Ü 5238) Der Bundesbeauftragte für den Datenschutz und                                               Prof. Ulrich Kelber die Informationsfreiheit                                              Bundesbeauftragter für den Datenschutz und die Informationsfreiheit POSTANSCHRIFT  Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Postfach 1468, 53004 Bonn Staatssekretär im                                                                     HAUSANSCHRIFT   Graurheindorfer Straße 153, 53117 Bonn Bundesministerium des Innern,                                                                     FON für Bau und Heimat                                                                             E-MAIL Herrn Hans-Georg Engelke                                                                    INTERNET Alt-Moabit 140                                                                                 DATUM 10557 Berlin                                                                             GESCHÄFTSZ. Bitte geben Sie das vorstehende Geschäftszeichen ' Nachrichtlich:                                                                                        bei allerı Antwortschreiben unbedingt an. Präsidenten des Bundeskriminalamts Herrn Holger Münch Thaerstr. 11 65193 Wiesbaden Bundeskriminalamt behördlicher Datenschutzbeauftragter Thaerstr. 11 65193 Wiesbaden BETREFF  Beratungs- und Kontrollbesuch beim Bundeskriminalamt Speicherung erkennungsdienstlicher Daten (ED-Daten) in INPOL Beanstandungen gemäß $ 16 Absatz 2 Satz 1 Bundesdatenschutzgesetz (BDSG) Sehr geehrter Herr Staatssekretär Engelke, vom 25. bis 26. Oktober 2021 habe ich beim Bundeskriminalamt (BKA) am Standort Wies- baden gemäß $8 9 Abs. 1,14 Abs. 1 Nr. 1,16 Abs. 4 Bundesdatenschutzgesetz (BDSG) einen Beratungs- und Kontrollbesuch durchgeführt. Auf Grund der COVID-19-Situation hatte die Kontrolle bereits im Mai 2020 im schriftlichen Verfahren begonnen. zusätzliche Videokon- ferenzen wurden am 14. September 2021 und 27. Oktober 2021 durchgeführt. Gegenstand der Kontrolle war die Datenverarbeitung von erkennungsdienstlichen Daten (ED-Daten) in INPOL-Zentral (INPOL-Z) durch das Bundeskriminalamt (BKA). Seitens des BKA waren die Organisationseinheiten DS und ZI22 anwesend. 101120/2021                                                           ZUSTELL- UND LIEFERANSCHRIFT    Graurheindorfer Straße 153, 53117 Bonn VERKEHRSANBINDUNG      Straßenbahn 61 und 65, Innenministerium Bus 550 und SB60, Innenministerium

:                             Der Bundesbeauftragte N                               für den Datenschutz und die Informationsfreiheit Seite 2 von 15 Ihr Haus hat meine Mitarbeitenden freundlich aufgenommen und sehr konstruktiv unter- stützt. Dafür bedanke ich mich. Besonders hervorzuheben ist, dass Ihr Haus auf meine Bit- te hin bereits im schriftlichen Verfahren zahlreiche Informationen zur Verfügung gestellt hat. Zudem wurden für alle Mitarbeitenden in den Terminen am 25. und 26. Oktober 2021 vor Ort lesende Zugriffe auf die polizeilichen Systeme INPOL-Z, AFIS, VBS bzw. die Krimi- nalakte eingerichtet. Dies hat den datenschutzrechtlichen Beratungs- und Kontrollbesuch .sehr erleichtert. Gegenstand der Prüfung waren die Umsetzung meiner Ausführungen aus dem Prüfbericht vom 27. Oktober 2011 (V-620/004#0004) sowie der aktuelle Stand des Lösch- und Bereini- gungsverfahrens von ED-Daten im BKA. Zudem wurden vor dem Hintergrund der Verant- wortung des BKA für die Einhaltung der INPOL-Regelungen (8 31 Abs. 1 BKAG) strukturelle Fragen der Datenverarbeitung in Zusammenhang mit ED-Daten geprüft. Hierzu erreichten mich im Vorfeld der Kontrolle u. a. Hinweise von Landesdatenschutzaufsichtsbehörden. Abschließend habe ich noch Einzelfäll in Form von vorab ausgewählten Stichproben zu - den Themenkomplexen des „Mitbesitzes“ des BKA an ED-Daten der Landespolizeien sowie der Änderung von Katalogfeldern in INPOL-Z geprüft (siehe unten). Eine Beratung meinerseits wurde explizit erwünscht. Das sorgte für eine konstruktive und offene Prüf- und Beratungsatmosphäre. A. Ergebnis der Kontrolle: Die Kontrolle ergab, dass nicht alle Verarbeitungen mit den datenschutzrechtlichen An- forderungen in Einklang stehen. Ich spreche daher folgende Beanstandung aus: e   Das BKA erstellte in mindestens drei Fällen ee] Eee]               keine den gesetzlichen Anforderungen entsprechende Negativ- prognose. Eine Prognoseentscheidung nach $ 16 Abs. 5 Nr. 2a) BKAG wurde in die- sen Fällen gar nicht durchgeführt und dokumentiert. Dieses Fehlen hätte ggf. mit einem Verweis auf die Prognoseentscheidung nach $ 18 Abs. 1 Nr.3 und $ 18 Abs. 2 Nr. 2 BKAG kompensiert werden können. Jedoch erschöpfte sich die gemäß 8 18 BKAG erforderliche Prognoseentscheidung hier lediglich in der Kopie des reinen Gesetzeswortlauts in einem Freitextfeld. Im Ergebnis lag daher keine den gesetzli- chen Anforderungen entsprechende Prognoseentscheidung vor. Diese konkreten Speicherungen beanstande ich nach $ 16 Abs. 25.1 BDSG. Ergänzend dazu spreche ich die folgenden Empfehlungen aus: 101120/2021

5                          Der Bundesbeauftragte V                            für den Datenschutz und die Informationsfreiheit Seite3von 15 e   Ich empfehle dringend, die Problematik der dokumentierten Negativprognose über diese Einzelfälle hinausgehend zu klären. Insofern begrüße ich, dass das BKA mit dem Wunsch nach einem entsprechenden gemeinsamen Workshop auf mich zuge- kommen ist. *e  Ich empfehle, den mit der Übernahme von ED-Daten in Zusammenhang stehenden Bereinigungsprozess schnellstmöglich fortzuführen und den noch offenen Altbe- stand bis 31.12.2022 entsprechend zu bereinigen, e   Ich empfehle dringend, als technisch verantwortliche Stellenach $ 31 Abs. 1 BKAG dafür Sorge zu tragen, dass Daten aus erkennungsdienstlichen Behandlungen von OWiG-Verfahren technisch nicht in dem Informationsverbund gespeichert werden können, weil für derartige Speicherungen keine Rechtsgrundlage besteht. B. Sachverhalt Zuletzt habe ich im Jahr 2011 eine Kontrolle des ED-Datenbestandes im BKA durchgeführt. Dabei habe ich Mängel festgestellt, die umfassendere technische Umgestaltungen not- wendig gemacht haben. Die gegenwärtige Kontrolle diente deshalb auch dem Zweck, zu prüfen, ob diese Mängel inzwischen beseitigt worden sind. 1. Vorbemerkung: Ausführungen in meinem Prüfbericht vom 27. Oktober 2011 Der hier gegenständliche Besuch knüpft an meine im Jahr 2011 durchgeführte daten- schutzrechtliche Kontrolle an. Bis Sommer 2008 wurden ED-Daten beim BKA auch dann weiter gespeichert, wenn ein Land verantwortliche datenbesitzende Stelle war und die Daten gelöscht hatte. Das BKA übernahm in diesen Fällen den „Besitz“ dieser „gelöschten“ ED-Daten. Das BKA hatte so- dann eigene U-Gruppen (Unterlagengruppen) eröffnet, einen KAN (Kriminalaktennach- weis) vergeben und eine eigene Aussonderungsprüffrist festgelegt. Auf diese Weise nahm das BKA Daten in seinem Bestand, für die kein Aktenrückhalt vorlag. Die Länder konnten in der Folge lediglich in ihren jeweiligen Landessystemen löschen, nicht aber in dem Ver- bundsystem INPOL-Z. Ab Sommer 2008 modifizierte das BKA seinen bisherigen Umgang mit ED-Daten. Es wurde nun wie folgt verfahren: Wenn die letzte E-Gruppe an einem Datensatz nach Löschung in den Ländern systemtechnisch in den „endgültigen Besitz“ des BKA übergegangen war und das vom BKA vergebene Aussonderungsprüfdatum in der Zukunft lag, wurde geprüft, ob 101120/2021

A Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Seite 4 von 15 zusätzliche Erkenntnisse zu dessen Vergabe geführt haben oder ob sich das Aussonde- rungsprüfdatum lediglich auf ED-Behandlungen aus einer im BKA-Besitz übergegangenen E-Gruppe bezieht. Diese Prüfung erfolgte im BKAin einem sog. E- Gruppenbereinigungsverfahren. Dieses Verfahren habe ich im Jahr 2011 geprüft. Innerhalb des E-Gruppenbereinigungsverfahrens gab es eine vollständige und eine teil- weise Besitzaufgabe: Bei einer vollständigen Besitzaufgabe durch die Länder wurden die ED-Daten weiter gespeichert, wenn eine F(Fahndung)- oder H (Haft)-Gruppe vorlag oder wenn seitens des BKA ein Erkenntnisüberschuss bestand. Für die Fälle des Erkenntnis- überschusses hatte ich eine Negativprognose nach 5 8 Abs. 6 BKAG a. F. gefordert. Für die neue Prognoseentscheidung muss ein „Mehr“ vorliegen, als bisher in der Prognoseent- scheidung für die bei der Landesbehörde geführte Kriminalakte zugrunde gelegt wurde. In Fällen der teilweisen Besitzaufgabe, also in denen der Besitz an den ED-Daten vollstän- dig aufgegeben wurde, in einem Land aber noch eine U-Gruppe erhalten blieb, führte das dazu, dass auch die ED-Daten erhalten blieben, weil die Aussonderungsprüffrist an die U- Gruppe gekoppelt war. Für ED-Daten selber gab es keine eigene Aussonderungsprüffrist. In diesen Fällen war es wahrscheinlich, dass unter Umständen ein Land aus Datensparsam- keitsgründen auf eine eigene ED-Behandlung verzichtet hatte, weil die Daten ja durch das erste Land schon erhoben und gespeichert wurden. In meiner damaligen Kontrolle hatte ich mich daher dafür ausgesprochen, die E-Gruppe von der U-Gruppe abzukoppeln. Außerdem habe ich vorgeschlagen, ein Feld „Besitzan- wartschaft“ technisch zu implementieren, um dem Grundsatz der Datensparsamkeit ge- recht zu werden. 2. Stichproben: „Mitbesitz“-Thematik / Anforderungen an eine Negativprognose Die Fälle, in denen das BKA alleiniger Datenbesitzer ist und ein teilnehmendes Land frühe- rer Besitzer war, habe ich nunmehr im BKA vor Ort am 26. Oktober 2021 geprüft. Zur Pla- nung d&s Termins habe ich das BKA bereits im Vorfeld der Kontrolle um ausgewählte Stichproben gebeten. Konkret habe ich jeweils zu den ersten 10 Personen je Buchstabe im Alphabet um einen vollständigen INPOL-Auszug sowie um eine schriftlich dokumentierte Negativprognose gebeten. Das BKA hat mir eine Excel-Liste der angeforderten betroffenen Personen übersandt. Da meinen Mitarbeitenden jeweils ein eigener lesender Zugriff auf das INPOL-System einge- richtet wurde, war ein vollständig ausgedruckter INPOL-Auszug nicht mehr erforderlich. Mit Stellungnahme vom 21. Oktober 2021 teilte mir das BKA jedoch mit, in keiner der ange- 101120/2021

S                             Der Bundesbeauftragte V                            . für den Datenschutz und die Informationsfreiheit Seitesvon15   forderten Stichproben läge eine schriftlich dokumentierte Negativprognose nach $ 16 Abs. 5 Nr. 2a) BKAG vor. Ursache dafür seien u. a. fehlende Hinweise in den Prüf- und Aussonde- rungsprozessen. Negativprognosen seien bislang nur im Hinblick auf die Personenkatego- risierungen, also gemäß 88 18, 19 BKAG, erstellt worden. Das BKA sagte mir zu, die Prozes- se entsprechend anzupassen und auf die noch zu prüfenden Restbestände der E-Gruppen im Rahmen der Mitbesitzaufgabe anzuwenden. - Indem Termin vor Ort habe ich daher einige der vorher ausgewählten Stichproben vor dem Hintergrund der Anforderungen an eine Negativprognose nach 88 18 und 19 BKAG geprüft. In der Kriminalakte war teilweise ein für die Negativprognose eigens implemen- tiertes Freitextfeld („Negativprognose 8 18 Abs. 2 Nr. 1BKAGi.V.m.8&18 Abs. 1Nr.3 BKAG“) dargestellt. In den Fällen                                                        2: dieses Feld mit folgender Formulierung befüllt: „Wegen Art oder Ausführung der Tat (Tat- zeit), der Persönlichkeit des Betroffenen als Täter oder Teilnehmer (Personenbezug) oder sonstiger Erkenntnisse besteht Grund zu der Annahme, dass der Beschuldigte erneut (wie- derholt) Straftaten begehen wird.“ Das BKA teilte mir vor Ort mit, teilweise würden die Ne- gativprognosen auch in Papierakten dokumentiert werden. 3. Aktuelles Lösch- und Bereinigungsverfahren (Stand 2021) Das BKA hat mir überwiegend im schriftlichen Verfahren den aktuellen Stand zur Umset- zung meiner Ausführungen aus dem Prüfbericht vom 27.10.2011 mitgeteilt und gleichzeitig das aktuelle automatisierte Lösch- und Bereinigungsverfahren von ED- Datenspeicherungen erörtert. Ab November 2018 (INPOL 8.0) hat das BKA die ED-Datenbestände wieder an die ursprüng- lich datenbesitzenden Länder zurückübertragen (Dezentralisierung). Die datenschutz- rechtliche Verantwortung obliegt seither wieder den jeweiligen Ländern, die für Prüfung und ggf. Löschung Sorge tragen müssen, Es hat zudem eine neue Funktiön geschaffen, nämlich die „Löschung mit Besitzübertragung“. Wenn das besitzende Land die letzte E- Gruppe am Personendatensatz löscht und bei einem anderen Teilnehmer noch mindes- tens ein löschverhindernder Grund in Form einer Haftgruppe, einer KAN-U-Gruppe einer Fahndung oder schlechteres ED-Material (weniger Material oder schlechtere Aufnahmen) vorhanden ist, kann durch den Datenbesitzer ein Angebot zur Übernahme der E-Gruppe an den anderen INPOL-Teilnehmer zwecks Übernahme der E-Gruppe abgegeben werden. Die- ses Angebot zur Besitzübertragung erfolgt automatisiert durch INPOL-Z. Erforderlich dafür ist jedoch ein entsprechender Eintrag in den Löschgründen in INPOL-Z (Feld E22 und E 99). Der INPOL-Teilnehmer wird mittels einer Nachricht darüber informiert, dass eine E-Gruppe besitzübertragen wurde und ist zur Prüfung und Pflege aufgefordert. 101120/2021

‘                           Der Bundesbeauftragte V                             für den Datenschutz und die Informationsfreiheit Seite 6 von15 Diese Umstellung hat nach den Unterlagen dazu geführt, dass bis 2018 insgesamt 4.2 Mio. E-Gruppen an die ehemaligen Besitzer rückübertragen worden sind. 750.000 E-Gruppen sind danach zunächst im BKA-Besitz verblieben, da der Besitz schon vor der Rückübertra- gung aufgegeben wurde. Von diesen 750.000 E-Gruppen aus der Mitbesitzaufgabe konnten mittlerweile 580.000 gelöscht werden. Weitere 70.000 befinden sich unmittelbar vor der Löschung. Noch im Jahr 2021 sollen 30.000 E-Gruppen an die INPOL-Teilnehmer überge- ben werden. Somit verbliebe noch ein Restbestand von aktuell 70.000 E-Gruppen beim BKA, der im Zuge der Fristüberwachung geprüft werden soll (Power Point Präsentation Servicestelle Biometrie im BKA, Stand 14.09.2021, S. 18). a. Besitzanwartschaft Als Auswirkung aus meinem Prüfbericht vom 27.10.2011 wurde in INPOL-Z die Funktionali- tät der Identifizierung von Personen mittels FastID mit Lichtbild geschaffen. Zunächst werden bei einer ED-Behandlung nur vier Finger eingescannt und mit dem Bestand in AFIS abgeglichen. Im Trefferfall wird die E-Gruppe nur mit einem Lichtbild gespeichert und mit „FastID* gekennzeichnet. Wenn nun ein anderer Teilnehmer sein bestehendes ED-Material löschen möchte, wird dieses an die FastID desjenigen Landes angehängt, das bewusst auf eine vollständige ED-Behandlung verzichtet hat. In diesen Fällen wird aus datenschutz- rechtlichen Gründen die zu übertragende E-Gruppe bei der Besitzübertragung „neutrali- siert“. Das.bedeutet, der ursprüngliche Anlass der ED-Behandlung wird durch den Begriff „Besitzübertragung“ ersetzt. Für den Fall, dass bei dem Abgleich mit AFIS kein Treffer er- zielt wird, führt der jeweilige Teilnehmer eine vollständige eigene ED-Behandlung durch. b. Automatisiertes Löschverfahren Am 23.10.2020 ist ein neues automatisiertes E-Gruppen-Fristlöschverfahren in Betrieb ge- nommen worden. Seit August 2021 werden abgelaufene E-Gruppen deshalb tagesaktuell gelöscht. Zukünftig kündigt INPOL-Z den Besitzern den Fristlöschtermin des jeweiligen Datensatzes drei Monate vor Erreichen der Fristautomatisch an (Feld E 16). Innerhalb die- ser drei Monate könnten diese dann entscheiden, ob die ED-Daten weiter gespeichert oder gelöscht werden sollen. Nach Ablauf der drei Monate würden die Daten automatisch ge- löscht. Im BKA hat am 30.11.2020 ein automatisches Aussonderungsprüfverfahren für BKA eigene E-Gruppen begonnen. 3. BKAals technischer Verantwortlicher nach $ 31 Abs. 1 BKAG für INPOL-Zentral Im Vorfeld zu der Kontrolle haben mich auch Hinweise einiger Landesdatenschutzauf- sichtsbehörden zu der Thematik der Speicherung von ED-Daten erreicht. Meine daten- 101120/2021

Der Bundesbeauftragte V              f        ) I    für den Datenschutz und die Informationsfreiheit Seite 7von15 schutzrechtliche Beratungs- und Kontrollpflicht umfasst diese Fälle nicht. Diese unterlie- gen der jeweiligen Landeszuständigkeit. Ich bin den Hinweisen jedoch strukturell nachge- gangen. a. Abhängigkeiten der unterschiedlichen (P-, A-, E-, D-) Gruppen in INPOL-Z Es gibt Fälle, in denen eine Person mit einer Führungspersonalie (P-Gruppe) in INPOL-Z gespeichert ist und mindestens einen Aliasnamen verwendet. Der Aliasname wird dann in einer A-Gruppe in INPOL geführt. Bei diesem Alias kann es sich unter Umständen zusätz- lich um eine Führungspersonalie (P-Gruppe) einer weiteren real existierenden Person mit eigenen INPOL-Eintragungen und ED-Behandlungen (E-Gruppen) handeln. . In derartigen Fallkonstellation bin ich von Dritten darauf hingewiesen worden, dass tech- nisch unter Umständen die Gefahr bestünde, die „kriminelle Karriere“ sowie die INPOL- Eintragungen des real existierenden Alias würden auf diese Weise der Person zugeordnet werden, die den Alias missbräuchlich verwendet hat. Ebenfalls könne eine fälschlich erfolgte Verknüpfung zur Folge haben, dass auch einzelne ED-Behandlung mit jeweils einzelnen E-Nummern des Aliasses einer anderen Person zu- gerechnet werden würden. Dies dürfte technisch gerade nicht geschehen, da jede Person über nur eine eigene D-Nummer verfügen würde. Bei der D-Nummer würde es sich um die einzige tatsächliche Möglichkeit handeln, eine ED-Behandlung der tatsächlichen Person zuzuordnen, bzw. diese zu identifizieren. b. Speicherung von ED-Daten im Zuge von Ordnungswidrigkeitenverfahren In INPOL-Z habe ich auch insgesamt sechs Fälle geprüft, in denen eine erkennungsdienstli: che Behandlung aus Anlass einer Ordnungswidrigkeit (z.B. $ 120 OWiG verbotene Aus- übung der Prostitution) erfolgt ist und die Daten sodann in INPOL-Z gespeichert wurden. Auf diese Fallkonstellation bin ich durch eine Landesdatenschutzaufsichtsbehörde auf- merksam gemacht worden. 4. Stichproben zu der Thematik „Änderung der Katalogdaten“ in INPOL-Z Zwischen den Jahren 2012 bis 2016 wurde in INPOL-Z technisch der Deliktsartenkatalog angepasst. Das hatte zur Folge, dass die Bezeichnungen der Delikte, die Anlass für eine ED- behandlung waren, in den entsprechenden INPOL-Z Freitextfeldern geändert wurden. In einem gesonderten Petentenfall war mir aufgefallen, dass der Anlass der ursprünglichen ED-Maßnahmen wie folgt geändert wurde: 101120/2021

Der Bundesbeauftragte V                           für den Datenschutz und die Informationsfreiheit Seite 8von15 e   von gemeinschaftlichem Ladendiebstahl ($ 242 StGB i. V.m. $ 25 Abs. 2 StGB) zu Bandendiebstahl ($ 244 Abs. 1 Nr. 2 StGB) e   von versuchter gefährlicher Körperverletzung ($ 224 StGB i. V. m. $ 23 StGB) zu ge- fährlicher Körperverletzung ($ 224 StGB) e   vonLandfriedensbruch ($ 125 StGB) zu besonders schwerem Fall des Landfrie- densbruchs ($ 125a StGB) Dem Petenten wurde dadurch ein schwereres Delikt zugeordnet. C. Rechtliche Bewertung Gemäß 8 9 Abs. 1,5 14 BDSG i. V. m. $ 69 BKAG ist der Bundesbeauftragte für den Daten- schutz und die Informationsfreiheit (BfDI) für die Datenschutzaufsicht über das BKA zu- ständig. Nach $ 16 Abs. 2 S. 1 BDSG bin ich befugt, Verstöße gegen das BDSG oder gegen andere Datenschutzvorschriften oder sonstige Mängel bei der Verarbeitung oder Nutzung perso- nenbezogener Daten gegenüber der zuständigen obersten Bundesbehörde zu beanstan- den.                         j Diese Voraussetzungen sind nach meinen Feststellungen hier erfüllt. 1, Stichproben: „Mitbesitz“-Thematik / Anforderungen an eine Negativprognose Die Vorschrift des $ 16 Abs.5 Nr. 2 a) BKAG regelt speziell für die Weiterverarbeitung von Daten aus erkennungsdienstlichen Behandlungen das Erfordernis einer Negativprognose. Diese Prognoseentscheidung wurde in keinem der von mir geprüften Fälle durchgeführt. Der klare Wortlaut der Regelung macht deutlich, dass in Fällen erkennungsdienstlicher Behandlungen zusätzlich zu den Regelungen der 58 18, 19 BKAG eine Negativprognose durchzuführen ist. Da es sich bei diesem Wortlaut des $ 16 Abs. 5 Nr. 2 a) BKAG exakt um denselben Wortlaut wie bei $18 Abs. 1 Nr. 3 und Abs. 2 Nr. 2 BKAG handelt, habe ich keine datenschutzrechtlichen Einwände, wenn die Negativprognose lediglich einmal in Bezug auf die Personenkategorien nach 8$ 18 und 19 BKAG durchgeführt und dokumentiert wird und zur Erfüllung der Voraussetzungen des 8 16 Abs. 5 Nr. 2 a) BKAG auf diese Prognose- entscheidung verwiesen wird. Da $ 16 Abs. 5 Nr. 2 a) BKAG eine Negativprognose zwingend voraussieht muss ein solcher Verweis aber mindestens vorliegen. 101120/2021

Der Bundesbeauftragte V                          für den Datenschutz und die Informationsfreiheit Seite9von15 Die von mir geprüften Negativprognosen nach 8 18 Abs. 2 Nr. 1i.V.m.$18 Abs. 1 Nr. 3 BKAG entsprechen jedoch nicht den gesetzlichen Anforderungen. Mit der Formulierung im vorgesehenen Freitextfeld wurde lediglich der reine Gesetzeswortlaut wiedergegeben. Diese Kopie des Wortlauts erfüllt die Anforderungen an eine Negativprognose offenkundig nicht. Um weitere Daten zu diesen Personen zu speichern, muss das BKA gemäß 5 18 Abs. 2 BKAG eine täter- bzw. tatbezogene Einzelprognose erstellen (sog. Negativprognose). Eine Nega- tivprognose muss die Erwartung eines Strafverfahrens gegen eine betroffene Person der- gestalt dokumentieren, dass sie gerichtlich voll nachprüfbar ist (Graulich in Schen- ke/Graulich/Ruthig, Sicherheitsrecht des Bundes, 2. Auflage 2019, $ 18, Rn. 5). Die Speicherung setzt also zunächst voraus, dass die speichernde Stelle eine gesonderte Abwägung und Entscheidung darüber getroffen hat, ob zu dem Betroffenen eine Negativprognose ausgestellt werden kann. Die Daten müssen danach erforderlich sein, weil wegen der Art oder Ausführung der Tat, der Persönlichkeit des Betroffenen oder sons- tiger Erkenntnisse Grund zu der Annahme besteht, dass Strafverfahren gegen den Be- schuldigten oder Tatverdächtigen zu führen sind, Stets ist eine hinreichende Tatsachen- grundlage erforderlich, um eine derartige Negativprognose vorzunehmen. Eine Negativ- prognose kann nicht durch bloße Datenabgleiche erfolgen. Vielmehr muss eine Einzelfall- prüfung nach kriminalistischen Erfahrungsgrundsätzen durchgeführt werden, die von dem speichernden Beamten eine alle Umstände des Einzelfalls berücksichtigende Individual- prognose verlangt und einer entsprechenden Tatsachenbasis bedarf (Schen- ke/Graulich/Ruthig, $ 18, Rn. 10). Zudem muss für jede Speicherung der sog. Restverdacht belegt sein. Die Negativprognose ist zu dokumentieren und mit einem Aktenrückhalt zu hinterlegen. Ohne eine solche Dokumentation ist nicht nachvollziehbar, ob die speichernde Stelle überhaupt die Voraussetzungen der Negativprognose geprüft hat und welches die tragenden Gründe dieser für den Betroffenen belastenden Verwaltungsentscheidung waren. Fehlt es an einer solchen Dokumentation, ist die Speicherung schon aus diesem Grunde rechtswidrig (VGH Mannheim, Urteil vom 10.2.2015 -1S 554/13, ZD 2015, 542; sie- he dazu gemeinsamer Bericht zur Kontrolle der Falldatei Rauschgift vom 04.07.2016, Az. 32-642-3/008#0115). Zu den Anforderungen hat BfDI gegenüber dem BKA in verschiedenen datenschutzrechtlichen Kontrollen Stellung genommen. Die Struktur des Informationsverbundes muss es auch künftig sicherstellen und erleich- tern, diese Anforderungen in der Praxis einzuhalten. Insbesondere ist an automatisierte Hinweise auf die Prüfungspflichten zu denken. Ebenso ist denkbar, für die Negativprogno- se ein Datenfeld vorzusehen. Nach meiner Prüfung vor Ort war dies teilweise schon der 101120/2021

s                           Der Bundesbeauftragte V      13                     für den Datenschutz und die Informationsfreiheit Seite10von15  Fall, Wichtig ist dabei zu beachten, dass die Negativprognose als solche selbst nicht Teil des Informationsbestandes sein darf, sondern Bestandteil der Dokumentation bzw. des Aktenrückhalts ist, Es handelt sich um ein besonders persönlichkeitsrelevantes sensibles Datum. Daher wäre ein solches Datenfeld mit besonders restriktiven Zugriffsrechten zu versehen. Inden oben aufgeführten Entscheidungen war weder eine Negativprognose nach $$ 18,19 BKAG noch nach $ 16 Abs. 5 Nr. 2 a) BKAG durchgeführt noch dokumentiert worden. Daher beanstande ich diese Fällenach $ 16 Abs. 2 BDSG. Bei den Anforderungen an eine schriftliche dokumentierte Negativprognose scheint es sich um eine grundlegende Problematik im BKA handeln. Nach meinem Eindruck ist nicht ein- heitlich geklärt, an welcher Stelle die Prognoseentscheidung durchgeführt und dokumen- tiert wird. Teilweise existiert ein entsprechendes Freitextfeld. Das BKA teilte mir aber auch mit, dass die Prognoseentscheidung in einigen Fällen auch in der Papierakte dokumentiert werden würde. 2. Aktuelles Lösch- und Bereinigungsverfahren (Stand 2021) und Löschung mit Besitzübertragung, Besitzanwartschaft und automatisiertes Löschverfahren Nach meiner Auffassung ist durch die neue Funktionalität „Löschung mit Besitzübertra- gung“ eine Übertragung von E-Gruppen „gegen den Willen“ des potentiellen neuen Besit- zers technisch ausgeschlossen. Zunächst wird dem in Betracht kommenden INPOL- Teilnehmer ein Angebot zur Besitzübertragung gemacht. Diese Nachricht erfolgt automa- tisch über INPOL. Für den Fall, dass die Notwendigkeit und Möglichkeit der Besitzübertra- gung einer E-Gruppe ermittelt wurde, ändert INPOL-Z den Besitzer der E-Gruppe. Nach meiner Auffassung geschieht diese Umstellung erst dann, wenn der neue Besitzer einer Übertragung zugestimmt hat. Der ehemalige Besitzer hat zudem - durch Benennung eines entsprechenden Löschgrundes - die Möglichkeit, rechtlich unzulässige Datenerhebungen auf diese Weise (endgültig) zu löschen, so dass eine Besitzübertragung vermieden wird. Die E-Gruppe spiegelt jetzt ihr wirkliches Aussonderungsprüfdatum wieder und ist inso- weit nichtmehr an die Aussonderungsprüffrist der U-Gruppe gekoppelt. Insofern wurde meine Empfehlung aus der Kontrolle im Jahr 2011 umgesetzt. Mit dem Verfahren FastID wurde meine Anregung aus dem Beratungs- und Kontrollbesuch des Jahres 2011 für eine Besitzanwartschaft aufgenommen. Nach meiner Auffassung kön- nen durch diese technische Neuerung unnötige ED-Behandlungen vermieden werden, in dem ein teilnehmendes Land frühzeitig sein Interesse an vorhandenen ED-Daten in INPOL 101120/2021