Verordnung über den Lichtbildabruf durch Sicherheitsbehörden des Landes Nordrhein-Westfalen bei den Pass- und Personalausweisbehörden (LichtbildabrufVO NRW)

Vom 30. September 2021 (Fn1)

Auf Grund des § 6 Absatz 2 des Datenschutzgesetzes Nordrhein-Westfalen vom 17. Mai 2018 (GV. NRW. S. 244, ber. S. 278 und S. 404) verordnet das Ministerium des Innern:

§ 1 Anwendungsbereich

Diese Verordnung regelt die Durchführung des Lichtbildabrufs durch die Polizei- und Verfassungsschutzbehörden des Landes Nordrhein-Westfalen (Sicherheitsbehörden) bei den Pass- und Personalausweisbehörden gemäß §§ 22, 22a Absatz 2 Satz 5 des Paßgesetzes vom 19. April 1986 (BGBl. I S. 537), das zuletzt durch Artikel 7 des Gesetzes vom 28. März 2021 (BGBl. I S. 591) geändert worden ist, und §§ 24, 25 Absatz 2 Satz 4 des Personalausweisgesetzes vom 18. Juni 2009 (BGBl. I S. 1346), das zuletzt durch Artikel 8 des Gesetzes vom 28. März 2021 (BGBl. I S. 591) geändert worden ist, über ein vom Land Nordrhein-Westfalen betriebenes Lichtbildportal.

§ 2 Lichtbildübermittlung

(1) Lichtbildübermittlungen aus den Pass- und Personalausweisregistern erfolgen in gesicherter Form durch:

1. das Bereithalten von Lichtbildern zum automatisierten Lichtbildabruf,

2. das Übersenden von gespeicherten Lichtbildern auf Datenträgern,

3. das Übermitteln von Lichtbildern in elektronischer Form oder Fernkopie oder

4. die Übersendung eines Ausdrucks auf dem Postweg.

Die Lichtbildübermittlung im Verfahren zum automatisierten Lichtbildabruf nach Satz 1 Nummer 1 erfolgt durch Nutzung gesicherter Datenübertragungswege, zum Beispiel über das Landesverwaltungsnetz oder das sichere Verbindungsnetz des Bundes und der Länder. Soweit das Abrufverfahren nach Satz 1 Nummer 1 nicht nutzbar ist, darf das Lichtbild gemäß Satz 1 Nummer 2 bis 4 übermittelt werden. Übermittlungen nach Satz 1 Nummer 2 bis 4 erfolgen nach dem Landeszustellungsgesetz vom 7. März 2006 (GV. NRW. S. 94) in der jeweils geltenden Fassung.

(2) Bei der Lichtbildübermittlung ist sicherzustellen, dass Maßnahmen nach den Artikeln 24, 25 und 32 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1, L 314 vom 22.11.2016, S. 72, L 127 vom 23.5.2018, S. 2, L 74 vom 4.3.2021, S. 35) sowie § 15 des Datenschutzgesetzes Nordrhein-Westfalen vom 17. Mai 2018 (GV. NRW. S. 244, ber. S. 278 und S. 404) auch im Bereich der Verschlüsselungstechnik und der Authentifizierung getroffen werden, um den Datenschutz und die Datensicherheit zu gewährleisten, insbesondere im Hinblick auf die Vertraulichkeit und die Unversehrtheit der Daten, die im Pass- oder Personalausweisregister gespeichert sind.

(3) Die Lichtbildübermittlung im Verfahren zum automatisierten Lichtbildabruf erfolgt elektronisch entsprechend der Spezifikation XInneres unter Nutzung des Datenaustauschformats OSCI-XMeld in der im Bundesanzeiger jeweils bekannt gemachten geltenden Fassung. § 3 des Gesetzes über die Verbindung der informationstechnischen Netze des Bundes und der Länder - Gesetz zur Ausführung von Artikel 91c Absatz 4 des Grundgesetzes - vom 10. August 2009 (BGBl. I S. 2702, 2706) in der jeweils geltenden Fassung bleibt unberührt.

§ 3 Standards im automatisierten Lichtbildabruf

(1) Für die Lichtbildübermittlung gemäß § 2 Absatz 1 Satz 1 Nummer 1 ist der Datentyp Lichtbild entsprechend der Spezifikation XInneres-Basismodul 8, Abschnitt 2.6, in der Fassung vom 31. Januar 2020, im XInneres-Basismodul für die einheitliche Nutzung in den XInneres-Fachmodulen zu nutzen.

(2) Die Lichtbilder werden im Datenformat ISO/IEC 10918-1 (JPEG) übertragen.

(3) Das Datenaustauschformat OSCI-XMeld ist beim Bundesarchiv, Potsdamer Straße 1, 56075 Koblenz, archivmäßig gesichert niedergelegt und der Öffentlichkeit zugänglich. Es kann beim Informationstechnikzentrum Bund (ITZBund), Dienstsitz Bonn, An der Küppe 2, 53225 Bonn, bezogen werden.

§ 4 Verfahren des automatisierten Lichtbildabrufs

(1) Zur Identifizierung der betroffenen Person erfolgt der Lichtbildabruf unter Angabe von Vor- und Familienamen, dem Geburtsdatum und dem letzten Tag der Gültigkeit des Passes oder Personalausweises. Ferner übermittelt die abrufende Stelle ein Aktenzeichen.

(2) Eine Lichtbildübermittlung ist nur zulässig, wenn im Fall von Absatz 1 Satz 1 anhand der übermittelten Suchkriterien die betreffende Person eindeutig identifiziert wurde. Lichtbilder zu mehreren Personen in Form von Trefferlisten werden nicht übermittelt.

(3) Sind mehrere Lichtbilder zu einer Person gespeichert, so wird jeweils das aktuellste Pass- und Personalausweisbild übermittelt.

§ 5 Aufgaben des Lichtbildportals

Das Lichtbildportal hat die Aufgaben:

1. die Kennung der abrufenden Stelle entgegenzunehmen und weiterzuleiten,

2. den Zeitpunkt der Lichtbildabrufe festzuhalten und weiterzuleiten,

3. Auskunftsersuchen und Antworten entgegenzunehmen und weiterzuleiten und

4. die Datensicherheit zu gewährleisten.

Das Lichtbildportal ist berechtigt, Kennzahlen über die Nutzung und Auslastung des Betriebs zu dokumentieren.

§ 6 Protokollierung und Datenschutz

(1) Das Lichtbildportal protokolliert zur Sicherstellung des technischen Betriebs und der Datenschutzkontrolle Folgendes:

1. die Kennung der abrufenden Stelle,

2. den Zeitpunkt der Lichtbildabrufe und

3. die angefragte Behörde.

Die Aufzeichnungen sind den abrufenden Stellen nach Aufforderung zur Datenschutzkontrolle zur Verfügung zu stellen. Die ausschließliche Protokollierung der abrufenden Stellen gemäß § 22a Absatz 2 Satz 9 des Paßgesetzes und § 25 Absatz 2 Satz 8 des Personalausweisgesetzes bleibt unberührt.

(2) Bei der Einrichtung von Abrufverfahren ist durch die abrufenden Stellen sicherzustellen, dass Lichtbildabrufe nur durch hierzu Berechtigte erfolgen. Lichtbildabrufe sind nur zulässig, wenn dies für die jeweilige Aufgabenerfüllung erforderlich ist. Die Verantwortung für die Zulässigkeit des einzelnen Abrufs trägt die abrufende Stelle. Die übermittelten Lichtbilder sind von der abrufenden Stelle zu löschen, sobald sie für die Aufgabenerfüllung nicht mehr erforderlich sind.

(3) Die Datenschutzkontrolle soll, soweit kein konkreter Anlass besteht, durch die abrufende Stelle, grundsätzlich stichprobenhaft, mindestens einmal monatlich, erfolgen. Die behördlichen Datenschutzbeauftragten sind über die Datenschutzkontrolle zu unterrichten.

§ 7 Inkrafttreten

Diese Verordnung tritt am Tag nach der Verkündung in Kraft.

Der Minister des Innern des Landes Nordrhein-Westfalen

Fussnoten

Fn 1	In Kraft getreten am 16. Oktober 2021 (GV. NRW. S. 1148).