Standardsuchhilfe

5.10.2.3 Standardsuchhilfe:

Im Rahmen einer Prüfung „vor Ort" habe ich festgestellt, dass es Zugriffsberechtigten, die das Veranstaltungsmanagement bearbeiten, das zur Organisation von zentralen Fortbildungsmaßnahmen für die Fortbildung der Landesbediensteten genutzt wird, möglich war, auf den gesamten Personaldatenbestand der Landesverwaltung zuzugreifen. Es werden unter anderem die Teilnehmerdaten verarbeitet. Dies erfolgt unter direktem Zugriff auf die in SAP HR gespeicherten Personaldaten. Dieses Problem war um so schwerwiegender zu bewerten, als auch die Daten des Personals der „sicherheitsrelevanten Bereiche" der Landesverwaltung, wie z. B. der Polizei, des Landeskriminalamtes und des Landsamtes für Verfassungsschutz im allgemeinen Zugriff des Veranstaltungsmanagements waren.

Ich habe zusammen mit Vertreterinnen und Vertretern der genannten Bereiche die Angelegenheit analysiert und entsprechende Forderungen zur Behebung dieses Missstandes gestellt.

Inzwischen ist die so genannte „Standardsuchhilfe" des SAP-Systems für das Veranstaltungsmanagement abgeschaltet und durch eine entsprechende „Suchmaske" ersetzt worden. Dadurch wird sichergestellt, dass nur Datensätze einzelner, für konkrete Veranstaltungen angemeldeter Personen, aufgerufen werden können.

5.10.2.4 Zugriff auf Personaldaten von Bediensteten nachgeordneter Behörden:

Die Ressorts der Hessischen Landesregierung haben die Zuständigkeiten für das Personal sehr unterschiedlich geregelt. So ist ein Ressort als Personal führende Stelle für alle Personalfälle im nachgeordneten Bereich ab der Besoldungsstufe A 15 zuständig während andere Ressorts ab A 13 oder A 14 bzw. ab BAT I oder BAT II zuständig sind. Einzelne Ressorts machen die Zuständigkeiten nicht nur an der Besoldungsstufe oder an der BAT-Einstufung fest, sondern an Funktionen wie z. B. Dienststellenleitung. Weiterhin sind die Zuständigkeiten für die Genehmigungen bestimmter Personalmaßnahmen wie z. B. Gewährung von Urlaub nach § 85a HBG sehr unterschiedlich geregelt.

Diese unterschiedlichen Festlegungen in den Zugriffberechtigungen im SAP-System abzubilden ist faktisch unmöglich.

Ich habe anlässlich einer Überprüfung der Zugriffsberechtigungen festgestellt, dass ein Ministerium für zwei User Berechtigungen vergeben hat, die Zugriffe auf Daten aller Bediensteten des nachgeordneten Bereichs erlauben. Begründet wird dies damit, dass das Ministerium Personal führende Dienststelle für alle Bediensteten ab der Besoldungsgruppe A 15 ist und einen Zugriff auf diese Datensätze haben muss. In den Personaldatensätzen im SAP-System ist zurzeit kein Merkmal hinterlegt, das eine entsprechende Zugriffsbeschränkung im Rahmen der Berechtigungsvergabe ermöglicht.

Ich habe gefordert, diese Zugriffsberechtigungen sofort zu löschen.

Nach langen Diskussionen mit Vertretern des Ministeriums habe ich für eine Übergangszeit zugestimmt, dass diese Zugriffe (technisch) weiterhin möglich sind. Voraussetzung für meine Zustimmung war allerdings, dass den beiden Bediensteten des Ministeriums per Dienstanweisung untersagt wird, auf andere als ihrer Zuständigkeit unterliegende Datensätze zuzugreifen, und dass alle Zugriffe protokolliert werden. Außerdem ist sicherzustellen, dass so schnell als möglich ein entsprechendes Merkmal in den Personaldatensätzen im SAP-System hinterlegt wird, um eine datenschutzgerechte Zugriffssteuerung zu gewährleisten. Eine weitere Voraussetzung ist die Vereinheitlichung der Zuständigkeitsanordnungen aller Ressorts, um landeseinheitlich gewährleisten zu können, dass ein entsprechendes Merkmal in den betreffenden Datensätzen gespeichert werden kann, über das die Zugriffsberechtigung steuerbar ist.

Zwischenzeitlich hat der Kabinettsausschuss „Verwaltungsreform und Verwaltungsinformatik" beschlossen, dass unverzüglich ein entsprechendes Merkmal für die Zugriffssteuerung in die Datensätze aufgenommen werden soll. Weiterhin wurde beschlossen, dass die Zuständigkeitsanordnungen der Ressorts im Bereich des Personalwesens standardisiert werden sollen, um klare Strukturen zu haben, die sauber im SAP-System abgebildet werden können.

Inzwischen wurde ein entsprechendes Konzept erarbeitet, sodass ich davon ausgehe, dass die entsprechenden Hinterlegungen im SAP-System zeitnah erfolgen werden.

5.10.2.5 Fazit und Ausblick:

Die Praxis hat gezeigt, dass die Anforderungen der sehr unterschiedlichen Verwaltungsstrukturen der hessischen Landesverwaltung im SAP-System nicht ohne Probleme abzubilden sind. Dies zeigt sich deutlich an der sehr großen Zahl von Änderungsanträgen der einzelnen Dienststellen. Diese Anträge werden mir, soweit sie datenschutzrechtliche Relevanz haben und vom Landesreferenzmodell abweichen, zur Stellungnahme vorgelegt.

Ich werde in den nächsten Jahren das SAP-System vermehrt vor Ort prüfen um sicherzustellen, dass die in den Konzepten und im Verfahrensverzeichnis beschriebenen Zugriffsberechtigungen tatsächlich hinterlegt und eingehalten werden.

Ebenso werde ich prüfen, ob Auswertungen des Datenbestandes nur für User möglich sind, die diese konkret zur Erfüllung der ihnen übertragenen Aufgaben und im Rahmen ihrer Zuständigkeit benötigen.

5.10.3 Bekanntgabe von Bediensteten, die Altersteilzeit beantragt haben, an den Personalrat Dienststellen sind nicht befugt, dem Personalrat die Bediensteten bekannt zu geben, die Altersteilzeit beantragt haben.

Eine Kommune hat angefragt, ob sie dem Personalrat Auskunft geben müsse, welche Bediensteten Gewährung von Altersteilzeit beantragt haben.

Ein dahingehender Informationsanspruch könnte sich möglicherweise aus § 77 HPVG ergeben, der das Mitbestimmungsrecht des Personalrats im Rahmen seiner Beteiligung in Personalangelegenheiten betrifft. Beispielsweise bestimmt der Personalrat mit in Personalangelegenheiten der Beamten bei Ablehnung eines Antrags auf Teilzeitbeschäftigung oder Beurlaubung nach §§ 85a oder 85f HBG (§ 77 Abs. 1 Nr. 1i HPVG); Gleiches gilt in Personalangelegenheiten der Angestellten und Arbeiter (§ 77 Abs. 1 Nr. 2f HPVG).

Die Anfrage der Kommunen zielte aber auf das Thema Altersteilzeit, die in § 85b HBG geregelt ist; diese Norm wird indessen bei der Mitbestimmung ­ anders als §§ 85a oder 85f HBG ­ gerade nicht aufgeführt. Von daher lässt sich aus den Regelungen über die Mitbestimmungsrechte des Personalrats in Personalangelegenheiten kein Informationsanspruch des Personalrats ableiten.

Ebenso wenig besteht ein solcher Anspruch mit Blick auf die Vorschrift, die die Mitwirkung des Personalrats in Personalangelegenheiten betrifft, § 78 HPVG. Denn danach umfasst die Mitwirkung Nebentätigkeitsgenehmigungen, vorzeitige Versetzungen in den Ruhestand, fristlose Entlassungen, außerordentliche Kündigungen sowie Kündigungen während der Probezeit. Die Altersteilzeit ist hier jedoch nicht aufgeführt.

Ungeachtet des fehlenden Informationsanspruchs des Personalrates bleibt es den Bediensteten selbstverständlich unbenommen, in Fragen der Altersteilzeit den Personalrat aus eigener Initiative zu konsultieren, wenn ihnen das opportun erscheint.

Ich habe die Kommune über die Rechtslage informiert.

5.10.4 Datenübermittlung durch den Polizeiärztlichen Dienst an die Polizeiverwaltung Medizinische Daten dürfen vom Polizeiärztlichen Dienst nur im Rahmen der Erforderlichkeit an die polizeiliche Personalverwaltung übermittelt werden.

5.10.4.1 Der Ausgangsfall:

Ein in den Ruhestand versetzter Polizeivollzugsbeamter beschwerte sich darüber, dass Gutachten des Polizeiärztlichen Dienstes, die zu seiner Person im Zusammenhang mit einer versorgungsrechtlichen Auseinandersetzung erstellt worden waren, der Personal verwaltenden Stelle des Polizeipräsidiums in Offenbach übermittelt, dort verwendet und in die Personalakte aufgenommen wurden.

Die datenschutzrechtliche Problematik ergibt sich aus den Inhalten solcher Gutachten. Diese enthalten in der Regel Angaben zur Anamnese, einer Verlaufsbeschreibung des Krankheitsbildes, Ergebnisse medizinischer Einzeluntersuchungen (z. B. Blutwerte) und vieles andere mehr. Hinzu kommen die verschiedenen fachlich-inhaltlichen Aspekte solcher Gutachten. So kann es einerseits um Aussagen zu körperlichen Schädigungen gehen, die Auswirkungen auf die weitere Verwendung des Betroffenen haben. Andererseits kann Untersuchungsgegenstand auch die psychische Verfassung eines Betroffenen sowie deren Auswirkungen, z. B. auf die weitere Dienstfähigkeit, sein. In jedem Fall handelt es sich um ärztliche Unterlagen, die zunächst einmal der Schweigepflicht durch den Arzt unterliegen. Aus Sicht der Personal führenden Stelle war die Einsichtnahme in die Gutachten und Verwendung der Informationen zulässig. Es sei erforderlich, so deren Argumentation, die Inhalte der Gutachten zur Kenntnis zu nehmen und daraus ggf. eigene Schlüsse zu ziehen. Auch war man der Ansicht, dass sogar im vorprozessualen Stadium einer Auseinandersetzung zwischen dem Betroffenen und der Personal führenden Stelle nur dann eine „Chancengleichheit der Parteien" gegeben sei, wenn die Personalverwaltung eine inhaltliche Auseinandersetzung mit dem Gutachteninhalt vornehmen könne. Bei jeder kontroversen Diskussion polizeiärztlicher Feststellungen zwischen Betroffenem und Behörde sei deshalb die volle Kenntnis vorhandener Gutachten erforderlich. Dies ergebe sich auch aus § 51 Abs. 1 Satz 3 HBG, wonach Beamte sich im Rahmen einer Versetzung in den Ruhestand bei Dienstunfähigkeit oder auf Antrag bzw. Weisung der Behörde ärztlich untersuchen lassen müssten. Gemäß Satz 4 der Vorschrift habe der Arzt der Behörde sein Gutachten sowie entsprechend der für Amtsärzte geltenden Rechtsvorschriften auch die Angaben zur Vorgeschichte und den Untersuchungsbefund mitzuteilen.

5.10.4.2 Verfahrensweise bei anderen Polizeipräsidien

Die grundsätzliche Bedeutung der Eingabe hat mich dazu veranlasst, weitere Personal führende Stellen bei den Polizeipräsidien aufzusuchen und deren Verfahrensweise im Umgang mit ärztlichen Gutachten zu ermitteln. Dabei ergaben sich signifikant unterschiedliche Handhabungen, die vor allem in der Organisationsstruktur des Polizeiärztlichen Dienstes begründet liegen. Andererseits hatten die Verwaltungsleiter selbst unterschiedliche Auffassungen zur Kenntnisnahme und Verwendung der Gutachten.

Im Polizeipräsidium Frankfurt selbst ist ein Polizeiärztlicher Dienst untergebracht. Dieser ist zunächst für den Bereich Frankfurt zuständig. Daraus resultiert insbesondere die verordnungskonforme Umsetzung der restriktiven Vorgaben der Polizeidienstverordnung 300, wonach ärztliche Unterlagen beim Arzt bzw. dessen Hilfspersonal zu verbleiben haben. Die Personalverwaltung in Frankfurt erhält demnach zunächst einmal ausschließlich die Untersuchungsergebnisse im Hinblick auf die Polizeidiensttauglichkeit bzw. Nichttauglichkeit eines bzw. einer Betroffenen sowie Hinweise über eine ggf. mögliche Weiterverwendung. Hierzu wird vom Polizeiarzt auf einem Formular eine Beurteilung über die Dienstfähigkeit abgegeben. Im Weiteren wird Stellung dazu genommen, durch welche Umstände die Gesundheitsschäden entstanden sind, bevor eine sozialmedizinische Bewertung sowie eine Tätigkeitsbewertung vorgenommen werden. Dabei wird u. a. festgestellt, ob das Führen eines Dienst-Kfz oder die Teilnahme an der Schießausbildung möglich sind. Diese Informationen genügen der Behörde zunächst, um eine den ärztlichen Empfehlungen entsprechende Verwendung des Untersuchten sicherzustellen.

Beim Polizeipräsidium Südhessen sah man ebenfalls keine Erforderlichkeit, unmittelbaren Einblick in das ärztliche Gutachten zu nehmen. Allerdings ist man dort praktisch dazu gezwungen, da vom Polizeiärztlichen Dienst kein zusammengefasstes Ergebnis an die Behörde zugestellt, sondern von vornherein das komplette Gutachten übermittelt wird. Infolgedessen bleibt nur die Möglichkeit, den als vertrauliche Arztsache gekennzeichneten Umschlag zu öffnen, um die Ergebnismitteilung zu erfahren. Das Polizeipräsidium Südhessen verfügt über keinen eigenen Arzt. Deshalb ist man auf externe Kräfte bei der Bereitschaftspolizei in Mühlheim (Main) bzw. dem Polizeipräsidium Frankfurt angewiesen. Da die Ärzte dort offensichtlich keine Aktenbestände zu Beamten externer Dienststellen führen können bzw. wollen, erhält der Auftraggeber die vollständigen Akten bzw. Gutachten zur weiteren Verwendung. In einem so genannten Unterordner C wird das Gutachten nach der Kenntnisnahme in einem verschlossenen Umschlag abgelegt.

Das Polizeipräsidium Nordhessen verfügt wie Südhessen über keinen eigenen ärztlichen Dienst. Von den externen Polizeiärztlichen Diensten wird neben dem Gesamtgutachten eine zusammengefasste Beurteilung mitgeliefert, die Aufschluss über die Dienstfähigkeit des Untersuchten gibt. Allerdings wird es in Kassel bislang so gehandhabt, dass die ausführlichen Gutachten im Hinblick auf ein zukünftiges Verwendungsgespräch mit dem Betroffenen eingesehen werden.

5.10.4.3 Datenschutzrechtliche Bewertung

Die unterschiedliche Handhabung der Polizeiärzte im Umgang mit dem Gutachten ist problematisch. Nach den Vorgaben unter Ziff. 2.5.1 der Polizeidienstverordnung 300 darf nur Ärzten und deren Hilfspersonal, die mit der Vorbereitung dienstrechtlicher Entscheidungen befasst sind, das Gutachten zugänglich sein. Nach Ziff. 2.5.2 ist der Behörde ein „Gesundheitsoder Tauglichkeitszeugnis" zu überlassen, welches nur das abschließende Beurteilungsergebnis enthält. Die Organisationsstruktur des Dienstes in Hessen und der Umstand, dass nicht jede Personal führende Stelle auf einen eigenen Dienst zurückgreifen kann, haben ganz offensichtlich zu der differenten Handlungsweise beigetragen. Dem steht jedoch sowohl die allgemeine und für jeden Arzt verbindliche Schweigepflicht einerseits sowie die klare Regelung der Polizeidienstverordnung 300 entgegen.

Die entscheidende datenschutzrechtliche Fragestellung, sieht man einmal von dem Thema der Übermittlung kompletter Gutachten an den Auftraggeber ab, betrifft den Zeitpunkt der Kenntnisnahme dieser Unterlagen. Dabei geht es nicht, wie u. a. ebenfalls argumentiert darum, der Behörde die Befugnis abzusprechen, Gutachten zu veranlassen oder ihr ein Verwertungsverbot aufzuerlegen, wenn die tatsächlichen Umstände, wie z. B. der Erlass eines Widerspruchsbescheides oder die verwaltungsgerichtliche Aufarbeitung einer unterschiedlichen Bewertung von Betroffenem und Dienstherrn, dies erforderlich machen.

Der Zeitpunkt der Erforderlichkeit zur Kenntnisnahme medizinischer Sachverhalte, die zunächst einmal der ärztlichen Schweigepflicht unterliegen, berührt den datenschutzrechtlichen Kern der Diskussion.

Gemäß § 107 Abs. 4 HBG darf der Dienstherr Daten nur im Rahmen der Erforderlichkeit erheben.

§ 107 Abs. 4 HBG:

Der Dienstherr darf personenbezogene Daten über Bewerber, Beamte und ehemalige Beamte nur erheben, soweit dies zur Begründung, Durchführung, Beendigung oder Abwicklung des Dienstverhältnisses oder zur Durchführung organisatorischer, personeller und sozialer Maßnahmen insbesondere auch zu Zwecken der Personalplanung und des Personaleinsatzes, erforderlich ist oder eine Rechtsvorschrift dies erlaubt.

Es ist keineswegs so, dass § 51 Abs. 1 Satz 4 HBG bedeutet, dass ausführliche Gutachten dem Auftraggeber zu übermitteln sind.

§ 51 Abs. 4 HBG:

Der Arzt teilt der Behörde sein Gutachten sowie in entsprechender Anwendung der für Amtsärzte geltenden Rechtsvorschriften auch die Angaben zur Vorgeschichte und den Untersuchungsbefund mit.

Bei dieser Vorschrift ist von dem Grundsatz auszugehen, dass dem Dienstherrn lediglich ein zusammengefasstes Ergebnis der Untersuchungen mitzuteilen ist. Davon unberührt bleibt dessen Möglichkeit, zusätzliche Informationen beim Arzt durch gezielte Nachbefragungen zu erheben. Ebenso wie in der Polizeidienstverordnung 300 ergibt sich dieser Grundsatz auch für Amtsärzte aus § 18a Abs. 1 Satz 1 und 2 der Zweiten Durchführungsverordnung zum Gesetz über die Vereinheitlichung des Gesundheitswesen (DVO). Nach der Anlage 2 der DVO sind die Angaben zur Vorgeschichte, die verschiedenen Untersuchungsbefunde sowie die Diagnose nicht in ein amtsärztliches Zeugnis aufzunehmen; sie verbleiben beim Gesundheitsamt.