zu Drs. 22/16042: Änderungsantrag zum Senatsentwurf zum Dritten Gesetz zur Änderung polizeirechtlicher Vorschriften

Dienstag, 07.01.2025

Im Sommer 2024 hat der Senat der Bürgerschaft das sogenannte Dritte, richtigerweise das Vierte, Gesetz zur Änderung polizeirechtlicher Vorschriften vorgelegt. Ziel des Gesetzes ist es zum einen, das Hamburgische Polizeirecht an Vorgaben des Bundesverfassungsgerichtes anzupassen. Zum anderen sollen auch Änderungsbedarfe der polizeilichen Praxis einer gesetzlichen Regelung zugeführt werden. Ferner sieht der Entwurf redaktionelle Änderungen vor, da bei der auf die Novellierung 2019 folgenden Anpassung von Polizeidienstvorschriften redaktionelle Unschärfen im nun geltenden Recht aufgefallen sind, die bereinigt werden sollen. Schließlich bedingen Anpassungen im Bundesrecht Folgeänderungen im Landesrecht. Die Bürgerschaft hat den Gesetzentwurf beraten und am 21. November 2024 im Innenausschuss eine Sachverständigenanhörung nach § 58 Absatz 2 GO durchgeführt und diese im Rahmen einer Senatsbefragung am 19. Dezember 2024 ausgewertet.

In der Sachverständigenanhörung wurde zu § 34 Absatz 1 PolDVG-E angeregt, die Ausführungen der gut nachvollziehbaren Begründung an dieser Stelle deutlicher im Wortlaut der Norm hervorzuheben. (vgl. Protokoll der öffentlichen Sitzung Nr. 22/29 zu TOP 1). § 34 Absatz 1 Satz 1 Satz 1 PolDVG-E regelt, ausweislich der Begründung, die Weiterverarbeitung nicht nur im Rahmen der dem Einzelfall für die Datenerhebung maßgeblichen Gefahrenlage, sondern auch, soweit die zuständige Behörde im Rahmen der Erfüllung derselben Aufgabe zur Bewältigung anderer Gefahrenlagen handelt. Erforderlich aber auch ausreichend ist dann nur, dass es um den Schutz derselben Rechtsgüter oder um die Verhütung derselben Straftaten geht, wobei sich die Identität von Rechtsgütern oder Straftaten nicht auf den ursprünglichen Erhebungsanlass bezieht, sondern auf die Schutzzwecke der Datenerhebungsnorm. Die Weiterverarbeitung kann also dem Schutz derjenigen Rechtsgüter oder der Verhütung derjenigen Straftaten dienen, um deren Schutz oder Verhütung es in der Rechtsgrundlage geht, auf die die Datenerhebung gestützt wird (vgl. Drs. 22/16042, S. 23).

Redaktionell, so ergänzte der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, böte es sich ferner an, in der Terminologie den Begriff „Weiterverarbeitung“ konsequenter im Wortlaut der Norm zu verwenden. Dieser Begriff finde sich bereits an einigen Stellen im Wortlaut des Gesetzes und werde auch in der Begründung verwendet, sowie auch vom Bundesverfassungsgericht verwendet.

Das Bundesverfassungsgericht unterscheidet dabei zwischen zweckkonformer Weiterverarbeitung und zweckändernder Weiterverarbeitung. § 34 Absatz 1 PolDVG-E regelt eine Weiterverarbeitung von Daten, die von der Polizei erhoben wurden. Die Weiterverarbeitung meint in diesem Zusammenhang die zweckkonforme Weiterverarbeitung, die keine zweckändernde Weiterverarbeitung darstellt, vgl. BVerfGE 141, 220 Rn. 278 f, 282: „Die jeweilige Eingriffsgrundlage bestimmt Behörde, Zweck und Bedingungen der Datenerhebung und definiert damit die erlaubte Verwendung. […] Für die Wahrung der Zweckbindung kommt es demnach darauf an, dass die erhebungsberechtigte Behörde die Daten im selben Aufgabenkreis zum Schutz derselben Rechtsgüter und zur Verfolgung oder Verhütung derselben Straftaten nutzt, wie es die jeweilige Datenerhebungsvorschrift erlaubt.“

Der Einschub „unter Berücksichtigung der jeweiligen Datenerhebungsvorschrift“ dient der Klarstellung. Wie bereits in der Begründung dargestellt, ist bei der Prüfung desselben Rechtsgutes oder derselben Straftaten, nicht das ursprünglich zu schützende Rechtsgut maßgeblich, sondern diejenigen Rechtsgüter oder diejenigen Straftaten, um deren Schutz oder Verhütung es in der Rechtsgrundlage geht, auf die die Datenerhebung gestützt wird (vgl. zur Intention insoweit bereits Drs. 22/16042, S. 23).

In Abgrenzung zu Absatz 1, und der damit geregelten zweckkonformen Weiterverarbeitung, normiert Absatz 2 eine Konstellation der zweckändernden Weiterverarbeitung.

Eine Weiterverarbeitung in diesem Sinne kann vorliegen, wenn die Polizei Daten verarbeitet, die nicht originär von der Polizei selbst erhoben wurden, oder aber von der Polizei zwar selbst erhoben, aber nicht „zur Erfüllung derselben Aufgabe“ verarbeitet werden oder deren Verarbeitung nicht dem Schutz „derselben Rechtsgüter“ oder der Verhütung „derselben Straftaten“ dient, welche die Datenerhebungsvorschrift in Bezug nimmt; aber auch dann, wenn eine andere Behörde die Daten nutzt. Absatz 2 erlaubt eine solche zweckändernde Weiterverarbeitung, wenn mindestens vergleichbar gewichtige Straftaten oder Ordnungswidrigkeiten verhütet bzw. verfolgt oder mindestens vergleichbar gewichtige Rechtsgüter geschützt werden sollen und sich im Einzelfall konkrete Anhaltspunkte zur Verhütung solcher Straftaten oder Ordnungswidrigkeiten oder zur Abwehr von in einem übersehbaren Zeitraum drohenden Gefahren für mindestens vergleichbar bedeutsame Rechtsgüter erkennen lassen (vgl. Drs. 22/16042, S. 24).

 

Vor diesem Hintergrund möge die Bürgerschaft beschließen,

1. die Drucksache 22/16042 mit den folgenden Änderungen zu beschließen:

I. Artikel 1 (Gesetz über die Datenverarbeitung der Polizei) des Dritten Gesetzes zur Änderung polizeirechtlicher Vorschriften wird wie folgt geändert:

1. Nummer 1 (Inhaltsverzeichnis) wird wie folgt geändert:

a) Hinter Buchstabe c wird folgender neuer Buchstabe d eingefügt:

„d) § 37a Training und Testung von lernenden IT-Systemen“.

 

b) Die bisherigen Buchstaben d bis g werden Buchstaben e bis h.

 

2. In Nummer 19 wird § 34 wie folgt geändert:

a) Absatz 1 Satz 1 erhält folgende Fassung:

„Die Polizei darf personenbezogene Daten, die sie selbst erhoben hat, weiterverarbeiten, wenn dies unter Berücksichtigung der jeweiligen Datenerhebungsvorschrift

1. zur Erfüllung derselben Aufgabe und

2. zum Schutz derselben Rechtsgüter oder sonstigen Rechte oder zur Verhütung derselben Straftat erforderlich ist.“

 

b) Absatz 2 Satz 1 erhält folgende Fassung:

„(2) Eine Weiterverarbeitung personenbezogener Daten zu anderen Zwecken als denjenigen, zu denen sie erhoben worden sind, ist unter Berücksichtigung der jeweiligen Datenerhebungsvorschrift zulässig, wenn

1. mindestens

a) vergleichbar schwerwiegende Straftaten oder Ordnungswidrigkeiten verhütet oder verfolgt oder

b) vergleichbar bedeutsame Rechtsgüter oder sonstige Rechte geschützt werden sollen und

2. sich im Einzelfall konkrete Ermittlungsansätze

a) zur Verhütung oder Verfolgung solcher Straftaten oder Ordnungswidrigkeiten ergeben oder

b) zur Abwehr von in einem übersehbaren Zeitraum drohenden Gefahren für mindestens

vergleichbar bedeutsame Rechtsgüter oder sonstige Rechte erkennen lassen, soweit Vorschriften dieses Gesetzes oder andere Rechtsvorschriften die zweckändernde Weiterverarbeitung nicht besonders regeln.“

c) In Absatz 3 Satz 1 und Absatz 4 Satz 1 erster Halbsatz wird jeweils das Wort „Verarbeitung“ durch das Wort „Weiterverarbeitung“ ersetzt.

 

3. Hinter Nummer 20 wird folgende Nummer 20a eingefügt:

„20a. Hinter § 37 wird folgender § 37a eingefügt:

㤠37a

Training und Testung von lernenden IT-Systemen

(1) Die Polizei darf zum Trainieren und Testen von lernenden IT-Systemen, die die Polizei für die eigene Aufgabenwahrnehmung entwickelt oder nutzt, soweit erforderlich bei ihr vorhandene personenbezogene Daten nach Maßgabe der Absätze 2 bis 5 weiterverarbeiten und dafür auch an Dritte oder Auftragsverarbeiter übermitteln. Es ist dabei sicherzustellen, dass diskriminierende Algorithmen weder herausgebildet noch verwendet werden. Soweit wie technisch möglich muss die Nachvollziehbarkeit des verwendeten Verfahrens sichergestellt werden. Die Weiterverarbeitung von personenbezogenen Daten, die durch einen verdeckten Einsatz technischer Mittel in oder aus Wohnungen nach § 22 Absatz 1, durch Überwachung und Aufzeichnung von Telekommunikation nach § 23 Absatz 1 oder durch den verdeckten Einsatz technischer Mittel aus vom Betroffenen genutzten informationstechnischen Systeme nach § 24 Absatz 1 erhoben wurden, ist unzulässig.

(2) Personenbezogene Daten sind für die Verwendung zu Test- oder Trainingszwecken zu anonymisieren. Kann der Zweck des Tests oder Trainings mit anonymisierten Daten nicht erreicht werden oder ist die Anonymisierung nur mit unverhältnismäßigem Aufwand möglich, sind sie zu pseudonymisieren. Kann der Zweck des Tests oder Trainings mit pseudonymisierten Daten nicht erreicht werden oder ist die Pseudonymisierung nur mit unverhältnismäßigem Aufwand möglich, dürfen personenbezogene Daten zum Zweck des Tests oder Trainings verarbeitet werden. Besondere Kategorien personenbezogener Daten nach Artikel 10 der Richtlinie (EU) 2016/680 oder Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 dürfen unter Gewährleistung von Garantien im Sinne des § 4 Absatz 2 zum Zweck des Tests oder Trainings verwendet werden.

(3) Personenbezogene Daten dürfen zum Testen und Trainieren von lernenden Systemen nur an Auftragsverarbeiter übermittelt werden, wenn eine Verarbeitung bei der Polizei selber nur mit unverhältnismäßigem Aufwand möglich ist. An Dritte dürfen die Daten nur übermittelt werden, wenn eine Verarbeitung durch die Polizei auch unter Zuhilfenahme eines Auftragsverarbeiters nur mit unverhältnismäßigem Aufwand möglich ist. Sofern personenbezogene Daten zum Testen oder Trainieren von lernenden IT-Systemen an Dritte oder im Wege der Auftragsverarbeitung übermittelt werden, ist die Übermittlung von personenbezogenen Daten, die durch einen verdeckten Einsatz technischer Mittel in oder aus Wohnungen nach § 22 Absatz 1, durch Überwachung und Aufzeichnung von Telekommunikation nach § 23 Absatz 1 oder durch den verdeckten Einsatz technischer Mittel aus vom Betroffenen genutzten informationstechnischen Systeme nach § 24 Absatz 1 erhoben wurden, unzulässig. Personenbezogene Daten dürfen nur an solche Personen übermittelt werden, die Amtsträger oder für den öffentlichen Dienst besonders Verpflichtete sind oder die zur Geheimhaltung verpflichtet worden sind. § 1 Absätze 2 und 3 sowie Absatz 4 Nummer 2 des Verpflichtungsgesetzes vom 2. März 1974 (BGBl. I S. 469, 547), geändert am 15. August 1974 (BGBl. I S. 1942), ist auf die Verpflichtung zur Geheimhaltung entsprechend anzuwenden. Durch organisatorische und technische Maßnahmen ist zu gewährleisten, dass die Daten gegen unbefugte Kenntnisnahme geschützt sind.

(4) Auftrags- und Drittverarbeiter dürfen die übermittelten Daten nur im Rahmen des jeweiligen Trainings und der jeweiligen Tests verarbeiten. Sie sind verpflichtet, die Daten nach Abschluss von Training und Testung des lernenden Systems wieder zu löschen. Sie dürfen die trainierten Modelle für eigene Zwecke weiternutzen, wenn die Polizei dies genehmigt und sichergestellt werden kann, dass aus den trainierten Modellen keine Trainingsdaten abgeleitet werden können.

(5) Für das Testen oder Trainieren von lernenden IT-Systemen wird in einer nach Anhörung durch die oder den Beauftragten für Datenschutz und Informationsfreiheit zu veröffentlichenden und erlassenden Verwaltungsvorschrift das Nähere zu dem Verfahren, den Sicherungsmaßnahmen zur Verhinderung unbefugter Datenzugriffe sowie zu Art und Umfang der verarbeitenden Daten bestimmt. In der Verwaltungsvorschrift nach Satz 1 ist insbesondere zu bestimmen:

1. die Art der zu verarbeitenden Daten,

2. der Personenkreis, der von der Verarbeitung betroffen ist,

3. die Entscheidungsträger und das Verfahren, die die Einhaltung der maßgeblichen fachlichen und rechtlichen Anforderungen an das Training und die Testung von lernenden IT-Systemen sicherstellen,

4. Sicherungsmaßnahmen zur Datenaktualität und -qualität,

5. die Mindeststandards zur technischen Durchführung der Anonymisierung und Pseudonymisierung von Daten sowie die Beschreibung eines etwaigen unverhältnismäßigen Aufwands im Sinne von Absatz 2 Satz 2 und 3 und Absatz 3 Satz 1 und 2

6. die Lösch- und Protokollierungspflichten.“

 

2. der Senat wird ersucht,

die spezifische Wirkung von Bodycams in Wohnräumen unter der Beteiligung von Polizei und Wissenschaft bezüglich der unterschiedlichen Einsatzmöglichkeiten der Bodycam im Wohnraum zu analysieren und der Bürgerschaft bis zum 30.06.2027 zu berichten.