X. Tätigkeitsbericht des Landesbeauftragten für den Datenschutz Sachsen-Anhalt vom 01.04.2009 - 31.03.2011

In seinem VIII. und IX. Tätigkeitsbericht hatte der Landesbeauftragte bereits über die datenschutzrechtlichen Herausforderungen im Vorfeld des Baus und Betriebs der Justizvollzugsanstalt (JVA) Burg im Rahmen einer sog. Public-Private-Partnership (PPP) berichtet (Nr. 22.1. des VIII. und Nr. 23.1 des IX. Tätigkeitsberichts).

Im November 2009 hat die JVA Burg den Regelbetrieb aufgenommen. Die Verantwortung für den Strafvollzug verbleibt beim Staat. Der private Partner erbringt Dienstleistungen in einzelnen Fachbereichen. Hierzu gehören z. B. der Schreibdienst in der Verwaltung, die Besucherkontrolle, die Videoüberwachung von Besuchern und Gefangenen, der soziale Fachdienst, der u. a. für die psychologische Betreuung der Gefangenen zuständig ist, oder der Küchendienst, um nur einige Tätigkeitsfelder zu nennen. Bei dem privaten Partner handelt es sich um die Projektgesellschaft Justizvollzug Burg GmbH & Co KG, die zur Erfüllung ihrer Aufgaben Subunternehmer einsetzt, die unter Umständen weitere Subunternehmer beschäftigen. Mit dieser Aufgabenverteilung soll die JVA zu den sichersten und modernsten Anstalten in Europa gehören. Es ist bedauerlich, dass dieselben Ansprüche bisher nicht auch an den Datenschutz gestellt wurden: Obwohl es auf der Hand liegt, dass der private Dienstleister zur Erfüllung seiner Aufgaben sowohl die personenbezogenen Daten der Gefangenen als auch von Dritten, z. B. von den Besuchern, aber auch von den im Strafvollzug Beschäftigten erheben, nutzen und verarbeiten muss, weist das komplexe ca. 3.000 Seiten umfassende PPP-Vertragswerk unter datenschutzrechtlichen Gesichtspunkten erhebliche Defizite auf. So haben die Parteien bei Abschluss der Verträge offensichtlich übersehen, dass der private Dienstleister als Verwaltungshelfer Daten im Auftrag der staatlichen Stelle verarbeitet, da Regelungen zur Auftragsdatenverarbeitung im Vertragswerk weitgehend fehlen. Auch wird im Vertragswerk lediglich vereinzelt auf Fragen des Datenschutzes eingegangen. Die datenschutzrechtlichen Bestimmungen müssen dabei mehr oder weniger mosaikartig zusammengetragen werden. Regelungen für den Umgang mit personenbezogenen Daten an den Schnittstellen zwischen hoheitlichen und privaten Tätigkeiten sind weitgehend nicht vorhanden. Das derzeit für Sachsen-Anhalt geltende StVollzG ist in der Praxis keine Hilfe, da es Regelungen zur Auftragsdatenverarbeitung nicht enthält und in weiten Teilen modernisierungsbedürftig ist. Vor diesem Hintergrund hatte der Landesbeauftragte, der vor dem Abschluss der Verträge nicht beteiligt worden war, den Gesetzgeber aufgefordert, in einem zukünftigen Strafvollzugsgesetz des Landes Sachsen-Anhalt die Auftragsdatenverarbeitung gesetzlich zu regeln, und für den Betrieb der JVA Burg ein Datenschutzkonzept verlangt (IX. Tätigkeitsbericht Nrn. 23.1 und 23.2).

Aufgrund der Hinweise des Landesbeauftragten hat Sachsen-Anhalt für den Jugendstraf- und den Untersuchungshaftvollzug die Auftragsdatenverarbeitung gesetzlich geregelt (§ 106 Abs. 2 JStVollzG, § 97 UVollzG LSA). Allerdings steht die Aufnahme eines Erwachsenenstrafvollzugsgesetzes in das Landesrecht nach wie vor aus. Die neue Landesregierung will sich in der 6. Legislaturperiode dieser Problematik widmen. Damit wird der Einsatz privater Dienstleister im Erwachsenenstrafvollzug rechtlich vollständig abgesichert sein. Es ist allerdings bedauerlich, dass ein entsprechendes Gesetz nicht schon zum Zeitpunkt der Inbetriebnahme der JVA geschaffen wurde. Andere Bundesländer, wie z. B. Bayern, Baden-Württemberg und Niedersachsen, haben schon Erwachsenenstrafvollzugsgesetze erlassen. Bedauerlich ist auch, dass das Justizministerium das von ihm schon lange angekündigte Datenschutzkonzept weder rechtzeitig zur Aufnahme des Regelbetriebs noch zu dem Informations- und Kontrollbesuch des Landesbeauftragten vorlegen konnte (Nr. 24.2).

Es ist daher nicht weiter verwunderlich, dass nach der Inbetriebnahme der JVA Burg beim Landesbeauftragten auch bald die ersten datenschutzrechtlichen Beschwerden von Insassen zum Einsatz des privaten Dienstleisters insbesondere bei der Postkontrolle, der Verpflegung der Gefangenen und der Führung der Gefangenenpersonalakten eingingen. In diesem Zusammenhang ist festzuhalten, dass die Beschwerden, die meist nur zum Teil berechtigt waren, wesentlich schneller und zielgerechter hätten bearbeitet werden können, wenn sich die JVA Burg gegenüber dem Landesbeauftragten kooperativer gezeigt hätte. So war zur Aufklärung und Bewertung der Sach- und Rechtslage ein überdurchschnittlich hoher Schriftverkehr erforderlich. Ein weiterer Grund für die festzustellenden Verzögerungen dürfte sicherlich auch die Notwendigkeit der Einbeziehung des privaten Dienstleisters gewesen sein.

Die Beschwerden waren zugleich auch Gegenstand des Informations- und Kontrollbesuchs des Landesbeauftragten in der JVA Burg im Oktober 2010, bei dem die datenschutzrechtlich relevanten Schnittstellen zwischen dem Staat und dem privaten Dienstleister geprüft wurden (zu den Einzelheiten s. Nr. 24.2). Schwerpunktmäßig diente der Besuch der Information des Landesbeauftragten. Eine tiefergehende Kontrolle war dem Landesbeauftragten leider nicht möglich, da ihm ein vollständiges aktualisiertes Vertragswerk nicht rechtzeitig vorgelegt werden konnte. Der Besuch führte im Ergebnis zu einer Liste an datenschutzrechtlichen Mängeln und Verstößen, die sich angesichts des oben geschilderten Sachverhalts bereits im Vorfeld abgezeichnet hatten. Daher hätte durchaus Anlass für eine Beanstandung vorgelegen. Der Landesbeauftragte hat hierauf jedoch vorerst verzichtet, weil eine Beanstandung des Dauerzustands wenig sinnvoll gewesen wäre, zumal sich die Zusammenarbeit mit dem Justizministerium nach einer erfolgten Umstrukturierung erheblich verstärkt und verbessert hat. Das Ministerium hat bestätigt, dass noch Hausaufgaben zu machen seien.

Bemerkenswert ist die Feststellung der Justizministerin in einem Interview mit der Magdeburger Volksstimme vom 4. Februar 2011, in dem sie erklärt, dass es mit ihr ein Privatmodell nicht mehr geben werde, da dieses wegen der notwendigen Abstimmungen mit dem privaten Vertragspartner auf neue Entwicklungen nicht so schnell reagieren könne, wie es bei herkömmlichen Haftanstalten möglich sei.