Und wieder ein schöner Datentopf mehr, den unsere Regierung verabschiedet hat: der elektronische Einkommensnachweis.

Ein Blick in Gesetzentwurf ließ irgendwie genauso viele Fragen offen, wie der oben verlinkte heise-Artikel.

Über den Zweck kann man sicher viel und ausgiebig diskutieren. Wer beispielsweise Arbeitslosengeld beantragt, muß heute durch einen Papierbeleg seine vorherigen Einkünfte vorweisen — und dieses Verfahren kostet Zeit und folglich Geld und das will man vereinfachen.

Ich frage mich, wie das Verfahren der Arbeitslosenversicherung funktioniert, immerhin wird ja vom Verdienst ein fester Prozentsatz (dieses Jahr 2,8 Prozent) — und anhand der ankommenden Geldmenge hätte man ja praktisch diesen Beleg. Oder wird das ohne Bezug zu den jeweiligen Arbeitnehmern abgeführt? (Weiß jemand mehr dazu?).

Also angenommen, die AV wird tatsächlich ohne Bezug zum Arbeitnehmer geführt, würde eine einzelne Übermittlung im Bedarfsfall vollkommen ausreichen. Entweder direkt oder ggf. über eine zentrale Vermittlungsstelle (so als »Gateway«). So eine Funktion kann ja durchaus Bestandteil der Lohnabrechnungssoftware werden — auf Knopfdruck. Warum muß turnusmäßig etwas übertragen und zentral gespeichert werden, was vielleicht nie benötigt wird? In den Begründungen werde ich daraus nicht schlau.

Was die neue »Zentrale Speicherstelle« bekommt, hat sie zu verschlüsseln. Für die Kommunikation zwischen dem Arbeitergeber und der Behörde konnte ich so eine Anforderung nicht entdecken — wobei die nicht weniger bedeutsam ist.

Nun ist alles übertragen, verschlüsselt und gespeichert — und irgendwann soll auch da drauf zugegriffen werden. Den Behörden räumt man gesetzlich nicht das Recht zum Zugriff ein (sie können nur den Status erhalten, daß über sie Abfragen erfolgen können). Der sogenannte »Teilnehmer« muß (bei) der Behörde sein Einverständnis (mittels qualifizierter elektronischer Signatur) abgeben. Wenn ich die Regeln richtig verstanden habe, muß ich mehr oder weniger als Teilnehmer mitspielen (die Behörden haben mich über die Konsequenzen einer Verweigerung hinzuweisen). Ich darf ihnen auch mengenmäßig oder zeitlich beschränkten (aber keinen pauschalen) Zugriff einräumen — ich muß es jedoch nicht. Würde also bedeuten: die Behörde ordnet bei jedem Bedarf an (postalisch oder mit De-Mail), bis zum Tag X persönlich bei der Behörde anzutanzen.

Unklar ist für mich, wie die zusätzliche Zugriffserlaubnis verwaltet werden soll. Liegt es in den Händen der Zentralen Speicherstelle (Ja, die Behörde darf noch drei Mal)?. Oder bei der Verarbeitungsstelle (Hey, wir dürfen noch drei Mal)? Ich stelle mir gerade so einen zeitlich befristeten Cookie für den InternetExplorer vor...

Für den Zugriff auf diese Daten benötigt der Bürger eine entsprechende Signatur. Die muß er bezahlen — und soll laut dem Begründungstext bei rund zehn Euro für drei Jahre liegen. Allerdings hat die Behörde die Kosten zu erstatten, wenn der Bürger keine gültige Signatur hat, jedoch eine für die Behörde benötige.

Soweit meine Gedanken zu diesem Machwerk...

Bei heise steht noch etwas von einem »Masterkey«, der beim Bundesdatenschutzbeauftragten als Zertifizierungsstelle hinterlegt werden soll. Das habe ich im Gesetzentwurf nicht gefunden. Bei diesem Punkt habe ich aber auch Schwierigkeiten, mir das technisch vorzustellen. Wir verschlüsseln Daten und die sind dann sowohl mit der Signatur als auch mit dem Masterkey zugängig... Kryptographie mit Dietrich.

Noch am Rande etwas Trivia: bei der Lesung vorm Bundestag hat die CDU/CSU-Fraktion wieder einen schönen zweideutigen Satz auf den Weg gebracht:

Das Verfahren wurde von Anfang an gemeinsam mit dem Bundesbeauftragten für Datenschutz ausgearbeitet und gewährleistet die volle Kontrolle des Bürgers über seine gespeicherten persönlichen Daten.