Jusletter IT

Nach § 3 Abs. 1 EGovG dürfen im Verkehr mit Auftraggebern des öffentlichen Bereichs Zugriffsrechte auf personenbezogene Daten, an denen gemäß §1 Abs. 1 DSG 2000 ein schutzwürdiges Interesse besteht, nur eingeräumt werden, wenn die Identität desjenigen, der zugreifen will, sowie die Authentizität des Ersuchenden in elektronisch nachprüfbarer Form nachgewiesen sind. Eine Identifikation von Betroffenen im elektronischen Verkehr mit öffentlichen Stellen darf nach § 3 Abs. 2 EGovG im Übrigen nur verlangt werden, wenn dies aus einem berechtigten Interesse des Auftraggebers geboten ist, insbesondere, weil dies Rahmen der übertragenen gesetzlichen Aufgaben erforderlich ist.

Als Nachweis für die Identität dient die Bürgerkarte, § 4 Abs. 1 EGovG. Die eindeutige Identifikation einer natürlichen Person, die Inhaber einer Bürgerkarte ist, wird in ihrer Bürgerkarte durch die Personenbindung bewirkt, § 4 Abs. 2 EGovG. Der in der Bürgerkarte bezeichneten Person wird durch die Stammzahlenregisterbehörde in elektronisch signierter Form bestätigt, dass ihr eine Stammzahl zur eindeutigen Identifikation zugeordnet ist. Für natürliche Personen, die im zentralen Melderegister eingetragen sind, wird die Stammzahl durch eine mit starker Verschlüsselung gesicherte Ableitung aus ihrer ZMR-Zahl (§ 16 Abs. 1 Meldegesetz 1991, BGBl. Nr. 9/1991) erzeugt. Für alle anderen natürlichen Personen ist ihre Ordnungsnummer im Ergänzungsregister für die Ableitung der Stammzahl heranzuziehen, § 6 Abs. 2 EGovG. Stammzahlenregisterbehörde ist die Datenschutzkommission, § 7 Abs. 1 EGovG, die sich für die damit verbundenen Aufgaben jedoch anderer Dienstleister bedienen darf, § 7 Abs. 2 EGovG. Für die meisten Bürger wird die Berechnung der Stammzahl vom Zentralen Melderegister durchgeführt, das dem Bundesministerium des Innern untersteht. Für alle anderen Betroffenen wird die Handhabung der für die Bürgerkarte notwendigen Datenverarbeitungs- und Berechnungsvorgänge vom Bundesministerium für Finanzen wahrgenommen.¹ In den Datenverarbeitungen der öffentlichen Verwaltung darf jedoch aus Gründen des Datenschutzes die Stammzahl nicht zur Identifikation einer Person verwendet werden. Für diesen Zweck darf nur ein bereichsspezifisches Personenkennzeichen (bPk) gespeichert werden, § 8 EGovG. Das bPk wird in der bürgerkartentauglichen Datenverarbeitungsumgebung der jeweiligen Behörde automatisch generiert, § 10 Abs. 1 EGovG, und zwar in einem mathematischen Verfahren, das von der Stammzahlenregisterbehörde festgelegt und im Internet – mit Ausnahme der kryptographischen Schlüssel – veröffentlich wird, § 9 Abs. 3 EGovG. Bei diesen Ableitungen handelt es sich um kryptographische Einwegableitungen, also nicht-umkehrbare Ableitungen. Aus der Stammzahl können zwar das bPk´s aller Bereiche errechnet werden, nicht aber die Stammzahl aus den bPk und auch nicht die Ableitung für einen anderen Bereich.²

In diesem Zusammenhang stellt sich die Frage, warum für jeden Bereich der öffentlichen Verwaltung nicht unterschiedliche Personenkennzeichen verwendet werden. Der Gesetzgeber begründet dies damit, dass in ganz bestimmten gesetzlich geregelten Fällen Daten über dieselbe Person aus verschiedenen Bereichen zusammengeführt werden müssen. Es müsse nach wie vor möglich sein, bei Vorliegen der gesetzlichen - insbesondere datenschutzrechtlichen - Voraussetzungen, Amtshilfe zu leisten. Dies könne zwar wie bisher auch bloß mit Hilfe des Namens des Betroffenen geschehen, doch ergebe sich aus dem Vorhandensein einer eindeutigen Identifikation in den unterschiedlichen Bereichen durch die jeweiligen bereichsspezifischen Personenkennzeichen ein Vorteil, der auch im Interesse des Datenschutzes genutzt werden sollte, da er das fälschliche Zusammenführen von Daten über unterschiedliche Personen mit gleichem Namen verhindert.³

Selbst ein erkennbar ausgefeiltes Konzept des Datenschutzes wie im Falle des EGovG kann leicht durchbrochen und ad absurdum geführt werden, wenn Behörden untereinander uneingeschränkt Auskunft erteilen und Amtshilfe leisten.

Im Anwendungsbereich des EGovG kann die ersuchende Behörde im Rahmen einer Amtshilfe bei der Stammzahlenregisterbehörde ein bPk für den Bereich anfordern, an den das Ersuchen auf Amtshilfe gerichtet werden soll. Dabei wird das bPk gemäß § 13 Abs. 2 EGovG in einer Weise verschlüsselt, dass nur die zuständige Behörde die Entschlüsselung vornehmen kann.

1. Behörde A fordert von der Stammzahlenregisterbehörde ein Fremd-bPk für eine Anfrage an Behörde B an,
2. Behörde B erhält Fremd-bPk von der Stammzahlenregisterbehörde,
3. Behörde A sendet Dokument mit ihrem verschlüsselten bPk und Fremd-bPk an Behörde B,
4. Behörde entschlüsselt mit ihrem privaten Schlüssel Fremd-bPk und kann dann Dokument einer Person zuordnen und bearbeitet die Anfrage der Behörde A,
5. Behörde B sendet das bearbeitete Dokument mit dem verschlüsselten Fremd-bPk wieder an Behörde A,
6. Behörde kann ihr verschlüsseltes bPk mit ihrem privaten Schlüssel entschlüsseln und so das Dokument der betroffenen Person zuordnen.

Im Übrigen ist eine Amtshilfe oder Auskunft auf schlichtes Ersuchen der anfragenden Behörde nicht ohne weiteres zulässig. Alle Organe des Bundes, der Länder, der Gemeindeverwaltungen und der öffentlich-rechtlichen Körperschaften sind grundsätzlich zur Amtsverschwiegenheit verpflichtet, Art. 20 Abs. 3 B-VG.⁴ Andererseits haben alle mit Aufgaben der Bundes-, Landes- und Gemeindeverwaltung betrauten Organe sowie die Organe anderer Körperschaften des öffentlichen Rechts über Angelegenheiten ihres Wirkungsbereiches Auskünfte zu erteilen, soweit eine gesetzliche Verschwiegenheitspflicht dem nicht entgegensteht. Außerdem sind alle Organe des Bundes, der Länder und der Gemeinden im Rahmen ihres gesetzmäßigen Wirkungsbereiches zur wechselseitigen Hilfeleistung verpflichtet, Art. 22 B-VG.⁵

Die Verpflichtung zur Auskunft oder Amtshilfe bedeutet aber nicht, dass Behörden untereinander uneingeschränkt zur Auskunft über bei ihnen gespeicherte personenbezogene Daten verpflichtet sind. Zwar ist in §§ 8 Abs. 3 Ziffer 2 und 9 Ziffer 4 DSG 2000 eine Datenverwendung in Form der Amtshilfe ausdrücklich vorgesehen. Dabei sind jedoch weitere Bestimmungen des DSG 2000 zu beachten. Nach § 7 Abs. 2 DSG 2000 darf eine Übermittlung von personenbezogenen Daten nur stattfinden,

1. wenn diese aus einer gemäß Abs. 1 zulässigen Datenverarbeitung stammen und,
2. der Empfänger dem Übermittelnden seine ausreichende gesetzliche Zuständigkeit oder rechtliche Befugnis – soweit diese nicht außer Zweifel steht – glaubhaft gemacht hat und
3. durch den Zweck und Inhalt der Übermittlung die schutzwürdigen Geheimhaltungsinteressen des Betroffenen nicht verletzt werden. (Letzeres regeln die §§ 7 und 8 DSG 2000)

Ob diese Grundsätze in der Verwaltungspraxis immer beachtet werden bzw. ob sie überhaupt allen Behörden bekannt sind, erscheint fraglich.

Nachdenklich stimmt auch eine Entscheidung der Datenschutzkommission aus dem Jahre 2006 (K121.229/0006-DSK/2006).⁶ Eine Behörde hatte die Aufgabe, die Zuverlässigkeit eines Bürgers im Rahmen eines waffengesetzlichen Verfahrens zu prüfen und bei der Wohnsitzgemeinde nach dafür relevanten Daten nachgefragt. Diese hatte daraufhin der nachfragenden Behörde eine Reihe von Schriftstücken übermittelt, die erkennbar kaum etwas mit der zu bearbeitenden Aufgabe zu tun hatten.⁷ In ihrer Entscheidung hatte die DSK zur Frage der Übermittlung von personenbezogenen Daten die Auffassung vertreten, aus § 55 Abs. 1 AVG, der auch eine einfachgesetzliche Präzisierung des Art. 22 B-VG darstelle, ergebe sich, dass eine Behörde Beweisaufnahmen auch durch ersuchte oder beauftragte Verwaltungsbehörden vornehmen lassen oder Beweisaufnahmen durch sonstige Erhebungen ersetzen oder ergänzen kann. Umso mehr seien bloße Ersuchen um Akten- oder Urkundenübersendung im Verwaltungsverfahren möglich: Nach der Rechtsprechung des Verwaltungsgerichtshofes zu § 46 AVG könne die Behörde ohne weiteres das Beweis- und Erhebungsmaterial anderer Verfahren und anderer Behörden zu Beweiszwecken heranziehen. Solche Ersuchen müssten im Hinblick auf das Ziel des Verwaltungs(beweis)verfahrens – Feststellung des für (in der Regel) einen Bescheid maßgeblichen Sachverhalts von Amts wegen, - s. §§ 37 und 39 Abs. 2 AVG – auch weit gefasst sein können. § 46 AVG bestimme, dass die Behörde möglichst jedes relevante Beweismittel verwenden und würdigen soll, was voraussetzt, dass sie im Zuge ihrer Ermittlungstätigkeit überhaupt von ihm Kenntnis erlangt. Würde man an ein Amtshilfeersuchen strengere Anforderungen stellen (etwa, dass ein bestimmter Akt oder eine bestimmte Verwaltungssache zu bezeichnen sei), würde diese Aufgabe des Verwaltungsverfahrens vereitelt. Eine Begründung, die die Rechtsgrundlage oder zumindest das Ziel des konkret geführten Verwaltungsverfahrens und darauf bezogen das Beweisthema benennt, muss daher als ausreichend angesehen werden.

Die Datenschutzkommission habe wiederholt ausgesprochen, dass sie nicht befugt sei, die Zulässigkeit von (Beweismittel-)Erhebungen im Verwaltungsverfahren im Detail zu prüfen. Grundsätzlich bestehe für diese ein in den Bestimmungen über das Ermittlungsverfahren (hier §§ 37 ff AVG) zum Ausdruck kommendes überwiegendes berechtigtes Interesse. Als Abgrenzungskriterium werde jedoch dieDenkmöglichkeit als Ausdruck des in § 1 Abs. 2 DSG 2000 normierten Verhältnismäßigkeitsgrundsatzes herangezogen: Wenn es denkmöglich sei, dass die von einer in der Sache zuständigen Behörde ermittelten Daten nach Art und Inhalt für die Feststellung des relevanten Sachverhalts geeignet seien, sei die Zulässigkeit der Ermittlung aus datenschutzrechtlicher Sicht gegeben. Die Inanspruchnahme einer tiefergehenden Beurteilung der Eignung der von der sachlich zuständigen Behörde gewählten Ermittlungsschritte würde einen Eingriff in die sachliche Zuständigkeit der ermittelnden Behörde bewirken, der gegen das aus dem Recht auf ein Verfahren vor dem gesetzlichen Richter abzuleitende Prinzip der präzisen Abgrenzung der Behördenzuständigkeit nach objektiven Kriterien (VfSlg 3156, 8349), in exakter (VfSlg 9937, 10.311) und in eindeutiger Weise (VfSlg 11.288, 13.029, 13.816) verstößt.

Im Ergebnis bedeutet diese Auffassung der DSK, dass eine Behörde bei ihr vorhandene personenbezogene Daten, die von ihr für einen bestimmten – hoffentlich gesetzlich zulässigen - Zweck gespeichert worden sind, an eine andere im Wege der Amtshilfe weitergeben darf, wenn es denkmöglich erscheint, dass die Daten für die konkrete Aufgabe der anfragende Behörde geeignet sind. Die angefragte Behörde ist also nach Auffassung der DSK nicht befugt, näher zu prüfen, ob die Verwendung der Daten durch die ersuchende Behörde mit den Zwecken übereinstimmt, für die sie ursprünglich erhoben worden sind. Dies könnte eine Verletzung des elementaren Grundsatzes der Zweckbindung darstellen, der einen wesentlichen Bestandteil des Grundrechtes auf Datenschutz darstellt und nicht nur in § 6 Abs. 1 Ziffer 2 DSG 2000 niedergelegt ist, sondern auch Bestandteil des Europäischen Datenschutzrechtes ist, Art. 6 Abs. 1 Buchst. b DSRL.

In diesem Zusammenhang erscheint es sinnvoll, einmal näher zu prüfen, was unter Zweckbindung im Sinne der genannten Vorschriften zu verstehen ist. Ist damit Zweckidentität gemeint, so dass jede Abweichung bereits zu einem Verwendungsverbot für die relevanten Daten führt, oder reicht Zweckvereinbarkeit aus? Wenn Zweckbindung so zu verstehen ist wie es das deutsche Bundesverfassungsgericht in seinem bekannten Volkszählungsurteil⁸ bei der Beschreibung des informationellen Selbstbestimmungsrechts voraussetzt, besteht wenig Spielraum für eine andere Nutzung der Daten. Danach setzt ein Zwang zur Bekanntgabe personenbezogener voraus, dass der Verwendungszweck im Voraus bereichsspezifisch präzise festgelegt ist, so dass eine davon abweichende Verwendung für eine andere Behörde nicht möglich ist.⁹ Diese strenge Auffassung von der Zweckbindung hat auch in das deutsche Bundesdatenschutzgesetz (BDSG) Eingang gefunden, §14 Abs. 1 BDSG, wird aber in der Literatur im Hinblick auf die Notwendigkeit einer funktionsfähigen Verwaltung und die Vorteile der Nutzung von ITK für die Integration und die Steigerung der Effizienz kritisiert. Die vom Bundesverfassungsgericht gefundene Definition der informationellen Selbstbestimmung werde zunehmend nicht mehr als dem Wandel zu einer Informationsgesellschaft angemessen empfunden. Es gelte daher die Reichweite und den Inhalt der informationellen Selbstbestimmung in einer Weise zu überdenken, die den Anforderungen auch in Zeiten vernetzter Verwaltungsorganisationen gerecht werde.¹⁰ Die zitierten Verfasser weisen nach, dass eine ausschließlich bereichsorientierte Betrachtung der Zweckbindung praktisch kaum möglich ist und schlagen vor dem Hintergrund einer zunehmenden Medienkompetenz der Bevölkerung in der Informationsgesellschaft vor, in dem Anstoßen einer Datenverarbeitung durch die Bürger eine individuelle Konkretisierung des Zwecks zu sehen. Anders als bei einer Einwilligung in einen vorgegebenen Zweck entspreche die Zwecksetzung durch den Bürger weit mehr dem Anspruch auf informationelle Selbstbestimmung. Da die Betroffenen gemäß Art. 10 DSRL (entsprechend § 24 DSG 2000) über die angestoßenen Datenverarbeitungsvorgänge zu informieren seien, habe diese Zwecksetzung besonderes Gewicht.¹¹

Die Rechtslage in Österreich ist indes mit der in Deutschland in Bezug auf den Inhalt der Zweckbindung nicht ohne weiteres vergleichbar. Während das deutsche BVerfG das Informationelle Selbstbestimmungsrecht als subjektives Recht des Einzelnen auf der Grundlage bestimmter Bestimmungen des deutschen Grundgesetzes ausgestaltet hat, steht in Österreich basierend auf Art.1 Abs. 1 DSRL und § 1 Abs.1 DSG 2000 mehr der Schutz der Privatsphäre nach objektiven Kriterien im Vordergrund. Sowohl die DSRL als auch das DSG 2000 lassen eine Weitergabe von für einen bestimmten Zweck erhobenen personengebundenen Daten grundsätzlich zu. Das ergibt sich aus Art. 11 Abs. 1 DSRL und § 7 Abs. 2 DSG 2000. Aber auch im Falle einer Übermittlung von Daten sind die Maßstäbe des Art. 6 Abs. 1 Buchst. b DSRL bzw. § 6 Abs. 1 Ziffer 2 DSG 2000 zu beachten, nach denen eine Weiterverwendung nur in einer mit dem Zweck der ursprünglichen Erhebung zu vereinbarenden Weise erfolgen darf. Der Begriff «Vereinbarkeit mit dem ursprünglichen Zweck» eröffnet einen Interpretationsspielraum. Insbesondere bei sensiblen Daten, bei denen die Auflösung des Verwendungszusammenhanges besonders kritisch ist, wird die Vereinbarkeit mit dem ursprünglichen Zweck in der Regel nicht gegeben sein.¹² In diesem Zusammenhang ist das Urteil des EuGH in dem Verfahren des österreichischen Staatsbürgers Huber gg. Bundesrepublik Deutschland¹³ von Interesse. Die Daten von Herrn Huber waren in einem Ausländerzentralregister gespeichert worden, zu dem nicht nur die Ausländerbehörden, sondern auch die Sicherheits-, Polizei- und Justizbehörden Zugriff hatten. Das Gericht entschied u.a., dass nur Daten erhoben werden dürfen, die für den Aufenthalt von Ausländern relevant sind und nur Behörden Zugriff erhalten dürfen, die für diesen Bereich eine gesetzliche Zuständigkeit besitzen; nur dann sei das Kriterium derErforderlichkeit im Sinne von Art. 7 Buchst. e DSRL gegeben. Hinsichtlich der Nutzung der Daten des genannten Registers für die Kriminalitätsbekämpfung stellte das Gericht einen Verstoß gegen das Diskriminierungsverbot, Art. 12 Abs. EGV = Art. 18 Abs. 1 AEUV (umgest.) fest, weil ein vergleichbares Register für deutsche Staatsangehörige nicht existiert.

Im Einzelfall muss die übermittelnde Stelle das Kriterium der Zweckvereinbarkeit durch Vergleich des Zwecks der ursprünglichen Erhebung mit dem von der anfordernden Stelle verfolgten Zweck prüfen, außerdem, ob die Voraussetzungen für eine Übermittlung nach § 7 Abs. 2 DSG 2000 vorliegen. Für die gesetzliche Zuständigkeit und rechtliche Befugnis im Sinne von § 7 Ziffer 2 DSG 2000 ist nicht jede gesetzliche Regelung geeignet. Jeder Eingriff in das informationelle Selbstbestimmungsrecht der Bürger durch den Staat, auch die Übermittlung von personenbezogenen Daten im Wege der Amtshilfe, hat den Anforderungen der Verfassungsbestimmung des § 1 Abs. 2 DSG zu entsprechen, nach der eine Verarbeitung der erhaltenen Daten nur auf der Grundlage einer gesetzlichen Regelung erfolgen darf, die den Anforderungen von Art. 8 EMRK entspricht.¹⁴ Art. 22 B-VG hat zwar Verfassungsrang. Das ändert aber nichts an den grundrechtlichen Schranken des § 1 DSG 2000 für die Verwendung von personenbezogenen Daten. Art. 22 B-VG ist keine Befugnisnorm und hat nur internen Charakter im Verhältnis der Behörden untereinander. Sie kann daher nicht als Rechtfertigungsnorm für Eingriffe im Sinne von § 1 Abs. 2 DSG 2000 herangezogen werden, auch nicht in Verbindung mit einfachgesetzlichen Bestimmungen des DSG 2000 wie §§ 8 Abs. 3 Ziffer 2 und 9 Ziffer 4.¹⁵ Weder das allgemeine Amtshilfegebot des Art. 22 B-VG noch die zitierten Bestimmungen des DSG können sicherstellen, dass Informationshilfe im konkreten Fall zur Wahrung überwiegender Interessen eines anderen notwendig ist.¹⁶

Die im Wege der Amtshilfe angesprochene Behörde, die gemäß § 6 Abs.2 DSG 2000 für die ordnungsgemäße Verwendung der bei ihr gespeicherten Daten nach den Regeln des § 6 Abs. 1 DSG 2000 verantwortlich ist, hat daher nicht nur die Rechtmäßigkeit der gewünschten Datenverwendung durch die ersuchende Behörde zu prüfen, sondern auch das Bestehen einer spezifischen gesetzlichen Ermächtigung iSd § 1 Abs. 2 DSG iVm Art. 8 Abs. 2 EMRK als Grundlage der erwünschten Informationshilfe; erforderlichenfalls sind die erhöhten Anforderungen für die Verwendung sensibler Daten zu beachten.¹⁷ Für sensible Daten gemäß § 1 Abs. 2 Satz 2 DSG 2000 müssen nämlich darüber hinaus auch angemessene Geheimhaltungsgarantien vorgesehen werden. Entsprechende Anforderungen stellt Art. 8 Abs. 4 DSRL 95/46/EG. In Betracht kommen etwa spezifische Verwendungsbeschränkungen, auch Löschungsfristen oder Datensicherheitsvorkehrungen. Schließlich ist die Behörde, an die im Wege der Amtshilfe Daten übermittelt werden, gemäß § 24 Abs. 1 DSG 2000 und Art. 11 Abs. 1 DSRL grundsätzlich verpflichtet, den Betroffenen über die an sie übermittelten Daten zu unterrichten, damit dieser in die Lage versetzt wird, ggf. seine Rechte, z.B. sein Recht auf Auskunft gemäß § 26 DSG 2000 oder das Recht auf Richtigstellung oder Löschung gemäß § 27 DSG 2000, geltend zu machen.

Durch eine unbegrenzte Weitergabe von personengebundenen Daten im Wege der Auskunfts- oder Amtshilfe kann also der Datenschutz ausgehöhlt und das Prinzip der informationellen Gewaltenteilung durchbrochen werden. In Bezug auf die oben beschriebene Auffassung der DSK zur Amtshilfe und die Datenschutzbestimmungen des EGovG erscheint es widersprüchlich, wenn nachsuchenden Behörden einerseits bPks nur in verschlüsselter Form zur Verfügung gestellt, in der alltäglichen Verwaltungspraxis aber dann personenbezogene Daten weitgehend ohne Prüfung der Rechtsgrundlagen weitergeleitet werden.

Unter dem Gesichtspunkt der Vereinbarkeit von Erhebungszweck und Weiterverarbeitungszweck, § 6 Abs. 2 DSG 2000; Art. 6 Abs. 1 Buchst. b und c DSRL, erscheint die aus der Anlage 1 zur Bereichsabgrenzungsverordnung¹⁸ ersichtliche Zuordnung von Aufgaben zu einzelnen Bereichen nicht optimal zu sein.¹⁹ Die für den gemeinsamen Zugang zu bestimmten persönlichen Daten gebildeten Bereiche setzen sich zum Teil aus Behörden zusammen, deren Aufgaben durchaus unterschiedlich sind. So sind zum Beispiel im Bereich «Bauen und Wohnen» «Bauverfahren», «Schlichtungsstelle nach dem MRG», «Energiesparförderung» und «Grundverkehr» vertreten, im Bereich «Gesundheit» die «Krankenpflege», die «Überwachung des Giftverkehrs», das «Bestattungswesen» und der «Drogenmissbrauch». Einerseits wird durch eine recht komplexe Regelung im EGovG ein hoher Aufwand betrieben, um die Verknüpfung von Daten aus verschiedenen Bereichen zu verhindern. Andererseits wurde bei der Bildung der Bereiche eine recht grobe Zuordnung von Behörden vorgenommen, die den Zielen des EGovG sicher nicht zuträglich ist.

Der im EGovG betriebene Aufwand für den Datenschutz erscheint aber auch aus einem anderen Grunde fraglich. Um eine Zusammenführung von personenbezogenen Daten aus verschiedenen Bereichen zu verhindern oder zu erschweren, ist im EGovG ganz bewusst auf die Einführung einheitlicher flächendeckend geltender Personenkennziffern verzichtet worden.²⁰ Damit soll der gläserne Mensch verhindert werden. Das wird bei der derzeitigen Situation in Österreich in der Literatur als Illusion angesehen, weil in den beiden großen Tätigkeitsbereichen Finanz- und Gesundheitswesen eigenständige Personenkennziffern verwendet werden, die Steuernummer und die Sozialversicherungsnummer. Beide Nummern werden im Finanzwesen auch mit einander verknüpft, da sonst kein vernünftiges Steuer- und Sozialversicherungswesen möglich wäre.²¹

Wenngleich Österreich inzwischen eine Spitzenstellung bei E-Government-Anwendungen erreicht hat²² , zeichnen sich für die weitere Entwicklung Probleme ab. Das dem EGovG zugrunde liegende Organisations- und Datenverarbeitungskonzept hat einige Schwächen, die es fraglich erscheinen lassen, ob es in unveränderter Form Bestand haben wird. Auf der E-Government-Konferenz 2008 an der Donau-Universität Krems wurde u.a. über die Europäisierung und die neuesten Entwicklungen des E-Government diskutiert.²³ Die Europäisierung des Verwaltungshandelns, gekennzeichnet durch die EU-Dienstleistungsrichtlinie, das Internal Market System und das Pan-European E-Procurement System zwinge zu einer Neugestaltung des E-Government-Konzeptes. Die Verwaltungsprozesse entwickeln sich zunehmend in behörden- und ebenenübergreifende Abwicklungen.

Die im EGovG vorgenommene Abgrenzung der einzelnen Bereiche der öffentlichen Verwaltung nach der Bereichsabgrenzungsverordnung und die bPk führen dazu, dass in jedem Bereich eigene, zum Teil redundante Datensammlungen entstehen und eigene Applikationen eingesetzt werden. Das EGovG unterstützt die Silosicht: Services, Dienstleistungen und Daten werden als Einheit betrachtet und gegen andere Einheiten abgegrenzt.²⁴ Das DV- Konzept des E-Government orientiert sich an der hierarchischen Struktur der Verwaltung und nicht an den Verwaltungsprozessen, die oft mehrere Behörden in die Entscheidungen einbinden. Die Speicherung von häufig identischen personenbezogenen Daten in vielen Bereichen der Verwaltung führt zu erhöhtem Pflegeaufwand und dem Risiko einer größeren Anzahl von Fehlern und Missbräuchen. Die bereichsübergreifende Zusammenarbeit wird dadurch erschwert. Es bleibt nur die Amtshilfe oder Informationshilfe mit dem Umweg über die Stammzahlenregisterbehörde und verschlüsselte Fremd-bPks.

Abgesehen von diesen Einschränkungen wird bezweifelt, ob die angestrebte Verhinderung der Zusammenführung von Daten durch die Konstruktion der Datenhaltung gemäß dem EGovG erreicht werden kann. Es ist bereits erwähnt worden, dass die aus der ZMR-Zahl abgeleitete Stammzahl in wesentlichen Bereichen wie Gesundheitswesen, Finanz- und Bildungswesen nicht verwendet wird, sondern stattdessen eine einheitliche Personenkennziffer, die Sozialversicherungsnummer. Im Finanzwesen ist zwar die Steuernummer maßgeblich, die Sozialversicherungsnummer wird aber mitgeführt.

Ein weiterer Schwachpunkt im Konzept des Datenschutzes im EGovG ist die Zuständigkeit der DSK als Stammzahlenregisterbehörde gemäß § 7 Abs. 1 EGovG. Die DSK hat an sich die Aufgabe, die Einhaltung der auf der Grundlage der DSRL in Österreich erlassenen Datenschutzbestimmungen zu überwachen, Art. 28 Abs. 1 DSRL. In der zusätzlichen Funktion als Stammzahlenregisterbehörde gerät sie in die Situation, sich selbst überwachen zu müssen. Dies wiegt um so schwerer, weil die DSK schon lange wegen angeblicher mangelnder Unabhängigkeit in der Kritik steht. Infolge der organisatorischen Eingliederung in das Bundeskanzleramt sowie der personellen Zusammensetzung gemäß §§ 35 ff DSG 2000 wird die von Art 28 Abs.1 DSRL geforderte absolute Unabhängigkeit in Frage gestellt.²⁵ Die EU-Kommission hat deshalb bereits im Jahre 2005 ein Vertragsverletzungsverfahren gegen Österreich eingeleitet. Da die Bundesregierung auf die Kritik bisher nicht reagiert hat, ist davon auszugehen, dass die EU-Kommission eine Klage beim EuGH einreichen wird.²⁶

Deshalb erscheint es sinnvoll, nach alternativen Lösungen zu suchen, mit denen einerseits eine reibungslose Zusammenarbeit zwischen den verschiedenen Verwaltungsorganen gewährleistet wird, die Mehrfachspeicherung und Pflege von Daten vermindert und dennoch ein Maximum an Datenschutz erreicht werden kann. Es erscheint sinnvoll, die DV-Unterstützung in den Behörden an der Vorgangsbearbeitung, d.h. der logischen und zeitlichen Abfolge von einzelnen Arbeitsschritten (Workflow Management) auszurichten, auch wenn für die Erledigung verschiedene Verwaltungsorgane zuständig sind.

Im Rahmen der Lissabon-Strategie hat auch die EU Pläne für länderübergreifende Konzepte des E-Government entwickelt. Die derzeit dazu laufenden Projekte gehen auf einen Beschluss des Europäischen Parlaments und des Rates vom 21. April 2004²⁷ zu Interoperable Delivery of European eGovernment Services to public Administrations, Businesses and Citizens (IDABC) zurück. Hinsichtlich der Vorkehrungen für den Datenschutz wird auf die Richtlinien 95/48/EG und 2002/58EG, also die DSRL und die Kommunikationsdatenschutzrichtlinie verwiesen.²⁸ Über Systeme zur länderübergreifenden Identifizierung wird derzeit noch diskutiert. Z. Zt. wird aber nicht daran gedacht, in der EU einheitliche Identitätsmerkmale einzuführen. In einem gemischten Konsortium STORK (Secure Identity across Border linked)²⁹ aus privaten und öffentlichen Teilnehmern wird z. Zt. daran gearbeitet, in der EU ein länderübergreifendes System zu implementieren, das es Bürgern, Unternehmen und Behörden ermöglichen soll, auf der Grundlage von nationalen Identitätsmerkmalen mit Behörden in anderen Ländern zu kommunizieren. Es handelt sich um ein Rahmensystem, das vier Ebenen der Sicherheit und der Feststellung der Identität und der Authentication umfasst. Die nationalen Systeme sind auf der Grundlage verschiedener Sicherheitskriterien einem Level zugeordnet worden.

Das STORK-Rahmenkonzept soll die Übertragung von nationalen elektronischen Identitätsmerkmalen in STORK QAA Levels ermöglichen und außerdem Tools bereitstellen, um nationale Level verschiedener Mitgliedstaaten aufeinander abzustimmen (mappen).³⁰

Die ämterübergreifende Zusammenarbeit wird im Übrigen auch durch die Entscheidung der Europäischen Kommission zur Errichtung eines Binnenmarkt-Informationssystems (Internal Market Information System, IMI)³¹ für den grenzüberschreitenden Datenaustausch zwischen verschiedenen Ämtern gefördert.

IMI soll die in verschiedenen Binnenmarktvorschriften geforderte Verwaltungszusammenarbeit unterstützen. Hinsichtlich des Datenschutzes wird in der erwähnten Entscheidung der Kommission auf die DSRL und die Kommunikationsdatenschutz-Richtlinie³² verwiesen, Art. 5 der Entscheidung. Derzeit wird IMI für die Anwendung der Richtlinie über die Anerkennung Berufsqualifikationen³³ und die Anwendung der Dienstleistungsrichtlinie³⁴ genutzt. Speziell für den Datenschutz hat die Kommission ihre Entscheidung zur Einführung des IMI durch eine besondere Entscheidung über den Schutz personenbezogener Daten bei der Umsetzung des Binnenmarktinformationssystems (IMI) ergänzt.³⁵ Danach dürfen alle personenbezogenen Daten, die sich auf die betroffenen Personen eines Informationsaustauschs beziehen und die zwischen zuständigen Behörden ausgetauscht und in IMI verarbeitet werden, maximal für die Zeit von sechs Monaten nach formellem Abschluss des Informationsaustauschs gespeichert werden, es sei denn, eine zuständige Behörde beantragt bei der Kommission ausdrücklich das Löschen der Daten vor Ablauf dieser Frist, Art. 4 der zitierten Entscheidung der EU-Kommission über den Schutz personenbezogener Daten bei der Umsetzung des IMI. Die Frist von sechs Monaten wurde gewählt, weil Verwaltungsvorgänge üblicherweise in diesem Zeitraum erledigt werden. Außerdem haben die IMI-Nutzer in den Ämtern nur eingeschränkten Zugang zu personenbezogenen Daten, soweit diese für die jeweilige Bearbeitung erforderlich sind, Art. 12 der genannten Entscheidung.

Bedauerlicherweise ergibt sich aus den Entscheidungen der Kommission nicht, durch welche technischen Maßnahmen die datenschutzrechtlichen Ziele erreicht werden sollen. Unter Berücksichtigung der in Abschnitt 2 beschriebenen Grundsätze müssten personenbezogene Daten u.U. auch schon vor Ablauf der 6-Monatsfrist gelöscht werden, nämlich sobald der betreffende Verwaltungsvorgang erledigt ist.

In der Literatur wird im Rahmen der Einführung des IMI kritisch auf Risiken hingewiesen, u.a. die Verpflichtung zur Leistung von Amtshilfe gemäß Art. 8, 50 und 56 Berufsanerkennungsrichtlinie sowie Art. 28 Dienstleistungsrichtlinie. Amtshilfe für sich genommen begründe keine eigenständige Befugnis für die personenbezogene Informationshilfe und Eingriffe in Grundrechtspositionen. Die Erhebung und Verarbeitung personenbezogener Daten durch öffentliche Stellen sei grundsätzlich nur zulässig, soweit dies zur Erfüllung der Ihnen durch Gesetz zugewiesenen und in ihre Zuständigkeit fallenden Aufgaben erforderlich ist.³⁶ Erforderlich sei die Datenverarbeitung dann,³⁷ wenn auf sie zur Erreichung des Zwecks nicht verzichtet

werden kann. Soweit eine Datenverarbeitung durch die zuständigen Behörden zulässig sei, ist der Grundsatz der Erhebung beim Betroffenen zu beachten. Nur in gesetzlich geregelten Ausnahmefällen können personenbezogene Daten ohne Kenntnis der betroffenen Person bei Dritten erhoben werden. Kritisch wird auch die vorgesehene zentrale Datenhaltung bei der EU-Kommission wegen der damitverbundenen Missbrauchsgefahr gesehen. Außerdem bestehe keine geeignete Rechtsgrundlage für diese Aufgabe der EU.³⁸

Es ist offensichtlich, dass eine effiziente Zusammenarbeit zwischen verschiedenen Verwaltungsbehörden, die auch länderübergreifend sein kann, und ein wirksamer, den Regeln entsprechender, Datenschutz nicht leicht zu vereinbaren sind.

Es stellt sich die Frage, ob die divergierenden Ziele, d.h. effektive Verwaltung mit unmittelbarem Zugriff auf alle für die Bearbeitung notwendigen Daten einerseits und effektivem Datenschutz mit Beachtung der Erforderlichkeit, Zweckbindung und Transparenz andererseits in geeigneten technischen Gestaltungen vereinbart werden können. Der Grundsatz der Zweckbindung der Daten erfordert eine Datenverarbeitung und -übermittlung nur zu dem Zweck, für den sie erhoben worden sind. Eine Verwendung zu einem anderen Zweck ist nicht zulässig, es sei denn es besteht eine entsprechende gesetzliche Ermächtigungsgrundlage oder es liegt eine Einwilligung des Betroffenen vor. Diese Anforderungen vertragen sich nicht ohne weiteres mit Kriterien für ein modernes E-Government. Eine nahtlose Kooperation in vertikaler Ebene (EU, Bund, Länder, Gemeinden) und horizontaler Ebene zwischen Behörden mit unterschiedlichen Aufgaben erfordert eine entsprechende Vernetzung. Dabei wird die Integration der Verwaltungsleistungen in Form eines One-Stop-Government angestrebt, gewissenmaßen ein multifunktionaler Serviceladen mit dem Ziel, einheitliche Lebenssachverhalte für den Bürger behördenübergreifend von einer Stelle aus zu bearbeiten und zu erledigen.³⁹

Ein anderer Konflikt ist der Gegensatz zwischen dem durch Grundrechte garantierten individuellen Datenschutz und den Notwendigkeiten, die sich aus dem Bedürfnis der Allgemeinheit nach innerer und äußerer Sicherheit ergeben. In diesen Fällen muss der gestaltende Informatiker nach Lösungen suchen, wie er die konkurrierenden Interessen in dem größtmöglichen Umfang wahren kann (Prinzip der praktischen Konkordanz).⁴⁰

In der Welt zunehmender Datenverarbeitung wird es immer schwieriger, Datenschutz zu verwirklichen. Deshalb wird eine Unterstützung durch Informationstechnik immer wichtiger.⁴¹ Es geht dabei um die Wechselwirkung von Recht und Technik und um rechtliche Vorgaben für eine rechtskonforme, insbesondere datenschutzgerechte Technikgestaltung.⁴² Rechtliche Anforderungen müssen in technische Entwicklungsprozesse transformiert werden. Dazu ist z.B. an der Universität Kassel im Rahmen des ProjektesVerfassungsverträgliche Technikgestaltung (provet) eine Methode (KORA)entwickelt worden, die in einem vierstufigen Verfahren abstrakte rechtliche Vorgaben in konkrete technische Gestaltungsvorschläge übersetzt.⁴³ Nach der einschlägigen Literatur ist diese Methode auf alle Informations- und Kommunikationstechniken übertragbar. Auch im E-Government könnten mit KORA spezifische Techniken rechtlichen Anforderungen entsprechend gestaltet werden. Damit könne gewährleistet werden, dass E-Government-Anwendungen sowohl technisch als auch rechtlich abgesichert werden.⁴⁴

In der gewerblichen Wirtschaft hat sich in den vergangenen 15 Jahren ein Wandel in der Form vollzogen, dass die ITK-Anwendungen nicht mehr isoliert nach den Anforderungen einzelner Funktionsbereiche (organisatorische Einheiten wie z.B. Buchhaltung, Personalwesen, Vertrieb) ausgerichtet sind, sondern prozessorientiert, d.h. an den Arbeitsabläufen ausgerichtet, an denen in der Regel mehrere Funktionsbereiche beteiligt sind. Außerdem wird für alle Anwendungen eine einheitliche Datenbasis angestrebt, um die mit der mehrfachen Haltung von Daten verbundenen Probleme zu minimieren. Der Zugriff auf die Daten wird über die Anwendung gesteuert, so dass auf diese Weise auch eine Organisation der Zugriffsberechtigungen möglich ist.

Auch in der öffentlichen Verwaltung werden zunehmend ITK-Umgebungen nach diesen Prinzipien entwickelt. Interessant ist in diesem Zusammenhang eine Stellungnahme des österreichischen Städtebundes, in der es u.a. heißt:

Beim elektronischen Gesundheitsakt ELGA sind im Verhältnis zum EGovG bereits aktuellere ITK-Strukturen geplant bzw. bereits zum Teil umgesetzt. Bestimmte Basisdaten wie Gesundheitsdiensteanbieter-Index und Patienten-Index werden zentral gespeichert. A nwendungen wie elektronischer Befund und Arztbrief sind dezentrale Anwendungen, mittels derer über eine Art Bus-System auf die zentralen Datenspeicher zugegriffen werden kann.⁴⁶ Das sagt noch nichts über den Datenschutz in dieser Umgebung aus. Die Probleme in Bezug auf den Datenschutz im Gesundheitswesen liegen weniger in der Systemarchitektur, sondern mehr in der Bestimmung der Zugriffsrechte und deren Limitierungen in den Anwendungen. Im Vergleich zu den Datensilos beim E-Government auf der Grundlage des EGovG ist in ELGA bereits eine Trennung von Basisdaten und Anwendungen vollzogen, d.h. das DV-Konzept ist stärker prozessorientiert.

Eine durchgängige behörden- und länderübergreifende Zusammenarbeit setzt ein hohes Maß an Standardisierung in Bezug auf die eingesetzte Technik, die Datenstrukturen und Softwarearchitekturen voraus. Zwar ist Österreich in Bezug auf das Angebot von Onlinediensten in der EU führend,⁴⁷ erreicht aber bei der Standardisierung abgesehen von den Datenstrukturen nicht ein gleiches Niveau. In Bezug auf Standards bei Technik und Softwarearchitekturen ist die Durchdringung im Vergleich zu anderen Ländern niedriger.⁴⁸

Die in der Literatur beschriebenen Architekturen für elektronisches Government haben gemeinsam, dass Anwendungen ämterübergreifend ( Prozesse oder work flow genannt) ausgestaltet sind und die Datenverwaltung getrennt erfolgt. Der Zugriff auf die Daten durch die einzelnen Behörden richtet sich dabei nach ihren Aufgabenstellungen und wird durch geeignete Mechanismen gesteuert ( z.B. mehrstufige Verschlüsselung⁴⁹ und Metadatenmanagement,⁵⁰ ). Wesentlich ist jedenfalls, dass bei der Gestaltung der Prozesse und der dafür entwickelten DVUnterstützung von den jeweiligen Behörden nur auf die Daten zugegriffen werden kann, die in ihren Aufgabenbereich fallen sowie technische und organisatorische Vorkehrungen getroffen werden, die eine Zweckänderung oder Zweckentfremdung ausschließen. Entscheidend ist also ein wirksamer Zugriffschutz, um einerseits eine zweckgebundene Verwendung von Daten sicherzustellen und dennoch eine ämterübergreifende Zusammenarbeit zu ermöglichen.⁵¹

Für die erforderlichen organisatorischen und technischen Maßnahmen hat das deutsche Bundesamt für Sicherheit in der Informationstechnik in einem EGovernment-Handbuch u.a. Handlungsempfehlungen gegeben.⁵²

Für E-Government-Anwendungen werden auch zunehmend aktuelle IT-Technologien wie Wissensmanagement und semantische Web-Dienste eingesetzt.⁵³ Das bedeutet, die Anwendungen sollen die Fähigkeit erhalten, wesentliche Bedeutungszusammenhänge gewissermaßen automatisch zu erkennen und den Nutzer entsprechend zu unterstützen, also bestimmte Lebenssachverhalte zu erkennen und geeignete Anträge mit den entsprechenden Formularen an die zuständigen Behörden vorzuschlagen. Im Hinblick auf die fortschreitende Europäisierung der Verwaltungen gekennzeichnet durch die oben erwähnte Dienstleistungsrichtlinie, das Internal Market System und das Pan-European EProcurement System, hat auch die EU-Kommission Initiativen für eine Standardisierung der DV- Umgebungen im Bereich E-Government ergriffen. In dem Weißbuch zur ITK-Normung vom 03.07.2009 werden auch Empfehlungen gegeben, die für den Bereich E-Government relevant sind.⁵⁴ Ebenso wird die Entwicklung geeigneter Werkzeuge forciert. Mit dem Programm «IDABC (Interoperable Delivery of Pan-European eGovernment Services to Public Administrations, Business and Citizens)» sollen den Bürgern und Unternehmen europaweit elektronische Behördendienste zur Verfügung gestellt werden, die die Effizienz der Behörden in Europa und ihre Zusammenarbeit verbessern.⁵⁵

Der im EGovG implementierte Datenschutz ist grundsätzlich sicher und wirksam, hat aber einige Schwächen. Es ist technisch denkbar, dass die Stammzahlenregisterbehörde durch entsprechende Generierung von bPks auf Daten in verschiedenen Verwaltungsbereichen zugreift und auf diese Weise Profile einzelner Personen erstellt. Ein solches Vorgehen wäre ohne die vorstehend beschriebenen Voraussetzungen jedoch nicht rechtmäßig im Sinne von § 7 DSG 2000 und man kann nicht unterstellen, dass Behörden bewusst rechtswidrig handeln. Durch rechtswidriges Handeln kann fast jede Sicherung durchbrochen werden. Allerdings wäre eine Systemarchitektur für die elektronische Verwaltung sinnvoll, die gewissermaßen konstruktionsbedingt unzulässige Datenzugriffe einzelner Behörden verhindert. Offensichtlich geht die Entwicklung in diese Richtung und der Zwang zur Zusammenarbeit in der EU und die damit verbundene Standardisierung wird diese fördern. Ein Nachteil ist in jedem Falle, dass die verschlüsselte Stammzahl nicht für alle Bereiche der öffentlichen Verwaltung als verhältnismäßig sicheres Identifikationsmerkmal verwendet wird. Wichtige Bereiche haben gesonderte Regelungen: Das Gesundheits-, Bildungs- und Finanzwesen, verwenden die Sozialversicherungsnummer und das Finanzwesen zusätzlich die Steuernummer als Identifizierungsmerkmal, nicht die Stammzahl.

Das bPk-Konzept für die Identifizierung und den Schutz personenbezogener Daten ist, soweit erkennbar, einzigartig und wird außer in Österreich in keinem anderen Land verwendet.⁵⁶ Im Hinblick auf die beschriebene Entwicklung in der EU zu länderübergreifenden Verwaltungsabwicklungen sowie die Notwendigkeit technologische Fortschritte in der Informationstechnik im Interesse einer rationellen, kostengünstigen und verbraucherfreundlichen Abwicklung von Verwaltungsvorgängen zu nutzen, sind entsprechende Anpassungen des EGovG und des dahinter stehenden Konzeptes wünschenswert.

Egmar Wolfeil, Dissertant an der Universität Wien, Juridicum
Schottenbastei 10-16, 1010 Wien, AT
a0849054@unet.univie.ac.at