Sollte es ein Beitrag der Bundesregierung zum 30. Jahrestag der Wiedervereinigung werden, etwas ähnliches, wie die mit der DDR untergegangene Personenkennzahl jetzt wieder einzuführen – diesmal für alle Deutschen? Oder ist – etwas überspannt – das kommende Registermodernisierungsgesetz (RegMoG-E) und das Identifikationsnummergesetz (IDNrG-E) damit zu vergleichen? Im medialen Corona-Fieber geht ja so manches unter, doch wenn man als im Osten Aufgewachsener von diesen Gesetzesvorhaben hört, denkt man unweigerlich an die alte Personenkennzahl.

Diese PKZ abgekürzte Kennziffer bekam jeder DDR-Bewohner mit seiner Geburt zugeteilt. Danach gab es keinen Verwaltungsakt, kein Dokument, keinen Antrag, keine Genehmigung, kein Konto, keinen Mietvertrag, keinen Arbeitsvertrag, keine Hochzeit, Scheidung oder Beerdigung mehr ohne PKZ. Über diese Zahl konnten die dazu befugten Behörden im SED-Staat problemlos und schnell alle relevanten Daten über einen Menschen abrufen.

Die PKZ hatte vor dreißig Jahren in der Bundesrepublik keine Überlebenschance – schließlich genossen die Bürger dort Datenschutz. Und für die Datenschutz-Gewohnten war die Vorstellung, dass ein Bürger für alle Behörden und Ämter eine einheitliche Nummer bekommt, über die alle Informationen zu ihm auf Knopfdruck abrufbar sind, ein Graus.

Inzwischen ist viel geschehen, und die Bürger mit derzeit im Corona-Ausnahmezustand eingeschränkten Bürgerrechten scheinen beim Thema Datenschutz im Vergleich zu damals deutlich desensibilisiert zu sein. Deshalb scheint sich auch kaum jemand für das Gesetz mit dem sperrigen Namen zu interessieren, dessen Grund-Idee die „Einführung einer registerübergreifenden einheitlichen Identifikationsnummer“ ist. Praktischerweise gibt es die schon, denn vor ein paar Jahren bekam jeder Bundesbürger ungefragt eine Steuer-Identifikationsnummer zugeteilt. In einem Gutachten des Wissenschaftlichen Dienstes des Bundestages wird der Gesetzentwurf so beschrieben:

„Die Steuer-ID soll nach dem Inhalt des durch Art.1 RegMoG-E neu zu schaffenden Identifikationsnummergesetz (IDNrG-E) künftig zusätzlich in 51weiteren, sehr unterschiedlichen Bereichen angehörenden Registern gespeichert werden, §1 IDNrG-E.Dies soll gemäß §2 Abs.1 IDNrG-Edie Zuordnung der in den Registern gespeicherten Daten zu einer Person (Nr.1) und den Abgleich der Daten unter den Registern (Nr.2) ermöglichen. Das Bundesverwaltungsamt soll die Aufgaben einer Registermodernisierungsbehörde übernehmen. Dazu gehört insbesondere, die beim Bundeszentralamt für Steuern gespeicherten Basisdaten mithilfe der Steuer-ID abzurufen und den jeweiligen registerführenden Stellen zu den o.g. Zwecken zur Verfügung zu stellen, §6 i.V.m. §4 Abs.2 und 3 IDNrG-E.Basisdaten (§4 Abs.2 IDNrG-E) einer Person sind etwa Name, Vorname, Anschrift, Geburtstag und -ort, Geschlecht, Staatsangehörigkeiten. Ferner werden gemäß §4 Abs.3 IDNrG-E Auskunftssperren nach dem Bundesmeldegesetz, das Datum des letzten Verwaltungskontakts (Monat, Jahr) sowie sog. Validitätswerte der erfassten Daten (§4 Abs.5 IDNrG-E) gespeichert.“

Erinnerung an das „Gesetz zur Erhöhung der Steuerehrlichkeit“

Schon als einst die Steuer-Identifikationsnummer eingeführt wurde, unkten Kritiker, dass damit die PKZ seligen Angedenkens zurückgekehrt sei. Ihnen wurde von den politischen Verantwortungsträgern seinerzeit entgegengehalten, dass niemand die Absicht habe, die Steuer-Identifikationsnummer zu einem anderen Zwecke zu verwenden, als die Zahlungen der Steuerpflichtigen besser zu verwalten.

Man hätte natürlich an dieser Stelle stutzig werden und sich an die Geschichte des „Gesetzes zur Erhöhung der Steuerehrlichkeit“ erinnern können. Falls ihnen die auch nicht mehr präsent ist, ein kurzer Rückblick:

Nach den Terroranschlägen des 11. September 2001 wurde ein bis dato nicht existierendes Kontoregister geschaffen, in das die Banken alle deutschen Kontodaten einzuspeisen hatten. Niemand sollte mehr ein Bankkonto besitzen, von dem der Staat nichts wusste. Selbstverständlich, so versicherte die damalige rotgrüne Regierung, würde es nur um Ermittlungen und die Verhinderung der Terrorfinanzierung gehen. Zu keinem anderen Zwecke würden die Daten Verwendung finden. Aber ein paar Jahre später legte die rotgrüne Bundesregierung das erwähnte „Gesetz zur Erhöhung der Steuerehrlichkeit“ vor, das den Finanzämtern den Zugriff auf dieses Register erlaubte. Statt um „Steuerehrlichkeit“ ging es um eine Machtverschiebung. Viele – insbesondere Freiberufler und Selbstständige – hatten ein separates und dem Finanzamt unbekanntes Konto, um im Falle einer Kontenpfändung des Finanzamts zahlungsfähig zu bleiben.

Eine solche Kontenpfändung ist eine vom Amt verfügte Sperrung des Kontos, mit dem das Finanzamt in Streitfällen versucht, seine Ansprüche durchzusetzen. Und das geschieht durchaus auch in Fällen, in denen sich später vor Gericht herausgestellt hatte, dass das Amt im Unrecht war. Insofern konnte ein solches Extra-Konto durchaus eine Form der Notwehr sein. Mit der zentralen Kontodatei konnten die Finanzämter fortan alle Kontodaten eines Delinquenten ermitteln, wenn sie wollten.

Wird jetzt die Steuer-Identifikationsnummer zur neuen PKZ, wenn es nicht hinreichend Bundestagsabgeordnete oder Bundesverfassungsrichter verhindern? So schlimm ist es nicht, wird wieder versichert. Auch das zitierte Gutachten des Wissenschaftlichen Dienstes des Bundestages gibt sich abwägend, sagt aber in seinen Andeutungen, dass er den Gesetzentwurf nicht  für eindeutig verfassungskonform hält:

„Eingriffserhöhend wirkt sich der große Umfang des Verwendungsbereiches der Identifikationsnummer aus. Diese soll nach §1 IDNrG-E in 51 Registern aus verschiedenen, wesentlichen Lebensbereichen gespeichert werden und den Abruf und Abgleich der o.g. Daten ermöglichen. 

Die Umstände der Datenerhebung führen zu einer höheren Eingriffsintensität, wenn Vertraulichkeitserwartungen verletzt werden oder eine heimliche Datenerhebung ermöglicht und dadurch vorheriger Rechtsschutz faktisch verwehrt und nachträglicher Rechtsschutz zumindest erschwert werden. Zwar wird der Abruf und der Abgleich der Daten dem Betroffenen nicht in jedem Fall vorher bekanntgegeben oder diesem – etwa aufgrund der Beantragung einer Verwaltungsleistung bekannt sein – und damit vorheriger Rechtsschutz verwehrt. Durch das Datencockpit nach §9 Onlinezugangsgesetz in der durch Art.2 RegMoG-E geänderten Fassung besteht aber im Nachhinein Einblick in die stattgefundenen Datenverarbeitungen. Durch die so hergestellte Transparenz wäre jedenfalls die Einholung nachträglichen Rechtsschutzes nicht behindert. Die Datenverarbeitung nach dem IDNrG-E unterläge zudem der Kontrolle der Datenschutzbeauftragten des Bundes und der Länder. 

„In der Gesamtschau mindestens offen“

Informationserhebungen gegenüber Personen, die den Eingriff durch ihr Verhalten nichtzurechenbar veranlasst haben, sind zudem grundsätzlich von höherer Eingriffsintensität als anlassbezogene. Setzen Personen ein Verwaltungsverfahren in Gang – sei es durch Beantragung oder ein sonstiges zurechenbares Verhalten so setzen sie auch einen konkreten Anlass für den Abruf und Abgleich der Daten. Anders ist dies nur, wenn ohne ein konkretes Verhalten von Personen Registerdaten überprüft werden. Dies ist durch das RegMoG-E nicht ausgeschlossen.

Die Schwere des Eingriffs nimmt auch mit der Möglichkeit der Nutzung der Daten für Folgeeingriffe in Grundrechte der Betroffenen zu.Die Nutzung der Identifikationsnummer zum Abruf von über die (Basis)-Daten im Sinne von §4 Abs.2 und 3 IDNrG-E hinausgehenden in den einzelnen Registern gespeichertenDaten ist nicht vorgesehen, aber auch nicht ausdrücklich durch eine Regelung im IDNrG-E ausgeschlossen. Da die Zweckbindung der Verarbeitung der Identifikationsnummer zudem nicht ausschließlich auf die Identifikation von Personen gegenüber der Verwaltung beschränkt ist, ist die Verarbeitung zu anderen Zwecken bis hin zur Nutzung der Steuer-ID in derPrivatwirtschaft rechtlich nicht eindeutig ausgeschlossen (vgl.Art.5 Abs.1 lit.b) und Art.6 Abs.4 DSGVO). 

Der Gefahr eines Datenmissbrauchs von innen und von außen begegnet der Entwurf durch technische Schutzvorkehrungen nach §7 Abs.2 IDNrG-E sowie durch Strafvorschriften in §17 IDNrG-E. Es ist eine wiederkehrende Prüfung durch den BfDI vorgesehen, §13 IDNrG-E. Auch durch technische Ausgestaltung und strafrechtliche Sanktionierung lassen sich die erheblichen Gefahrpotenziale aber nicht restlos beseitigen. Laut dem Bundesfinanzhof sei ein trotz Sicherheitsvorkehrungen verbleibendes Risiko eines erfolgreichen Hacker-Angriffs auf gespeicherte oder übermittelte Daten im überwiegenden Interesse des Gemeinwohls zwar hinzunehmen. Allerdings haben fachkundigeStellen insbesondere bereits Zweifel geäußert, ob das nicht durchgängig, sondern ohnehin nur für bereichsübergreifende Datenübermittlungen zur Anwendung kommende 4-Corner-Modell als Schutzvorkehrung genügt. 

In der Gesamtschau ist die Eingriffsintensität als hoch zu bewerten. Der Ausgang der Gesamtabwägung ist aufgrund des hohen Rangs der informationellen Selbstbestimmung und der bestehenden angesprochenen Unwägbarkeiten insbesondere hinsichtlich möglicher Zweckänderungen und dem Ausreichen der technischen Schutzvorkehrungen mindestens als offen anzusehen.“