2.  Wann 4          dürfen Apothekenrechenzentren Verordnungsdaten weitergeben? Die Versicherten der Gesetzlichen Krankenversicherung (GKV) reichen jedes Jahr Millionen von Rezepten bei Apotheken ein. Die Bezahlung (abzüglich der gesetzlichen Zuzahlung) übernehmen die Krankenkassen. Zu Zwecken der Abrechnung übermitteln die Apotheken Angaben über die abgegebenen Arzneimittel und die hierfür ausgestellten Rezepte an die Krankenkassen. Sie schalten hierfür Rechenzentren ein, die sowohl Apothekerverbänden als auch anderen Eigentümern gehören. Der Gesetzgeber hat den Apothekenrechenzentren (ARZ) auferlegt, die von ihnen verarbeiteten Daten nur für die Zwecke der Abrechnung zu verarbei- ten. Zwei Ausnahmen sind vorgesehen: Zum einen haben die ARZ die Ver- ordnungsdaten an einige öffentliche Stellen zu übermitteln, die sie im Rahmen ihrer Aufgaben innerhalb der GKV weiterverarbeiten. In jedem dieser Fälle sind spezifische Regelungen getroffen, inwieweit die jeweilige Stelle erfah- ren darf, auf welche Versicherten und welche Ärzte sich die erhaltenen Daten beziehen. Als Dienstleister für die Übermittlungen an die Kassenärztlichen Ver- einigungen schalten die ARZ die ebenfalls in Berlin ansässige „Gesellschaft für zentrales Datenmanagement und Statistik im Gesundheitswesen“ ein. Eine eigenständige Verarbeitung der Verordnungsdaten ist dieser nicht gestattet. Diesbezügliche Werbung wurde von der Gesellschaft noch vor unserer Prü- fung eingestellt. Zum anderen dürfen die ARZ die Verordnungsdaten auch für eigene oder fremde Zwecke nutzen und an andere Stellen übermitteln, dies jedoch nur, wenn die Daten zuvor so verändert wurden, dass ein Bezug zu den einzelnen Versicherten und verschreibenden Ärzten nicht mehr hergestellt werden kann. Eine solche Veränderung wird als Anonymisierung bezeichnet. Es besteht ein großes wirtschaftliches Interesse an der Auswertung der Verord- nungen. Solche Interessen gibt es nicht nur bei den Sozialleistungsträgern und anderen Beteiligten der GKV, sondern auch bei Apothekern und Pharmaunter- nehmen. Die ARZ sind daher bestrebt, eine vielfältige Auswertung der Daten zu ermöglichen. Wann überschreiten sie dabei die gesetzlichen Schranken? Dies ist offensichtlich dann der Fall, wenn Verordnungsdaten so an Dritte weiterge- geben wurden, dass diese zu einem Rezept auch die Versicherungsnummer des Patienten oder die Arztnummer des verschreibenden Arztes bestimmen kön- nen. Presseberichten zufolge wurde dies teilweise von ARZ außerhalb Berlins praktiziert. Andererseits ist es sicher zulässig, wenn ein ARZ aus jedem Verord- nungsdatensatz alle Hinweise auf Patienten und verschreibende Ärzte löscht Jahresbericht BlnBDI 2012                                                 39

Kapitel 2 Schwerpunkte und die verbleibenden Daten selbst nutzt oder an Dritte weitergibt. Stattdessen wählt die Rezeptabrechnungsstelle Berliner Apotheker (RBA) einen Mittelweg: Teilweise wird die Versichertennummer durch einen Code ersetzt, der sich aus ihr errechnet. Teilweise wird der Arztbezug durch eine Angabe über die Zuge- hörigkeit des Arztes zu einer Gruppe von Ärzten ersetzt. Welche Ärzte wel- cher Gruppe angehören, wird dabei vom Informationsempfänger vorgegeben. Der Versichertenbezug Das Ersetzen der Versichertennummer mit einem Code ist eine Veränderung, die der Gesetzgeber als Pseudonymisierung bezeichnet, zumindest falls eine Rückrechnung nur schwer möglich ist. Ist die Regel zur Berechnung des Codes öffentlich bekannt, so ist ein Rück- rechnen durch Anwendung der Regel auf alle möglichen Versicherungsnum- mern möglich. Mit der entstehenden Tabelle kann jeder Code aufgelöst wer- den. In unserer Prüfung mussten wir in einem Verfahren die Anwendung einer so schwachen Methode feststellen. Derart codierte Daten darf ein ARZ weder nutzen noch weitergeben. Ist die Regel nur dem ARZ (oder einer von ihr beauftragten Stelle) bekannt und wird sie geheim gehalten, besteht diese Gefahr nicht. Dennoch bleiben die Daten eines Patienten solange bestimmbar, wie die Regel angewandt wird. Einige Auswerter von Verordnungsdaten verknüpfen alle Rezepte, die den glei- chen Versichertencode enthalten. Es ist für sie interessant nachzuvollziehen, wie sich das Verordnungsverhalten der Ärzte bezogen auf einzelne Patienten ver- ändert. Unter welchen Bedingungen wird das eine durch das andere Medika- ment ersetzt? Doch kann dieser Prozess auch illegitim ausgenutzt werden. Wer die Num- mer auch nur eines Rezeptes kennt, das ein Patient eingelöst hat, kann in dem Datenbestand alle Angaben zu dem Patienten finden. Man beachte hierbei: Ein als anonym geltender Datenbestand unterliegt nicht dem Datenschutz, kann beliebig weitergegeben, ausgewertet, ja veröffentlicht werden. Hier werden die Anforderungen an eine Anonymisierung aber verletzt. Wollen die ARZ eine Versichertennummer einfach nur umcodieren, dürfen sie deshalb jeden Code nur einmal verwenden. Taucht der gleiche Patient in einer späteren Daten- lieferung ein zweites Mal auf, muss ihm ein neuer Code zugeordnet werden. 40                                                         Jahresbericht BlnBDI 2012

2.  Wann 4          dürfen Apothekenrechenzentren Verordnungsdaten weitergeben? Der Arztbezug Ordnen die ARZ jeden Arzt einer hinreichend großen Gruppe zu und erset- zen die Arztnummern in den Rezepten durch eine Bezeichnung der Gruppe, so scheint der Arztbezug aufgehoben. Das ist jedoch nicht immer der Fall. Bestände die Gruppe aus je einem Augenarzt, Neurologen, HNO-Arzt, Chirur- gen und Gynäkologen, ließen sich die Verordnungen der einzelnen Ärzte recht eindeutig voneinander trennen. Ein anderer Fall tritt ein, wenn die Zusam- mensetzung der Gruppen je nach Auswerter oder dessen Auftraggeber variiert. Wer zunächst die Daten von vier Ärzten abfragt und danach die einer Fünfer- gruppe, der die ersten vier angehören, der hat die Verordnungen des neu hin- zugekommenen Arztes isoliert. Schließlich ist auch klar: Wenn sich unter den Rezepten, die von einer Gruppe von Ärzten ausgestellt wurden, keine Ver- ordnung eines neuen Medikaments findet, so hat auch der einzelne von einer besonderen Werbemaßnahme angesprochene Arzt in der Gruppe das Medika- ment nicht verschrieben. Jede dieser Gruppenzusammensetzungen ist unzulässig. Ermöglichen Daten die Herleitung von Angaben über einzelne Personen, so sind sie nicht anonym. Das auch von der RBA verwendete Verfahren ist anfällig für illegitime Auswertun- gen zumindest der beiden letztgenannten Arten. Zwei Möglichkeiten bleiben den ARZ: Eine wechselnde Codierung wie im Abschnitt zum Versichertenbezug beschrieben oder die Zuordnung der Ärzte zu Gruppen, deren Größe die vom Gesetzgeber angestrebte Schranke über- schreitet, im Vorhinein und unabhängig von Anfragen interessierter Seiten. So können alle Ärzte einer Region zusammengefasst werden, wenn in dieser Region wie in jedem Berliner Bezirk mehr als 300.000 Menschen leben oder mehr als 1.300 Ärzte praktizieren. Wird dies umgesetzt, bleibt das Verschrei- bungsverhalten des einzelnen Arztes auch im Rahmen der weiteren Verarbei- tung der dergestalt anonymisierten Verordnungsdaten weitestgehend geschützt. Die Datenverarbeitung der ARZ zeigt wie durch ein Brennglas, welcher Sorg- falt es bedarf, bevor sensitive Daten aus dem Schutzbereich von Datenschutz- und Sozialrecht entlassen werden dürfen. Der statische Ersatz eines Identi- tätskennzeichens durch ein anderes ist vielfach unzureichend. Je größer das wirtschaftliche Interesse an der Ableitung von Sachangaben über Einzelne aus Jahresbericht BlnBDI 2012                                                41

Kapitel 2 Schwerpunkte einem Datenbestand, desto nachhaltiger muss geprüft werden, welche Möglich- keiten zur Informationsgewinnung der Datenbestand und das Verfahren seiner Erstellung bieten. Auch ein Vorgehen, das bewusst gegen gesetzliche Vorgaben verstößt, darf nicht zum Ziel führen. Wir werden aufmerksam verfolgen, wie die RBA ihre Verarbeitungsvor- gänge an die gesetzlichen Vorgaben anpasst. Soweit nicht Daten aus anderen Quellen personenbezogen auf gesetzlicher Grundlage oder nach informierter Einwilligung der Betroffenen zur Verfügung stehen, müssen die wirtschaftlichen und Forschungsinteressen mit den tatsächlich anonymisier- ten Daten der ARZ befriedigt werden. 2.5 W   enn die Aufsichtsbehörde klingelt – vermeidbare Fehler von Unternehmen bei Prüfungen Erhalten wir häufiger zu einem Unternehmen Beschwerden, enthalten die von uns angeforderten Stellungnahmen von Unternehmen oft Widersprüche oder Unklarheiten. Erfahren wir z. B. aus der Presse, dass im Unternehmen Datenschutzverstöße begangen wurden, kontrollieren wir die Datenverarbei- tung in dem Unternehmen vor Ort.56 Bei solchen Kontrollen stellen wir fast immer fest, dass die Unternehmen nicht alle datenschutzrechtlichen Anforde- rungen einhalten. Viele Fehler beruhen auf mangelnder Kenntnis der recht- lichen Regelungen oder einer nicht datenschutzgerechten Organisation. So setzen die Unternehmen z. B. die seit 2009 geltenden Regelungen für die Verarbeitung und Nutzung von personenbezogenen Daten zu Werbezwecken immer wieder fehlerhaft um.57 Im Folgenden haben wir typische weitere Feh- lerquellen und Abhilfemöglichkeiten aufgelistet: 56 § 38 Abs. 4 BDSG 57 Übersicht zur Rechtslage in JB 2010, 2.2 42                                                      Jahresbericht BlnBDI 2012

2.5 Vermeidbare Fehler von Unternehmen bei Prüfungen Fehlendes oder mangelhaftes Verfahrensverzeichnis Jedes Unternehmen ist verpflichtet, ein sog.Verfahrensverzeichnis zu führen.                 58 Dieses Verzeichnis enthält Angaben zur Organisation der verantwortlichen Stelle (Namen, Adresse, Leitungspersonen), eine allgemeine Beschreibung zu den Datenerhebungen, -verarbeitungen und -nutzungen (Angabe der betrof- fenen Personengruppen und der diesbezüglich verwendeten Datenarten, der Empfänger, der Regelfristen für die Löschung sowie Angaben zur Datenüber- mittlung in Drittstatten) sowie ihrer Zwecke. Das Verzeichnis ist auf Antrag 59 jedermann in geeigneter Weise von der oder dem Unternehmensdatenschutz- beauftragten oder, soweit nicht vorhanden, von der Geschäftsleitung verfüg- bar zu machen. In unseren Vor-Ort-Kontrollen stellen wir häufig gleich am Anfang fest, dass ein Verfahrensverzeichnis im Unternehmen nicht vorhanden ist. Da dieses Ver- zeichnis ein erster Orientierungspunkt ist, um die Rechtmäßigkeit der Erhe- bung und Verarbeitung von personenbezogenen Daten zu überprüfen und besondere Risiken innerhalb des Unternehmens zu erkennen, bedeutet das Fehlen des Verzeichnisses ein erhebliches Erschwernis der Kontrolltätigkeit der oder des betrieblichen Datenschutzbeauftragten und der Aufsichtsbehörde. Aber auch wenn das geprüfte Unternehmen ein Verfahrensverzeichnis führt, enthalten die Verzeichnisse oft Mängel, weil z. B. nicht alle betroffenen Perso- nengruppen und die darauf bezogenen Zwecke der Verarbeitung benannt wer- den (Arbeitnehmer- und Lieferantenangaben werden häufig vergessen) oder Angaben zu den Löschfristen nicht präzise genug in Bezug auf die betroffenen Personengruppen beschrieben werden (ein allgemeiner Verweis auf gesetzliche Löschfristen ist nicht ausreichend).60 Fehlende oder mangelhafte Verträge über die Auftragsdaten­ verarbeitung Soweit Unternehmen andere Stellen mit der Erhebung,Verarbeitung und Nut- zung von personenbezogenen Daten gemäß ihren Weisungen beauftragen (z. B. 58 § 4g Abs. 2 bzw. 2a, § 4e Satz 1 BDSG 59 § 4e Satz 1 BDSG 60 Ein Muster für ein Verfahrensverzeichnis sowie eine Ausfüllanleitung sind abrufbar unter https://www.ldi.nrw.de/mainmenu_Datenschutz/submenu_Verfahrensregister/Inhalt/ Formulare/Formulare.php. Jahresbericht BlnBDI 2012                                                                 43

Kapitel 2 Schwerpunkte Call-Center-Leistungen, Datenträgervernichtung, IT-Systembetreuung), liegt keine Datenübermittlung vor, sondern eine bloße Datennutzung. Der Auftrag- geber bleibt weiterhin im vollen Umfang für den Umgang mit den personen- bezogenen Daten beim Dienstleister verantwortlich. Zwischen den Parteien 61 eines solchen Auftrags ist in diesen Fällen ein sog. Auftragsdatenverarbeitungs- vertrag zu schließen, der bestimmte Mindestvertragsbestandteile enthalten und schriftlich abgeschlossen werden muss.62 So muss der Umfang, die Art und der Zweck der vorgesehenen Erhebung,Verarbeitung oder Nutzung von Daten, die Art der Daten und der Kreis der Betroffenen, die zu treffenden technischen und organisatorischen Maßnahmen, die Kontrollrechte des Auftraggebers und die entsprechenden Duldungs- und Mitwirkungspflichten des Auftragnehmers geregelt werden. Die Mindestvertragsbestandteile eines Auftragsdatenverarbei- 63 tungsvertrages sind regelmäßig nicht oder nur lückenhaft in dem zugrunde- liegenden zivilrechtlichen Vertrag zur Beauftragung enthalten. „Auftrag“ ist in diesem Zusammenhang nicht gleich „Auftrag“. Wenn wir in Kontrollen feststellen, dass der Auftraggeber einen Auftragsdaten- verarbeitungsvertrag nicht abgeschlossen hat bzw. dieser Vertrag nicht die erfor- derlichen Mindestvertragsbestandteile enthält, können wir ein Bußgeld von bis zu 50.000 Euro verhängen. Unternehmen sollten die von ihnen abgeschlos- 64 senen Verträge daher daraufhin prüfen, ob die gesetzlichen Mindestvertragsbe- standteile für eine Auftragsdatenverarbeitung schriftlich festgelegt worden sind. Fehlende Unabhängigkeit oder Fachkunde der oder des Datenschutzbeauftragten Die oder der Datenschutzbeauftragte eines Unternehmens ist eine wich- tige Kontrollinstanz innerhalb der verantwortlichen Stelle. Sie oder er wirkt auf die Einhaltung der Datenschutzregelungen im Unternehmen hin und ist an keine Weisungen gebunden. Die Aufgabe kann nur erfüllt werden, wenn die notwendige Fachkunde und Zuverlässigkeit vorhanden ist. Dies bedeu-    65 tet, dass insbesondere keine Interessenkonflikte bestehen dürfen. Die Bestel- 61 § 11 Abs. 1 Satz 1 BDSG 62 § 11 Abs. 2 Satz 2 BDSG 63 Weitere Hinweise auch unter http://www.lda.bayern.de/lda/datenschutzaufsicht/lda_daten/ auftragsdatenverarbeitung.pdf 64 § 43 Abs. 1 Nr. 2b BDSG 65 § 4f Abs. 2 Satz 1 BDSG 44                                                               Jahresbericht BlnBDI 2012

2.5 Vermeidbare Fehler von Unternehmen bei Prüfungen lung von Personen aus der Geschäftsführung, der Leitung der EDV-Abteilung oder der Leitung der Personalabteilung zur oder zum Datenschutzbeauftragten des Unternehmens ist daher nicht zulässig. In diesen Fällen verlangen wir die Abberufung der bestellten Person. In fachlicher Hinsicht muss die oder der Datenschutzbeauftragte technische Grundkenntnisse haben und die einschlägigen Datenschutzrechtsgrundlagen kennen, die in seinem Unternehmen von Bedeutung sind. Hier stellen wir häufig fest, dass die bestellten Datenschutzbeauftragten uns zwar die Teilnahme an Fortbildungen nachweisen können, der Wissensstand aber unzureichend ist. Als Antwort auf unsere Frage nach den einschlägigen Datenerhebungs- und Verarbeitungsnormen in dem Unternehmen „DIN-Normen“, „Grundgesetz“ oder „irgendwo im Bundesdatenschutzgesetz“ zu präsentieren, entspricht nicht den gesetzlichen Anforderungen an die Fachkunde von Datenschutzbeauf- tragten. Bei geringen Defiziten geben wir regelmäßig eine Nachschulung auf. Soweit größere Wissenslücken bestehen und die interne Kontrolle des Unter- nehmens z. B. aufgrund der Anzahl oder der Sensitivität der verarbeiteten per- sonenbezogenen Daten nicht mehr sichergestellt werden kann, können wir auch die Abberufung der oder des Datenschutzbeauftragten verlangen.66 Die Anforderungen, die an Beauftragte für den Datenschutz gestellt werden, hat der Düsseldorfer Kreis in einem Papier zusammengefasst.67 Fehlendes Lösch- und Sperrkonzept Personenbezogene Daten dürfen nicht unbegrenzt gespeichert werden. Sie müssen u. a. unverzüglich gelöscht werden, wenn die Verarbeitung für eigene Geschäftszwecke nicht mehr erforderlich ist. Bestehen gesetzliche oder ver- 68 tragliche Aufbewahrungspflichten, müssen die Daten gesperrt und aus dem operativen Geschäft entfernt werden. Ein Zugriff auf diese Daten ist grund- 69 sätzlich nur noch für die zur Aufbewahrung vorgesehenen Zwecke erlaubt. Fehlen Regelungen im Unternehmen zur Löschung und Sperrung, stellt dies eine erhebliche Pflichtverletzung dar. Die unbefugte Speicherung von perso- nenbezogenen Daten ist ein schwerer Datenschutzverstoß, der mit empfindli- 66  § 38 Abs. 5 Satz 3 BDSG 67  Siehe Dokumentenband 2010, S. 25 ff. 68  § 35 Abs. 2 Satz 2 Nr. 3 BDSG 69  § 35 Abs. 3 Nr. 1 BDSG Jahresbericht BlnBDI 2012                                                  45

Kapitel 2 Schwerpunkte chen Bußgeldern von bis zu 300.000 Euro sanktioniert werden kann.70 Rege- lungen zur Löschung und Sperrung im Unternehmen sind daher unabdingbar. Missachtung der Auskunftsrechte von Betroffenen Betroffene können von der verantwortlichen Stelle Auskunft darüber verlan- gen, welche Daten über sie zu welchem Zweck gespeichert sind und an wel- che Empfänger die Daten weitergegeben worden sind. Soweit die Herkunft der Daten gespeichert ist, kann auch darüber Auskunft verlangt werden. Der   71 Auskunftsanspruch ist Voraussetzung für die Wahrnehmung weiterer Rechte der Betroffenen (z. B. Berichtung, Löschung, Werbewiderspruch, Schadensersatz) und damit die „Magna Charta“ des Datenschutzrechts. Ein Verstoß hiergegen wiegt schwer und ist sanktionsbewehrt.  72 Teilweise haben wir bei unseren Vor-Ort-Kontrollen festgestellt, dass den Unternehmen dieser Auskunftsanspruch nicht bekannt war.Verfahrensvorkeh- rungen zur Auskunftserteilung an die Betroffenen haben die Unternehmen daher nicht ergriffen. Häufig wurde bei der Auskunftserteilung die oder der betriebliche Datenschutzbeauftragte nicht einbezogen, sodass es zu fehlerhaften Auskünften kam. Regelungen zur Auskunftserteilung an die Betroffenen sind im Unternehmen deshalb erforderlich. Fehlende oder mangelhafte Verpflichtung auf das Datengeheimnis Beschäftigten, die mit personenbezogenen Daten im Unternehmen zu tun haben, ist es verboten, unbefugt personenbezogene Daten zu erheben, zu ver- arbeiten oder zu nutzen. Jede und jeder Beschäftigte trägt die persönliche Ver- antwortung, das gesetzliche Verbot der unbefugten Datenerhebung und -ver- arbeitung zu wahren (Datengeheimnis). Hierauf sind sie bei Aufnahme ihrer Tätigkeit zu verpflichten. Die uns in den Unternehmenskontrollen vorgeleg- 73 ten Mustererklärungen sind häufig fehlerhaft, weil die Beschäftigten nicht voll- ständig über die Konsequenzen bei Datenschutzverstößen aufgeklärt werden. In einer großen Anzahl der Fälle weisen die Verpflichtungserklärungen zwar auf 70  § 43 Abs. 2 Nr. 1 BDSG 71  § 34 Abs. 1 Satz 1 BDSG 72  § 43 Abs. 1 Nr. 8a BDSG 73  § 5 Satz 2 BDSG 46                                                      Jahresbericht BlnBDI 2012

2.5 Vermeidbare Fehler von Unternehmen bei Prüfungen mögliche strafrechtliche Konsequenzen hin. Der Hinweis auf die Möglichkeit zur Verhängung von empfindlichen Bußgeldern wird aber zumeist vergessen.                     74 Obwohl das Bundesdatenschutzgesetz bereits seit mehr als 30 Jahren in Kraft ist, erleben Unternehmen immer wieder böse Überraschungen, wenn die Aufsichtsbehörde ihre Datenverarbeitung vor Ort überprüft. Solche Überra- schungen sind vermeidbar, wenn bestimmte Grundregeln beachtet werden. Heutzutage kann es sich kein Unternehmen mehr leisten, den Datenschutz zu unterschätzen. 74 Ein Muster für die Verpflichtung auf das Datengeheimnis findet sich unter http://www.lda. bayern.de/lda/datenschutzaufsicht/lda_daten/verpflichtung_datengeheimnis.pdf. Jahresbericht BlnBDI 2012                                                              47

Kapitel 3 Öffentliche Sicherheit 3 Öffentliche Sicherheit 3.1 Antiterrordatei auf dem Prüfstand In der seit 2007 geführten Antiterrordatei (ATD) sind bundesweit ca. 75 Aus der Praxis 16.000 Personen gespeichert, die im Zusammenhang mit internationalem Terrorismus bekannt geworden sind. Hierzu gehören auch Personen, die als Befürworter, Unterstützer oder schuldlos („dolos“) handelnde Kontaktper- sonen anzusehen sind. In die ATD stellen insgesamt 38 verschiedene Sicher- heitsbehörden Daten ein. Neben den Grunddaten (z. B. Name, Geschlecht, Geburtsdatum, (frühere) Anschriften, körperliche Merkmale, Lichtbil- der) werden auch erweiterte Grunddaten zentral gespeichert (z. B. Bank- verbindungen, Religionszugehörigkeit, besuchte Orte, Ausbildung/Beruf, Gefährlichkeit, Waffenbesitz, besondere Bemerkungen). Auf diese erweiter- ten Grunddaten dürfen die Sicherheitsbehörden grundsätzlich nur aufgrund einer Anfrage bei der einstellenden Behörde zugreifen. Bereits 2007 haben wir über die ATD, unsere Kritikpunkte an dieser Datei und unsere ersten Prüfergebnisse beim Polizeipräsidenten in Berlin berichtet. Wir 76 überprüften die Datei nunmehr erneut beim Polizeipräsidenten sowie beim Berliner Verfassungsschutz. Dabei stellten wir fest, dass die behördlichen Daten- schutzbeauftragten beider Behörden keine anlasslosen Prüfungen vorgenom- men haben, um die Eingaben in die ATD auf ihre Richtigkeit und Aktualität zu überprüfen. Beiden Behörden war unbekannt, wie Datensätze in der Datei gesperrt werden können. Offen blieb auch, ob und wie unserer Behörde eine elektronische Auswertung der Protokolldaten, die beim Bundeskriminalamt gespeichert werden, ermöglicht werden kann. Beim Polizeipräsidenten stellten wir außerdem fest, dass Verwaltungsvorschriften, die eine einheitliche Auslegung der unbestimmten Rechtsbegriffe des Antiterror-Datei-Gesetzes ermöglichen, nicht vorhanden bzw. nicht bekannt waren. Kennzeichnungspflichtige Daten77 75 Hierzu Artikel 1 des Gesetzes zur Errichtung gemeinsamer Dateien von Polizeibehörden und Nachrichtendiensten des Bundes und der Länder – Gemeinsame Dateien-Gesetz –, BGBl. I 2006, S. 3409 76 JB 2007, 3.2.2 77 § 3 Abs. 2 ATDG 48                                                                 Jahresbericht BlnBDI 2012