Dr. Thomas Fetzer, LL.M.; Sabine Stollhof

Anmerkungen des FuE-Projekts der Universität Mannheim zu Kapitel 4.1 Recht, Prozesse und Organisation des Projektberichts des Deutschland-Online-Vorhabens über die IT-Umsetzung der Europäischen Dienstleistungsrichtlinie ( Blaupause ) Dr. Thomas Fetzer, LL.M.; Sabine Stollhof Lehrstuhl für Öffentliches Recht und Steuerrecht Universität Mannheim 30. Juli 2008

Executive Summary Wir sind darum gebeten worden, zu rechtlichen Themenkomplexen der IT Umsetzung der Dienstleistungsrichtlinie Stellung zu nehmen und sind dabei zu folgenden Ergebnissen gelangt: 1. Sollte ein eigenständiges E Government Gesetz für die Tätigkeit des Einheitlichen Ansprechpartners geschaffen werden? Die Schaffung eines eigenständigen E Government Gesetzes ist durch die Richtlinie nicht vorgegeben. Die Schaffung eines solchen Gesetzes ist allerdings auch nicht ausgeschlossen, beinhaltet aber die Gefahr einer Zersplitterung allgemeiner verfahrensrechtlicher Regelungen. 2. Welche Vorgaben gelten für den Umgang mit ausländischen elektronischen Dokumenten? Grundsätzlich gibt die Dienstleistungsrichtlinie eine umfassende Anerkennungspflicht für ausländische Dokumente aus dem Anwendungsbereich der Richtlinie vor. Dies gilt in besonderem Umfang für elektronische Dokumente, die in Einklang mit der Signatur Richtlinie elektronisch signiert worden sind. 3. Welche Vorgaben gelten für die Archivierung von Dokumenten durch den Einheitlichen Ansprechpartner? Den Einheitlichen Ansprechpartner trifft nach allgemeinen Grundsätzen eine Aktenführungspflicht. Sie besteht unabhängig von der Aktenführungspflicht der Behörden, die materiell an einem Genehmigungsverfahren beteiligt sind, das über einen Einheitlichen Ansprechpartner abgewickelt wird. 4. Wie ist die Schaffung eines elektronischen Dokumentensafes zu beurteilen? Ein elektronischer Dokumentensafe kann zu einer Verfahrensvereinfachung führen. Für seine Einführung ist jedoch die Schaffung rechtlicher Rahmenbedingungen empfehlenswert, die insbesondere auch das Verhältnis zwischen Safebetreiber und Nutzern regeln. 2

Inhalt 1. Notwendigkeit eines E Government Gesetzes für die Tätigkeit des EA?... 4 2. Umgang mit ausländischen elektronischen Dokumenten... 5 3. Archivierung beim EA... 7 a) Grundsätzliche Aktenführungspflicht des EA... 7 b) Form der Aktenführung... 8 c) Inhalt der Akte... 8 d) Aufbewahrungspflichten... 9 e) Datenschutzrechtliche Implikationen... 9 4. Dokumentensafe und elektronisches Notariat... 10 a) Einleitung... 10 b) Chancen und Risiken eines Dokumentensafes... 10 c) Rechtliche Implikationen... 11 aa) Datenschutzrechtliche Fragen... 11 bb) Verhältnis Safebetreiber Nutzer... 12 cc) Zustellung von Behördendokumenten... 12 d) Zusammenfassung... 13 3

1. Notwendigkeit eines E Government Gesetzes für die Tätigkeit des EA? Der Dienstleistungserbringer soll alle Verfahren und Formalitäten, die für die Aufnahme einer Dienstleistungstätigkeit erforderlich sind, über einen Einheitlichen Ansprechpartner (EA) abwickeln können, insbesondere die Beantragung der für die Ausübung seiner Dienstleistungstätigkeit erforderlichen Genehmigungen, Art. 6 Dienstleistungsrichtlinie (DL RL). Nach Art. 7 DL RL sind Dienstleistungserbringern und empfängern zukünftig über den EA bestimmte Informationen zugänglich zu machen. Die Schaffung Einheitlicher Ansprechpartner berührt gemäß Art. 6 Abs. 2 DL RL nicht die Verteilung von Zuständigkeiten und Befugnissen zwischen den Behörden innerhalb des nationalen Systems. Die DL RL bewirkt damit lediglich Verfahrensänderungen, die für alle Verwaltungsverfahren gelten. Allgemeine Regelungen für Verwaltungsverfahren finden sich jedoch zusammengefasst in den Verwaltungsverfahrensgesetzen des Bundes und der Länder, so dass auch die allgemeinen Anforderungen, die die DL RL an das Verwaltungsverfahren stellt, dort geregelt werden sollten. Die Einführung eines E Government Gesetzes, das der umfassenden Umsetzung der Vorgaben der DL RL dient, würde dazu führen, dass bereits das allgemeine Verwaltungsverfahrensrecht in verschiedenen Gesetzen aufgespalten wird. Eine entsprechende Anpassung der Verwaltungsverfahrensgesetze ist auch möglich: Der EA wirkt, sofern er in die Abwicklung eines Verfahrens eingebunden wird, an einem Verwaltungsverfahren mit, ist aber regelmäßig nicht Beteiligter des Verfahrens i.s.d. 13 (L)VwVfG. Ein solcher Mittler zwischen dem Dienstleistungserbringer und den unmittelbar zuständigen Behörden (vgl. Erwägungsgrund 48 der RL) ist zwar bisher nicht im deutschen Verwaltungsverfahren vorgesehen. Der EA benötigt für seine Tätigkeit daher eine rechtliche Grundlage. Diese kann durch eine entsprechende Ergänzung der Verwaltungsverfahrensgesetze geschaffen werden. Durch die Ergänzung der allgemeinen Verwaltungsverfahrensgesetze, die für alle Verwaltungsverfahren gelten, werden ansonsten erforderliche umfangreiche Neuregelungen in einer Vielzahl von Fachgesetzen vermieden. Zugleich wird die Aufspaltung des allgemeinen Verwaltungsverfahrensrechts verhindert. Der Bund /Länder Musterentwurf für ein Gesetz zur verwaltungsrechtlichen Umsetzung der EG Dienstleistungsrichtlinie vom 09. Mai 2008 sieht die Einführung eines neuen Verfahrensmodells Verfahren über eine einheitliche Stelle vor. 71b VwVfG Musterentwurf regelt das Verfahren über eine einheitliche Stelle, 71c die Informationspflichten und 71d die gegenseitige Unterstützung der einheitlichen Stelle und der zuständigen Behörden. Hierdurch ist den Anforderungen der DL RL an den EA Genüge getan. Materiell rechtliche Implikationen, die nicht verallgemeinerungsfähig sind, sondern fachspezifisch ausgestaltet werden müssen, können im jeweiligen Fachgesetz des besonderen Verwaltungsrechts geregelt werden. 4

Des Weiteren werden durch die Änderung im Verwaltungsverfahren Neuregelungen in weiteren Gesetzen erforderlich, beispielsweise im Zustellungs und Gebührenrecht. Bereits bestehende Regelungen in den Fachgesetzen zur elektronischen Verfahrensabwicklung können ausgebaut werden. So sieht etwa 5 Abs. 5 VwZG (Verwaltungszustellungsgesetz) bereits die Möglichkeit einer elektronischen Zustellung vor. Der Erlass eines weitergehenden E Government Gesetzes ist zwar nicht ausgeschlossen. Er könnte sicherlich als politisches Zeichen der Verwaltungsmodernisierung unabhängig von den Anforderungen der DL RL und des EA dienen. Teilweise wird erwogen, in einem solchen E Government Gesetz beispielsweise eine Verordnungsermächtigung für eine verbindliche Festsetzung von einheitlichen IT Standards mit eventueller Einrichtung einer Standardisierungsstelle zu verorten (vgl. Bericht der Landesregierung Schleswig Holstein zum Entwurf eines E Government Gesetzes für Schleswig Holstein, LT Drucks. 16/353 vom 24.04.2007). Eine solche Standardsetzung hätte sicherlich den Vorteil, die ungehinderte Kommunikation zwischen verschiedenen Kommunikationspartnern zu ermöglichen, die an einem Verwaltungsverfahren mitwirken. Sie ist aber in verfassungsrechtlicher Hinsicht nicht unproblematisch. Dies betrifft insbesondere die Vorgabe verbindlicher Standards für die kommunale Verwaltungstätigkeit, die zu einem Eingriff in die durch Art. 28 GG gewährleistete Selbstverwaltungsgarantie der Kommunen führen könnte. Zusammenfassend lässt sich sagen, dass darüber hinausgehende Regelungen in einem separaten E Government Gesetz für die Schaffung der nationalen Rahmenbedingungen für eine IT Umsetzung der DL RL nicht zwingend erforderlich sind und eine Zersplitterung des allgemeinen Verfahrensrechts bewirken würden. Regelungen in den Verwaltungsverfahrensgesetzen sind nach unserer Auffassung für die Lösung der verfahrensrechtlichen Implikationen eines EA ausreichend und durch vereinzelte Ergänzungen in Fachgesetzen hinsichtlich materiell rechtlicher Implikationen auch vollständig. Wir gehen infolge der Stellungnahme des Bundes zum Eckpunktepapier des DOL Vorhabens vom 17. Juni 2008 zudem davon aus, dass eine weitergehende Erörterung der Erforderlichkeit eines allgemeinen E Government Gesetzes losgelöst von der Erforderlichkeit für die IT Umsetzung der DL RL nicht gewünscht ist, um einen Kompetenzkonflikt mit den anderen Umsetzungsgremien der DL RL zu vermeiden. Da wir die Einrichtung eines E Government Gesetzes für die IT Umsetzung der DL RL aus den genannten Gründen auch nicht für erforderlich halten, regen wir an, den Unterpunkt 4.1.1 aus dem Projektbericht herauszunehmen. 2. Umgang mit ausländischen elektronischen Dokumenten Gegenstand der folgenden Erörterung ist der Umgang mit elektronischen Dokumenten, die von einer Behörde eines anderen EG Mitgliedstaates ausgestellt wurden (vgl. neues österreichi 5

sches Recht) und die einer deutschen Behörde im Rahmen eines Verwaltungsverfahrens durch den Dienstleistungserbringer vorgelegt werden. Den folgenden Erwägungen liegt die Annahme zugrunde, dass die elektronischen Behördendokumente in Einklang mit den Vorgaben der Richtlinie 1999/93/EG des europäischen Parlaments und des Rates vom 13.12.1999, ABl. EG Nr. L 13, 12 ff. vom 19.01.2000, über gemeinschaftliche Rahmenbedingungen für elektronische Signaturen (Signatur RL), die bis zum 19.07.2001 in nationales Recht umgesetzt werden musste, elektronisch signiert sind. Die Signatur RL legt in Art. 7 fest, dass die EG Mitgliedstaaten dafür Sorge zu tragen haben, dass Zertifikate, die von einem Zertifizierungsdiensteanbieter eines anderen Mitgliedstaats öffentlich als qualifizierte Zertifikate ausgestellt werden, den im Inland ausgestellten Zertifikaten rechtlich gleichgestellt werden, wenn sie den Anforderungen der Signatur RL entsprechen. Die Anerkennung ausländischer Signaturen im Inland wird entsprechend im deutschen Signaturgesetz in 23 SigG geregelt: Elektronische Signaturen, für die ein ausländisches qualifiziertes Zertifikat aus einem anderen Mitgliedstaat vorliegt, sind, soweit sie Art. 5 Abs. 1 der Signatur RL entsprechen, qualifizierten elektronischen Signaturen gleichgestellt. Mit der umfassenden Anerkennungspflicht ausländischer Signaturen korrespondiert die in der DL RL statuierte Pflicht der Mitgliedstaaten, ausländische Dokumente anzuerkennen. Für den Fall, dass vom Dienstleistungserbringer oder empfänger ein Zeugnis, eine Bescheinigung oder ein sonstiges Dokument zum Nachweis der Erfüllung einer Anforderung verlangt wird, verpflichtet die DL RL in Art. 5 Abs. 3 S. 1 die Mitgliedstaaten dazu, alle Dokumente eines anderen Mitgliedstaates anzuerkennen, die eine gleichwertige Funktion haben oder aus denen hervorgeht, dass die betreffende Anforderung erfüllt ist. Die Mitgliedstaaten dürfen grundsätzlich nicht verlangen, dass Dokumente eines anderen Mitgliedstaates im Original, in beglaubigter Kopie oder in beglaubigter Übersetzung vorgelegt werden, Art. 5 Abs. 3 S. 2 DL RL. Diese Regelung erfasst auch elektronische Dokumente anderer Mitgliedstaaten, die der Dienstleistungserbringer oder empfänger im Verwaltungsverfahren übermittelt. Sofern also ein Dokument die Voraussetzungen erfüllt, die im Heimatstaat des Dienstleistungserbringers für elektronische Dokumente gelten, ist dieses Dokument auch in Deutschland als solches anzuerkennen. Vom Dienstleistungserbringer darf grundsätzlich nicht zusätzlich verlangt werden, dass er etwa beglaubigte Angaben darüber beibringt, wer als Inhaber der Signatur und welcher Zeitpunkt für die Anbringung der Signatur ausgewiesen wird sowie welche Zertifikate mit welchen Daten dieser Signatur zugrunde lagen. Die deutsche Behörde darf vom Dienstleistungserbringer oder empfänger keine Bestätigung der Echtheit des Inhalts des Dokuments, der ausstellenden Behörde und/oder der Signatur verlangen. Folglich besteht eine umfassende Anerkennungspflicht für ausländische Dokumente, unabhängig davon, ob das elektronische Dokument ursprünglich in Papierform vorlag oder nicht, sofern das elektronische Dokument nur die Voraussetzungen des ausstellenden Staates an elektronische Dokumente erfüllt. 6

Wenn die Mitgliedstaaten nach Art. 6 Abs. 3 S. 2 DL RL ausnahmsweise eine Beglaubigung o.ä. verlangen dürfen, weil beispielsweise zwingende Gründe des Allgemeininteresses dies erfordern, kann die deutsche Behörde mit Hilfe des öffentlichen Schlüssels, der im Verzeichnisdienst des Zertifizierungsdiensteanbieters einsehbar ist, auch direkt eine Signaturprüfung durchführen. Nach 5 Abs. 1 S. 3 SigG hat der Zertifizierungsdiensteanbieter bei qualifizierten Zertifikaten die Zuordnung eines Signaturprüfschlüssels zu einer identifizierbaren Person durch ein qualifiziertes Zertifikat zu bestätigen und dieses jederzeit für jeden über öffentlich erreichbare Kommunikationsverbindungen nachprüfbar und abrufbar zu halten. Zu diesem Zweck führt der Zertifizierungsdiensteanbieter ein Zertifikatsverzeichnis nach 4 SigV. In Anhang II der EG Signatur RL wird als Anforderung an Zertifizierungsdiensteanbieter formuliert, dass diese vertrauenswürdige Systeme für die Speicherung von Zertifikaten in einer überprüfbaren Form verwenden müssen und Zertifikate nur in den Fällen öffentlich abrufbar sind, für die die Zustimmung des Inhabers des Zertifikats eingeholt wurde. Hieraus lässt sich entnehmen, dass die Zertifikate öffentlich abrufbar sein müssen. Anhang II enthält ferner für Zertifizierungsdiensteanbieter die Verpflichtung, den Betrieb eines schnellen und sicheren Verzeichnisdienstes zu gewährleisten. Es ist daher davon auszugehen, dass auch in den anderen Mitgliedstaaten Verzeichnisdienste bestehen, die eine Signaturprüfung ermöglichen. Zusammenfassend lässt sich damit feststellen, dass elektronische Dokumente aus anderen Mitgliedstaaten der Europäischen Union umfassend anzuerkennen sind, sofern sie die Voraussetzungen des Ausstellerstaates an elektronische Dokumente erfüllen. Wir schlagen vor, diesen Aspekt aufgrund des Zusammenhangs mit der elektronischen Signatur im Allgemeinen im Kapitel 4.1.7 zu behandeln. 3. Archivierung beim EA a) Grundsätzliche Aktenführungspflicht des EA Es ist zunächst zu untersuchen, ob den Einheitlichen Ansprechpartner (EA) eine Aktenführungspflicht trifft. Als Stelle, die Aufgaben der öffentlichen Verwaltung wahrnimmt, ist der EA Behörde i.s.d. 1 Abs. 4 (L)VwVfG. Seine Tätigkeiten sind Verwaltungsvorgänge, die dokumentiert werden müssen. Die Pflicht zur ordnungsgemäßen Aktenführung ist Grundsatz des rechtsstaatlichen Verfahrens. Ohne dass es einer speziellen gesetzlichen Grundlage bedarf, ergeben sich das Recht und die Pflicht einer Behörde zur schriftlichen und vollständigen Aktenführung aus ihrer jeweiligen Aufgabenzuweisung. Als Teil der vollziehenden Gewalt ist der EA nach Art. 20 Abs. 3 GG an Gesetz und Recht gebunden. Die Pflicht zum Gesetzesvollzug in rechtsstaatlicher Weise ist ohne eine Dokumentation der einzelnen Verwaltungsvorgänge ebenso wenig wahrzunehmen wie 7

eine ordnungsgemäße Durchführung des Verwaltungsverfahrens (vgl. Stelkens/Schmitz, in: Stelkens/Bonk/Sachs, VwVfG, 9 Rn. 53). Dies zeigt insbesondere das Recht des Bürgers auf Akteneinsicht nach 29 (L)VwVfG. Überdies ist eine korrekte Aktenführung für die Durchführung der allgemeinen Aufsicht und der speziellen Rechtskontrolle unerlässlich. Die Dokumentation der Vorgänge, die beim EA ablaufen, beispielsweise Zugang von Dokumenten oder Weiterleitung an die zuständigen Behörden, ist insbesondere wegen der Genehmigungsfiktion bei Nichtbearbeitung eines Genehmigungsantrags oder wegen Haftungsfragen von Bedeutung. Der EA tritt nach außen als eigenständige Organisationseinheit in Erscheinung und nimmt selbstständig Aufgaben war, die ihm gesetzlich zugewiesen sind. Es reicht daher nicht aus, wenn andere Behörden ihre Kontakte und Verwaltungsvorgänge mit dem EA in ihrer Akte dokumentieren. b) Form der Aktenführung Die Akte sollte, muss aber nicht, elektronisch geführt werden. Falls eine elektronische Akte geführt wird, bedarf es eines technischen Kontrollsystems, das den Zugriff auf die Akte auf autorisierte Personen beschränkt und die Veränderungen protokolliert. c) Inhalt der Akte In die zu führenden Akten sind alle Vorgänge aufzunehmen, die für die Tätigkeit des EA wesentlich sind. Hierzu gehören sämtliche schriftlichen Äußerungen aller Beteiligten von Beginn bis zum Ende eines Verfahrens, sofern der EA als Mittler eingeschaltet wird. Auch sonstige Notizen, Mitteilungen und Informationen, die einen sachlichen Bezug zum Verfahrensgegenstand aufweisen, sind zu erfassen. Aufgabe des EA ist zum einen, Dienstleistungserbringer zu informieren und zum anderen ihre Anliegen zu koordinieren. Dabei müssen sämtliche Verfahren und Formalitäten über ihn abgewickelt werden können. Das schließt insbesondere die Entgegennahme und gegebenenfalls die Weiterleitung der gesamten Verfahrenskorrespondenz, wie z.b. Anfragen, Anträge, Unterlagen, Erklärungen, Stellungnahmen und Bescheide, ein, und dies sowohl in Richtung der zuständigen Behörden als auch in Richtung des Dienstleistungserbringers. Um seiner Aktenführungspflicht nachzukommen, muss der EA dokumentieren, was er von wem erhalten hat und wie er damit verfahren ist. Geht man davon aus, dass dem EA die Aufgabe der Evidenzkontrolle auf Vollständigkeit von Anträgen übertragen wird, ist eine Einsichtnahme in die Unterlagen erforderlich, die er vom Dienstleistungserbringer erhält, z.b. Zeugnisse o.ä. Folglich sind auch diese zumindest vorübergehend vollständig zu erfassen, da nur dadurch eine umfassende Nachvollziehbarkeit und Kontrollierbarkeit seiner Tätigkeit gewährleistet ist. Wichtig für die Einhaltung von Fristen oder das Ingangsetzen von Fiktionsfristen, beispielsweise nach 41 Abs. 2 (L)VwVfG, ist außerdem, dass die Vorgänge genaustens zeitlich zuordenbar sind. Dies gilt insbesondere für den Zeitpunkt des Zugangs von Dokumenten und den Zeitpunkt ihrer Weiterleitung. 8

d) Aufbewahrungspflichten In der Regel existieren innerhalb der Verwaltung Verwaltungsvorschriften für die Aufbewahrung von Verfahrensakten. Für das Land Baden Württemberg beispielsweise gilt die Gemeinsame Anordnung der Ministerien über die Verwaltung des Schriftguts der Behörden, Dienststellen und sonstigen Einrichtungen des Landes (AnO Schriftgut), vom 22. Dezember 2005, Az.: 1 0211.4/95 (IM). Diese bestimmt, dass Schriftgut in der Regel 10 Jahre nach Abschluss der Bearbeitung aufzubewahren ist; allerdings sind unter Umständen kürzere datenschutzrechtliche Fristen für Akten mit personenbezogenen Daten zu beachten. Es existieren darüber hinaus zahlreiche ergänzende Verwaltungsvorschriften der einzelnen Verwaltungsstellen. Der Erlass einer Verwaltungsvorschrift für die Tätigkeit des EA wird empfohlen, da dieser im Verwaltungsverfahren lediglich eine koordinierende Funktion wahrnimmt, im Ergebnis die Entscheidungen aber von den zuständigen Behörden getroffen werden. Diese dokumentieren das Verfahren ebenfalls umfassend. Während die längerfristige Aufbewahrung der Akte z.b. zu einem Genehmigungsverfahren bei der zuständigen Behörde sinnvoll und erforderlich ist, beschränkt sich die Notwendigkeit der Aktenführung beim EA auf seine unterstützende Mittlertätigkeit. Die Dokumentation erfolgt nicht in erster Linie, um das Zustandekommen einer behördlichen Entscheidung auch viele Jahre später noch nachvollziehen zu können, sondern vor allem, um den Gang des Verfahrens und der über den EA erfolgten Kommunikation sowie die Weiterleitung von Dokumenten abzubilden. Hierfür ist eine kürzere Aufbewahrungsfrist als bei den zuständigen Behörden ausreichend. e) Datenschutzrechtliche Implikationen Schließlich ist das Datenschutzrecht zu beachten. Das Speichern, Verändern oder Nutzen personenbezogener Daten ist gemäß 14 Abs. 1, 20 Abs. 2 BDSG (und den entsprechenden Datenschutzgesetzen der Länder) nur solange zulässig, wie es zur Erfüllung der in der Zuständigkeit der verantwortlichen Stelle liegenden Aufgaben erforderlich ist. Anschließend sind die Daten zu löschen oder zu sperren. Die Aufgabe des EA, den Dienstleistungserbringer über den Verfahrensstand zu informieren oder auf eine fristgemäße Bearbeitung durch die zuständige Behörde hinzuwirken, rechtfertigt eine Speicherung von Daten jedenfalls bis zur Entscheidung über den Antrag. Eine darüber hinausgehende Speicherung von personenbezogenen Daten kann zulässig sein bis zum Ablauf von Rechtsmittelfristen, Haftungsverjährung und anderen Aufbewahrungspflichten. 9

4. Dokumentensafe und elektronisches Notariat a) Einleitung Art. 10 Abs. 1 DL RL enthält die Verpflichtung für die Mitgliedstaaten, einem Dienstleistungserbringer die Möglichkeit zu eröffnen, ein Verwaltungsverfahren problemlos aus der Ferne und elektronisch abzuwickeln. Es ist daher zu erwarten, dass die DL RL zu einer Zunahme des elektronischen Dokumentenverkehrs gerade mit Behörden führen wird (G2B aber auch G2C). Unternehmen aber auch Privatpersonen werden über immer mehr Dokumente in elektronischer Form verfügen, die sicher gespeichert und verwaltet werden müssen. Als Möglichkeit hierfür wird die Einrichtung eines so genannten elektronischen Dokumentensafes in Betracht gezogen. Ein elektronischer Dokumentensafe ist ein virtuelles Schließfach, das über elektronische Medien, namentlich das Internet, erreichbar ist und in dem elektronische Dokumente abgelegt und verwaltet aber auch empfangen und versendet werden können. Ein Nutzer erhält dabei die Möglichkeit, seine Dokumente im elektronischen Original oder als elektronische Kopie zu speichern und zu verwalten. Der Safe befindet sich dabei nicht auf dem Rechner des Nutzers, sondern wird zentral von einer dritten (öffentlichen oder privaten) Stelle bereitgestellt, wobei ausschließlich der Nutzer des Safes über dessen Inhalt verfügen kann. b) Chancen und Risiken eines Dokumentensafes Die Vorteile eines zentralen Dokumentensafes liegen darin, dass er eher gegen die zunehmenden Gefahren durch Viren und Spamangriffe aus dem Internet geschützt werden kann, als private PCs, die häufig nicht ausreichend gegen Datenverlust und Datenmanipulationen abgesichert werden. Angesichts der Bedeutung von Behördendokumenten ist ein solcher Schutz jedoch elementar wichtig. Ein zentraler Safebetreiber kann das hierfür erforderliche technische Know How im Regelfall eher vorhalten als Privatpersonen oder Unternehmen, sofern sie nicht über eine eigene IT Abteilung verfügen. Hinzu kommt, dass die Speicherung von Behördendokumenten an einem Ort zu einer Vereinfachung sowohl für die Nutzer als auch die Behörden führt, da sie unter Umständen elektronische Dokumente über den Dokumentensafe zustellen können. Diesen Vorteilen stehen allerdings auch gewisse Gefahren gegenüber. Zentrale Datenbestände sind häufiger Ziel von Hackerangriffen von außen. Ein erfolgreicher Hackerangriff kann hier mehr Schaden anrichten als bei einer dezentralen Speicherung von Daten. Hinzu kommt, dass durch die Einschaltung einer dritten Person des Dokumentensafebetreibers zusätzliches Konfliktpotenzial besteht: Die Daten müssen nicht nur gegen die unberechtigten Zugriffe Dritter gesichert werden, sondern auch gegen die unberechtigte Einsichtnahme durch den Safebetreiber. Insbesondere dann, wenn ein Modell gewählt wird, bei dem der Safe durch Privatunternehmen betrieben wird, muss zudem sichergestellt werden, dass die Daten für den Nutzer auch dann weiter zur Verfügung stehen, wenn das Unternehmen insolvent wird. Schließlich ist zu 10

klären, ob dem Betreiber eines (entgeltlichen) Safes das Recht zusteht, bei Nichtbezahlung des Nutzungsentgelts durch den Nutzer eine vorübergehende Sperrung der Dokumente zu veranlassen. c) Rechtliche Implikationen Die Einrichtung eines elektronischen Dokumentensafes löst aus rechtlicher Sicht einen gewissen Handlungsbedarf aus. Primär handelt es sich dabei um datenschutzrechtliche Fragen. Eine wichtige Frage ist, ob über einen solchen Safe elektronische Dokumente zugestellt werden können. Zugleich ist es auch erforderlich, dass das Verhältnis zwischen Nutzer und Dokumentensafebetreiber rechtlich ausgestaltet wird. Schließlich kann es von dieser Ausgestaltung abhängen, ob bereits heute bestehende gesetzliche Regelungen für elektronische Informationsund Kommunikationsdienste namentlich das Telemediengesetz, möglicherweise aber auch das Telekommunikationsgesetz auf das Angebot eines elektronischen Dokumentensafes Anwendung finden. aa) Datenschutzrechtliche Fragen Aus rechtlicher Sicht ist zu berücksichtigen, dass Dokumente, die ein Nutzer in der Regel im Dokumentensafe ablegen möchte, hoch sensible personenbezogene Daten enthalten können. Die Speicherung von Behördendokumenten wie Ausweise, Zeugnisse, Bescheinigungen, Registerauszüge stellt hohe Anforderungen an die Vertraulichkeit. Dabei muss sichergestellt sein, dass nur berechtigte Nutzer Zugriff auf die Dateien erhalten. Der Nutzer selbst sollte den Safe wie das reale Schließfach auch nur mit einem entsprechenden Schlüssel öffnen können. Dies könnte beispielsweise eine Signaturkarte oder in Zukunft der epersonalausweis sein. Darüber hinaus ist erforderlich, auch auf Seiten des Betreibers die Zugriffsrechte und möglichkeiten einzuschränken. Insbesondere muss sichergestellt werden, dass auch der Systemadministrator des Safebetreibers die Dokumenteninhalte nicht wahrnehmen kann. In Frage kommt hier eine verschlüsselte Speicherung der Daten, die nur durch den Inhaber eines entsprechenden privaten Schlüssels überwunden werden kann. Da es unter Umständen erforderlich sein kann, dass Nutzer und Behörde oder sonstige Dritte gemeinsam Zugriff auf bestimmte Dokumente haben, sollte der Dokumentensafe auch über einen so genannten virtuellen Datenraum verfügen, zu dem verschiedene Personen Zugriffsrechte haben und in dem sich entsprechende Dokumente befinden. Diese Dokumente können vom Safeinhaber in elektronischer Kopie in den Datenraum eingestellt werden; wobei zur Verhinderung von Datenmanipulationen die Einrichtung einer automatischen Protokollierung eines jeden Zugriffs empfohlen wird. Solche virtuellen Datenräume sind heute schon im Unternehmensbereich vielfach im Einsatz und haben sich in verschiedenen Situationen (Due Diligence Prüfungen, Joint Ventures) bewährt, so dass die erforderliche Technologie bereits verfügbar ist. 11

bb) Verhältnis Safebetreiber Nutzer In einem ersten Schritt muss geklärt werden, ob die Nutzung eines elektronischen Dokumentensafes für Unternehmen (für Privatpersonen wäre eine solche generelle Verpflichtung unter dem Gesichtspunkt der Verhältnismäßigkeit problematischer) obligatorisch oder fakultativ sein soll. Dies wirkt sich auch auf die Ausgestaltung des Nutzungsverhältnisses im Einzelfall aus. Unabhängig davon kommen dann als Betreiber des Dokumentensafes sowohl öffentliche aber auch private Stellen in Betracht, wobei das Nutzungsverhältnis in beiden Fällen nicht zwingend kostenlos ausgestaltet werden muss. Die Einrichtung solcher Datennotare oder Datentreuhänder sollte jedenfalls gesetzlich geregelt werden. Sofern eine private Stelle die Aufgabe eines Safebetreibers übernimmt, sollte zudem eine staatliche Zertifizierung der Stelle durchgeführt werden, um die Einhaltung insbesondere der Datenschutz und Datensicherheitsbestimmungen sicherzustellen und das Vertrauen in eine externe Datenspeicherung bei den privaten Nutzern zu stärken. Gesetzlich geregelt werden sollte auch das Verhältnis zwischen Nutzer und Betreiber eines Dokumentensafes. Eine solche Regelung sollte auch Vorsorge für Situationen treffen, in denen für einen (privaten) Betreiber ein berechtigtes Interesse besteht, dem Nutzer den Zugang zu verweigern, beispielsweise bei Nichtbezahlung der vereinbarten Nutzungsgebühr oder Verwendung des Safes für gesetzwidrige Zwecke. Hier könnte dem Betreiber unter engen Voraussetzungen ein Sperrrecht eingeräumt werden. Ebenso sollte geregelt werden, was im Falle einer Insolvenz des Safebetreibers mit den bei ihm gespeicherten Daten geschehen soll. Schließlich sind Regelungen darüber zu treffen, wer im Todesfall des Nutzers unter welchen Voraussetzungen Zugriff zu den Daten erlangen soll. cc) Zustellung von Behördendokumenten Einen besonderen Mehrwert würde der Dokumentensafe schaffen, wenn er nicht nur zur sicheren Speicherung, Verwaltung und Weiterleitung von Dokumenten an Dritte/Behörden, sondern auch für die Zustellung von Dokumenten genutzt werden könnte. Das Verwaltungszustellungsgesetz (VwZG) definiert in 2 Abs. 1 die Zustellung als Bekanntgabe eines schriftlichen oder elektronischen Dokuments in der in dem VwZG bestimmten Form. Die Zustellung elektronischer Dokumente ist ausdrücklich von dem Gesetz erfasst. Die Behörde hat die Wahl zwischen einzelnen Zustellungsarten, 2 Abs. 3 VwZG. Zu prüfen ist, ob die Bekanntgabe über einen Dokumentensafe einer im VwZG bestimmten Form entspricht. In Betracht kommt die Zustellung durch die Behörde selbst gegen Empfangsbekenntnis. 5 Abs. 5 VwZG bestimmt, dass ein elektronisches Dokument durch eine Behörde auch elektronisch zugestellt werden kann, soweit der Empfänger hierfür einen Zugang eröffnet hat. Das Dokument ist mit einer qualifizierten elektronischen Signatur nach dem Signaturgesetz zu versehen. Zum Nachweis der Zustellung genügt das mit Datum und Unterschrift oder qualifizierter elekt 12

ronischer Signatur nach dem Signaturgesetz versehene Empfangsbekenntnis, das an die Behörde zurückzusenden ist. Im Regelfall wird durch die Nutzung eines Dokumentensafes auch ein Zugang für elektronische Dokumente eröffnet. Eine solche Zugangseröffnung kann ausdrücklich oder aber auch konkludent erfolgen. Sofern der Inhaber eines Dokumentensafes die Verwaltung über den Dokumentensafe kontaktiert oder sie zumindest über das Vorhandensein eines solchen Safes informiert hat, kann davon ausgegangen werden, dass er bereit ist, rechtsverbindliche Erklärungen der Behörde ebenfalls auf diesem Weg entgegenzunehmen, so dass eine Zugangseröffnung vorliegt. Übermittelt die Behörde ein Dokument an den Dokumentensafe des Nutzers, sollte allerdings sichergestellt sein, dass dieser eine automatisch generierte elektronische Nachricht beispielsweise an eine hinterlegte E Mail Adresse erhält, in der er über den Posteingang in seinem Dokumentensafe informiert wird. Es sollte zumindest in der Anfangszeit der Nutzung von Dokumentensafes nicht ohne Weiteres davon ausgegangen werden, dass täglich eine Prüfung auf neue Posteingänge erfolgt. Erhält der Inhaber des Safes eine Mitteilung über Neuzugänge, kann er seinen Safe öffnen, das übermittelte Dokument lesen und zur weiteren Verwendung ablegen. Als Nachweis des Zugangs ist ein Empfangsbekenntnis an die Behörde zurückzusenden. Dies kann in Papierform geschehen, sollte aber über den Dokumentensafe auf elektronischem Weg realisierbar sein. Hierzu muss eine Funktion eingerichtet werden, die das elektronische Signieren des Empfangsbekenntnisses ermöglicht. d) Zusammenfassung Die Einrichtung eines elektronischen Dokumentensafes kann für alle von einem Verwaltungsverfahren betroffenen Personen zu erheblichen Vorteilen führen und sollte daher weiterverfolgt werden. Ein elektronischer Dokumentensafe besitzt allerdings eine Reihe von rechtlichen Implikationen, die auch einen gewissen gesetzgeberischen Handlungsbedarf schaffen. Dies betrifft insbesondere Regelungen über den Safebetreiber, die Ausgestaltung des Nutzungsverhältnisses und auch den Bereich Datenschutzrecht. Diese Hindernisse dürften jedoch überwindbar sein. 13