7
7.1
Finanzausschuss
Beanstandung der Einführung der elektronischen Lohnsteuerkarte zum 1. Januar 2013
Die Einführung der elektronischen Lohnsteuerkarte verlief nicht problemlos. Bereits wenige Tage nach dem
Start musste ein Teil des neuen IT-Verfahrens wegen technischer Schwierigkeiten eingestellt werden. Zudem
fehlte bis zum Sommer 2013 das für einen sicheren Betrieb zwingend erforderliche verfahrensspezifische IT-Sicherheitskonzept.
Bereits in den vergangenen Tätigkeitsberichten habe ich ausführlich über die nicht reibungslose Einführung der
elektronischen Lohnsteuerkarte berichtet (vgl. 23. TB Nr. 9.3; 24. TB Nr. 16.6). Wie ich im zurückliegenden
Berichtszeitraum beobachten musste, konnte das IT-Verfahren „elektronische Lohnsteuerkarte“ - das sog. Elster
Lohn II - immer noch nicht störungsfrei in den Wirkbetrieb überführt werden. Zwar startete „Elster Lohn II“
nach mehrmaliger Terminverschiebung am 1. November 2012 und ging zum 1. Januar 2013 in den Wirkbetrieb.
Die bisherige Papierlohnsteuerkarte wurde damit bis zum Jahresende 2013 nahezu vollständig abgelöst. Arbeitgeber können nun die beim Bundeszentralamt für Steuern (BZSt) gebildeten „Elektronischen Lohnsteuerabzugsmerkmale“ (ELStAM) der insgesamt über 40 Millionen Arbeitnehmer elektronisch abrufen und diese für ihre
Lohnabrechnung verwenden.
Schwierigkeiten bereitete aber der Verfahrensteil zur Steuerung der Arbeitgeberauthentifizierung. Bereits kurze
Zeit nach dem Start von „Elster Lohn II“ teilte mir das BMF mit, die Arbeitgebereigenschaft könne aufgrund eines technischen Fehlers nicht schon vor einer Abfrage der ELStAM elektronisch überprüft werden. Stattdessen
würden die Abrufprotokolle erst im Nachhinein durch die Landesfinanzverwaltungen überprüft. Der Wirkbetrieb des IT-Verfahrens zur Arbeitgeberauthentifizierung wurde daher ausgesetzt, die anderen Teile des IT-Verfahrens aber fortgeführt.
Datenschutzrechtlich ist es außerordentlich bedenklich, wenn die Arbeitgebereigenschaft nicht im Vorfeld überprüft werden kann. Denn damit kann nicht mehr sichergestellt werden, dass ausschließlich zugriffsberechtigte
und damit befugte Arbeitgeber die ELStAM abrufen. Durch die technische Panne sind weder eine sichere Vorher-Authentifizierung des Arbeitgebers (§ 39e Abs. 4 Satz 3 Einkommensteuergesetz - EStG) noch dessen Zugriffsberechtigung (§ 39e Abs. 4 Satz 2 EStG) überprüfbar. Die datenschutzrechtlich gebotene Zugangs- und
Zugriffskontrolle findet also nicht statt.
Eine unbefugte Abfrage der ELStAM kann damit lediglich nachträglich anhand der Protokolldaten festgestellt
und sanktioniert werden. Darüber hinaus bleibt unklar, ob die Arbeitnehmer über einen unberechtigten Abruf
benachrichtigt werden und welche weiteren Maßnahmen die vollziehenden Bundesländer treffen. Beruhigend ist
allenfalls, dass im Rahmen der bisherigen Überprüfung der Abruflisten noch kein Missbrauchsfall aufgedeckt
worden ist.
Als noch bedenklicher aus datenschutzrechtlicher Perspektive bewerte ich jedoch die Prozesssteuerung und die
Überführung des neuen IT-Verfahrens in den Wirkbetrieb. Es lag weder das verfahrensspezifische IT-Sicherheitskonzept zum Risikomanagement vor, noch die Festlegungen nach § 8 Steuerdaten-Abrufverordnung, die
die schnittstellenbezogenen Regelungen und Verfahrensdokumentationen klären sollen.
Dies habe ich gegenüber dem BMF förmlich beanstandet.
– 126 –
BfDI 25. Tätigkeitsbericht 2013-2014