23. Statistik

23.1. Nochmals: eGovernment-Projekt "Amtliche Schuldaten"

Bereits in Nr. 21.1 meines 22. Tätigkeitsberichts 2006 habe ich über das eGovernment-Projekt "Amtliche Schuldaten" des Staatsministeriums für Unterricht und Kultus ausführlich berichtet. Gegenstand dieses Projekts ist zum einen eine umfassende Restrukturierung der Geschäftsprozesse der Kultusverwaltung mit dem Ziel eines effektiven, netzbasierten Schulverwaltungsverfahrens (sog. operative Datenbank) und zum anderen eine Neukonzeption der Schulstatistik, die insbesondere durch die Ermöglichung von Bildungsverlaufsuntersuchungen die längerfristige Bildungsplanung verbessern soll (sog. Auswertungsdatenbank).

Seit dem Start des Projekts im Jahr 2005 habe ich das Staatsministerium für Unterricht und Kultus wiederholt darauf hingewiesen, dass die Umstellung der Schulstatistik von Summendaten auf Individualdaten wegen der massiv erhöhten Grundrechtsintensität eine datenschutzgerechte, transparente Rechtsgrundlage erfordert, die auch den statistikrechtlichen Anforderungen gerecht wird (d.h. insbesondere Festlegung der Erhebungs- und Hilfsmerkmale, Regelung der Auskunftspflicht, Festlegung der technisch-organisatorischen Maßnahmen zur frühestmöglichen Pseudonymisierung/Anonymisierung sowie Festlegung der Zugriffsrechte). Anfang des Jahres 2007 hat mir das Kultusministerium erstmals einen umfassenden Gesetzentwurf für das Gesamtprojekt "Amtliche Schuldaten" übermittelt. Obwohl ich im Zuge einer kritischen und intensiven Diskussion mit dem Staatsministerium für Unterricht und Kultus erhebliche datenschutzrechtliche Verbesserungen erreichen konnte (wie z.B. Reduzierung der gespeicherten Datenbestände, Festlegung strenger Zugriffsrechte, Aufnahme von Löschungsfristen in das Gesetz, Festschreibung einer unumkehrbaren Einweg-Verschlüsselung aller nicht für das aktuelle Schulverwaltungsverfahren benötigten Daten, Ansiedelung der Datenbanken beim Landesamt für Statistik und Datenverarbeitung - Rechenzentrum Süd), stellen der nun vorliegende, mehrmals überarbeitete Gesetzentwurf und der Entwurf einer entsprechenden Ausführungsverordnung aus datenschutzrechtlicher Sicht nicht das "Optimum" dar. Insbesondere bestehen meine grundsätzlichen datenschutzrechtlichen Bedenken

keine Ausgestaltung als amtliche Statistik, sondern als Geschäftsstatistik,
Totalerhebungen statt wissenschaftlich basierter repräsentativer Stichprobenerhebungen im Zusammenhang mit der Auswertungsdatenbank

weiterhin fort.

23.1.1. Operative Datenbank

Die operative Datenbank dient vor allem dem Zweck, die Bearbeitung schulübergreifender Prozesse (z.B. Schulwechsel, Überwachung der Schulpflicht) zu vereinfachen. Zudem soll sie die Aufgabenerfüllung der Schulaufsichtsbehörden (beispielsweise bei der Unterrichtsplanung, Lehrerzuweisung und Schulfinanzierung) unterstützen. Die operative Datenbank liefert überdies die (Daten-)Grundlage für die Auswertungsdatenbank.

Im Hinblick auf die operative Datenbank erschien es mir aus datenschutzrechtlicher Sicht insbesondere von Bedeutung, die bestehenden Zuständigkeiten und Befugnisse der Schulaufsichtsbehörden nicht (faktisch) auszuweiten. Dies ist nach dem Gesetzentwurf gelungen; insbesondere bestehen weder ein Vollzugriff noch Auswertungsmöglichkeiten des Kultusministeriums hinsichtlich des gesamten Datenbestands. Zudem ist der Zugriff der Schulaufsichtsbehörden auf personenbezogene Daten der Schüler und Erziehungsberechtigten ausgeschlossen. In Bezug auf die Lehrkräfte wird die Wahrung der personalaktenrechtlichen Vorschriften sichergestellt. Der Gesetzentwurf sieht weiterhin vor, Zugriffe von Stellen außerhalb der Schulverwaltung und des Landesamts für Statistik und Datenverarbeitung (im Rahmen der Erstellung der Schulstatistik) auszuschließen, insbesondere also den u.a. von besorgten Eltern befürchteten Zugriff von potentiellen Arbeitgebern. Ohnehin werden Noten, "Schulstrafen", Einkommensverhältnisse der Eltern etc. - im Gegensatz etwa zu den für eine entsprechende Unterrichtsversorgung erforderlichen Daten zum Migrationshintergrund (Geburtsland, Zuzugsjahr, Verkehrssprache) - in der operativen Datenbank nicht gespeichert. Schließlich werden alle künftig nicht mehr erforderlichen - das heißt also alle schuljahresbezogenen - Schülerdaten am Ende des Schuljahres gelöscht.

23.1.2. Auswertungsdatenbank

Die Auswertungsdatenbank soll zum einen die Erstellung der Schulstatistik erleichtern und beschleunigen, zum anderen - vor allem über die Ermöglichung von Bildungsverlaufsuntersuchungen - die Grundlagen für die längerfristige Bildungsplanung liefern. In diesem Zusammenhang wurden u.a. von besorgten Eltern die beliebige Erstellung und Weitergabe von personenbezogenen Bildungsverläufen befürchtet.

Ich habe es deshalb für erforderlich erachtet, dass eine Speicherung von identifizierenden Merkmalen wie Name, Geburtstag und Adresse in der Auswertungsdatenbank ausgeschlossen ist. Weiterhin stellt der Gesetzentwurf sicher, dass keine Zugriffe von Stellen außerhalb der Schulverwaltung und des Landesamts für Statistik und Datenverarbeitung (im Rahmen der Erstellung der Schulstatistik) erfolgen, insbesondere also nicht von potentiellen Arbeitgebern. Darüber hinaus sieht der Gesetzentwurf ein datenschutzgerechtes Pseudonymisierungsverfahren in Form einer unumkehrbaren Einweg-Verschlüsselung mittels einer Hash-Funktion vor. In einem feingranularen Berechtigungskonzept sind zudem für einen Standard-User nur eingeschränkte und vor allem nur vordefinierte Abfragemöglichkeiten vorgesehen. Der Ausschluss von Auswertungsergebnissen mit sog. "Tabelleneinsen" macht schließlich allen Nutzern einen Rückschluss auf Einzelpersonen unmöglich.

Ich gehe allerdings davon aus, dass sich im Zuge des weiteren Gesetzgebungsverfahrens auch in Einzelpunkten noch Diskussionsbedarf ergeben wird. So sehe ich beispielsweise die vorgesehene 30-jährige Speicherung der - wenn auch spätestens mit dem Ausscheiden der Schüler anonymisierten - Datenbestände in der Auswertungsdatenbank weiterhin kritisch.

23.2. Datenschutz beim Mikrozensus

Der Mikrozensus ist die amtliche Repräsentativstatistik über die Bevölkerung, den Arbeitsmarkt und die Wohnsituation der Haushalte, an der jährlich 1% aller Haushalte in Deutschland beteiligt sind. Alle Haushalte haben beim Mikrozensus die gleiche Auswahlwahrscheinlichkeit (Zufallsstichprobe). Im Wege einer sog. "einstufigen geschichteten Flächenstichprobe" werden aus dem Bundesgebiet Flächen (Auswahlbezirke) ausgewählt, in denen alle Haushalte und Personen befragt werden. Jährlich wird ein Viertel aller in der Stichprobe enthaltenen Haushalte (beziehungsweise Auswahlbezirke) ausgetauscht, so dass jeder Haushalt vier Jahre hintereinander befragt wird. Zweck des Mikrozensus ist es, statistische Angaben in tiefer fachlicher Gliederung über die Bevölkerungsstruktur, die wirtschaftliche und soziale Lage der Bevölkerung, der Familien und der Haushalte, den Arbeitsmarkt, die berufliche Gliederung und die Ausbildung der Erwerbsbevölkerung sowie die Wohnverhältnisse bereitzustellen. Der Mikrozensus dient dazu, die im Rahmen von umfassenden Volkszählungen erhobenen Daten in kurzen Zeitabständen mit überschaubarem organisatorischem Aufwand zu überprüfen und gegebenenfalls zu korrigieren; er wird deshalb häufig als "kleine Volkszählung" bezeichnet. Beim Mikrozensus handelt es sich um eine Bundesstatistik; die Datenerhebung erfolgt aber durch die Statistischen Landesämter. Diese bedienen sich dabei sogenannter Erhebungsbeauftragter (Interviewer). Rechtsgrundlage für die Befragung ist das "Gesetz zur Durchführung einer Repräsentativstatistik über die Bevölkerung und den Arbeitsmarkt sowie die Wohnsituation der Haushalte (Mikrozensusgesetz 2005)".

Unter Anführung datenschutzrechtlicher Bedenken hat sich im Berichtszeitraum eine nicht unerhebliche Anzahl "ausgewählter" Bürgerinnen und Bürger an mich gewandt, um der Einbeziehung in die Mikrozensusbefragung zu entgehen. Die Betroffenen habe ich aus datenschutzrechtlicher Sicht auf Folgendes aufmerksam gemacht:

Das Bundesverfassungsgericht hat in seinem so genannten "Volkszählungsurteil" vom 15.12.1983 (Az. 1 BvR 209, 269, 362, 420, 440, 484/83) ausgeführt, dass das Grundrecht des Bürgers auf informationelle Selbstbestimmung nicht schrankenlos gewährleistet ist. Der Einzelne muss vielmehr Einschränkungen seines Rechts auf informationelle Selbstbestimmung im überwiegenden Allgemeininteresse hinnehmen. Voraussetzungen für eine derartige Einschränkung sind allerdings das Vorliegen einer normenklaren gesetzlichen Rechtsgrundlage und die Beachtung des Grundsatzes der Verhältnismäßigkeit.

Das Mikrozensusgesetz 2005 dürfte diesen Vorgaben genügen. In diesem Zusammenhang ist zu beachten, dass das Bundesverfassungsgericht in einem früheren Beschluss vom 16.07.1969 (Az. 1 BvL 19/63) das Mikrozensusgesetz in der damaligen Fassung als verfassungsgemäß beurteilt hat. Es hat in dieser Entscheidung insbesondere auch die im Mikrozensusgesetz vorgesehene Auskunftspflicht des Betroffenen als zulässig angesehen, vor allem im Hinblick darauf, dass bei einer Stichprobenbefragung bereits eine Verweigerung der Angaben durch wenige Befragte das Ergebnis der Repräsentativumfrage in Frage stellen könnte.

Einer weit gehenden statistikrechtlichen Auskunftspflicht müssen aber - gleichsam als "Gegengewicht" - entsprechende Sicherungsvorkehrungen gegenüber stehen. So betrachtet das Bundesverfassungsgericht den Grundsatz, die zu statistischen Zwecken erhobenen Einzelangaben strikt geheim zu halten, als unverzichtbar.

Der Gesetzgeber hat dem durch Schaffung restriktiver Geheimhaltungsvorschriften in § 16 Bundesstatistikgesetz Rechnung getragen. So sind personenbezogene oder -beziehbare Einzelangaben grundsätzlich geheim zu halten. Eine Weitergabe ist in der Regel nur in Zusammenfassung mit den Angaben anderer Befragter zulässig. Bei diesem Nachweis von statistischen Ergebnissen ist sicherzustellen, dass ein Rückschluss auf den einzelnen Betroffenen nicht möglich ist.

Zudem sind die in § 5 Abs. 1 Mikrozensusgesetz 2005 genannten Hilfsmerkmale - in der Regel also die identifizierenden Merkmale - gemäß § 8 Mikrozensusgesetz 2005 nach Durchführung der Plausibilitätsprüfungen von den Erhebungsmerkmalen zu trennen und spätestens nach Abschluss der Aufbereitung der jeweils letzten aufeinander folgenden Erhebung in einem Auswahlbezirk zu vernichten.

Verstöße gegen die genannten Bestimmungen seitens der Bediensteten des Landesamts für Statistik und Datenverarbeitung sind mir bisher nicht bekannt geworden.

Die Betroffenen werden in den Erhebungsvordrucken auch gebeten, den Namen ihrer Arbeitsstätte anzugeben. In § 5 Abs. 2 Mikrozensusgesetz 2005 hat der Gesetzgeber insoweit ausdrücklich festgelegt, dass der Name der Arbeitsstätte ausschließlich für Zwecke der Zuordnung der Erwerbstätigen zu Wirtschaftszweigen verwendet werden darf. Diese Sachbehandlung erscheint nachvollziehbar; sie garantiert eine Zuordnung nach einheitlichen Kriterien. Soweit die Zuordnung durch die Befragten selbst vorgenommen würde, wären
- insbesondere bei Großunternehmen, die in verschiedenen Wirtschaftszweigen tätig sind - unterschiedliche Ergebnisse durchaus vorstellbar, was die statistische Aussagekraft mindern würde. Darüber hinaus handelt es sich bei dem Namen der Arbeitsstätte um ein Hilfsmerkmal, das aufgrund § 8 Mikrozensusgesetz 2005, wie bereits ausgeführt, alsbald von den Erhebungsmerkmalen zu trennen und schließlich auch zu vernichten ist.
Die Mikrozensusbefragungen werden im Regelfall unter Einsatz von Erhebungsbeauftragten, sogenannten Interviewern, durchgeführt (siehe § 6 Mikrozensusgesetz 2005). Allerdings weist das Landesamt für Statistik und Datenverarbeitung die Betroffenen in seinen "Zusätzlichen Informationen" zur Erhebung darauf hin, dass sie den Erhebungsbeauftragten auch die bereits selbst ausgefüllten Erhebungsvordrucke übergeben können. Ebenso können die selbst ausgefüllten Erhebungsvordrucke direkt an das Landesamt übermittelt werden. Da die Übergabe an die Erhebungsbeauftragten in verschlossenem Umschlag erfolgen kann, entstehen für die direkte Übermittlung an das Landesamt nicht zwangsläufig Portokosten.
In der Vergangenheit wurden die den Auskunftspflichtigen zur Verfügung gestellten Rücksendekuverts von den Interviewern oftmals bereits handschriftlich mit der Absenderangabe versehen. Zudem war auf den Kuverts neben der Empfängeradresse des Landesamts für Statistik und Datenverarbeitung auch der Zusatz "Mikrozensus" aufgedruckt. Auf meine Bitte hin hat mir das Landesamt zugesichert, die eingesetzten Interviewer künftig anzuweisen, keine Absenderangaben mehr vorweg anzubringen, sondern diese Angaben den Auskunftspflichtigen selbst zu überlassen. Zudem hat mir das Landesamt auf meine Anregung hin zugesagt, den Aufdruck "Mikrozensus" durch den nichtsprechenden Zusatz "Sachgebiet XX" zu ersetzen.
In verstärktem Umfang werden die sogenannten Interviews durch die Erhebungsbeauftragten unter Einsatz von Laptops geführt. In diesem Zusammenhang stellte sich mir die Frage, welche technisch-organisatorischen Maßnahmen zur Gewährleistung des Datenschutzes und der Datensicherheit vom Landesamt für Statistik und Datenverarbeitung verpflichtend vorgegeben werden. Meine diesbezügliche Überprüfung hat ergeben, dass die anfallenden Daten auf den verwendeten Laptops lokal verschlüsselt gespeichert werden. Die für die Speicherung der Mikrozensusdaten auf den Laptops ergriffenen Sicherungsmaßnahmen können als ausreichend angesehen werden.

Vor diesem Hintergrund habe ich im Ergebnis gegen die Erhebungen im Rahmen des Mikrozensus aus datenschutzrechtlicher Sicht keine Einwendungen.

23.3. Vorbereitung der Volkszählung 2011

Bereits in Nr. 21.5 meines 22. Tätigkeitsberichts 2006 habe ich darauf hingewiesen, dass sich Deutschland an der kommenden Volkszählungsrunde der Europäischen Union 2010/2011 mit einem registergestützten Zensus beteiligen wird. Derzeit sind die Vorbereitungen des Zensus in vollem Gange. Aus datenschutzrechtlicher Sicht erscheinen mir folgende Punkte erwähnenswert:

Am 13.12.2007 ist das vom Bundestag beschlossene "Gesetz zur Vorbereitung eines registergestützten Zensus einschließlich einer Gebäude- und Wohnungszählung 2011 (Zensusvorbereitungsgesetz 2011)" in Kraft getreten. Im Wesentlichen regelt dieses Gesetz den Aufbau eines Anschriften- und Gebäuderegisters im abgeschotteten Bereich der Amtlichen Statistik. Es ist damit zu rechnen, dass dieses statistische Register mit den gemeindlichen Melderegistern nicht in allen Fällen übereinstimmen wird. Im Zuge des Gesetzgebungsverfahrens hat daher der Bundesrat einstimmig versucht, in Zweifelsfällen eine adressscharfe Überprüfung durch die Meldebehörden zu ermöglichen.

Eine derartige Rückübermittlung von statistischen Daten in den Verwaltungsvollzug war jedoch der wesentliche Grund für das Bundesverfassungsgericht, das Volkszählungsgesetz 1983 in seinem sog. "Volkszählungsurteil" (BVerfGE 65,1) teilweise als mit dem Grundgesetz unvereinbar anzusehen. Ich habe daher gegenüber dem Staatsministerium des Innern deutlich gemacht, dass die vom Bundesrat beabsichtigte Rückübermittlung das verfassungsrechtliche Gebot der Trennung von Statistik und Verwaltungsvollzug missachtet. Diese Thematik wurde auch von vielen meiner Kolleginnen und Kollegen problematisiert.

Der Bundestag hat den Einspruch des Bundesrats schließlich mit Zwei-Drittel-Mehrheit zurückgewiesen. § 7 Zensusvorbereitungsgesetz 2011 spricht nunmehr von der Rückübermittlung von ggf. fehlerhaften "Anschriftenbereichen"; die Meldebehörden sind gehalten, eine Klärung nur anhand der vorhandenen Daten herbeizuführen und keine Einzelfallüberprüfung vor Ort vorzunehmen. Dies halte ich aus Datenschutzsicht für vertretbar.

Am 03.12.2008 hat die Bundesregierung den Entwurf eines "Gesetzes zur Anordnung des Zensus 2011 (Zensusgesetz 2011) sowie zur Änderung von Statistikgesetzen" beschlossen. Mit diesem Gesetzentwurf sollen die rechtlichen Voraussetzungen für den vorgesehenen registergestützten Zensus geschaffen werden. Nicht zuletzt regelt der Gesetzentwurf den Zensusstichtag und die Erhebungs- und Hilfsmerkmale.

Nachdem mir das Staatsministerium des Innern einen ersten Referentenentwurf zur Stellungnahme übermittelt hatte, habe ich in der Hauptsache zwei Problemfelder gesehen und diese auch gegenüber dem Staatsministerium des Innern thematisiert:

Als problematisch habe ich zunächst die Erhebung der "Zugehörigkeit zu einer Religionsgemeinschaft" angesehen. Ich habe darauf hingewiesen, dass es sich bei diesem äußerst sensiblen Erhebungsmerkmal schon nach der Verordnung (EG) Nr. 763/2008 des Europäischen Parlaments und des Rates vom 09.07.2008 über Volks- und Wohnungszählungen nicht um ein Pflichtmerkmal handelt. Überdies hatte das Europäische Parlament in seiner Sitzung vom 20.02.2008 mit überwältigender Mehrheit dafür gestimmt, die von der Europäischen Kommission vorgeschlagene freiwillige Abfrage bestimmter sensibler Merkmale - dazu zählte u.a. die Religionszugehörigkeit - vollständig zu streichen. Bereits vor diesem europarechtlichen Hintergrund erschien mir die im Referentenentwurf vorgesehene verpflichtende Angabe der Religionszugehörigkeit als nicht hinnehmbar. Erfreulicherweise ist die Erhebung des Merkmals "Zugehörigkeit zu einer Religionsgemeinschaft" im Gesetzentwurf der Bundesregierung nicht mehr vorgesehen.
Im Gegensatz zur letzten Volkszählung 1987 sollten sodann nach dem Referentenentwurf personenbezogene Erhebungen auch in sensiblen Sonderbereichen vorgenommen werden. Noch in der Begründung des Zensusvorbereitungsgesetzes 2011 war allerdings insoweit eine anonyme Erhebung angekündigt worden.

Begründet wurde die personenscharfe Erhebung nun mit der Fehleranfälligkeit einer nur summarischen Erfassung. Der von Seiten der Statistik befürchtete Fehler bei einer Beibehaltung der bei der letzten Volkszählung durchgeführten anonymen Erhebung dürfte sich allerdings in der Praxis nicht als besonders gravierend herausstellen. Darüber hinaus vermag mich auch insbesondere der Hinweis auf die Bedeutung der Einwohnerzahlermittlung für die Gemeinden im Zusammenhang mit dem kommunalen Finanzausgleich nicht zu überzeugen. Es ist zum einen zu berücksichtigen, dass wohl kein Zensus die buchhalterisch exakte Ermittlung der Wohnbevölkerung in vertiefter regionaler Gliederung leisten kann, zum anderen, dass die amtlichen Einwohnerzahlen im Rahmen des Finanzausgleichs nur Messgrößen darstellen.

Als Sonderbereiche gelten Gemeinschafts-, Anstalts- und Notunterkünfte, Wohnheime und ähnliche Unterkünfte. Ich habe angeregt zu prüfen, ob es nicht möglich ist, nur in wenig sensiblen Sonderbereichen, wie z.B. Studentenwohnheimen, die derzeit vorgesehene personenscharfe Erhebung durchzuführen, in sensiblen Sonderbereichen, wie z.B. bestimmten Heimen und Justizvollzugsanstalten, es aber bei einer summarischen Erfassung zu belassen.

Zwar hat das Staatsministerium des Innern erfreulicherweise meine Argumente aufgegriffen. Der von der Bundesregierung beschlossene Gesetzentwurf sieht jedoch bedauerlicherweise nach wie vor eine personenscharfe Erhebung in Sonderbereichen vor.

Aus datenschutzrechtlicher Sicht werde ich auch weiterhin die Vorbereitung und die Durchführung der Volkszählung 2011 kritisch begleiten.