den Tätigkeitsbericht ab. 1.2 Datenschutz Im Jahr 2008 ergingen einige richtungweisende Entscheidungen des Bundesverfassungsgerichts zum Datenschutz. Am spektakulärsten war das Urteil vom 27. Februar 2008 zur "Online-Durchsuchung" (1 BvR 370/07 und 1 BvR 595/07, NJW 2008, 1042 mit Anm. Kutscha, NJW 2008, 1042 ff.), mit dem das Bundesverfassungsgericht das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme kreierte (kritisch Britz, Vertraulichkeit und Integrität informationstechnischer Systeme, DÖV 2008, 411 ff.; Sachs/Krings, Das neue "Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme", JuS 2008,481 ff., positiv Hirsch, Das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme, NJOZ 2008, 2902 ff.; Leisner, Das neue "Kommunikationsgrundrecht" - Nicht Alibi für mehr, sondern Mahnung zu weniger staatlicher Überwachung, NJW 2008, 2902 ff.). Unmittelbar auf Hessen bezogen war das Urteil vom 11. März 2008 (1 BvR 2074/05, 1 BvR 1254/07, NJW 2008, 1505, hierzu Besprechung durch Roßnagel, Verfassungsrechtliche Grenzen polizeilicher Kfz-Kennzeichenerfassungen, NJW 2008, 2547 ff.), mit der die Regelung des 14 Abs. 4 HSOG über die automatisierte Erfassung von Autokennzeichen aufgehoben wurde. Im Streit um die Vorratsdatenspeicherung ergingen bereits Entscheidungen über Eilanträge (Beschluss vom 15. Oktober 2008, 2 BvR 236/08, 237/08, DVBl. 2008, 1566 sowie Beschluss vom 28. Oktober 2008, 1 BvR 256/08, DVBl. 2008, 1669). Ein Überblick über die datenschutzrechtlich relevante Rechtsprechung findet sich unter Ziff Abwehrkomponente Die Abwehrkomponente des Datenschutzes richtet sich gegen die öffentliche Gewalt. Im Verfassungsstaat gilt für das Verhältnis von Staatsgewalt und Gewaltunterworfenen das Verteilungsprinzip. Danach ist die Freiheit der Einzelnen als etwas vom Staat Gegebenes prinzipiell unbegrenzt, während die Möglichkeiten des Staates zu Eingriffen in diese Sphäre prinzipiell begrenzt sind. Eingriffsmöglichkeiten muss sich der Staat durch Erlass von Befugnisnormen erst schaffen, wobei er den verfassungsmäßigen Bindungen bei Grundrechtsbeschränkungen unterliegt. Dies gilt auch für Eingriffe in die informationelle Selbstbestimmung durch den Staat. Auch hier benötigen Eingriffe Befugnisnormen, bei deren Erlass und Anwendung die allgemeinen (verfassungskonkretisierenden) Datenschutzgrundsätze zu beachten sind. Demzufolge ist die Verarbeitung personenbezogener Daten grundsätzlich verboten, es sei denn, eine Rechtsvorschrift ordnet sie an oder lässt sie zu
14 14 Hessischer Landtag 18. Wahlperiode Drucksache 18/106 oder der Betroffene willigt hierzu ohne jeden Zweifel ein (repressives Verbot mit Zulassungsvorbehalt). Die Einwilligung muss ohne jeden Zwang erfolgen, wobei der Zwang insbesondere bei der elektronischen Kommunikation so erdrückend empfunden werden kann, dass die Einwilligung nur in Form einer positiven Abgabe einer Einwilligungserklärung ausgesprochen werden kann (zu den Anforderungen an die Freiwilligkeit BGH, Urteil vom 16. Juli 2008, VIII ZR 348/06, NJW 2008, 3055, 3056). Die Zulassung der Verarbeitung personenbezogener Daten muss dann für festgelegte, eindeutige und rechtmäßige Zwecke erfolgen (Zweckbindungsgrundsatz). Die Verarbeitung personenbezogener Daten ist ferner nur zulässig, wenn sie zur rechtmäßigen Erfüllung der Aufgaben der Daten verarbeitenden Stelle für den jeweils damit verbundenen Zweck erforderlich ist (Erforderlichkeitsgrundsatz). Der Erforderlichkeitsgrundsatz wird schließlich dahingehend erweitert, dass bei der automatisierten Verarbeitung personenbezogener Daten das Verfahren auszuwählen oder zu entwickelt ist, das die zur Zweckerreichung nötige Menge personenbezogener Daten so gering wie möglich hält Schutzkomponente Die Schutzkomponente erlangte Brisanz in den "Datenskandalen", die im Berichtszeitraum die Öffentlichkeit bewegten und den Bemühungen um eine Aktualisierung des BDSG den nötigen Motivationsschub verliehen. Ließen die gemeinsamen Mitarbeiterkontrollen bei Lidl, Telekom, Lufthansa und Gerling sich durch fehlendes Unrechtsbewusstsein erklären (vgl. Dann/Gastell, Gemeinsame Mitarbeiterkontrollen: Straf- und arbeitsrechtliche Risiken bei unternehmensinterner Aufklärung, NJW 2008, 2945 ff.), so beruhte die Kreditkarten-Datenpanne im Dezember 2008 auf grobem Fehlverhalten. Die Panne entstand, als ein Kurier die Datensätze, die auf Mikrofiches gespeichert waren, vom Kreditkarten-Dienstleister Atos Worldline in Frankfurt am Main zur Berliner Landesbank verbringen sollte. Die Datensätze wurden dann aber in einem Paket bei der "Frankfurter Rundschau" aufgefunden. Die in diesem Zusammenhang von Bundespolitikern ausgesprochenen Schuldzuweisungen an Kontrollorgane der Länder entbehrten zwar der Grundlage, die Pannen zeigen jedoch auch, dass die staatlichen Kontrollmöglichkeiten verbesserungsbedürftig sind. Die erwähnten Pannen betrafen zwar schwerpunktmäßig den privaten Bereich, wirkten sich aber auch auf den öffentlichen Bereich aus. Dies ist ein weiterer Beleg dafür, dass die Trennung von öffentlichem und privatem Bereich nicht mehr zeitgemäß ist Datenzugangsschutz Das Grundrecht auf informationelle Selbstbestimmung umfasst auch einen Anspruch des Einzelnen auf Information über seine bei der Behörde gespeicherten persönlichen Daten (vgl. BVerwG, Urteil vom 28. November 2007, 6 A 2.07, DÖV 2008, 276, Auskunftsanspruch gegenüber dem Bundesnachrichtendienst). Der G10-Kommission steht bei der Festlegung des richtigen Zeitpunkts der Mitteilung der Telefonüberwachung an den Betroffenen eine Beurteilungsermächtigung zu (BVerwG, Urteil vom 23. Januar 2008, 6 A 1.07, DVBl. 2008, 850). 1.3 Rechtsentwicklung Überblick Die Gesetzgeber in Bund und Land und auf Gemeinschaftsebene waren auch im vorliegenden Berichtszeitraum rührig und erließen eine Vielzahl datenschutzrechtlich relevanter Vorschriften (vgl. den Bericht von Gola/Klug, Die Entwicklung des Datenschutzrechts, NJW 2008, 2481 ff.) Diese sind im jeweiligen Sachzusammenhang gewürdigt. Die dem Datenschutz immer wieder entgegengehaltenen Belange der Abwehr von Kriminalität und Terrorismus beeinflussten vor allem das Strafprozessrecht, wo nach einem "stimmigen System" der Beweisverbote gesucht wird (hierzu Wolfgang Mitsch, Strafprozessuale Beweisverbote im Spannungsfeld zwischen Jurisprudenz und realer Gefahr, NJW 2008, 2295 ff.) Mit der beliebten Forderung auf Verankerung des Datenschutzes im Grundgesetz (vgl. nur Renate Künast, "Meine Daten gehören mir" - und der Datenschutz gehört ins Grundgesetz, ZRP 2008, 201) lassen sich derartige Entwicklungen nicht besser steuern als nach der gegebenen Verfassungsrechtlage (skeptisch nunmehr auch Hans Peter Bull, Neue Bewegung im Datenschutz, ZRP 2008, 233 ff., 236). Denn auch ein neues Grundrecht könnte nicht schrankenlos formuliert werden. Eher würden solche Schranken die Rechtsprechung an einer flexiblen und zeitgemäßen Rechtsfortbildung hindern Rechtsprechung Das in Art. 2 Abs. 1 i.v.m. Art. 1 Abs. 1 GG gewährleistete Grundrecht auf informationelle Selbstbestimmung umfasst auch die Befugnis des Einzelnen, grundsätzlich zu bestimmen, wann und innerhalb welcher Grenzen persönliche Lebenssachverhalte offenbart werden. Auch die Veröffentlichung der Vergütung der Vorstände gesetzlicher Krankenkassen wird vom Schutzbereich des Grundrechts umfasst. Das Grundrecht auf informationelle Selbstbestimmung ist jedoch nicht schrankenlos gewährleistet. Beschränkungen auf einer verfassungsmäßigen gesetzlichen Grundlage, die insbesondere dem Grundsatz der Verhältnismäßigkeit genügen, sind zulässig. Eine derartige Grundlage stellt nach Ansicht der 1. Kammer des Ersten Senats des BVerfG 35a Abs. 4 Satz 2 SGB IV dar. (Beschluss vom 25. Februar 2008, 1 BvR 3255/07, NJW 2008, 1435), der den legitimen Zweck verfolgt, die Beitragszahler und die Öffentlichkeit über den Einsatz öffentlicher Mittel, die auf gesetzlicher Grundlage erhoben werden, zu informieren. Recht rigide ging die 1. Kammer des Zweiten Senats mit einem Beamten um, dessen Steuerhinterziehung dem Dienstherrn durch die Weitergabe von in Selbstanzeige offenbarten Steuerdaten zur Kenntnis gebracht worden war. Danach ist Beschränkung der informationellen Selbstbestimmung durch 125c Abs. 4 und 6 Satz 2 BRRG, 30 Abs. 4 Nr. 5 AO verfassungskonform (Beschluss vom 6. Mai 2008, 2 BvR 336/07, NJW 2008, 3489). Der Datenschutz wird verstärkt durch den Beschluss der 3. Kammer des Zweiten Senats vom 5. Mai 2008 (2 BvR 1801/06, NJW 2008, 2422), der die Durchsuchung einer Rechtsanwaltskanzlei nur unter engen Voraussetzungen für zulässig erklärte und dabei den Schutz von Berufsgeheimnisträgern in Beziehung zur informationellen Selbstbestimmung setzte (zur Durchsuchung einer Arztpraxis BVerfG, Beschluss vom 21. Januar 2008, 2 BvR 121/07, BeckRS 2008, 31921). Ähnlich argumentierte der EGMR (Urteil vom 16. Oktober 2007, 74336/01, Wieser u. Bicos Beteiligungen GmbH/Österreich, NJW 2008, 3409 mit Anm. Stefanie Schork). Eine unnötige Beschneidung des Landesgesetzgebers bedeutet die Interpretation der Regelungs-
15 Hessischer Landtag 18. Wahlperiode Drucksache 18/ reichweite von 203 StGB durch das OLG Koblenz (Beschluss vom 3. Juni 2008, 1 Ss 13/08, NJW 2008, 2794). Auch für die hessische Verwaltung bedeutsam ist die Entscheidung des OLG Oldenburg vom 20. Mai 2008 (13 WF 93/108, NJW 2008, 3508), wonach ein Detektiv für eine illegale GPS-Observierung keine Kostenerstattung verlangen kann. Im Verhältnis zwischen Datenschutz und Pressefreiheit entschied der EuGH im Urteil vom 16. Dezember 2008 (Rs C73/07 - Tietosujavaltuutettu/Satakunnan Markkinapörssi Oy u. a) zugunsten der Pressefreiheit. 1.4 Daseinsvorsorge Herleitung "Daseinsvorsorge" ist schon deshalb ein Rechtsbegriff, weil der Ausdruck in die Gesetzsprache und Rechtsprechung eingegangen ist. Im Schrifttum wird zwar gelegentlich noch die rechtliche Relevanz der Daseinsvorsorge bestritten (vgl. Krajewski, Rechtsbegriff Daseinsvorsorge?, VerwArch 2008, 174 ff.; Maurer Allgemeines Verwatungsrecht, 17. Aufl. 2009, 1 Rn 16a). Der Rechtsbegriff der Daseinsvorsorge dagegen hat die Struktur eines Rechtssatzes. Ein Rechtssatz formuliert Tatbestand und Rechtsfolge einer Norm. Der Tatbestand besteht in der Regel in der abstrakten Beschreibung eines Lebenssachverhalts. Bei der Daseinsvorsorge fallen abstrakte Beschreibung des Daseinsvorsorgegegenstandes und Begriff im Tatbestand zusammen. Abstrakt bezieht sich der Begriff der Daseinsvorsorge auf im allgemeinen Interesse liegende Aufgaben. Welche Aufgaben das im Einzelnen sind, lässt sich nicht ein für allemal festlegen, weil es keinen abschließenden Katalog der öffentlichen Aufgaben gibt. Generell steht aber fest, dass es für den Alltag in einem zivilisierten Verfassungsstaat unverzichtbare und damit staatlich zu garantierende Leistungen geben muss; Leistungen für die ein Versorgungsbedürfnis der Allgemeinheit besteht. Das Versorgungsbedürfnis der Bevölkerung richtet sich nach dem allgemeinen Lebensstandard. Das gilt für den Gegenstand der Vorsorge wie auch für die qualitativen Anforderungen an ihre Erfüllung. Die daraus folgende Unbestimmtheit, die immer wieder dem Rechtsbegriff der Daseinsvorsorge entgegengehalten wird, bedeutet gerade seine Stärke, nämlich die Entwicklungsoffenheit Anwendungsbereich Erfasst werden Bereiche - der Versorgungswirtschaft (Ver- und Entsorgung), - des Verkehrswesens (Infrastruktur, Verkehrswirtschaft), - des Rundfunks ("Grundversorgung"), - der Telekommunikation ("Universaldienste") und - des Kreditwesens, ferner - Bildungs-, Sozial-, Gesundheits-, Kultur- und Freizeiteinrichtungen Rechtsfolgen Die Daseinsvorsorge ist als "Vorsorge zur optimalen Freiheitsverwirklichung" essenzielle staatliche Aufgabe. Das bedeutet jedoch nicht, dass der Staat diese Aufgabe selbst erfüllen müsste. Ein Gutteil der Daseinssicherung, kann jedoch ebenso (oder besser) durch Private erfolgen. Der Staat muss hier lediglich durch Intervention oder auf sonstige Weise gewährleisten, dass die Daseinssicherung tatsächlich erfolgt. Von wem die Leistung erbracht wird, spielt keine Rolle. Auch das Wie, d.h. in welcher Rechtsform die Aufgaben der Daseinsvorsorge wahrgenommen werden, ist nachrangig. Wie Daseinsvorsorge im Wettbewerb möglich ist, kommt eine Daseinsvorsorge durch Wettbewerb in Betracht. Auch im Wettbewerb darf der Staat die Leistungsaufgaben der Daseinsvorsorge nicht dem freien Spiel der Kräfte überlassen. Bedient sich der Staat zur Erfüllung seiner Aufgaben oder zur eigenen Betätigung der Formen und Regelungen des Privatrechts, bleibt er an das Gemeinwohl gebunden. Daseinsvorsorge bedeutet, dass selbst beim Handeln in Privatrechtsform öffentlich-rechtliche Grundsätze gelten. Der Begriff der Daseinsvorsorge dient somit dazu, in den leistenden Funktionen des modernen Staates, ein öffentlich-rechtliches Element aufzuweisen. Es kommt zulasten der Privatautonomie zu einer Entprivatisierung des Privatrechts. Die Gemeinwohlbindung geht privaten Interessen vor. Die Grundrechte gelten unmittelbar. Datenschutzrechtlich zählen die Leistungen der Daseinsvorsorge zum öffentlichen Bereich. 2. Europa 2.1 Gemeinsame Kontrollinstanzen für das Schengener Informationssystem und für EUROPOL Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder hat dem Hessischen Datenschutzbeauftragten die Wahrnehmung der Interessen der Länderdatenschutzbeauftragten in den europäischen Kontrollinstanzen für Schengen und EUROPOL übertragen. Der Beitrag stellt die Arbeitsschwerpunkte der Sitzungen der Kontrollinstanzen im Berichtszeitraum dar Gemeinsame Kontrollinstanz Schengen Im 36. Tätigkeitsbericht (Ziff. 3.1) hatte ich berichtet, dass die bereits zum 1. Mai 2004 der EU beigetretenen Staaten mit Ausnahme Zyperns seit Ende 2007 auch an dem erweiterten Schengener Informationssystem (SIS I Plus) teilnehmen. Rumänien und Bulgarien haben derzeit noch Beobachterstatus, da das Schengener Durchführungsübereinkommen (SDÜ) ihnen gegenüber noch nicht in Kraft gesetzt wurde. Seit November 2008 sind auch die Schweiz und Liechtenstein - als nicht zur EU gehörig - vollwertige Schengen-Staaten.
16 16 Hessischer Landtag 18. Wahlperiode Drucksache 18/106 Die Erweiterung des Schengenraums um die neuen europäischen Länder hat zu einer Zunahme der Datensätze im SIS um ca. 23 v.h. auf fast 23 Millionen geführt. Die Gemeinsame Kontrollinstanz (GK) prüft in regelmäßigen Abständen, ob Datenspeicherungen von mittlerweile zu EU- Bürgern gewordenen Personen im SIS enthalten sind Schengener Informationssystem der zweiten Generation (SIS II) In den letzten Tätigkeitsberichten (36. Tätigkeitsbericht, Ziff. 3.1; 35. Tätigkeitsbericht, Ziff ) hatte ich berichtet, dass das SIS ausgebaut werden soll, da dessen Technik auch mit SIS I Plus angesichts des rasant angestiegenen Datenumfangs durch den erweiterten Teilnehmerkreis an seine Grenzen stößt. Die von mir beschriebenen neuen Rechtsgrundlagen für das SIS II sind zwar veröffentlicht, finden aber erst dann Anwendung, wenn das SIS II in Echtbetrieb - voraussichtlich Anfang geht. Die GK wurde in die Vorbereitung zur Implementierung von SIS II eingebunden. Sie hat sich zu verschiedenen Fragen der Migration von Daten aus SIS I Plus in SIS II geäußert. Vor allem ging es um datenschutzrechtliche Anforderungen, die an einen derartigen Testlauf gestellt werden, insbesondere die Sicherstellung der Anonymisierung der dort verwandten Daten. Weitere Aufgabe der GK wird es in der nächsten Zeit sein, den reibungslosen Übergang ihrer Kontrolltätigkeiten auf die in den neuen Rechtsgrundlagen vorgesehenen Kontrollinstanzen zu gewährleisten. Demnächst wird die Kontrolle durch den Europäischen Datenschutzbeauftragten hinsichtlich des zentralen Teils des SIS und der damit zusammenhängenden Fragen vorgenommen werden. Hinzu kommen die nationalen Kontrollinstanzen in den einzelnen Schengen-Staaten, deren Zusammenarbeit durch die in den Rechtsakten vorgesehenen gemeinsamen Sitzungen formalisiert wird Ausschreibungen zur verdeckten Registrierung Die GK hatte sich mit der Frage auseinanderzusetzen, ob - wie vom Rat gewünscht - das SIS zum Austausch von Informationen über sog. Unruhestifter (troublemakers) bei politischen Gipfeltreffen oder Massenveranstaltungen genutzt werden kann. Als Rechtsgrundlage für die Speicherung sollte nach den Plänen des Rates Art. 99 SDÜ hinzugezogen werden. Art. 99 SDÜ (1) Daten in Bezug auf Personen... werden nach Maßgabe des nationalen Rechts des ausschreibenden Mitgliedstaats zur verdeckten Registrierung aufgenommen. (2) Eine Ausschreibung dieser Art ist zulässig zur Strafverfolgung und zur Abwehr von Gefahren für die öffentliche Sicherheit, wenn a) konkrete Anhaltspunkte dafür vorliegen, dass der Betroffene in erheblichem Umfang außergewöhnlich schwere Straftaten plant oder begeht, oder b) die Gesamtbeurteilung des Betroffenen, insbesondere aufgrund der bisher von ihm begangenen Straftaten, erwarten lässt, dass er auch künftig außergewöhnlich schwere Straftaten begehen wird. Voraussetzung ist also sowohl im Fall der Strafverfolgung als auch bei der Gefahrenabwehr, dass es um "außergewöhnlich schwere Straftaten" geht. Diese Anforderung sah die GK bei den sog. Unruhestiftern nicht als gegeben an. Sie hatte vielmehr die Befürchtung, dass die Zulassung dieser Ausschreibungskategorie dazu führt, dass auch unverdächtige Personen im SIS ausgeschrieben werden könnten. Hinzu kommt, dass die GK grundlegende Zweifel an der Wahl der Ausschreibungskategorie hatte. Während die Ausschreibung zur verdeckten Registrierung nach Art. 99 SDÜ das Ziel verfolgt, beispielsweise die Reisewege einer Person zu registrieren und der verdeckte Charakter der Maßnahme gewahrt bleiben soll, kommt es bei dem Vorhaben des Rats gerade darauf an, bestimmte Personen von einer Veranstaltung fernzuhalten und evtl. festzunehmen Gemeinsame Überprüfung der Ausschreibungen von Dritt-Ausländern zur Einreiseverweigerung Im Jahr 2004 hatte die GK eine europaweit koordinierte Prüfung von Ausschreibungen zur Einreiseverweigerung nach Art. 96 SDÜ initiiert. Über das Ergebnis der Kontrollen durch die jeweiligen Datenschutzbeauftragten in den Schengen- Staaten habe ich im 33. Tätigkeitsbericht (Ziff. 3.2) berichtet. Art. 96 SDÜ (1) Die Daten bezüglich Drittausländern, die zur Einreiseverweigerung ausgeschrieben sind, werden aufgrund einer nationalen Ausschreibung gespeichert, die auf Entscheidungen der zuständigen Verwaltungsbehörden und Gerichten beruht, wobei die Verfahrensregeln des nationalen Rechts zu beachten sind. (2) Die Entscheidungen können auf die Gefahr für die öffentliche Sicherheit und Ordnung oder die nationale Sicherheit, die die Anwesenheit eines Drittausländers auf dem Hoheitsgebiet der Vertragspartei bedeutet, gestützt werden.... (3) Die Entscheidungen können ebenso darauf beruhen, dass der Drittausländer ausgewiesen, zurückgewiesen oder abgeschoben worden ist, wobei die Maßnahme nicht aufgeschoben oder aufgehoben worden sein darf, ein Verbot der Einreise oder des Aufenthaltes enthalten oder davon begleitet sein muss und auf der Nichtbeachtung des nationalen Rechts über die Einreise oder den Aufenthalt von Ausländern beruhen muss.
17 Hessischer Landtag 18. Wahlperiode Drucksache 18/ Im März d.j. beschloss die GK, einen follow-up-check der damaligen Feststellungen vorzunehmen, um zu prüfen, ob die seinerzeit festgestellten Defizite weiterhin bestehen. Die Ausschreibungen nach Art. 96 SDÜ machen immer noch ca. 90 v.h. der personenbezogenen Ausschreibungen im SIS aus. Mängel bei dieser Ausschreibungskategorie wirken sich deshalb besonders auf die Fehlerquote des SIS insgesamt aus. Festzustellen waren zum einen Fehler, die die Voraussetzungen der Speicherung selbst betreffen. Zum anderen ging es vor allem um die Einhaltung der vorgesehenen Überprüfungs- und Löschungsfristen sowie Dokumentationspflichten. Deutschland hat die Überprüfung mittlerweile abgeschlossen (die Prüfung in Hessen wird unter Ziff dargestellt). Auch eine Vielzahl anderer Schengen-Länder haben ihre Prüfberichte erstellt und dem Sekretariat der GK übermittelt. Derzeit wird von diesem eine Synthese der Ergebnisse erstellt, um dann Verbesserungsvorschläge auszuarbeiten Gemeinsame Überprüfung der Ausschreibungen zur vorläufigen in Gewahrsamnahme und zur Wohnsitzund Aufenthaltsermittlung Die GK unternimmt zur Zeit eine weitere gemeinsame Überprüfung von Ausschreibungen im SIS. Dabei geht es zum einen u.a. um Vermisste und andere Personen sowie Minderjährige. Art. 97 SDÜ Daten in Bezug auf Vermisste oder Personen, die im Interesse ihres eigenen Schutzes oder zur Gefahrenabwehr auf Ersuchen der zuständigen Behörde oder des zuständigen Gerichts der ausschreibenden Vertragspartei vorläufig in Gewahrsam genommen werden müssen, werden aufgenommen, damit die Polizeibehörden den Aufenthalt der ausschreibenden Vertragspartei mitteilen oder die Person in Gewahrsam nehmen können, um deren Weiterreise zu verhindern, soweit es das nationale Recht erlaubt. Dies gilt insbesondere für Minderjährige und Personen, die aufgrund einer Anordnung einer zuständigen Stelle zwangsweise untergebracht werden müssen.... Die andere Ausschreibungskategorie betrifft u.a. Zeugen im Strafverfahren. Art. 98 Abs. 1 SDÜ Daten in Bezug auf Zeugen sowie auf Personen, die im Rahmen eines Strafverfahrens wegen Taten vor Gericht erscheinen müssen, derentwegen sie verfolgt werden oder Personen, denen ein Strafurteil oder die Ladung zum Antritt einer Freiheitsentziehung zugestellt werden muss, werden auf Ersuchen der zuständigen Justizbehörden im Hinblick auf die Mitteilung des Wohnsitzes oder des Aufenthalts aufgenommen. Beide Ausschreibungskategorien zusammen ergaben immerhin in Deutschland Speicherungen zu ca Personen. Die GK hat einen Fragebogen ausgearbeitet, der in allen Mitgliedstaaten bearbeitet wird. Derzeit werden die Rechtsgrundlagen für die Ausschreibungen und die Praxis in den Schengen-Staaten zusammengetragen. In einem weiteren Schritt soll die Rechtmäßigkeit der Ausschreibungen mittels festgelegten Kriterien geprüft werden Gemeinsame Kontrollinstanz EUROPOL Neue Rechtsgrundlage für EUROPOL In den letzten Tätigkeitsberichten (36. Tätigkeitsbericht, Ziff ; 35. Tätigkeitsbericht, Ziff ) hatte ich berichtet, dass das völkerrechtliche EUROPOL-Abkommen durch einen Ratsbeschluss nach Art. 34 Abs. 2c EU-Vertrag ersetzt werden soll. Anders als damals angenommen, ist der Beschluss noch nicht verabschiedet. Allerdings ist eine politische Einigung auf die im 36. Tätigkeitsbericht (Ziff ) beschriebenen Inhalte erfolgt (Beschluss des Rates zur Errichtung zu Europäischen Polizeiamts vom 24. Juni 2008, 8706/08). Es ist weiterhin vorgesehen, dass der Ratsbeschluss Anfang 2010 in Kraft tritt Stellungnahme zu Analysedateien Bevor EUROPOL personenbezogene Daten zu einem bestimmten Ermittlungskomplex in einer automatisierten Datei speichern darf, ist eine Errichtungsanordnung zu erstellen. Art. 12 EUROPOL-Abkommen - Errichtungsanordnung (1) EUROPOL hat für jede nach Art. 10 bei ihm zur Erfüllung seiner Aufgaben geführte automatisierte Datei mit personenbezogenen Daten in einer Errichtungsanordnung, die der Zustimmung des Verwaltungsrates bedarf, festzulegen: 1. Bezeichnung der Datei, 2. Zweck der Datei, 3. Personenkreis, über den Daten gespeichert werden, 4. Art der zu speichernden Daten Voraussetzungen, unter denen in der Datei gespeicherte personenbezogene Daten an welche Empfänger und in welchem Verfahren übermittelt werden dürfen, 8. Prüffristen und Speicherungsdauer 9. Protokollierung
18 18 Hessischer Landtag 18. Wahlperiode Drucksache 18/106 Die GK wird regelmäßig vor der Errichtung neuer Analysedateien informiert und nimmt dazu Stellung. Die deutsche Delegation ist in der Arbeitsgruppe, auf die die GK einen Teil der Arbeit delegiert hat, vertreten. Einzelheiten können aufgrund des vertraulichen Inhalts der Dokumente nicht mitgeteilt werden. Derzeit unterhält EUROPOL 18 Analysedateien Teilnahme von Experten aus Drittstaaten in Analysegruppen von EUROPOL Aufgrund einer Änderung des EUROPOL-Übereinkommens durch das dänische Protokoll (s. dazu 36. Tätigkeitsbericht, Ziff ) dürfen Experten von Drittstaaten bzw. Nicht-EU-Stellen unter bestimmten Voraussetzungen an der Tätigkeit von Analysegruppen von EUROPOL teilnehmen. Grundlage dafür ist eine Vereinbarung zwischen EUROPOL und dem Drittstaat bzw. der anderen Behörde, in der Einzelheiten der Tätigkeit der Mitarbeiter sowie der Datenverarbeitung geregelt werden. Der GK wurden eine Reihe derartiger Vereinbarungen, u.a. mit Australien, Kroatien, USA, Schweiz, Interpol und Eurojust, zur Stellungnahme übersandt. Dabei wurde festgestellt, dass einige der Vereinbarungen schon seit 2007 existieren und es versäumt wurde, die GK im Vorfeld zu informieren Prüfung der Datenschutzberichte von Russland und Israel EUROPOL kann aufgrund eines Ratsbeschlusses vom 27. März 2000 (ABlEG 2000/C 106/1 vom 13. April 2000) Vereinbarungen mit Drittstaaten und nicht EU-Stellen über den Austausch operativer, strategischer oder technischer Informationen einschließlich personenbezogener Daten abschließen. Dies gilt für Staaten und Organisationen, die der Rat nach einem bestimmten Verfahren ausgewählt hat. Die Befugnis zum Abschluss von Vereinbarungen findet sich in Art. 23 des Entwurfs für einen Ratsbeschluss zu EUROPOL wieder. Voraussetzung für den Beginn derartiger Verhandlungen ist u.a. ein Bericht über das Datenschutzniveau in dem betreffenden Land. EUROPOL hat bisher derartige Datenschutzberichte zu Russland und Israel erstellt. Die Berichte wurden der GK in einer ihrer Sitzungen von Mitarbeitern von EUROPOL vorgestellt. Die GK hat zunächst zu entscheiden, ob der Stand des Datenschutzes in Russland und Israel die Aufnahme von Verhandlungen über eine Vereinbarung zur Übermittlung personenbezogener Daten durch EUROPOL erlaubt oder nicht. Es geht also noch nicht darum, zu entscheiden, ob bestimmte personenbezogene Daten übermittelt werden dürfen. Die GK hat noch grundsätzliche Fragen, insbesondere zur Qualität der Datenschutzgesetzgebung und der Existenz von Datenschutzkontrollinstanzen, die zunächst beantwortet werden müssen. 2.2 EURODAC - Koordinierung der Kontrolle Der Europäische Datenschutzbeauftragte und die nationalen Kontrollinstanzen haben eine Koordinierungsgruppe gegründet, um die Kontrollen des Europäischen Fingerabdrucksystems EURODAC besser abzustimmen. Der Hessische Datenschutzbeauftragte ist als Vertreter der Landesdatenschutzbeauftragten Mitglied der deutschen Delegation. In der Zentralen Datenbank von EURODAC in Luxemburg werden die Fingerabdrücke aller Asylbewerber gespeichert, die einen Antrag in einem der Mitgliedstaaten der EU gestellt haben. Ziel ist es zum einen, zu verhindern, dass Anträge auf Asyl nacheinander in verschiedenen europäischen Staaten gestellt werden. Vorgesehen ist weiterhin der Abgleich des zentralen Datenbestands mit Daten von an der Grenze aufgegriffenen oder sich illegal in dem Mitgliedstaat aufhaltenden Ausländern. Nach der EURODAC-Verordnung (EG Nr. 2725/2000 vom 11. Dezember 2000, ABlEG L 316/1) als Instrument der ersten Säule der EU ist der Europäische Datenschutzbeauftragte für die Kontrolle der Zentralen Datenbank in Luxemburg zuständig. Die Kontrolle bei den Stellen, die in den einzelnen Mitgliedstaaten die EURODAC-Verordnung umsetzen (in Deutschland: u.a. BKA, Bundesamt für Migration und Flüchtlinge, Polizeidienststellen), obliegt den nationalen Kontrollstellen. Um die Kontrolle besser aufeinander abzustimmen und beispielsweise die Kontrollschwerpunkte in allen Mitgliedstaaten zu vereinheitlichen, wurden die bisher schon stattfindenden Arbeitstreffen zwischen dem Europäischen Datenschutzbeauftragten und den nationalen Kontrollinstanzen in einer Koordinierungsgruppe formalisiert. Im Berichtszeitraum hat die Koordinierungsgruppe zweimal getagt. Es wurden insbesondere die bisherigen Kontrollergebnisse in den einzelnen Mitgliedstaaten vorgestellt sowie gemeinsame Kriterien für zukünftige Kontrollen entwickelt. Man einigte sich auf drei Schwerpunkte: Zum einen soll geprüft werden, inwieweit die Mitgliedstaaten der in Art. 18 EURODAC-Verordnung enthaltenen Unterrichtungspflicht nachkommen. Art. 18 EURODAC-Verordnung (1) Der Herkunftsmitgliedstaat unterrichtet die Personen, die unter diese Verordnung fallen, über a) die Identität des für die Verarbeitung Verantwortlichen und ggf. seines Vertreters, b) die Zwecke der Verarbeitung der Daten im Rahmen von Eurodac, c) die Empfänger der Daten, d) die Verpflichtung zur Fingerabdrucknahme bei Personen im Sinne des Artikels 4 oder Artikels 8, e) die Auskunfts- und Berichtigungsrechte bezüglich sie betreffender Daten. Ein weiteres Thema soll die Speicherung von Daten Minderjähriger sein. Hier geht es vor allem darum nachzuprüfen, ob - anders als in der EURODAC-Verordnung vorgesehen - auch schon Daten von unter 14-Jährigen gespeichert werden. Zum anderen sollen die unterschiedlichen von den Mitgliedstaaten angewandten Methoden zur Feststellung des Alters des minderjährigen Asylbewerbers untersucht werden.
19 Hessischer Landtag 18. Wahlperiode Drucksache 18/ Das dritte Thema umfasst Probleme, die sich bei der Anwendung von Dubli-Net ergeben. Dies ist das Netz, über das die Daten zur Bestimmung der zuständigen Asylbehörde zwischen den Mitgliedstaaten ausgetauscht werden. Der Europäische Datenschutzbeauftragte hat berichtet, dass bei der Kontrolle der Zentralen Datenbank in Luxemburg bisher keine datenschutzrechtlichen Verstöße festgestellt wurden. 2.3 Auswirkungen des Vertrags von Lissabon auf den Datenschutz Vor gut einem Jahr unterzeichneten die Staats- und Regierungschefs der 27 Mitgliedsländer der EU den Vertrag von Lissabon (ABlEG 2007/C 306/01), der eine grundlegende Umgestaltung der Gemeinschaftsverträge vorsieht. Auch wenn das Inkrafttreten noch nicht absehbar ist, wird es in irgendeiner Form zu Reformen kommen. Für den Datenschutz sieht der Vertrag von Lissabon eine Reihe wichtiger Änderungen vor. Art. 16 des Vertrags über die Arbeitsweise der EU (AEUV), der den Vertrag über die EG (EGV) abändert, enthält eine Aufgabenzuweisung und einen Auftrag für die europäischen Gesetzgebungsorgane zum Erlass von Datenschutzvorschriften. Neu dabei ist, dass dies nicht nur für die Verarbeitung von personenbezogenen Daten durch europäische Organe und Einrichtungen gilt, sondern auch für die Datenverarbeitung durch die Mitgliedstaaten. Art. 16 Abs. 2 AEUV Das Europäische Parlament und der Rat erlassen gemäß dem ordentlichen Gesetzgebungsverfahren Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union sowie durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Unionsrechts fallen und über den freien Datenverkehr. Die Einhaltung dieser Vorschriften wird von unabhängigen Behörden überwacht. Eine weitere Neuerung ist, dass diese Regelung als allgemein geltende Bestimmung im Vertrag von Lissabon u.a. auch für die polizeiliche und justizielle Zusammenarbeit gilt. Durch den Wegfall der Säulenkonstruktion wird der ehemals der 3. Säule zufallende Bereich der polizeilichen und justiziellen Zusammenarbeit vergemeinschaftet und fällt damit grundsätzlich in den Anwendungsbereich von Art. 16 AEUV. Dies kann zum einen Auswirkungen auf den Anwendungsbereich der Datenschutzrichtlinie (Richtlinie der EG 1995/46 vom 24. Oktober 1995) haben. Dort wird die Anwendung der Richtlinie u.a. für Tätigkeiten, die nicht in den Anwendungsbereich des Gemeinschaftsrechts fallen, ausgeschlossen. Da die polizeiliche und justizielle Zusammenarbeit aber im Vertrag von Lissabon gerade vergemeinschaftet wird, ist jedenfalls eine Anwendung der Richtlinie auch auf diesen Bereich zu prüfen. Es stellt sich weiterhin die Frage, ob der Ende November verabschiedete Rahmenbeschluss für den Datenschutz in der 3. Säule der EU (Vorschlag für einen Rahmenbeschluss des Rates über den Schutz personenbezogener Daten, die Rahmen der polizeilichen und justiziellen Zusammenarbeit in Strafsachen verarbeitet werden vom 12. Dezember 2007, 16069/07) den Anforderungen von Art. 16 Abs. 2 AEUV genügt. Nach wie vor umfasst der Anwendungsbereich dieses Rahmenbeschlusses nicht die Datenverarbeitung in den Mitgliedstaaten, obwohl dies immer wieder von den Datenschutzbeauftragten der Mitgliedstaaten (s. Entschließung Ziff ) und erst kürzlich vom Europäischen Parlament (Bericht des Ausschusses für Bürgerliche Freiheiten, Justiz und Inneres vom 23. Juli 2008) angemahnt wurde. Eine weitere wichtige Änderung durch den Vertrag von Lissabon bringt das erstmalig auf europäischer Ebene rechtsverbindlich ausgestaltete Grundrecht auf Datenschutz. Es findet sich in Art. 8 der Charta der Grundrechte der EU. Art. 8 Charta der Grundrechte der EU (1) Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten. (2) Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betreffenden Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken. (3) Die Einhaltung dieser Vorschriften wird von einer unabhängigen Stelle überwacht. In der Schlussakte des Vertrags von Lissabon wird in einer Erklärung auf die Charta der Grundrechte der EU verwiesen und die dort postulierten Grundrechte werden als rechtsverbindlich anerkannt. Für die Bürgerinnen und Bürger in Europa, die sich bei Maßnahmen durch europäische Organe oder Einrichtungen auf ein explizites Grundrecht auf Datenschutz berufen können, ist dies sicher von Vorteil. Die Entwicklung wird zeigen, ob und welche Auswirkungen die Ausformung des Europäischen Grundrechts auf die Rechtsprechung zum Datenschutz in Deutschland hat. Diese ist gehalten, darauf zu achten, dass das Europäische Grundrecht das hier maßgebliche Grundrecht auf informationelle Selbstbestimmung ergänzt, aber nicht verdrängt. Der hohe deutsche Datenschutzstandard wird vom Integrationsvorbehalt des Art. 23 Abs. 1 GG erfasst und kann durch EU-Recht nicht abgesenkt werden. Art. 23 Abs. 1 GG Zur Verwirklichung eines vereinten Europas wirkt die Bundesrepublik Deutschland bei der Entwicklung der Europäischen Union mit, die demokratischen, rechtsstaatlichen, sozialen und föderativen Grundsätzen und dem Grundsatz der Subsidiari-
20 20 Hessischer Landtag 18. Wahlperiode Drucksache 18/106 tät verpflichtet ist und einen diesem Grundgesetz im wesentlichen vergleichbaren Grundrechtsschutz gewährleistet. Der Bund kann hierzu durch Gesetz mit Zustimmung des Bundesrates Hoheitsrechte übertragen. Für die Begründung der Europäischen Union sowie für Änderungen ihrer vertraglichen Grundlagen und vergleichbare Regelungen, durch die dieses Grundgesetz seinem Inhalt nach geändert oder ergänzt wird oder solche Änderungen oder Ergänzungen ermöglicht werden, gilt Artikel 79 Abs. 2 und 3. Die aufgeworfenen Fragen waren Gegenstand einer Tagung, die der Hessische Datenschutzbeauftragte gemeinsam mit der Goethe-Universität Frankfurt zum Thema: "Datenschutz in Deutschland nach dem Vertrag von Lissabon" am 9. Dezember 2008 durchgeführt hat. Die Beiträge werden in einer Broschüre veröffentlicht und sind demnächst erhältlich. 3. Bund 3.1 Grobkonzept zum elektronischen Personalausweis Das vom BMI vorgelegte Grobkonzept zum elektronischen Personalausweis, zu dem ich Gelegenheit hatte, gegenüber dem BMI eine Stellungnahme abzugeben, enthielt Schwachstellen, die auch das inzwischen verabschiedete Gesetz noch teilweise beinhaltet. Das Konzept verfolgt die Schaffung einer multifunktionalen Bürgerkarte, ohne allerdings die Risiken der angebotenen Möglichkeiten ausreichend zu beleuchten Der neue Personalausweis Gründe der Bundesregierung für Änderungen am Personalausweis Bei den Überlegungen, wie ein zukünftiger Personalausweis aussehen kann, hat die Bundesregierung versucht, mehrere Ziele unter einen Hut zu bringen. Der Personalausweis soll weiterhin als hoheitliches Dokument dem Identitätsnachweis dienen und in Europa als Reisedokument gültig sein. Es wurde auch die Notwendigkeit gesehen, neue Sicherheitsvorkehrungen gegen eine unbefugte Nutzung oder Fälschungen zu ergreifen. Eine ganz wesentliche Überlegung war aber, dem Bürger ein neues Instrument für die Nutzung des Internets zur Verfügung zu stellen. Die Bundesregierung will den Bürger bestärken, das Internet im Kontakt zur Wirtschaft (ecommerce) und zur Verwaltung (egovernment) zu nutzen. Bisher gibt es dabei im Vergleich zu den herkömmlichen Abläufen aber wesentliche Probleme. Während man sich gegenüber der Verwaltung und in Geschäften heute durch Vorlage seines Personalausweises identifizieren kann, gibt es derzeit im Internet keine vergleichbare Möglichkeit. Ähnlich sieht es mit der Unterschrift aus. Hier existiert zwar das elektronische Äquivalent in Form der qualifizierten elektronischen Signatur, aber sie ist längst noch nicht verbreitet. Der neue elektronische Personalausweis (epa) soll für all diese Szenarien die richtige Lösung bieten Das Grobkonzept Die Überlegungen wurden in einem Grobkonzept konkretisiert, das Mitte 2008 in der Version 2.0 zur Kommentierung veröffentlicht wurde Funktionen Bisher diente der Personalausweis als Identitätsnachweis in verschiedenen Lebenslagen (z.b. als Reisedokument bei hoheitlichen Kontrollen, gegenüber Behörden und auch im Geschäftsverkehr, insbesondere für den Altersnachweis und für andere Nachweise). Diese Funktionen sollen weiterhin durch den epa erfüllt werden, der bezüglich der Sicherheitsfunktionen an den elektronischen Reisepass (epass) angeglichen wird. Darüber hinaus will die Bundesregierung, dass die Identifizierung im Geschäftsverkehr über das Internet unterstützt wird, sodass auch im Internet rechtsverbindlich Verträge abgeschlossen werden können. Weiterhin soll im Internet die Möglichkeit der pseudonymen Nutzung unterstützt werden. Verpflichtend soll nur eine Ausweisfunktion analog dem bisherigen Personalausweis sein. Andere Funktionen sollen dem Bürger als Option angeboten werden: - Er kann auf dem epa seine Fingerabdrücke speichern lassen. Diese wären nur bei hoheitlichen Kontrollen - beispielsweise bei der Einreise - im Zugriff. - Er kann die Funktion "Identifizierung im Internet-Geschäftsverkehr" nutzen. Wenn der Kommunikationspartner im Internet - dies kann eine Firma oder eine Verwaltung sein - für diese Funktion zugelassen ist, kann er damit einen Identitätsnachweis führen. - Er kann eine qualifizierte elektronische Signatur auf den Ausweis aufbringen lassen. Hiermit kann er in elektronischer Form Verträge abschließen, die der Schriftform bedürfen Technik Technisch betrachtet soll es sich beim epa um eine Chipkarte mit kontaktloser Schnittstelle, eine sogenannte RFID-Technik (vgl. 34. Tätigkeitsbericht, Ziff. 4.2), nach ISO handeln. Auf der Vorder- und der Rückseite werden wie beim bisherigen Personalausweis das Lichtbild und die Daten zur Person gedruckt. Außerdem soll eine Zugangsnummer aufgebracht werden.

References: Art. 89
 Art. 1
 Art. 6
 Art. 1
 Art. 1
 Art. 6
 Art. 4
 Art. 1
 Art. 32
 Art. 2
 Art. 2
 Art. 11
 Art. 2
 Art. 3
 Art. 5
 Art. 5
 Art. 5
 Art. 2
 Art. 2
 Art. 6
 Art. 2
 Art. 1
 Art. 2
 Art. 1
 Art. 2
 Art. 1
 EGMR 
 EuGH 
 Art. 99
 Art. 99
 Art. 99
 Art. 96
 Art. 96
 Art. 96
 Art. 97
 Art. 98
 Art. 34
 Art. 12
 Art. 10
 Art. 23
 Art. 18
 Art. 18
 Art. 16
 Art. 16
 Art. 16
 Art. 16
 Art. 8
 Art. 8
 Art. 23
 Art. 23