Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

14

Rückblick

14.1

Elektronisches Grundbuch

Bei der Einführung des elektronischen Grundbuches, die das Land gemeinsam mit Mecklenburg-Vorpommern und Brandenburg unternehmen wollte, haben wir wiederholt darauf hingewiesen, dass an die Datensicherheit besonders hohe Anforderungen zu stellen sind (vgl. 21. TB, Tz. 5.1). Insbesondere hatten wir unter der Überschrift "Wie unterschreibt der Grundbuchbeamte elektronisch?" dargelegt, wie ein Signierverfahren, das den Anforderungen der einschlägigen Gesetze genügt, aussehen müsste. Dazu gehört u. a., dass es ein Trustcenter gibt, das die digitalen Schlüssel verwaltet, dass die Schlüssel auf hinreichend sicheren Chipkarten gespeichert sind und es ein auf Dauer ausgerichtetes Verfahren zur Wahrung der Integrität der gespeicherten Daten geben muss. Einige Zeit lang schien es so, als seien diese Anforderungen nur schwer durchzusetzen. Nachdem die Arbeiten nur schleppend vorankamen (vgl. 22. TB, Tz. 4.3.1), wurde die Zusammenarbeit der Länder im Jahr 2000 endgültig aufgegeben. In einem neuen Projekt, das zusammen mit Baden-Württemberg gestartet wurde, soll das dort betriebene System FOLIA, das bisher lediglich eine elektronische Eingabehilfe bei der Grundbuchführung darstellt, in zwei Ausbaustufen zu einem vollständigen elektronischen Grundbuch ausgebaut werden. Erfreulicherweise konnten wir feststellen, das die von uns angemahnten Anforderungen an die Datensicherheit in dem neuen Projekt als selbstverständlich und dem Stand der Technik entsprechend vorgesehen worden sind. Es ist zu hoffen, dass das Justizministerium auch bei der konkreten Ausgestaltung der Verfahren an dieser grundsätzlich richtigen Ausrichtung festhält.

14.2

ViCLAS-Datenbank

Mithilfe der aus Nordamerika stammenden Methode der Fallanalyse auf Grundlage detaillierter Fragebögen über Täter- und Opferpersönlichkeiten wird versucht, besonders herausragende Verbrechen durch speziell geschulte Mitarbeiter aufzuklären (vgl. 22. TB, Tz. 4.2.5). Inzwischen ist die Errichtungsanordnung für die ViCLAS-Verbunddatei beim BKA in Kraft getreten. Sie sieht die personenbezogene Speicherung von Opferdaten auf Grundlage von Einwilligungen mit einer Prüffrist von jeweils fünf Jahren vor, und zwar unabhängig davon, ob der Fall des konkreten Opfers bereits aufgeklärt wurde. Als Argument gegen unseren Einwand, der Zweck der Datei könne aufgrund der detaillierten Angaben über Opferpersönlichkeit und Tatgeschehen auch mit anonymisierten Opferdaten hergestellt werden, verweist die Polizei auf einen einzelnen Fall, in dem der Nachname der Opfer die Taten zu einer Serie zusammenfügte. Außerdem habe das Opfer in der Regel in seine Speicherung in der ViCLAS-Datei eingewilligt. Die Speicherung von Opferdaten steht jedoch auch nach Auffassung des Innenministeriums unter dem Vorbehalt der Erforderlichkeit. Die Frage der Speicherung von Opferdaten aus aufgeklärten Fällen war vor einigen Jahren bereits im Rahmen der schleswig-holsteinischen POLDOK-Datei strittig geblieben (vgl. 19. TB, Tz. 4.2.5). Wir hatten uns auch damals mit unseren Argumenten für eine Anonymisierung von Opferdaten nicht durchsetzen können.

14.3

Verwaltungsinformatiker werden gesucht, aber in Schleswig-Holstein noch immer nicht ausgebildet

Vor zwei Jahren haben wir darauf hingewiesen, dass die Anforderungen an die verwaltungsrechtlichen und systemtechnischen Qualifikationen von Mitarbeiterinnen und Mitarbeitern in IT-Stellen stetig steigen, weil die automatisierten Verwaltungsabläufe immer komplexer werden (vgl. 21. TB, Tz. 6.3). Die Behörden bekommen deshalb erhebliche Probleme, entsprechend ausgebildetes Personal für diese Bereiche zu finden. Verwaltungsfachleuten fehlt in der Regel der informationstechnische Background, Informatiker müssen "teuer" bezahlt werden und entfalten die erforderliche Produktivität erst, nachdem sie auf dem verwaltungsrechtlichen Gebiet geschult worden sind. Unsere Forderung, an den schleswig-holsteinischen Fachhochschulen Studiengänge für Verwaltungsinformatiker einzurichten, wurde daher allseits begrüßt. Insbesondere die Leiter kleinerer Behörden waren von unserer Idee angetan, da bei ihnen die IT-Administratoren diese Tätigkeit nicht "hauptamtlich" ausüben, sondern "daneben auch noch" bzw. im Wesentlichen normale Verwaltungstätigkeiten zu erledigen haben. Dabei fehlt in diesen Verwaltungen nicht selten das IT-Fachwissen, um sich z. B. unseriöser Hard- und Softwareangebote und überdimensionierter IT-Lösungen zu erwehren. Trotz alledem hat sich in den vergangenen Jahren in Schleswig-Holstein nichts bewegt. In anderen Bundesländern sind derartige Studiengänge schon im Angebot der Hochschulen, zumindest aber in Vorbereitung. In Schleswig-Holstein ist man sich zwar darüber einig, dass alle gewinnen würden, die Hochschulen, die Studenten und die Verwaltungen. Bei dieser Erkenntnis wird es jedoch augenscheinlich bleiben.

14.4

Datenschutz als Mittel zur Verwaltungsmodernisierung - auf Kontinuität angelegt

Häufig sind die datenschutzrechtlichen Aktivitäten von Behörden nur darauf ausgerichtet, punktuelle Problemstellungen kurzfristig zu lösen. Ist dies geschehen, tritt der Datenschutz als Managementaufgabe schnell wieder in den Hintergrund. Einige Verwaltungen haben allerdings im Laufe der letzten Jahre erkannt, dass das ausschließliche Reagieren auf "aktuelle Krisen" höchst ineffektiv ist und dass nur die kontinuierliche Auseinandersetzung mit datenschutzrechtlichen und sicherheitstechnischen Fragen auch im Hinblick auf die Verwaltungsmodernisierung zu befriedigenden Lösungen führt. Der Kreis Schleswig-Flensburg hat sich vor zwei Jahren entschieden, diesen Weg zu gehen (vgl. 22. TB, Tz. 6.6). Er hat nicht nur in einem definierten Verfahren ein allgemeines Sicherheitskonzept erstellt, sondern nutzt die bewährten Zusammenarbeitsstrukturen zwischen der Behördenleitung, den Fachbereichen, der IT-Stelle und den behördlichen Datenschutzbeauftragten auch für so komplexe Projekte wie "Anschluss des lokalen Netzes der Kreisverwaltung an das Internet". Auch der Kreis Ostholstein hat sich diese Verfahrensweise zu Nutze gemacht. Das dortige Projekt zum Internet-Anschluss steht bereits unmittelbar vor der "Produktivphase". Offenbar aufgrund der guten Erfahrungen ihrer Kollegen mit dieser Vorgehensweise strebt der Kreis Nordfriesland eine Kooperation mit dem Kreis Schleswig-Flensburg an.

14.5

Verantwortung für die Datensicherheit in den Finanzämtern klargestellt

Es hatte vor einigen Jahren den Anschein, dass die Verantwortung für die Datensicherheit in den Finanzämtern zwischen den Finanzamtsvorstehern und der Oberfinanzdirektion zulasten des Steuergeheimnisses hin und her geschoben werden sollte (vgl. 22. TB, Tz. 4.9.1). Diese etwas verfahrene Situation ist bereinigt worden. Nachdem wir Gelegenheit hatten, im Rahmen einer Vorsteherdienstbesprechung die von uns kritisierten Schwachstellen noch einmal allen Vorstehern darzustellen, ist seitens der Oberfinanzdirektion die Zuständigkeit eindeutig festgelegt worden. Sie liegt bei den Leitern der Finanzämter. Erste Konsequenzen wurden sichtbar, als die GMSH als Gebäudeeigentümer einem Vorsteher vorschreiben wollte, welche Regularien für die Steueraktenvernichtung zu gelten hätten. Dieser hat unter Hinweis auf seine Verantwortung eine hinreichend sichere Verfahrensweise durchgesetzt. Ähnliche Konflikte wird die GMSH auch bei anderen Finanzämtern zu erwarten haben, wenn sie weiterhin glaubt, bei der landesweiten Ausschreibung von Entsorgungsdienstleistungen aus Kostengründen das Sicherheitsniveau in diesem sensiblen Bereich senken zu können.