Kitabı oku: «Polizeigesetz für Baden-Württemberg», sayfa 16
§ 13 Allgemeine Grundsätze für die Verarbeitung personenbezogener Daten
1Personenbezogene Daten
1. dürfen nur auf rechtmäßige Weise und nach Treu und Glauben verarbeitet werden,
2. dürfen nur für festgelegte, eindeutige und rechtmäßige Zwecke erhoben werden und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden,
3. müssen dem Verarbeitungszweck entsprechen, maßgeblich sein und dürfen in Bezug auf die Zwecke, für die sie verarbeitet werden, nicht übermäßig sein,
4. müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; dabei sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden,
5. sind soweit wie möglich kenntlich zu machen, sofern sie nicht auf Tatsachen, sondern auf persönlichen Einschätzungen beruhen,
6. dürfen nicht länger, als es für die Zwecke, für die sie verarbeitet werden, erforderlich ist, in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht, und
7. dürfen nur in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet; hierzu gehört auch ein durch geeignete technische und organisatorische Maßnahmen zu gewährleistender Schutz vor unbefugter oder unrechtmäßiger Verarbeitung, unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung.
2Die Einhaltung dieser Grundsätze muss nachgewiesen werden können.
Literatur Johannes/Weinhold, Das neue Datenschutzrecht bei Polizei und Justiz, 2018, S. 63 ff.; Kühling/Buchner, DSGVO/BDSG, Art. 4; Sydow, Bundesdatenschutzgesetz, Kommentar, 2020.
Inhaltsübersicht
1. Vorbemerkung
2. Rechtmäßigkeit und Verarbeitung nach Treu und Glauben (Satz 1 Nr. 1)
3. Zweckfestlegung und Zweckbindung (Satz 1 Nr. 2)
4. Datenminimierung (Satz 1 Nr. 3)
5. Gewährleistung der sachlichen Richtigkeit (Satz 1 Nr. 4)
6. Kennzeichnung von Daten, die nicht auf Tatsachen beruhen (Satz 1 Nr. 5)
7. Speicherbegrenzung (Satz 1 Nr. 6)
8. Gewährleistung der Datensicherheit (Satz 1 Nr. 7)
9. Verantwortlichkeit und Nachweispflicht (Satz 2)
1. Vorbemerkung
1
§ 13 stellt sieben Grundsätze auf, die bei allen Verarbeitungsvorgängen von der Polizei zu beachten sind. Die Vorschrift dient der Umsetzung von Art. 4 Abs. 1 JIRL, sie ist vergleichbar mit § 47 BDSG und Art. 5 DSGVO.
2. Rechtmäßigkeit und Verarbeitung nach Treu und Glauben (Satz 1 Nr. 1)
2
Jede Verarbeitungsmaßnahme, bei der personenbezogene Daten verarbeitet werden, greift in das Grundrecht der betroffenen Person auf informationelle Selbstbestimmung (vgl. Vorbemerkung vor §§ 11–16, RN 1) ein. Sie ist nur rechtmäßig, wenn sie auf eine Rechtsgrundlage gestützt werden kann, sonst ist sie unzulässig (Verbot mit Erlaubnisvorbehalt).
Eine unrechtmäßige Verarbeitung ihrer personenbezogenen Daten verletzt die betroffene Person in ihren Rechten, sie kann unter den Voraussetzungen des § 131 Schadensersatzansprüche geltend machen. Die (vorsätzliche) rechtswidrige Verarbeitung personenbezogener Daten ist nach § 134 Abs. 2 i. V. m. § 29 LDSG unter Strafe gestellt.
Der Begriff Treu und Glauben ist schwer zu fassen. Eine Übertragung der Rechtsprechung zu § 242 BGB in das Datenschutzrecht ist nicht möglich. In der englischen Sprachfassung wird der Begriff „fairly“ genutzt, die deutsche Entsprechung fair wäre besser verständlich gewesen. Im Zusammenhang mit der Datenverarbeitung lassen sich hieraus zwei Grundsätze ableiten:
3
– Die Maßnahme muss in einem angemessenen Verhältnis zur Bedeutung des Rechtsgutes stehen, dessen Schutz mit der Maßnahme im Einzelfall verfolgt wird (Verhältnismäßigkeit). Dies kommt auch in den Einzelvorschriften zum Ausdruck. Eingriffsintensive Maßnahmen sind nur unter erschwerten Voraussetzungen zulässig, z. B. die elektronische Aufenthaltsüberwachung (§ 32) oder die TKÜ (§ 54).
4
– Art. 5 Abs. 1 lit. a JIRL nennt als Element von Treu und Glauben die Transparenz: Die Verarbeitung ihrer personenbezogenen Daten soll vor der betroffenen Person grundsätzlich nicht geheimgehalten werden, vielmehr soll sie umfassend informiert werden. Im Bereich des Polizeirechts gelten aber Grenzen, weil bestimmte Maßnahmen (z. B. verdeckte Ermittlungen) heimliches Vorgehen gerade verlangen. In diesen Fällen ist eine nachträgliche Benachrichtigung angezeigt.
3. Zweckfestlegung und Zweckbindung (Satz 1 Nr. 2)
5
Personenbezogene Daten dürfen grds. nur für den Zweck verarbeitet werden, für den sie erhoben worden sind. Dieser Zweck muss bereits bei Erhebung der Daten festgelegt werden (Zweckfestlegung, so ausdrücklich Art. 4 Abs. 1 lit. b JIRL). Eine Verarbeitung zu anderen Zwecken (Zweckänderung) ist unter den Voraussetzungen des § 15 möglich.
4. Datenminimierung (Satz 1 Nr. 3)
6
Datenminimierung bedeutet, dass die Polizei nur Daten erheben soll, die für die Erfüllung des im Einzelfall verfolgten Zwecks erforderlich („maßgeblich“) sind. Das ist der Fall, wenn es zur beabsichtigten Art und Weise der Verarbeitung keine sinnvolle oder zumutbare Alternative gibt, um das konkrete Ziel zu erreichen. Hiermit unvereinbar wäre eine Datensammlung ohne konkreten Anlass „auf Vorrat“.
5. Gewährleistung der sachlichen Richtigkeit (Satz 1 Nr. 4)
7
Die erhobenen und verarbeiteten Daten müssen sachlich richtig sein. Werden bei einer Verarbeitungsmaßnahme Fehler festgestellt oder hat sich die Sachlage geändert, müssen die Daten auf den neuesten Stand gebracht oder, wenn dies nicht möglich ist, gelöscht werden (§ 75). Durch geeignete technische und organisatorische Maßnahmen muss sichergestellt werden, dass eine solche Prüfung und ggf. Korrektur tatsächlich stattfindet. Dies gilt insbesondere für die Übermittlung von Daten (§ 16), weil (nur) der übermittelnden Stelle der Kontext der Erhebung bekannt und es ihr daher leichter möglich ist, die Richtigkeit der Daten zu beurteilen.
8
Der Grundsatz der sachlichen Richtigkeit bezieht sich nicht auf die Richtigkeit von Ermittlungsergebnissen oder Beweismitteln wie z. B. der Aussage eines Zeugen, sondern lediglich auf die Umstand, dass eine bestimmte sachliche Feststellung getroffen worden ist (EG 30 JIRL).
6. Kennzeichnung von Daten, die nicht auf Tatsachen beruhen (Satz 1 Nr. 5)
9
Die Vorschriften zur Verarbeitung personenbezogener Daten gelten nicht nur für objektiv getroffene Feststellungen, sondern auch für subjektive Folgerungen und Bewertungen (s.o. § 12, RN 3). Daten, die auf persönlichen Einschätzungen beruhen, müssen als solche gekennzeichnet werden. Dies folgt aus Art. 7 Abs. 1 JIRL, der zwischen faktenbasierten Daten und solchen Daten unterscheidet, die auf persönlichen Einschätzungen beruhen. Eine entsprechende Kennzeichnungspflicht enthält § 73 BDSG.
7. Speicherbegrenzung (Satz 1 Nr. 6)
10
Personenbezogene Daten, die nicht mehr für den Verarbeitungszwecke erforderlich sind, dürfen nicht weiter in einer Form gespeichert bleiben, in der sie der betroffenen Person zugeordnet werden können. Sie müssen vielmehr gelöscht oder, soweit dies nicht möglich ist, anonymisiert (§ 12, RN 18) werden. Die Löschung von personenbezogenen Daten regelt § 75.
8. Gewährleistung der Datensicherheit (Satz 1 Nr. 7)
11
Bei der Verarbeitung der personenbezogenen Daten müssen deren Integrität (Schutz vor Verlust, Zerstörung oder Beschädigung) und Vertraulichkeit (Schutz vor unbefugter Verarbeitung) gewährleistet sein. Hierzu sind geeignete technische und organisatorische Maßnahmen zu treffen. Einzelheiten regelt § 78. Einzelne Normen sehen ein nochmals gesteigertes Sicherheitsniveau vor, insbesondere § 32 für Daten, die aus einer Aufenthaltsüberwachung gewonnen werden (s.u. § 32, RN 15).
9. Verantwortlichkeit und Nachweispflicht (Satz 2)
12
Die aufgezählten Verhaltenspflichten richten sich an den „Verantwortlichen“, also an diejenige Stelle, die über Zwecke und Mittel der Datenverarbeitung entscheidet (§ 12 Nr. 8). Sie hat nicht nur sicherzustellen, dass die Grundätze eingehalten werden, sondern muss dies (etwa gegenüber der Aufsichtsbehörde, § 97) nachweisen können. Diese Nachweispflicht macht es erforderlich, die getroffenen technischen und organisatorischen Maßnahmen zu dokumentieren.
§ 14 (§ 19 a. F.) Allgemeine Regeln der Datenerhebung
(1) 1Personenbezogene Daten sind, soweit sie nicht aus allgemein zugänglichen Quellen entnommen werden, bei der betroffenen Person mit ihrer Kenntnis zu erheben. 2Ohne Kenntnis der betroffenen Person oder bei Dritten dürfen personenbezogene Daten nur erhoben werden, wenn die Erhebung bei der betroffenen Person nicht oder nur mit unverhältnismäßig hohem Aufwand möglich ist oder die Wahrnehmung polizeilicher Aufgaben gefährden würde.
(2) 1Personenbezogene Daten sind grundsätzlich offen zu erheben. 2Eine Datenerhebung, die nicht als polizeiliche Maßnahme erkennbar sein soll (verdeckte Datenerhebung), ist nur zulässig, wenn sonst die Wahrnehmung der polizeilichen Aufgabe gefährdet oder nur mit unverhältnismäßig hohem Aufwand möglich oder wenn anzunehmen ist, daß dies den überwiegenden Interessen des Betroffenen entspricht.
(3) 1Werden personenbezogene Daten offen erhoben, ist die betroffene Person bei schriftlicher Erhebung stets, sonst auf Verlangen auf die Rechtsgrundlage, auf eine im Einzelfall bestehende Auskunftspflicht oder auf die Freiwilligkeit der Auskunft hinzuweisen. 2Gegenüber Dritten unterbleibt der Hinweis, wenn hierdurch erkennbar schutzwürdige Interessen des Betroffenen beeinträchtigt werden können.
Literatur: Johannes/Weinhold, Das neue Datenschutzrecht bei Polizei und Justiz, 2018, S. 63 ff.; Kühling/Buchner, DSGVO/BDSG, Art. 4; Sydow, Bundesdatenschutzgesetz, Kommentar, 2020.
Inhaltsübersicht
1. Allgemeines
2. Grundsatz der Unmittelbarkeit (Abs. 1)
3. Entbehrlichkeit der Erhebung bei der betroffenen Person (Abs. 1)
4. Grundsatz der offenen Datenerhebung (Abs. 2 Satz 1)
5. Zulässigkeit einer verdeckten Datenerhebung (Abs. 2 Satz 2)
5. Hinweispflichten (Abs. 3)
1. Allgemeines
1
§ 14 entspricht mit wenigen sprachlichen Änderungen § 19 PolG a. F. (der „Betroffene“ wurde durch die geschlechtsneutrale Bezeichnung „betroffene Person“ ersetzt). Die Norm ist selbst keine Ermächtigungsgrundlage, sondern enthält allgemeine Grundsätze für die Erhebung von Daten, die sowohl von Polizeibehörden wie auch vom PVD zu beachten sind. Allgemeine Regeln für die weitere Verarbeitung der erhobenen Daten enthält § 15.
2
Zum Begriff der personenbezogenen Daten siehe § 13. Früher war § 3 Abs. 1 LDSG maßgeblich, der über § 48 aF Anwendung fand.
3-12
einstweilen frei.
2. Grundsatz der Unmittelbarkeit (Abs. 1)
13
Das Recht auf informationelle Selbstbestimmung beinhaltet die Befugnis des Einzelnen, selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen (vgl. oben, Vorb. vor §§ 11-16, RN 1). Deshalb bestimmt Abs. 1, dass personenbezogene Daten grundsätzlich bei der betroffenen Person mit ihrer Kenntnis (also offen, hierzu auch Abs. 2) zu erheben sind (Grundsatz der Unmittelbarkeit).
3. Entbehrlichkeit der Erhebung bei der betroffenen Person (Abs. 1)
14
a) Nach Abs. 1 ist in drei Ausnahmefällen eine unmittelbare Datenerhebung bei der betroffenen Person entbehrlich:
15
– wenn die personenbezogenen Daten aus allgemein zugänglichen Quellen entnommen werden können (Abs. 1 Satz 1). Allgemein zugänglich ist die Informationsquelle, wenn sie von jedermann genutzt werden kann, ohne dass der Zugang aus rechtlichen Gründen beschränkt ist.
Beispiele: Frei zugängliche Webseiten; Telefon- und Adressbücher, Behörden- und Gewerbeverzeichnisse, Handels- und Vereinsregister, Zeitungen und Zeitschriften. Hierunter fallen auch Daten aus sozialen Netzwerken, soweit diese auch ohne Anmeldung oder Freischaltung eingesehen werden können, d.h in öffentlichen Benutzerprofilen (str.).
16
– wenn die Erhebung bei der betroffenen Person nicht oder nur mit unverhältnismäßig hohem Aufwand möglich ist (Abs. 1 Satz 2).
Beispiele: Die betroffene Person ist vernehmungsunfähig oder verreist. Das vorzulegende Schriftstück ist verlegt.
Ein lediglich höherer Zeit- und Kostenaufwand, der durch die Erhebung bei der betroffenen Person entsteht, ist also von der Polizei hinzunehmen und rechtfertigt nicht, von der Erhebung bei ihm abzusehen. Wann der Aufwand unverhältnismäßig wird, ist durch Abwägung zu ermitteln, wobei die Art der Daten und der Zeit- und Kostenaufwand als Kriterien zu beachten sind;
– wenn durch eine Erhebung bei der betroffenen Person die Wahrnehmung polizeilicher Aufgaben gefährdet würde (Abs. 1 Satz 2). Eine bloße Erschwerung der polizeilichen Arbeit genügt also nicht, diese ist im Hinblick auf das Recht auf informationelle Selbstbestimmung hinzunehmen. Es muss vielmehr die hinreichende Wahrscheinlichkeit bestehen, dass sich durch die Erhebung beim Betroffenen z. B. die Gefahr verwirklicht oder dass die vorbeugende Bekämpfung einer Straftat vereitelt wird. Die hierbei anzustellende Prognoseentscheidung ist gerichtlich voll überprüfbar.
17
b) Bei Vorliegen der in Abs. 1 Satz 2 genannten Voraussetzungen können die personenbezogenen Daten ohne Kenntnis der betroffenen Person oder bei Dritten erhoben werden.
18
Ohne Kenntnis der betroffenen Person bedeutet ohne ihr Wissen. Über die Erhebungsart (offen oder verdeckt – s. u. RN 23 ff.) ist damit nichts ausgesagt.
19
Der Begriff „Dritter“ wird weder in der JIRL noch im PolG definiert, allerdings in Art. 4 Nr. 10 DSGVO; auf diese Definition kann zurückgegriffen werden. Dritter ist damit jede (natürliche oder juristische) Person (des öffentlichen Rechts oder Privatrechts) oder jede (öffentliche oder nichtöffentliche) Stelle außerhalb der verantwortlichen Stelle (zum Begriff § 12 Nr. 8).
Beispiel: Für die Ortspolizeibehörde A als verantwortliche Stelle sind Dritte nicht nur das Sozialamt und der PVD der Gemeinde B, sondern auch das Sozialamt und PVD der Gemeinde A.
Im Hinblick auf die Polizeibehörden ist der Stellenbegriff von vornherein aufgaben- bzw. funktionsbezogen, da diese sich aus ihrer Aufgabe bzw. Funktion definieren (s. u. § 104, RN 2).
20
einstweilen frei.
21
Nicht Dritter ist diejenige Person und Stelle, die personenbezogene Daten im Auftrag der Polizei verarbeitet (§ 82); die Einheitlichkeit beider Stellen wird fingiert. Bei der Auftragsverarbeitung (§ 12 Nr. 9, z. B. durch Rechenzentren) bleibt der Auftraggeber für die Einhaltung der datenschutzrechtlichen Vorschriften verantwortlich.
22
Ob Dritte personenbezogene Daten an die verantwortliche Stelle (Polizei) weitergeben (übermitteln) dürfen, beurteilt sich nach den für sie geltenden Vorschriften.
Beispiel: Ob der PVD Daten bei der Meldebehörde erheben darf, bestimmt sich nach § 47. Die Weitergabe der Daten durch die Meldebehörde an den PVD ist eine Übermittlung, deren Zulässigkeit sich nach §§ 33 f. BMG richtet.
4. Grundsatz der offenen Datenerhebung (Abs. 2 Satz 1)
23
Aus dem Recht auf informationelle Selbstbestimmung folgt der Grundsatz, dass personenbezogene Daten – sowohl beim Betroffenen wie auch beim Dritten – offen zu erheben sind (Abs. 2 Satz 1). Offen bedeutet, dass die Maßnahme aus der Sicht der betroffenen Person oder des Dritten als Datenerhebung und als polizeiliche Maßnahme erkennbar ist.
5. Zulässigkeit einer verdeckten Datenerhebung (Abs. 2 Satz 2)
24
Eine verdeckte Datenerhebung liegt vor, wenn die Datenerhebung nicht als polizeiliche Maßnahme erkennbar ist (VG Freiburg VBlBW 2006, 152), sei es, dass die Maßnahme überhaupt, ihr Charakter als Datenerhebung oder dass sie als polizeiliche Maßnahme verborgen bleibt. Aus der Formulierung „erkennbar sein soll“ darf nicht gefolgert werden, die Verdecktheit bestimme sich nach dem Willen der Polizei und nur dann, wenn diese bewusst und gewollt verheimliche, liege eine verdeckte Datenerhebung vor.
Beispiel: Erhebt ein Polizeibeamter in Zivil Daten und vergisst er darauf hinzuweisen, dass er Polizeibeamter ist, so kann es sich nicht um eine offene Datenerhebung handeln (s. o. RN 23). Nach der hier vertretenen Auffassung liegt eine verdeckte Datenerhebung vor, nicht aber nach der Auffassung der Gegenmeinung, weil der Beamte seine Zugehörigkeit zur Polizei nicht (aktiv) verschleiere.
Maßgeblich für die Beurteilung, ob eine Datenerhebung offen oder verdeckt ist, ist also allein die Sicht des Adressaten der Erhebungsmaßnahme.
25
Zulässig ist eine verdeckte Datenerhebung ausnahmsweise gemäß Abs. 2 nur,
– wenn sonst die Wahrnehmung der polizeilichen Aufgabe gefährdet ist (s. o. RN 16),
– wenn sonst die Wahrnehmung der polizeilichen Aufgabe nur mit unverhältnismäßig hohem Aufwand möglich ist (s. o. RN 16) oder
– wenn anzunehmen ist, dass dies den überwiegenden Interessen des Betroffenen entspricht.
Beispiel: Diskrete Erkundigungen in der Nachbarschaft, am Arbeitsplatz oder bei der Kundschaft durch Beamte in Zivil, die sich nicht als Polizeibeamte zu erkennen geben, können u. U. für den Betroffenen schonender sein als eine offene Erhebung, die eventuell eine Ruf- oder Geschäftsschädigung zur Folge haben kann.
26
Spezielle Zulässigkeitsvoraussetzungen für besondere Mittel der verdeckten Datenerhebung bestehen nach §§ 49 ff.
27
einstweilen frei.
5. Hinweispflichten (Abs. 3)
28
Abs. 3 ergänzt die allgemeine Informationspflicht nach § 85. Die Norm begründet für die offene Datenerhebung bestimmte Hinweispflichten gegenüber dem Betroffenen oder Dritten. Über verdeckte und eingriffsintensive Maßnahmen sind Betroffene nachträglich zu informieren, § 85.
29
Ob eine Hinweispflicht besteht, hängt u. a. von der Form der Datenerhebung ab. Bei schriftlicher Erhebung muss auf die unter RN 30 genannten Bezugspunkte von Amts wegen hingewiesen werden, bei einer Datenerhebung in anderer Form nur auf Verlangen. Die Hinweispflicht besteht sowohl gegenüber dem Betroffenen wie auch gegenüber dem Dritten, je nachdem, bei wem die Daten erhoben werden.
30
Hinzuweisen ist nach Abs. 3 Satz 1 auf
– die Rechtsgrundlage der Datenerhebung. Hierbei ist die einschlägige Rechtsgrundlage auch verbal zu umschreiben und vor allem der Zweck der Erhebung anzugeben. Die bloße Paragraphennennung genügt nicht, da der Bürger dessen Inhalt regelmäßig nicht kennt. Im Übrigen dient diese Anforderung auch der Selbstkontrolle des handelnden Beamten; und
– eine im Einzelfall bestehende Auskunftspflicht (z. B. §§ 43 Abs. 1 Satz 2) oder – wenn eine solche nicht existiert – die Freiwilligkeit der Auskunft.
31
Über die Form des Hinweises äußert sich das Gesetz nicht. Bei schriftlicher Erhebung wird auch der Hinweis schriftlich zu geben sein. In jedem Fall muss der Hinweis in einer Weise und so rechtzeitig erfolgen, dass er seiner Funktion gerecht wird.
32
Ein Hinweis hat nach Abs. 3 Satz 2 zu unterbleiben bei der Datenerhebung – gleich in welcher Form – bei einem Dritten, wenn hierdurch erkennbar schutzwürdige Interessen des Betroffenen beeinträchtigt werden können.
Beispiel: Bei der Erhebung von Daten zum Zweck der vorbeugenden Bekämpfung von Straftaten bei Kunden des Betroffenen kann die Angabe der Rechtsgrundlage erhebliche geschäftsschädigende Auswirkungen haben.
Letztlich muss eine Abwägung zwischen den Interessen des Dritten an der Information und dem Interesse des Betroffenen, dass diese unterbleibt, vorgenommen werden. Überwiegt das Interesse des Betroffenen, so muss der Hinweis unterbleiben, es besteht also kein Ermessen.
