Der Bayerische Landesbeauftragte für den Datenschutz informiert die Öffentlichkeit 26. Tätigkeitsbericht

Transkript

1 Der Bayerische Landesbeauftragte für den Datenschutz informiert die Öffentlichkeit 26. Tätigkeitsbericht Berichtszeitraum 2013/2014

2 26. Tätigkeitsbericht des Landesbeauftragten für den Datenschutz (gemäß Artikel 30 Absatz 5 des Bayerischen Datenschutzgesetzes BayDSG) Berichtszeitraum: 2013/2014 Veröffentlichungsdatum:

3 Inhaltsverzeichnis 1 Überblick Der Spiegel des Alexander Zur NSA-Spähaffäre Europa Reform des Datenschutzrechtsrahmens Ende der Vorratsdatenspeicherung? Datenschutz im Internet Europäischer Gerichtshof: Ein Recht auf Vergessenwerden? Facebook Deutschland Beschäftigtendatenschutz Polizeiarbeit in sozialen Netzwerken? Biometrische Gesichtserkennung durch Google, Facebook und Co Bayern Änderungen im Polizeiaufgabengesetz und Verfassungsschutzgesetz Videoüberwachung in Bayern Öffentlichkeitsarbeit Schlussbemerkung Informations- und Kommunikationstechnik und Organisation Grundsatzthemen Empfehlungen aus der Vergangenheit für Gefährdungen in der Gegenwart Apps Neue Vorschriften zur Datenträgervernichtung Strategie bei der Auswahl geeigneter Datensicherheitsmaßnahmen Anfertigen von Kopien des neuen Personalausweises (npa) Überwachung der ordnungsgemäßen Anwendung der Datenverarbeitungsprogramme Prüfungen, Beanstandungen und Beratungen Geprüfte Einrichtungen Prüfung Gesundheitsämter, technisch-organisatorische Anforderungen Prüfung der Umsetzung der OH KIS TLS/SSL als (Un-)Sicherheitsfaktor D -Pilotierungstest Plattform für sichere Kommunikation in Bayern BayMail Digitales Bildungsnetz (DBB) Technisch-organisatorische Einzelthemen Dienstliche Nutzung von Online-Terminplanern Seite 3 Der Bayerische Landesbeauftragte für den Datenschutz, 26. Tätigkeitsbericht 2014

4 2.3.2 Schutz vor Backdoor-Programmen Gewährleistung eines sicheren Datenträgeraustausches Teleradiologie mit externem Dienstleister TKmed Weitere Entwicklungen bei der Verwendung von mobilen Geräten im Krankenhaus, BYOD Backup von Radiologiedaten bei externen Dienstleistern Bayerisches Rotes Kreuz Telematik II Brennen und Versand von CDs durch Krankenhäuser Webportale in der Sozialverwaltung Meldungen nach 42a BDSG im Krankenhaus Bestellung eines Hauptamtsleiters zum behördlichen Datenschutzbeauftragten Einsatz privater Laptops bei der Auszählung von Kommunalwahlen Orientierungshilfen Aktualisierungen Neuerscheinungen Polizei Allgemeines PAG-Änderungen bezüglich der Möglichkeit der Bestandsdatenauskunft PAG-Änderung bezüglich Wohnraumüberwachung und Online- Durchsuchung Richtlinie zur Vorratsdatenspeicherung ungültig Inhaltsverzeichnis Automatisierte Kennzeichenerfassung Polizeilicher Informations- und Analyseverbund (PIAV) Polizeiliche Tätigkeiten im Zusammenhang mit Versammlungen Datei Veranstaltungs-/Einsatzkalender Filmen wegen einer vermeintlichen erheblichen Störung einer Versammlung Durchsuchungen von Personen Einsatz von Videotechnik Videoüberwachung nach Art. 32 PAG Polizei beendet Videoüberwachung in Grafenwöhr Videoüberwachung einer Auslandsvertretung Einsatz von Body-Cams Videoüberwachung von Dienstgebäuden nach Art. 21a BayDSG Speicherungen in polizeilichen Dateien Formulierungen in Kurzsachverhalten des Integrationsverfahrens der Bayerischen Polizei (IGVP) Freitextrecherchen in Kurzsachverhalten des Integrationsverfahren der Bayerischen Polizei (IGVP) Prüfung der Speicherungsvoraussetzung polizeilicher Restverdacht Seite 4 Der Bayerische Landesbeauftragte für den Datenschutz, 26. Tätigkeitsbericht 2014

5 3.5.4 Prüfung erkennungsdienstlicher Maßnahmen Prüfung retrograder DNA-Speicherungen Herausragende Einzelfälle Unzulässige Speicherung eines Rechtsanwalts wegen Geldwäscheverdachts Unzulässige Speicherungen im Zusammenhang mit Verstößen gegen das Betäubungsmittelgesetz Unzulässige Speicherungen trotz Verfahrenseinstellung und Entfallen eines Restverdachts Speicherung von Fingerabdrücken von Zeugen zum Vergleich mit Tatortspuren Datenübermittlungen Datenübermittlung an privaten Sicherheitsdienst Vorzeigen eines erkennungsdienstlichen Bildes Information einer Schule über einen Tatverdacht gegen einen Schüler Weitergabe von Opferdaten Öffentlichkeitsfahndung mit falschem Bild Verwendung unverschlüsselter s Ausweiskopien zum Identitätsnachweis bei Auskunftsersuchen Verfassungsschutz BayVSG-Änderungen bezüglich der Möglichkeit der Bestandsdatenauskunft Antiterrordateigesetz Folgen aus dem Urteil des Bundesverfassungsgerichts zum Antiterrordateigesetz (ATDG) vom Datenabrufe aus der Antiterrordatei (ATD) Dokumentenmanagementsystem (DMS) Prüfungen Datenerhebung im Zusammenhang mit dem Aussteigerprogramm Rechtsextremismus Speicherung von Mandatsträgern Auskunftsverweigerungen Datenaustausch mit ausländischen Nachrichtendiensten Justiz Gesetze, Rechtsverordnungen und Verwaltungsvereinbarungen Allgemeines Gesetzliche Regelung des Auskunftsanspruchs über Einsichten Dritter in das Grundbuch Vollstreckungsportal zum Online-Zugriff auf das elektronische Schuldnerverzeichnis und die Vermögensverzeichnisse Seite 5 Der Bayerische Landesbeauftragte für den Datenschutz, 26. Tätigkeitsbericht 2014

6 5.2 Aus der Justiz allgemein Anonymisierung bei der Veröffentlichung von Gerichtsentscheidungen Zugangskontrollen in Gerichten und Aufzeichnung der dabei erhobenen personenbezogenen Daten in Wachbüchern Übersendung von Telefaxen an falschen Empfänger Strafverfolgung Öffentlichkeitsfahndung mit Hilfe sozialer Netzwerke Geldwäscheverdachtsmeldung Übersendung von Akten der Staatsanwaltschaft an andere Behörde durch Mitarbeiter der Registratur Einschaltung privater Stellen zur Vermittlung und Überwachung von gemeinnützigen Auflagen im Strafverfahren Mitteilungen der Staatsanwaltschaft an die Polizei über den Verfahrensabschluss Neue Informationen zu verschiedenen Datenschutzthemen auf meiner Homepage Strafvollzug Telefonate mit Verteidigern Erhebung und Aufbewahrung von Daten in Mutter-Kind-Abteilungen Schriftsätze an Gerichte Videoüberwachung Ordnungswidrigkeitenrecht Anhörungsbogen/Zeugenfragebogen bei Verkehrsordnungswidrigkeiten Inhaltsverzeichnis Veröffentlichung von Blitzerfotos Lichtbildübermittlungen im Rahmen von Verkehrsordnungswidrigkeitenverfahren Kommunales Erlass eines Bundesmeldegesetzes und Novellierung des Bayerischen Meldegesetzes Leitfaden zur kommunalen Videoüberwachung veröffentlicht Videoüberwachung in kommunalen Schwimmbädern Energienutzungspläne Veröffentlichung personenbezogener Daten im Internet im Zusammenhang mit Gemeinde- und Landkreiswahlen Übermittlung personenbezogener Daten von Behördenbediensteten zum Zweck ihrer Berufung als Mitglieder von Wahl- und Briefwahlvorständen Hotel-Stammtisch in Kurorten Kein Platz für Indiskretionen! Übermittlung von Hundesteuerdaten an die Polizei Speicherung von Angaben zur ethnischen Herkunft durch Standesämter Seite 6 Der Bayerische Landesbeauftragte für den Datenschutz, 26. Tätigkeitsbericht 2014

7 6.10 Informantenschutz bei Datenübermittlung an die Staatsanwaltschaft Nochmals: Bekanntgabe des Namens des Anzeigeerstatters durch die Behörde an den Angezeigten Datenerhebung bei Dritten vor Ablauf einer der Betroffenen eingeräumten Frist zur Stellungnahme Datenübermittlung an Wohnungseigentümer im Rahmen der Erteilung eines Wohnberechtigungsscheins Datenwiederherstellung nach Bürgermeisterwechsel Widerspruchsrechte der Eltern beachtet Rechte des Kindes missachtet Gesundheitswesen Gesundheitsamt Prüfungen in den Gesundheitsämtern Impfberatung in Schulen Videoüberwachung im Gesundheitsamt (Türklingelanlage) Krankenhaus D im Krankenhaus Patientendatenübermittlung an einen Nachlasspfleger Übersendung eines Krankenhaus-Arztbriefes an namensgleiche Patientin Hygieneverordnung und Krankentransport Videoüberwachung im Patientenzimmer der Psychiatrie Videoüberwachung auf dem Klinikparkplatz Videoüberwachung eines OP-Zugangs Neufassung der Orientierungshilfe Krankenhausinformationssysteme (OH KIS) Klinische Krebsregister App Gesundheitsservice Bayern Datenschutz in medizinischen Forschungsprojekten Sozialwesen Gesetzliche Krankenversicherung Untergesetzliches Recht als datenschutzrechtliche Befugnis? Hilfsmittelversorgung der Krankenkassen Unterstützung durch Krankenkasse bei Behandlungsfehlern Krankengeldfallmanagement der Krankenkassen bei Arbeitsunfähigkeit Datenschutzrechtliche Befugnisse der Krankenkassen bei Krankenhausbehandlungen Datenschutzrechtliche Befugnisse im Rahmen des Risikostrukturausgleichs Übermittlung von Gutachten an Krankenkassen durch den MDK Bayern Seite 7 Der Bayerische Landesbeauftragte für den Datenschutz, 26. Tätigkeitsbericht 2014

8 8.1.8 Gewinnspiele von Krankenkassen Callcenter im Auftrag von Krankenkassen Sonstige externe Gesundheitsdienstleister im Auftrag von Krankenkassen Pflege Gesetz zur Änderung des Pflege- und Wohnqualitätsgesetzes Einwilligung der Betroffenen bei der Durchführung von Qualitätsprüfungen Zusätzliche Leistungen für Pflegebedürftige in ambulant betreuten Wohngruppen Kindergarten Veröffentlichung von personenbezogenen Daten durch Kindertageseinrichtungen Anmeldung für Kindertageseinrichtungen Sonstige Jugendhilfe Erweitertes Führungszeugnis für Ehrenamtliche Datenaustausch innerhalb der Jugendhilfe Erhebung von Gesundheitsdaten im Rahmen der Vollzeitpflege Datenerhebung vor Erteilung einer Pflegeerlaubnis Datenerhebung im laufenden Kontaktverhältnis Verbundverfahren im Rahmen der Jugendhilfe Betreuungsgeld Datenabgleich in der Sozialverwaltung Inhaltsverzeichnis Datenabgleich im Bereich der Sozialhilfe Automatisiertes Abrufverfahren DIWO (Dialogorientiertes Wohngeldverfahren) für ein Jobcenter Automatisierter bundesweiter Wohngelddatenabgleich Steuer- und Finanzverwaltung Datenschutzrechte der Arbeitnehmer beim Abruf der elektronischen Lohnsteuerabzugsmerkmale (ELStAM) Staatliche Mitwirkung bei der Erhebung der Kirchensteuer Schulen und Hochschulen Datenschutz in der Schule Erneute Änderungen der Durchführungsverordnung zu Art. 28 Abs. 2 BayDSG Anlage 6 Verfahren Notenverwaltungsprogramm Anlage 10 Passwortgeschützte Lernplattform Anlage 11 Schulinterner passwortgeschützter Bereich Neufassung der Erläuternden Hinweise Medienbildung, insbesondere Einsatz von passwortgeschützten Lernplattformen im Unterricht Seite 8 Der Bayerische Landesbeauftragte für den Datenschutz, 26. Tätigkeitsbericht 2014

9 10.4 Erstellung und Verwendung von Schülerfotos Allgemeines Beauftragung externer Fotografen Schülerfotos im Jahresbericht, insbesondere Klassenfotos Schülerfotos auf der Schulhomepage Schülerfotos in Schülerausweisen Schülerfotos im Schulunterricht Schülerfotos für Fotositzpläne Datenerhebung bei Erkrankung von Schülerinnen und Schülern Grundsatz: Keine Angabe der Art der Erkrankung Ausnahme: Meldepflichtige Erkrankungen Fahrtkostenerstattung im Rahmen der Schulwegkostenfreiheit Informationsaustausch über Schülerinnen und Schüler zwischen Schule und Mittagsbetreuung Übermittlung von Schülerdaten durch Berufsschulen an Ausbildungsbetriebe Übermittlung von Einzelnoten, Notenübersichten oder Zeugnissen Übermittlung von weiteren personenbezogenen Schülerdaten Außenprüfungen öffentlicher Schulen Videoaufzeichnung an Schulen Schulhomepage Passwortgeschützter Bereich der Schulhomepage Notenverwaltungsprogramm Passwortgeschützte Lernplattform Schulischer Jahresbericht Weitergabe von Schülerdaten zu Werbezwecken Evaluation an Schulen Ausblick Videoüberwachung bei staatlichen Museen und Hochschulen Defizite schon bei der Bestellung behördlicher Datenschutzbeauftragter Unzureichende Prüfung der gesetzlichen Zulässigkeitsvoraussetzungen Ergebnis und Ausblick Ausgabe von Audioguides gegen Hinterlegung von Ausweisdokumenten bei staatlichen Museen Personalwesen Gesetzliche Regelung der elektronischen Personalakte Adressenweitergabe an Versicherungen Nochmals: Datenschutz beim Betrieblichen Eingliederungsmanagement Seite 9 Der Bayerische Landesbeauftragte für den Datenschutz, 26. Tätigkeitsbericht 2014

10 Namentliche Information der Personalvertretung Namentliche Information der Schwerbehindertenvertretung Ergebnis Einstellungsuntersuchung von Beamtenbewerbern Datenschutz beim besonderen Auswahlverfahren für die Einstellung in die Finanzverwaltung Information des Dienstherrn über eine Kur Speicherung von Beschäftigtenbeschwerden beim Personalrat E-Government, Telemedienrecht, Soziale Medien E-Government Gesetze Plattformen und Verfahren Apps Soziale Medien, insbesondere Soziale Netzwerke Soziale Netzwerke, Fanpage zum Zweck der Öffentlichkeitsarbeit Facebook als dienstlicher Kommunikationskanal Social Plugins auf Webseiten bayerischer öffentlicher Stellen Spezielle datenschutzrechtliche Themen Cloud Computing Inhaltsverzeichnis 13.2 Einsatz von Wildvideokameras durch bayerische öffentliche Stellen Übermittlung von Unterlagen aus der Fahrerlaubnisakte an eine Begutachtungsstelle für Fahreignung Datenschutz im Schornsteinfegerwesen Nutzung von Kehrbuchdaten durch bevollmächtigte Bezirksschornsteinfeger Datenübermittlung durch bevollmächtigte Bezirksschornsteinfeger für die Erstellung eines Energienutzungsplans Nochmals: Anhörung des Bayerischen Bauernverbands bei Verfahren nach dem Grundstücksverkehrsgesetz; Weitergabe personenbezogener Daten vom Bayerischen Bauernverband an die Obmänner dieses Verbandes Datenschutzkommission Seite 10 Der Bayerische Landesbeauftragte für den Datenschutz, 26. Tätigkeitsbericht 2014

11 Anlage 1: Entschließung der Konferenz der Datenschutzbeauftragten des Bundes und der Länder vom Beschäftigtendatenschutz nicht abbauen, sondern stärken! Anlage 2: Entschließung der 85. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 13./ Datenschutz auch in einer transatlantischen Freihandelszone gewährleisten Anlage 3: Entschließung der 85. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 13./ Pseudonymisierung von Krebsregisterdaten verbessern Anlage 4: Erläuterungen zur Entschließung der 85. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 13./ Europa muss den Datenschutz stärken Anlage 5: Entschließung der 86. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 01./ Sichere elektronische Kommunikation gewährleisten Anlage 6: Entschließung der 86. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 01./ Stärkung des Datenschutzes im Sozial- und Gesundheitswesen Anlage 7: Entschließung der 86. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 01./ Handlungsbedarf zum Datenschutz im Bereich der Öffentlichen Sicherheit in der 18. Legislaturperiode des Deutschen Bundestages Anlage 8: Entschließung der 86. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 01./ Forderungen für die neue Legislaturperiode: Die Datenschutzgrundrechte stärken! Anlage 9: Entschließung der 88. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 08./ Datenschutz im Kraftfahrzeug Automobilindustrie ist gefordert Anlage 10: Entschließung der 88. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 08./ Unabhängige und effektive Datenschutzaufsicht für Grundrechtsschutz unabdingbar Anlage 11: Entschließung der 88. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 08./ Marktmacht und informationelle Selbstbestimmung Anlage 12: Entschließung der 88. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 08./ Effektive Kontrolle von Nachrichtendiensten herstellen! Anlage 13: Entschließung der Konferenz der Datenschutzbeauftragten des Bundes und der Länder vom Keine PKW-Maut auf Kosten des Datenschutzes! Seite 11 Der Bayerische Landesbeauftragte für den Datenschutz, 26. Tätigkeitsbericht 2014

12 Anlage 14: Entschließung der Konferenz der Datenschutzbeauftragten des Bundes und der Länder vom Anforderungen an den Schutz der Datenübermittlungen zwischen medizinischen Leistungserbringern und klinischen Krebsregistern Abkürzungsverzeichnis Stichwortverzeichnis Inhaltsverzeichnis Seite 12 Der Bayerische Landesbeauftragte für den Datenschutz, 26. Tätigkeitsbericht 2014

13 1 Überblick Soweit in den nachfolgenden Ausführungen Bezeichnungen von Personen im Maskulinum verwendet werden, wird diese Form verallgemeinernd verwendet und bezieht sich auf beide Geschlechter. 1.1 Der Spiegel des Alexander Zur NSA-Spähaffäre Eine orientalische Sage berichtet, Alexander der Große habe nur in seinen Spiegel blicken müssen, um auf einen Blick alle Pläne des Perserkönigs Darius zu durchschauen. Dadurch gelang es Alexander mehrfach, die zahlenmäßig deutlich überlegenen Heere seines Gegners vernichtend zu schlagen. Seit dem hat die Welt immer mehr Details über das Bündnis der Five Eyes, einem Zusammenschluss von Nachrichtendiensten der Vereinigten Staaten von Amerika, des Vereinigten Königreichs, Kanadas, Australiens und Neuseelands erfahren. Durch die von Edward Snowden angestoßenen Enthüllungen wissen wir heute, dass die US-amerikanischen Nachrichtendienste mit ihren Bündnispartnern einen totalen Überwachungsansatz verfolgen. Bildlich gesprochen scheint das Bündnis der Five Eyes einen Spiegel entwickeln zu wollen, der Einblick in die Gedankenwelt eines jeden Menschen auf dem Erdball ermöglichen soll. Diese umfassende Überwachung versuchen die betreffenden Nachrichtendienste vor Allem damit zu begründen, dass sie terroristische Anschläge verhindere. Beispielsweise behaupteten hochrangige Vertreter der US-Nachrichtendienste bereits Mitte 2013 sinngemäß, dass durch die Überwachung der NSA in mindestens 54 Fällen Terroranschläge verhindert worden seien. Diese Zahl hat sich als falsch, zumindest als grob irreführende Information herausgestellt. Der damalige NSA-Chef Keith Alexander musste im Rahmen einer Senatsanhörung vom einräumen, dass die NSA allenfalls 13 Beiträge zur Aufklärung von Fällen mit Terrorismusbezug geleistet habe. Von der Verhinderung terroristischer Anschläge war dabei keine Rede mehr. Wohl aus gutem Grund: Eine Expertenkommission der renommierten New America Foundation untersuchte später in Bezug auf 225 islamismusverdächtige Personen die für die USA relevanten Terrorismusfälle seit dem Sie konnte in keinem dieser Fälle erkennen, dass die Massenüberwachung der NSA zu Hinweisen geführt hätte, die zur Aufdeckung konkreter Anschläge in den USA relevant gewesen waren. Der Bericht kann unter programs_stop_terrorists abgerufen werden. Im Ergebnis haben die aus der Massenüberwachung der Nachrichtendienste stammenden, an andere Sicherheitsbehörden übermittelten Daten jedenfalls in den USA einen nur sehr begrenzten Wert für die Terrorismusbekämpfung erzielt. Unabhängig hiervon ist die Frage zu stellen, ob ein legitimes Ziel wie die Terrorismusbekämpfung in einem freiheitlichen Rechtsstaat wirklich jedes Mittel rechtfertigt. Nach meiner Überzeugung hat die anlasslose, massenhafte Überwachung des weltweiten Telekommunikationsverkehrs durch das Bündnis der Five Eyes vielfach und grundlegend das international verbürgte Menschenrecht auf Privatheit Seite 13 Der Bayerische Landesbeauftragte für den Datenschutz, 26. Tätigkeitsbericht 2014

14 verletzt. Art. 17 des Internationalen Pakts über die bürgerlichen und politischen Rechte (IPbpR) verlangt, dass niemand willkürlichen oder rechtswidrigen Eingriffen in sein Privatleben, seine Familie, seine Wohnung oder seinen Schriftverkehr ausgesetzt werden darf. Art. 17 IPbpR (1) Niemand darf willkürlichen oder rechtswidrigen Eingriffen in sein Privatleben, seine Familie, seine Wohnung und seinen Schriftverkehr oder rechtswidrigen Beeinträchtigungen seiner Ehre und seines Rufes ausgesetzt werden. (2) Jedermann hat Anspruch auf rechtlichen Schutz gegen solche Eingriffe oder Beeinträchtigungen. 1 Die Generalversammlung der Vereinten Nationen hat in einer Resolution am bekräftigt, dass dieses Menschenrecht auf Privatheit uneingeschränkt auch im digitalen Zeitalter gilt (Resolution 68/167. Das Recht auf Privatheit im digitalen Zeitalter). Art. 17 des Paktes verdeutlicht ebenso wie Art. 8 der Europäischen Menschenrechtskonvention: Die staatliche Überwachung von Menschen ist eine rechtfertigungsbedürftige Ausnahme. Wer wie das Bündnis der Five Eyes die Überwachung zur Regel macht, verkehrt also das in den Menschenrechten angelegte Regel-Ausnahme-Verhältnis. Dementsprechend dürfte der britische Geheimdienst Government Communications Headquarters (GCHQ) auch das Grundrecht aus Art. 8 der Europäischen Menschenrechtskonvention massiv verletzt haben. Seine Beteiligung an der weltumspannenden Massenüberwachung der Internet- und Telekommunikation ist Gegenstand eines Verfahrens, das gegenwärtig beim Europäischen Gerichtshof für Menschenrechte anhängig ist (App.No /13). Überblick Bislang für die Öffentlichkeit völlig ungeklärt ist auch die Frage, inwieweit die deutschen Nachrichtendienste mit den Five Eyes kooperiert haben. Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder hat deshalb sich einerseits gegen eine umfassende und anlasslose Überwachung durch Nachrichtendienste gewandt und andererseits eine umfassende Aufklärung des Sachverhalts eingefordert. Entschließung der Konferenz der Datenschutzbeauftragten des Bundes und der Länder vom Keine umfassende und anlasslose Überwachung durch Nachrichtendienste! Zeit für Konsequenzen Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder stellt fest, dass noch immer nicht alles getan wurde, um das Ausmaß der nachrichtendienstlichen Ermittlungen mithilfe von Programmen wie PRISM, TEMPORA und XKEYSCORE für die Bundesrepublik Deutschland aufzuklären. Schon die bisherigen Erkenntnisse lassen den Schluss zu, dass die Aktivitäten u.a. des US-amerikanischen und des britischen Geheimdienstes auf eine globale und tendenziell unbegrenzte Überwachung der Internetkommunikation hinauslaufen, zumal große Internet- und Telekommunikationsunternehmen in die Geheimdienstaktionen eingebunden sind. Da zahlreiche Anbieter von Kommunikationsdienstleistungen, deren Server in den USA stehen, personenbezogene Daten der Menschen in der Bundesrepublik Seite 14 Der Bayerische Landesbeauftragte für den Datenschutz, 26. Tätigkeitsbericht 2014

15 Deutschland verarbeiten, betreffen die Berichte, dass US-amerikanische Geheimdienste auf dem Territorium der USA personenbezogene Daten umfassend und anlasslos überwachen, auch ihre Daten. Unklar ist daneben noch immer, ob bundesdeutsche Stellen anderen Staaten rechtswidrig personenbezogene Daten für deren Zwecke zur Verfügung gestellt und ob bundesdeutsche Stellen rechtswidrig erlangte Daten für eigene Zwecke genutzt haben. Die staatliche Pflicht zum Schutz der Grundrechte erfordert es, sich nicht mit der gegenwärtigen Situation abzufinden. Die Regierungen und Parlamente des Bundes und der Länder sind dazu aufgerufen, das ihnen im Rahmen ihrer Zuständigkeiten Mögliche zu tun, um die Einhaltung des deutschen und des europäischen Rechts zu gewährleisten. Das Bundesverfassungsgericht hat festgestellt, dass es "zur verfassungsrechtlichen Identität der Bundesrepublik Deutschland gehört, für deren Wahrung sich die Bundesrepublik in europäischen und internationalen Zusammenhängen einsetzen muss", "dass die Freiheitswahrnehmung der Bürger nicht total erfasst und registriert werden darf". Es müssen daher alle Maßnahmen getroffen werden, die den Schutz der informationellen Selbstbestimmung der in Deutschland lebenden Menschen und ihr Grundrecht auf Vertraulichkeit und Integrität informationstechnischer Systeme für die Zukunft sicherstellen. Für die Wahrung der Grundrechte der Menschen in der Bundesrepublik Deutschland kommt es nun darauf an, die notwendigen Konsequenzen zu ziehen. Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder fordert deshalb: Nationales, europäisches und internationales Recht so weiterzuentwickeln und umzusetzen, dass es einen umfassenden Schutz der Privatsphäre, der informationellen Selbstbestimmung, des Fernmeldegeheimnisses und des Grundrechts auf Vertraulichkeit und Integrität informationstechnischer Systeme garantiert. Sofern verfassungswidrige nachrichtendienstliche Kooperationen erfolgen, müssen diese abgestellt und unterbunden werden. Die Kontrolle der Nachrichtendienste muss durch eine Erweiterung der Befugnisse sowie eine gesetzlich festgelegte verbesserte Ausstattung der parlamentarischen Kontrollgremien intensiviert werden. Bestehende Kontrolllücken müssen unverzüglich geschlossen werden. In diesem Zusammenhang ist zu prüfen, ob die Datenschutzbeauftragten verstärkt in die Kontrolle der Nachrichtendienste eingebunden werden können. Es sind Initiativen zu ergreifen, die die informationelle Selbstbestimmung und das Grundrecht auf Vertraulichkeit und Integrität informationstechnischer Systeme sicherstellen. Dazu gehört, zu prüfen, ob das Routing von Telekommunikationsverbindungen in Zukunft möglichst nur über Netze innerhalb der EU erfolgen kann. sichere und anonyme Nutzungsmöglichkeiten von Telekommunikationsangeboten aller Art auszubauen und zu fördern. Dabei ist sicherzustellen, dass den Betroffenen keine Nachteile entstehen, Seite 15 Der Bayerische Landesbeauftragte für den Datenschutz, 26. Tätigkeitsbericht 2014

16 wenn sie die ihnen zustehenden Rechte der Verschlüsselung und Nutzung von Anonymisierungsdiensten ausüben. die Voraussetzungen für eine objektive Prüfung von Hard- und Software durch unabhängige Zertifizierungsstellen zu schaffen. Völkerrechtliche Abkommen wie das Datenschutz-Rahmenabkommen und das Freihandelsabkommen zwischen der EU und den USA dürfen nur abgeschlossen werden, wenn die europäischen Datenschutzgrundrechte ausreichend geschützt werden. Das bedeutet auch, dass jeder Mensch das Recht hat, bei vermutetem Datenmissbrauch den Rechtsweg zu beschreiten. Das Fluggastdatenabkommen und das Überwachungsprogramm des Zahlungsverkehres müssen auf den Prüfstand gestellt werden. Auch innerhalb der Europäischen Union ist sicherzustellen, dass die nachrichtendienstliche Überwachung durch einzelne Mitgliedstaaten nur unter Beachtung grundrechtlicher Mindeststandards erfolgt, die dem Schutzniveau des Art. 8 der Charta der Grundrechte der Europäischen Union entsprechen. 1 Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder fordert alle Verantwortlichen auf, die umfassende Aufklärung mit Nachdruck voranzutreiben und die notwendigen Konsequenzen zügig zu treffen. Es geht um nichts weniger als das Grundvertrauen der Bürgerinnen und Bürger in den Rechtsstaat. Zur Aufklärung der nachrichtendienstlichen Internet- und Telekommunikationsüberwachung seit Jahresbeginn 2001 hat der Deutsche Bundestag einen Untersuchungsausschuss eingesetzt (Einsetzungsbeschluss vom , Bundestags-Drucksache 18/843). Vor dem Hintergrund der Entschließung vom begrüße ich diesen Schritt. Überblick Insbesondere hat sich auch der Bayerische Landtag mehrfach mit der NSA-Affäre auseinandergesetzt. Unter anderem hat der Ausschuss für Kommunale Fragen, Innere Sicherheit und Sport mich im November 2013 eingeladen, zur NSA- Spähaffäre Stellung zu nehmen. Im Rahmen dieser Anhörung kündigte ich an, etwaige Kooperationen des Bayerischen Landesamts für Verfassungsschutz mit ausländischen Sicherheitsbehörden näher zu überprüfen. Diese Überprüfung ist mittlerweile erfolgt (zum Ergebnis dieser Prüfung siehe Nr ). Ebenfalls im November 2013 hat die Bayerische Staatsregierung intensiv mögliche Folgerungen aus der NSA-Affäre für die Datensicherheit erörtert (Bericht aus der Kabinettsitzung vom , abrufbar unter Pressemitteilungen ). In diese Überlegungen der Bayerischen Staatsregierung wurde ich eingebunden und habe dabei insbesondere Verbesserungen in der vertraulichen Kommunikation empfohlen. Überdies habe ich darauf hingewiesen, dass es um die Möglichkeiten der Bürgerinnen und Bürgern zum technischen Selbstschutz gegen Überwachungsmaßnahmen allgemein schlecht bestellt ist. Für die digitale Kommunikation mit sensiblen Inhalten halte ich es daher für äußerst wünschenswert, wenn der Freistaat Bayern die Entwicklung einer nutzerfreundlichen Endezu-Ende-Verschlüsselung und ähnliche Mittel zum Selbstdatenschutz nachhaltig fördern würde. Seite 16 Der Bayerische Landesbeauftragte für den Datenschutz, 26. Tätigkeitsbericht 2014

17 Insgesamt möchte ich auf die Entschließung der 87. Konferenz der Datenschutzbeauftragten des Bundes und der Länder vom 27./ aufmerksam machen, die auf notwendige technische und organisatorische Schutzmaßnahmen hingewiesen hat. Entschließung der 87. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 27./ Gewährleistung der Menschenrechte bei der elektronischen Kommunikation Die Enthüllungen des Whistleblowers Edward Snowden haben ein Ausmaß an geheimdienstlicher Überwachung aufgezeigt, das viele zuvor nicht für möglich gehalten hatten. Die tendenziell unbegrenzte und kaum kontrollierte Überwachung der elektronischen Kommunikation aller verletzt das auch im digitalen Zeitalter weltweit anerkannte Recht auf Privatheit in täglich wiederkehrender millionenfacher Weise. Dies beeinträchtigt zugleich die Wahrnehmung anderer Menschenrechte wie der Meinungs- und Versammlungsfreiheit. Es ist eine gesamtgesellschaftliche Aufgabe, berechtigtes Vertrauen in die prinzipielle Unverletzlichkeit der Kommunikation wieder herzustellen. Die Datenschutzbeauftragten des Bundes und der Länder haben daher schon im September 2013 gefordert, auf diese neue Qualität der Überwachung rechtlich und politisch zu reagieren. Darüber hinaus sind aber auch technische und organisatorische Schutzmaßnahmen erforderlich. Der Schutz der informationellen Selbstbestimmung der in Deutschland lebenden Menschen sowie der Vertraulichkeit und Integrität informationstechnischer Systeme muss wieder hergestellt und dauerhaft gesichert werden. Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder fordert daher die Prüfung und Umsetzung folgender Maßnahmen: 1. Sichere Verschlüsselung beim Transport und bei der Speicherung von Daten, 2. Bereitstellung einer einfach bedienbaren Verschlüsselungs-Infrastruktur, 3. Einsatz von Ende-zu-Ende-Verschlüsselung in Kombination mit Verfahren zur Verbindungsverschlüsselung, 4. Sichere und vertrauenswürdige Bereitstellung von Internetangeboten, 5. Weiterentwicklung innovativer Vorkehrungen zum Schutz von Verkehrsdaten, 6. Ausbau der Angebote und Förderung anonymer Kommunikation, 7. Angebot für eine Kommunikation über kontrollierte Routen, 8. Sichere Verschlüsselung der Mobilkommunikation und Einschränkung der Möglichkeiten der Geolokalisierung, 9. Beschränkung des Cloud Computing mit personenbezogenen Daten auf vertrauenswürdige Anbieter mit zertifizierter Informationssicherheit, Seite 17 Der Bayerische Landesbeauftragte für den Datenschutz, 26. Tätigkeitsbericht 2014

18 10. Förderung der Vertrauenswürdigkeit informationstechnischer Systeme durch Zertifizierung, 11. Sensibilisierung von Nutzerinnen und Nutzern moderner Technik, 12. Ausreichende Finanzierung von Maßnahmen der Informationssicherheit. Der Arbeitskreis Technische und organisatorische Datenschutzfragen der Datenschutzkonferenz hat einen Anforderungskatalog formuliert, der die hier genannten Maßnahmen konkretisiert (siehe Anlage zu dieser Entschließung). Die Datenschutzbeauftragten des Bundes und der Länder fordern die Anbieter elektronischer Kommunikationsdienste auf, entsprechende Technologien und Dienste zur Verfügung zu stellen. Die Verwaltungen in Bund und Ländern, insbesondere die zuständigen Regulierungsbehörden, sind aufgefordert, auf die Durchsetzung der o.g. Maßnahmen zu dringen. Der Gesetzgeber ist aufgerufen, die zu ihrer Durchsetzung ggf. nötigen Änderungen und Präzisierungen an dem bestehenden Rechtsrahmen vorzunehmen. 1.2 Europa 1 Überblick Reform des Datenschutzrechtsrahmens Bereits in meinem 25. Tätigkeitsbericht 2012 unter Nr. 1.1 bin ich auf die Reform des Europäischen Datenschutzrechtsrahmens eingegangen. Die Europäische Kommission hat schon im Jahr 2012 den Entwurf einer Datenschutz-Grundverordnung (KOM 2012/0011 endg.) vorgelegt. Er zielt auf eine allgemeine und in den Mitgliedstaaten unmittelbar geltende Gesetzeslage ab. Diese Verordnung soll die geltende allgemeine Datenschutz-Richtlinie 95/46/EG ersetzen. Nunmehr hat das Europäische Parlament am mit großer Mehrheit eine Verhandlungsposition festgelegt (Legislative Entschließung des Europäischen Parlaments am , P7_TA(2014)0212); 622 Ja-Stimmen und 10 Nein-Stimmen bei 22 Enthaltungen). Der Textentwurf lehnt sich stark an den Kommissionsentwurf an. Parallel dazu ist ein Entwurf einer Datenschutz-Richtlinie für den Bereich der Strafjustiz (KOM 2012/0010) vorgelegt worden. Er soll den Datenschutz im Bereich der Strafjustiz von der vorbeugenden Bekämpfung der Kriminalität über die Strafverfolgung bis hin zum Strafvollzug abdecken. Nach dem Willen der Kommission soll damit der Anwendungsbereich der Richtlinie gegenüber dem Rahmenbeschluss 2008/977/JI deutlich weiter ausgestaltet sein. Er soll insbesondere auch die mitgliedsstaatlichen Datenverarbeitungen im Bereich der Strafjustiz betreffen. Das Europäische Parlament hat auch hier mehrheitlich eine Verhandlungsposition festgelegt, die nicht grundlegend vom Kommissionsentwurf abweicht (Legislative Entschließung des Europäischen Parlaments am , P7_TA(2014)0219). Wie das Abstimmungsergebnis zeigt, ist der Entwurf jedoch deutlich umstrittener gewesen als der Schwesterentwurf einer Datenschutz- Grundverordnung (371 Ja-Stimmen und 276 Nein-Stimmen bei 30 Enthaltungen). Die Änderungsvorschläge des Parlaments zielen auf eine weitergehende Angleichung der Richtlinie an die Datenschutz-Grundverordnung, insbesondere auf eine effektivere Datenschutzkontrolle ab. Seite 18 Der Bayerische Landesbeauftragte für den Datenschutz, 26. Tätigkeitsbericht 2014

19 Für einen erfolgreichen Abschluss des Gesetzgebungsvorhabens wäre es allerdings erforderlich, dass sich auch der Rat der Europäischen Union eine Verhandlungsposition erarbeitet. Im Rat stocken jedoch die Verhandlungen. Dem Vernehmen nach behandelt der Rat der Europäischen Union dabei den Entwurf einer Datenschutz-Grundverordnung vorrangig gegenüber dem Richtlinienentwurf. Sowohl die Europäische Kommission als auch das Europäische Parlament haben sich auf ein Junktim festgelegt: Danach soll die Datenschutz-Grundverordnung nicht ohne die Richtlinie verabschiedet werden. Offiziellen Verlautbarungen zufolge soll die Datenschutz-Grundverordnung spätestens im Jahr 2015 verabschiedet werden. Die Konferenz hat den Reformprozess erneut mit mehreren Entschließungen begleitet, die ich mitgetragen habe. Entschließung der 87. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 27./ Entschließung der Konferenz der Datenschutzbeauftragten des Bundes und der Länder zur Struktur der künftigen Datenschutzaufsicht in Europa Ein zentrales Verhandlungsthema bei den Beratungen im Rat der EU betrifft die Frage, welche Aufgaben die Datenschutzbehörden künftig haben und wie sie in Fällen, die mehrere Mitgliedstaaten oder die gesamte EU betreffen, besser zusammenarbeiten können. Die Europäische Kommission hatte hierzu das Prinzip einer einheitlichen Anlaufstelle ("One-Stop-Shop") vorgeschlagen, wonach die Datenschutzbehörde am Sitz der Hauptniederlassung EU-weit zuständig ist für die Aufsicht über alle Niederlassungen eines Unternehmens innerhalb der EU. Daneben schlug sie die Einführung eines Kohärenzverfahrens vor, das es den Datenschutzbehörden ermöglichen soll, in grenzüberschreitenden Fällen zu einheitlichen Entscheidungen im Rahmen des europäischen Datenschutzausschusses zu gelangen. Vor dem Hintergrund der aktuell im Rat erörterten unterschiedlichen Modelle plädieren die Datenschutzbeauftragten des Bundes und der Länder für einen effektiven und bürgernahen Kooperations- und Entscheidungsmechanismus, der folgende Kernelemente beinhalten sollte: 1. Die Datenschutzbeauftragten des Bundes und der Länder bekräftigen den Grundsatz, dass jede Aufsichtsbehörde im Hoheitsgebiet ihres Mitgliedstaats die ihr mit der Verordnung übertragenen Aufgaben und Befugnisse über alle Datenverarbeitungen ausübt, durch welche Personen dieses Mitgliedstaates betroffen sind, unabhängig davon, ob die verantwortliche Stelle über eine Niederlassung innerhalb dieses Mitgliedstaates verfügt oder nicht. 2. Die Datenschutzbeauftragten des Bundes und der Länder die Einführung eines One-Stop-Shop-Mechanismus für Fälle, in denen der Datenverarbeiter über mehrere Niederlassungen in unterschiedlichen EU-Mitgliedstaaten verfügt. In diesem Fall fungiert die Aufsichtsbehörde am Orte der Hauptniederlassung als federführende Behörde, die mit den Aufsichtsbehörden der Mitgliedstaaten, in denen der Verantwortliche über weitere Niederlassungen verfügt oder in denen Personen betroffen sind, eng kooperiert. Es bleibt damit den betroffenen Personen unbenommen, sich an die Aufsichtsbehörden ihres Heimatlandes zu wenden. Seite 19 Der Bayerische Landesbeauftragte für den Datenschutz, 26. Tätigkeitsbericht 2014

20 3. Die federführende Behörde und die mit zuständigen nationalen Aufsichtsbehörden kooperieren mit dem Ziel einer einheitlichen Entscheidungsfindung. Im Falle der Einigkeit erlässt die federführende Behörde die erforderlichen Maßnahmen gegenüber der Hauptniederlassung des Verantwortlichen. Der Verantwortliche ist verpflichtet, die Maßnahmen in allen Niederlassungen innerhalb der EU umzusetzen. 4. Sofern eine nationale Behörde dem Maßnahmenentwurf der federführenden Behörde widerspricht, ist der Europäische Datenschutzausschuss mit dem Fall zu befassen, der hierzu verbindliche Leitlinien erlassen oder sonstige verbindliche Maßnahmen treffen kann. 5. Die Datenschutzbeauftragten des Bundes und der Länder befürworten die in dem Verordnungsentwurf enthaltenen Elemente zur Stärkung der Verantwortlichkeit der Unternehmen zur Einhaltung des Datenschutzrechts. Hierzu zählen die EU-weite Einführung betrieblicher Datenschutzbeauftragter, Datenschutz-Folgeabschätzungen, Privacy-by-Design und Privacyby-Default, Zertifizierungen, Datenschutzsiegel und Verhaltensregeln. Fragen zur Rechtskonformität einer Datenverarbeitung können im Rahmen der vorherigen Zurate Ziehung mit den Aufsichtsbehörden geklärt werden Für die Einführung formeller, fristgebundener Verfahren zur Erlangung EUweit gültiger Compliance-Entscheidungen besteht aus Sicht der Datenschutzbeauftragten des Bundes und der Länder daneben kein Bedarf. Insbesondere darf die Klärung von Compliance-Fragen nicht zu einer Verlagerung der Verantwortlichkeit auf die Aufsichtsbehörden und zur Einschränkung aufsichtsbehördlicher Maßnahmen im Falle von Datenschutzverstößen führen. Überblick 7. Ein originärer Schwerpunkt der Aufsichtstätigkeit in Bezug auf Zertifizierungsprozesse sollte darin liegen, im Rahmen der Norminterpretation Prüfstandards mitzugestalten, auf deren Grundlage die Vergabe von Zertifikaten geprüft wird. Nach wie vor halte ich eine Reform des Europäischen Datenschutzrechtrahmens für geboten. Das Gesetzgebungsverfahren werde ich dementsprechend konstruktiv-kritisch weiter begleiten. Mein besonderes Augenmerk werde ich weiterhin darauf legen, dass eine künftige europäische Regelung den Mitgliedstaaten Gestaltungsspielräume für einen weitergehenden Datenschutz bzw. für die Fortentwicklung des Datenschutzes eröffnet Ende der Vorratsdatenspeicherung? Mit Urteil vom hat der Europäische Gerichtshof (EuGH) die aus datenschutzrechtlicher Sicht höchst problematische Richtlinie 2006/24/EG über die Vorratsspeicherung von Telekommunikationsdaten für ungültig erklärt. Zwar hat der Gerichtshof die Vorratsspeicherung als nützliches Mittel angesehen, das zur Aufklärung schwerer Straftaten geeignet sein kann. Zugleich hat er jedoch darauf hingewiesen, dass schon die Pflicht zur anlasslosen Speicherung einen besonders schwerwiegenden Eingriff großen Ausmaßes in das Recht auf Privatleben und den Datenschutz der Betroffenen darstellt. Diese Feststellung steht im Einklang mit Seite 20 Der Bayerische Landesbeauftragte für den Datenschutz, 26. Tätigkeitsbericht 2014