Die Abstimmung erfolgte in der Weise, daß wir der Senatsverwaltung
für Inneres in einem Schreiben die o.g. Punkte dargestellt und
begründet haben. Die Antwort der Senatsverwaltung war dann auf
Referentenebene Gegenstand einer ausführlichen Besprechung.
1. Rechtlicher Rahmen für die berlinweiten IuKInfrastrukturen
Das in Planung und Erprobung befindliche neue, hochleistungsfähige
Verwaltungsnetz (Metropolitan Area Network MAN) in Verbindung mit dem Konzept
eines zentralen Service und Administrationszentrums (SAZ) sowie das neue
ISDNSprachkommunikationsnetz der Verwaltung werden die
behördenübergreifende Datenkommunikation erheblich fördern
und verstärken. Den damit zu erwartenden Begehrlichkeiten zur
Überwindung der verfassungsrechtlich gebotenen informationellen
Gewaltenteilung stehen rechtliche Schranken mit dem Berliner Datenschutzgesetz
gegenüber. Die Probleme der informationstechnischen Sicherheit sind
in einer sorgfältigen Bedrohungs und RisikoAnalyse in Verbindung mit
einem ITSicherheitskonzept erfaßt worden.
Obgleich für die fachbehördenspezifische Datenkommunikation rechtliche
Schranken vorliegen, ist für die Bürokommunikation (Mailing,
Dokumentenaustausch, Informationsverbreitung) mit einer Intensivierung in
erheblichem Umfang zu rechnen, die die Informationsbeziehungen zwischen den
Stellen der Berliner Verwaltung gravierend verändern werden, ohne daß
abzusehen ist, ob die rechtliche Regelungen dafür ausreichen oder
überhaupt steuernd eingreifen.
Mit den zentralen Eingriffsmöglichkeiten in die Administration und Wartung
der lokalen Systeme können neue Abhängigkeiten für die
Behörden und öffentlichen Stellen des Landes Berlin entstehen.
Andererseits kann nicht ausgeschlossen werden, daß die wesentlich
verstärkten Kommunikationsmöglichkeiten der Verwaltung
nicht nur Entscheidungsprozesse der Verwaltung zugunsten einer erhöhten
Bürgerfreundlichkeit beschleunigen und verbessern, sondern auch die
Position der Verwaltung gegenüber dem Bürger durch effizientere
Kontrollmöglichkeiten verstärken;
das Verhältnis zwischen Exekutive und Legislative nicht nur durch
effizientere Möglichkeiten zur Unterrichtung des Parlamentes bestimmt
wird, sondern unter Umständen auch durch Störungen des
Informationsgleichgewichtes zwischen Regierung und Parlament zugunsten der
Exekutive. Dieses träfe dann das in § 1 Abs. 1 Nr. 2 Berliner
Datenschutzgesetz (BlnDSG) definierte Schutzziel des Datenschutzes in Berlin.
Wegen dieser möglichen politischen Konsequenzen des neuen Verwaltungsnetzes
halten wir es für erforderlich, die neuen Kommunikationsinfrastrukturen
der Verwaltung, die Beschränkungen und Möglichkeiten ihrer Nutzung,
ihre Administration, aber auch Maßnahmen zur Vorbeugung unerwünschter
Nebenwirkungen auf eine gesetzliche Grundlage zu stellen. Eine wissenschaftliche
Untermauerung durch eine fundierte Technologiefolgenabschätzung, die
über die ITSicherheit hinausgeht, halten wir insoweit für sinnvoll.
Die Senatsverwaltung für Inneres vertritt dagegen die Auffassung, daß
für die grundlegenden datenschutzrechtlichen Rahmenbedingungen die geltenden
Bestimmungen des Berliner Datenschutzgesetzes vorerst ausreichen. Ob
weitergehende einschlägige Regelungen als Gesetz oder untergesetzliche
Bestimmungen erforderlich seien, könne jetzt noch nicht entschieden
werden, denn die übergreifende Kommunikationsinfrastruktur Berlins sei
erst im Entstehen. Es sei abzuwarten,
wieweit während der Anfangsphase von MAN und SAZ/LAZ bei detaillierter
Beachtung und Anwendung aller einschlägigen Regeln aus dem Berliner
Datenschutzgesetz und der Informationsverarbeitungsgesetz überhaupt
Regelungsdefizite erkennbar würden,
was aus Plänen für eine Änderung des Berliner Datenschutzgesetzes
würde,
wie sich die Ziele der bevorstehenden Verwaltungsreform in Richtung der
Deregulierung auswirken,
bis Regelungen gemeinsam mit den anderen beiden deutschen Stadtstaaten falls
dort überhaupt beabsichtigt vorgenommen werden können.
Die wissenschaftliche Untermauerung durch fundierte
Technologiefolgenabschätzungen wird zwar im Prinzip begrüßt.
Einer für sinnvoll erachteten Kooperation des MANBetreibers LIT zum
Beispiel mit der Technischen Universität stünde die aktuelle
Haushaltssituation entgegen, denn auch diese Institutionen seien gehalten,
für derartige Begleituntersuchungen Geld zu fordern.
Im Ergebnis bleibt festzuhalten, daß in diesem Punkt ein Konsens mit
der Senatsverwaltung für Inneres noch nicht erzielt werden konnte. Es
bleibt die Frage offen, was zu geschehen hat, wenn sich die von uns erwarteten
Regelungsdefizite nach Realisierung von MAN und SAZ/LAZ ergeben. Im
ungünstigsten Falle liefe eine so versäumte Vorsorge auf die
zeitweilige Einschränkung oder gar Stillegung des Netzes hinaus. Die
vorgebrachten Einwände zeigen darüberhinaus Widersprüchlichkeiten
auf:
Einerseits steht die Inbetriebnahme des MAN einschließlich des Service
und Administrationszentrums (SAZ) konkret und unmittelbar bevor, andererseits
soll die Erfüllung außerordentlich vager zumindest, was den Zeitrahmen
angeht Bedingungen abgewartet werden. Nachfragen in den anderen Stadtstaaten
haben im übrigen ergeben, daß mit dem MAN vergleichbare
Verwaltungsnetze dort noch nicht geplant sind.
Einerseits werden trotz der angespannten Haushaltslage große Investitionen
für die IuKInfrastruktur getätigt, andererseits soll die ansonsten
begrüßte begleitende Technologiefolgenabschätzung an eben
diesen Haushaltsrestriktionen scheitern.
2. Rechtliche Grundlage für das LIT
Es ist beabsichtigt, die Rechtsform des Landesamtes für Informationstechnik
(LIT) zu verändern. Dies setzt eine Entscheidung des Gesetzgebers voraus.
Damit könnten datenschutzrechtliche Probleme gelöst werden, die
bisher das LIT daran hinderten, die personenbezogenen Daten seiner eigenen
Mitarbeiter für Abrechnung und Kostenrechnung für seine Dienstleistung
zu verarbeiten. Wir gehen davon aus, daß mit der gesetzlichen Regelung
zur Änderung der LITRechtsform auch Regelungen zum zukünftigen
Zusammenwirken zwischen Verwaltung und LIT getroffen werden. Aus
datenschutzrechtlicher Sicht bleiben die Regelungen von § 3 BlnDSG zur
Auftragsdatenverarbeitung bei Beibehaltung einer öffentlichrechtlichen
Rechtsform gegenüber der alten Situation unberührt.
Die Senatsverwaltung für Inneres bestätigt, daß eine in der
Diskussion befindliche neue Rechtsform des LIT, vorzugsweise als Anstalt
des öffentlichen Rechts, gegebenenfalls durch ein Errichtungsgesetz
die notwendige gesetzliche Grundlage erhalten würde. Dies würde
aber wohl nicht mehr als den Errichtungssatz, eine kurze Aufgabenbeschreibung
und die Klärung der künftigen Beziehungen zur restlichen Berliner
Verwaltung enthalten.
In diesem Punkt besteht Konsens. Der von uns derzeit gesehene Regelungsbedarf
für das LIT würde bei Umsetzung der Vorstellung der Senatsverwaltung
für Inneres abgedeckt werden.
3. Organisation des IuKEinsatzes und Abwicklung von IuKProjekten
Die Organisation des IuKEinsatzes und der Durchführung von IuKProjekten
in der Berliner Verwaltung und die Verantwortungsverteilung dabei waren in
der Vergangenheit Gegenstand verwaltungsinterner Regelungen (ADVGrundsätze)
oder Regelungsversuchen (IuKGrundsätze, Entwürfe für ein
IuKGesetz). Möglicherweise hat das Fehlen eines Organisationsgesetzes
nach dem Muster einiger anderer Bundesländer auch dazu geführt,
daß die verwaltungsinternen Regelungen häufigen Änderungen
ausgesetzt waren. Dies hatte nach unseren Beobachtungen zur Folge, daß
eine konsequente Befolgung der jeweils aktuellen Regelungen nicht überall
durchgesetzt werden konnte.
Im Rahmen des Projektes BROSiA sollen Erkenntnisse zur DVOrganisation und
der Organisation der Anwendungsentwicklung gewonnen werden, die dann in der
Verwaltung umgesetzt werden sollen. Wir würden es begrüßen,
wenn die Umsetzung in verbindlicherer Form geschähe als bisher, etwa
im Rahmen gesetzlicher Bestimmungen im IVG.
Auf die erhofften Ergebnisse des Projektes BROSiA verweist auch die
Senatsverwaltung für Inneres. Allerdings bezweifelt sie auch hier die
Zweckmäßigkeit gesetzlicher Regelungen, weil dies dem
Deregulierungsgedanken widersprechen und dem Abgeordnetenhaus die ständige
Anpassung eines Gesetzes an neue technische und organisatorische Bedingungen
abverlangen würde. Stattdessen sei beabsichtigt, generelle Grundsätze
als Verwaltungsvorschriften und darauf aufbauend rascher zu modernisierende
Richtlinien über die Organisation der Datenverarbeitung, die
Anwendungsentwicklung, die technischen Mindest und Rahmenbedingungen und
die Sicherheit zu erarbeiten.
In inhaltlicher Hinsicht besteht über die Regelungsgegenstände
Konsens. Wie auch die Senatsverwaltung für Inneres bedauern wir allerdings
die erhebliche Verzögerungen im Projekt BROSiA, die sich aus Störungen
in der Zusammenarbeit mit einer externen Beraterfirma ergeben haben. Die
Konkretisierung der Inhalte steht daher noch aus.
Wir erhoffen uns jedoch, daß die BROSiAStudie Ansätze erkennen
lassen wird, auf welche Weise ein gesetzlicher Rahmen für die
IuKEntscheidungen und Entwicklungen im Lande geschaffen werden kann, der
einerseits die IuKPolitik einschließlich der ITSicherheitspolitik auf
absehbare Zeit gegen extreme Richtungswechsel stabilisiert und andererseits
selbst stabil in bezug auf die absehbare technische Entwicklung ist. Die
sich durch den absehbaren technischen Fortschritt oder die Entwicklung der
Einsatzorganisation dieser Technik ergebenden Anpassungen des Regelwerkes
sollten in der Tat nur auf der Ebene von Verwaltungsvorschiften erfolgen.
4. Abrechnung von Kommunikationskosten
Die Erhebung und Verarbeitung personenbezogener Daten zur Abrechnung der
privaten Nutzung von Telekommunikationsdiensten speziell von privaten Telefonaten
bedarf nach § 6 Abs. 1 BlnDSG einer gesetzlichen Grundlage. Hierzu liegen
uns bereits Denkansätze aus der Senatsverwaltung für Inneres vor,
wonach dies im Rahmen des IVG geregelt werden sollte.
Die Senatsverwaltung für Inneres geht davon aus, daß die
Einführung einer automatisierten Erhebung von Gebührendaten für
die private Nutzung gem. § 34 Abs. 2 BlnDSG i.V.m. § 28 BDSG auch
nach der gegenwärtigen Rechtslage ohne bereichsspezifische Regelung
möglich ist.
Für den Fall, daß man hier § 6 BlnDSG für anwendbar
hielte, verweist die Senatsverwaltung für Inneres darauf, daß
§ 6 BlnDSG nach dem augenblicklichen Erkenntnisstand noch in der laufenden
Legislaturperiode geändert werden soll.
Es besteht insoweit Konsens, daß die automatische Erfassung von
personenbezogenen Gebühren- Daten zur Abrechnung der privaten Nutzung
von Telekommunikationsdiensten von dienstlichen Geräten derzeit noch
keine bereichsspezifische Rechtsgrundlage hat.
Wir halten jedoch § 34 Abs. 2 BlnDSG in diesem Falle nicht für
anwendbar, weil die Abrechnung der privaten Nutzung von
Telekommunikationsdiensten nicht frühere, bestehende oder künftige
dienst oder arbeitsrechtliche Rechtsverhältnisse betrifft.
Ansätze zur Ergänzung des Informationsverarbeitungsgesetzes um
eine entsprechende Regelung, die uns aus der Senatsverwaltung für Inneres
bereits bekannt geworden sind, halten wir für angemessener als eine
pauschale Abkehr vom im Volkszählungsurteil des Bundesverfassungsgerichts
verlangten und mit § 6 BlnDSG konsequent umgesetzten Prinzip, daß
Eingriffe in das informationelle Selbstbestimmungsrecht einer expliziten
und normenklaren Rechtsgrundlage bedürfen, wenn die Einwilligung des
Betroffenen nicht vorliegt.
5. Wartung und Fernwartung
Bei der Wartung und Fernwartung von IuKSystemen handelt es sich um
Vorgänge, bei denen personenbezogene Daten an Dritte offenbart werden
können, ohne daß die Einordnung als Datenübermittlung oder
Auftragsdatenverarbeitung eindeutig möglich ist. Zwar wird gemeinhin
davon ausgegangen, daß Wartung und Fernwartung als
Auftragsdatenverarbeitung anzusehen sind; dies läßt aber außer
acht, daß der Auftrag zur Wartung oder Fernwartung nicht die Verarbeitung
personenbezogener Daten umfaßt. Die Offenbarung solcher Daten ist in
gewissen Grenzen oft unvermeidlich, jedoch wenn möglich zu begrenzen.
Es liegt jedenfalls kein expliziter Auftrag zur Verarbeitung solcher Daten
vor, vielmehr muß der Auftrag u.a. regeln, daß die Verwendung
personenbezogener Daten so weit wie möglich zu vermeiden ist, insbesondere
bei der Fernwartung.
In Ermangelung eindeutiger Regelungen betrachten auch wir Wartung und Fernwartung
als Datenverarbeitung im Auftrag. Dies hat zur Folge, daß bei Wartung
und Fernwartung durch private Unternehmen die Regelungen von § 3 Abs.
4 BlnDSG Anwendung finden. Dies bedeutet, daß die mit der Wartung betrauten
Firmen vertraglich zusichern müssen, daß sie sich dabei nach dem
Berliner Datenschutzgesetz richten und der Kontrolle des Berliner
Datenschutzbeauftragten unterwerfen.
Besondere Schwierigkeiten ergeben sich bei der Frage der
Rechtmäßigkeit der Fernwartung und Wartung medizinischer IuKSysteme,
wenn dabei personenbezogene Daten offenbart werden, die der ärztlichen
Schweigepflicht unterliegen. Dabei spielt die rechtliche Einordnung der Wartung
oder Fernwartung keine Rolle, da der Offenbarungstatbestand auch bei der
Bereitstellung von personenbezogenen Daten für die Auftragsdatenverarbeitung
erfüllt ist.
Die Senatsverwaltung für Inneres sieht die beschriebenen Einordnungsprobleme
und erkennt an, daß es für Fernwartung und Wartung von ITSystemen
mit Bezug zu personenbezogenen Daten bisher keine eindeutige Regelung gibt.
Wir stimmen mit der Senatsverwaltung für Inneres darin überein,
daß bei der gegenwärtigen Rechtslage grundsätzlich die
gesetzlichen Regelungen zur Datenverarbeitung im Auftrag analog angewendet
werden sollten. Wir würden es allerdings nach wie vor bevorzugen, wenn
durch eine Sonderregelung im Informationsverarbeitungsgesetz Wartung und
Fernwartung einen besonderen Status erhielten. Dadurch ergäbe sich die
Möglichkeit, die besonderen datenschutzrechtlichen Fragestellungen dabei
klar zu regeln und der Inflationierung von Auftragsverhältnissen
entgegenzuwirken, bei denen sich private Unternehmen dem Berliner
Datenschutzgesetz und der Kontrolle durch den Berliner Datenschutzbeauftragten
unterwerfen müssen.
6. Outsourcing
Ähnliche Probleme treten bei der Auftragsdatenverarbeitung von Daten
auf, die besonderen Berufsgeheimnissen unterliegen (ärztliche
Schweigepflicht, Steuergeheimnis usw.). Da der Trend zum "Outsourcing" auch
in der öffentlichen Verwaltung Berlins verstärkt zu beobachten
ist, besteht nach unserer Auffassung ein zusätzlicher Regelungsbedarf
über § 3 BlnDSG hinaus, damit zur Zulässigkeit bzw. zu den
Voraussetzungen solcher OutsourcingProjekte bei Daten, die dabei nicht offenbart
werden dürfen, verbindliche Regelungen geschaffen werden.
Die Senatsverwaltung für Inneres betont, daß das ITOutsourcing
auf dem Weg zur "schlanken Verwaltung" noch an Bedeutung gewinnen wird, wenn
sich die Verwaltung auf ihre "Kernaufgaben" konzentrieren will, indem sie
Teil, Unterstützungs bzw. Assistenzfunktionen an prädestinierte
Dienstleister überträgt. Sie erkennt gesetzlichen Regelungsbedarf
an und befaßt sich daher sehr ausführlich mit diesem Punkt.
Sie trifft zunächst die Unterscheidung zwischen dem Outsourcing durch
Funktionsübertragung und der Auftragsdatenverarbeitung i.S. von §
3 BlnDSG. Im ersten Falle werden Aufgaben und Geschäftszwecke der Verwaltung
ganz oder teilweise an Outsourcingnehmer übertragen. Dabei
durchzuführende Datenverarbeitung dient dem Zweck der
Aufgabenerfüllung, stellt aber selbst keinen eigenständigen Zweck
dar. In diesem Falle wird der Outsourcingnehmer nicht als Auftragnehmer der
Datenverarbeitung i.S. von § 3 BlnDSG tätig, sondern ist selbst
datenverarbeitende bzw. speichernde Stelle. Die Senatsverwaltung für
Inneres ist sich einerseits der Tatsache bewußt, daß eine
Übermittlung personenbezogener Daten an Stellen außerhalb des
öffentlichen Bereichs gemäß § 13 BlnDSG in der Regel
ausgeschlossen ist, sieht aber andererseits durch § 2 Abs. 1 a.E. BlnDSG
ausdrücklich sichergestellt, daß auch Personen des privaten Rechts
dem Berliner Datenschutzgesetz unterworfen sind.
Anders ist die Situation bei der Auftragsdatenverarbeitung. Durch die damit
verbundene zusätzliche Offenbarung von Daten an weitere Personen und
Organisationen und durch die geringere Transparenz des Verbleibs der Daten,
insbesondere, wenn der Auftragnehmer weitere Unterauftragnehmer einschaltet,
entstehen datenschutzrechtliche Risiken, die mit der rein zivilrechtlichen
Absicherung durch vertragliche Garantien und Vereinbarungen zur Unterwerfung
unter das Berliner Datenschutzgesetz vor allem dann nicht ausreichend abgedeckt
werden, wenn die Daten besonderen Amts oder Berufsgeheimnissen unterliegen.
Der Umfang des Datenschutzes hängt dann von der rechtlichen Ausgestaltung
des OutsourcingVertrages ab. Eine Ausnahme besteht dabei für Sozialdaten,
für die in § 80 SGB X spezielle Regelungen getroffen wurden.
Die Senatsverwaltung für Inneres verneint die Möglichkeit, Outsourcing
für besonders sensible Daten generell zu verbieten, weil dies die
betroffenen Behörden in Ausnahmesituationen unflexibel macht und ihnen
zum Beispiel die Teilnahme an Netzdiensten versagen würde. Sie sieht
theoretisch zwei Lösungswege:
-
Schaffung einer SollVorschrift, nach der bei besonders schutzbedürftigen
Daten die Datenverarbeitung im Auftrag durch private Auftragnehmer
grundsätzlich unterbleiben soll (vergleichbar mit Ziff. 3.3 der
Vollzugsbekanntmachung zu Art. 3 Bayerisches Datenschutzgesetz oder §
4 Landesdatenschutzgesetz RheinlandPfalz).
-
Einbeziehung privater Outsourcingnehmer in den Adressatenkreis der für
den öffentlichen Bereich geltenden Datenschutzgesetze, so daß
der Verwaltung größere Spielräume bei der Ausgestaltung der
Outsourcingverträge belassen blieben. Dieser Ansatz könne allerdings
wegen der Gesetzgebungskompetenzen nur durch den Bund verfolgt werden.
Die "SollVorschrift" wäre zwar leicht umsetzbar, würde aber die
Betätigungsfreiheit im Rahmen der Umstrukturierung der Verwaltung
einschränken und die Teilnahme von Dienststellen mit besonders
schutzbedürfigen Daten an Netzdiensten "grundsätzlich" verhindern,
die von privaten Anbietern betrieben werden.
Die Senatsverwaltung für Inneres sieht ebenso das Problem der Amts und
Berufspflichten, verweist aber zusätzlich darauf, daß Berlin nicht
den Ergebnissen der zur Zeit bundesweit laufenden Diskussion dieser Frage
unter den Aufsichtsbehörden für den privaten Bereich vorgreifen
sollte.
In diesem Punkt besteht insoweit Konsens mit der Senatsverwaltung für
Inneres, daß ein Regelungsbedarf existiert.
Im Unterschied zur Senatsverwaltung für Inneres gehen wir jedoch davon
aus, daß eine Funktionsübertragung nur dann mit § 2 Abs.
1 a.E. BlnDSG erfaßt wird, wenn hoheitliche Aufgaben von Privaten,
etwa durch Beleihung, wahrgenommen werden. Dies würde bedeuten, daß
nicht jede Aufgabenübertragung, z.B. die Organisation von Veranstaltungen
oder der Versand von Broschüren, unter § 2 Abs. 1 a.E. BlnDSG
fällt.
Klärungsbedarf bestünde bei dieser Lösung auch für die
Frage, welche Rechtsgrundlage für die Übermittlung personenbezogener
Daten heranzuziehen wäre, wenn die übertragende Verwaltung
personenbezogene Daten an das private Unternehmen übermitteln muß,
damit der Auftragnehmer seinen Auftrag erfüllen kann. Wir stimmen der
Senatsverwaltung für Inneres zu, wenn sie feststellt, daß §
13 BlnDSG, der die Übermittlung an Stellen außerhalb des
öffentlichen Bereiches regelt, die Übermittlung im Normalfall
ausschließt.
Dieses Problem müßte auch geklärt werden, wenn mit dem zweiten
Lösungsvorschlag für die rechtliche Ausgestaltung der
Auftragsdatenverarbeitung bei besonders sensiblen Daten auch
Auftragsdatenverarbeiter zum Beispiel in den Geltungsbereich des Berliner
Datenschutzgesetzes aufgenommen werden würden.
Der erste Lösungsvorschlag, die SollVorschrift zum grundsätzlichen
Verbot des Outsourcing bei besonders schutzbedürftigen Daten, hätte
zum Beispiel zur Folge, daß unter den in Abschnitt 5 dargestellten
Argumenten die fast immer erforderliche Wartung durch private Unternehmen
entweder grundsätzlich verboten oder bereits eine verwässernde
Routineausnahme vom grundsätzlichen Verbot wäre. Damit ergäbe
sich ein weiteres Argument dafür, Wartung/Fernwartung gesetzlich gesondert
zu behandeln.
Inwieweit die Diskussion im "Düsseldorfer Kreis", dem Koordinationsgremium
der Aufsichtsbehörden für den Datenschutz im privaten Bereich,
Ergebnisse zur Auftragsdatenverarbeitung unter Beachtung der Amts und
Berufspflichten erbringt, die auch im öffentlichen Sektor umsetzbar
sind, bleibt abzuwarten.
Das Landeskrankenhausgesetz (LKG) regelt jedenfalls abschließend die
Fälle, in denen Daten, die der ärztlichen Schweigepflicht unterliegen,
außerhalb des Krankenhauses offenbart werden dürfen.
Auftragsdatenverarbeitung, auch Wartung/Fernwartung, gehört nicht dazu.
Auch für den Fall, daß einem der Vorschläge der Senatsverwaltung
für Inneres gefolgt würde, müßte eine Änderung
des LKG erfolgen, die die Offenbarung zu Zwecken der Auftragsdatenverarbeitung
unter besonderen Anforderungen an die Sicherung der Vertraulichkeit an Dritte
ermöglicht. Erste Erfahrungen mit einem innovationsbereiten
Outsourcingnehmer im Krankenhausbereich zeigten, daß es Konzepte geben
kann, bei denen Mitarbeiter des Auftragnehmers personenbezogene Daten nicht
zur Kenntnis erhalten können. Denkbar wäre es also, die Umsetzung
solcher Zielsetzungen gesetzlich vorzugeben.
7. Risikoanalyse
Im Informationsverarbeitungsgesetz Berlin (IVG) wird eine RisikoAnalyse für
alle automatisierten Verfahren verlangt, die dem IVG unterfallen. In der
Regel sind dies jedoch Verfahren (Textverarbeitung, Bürokommunikation),
deren Schutzbedürftigkeit aus datenschutzrechtlicher Sicht nicht über
diejenige der Verfahren herausgeht, für die bereichsspezifische Regelungen
gelten oder erforderlich wären und bei denen mehr personenbezogene Daten
stärker detailliert und strukturiert verarbeitet werden. Für solche
Verfahren existiert keine gesetzliche Forderung nach einer RisikoAnalyse
und damit verbunden nach der Erarbeitung von Datenschutz und
ITSicherheitskonzepten.
Wir haben daher angeregt, die gesetzliche Forderung nach einer RisikoAnalyse
auf alle personenbezogenen Anwendungen und Systeme zu erweitern und
zusätzlich die Erstellung von Datenschutz und ITSicherheitskonzepten
zu verlangen.
Eine solche Forderung hält die Senatsverwaltung für Inneres für
verfrüht. Es gäbe jedenfalls für komplexe Systeme noch keine
ausreichenden Erfahrungen mit der Umsetzung von § 4 IVG, der Risikoanalysen
für Verfahren der allgemeinen Verwaltungstätigkeit vorschreibt.
Sie erhofft sich mehr vom Fortgang des BROSiAProjektes und der
einschlägigen Arbeiten des Bundesamtes für die Sicherheit in der
Informationstechnik (BSI). Das Fazit der Senatsverwaltung für Inneres:
"Statt anzunehmen, daß komplexe Systeme und Netze durch ein vorher
zu erstellendes umfassendes Sicherheitskonzept vollständig sicher realisiert
werden und alle Sicherheitsmechanismen gewissermaßen vorbeugend eingebaut
werden können, nehmen wir jetzt eher an, daß die Risikoanalyse
auch eine kontinuierliche Aufgabe in Abhängigkeit von der verfügbaren
Technik darstellt, daß also ein besonderer Schwerpunkt auf die fortlaufende
Beobachtung der ITSysteme und insbesondere der Netze, ihrer FilterServer
sowie der Störungsvorkommnisse auch im Umfeld gelegt werden muß."
Wir stimmen der Senatsverwaltung zu, daß Bedrohungs und Risikoanalysen
sowie Sicherheitskonzepte der ständigen Revision und Anpassung an neue
Situationen und technische Rahmenbedingungen unterliegen müssen. Auch
im ITSicherheitshandbuch des BSI wird die Umsetzung des ITSicherheitskonzepts
einschließlich der Risikoanalysen als Daueraufgabe gesehen.
Es muß aber selbstverständlich sein, daß ein fundiertes
anfängliches ITSicherheitskonzept umgesetzt sein muß, wenn mit
dem sicherheitsbedürftigen ITEinsatz begonnen wird. Dieses anfängliche
ITSicherheitskonzept kann dann Ausgangspunkt weiterer Verbesserungen sein.
Das ITSicherheitshandbuch des BSI stellt eindeutig klar, daß sein Verfahren
auch durchgeführt werden kann, wenn der ITEinsatz erst geplant wird.
Das ITSicherheitshandbuch des BSI bzw. daraus abgeleitete einfachere Verfahren
wurden bereits in verschiedenen ITProjekten der Berliner Verwaltung (z.B.
MAN, AHW, BASIS, Dialogisierung des Wohngeldverfahrens) vollständig
oder partiell, stets aber nutzbringend, angewendet. Hier liegen mittlerweile
ausreichende, und in der Summe positive Erfahrungen vor, insbesondere, wenn
die Analysen von externen Dritten vorgenommen wurden, die auch bei drohendem
Finanzbedarf für ihre Bewältigung Risiken offen benannten.
Die fehlenden Erfahrungen mit Risikoanalysen bei Verfahren der allgemeinen
Verwaltungstätigkeit können kein Argument dafür sein,
entsprechende Methoden bei sicherheitsempfindlichen Infrastruktur und
Großanwendungsverfahren nicht gesetzlich abzusichern zumal dort
mittlerweile Erfahrungen vorliegen.
8. Systembedingt anfallende personenbezogene Daten
Beim Einsatz von IuKTechnik fallen systembedingt personenbezogene Daten an
vor allem Daten von Benutzern. So werden z.B. Dateien in Dateiverzeichnissen
Besitzerkürzel zugeordnet, Benutzer sind in Benutzerdateien mit ihren
Berechtigungen und Authentifikationsdaten gespeichert, es entstehen
benutzerbezogene Protokolle und zwar nicht nur aus datenschutzrechtlichen
Gründen, sondern auch im Rahmen des Accounting oder für die
Datensicherung. Für solche personenbezogenen Daten muß es nach
§ 6 Abs. 1 BlnDSG eine Rechtsgrundlage geben. Wir haben bisher §
1 Abs. 2 IVG so ausgelegt, daß die systembedingt erzwungenen
personenbezogenen Daten in dieser Vorschrift einbezogen sind, halten es jedoch
für unbefriedigend, daß dies erst durch eine Auslegung ermittelt
werden kann.
Wir haben daher empfohlen, im IVG eine Rechtsgrundlage für derartige
Daten zu schaffen.
Die Senatsverwaltung hält es dagegen nicht für unbefriedigend,
daß solche Daten durch Auslegung von § 2 Abs. 1 IVG unter das
IVG fallen. Sie verweist darauf, daß in der Begründung des IVG
Daten zum Zwecke der Systemverwaltung beim Einsatz von ITSystemen, wie z.B.
Daten der Bearbeiter in sogenannten Benutzerdateien mit ihren individuellen
Benutzerberechtigungen, als unter das IVG fallend benannt werden.
Wir akzeptieren, daß mit der Klarstellung der Innenverwaltung ein
zwingender Bedarf für eine besondere Rechtsgrundlage nicht mehr besteht.
Falls jedoch eine Novellierung des IVG erfolgen sollte, würden wir es
im Sinne der Normenklarheit begrüßen, wenn eine explizite
Berücksichtigung solcher Daten nicht nur in der Begründung einer
Vorschrift erfolgt.
|