Kurzgutachten
"e-NFS" elektronische neue Förderstruktur

Dieses Kurzgutachten als PDF-Datei

1 Zeitpunkt der Prüfung

Die Begutachtung der Internetapplikation "e-NFS" erstreckte sich auf den Zeitraum von Juli 2004 bis Juli 2005

2 Adresse des Antragstellers

Antragstellerin dieses Gutachtens ist die Arbeitsagentur Zwickau, Leipziger Str. 160, 08058 Zwickau. Ansprechpartner ist Herr Michael Machat.

3 Adressen des/der Sachverständigen

Sachverständige dieses Gutachtens ist die datenschutz nord GmbH, Schifferstr. 10-14, 27568 Bremerhaven. Ansprechpartner ist Herr Dr. Uwe Schläger; daneben hat Herr Gerd Niehuis und Herr Oliver Stutz an der Erstellung des Gutachtens mitgewirkt.

4 Kurzbezeichnung des IT-Produktes

"e-NFS" in der Version 1.0

5 Detaillierte Bezeichnung des IT-Produktes

Der Funktionsumfang der Internetapplikation "e-NFS" umfasst die Erhebung und Verarbeitung personenbezogener Daten von Teilnehmern an berufsvorbereitenden Bildungsmaßnahmen. Die erfassten Daten der Teilnehmer dienen dem Zweck, die Bildungsplanung der Teilnehmer fortzuschreiben und zu dokumentieren. Des Weiteren wird die Anwesenheit der Teilnehmer in den zugeordneten Bildungsmaßnahmen über eine integrierte Kalenderfunktion dokumentiert. Zusätzlich können für ausgewählte Lerngruppen und Teilnehmer erforderliche Dokumente (vorgegebene Formulare, die zur Durchführung der Fortbildung dienen) per Ausdruck erzeugt werden.

Darüber hinaus werden personenbezogene Daten der Benutzer von "e-NFS" sowie Daten der Auftraggeber (z.B. Agentur für Arbeit) und allgemeine Kontaktdaten (z.B. Bildungsträger, Bildungsanbieter) erfasst.

Im einzelnen werden folgende Teilnehmer-Stammdaten erhoben:

• Teilnehmerstammdatenverwaltung
  • identifizierbare Merkmale: Name, Vorname, Geburtsdatum, Rentenver-
    sicherungsnummer, Stammnummer/BAB-Nummer oder gleichwertige Kennung des Kostenträgers
  • Adressdaten, Familienstand, Herkunft etc.
  • Maßnahmerelevante Merkmale: bisheriger Bildungsverlauf, Mobilität, Reha-Status, Bankverbindung

Für Bildungsträger, Bildungsanbieter, Bildungsbegleiter und Auftraggeber werden nur berufliche Kontaktdaten erfasst; darüber hinaus erfolgt keine Datenerfassung oder Verknüpfung.

Der Zugriff auf die im Verfahren "e-NFS" gespeicherten personenbezogenen Daten wird durch ein eindeutig implementiertes Berechtigungskonzept geregelt und über "Rollen" definiert: Unterschieden wird dabei zwischen den Rollen "Auftraggeber", "Bildungsträger", "Bildungsanbieter", "Bildungsbegleiter" und der "Wissenschaftlichen Begleitung". Innerhalb der Rollen erfolgt nochmals eine Unterscheidung hinsichtlich der Aufgabenbereiche der Benutzer, so dass nur die Zugriffsberechtigungen erteilt werden, die zur Aufgabenerfüllung erforderlich sind.

6 Datenbasis

Die Teilnehmerstammdatenverwaltung ist Hauptbestandteil der Internetapplikation 
"e-NFS", mit der alle weiteren Funktionalitäten der Anwendung verknüpft sind. Dies ermöglicht die Verfolgung der Bildungsverläufe des einzelnen Teilnehmers bis zur Beendigung der Fortbildungsmaßnahme.

7 Tools, die zur Herstellung des IT-Produktes verwendet wurden

Datenbank MySQL, Web-Server Apache, Perl/PHP.

8 Zweck und Einsatzbereich

Bei dem zu begutachtenden IT-Produkt "e-NFS" handelt es sich um eine webbasierte Anwendung, die von Agenturen für Arbeit im Rahmen eines Modellversuches, der bis Ende 2005 vorgesehen ist, eingesetzt wird. Die Entwicklung von "e-NFS" basiert auf der Entwicklungsinitiative der Bundesagentur für Arbeit, die mehr Transparenz und Effizienz im System der beruflichen Integration Jugendlicher und junger Erwachsener mit Förderbedarf herstellen soll. Die Anwendung "e-NFS" dient dem Zweck, personenbezogene Teilnehmerdaten zu berufsbegleitenden Bildungsmaßnahmen zu erfassen sowie die Bildungsplanung und Anwesenheit der Teilnehmer zu dokumentieren und fortzuschreiben.

Der rechtliche Rahmen zur Begutachtung des Produkts ergibt sich aus Vorschriften des Bundesdatenschutzgesetzes (BDSG) und der Sozialgesetzbücher (SGB) I, II, III, VIII, X und XII sowie der Datenschutzauditverordnung Schleswig-Holstein (DSAVO). Für öffentlich-rechtliche Maßnahmeträger in Schleswig-Holstein gilt zusätzlich das Landesdatenschutzgesetz Schleswig-Holstein (LDSG-SH).

9 Modellierung des Datenflusses

Für die Daten, die in der Internetapplikation "e-NFS" gespeichert werden, lassen sich folgende Datenarten identifizieren:

• Datenart A: Inhaltsdaten (Primärdaten)
• Datenart B: Nutzerdaten (Sekundärdaten)

Datenart A: Inhaltsdaten

Bei den Inhaltsdaten handelt es sich um Daten eines Teilnehmers, der an Bildungs­maßnahmen in unterschiedlichen Bildungsmodulen bei den entsprechenden Bildungsträgern teilnimmt. Darüber hinaus werden Kontaktdaten für Bildungsträger, Bildungsbegleiter und Auftraggeber erfasst.

Datenart B: Nutzerdaten

Bei den Nutzerdaten handelt es sich zum einen um Protokolldaten und zum anderen um Angaben, die zur Administration und der Rechtevergabe der Nutzer auf Anwendungsebene notwendig sind.

 

10 Version des Anforderungskatalogs, die der Prüfung zugrunde gelegt wurde

Version 1.0a

11 Zusammenfassung der Prüfungsergebnisse

Das Produkt "e-NFS" dient der Erfassung von Teilnehmerstammdaten und Bildungsmoduldaten. Diese Daten dienen dazu, die Bildungsplanung der Teilnehmer fortzuschreiben und zu dokumentieren sowie ihre Anwesenheit in den zugeordneten Bildungsmodulen zu dokumentieren. Darüber hinaus werden für die Bildungsträger, Bildungsanbieter, Bildungsbegleiter und Berufsberater Kontaktdaten erzeugt.

Die Erfassung und Verarbeitung der personenbezogenen Daten in "e-NFS" erfolgt im Rahmen datenschutzrechtlicher Vorgaben gemäß Sozialgesetzbuch, Bundesdatenschutzgesetz sowie Landesdatenschutzgesetz Schleswig-Holstein.

Die in "e-NFS" implementierten Sicherheitsmechanismen gewähren zusammen mit einer sicheren Einsatzumgebung die Authentizität, Integrität und Vertraulichkeit sowohl der Primär- als auch der Sekundärdaten. Die Authentizität wird durch ein anwendungsspezifisches Passwort sowie durch die Verwendung eines Server-Zertifikats sichergestellt. Die Vertraulichkeit der Daten wird durch eine integrierte Benutzerverwaltung mit entsprechender Rollenverteilung realisiert. Die Datenintegrität wird durch entsprechende Protokollfunktionen gewährleistet.

Die zur Verfügung gestellten Produktunterlagen sind verständlich und aussagekräftig.

Das Produkt "e-NFS" entspricht daher in vollem Umfang den gesetzlichen Anforderungen. Die verwendeten technischen Lösungen ermöglichen die Umsetzung der gesetzlichen Vorgaben.

Datenart A: Teilnehmer- / Mitarbeiterdaten (Primärdaten)
Nr.	Anforderungsprofil	Bewertung / Kommentar
A1	Produktbeschreibung	verständlich und aussagekräftig in vollem Umfang umgesetzt
A2	Datensparsamkeit / Datenvermeidung	in vollem Umfang umgesetzt
A3	Zulässigkeit der Speicherung	zulässig
A4	Authentizität der Nutzer	in vollem Umfang sichergestellt
A5	Authentizität des "e-NFS"-Servers	In vollem Umfang sichergestellt
A6	Integrität der Primärdaten	in vollem Umfang sichergestellt
A7	Vertraulichkeit der Primärdaten	in vollem Umfang sichergestellt
A8	Authentizität der Primärdaten	in vollem Umfang sichergestellt
A9	Verfügbarkeit der Primärdaten	in vollem Umfang sichergestellt
A10	Revisionsfähigkeit	in vollem Umfang sichergestellt
A11	Auskunftsrecht der Betroffenen	in vollem Umfang sichergestellt
A12	Berichtigen, Löschen, Sperren von  Primärdaten	in vollem Umfang sichergestellt
Datenart B: Nutzerdaten (Sekundärdaten)
Nr.	Anforderungsprofil	Bewertung / Kommentar
B1	Produktbeschreibung	in vollem Umfang sichergestellt
B2	Datensparsamkeit	in vollem Umfang sichergestellt
B3	Zulässigkeit der Verarbeitung	zulässig
B4	Integrität der Sekundärdaten	in vollem Umfang sichergestellt
B5	Vertraulichkeit der Sekundärdaten	in vollem Umfang sichergestellt
B6	Verfügbarkeit der Sekundärdaten	in vollem Umfang sichergestellt

 

12 Beschreibung, wie das IT-Produkt den Datenschutz fördert

Die Datenbankanwendung "e-NFS" zeichnet sich datenschutzrechtlich durch die integrierten Sicherheitsmechanismen besonders aus. Hervorzuheben ist die integrierte Benutzer­verwaltung, wobei die Zugriffsberechtigung über "Rollen" definiert wird. Des Weiteren ist die Verschlüsselung der Datenübertragung zwischen Client und Server per SSL sowie die Verwendung eines SSL-Zertifikats zur Authentisierung des 
"e-NFS"-Servers als datenschutzförderndes Merkmal als besonderer Bestandteil von "e-NFS" anzusehen. Weiterhin ist hervorzuheben, dass bei einer bestehenden Online-Verbindung zwischen Client und Server nach 10 Minuten Inaktivität diese automatisch deaktiviert wird, so dass sich der Anwender erneut am System anmelden muss.

Als weiteres datenschutzförderndes Merkmal ist die automatische Löschung der 
Identifikationsmerkmale der Teilnehmerdaten 12 Monaten nach Maßnahmeende zu nennen. Hierdurch wird eine vollständige Anonymisierung der Teilnehmerdaten gewährleistet; eine Rückverfolgung der anonymisierten Daten auf Echtdaten wird ausgeschlossen. Daten von Teilnehmern, die eine Bildungsmaßnahme nicht antreten, deren Stammdaten aber bereits erhoben wurden, werden nach Ablauf einer Frist von 6 Monaten zur Löschung gekennzeichnet und vollständig aus dem System entfernt.