Sie sind hier: Home » Recht » Datenschutz und Compliance

Keine Abstriche beim Datenschutz


Schaar äußert sich zum ELENA-Nachfolgeverfahren: Eine Datenspeicherung auf Vorrat darf es nicht geben
Im Sinne der Datensparsamkeit sollte der Umfang der personenbezogenen Daten so gering wie möglich bleiben


(10.10.11) - Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Peter Schaar, nimmt Stellung zur Löschungspflicht aller Daten, die im Zusammenhang mit der Durchsetzung des ELENA-Gesetzes (ELENA = Verfahren über den elektronischen Entgeltnachweis) entstanden sind und setzt bereits Kriterien für ein ELENA-Nachfolgeverfahren.

Schaar sagte:
"Ich begrüße, dass das Gesetz die unverzügliche Löschung aller im Zusammenhang mit dem ELENA-Verfahren entstandenen Daten vorsieht und die Meldepflicht der Arbeitgeber aufhebt. In der Datenbank sind bereits mehr als 700 Millionen Datensätze gespeichert. Den Löschprozess werde ich begleiten und den von mir treuhänderisch verwalteten Datenbank-Hauptschlüssel, mit dem bislang die Verschlüsselung der ELENA-Datenbank sichergestellt wurde, unverzüglich nach Inkrafttreten des Gesetzes löschen."

Das ELENA-Verfahren, bei dem Arbeitgeber seit Januar 2010 Entgeltdaten ihrer Mitarbeiter an die bei der Deutschen Rentenversicherung Bund eingerichtete Zentrale Speicherstelle übermittelt hatten, war von der Bundesregierung im Juli dieses Jahres wegen der nicht ausreichenden Verbreitung der qualifizierten elektronischen Signatur gestoppt worden.

Zur Ankündigung der Bundesregierung, ein einfacheres und unbürokratisches Meldeverfahren in der Sozialversicherung zu entwickeln, erklärte Schaar:
"Auch bei einem etwaigen neuen Verfahren muss der Datenschutz gewährleistet sein. Hier darf es keine Abstriche geben. Wichtig ist mir insbesondere, den Umfang der personenbezogenen Daten so gering wie möglich zu halten. Eine Datenspeicherung auf Vorrat darf es nicht geben. Schon durch die Vereinheitlichung der vielen im Sozialrecht verwendeten Einkommensbegriffe lassen sich hier Fortschritte erzielen. Von zentraler Bedeutung ist auch, dass die Betroffenen soweit wie möglich die Kontrolle über ihre Daten behalten und dass Auskunfts- und Berichtigungsansprüche von Anfang an gewährleistet werden."

Die datenschutzrechtlichen Anforderungen für ein Nachfolgeverfahren sind den nachfolgenden Eckpunkten zu entnehmen:

Datenschutzrechtliche Anforderungen an ein ELENA-Nachfolgeverfahren
Auf Basis der Erfahrungen mit dem ELENA-Verfahren sollten bei dem beabsichtigten Nachfolgeprojekt die folgenden Grundsätze berücksichtigt werden:

1) Erforderlichkeit und Datensparsamkeit
Im Sinne der Datensparsamkeit sollte der Umfang der personenbezogenen Daten so gering wie möglich bleiben. Das Verfahren sollte so gestaltet werden, dass nur die für den konkreten Zweck erforderlichen Daten erhoben und anlassbezogen verarbeitet werden. Zu vermeiden ist auch, dass Daten von Personen gesammelt werden, die das System mit an Sicherheit grenzender Wahrscheinlichkeit nicht nutzen werden (keine Vorratsspeicherung).

2) Einkommensbegriff vereinheitlichen – Daten reduzieren
Die Vielfalt der im Sozialrecht verwendeten Einkommensbegriffe hat eine hohe Komplexität der Verfahrensanforderungen zur Folge und macht umfangreiche einkommensrelevante Angaben erforderlich. Im Interesse des Bürokratieabbaus und der Datensparsamkeit sollten diese Einkommensbegriffe mit dem Ziel ihrer Reduzierung und Vereinheitlichung überprüft werden.

3) Strikte Zweckbindung
Die im Rahmen des Verfahrens erhobenen und verarbeiteten Daten müssen einer strikten Zweckbindung unterworfen werden. Ihre Verwendung ist durch eine spezialgesetzliche Regelung auf die Sozialbehörden zu beschränken. Die Zweckbindung ist technisch und organisatorisch abzusichern.

4) Datenverarbeitung unter Kontrolle der Betroffenen
Es sollte angestrebt werden, dass die Betroffenen soweit wie möglich die Kontrolle über ihre Daten behalten.

5) IT-Sicherheit
Die zur Absicherung der personenbezogenen Daten zu treffenden technischen und organisatorischen Maßnahmen müssen der hohen Sensibilität der Sozialdaten entsprechen und sich am Stand der Technik orientieren, insbesondere hinsichtlich der folgenden Anforderungen:
>> Eindeutige Identifizierung aller Verfahrensbeteiligten,
>> Verschlüsselung,
>> Protokollierung.

Soweit Daten an zentraler Stelle zusammengeführt werden sollten, müssen die Anforderungen berücksichtigt werden, die das Bundesverfassungsgericht für Telekommunikationsdaten entwickelt hat (vergleiche Bundesverfassungsgericht (BVerfG), Urteil vom 2. März 2010, BVerfGE 125, 260 folgende).

6) Verfahren bürgerfreundlich gestalten
Das Verfahren ist so bürgerfreundlich wie möglich zu gestalten. Dazu gehört, dass eine Antragstellung des Bürgers einfach, datenschutz-/-sicherheitsgerecht und zügig erfolgen kann. Dazu gehört auch, dass für den Bürger transparent ist, welche Daten über ihn gespeichert, übermittelt und genutzt werden und zu welchem Zweck dies geschieht.

7) Auskunftsanspruch der Bürger realisieren
Die Rechte der Betroffenen (insbesondere Auskunfts- und Berichtigungsansprüche) sind zu gewährleisten. Entsprechende Vorkehrungen müssen bereits in der Verfahrenskonzeption berücksichtigt werden. (BfDI: ra)

Lesen Sie auch:
Aus für ELENA beschlossen


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Datenschutz und Compliance

  • BfDI legt Konsultationsbericht zu KI vor

    Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) veröffentlicht die Ergebnisse des Konsultationsverfahrens zum Einsatz von Künstlicher Intelligenz (KI) im Bereich der Strafverfolgung und der Gefahrenabwehr. Der BfDI, Professor Ulrich Kelber, sagte dazu: "KI wird eingesetzt, ohne dass grundlegende rechtliche Fragen beantwortet wären. Der Gesetzgeber sollte jetzt zeitnah die notwendigen Entscheidungen treffen."

  • "Dark Patterns" in sozialen Medien

    Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit ( BfDI) Prof. Ulrich Kelber, zeigt sich zufrieden mit den Leitlinien, die der Europäische Datenschutzausschuss (EDSA) beschlossen hat: "Ich freue mich besonders darüber, dass der EDSA die konsolidierten Leitlinien zur Zusammenarbeit der Datenschutzaufsichtsbehörden im Kooperationsverfahren beschlossen hat. Im EDSA finden wir gemeinsam konstruktive Lösungen für Probleme, die der Gesetzgeber offen gelassen hat."

  • Liegt ein Datenschutzverstoß vor?

    Dem BfDI wurde von Hinweisgebern gemeldet, dass es im Zusammenspiel von elektronischen Gesundheitskarten (eGK) und den Konnektoren der Telematik-Infrastruktur zu Datenschutzverstößen gekommen sein soll. Dazu haben uns viele Fragen erreicht, von denen wir die häufigsten hier beantworten. Im Rahmen der Zertifikatsprüfung bei der eGK-Gültigkeitsprüfung wird die Seriennummer der eGK-Zertifikate (konkret das AUT-Zertifikat) von gesperrten elektronischen Gesundheitskarten im Sicherheitsprotokoll der Konnektoren eines Herstellers lokal gespeichert. Die Spezifikation des Konnektors sieht vor, dass keine personenbezogenen Daten protokolliert werden dürfen. Das fehlerhafte Verhalten der Konnektoren des Herstellers konnte die gematik nachstellen und hat nach eigener Aussage den Hersteller direkt über das Fehlverhalten der Konnektoren informiert.

  • EDSA beschließt Leitlinien zum Auskunftsrecht

    Der Europäische Datenschutzausschuss (EDSA) hat Leitlinien zu den Betroffenenrechten der Datenschutz-Grundverordnung (DSGVO) veröffentlicht. Im Fokus steht dabei das Auskunftsrecht, mit dem Betroffene unter anderem in Erfahrung bringen können, welche Daten Unternehmen und Behörden über sie gespeichert haben. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Professor Ulrich Kelber, begrüßt die gemeinsamen Leitlinien: "Das Recht auf Auskunft ist das grundlegende Betroffenenrecht und wird von den Bürgerinnen und Bürgern häufig in Anspruch genommen. Allerdings lässt der entsprechende Artikel der DSGVO allein einen großen Interpretationsspielraum. Der EDSA sorgt hier nun für mehr Klarheit und Einheitlichkeit."

  • Behörde hätte gerne frühzeitig beraten

    Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Professor Ulrich Kelber, kritisiert einige Bestandteile der neuen gesetzlichen Regeln zur Kontrolle des Impf-, Genesenen- oder Teststatus (3G) durch Arbeitgeberinnen und Arbeitgeber. "Die Vorarbeiten der Bundesregierung für den Deutschen Bundestag sind an einigen Stellen fehlerhaft und verzichten auf datenschutzfreundliche Regelungen. Meine Behörde hätte gerne frühzeitig und begleitend beraten. Darauf hat das federführende Ministerium aber verzichtet. Folge ist ein unnötiges Risiko datenschutzrechtlicher Fehler, die bei Klagen vor Gerichten zu Verzögerungen führen könnten. Der Pandemiebekämpfung würde das massiv schaden", sagte der BfDI.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen