Datenschutzbeauftragter prüft von Ämtern genutzte Software

Eine in rheinland-pfälzischen Gesundheitsämtern eingesetzte Software wird vom Datenschutzbeauftragten des Landes geprüft. Konkret geht es um die Frage, ob die Software datenschutzkonform eingesetzt werde, erklärte eine Sprecherin des Beauftragten Dieter Kugelmann am Dienstag. Zuvor hatte der SWR darüber berichtet. Anlass für die Prüfung war eine vorangegangene Berichterstattung von «Zeit online» vom November 2023. Es sollen möglicherweise sensible Gesundheitsdaten auch für Mitarbeiter einsehbar gewesen sein, die keine Berechtigung dazu hatten. Auch andere Medien hatten bereits darüber berichtet.

Aufgrund der Berichterstattung von «Zeit online» sei der Landesdatenschutzbeauftragte auf das Thema aufmerksam geworden, sagte seine Sprecherin. Sie sei Anlass für die Prüfung gewesen, Ende vergangenen Jahres seien bereits Informationen von Ämtern erbeten worden. Das Thema sei recht kompliziert, weil die Software in den insgesamt 24 Kreisverwaltungen mit Gesundheitsämtern unterschiedlich verwendet werde. In einigen sei sie seit vielen Jahren im Einsatz, in einigen erst seit dem Start einer Projektphase, an deren Ende eine einheitliche Konfiguration der Software in allen Gesundheitsämtern stehen soll.

Eine systematische oder akute Gefährdung der Rechte und Freiheiten der Bürgerinnen und Bürger durch die Datenverarbeitung in den rheinland-pfälzischen Gesundheitsämtern sehe der Datenschutzbeauftragte nach derzeitigen Erkenntnissen nicht, sagte die Sprecherin. Kugelmann selbst erklärte, es gebe keine Hinweise auf konkrete Datenschutzverstöße. Entscheidend sind nach jetzigen Erkenntnissen unterschiedliche Arbeitsabläufe oder Einstellungen in einzelnen Behörden. Aus dem Grund ist geplant, sich im April und Mai den konkreten Einsatz der Software in einzelnen Gesundheitsämtern vor Ort anzuschauen. Es gehe letztlich darum, wer vor Ort Zugriff auf was habe, sagte Kugelmann.

Der Hersteller hat die Software dem SWR-Bericht zufolge dem Datenschutzbeauftragten mittlerweile auch präsentiert. Es sei zudem unter anderem mit Hilfe einer externen Firma ein vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelter Grundsatzcheck durchgeführt worden. Das BSI teilte dem SWR mit, es stehe mit dem Hersteller in Kontakt. Der Datenschutzbeauftragte Kugelmann sagte der Deutschen Presse-Agentur am Dienstag, die Ergebnisse dieses Grundsatzchecks seien vom Hersteller erbeten worden.

Ziel des Projekts des rheinland-pfälzischen Gesundheitsministeriums mit der Software ist es nach Angaben des Ministeriums in Mainz, bestehende Arbeitsweisen kommunaler Gesundheitsämter unter Einsatz einer einheitlichen Software zu standardisieren. Kugelmann begrüßt das. «Die Zielsetzung finde ich gut», sagte er. Gesundheitsdaten seien besonders sensible Daten. Auch sollen im Rahmen des Projekts gezielt Sicherheitslücken identifiziert und geschlossen werden, erklärte das Ministerium weiter. Das laufe gerade.

«Es tauchen dabei natürlich auch Schwachstellen auf, die dann beseitigt werden müssen», sagte ein Ministeriumssprecher. Der Hersteller werde bei Schwachstellen aufgefordert, entsprechende Programmierbedarfe umzusetzen. Zu einer Anpassung sei das Unternehmen beispielsweise aufgefordert worden, nachdem eine Schwachstelle bei Rechten und Rollen ausfindig gemacht worden sei. Die Firma habe den Programmierfehler zwischenzeitlich mit einem Update behoben.

Teil des Projekts ist eine Steuerungsgruppe mit Vertretern des Ministeriums, des Landesamtes für Soziales, Jugend und Versorgung, des Landesuntersuchungsamtes, des Landkreistages, des Gesundheitsamtes Trier-Saarburg, des Gesundheitsamtes Mainz-Bingen und eines vom Land beauftragten Beratungsunternehmens. Anfang März teilte das Gesundheitsministerium auf Anfrage mit, dass bislang im Rahmen des Projekts rund 334.000 Euro brutto an den Hersteller der Software gezahlt worden seien. Bis zum Projektende zum 30. September 2024 soll demnach ein Gesamtvolumen von etwa 800.000 Euro zusammenkommen.