4. arbeitskreis „technische und organisatorische datenschutzfragen“

entsprechenden Anwendungssoftware der Grundbuchämter (ARGUS-GB) erarbeitet werden. Die folgenden Forderungen des
§ 75 GBO machen deutlich, dass die Lösung des Problems keineswegs trivial ist:
– Eine Eintragung soll nur möglich sein, wenn die zur Führung des Grundbuches zuständige Person der Eintragung ihren
Namen hinzusetzt und beides elektronisch unterschreibt.
– Die elektronische Unterschrift soll in einem allgemein als sicher anerkannten automatisierten kryptographischen Verfahren
hergestellt werden.
– Die zuständige Stelle soll die elektronische Unterschrift überprüfen können.
Mitte 1998 legte ein externer Dienstleister dem Justizministerium einen Realisierungsvorschlag vor. Die datenschutzrechtliche
Prüfung hat ergeben, dass dieser Vorschlag wesentliche Forderungen des § 75 GBO nicht berücksichtigt hatte. Es war
beispielsweise nicht möglich, einen Grundbucheintrag der eintragenden Person durch ein kryptographisches Verfahren zuzuordnen.
Die geforderte elektronische Unterschrift wurde also nicht realisiert. Darüber hinaus war nicht vorgesehen, die Authentizität
des Eintragenden kryptographisch festzustellen. Im Ergebnis der Prüfung war festzustellen, dass der Vorschlag
den datenschutzrechtlichen Anforderungen nicht genügte.
In den folgenden Beratungen habe ich daraufhin vorgeschlagen, dass jeder Eintragungsberechtigte in Anlehnung an das
Signaturgesetz von einer justizeigenen vertrauenswürdigen Stelle (Trustcenter) sein eigenes Schlüsselpaar erhält. So könnte
unter Nutzung eines asymmetrischen kryptographischen Verfahrens die von der GBO geforderte Unterschrift geleistet werden
und der Eintrag wäre überprüfbar. Das Justizministerium schlug hingegen vor, lediglich die Authentisierung der Eintragenden
mit Hilfe einer Chipkarte zu realisieren und mit einer einheitlichen digitalen Signatur der Grundbuchsoftware alle
Eintragungen zu unterschreiben. Diese Variante wäre jedoch ohne sehr aufwendige begleitende Sicherungsmaßnahmen meines
Erachtens nicht gesetzeskonform gewesen.
Das Justizministerium entschloß sich daraufhin im November 1998, das Institut für Rechtsinformatik der Universität des
Saarlandes mit einem Gutachten zu beauftragen, das die Vereinbarkeit der drei Lösungsvorschläge (externer Dienstleister,
Justizministerium, Datenschutzbeauftragter) mit den rechtlichen Anforderungen an die Sicherungsarchitektur bewerten sollte.
Die Gutachter kamen zu folgendem Ergebnis: Der Vorschlag des externen Dienstleisters genügt insbesondere den Anforderungen
an die elektronische Unterschrift im Sinne des § 75 GBO nicht. Die Variante des Ministeriums würde zwar den
rechtlichen Vorgaben entsprechen, begegnete jedoch mit Blick auf Manipulationsmöglichkeiten der Systemverwalter Bedenken.
Mein Vorschlag fand die uneingeschränkte Zustimmung, da grundbuchrechtliche Vorschriften vollständig umgesetzt
werden können.
Im weiteren Verlauf des Projektes verfolgte das Justizministerium trotz der im Gutachten geäußerten Bedenken zunächst den
eigenen Realisierungsvorschlag und untersuchte, welche Maßnahmen erforderlich wären, um die genannten Risiken auf ein
hinnehmbares Maß zu reduzieren. Es zeigte sich jedoch, dass der Aufwand höher als zunächst angenommen werden würde.
Nach der Konsultation von Hard- und Softwareherstellern und weiteren Beratungen mit meiner Behörde wurde dann doch
eine Lösung mit personenbezogenen Chipkarten zur Realisierung einer echten digitalen Signatur gewählt, die weitgehend
meinem Vorschlag entsprach.
Auftragsdatenverarbeitung
Die geplante zentrale Speicherung des Datenbestandes stellt hohe Anforderungen an Verfügbarkeit und Integrität, die in
Mecklenburg-Vorpommern meines Erachtens zurzeit nur im Landesrechenzentrum, dem einzigen vom Bundesamt für Sicherheit
in der Informationstechnik (BSI) zertifizierten Hochsicherheitsrechenzentrum des Landes, umgesetzt werden können.
Dazu müsste das Justizministerium also die Datenverarbeitungszentrum Mecklenburg-Vorpommern GmbH (DVZ M-V
GmbH) als Betreiber mit der Verarbeitung der Daten beauftragen.
Nach § 126 Abs. 3 GBO ist eine Auftragsdatenverarbeitung grundsätzlich zulässig, jedoch beschränkt auf Anlagen bei staatlichen
Stellen oder juristischen Personen des öffentlichen Rechts. Die Nutzung von Rechnerkapazitäten privatrechtlicher
Einrichtungen, deren sämtliche Anteile einem Land oder dem Bund gehören, sowie nicht-öffentlicher Stellen wurde hingegen
ausdrücklich ausgeschlossen. Der Gesetzgeber hat hierbei nicht allein auf die Eigentumsfrage hinsichtlich der Anlagen
abgestellt, sondern schränkt vielmehr den Adressatenkreis der Auftragnehmer ein und will damit die Daten des Grundbuches
vor einem möglichen Zugriff nicht-öffentlicher Stellen schützen.
Vierter Tätigkeitsbericht des Landesbeauftragten für den Datenschutz Mecklenburg-Vorpommern 17