Länder vom 25./26. März 2004:
Personennummern
Das Bundesverfassungsgericht hat schon in seinem „Volkszählungsurteil“ aus dem Jahre 1983 besonders betont, dass ein Personenkennzeichen nicht verfassungsge-mäß ist. Deshalb gibt die Einführung von einheitlichen Personennummern z.B. im Steuerbereich oder auch im Arbeits-, Gesundheits- und Sozialbereich Anlass zu grundsätzlicher Kritik. Der Staat darf seine Bürgerinnen und Bürger nicht zur Num-mer abstempeln. Durch die technische Entwicklung sind vorhandene Dateien leicht miteinander zu verknüpfen und könnten zu einer vom Bundesverfassungsgericht strikt abgelehnten allgemeinen Personennummer führen.
Die Konferenz appelliert an die Gesetzgeber, solche Personennummern zu vermei-den. Soweit jedoch im Einzelfall derartige Nummern unerlässlich sind, muss der Ge-setzgeber strenge Zweckbindungen und Verwendungsverbote vorsehen.
Anlage 16 Entschließung der 67. Konferenz der Datenschutzbeauftragten des Bundes und der Länder vom 25./26. März 2004:
Einführung eines Forschungsgeheimnisses für medizinische Daten
In vielen Bereichen der Forschung werden sensible medizinische Daten der Bürger-innern und Bürger verarbeitet. Dabei ist häufig eine Verarbeitung auch personenbe-zogener Daten erforderlich. Diese Daten können mit Einwilligung der Betroffenen insbesondere von Ärztinnen und Ärzten, aber auch von Angehörigen anderer Heilbe-rufe an Forscher und Forscherinnen übermittelt werden. Dies ist im Interesse der Forschung zwar grundsätzlich zu begrüßen. Mit der Übermittlung verlieren die Daten aber regelmäßig den strafrechtlichen Schutz vor Offenbarung und den Beschlag-nahmeschutz im Strafverfahren. Auch ein Zeugnisverweigerungsrecht bezüglich die-ser Daten steht den Forschenden - anders als insbesondere den behandelnden Ärz-tinnen und Ärzten - nicht zu. Zum Schutze der Forschung, vor allem aber zum Schutz der durch die Datenübermittlung und -verarbeitung Betroffenen, sollte vom Gesetz-geber deshalb sichergestellt werden, dass die bei den übermittelnden Stellen ge-schützten personenbezogenen medizinischen Daten auch nach ihrer Übermittlung zu Forschungszwecken den gleichen Schutz genießen.
Die Datenschutzbeauftragten fordern daher den Bundesgesetzgeber auf,
- in § 203 StGB die unbefugte Offenbarung von personenbezogenen medizini-schen Forschungsdaten unter Strafe zu stellen,
- in §§ 53, 53 a StPO für personenbezogene medizinische Daten ein Zeugnis-verweigerungsrecht für Forscher und ihre Berufshelfer zu schaffen,
- in § 97 StPO ein Verbot der Beschlagnahme personenbezogener medizini-scher Forschungsdaten zu schaffen.
Die Datenschutzbeauftragten sehen in diesen Vorschlägen einen ersten Schritt zu einer generellen Regelung des besonderen Schutzes personenbezogener Daten in der Forschung.
Anlage 17 Entschließung der 67. Konferenz der Datenschutzbeauftragten des Bundes und der Länder vom 25./26. März 2004:
Automatische Kfz-Kennzeichenerfassung durch die Polizei
Die Datenschutzbeauftragten des Bundes und der Länder betrachten einen anlass-freien und lageunabhängigen Einsatz von automatischen Kfz-Kennzeichen-Lesesystemen im Straßenverkehr mit Sorge, weil sich diese Maßnahmen zu einem weiteren Schritt zur Überwachung aller Bürgerinnen und Bürger entwickeln können.
Es ist zu befürchten, dass mit dem Einsatz der automatischen Kfz-Kennzeichenerfassung eine neue Infrastruktur geschaffen wird, die künftig noch weit tiefergehende Eingriffe in das Persönlichkeitsrecht ermöglicht.
Die Nutzung dieser neuen Technik hätte zur Folge, dass die Kfz-Kennzeichen aller an den Erfassungsgeräten vorbeifahrenden Verkehrsteilnehmerinnen und -teilneh-mer erfasst und mit polizeilichen Fahndungsdateien abgeglichen würden. Schon der mit der Feststellung gesuchter Fahrzeuge verbundene Abgleich würde zu einem neuen Eingriff in das Recht auf informationelle Selbstbestimmung von Personen füh-ren, die weit überwiegend keinen Anlass für eine polizeiliche Verarbeitung ihrer per-sonenbezogenen Daten gegeben haben.
Auf jeden Fall muss ausgeschlossen werden, dass Daten über unverdächtige Perso-nen gespeichert werden und dass ein allgemeiner Datenabgleich mit polizeilichen Informationssystemen durchgeführt wird.
Die Datenschutzbeauftragten weisen darauf hin, dass schon mehrere Länder eine Kfz-Kennzeichen-Erfassung ablehnen.
Anlage 18 Entschließung der 67. Konferenz der Datenschutzbeauftragten des Bundes und der Länder vom 25./26. März 2004:
Übermittlung von Flugpassagierdaten an die US-Behörden
Die Datenschutzbeauftragten des Bundes und der Länder bestärken die Bundesre-gierung darin, sich für Verbesserungen des Datenschutzes bei der Übermittlung von Flugpassagierdaten an die Zoll- und Sicherheitsbehörden der USA einzusetzen.
Durch einseitigen Rechtsakt haben die USA die Fluggesellschaften, die ihr Land an-fliegen, unter Androhung teilweise empfindlicher Strafen verpflichtet, den US-Zoll- und Sicherheitsbehörden den Zugang zu ihren Reservierungsdatenbanken zu eröff-nen, um anhand der darin enthaltenen Informationen über die Fluggäste mögliche terroristische oder kriminelle Aktivitäten frühzeitig zu erkennen. In den Reservie-rungsdatenbanken halten die an der Reisedurchführung beteiligten Stellen alle In-formationen fest, die sie benötigen, um die Flugreise abzuwickeln. Es werden z.B.
Name, Reiseverlauf, Buchungsstelle, Art der Bezahlung, bei Zahlung mit Kreditkarte deren Nummer, Sitzplatz, Essenswünsche, notwendige Reisevorkehrung wegen ei-ner Erkrankung eines Fluggastes, Hotel- und Mietwagenreservierungen im Bu-chungssystem gespeichert. Teilweise sind die gespeicherten Daten sensitiv, weil sie Rückschlüsse auf die Gesundheit einzelner Fluggäste oder religiöse oder politische Anschauungen ermöglichen.
Die US-Zollbehörden wollen alle Reservierungsdaten mindestens 3,5 Jahre spei-chern ungeachtet der Tatsache, ob gegen eine Person ein Verdachtsmoment vorlag oder nicht. Passagierdaten, die im Einzelfall überprüft wurden, sollen zudem weitere 8 Jahre gespeichert werden.
Die Datenschutzbeauftragten verkennen nicht, dass nach den Ereignissen des 11. Septembers 2001 ein erhöhtes Bedürfnis nach Sicherheit im Flugverkehr offen-sichtlich ist. Sie verschließen sich deshalb keineswegs Forderungen, die auf eine sichere Identifikation der Fluggäste zielen. Dennoch muss festgestellt werden, dass die Forderungen der USA weit über das hinausgehen, was erforderlich ist. Da die Reservierungsdatenbanken nicht für Sicherheitszwecke sondern zur Durchführung der Flugreisen angelegt werden, enthalten sie auch eine Vielzahl von Daten der Rei-senden, die für eine Sicherheitsüberprüfung der Passagiere irrelevant sind.
Mit dem Zugriff ist wegen der teilweise hohen Sensibilität der Daten ein tiefer Eingriff in die Persönlichkeitsrechte der Betroffenen verbunden. Besonders hervorzuheben ist in diesem Zusammenhang, dass die Behörden hier aufgrund US-amerikanischen Rechts auf Datenbanken außerhalb ihres Hoheitsbereichs zugreifen.
Die betroffenen Personen werden gegenüber dem Zugriff auf ihre Daten durch eine ausländische Stelle in ihren Datenschutzrechten weitgehend schutzlos gelassen. Ein vergleichbares Ansinnen deutscher Sicherheitsbehörden wäre schwerlich mit unserer Verfassung vereinbar.
Die Problematik kann sich weiter verschärfen, wenn die USA die Passagierdaten zu-künftig auch im sog. CAPPS II - System einsetzen wollen. Dieses System ermöglicht sowohl einen automatisierten Abgleich mit Fahndungslisten als auch mit Informatio-nen aus dem privaten Sektor. Insbesondere sollen Kreditkarten- und Adressdaten mit Informationen aus der Kreditwirtschaft abgeglichen werden.
Die Europäische Kommission bemüht sich seit über einem Jahr in Verhandlungen darum, den Datenzugang der US-Behörden auf ein angemessenes Maß zu be-schränken. Leider führten die Verhandlungen nur in Teilbereichen zum Erfolg. Die erzielten Ergebnisse in ihrer Gesamtheit gewähren den Reisenden keinen angemes-senen Schutz ihrer Persönlichkeitsrechte. Dies hat die Gruppe nach Art. 29 der eu-ropäischen Datenschutzrichtlinie (EG-DSRL) in ihrer Stellungnahme vom 29.01.2004 deutlich herausgearbeitet:
(http://www.europa.eu.int/comm/internal_market/privacy/workingroup/wp2004/wpdocs04_de.htm)
Die darin vertretenen Positionen werden von den Datenschutzbeauftragten aus-drücklich unterstützt. Dennoch beabsichtigt die Europäische Kommission das Ergeb-nis ihrer Verhandlungen als einen angemessenen Datenschutzstandard förmlich an-zuerkennen. Die Datenschutzbeauftragten appellieren an die Bundesregierung, sich gegen diese Entscheidung der Kommission zu wenden. Wenn die Kommission die-sen unbefriedigenden Verhandlungsergebnisdie-sen ein angemesdie-senes Datenschutzni-veau attestiert, setzt sie damit Maßstäbe sowohl für die Auslegung der EU-Datenschutzrichtlinie als auch für Verhandlungen mit anderen Staaten über die An-erkennung des dortigen Datenschutzniveaus. Die Bundesregierung sollte sich dem-gegenüber für eine Lösung einsetzen, die Sicherheitsaspekte und den Schutz der Persönlichkeitsrechte in ein angemessenes Verhältnis setzt. Insbesondere sind die Informationen ausdrücklich zu benennen, die für die Passagieridentifikation benötigt werden. Diese Daten können zu einem angemessenen Zeitpunkt vor dem Abflug bereitgestellt werden. Ein unmittelbarer pauschaler Zugriff auf europäische Daten-banken, wie er zurzeit praktiziert wird, muss ausgeschlossen werden.
Anlage 19 Entschließung der 67. Konferenz der Datenschutzbeauftragten des Bundes und der Länder vom 25./26. März 2004:
Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder schließt sich voll inhaltlich der folgenden Entschließung an:
Entschließung der Internationalen Konferenz der Beauftragten für den Datenschutz und den Schutz der Privatsphäre
Radio-Frequency Identification vom 20. November 2003
(Übersetzung)
Radio-Frequency Identification (RFID) Technologie wird zunehmend für eine Reihe unterschiedlicher Zwecke eingesetzt. Während es Situationen gibt, in denen diese Technologie positive und günstige Auswirkungen hat, sind auch negative Folgen für die Privatsphäre möglich. RFID-Etiketten werden bisher vorwiegend zur Identifikation und Organisation von Gegenständen (Produkten), zur Kontrolle der Logistik oder zum Schutz der Authentizität einer Produktmarke (Warenzeichen) verwendet; sie können aber auch mit personenbezogenen Informationen wie Kreditkarten-Daten verknüpft werden und auch zur Erhebung solcher Informationen oder zur Lokalisie-rung oder Profilbildung über Personen benutzt werden, die Gegenstände mit RFID-Etiketten besitzen. Diese Technologie würde die unbemerkte Verfolgung und das Aufspüren von Individuen ebenso wie die Verknüpfung erhobener Daten mit beste-henden Datenbanken ermöglichen.
Die Konferenz hebt die Notwendigkeit hervor, Datenschutzprinzipien zu berücksichti-gen, wenn RFID-Etiketten verknüpft mit personenbezogenen Daten eingeführt wer-den sollen. Alle Grundsätze des Datenschutzrechts müssen beim Design, der Einfüh-rung und der Verwendung von RFID-Technologie berücksichtigt werden. Insbeson-dere
a. sollte jeder Datenverarbeiter vor der Einführung von RFID-Etiketten, die mit personenbezogenen Daten verknüpfbar sind oder die zur Bildung von Kon-sumprofilen führen, zunächst Alternativen in Betracht ziehen, die das gleiche Ziel ohne die Erhebung von personenbezogenen Informationen oder die Bil-dung von Kundenprofilen erreichen;
b. wenn der Datenverarbeiter darlegen kann, dass personenbezogene Daten unverzichtbar sind, müssen diese offen und transparent erhoben werden;
c. dürfen personenbezogene Daten nur für den speziellen Zweck verwendet werden, für den sie ursprünglich erhoben wurden und sie dürfen nur solange aufbewahrt werden, wie es zu Erreichung dieses Zwecks erforderlich ist und d. soweit RFID-Etiketten im Besitz von Personen sind, sollten diese die
Möglich-keit zur Löschung der gespeicherten Daten oder zur Deaktivierung oder Zer-störung der Etiketten haben.
Diese Grundsätze sollten bei der Gestaltung und bei der Verwendung von Produkten mit RFID berücksichtigt werden.
Das Auslesen und die Aktivierung von RFID-Etiketten aus der Ferne ohne vernünfti-ge Gelevernünfti-genheit für den Besitzer des etikettierten Gevernünfti-genstandes, diesen Vorgang zu beeinflussen, würde zusätzliche Datenschutzrisiken auslösen.
Die Konferenz und die Internationale Arbeitsgruppe zum Datenschutz in der Tele-kommunikation wird die technischen Entwicklungen in diesem Bereich genau und detaillierter verfolgen, um die Achtung des Datenschutzes und der Privatsphäre in einer Umgebung allgegenwärtiger Datenverarbeitung sicherzustellen.
Anlage 20 Entschließung der 67. Konferenz der Datenschutzbeauftragten des Bundes und der Länder vom 25./26. März 2004:
Entscheidungen des Bundesverfassungsgerichts vom 3. März 2004 zum Großen Lauschangriff und zur präventiven Telekommunikationsüberwachung Das Urteil des Bundesverfassungsgerichts vom 3. März 2004 zum Großen Lausch-angriff ist ein wichtiger Orientierungspunkt in der rechts- und sicherheitspolitischen Diskussion um den sachgerechten Ausgleich zwischen dem staatlichen Auftrag zur Verfolgung und Verhütung von Straftaten einerseits und dem Schutz der grundge-setzlich garantierten Bürgerrechte andererseits. Das Urteil bekräftigt den hohen Rang des Grundrechts auf Unverletzlichkeit der Wohnung und des Rechts auf infor-mationelle Selbstbestimmung. Das Gericht betont, dass der absolut geschützte Kernbereich privater Lebensgestaltung nicht zugunsten der Strafverfolgung einge-schränkt werden darf. Damit darf es keine Strafverfolgung um jeden grundrechtlichen Preis geben.
Die Ausführungen des Bundesverfassungsgerichts sind nicht nur für die Vorschriften über die akustische Wohnraumüberwachung in der Strafprozessordnung von Bedeu-tung. Auf den Prüfstand müssen jetzt auch andere Eingriffsbefugnisse, wie etwa die Telekommunikationsüberwachung und andere Formen der verdeckten Datenerhe-bung mit zwangsläufigen Berührungen zum Bereich privater Lebensgestaltung ge-stellt werden, wie etwa die längerfristige Observation, der verdeckte Einsatz techni-scher Mittel, der Einsatz von Vertrauenspersonen oder von verdeckten Ermittlern.
Hiervon betroffen sind nicht nur Bundesgesetze, sondern beispielsweise auch die Polizei- und Verfassungsschutzgesetze der Länder.
Insbesondere angesichts zunehmender Bestrebungen, auch die Telefonüberwa-chung für präventive Zwecke in Polizeigesetzen zuzulassen, ist darauf hinzuweisen, dass das Bundesverfassungsgericht in einem Beschluss zum Außenwirtschaftsge-setz ebenfalls am 3. März 2004 der präventiven Überwachung des Postverkehrs und der Telekommunikation klare Grenzen gesetzt hat.
Die Datenschutzbeauftragten fordern die Gesetzgeber des Bundes und der Länder deshalb auf, zügig die einschlägigen Vorschriften nach den Maßstäben der verfas-sungsgerichtlichen Entscheidungen vom 3. März 2004 zu korrigieren. Die mit der praktischen Durchführung der gesetzlichen Eingriffsbefugnisse befassten Gerichte, Staatsanwaltschaften und die Polizeien sind aufgerufen, die Vorgaben des Gerichts schon jetzt zu beachten.
Anlage 21