Kommunale Datenverarbeitung nur "punktuell" geregelt

Offene Frage: Wer gibt die Programme frei?

22.04.1983

SIEGBURG - Bis vor wenigen Jahren gab es für die Kommunalverwaltungen in der Bundesrepublik keine gesetzlichen Vorschriften über die Freigabe von Programmen. Erst die Gemeindekassenverordnungen der Bundesländer von 1977/1978 bestimmt, daß Programme freizugeben sind. Diese Verordnungen gelten aber nur für einen Teilbereich der kommunalen Datenverarbeitung; außerdem überlassen sie der Verwaltungsführung, die Freigabestelle zu bestimmen. Trotz dieser verhältnismäßig offenen Rechtslage mehren sich in jüngster Zeit Stimmen. die sehr konkrete Anforderungen an die Art der Programmfreigabe stellen. Der Autor, Verwaltungsrat und DV-Revisor bei der Kreisverwaltung in Siegburg und seit mehr als zehn Jahren mit Fragen der kommunalen Datenverarbeitung befaßt, untersucht, ob diese Anforderungen für Rechenzentren geeignet sind, die die Automation für eine Gruppe von Gemeinden durchführen (sogenannte gemeinsme kommunale Datenverarbeitung).

Die deutsche Kommunalverwaltung betreibt nunmehr im dritten Jahrzehnt Datenverarbeitung. Anfangs gab es keinerlei gesetzliche Regelungen für dieses einschneidendste aller Organisationsmittel. Erst allmählich nahm sich der Gesetzgeber der Materie an, indem er nach und nach Teilfragen normierte. Dazu einige Beispiele, hier vorwiegend aus Nordrhein-Westfalen, die in den anderen Bundesländern aber ähnlich gelöst sind:

1974: Prüfpflicht der Programme von ihrer Anwendung im Bereich der Haushaltswirtschaft durch das Rechnungsprüfungsamt (Paragraph 12 Absatz Nummer 4 der Gemeindeordnung - GO - )

1974: Werden die Kassengeschäfte und das Rechnungswesen ganz oder zum Teil automatisiert, so ist den für die Prüfung zuständigen Stellen Gelegenheit zu geben, die Programme vor ihrer Anwendung zu prüfen (Paragraph 79 Absatz 2 GO)

1974: Gesetz über die Organisation der automatisierten Datenverarbeitung in NRW

1977: Werden die Ansprüche oder Zahlungsverpflichtungen im automatisierten Verfahren ermittelt, muß (unter anderem) sichergestellt sein, daß gültige Programme verwendet werden; sie müssen dokumentiert, geprüft und von der vom Bürgermeister/Gemeindedirektor bestimmten Stelle freigegeben sein (Paragraph 12 Gemeindekassenverordnung - GemKVO - ). Gleiches gilt für die Speicherbuchführung (Paragraph 24 GemKVO).

1979: Landesdatenschutzgesetze (Das Bundesdatenschutgesetz von 1977 gilt nicht für die Kommunalverwaltungen)

Diese Aufstellung zeigt, wie punktuell, um nicht zu sagen unsystematisch, der Gesetzgeber Fragen der kommunalen Datenverarbeitung geregelt hat.

Frühe Forderungen nach Programmfreigabe

Was nun die Programmfreigabe angeht, so ist in der Tat (zumindest in NRW und - soweit ich es überschaue - auch in anderen Bundesländern) die obengenannte Bestimmung der Gemeindekassenverordnung die einzige Vorschrift, die diesen Gegenstand der Datenverarbeitung regelt. Halten wir fest:

- Nur für einen Teilbereich, nämlich bei Ermittlung von Ansprüchen und Zahlungsverpflichtungen sowie bei der Speicherbuchführung ist eine Programmfreigabe überhaupt gesetzlich vorgeschrieben und

- die Verwaltungsführung (Bürgermeister/Gemeindedirektor) ist völlig frei, die Stelle zu bestimmen, die die Programme freigibt.

Kein Wort also darüber, was unter "Programm" in diesem Sinne zu verstehen ist, ob es Ausnahmen geben kann; keinerlei Einschränkungen vor allem bei der Auswahl der freigebenden Stelle.

Nun hatten sich in der öffentlichen Verwaltung, vornehmlich in der Kommunalverwaltung, schon früh - noch längst bevor der Gesetzgeber eingriff - Forderungen erhoben, Programme müßten, um Gültigkeit zu erlangen, förmlich freigegeben werden. Wie ja denn die Legislative fortschrittliche Ideen nicht selten spät aufgreift. So finde ich eine erste Anregung bei dem Altmeister der kommunalen Datenverarbeitung, Dr. Werner Jähnig (gestorben), Hauptgutachter der Kommunalen Gemeinschaftsstelle für Verwaltungsvereinfachung in Köln (KGSt), im Jahre 1971: "Über das Freigabeverfahren ist eine Dienstanweisung zu erlassen, die auch die dabei beteiligten Stellen sowie deren Zuständigkeit bestimmt" (Automatisierte Datenverarbeitung in der öffentlichen Verwaltung, Köln 1971/1973). Die ganze spätere einschlägige Literatur, einschließlich derjenigen für die freie Wirtschaft, wird hinsichtlich der Programmfreigabe nicht viel konkreter, schweigt sich im allgemeinen zu dieser Frage sogar aus. Es genügt hier, die bekannten Autoren zu nennen: Scheel/Steup, Lindemann/Nagel, Meyer/Nagel, Lindemann/Nagel/ Hermann, von zur Mühlen; Softwareentwicklung herausgegeben von der Siemens AG. Die KGSt. selbst hat in ihrem Gutachten "Organisation kommunaler Datenverarbeitungszentralen" von 1975 keine konkreten Ausführungen zur Programmfreigabe gemacht. Erst das KGSt-Gutachten "Weiterentwicklung der gemeinsamen kommunalen Datenverarbeitung" von 1979 geht näher auf die Freigabe ein und will sie bei gemeinsamer kommunaler Datenverarbeitung bei den einzelnen Gemeinden (als Auftraggeber) angesiedelt sehen (Seite 52). Wörtlich heißt es: "Wegen der ... prinzipiellen Rolle von Auftraggeber und Auftragnehmer erscheint es daher grundsätzlich ausgeschlossen, daß die GKD ihre Leistungen (zum Beispiel Programmentwicklung) mit Wirkung für den Auftraggeber selbst abnimmt oder abnehmen läßt, auch wenn dafür möglicherweise innerhalb der GKD neben der Verfahrensentwicklung eine besondere Stelle für die Verfahrensfreigabe eingerichtet sein sollte." Soweit ich sehen kann, taucht hier zum ersten Mal der Gedanke auf, der Datenzentrale selbst könne die Programmfreigabe nicht übertragen werden.

Der Landesbeauftragte für den Datenschutz NRW hat in seinem Dritten Tätigkeitsbericht (1981/1982) diesen Grundsatz weiter präzisiert. Dabei muß man bedenken, daß er nur an Programmen interessiert ist, mit denen personenbezogene Daten verarbeitet werden, und dies ist nur ein Teil von allen in der Kommunalverwaltung eingesetzten. Unter anderem führt er aus (Seite 122 f.): "Der Auftraggeber (die sich der GKD bedienende Gemeinde - der Autor) überpruft bei der Programmfreigabe, ob durch das Programm eine Verarbeitung nach seinen Vorgaben und seinen sonstigen fachlichen Weisungen erfolgt." Und: "Die Funktionstrennung zwischen fachlich verantwortlicher und entwickelnder Stelle ist daher Bestandteil eines jeden Sicherheitskonzeptes. Diese Funktionstrennung führt auch zur Notwendigkeit der Programmfreigabe. Ohne Programmfreigabe durch den fachlich zuständigen Auftraggeber ist dessen Verantwortlichkeit nicht mehr gewährleistet. Er kann sich zwar noch auf den Inhalt seines Programmauftrages berufen. Er ist aber nicht in der Lage, aus eigenem Wissen zu bestätigen, daß das entwickelte Programm entsprechend seinem Programmauftrag arbeitet."

Nicht verantwortlich zu machen

Und weiter: "Mehrere Motive können zu einem Verzicht auf ordnungsgemäße Programmfreigabe führen: Die Programmfreigabe verursacht zusätzlichen Aufwand, den der Auftraggeber erbringen muß. Auch müssen zur Programmfreigabe gerade die fachlich besonders qualifizerten Mitarbeiter eingesetzt werden, die der Auftraggeber im allgemeinen nur ungern für diese Arbeit bereitgestellt. Schließlich sind bei der entwickelnden Stelle häufig Mitarbeiter tätig, die aus dem bearbeiteten Fachgebiet kommen. Dadurch liegt es nahe, daß sich die entwickelnde Stelle in der Lage sieht und bereit erklärt, Programme im Namen des Auftraggebers freizugeben und damit im Rahmen des Auftragsverhältnisses eine Funktion zu übernehmen, die uneingeschränkt bei dem fachlich verantwortlichen Auftraggeber bleiben muß."

Hier liegt nun die große Problematik für die gemeinsamen kommunalen Datenverarbeitungszentralen (GKD). Die ihnen angeschlossenen Gemeinden sind in aller Regel gar nicht in der Lage, Programme verantwortlich freizugeben. Die Gründe sind folgende:

- Einer GKD gehört stets eine Vielzahl kleiner und mittlerer Gemeinden an. Soll eine jede, die gemeinsam für alle eingesetzten Programme freigeben? Der Datenschutzbeauftragte sagt dazu (Seite 124): "Falls sich mehrere Auftraggeber desselben Programms bedienen, empfiehlt sich im allgemeinen eine Vereinbarung, nach der ein Auftraggeber oder einzelne Auftraggeber die Freigabe für alle übrigen vornehmen. Hier sind sehr unterschiedliche Organisationsformen denkbar, die sich jeweils an der speziellen Situation zu orientieren haben. In jedem einzelnen Fall muß allerdings die zustandigkeit und die Verantwortung aller Auftraggeber für die Freigabe der Programme zum Ausdruck kommen."

Bei einer GKD in der Trägerschaft eines Zweckverbandes hält der Datenschutzbeauftragte die Verbandsversammlung für berechtigt und geeignet, Programme auftragsweise freizugeben. Aber gerade sie ist doch das oberste Organ der GKD und deshalb rechtlich mit ihr identisch.

- Die Fachämter der der GKD angeschlossenen Gemeinden sind fachlich nicht genügend qualifiziert, um die mit der Freigabe verbundene Verantwortung zu übernehmen.

- Die mit der Freigabe verbundene Haftung ist, soweit ersichtlich, bisher nicht erörtert worden.

Aber auch von solchen Gründen der Praktikabilität abgesehen, erscheint es angesichts fehlender gesetzlicher Vorschriften rechtlich unbegründet, den an eine GKD angeschlossenen Gemeinden das Recht abzusprechen, die GKD selbst mit der Freigabe zu beauftragen.

Es versteht sich von selbst, daß bei einer solchen Lösung nicht der Programmierer sein eigenes Programm freigeben darf.

* Heinrich Adolphs ist Veerwaltungsrat und DV-Revisor bei der Kreisverwaltung in Siegburg.