Feedback für die Seite /

Feedback:
Voller Lob für diesen Ansatz, einige Hinweise aus der Praxis zur basalen Berücksichtigung:

a) Informationssicherheit: Viele der Ausführungen zum Deutschland-Stack sind – nachvollziehbar – sehr technisch. Wir sollten gleichwohl auf dem grundlegenden Begriff der Informationssicherheit aufbauen. So umfasst dieser nicht nur als Teilmenge – oft völlig zu Unrecht gescholten – den Datenschutz, sondern insbesondere gerade auch organisatorische Aspekte. Immer wieder dürfen wir kommunalen Revisoren der Informationssicherheit feststellen, dass Digitalisierungsbemühungen nicht technisch (bzw. wegen zugehörigem Verständnis) sondern deshalb gehemmt werden, weil auf tradierten Abläufen aufgebaut wird, konkret: Oft kommt es nicht zur Definition neuer Sollabläufe, obwohl (medienbruchfreie) digitale Abläufe häufig stark von traditionellen (insbes. papiergebundenen) abweichen. Potentiale lassen sich mithin umfänglich nur bei entsprechend sauberer Vorarbeit insbesondere mit passgenauen Organisationsuntersuchungen heben. Organisatorische Aspekte zu berücksichtigen, welche Digitalisierungshemmnisse konkret eliminieren, gelingt besser, wenn generell auf dem – entsprechend weiter verstandenem – Begriff der Informationssicherheit aufgebaut wird.

Damit lässt sich überleiten:

b) Grundsatz der Datenminimierung als genereller Maxime [1]:

Häufiger ist ferner festzustellen, dass zu diversen Verwaltungsverfahren standardmäßig nach bisheriger Praxis Daten erhoben werden, die für die konkreten Ergebnisse gar nicht relevant werden. Dies löst ggf. bei der Erfassung, jedenfalls aber zur Pflege der oft jahrelang aufbewahrungspflichtigen Unterlagen Personalaufwände aus und kann eine Erklärung teils für Medienbrüche liefern. Der Deutschland-Stack sollte mithin auch aus dieser Perspektive betonen, wie wichtig grundlegende Ablaufuntersuchungen sind, so dass für den eigentlichen (Online-)Prozess auch nur die zwingend erforderlichen Datenfelder erhoben werden. Beispiel: Wird ein Antragsverfahren als OZG-Leistung nunmehr via Onlineportal ermöglicht, muss zwar unverändert wie eh und je eine Identifikationsprüfung zum Antragsteller (gleich, ob als natürliche oder juristische Person bzw. als Gesellschaft bzw. Verein) in sicherer Weise (z. B. via BundID) erfolgen. Dies bedeutet aber gerade nicht, dass ich sodann sämtliche Anrede- und Adressdaten wie ggf. auch noch das Geburtsdatum etc. formularmäßig erheben müsste. Es reicht – vor allem nach dem RegModG – weiterführend die maßgebliche IDNr., welche auch im Falle etwaig späterer Nachprüfungsnotwendigkeiten jederzeit nachvollziehbar hält, um welche konkrete Entität es sich handelte (mit den dann je aktuellen Daten, als weiterer Vorteil). Salopp: Daten, die gar nicht erst erhoben werden, können auch nicht ungewollt abfließen (wie z. B. bei einem Ransomwarevorfall) und lösen keine Pflegeaufwände aus.

c) Verschlüsslung:

Hinzutreten sollte, die generell durchgängige Verschlüsselung als Grundfall zu denken, nicht als Ausnahme. Wenn im zu begründenden Einzelfall schon Softwareanbieter mit Drittstaatenbezug jenseits der EU zu nutzen sein sollten (mit besonderer Begründung nach der in den Kommentaren schon betonten US-FISA-Gesetzgebung bzw. zum dortigen Cloud-Act), müssen etwaig unberechtigte Zugriffe jedenfalls durch Verschlüsselung risikominimiert werden, vor allem auch vor dem Hintergrund noch gänzlich unbekannter Fähigkeiten künftiger Quantencomputerlösungen. Dabei sind nicht bloß zu personenbezogenen Daten (im Sinne der DSGVO), sondern wesentlich weitergefasst grundsätzlich sämtliche Daten zu verschlüsseln, weil z. B. auch völlig von Einzelpersonen losgelöste Informationen höchst sensibel ausfallen können – so z. B. höchst lukrativ Informationsaustausche über etwaig künftige Baugebiete.

d) Schriftform [2]:

In Verwaltungen herrscht weiterhin öfters Unklarheit, wann überhaupt Unterschriftserfordernisse bestehen und wann dazu ggf. welches ersetzende digitale Verfahren nutzbar sein könnte (bis hin zur aufwändiger umzusetzenden sog. qualifiziert elektronischen Signatur). Dabei wird teils unterschlagen, dass die Begriffe Schriftform bzw. schriftlich zwischen Zivilrecht und öffentlichem Recht nicht deckungsgleich ausfallen. Daraus folgt teils, was es wiederum mittels vorheriger Organisationsuntersuchungen zu analysieren gilt, dass zu manchen öffentlich-rechtlichen Verwaltungsmaßnahmen gar kein Unterschriftserfordernis bestehen mag – dann bedarf es aber auch keiner aufwändigeren technischen Surrogate (und schon gar nicht etwaig ersetzenden Scannens, welches ohnehin nur Krückenlösung sein könnte und gerade mit Blick auf die Unterschrift als biometrisches Merkmal im Sinne von Artikel 9 I DSGVO gar nicht zielführend ist). Über das Deutschland-Stack zu entwickelnde Lösungen sollten also auch immer die rechtliche Seite dergestalt im Fokus behalten, an welchen neuralgischen Punkten überhaupt welche Formerfordernisse bestehen – teils sind die gerade im öffentlichen Bereich, zumal nach diversen Novellierungen just zur Stärkung der Digitalisierung, nicht mehr immer sonderlich hoch.

Schlussendlich:

e) Datenlöschungen / -bereinigungen:

Stellen wir über den Begriff der Informationssicherheit auf den „worst case“ typischerweise in Rede eines erfolgreichen Ransomware-Angriffes mit tatsächlichen Datenabflüssen ab, gewinnt auch das ansonsten eher nur Randständige Thema effektiver Datenlöschungen bzw. -bereinigungen Gewicht. Will heißen: Sämtliche zum Deutschland-Stack voranzubringenden neuen Entwicklungen sollten von Beginn an stets auch das Ende mitdenken (wenn nicht gar von diesem ausgehend). Auch hier wiederum: Erforderliche Daten, die nach Ablauf von gesetzlichen Aufbewahrungspflichten effektiv gelöscht werde und damit nicht länger überhaupt verfügbar sind, können auch nicht ungewollt abfließen.

Diese Auflistung ließe sich fortführen, trägt jedoch einige wesentliche Aspekte langjähriger Erfahrung zusammen und mag hoffentlich zu einem guten Gelingen des Deutschland-Stacks beitragen.

[1] Vgl. zur generellen Maxime weiterführend gerne Der Gemeindehaushalt 5/2023, S. 101 ff. [2] Vgl. dazu ausführlicher MMR 2022, 530 ff. sowie ergänzend MMR-Aktuell 2022, 452401.