Pressemitteilung
Entschließungen und Beschlüsse:
- Entschließung: Gravierende Defizite bei der Umsetzung des SWIFT-Abkommens - dringender Handlungsbedarf auf nationaler und europäischer Ebene
- Entschließung: Keine Vorratsspeicherung und Rasterung von Flugpassagierdaten!
- Entschließung: Ohne gesetzliche Grundlage keine Telekommunikationsüberwachung auf Endgeräten
- Entschließung: Beschäftigtendatenschutz stärken statt abbauen
- Entschließung: Mindestanforderungen an den technischen Datenschutz bei der Anbindung von Praxis-EDV-Systemen an medizinische Netze
- Beschluss: Datenschutzkonforme Gestaltung und Nutzung von Krankenhausinformationssystemen
Der Bayerische Landesbeauftragte für den Datenschutz als Vorsitzender der Konferenz der Datenschutzbeauftragten des Bundes und der Länder informiert zum Thema
Datenschutzrechtliche Herausforderungen annehmen!
Pressemitteilung
München, 17.03.2011
Zum Abschluss der 81. Konferenz der Datenschutzbeauftragten des
Bundes und der Länder hat der diesjährige Konferenzvorsitzende,
der Bayerische
Landesbeauftragte für den Datenschutz Dr. Thomas Petri, gemeinsam
mit dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit,
Peter Schaar, und dem Landesbeauftragten für den Datenschutz
Baden-Württemberg, Jörg Klingbeil, die Konferenzergebnisse vorgestellt.
Baden-Württemberg war Ausrichter der Konferenz 2010.
Vor wenigen Tagen veröffentlichte die Gemeinsame Kontrollinstanz
von
Europol ihren Kontrollbericht zur Umsetzung des SWIFT-Abkommens.Nach diesem
Abkommen dürfen europäische Bankdaten nur auf begründetes
Ersuchen hin an die US-Sicherheitsbehörden übermittelt werden.
Für die Beurteilung der Rechtmäßigkeit des Ersuchens ist
die Europäische
Polizeibehörde Europol zuständig. Ausweislich des Kontrollberichts
waren
die bei Europol eingegangenen schriftlichen US-Anträge jedoch nicht
spezifisch
genug begründet, um eine Entscheidung über die Genehmigung
oder Ablehnung zu ermöglichen. Vielmehr waren die Anträge der
USA viel
zu abstrakt gehalten, um die korrekte Bewertung der Notwendigkeit der
beantragten Datenübermittlungen zu ermöglichen. Dessen ungeachtet
genehmigte Europol jeden eingegangenen Antrag. Nach Auffassung der
Konferenz stellt diese Vorgehensweise eine gravierende Missachtung der
datenschutzrechtlichen Vorgaben des SWIFT-Abkommens dar.
Die EU-Kommission hat einen neuen Entwurf für eine Richtlinie zur
Nutzung
von EU-Flugpassagierdaten zur Gefahrenabwehr und Strafverfolgung
vorgestellt. Zentraler Gegenstand des Entwurfs ist die systematische
Erfassung und Verarbeitung der Daten aller Fluggäste, die die EU-Außengrenzen überschreiten. So sollen Flugpassagierdaten künftig anlassfrei
automatisiert ausgewertet und analysiert werden, ohne dass die Notwendigkeit
hierfür erwiesen ist. Das Vorhaben der EU-Kommission läuft letztlich
auf eine verdachtslose Vorratsspeicherung und Rasterung von Flugpassagierdaten
hinaus. Die Konferenz fordert auch in Ansehung der verfassungsrechtlichen
Vorgaben die Bundesregierung und den Bundesrat
auf, sich dafür einzusetzen, dass der Vorschlag der EU-Kommission
für
eine Richtlinie über die Verwendung von Passagierdaten nicht realisiert
wird.
Entschließung: Keine Vorratsspeicherung und Rasterung von Flugpassagierdaten!
Um verschlüsselte Internetkommunikationsvorgänge - wie insbesondere
Internettelefonie - überwachen und aufzeichnen zu können, greifen
die
Strafverfolgungsbehörden zur sogenannten Quellen-Telekommunikationsüberwachung.
Dabei wird beispielsweise auf dem Endgerät der betroffenen
Person eine Software aufgebracht, die die Daten aus dem laufenden
Kommunikationsvorgang vor ihrer Verschlüsselung erfasst und an
die Strafverfolgungsbehörde weiterleitet. Die Konferenz macht darauf
aufmerksam,
dass diese Ermittlungsmethode in der Vorgehensweise einer
Online-Durchsuchung gleicht und auch den Zugriff auf gespeicherte Inhalte
ermöglicht. Eine Quellen-Telekommunikationsüberwachung kann daher
nur auf der Grundlage konkreter, normenklarer gesetzlicher Regelungen
erfolgen, die sicherstellen, dass sich die Überwachung auf die Daten
des laufenden Telekommunikationsvorgangs beschränkt. Die gegenwärtigen
Vorschriften der Strafprozessordnung reichen hierfür nicht aus. Die
Konferenz
fordert den Gesetzgeber auf, die Zulässigkeit und die Voraussetzungen
der Quellen-Telekommunikationsüberwachung unter strenger Beachtung
der Vorgaben des Bundesverfassungsgerichts zu klären.
Entschließung: Ohne gesetzliche Grundlage keine Telekommunikationsüberwachung auf Endgeräten
Der Deutsche Bundestag berät derzeit verschiedene Gesetzentwürfe zur Regelung des Beschäftigtendatenschutzes. Die Konferenz begrüßt die gemeinsame Zielsetzung, den Datenschutz in Beschäftigungsverhältnissen auf eine rechtssichere Grundlage zu stellen. Um dieses Ziel vollumfänglich zu erreichen, müssen aber unter anderem folgende Anforderungen beachtet werden: Das Recht eines Beschäftigten, sich an die zuständige Datenschutzaufsichtsbehörde zu wenden, darf in keiner Hinsicht eingeschränkt werden. Hinsichtlich der Durchführung von Screenings sind klare materielle Kriterien - wie die Prüfung der Verhältnismäßigkeit - erforderlich. Zur Klärung der Rechtslage sollten auch Bestimmungen etwa zum Whistleblowing, zur Personalaktenführung, zum Konzerndatenschutz und zu Folgen etwaiger Datenschutzverstöße aufgenommen werden.
Entschließung: Beschäftigtendatenschutz stärken statt abbauen
Für Abrechnungs-, Behandlungs- und Dokumentationszwecke übermitteln niedergelassene Ärztinnen und Ärzte vielfach medizinische Daten an andere Stellen mithilfe von Netzwerken. Um auf die Beachtung der ärztlichen Schweigepflicht hinzuwirken, hat die Konferenz Mindestanforderungen an den technischen Datenschutz bei der Anbindung von Praxis-EDVSystemen an medizinische Netze formuliert.
Angenommen hat die Konferenz auch eine Orientierungshilfe zur datenschutzkonformen
Gestaltung und Nutzung von Krankenhausinformationssystemen.
Im Hinblick auf den Einsatz der Informationstechnik in Krankenhäusern
hat sich der dringende Bedarf gezeigt, zu einem bundesweit
und trägerübergreifend einheitlichen Verständnis der datenschutzrechtlichen
Anforderungen zu gelangen. Im Rahmen der Entwicklung und
Ausarbeitung der Orientierungshilfe wurden neben Herstellern von Krankenhausinformationssystemen
auch Betreiber und Datenschutzbeauftragte
von Krankenhäusern einbezogen. Das vorliegende Dokument wird den
Datenschutzbehörden als Maßstab bei der künftigen Bewertung
konkreter
Verfahren im Rahmen ihrer Kontroll- und Beratungstätigkeit dienen.
Beschluss: Datenschutzkonforme Gestaltung und Nutzung von Krankenhausinformationssystemen
Weitere Themen der Konferenz waren unter anderem das Eckpunktepapier des Bundesministeriums der Justiz zur Sicherung vorhandener Verkehrsdaten und Gewährleistung von Bestandsdatenauskünften im Internet, die Datenverarbeitung bei der Hausarztzentrierten Versorgung, die verfassungsrechtliche Bewertung des ELENA-Verfahrens und die Pläne der Bundesregierung zur Einrichtung einer Bundesstiftung Datenschutz.
Gravierende Defizite bei der Umsetzung des SWIFT-Abkommens - dringender Handlungsbedarf auf nationaler und europäischer Ebene
Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder missbilligt, dass - wie eine Prüfung der Gemeinsamen Kontrollinstanz von Europol ergeben hat - EU-Zahlungsdaten auf der Grundlage viel zu abstrakter Anfragen von US-Seite umfassend in die USA übermittelt wurden. Im Ergebnis wurden damit nicht einmal die im Abkommen festgelegten unzureichenden Datenschutzregeln beachtet. Das europäische Polizeiamt Europol hat jedem US-Ersuchen zugestimmt, obwohl aufgrund der Abstraktheit der schriftlichen Ersuchen mit nur mündlicher Begründung eine abkommenskonforme Erforderlichkeitsprüfung durch Europol nicht möglich war. Die angeforderten Daten wurden stets ohne Abstriche in die USA übermittelt. Diese Vorgehensweise ist mit dem SWIFT-Abkommen und der Europol darin zugewiesenen datenschutzrechtlichenWächterfunktion nicht vereinbar.
Nach dem SWIFT-Abkommen muss Europol im Interesse der EU-Bürgerinnen und Bürger gewährleisten, dass die Beschränkungen und Verfahrensvorgaben des Abkommens strikt beachtet werden. Europol ist demnach verpflichtet, alle US-Ersuchen auf die Beachtung dieser Beschränkungen und damit auf die Erforderlichkeit der Datenübermittlung zu überprüfen. Ohne die Zustimmung von Europol darf SWIFT keine EU-Zahlungsdaten an die USA übermitteln.
Die jetzt festgestellten Mängel bestätigen die bereits im Vorfeld des Abkommens von der Konferenz geäußerte Befürchtung, dass Europol seine Kontrollaufgabe bei SWIFT nicht angemessen wahrnimmt. Offenkundig werden die Voraussetzungen, unter denen das Europäische Parlament dem SWIFT-Abkommen zugestimmt hat, nicht eingehalten. Inakzeptabel ist auch, dass die festgestellten Details von Europol pauschal als geheim klassifiziert wurden und dem Europäischen Parlament nicht mitgeteilt werden sollen. Auch die Öffentlichkeit hat ein Recht darauf zu erfahren, in welchem Umfang Daten aufgrund des Abkommens in die USA übermittelt wurden.
Die Konferenz fordert die politisch Verantwortlichen auf europäischer und nationaler Ebene auf, die Mängel umgehend zu beseitigen. Das Abkommen und seine Umsetzungspraxis gehören dringend auf den Prüfstand. Ein transparentes Verfahren und die Beteiligung der Öffentlichkeit sind unabdingbar. Die gravierenden Mängel erfordern zudem einen sofortigen Stopp der Entwicklung eines vergleichbaren EU-Systems.
Der von der Gemeinsamen Kontrollinstanz von Europol vor wenigen Tagen veröffentlichte öffentliche Teil des Kontrollberichts zur Umsetzung des SWIFT-Abkommens ist auf der Homepage der GKI http://europoljsb.consilium.europa.eu/about.aspx abrufbar.
Keine Vorratsspeicherung und Rasterung von Flugpassagierdaten!
Die EU-Kommission hat am 2. Februar 2011 einen neuen Entwurf für eine Richtlinie zur Nutzung von EU-Flugpassagierdaten zur Gefahrenabwehr und Strafverfolgung vorgestellt.
Zentraler Gegenstand des Entwurfs ist die systematische Erfassung der Daten aller Fluggäste, die EU-Außengrenzen überqueren. Diese Daten aus den Buchungssystemen der Fluggesellschaften sollen anlass- und verdachtsunabhängig an eine nationale Zentralstelle der Sicherheitsbehörden übermittelt und regelmäßig für fünf Jahre gespeichert werden. Ziel soll es sein, damit Personen ausfindig zu machen, die in Terrorismus oder schwere Kriminalität verwickelt sein könnten.
Auch der neue Entwurf bleibt konkrete Beweise dafür schuldig, dass die anlassfreie automatisierte Auswertung und Analyse von Flugpassagierdaten geeignet und erforderlich ist, um dieses Ziel zu fördern. Ein solches Zusammenspiel von Vorratsspeicherung und Rasterung von Passagierdaten ist weder mit der EU-Grundrechtecharta noch mit dem grundgesetzlich garantierten Recht auf informationelle Selbstbestimmung vereinbar. Dies gilt insbesondere im Hinblick auf die Rechtsprechung des Bundesverfassungsgerichts, das in seinem Urteil vom 2. März 2010 (1 BvR 256/08) zur Vorratsdatenspeicherung von Telekommunikationsverkehrsdaten gemahnt hat: Zur verfassungsrechtlichen Identität der Bundesrepublik Deutschland gehört es, dass die Freiheitswahrnehmung der Bürgerinnen und Bürger nicht total erfasst und registriert werden darf. Hierfür hat sich die Bundesrepublik auch auf europäischer und internationaler Ebene einzusetzen.
Ein solches System würde noch weiter reichende Eingriffe in die Bürgerrechte ermöglichen, wenn sogar Vorschläge zur Speicherung der Fluggastdaten bei Flügen innerhalb der Europäischen Union und von Daten der Bahn- und Schiffsreisenden Eingang in diese Richtlinie finden würden.
Dieser Entwurf verdeutlicht erneut, dass ein schlüssiges Gesamtkonzept auf europäischer Ebene zur Datenverarbeitung im Bereich der inneren Sicherheit fehlt, welches die Grundrechte der Betroffenen hinreichend gewährleistet.
Die Konferenz fordert daher die Bundesregierung und den Bundesrat auf, sich dafür einzusetzen, dass der Vorschlag der EU-Kommission für eine Richtlinie über die Verwendung von Passagierdaten nicht realisiert wird.
Ohne gesetzliche Grundlage keine Telekommunikationsüberwachung auf Endgeräten
Wollen Strafverfolgungsbehörden verschlüsselte Internetkommunikationsvorgänge (z.B. Internettelefonie oder E-Mails) überwachen und aufzeichnen, muss regelmäßig auf dem Endgerät des Betroffenen eine Software angebracht werden, die die Daten aus dem laufenden Kommunikationsvorgang vor ihrer Verschlüsselung erfasst und an die Behörde weiterleitet (sog. Quellen-Telekommunikationsüberwachung). Die hierbei anzuwendende Technik entspricht der der Online-Durchsuchung, die grundsätzlich auch Zugriffe auf gespeicherte Inhalte ermöglicht.
Telekommunikationsüberwachungsmaßnahmen durch Zugriffe auf Endgeräte müssen sich auf Daten aus laufenden Telekommunikationsvorgängen beschränken. Dies ist durch technische Vorkehrungen und rechtliche Vorgaben sicherzustellen. Nur so wird der Rechtsprechung des Bundesverfassungsgerichts entsprochen.
Die Strafprozessordnung enthält keine Regelung, die diesen Anforderungen gerecht wird. Im grundrechtsrelevanten Bereich muss der Gesetzgeber alle wesentlichen Vorgaben selbst treffen. Es reicht nicht aus, wenn derartige Schutzvorkehrungen nur im Rahmen eines Gerichtsbeschlusses auf der Grundlage von §§ 100 a, 100 b Strafprozessordnung angeordnet werden. Vielmehr müssen die vom Bundesverfassungsgericht geforderten rechtlichen Vorgaben und technischen Vorkehrungen gesetzlich verankert sein.
Die Datenschutzbeauftragten des Bundes und der Länder fordern den Gesetzgeber auf, Rechtssicherheit - auch für die Strafverfolgungsbehörden - zu schaffen und die Zulässigkeit und die Voraussetzungen der Quellen-Telekommunikationsüberwachung unter strenger Beachtung der Vorgaben des Bundesverfassungsgerichts zu klären.
Beschäftigtendatenschutz stärken statt abbauen
Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder bekräftigt die Notwendigkeit, durch umfassende allgemein gültige Regelungen für den Datenschutz am Arbeitsplatz mehr Rechtssicherheit zu erreichen und bestehende Schutzlücken zu schließen. Dieser Ansatz erfordert klare gesetzliche Begrenzungen der Erhebung, Verarbeitung und Nutzung von Beschäftigtendaten. Die Bundesregierung und die Bundestagsfraktionen der SPD und von BÜNDNIS 90 / DIE GRÜNEN haben hierzu Gesetzentwürfe vorgelegt.
Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder appelliert an den Deutschen Bundestag, bei den Beratungen über Regelungen des Beschäftigtendatenschutzes insbesondere folgende notwendige Anforderungen sicherzustellen:
Mindestanforderungen an den technischen Datenschutz bei der Anbindung von Praxis-EDV-Systemen an medizinische Netze
Niedergelassene Ärztinnen und Ärzte sowie andere Angehörige von Heilberufen übermitteln vielfach medizinische Daten an andere Stellen mithilfe von Netzwerken. Dies dient Abrechnungs-, Behandlungs- und Dokumentationszwecken. Seit dem 1. Januar 2011 müssen beispielsweise an der vertragsärztlichen Versorgung teilnehmende Ärzte Abrechnungsdaten leitungsgebunden an die jeweilige Kassenärztliche Vereinigung übermitteln (§ 295 Abs. 4 SGB V in Verbindung mit den Richtlinien der Kassenärztlichen Bundesvereinigung für den Einsatz von IT-Systemen in der Arztpraxis zum Zweck der Abrechnung; siehe http://www.kbv.de/rechtsquellen/24631.html).
An medizinische Netze sind hohe Anforderungen hinsichtlich der Vertraulichkeit und Integrität zu stellen, denn sowohl in den Netzen selbst als auch auf den angeschlossenen Praxissystemen werden Daten verarbeitet, die der ärztlichen Schweigepflicht (§ 203 StGB) unterliegen. Bei der Anbindung von Praxis-EDV-Systemen an medizinische Netze ist daher die „Technische Anlage zu den Empfehlungen zur ärztlichen Schweigepflicht, Datenschutz und Datenverarbeitung in der Arztpraxis“ der Bundesärztekammer und der Kassenärztlichen Bundesvereinigung (siehe Deutsches Ärzteblatt, Jg. 105, Heft 19 vom 9. Mai 2008) zu beachten.
Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder fordert, dabei insbesondere folgende Mindestanforderungen zu stellen:
Für die verwendeten Verschlüsselungs- und Authentisierungskomponenten sollten Hardware-Lösungen genutzt werden, da bei Software ein erhöhtes Manipulationsrisiko besteht.
Software-Lösungen kommen allenfalls in Ausnahmefällen in Betracht, wenn die zur Kommunikation mit anderen Stellen genutzten Rechner und Komponenten nicht mit dem internen Netz der Praxis verbunden sind. Zusätzlich ist sicherzustellen, dass
entweder
a) nur solche Daten gesendet werden, die bereits innerhalb des Praxisnetzes verschlüsselt und integritätsgeschützt wurden
oder
b)
Datenschutzkonforme Gestaltung und Nutzung von Krankenhausinformationssystemen
Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder hat im Oktober 2009 auf die Notwendigkeit einer datenschutzkonformen Gestaltung und Nutzung von Informationstechnik in Krankenhäusern hingewiesen.
Es besteht das dringende Bedürfnis, hierbei zu einem bundesweit und trägerübergreifend einheitlichen Verständnis der datenschutzrechtlichen Anforderungen zu gelangen, zumindest soweit dies Divergenzen in der Landeskrankenhausgesetzgebung erlauben. Zu diesem Zweck hat eine Unterarbeitsgruppe der Arbeitskreise „Gesundheit und Soziales“ und „Technik“ unter Mitarbeit von Datenschutzbeauftragten der Evangelischen Kirche in Deutschland und der Katholischen Kirche eine Orientierungshilfe erarbeitet. Im Rahmen eines Kommentierungsverfahrens und bei Expertenanhörungen wurden Hersteller von Krankenhausinformationssystemen, Betreiber und Datenschutzbeauftragte von Krankenhäusern einbezogen. Die genannten Arbeitskreise haben die Orientierungshilfe verabschiedet. Sie konkretisiert in ihrem ersten Teil die Anforderungen, die sich aus den datenschutzrechtlichen Regelungen sowie den Vorgaben zur ärztlichen Schweigepflicht für den Krankenhausbetrieb und den Einsatz von Informationssystemen in Krankenhäusern ergeben. In Teil 2 werden Maßnahmen zu deren technischer Umsetzung beschrieben. Für die Hersteller von Krankenhausinformationssystemen, die diese nutzenden Krankenhäuser und die internen Datenschutzbeauftragten von Krankenhäusern liegt damit erstmals ein Orientierungsrahmen für eine datenschutzkonforme Gestaltung und einen datenschutzgerechten Betrieb entsprechender Verfahren vor. Für die Datenschutzbehörden wird das vorliegende Dokument als Maßstab bei der künftigen Bewertung konkreter Verfahren im Rahmen ihrer Kontroll- und Beratungstätigkeit dienen. Dabei ist zu erücksichtigen, dass ein Teil der am Markt angebotenen Lösungen nach den Erkenntnissen der Datenschutzbehörden in technischer Hinsicht gegenwärtig noch hinter den darin enthaltenen Anforderungen zurückbleibt. Es ist daher von der Notwendigkeit einer angemessenen Übergangsfrist für erforderliche Anpassungen durch die Hersteller auszugehen.
Stellen die Datenschutzbehörden im Zuge ihrer Kontrolltätigkeit Defizite im Vergleich zu den dargelegten Maßstäben fest, so werden sie auf die Krankenhäuser einwirken und sie dabei unterstützen, in einem geordneten Prozess unter Wahrung der PatientensicherheitWege zur Behebung der Defizite zu finden und zu begehen. Die Deutsche Krankenhausgesellschaft und die jeweiligen Landeskrankenhausgesellschaften werden dabei einbezogen.
Die Erfahrungen der Prüftätigkeit sollen in eine regelmäßige Überarbeitung und Aktualisierung der Orientierungshilfe unter Berücksichtigung der technischen Weiterentwicklung einfließen. Die Arbeitskreise sind aufgefordert, diesen Revisionsprozess zu koordinieren und das Ergebnis spätestens im Frühjahr 2012 der Konferenz vorzulegen.
Die Konferenz nimmt die Orientierungshilfe zustimmend zur Kenntnis.