Urteil : Pflicht zur Übersendung einer Verfahrensbeschreibung an den Landesbeauftragten für den Datenschutz : aus der RDV 1/2020, Seite 44 bis 45
(Oberverwaltungsgericht Lüneburg, Urteil vom 18. Oktober 2019 – 11 LC 148/15 –)
Die Übersendung einer Verfahrensbeschreibung für eine Datei, in der personenbezogene Daten zur Erfüllung polizeilicher Aufgaben verarbeitet werden, an den Landesbeauftragten für den Datenschutz ist formelle Rechtmäßigkeitsvoraussetzung für die Speicherung personenbezogener Daten.
Aus den Gründen:
Die gezielte heimliche Sammlung und Verwendung von Erkenntnissen über die Klägerin in der SKB stellt einen tiefgreifenden Eingriff in ihr informationelles Selbstbestimmungsrecht dar. Die Erkenntnisse dienen der Beurteilung der Gefährdungslage bei Fußballspielen; sie tragen zur Abschätzung des Kräftebedarfs für präventivpolizeiliche Maßnahmen und der Festlegung der Einsatztaktik bei. Aufgrund der Speicherung auch des Bezugsspiels ermöglicht es zugleich in diesem Bereich eine Profilbildung (BVerwG, Beschl. v. 20.12.2017 – 6 B 14.17 –, juris, Rn. 18).
In materiellrechtlicher Hinsicht ist die Speicherung der personenbezogenen Daten der Klägerin nicht rechtswidrig. Der Senat hat mit dem rechtskräftigen Urteil vom 18. November 2016 bereits entschieden, dass die Speicherung der Einträge über die Klägerin in der SKB hinsichtlich der Ingewahrsamnahmen am 14. März 2009 und 28. März 2010 und der Identitätsfeststellung am 4. Februar 2011 auf § 38 Abs. 1 des Niedersächsischen Gesetzes über die öffentliche Sicherheit und Ordnung – Nds. SOG – (hier anwendbar i.d.F. v. 19.1.2005, Nds. GVBl. 2005, 9, zuletzt geändert d.G.v. 12.11.2015, Nds. GVBl. 2015, 307) und die Speicherung des Eintrags hinsichtlich des Ermittlungsverfahrens wegen des Vorwurfs einer Nötigung/gefährlichen Körperverletzung am 26. Oktober 2013 auf § 39 Abs. 3 Satz 2 Nds. SOG gestützt werden kann (juris, Rn. 58 ff. und Rn. 66 ff.). Die beiden Vorschriften galten unverändert auch in dem für den Feststellungsantrag maßgeblichen Zeitraum vom 18. März 2009 bis zum 14. August 2014 (die Änderungen des Gesetzes in dem maßgeblichen Zeitraum betrafen andere Vorschriften).
Der Senat hat ferner mit dem rechtskräftigen Urteil vom 18. November 2016 entschieden, dass ein zur Unzulässigkeit der Speicherung der personenbezogenen Daten der Klägerin führender Mangel der Verfahrensbeschreibung in der Fassung vom 14. August 2014 nicht anhaftet.
Ein zur Rechtswidrigkeit der Speicherung der personenbezogenen Daten der Klägerin in der SKB in dem fraglichen Zeitraum führender Mangel liegt jedoch vor, weil die Verfahrensbeschreibung vom 1. März 2005 den datenschutzrechtlichen Vorgaben zuwider nicht dem Landesbeauftragten für den Datenschutz übersandt worden ist. Auf dieses Versäumnis kann sich die Klägerin berufen.
Nach § 8 Satz 1 NDSG hat jede öffentliche Stelle, die Verfahren zur automatisierten Verarbeitung personenbezogener Daten einrichtet oder ändert, in einer Beschreibung die unter den nachfolgenden Nummern 1 bis 8 genannten Einzelheiten festzulegen. Die Verfahrensbeschreibung ist dem behördlichen Datenschutzbeauftragten zwecks Aufnahme in das Verfahrensverzeichnis zur Kenntnis zuzuleiten (Der Landesbeauftragte für Datenschutz Niedersachsen, Erläuterungen zur Anwendung des NDSG, 3. Aufl., § 8, S. 61, vgl. auch § 8 a Abs. 2 Satz 5 NDSG). Beschreibungen nach § 8 NDSG sind (auch) dem Landesbeauftragten für den Datenschutz zu übersenden, wenn die Verarbeitungen zur Erfüllung polizeilicher Aufgaben nach dem Niedersächsischen Gesetz über die öffentliche Sicherheit und Ordnung erfolgen (§ 22 Abs. 5 Nr. 2 NDSG).
Bei der Verfahrensbeschreibung vom 1. März 2005 handelt es sich unstreitig um eine Beschreibung im Sinne von § 8 NDSG, die die Beklagte als niedersächsische Behörde erstellt hat, um darin zu dokumentieren, welche personenbezogenen Daten mit Hilfe welcher automatisierter Verfahren auf welche Weise verarbeitet werden und welche Datenschutzmaßnahmen dabei getroffen wurden (vgl. zu dem Zweck einer Verfahrensbeschreibung: Senatsurt. v. 30.1.2013 – 11 LC 470/10 –, NordÖR 2013, 265, juris, Rn. 51). Da die SKB der Erfüllung polizeilicher Aufgaben dient, ist die Verfahrensbeschreibung dem Landesbeauftragten für den Datenschutz zu übersenden. Daran fehlt es hier. Die Beklagte kann den Nachweis einer Übersendung nicht führen.
Die Beklagte ist der Auffassung, dass das Unterlassen der Übersendung nicht zur Unzulässigkeit der Verarbeitung der personenbezogenen Daten der Klägerin führt. Es handele sich um einen unerheblichen Mangel, der die Rechtmäßigkeit der Datenverarbeitung, die an den Vorschriften der §§ 38 und 39 Nds. SOG zu messen sei, unberührt lasse. Diese Ansicht teilt der Senat nicht.
Die Vorlage der Verfahrensbeschreibung bei dem Landesbeauftragten für den Datenschutz ist eine formelle Rechtmäßigkeitsvoraussetzung für die Speicherung der personenbezogenen Daten der Klägerin. Die Verfahrensbeschreibung ist eine Verwaltungsvorschrift (vgl. BVerfG, Urt. v. 24.4.2013 – 1 BvR 1215/07 –, BVerfGE 133, 277, juris, Rn. 144, zur Errichtungsanordnung nach § 12 ATDG; Senatsurt. v. 16.12.2008 – 11 LC 229/08 –, NdsVBl. 2009, 135, juris, Rn. 29, zur Errichtungsanordnung für die Datei „Gewalttäter Sport“; Petri, in: Lisken/Denninger, Handbuch des Polizeirechts, 6. Aufl. 2018, Rn. 1234). Sie dient sowohl der Selbstkontrolle der speichernden Stelle als auch der Kontrolle durch die Aufsichtsbehörden und die Datenschutzbeauftragten (Petri, a.a.O., Rn. 1234; Arzt, in: Schenke/Graulich/ Ruthig, Sicherheitsrecht des Bundes, 2. Aufl. 2019, § 36 BPolG, Rn. 1, zur Errichtungsanordnung nach § 36 BPolG). Nach § 22 Abs. 1 Satz 1 NDSG kontrolliert der Landesbeauftragte für den Datenschutz die Einhaltung der Vorschriften nach diesem Gesetz sowie anderer Vorschriften über den Datenschutz bei den Behörden und sonstigen öffentlichen Stellen. Das Bundesverfassungsgericht hat bereits im „Volkszählungsurteil“ betont, dass wegen der für den Bürger bestehenden Undurchsichtigkeit der Speicherung und Verwendung von Daten unter den Bedingungen der automatischen Datenverarbeitung die Beteiligung unabhängiger Datenschutzbeauftragter von erheblicher Bedeutung für einen effektiven Schutz des Rechts auf informationelle Selbstbestimmung ist und deshalb eine effektive Kontrolle durch die Datenschutzbeauftragten notwendig ist (BVerfG, Urt. v. 15.12.1983 – 1 BvR 209/83 –, BVerfGE 65, 1, juris, Rn. 157 und Rn. 193; Di Fabio, in: Maunz/Dürig, Grundgesetz-Kommentar, Art. 2 Abs. 1, Rn. 184). Mit der in § 22 Abs. 5 Nr. 2 NDSG angeordneten Verpflichtung zur Übersendung der Verfahrensbeschreibung an den zur Kontrolle nach § 22 Abs. 1 Satz 1 NDSG berufenen Landesbeauftragten für den Datenschutz hat der Gesetzgeber das Gebot der effektiven Kontrolle konkretisiert und der grundrechtlichen Vorgabe entsprochen, „organisatorische und verfahrensrechtliche Vorkehrungen zu treffen, welche der Gefahr einer Verletzung des Persönlichkeitsrechts entgegenwirken“ (BVerfG, Urt. v. 15.12.1983 – 1 BvR 209/83 –, a.a.O., juris, Rn. 151). Dieser gesetzlich vorgegebenen Kontrolle kann der Landesbeauftragte für den Datenschutz nur nachkommen, wenn er die Verfahrensbeschreibung von der erstellenden Stelle zur Kenntnis erhält. Anderenfalls liefe sein Kontrollrecht, das auch dem Schutz des Rechts auf informationelle Selbstbestimmung betroffener Bürger dient, leer. Mit der Unterlassung der Übersendung der Verfahrensbeschreibung vom 1. März 2005 an den Landesbeauftragten für den Datenschutz liegt somit ein beachtlicher Mangel vor, der der Verfahrensbeschreibung unmittelbar anhaftet und deshalb zur Rechtswidrigkeit der Speicherung der personenbezogenen Daten der Klägerin in der SKB in dem maßgeblichen Zeitraum führt (in diesem Sinne auch: Petri, a.a.O., Rn. 1234; Arzt, a.a.O., § 36 BPolG, Rn. 6; VG Gießen, Urt. v. 29.4.2002 – 10 E 141/01 –, NVwZ 2002, 1531, juris, Rn. 53).