Source: https://www.datenschutz.hessen.de/presse_2010.htm
Timestamp: 2018-01-23 03:54:51
Document Index: 283653961

Matched Legal Cases: ['EuG', 'EuG', 'EuG', '§ 22', '§ 21', '§ 31', 'EuG', '§ 38', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'Art. 28', 'EuG', 'EuG', '§ 31', 'Art. 28']

Archiv 2010 - Der Hessische Datenschutzbeauftragte
Presse > Archiv 2010
Informationen zur Volkszählung im Jahr 2011
18. Wiesbadener Forum Datenschutz am 7. Oktober 2010 um 14.00 Uhr im Plenarsaal des Hessischen Landtags - 40 Jahre Datenschutz in Hessen
Start von Google Street View für Frankfurt am Main -
Widerspruchsfrist bis Mitte Oktober
Zusammenfassung des Rechtsgutachtens zur Neugestaltung der Datenschutzkontrolle in Hessen
Ergebnisse der Konferenz der Datenschutzbeauftragten liegen vor
Der Hessische Datenschutzbeauftragte legte den 38. Tätigkeitsbericht vor (16. März 2010)
Pressemitteilung zum Urteil des EuGH vom 9. März 2010:
Erfordernis völliger Unabhängigkeit der Datenschutzkontrolle
Im Mai 2011 findet in Deutschland wieder eine Volkszählung statt, die letzte erfolgte im Jahr 1987. Es wird nicht mehr wie bei den vorangegangenen Volkszählungen jeder Einwohner befragt. Etwa acht Millionen, ungefähr 10 Prozent der Bevölkerung, und sämtliche Gebäude- und Wohnungseigentümer müssen an der Befragung teilnehmen. In erster Linie werden die Volkszählungsdaten aus bestehenden Verwaltungsregistern wie den Einwohnermelderegistern, den Registern der Bundesagentur für Arbeit und den Dateien der öffentlichen Arbeitgeber gewonnen. Der Hessische Datenschutzbeauftragte war und ist intensiv in die Vorbereitung des Zensus 2011 eingebunden.
Mehr über den Zensus 2011 erfahren Sie unter http://www.zensus2011.de.
Wiesbaden, den 29.10.2010
Ab dem 1. November 2010 werden neue Personalausweise ausgegeben.
Der neue Ausweis enthält neben der alten Funktionalität des Identitätsnachweises zwei neue Funktionen, die auf Wunsch genutzt werden können. Zusätzlich kann man auf dem Personalausweis auch seine Fingerabdrücke speichern lassen.
Bei den neuen Funktionalitäten handelt es sich um die sog. eID-Funktion zum einfachen und verlässlichen ausweisen im Internet und um die Aufnahme einer qualifizierten elektronischen Signatur, mit der in elektronischer Form Verträge abgeschlossen werden können, die der Schriftform bedürfen.
Der Hessische Datenschutzbeauftragte weist darauf hin, dass die eID-Funktion bei über 18-jährigen Personen bei Ausgabe des Ausweises automatisch aktiviert ist. Er rät, sich vor Abholung des Ausweises darüber Gedanken zu machen, ob die Nutzung dieses Dienstes tatsächlich gewollt ist. Wenn dies nicht der Fall sei, sollte die Ausweisbehörde aufgefordert werden, diese Funktion zu deaktivieren. Eine erneute Aktivierung sei jederzeit möglich. Das Aufbringen der elektronischen Signatur erfolgt nur auf Antrag. Auch hier solle geprüft werden, ob persönliche Anwendungsfälle denkbar seien.
Wer davon ausgeht, dass er künftig häufig Dienste im Internet in Anspruch nimmt
â€“ seien es Einkäufe, seien es virtuelle Behördengänge â€“ bei denen ein Identitätsnachweis erforderlich ist, sollte sich nach der Empfehlung des Hessischen Datenschutzbeauftragten auch über die sichere Ausstattung seines eigenen Internetzugangs Gedanken machen, damit es zu keinen unangenehmen Überraschungen komme. Denn dieser neue Dienst kann nur dann sicher sein, wenn auch der einzelne Nutzer selbst etwas für einen sicheren heimischen Arbeitsplatz tue. Firewall und Virenscanner seien unerlässlich. Empfehlenswert sei auch, nicht nur die einfachste Version eines Kartenlesers zu kaufen, sondern ein Kartenlesegerät zu erwerben, das eine eigene Tastatur besitzt. Auf diese Weise werde das Abgreifen der PIN erschwert.
Auf jeden Fall sollte das zum Personalausweis mitgelieferte Sperrkennwort sorgfältig aufbewahrt werden, damit bei Verlust des Ausweises sofort eine Sperrung erfolgen kann und eine unbefugte Nutzung oder Aktivierung der eID ausgeschlossen ist.
Der Hessische Datenschutzbeauftragte weist darauf hin, dass es eine Folge der neuen Funktionalitäten des Personalausweises ist, dass niemand mehr aufgefordert werden darf, seinen Ausweis zu hinterlegen. Dies hat der Gesetzgeber eindeutig geregelt.
Das diesjährige Wiesbadener Forum Datenschutz steht im Zeichen des 40-jährigen Bestehens des Hessischen Datenschutzgesetzes. Am 7. Oktober 1970 wurde das erste Hessische Datenschutzgesetz vom Landtag verabschiedet. Es war zugleich auch das erste Datenschutzgesetz der Welt.
Dies gibt Anlass sowohl zurückzublicken als auch über Modernisierungen im Datenschutzrecht nachzudenken.
Der erste hessische Datenschutzbeauftragte war Willi Birkelbach, der am 8. Juni 1971 vom Hessischen Landtag auf Vorschlag der Landesregierung gewählt wurde. Er war damit auch der erste Datenschutzbeauftragte weltweit.
Seine Nachfolger im Amt des Hessischen Datenschutzbeauftragten
Datenschutzbeauftragter vom 18.06.1975 bis 22.10.1991
Datenschutzbeauftragter vom 22.10.1991 bis 30.05.1996
Datenschutzbeauftragter vom 30.05.1996 bis 29.06.1999
Datenschutzbeauftragter vom 29.06.1999 bis 18.09.2003
Datenschutzbeauftragter seit 18.09.2003
werden am 7. Oktober 2010 als Referenten des 18. Wiesbadener Forum Datenschutz im Plenarsaal des Hessischen Landtags über die Entwicklungslinien und Perspektiven des Datenschutzrechts sprechen. Eröffnen wird die Veranstaltung der Vizepräsident des Hessischen Landtags Lothar Quanz.
Interessierte können gerne eine Einladung anfordern:
Google hat angekündigt, die Veröffentlichung der Ansichten im Internet für 20 deutsche Städte, darunter auch Frankfurt am Main - noch in diesem Jahr frei zu schalten.
Gegen die Abbildung von Gebäuden und Grundstücken kann ein Vorab-Widerspruch bei Google eingelegt werden. Dies kann schriftlich oder mit Hilfe eines Tools im Internet erfolgen.
Für die Ansichten aus Frankfurt endet die Frist für einen Vorab-Widerspruch voraussichtlich Mitte Oktober.
Nähere Informationen zum Verfahren und zu den Fristen finden Sie auf der Homepage der für Google zuständigen deutschen Aufsichtsbehörde, dem Hamburger Beauftragten für Datenschutz und Informationsfreiheit (http://www.datenschutz.hamburg.de).
Zusammenfassung des Rechtsgutachtens zur Neugestaltung der Datenschutzkontrolle und zur Verfassungsmäßigkeit einer Zusammenlegung des privaten und öffentlichen Bereichs der Datenschutzkontrolle in Hessen
unter Zugrundelegung des Gesetzentwurfs der Fraktion der SPD für ein Gesetz zur Neuordnung des Datenschutzes und Wahrung der Unabhängigkeit des Datenschutzbeauftragens in Hessen
- Drucks. 18/375 â€“
Der Hessische Landtag hatte den Hessischen Datenschutzbeauftragten um die Erstellung eines Gutachtens zur Organisation der Datenschutzkontrolle und dem dazu eingebrachten Gesetzentwurf der SPD gebeten. Dass Gutachten sollte die Grundsatzentscheidung des EuGH zur Unabhängigkeit der Organisation der Datenschutzaufsicht in Deutschland abwarten und verwerten. Der EuGH hat in seinem Urteil vom 9. März 2010 (C 518/07) Deutschland attestiert, die EG-Datenschutzrichtlinie (Richtlinie 95/46/EG) falsch umgesetzt zu haben, weil die Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich in den Bundesländern staatlicher Aufsicht unterstellt sind und damit nicht wie gefordert, ihre Aufgaben "in völliger Unabhängigkeit" ausüben.
Das Gutachten klärt folglich, in welchem Umfang die Datenschutzkontrolle in Hessen mit der EU-rechtlich geforderten völligen Unabhängigkeit unvereinbar ist und auf welche Weise, d.h. ebenfalls in welchem Umfang die EU-rechtlich geforderte völlige Unabhängigkeit der Datenschutzkontrolle im Einklang mit den fundamentalen Staatsstrukturprinzipien des Grundgesetzes hergestellt werden kann.
Bedeutung für das Land Hessen
Das Land Hessen ist verpflichtet, den Verstoß gegen das EU-Recht zu beheben, wenn die hessische Datenschutzkontrolle nicht in "völliger Unabhängigkeit" erfolgt. Dabei ist zu berücksichtigen, dass in Hessen die Datenschutzkontrolle für den öffentlichen und den privaten Bereich getrennt ist. Handlungsbedarf besteht, wenn in beiden Bereichen oder auch nur einem Bereich ein Verstoß gegen EU-Recht festzustellen ist.
Unabhängigkeit des HDSB
Nach § 22 HDSG ist der HDSB als oberste Landesbehörde in Ausübung seines Amtes unabhängig und nur dem Gesetz unterworfen.
Die persönliche Rechtsstellung (Wahl durch den Landtag, öffentlich-rechtliches Amtsverhältnis, abberufbar nur unter engen Voraussetzungen) nach § 21 HDSG gewährleistet insoweit "völlige Unabhängigkeit". Die Personal- und Sachausstattung erfolgt über den Präsidenten des Landtags, begründet also keine Abhängigkeiten von der Exekutive. Die Beamten des HDSB unterliegen ausschließlich dessen Weisungen (§ 31 HDSB). Selbst wenn man die strengen Maßstäbe des EuGH anlegt, können keine Zweifel an der völligen Unabhängigkeit des HDSB aufkommen.
Für den öffentlichen Bereich besteht - isoliert betrachtet - keine Handlungsnotwendigkeit.
Unabhängigkeit des Regierungspräsidiums Darmstadt, Dezernat I17 - Datenschutz
Das Regierungspräsidium Darmstadt überprüft als Aufsichtsbehörde nach § 38 Abs. 1 BDSG die Ausführung des Bundesdatenschutzgesetzes sowie anderer Vorschriften über den Datenschutz in Hessen, soweit diese die automatisierte Verarbeitung personenbezogener Daten oder die Verarbeitung oder Nutzung personenbezogener Daten in oder aus nicht automatisierten Dateien regeln. Es unterliegt als staatliche Mittelbehörde der Fachaufsicht und Rechtsaufsicht des Hessischen Innenministeriums. Damit ist es im Sinne der Rechtsprechung des EuGH nicht "völlig unabhängig", d.h. die Ausgestaltung der Datenschutzkontrolle widerspricht eindeutig den Anforderungen des EuGH.
Für den privaten Bereich besteht Handlungsbedarf.
Bei der Datenschutzkontrolle handelt es sich eindeutig um Verwaltungstätigkeit, um Tätigkeit des Staats oder eines sonstigen Trägers öffentlicher Gewalt außerhalb von Rechtsetzung und Rechtsprechung. Die Tätigkeit der Verwaltung wird dem Regierungsbereich zugeordnet. Die Verwaltungstätigkeit untersteht damit grundsätzlich der Verantwortung und Kontrolle einer Ministerin oder eines Ministers.
Dies ergibt sich aus dem zentralen, der gesetzgeberischen Gestaltung entzogenen, Strukturelement der repräsentativen Demokratie: dem Erfordernis der demokratischen Legitimation aller Träger von Staatsgewalt. Vom Volk über die von diesem gewählte Vertretung zu den mit staatlichen Aufgaben betrauten Organen und Amtsverwaltern muss eine ununterbrochene Legitimationskette bestehen.
Die Frage, ob und in welchem Umfang das Prinzip der Ministerverantwortlichkeit Ausnahmen gestattet, beschäftigt die deutsche Staatspraxis und Staatsrechtswissenschaft seit mehr als fünfzig Jahren. Das Bundesverfassungsgericht hat indes in seiner Rechtsprechung derartige Ausnahmen zugelassen.
Das Gutachten kommt in seiner Untersuchung zu dem Schluss, dass bei effektiver permanenter parlamentarischer Kontrolle eine ministerialfreie Datenschutzkontrolle nicht gegen das Demokratieprinzip des Grundgesetzes verstößt. Auch der EuGH hat dies in seiner Entscheidung verdeutlicht:
"Dieser Grundsatz bedeutet nicht, dass es außerhalb des klassischen hierarchischen Verwaltungsaufbaus keine öffentlichen Stellen geben kann, die von der Regierung mehr oder weniger unabhängig sind. Das Bestehen und die Bedingungen für das Funktionieren solcher Stellen sind in den Mitgliedstaaten durch Gesetz und in einigen Mitgliedstaaten sogar in der Verfassung geregelt, und diese Stellen sind an das Gesetz gebunden und unterliegen der Kontrolle durch die zuständigen Gerichte. Solche unabhängigen öffentlichen Stellen, wie es sie im Übrigen auch im deutschen Rechtssystem gibt, haben häufig Regulierungsfunktion oder nehmen Aufgaben wahr, die der politischen Einflussnahme entzogen sein müssen, bleiben dabei aber an das Gesetz gebunden und der Kontrolle durch die zuständigen Gerichte unterworfen. Eben dies ist bei den Aufgaben der Kontrollstellen für den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten der Fall."
Die Anforderungen des EuGH an die Unabhängigkeit der Datenschutzkontrolle lassen sich nach deutschem Verfassungsrecht erfüllen.
Das dem Gesetzentwurf der SPD-Fraktion zugrundeliegende Einheitsmodell fasst den öffentlichen und nicht-öffentlichen Bereich in einer obersten Landesbehörde (beim HDSB) zusammen. Wenn die Trennung von öffentlichem und nicht-öffentlichem Bereich aufgehoben werden soll, bietet sich in der Tat eine Zusammenlegung der bisher getrennten Datenschutzkontrollstellen an. Eine vergleichbare Organisation gibt es bereits in Bremen. Die dortige Landesbeauftragte für den Datenschutz und die Informationsfreiheit obliegt auch im nicht-öffentlichen Bereich keiner Aufsicht. Sie ist an das Parlament angegliedert und ihm rechenschaftspflichtig.
Für dieses Modell spricht, dass sich der öffentliche und nicht-öffentliche Bereich kaum noch klar trennen lassen; denn Zuständigkeitsnischen haben viel zu den Datenschutzskandalen der jüngsten Vergangenheit beigetragen.
Die Konzentration der Datenschutzkompetenz in Hessen beim HDSB hätte den Vorteil, dass Synergieeffekte genutzt werden könnten: Abstimmungen zwischen HDSB und Aufsichtsbehörde sowie Doppelarbeit hinsichtlich gleicher oder ähnlicher Fragestellungen (insbesondere in Fragen der Technik, aber auch bei Themen aus dem Gesundheits-, Sozial-, Personalwesen oder Banken/Kreditinstituten, Versicherungen) könnten entfallen. Die Zusammenführung in einer Stelle wäre zudem bürgerfreundlicher, da sie die Abgabe von Vorgängen aus mangelnder Zuständigkeit und damit auch die Bearbeitungszeiten von Eingaben erheblich reduzieren würde (derzeit geschätzt allein zwischen 500 und 1000 schriftliche und in mindestens gleicher Anzahl telefonische Abgaben vom HDSB an den RP Darmstadt jährlich).
Der einheitliche Datenschutz beim HDSB muss:
weiterhin völlig unabhängig sein
eine permanente effektive parlamentarische Kontrolle ermöglichen,
einen effektiven Schutz der Datenschutzgrundrechte als Abwehr-, Teilhabe- und Leistungsgrundrechte gewährleisten.
Parlamentarische Verantwortlichkeit
Die parlamentarische Verantwortlichkeit der Datenschutzkontrollstellen ist weniger dem EU-Recht als der deutschen demokratischen Staatsstruktur geschuldet. Der "Grundsatz der Demokratie" gehört zwar nach dem EuGH-Urteil vom 9. März 2010 zur Gemeinschaftsrechtsordnung. Die nähere Ausgestaltung innerhalb der Mitgliedstaaten ist jedoch dem jeweiligen Mitgliedstaat überlassen. Selbst die Berichtspflicht nach Art. 28 Abs. 5 RL 95/46/EG dient eher dem Transparenzgebot auf EU Ebene - und damit der Entwicklung einer europäischen Datenschutzkultur- als der Kontrolle der Datenschutzbehörden durch die nationalen Parlamente. Die Bestimmung kann aber für eine effektive parlamentarische Kontrolle dienstbar gemacht werden (EuGH-Urteil Tz. 45). Nach dem EuGH-Urteil steht fest, dass ein Fehlen jeglichen parlamentarischen Einflusses auf die Datenschutzkontrollstellen nicht in Betracht kommt (Tz. 43). Erforderlich ist auf alle Fälle eine parlamentarische Verantwortlichkeit des HDSB, die beim Einheitsmodell der gewachsenen Aufgabenstellung entsprechen muss. Völlige Unabhängigkeit und parlamentarische Verantwortlichkeit der Datenschutzkontrollstellen schließen sich nicht aus.
Ausgeschlossen ist aber zunächst eine Vermengung der Verantwortlichkeiten.
Oben wurden die Datenschutzkontrollstellen der Exekutive zugeordnet. Im Interesse der parlamentarischen Legitimität könnte man gleichwohl auf die Idee verfallen, die Datenschutzkontrolle unmittelbar einem parlamentarischen Hilfsorgan (Ausschuss) zu übertragen. Dann würde jedoch nur die ministeriale Abhängigkeit der Datenschutzkontrollstelle durch eine parlamentarische Abhängigkeit ersetzt. Es bliebe beim Verstoß gegen EU-Recht. Parlamentarische Verantwortlichkeit erfordert jedoch laufende Kontrollmöglichkeiten, Informationsrechte und Sanktionsmöglichkeiten des Hessischen Landtags bei Fehlverhalten des HDSB ("Kontrolle des Kontrollierenden"). Hierfür ist Fachkompetenz erforderlich, die beispielsweise durch Tätigkeit in einem ständigen parlamentarischen Datenschutzkontrollausschuss erworben und angewandt werden könnte.
Eine derartige Kontrolle bedeutet aber nicht Einflussnahme auf die konkrete Sachentscheidung. Auch die Verantwortlichkeit des HDSB gegenüber dem Hessischen Landtag findet ihre Grenzen an der sachlichen Unabhängigkeit des HDSB. Die Einrichtung einer außengerichteten parlamentarischen Datenschutzkontrollstelle mit Exekutivbefugnissen und fortbestehender Verantwortung gegenüber dem Hessischen Landtag wäre nicht statthaft. Ein sachlich völlig unabhängiger Parlamentausschuss würde mit Parlamentsrecht kollidieren.
Sachliche Unabhängigkeit
Soll der HDSB völlig unabhängig sein, bzw. bleiben, darf er nicht in eine hierarchische Ordnung mit dem Hessischen Landtag eingebunden werden. Mitverwaltungsrechte des Parlaments (Plenum und Ausschüsse) sind ausgeschlossen. So kommen Zustimmungs- oder Einvernehmensvorbehalte nicht in Betracht. Der Gesetzgeber ist aber selbstverständlich nicht gehindert, durch abstrakt-generelle Regelungen die Kompetenzen der Datenschutzkontrollstelle festzulegen und auf diese Weise das Kontrollverfahren zu steuern. Auch institutionelle Regelungen und Maßnahmen des Hessischen Landtags (Wahl des HDSB) beeinträchtigen dessen Unabhängigkeit nicht. Unzulässig wäre nur eine funktionelle Verschränkung. Da der Hessische Landtag und der HDSB unterschiedliche Staatsfunktionen wahrnehmen, verbieten sich sachliche Weisungsbefugnisse des Landtags.
Die Unabhängigkeit des HDSB lässt eine umfassende Staatsaufsicht über die Datenschutzkontrolle nicht zu. Im Wesen der Staatsaufsicht liegt "die Möglichkeit begründet, eine aufzehrende Wirkung zu üben gegenüber jeder Selbständigkeit des beaufsichtigten Verwaltungskörpers".
Das steht einer Fach- und Rechtsaufsicht entgegen und relativiert die Möglichkeiten einer Dienstaufsicht des Hessischen Landtags über den HDSB.
Nach § 31 Abs. 1 HDSG stellt der Präsident des Landtags dem HDSB die für die Erfüllung seiner Aufgaben notwendige Sach- und Personalausstattung zur Verfügung. Das bedeutet praktisch, dass das Parlament über die veranschlagten Mittel entscheidet. Die Veranschlagung selbst erfolgt in einem eigenen Kapitel im Haushaltsplan des Landtags. Dadurch wird verhindert, dass durch den Entzug von Finanzmitteln in die Unabhängigkeit des HDSB eingegriffen wird.
Im nicht-öffentlichen Bereich besteht keine selbständige unabhängige Entscheidungsbefugnis der Datenschutzkontrollstelle. Bei einer Zusammenführung des öffentlichen und nicht-öffentlichen Bereichs müsste eine Eingliederung in den gemeinsamen Buchungskreis 2010 des Hessischen Landtags und des HDSB, den Einzelplan 1 und dort in das eigene Kapitel des HDSB erfolgen.
Wird dem HDSB die Datenschutzkontrolle über den nicht-öffentlichen Bereich übertragen, so gehen die bisherigen Eingriffsbefugnisse aus dem nicht-öffentlichen Bereich entsprechend auf den HDSB über. Eine Optimierung der Eingriffsbefugnisse sollte im Zuge der anstehenden Rundumerneuerung des Hessischen Datenschutzgesetzes erfolgen.
Die im Gesetzentwurf der SPD beabsichtigte Übertragung der Datenschutzkontrolle des nicht-öffentlichen Bereichs auf den HDSB (Einheitsmodell) ist nicht nur ein innerorganisatorischer Akt, sondern ein Systemwechsel. Erforderlich ist - wie vorgeschlagen - eine gesetzliche Regelung.
Eine Möglichkeit der Abwahl des HDSB sollte der Ministerverantwortung nach der Hessischen Verfassung (Ministeranklage) entsprechen.
Die überschlägige Betrachtung lässt den Befund zu, dass sich durch eine entsprechende Ausgestaltung des Einheitsmodells die Unabhängigkeit des Datenschutzes insgesamt herstellen, die parlamentarische Verantwortlichkeit des HDSB wahren und die Effektivität des Datenschutzes steigern lassen.
Das Land Hessen gilt als die Wiege des Datenschutzes. Das Land könnte wieder die Vorreiterrolle übernehmen und durch eine sachdienliche Ausgestaltung des Einheitsmodells
den EU-rechtlichen Vorgaben entsprechen,
den verfassungsrechtlichen Anforderungen des Grundgesetzes entsprechen und
den effektiven Schutz der Datenschutzgrundrechte verstärken.
Zu diesem Zweck wird eine Zusammenführung des Datenschutzes im öffentlichen und nicht-öffentlichen Bereich beim HDSB empfohlen.
Wiesbaden, den 18.März 2010
Der Hessische Datenschutzbeauftragte Prof. Michael Ronellenfitsch hat am 17. und 18. März 2010 an der 79. Konferenz der Datenschutzbeauftragten des Bundes und der Länder in Stuttgart teilgenommen. Auf der Konferenz wurden ein Eckpunktepapier zur Reform des Datenschutzrechts und Entschließungen verabschiedet. Im Einzelnen sind dies:
Körperscanner â€“ viele offene Fragen
Sie finden die Texte auf der Homepage des Hessischen Datenschutzbeauftragten.
Datenschutz hat immer noch Konjunktur. Das Bundesverfassungsgericht wird nicht arbeitslos, obwohl der Hessische Datenschutzbeauftragte versucht, ihm möglichst viel Arbeit abzunehmen. Deswegen betreibt er vorweggenommenen Datenschutz und diskutiert mit den Ministerien im Vorfeld über bedenkliche Vorhaben. So hat Prof. Michael Ronellenfitsch z.B. auf die Neugestaltung des HSOG Einfluss genommen.
Wie immer gibt der Bericht einen Überblick über die verschiedenen Tätigkeitsfelder des Datenschutzbeauftragten, wie die Beratung von Gesetzgeber und Verwaltung, Prüfungen in allen Verwaltungsbereichen und Darstellungen zu Entwicklungen im Bereich der Technik.
Nachfolgend sind einige Fälle aus dem Bericht exemplarisch benannt. Der vollständige Bericht kann nach Ablauf der Sperrfrist von der Homepage des Hessischen Datenschutzbeauftragten abgerufen werdenZum 38. Tätigkeitsbericht.
Abfrage von Steuerkonten über das Internet im Verfahren Elster
Der Hessische Datenschutzbeauftragte hatte in der Vergangenheit verschiedentlich gerügt, dass für die Teilnahme an der Steuerkontenabfrage die qualifizierte Signatur und damit eine falsche Funktion verlangt wurde; denn sichergestellt werden sollte in diesem Verfahren nicht die Einhaltung eines Schriftformerfordernisses, sondern, dass nur eine berechtigte Person Zugriff erhält. Dies geht nur mit einem Authentisierungsverfahren.
Inzwischen wurde dieses Verfahren geändert. Es wird jetzt für die Steuerkontenabfrage der Einsatz von â€žSignaturkarten für authentisierungâ€œ gefordert. Die für das Verfahren zugelassenen Karten und ihre Herausgeber werden aufgelistet. Allerdings wurde das Sicherheitsniveau bei dieser Korrektur abgesenkt. Hier sollten nach Auffassung von Prof. Ronellenfitsch die Authentisierungsschlüssel auf sicheren Signaturerstellungseinheiten nach Signaturgesetz gespeichert sein und den aktuellen Algorithmen und Parametern für qualifizierte Signaturen entsprechen.
Im Polizeirecht bestand Handlungsbedarf für den Gesetzgeber, nachdem das Bundesverfassungsgericht die hessische Regelung zur Kennzeichenerfassung für nichtig erklärt und die Anforderungen an die Rasterfahndung als nicht verfassungskonform beurteilt hatte. Zudem hatte das Bundesverfassungsgericht in mehreren Entscheidungen Anforderungen zum Schutz des Kernbereichs privater Lebensgestaltung formuliert.
Trotz positiver Ansätze ist das zum 1. Januar diesen Jahres in Kraft getretene geänderte HSOG nach Ansicht des Hessischen Datenschutzbeauftragten nicht in allen Punkten gelungen. So ist nicht ersichtlich, warum zwischen den verschiedenen Gruppen der Berufsgeheimnisträger, denen nach der Strafprozessordnung ein Zeugnisverweigerungsrecht gewährt wird, im HSOG differenziert wird. Auch die Regelung zum Kernbereichsschutz bei der Wohnraumüberwachung erreicht nach Auffassung von Prof. Ronellenfitsch nicht ihr Ziel. Es ist nach seiner Auffassung zu befürchten, dass die als Beschränkung formulierte Anforderung in der Praxis dazu führen wird, dass es nie zur Ablehnung eines Einsatzes kommen wird, weil die dargestellte Konstellation extrem unwahrscheinlich ist (keine Überwachung, wenn allein Erkenntnisse aus dem Kernbereich erfasst würden).
Die nunmehr aufgenommene Regelung zur Telekommunikationsüberwachung an informationstechnischen Systemen begegnet denselben rechtlichen Bedenken wie die umstrittene Online-Durchsuchung.
Am 4. Februar 2009 ist die neue Verordnung zum Schulgesetz in Kraft getreten, die zahlreiche datenschutzrechtliche Sachverhalte konkretisiert. Der Hessische Datenschutzbeauftragte war an der Erarbeitung der Verordnung beteiligt und sieht die Belange des Datenschutzes hinreichend berücksichtigt.
Eine gewisse Uneinsichtigkeit herrscht immer noch unter vielen Lehrern, was den heimischen Arbeitsplatz anbelangt. Offenbar hat man heimisch mit heimlich verwechselt. Auch Heim- oder Telearbeitsplätze von Bediensteten der übrigen Verwaltung Hessens dürfen vom behördlichen und/oder dem Hessischen Datenschutzbeauftragten auf seine datenschutzkonforme Ausgestaltung hin kontrolliert werden.
Neue Fragestellungen ergeben sich mit der Einführung der sogenannten digitalen schwarzen Bretter; hier werden die bisherigen gedruckten Aushänge in Form eines elektronischen Aushangs angezeigt. Insbesondere erscheint aus Sicht von Prof. Ronellenfitsch regelungsbedürftig, inwieweit Informationen, die auf diesen digitalen schwarzen Brettern veröffentlicht werden dürfen, auch im Internetangebot der Schule erscheinen dürfen. Exemplarisch diskutiert wurde dies bei den Vertretungsplänen von Schulen. Hier hat Prof. Ronellenfitsch die Auffassung vertreten, dass es ausreichend ist, die jeweiligen Beginn- und Endezeiten von Unterrichtsblöcken zu veröffentlichen. Personenbezogene Veröffentlichungen sind nicht erforderlich. Bilder und Videos von Schulveranstaltungen dürfen im Internet grundsätzlich nur mit Einwilligung der betroffenen Schüler, Lehrer und Eltern veröffentlicht werden.
Probleme bei der Umsetzung des Kindergesundheitsschutzgesetzes
Seit Januar 2008 sind in Hessen Vorsorgeuntersuchungen für Kinder verbindlich vorgeschrieben. Kinder, die nicht innerhalb einer vorgesehenen Frist an den jeweiligen Früherkennungsuntersuchungen teilgenommen haben, werden durch Abgleich mit den Meldedaten ermittelt, die Eltern dieser Kinder über die erforderlichen Früherkennungsuntersuchungen informiert und an die Teilnahme erinnert. Sollte weiterhin keine Teilnahme erfolgen, wird das zuständige Jugendamt darüber informiert. Bedauerlicherweise kommt es nach Erkenntnissen des Hessischen Datenschutzbeauftragten nach wie vor zu Problemen bei der Umsetzung des Gesetzes. So sind wiederholt Eltern angemahnt worden, ihr Kind zur Vorsorgeuntersuchung zu bringen, obwohl das Kind bereits untersucht wurde, und schlimmer noch, es wurden Eltern angeschrieben, deren Kinder inzwischen verstorben waren. Die Fehler lagen teils in fehlerhafter Software der Meldeämter, teils bei Kommunikationsproblemen zwischen Standes- und Meldeamt, Fehlern beim Dienstleister sowie in verspäteten Meldungen an Standes- oder Meldeamt. Zwar haben diese Fälle nach gründlicher Problemanalyse abgenommen, gänzlich abgestellt werden konnten sie jedoch nicht. Als mögliche Ursachen werden insbesondere eine Nichtbeachtung der Berichtspflicht durch einzelne Ärzte und/oder Fehler von Praxismitarbeitern bei der Erstellung/Versendung der Bescheinigung sowie Verluste beim Postversand angesehen.
Löschung von Daten in SAP R/3 HR
Das von der Hessischen Landesverwaltung für die Personaladministration eingesetzte System SAP R/3 HR kann wichtige Datenschutzanforderungen nicht erfüllen, weil in diesem System die Löschung von Daten nicht vorgesehen ist. Für bestimmte Daten von Bediensteten, wie etwa Urlaubs- oder Krankheitsdaten sind Löschfristen gesetzlich festgelegt, die wegen des Fehlens der Löschfunktion nun nicht eingehalten werden. Dieses System hätte wegen dieses Mangels nicht zum Einsatz in der Hessischen Landesverwaltung ausgewählt werden dürfen, kritisierte Prof. Ronellenfitsch.
Obwohl die Hessische Landesregierung die SAP AG bereits im Jahr 2005 aufgefordert hat, die Löschfunktion zu realisieren, fehlt es daran nach wie vor.
Wiesbaden, den 9. März 2010
Der Europäische Gerichtshof hat mit heutigem Urteil verkündet, dass die Bundesrepublik Deutschland gegen Art. 28. Abs. 1 Unterabschnitt 2 der EU-Datenschutzrichtlinie verstößt, weil die Datenschutzaufsicht für den nicht-öffentlichen Bereich nicht in völliger Unabhängigkeit organisiert ist. Mit dieser Entscheidung sieht der Hessische Datenschutzbeauftragte den Landesgesetzgeber in der Pflicht, die Organisation der Datenschutzkontrolle im nicht-öffentlichen Bereich in Hessen rechtlich zu überprüfen.
Eine verfassungsrechtlich wasserdichte und sachadäquate Konstruktion für Hessen wird Prof. Ronellenfitsch in den nächsten Tagen präsentieren.