Source: http://rodorf.de/01_polg/22bpolg.htm
Timestamp: 2019-04-20 05:16:52
Document Index: 120869066

Matched Legal Cases: ['§ 22', '§ 22', '§ 22', '§ 22', '§ 29', '§ 14', '§ 22', '§ 22', '§ 42', '§ 36', '§ 36', '§ 22', '§ 22', '§ 9', '§ 9', '§ 42', '§ 42', '§ 22', '§ 42', '§ 16', '§ 20', '§ 16', '§ 20', '§ 8', '§ 22', '§ 22', '§ 36', '§ 36', '§ 22', '§ 8', 'Art. 30', 'Art. 30']

§ 22b PolG NRW (Kennzeichnung in polizeilichen Dateisystemen)
VVPolG NRW noch nicht verfügbar
01 Allgemeines zu § 22b PolG NRW
02 Kennzeichnung bei der Speicherung
02.1 Keine Weiterverarbeitung ohne Kennzeichnung
02.2 Kennzeichnung muss bei Datenübermittlung erhalten bleiben
02.3 Ausnahmeregelung bei der Kennzeichnungspflicht
03 Quellen
In der Drucksache 17/2576 vom 09.05.2018 zum Gesetzesentwurf des »Gesetzes zur Anpassung des Polizeigesetzes des Landes Nordrhein-Westfalen und des Gesetzes über Aufbau und Befugnisse der Ordnungsbehörden« heißt es wie folgt:
Nr. 19 (§ 22b):
§ 22b regelt die Kennzeichnungspflicht bei der Speicherung in polizeilichen Datensystemen. Es handelt sich dabei um eine technisch-organisatorische Folgeregelung aufgrund der Einführung der hypothetischen Datenneuerhebung. Damit werden auch die Vorgaben aus § 29 Absatz 4 BKAG-Neu umgesetzt. Diese Norm gibt den Verbundteilnehmern des polizeilichen Informationsverbundes beim BKA vor, eine Speicherung personenbezogener Daten nur unter Beachtung der Kennzeichnungsregelungen aus § 14 BKAG-Neu (als Ausfluss der hypothetischen Datenneuerhebung) vornehmen zu dürfen. Wegen der grundsätzlichen datenschutzrechtlichen Bedeutung der hypothetischen Datenneuerhebung ist eine Implementierung auch in den darüber hinausgehenden weiteren polizeilichen Anwendungen angezeigt.
Absatz 4 wurde für die Fälle technischer Unmöglichkeit oder des unverhältnismäßigen Aufwandes weitere Ausnahmen von der Kennzeichnungspflicht getroffen. Er gilt ausschließlich für besondere Einzelfälle.
Absatz 5 beinhaltet eine Übergangsvorschrift zur Weiterverarbeitung oder Übermittlung personenbezogener Daten auch ohne eine Kennzeichnung zum Stichtag des 23. Mai 2018, dem Tag vor Inkrafttreten des neuen Datenschutzgesetzes Nordrhein-Westfalen. [En01] 1
Die nachfolgende Auflistung gewährt zuerst einmal nur einen groben Überblick über die Regelungsinhalte des § 22b PolG NRW (Kennzeichnung in polizeilichen Dateisystemen):
Personenbezogene Daten sind bei der Speicherung wie folgt zu kennzeichnen:
Wurden die Daten offen oder verdeckt erhoben?
Welcher Kategorie gehört die betroffene Person an, von der Daten erhoben wurden?
Welche Rechtsgüter werden durch die Datenerhebung geschützt?
Welche Straftaten sollen verhütet werden?
Wer hat die Daten erhoben?
Angabe der Rechtsgrundlage der Datenerhebung
Nur entsprechend gekennzeichnete Daten dürfen weiterverarbeitet oder übermittelt werden
Übermittelte Daten müssen gekennzeichnet sein, von woher sie kommen
Ausnahmeregelung der Weiterverarbeitung oder Übermittlung von Daten ohne Kennzeichnung.
Im § 22b Abs. 1 PolG NRW (Kennzeichnung in polizeilichen Dateisystemen) heißt es:
(1) Bei der Speicherung in polizeilichen Dateisystemen sind personenbezogene Daten wie folgt zu kennzeichnen:
1. Angabe des Mittels der Erhebung der Daten einschließlich der Angabe, ob die Daten offen oder verdeckt erhoben wurden,
2. Angabe der Kategorie betroffener Personen im Sinne des § 42 des Datenschutzgesetzes Nordrhein-Westfalen, zu denen die zur Identifizierung dienenden Daten angelegt wurden,
3. Angabe der
a) Rechtsgüter, deren Schutz die Erhebung dient oder
b) Straftaten, deren Verhütung oder vorbeugende Bekämpfung die Erhebung dient,
4. Angabe der Stelle, die sie erhoben hat.
Die Kennzeichnung nach Satz 1 soll auch durch die Angabe der Rechtsgrundlage der Datenerhebung ergänzt werden.
[Speicherung:] Speichern ist das Erfassen, Aufnehmen oder Aufbewahren von Daten auf einem Datenträger zum Zwecke ihrer weiteren Verarbeitung.
Im Polizeirecht umfasst der Vorgang der Datenspeicherung die Sicherung personenbezogener Daten auf verschiedensten Medien, wie zum Beispiel: Festplatten, USB-Sticks, CD aber auch auf anderen Datenträgern. Im § 36 DSG NRW (Begriffsbestimmungen) wird der technische Vorgang der Datenspeicherung lediglich in einem anderen anderen Zusammenhängen verwendet.
§ 36 Nr. 2 DSG NRW: 2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung, die Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich, die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
[Datenerhebung:] Personenbezogene Daten werden erhoben, wenn sich die Polizei diese Daten selbst beschafft, also selbst tätig wird, um sich in den Besitz von personenbezogenen Daten zu bringen.
Werden der Polizei personenbezogene Daten von polizeiexternen Personen unaufgefordert zur Verfügung gestellt, dann werden solche Daten im Rechtssinne nicht erhoben.
Insoweit lässt § 22b Abs. 1 Nr. 1 PolG NRW offen, wie mit Daten umzugehen ist, die auf andere Art und Weise von der Polizei rechtmäßig erlangt wurden, siehe § 22b Abs. 1 PolG NRW (Datenspeicherung, Prüfungstermine) heißt es:
(1) Die Polizei kann rechtmäßig erlangte personenbezogene Daten in Akten und Dateisystemen speichern, soweit dies zur Erfüllung ihrer Aufgaben, zu einer zeitlich befristeten Dokumentation oder zur Vorgangsverwaltung erforderlich ist.
Hier wird davon ausgegangen, dass personenbezogene Daten, die von der Polizei selbst erhoben oder aber der Polizei von anderen unaufgefordert zur Verfügung gestellt werden und somit auf rechtmäßige Art und Weise in den Besitz der Polizei gelangen (rechtmäßig erlangte personenbezogene Daten) so zu speichern und zu kennzeichnen sind, wie dies das Gesetz verlangt.
[Offene oder verdeckte Datenerhebung?] Personenbezogene Daten können von der Polizei sowohl offen, als auch verdeckt erhoben werden.
[Offene Datenerhebung:] Offen werden personenbezogene Daten erhoben, wenn die Person, deren personenbezogene Daten von der Polizei erhoben werden, davon Kenntnis hat. Das ist aber nicht zwingend. In der VVPolG NRW zu § 9 heißt es: »Eine Datenerhebung kann ohne Kenntnis der betroffenen Person u.a. bei öffentlichen Stellen oder Dritten sowie aus allgemein zugänglichen Quellen erfolgen. Eine Datenerhebung durch Befragung Dritter oder durch Auskunftsersuchen bei einer anderen Behörde ist nicht schon deshalb eine verdeckte Maßnahme, weil sie ohne Kenntnis der betroffenen Person erfolgt.
[Verdeckte Datenerhebung:] Dazu heißt es in der VVPolG NRW zu § 9 wie folgt: »Eine verdeckte Datenerhebung liegt vor, wenn getarnte Maßnahmen zur Datenerhebung vorgenommen werden, insbesondere die Zugehörigkeit zur Polizei bewusst verschleiert wird. Um ein verdecktes Vorgehen handelt es sich nicht schon, wenn Polizeivollzugsbeamtinnen oder Polizeivollzugsbeamte Dienst in Zivilkleidung verrichten oder ein äußerlich nicht als solches zu erkennendes Dienstfahrzeug benutzen.«
[Kategorien iSv § 42 DSG NRW:] Die Regelung im § 42 DSG NRW (Unterscheidung zwischen verschiedenen Kategorien betroffener Personen), auf die § 22b Abs. 1 Nr. 1 PolG NRW (Datenspeicherung, Prüfungstermine) verweist, hat folgenden Wortlaut:
§ 42 DSG NRW (Unterscheidung zwischen verschiedenen Kategorien betroffener Personen)
1. Personen, gegen die ein begründeter Verdacht besteht, dass sie eine Straftat begangen haben,
2. Personen, gegen die ein begründeter Verdacht besteht, dass sie in naher Zukunft eine Straftat begehen werden,
3. verurteilte Straftäter,
4. Opfer einer Straftat oder Personen, bei denen bestimmte Tatsachen darauf hindeuten, dass sie Opfer einer Straftat sein könnten, und
5. andere Personen wie insbesondere Zeugen, Hinweisgeber oder Personen, die mit den in den Nummern 1 bis 4 genannten Personen in Kontakt oder Verbindung stehen.
Diese Regelung ist eindeutig und bedarf keiner weiteren Erörterung.
[Welche Rechtsgüter wurden durch die Datenerhebung geschützt?] Geschützt werden durch die Datenerhebung die Rechtsgüter, die bedroht sein müssen, um Rechtsfolgen zur Anwendung kommen zu lassen, die auf der Grundlage einschlägiger Befugnisse der Polizei gesetzlich zugelassen sind.
Werden zum Beispiel personenbezogene Daten von der Polizei im Rahmen einer längerfristigen Observation auf der Grundlage von § 16a Abs. 1 Nr. 2 PolG NRW (Datenerhebung durch Observation) erhoben, dann ist das zulässig, »soweit Tatsachen die Annahme rechtfertigen, dass diese Personen Straftaten von erheblicher Bedeutung begehen wollen, sowie über deren Kontakt- oder Begleitpersonen, wenn die Datenerhebung zur vorbeugenden Bekämpfung dieser Straftaten erforderlich ist.«
Eine verdeckte Datenerhebung im Sinne von § 20a Abs. 1 PolG NRW (Abfrage von Telekommunikations- und Telemediendaten) sind nur zulässig, »1. wenn die hohe Wahrscheinlichkeit eines Schadens für Leben, Gesundheit oder Freiheit einer Person besteht oder 2. zur Abwehr einer gemeinen Gefahr« notwendig werden und solch eine Maßnahme von dazu autorisierten Personen (Behördenleiterin oder Behördenleiter) angeordnet wurde.
[Welche Straftaten sollten durch die Datenerhebung verhütet bzw. verhindert werden?] In Betracht kommen nur die zu verhütenden Straftaten, zu deren Verhinderung polizeirechtliche Befugnisse zur Datenerhebung in Betracht kommen.
Während es sich zum Beispiel bei einer längerfristigen Observation auf der Grundlage von § 16a PolG NRW (Observation) um »Straftaten von erheblicher Bedeutung« handeln muss, die verhütet bzw. verhindert werden sollen, kann es sich bei einer Maßnahme auf der Grundlage von § 20c Abs. 1 Nr. 1 PolG NRW (Datenerhebung durch die Überwachung der laufenden Telekommunikation) nur um eine terroristische Straftat im Sinne von § 8 Abs. 4 PolG NRW (Allgemeine Befugnisse der Polizei; Begriffsbestimmung) handeln.
Um was für eine Straftat es sich bei dieser Alternative handeln muss, um personenbezogene Daten erheben zu können, kann letztlich nur in Verbindung mit der Befugnis geprüft werden, auf deren Grundlage die Datenerhebung durchgeführt wird.
[Wo wurden die Daten erhoben?] Damit ist die örtlich zuständige Polizeibehörde gemeint, in deren Zuständigkeitsbereich die Daten erhoben wurden.
[Kennzeichnung der Rechtsgrundlage der Datenerhebung:] Damit sind die Befugnis gemeint, auf deren Grundlage personenbezogene Daten von der Polizei erhoben werden.
Soweit personenbezogene Daten von der Polizei in polizeiliche Dateisysteme eingepflegt werden, geschieht dies nach dem Regelwerk des PolG NRW und unabhängig davon, ob personenbezogene Daten zum Zweck der Gefahrenabwehr auf der Grundlage des PolG NRW oder zum Zweck der Verfolgung von Straftaten und Ordnungswidrigkeiten auf der Grundlage der einschlägigen Befugnisse der StPO erhoben werden.
Die Pflege von Dateisystemen der StA fällt jedoch nicht in den Zuständigkeitsbereich der Polizei.
Als Dateiensysteme der StA seien an dieser Stelle genannt:
Verfahrensregister der jeweiligen Staatsanwaltschaft
Zentrales länderübergreifendes Verfahrensregister der Staatsanwaltschaften (ZStV): Bundeszentralregister (BZR):
Fahreignungsregister (FAER) - früher Verkehrszentralregister (VZR)
Personensuche in Justizvollzugsanstalten.
Diese Dateiensysteme kann die Polizei zwar zum Zweck von Datenabfragen nutzen. Es ist aber nicht polizeiliche Aufgabe, diese Dateiensysteme zu pflegen.
Im § 22b Abs. 2 PolG NRW (Kennzeichnung in polizeilichen Dateisystemen) heißt es:
(2) Personenbezogene Daten, die nicht entsprechend den Anforderungen des Absatzes 1 gekennzeichnet sind, dürfen solange nicht weiterverarbeitet oder übermittelt werden, bis eine Kennzeichnung entsprechend den Anforderungen des Absatzes 1 erfolgt ist.
Diese gesetzliche Vorgabe ist einschlägig und bedarf keiner weiteren Ausführung.
Es kann davon ausgegangen werden, dass der Workflow, bzw. die Anwendung, die von Sachbearbeitern benutzt wird, um personenbezogene Daten in Dateisysteme der Polizei einpflegen zu können, die Speicherung verweigert, wenn die Eingabemaske nicht komplett »ausgefüllt« ist bzw. diese erforderlichen Angaben fehlen oder anderweitig fehlerbehaftet sind, soweit solche Fehler technisch erkannt werden können.
Im § 22b Abs. 3 PolG NRW (Kennzeichnung in polizeilichen Dateisystemen) heißt es:
(3) Nach einer Übermittlung an eine andere Stelle ist die Kennzeichnung durch diese Stelle aufrechtzuerhalten.
Personenbezogene Daten, die übermittelt werden, müssen eine Kennzeichnung darüber enthalten, welche Behörde diese Daten an wen übermittelt hat. Werden die Daten danach von dem Empfänger erneut an andere Stellen weitergegeben (übermittelt), muss die »Kausalkette der Datenübermittlung« nachvollzogen werden können. Es muss folglich sichergestellt werden, dass sowohl der »Ursprungsort der Datenspeicherung« als auch der anderweitige Verbleib der Daten lückenlos nachvollzogen werden kann. Das ist nach der hier vertretenen Auffassung eine nur technisch zu lösende Aufgabe. Insoweit wird davon ausgegangen, dass der Workflow diese »Kausalkette der Datenübertragung« lückenlos dokumentiert.
[Datenübermittlung:] Übermitteln ist das Bekanntgeben gespeicherter oder durch Datenverarbeitung gewonnener Daten an Dritte in der Weise, dass die Daten durch die verantwortliche Stelle weitergegeben oder zur Einsichtnahme bereitgehalten werden oder dass Dritte zum Abruf in einem automatisierten Verfahren bereitgehaltene Daten abrufen, so die Definition im DSG NRW-alt. Im neuen DSG NRW, das seit dem 24.05.2018 gilt, ist diese Definition nicht mehr enthalten.
Im Sinne von § 36 Nr. 2 DSG NRW (Begriffsbestimmungen) handelt es sich bei dem Vorgang der Datenübermittlung jetzt nur noch um einen Teilaspekt der Datenverarbeitung.
Im § 36 Nr. 2 DSG NRW heißt es:
2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung, die Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich, die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
Im § 22b Abs. 4 PolG NRW (Kennzeichnung in polizeilichen Dateisystemen) heißt es:
(4) Abweichend von Absatz 2 und 3 ist eine Weiterverarbeitung oder Übermittlung personenbezogener Daten auch ohne eine Kennzeichnung zulässig nach den Bestimmungen des für die Daten am 23. Mai 2018 jeweils geltenden Verfahrensverzeichnisses gemäß § 8 des Datenschutzgesetzes Nordrhein-Westfalen in der Fassung der Bekanntmachung vom 9. Juni 2000 (GV. NRW. S. 542), das zuletzt durch Artikel 2 des Gesetzes vom 6. Dezember 2016 (GV. NRW. S. 1052) geändert worden ist, in der bis zum 24. Mai 2018 geltenden Fassung.
[Ausnahmen von der Kennzeichnung:] Die Weiterverarbeitung oder die Datenübermittlung personenbezogener Daten ohne eine Kennzeichnung ist nur noch dann zulässig, wenn es sich dabei um personenbezogene Daten handelt, die in alten Verfahrensverzeichnissen, also in Verfahrensverzeichnissen aufgeführt und benannt sind, die vor Inkrafttreten des neuen DSG NRW am 25. Mai 2018 in solchen Verzeichnissen Aufnahme gefunden haben.
[Hinweis:] Grund für diese Ausnahme ist das so genannte Rückwirkungsverbot von Gesetzen, womit die rückwirkende Wirkung von Gesetzen für einen Zeitraum vor ihrem rechtmäßigen Inkrafttreten gemeint ist. Dieses Rückwirkungsverbot ist sozusagen ein unverzichtbares Prinzip der Rechtssicherheit.
Was ist ein Verfahrensverzeichnis?
Es gibt öffentliche und interne Verfahrensverzeichnisse.
Öffentliche Verfahrensverzeichnisse können von einem jedermann eingesehen werden. In diesen Verzeichnissen ist grob skizziert, wie zum Beispiel die automatisierte Datei funktioniert und welchen Zwecken sie dient.
Im Gegensatz dazu handelt es sich bei internen Verfahrensverzeichnissen um Verzeichnisse, die beim jeweils örtlich und sachlich zuständigen Datenschutzbeauftragten von Polizeibehörden vorgehalten werden.
Diese internen Verfahrensverzeichnisse, auch Verfahrensbeschreibung genannt, enthalten Angaben über die jeweilige Anwendung bzw. über die jeweilige Datei, für die diese Verzeichnisse erstellt wurden.
Hinsichtlich der Anforderungen, die an Verfahrensverzeichnisse zu stellen sind, waren gesetzlich geregelte Mindestanforderungen zu beachten, die den Datenschutzbeauftragten in die Lage versetzen, im Rahmen der ihm obliegenden Kontrollpflicht seine Aufgabe überhaupt sachgerecht ausüben zu können.
Zu den Mindestanforderungen gehören zum Beispiel:
Zugriffsberechtigte Personen auf vorgehaltene Daten
Beschreibung der betroffenen Personengruppen und der diesbezüglichen Daten oder Datenkategorien auf die diese Personen Zugriff haben
Eine allgemeine Beschreibung der Datei, des Dateiensystems etc, die es ermöglicht, vorläufig zu beurteilen, ob die Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung angemessen sind.
[Hinweis:] Auf der Grundlage von »Verfahrensverzeichnissen alter Art« ist es dem Datenschutzbeauftragten zumindest möglich, klärungsbedürftige und dem Verstand noch zugängliche Problemstellungen einer Lösung zuzuführen.
[Datenschutz-Grundverordnung:] In der nunmehr anzuwendenden EU-Datenschutzgrundverordnung (DSGVO) entfällt die Unterscheidung zwischen dem öffentlichen und dem internen Verfahrensverzeichnis. Nunmehr sind auch Behörden nach den neuen Regelungen dazu verpflichtet »Verzeichnisse von Verarbeitungstätigkeiten« zu führen. Diese Verzeichnisse sind viel detaillierter und umfangreicher als die Verfahrensverzeichnisse, die vor dem Inkrafttreten des nunmehr gültigen DSG NRW zu erstellen waren.
Das gilt insbesondere für die umfangreichen Dokumentationspflichten, die nunmehr zu beachten sind. In diesem Zusammenhang gesehen gibt Art. 30 DSGVO die Richtung vor, die zu beachten ist. Es lohnt sich, den Art. 30 DSGVO (Verzeichnis von Verarbeitungstätigkeiten) zu öffnen, allein um einen Eindruck darüber gewinnen zu können, was heute unter Datenschutz verstanden wird.
Auch bei den zu dokumentierenden Daten, die im nunmehr zu erstellenden »Verzeichnis von Verarbeitungstätigkeiten« aufzulisten sind, handelt es sich nur um »oberflächliche« Daten, die in keinster Weise mit den Inhalten eines Pflichten- oder Lastenheftes verglichen werden können, in denen - insbesondere bei dem vom Hersteller einer Software zu erstellenden Lastenheft - bis ins Detail beschrieben sein muss, wie das von ihm erstellte Dateisystem, die von ihm programmierte Anwendung oder der von ihm erstellte Workflow funktioniert.
Insoweit werden auch die »Verzeichnisse von Verarbeitungstätigkeiten« nicht mehr leisten können, als sich einen Eindruck darüber machen zu können, was in komplexen und vor allen Dingen automatisierten Dateien, Datenbanken oder Dateisystemen geschieht. Wer meint, auf der Grundlage solcher Verzeichnisse einem Datenschutzbeauftragten ein Kontrollinstrument in die Hand zu geben, das diesen in die Lage versetzt, nach eventuellen Fehlern, Falscheintragungen oder sonstigen Irrtümern zu sorgen, der irrt.
Das, was diese »Verzeichnis von Verarbeitungstätigkeiten« zu leisten vermögen, ist die Tatsache, dass Personen, die solche Systeme nutzen, dafür sensibilisiert werden, was die Technik eigentlich alles leisten können muss, denn würden die zu beachtenden Regeln und die Verantwortung für die Richtigkeit der Weiterverarbeitung von personenbezogenen Daten ausschließlich dem fehlerbehafteten Wesen Mensch übertragen, dem Anwender bzw. dem Sachbearbeiter, der sich am Monitor darum bemüht, alle Datenfelder richtig auszufüllen dann wäre es schlecht um den Datenschutz bestellt.
Digital First bedeutet:
Vertraue der Technik und schalte deinen Verstand weitgehend aus.
Drucksache 17/2576
Gesetz zur Anpassung des Polizeigesetzes des Landes Nordrhein-Westfalen und des Gesetzes über Aufbau und Befugnisse der Ordnungsbehörden https://www.landtag.nrw.de/portal/WWW/dokumentenarchiv/
Dokument/MMD17-2576.pdf
Aufgerufen am 31.01.2019