Pressemitteilung vom 27. Juni 2024

Über 2,8 Millionen Studierende und Fachschüler wurden im Zeitraum zwischen dem 15. März und 2. Oktober 2023 in Folge des Krisenwinters 2022/2023 durch eine Einmalzahlung in Höhe von 200 € finanziell entlastet. Über das Portal Einmalzahlung200 ist mit der schnellen Auszahlung ein bundesweites digitales Online-Zugangs-Projekt umgesetzt worden.

Die Umsetzung des Energiepreispauschalengesetzes (EPPSG) vom 16. Dezember 2022 oblag in Abstimmung mit dem Bund und den Ländern dem Ministerium für Infrastruktur und Digitales des Landes Sachsen-Anhalt, das hierfür das Internet-Portal „Einmalzahlung200.de“ und einen digitalen Antragsassistenten betrieb. Zur Antragstellung mussten sich die Antragsteller zwangsweise beim Nutzerkonto Bund (BundID) beim Bundesministerium des Innern und für Heimat registrieren. Das Nutzerkonto Bund ist als zentrales Konto zur Identifizierung und Authentifizierung für Online-Anträge (u. a. durch die Onlinefunktion des Personalausweises oder das ELSTER-Zertifikat) ein wesentlicher Baustein der Erhöhung des Digitalisierungsgrades der Verwaltungsleistungen. Vom Nutzerkonto Bund gelangten die Antragsteller sodann an den Antragsassistenten zurück, wobei einige Identitätsdaten übernommen wurden.

Eine Antragstellung auf anderem Weg als über das Portal und den Antragsassistenten war durch § 6 S. 2 der EPPSG-Durchführungsverordnung (EPPSG-DVO LSA) des Landes ausgeschlossen. Ein Verfahren ohne Eingabe von Daten beim Nutzerkonto Bund wurde im Portal nicht angezeigt, sondern stets auf die Notwendigkeit der Einbindung von BundID in den FAQ’s hingewiesen. Wer also seine Daten nicht bei BundID eingab, bekam kein Geld, obwohl es ihm nach dem Gesetz zustand. Die Antragsteller hatten also keine freie Wahl, die Eingabe der Daten bei BundID war nicht freiwillig. Dies war ein Verstoß gegen Bundesrecht, da § 2 Abs. 5 S. 5 Onlinezugangsgesetz vorgibt, dass die Verwendung von Nutzerkonten für die Nutzer freiwillig ist. Der Bundesgesetzgeber hatte zudem in der Gesetzesbegründung zum EPPSG deutlich gemacht, dass auf besondere Anforderungen für das Verfahren bewusst verzichtet werde. Auch die Ermächtigungsgrundlage des § 2 Abs. 1 S. 2 EPPSG zum Erlass einer Durchführungsverordnung durch das Land gestattete lediglich, die für die Bewilligung zuständigen Stellen zu bestimmen.

Der Landesbeauftragte für den Datenschutz hat das Ministerium für Infrastruktur und Digitales des Landes Sachsen-Anhalt mit Bescheid vom 25. Juni 2024 verwarnt, weil durch die konkrete Ausgestaltung des Onlinedienstes „Einmalzahlung200.de“ personenbezogene Daten erhoben und verarbeitet wurden, ohne dass hierfür eine Rechtsgrundlage gegeben war.

Hintergrund:
Die Einbindung des Nutzerkontos Bund als Identifizierungsinstrument bei sogenannten Einer-für-Alle-Verfahren des Onlinezugangs ist grundsätzlich unbedenklich. Lediglich die zwangsweise Vorgabe der Eingabe personenbezogener Daten bei BundID wurde vom Landesbeauftragten kritisiert. Dies stellte Eingriffe in die Grundrechte der Betroffenen aus Art. 8 Abs. 1, Abs. 2 S. 1 EU-Grundrechtscharta und das Recht auf informationelle Selbstbestimmung aus Art. 1 Abs. 1 S. 1 i. V. m. Art. 2 Abs. 1 Grundgesetz dar.

Die zwangsweise Verarbeitung personenbezogener Daten in einer derart großen Anzahl war nicht erforderlich und entbehrte einer Rechtsgrundlage. Ein derartiger Grundrechtseingriff hätte nur aufgrund einer Entscheidung des Gesetzgebers, nicht gegen den Gesetzgeber erfolgen dürfen. Auch wenn das Verfahren über BundID für die kurzfristige Erledigung eines Massenverfahrens geeignet erschien, wäre es durchaus möglich gewesen, zusätzlich einen alternativen Zugang zum Antragsassistenten des Ministeriums für Digitalisierung und Infrastruktur anzubieten. So wäre eine vollständige Eingabe notwendiger Daten direkt beim Antragsassistenten denkbar gewesen, da viele wesentliche Daten für das Verfahren (z. B. E-Mail-Adresse, Matrikelnummer, Bankverbindung) ohnehin direkt einzugeben waren. Auch eine hinreichend sichere Identifizierung und Authentifizierung wäre ohne Einbindung von BundID mit Zugangscode und persönlicher Identifizierungsnummer (PIN) möglich gewesen. Die Ausbildungsstätten hatten ähnlich dem Postidentverfahren die Vorgabe, die PIN erst nach hinreichender Identifizierung mittels eines amtlichen Lichtbildausweises herauszugeben (s. § 8 EPPSG-DVO LSA).

Somit wurden über 2,8 Millionen Antragsteller dem Zwang ausgesetzt, sich bei BundID zu registrieren, wenn sie nicht auf die 200 € verzichten wollten. Das bisher wohl nicht so intensiv frequentierte Nutzerkonto Bund dürfte im letzten Jahr um gut zweieinhalb Millionen registrierte Nutzer gewachsen sein. Der Landesbeauftragte hat das Ministerium für Infrastruktur und Digitales des Landes Sachsen-Anhalt nach Art. 58 Abs. 2 lit. b) Datenschutz-Grundverordnung verwarnt.

Download der Pressemitteilung als PDF