Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

8         Modellprojekte und Studien

8.1         ULD-i  – das Innovationszentrum Datenschutz & Datensicherheit

Das Innovationszentrum Datenschutz & Datensicherheit (ULD-i) berät Inte­ressenten bei allen Fragen rund um Datenschutz und Datensicherheit. Die Serviceleistungen des ULD-i werden insbesondere Unternehmen aus der Region angeboten, um die Wirtschaftskraft im Norden zu stärken.

Das ULD-i unterstützt Forscher und Entwick­ler aus Wirtschaft und Wissenschaft dabei, Datenschutz und Datensicherheit in Produkte und Prozesse zu integrieren. Dadurch soll das Vertrauen der Verbraucherinnen und Ver­braucher in die Produkte und in deren Anbieter gestärkt werden. Das ULD-i stand auch im letzten Jahr als kompetenter Ansprech­partner den Wirtschaftsunternehmen und Hochschulen zur Verfügung. Im vergan­genen Jahr haben unterschiedlichste Projekte mit wirtschaftlicher und wissen­schaftlicher Beteiligung Informationen und Know-how im Bereich Datenschutz und Datensicherheit in Anspruch genommen. Das ULD-i platzierte publikums­wirksam das Thema Daten­schutz auf verschiedenen Messen und Veranstaltungen. Dieselbe Zielsetzung wird auch im Jahr 2009 fortgeführt und weiter ausgebaut.

8.2         Datenschutzdiskurse im „Privacy Open Space “

Die Erfahrungen von Entwicklern, Nutzern und Datenschutzbehörden haben gezeigt, dass die Anforderungen des Datenschutzes innerhalb aller Arten von e-Services bereits im frühen Stadium berücksichtigt, umgesetzt und in Prozesse integriert werden müssen. Ein neues Projekt des ULD – „Privacy Open Space“, kurz „PrivacyOS“ – will dabei helfen, die Sichtweisen der verschiedenen Akteure zusammenzubringen.

Mit PrivacyOS hat das ULD den Zuschlag für ein Projekt im Rahmen des „ICT Policy Support Programme“ der Europäischen Kommission erhalten. Das Projekt führt Vertreter aus den Bereichen Wirtschaft, Wissenschaft, Regierung und Gesellschaft zusammen, um die Entwicklung und die Anwendung von Daten­schutzinfrastrukturen in Europa zu fördern und zu unterstützen. Alle 15 Projektpartner aus 12 europäischen Ländern und das ULD als Koordinator sind mit datenschutzrecht­lichen Themen vertraut und können lang­jährige Erfahrungen in diesem Gebiet auf­weisen.

Kern der Arbeit von PrivacyOS ist der Datenschutzdiskurs auf Konferenzen, die nach der sogenannten Open-Space-Methode ausgerichtet werden: Die Teilneh­mer bringen eigene Themen ein und gestalten dazu Vorträge und Diskussionen. Die Agenda eines Open Space (engl. für „offener Raum“) wird erst zu Beginn der Konferenz erstellt. Jeder kann ein Thema mit datenschutzrechtlichem Bezug einbringen und bekommt in Abhängigkeit des Interesses der anderen Teilnehmer einen Zeitblock und einen Raum zugeordnet. Diese Dynamik ermöglicht es auch, neue und aktuelle Themen zu behandeln.

Innerhalb des Projektes PrivacyOS besteht die Möglichkeit, sich über Best Practices, datenschutzrechtliche Herausforderungen und mögliche Lösungen auszutauschen. Aus diesem Grund werden über einen Zeitraum von zwei Jahren vier Open-Space-Konferenzen parallel zu Veranstaltungen mit datenschutz­rechtlicher Relevanz organisiert. Auf den PrivacyOS-Konferenzen werden eine Vielzahl von Themen wie etwa Electronic ID-Cards, eParticipation, Datenschutz­siegel oder Kryptomechanismen diskutiert und Anwendungsmöglichkeiten erar­beitet.

Die erste PrivacyOS-Konferenz wurde 2008 in den Räumen des Europäischen Parlaments zeitgleich mit der 30. Internationalen Konferenz der Datenschutz­beauftragten veranstaltet. Nach dem erfolgreichen Start des Projekts wird das ULD die zweite PrivacyOS-Konferenz vom 1. – 3. April 2009 in Kombination mit der „re:publica“-Tagung in Berlin ausrichten. 

www.privacyos.eu/

8.3         Neue Datenschutzkonzepte im Identitätsmanagement

Das Thema „Identitätsmanagement und Datenschutz“ bleibt relevant bei Industrie, Forschung und ULD. Wieder investiert die Europäische Kommis­sion Fördergelder in Projekte zu diesem Thema, das für die Zukunft unserer Gesellschaft essenziell sein wird.

Nach über vierjähriger Projektlaufzeit fand im Juli 2008 das Projekt PRIME (Privacy and Identity Management for Europe) in einer Abschlusskonferenz seinen Höhepunkt. Gemeinsam mit 19 Projektpartnern aus Industrie und Wissen­schaft hat das ULD unter Förderung der Europäischen Kommission Konzepte für nutzergesteuertes Identitätsmanagement entwickelt. Die Arbeit von PRIME wurde von der International Association of Privacy Professionals (IAPP) durch Verlei­hung des „Privacy Innovation Technology Award 2008“, einer Auszeichnung für technische Innovation im Bereich Datenschutz, gewürdigt. Um diese Auszeichnung hatten sich international 15 Organisationen beworben.

In dem im März 2008 begonnenen Nach­folgeprojekt PrimeLife (Privacy and Identity Management in Europe for Life) treibt ein leicht verändertes Konsortium nun die Ent­wicklung, Forschung und Implementierung der Konzepte von PRIME weiter voran. Während PRIME einen Schwerpunkt auf die konzeptionelle Arbeit legte und Lösungen in Form von Prototypen demonstrierte, steht die Entwicklung von Softwarekompo­nenten für datenschutzförderndes Identitätsmanagement, die unmittelbar zum Ein­satz kommen können, im Zentrum der Arbeit von PrimeLife. Diese Lösungen sollen zum Teil zur kostenfreien Benutzung unter freier oder Open-Source-Lizenz zur Verfügung gestellt werden – PRIME live sozusagen.

Daneben widmet sich PrimeLife neuen technologischen Herausforderungen, wie sie beispielsweise durch soziale Netzwerke entstehen. Die datenschutzrechtliche Einordnung der Datenverarbeitung in solchen Netzwerken wirft ebenso neue Fragen auf wie die Anforderungen an technisch-organisatorische Schutzmaß­nahmen.

In sozialen Netzwerken sind es zumeist die Nutzer, die Daten über sich selbst, aber auch über Dritte zur Verfügung stellen. Hier trifft den Nutzer eine besondere Verantwortung, da er über Informationen, Bilder usw., die auch andere Personen betreffen, verfügt. PrimeLife entwickelt Lösungsansätze, um die Nutzer bei der Wahrung dieser Verantwortung zu unterstützen. Schließ­lich wendet sich PrimeLife der grund­legenden Frage zu, wie Datenschutz während eines ganzen Menschenlebens und auch darüber hinaus realisiert werden kann. Moderne Informations- und Kommunikationstechnologien gibt es noch nicht lange genug, als dass die Gesellschaft mit diesen langfristigen Problemen schon umfangreiche Erfahrungen hätte sammeln können. Die wenigsten Techniklösungen haben einen längeren Zeithorizont als 10 Jahre im Blick. PrimeLife will sich auch dieser Frage zuwenden und Umsetzungskonzepte für lebenslangen Datenschutz entwickeln.

www.primelife.eu/

8.4         Die Zukunft von Identität: Fortschritte im Exzellenznetzwerk FIDIS

Das von der EU geförderte Exzellenznetzwerk FIDIS hat weiter am Thema „Identität“ gearbeitet. Wichtige Ergebnisse gibt es zum Identitätsmanage­ment in öffentlichen Verwaltungen, wozu auch elektronische Identitätsdoku­mente und Public Key Infrastructures (PKI) gehören.

Wie zuvor lag auch dieses Jahr der Schwerpunkt der Arbeit im Projekt FIDIS bei verwaltungsnahen Aspek­ten des Identitätsmanagements (30. TB, Tz. 8.3). Aus unterschiedlichen fachli­chen Perspektiven werden vom ULD grundsätzliche und angewandte Daten­schutzanliegen eingebracht.

Die Ergebnisse dieses Projekts fließen zunehmend unmittelbar in die Arbeit der Dienststelle ein, so auch die hier vorgestellten Themen:

• ePass und elektronischer Personalausweis (ePA)

Während die technische Sicherheit des deutschen ePasses in der 2. Stufe ab November 2007 verbessert werden konnte, ergeben sich mit der Integration der Fingerabdrücke in einem Rohdatenformat (JPEG-Bilder) gesteigerte Datenschutz­risiken. Nach wie vor werden diese Datenschutzrisiken von europäischen Pass­behörden unterschätzt. Der neue deutsche elektronische Personalausweis (ePA), für den ein Grobkonzept in der Version 2.0 vorliegt, nutzt wesentliche technische Elemente des ePasses. Das Konzept beinhaltet aber auch Verbesserungen im Zugriffsschutz für sensible Daten. Aus dem Projekt heraus wurde zur Stellung­nahme der Datenschutzbeauftragten des Bundes und der Länder zu diesem Kon­zept fachlich beigetragen (Tz. 4.1.6).

• Identitätsmanagement in der öffentlichen Verwaltung

Derzeit arbeitet eine gemeinsame Arbeitsgruppe der Datenschutzbeauftragten des Bundes und der Länder sowie des Bundesamtes für Sicherheit in der Informa­tionstechnik (BSI) an einer Modernisierung der Sicherheitsleitlinien für elektro­nische Signaturen und Verwaltungs-PKI. In diese Arbeit fließen Ergebnisse des FIDIS-Projekts, insbesondere Erkenntnisse aus bestehenden PKI-Umsetzungen in europäischen Nachbarländern, ein.

• Biometrie und Datenschutz

Eng verknüpft mit dem ePass und dem Konzept für den ePA sind Datenschutzaspekte bei der Nutzung von Biometrie. Basierend auf den Ergebnissen einer aktuellen FIDIS-Studie, haben wir an einem „White Paper“ für Unternehmen zu diesem Thema beim Verein zur Förderung der Vertrauenswürdigkeit von Informations- und Kommunikationstechnik TeleTrusT Deutschland e.V. und an mehreren Publikationen mitgear­beitet. Die Ergebnisse dieser Arbeit wurden auf der CeBIT und drei Konferenzen im In- und Ausland vorgestellt.

Weitere Informationen rund um das Thema Identität und FIDIS-Projektergebnisse sind verfügbar unter: 

www.fidis.net/

8.5         AN.ON  – Anonymität online in den Wirren der Vorratsdatenspeicherung

In Kooperation mit unseren Partnern bietet unser Anonymisierungsdienst AN.ON weiterhin eine Grundversorgung mit Anonymität beim Surfen im Internet. Ob und vor allem wie Anonymisierungsdienste von der Vorrats­datenspeicherung des Telekommunikationsgesetzes erfasst sind, ließ sich auch im Dialog mit der Bundesnetzagentur nicht abschließend klären.

Seit 2001 beschreiben wir in unseren Tätigkeitsberichten (zuletzt 30. TB, Tz. 8.4) die Fortschritte bei „AN.ON – Anonymität online“, einem Anonymi­sierungsdienst für Webzugriffe. Auch 2008 mussten wir einige Anfragen der Strafverfolgungsbehörden nach der Aufschlüsselung von IP-Adressen nega­tiv beantworten. Entsprechend den gel­tenden gesetzlichen Regelungen durften wir keine derartigen Daten vorhalten.

Inzwischen sind die Regelungen zur Vorratsdatenspeicherung in Kraft ge­treten (ausführlich siehe Tz. 4.3.1). Nach dem Willen des Gesetzgebers müssen ab Januar 2009 auch Anbieter von Telekommunikationsdiensten be­stimmte Verkehrsdaten für sechs Monate speichern. Gemäß der Gesetzesbegrün­dung fallen auch Anonymisierungs­dienste hierunter. Ob jedoch der AN.ON-Dienst davon betroffen ist, bleibt unserer Ansicht nach weiterhin fraglich: Dieser Anonymisierungsservice definiert sich als Telemediendienst und nicht als Telekommunikationsdienst. Zudem wird er unentgeltlich als Grund­versorgung für die Bürger angeboten, damit diese ihre Rechte auf Anonymität im Internet durchsetzen können. Die Regelungen der Vorratsdatenspeicherung zie­len – zumindest primär – auf kostenpflichtige Telekommunikationsdienste ab.

Ein Gespräch mit der Bundesnetzagentur in Bonn ergab allerdings, dass man dort die Regelungen der Vorratsdatenspeicherung auch im Fall des AN.ON-Dienstes für anwendbar hält. Unklar bleibt jedoch, was und wie genau gespeichert werden soll. So bekamen wir die Auskunft, dass nicht nur die anfallenden IP-Adressen, sondern in weiter Auslegung des Gesetzeswortlautes auch weitere Daten zu speichern seien. Der AN.ON-Dienst arbeitet durch Hintereinanderschaltung mehrerer soge­nannter „Mix“-Rechner verschiedener Anbieter. So ist es möglich, dass das System den Nutzer sogar vor den Anbietern selbst schützt, da diese jeweils nur eine Teilinformation über den Nutzer kennen, mit der allein eine Aufdeckung seiner Ursprungs-IP-Adresse nicht möglich ist. Aber selbst wenn, wie von der Bundesnetzagentur gefordert, Kennungen zur Verknüpfung dieser Informationen gespeichert würden, wäre eine Aufdeckung der Ursprungs-IP-Adresse in der Regel nicht eindeutig möglich, sodass der Nutzen der Vorratsdatenspeicherung zweifelhaft ist.

Unabhängig von der Vorratsdatenspeicherung schützt der AN.ON-Dienst jedoch weiterhin die Anonymität seiner Nutzer gegenüber den Webseitenanbietern und den Betreibern des Dienstes; dieser Mehrwert gegenüber Anonymisierungsdiens­ten, die nur einen Betreiber haben, bleibt bei einer Verpflichtung zur Vorratsdaten­speicherung bestehen.

www.anon-online.de/
www.datenschutzzentrum.de/anon/

8.6         PRISE  – Datenschutz für Sicherheitstechnik

Sicherheitsforschung und die Ent­wicklung von Sicherheits- und Über­wachungstechnologien sind traditio­nelle Forschungsfelder. Aufgrund neu wahrgenommener Bedrohungs­szenarien fördert nunmehr auch die Europäische Union umfangreich in diesem Bereich Projekte.

Der technische Fortschritt, den sich auch kriminelle Einzelpersonen und Organisationen zunutze machen, soll mit neuen Mitteln ebenfalls Sicherheits­behörden zugutekommen. Im Fokus sicherheitsstaatlicher Bemühungen ste­hen neben dem Schutz einzelner Perso­nen zunehmend auch der Schutz soge­nannter kritischer Infrastrukturen vor Anschlägen. Sicherheitsforschung dient außerdem der Entwicklung von Technolo­gien, die bei der Verhinderung und Aufklärung von Straftaten eingesetzt werden sollen.

Zumeist zielen Sicherheitstechnologien auf die Auswertung, Aufdeckung und Verhinderung bestimmten – strafbewehrten oder gefährlichen – menschlichen Verhaltens. Der Einsatz solcher Technologien stellt gleichzeitig in der Regel einen Eingriff in die Grundrechte der betroffenen Personen dar und hat eine hohe Relevanz für die Persönlichkeitsrechte.

 

Im Rahmen des EU Forschungsprojekts PRISE (Privacy Enhancing Shaping of Security Research and Technology) haben wir zusammen mit Projekt­partnern aus Dänemark, Norwegen und Österreich Anforderungen an einen Datenschutzmanagementprozess in der Sicherheits­forschung entwickelt. Auf der Abschlusskonferenz in Wien hat das Projekt prozess- und produktbezogene Kriterien für datenschutzgerechte und datenschutz­fördernde Sicherheitstechnologien präsentiert. Zu den Teilnehmern, für die diese Ergebnisse besonders interessant sind, gehörten der Europäische Datenschutz­beauftragte bei der Europäischen Kommission, für Sicherheitsforschung und ethische Evaluierung zuständige Kommissionsmitarbeiter sowie Industrievertreter.

Da insbesondere bei Technologien, die in den Kernbereich der Lebensgestaltung eingreifen, eine automatische Erkennung eines Eingriffs derzeit nicht möglich ist, sind neben technischen und rechtlichen Anforderungen auch organisatorische Anforderungen beim Einsatz von Sicherheitstechnologien zu beachten. Durch diese soll sichergestellt werden, dass es nicht zu unzulässigen Datenerhebungen oder -speicherungen kommt. Weitere Informationen zum EU-Projekt PRISE und die Projektergebnisse finden sich unter:

www.prise.oeaw.ac.at/

8.7         DOS – Datenschutz in Online-Spielen

Der Markt der Online-Spiele gehört zu den Boom-Branchen der Unterhal­tungsindustrie. Systeme wie Xbox Live, World of Warcraft oder auch Online-Poker finden viele neue Nutzer. Durch Sammlung von Spielerprofilen, Online-Einbindung von Werbung oder Einsatz von Kameras und Mikro­fonen bleiben Daten-, Jugend- und Verbraucherschutz immer wieder auf der Strecke. Der internationale Kontext darf dabei nicht aus den Augen verloren werden.

Das Projekt „Datenschutz in Online-Spielen“ (DOS) wird seit September 2007 vom Bundesministerium für Bildung und Forschung über zwei Jahre gefördert (30. TB, Tz. 8.10). Im Rahmen des Projekts wird erstmalig der Datenschutz bei Online-Spielen wissenschaftlich analysiert. Verwandte Aspekte aus Jugendschutz und Verbraucherschutz werden dabei ebenfalls unter die Lupe genommen. Gerade mit Blick auf kommende neue Entwicklungen ist es wichtig, sowohl Herstellern als auch Betreibern aufzuzeigen, welche rechtlichen Regelungen für sie gelten und wie sie die bestehenden Anforderungen konkret umsetzen können. Wie auch in anderen Bereichen der Softwareentwicklung und des Betriebs von Informationstechnik zeigt sich, dass Unachtsamkeit und Unkenntnis in Sachen Datenschutz zu rechtswidrigen Konzepten und Implementierungen führen – zum Schaden der Privatsphäre der Spielerinnen und Spieler.

Im bisherigen Projektverlauf wurden die Sichtweise und die Meinungen der Nutzerinnen und Nutzer von Online-Spielen in einer Umfrage abgefragt, an der mehr als 1.000 Personen teilgenommen haben. Die Nutzersicht fließt ebenso wie die Perspektive der Hersteller und Betreiber in das Projekt ein, um im Projekt­verlauf praxisnahe Ergebnisse zu erarbeiten. Dazu gehören insbesondere Anfor­derungskataloge und Leitfäden für die Online-Spiele-Branche. Zu diesem Zweck werden die Akteure und andere Interessierte zu insgesamt zwei Workshops eingeladen. Der erste Workshop stieß bereits auf großes Interesse. Durch diverse Vorträge und Veröffentlichungen konnten Teile der Zielgruppen des Projekts für das Thema und die dahinterstehenden Datenschutzrisiken sensibilisiert werden.

www.datenschutzzentrum.de/dos/

8.8         Das Virtuelle Datenschutzbüro festigt seine Position

Seit acht Jahren ist das Virtuelle Datenschutzbüro die erste Anlaufstelle für alle Fragen rund um den Datenschutz im Internet. Die sich wandelnde Zusammensetzung der unterstützenden Projektpartner unterstreicht diesen Prozess und stärkt die Position des Virtuellen Datenschutzbüros als deutsch­sprachiges Datenschutzportal.

Im Dezember 2000 ging das Virtuelle Datenschutzbüro als europäisches Projekt online. Geplant war ein Datenschutzportal, das sich international als erste Anlauf­stelle für Datenschutzfragen etablieren sollte. Die internationale Zusammen­setzung der Projektpartner, die englisch- und deutschsprachigen Darstellungen und Inhalte sowie die Reservierung internationaler Domain-Namen waren die Basis. Die technische Grundlage hätte sogar Darstellungen in weiteren Sprachen schnell und problemlos ermöglicht. Die weitere Entwicklung sollte von der Nachfrage bestimmt werden.

Um einen Eindruck über die Akzeptanz des Internetangebotes zu erhalten, pro­tokolliert das Virtuelle Datenschutzbüro jedes Jahr kurzzeitig die Seitenzugriffe. Hieraus wird ersichtlich, dass die Anzahl der Besucher stetig zunahm, dass das Interesse an internationalen Inhalten aber eher ein Schattendasein führte. Der Aufwand zur Pflege der englischsprachigen Inhalte stand in kei­nem vertretbaren Verhältnis zum Nutzen.

Zudem machte die Änderung in der Struktur der Projektpartnergruppe eine Aufrechterhaltung der internationa­len Inhalte immer schwieriger. Die Gruppe der Projektpartner besteht aus unterschiedlichen Datenschutzinstitutionen. Alle deutschen Landesbeauftragten und der Bundesbeauftragte für den Daten­schutz sind Mitglieder. Von Beginn an dabei sind der Datenschutzbeauftragte der katholischen Bistümer in Norddeutschland, der Datenschutzbeauftragte der Niederlande (ehemals Registratiekammer, jetzt College Bescherming Persoons­gegevens CBP), der Information and Privacy Commissioner Ontario (Kanada) und der Beauftragte des Schweizer Kantons Zürich. Mit der Zeit kamen die Daten­schutzbeauftragten der evangelischen Kirche in Deutschland, des Südwestrund­funks (SWR), des Norddeutschen Rundfunks (NDR), der nationale Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte der Schweiz, das Büro des General­inspektors für den Schutz personenbezogener Daten in Polen und der Daten­schutzbeauftragte der Slowakischen Republik hinzu.

In den letzten zwei Jahren kündigten das College Bescherming Persoonsgegevens Nederland und das Amt zum Schutz von Personendaten der Slowakischen Repu­blik ihre Projektpartnerschaft. Die entgegengesetzte Entwicklung gab es bei deutsch­sprachigen Institutionen: Die Datenschutzbeauftragten des Kantons Basel-Land­schaft, der Evangelischen Landeskirche Württemberg, des Fürstentums Liechten­stein und des Schweizer Kantons Zug traten dem Virtuellen Datenschutzbüro als neue Partner bei. Der Prozess der Konzentration auf deutschsprachiges Daten­schutzwissen zeichnet sich somit nicht nur in den veröffentlichten Inhalten ab, sondern wird ebenso in der Projektpartnergemeinschaft deutlich sichtbar.

Diese Umstrukturierung des Virtuellen Datenschutz­büros führt allerdings nicht zur Stagnation. Die sich sammelnde Kompetenz für Datenschutz im deutsch­sprachigen Raum stärkt die Position als erste Anlauf­stelle zu Fragen zum Datenschutz und mittlerweile auch zur Informationsfreiheit. Das Virtuelle Datenschutzbüro ist und bleibt das zentrale Datenschutzportal:

  www.datenschutz.de/

8.9         „Twinning Light “ mit Malta erfolgreich abgeschlossen

Das ULD hatte erneut Gelegenheit, in der Zusammenarbeit mit der Republik Malta zum Aufbau der Datenschutzkultur in einem anderen EU-Staat beizu­tragen. In einem erfolgreichen Projekt wurde eine Vielzahl von Schulungs­veranstaltungen zum Datenschutz durchgeführt.

Das Projekt stellte die zweite Kooperation zwischen dem ULD und den zuständi­gen Behörden der Republik Malta dar. Während das erste Twinning-Projekt (29. TB, Tz. 11.3) einen allgemeineren Ansatz verfolgte, ging es diesmal aus­schließlich darum, Schulungen zu unterschiedlichen Bereichen des Datenschutzes für Mitarbeiter der öffentlichen Verwaltung in Malta durchzuführen.

Einziger Projektpartner auf maltesischer Seite war diesmal das Büro des Premier­ministers, vergleichbar mit der Staatskanzlei in einem deutschen Bundesland. Diese Stelle hatte es sich zum Ziel gesetzt, die ohnehin schon gute Qualität des Datenschutzes in der täglichen Arbeit aller Bereiche der maltesischen Verwaltung durch Schulungen weiter zu verbessern. Der Bedarf für diese Schulungen war ein Ergebnis des ersten Projekts. Auf die EU-weite Ausschreibung hatte sich das ULD für die Bundesrepublik Deutschland beworben und den Zuschlag erhalten.

Organisiert durch das ULD wurden innerhalb von sechs Monaten mehr als 50 Schulungstage auf Malta durchgeführt. Datenschutzexperten aus Deutschland und anderen EU-Ländern unterrichteten die Mitarbeiter der maltesischen Behörden zu vielfältigen Themenbereichen und auf unterschiedlichen Schwierigkeitsniveaus, angefangen von Einsteigerkursen, bei denen zunächst Datenschutzbewusstsein geschaffen werden sollte, bis hin zu Expertenworkshops über die besten Methoden bei Datenschutzprüfungen. Insgesamt wurden so mehr als 1.000 Bedienstete der maltesischen Verwaltung weitergebildet; durch die Schulung von Multiplikato­ren wurde für eine nachhaltige Verankerung des Datenschutzwissens gesorgt. Das Projekt wurde auf maltesischer Seite als eines seiner erfolgreichsten Twinning-Projekte bewertet.

8.10       Datenschutz für Biobanken

Die datenschutzrechtliche Dimension von Biobanken beschäftigte das ULD im Berichtszeitraum gleich in zwei Projekten. Im Ergebnis zeigte sich, dass viele Fragen offen sind und auf nationaler und europäischer Ebene Rege­lungsbedarf besteht.

8.10.1    bdc\Audit  – Auditierung von Biobanken

Biobanken sind Sammlungen von menschlichen Kör­perproben und daraus extrahiertem, vor allem geneti­schem Material sowie von dazugehörenden Daten. Im Projekt bdc\Audit ging es um die Entwicklung von Methoden und Kriterien für eine praxisgerechte und zugleich datenschutzfreundliche Biobankforschung (30. TB, Tz. 8.11). Das Projekt ist weitgehend abge­schlossen. In dessen Rahmen organisierte das ULD einen Projektworkshop im Schleswig-Holsteinischen Landtag, wo die wesentlichen Ergebnisse der drei Teilprojekte einer interessierten Fachöffentlichkeit vorgestellt wurden. Eine zentrale Erkenntnis ist, dass es einen regulatorischen Rahmen für Biobanken geben muss. Dies ist umso wichtiger, als der Entwurf eines Gendiagnostikgesetzes den Forschungsbereich vollkommen ungeregelt lässt (Tz. 4.6.1).

Das ULD bekam für seine Ergebnisse und Vorschläge positives Feedback. Die Ergebnisse werden im Rahmen der Projektabschlussberichte und durch entspre­chende Veröffentlichungen in die wissenschaftliche Diskussion eingebracht.

8.10.2    BMB-EUCoop

Das Akronym im Titel steht für die vorgesehene europaweite Kooperation von Biomaterialbanken (BMB). Getragen wurde dieses Projekt von der Telematik­plattform für medizinische Forschungsnetze (TMF), deren Aufgabe es ist, als Dachorganisation für die vernetzte medizinische Forschung zu fungieren und dabei auftretende Fragestellungen zu beantworten.

Motiviert ist das Projekt durch die Beobachtung, dass sich Netzwerke für medi­zinische Forschung nicht nur auf nationaler, sondern auch auf europäischer Ebene bilden. Dies gilt auch für die Forschung mit Proben, die in Biobanken gespeichert sind. Beim gegenseitigen Austausch von Proben oder Daten ergeben sich komplexe Rechtsfragen. Unter welchen Voraussetzungen ist dies zulässig? Gelten unterschiedliche Anforderungen für Nicht-EU-Mitgliedstaaten oder sogar zwischen EU-Mitgliedstaaten?

Das Projekt BMB-EUCoop untersuchte diese Fragen zunächst für die Konstella­tion der Weitergabe von Proben und Daten aus Deutschland nach Österreich, Holland, England und in die Schweiz. Dabei wurden Anforderungen und Konse­quenzen hinsichtlich der unterschiedlichen berührten Rechtsmaterien dargestellt, namentlich im Hinblick auf das jeweilige ausländische Eigentums-, Datenschutz- und Persönlichkeitsrecht. Weiterhin wurden auch die im Zusammenhang stehen­den ethischen Fragen analysiert.

Abgeleitet aus diesen Erkenntnissen werden praktische Hinweise zur Vertrags­gestaltung erarbeitet, um die nach deutschem Recht gegebene Rechtsposition der Spender abzusichern, auch wenn Proben oder Daten ins Ausland gehen sollten. Das ULD hat den umfangreichen Gutachtenteil zu den datenschutzrechtlichen Fragen abgeliefert. Eine zusammenfassende Veröffentlichung aller Gutachten, Empfehlungen und Mustertexte soll 2009 durch die TMF erfolgen.

8.11       RISER  (Registry Information Service on European Residents) 

Das Leuchtturmprojekt europäische Melderegisterauskunft RISER, der erste E-Government-Dienst für grenzüberschreitende Meldeauskünfte in Europa, setzt nach seinem kommerziellen Start weiterhin auf Datenschutz.

Das seit 2007 laufende Projekt RISERid (Registry Information Service on Euro­pean Residents Initial Deployment) befindet sich weiterhin erfolgreich in der Markteinführung. Ca. 120.000 Adressanfragen bearbeitet RISER monatlich. Die Zielsetzung einer datenschutzfreundlichen Ausgestaltung hat sich von Beginn an ausgezahlt. RISER verzichtet auf das Sammeln von Adressen für eigene Zwecke, das sogenannte Pooling.

Die jetzt im zweiten Jahr eigenständige RISER ID Services GmbH bietet einen elektronischen Dienst für europäische Meldeauskünfte an. Meldeadressen in Deutschland, Estland, Irland, Litauen, Österreich, Schweden, Schweiz und Ungarn können über das Kundenportal zentral angefragt und abgeholt werden. Der Dienst bietet seinen Kunden einen einheitlichen Zugang zu einer sehr heterogenen und unübersichtlichen Melderegisterlandschaft in Europa. Über das Serviceportal können Meldeanfragen als Datei- oder Einzelanfrage über das Internet an die zuständige Meldebehörde weitergeleitet werden. RISER übernimmt die Funktion eines Zustellers. Im Sinne der Auftragsdatenverarbeitung werden die von den RISER-Kunden überlassenen personenbezogenen Daten ausnahmslos zu dem vertraglich festgelegten Zweck und nach den vertraglich festgelegten datenschutz­konformen Verfahren verarbeitet. Auskünfte werden ausschließlich fallbezogen für den jeweiligen Kunden verarbeitet und die Ergebnisse ausschließlich für diesen bereitgehalten. RISER speichert keine Ergebnisse aus Melderegisterauskünften für eigene Zwecke oder macht diese Dritten zugänglich.

Im März 2004 war das von der Europäischen Kommission im Rahmen des eTEN-Programms geförderte Vorprojekt RISER gestartet worden. Aus Deutschland sind neben dem ULD das Landeseinwohneramt Berlin und das Fraunhofer-Institut FOKUS beteiligt. Nach dem Start des Pilotbetriebes konnten zunächst Online-Melderegisterauskünfte aus Deutschland und Österreich sowie aus dem Wahl­register in Irland angeboten werden. In einem Anschlussprojekt (RISERac) kamen Ungarn und Estland hinzu. Seit Beginn der dritten Förderphase (RISERid) können auch Melderegisterauskünfte aus Litauen, Schweden und lokalen Registern in der Schweiz über RISER eingeholt werden.

Ein Höhepunkt war auch in diesem Jahr die Veranstaltung der nunmehr 4. Internationalen Konferenz zum Europäischen Meldewesen im Rathaus Schöneberg in Berlin. Von den insgesamt 155 Teilnehmenden aus 22 Ländern kamen 122 Delegierte aus öffentlichen Verwaltungen, einschließlich deutscher Vertreter des Bundesministeriums des Innern und der Landesbehörden. Quer­bezüge zur geplanten Einrichtung eines Bundesmelderegisters und zu aktuellen Datenschutzdiskussionen im Meldewesen stießen in den Fachkreisen auf großes Interesse. Das ULD thematisierte als eigenen Programmschwerpunkt die europa­weite Durchsetzung des Datenschutzes im Meldewesen sowie den Adresshandel, Transparenz über Herkunft und Verarbeitung von Adressdaten sowie den Schutz von Adressdaten in Deutschland bei Auskunftserteilungen aus europäischen Ländern.

Der Schwerpunkt unserer Projektbegleitung liegt auf der datenschutzgerechten Ausgestaltung des Dienstes. Welche Daten dürfen in den nationalen Melde­registern abgefragt werden? Wie sind personenbezogene Daten vor unbefugten Zugriffen zu schützen? Was muss ein Dienst datenschutzrechtlich leisten, wenn er personenbezogene Daten im Auftrag abfragt und weiterleitet?

http://www.riserid.eu/

8.12       IM Enabled

Instant-Messaging-Dienste liegen im Trend. Will auch eine Behörde online und in Echtzeit mit den Bürgern kommunizieren, sind besondere Anforde­rungen an den Providerdienst zu stellen. Im Projekt IM Enabled E-Govern­ment Services wurden vom ULD die Datenschutzanforderungen erarbeitet.

Das ULD arbeitet im Auftrag der Europäischen Kommission an dem im September 2006 gestarteten Projekt Instant Messaging Enabled E-Government Services (IM Enabled) unter der Führung des Waterford Institutes of Technology. Beteiligt sind neben dem ULD Partner aus Irland, Frankreich, Italien und Deutschland. Das Marktevaluierungsprojekt wird im Rahmen des eTEN-Programms von der Euro­päischen Kommission gefördert.

Welche Behördeninformationen können datenschutzgerecht über Instant Messa­ging zur Verfügung gestellt werden? Welche Anforderungen sind an Anbieter von Instant-Messaging-Diensten zu stellen, damit der Bürger sicher mit einer Behörde elektronisch kommunizieren kann? Von der öffentlichen Verwaltung genutzte Instant-Messaging-Dienste müssen die Bedingungen erfüllen, die für das Sammeln, Verarbeiten und die Weitergabe von personenbezogenen Daten im öffentlichen Bereich generell gemäß den jeweiligen nationalen Datenschutzbestimmungen gelten. Die vom ULD angefertigte Vergleichsstudie zeigt, dass die europäischen Staaten die für den Bereich des Instant Messaging anwendbaren europäischen Direktiven unterschiedlich in nationales Recht überführt haben.

Bei E-Government-Dienstleistungen kommt es zur Verarbeitung personenbezo­gener Daten. Das Recht in den europäischen Mitgliedsländern sieht dafür techni­sche und organisatorische Schutzmaßnahmen vor. Herausforderungen bei der Implementierung von Instant-Messaging-Diensten sind die sichere Verschlüsselung von Daten während der Übertragung sowie die Authentifizierung der Nutzer. Diese Voraussetzungen liegen bei der Nutzung der am Markt vorhandenen Dienste generell nicht vor. Technische Grundvoraussetzung für sicheres Instant Messaging ist der Betrieb eines behördeneigenen Servers.

Das Projekt kommt zu dem Ergebnis, dass IM für die Übermittlung von sensiblen Daten nicht geeignet ist. Die Übermittlung der Daten, auch der technischen Nutzerdaten, mittels IM setzt eine spezifische datenschutzgerechte technische Ausgestaltung voraus. Datenschutzkonforme Anwendungen von Instant Messaging im Bereich der öffentlichen Verwaltung sind z. B. zur Kommunikation von Fahrplänen, Verspätungen im ÖPNV oder Theaterprogrammen denkbar.

www.imenabled.eu/

8.13       EuroPriSe  (European Privacy Seal)

Das europäische Datenschutz-Gütesiegel EuroPriSe startete erfolgreich in die Pilotphase. Das vom ULD geführte Konsortium aus namhaften internatio­nalen Partnern erreichte, dass das neue Siegel auf Anhieb international stark nachgefragt wird.

Die Nutzung und der Kauf von IT-Produkten und -Dienstleistungen setzt beim Verbraucher ein hohes Maß an Vertrauen gegenüber Herstellern und Anbietern voraus. Dass dieses Vertrauen nicht immer berechtigt ist, zeigt die große Zahl aufgedeckter Datenskandale. Das europäische Datenschutz-Gütesiegel wird nach einer eingehenden Prüfung an IT-Produkte und IT-Dienstleistungen verliehen, die sich in puncto Datenschutz vorbildlich an die Vorgaben der Europäischen Daten­schutzrichtlinie halten. Für den Verbraucher bietet das EuroPriSe-Siegel eine transparente und zuverlässige Orientierungshilfe. Unternehmen und Diensteanbieter können mit dem von einer unabhängigen Stelle verliehenen Siegel ihren Kunden effektiv nachweisen, dass ihre Produkte und Dienstleistungen dem europäischen Datenschutzrecht entsprechen und eine faire und rechtskonforme Datenverarbei­tung ermöglichen, und so glaubwürdig für mehr Vertrauen werben.

In dem von der Europäischen Kommission im Rahmen des eTEN-Programms mit 1,3 Millionen Euro geförderten Projekt EuroPriSe (30. TB, Tz. 9.2) arbeitet das ULD seit Juni 2007 zusammen mit acht Partnern an der Umsetzung des schleswig-holsteinischen Gütesiegels (Tz. 9.3) auf europäischer Ebene. Die Pro­jektlaufzeit konnte von 18 auf 21 Monate verlängert werden. An dem vom ULD geleiteten Projekt sind die Datenschutzbehörde APDCM von Madrid, die nationale französische Datenschutzbehörde CNIL, das Institut für Technikfolgenabschätzung der Österreichischen Akademie der Wissenschaften, das Institut für Menschen­rechte der Metropolitan Universität in London, die TÜViT aus Deutschland, VaF aus der Slowakei, Borking Consultancy aus den Niederlanden und Ernst & Young aus Schweden beteiligt.

Die Qualität eines Gütesiegels ist abhängig von den zugrunde liegenden Kriterien und der Zuverlässigkeit, Fachkunde und Unabhängigkeit der Prüf- und Zertifizie­rungsstelle. Im ersten Arbeitspaket des Projekts (30. TB, Tz. 9.2.1) wurde das bewährte Prüf- und Zertifizierungsverfahren des schleswig-holsteinischen Daten­schutz-Gütesiegels den europäischen Anforderungen angepasst (Tz. 9.4.1). Zusätz­lich zu dem Kriterienkatalog wurde eine Kommentierung mit Hinweisen zum Europäischen Datenschutzrecht erarbeitet. Das ULD nimmt bei EuroPriSe die zentrale Aufgabe der Qualitätssicherung wahr.

Das zweite Arbeitspaket umfasste die Ausbildung und Zulassung von Gutach­tern im rechtlichen und technischen Bereich. Erfreulich ist die große Anzahl an Experten, die sich für eine Zulassung als EuroPriSe-Gutachter qualifiziert haben. Nachdem der erste Workshop zur Anerkennung von Gutachtern im November 2007 in Wien mit 80 Teilnehmenden aus 13 EU-Ländern schnell ausgebucht war, wurde ein zusätzlicher Workshop im Juni 2008 in Kiel veranstaltet. Auch dieser war schnell ausgebucht und erhöhte die Zahl der anerkannten Gutachter von knapp 40 auf über 60 zum Ende des Jahres 2008. Die wachsende Warteliste zeigt das beständige Interesse von Fachleuten. Neben der Teilnahme am Workshop, der einen Überblick über das Verfahren und eine Einführung in die Bearbeitung und Durchführung von EuroPriSe-Gutachten gibt, ist für die Anerkennung ein Trainingsgutachten über ein fiktives IT-Produkt anzufertigen. Die Trainings­gutachten zeigen große Unterschiede hinsichtlich Prüftiefe und Anwendung der Kriterien bei den Gutachtern und machen anschaulich deutlich, dass nur eine Prüfung durch übergeordnete, unabhängige Zertifizierungsstellen ein gleichmäßiges Niveau gewährleisten kann. Die Trainingsgutachten werden unter den am Projekt beteiligten Datenschutzbehörden ausgetauscht und dienen der Überprüfung, ob sie gleiche Anforderungen an die Prüftiefe und Anwendbarkeit der Kriterien stellen. Für das Jahr 2009 sind drei weitere Workshops geplant (Tz. 9.4.3).

Das dritte Arbeitspaket umfasst die Durchführung von Pilotverfahren zur Zertifi­zierung. Innerhalb von nur zwei Monaten meldeten sich 24 Unternehmen aus dem In- und Ausland. An den Start gingen 18 Piloten. Sechs Verfahren konnten mittlerweile erfolgreich abgeschlossen werden (Tz. 9.4.4). Die Hersteller kommen aus den Niederlanden, Luxemburg, Deutschland, Spanien, Schweden und den USA. Seit dem Start der Pilotverfahren haben über 60 Unternehmen aus aller Welt ihr konkretes Interesse an einer Zertifizierung gegenüber dem ULD bekundet. 25 Verfahren befanden sich Ende 2008 in der Evaluierungsphase. Die Pilot­verfahren wurden zum Teil gemeinsam mit den Datenschutzbehörden aus Madrid und Frankreich durchgeführt. Wichtig ist der Austausch und eine Abstimmung der Zertifizierungsanforderungen im Hinblick auf die Auslegung der Kriterien, der Plausibilitäts- und Vollständigkeitsprüfung.

Das erste EuroPriSe-Gütesiegel wurde anlässlich des 30. Jubiläums des Schleswig-Holsteinischen Datenschutzgesetzes im Rahmen einer Feierstunde im Schleswig-Holsteinischen Landtag vom Europäischen Datenschutzbeauftragten Peter Hustinx an die Metasuchmaschine Ixquick aus den Niederlanden verliehen. Die EU-Kom­missarin für Informationsgesellschaft und Medien, Viviane Reding, beglück­wünschte in einem Grußwort die Initiative EuroPriSe und den Preisträger, dessen Angebot es den Bürgerinnen und Bürgern erlaube, eine Suchmaschine zu wählen, die ihre Suchdaten nicht langfristig in Protokolldateien speichert. Die Wahrneh­mung von EuroPriSe über die Grenzen Europas hinweg sei besonders erfreulich und unterstütze den Wirkkreis der Europäischen Datenschutzrichtlinie.

Ein im November 2008 durchgeführter, an Hersteller und Gutachter gerichteter Workshop bei Ernst & Young in Stockholm brachte ein positives Feedback zum Nutzen des Verfahrens. Die beteiligten Hersteller stellten übereinstimmend fest, dass die Evaluierungen eingehender sind als erwartet, sie ihre Produkte bzw. Dienstleistungen im Ergebnis verbessern und auch den Umsatz teilweise erheblich steigern können. In Stockholm wurden drei weitere EuroPriSe-Siegel verliehen. Dabei wurde vom Europäischen Datenschutzbeauftragten die Unterstützung bekräftigt und eine enge Zusammenarbeit von EuroPriSe mit der Artikel-29-Daten­schutzgruppe und den nationalen Datenschutzbehörden in Europa zugesagt.

EuroPriSe wurde im In- und Ausland vorgestellt, z. B. im Arbeitskreis Daten­schutz Deutscher Unternehmen, bei der Deutschen Gesellschaft für Datenschutz und Datensicherheit, der Zeitschrift Datenschutz und Datensicherheit, der inter­nationalen Konferenz Privacy, Laws & Business in Cambridge, der Internationalen Konferenz der Beauftragten für Datenschutz und die Informationsfreiheit in Straßburg, der Festveranstaltung des European eGovernment Data Protection Awards in Madrid oder der 7th European Congress & Exhibition on ITS (Intelligent Transport Systems). Interessierte Hersteller werden in englischer Sprache über eine Broschüre informiert. Informationen zum Projekt für Bürgerin­nen und Bürger, Sachverständige und Hersteller befinden sich auch im Internet in deutscher und englischer Sprache.

   www.european-privacy-seal.eu/
   www.datenschutzzentrum.de/europrise/