Die Bundesregierung macht im Rahmen der IT-Konsolidierung von meinem Beratungsangebot Gebrauch und
will, soweit bislang erkennbar, meinen Empfehlungen folgen. Aufgrund des ambitionierten Zeitplans sehe ich
allerdings den rechtzeitigen Abschluss bestimmter Maßnahmen mit einer gewissen Sorge.
Mit Beschluss vom 28. September 2016 hat der Haushaltausschuss des Deutschen Bundestags die Bundesregierung aufgefordert, mich in beratender Funktion in die einzelnen Teilprojekte weiterhin mit einzubeziehen. Damit bildet die datenschutzrechtliche und -technische Unterstützung der IT-Konsolidierung Bund für mich weiterhin eine wichtige Aufgabe, über die ich nicht nur an den Haushaltsausschuss, sondern auch im Rahmen weiterer Tätigkeitsberichte berichten werde.
10.3 Aus Beratung und Kontrolle
10.3.1 Beratungs- und Kontrollbesuche beim Statistischen Bundesamt: Forschungsdatenzentrum und IT-Migration im Fokus
Neben einem Informationsbesuch beim Forschungsdatenzentrum des Statistischen Bundesamtes in Wiesbaden
mit erfreulichem Ergebnis habe ich weitere Kontrollbesuche zur Überprüfung der immer noch nicht datenschutzgerecht vollzogenen IT-Migration des Statistischen Bundesamtes auf die Bundesstelle für Informationstechnik des Bundesverwaltungsamts durchgeführt.
§ 16 Absatz 6 Bundesstatistikgesetz (BStatG) ermöglicht die Übermittlung von Daten zur Durchführung wissenschaftlicher Vorhaben durch die Forschungsdatenzentren des Bundes und der Länder. Das Angebot des von
mir besuchten Forschungsdatenzentrums des Statistischen Bundesamtes (FDZ) umfasst derzeit rund
150 amtliche Statistiken mit einem inhaltlichen Schwerpunkt in den Bereichen Sozial-, Steuer- und Unternehmensstatistiken. Die gesetzlichen Vorgaben erlauben einerseits die Übermittlung von faktisch anonymisierten
Einzeldaten. Die Vorschrift regelt aber auch die Zugangsberechtigungen zu formal anonymisierten Daten für
Wissenschaft und Forschung in speziell abgesicherten Bereichen des Statistischen Bundesamts und unter Einhaltung wirksamer Vorkehrungen zur Wahrung der Geheimhaltung. Mein Besuch im Frühjahr 2015 diente der
Abrundung meiner datenschutzrechtlichen Begleitung des Zensus 2011. Bei meinem Besuch ging es daher um
die interne Organisation des Zugangs zu Mikrodaten des Zensus 2011. Dabei habe ich die Aufteilung der Aufgaben und Verantwortung im statistischen Verbund zwischen dem Statistischen Bundesamt, dem Forschungsdatenzentrum NRW und dem Forschungsdatenzentrum Bayern näher untersucht. Als Ergebnis kann ich festhalten,
dass die im statistischen Verbund agierenden Forschungsdatenzentren in einem hohen Maß professionell handeln und den berechtigten Anliegen des Datenschutzes eine hohe Priorität eingeräumt werden.
Der IT-Betrieb des Statistischen Bundesamtes ist Anfang des Jahres 2013 im Zuge der IT-Konsolidierung im
Geschäftsbereich des BMI auf die Bundesstelle für Informationstechnik des Bundesverwaltungsamts (BIT)
übergegangen. Wegen unvollständiger bzw. fehlender schriftlicher Regelungen zur Auftragsdatenverarbeitung
nach dem BDSG habe ich das Verfahren Ende 2013 gegenüber dem zuständigen Ministerium als Weisungsgeber förmlich beanstandet (vgl. 25. TB Nr. 5.9).
In seinen Bemühungen, die Mängel abzustellen, die zur Beanstandung geführt haben, habe ich das Statistische
Bundesamt im Berichtszeitraum fortwährend beraten. Hierfür habe ich weitere Beratungs- und Kontrollbesuche
im März 2015 und zuletzt im Dezember 2016 durchgeführt. Dabei habe ich deutlich gemacht, dass die Kriterien
des § 11 Absatz 2 BDSG für eine Verarbeitung personenbezogener Daten im Auftrag grundsätzlich für jedes der
rund 130 in Betracht kommenden statistischen Fachverfahren des Bundesamts in entsprechenden Vereinbarungen abzubilden sind. Soweit dabei eine Zusammenfassung gleichförmiger Arbeitsschritte in „Rahmen-“ oder
„Gruppen-Service-Level-Agreements“ sinnvoll erscheint, ist eine solche gebündelte Darstellung möglich. Wichtig ist dabei die nachvollziehbare Erfassung sämtlicher IT-Verfahren, die eine Verarbeitung personenbezogener
Daten umfassen. Auf der Grundlage eines mir zwischenzeitlich vorgelegten Mustervertrags „Vereinbarung zur
– 130 –
BfDI 26. Tätigkeitsbericht 2015-2016