Sehr geehrte<< Anrede >> hiermit beantrage ich gem §§ 2, 3 AuskunftspflichtG die Erteilung folgender Auskunft:

Sehr geehrte Frau Iwona Laub, ihre Fragen beantworte ich wie folgt: Zu Frage 1) Sind die Personen, die vom Datenleck betroffen sind (ZeugInnen, Beschuldigte etc.), darüber informiert worden, dass es ein Datenleck gab? Es darf festgehalten werden, dass in der gegenständlichen Angelegenheit zu keinem Zeitpunkt von einer Verletzung des Schutzes personenbezogener Daten und von einem Risiko für die Rechte und Freiheiten der betroffenen Personen iSd Art 33 Abs 1 DSGVO auszugehen war. Zu Frage 2) Wurden an den Datenbanken beteiligte Behörden, auch im Ausland, über das Datenleck informiert? Da zu keinem Zeitpunkt ein Datenleck bestanden hat, war eine Verständigung im Sinne der DSGVO nicht erforderlich. Die Behörden wurden jedoch vom Presseartikel informiert. Zu Frage 3) Gab es vor der Etablierung der Zugriffe/Schnittstellen auf diese Datenbanken eine Datenschutzfolgenabschätzung? Nein, da zu diesem Zeitpunkt die DSGVO noch nicht in Kraft getreten war. Es bestanden Applikationsbeschreibungen aus datenschutzrechtlicher Sicht. Zu Frage 4) Gab es Vorkehrungen, damit alle Erhebungen, Veränderungen, Abfragen, Offenlegungen einschließlich Übermittlungen, Kombinationen und Löschungen protokolliert werden? Wenn nein, warum nicht? Ja. Zu Frage 5) Ermöglichen die oben genannten Protokolle, die Feststellung der Identität der Person, die die Daten abgefragt oder offengelegt hat? Wenn nein, warum nicht? Ja. Zu Frage 6) Könnten Zugriffe von außen unbemerkt vorgenommen worden sein? Nein. Zu Frage 7) Könnten Daten im Schengen-Informationssystem und der "Integrierten Kriminalpolizeilichen Datenanwendung" (IKDA) manipuliert worden sein? Nein. Zu Frage 8) Hat das BMI ein Informationssicherheitsmanagementsystem in Anlehnung an die ISO27000-Reihe oder ähnliche Normen? Ja. Eine Zertifizierung besteht nicht. Zu Frage 9) Welche Unternehmen haben Zugriff auf personenbezogene Daten aus polizeilichen Datenbanken? Die Auftragsverarbeiter des Bundesministeriums für Inneres haben soweit für die Erbringung der vertraglich vereinbarten Leistungen unbedingt erforderlich einen entsprechenden Zugriff. Zu Frage 10) Gabe es Anzeigen gegen MitarbeiterInnen dieser Unternehmen in Zusammenhang mit unerlaubten Datenzugriffen? Nein, nach aktuellem Informationsstand nicht. Zu Frage 11) Bestehen Verträge über Auftragsdatenverarbeitung mit diesen Unternehmen? Wenn ja, wie lauten diese? Wenn nein, warum nicht? Ja, es handelt sich um Auftragsverarbeitervereinbarungen. Zu Frage 12) Werden die MitarbeiterInnen mit Zugriff auf personenbezogene Daten aus polizeilichen Datenbanken in Bezug auf Sicherheitsmaßnahmen und Datenschutz geschult? Ja. Zu Frage 13) Aufgrund welcher Überlegungen wurde die Firma Rubicon IT mit der Programmierung des EDIS-Systems beauftragt und warum wurde dieser Auftrag nicht ausgeschrieben? Die Fa RUBICON IT wurde nach Durchführung eines Vergabeverfahrens als Bestbieter mit der Programmierung des EDIS-Systems beauftragt. Zu Frage 14) Welche Leistungen umfasst der Vertrag mit der Firma Rubicon IT allgemein? Der Vertrag mit der Firma Rubicon IT umfasst Wartung, Support und Betriebsunterstützung. Zu Frage 15) Wurden auch Angebote anderer IT-Unternehmen bei der Auftragsvergabe eingeholt? Wenn nein, warum nicht? Ja, im Rahmen des Vergabeverfahrens für EDIS wurden auch andere Angebote eingeholt. Zu Frage 16) Welche anderen Verträge bzw. Geschäftsbeziehungen hat das BMI mit der Firma Rubicon IT oder deren Subunternehmen? Mit der Firma Rubicon IT besteht ein Wartungsvertrag für die Anwendungen EDIS, IKDA, SIRENE, PAD und VStV. Zu den Fragen: 17) Wie viele Dokumente sind in EDIS gespeichert und wer darf diese bearbeiten/löschen? 18) Sind in EDIS auch Dokumente ausländischer Behörden gespeichert, wenn ja, wie viele? Im EDIS sind auch Dokumente ausländischer Behörden gespeichert. Statistische Aufzeichnungen zur Anzahl der in EDIS gespeicherten „Dokumente“ eigener und fremder Urheberschaft als auch ausländischer Herkunft bestehen nicht und lassen sich auf Grund technischer Gegebenheiten mit verhältnismäßigem Kosten- und Zeitaufwand nicht bewerkstelligen. Die Befugnis zur Bearbeitung und / oder Löschung von EDIS-Inhalten erhalten jene Bedienstete, die entsprechend ihrer Arbeitsplatzbeschreibung zum Zwecke der Erfüllung ihrer Aufgaben Zugriff auf die Datenverarbeitung benötigen. Mit freundlichen Grüßen,