1. Funktionsprinzip der Niedersächsischen Antragsverwaltung Online (NAVO)

Transkript

1 Referat 44 AZ: / Umgang mit personenbezogenen Daten in der Niedersächsischen Antragsverwaltung online (NAVO) Stand Einleitung Im Zuge der Umsetzung der Europäischen Dienstleistungsrichtlinie wurde eine Egovernment- Infrastruktur des Landes geschaffen, über die Bürger und Behörden sowie Unternehmen Verwaltungsdienstleistungen resp. Behördengänge online durchführen können. Die Infrastruktur besteht aus folgenden maßgeblichen Modulen: Niedersächsische Antragsverwaltung online (NAVO) Bürgerkonto Formularservice Bürger-und Unternehmensservice 1. Funktionsprinzip der Niedersächsischen Antragsverwaltung Online (NAVO) Über NAVO kann ein Vorgang (Behördengang) nach vorgefertigtem Prozessmuster angeboten werden. Diese vorgefertigten Muster werden als Apps bezeichnet. Komplexe Vorgänge werden über eine Assistenten-Software über Abfrage und Antwort ermittelt und zusammengestellt, indem die dafür erforderlichen Formulare gesammelt als virtueller Vorgang in NAVO bereitgestellt werden. Dabei wird jeweils automatisch eine App erzeugt. Bei eingeloggten Nutzern sind diese Apps permanent im Rahmen der NAVO-Funktion Online- Schreibtisch vorhanden, bis sie vom Eigner/Anwender gelöscht werden. Bei temporärer Nutzung sind diese Apps flüchtig und nur im einmaligen konkreten Bedarfsfall vorhanden. Es wird folglich im temporären Anwendungsfall keine Datenhaltung betrieben. 2. Erläuterungen zu personenbezogenen Daten, die bei der Nutzung erhoben werden Bei den elektronischen Behördengängen handelt es sich jeweils immer um die Übermittlung personenbezogener Daten in Form eines elektronischen Antrags an eine zuständige Stelle resp. an eine vermittelnde Stelle einheitlicher Ansprechpartner soweit das jeweilige Fachrecht diese erfordert und mittels Ermächtigung erlaubt. Die personenbezogenen Daten 1

2 beinhalten neben den Basisdaten (Name, Vorname, Adresse) zumeist unterschiedlichste Angaben, wie sie über amtliche Vordrucke in Behörden je nach Vorgaben abgefragt werden. Einsicht in diese Daten können nur Antragstellende und die jeweiligen Empfänger (zuständige Stellen) und / oder damit betraute einheitliche Ansprechpartner nehmen sowie im Supportfall Administratoren von NAVO. Bei den empfangenden Stellen handelt es sich um Behörden, die für das Verwaltungsverfahren zuständig sind. In diversen Verwaltungsvorgängen können dies mehrere Behörden sein, z. B. eine den abschließenden Bescheid erstellende Behörde sowie zeitgleich eine zweite oder dritte Behörde zum Zwecke der Stellungnahme oder zum Datenabgleich, wie zum Beispiel der Abgleich über ein Zentralregister. Sofern keine gesetzliche Ermächtigung vorliegt muss der Antragssteller hierzu explizit sein Einverständnis erklären (z.b. im i-kfz-verfahren) und den entsprechenden elektronischen Zugang eröffnen vgl. VwVfG 3a (1). Der Datentransfer erfolgt rechtssicher und verschlüsselt über ein elektronisches Verwaltungs- und Gerichtspostfach oder über einen Webservice im direkten Datenaustausch mit einem Fachverfahren der zuständigen Stelle. Dabei wird als Übermittlungsweg das Internet genutzt (egvp, Sicherheitsprotokoll OSCI) oder das Verwaltungsnetz DOI genutzt oder ein direkter VPN-Kanal (Register). In jedem Fall sind die Daten dabei gesichert und verschlüsselt. 3. Datenhaltung Die für ein Gesamtvorhaben erforderlichen Anträge werden über ein automatisches Assistentenprogramm in einem virtuellen Vorgang in NAVO zusammengetragen und können dort ausgefüllt und mit Anlagen versehen und versendet werden. Inhaber dieses Vorgangs ist die jeweilig antragstellende Person, die jederzeit ihre Daten lesen, ändern und löschen kann. Im flüchtigen Modus dient NAVO nur der temporären Nutzung: Zusammenstellen und ggf. Versand der Anträge. Nach dem Schließen des Browsers ist auch der virtuelle Vorgang verschwunden. Es erfolgt keine dauerhafte Datenhaltung. NAVO kann in diesem flüchtigen Modus ohne Registrierung genutzt werden. Ein elektronischer Rückkanal (d. h. Kontakt mit der zuständigen Stelle inkl. Bescheidübermittlung und elektronische Benachrichtigungen - in und aus dem virtuellen Vorgang heraus) ist allerdings erst nach einer Registrierung im Bürgerkonto möglich, nicht jedoch im flüchtigen Modus, da Daten des einmaligen Vorgangs und der antragstellenden Person nicht mehr im System vorhanden sind. Anders verhält es sich mit Daten die nach einer Registrierung gehalten werden. Im Bürgerkonto werden persönliche Daten längerfristig im Rahmen des Nutzerprofils gehalten. 2

3 Eine längerfristige Nutzung über einen Bürgerkonto-Account im auf Dauer angelegten Modus ist dann besonders sinnvoll, wenn man kaskadierende resp. von einander abhängige Vorhaben über NAVO durchführen möchte, wie z. B. um Bescheide elektronisch zu erhalten und als Anlage für weitere Anträge zu einem weiteren anhängenden Verfahren zu verwenden. Im dauerhaften Modus werden die jeweiligen Vorgänge über Apps im persönlichen Bereich Online-Schreibtisch der Anwender gelistet. Hierbei werden die Formulare inkl. der bereits ausgefüllten Feldangaben gespeichert sowie ein Log über Zugriffszeiten, sowie Versand geführt. Die Datenspeicherung erfolgt in der gesicherten Systemumgebung des Landes (SAN des Landesrechenzentrum IT.Niedersachsen). Behörden können in den Vorgang antworten: Elektronische Bescheide werden in den korrekten Vorgang zugestellt. Anwender haben rund um die Uhr die Möglichkeit auf ihre eigenen Vorgänge zu zugreifen resp. auch ältere abgeschlossene Vorgänge einzusehen solange diese noch nicht gelöscht sind. Anwender können sich jederzeit dazu entschließen die in NAVO Anträge: ohne Registrierung zu versenden es erfolgt keine Datenhaltung mit Registrierung nach Log-in Bürgerkonto zu versenden es erfolgt eine Datenhaltung nur herunterladen und ausdrucken ohne Registrierung es erfolgt keine DatenhaltungVorhaben abzubrechen und nicht zu Ende zu führen es erfolgt eine Datenhaltung, wenn eine Registrierung erfolgt ist und das entsprechende Log-in zuvor durchgeführt wurde. Generell werden alle Daten 6 Monate nach dem letzten Aufruf gelöscht. Benutzerkonten werden nach 2 Jahren Inaktivität gelöscht. 4. Registrierung Bei der Registrierung werden im Bürgerkonto an das die Antragsverwaltung als Mandant angeschlossen ist, jeweils nur Basisstammdaten erfasst. Das Modul zur Registrierung wird über das Identitymanagementverfahren des Landes (IDM) bereitgestellt. Die öffentliche Bezeichnung lautet Bürgerkonto. Folgende Stammdaten werden dabei maximal über die Standardeinstellung erfasst - *Pflichtfelder: Name* Vorname* Adresse* 3

4 Geburtsdatum* Länderkennzeichen D adresse* Optional können im Bürgerkonto, je nach Mandant, weitere Felder enthalten sein. Die Daten können über einen EID-Service in Verbindung mit dem elektronischen Personalausweis verifiziert werden, falls der Anwender dies zulässt resp. wünscht. Anwender erklären über die entsprechende Auswahl im Webfrontend ihr Einverständnis. Die Daten werden ausschließlich im konkreten Bedarfsfall einer Online-Antragsstellung auf Veranlassung des Anwenders genutzt. Das jeweilige angeschlossenem Verfahren (Mandant), dass das Bürgerkonto nutzen möchte, muss dabei für diese Form der Online-Antragsstellung unter Nutzung des EID-Services/Bürgerkonto oder Registrierung über das Bürgerkonto über die jeweilige rechtliche Grundlage verfügen und entsprechend eine Datenschutzerklärung und Nutzungsbedingungen vorweisen. 5. Löschkonzept Um nicht dauerhaft Daten halten zu müssen, wurde folgendes Löschkonzept für NAVO entwickelt: Anträge / Vorgänge werden 6 Monate nach ihrer letzten Aktivität gelöscht. Es wird bewusst nicht der Abschluss des Antrages abgewartet, da evtl. Anträge den Workflow nicht komplett durchlaufen haben, d.h. Vorhaben abgebrochen wurden oder nicht zu Ende gebracht wurden. Benutzer werden gelöscht, sobald sie ihr Profil / Account im Bürgerkonto löschen. Hierzu informiert das Bürgerkonto NAVO über den Löschvorgang. Im Bürgerkonto kann eine registrierte Person ihr Profil überarbeiten und sich z. B. dafür entscheiden sich selbst zu löschen. Aus technischen Gründen ist das Löschen von Benutzern in NAVO zweistufig gestaltet. Im ersten Schritt wird die betreffende Person als gelöscht markiert und alle nur von ihr verwendeten Apps entsorgt. Sobald alle auf sie verweisenden Apps entfernt wurden (was spätestens nach 6 Monaten gegeben ist) kann die Person resp. können die Benutzerdaten restlos entfernt werden. 4

5 6. Datenschutzrechtlichen Hinweise für die Antragsverwaltung Niedersachen mit der Internetadresse und angeschlossener Fachanwendungen 6.1 Verarbeitung personenbezogener Daten Bei der Antragsverwaltung handelt es sich um einen Telemediendienst im Sinne des Telemediengesetzes (TMG) in dessen Rahmen personenbezogene Daten erhoben, verarbeitet und gespeichert werden. Die Nutzung der personenbezogenen Daten erfolgt allein zum Zwecke der Durchführung der Aufgaben der einheitlichen Stellen gemäß 71a 71e Verwaltungsverfahrensgesetz (VwVfG). Neben dem Vor- und Nachnamen inkl. des Geburtsnamen, dem Geschlecht, dem Geburtsdatum, dem Familienstand, der Staatsangehörigkeit, der Adresse, der -Adresse sowie einem eindeutigen Ordnungskriterium werden auch die für die Durchführung der jeweils angeforderten Verwaltungsleistung für die Dauer des Verwaltungsverfahrens gespeichert. Die Daten werden aufgrund des TODO des Nds. Gesetzes über den Einheitlichen Ansprechpartner (NEAG), sowie der 9, 10 des Nds. Datenschutzgesetzes (NDSG) erhoben, gespeichert und genutzt. Die personenbezogenen Daten werden im Rahmen der Antragsstellung ausschließlich über die Formulare an die jeweils zuständigen Behörden in dem für die Bearbeitung des Antrags erforderlichen Umfang weitergeleitet. 6.2 Erhebung und Speicherung von Daten zur Qualitätssicherung Für die Qualitätssicherung und für statistische Zwecke werden bei jedem Zugriff auf die Webseiten des Portals folgende Zugriffsdaten anonymisiert, d.h. ohne IP-Adresse protokolliert: Datum und Uhrzeit des Zugriffs, der Name der angeforderten Datei, die gewünschte Zugriffsmethode/Funktion, die Eingabewerte des Zugriffs (zum Beispiel die Zieldatei), die beim Zugriff verwendete Clientsoftware, die Statusmeldung des Web-Servers (zum Beispiel Datei übertragen, Datei nicht gefunden, Kommando nicht ausgeführt). 6.3 Automatisierte Löschung Die im Rahmen von 6.2 erlangten Daten werden nach Beendigung aller den Antragsteller betreffenden Verwaltungsverfahren, welche über das die Antragsverwaltung beantragt wurden, gelöscht. Vor der Löschung wird der Antragsteller über die Löschung in geeigneter 5

6 Weise informiert und erhält die Möglichkeit der Löschung binnen zwei Wochen zu widersprechen. Im Falle des Widerspruchs durch den Antragsteller werden die Daten für weitere sechs Monate aufbewahrt, bevor er erneut über die Löschung und seine Möglichkeit dieser zu widersprechen informiert wird. Die im Rahmen von 6.3 erlangten Protokolldaten werden nach Ablauf von drei Monaten nach ihrer Speicherung gelöscht. 6.4 Datenschutz- und Sicherheitsmaßnahmen Die Server für die Antragsverwaltung und das Bürgerkonto werden durch den Landesbetrieb für Informations- und Kommunikationstechnologie Niedersachsen (IT.Niedersachsen) in einem besonders gesicherten Rechenzentrum in Hannover betrieben. Für die Gebäude, die technische Infrastruktur und für den Betrieb sind Sicherheitskonzeptionen erstellt worden. Ihre Aktualität und ihre konkrete Umsetzung werden laufend geprüft. Ebenso wurde für die Verarbeitung aller personenbezogenen Daten ein Datenschutzkonzept erstellt, das die Einhaltung der gesetzlichen Vorgaben sicherstellt. 6