Schutz personenbezogener Daten

Verarbeitung personenbezogener Daten durch die Polizei

Bei der Erfüllung ihrer Aufgaben muss die Großherzogliche Polizei personenbezogene Daten verarbeiten, wobei sie auf die Einhaltung des gesetzlichen Rahmens achtet. Nachstehend finden Sie Informationen über den Schutz Ihrer Daten.

Begriffsbestimmungen:

  • « personenbezogene Daten » : alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen.
  • « identifizierbare natürliche Person » : als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.
  • « Verarbeitung » : jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

Gesetzlicher Rahmen der von der Polizei durchgeführten Verarbeitungen von personenbezogenen Daten:

Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (nachfolgend « DSGVO »), die am 25. Mai 2018 in Kraft trat, ist nicht der einzige Rechtstext, der für die Verarbeitung personenbezogener Daten innerhalb der Polizei gilt.

Die Verarbeitungen zum Zwecke der Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten oder Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, unterliegen dem Gesetz vom 1. August 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten in Strafsachen und im Bereich der nationalen Sicherheit, Gesetz mit dem die Richtlinie (EU) 2016/680 des europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates, in nationales Recht umgesetzt worden ist (nachfolgend « Gesetz vom 1. August 2018 »).

Das Gesetz vom 1. August 2018 deckt somit die Verarbeitungen personenbezogener Daten durch die Polizei im Zusammenhang mit der Erfüllung ihrer Aufgaben ab.

Die von der Polizei durchgeführten Verarbeitungen werden des Weiteren von den folgenden gesetzlichen Bestimmungen eingerahmt:

·         Das abgeänderte Gesetz vom 18. Juli 2018 über die Großherzogliche Polizei ;

·         Die Strafprozessordnung ; 

·         Das Strafgesetzbuch ;

·         Andere Gesetze und Verordnungen, die der Polizei Sonderaufgaben zuweisen.

Zwecke, für die die personenbezogenen Daten verarbeitet werden

Die Polizei verarbeitet personenbezogene Daten zu den folgenden Zwecken:

1.    Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten oder Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit;

2.    Überprüfung der polizeilichen Vorgeschichte einer Person im Rahmen einer kriminalpolizeilichen oder verwaltungspolizeilichen Aufgabe oder einer sonstigen Sonderaufgabe der Polizei;

3.    Unterstützung der Justizarbeit durch operative kriminalistische Analysen auf Anfrage einer Justizbehörde;

4.    Unterstützung bei den Richtlinien und der Umsetzung der Politik der inneren Sicherheit durch strategische Kriminalitätsanalysen;

5.    Auswertung von Informationen zu statistischen Zwecken;

6.    Identifizierung der mit dem Fall befassten Mitarbeiter der Polizei.

Personenbezogene Daten können auch für andere Zwecke verarbeitet werden, gemäß Artikel 8 des Gesetzes vom 1. August 2018.

 

Empfänger

Neben der Großherzoglichen Polizei sind dies insbesondere die Justizbehörden, wie es in der Strafprozessordnung vorgesehen sind, sowie gegebenenfalls jede andere Behörde gemäß den geltenden Gesetzen, großherzoglichen Verordnungen und europäischen Rechtsvorschriften.

Der Verantwortliche für die Verarbeitung :

Die Großherzogliche Polizei, vertreten durch ihren Generaldirektor.

  • secgen@police.etat.lu

Der Datenschutzbeauftragte :

Aufgaben:

  • Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters und der Beschäftigten, die Verarbeitungen durchführen, hinsichtlich ihrer Pflichten nach nationalem und europäischem Recht;
  • Überwachung der Einhaltung des internen und europäischen Rechtsrahmens für den Schutz personenbezogener Daten, einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen;
  • Beratung auf Anfrage im Zusammenhang mit der Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung;
  • Zusammenarbeit mit der Aufsichtsbehörde;
  • Tätigkeit als Anlaufstelle für die Aufsichtsbehörde in mit der Verarbeitung zusammenhängenden Fragen, einschließlich der vorherigen Konsultation, und gegebenenfalls Beratung zu allen sonstigen Fragen.

Der Datenschutzbeauftragte trägt bei der Erfüllung seiner Aufgaben dem mit den Verarbeitungsvorgängen verbundenen Risiko gebührend Rechnung, wobei er die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung berücksichtigt.

Grundsätze für die Verarbeitung personenbezogener Daten:

Die personenbezogenen Daten müssen : 

  • auf rechtmäßige Weise und nach Treu und Glauben verarbeitet werden;
  • für festgelegte, eindeutige und rechtmäßige Zwecke erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden;
  • dem Verarbeitungszweck entsprechen, maßgeblich und in Bezug auf die Zwecke, für die sie verarbeitet werden, nicht übermäßig sein;
  • sachlich richtig und erforderlichenfalls auf dem neuesten Stand sind;
  • nicht länger, als es für die Zwecke, für die sie verarbeitet werden, erforderlich ist, in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht.
  • so verarbeitet werden, dass eine angemessene Sicherheit der personenbezogenen Daten gewährleistet ist.

Dauer der Aufbewahrung

Die Dauer der Aufbewahrung personenbezogener Daten im Zentralregister (« Fichier central ») ist im Artikel 43quinquies §9 ff. des abgeänderten Gesetzes vom 18. Juli 2018 über die Großherzogliche Polizei festgelegt.

Bei allen anderen Dateisystemen wird die Aufbewahrungsdauer von dem Verantwortlichen für die Verarbeitung festgelegt, wenn es keine spezifische gesetzliche Bestimmung gibt. Diese Dauer muss jedoch gemäß Artikel 43quater §4 festgelegt werden, der wie folgt lautet: « (...) Daten, die sich auf verwaltungspolizeiliche Missionen oder andere Aufgaben beziehen, mit denen die Polizei gesetzlich betraut ist, werden spätestens zum Zeitpunkt der Löschung derselben Daten im aktiven Teil des Zentralregisters gelöscht, ausgenommen eine spezifische gesetzliche Bestimmung sieht eine längere Dauer vor. Daten, die unter die Aufgaben der Kriminalpolizei fallen, werden spätestens zum Zeitpunkt der Übertragung derselben Daten in den passiven Teil des Zentralregisters gelöscht, ausgenommen eine spezifische gesetzliche Bestimmung sieht eine längere Dauer vor. ».

Sicherheit von personenbezogenen Daten :

Personenbezogene Daten werden in einer Weise verarbeitet, die eine angemessene Sicherheit gewährleistet, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen.

Selbstverständlich unterliegt das Personal der Großherzoglichen Polizei dem Berufsgeheimnis und insbesondere dem Ermittlungs- bzw. Untersuchungsgeheimnis und des Weiteren hat jedes Mitglied des Personals nur Zugang zu den Daten, die er oder sie zur Erfüllung seiner jeweiligen Aufgabe benötigt.

Kontrolle der Verarbeitung personenbezogener Daten :

Die Kontrolle und Überwachung der von der Großherzoglichen Polizei durchgeführten Verarbeitungen erfolgt durch Aufsichtsbehörden, die durch Artikel 51 der DSGVO und die Artikel 39 und 40 des Gesetzes vom 1. August 2018, beziehungsweise durch Artikel 3 des Gesetzes vom 1. August 2018 betreffend die Organisation der nationalen Datenschutzkommission und die allgemeine Regelung zum Datenschutz eingerichtet wurden.

Die Aufsichtsbehörden sorgen zum einen dafür, dass die Verarbeitungen gemäß den für sie geltenden Rechtsvorschriften durchgeführt werden, um die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung zu schützen, und zum anderen dafür, dass der freie Fluss personenbezogener Daten innerhalb der Union erleichtert wird.

Zu diesem Zweck können die Aufsichtsbehörden Zugang zu den verarbeiteten Daten erhalten. Sie können Überprüfungen vor Ort durchführen und sich alle Informationen und Dokumente vorlegen lassen, die für ihre Aufgabe relevant sind. Sie können auch eines ihrer Mitglieder mit der Durchführung spezifischer Kontrollaufgaben beauftragen. Die Aufsichtsbehörden veranlassen die notwendigen Berichtigungen und Streichungen.

Die Aufgaben der Aufsichtsbehörden werden in Artikel 57 der DSGVO sowie in Artikel 42 des Gesetzes vom 1. August 2018 näher erläutert.

Meldung an die Aufsichtsbehörde und Benachrichtigung an die betroffene Person von einer Verletzung des Schutzes personenbezogener Daten :

Eine Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche an die Aufsichtsbehörde gemäß Artikel 55 der DSGVO und Artikel 29 des Gesetzes vom 1. August 2018, unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, es sei denn, dass die fragliche Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung, es sei denn diese Benachrichtigung ist nicht erforderlich gemäß Artikel 34 Absatz 3 der DSGVO beziehungsweise nach Artikel 30 Absatz 3 des Gesetzes vom 1. August 2018.

Rechte der betroffenen Personen :

Sie haben die folgenden Rechte, vorbehaltlich der in den jeweiligen Artikeln festgelegten Bedingungen:

  • Auskunftsrecht (Artikel 15 der DSGVO; Artikel 13 vom Gesetz vom 1. August 2018) : das Recht eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten sowie weiteren Informationen, wie zum Beispiel die Zwecke oder Empfänger der Verarbeitung, sowie eine Kopie Ihrer Daten, die nach der DSGVO verarbeitet werden;
  • Recht auf Berechtigung (Artikel 16 der DSGVO ; Artikel 15 vom Gesetz vom 1. August 2018) : das Recht die Berichtigung sie betreffender unrichtiger personenbezogener Daten, beziehungsweise die Vervollständigung unvollständiger personenbezogener Daten zu verlangen ;
  • Recht auf Löschung (Artikel 17 der DSGVO ; Artikel 15 vom Gesetz vom 1. August 2018) : das Recht dass sie betreffende personenbezogene Daten gelöscht werden sofern die Bedingungen der Löschung in den verschiedenen vorhererwähnten Artikeln erfüllt sind.
  • Recht auf Einschränkung der Verarbeitung (Artikel 18 vom DSGVO ; Artikel 15 vom Gesetz vom 1. August 2018) : das Recht Einschränkung der Verarbeitung zu verlangen, unter den Bedingungen des genannten Artikels.
  • Widerspruchsrecht (Artikel 21 der DSGVO) : das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Artikel 6 Absatz 1 Buchstaben e) oder f) erfolgt, Widerspruch einzulegen, dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling, es sei denn, der Verantwortliche kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Die Großherzogliche Polizei möchte Sie darüber informieren, dass die DSGVO nicht für personenbezogene Daten Verstorbener (Erwägungsgrund 27 der DSGVO) oder juristischer Personen gilt.

Ausübung Ihrer Rechte :

Zu diesem Zeitpunkt hat die Großherzogliche Polizei drei Möglichkeiten gewählt, um die Ausübung des Rechts auf Zugang zu Informationen zu ermöglichen, nämlich:

  • Per Post ;
  • Per E-Mail ;
  • Persönlich, vorzugsweise nach Terminvereinbarung mit dem Datenschutzbeauftragten bei der : Generaldirektion der Polizei, Cité Policière Grand-Duc Henri, Complexe A, rue de Trèves, L-2632 Luxemburg.

Betroffene Personen können sich über die unten aufgeführten Kontaktdaten an den Datenschutzbeauftragten wenden, vorausgesetzt, sie halten sich an das Verfahren zur Identitätsprüfung, das unten näher erläutert wird.

Postanschrift:

Police grand-ducale

Direction générale

Délégué à la protection des données

B.P. 1007

L-2957 Luxembourg

 

Email: dpo@police.etat.lu

Verfahren zur Identitätskontrolle:

Gemäß Artikel 12, Absatz 6 der DSGVO, und Artikel 11, Absatz 5, des Gesetzes vom 1. August 2018, muss die Großherzogliche Polizei über ausreichende Garantien verfügen, um die Identität des Antragstellers mit Sicherheit feststellen zu können, damit die Rechte anderer Personen gewahrt werden können. Daher ist es zwingend erforderlich, dass den Anfragen folgende Unterlagen beigefügt werden: 

Bei einer Anfrage einer Privatperson:

-       Eine Kopie eines Ausweisdokumentes.

Es gilt zu beachten, dass die Person, die im Ausland wohnt, auch eine aktuelle Wohnsitzbescheinigung beifügen muss, da die Antwort auf dem Postweg verschickt wird.

Bei einer Anfrage einer dritten Person:

-       Eine Kopie eines Ausweisdokumentes der betroffenen Person,

-       Eine Kopie eines Ausweisdokumentes der Drittperson,

-       Eine Vollmacht, die den Dritten ermächtigt, den Antrag zu stellen.

Bei einer Anfrage durch einen Rechtsanwalt:

-       Eine vom Auftraggeber sowie vom Anwalt ordnungsgemäß unterzeichnete Vollmacht,

-       Eine Kopie eines Ausweisdokumentes des Vollmachtgebers,

-       Eine Kopie eines Ausweisdokumentes des Anwalts.

Die Antwort wird an die offizielle Adresse geschickt, unter der der Antragsteller gemeldet ist, wobei die Möglichkeit besteht, die Antwort an eine Adresse der Wahl des Antragstellers schicken zu lassen.

Recht auf Beschwerde

Sollte die Antwort der Großherzoglichen Polizei den Antragssteller nicht zufriedenstellen, hat dieser das Recht, eine Beschwerde bei der Datenschutzaufsichtsbehörde, d.h. bei der Nationalen Kommission für den Datenschutz, gemäß Artikel 77 der DSGVO, beziehungsweise Artikel 44 des Gesetzes vom 1. August 2018, einzureichen unter Verwendung der folgenden Kontaktdaten:

Commission nationale pour la protection des données (CNPD)
Service des réclamations
15, boulevard du Jazz,
L-4370 Belvaux

 

Sicherheitsmaßnahmen zum Schutz der Verarbeitung personenbezogener Daten

1) Rechtlicher Rahmen:

Die Sicherheitsmaßnahmen, die der für die Verarbeitung Verantwortliche zum Schutz der unter seiner Verantwortung durchgeführten Verarbeitung personenbezogener Daten ergreifen muss, sind in Artikel 28 des Gesetzes vom 1. August 2018 über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten in Strafsachen und im Bereich der nationalen Sicherheit sowie in Artikel 32 der VERORDNUNG (EU) 2016/679 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) beschrieben.

2) Durchgeführte Risikoanalyse:

Die Großherzogliche Polizei hat eine Risikobewertung gemäß dem gesetzlichen Rahmen durchgeführt und die erforderlichen Maßnahmen zur Risikominimierung ergriffen.

Die Risikoanalyse ist ein Schlüsselelement der Informationssicherheit und wird als Teil der Verwaltung des Managementsystems für Informationssicherheit der Organisation durchgeführt. Die Risikoanalyse ermöglicht:

  • die Risiken im Zusammenhang mit der Informationssicherheit zu identifizieren ;
  • die identifizierten Risiken zu bewerten und einzuschätzen ;
  • unerwünschte Auswirkungen auf die Informationssicherheit zu ermitteln und zu begrenzen ;
  • Maßnahmen zu definieren und zu planen, die zur Bewältigung der Risiken durchgeführt werden sollen ;
  • die geplanten Maßnahmen umzusetzen ;
  • das Restrisiko zu akzeptieren ;
  • einen Ansatz zur kontinuierlichen Verbesserung der Informationssicherheit zu definieren und umzusetzen-

Da die Risikoanalyse die detaillierten technischen Maßnahmen enthält, kann sie nicht veröffentlicht werden, da die Kenntnis der Techniken, die zum Schutz der Verarbeitung personenbezogener Daten eingesetzt werden, natürlich die erste Information ist, über die eine böswillige Person verfügen muss, um sich unrechtmäßig Zugang zur Verarbeitung zu verschaffen.

Die von der Direktion „polizeiliche Technologien“ (PGD-DCRC-DTP) durchgeführte Risikoanalyse, Version 1.0. final vom 28. Oktober 2018, nachfolgend Risikoanalyse v.1.0 genannt, stellt die erste formalisierte Risikoanalyse der Informationssicherheit der Entität dar. Sie wurde mit dem Ziel durchgeführt, eine Bestandsaufnahme der aktuellen Situation der Entität in Bezug auf die Informationssicherheit zu erstellen. Jedes Risiko wurde sorgfältig mit den bekannten und erhaltenen Informationen der Mitarbeiter der verschiedenen Abteilungen und den Werten der Auswirkungen der Kriterien C (Vertraulichkeit), I (Integrität) und D (Verfügbarkeit), der Wahrscheinlichkeit (Probability) einer Bedrohung und der Qualifikation (Probability) einer Schwachstelle bewertet.

2.1.) Methodologie:

Die Großherzogliche Polizei hat den von der ANSSI empfohlenen Ansatz zur Risikoanalyse übernommen, bei dem es sich um eine Methode der Risikoanalyse handelt, die auf Informationen als zentralem Element der Überlegungen basiert (data-centric model). Für die Durchführung ihrer Risikoanalyse greift die Einrichtung auf das von CASES entwickelte Risikoanalysewerkzeug MONARC zurück, das auf der GovCloud-Plattform gehostet wird, die zuvor vom CTIE gemäß einer Vereinbarung mit der ANSSI für das Hosting des Monarc-Werkzeugs implementiert und von der ANSSI zur Verfügung gestellt wurde. Diese Entscheidung bringt den Vorteil mit sich, dass alle notwendigen Elemente für die Erstellung des Modells der Einheit als Grundlage für die Risikoanalyse sofort verfügbar sind, wobei die Bestandsobjekte (Vermögenswerte und Risikoszenarien) bereits vorkonzipiert und nach dem oben beschriebenen Ansatz strukturiert sind, was einen schnellen Start der Analyse und eine effiziente Durchführung ermöglicht.

Die Risikoanalyse v.1.0 fasst die Methode zusammen und stellt die Ergebnisse der Risikoanalyse dar, die mit MONARC in der Umgebung der Organisation durchgeführt wurde. MONARC wird von der internationalen Norm ISO/IEC 27005:2011 beeinflusst.

Referenzen

[1] ISO/IEC 27005 :2011, Management von Informationssicherheitsrisiken..

[2] http://www.iso.org/iso/fr/catalogue_detail?csnumber=56742 . Die ISO/IEC 27005 erklärt detailliert, wie die Risikobewertung und Risikobehandlung im Rahmen der Informationssicherheit durchzuführen ist

2.2.) Beschreibung der "Méthode Optimisée d’Analyse des Risques CASES" (MONARC):

MONARC basiert auf einer Sammlung von Risikomodellen, die Objekte mit Risikoszenarien für einzelne Vermögenswerte oder Gruppen von Vermögenswerten enthalten. Dieser Ansatz erleichtert das Management der häufigsten Risiken und führt zu mehr Objektivität und Effizienz. Da MONARC vollständig iterativ ist, können die Ergebnisse vertieft und an den Reifegrad jeder Einheit angepasst werden, indem die Granularität der Risikoszenarien erhöht wird.

Kontextualisierung

Dieser erste Schritt zielt darauf ab, den Kontext, die Herausforderungen und die Prioritäten des Unternehmens zu erfassen, das seine Risiken analysieren möchte.

Es geht darum, die wichtigsten Aktivitäten und kritischen Prozesse des Unternehmens zu identifizieren, um die Risikoanalyse auf die wichtigsten Elemente zu konzentrieren. Zu diesem Zweck wird ein Kick-off-Meeting mit dem Management und Schlüsselpersonen organisiert. Ziel ist es, herauszufinden, was die Einheit am Leben erhält und was sie zerstören könnte, Schlüsselprozesse, interne und externe Bedrohungen, organisatorische, technische und menschliche Schwachstellen zu identifizieren.

Kontextmodellierung

Diese Phase umfasst die Modellierung der Objektbäume. Die Vermögenswerte wurden in der vorherigen Phase definiert. Sie müssen nun detailliert und in einem Schema formalisiert werden, das ihre gegenseitigen Abhängigkeiten darstellt.

Die Auswirkungen werden auf der Ebene der primären Vermögenswerte (Informationen oder Dienstleistungen) definiert. Sekundäre Vermögenswerte erben die Auswirkungen des primären Vermögenswertes, mit dem sie verbunden sind (Objektbaum).

Es ist möglich, die Auswirkungen auf der Ebene der sekundären Vermögenswerte manuell zu ändern.

Risikobewertung und -behandlung

Bei der Bewertung werden Bedrohungen, Schwachstellen und Auswirkungen quantifiziert, um das Risiko zu berechnen.

Dazu sind qualitativ hochwertige Informationen über die genaue Plausibilität der Bedrohungen, die Leichtigkeit, mit der Schwachstellen ausgenutzt werden können, die potenziellen Auswirkungen usw. erforderlich. Daher ist es wichtig, sich auf Metriken zu verlassen, die von Experten validiert wurden.

Wenn bei der Risikobewertung ein Risiko ermittelt wird, das über dem akzeptablen Niveau liegt (Risikoakzeptanzraster), müssen Maßnahmen ergriffen werden, um dieses Risiko zu bewältigen und auf ein akzeptables Niveau zu senken.

Implementierung und Überwachung

Nach Abschluss der ersten Risikobehandlung muss eine Phase des kontinuierlichen Sicherheitsmanagements mit einer wiederkehrenden Überwachung und Kontrolle der Sicherheitsmaßnahmen eingeleitet werden, um diese nachhaltig zu verbessern.

In dieser vierten Phase kann die Sicherheit auch kontinuierlich optimiert werden, indem die Granularität der verwendeten Objekte erhöht bzw. der Umfang der Risikoanalyse erweitert wird.

3) Bewertung der Berater:

3.1.) Stärken:

  • Die Verpflichtung der Direktion DCRC, eine Risikoanalyse für die DTP-Abteilung durchzuführen, diese von den DTP-Mitarbeitern durchführen zu lassen und sich intern Kenntnisse und Fähigkeiten im Bereich der Informationssicherheit anzueignen.
  • Beauftragung eines Mitarbeiters der DTP-Abteilung mit der Untersuchung und Verwaltung des logischen Zugangs.
  • Die Ernennung eines DSB auf Ebene der Entität.

3.2.) Schwächen:

  • Die Dauer der Durchführung der Risikoanalyse. Die Risikoanalyse ist als eine Momentaufnahme der Situation der Einheit zu einem bestimmten Zeitpunkt zu betrachten, und eine lange Zeitspanne zwischen dem Beginn der Analyse und dem Ergebnis kann das Ergebnis durch zwischenzeitlich eingetretene Änderungen beeinflussen. Natürlich hängt die Dauer der Durchführung auch von der Verfügbarkeit des für die Risikoanalyse zuständigen Personals ab.

3.3.) Synthese:

Die Berater trafen auf motivierte Gesprächspartner und schätzten die Entschlossenheit der Direktion, die Bemühungen zur Verbesserung der Informationssicherheit innerhalb ihres Geltungsbereichs fortzusetzen.

Schengener Informationssystem (SIS)

Schutz von Personen bei der Verarbeitung personenbezogener Daten im Rahmen des Schengener Informationssystems (SIS)

Einführung in das Schengener Informationssystem

Das Schengener Informationssystem (SIS) wurde durch das Übereinkommen zur Durchführung des Schengener Übereinkommen vom 19. Juni 1990 als Fahndungssystem für Personen und Sachen eingerichtet, um die Abschaffung der Kontrollen an den Binnengrenzen kompensieren und ein hohes Maß an Sicherheit im Raum der Freiheit, der Sicherheit und des Rechts der Europäischen Union zu gewährleisten. Das SIS basiert auf der

  • Verordnung (EU) 2018/1860 des Europäischen Parlaments und des Rates über die Nutzung des Schengener Informationssystems für die Rückkehr illegal aufhältiger Drittstaatsangehöriger,
  • Verordnung (EU) 2018/1861 des Europäischen Parlaments und des Rates über die Einrichtung, den Betrieb und die Nutzung des Schengener Informationssystems (SIS) im Bereich der Grenzkontrollen,
  • Verordnung (EU) 2018/1862 des Europäischen Parlaments und des Rates über die Einrichtung, den Betrieb und die Nutzung des Schengener Informationssystems (SIS) im Bereich der polizeilichen Zusammenarbeit und der justiziellen Zusammenarbeit in Strafsachen.

Das System nimmt also Ausschreibungen auf

Von Personen:

  • zur Bestätigung der "Rückkehr",
  • zur Einreise- oder Aufenthaltsverweigerung,
  • die zwecks Festnahme im Hinblick auf ihre Übergabe oder Auslieferung gesucht werden,
  • die vermisst werden,
  • zur Unterstützung in einem Gerichtsverfahren gesucht werden,
  • zum Zweck der verdeckten Kontrolle, der Ermittlungsanfrage oder der spezifischen Kontrolle gesucht werden,
  • die zum Zwecke der Identifizierung nach nationalem Recht gesucht werden,

Und Gegenständen:

  • zum Zweck der verdeckten Kontrolle, der Ermittlungsanfrage oder der spezifischen Kontrolle gesucht werden,
  • zur Beschlagnahme oder als Beweismittel in einem Strafverfahren.

Die Verarbeitung personenbezogener Daten:

Die Verarbeitung personenbezogener Daten erfolgt durch die zuständigen nationalen Behörden gemäß dem Gesetz vom 1. August 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten in Strafsachen, mit dem die Richtlinie 2016/680 in nationales Recht umgesetzt wird, bzw. der EU-Verordnung 2016/679 (Datenschutz-Grundverordnung).

Verantwortlicher für die Verarbeitung

Die Großherzogliche Polizei, vertreten durch ihren Generaldirektor.

Der Datenschutzbeauftragte:

Zweck der Verarbeitung

Die Zwecke lauten wie folgt:

  • Verhütung, Aufdeckung, Untersuchung und Verfolgung von Straftaten oder Vollstreckung strafrechtlicher Sanktionen, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, 
  • Kontrolle an den Außengrenzen des Schengen-Raums,
  • Kontrolle der Einwanderung.

Empfänger oder Kategorien von Empfänger

Die nationalen Behörden der Schengen-Mitgliedstaaten, die in Artikel 34 der Verordnung 2018/1861 und in den Artikeln 44 bis 47 der Verordnung 2018/1862 aufgeführt sind, haben Zugang zum SIS und können daher als Empfänger angesehen werden.

Zusätzlich zu den genannten nationalen Behörden haben die Europäischen Agenturen Europol, Frontex und Eurojust gemäß den Artikeln 35 und 36 der Verordnung 2018/1861 und den Artikeln 48 bis 50 der Verordnung 2018/1862 Zugriff auf das SIS.

Dauer der Aufbewahrung

Personen- und Sachfahndungsausschreibungen werden nur so lange gespeichert, wie es für den verfolgten Zweck erforderlich ist.

Die oben genannten Verordnungen sehen unterschiedliche Fristen für die Überprüfung mit der Möglichkeit einer erneuten Ausschreibung vor.

Ausschreibungen von Personen, die einer verdeckten, einer Ermittlungs- oder einer spezifischen Kontrolle unterliegen, sowie bestimmte Kategorien vermisster Personen  sind grundsätzlich spätestens nach einem Jahr erneut zu prüfen.

Ausschreibungen von Personen zur Rückführung, zur Einreise- oder Aufenthaltsverweigerung, zur Unterstützung eines Gerichtsverfahrens und zur Identifizierung sind grundsätzlich spätestens nach drei Jahren zu überprüfen.

Ausschreibungen zwecks Verhaftung und Ausschreibungen nach bestimmten Kategorien vermisster Personen sind grundsätzlich spätestens nach fünf Jahren zu überprüfen.

Ausschreibungen zur Sachfahndung sind in der Regel spätestens nach Ablauf von zehn Jahren zu überprüfen.

Rechte des Einzelnen

Um den Schutz von Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten, sehen die europäischen Rechtsinstrumente, insbesondere in Art. 53 der Verordnung (EU) 2018/1861 für Ausschreibungen von Rückkehrern und Personen zur Einreise- oder Aufenthaltsverweigerung, und in Art. 67 der Verordnung (EU) 2018/1862 für andere Kategorien von Ausschreibungen, gewähren Einzelpersonen ein Recht auf Zugang zu den sie betreffenden personenbezogenen Daten, auf Berichtigung unrichtiger Daten und auf Löschung unrechtmäßig gespeicherter Daten gemäß den Artikeln 15, 16 und 17 der DSGVO und den Artikeln 13 und 15 des oben genannten Gesetzes vom 1. August 2018.

Im Großherzogtum Luxemburg kann jede betroffene Person ihr Recht auf Zugang, Berichtigung oder Löschung bei dem für die Verarbeitung Verantwortlichen, d.h. der Police Grand-Ducale, geltend machen.

Gemäß Artikel 12(6) der DSGVO und Artikel 11, Absatz 5 des oben genannten Gesetzes vom 1. August 2018 muss die Großherzogliche Polizei über ausreichende Garantien verfügen, um die Identität des Antragstellers von Informationen mit Sicherheit feststellen zu können, damit die Rechte anderer Personen nicht beeinträchtigt werden. Daher ist es zwingend erforderlich, dass den Anträgen folgende Unterlagen beigefügt werden:

Bei Anträgen von Einzelpersonen:

  • Senden Sie einen ordnungsgemäß unterzeichneten schriftlichen Antrag zusammen mit einer Kopie Ihres Identitätsnachweises (Personalausweis oder Reisepass) per Post an den für die Verarbeitung Verantwortlichen:

            Direction générale – Délégué à la protection des données 
            Cité Policière Grand-Duc Henri
            Complexe A, rue de Trèves
            L-2957 Luxembourg

  • Senden Sie eine Anfrage per E-Mail an dpo@police.etat.lu, zusammen mit einer Kopie Ihres Identitätsnachweises (Personalausweis oder Reisepass) und einer Kopie eines unterschriebenen Schreibens an den für die Verarbeitung Verantwortlichen.

Für einen Antrag einer Einzelperson, die im Namen einer anderen Privatperson eingereicht wird:

  • Eine vom Vollmachtgeber und vom Bevollmächtigten unterzeichnete Vollmacht,
  • Ein vom Vollmachtgeber ordnungsgemäß unterzeichnetes Schreiben,
  • Eine Kopie des Ausweises des Vollmachtgebers (Personalausweis oder Reisepass),
  • Eine Kopie des Ausweises des Bevollmächtigten (Personalausweis oder Reisepass).

Für eine Anfrage von einem Rechtsanwalt oder einer Rechtsanwältin :

  • eine vom Vollmachtgeber und vom Rechtsanwalt unterzeichnete Vollmacht,
  • Kopie des Personalausweises des Vollmachtgebers,
  • eine Kopie des Ausweises des Rechtsanwalts (Personalausweis oder Reisepass),
  • eine Kopie des Anwaltsausweises oder eines gleichwertigen Dokuments (Personalausweis oder Reisepass).

Ohne diese Unterlagen wird ein Antrag auf Zugang, Berichtigung oder Löschung als unvollständig betrachtet und nicht bearbeitet.

Es versteht sich von selbst, dass die Übermittlung einer Kopie eines Personalausweises oder Reisepasses über das Internet ein gewisses Risiko im Falle eines möglichen Missbrauchs durch Dritte (z.B. Abfangen) birgt.

Recht auf Beschwerde und/oder gerichtlichen Rechtsschutz

Sollte die Antwort der Großherzoglichen Polizei den Antragsteller nicht zufriedenstellen, hat dieser das Recht, eine Beschwerde bei der Aufsichtsbehörde, d.h. bei der Nationalen Datenschutzkommission, gemäß Artikel 77 der Datenschutzverordnung bzw. gemäß Artikel 44 des oben genannten Gesetzes vom 1. August 2018 einzureichen:

Commission nationale pour la protection des données (CNPD)
Service des réclamations
15, Boulevard du Jazz
L-4370 Belvaux

Darüber hinaus hat der Antragsteller die Möglichkeit, innerhalb von drei Monaten nach Erhalt des endgültigen Bescheids durch einen Rechtsanwalt Klage beim Verwaltungsgericht einzureichen.

Schließlich ist darauf hinzuweisen, dass die Einzelperson im Falle einer Einschränkung ihrer Rechte durch den für die Verarbeitung Verantwortlichen auf der Grundlage von Artikel 14 oder 15 Absatz 4 des oben genannten Gesetzes vom 1. August 2018 bzw. Artikel 53 Absatz 3 der Verordnung 2018/1861 und Artikel 67 Absatz 3 der Verordnung 2018/1862 ihre Rechte gemäß Artikel 16 des oben genannten Gesetzes über die nationale Datenschutzkommission geltend machen kann.

Dokumente

Mehr erfahren

Veröffentlichungen

Weitere Informationen

Fluggastdatenzentralstelle

Rechtliche Hinweise zur Verarbeitung von Fluggastdatensätzen zum Zwecke der Verhütung und Bekämpfung von Terrorismus und schwerer Kriminalität

Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch die Fluggastdatenzentralstelle:

Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), nachstehend DSGVO genannt, die am 25. Mai 2018 in Kraft getreten ist, ist nicht der einzige Rechtstext, der auf die Verarbeitung personenbezogener Daten innerhalb der Polizei Anwendung findet.

Die Richtlinie (EU) 2016/681 des Europäischen Parlaments und des Rates vom 27. April 2016 über die Verwendung von Fluggastdatensätzen (PNR-Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität, sowie für Ermittlungen und Strafverfolgung in diesem Zusammenhang,

umgesetzt in nationales Recht durch:

Das Gesetz vom 1. August 2018 über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten im Bereich des Strafrechts und der nationalen Sicherheit gilt für die Verarbeitung personenbezogener Daten zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Vollstreckung strafrechtlicher Sanktionen, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, durch jede zuständige Behörde oder jede andere Stelle oder Einrichtung, die zu diesen Zwecken mit der Ausübung öffentlicher Gewalt oder der Ausübung hoheitlicher Befugnisse betraut ist, nachstehend "zuständige Behörde" genannt.

Das Gesetz vom 1. August 2018 über die Verarbeitung von Fluggastdatensätzen zum Zwecke der Verhütung und Bekämpfung von Terrorismus und schwerer Kriminalität und zur Änderung des Gesetzes vom 5. Juli 2016 über die Reorganisation des staatlichen Nachrichtendienstes regelt insbesondere die Übermittlung von Fluggastdatensätzen durch die Fluggesellschaften und die Verarbeitung dieser Daten zum Zwecke der Verhütung, Ermittlung, Feststellung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität.

Verantwortlicher für die Verarbeitung:

Die Großherzogliche Polizei, vertreten durch ihren Generaldirektor.

Kontaktinformationen der Fluggastdatenzentralstelle:

Generaldirektion – Direktion Internationale Beziehungen – Fluggastdatenzentralstelle (Unité Information Passagers)

Kontaktdaten des Datenschutzbeauftragten:

Generaldirektion – Datenschutzbeauftragter

Für die Ausübung Ihrer Rechte kontaktieren Sie den Datenschutzbeauftragten per E-Mail dpo@police.etat.lu.

Aufgaben des Datenschutzbeauftragten:

  • Information und Beratung des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters sowie der Mitarbeiter, die mit der Verarbeitung befasst sind, über ihre Pflichten nach nationalem und europäischem Recht ;
  • Überwachung der Einhaltung des nationalen und europäischen Rechtsrahmens für den Schutz personenbezogener Daten, einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung des an der Verarbeitung beteiligten Personals und der damit verbundenen Audits ;
  • auf Anfrage Beratung in Bezug auf die Datenschutz-Folgenabschätzung und Überprüfung der Durchführung der Datenschutz-Folgenabschätzung ;
  • Zusammenarbeit mit der Aufsichtsbehörde ;
  • als Kontaktstelle für die Aufsichtsbehörde in Fragen der Verarbeitung, einschließlich der Vorabkonsultation, zu fungieren und gegebenenfalls Konsultationen zu allen anderen Fragen durchzuführen.

Grundsätze für die Verarbeitung personenbezogener Daten:

Personenbezogene Daten müssen:

  • auf rechtmäßige, faire und für die betroffene Person transparente Weise verarbeitet werden ;
  • für festgelegte, eindeutige und rechtmäßige Zwecke erhoben und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverarbeitet werden ;
  • angemessen, relevant und auf das für die Zwecke, für die sie verarbeitet werden, notwendige Maß beschränkt sind ;
  • genau sind und, wenn nötig, auf dem neuesten Stand gehalten werden;
  • nicht länger, als es für die Erreichung der Zwecke, für die sie verarbeitet werden, erforderlich ist, in einer Form aufbewahrt werden, die die Identifizierung der betroffenen Personen ermöglicht.

Sicherheit personenbezogener Daten:

Personenbezogene Daten werden in einer Weise verarbeitet, die eine angemessene Sicherheit gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische oder organisatorische Maßnahmen.

Selbstverständlich unterliegt das Personal der Großherzoglichen Polizei dem Berufsgeheimnis, insbesondere dem Ermittlungs- und Untersuchungsgeheimnis, und jeder Mitarbeiter hat nur Zugang zu den Daten, die er für die Erfüllung seiner jeweiligen Aufgabe benötigt.

Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde und Benachrichtigung der betroffenen Person:

Im Fall einer Verletzung des Schutzes personenbezogener Daten meldet der für die Verarbeitung Verantwortliche die Verletzung unverzüglich, möglichst innerhalb von 72 Stunden nach Bekanntwerden, der Aufsichtsbehörde, es sei denn, dass die Verletzung voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten einer natürlichen Person führt. Erfolgt die Meldung an die Aufsichtsbehörde nicht innerhalb von 72 Stunden, so sind die Gründe für die Verzögerung anzugeben.

Wenn eine Verletzung personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten einer natürlichen Person zur Folge hat, so benachrichtigt der für die Verarbeitung Verantwortliche die betroffene Person so schnell wie möglich über die Verletzung, es sei denn, eine solche Benachrichtigung ist gemäß Artikel 30 des Gesetzes vom 1. August 2018 zum Schutz natürlicher Personen hinsichtlich der Verarbeitung personenbezogener Daten in Strafsachen und im Bereich der nationalen Sicherheit nicht erforderlich.

Recht auf Beschwerde bei der Aufsichtsbehörde im Falle einer Verletzung des Schutzes personenbezogener Daten:

Gemäß Art. 44 des Gesetzes vom 1. August 2018 zum Schutz natürlicher Personen hinsichtlich der Verarbeitung personenbezogener Daten in Strafsachen und im Bereich der nationalen Sicherheit kann jede betroffene Person bei der nationalen Datenschutzkommission Beschwerde gegen die Verarbeitung personenbezogener Daten einlegen, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die Bestimmungen des genannten Gesetzes verstößt.

Die betroffene Person wird von der Aufsichtsbehörde über den Stand und das Ergebnis der Beschwerde informiert, einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs gemäß Artikel 45.

Kontaktdaten der Aufsichtsbehörde:

Commission nationale pour la protection des données (CNPD)
Service des réclamations
1, avenue du Rock’n’Roll
L-4361 Esch-sur-Alzette

Ihre Rechte:

Vorbehaltlich der in den entsprechenden Artikeln des Gesetzes vom 1. August 2018 zum Schutz natürlicher Personen hinsichtlich der Verarbeitung personenbezogener Daten in Strafsachen und im Bereich der nationalen Sicherheit festgelegten Bedingungen verfügen Sie über folgende Rechte:

  • Recht auf Zugang (Artikel 13): Bestätigung, ob Sie betreffende personenbezogene Daten von der Polizei verarbeitet werden oder nicht, und wenn ja, Zugang zu diesen Daten sowie zu weiteren Informationen wie dem Zweck oder den Empfängern der Verarbeitung und eine Kopie der Sie betreffenden verarbeiteten Daten ;
  • Recht auf Berichtigung (Artikel 15): Berichtigung unrichtiger oder Vervollständigung unvollständiger personenbezogener Daten ;
  • Recht auf Löschung der Daten (Artikel 15): Sie haben das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen, wenn deren Aufbewahrung nicht mehr durch eine gesetzliche Grundlage gerechtfertigt ist ;
  • Recht auf Einschränkung der Verarbeitung (Artikel 15): Einschränkung der Verarbeitung personenbezogener Daten unter den in Artikel 15 genannten Bedingungen.

 

Mehr erfahren

Beschreibung der Verarbeitung personenbezogener Daten durch die Großherzogliche Polizei im Rahmen der Verwaltung der Einsätze "Einsatzleitsystem", abgekürzt "ELS".

Die großherzogliche Polizei betreibt eine Datenbank mit personenbezogenen Daten und allgemeinen polizeilichen Informationen mit der Bezeichnung "Einsatzleitsystem", abgekürzt "ELS". Lesen Sie das entsprechende Dokument. 

Download "Fiche d'informations - vidéosurveillance de la Police grand-ducale"

Dernière mise à jour