17. Datenschutz- und Informationsfreiheitsbericht

Behördliche und betriebliche Datenschutzbeauftragte
Demgegenüber sind Verbunddateien nach § 4a DSG NRW solche
Dateien, in denen mehrere öffentliche Stellen gemeinsam Daten in einer
Weise verarbeiten, die über den bloßen Abruf hinausgeht. Dies wird dadurch
deutlich, dass das Gesetz die Festlegung einer verantwortlichen Stelle vorschreibt.
Das ist bei einem Abrufverfahren nicht erforderlich, weil eine klare
Zuordnung der den Datenbestand pflegenden Stelle möglich ist. Charakteristisch
für eine Verbunddatei ist, dass sie die datenschutzrechtlichen Berechtigungen
abbildet, die im Verhältnis der beteiligten Stellen
untereinander bestehen. Jede beteiligte Stelle kann nur auf die Daten und in
dem Umfang zugreifen wie dies auch außerhalb des automatisierten
Verfahrens möglich wäre. Ist etwa die regelmäßige Übermittlung
bestimmter Datensätze gesetzlich erlaubt oder vorgeschrieben, können die
entsprechenden Datensätze mehreren Stellen gemeinsam zur Verfügung
stehen. Ist hingegen eine Stelle nur im Einzelfall, also beim Vorliegen
besonderer Voraussetzungen, befugt, von der anderen Stelle Daten zu
erfragen, kann dieser Stelle auch nicht der generelle Zugriff auf alle Daten
der anderen Stelle eingeräumt werden, weil ansonsten § 14 Abs. 2 DSG
NRW im Verfahren nicht abgebildet würde. Vielmehr kann dann eine
elektronische Datenabfrage im Einzelfall nur zugelassen werden, wenn es
einen Verfahrensschritt gibt, in dem diejenige Stelle, die über die Daten
verfügt, den Zugriff auf den einzelnen Datensatz willentlich autorisiert.
Denkbar ist etwa die Einrichtung eines Verbundverfahrens, in dem
verschiedene Fachabteilungen einer Behörde arbeiten. So ist es zum Beispiel
in der Verwaltungspraxis nicht unüblich, ein Verbundverfahren einzurichten
zwischen der Kasse einer öffentlichen Stelle und den Fachabteilungen, die
Auszahlungen veranlassen oder deren Tätigkeit zu Einnahmen führt. Hierbei
ist zu beachten, dass die Zweckbindungsgrundsätze des § 13 DSG NRW
im Verfahren abgebildet werden müssen.
Verbunddatei und automatisiertem Abrufverfahren ist gemeinsam, dass vor
der Inbetriebnahme der Verfahren gemäß § 10 DSG NRW ein
Sicherheitskonzept erstellt und eine Vorabkontrolle durchgeführt werden
muss.
Verbunddateien müssen so aufgebaut sein, dass die Datenverarbeitungsbefugnisse
der beteiligten Stellen exakt abgebildet sind. Automatisierte Abrufverfahren
bedürfen einer gesetzlichen Grundlage, weil eine Missbrauchskontrolle
im Sinne des § 14 Abs. 2 DSG NRW in Abrufverfahren fehlt und
diese Verfahren damit ein erhöhtes Gefährdungspotential für die betroffenen
Personen darstellen.
154 LDI NRW 17. Datenschutzbericht 2005