21. Tätigkeitsbericht des Hamburgischen Datenschutzbeauftragten ...

Die Ermittlung und Kenntnis der Akteninhalte und ihre Zuordnung zu Schutzbedarfsstufen
ist zudem Voraussetzung für die Erstellung eines datenschutzgerechten
Zugriffskonzeptes.
Die Verantwortlichkeiten und Berechtigungen für das Verfahren sowie der
Zugriff auf die Anwendung und Daten müssen von der verantwortlichen
Daten verarbeitenden Stelle festgelegt und entsprechend der IT-Richtlinie
ELDORADO revisionssicher protokolliert werden.
Eine revisionssichere Protokollierung umfasst neben der Erstellung eines Zugriffskonzeptes
und der Dokumentation der personenbezogenen Zuordnung
von Benutzerkennungen auch die Protokollierung der Einrichtung von Berechtigungen
sowie jeder Änderung von Berechtigungsprofilen im System. Eine entsprechend
von uns geforderte systemseitige Protokollierung wird geschaffen.
Personenbezogene Daten sind von der Daten verarbeitenden Stelle grundsätzlich
zu löschen, wenn ihre Speicherung unzulässig oder ihre Kenntnis für die
Daten verarbeitende Stelle zur Erfüllung ihrer Aufgaben nicht mehr erforderlich
ist (§ 19 Abs. 3 HmbDSG). Archivwürdige Unterlagen bilden hier eine – im
Hamburgischen Archivgesetz gesondert geregelte – Ausnahme.
Nach dem Hamburgischen Archivgesetz sind nicht mehr benötigte Unterlagen
fortlaufend auszusondern und dem Staatsarchiv anzubieten. Das entsprechende
Aussonderungsverfahren zur Anbietungspflicht beinhaltet somit regelmäßig
eine Erforderlichkeitsprüfung (Erforderlichkeit für die Aufgabenfüllung,
Archivierungsfristen etc.). Daher sind nicht nur die Dokumente aus den Verfahren
der Behörden und Ämter zu löschen, die als archivwürdig bewertet und
abgeliefert wurden. Dies gilt vielmehr insbesondere auch für die personenbezogenen
Unterlagen, für welche die Archivwürdigkeit verneint wurde. Diese
sind gem. § 19 Abs. 3 HmbDSG aus den Verfahren der Behörden und Ämter zu
löschen.
Da eine weitere Speicherung in diesen Fällen datenschutzrechtlich unzulässig
wäre, muss bei der Aufnahme von Unterlagen in die elektronische Dokumentenverwaltung
gewährleistet sein, dass personenbezogene Daten, die für die
verarbeitende Stelle zur Erfüllung ihrer Aufgaben nicht mehr erforderlich sind
– unter Berücksichtigung der Anbietungspflicht gegenüber dem Staatsarchiv –
datenschutzgerecht gelöscht werden können und gelöscht werden. Aussonderung
und Löschung sollen künftig durch den Einsatz eines Aussonderungsmoduls
und den Umstieg auf neue Speichermedien unterstützt werden. Wir
werden uns für eine datenschutzgerechte Umsetzung einsetzen.
2.5 Verschlüsselte E-Mails in der hamburgischen Verwaltung
Sensible Daten werden jetzt auch bei der Staatsanwaltschaft verschlüsselt per
Mail versandt. Viele behördliche Arbeitsplätze, an denen sensible Daten ver-
26
21. Tätigkeitsbericht 2006/2007 HmbDSB