9. Zensus

Die Phase der Datenerhebungen für den Zensus 2022 endete bereits im Herbst 2022. Gleichwohl beschäftigten mich damit im Zusammenhang stehende Themen auch noch im aktuellen Berichtszeitraum.

Die aufgetretenen Fragen

inwiefern eine öffentliche Stelle amtlich bestätigte Identitätsnachweise verlangen (siehe sogleich Nr. 9.1) oder
private E-Mail-Adressen nutzen kann (siehe sogleich Nr. 9.2), und
ob das Kontaktieren des Arbeitgebers zulässig ist (siehe sogleich Nr. 9.3),

können sich im Übrigen auch in anderen Bereichen stellen.

9.1. Vorlage von amtlich bestätigten Identitätsnachweisenzur Geltendmachung von Auskunftsansprüchen

In Bezug auf den Zensus 2022 hatten einige Bürgerinnen und Bürger bei einer zuständigen Behörde Auskunft nach Art. 15 DSGVO beantragt. Die Behörde hat die Erteilung der Auskunft jedoch vielfach von der Vorlage eines amtlich bestätigten Identitätsnachweises abhängig gemacht, etwa in Form einer beglaubigten Kopie des Personalausweises, Reisepasses oder einer Meldebescheinigung. Daraufhin sind mehrere Beschwerden bei mir eingegangen, die sich gegen diese zusätzliche Anforderung sowie gegen die damit verbundenen Kosten richteten.

Art. 12 Abs. 6 DSGVO bestimmt, dass der Verantwortliche zusätzliche Informationen, die zur Bestätigung der Identität der betroffenen Person erforderlich sind, anfordern kann, wenn er begründete Zweifel an der Identität hat. Derartige Zweifel waren im konkreten Fall insbesondere jedoch deshalb fernliegend, weil die Antragsteller teilweise bereits mit dem Auskunftsantrag die Zensusfragebogennummer und das behördliche Aktenzeichen mitgeteilt hatten. Warum trotzdem Zweifel an der Identität bestehen sollten, konnte mir die Behörde nicht plausibel, vor allem nicht einzelfallbezogen darlegen. Vielmehr schien diese - aufgrund des aus ihrer Sicht hohen Schutzbedarfs der gespeicherten Zensusdaten - pauschal Zweifel an der Identität aller Antragsteller anzunehmen.

Ein Abweichen von Art. 12 Abs. 6 DSGVO allein aufgrund eines besonderen Schutzbedarfes der Daten ist vom europäischen Gesetzgeber jedoch nicht vorgesehen.

Ich habe die Behörde deshalb aufgefordert, die betreffenden Auskünfte nach Art. 15 DSGVO zu erteilen, ohne dass die Antragsteller zusätzlich einen amtlich bestätigten Identitätsnachweis erbringen müssen. Die Behörde ist dem nachgekommen.

9.2. Nutzung privater E-Mail-Adressen durch Erhebungsbeauftragte

Zu Recht waren einige Bürgerinnen und Bürger verunsichert, die im Rahmen des Zensus 2022 oder des Mikrozensus 2023 von der zuständigen Behörde angeschrieben worden waren und für Terminabsprachen anstelle amtlicher Kontaktdaten die private E-Mail-Adresse der oder des Erhebungsbeauftragten (vgl. mein 32. Tätigkeitsbericht 2022 unter Nr. 11.1.2) vorgefunden hatten. Diese private E-Mail-Adresse hatte bei den Auskunftspflichtigen vielfach sowohl Zweifel an der Legitimation der Erhebungsbeauftragten hervorgerufen als auch Fragen zur Sicherheit der Daten im Zusammenhang mit einer Verarbeitung durch einen privaten E-Mail-Provider aufkommen lassen. Einige von Ihnen wandten sich deshalb auch an mich.

Bei Erhebungsbeauftragten handelt es sich in der Regel um amtlich betraute Privatpersonen (vgl. § 14 Bundesstatistikgesetz, § 12 Mikrozensusgesetz), die nur temporär zur Unterstützung der Befragung eingesetzt werden.

Wie mir die zuständige Behörde auf Nachfrage erläuterte, würden sich bei der Verwendung einer amtlichen E-Mail-Adresse Schwierigkeiten, insbesondere im Hinblick auf den sozialrechtlichen Status der Erhebungsbeauftragten ergeben. Die Suche nach einer echten Alternative zur Verwendung einer privaten E-Mail-Adresse sei deshalb bisher - auch im Austausch mit anderen Bundeländern - leider erfolglos geblieben.

Aus Datenschutzsicht ist die Nutzung eines privatwirtschaftlichen Unternehmens als E-Mail-Provider nicht grundsätzlich unzulässig, zumindest solange die eigentliche Abfrage der Zensus- oder Mikrozensusdaten nicht per E-Mail stattfindet. Bei den mir zur Prüfung vorgelegenen Fällen konnte ich eine solche Abfrage nicht feststellen, vielmehr fanden über die E-Mail-Adresse lediglich Terminabsprachen statt. Damit wurden nur in geringem Umfang personenbezogene Daten verarbeitet. Die Nutzung der E-Mail-Adresse war außerdem freiwillig, da in allen Fällen auch eine Telefonnummer zur Verfügung gestanden hätte.

Gleichwohl habe ich die zuständige Behörde aufgefordert, für die Zukunft eine andere, datenschutzfreundlichere Verfahrensweise zu etablieren. Die Behörde hat mich hieraufhin informiert, dass man meinen Vorschlag prüfe, ob mittelfristig ein Online-System zur Terminvereinbarung genutzt werde könne.

Ich konnte außerdem erreichen, dass für die Übergangszeit das Anschreiben und der ergänzende Informationsflyer von der zuständigen Behörde überarbeitet wurden, um den Auskunftspflichtigen zumindest die besondere Rolle der ehrenamtlichen Erhebungsbeauftragten und den Hintergrund der Angabe der privatenE-Mail-Adresse genauer zu erläutern.

9.3. Unzulässige Information des Arbeitgebers eines Erhebungsbeauftragten

Ein ehemaliger Erhebungsbeauftragter des Zensus 2022 beschwerte sich bei mir über den Umgang der Erhebungsstelle mit seinen eigenen personenbezogenen Daten. Hintergrund war die noch ausstehende Rückgabe eines Tablets, welches ihm zum Zwecke der Zensuserhebungen zur Verfügung gestellt worden war. Nach Abschluss der Erhebungen forderte die Behörde ab Ende Oktober 2022 die Tablets von allen Erhebungsbeauftragten zurück, indem sie darum bat, einen Rückgabetermin zu vereinbaren. Der Beschwerdeführer kam dem zunächst nicht nach, sondern wartete vorerst auf die Abrechnung der Aufwandsentschädigung. Telefonisch war der Beschwerdeführer zu den Geschäftszeiten nicht zu erreichen. Ob ein postalisches Aufforderungsschreiben zugegangen war, konnte ich nicht zweifelsfrei feststellen. Anfang 2023 kontaktierte die Erhebungsstelle sodann den Arbeitgeber des Beschwerdeführers telefonisch und teilte ihm mit, der Beschwerdeführer sei als Erhebungsbeauftragter tätig gewesen und müsse noch Unterlagen zurückgeben. Eine Einwilligung in diese Kontaktaufnahme lag nicht vor.

Ich habe gegenüber der Erhebungsstelle einen Datenschutzverstoß festgestellt: Für die Kontaktaufnahme mit dem Arbeitgeber hatte die Behörde keine Rechtsgrundlage. Die vorgenommenen Datenverarbeitungen (zweckändernde Nutzung und Übermittlung) waren für die Aufgabenerfüllung nicht erforderlich.

Eine Verarbeitung personenbezogener Daten ist nur dann erforderlich im Sinne des Art. 4 Abs. 1 oder Art. 5 Abs. 1 Satz 1 Nr. 1 BayDSG, wenn die öffentliche Stelle ihre jeweilige Aufgabe ohne die Verarbeitung nicht, nicht vollständig oder nicht in rechtmäßiger oder zumutbarer Weise erfüllen kann. Dabei ist auch stets der Grundsatz der Verhältnismäßigkeit zu beachten.

Nach Einholung mehrerer Stellungnahmen bin ich zu dem Ergebnis gekommen, dass die Erhebungsstelle die direkten Kontaktmöglichkeiten zum Beschwerdeführer nicht vollständig ausgeschöpft hatte und ihr somit mildere Mittel zur Aufgabenerfüllung zur Verfügung gestanden hätten. Die Behörde hat den Fehler eingeräumt und sich für die Kontaktierung des Arbeitgebers entschuldigt.