XI. Tätigkeitsbericht des Landesbeauftragten für den Datenschutz Sachsen-Anhalt vom 01.04.2011- 31.03.2013

In seinem X. Tätigkeitsbericht hat der Landesbeauftragte die im Zusammenhang mit dem PPP-Projekt Justizvollzugsanstalt Burg aus datenschutzrechtlicher Sicht vom Ministerium für Justiz und Gleichstellung bzw. der JVA Burg zu erledigenden Aufgaben klar umschrieben (vgl. Nrn. 24.1 und 24.2 des X. Tätigkeitsberichts). Hierzu gehörten im Wesentlichen

• Schaffung einer Rechtsgrundlage für die Auftragsdatenverarbeitung in einem zukünftigen Erwachsenenstrafvollzugsgesetz,
     
• Abschluss eines Generalvertrags über die Auftragsdatenverarbeitung mit dem privaten Dienstleister,
     
• Erlass eines Datenschutzkonzepts in Form einer Dienstanweisung für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch den privaten Dienstleister und
     
• Umsetzung der Empfehlungen aus dem Prüfbericht zum Informations- und Kontrollbesuch der JVA Burg, insbes. Rückübertragung der Befugnis zur Durchsuchung bzw. Absuchung von Besuchern durch den privaten Dienstleister auf staatliche Bedienstete.

Die Landesregierung hat in ihrer Stellungnahme zum X. Tätigkeitsbericht der Rechtsauffassung des Landesbeauftragten in den o. g. Punkten nicht widersprochen und angekündigt, die enge Abstimmung mit ihm zu suchen.

Der Landesbeauftragte hat auch klargestellt, dass er – sollte es in den kritischen Punkten nicht zu einer zufriedenstellenden Lösung kommen – sich eine Beanstandung der von ihm festgestellten Verstöße und Mängel nach § 24 DSG LSA ausdrücklich vorbehalte.

Die o. g. öffentlichen Stellen haben seit dem Informations- und Kontrollbesuch in der JVA Burg im Oktober 2010 für die Erfüllung Ihrer Aufgaben mehr als zwei Jahre Zeit gehabt. Trotz umfangreicher Beratung durch den Landesbeauftragten und mehrerer Arbeitstreffen ist jedoch festzustellen, dass im Berichtszeitraum einzelne Punkte gar nicht bzw. nur teilweise abgearbeitet wurden.

Schaffung einer Rechtsgrundlage für die Auftragsdatenverarbeitung

Seit 2007 besteht im Zusammenhang mit der Ausarbeitung des Datenschutzkonzepts mit dem Justizministerium Einvernehmen darüber, dass es sich bei der Erhebung, Verarbeitung und Nutzung durch den privaten Dienstleister um Auftragsdatenverarbeitung handelt. Da im Strafvollzugsgesetz eine Rechtsgrundlage für die Auftragsdatenverarbeitung fehlt, der teilprivatisierte Betrieb der JVA Burg insofern rechtswidrig ist, hatte der Landesbeauftragte in seinem X. Tätigkeitsbericht so schnell wie möglich die Schaffung einer entsprechenden Rechtsgrundlage in einem zukünftigen Erwachsenenstrafvollzugsgesetz angemahnt.

Das Justizministerium hat dem Landesbeauftragten im Berichtszeitraum zwar einen Gesetzentwurf über den Vollzug der Freiheitsstrafe und zur Änderung von Vollzugsgesetzen des Landes Sachsen-Anhalt zur Stellungnahme übersandt, der Regelungen zur Auftragsdatenverarbeitung, zur Videoüberwachung in Justizvollzugsanstalten und zur getrennten Führung von Gefangenenpersonal-, Gesundheits- und Therapieakten enthielt und damit auf Kritikpunkte aus dem Tätigkeitsbericht einging. Die Regelungen über die Auftragsdatenverarbeitung waren jedoch nicht ausgereift, da das DSG LSA u. a. nicht direkt, sondern analog zur Anwendung kommen sollte. Nicht nachvollziehbar war zudem, dass das zur Beseitigung des zuvor geschilderten rechtswidrigen Zustands benötigte Strafvollzugsgesetz erst im Jahr 2016 in Kraft treten sollte.

Seit der Stellungnahme des Landesbeauftragten zu diesem Gesetzesentwurf ist ein gewisser Stillstand zu verzeichnen. Dies dürfte im Wesentlichen auch darauf beruhen, dass das Ministerium für Justiz und Gleichstellung im Gesetzgebungsverfahren zum Sicherungsverwahrungsvollzugsgesetz des Landes Sachsen-Anhalt versuchte, die Auftragsdatenverarbeitung durch den privaten Dienstleister in der JVA Burg in eine Funktionsübertragung umzudeuten und hierfür eine weniger strenge Regelung zu schaffen (vgl. hierzu Nr. 7.4). Der Landesgesetzgeber hat sich dieser Auffassung, die dann wahrscheinlich auch auf den Strafvollzug übertragen worden wäre, nicht angeschlossen.

Auf einem Arbeitstreffen im Juni 2013 hat der Staatssekretär des Justizministeriums angekündigt, dass sich das Kabinett der Landesregierung Ende des Jahres 2013 mit dem Entwurf eines völlig neu gestalteten Erwachsenenstrafvollzugsgesetzes befassen werde. Das Gesetz werde Regelungen über die Auftragsdatenverarbeitung enthalten und solle schon vor 2016 in Kraft treten. Festzuhalten bleibt, dass eine wesentliche Voraussetzung für die Verarbeitung personenbezogener Daten durch den privaten Dienstleister noch immer nicht erfüllt ist.

Abschluss eines Generalvertrages über die Auftragsdatenverarbeitung

Konsens bestand grundsätzlich auch darüber, dass von der verantwortlichen Stelle, also der JVA Burg, mit dem privaten Dienstleister ein Generalvertrag über die Auftragsdatenverarbeitung nach § 8 DSG LSA geschlossen werden sollte. Trotz umfangreicher Beratung und Hilfestellung des Landesbeauftragten hat das Justizministerium jedoch den von ihm seit langem avisierten Vertrag nicht vorlegen können.

Ein sachlicher Grund für dieses Versäumnis war nicht ohne Weiteres erkennbar, zumal der Vertreter des privaten Dienstleisters auf einem Arbeitstreffen mit dem Landesbeauftragten keine Einwände gegen den Abschluss eines entsprechenden Vertrages geltend gemacht hatte. Die mit dem privaten Partner geschlossenen Dienstleistungsverträge waren zwar auch Gegenstand einer Überprüfung durch das Ministerium, die u. a. zu einer Kündigung der Verträge über die Reinigung, Entsorgung und Ausstattung, der EDV-Systembetreuung sowie der Verpflegung geführt hat. Die gekündigten Dienstleistungsverträge laufen jedoch ohne jede Änderung bis zum 30. April 2014 weiter. Unabhängig davon muss der private Dienstleister, um seine Verpflichtungen zu erfüllen, personenbezogene Daten verarbeiten. Durch die Kündigung einzelner Verträge wird ein Generalvertrag über die Auftragsdatenverarbeitung also nicht hinfällig.

Das Justizministerium hat auf dem bereits erwähnten Arbeitstreffen mit dem Landesbeauftragten im Juni 2013 zugesagt, einen entsprechenden Vertrag auszuarbeiten. Es wurde festgestellt, dass der private Dienstleister neben dem Erwachsenenstrafvollzug auch bei der Untersuchungshaft und der Sicherungsverwahrung zum Einsatz kommt; vertragliche Regelungen sind auch hierfür erforderlich.

Datenschutzkonzept in Form einer Dienstanweisung

Vereinbarungsgemäß hätte das Justizministerium das Datenschutzkonzept für die Verarbeitung personenbezogener Daten im Strafvollzug in der JVA Burg in Form einer Dienstanweisung spätestens bis Ende des Jahres 2011 vorlegen sollen. Die Dienstanweisung sollte dabei aus einem allgemeinen datenschutzrechtlichen Teil, einem besonderen auf den Datenschutz im Einsatzbereich des privaten Dienstleisters zugeschnittenen Teil und einem technisch organisatorischen Teil hinsichtlich der Datensicherheit bestehen.

Obwohl der Landesbeauftragte dem Ministerium umfangreich beratend zur Seite stand, gelang es diesem nicht, bis Ende des Jahres 2011 eine den Anforderungen des Datenschutzes entsprechende Dienstanweisung vorzulegen. Da Vorschläge des Landesbeauftragten auch teilweise nicht beachtet wurden, lag ein erster prinzipiell geeigneter Entwurf einer Dienstanweisung erst Mitte 2012 vor, der im Ergebnis gleichwohl noch überarbeitungsbedürftig war. Es ist daher enttäuschend, dass die Dienstanweisung von der JVA Burg in Kenntnis der Mängel einseitig und ohne Abstimmung mit dem Landesbeauftragten zum 1. Januar 2013 in Kraft gesetzt wurde.

Die JVA Burg hat inzwischen zugesagt, die Dienstanweisung zu überarbeiten und die Mängel zu beseitigen. Zugleich soll für die Verarbeitung personenbezogener Daten im Bereich der Sicherungsverwahrung eine entsprechende Dienstanweisung erarbeitet werden. Überarbeitete Versionen wurden im Oktober 2013 übersandt.

Umsetzung der Empfehlungen aus dem Prüfbericht zum Informations- und Kontrollbesuch der JVA Burg

Ein Großteil der Empfehlungen aus dem Prüfbericht ist mittlerweile umgesetzt, z. B. werden Gefangenenpersonal- und Therapieakten getrennt geführt. Die Schreibkräfte des privaten Dienstleisters kommen nach Angaben des Justizministeriums bei sensiblen Schreiben nicht zum Einsatz. Eine Überwachung der Telefongespräche der Gefangenen wird nur noch angekündigt, wenn sie auch tatsächlich erfolgt.

Nicht umgesetzt wurde dagegen bisher die Empfehlung des Landesbeauftragten, dass die Ab- bzw. Durchsuchung von Besuchern wieder vom staatlichen Personal, anstelle des privaten Dienstleisters durchgeführt werden soll. Zur Erinnerung: Nach dem ursprünglichen PPP-Vertragswerk war es nicht vorgesehen, dass der private Dienstleister die Besucher der JVA ab- bzw. durchsucht, vielmehr sollte hier staatliches Personal eingesetzt werden. Erst durch eine nachträgliche Änderung des Vertragswerks wurde diese Aufgabe dem privaten Dienstleister übertragen. Der Landesbeauftragte hat darauf hingewiesen, dass nicht nur die vertraglich vorgesehene körperliche Durchsuchung, sondern auch die Absuchung von Besuchern mit Hilfe von Metalldetektoren durch den privaten Dienstleister als Verwaltungshelfer rechtswidrig ist, da nach h. M. Verwaltungshelfer nicht in Grundrechte Dritter eingreifen dürfen. Die vom Justizministerium vertretene Auffassung, dass es sich bei der Absuchung von Besuchern um einen geringfügigen Eingriff handele, lässt sich mit der Rechtsprechung, die dem Ministerium vorliegt, nicht vereinbaren. Danach handelt es sich bei der Absuchung mit Metalldetektoren um eine Durchsuchung, die einen erheblichen Grundrechtseingriff darstellt. Nicht nachvollziehbar ist auch die Erklärung des Ministeriums, dass der Einsatz des privaten Dienstleisters nur unter Aufsicht und Leitung eines Justizvollzugsbeamten erfolgen dürfe, sodass immer eine Doppelbesetzung gegeben sei. In diesem Fall könnte der Beamte ohnehin die Ab- oder Durchsuchung sinnvollerweise gleich selbst durchführen.

Der Landesbeauftragte hat daher darauf verwiesen, dass genügend Zeit bestanden hat, den rechtswidrigen Zustand zu beseitigen. Er hat eine Beanstandung für den Fall angekündigt, dass die Ab- bzw. Durchsuchung durch den privaten Dienstleister nicht eingestellt und wieder staatlichem Personal übertragen wird.

Das Justizministerium hat eine erneute Prüfung des Vorgangs zugesagt.

Fazit:

Es ist enttäuschend, dass das Justizministerium trotz der weit über den üblichen Rahmen hinausgehenden Beratung und Hilfestellung durch den Landesbeauftragten nicht in der Lage war, im Berichtszeitraum den Vorgang abzuschließen. Immerhin weiß das Ministerium schon seit dem Jahr 2007 (vgl. VIII. Tätigkeitsbericht, Nr. 22.1), dass Handlungsbedarf besteht. Der Landesbeauftragte erwartet insbesondere von den beteiligten öffentlichen Stellen, dass die aufgezeigten Probleme nunmehr kurzfristig angepackt und gelöst werden.