21. Tätigkeitsbericht des Hamburgischen Datenschutzbeauftragten ...

Damit sind wesentliche Forderungen der Datenschutzbeauftragten des Bundes
und der Länder erfüllt worden.
7. Arbeitslosengeld II (MISTRAL-Verfahren)
Wir haben bei der Einführung des MISTRAL- Verfahrens zur Vermittlung von Ein-
Euro-Jobs die Sicherung datenschutzrechtlicher Standards durchgesetzt.
Zum 1. Januar 2007 sollte in Hamburg ein neues Verfahren zur Vermittlung von
Arbeitsgelegenheiten nach § 16 Abs. 3 SGB II eingeführt werden. Die Arge
sollte zu diesem Zweck diese Aufgabe auf die Behörde für Wirtschaft und
Arbeit (BWA) übertragen. Diese wiederum sollte dann die öffentliche Beschäftigungsgesellschaft
Hamburger Arbeit (HAB) mit der alleinigen Erfüllung dieser
Aufgaben beauftragen. Die HAB sollte dann der alleinige Ansprechpartner
der einzelnen Beschäftigungsträger sein, die die Ein-Euro-Jobs konkret vermitteln.
Das Ziel der Maßnahme war es, die Vermittlung von Arbeitsgelegenheiten
effektiver zu gestalten. Hierzu sollte die IT-gestützte Lösung „MISTRAL“ geschaffen
werden. Dazu sollte eine Datenbank genutzt werden, auf die sowohl
die HAB als auch die einzelnen Träger Zugriff erhielten. In dieser Datenbank
sollten zu den zu vermittelnden Personen u.a. Informationen über den Lebenslauf,
vorliegende Behinderungen, Schulden und Erfolg der Maßnahme gespeichert
werden. Auf diese Weise sollten den jeweiligen Beschäftigungsträgern
die personenbezogenen Daten direkt zur Verfügung gestellt werden. Angedacht
war, das Verhältnis von BWA zur HAB als Auftragsdatenverarbeitung
auszugestalten.
Wir haben das Projekt sowohl in rechtlicher als auch in technischer Hinsicht
begleitet. Von Beginn an haben wir daraufhin gewiesen, dass auch die Ausgestaltung
der Vereinbarung zwischen der HAB und den einzelnen Beschäftigungsträgern
als Auftragsdatenverarbeitung über sogenannte Unteraufträge
zu erfolgen habe. Diese Grundsatzfrage ist dann auch akzeptiert worden. Probleme
gab es dann jedoch bei der Frage, welche datenschutzrechtlichen Standards
bei der Ausgestaltung der Unteraufträge von den einzelnen Trägern zu
verlangen seien. Wir haben darauf bestanden, dass auch bei den privatrechtlich
organisierten Unterauftragnehmern die im öffentlichen Bereich herrschenden
datenschutzrechtlichen Standards erhalten bleiben und die erforderlichen
technischen und organisatorischen Sicherheitsmaßnahmen nach dem Stand
der Technik gewährleistet werden. Hierzu gehört insbesondere die Aktivierung
einer laufend aktualisierten Firewall und von Antivirenprogrammen. Der Zugriff
zum MISTRAL-System musste mit trägerbezogenen Clientzertifikaten und mit
komplexen Passworten abgesichert werden. Diese Forderungen hat die HAB
letztendlich akzeptiert.
Die Realisierung der festgelegten Maßnahmen werden wir in 2008 überprüfen.
46
21. Tätigkeitsbericht 2006/2007 HmbDSB