Schutz der Privatsphäre ohne Alternative

Schutz der Privatsphäre ohne Alternative

Bei der Vorstellung des Datenschutzberichts 2003 des Unabhängigen Landeszentrums für Datenschutz (zugleich 25. Tätigkeitsbericht) erklärte der Landesbeauftragte für den Datenschutz, Dr. H e l m u t B ä u m l e r:


Auch angesichts der Bedrohungen durch Krieg und Terrorismus bleibt die Bewahrung und der Ausbau einer auf Demokratie, Grundrechten und vor allem dem Schutz der Privatsphäre basierenden Staats- und Gesellschaftsordnung ohne Alternative. Die Anstrengungen zur Verbesserung des Schutzes der Privatsphäre müssen daher unvermindert fortgesetzt werden. Nichts wäre falscher, als angesichts einzelner terroristischer Straftaten in Deutschland die Freiheitsrechte ohne Not aufs Spiel zu setzen. Unter dem Schock des 11. September und unter dem Eindruck einer ständig aus welchem Grund auch immer steigenden Kriminalstatistik sind wir in den vergangenen Jahren schon einige Schritte zu weit gegangen.

Die zunehmende Überwachung der Telekommunikation hat z. B. aus einem nur im äußersten Fall zulässigen Rechtseingriff ein alltägliches Standardmittel der Strafverfolgung werden lassen (Tz. 2). Wir dürfen deshalb den kontinuierlichen Abbau von Grundrechten nicht nur resignativ zur Kenntnis nehmen, sondern müssen die Kraft aufbringen, solche Entwicklungen zu stoppen und zum Positiven zurückzuwenden. Die Wiederherstellung eines effizienten Schutzes der Telekommunikationsfreiheit gehört aus diesem Grund ganz oben auf die innenpolitische Tagesordnung. Der erste Schritt dazu muss die von der Bundesregierung seit Jahren versprochene Analyse der Gründe für den enormen Anstieg der Überwachung der Telekommunikation sein.

Dagegen macht der Datenschutz auf anderen Gebieten erfreulicherweise deutliche Fortschritte. Die bei vielen Behörden und Unternehmen gewachsene Erkenntnis,
dass zu einem guten Produkt- und Dienstleistungsangebot auch ein überzeugendes Datenschutzkonzept gehört, eröffnet ihnen neue Perspektiven. Ein Datenschutz, der nicht im Nachhinein auf bestehende Konzepte aufgepfropft oder mit Druck und Sanktionen durchgesetzt werden muss, hat bessere Realisierungschancen. Datenschutzaudit und Datenschutzgütesiegel (Tz. 10) lassen den präventiven Datenschutz endlich Realität werden. In Schleswig-Holstein wurden bereits 3 Gütesiegel verliehen, 14 Verfahren sind darüber hinaus „in Arbeit„, einige davon stehen vor dem erfolgreichen Abschluss. 11 Gutachter haben sich für Gütesiegelverfahren akkreditieren lassen, 10 weitere haben einen Antrag auf Akkreditierung eingereicht. 4 Auditverfahren wurden bislang erfolgreich abgeschlossen, im Laufe dieses Jahres werden mindestens 6 weitere hinzukommen. Erstmals hat ein Unternehmen nach eigenem Bekunden einen bedeutsamen Auftrag nach Schleswig-Holstein vergeben, weil es nur unter diesen Bedingungen ein Datenschutzaudit durchführen kann. Der marktwirtschaftliche Datenschutz überzeugt auch außerhalb der Landesgrenzen, auch der Bund arbeitet an einem Auditgesetz.

Hand in Hand mit dem Audit und dem Gütesiegel gehen die Beratung und die Mitarbeit in Modellprojekten (Tz. 9). Sie eröffnen dem Datenschutz den Einfluss auf
das Design von Technik und Produkten, der für seine effiziente Umsetzung unverzichtbar ist. In den Modellprojekten des Unabhängigen Landeszentrums für Daten- schutz entsteht in Zusammenarbeit mit Forschern, Entwicklern und Herstellern jene Technologie, in der Grundrechtsschutz von Anfang an „eingebaut„ ist. Die Bürgerinnen und Bürger werden in den kommenden Jahren konkrete Vorteile von der Nutzung dieser datenschutzfreundlichen Technologien haben. Im Berichtszeitraum sind neue Modellprojekte zu den Themen Datenschutzaudit und Gütesiegel im Rahmen des Programms „e-Region„ der EU (Tz. 9.4), ein vom Wirtschaftsministerium gefördertes Projekt zur Förderung des Einsatzes von P3P (Tz. 9.5) sowie verschiedene Projekte und Gutachtenaufträge zum Thema „Identitätsmanagement„ (Tz. 9.6) hinzugekommen.

Neben der Mitarbeit an Modellprojekten hat das Unabhängige Landeszentrum für Datenschutz im Berichtsjahr seine traditionellen Beratungsaufgaben
wahrgenommen. Dabei zeigte sich, dass immer mehr Bürgerinnen und Bürger die schnelle, kurze Beratung am Telefon oder per E-Mail bevorzugen (Tz. 1.4). Auch Firmen und Behörden sowie Regierung und Parlament lassen sich gerne datenschutzrechtlich beraten. Die Zahl der klassischen Beschwerden über Datenschutzverletzungen bei den Behörden hat eher abgenommen. Offenbar verfehlen die praxisorientierten Regelungen des neuen LDSG, die jahrelangen Kurse der DATENSCHUTZAKADEMIE und die übrigen Aktivitäten des Unabhängigen Landeszentrums für Datenschutz ihre Wirkung nicht.

Selbstverständlich hat das Unabhängige Landeszentrum für Datenschutz auch im Berichtszeitraum mehrere Querschnittskontrollen (insgesamt 30) vorgenommen.
Dabei zeigten sich eine ganze Reihe von Mängeln, die konsequent beanstandet wurden. Als Beispiele sind zu nennen:

- Bei der Kontrolle der Rasterfahndung im Anschluss an den 11. September stellte sich heraus, dass die Aktivitäten des Bundeskriminalamtes von der geltenden
Rechtslage nicht gedeckt waren. Die Rasterfahndung wurde für Zwecke der Gefahrenabwehr betrieben, für die nur die Länder zuständig sind. Das BKA hätte in diesem Bereich allenfalls im Auftrag der Länder tätig werden dürfen, nicht aber den wesentlichen Teil der Rasterfahndung in eigener Regie durchführen dürfen. Unabhängig davon sollten, sobald die Polizei die Resultate der Rasterfahndung veröffentlicht hat, ihr Aufwand und Nutzen sowohl unter personellen und finanziellen als auch unter grundrechtlichen Gesichtspunkten einer objektiven und ergebnisoffenen Evaluation unterzogen werden (vgl. Tz. 4.2.4).

- Eine Querschnittsprüfung in der Justizvollzugsanstalt Neumünster ergab, dass seit den letzten Kontrollen Anfang der 90-er Jahre eine Reihe von Verbesserungen
umgesetzt worden sind. Nach wie vor waren aber Mängel vor allem beim Umgang mit medizinischen Daten über Gefangene und andere Datenschutzverstöße zu beanstanden (vgl. Tz. 4.3.1).

- Verbesserungsbedürftig ist trotz des bisherigen Erfolges der Aktion „Datenschutz in meiner Arztpraxis„ (Tz. 4.8.9) nach wie vor der Umgang mit Patientendaten in
Arztpraxen. In einem besonders krassen Fall fanden wir nach Hinweisen von Passanten sensible Patientendaten im offenen Container auf dem Bürgersteig, wohin sie ein Arzt hatte „entsorgen„ lassen (Tz. 4.8.8).

- Bei der Kontrolle des Krankenhauses Itzehoe entdeckten wir so gravierende Mängel, dass sie noch während der laufenden Kontrolle sofort beseitigt werden
mussten. Dies betraf insbesondere den unkontrollierten Direktzugriff externer Softwarehäuser und Wartungsfirmen auf sensible Patientendaten (Tz. 7.4.1).

- Eine systematische Analyse der Datenverarbeitung bei den im Lande ansässigen Handels- und Wirtschaftsauskunfteien zeigte, dass mit den für die wirtschaftliche
Existenz der Betroffenen wichtigen Daten nicht immer vorschriftsgemäß umgegangen wurde. So war die nicht korrekte Löschung überholter Daten aus dem Schuldnerverzeichnis zu beanstanden. Ein anderer Kritikpunkt betraf die Weitergabe der Daten auch dann, wenn die anfragende Stelle als Grund nur nichts sagende Floskeln wie „Bonitätsprüfung„ oder „Geschäftsanbahnung„ genannt hatte (Tz. 6.2.1).

- Dass auch nicht alle Banken ordentlich mit den Daten ihrer Kunden verfahren, zeigte sich, als auf einer Mülldeponie vertrauliche Bankunterlagen auftauchten (Tz.
6.4.1). Bei den Behörden allerdings haben unsere systematischen Kontrollen der letzten beiden Jahre im Bereich der Entsorgung von Papier- und sonstigen Unterlagen mit personenbezogenen Daten ihre Wirkung nicht verfehlt: Bei unangemeldeten Nachkontrollen gab es nichts mehr zu beanstanden (Tz. 7.6).

- Fast ohne Beanstandung verlief der Kontrollbesuch bei der Vertrauensstelle für das Krebsregister: dort werden die Daten Krebskranker korrekt verarbeitet und
sorgfältig vor Missbrauch geschützt; nur noch Kleinigkeiten sind im Verfahrens-ablauf zu verbessern (Tz. 7.4.3).

- Auch beim Medizinischen Dienst der Krankenkassen gab es keine gravierenden Gesetzesverstöße, wohl aber eine ganze Reihe von Punkten, in denen die
Datensicherheit noch verbessert werden muss (Tz. 7.4.4).
Bei unseren vielfältigen Arbeitskontakten und Beratungsgesprächen wurde immer wieder deutlich, dass die Administration der zunehmend komplexeren Informationstechnik für viele Behörden ein echtes Problem darstellt. Die Systemadministratoren müssen häufig eine Verantwortung wahrnehmen, die de facto der der Behördenleitung kaum nachsteht. Nicht immer haben sie die dafür notwendige Ausbildung und faire Arbeitsbedingungen. Bei den Kontroll- und Beratungsgesprächen und im Rahmen der Diskussionen in der DATENSCHUTZAKADEMIE herrscht über die Grundanforderungen an eine verantwortungsvolle Systemadministration kein Streit. In den meisten Behörden werden die richtigen Erkenntnisse aber nicht umgesetzt. Was z. B. die eingesetzte Firewall leistet bzw. nicht leistet, ist für kleine und mittlere Behörden zumeist ein Buch mit sieben Siegeln. Die Behördenleiter wiegen sich in Sicherheit, solange der Laden reibungslos läuft. Treten ernsthafte Probleme auf, dann kann sich allerdings schnell zeigen, dass die realen Verantwortlichkeiten und Verwaltungsabläufe in vielen Behörden mit dem herkömmlichen Verwaltungsaufbau nicht mehr übereinstimmen. Allen Verantwortlichen muss klar sein, dass hier eine Zeitbombe tickt (Tz. 7.1, 7.4.2).

Das Informationsfreiheitsgesetz erwies sich im Berichtsjahr als eine positive Bereicherung für das auf Transparenz und Teilhabe angelegte Gemeinwesen (Tz. 13). In vielen Fällen funktioniert die Inanspruchnahme des Gesetzes problemlos, wo Streitfragen auftreten, können sie häufig unter Vermittlung des Unabhängigen Landeszentrums für Datenschutz geschlichtet werden. Zu einem Ärgernis könnte sich allerdings die Haltung einiger Kommunen auswachsen, die meinen, wo die Verwaltung nicht hoheitlich, sondern fiskalisch handle, sei das Gesetz nicht anwendbar. Sie berufen sich auf eine dem Ziel der Regelung zuwiderlaufende Gesetzesinterpretation und bekommen neuerdings sogar Schützenhilfe von der Kommunalaufsicht des Innenministeriums. Die Bürgerinnen und Bürger wollen es zu Recht nicht einsehen, dass sie gerade dann vom Informationszugang ausgeschlossen bleiben sollen, wenn es „spannend„ wird. Häufig geht es dabei um Beschaffungsmaßnahmen oder um die Privatisierung öffentlicher Betriebe. Verständlich, dass manche Bürger sich dafür interessieren, ob dabei alles mit rechten Dingen zugegangen ist. Dass einige Behörden hier mauern wollen, ist inzwischen Gegenstand von Gerichtsverfahren. Wenn die Gerichte nicht helfen, muss der Gesetzgeber überlegen, ob er es tatsächlich sehenden Auges hinnehmen möchte, dass das Informationsfreiheitsgesetz als ein vorbeugendes Instrument gegen Korruption und Vetternwirtschaft ausgehebelt wird.



Ausführliche Informationen über unsere Arbeit können Sie erhalten beim

Unabhängigen Landeszentrum für Datenschutz
Schleswig-Holstein
Holstenstraße 98 / 24103 Kiel
Telefon: 0431/988-1200 / Telefax: 0431/988-1223
Homepage: http//:www.datenschutzzentrum.de


Kiel, 10.04.2003