21. Tätigkeitsbericht des Hamburgischen Datenschutzbeauftragten ...

Obwohl die Forderungen zusätzlicher technischer und organisatorischer Maßnahmen
von Dataport anerkannt sind, bleibt zum Redaktionsschluss dieses
Tätigkeitsberichts festzustellen, dass nach wie vor kein anonymisierter Datenbestand
existiert und die Revision des Zugangs- und Berechtigungssystems
noch nicht abgeschlossen ist. Dabei belegt die Auszahlung von über 3 Mio.
Euro, die nur aufgrund günstiger Umstände vollständig zurückgerufen werden
konnte, welche gravierenden Schäden durch die hier aufgezeigten Verstöße
entstehen können.
Da die datenschutzrechtlichen Anforderungen beim Testen auch bei anderen
Fachverfahren wie z.B. bei der Öffentlichen Rechtsauskunfts- und Vergleichsstelle
(ÖRA) und beim Verfahren zur Bearbeitung von Verkehrsordnungswidrigkeiten
sowie im Zuge der Fusion der Landesunfallkasse Hamburg nicht
konsequent eingehalten wurden, wird der HmbDSB auch in Zukunft Tests mit
Originaldaten kritisch prüfen.
2.4 Dokumentenverwaltung ELDORADO
Der Umstieg auf die elektronische Dokumentenverwaltung erfordert eine intensive
Auseinandersetzung mit den bisherigen Prozessen zur Aktenführung, um
die Schutzwürdigkeit personenbezogener Akteninhalte in jeder Verarbeitungsphase
des elektronischen Verfahrens angemessen berücksichtigen zu können.
Mit der Vereinbarung nach § 94 HmbPersVG über die Einführung der elektronischen
Dokumentenverwaltung sowie der IT-Richtlinie ELDORADO wurden für
die Behörden und Ämter verbindliche und einheitliche Vorgaben für die Einrichtung
von ELDORADO-Verfahren geschaffen. Im Berichtzeitraum wurde zudem
mit der Finanzbehörde eine Risikoanalyse für das bei Dataport betriebene Verfahren
ELDORADO abgestimmt. Der Anwendungsbereich dieser Risikoanalyse
umfasst jedoch nicht Verfahren, in denen Akten geführt werden, für die besondere
datenschutzrechtliche oder sonstige gesetzliche Anforderungen gelten.
Diese Verfahren müssen von den jeweiligen Behörden und verantwortlichen
Stellen gesondert betrachtet und es müssen ggf. ergänzende Schutzmaßnahmen
getroffen werden.
Die zentrale technische Bereitstellung des Dokumentenverwaltungssystems
entbindet die für die Datenverarbeitung verantwortlichen Stellen (§ 4 Abs. 3
HmbDSG) somit nicht von ihrer datenschutzrechtlichen Verantwortung. Vor der
Entscheidung über die Einführung des Verfahrens und die Aufnahme von
Akten in die ELDORADO- Aktenverwaltung ist eine Analyse der in den Akten
enthaltenen personenbezogenen Daten erforderlich.
Erst auf dieser Basis kann geprüft werden, ob und unter welchen Voraussetzungen
Akten digital verarbeitet werden können.
21. Tätigkeitsbericht 2006/2007 HmbDSB
25