bilden, wobei für die drei letztgenannten Daten alternativ auch jeweils der Ersatzwert „00“ verwendet werden
kann. Die Verwendung von personenbezogenen Daten ist damit optional; sie bietet den Vorteil, dass sich der
Bürger an diese erinnert, wenn er bei der Behörde nach der Bildkennung gefragt wird. Ich halte diese Vorge hensweise nur dann für akzeptabel, wenn für den Betroffenen klar erkennbar ist, dass er seine personenbezoge nen Daten nicht angeben muss und sich für die datenschutzgerechte Variante mit der Dateibezeichnung „00“
entscheiden kann. Da sich nach meinem Kenntnisstand allerdings die Einwilligung nicht ausdrücklich auf den
Aspekt der Bildkennung bezieht, bin ich skeptisch, ob aus der „optionalen“ Angabe faktisch nicht doch eine
„obligatorische“ wird.
Weiter musste geklärt werden, wie lange die Fotos bei den beteiligten Stellen gespeichert werden dürfen. Ich
habe mich für eine Speicherdauer von sechs Wochen sowohl bei der Behörde als auch beim Fotografen sowie
eventuell beteiligten Dritten (Betreiber eines entsprechenden Portalsystems, über das der Fotograf die De -Mail
versendet) ausgesprochen. Dieser Zeitraum erscheint ausreichend, um dem Bürger Gelegenheit zu geben, nach
dem Fotografenbesuch anschließend die Personalausweisbehörde aufzusuchen. Ob die Fotos beim Fotografen
ggf. länger gespeichert werden, weil sich der Kunde vorbehält, zu einem späteren Zeitpunkt weitere Abzüge zu
kaufen, unterliegt der Absprache zwischen Fotografen und Kunden. Wichtig ist, dass eine vollständige Löschung erfolgt. Das BSI hat sich meiner Einschätzung angeschlossen.
Grundsätzlich ist der Fotograf gegenüber seinem Kunden für die datenschutzgerechte Übermittlung des Passfotos verantwortlich. Diesem gegenüber gibt der Kunde auch seine Einwilligungserklärung ab. Nutzt der Fotograf
aber ein „fremdes“ De-Mail-Konto, nämlich das eines Portal-Betreibers (dies könnte z. B. eine Fotografenvereinigung oder ein IT-Dienstleister sein), liegen die Verantwortlichkeiten nicht mehr so klar auf der Hand. Im Ergebnis handelt es sich bei dem Verhältnis zwischen Fotografen und Portalbetreiber wohl um eine Datenverarbeitung im Auftrag nach § 11 BDSG, da die Versendung der De-Mails nach den Vorgaben des Fotografen erfolgt und der Portalbetreiber über die Erbringung dieses Dienstes hinaus kein eigenes Interesse an den Daten
oder der Datenverarbeitung hat. Dies bedürfte einer entsprechenden Vereinbarung. An der Ausgestaltung des
Verfahrens zur Nutzung des Portalsystems war ich allerdings nicht beteiligt. Darüber hinaus ergibt sie sich nur
in Ansätzen aus der Beschreibung in der TR selbst, so dass ich dazu keine Bewertung abgeben kann.
5.13 Datenschutz bei den Sicherheitsbehörden
Auch in diesem Berichtszeitraum hat es wieder kritische Entwicklungen im Bereich der Sicherheitsbehörden gegeben, wie z. B. die Pläne zur Einführung des Polizeilichen Informations- und Analyseverbundes (vgl.
Nr. 5.13.2). Bei meinen Kontrollen habe ich u. a. geprüft, wer in welchen Dateien gespeichert wurde (vgl.
Nr. 5.13.1, 5.13.3). Hier zeigte sich in der Praxis, wie wichtig der Datenschutz für die Grundrechte der Bürger
ist.
5.13.1 Kontrolle der Kriminalakten beim Bundeskriminalamt
Das BKA führt Kriminalakten zu Personen, die polizeilich in Erscheinung getreten sind. Diese Akten habe ich
bei einem Beratungs- und Kontrollbesuch vor Ort geprüft.
Kriminalakten dienen der vorbeugenden Gefahrenabwehr und der so genannten Strafverfolgungsvorsorge. Sie
dürfen nicht mit den für die Staatsanwaltschaften und das Gericht geführten Strafakten verwechselt werden. Sie
sollen der Polizei unter anderem ermöglichen, zu einzelnen Personen Informationen für die Zukunft vorzuhalten
und es ihr erleichtern, künftige Kriminalfälle zu lösen. Das BKA legt Kriminalakten aber auch an, um etwa konkrete Anfragen aus dem Ausland zu bearbeiten, etwa wenn eine ausländische Behörde vermutet, ein Verdächtiger halte sich in Deutschland auf. Derzeit führt das BKA ca. 3,6 Mio. eigene Kriminalakten, davon ca. 1 Mio.
elektronisch, die übrigen in Papierform. Die Akten werden über die Dateien „Aktennachweis“ (AN) und „Kriminalaktennachweis“ (KAN) verwaltet. Der KAN ist über das polizeiliche Informationssystem (INPOL) bundesweit abrufbar.
BfDI 25. Tätigkeitsbericht 2013-2014
– 89 –