§ 26 VSG NRW

Die Verarbeitung personenbezogener Daten darf auch mittels automatisierter Verfahren erfolgen.

Die Verfassungsschutzbehörde darf zur Filterung, Sortierung und Priorisierung bei ihr vorhandener personenbezogener Daten Systeme mit mathematisch-statistischen Verfahren, wie maschinellem Lernen und künstlicher Intelligenz, nutzen, wenn dies zur Aufklärung bestimmter beobachtungsbedürftiger Bestrebungen oder Tätigkeiten im Sinne des § 3 Absatz 1 im Einzelfall erforderlich ist. Der Einsatz selbst weiter lernender Systeme ist unzulässig. Eine Verknüpfung der Analysesysteme mit dem Internet erfolgt nicht. Durch den Einsatz eines nachrichtendienstlichen Mittels gemäß § 10 Absatz 1 Nummer 15 gewonnene Daten dürfen nicht nach Satz 1 verarbeitet werden.

Die Verfassungsschutzbehörde darf zur Aufklärung mindestens erheblich beobachtungsbedürftiger Bestrebungen und Tätigkeiten bei ihr vorhandene Daten, insbesondere im elektronischen Aktensystem oder im nachrichtendienstlichen Informationssystem gespeicherte personenbezogene Daten, mittels einer automatisierten Anwendung zur Datenverarbeitung zusammenführen und darüber hinaus zum Zwecke der Analyse weiterverarbeiten, wenn dies zu den ursprünglichen Erhebungszwecken der betroffenen Daten nicht außer Verhältnis steht. Dabei dürfen auch Systeme mit mathematisch-statistischen Verfahren, wie maschinelles Lernen und künstliche Intelligenz, genutzt werden. Der Einsatz selbst weiter lernender Systeme ist unzulässig. Eine Verknüpfung der Analysesysteme mit dem Internet erfolgt nicht. Eine Kennzeichnung nach § 24 Absatz 5 ist aufrecht zu erhalten. Das Einbeziehen von polizeilichen Datenbanken oder von Daten, die durch den Einsatz eines nachrichtendienstlichen Mittels gemäß § 10 Absatz 1 Nummer 15 erhoben wurden, ist nicht zulässig.

Im Rahmen der Verarbeitung nach Absatz 3 können insbesondere datei- und informationssystemübergreifend Beziehungen oder Zusammenhänge zwischen Personen, Personengruppierungen, Institutionen, Organisationen, Objekten und Sachen hergestellt, unbedeutende Informationen und Erkenntnisse ausgeschlossen, Suchkriterien gewichtet, die eingehenden Erkenntnisse bekannten Sachverhalten zugeordnet sowie gespeicherte Daten statistisch ausgewertet werden.

Eingesetzte IT-Produkte sind regelmäßig zu überprüfen und auf dem Stand der Technik zu halten. Soweit wie technisch möglich, muss die Nachvollziehbarkeit der nach den Absätzen 1 bis 4 verwendeten Verfahren sichergestellt werden.

Die Verfassungsschutzbehörde darf allgemein zugängliche und bei ihr vorhandene personenbezogene Daten zur Entwicklung, Überprüfung, Änderung oder zum Trainieren von IT-Produkten weiterverarbeiten, soweit dies erforderlich ist, insbesondere, weil

Personenbezogene und weitere Daten, die für Zwecke der Absätze 5 und 6 erforderlich sind, sind getrennt von den Akten und Dateien nach § 24 Absatz 1 Satz 2 vorzuhalten. Eine Verwendung dieser getrennt vorgehaltenen Daten zu anderen Zwecken ist unzulässig. Sie sind zum frühestmöglichen Zeitpunkt zu anonymisieren. Die Daten sind zu löschen, sobald die Verfahren nicht mehr genutzt werden, zu deren Entwicklung, Überprüfung, Änderung oder Training sie verwendet wurden. Soweit Daten aus dem Einsatz nachrichtendienstlicher Mittel nach § 10 Absatz 1 Nummer 7 bis 14 eingeflossen sind, ist die Löschung gemäß § 21 Absatz 7 und 9 vorzunehmen. Soweit bei Datenverarbeitungen nach den Absätzen 1 bis 4 Daten Dritter verarbeitet werden, sind diese Daten nach der Verarbeitung zu löschen.

Automatisierte Entscheidungen auf Basis der nach den Absätzen 1 bis 3 ermittelten Daten, insbesondere zum Einsatz nachrichtendienstlicher Mittel, sind ausgeschlossen. Die Letztbewertung der Analyseergebnisse obliegt einer Mitarbeiterin oder einem Mitarbeiter der Verfassungsschutzbehörde. Diese oder dieser steuert auch die aktenmäßige Erfassung der verarbeiteten Daten und Analyseergebnisse.

Die Entscheidung über den Einsatz automatisierter Datenauswertungen gemäß der Absätze 2 und 3, bei denen auch mit nachrichtendienstlichen Mitteln erhobene Daten verarbeitet werden, trifft die Leitung der Verfassungsschutzabteilung oder ihre Vertretung. Diese entscheidet auch über die Entwicklung, Überprüfung, Änderung oder das Training entsprechender IT-Produkte. Die Entscheidung ist zu dokumentieren. In ihr sind das Ziel der Datenauswertung sowie die einzubeziehenden Daten darzustellen.

Der Zugang zu und die Nutzung von automatisierten Verfahren sind mit einem Rechte- und Rollenkonzept zu regeln. Die Nutzerinnen und Nutzer sind besonders zu qualifizieren. In diesem ist die Zahl der Nutzerinnen und Nutzer angemessen zu begrenzen. Bei jeder Nutzung sind Zeitpunkt, Angaben, die die Feststellung der verarbeiteten Daten ermöglichen sowie Angaben zur Feststellung der Nutzerin oder des Nutzers zu protokollieren. Die protokollierten Daten dürfen nur für Zwecke der Datenschutzkontrolle, der Datensicherung oder zur Sicherstellung eines ordnungsgemäßen Betriebs der Datenverarbeitungsanlage verwendet werden. Sie sind am Ende des Kalenderjahres, das dem Jahr der Protokollierung folgt, zu löschen.

Das Nähere zur Entwicklung, Überprüfung, Änderung oder dem Training entsprechender IT-Produkte sowie zur Nutzung der automatisierten Verfahren nach den Absätzen 2 und 3 sowie zur Datenhaltung im Sinne des Absatzes 7 ist in einer Dienstanweisung zu regeln, die nach Anhörung des Parlamentarischen Kontrollgremiums erlassen wird. Vor jeder Änderung der Dienstanweisung ist das Parlamentarische Kontrollgremium zu hören.