21. Tätigkeitsbericht des Hamburgischen Datenschutzbeauftragten ...

Bereits 2005 wurde von der Polizei Hamburg, der Finanzbehörde und Dataport
der Beschluss gefasst, das Polizeinetz von der Polizei zu Dataport zu verlagern.
Eine rechtzeitige Beteiligung des Hamburgischen Datenschutzbeauftragten
wäre erforderlich gewesen. Die Absicht der Übergabe des Polizeinetzes
an Dataport wurde dem Hamburgischen Datenschutzbeauftragten aber
erst 2007 zufällig bekannt. Wir erhielten dann auf unsere Nachfrage im Juli
2007 von der Polizei dazu mündliche Informationen und erst seitdem wurde in
den zahlreichen Datei-Errichtungsanordnungen, die nach dem Gesetz über
die Datenverarbeitung der Polizei auch dem Hamburgischen Datenschutzbeauftragten
vorzulegen sind, der Standort des Servers bei Dataport ausgewiesen.
Dabei ist nicht nur die unterlassene Korrektur des Serverstandorts zu
bemängeln. Vielmehr hätte die Polizei nach dem Hamburgischen Datenschutzgesetz
bereits vor der mit einer Verlagerung verbundenen wesentlichen
Änderung der automatisierten Verfahren Vorabkontrollen, sog. Risikoanalysen,
durchführen und dem Hamburgischen Datenschutzbeauftragten vorlegen
müssen. Daneben war für die verlagerten Anwendungen die Verfahrensbeschreibung
zu ändern, in der die technischen und organisatorischen Maßnahmen
zur Beherrschung der festgestellten Gefahren festzulegen sind. Die
Datenbank des Verfahrens CRIME war bereits im Oktober 2005 zu Dataport
verlagert worden, aber erst im Dezember 2007 wurde für dieses Verfahren aus
anderem Anlass die Risikoanalyse und die Verfahrensbeschreibung überarbeitet.
Für andere Anwendungen liegen bislang keine geänderten Risikoanalysen
und Verfahrensbeschreibungen vor.
Die Ergebnisse der Prüfung des Behörden-Computernetzes (siehe 2.6) sowie
der Abschlußbericht zum Basissicherheitscheck FHH-Netz (siehe 2.10) machen
deutlich, dass der Übergang des separaten Polizeinetzes in das von Dataport
betriebene länderübergreifende, nur schwach segmentierte Netz mit
hohen Risiken behaftet sein kann. Im Abschlußbericht zum Basissicherheitscheck
heißt es: „Darüber hinaus ist das FHH-Netz nicht grundschutzkonform,
so dass die polizeiliche Datenverarbeitung die Anforderungen der derzeit geltenden
Polizeirichtlinien nicht erfüllt.“
Die Übernahme des Polizeinetzes sehen wir nach diesen Ergebnissen kritisch.
Die möglichen Vorteile einer Netzübergabe wären sorgfältig mit den hohen
Anforderungen des Datenschutzes und der Datensicherheit im Bereich der
Polizei abzuwägen gewesen. Die Polizei Hamburg ist verpflichtet, den Hamburgischen
Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben zu unterstützen;
diese Unterstützung umfasst insbesondere die Auskunft zu Fragen
und Einsicht in alle Unterlagen. Aber weder konnten uns Dokumente über den
erforderlichen Abwägungsprozess vorgelegt, noch konnte er uns sonst nachvollziehbar
erläutert werden. Es ist uns nicht verständlich, wie die Entscheidung
über eine Weichenstellung dieses Ausmaßes ohne vorherige systematische
Abwägung getroffen werden konnte.
30
21. Tätigkeitsbericht 2006/2007 HmbDSB