284 DuD Datenschutz und Datensicherheit 4 | 2012

DUD REPORT

LfDI Rheinland-Pfalz: 23. Tätigkeitsbericht 2010/2011

Der Landesbeauftragte für den Datenschutz und die Informations-freiheit, Edgar Wagner, hat am 14.02.2012 den Tätigkeitsbericht für die Jahre 2010/2011 dem Präsidenten des rheinland-pfälzischen Landtags, Joachim Mertes, überreicht.

Die Einführung zum Bericht beleuchtet die inhaltlichen Schwer-punkte:

In der digitalisierten Welt, in der wir überall Datenspuren hinter-lassen, im Internet und außerhalb des Netzes, nimmt die Bedeu-tung des Datenschutzes zwangsläufig zu und damit auch die öf-fentliche Aufmerksamkeit an ihm.

Naturgemäß richtet sich die öffentliche Aufmerksamkeit im Lan-de auch nach den Ereignissen, die bundesweit Schlagzeilen ma-chen. Im Berichtszeitraum waren dies nicht mehr die großen Daten-skandale wie noch 2008 und 2009, als die Deutsche Bahn, die Deut-sche Telekom, Lidl und andere deutsche Unternehmen für Aufre-gung sorgten. An ihre Stelle traten vielmehr Google, Facebook und Co., also die US-amerikanischen Internetgiganten, über deren Akti-vitäten alle Medien intensiv berichteten, die elektronischen eben-so wie die Printmedien und bei diesen die seriösen Tageszeitun-gen ebensowie die Massenblätter. Facebook sorgte sogar für den Aufmacher bei der „Bild“-Zeitung und für einen Boykott-Aufruf im „Stern“ („Raus aus Facebook“). Auch über Google Street View be-richteten sämtliche Medien monatelang auf ihren politischen Sei-ten, in ihren politischen Magazinen und im Feuilleton. Diese Be-richterstattung beförderte eine gesellschaftliche Diskussion über den Datenschutz, die glücklicherweise immer noch im Gang ist.

Der „Datenhunger“ des Staates trat demgegenüber in den Hin-tergrund, wenn man von der Vorratsdatenspeicherung absieht, die Anfang 2010 in einer spektakulären Entscheidung des Bundesver-fassungsgerichts gestoppt wurde und seither auch nicht wieder eingeführt worden ist. Datenschutzdefizite beim Einsatz des sog. Staatstrojaners spielten zwar in der öffentlichen Diskussion eben-falls noch eine gewisse Rolle. Im Übrigen herrschte aber eher Ru-he. Die neue Volkszählung wurde mit dem Segen des Bundesver-fassungsgerichts und ohne nennenswerte Proteste in der Bevöl-kerung durchgeführt, der neue elektronische Personalausweis mit seinem RFID-Chip und besonderen Zusatzfunktionen mit kritischer Unterstützung der Datenschutzbeauftragten eingeführt und das ELENA-Verfahrensgesetz, das zu einer Vorratsdatenspeicherung zahlreicher Datensätze von 40 Millionen Beschäftigten geführt hätte, vom Bundestag still und leise aufgehoben.

Vor diesem Hintergrund spielte sich die datenschutzrelevan-te Entwicklung in Rheinland-Pfalz ab, jene im staatlichen Bereich und jene in der Wirtschaft. Weder in dem einen noch in dem ande-ren Bereich kam es zu großen Datenskandalen. Pannen und Daten-schutzdefizite waren allerdings hier wie dort festzustellen. Immer mehr richtete sich die Aufmerksamkeit allerdings auf weitere Be-teiligte: die Bürgerinnen und Bürger selbst, die zunehmend Daten von sich preisgeben, auch unbewusst Datenspuren hinterlassen und von der digitalen Entwicklung im Netz und außerhalb des Net-

zes nicht selten überfordert werden, was nicht zuletzt auch darin zum Ausdruck kommt, dass die Bürgerinnen und Bürger sich immer häufiger hilfesuchend an meine Dienststelle wenden. Dabei ging und geht es auch um Fragen der Informationstechnik, zumal diese immer nachhaltiger in alle Lebensbereiche eindringt.

Der Bericht stellt diese Entwicklung dar und gibt Rechenschaft darüber, wie der LfD seine ihm übertragenen Aufgaben wahrge-nommen hat. Er gliedert sich in zwei große Abschnitte. Im ersten Abschnitt finden sich grundsätzliche Anmerkungen zum Stellen-wert des Datenschutzes, zur Entwicklung des Datenschutzrechts und zu den thematischen Schwerpunkten des Datenschutzes so-wie zum Datenschutz als Bildungs- und Erziehungsaufgabe. Im zweiten Abschnitt werden ausgewählte Prüfungsergebnisse zu-sammengefasst. Der Bericht endet mit einigen Bemerkungen zur Dienststelle des LfD und ihrer Entwicklung im Berichtszeitraum.

Der Tätigkeitsbericht ist auf der Website http://www.datenschutz.rlp.de/de/ds.php?submenu=berichtverfügbar.

LfDI Brandenburg: 16. Tätigkeitsbericht 2010/2011

Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht, Dagmar Hartge, veröffentlichte am 06.03.2012 den 16. Tätigkeitsbericht für die Jahre 2010 und 2011. Es ist der erste Be-richt seit der Zusammenführung der Datenschutzaufsicht über den öffentlichen und privaten Bereich.

Hartge: „Datenschutzverstöße von Unternehmen – das hat mir die neue Zuständigkeit für die Datenschutzaufsicht über den pri-vaten Bereich gezeigt – sind für die Bürgerinnen und Bürger min-destens ebenso schwerwiegend, wie Verstöße öffentlicher Stellen.“

Hartges Resümee spiegelt sich in den Schwerpunkten des aktu-ellen Tätigkeitsberichts wider. So erreichten ihre Behörde beispiels-weise zahlreiche Beschwerden über die Videoüberwachung des öf-fentlichen Raums oder in Unternehmen.

Die Vorbereitung und Durchführung des Zensus 2011 wurde von der Landesbeauftragten im Berichtszeitraum ausführlich begleitet. Bei ihren Kontrollen konnte sie sich von der datenschutzgerech-ten Abschottung der Erhebungsstellen von der regulären Verwal-tung ebenso überzeugen wie vom ordnungsgemäßen Umgang mit den erhobenen Unterlagen. Die erforderlichen technischen Sicherheitsmaßnahmen wurden sowohl in den Erhebungsstellen vor Ort als auch im Amt für Statistik Berlin-Brandenburg ergriffen.

Dass der datenschutzgerechte Umgang mit sensitiven Patien-tendaten im Gesundheitswesen eine wichtige Voraussetzung für das Vertrauen der Patientinnen und Patienten darstellt, gilt sowohl für Amtsärzte als auch für private Praxen.

Dagmar Hartge:„Besonders bei privaten Kliniken oder Arztpraxen besteht in Sa-chen Datenschutz und Datensicherheit noch erheblicher Nachhol-bedarf. Die Begleitung neuer Projekte zur Telemedizin sowie Kon-

Helmut Reimer

Report

DuD Datenschutz und Datensicherheit 4 | 2012 285

DUD REPORT

trollen in den Einrichtungen vor Ort sind mit den mir zur Verfügung stehenden Bordmitteln jedoch kaum noch zu bewerkstelligen.“

Die Kassenärzte sind seit Januar 2011 verpflichtet, medizinische Daten zu Abrechnungszwecken elektronisch an kassenärztliche Vereinigungen zu übermitteln. Eine solche Anbindung der Arztpra-xen an medizinische Netze muss hohen technischen Sicherheits-anforderungen entsprechen. Dieselben Anforderungen gelten im Übrigen auch für telemedizinische Verfahren, also bei der Über-mittlung von Gesundheitsdaten zwischen dem Patienten oder Fachkräften vor Ort und dem Arzt. Die Landesbeauftragte befasst sich mit zahlreichen Projekten zur Telemedizin, deren Bedeutung gerade im ländlichen Raum stetig zunimmt.

Auch für Krankenhäuser gilt, dass Patientendaten vor unbefug-tem Zugriff zu sichern sind. Der Zugriff von Klinikbeschäftigten auf sensitive Daten ist vielfach nicht restriktiv genug gestaltet. So ge-nannte Krankenhausinformationssysteme erlauben teilweise sogar nahezu unbeschränkten Zugriff auf Gesundheitsdaten. An dieser Stelle sind aber auch die Hersteller der eingesetzten Software auf-gefordert, die Anforderungen des Datenschutzes technisch um-zusetzen.

Die Prüfung der gesundheitlichen Eignung für eine Beschäfti-gung im öffentlichen Dienst ist für Angestellte nur bei begründeter Veranlassung zulässig – und selbst dann dürfen Gesundheitsdaten nicht grenzenlos erhoben werden. Ein von Hartges Behörde ge-prüfter Fragebogen für die amtsärztliche Untersuchung sah jedoch vor, dass künftige Mitarbeiter regelmäßig weit in die Vergangen-heit reichende Angaben zur gesundheitlichen Vorgeschichte ma-chen sollten, obwohl dies nur für ganz spezifische Berufsgruppen erforderlich ist. Außerdem wurden die Bewerber unzulässiger Wei-se aufgefordert, sämtliche behandelnden Ärzte pauschal von der Schweigepflicht zu entbinden. Der künftige Arbeitgeber sollte da-rüber hinaus Kenntnis des gesamten Gutachtens und nicht nur des Ergebnisses erhalten – eine Erforderlichkeit hierfür besteht nicht. Das verantwortliche Gesundheitsamt erklärte sich schließlich be-reit, die datenschutzrechtlichen Einschränkungen durch eine Über-arbeitung des Fragebogens zu berücksichtigen.

Ein „Dauerbrenner“ ist nach wie vor die IT-Sicherheit in der Lan-desverwaltung: Der Computerwurm „Conficker“ trieb im Berichts-zeitraum auch auf einigen Rechnern der Landesverwaltung sein Unwesen. Dabei hätten selbst einfachste Sicherheitsmaßnahmen genügt, ihn daran zu hindern. Der Vorfall zeigte, dass weder die Antivirensoftware, noch die Betriebssysteme auf dem aktuellen Stand waren. Regelungen, solche Aktualisierungen regelmäßig durchzuführen, fehlten ebenso wie ein zentrales Virenschutzkon-zept. Die verantwortlichen Stellen behaupteten hingegen, es ha-be zu keinem Zeitpunkt ein Risiko bestanden und waren nicht in der Lage, einen konkreten Maßnahmenplan vorzulegen. Durch die Angelegenheit wird deutlich, dass die Arbeiten an der IT-Strate-gie für die Landesverwaltung unbedingt beschleunigt werden soll-ten. Datensicherheit und Datenschutz müssen integraler Bestand-teil dieser Strategie sein.

Die Entwicklung der zurückliegenden Jahre zeigt, dass die der-zeitigen Regelungen zum Datenschutz weder der zunehmenden Verlagerung der Datenverarbeitung ins Internet noch der erfor-derlichen Kontrolle weltweit tätiger Unternehmen gewachsen sind. Eine Modernisierung des Datenschutzes, die von den Daten-schützern schon länger gefordert wird, ist überfällig. Gegenwärtig wird ein Vorschlag der Europäischen Kommission für einen neuen Rechtsrahmen diskutiert. Die Datenschutzbeauftragten des Bun-des und der Länder werden am 21. und 22. März 2012 in Potsdam

zusammenkommen, um diese Vorschläge zu beraten. Den Vorsitz der Datenschutzkonferenz hat die brandenburgische Landesbe-auftragte im Januar turnusmäßig für ein Jahr übernommen.

Als erstes Land der Bundesrepublik Deutschland gab sich Bran-denburg vor nunmehr vierzehn Jahren das Akteneinsichts- und In-formationszugangsgesetz. Diese Vorreiterrolle in Sachen Informa-tionsfreiheit hat Brandenburg inzwischen abgegeben. Vergleich-bare Regelungen anderer Länder gehen längst über das hinaus, was hier zu Lande einmal eine Errungenschaft war. Die Landesbe-auftragte hatte bereits im letzten Tätigkeitsbericht Defizite des Ak-teneinsichtsrechts beschrieben. Im Dezember 2010 forderte dar-aufhin der Landtag die Landesregierung zur Vorbereitung einer Novellierung des Akteneinsichts- und Informationszugangsgeset-zes auf. Zwar erklärte die Landesregierung vor zwei Jahren, mit den Arbeiten begonnen zu haben. Bislang blieb die Ankündigung je-doch ohne Ergebnis.

Die Anfragen und Beschwerden bei der Landesbeauftragten zei-gen, dass Brandenburg auch in der Praxis zum Schlusslicht der In-formationsfreiheit geworden ist. Häufig muss die Landesbeauf-tragte deshalb darauf hinweisen, dass die Behörden gar nicht an-ders können, als einen Antrag auf Akteneinsicht abzulehnen. Ver-ständliche Frustrationen sind die Folge – übrigens nicht nur auf Sei-ten der Antragsteller. Auch Behörden wollen oftmals transparenter sein, als das Gesetz es vorsieht.

Niemand bestreitet, dass Unternehmen grundsätzlich ein Recht darauf haben, dass öffentliche Stellen keine Informationen über sie herausgeben, die ihre Wettbewerbsposition schwächen. Aber längst nicht jede Information, die sich auf Unternehmen bezieht, spielt für den Wettbewerb überhaupt eine Rolle. Dennoch schützt das Akteneinsichts- und Informationszugangsgesetz nahezu sämt-liche solcher Angaben. Es ist zudem ausschließlich gegenüber „klassischen“ Behörden anwendbar. Werden Aufgaben auf privat-rechtlich organisierte Stellen ausgelagert, kommt das Gesetz gar nicht zum Tragen, selbst wenn ein Unternehmen in hundertpro-zentigem Eigentum der öffentlichen Hand verbleibt.

„Brandenburgs Verfassung ist bundesweit die einzige, die ein Grundrecht auf Informationszugang garantiert. Meine Erfahrungen mit den restriktiven Regelungen des Akteneinsichts- und Informa-tionszugangsgesetzes einerseits und den enorm gestiegenen ge-sellschaftlichen Anforderungen an einen transparenten Staat an-dererseits lassen mich inzwischen daran zweifeln, ob das Gesetz den Verfassungsartikel noch in zeitgemäßer Weise umsetzt.“

Der vollständige Tätigkeitsbericht der Landesbeauftragten für den Datenschutz und für das Recht auf Akteneinsicht steht auf der Website www.lda.brandenburg.de zum Herunterladen zur Verfü-gung.

De-Mail-Diensteanbieter akkreditiert

Die ersten drei Anbieter von De-Mail-Diensten erhielten am 06.03.2012 auf der CeBIT in Hannover ihre Akkreditierung vom Bun-desamt für Sicherheit in der Informationstechnik. Mentana-Claim-soft GmbH, Telekom Deutschland GmbH und T-Systems Internatio-nal GmbH können nun ihre De-Mail-Dienste Unternehmen, Verwal-tungen und Privatpersonen anbieten.

De-Mails werden auf verschlüsselten Transportwegen versen-det. Zudem kann die Identität der Kommunikationspartner eben-so wie Versand und Eingang von De-Mails nachgewiesen werden. Dadurch können viele Vorgänge jetzt auch elektronisch verschickt