11042 der Beilagen zu den Stenographischen Protokollen des Bundesrates
Bericht
des Ausschusses für Innovation, Technologie und Zukunft
über den Beschluss des Nationalrates vom 6. Juli 2022 betreffend ein Bundesgesetz, mit dem das E‑Government-Gesetz geändert wird
Das E-GovG und die Ergänzungsregisterverordnung regeln seit der Stammfassung im Jahr 2004 ein Ergänzungsregister für natürliche Personen (ERnP), die nicht im ZMR eingetragen sind und ein Ergänzungsregister für nicht natürliche Personen bzw. sonstige Betroffene (ERsB; zum Begriff des „Betroffenen“ in diesem Zusammenhang siehe weiter unten), die weder im Firmenbuch noch im Zentralen Vereinsregister eingetragen sind. Das Ergänzungsregister führt die Stammzahlenregisterbehörde (SZRB) und kann sich dabei hinsichtlich des technischen Betriebs eines gesetzlichen Dienstleisters bedienen. Für das ERnP ist dies der Bundesminister für Inneres, für das ERsB ist wegen der Synergie zum Unternehmensregister für Verwaltungszwecke (URV) gemäß des § 25 Bundesstatistikgesetz 2000 die Bundesanstalt „Statistik Österreich“ gesetzlich beauftragt.
Das Ergänzungsregister ist Bestandteil des Identitätsmanagements im österreichischen E‑Government und wird wie bereits ausgeführt getrennt nach natürlichen Personen (ERnP) und sonstigen Betroffenen (ERsB) geführt. Im E‑Government ist eine Differenzierung beim Begriff „Identität“ sowie beim Betroffenenbegriff von großer Bedeutung, da die eindeutige Unterscheidbarkeit der Betroffenen eine notwendige Voraussetzung für die inhaltliche Richtigkeit der E‑Government-Anwendungen ist. Seit der Stammfassung aus dem Jahr 2004 handelt es sich bei einem „Betroffenen“ gemäß § 2 Z 7 E-GovG um „jede natürliche Person, juristische Person sowie sonstige Personenmehrheit oder Einrichtung, der bei ihrer Teilnahme am Rechts- oder Wirtschaftsverkehr eine eigene Identität zukommt“. Weder ist es daher notwendig, dass ein Betroffener, der keine natürliche Person ist, über eine eigene Rechtspersönlichkeit verfügen muss, noch ist es ein Widerspruch, einer natürlicher Person neben ihrer Eigenschaft als natürliche Person etwa in ihrer Rolle als „Unternehmen“ (siehe dazu unten) zusätzlich auch die Eigenschaft einer „Einrichtung“ im Sinne des Betroffenenbegriffs zuzuerkennen, wenn sie in dieser eigenständigen Rolle agiert und so am Rechts- oder Wirtschaftsverkehr teilnimmt. Insofern besteht ein berechtigtes Interesse, in elektronischen Verfahren unverwechselbar unterscheiden zu können, ob eine natürliche Person in „Privatangelegenheiten“ agiert oder dabei unternehmerisch tätig ist. Nachdem dieser seit der Stammfassung des E-GovG 2004 bestehende Hintergrund vor allem in den letzten Monaten zu Missverständnissen bei Betroffenen geführt hat, wird mit dem vorliegenden Beschluss auch eine diesbezügliche ausdrückliche Klarstellung im E-GovG vorgenommen.
Von 2004 bis Ende 2018 war die Datenschutzkommission bzw. (seit 1.1.2014) die Datenschutzbehörde (DSB) die zuständige Stammzahlenregisterbehörde (SZRB) und daher für das ERsB und dessen Betrieb verantwortlich. Mit 28.12.2018 gingen alle Aufgaben der SZRB auf die Bundesministerin für Digitalisierung und Wirtschaftsstandort über, die diese – insb. die Führung der Ergänzungsregister – im Sinne der bestehenden Verwaltungspraxis der DSB unverändert fortführte.
In das ERsB werden grundsätzlich Daten zu sonstigen Betroffen auf Antrag von Betroffenen selbst oder durch eine so genannte „Ausstattung“ einer Anwendung eines Verantwortlichen des öffentlichen Bereichs (vgl. §10 Abs. 2 E-GovG) eingetragen. Der einer Eintragung zugrundeliegende Unternehmensbegriff iSd Bundesstatistikgesetz 2000 ist weit gefasst und umfasst Unternehmen, insb. auch natürliche Personen (zB freie Dienstnehmer, freiberuflich Tätige, Einzelunternehmer), juristische Personen, Personengesellschaften, Personengemeinschaften und Personenvereinigungen mit Einkünften aus Land- und Forstwirtschaft, selbständiger Tätigkeit, aus Gewerbebetrieb oder Vermietung und Verpachtung.
Im Rahmen der Abwicklung der 1. Phase des Covid-19-Härtefallfonds hatten die Antragsteller im Antragsformular verpflichtend die Kennziffer des Unternehmensregisters (KUR) oder die Global Location Number (GLN) zu ihrem Unternehmen anzugeben. Da diese Informationen über das öffentliche einsehbare ERsB unter ersb.gv.at zu jedem Eintrag abrufbar waren, kam es in der Anfangsphase des Härtefallfonds punktuell zu Spitzen von mehreren Tausend Abfragen des ERsB täglich. Da die Datenarten im ERsB neben dem Identifikationsmerkmal Ordnungsnummer (ON) des ERsB, dem Bestandszeitraum, der rechtsgültigen Bezeichnung und der Rechts- oder Organisationsform einer Einheit auch die Anschrift und Sitz sowie vertretungsbefugte natürlichen Personen und deren Geburts- und Adressdaten umfassen, entstand eine kritische öffentliche Diskussion über die Möglichkeit der öffentlichen Abrufbarkeit dieser personenbezogenen Daten, die seit Betriebsaufnahme des ERsB ausdrücklich in der Ergänzungsregisterverordnung vorgesehen war.
Da das BMDW die Kritik sehr ernst nahm, wurde zur Verhinderung eines allfälligen Missbrauchs der einsehbaren Daten infolge der medialen Diskussion die Website unverzüglich vom Netz genommen und mit der Novelle der ERegV 2009, BGBl. II Nr. 317/2020, geregelt, dass das ERsB nicht mehr öffentlich zu führen ist. Die Abfrage des ERsB über die Website www.ersb.gv.at ist daher nicht mehr möglich. Unternehmen, die das Unternehmensserviceportal (www.usp.gv.at) nutzen, können darüber ihre eigene KUR bzw. GLN erfahren.
Zudem wurde eine eigene Taskforce zum ERsB unter Einbeziehung von Datenschutzexperten eingerichtet. Auf Basis der Ergebnisse der ERsB Taskforce wurde nun ein Vorschlag für eine Novelle des E-GovG erarbeitet, mit der das ERsB unter Beibehaltung des Rollenkonzepts im Identitätsmanagment des E-GovG, das zwischen natürlichen Personen (in ihrer Eigenschaft als ebensolche) und sonstigen Betroffenen (die auch natürliche Personen sein können, aber denen in der Eigenschaft als zB Unternehmen eine eigenständige Identität im Rechts- oder Wirtschaftsverkehr zukommt) unterscheidet, neu geregelt und die datenschutzrechtliche Verantwortlichkeit klargestellt werden soll. Beide Themen, nämlich die Beibehaltung des rollenbezogenen Identitätsmanagment und Sicherstellung der Verantwortungsklarheit im Hinblick auf die datenschutzrechtliche Rollenverteilung, sind ausdrücklich in den Empfehlungen der ERsB Taskforce genannt und wurden in der vorliegenden Novelle berücksichtigt. Künftig werden daher insb. Unternehmen (dies umfasst auch natürliche Personen, die unternehmerisch tätig sind), die steuerliche Einkünfte erzielen, nicht mehr in das (öffentliche) ERsB eingetragen, sondern seitens der Finanzbehörden des Bundes direkt an das (nicht öffentliche) URV gemeldet. Ähnliche Abgrenzungen wurden zu anderen eindeutig bestimmten „Einrichtungen“ vorgenommen (etwa Land- und Forstwirtschaftliche Betriebe, etc.). Das bedeutet, dass für diese Einheiten kein zusätzlicher Eintrag im ERsB für Zwecke der Bildung einer Stammzahl mehr erzeugt werden muss und somit die Datenhoheit und Verantwortlichkeit immer bei jener Stelle verbleibt, bei der die Daten ursprünglich erfasst wurden. Eine „Duplizierung“ der Datensätze im ERsB und Unklarheiten hinsichtlich der datenschutzrechtlichen Rollenverteilung können damit beseitigt werden. Die Sorgfaltspflicht und die Einhaltung der datenschutzrechtlichen Betroffenenrechte für die Datenverarbeitung liegt (und verbleibt) somit beim jeweiligen Verantwortlichen im Sinne der DSGVO.
Im ERsB verbleiben nunmehr also neben einigen Sonderfällen und ausländischen Unternehmen lediglich die Einträge zu den Körperschaften öffentlichen Rechts. Vor diesem Hintergrund und im Lichte der nun vorgesehenen neuen Gesamtarchitektur sind auch die weiteren Empfehlungen der Taskforce in die Neukonzeption eingeflossen bzw. wurden diese zum Teil obsolet. So erscheinen etwa die Einrichtung einer „zentralen Anlaufstelle“ oder ein „standardisierter Clearingprozess“ wie es die Taskforce hinsichtlich des „alten“ Datenbestands des ERsB empfohlen hat, durch diese Neuregelung für das ERsB nicht mehr erforderlich. Diese Aufgaben übernimmmt für den im ERsB verbleibenden Datenbestand künftig weiterhin die Stammzahlenregisterbehörde, die für diese Anfragen bereits jetzt Online Formulare und eine elektronische Kontaktadresse im Internet zur Verfügung gestellt hat. Gebietskörperschaften haben außerdem die Möglichkeit, die Einträge im ERsB für sich selbst und ihre nachgeordneten Stellen selbständig anzupassen. Hinsichtlich der nicht mehr dem ERsB zuzuordnenden Daten verbleibt die Verantwortlichkeit – wie ausgeführt – bei den jeweiligen Verantwortlichen, sodass dazu kein zusätzlicher Regelungsbedarf besteht. Darüber hinaus gibt es wie bisher die Möglichkeit, potentielle Doppeleintragungen im URV direkt über die Statistik Austria zu klären.
Damit kann auch, unter Einhaltung neu einzuführender datenschutzrechtlichen Beschränkungen, wieder eine öffentliche Abfrage des ERsB ermöglicht werden. Im Sinne der Empfehlung der ERsB Taskforce ist der Zugang in Bezug auf natürliche Personen allerdings künftig nicht mehr öffentlich bzw. stark eingeschränkt. So sollen insb. keine Geburts- oder Adressdaten von vertretungsbefugten natürlichen Personen veröffentlicht werden. Alle anderen Betroffenen können – wie auch bereits jetzt schon möglich – ihre Stammzahl samt den Stammdaten über das USP abfragen. Aufgrund der vorgeschlagenen Änderung der Systematik des ERsB und der nur noch eingeschränkten öffentlichen Abfrage erscheint es ratsam, wenn auch öffentliche Stellen (zB Förderstellen) ihre Praxis entsprechend anpassen, indem sie die Stammzahl selbst im Unternehmensregister für Verwaltungszwecke, auf das grundsätzlich jede Behörde zugreifen kann, abfragen und nicht mehr alle Daten von den Antragstellern einfordern sollten. Dies wäre grundsätzlich zwar bereits heute im Sinne des „Once Only“ Prinzips schon geboten (vgl. auch § 17 Abs. 2 E-GovG) entspricht aber in vielen Bereichen noch nicht der gelebten Praxis.
Bei der mittels des gegenständlichen Beschlusses des Nationalrates bewirkten Neugestaltung der Systematik zum ERsB und URV wurde ein besonderer Wert darauf gelegt, dass sich in der Praxis, insb. für die Behörden, die Daten auf Grund bestehender gesetzlicher Verpflichtungen (vgl. insbes. § 25 Bundesstatistikgesetz 2000) an das URV melden oder auf die Daten des URV zugreifen und für die eine eindeutige Identifizierung von sonstigen Betroffenen in ihren Anwendungen von zentraler Bedeutung ist, keine nennenswerten Umsetzungs- oder Änderungsnotwendigkeiten ergeben.
Der Ausschuss für Innovation, Technologie und Zukunft hat den gegenständlichen Beschluss des Nationalrates in seiner Sitzung am 12. Juli 2022 in Verhandlung genommen.
Berichterstatter im Ausschuss war Bundesrat Martin Preineder.
An der Debatte beteiligten sich die Mitglieder des Bundesrates Stefan Schennach und Otto Auer.
Bei der Abstimmung wurde mit Stimmeneinhelligkeit beschlossen, gegen den Beschluss des Nationalrates keinen Einspruch zu erheben.
Zum Berichterstatter für das Plenum wurde Bundesrat Martin Preineder gewählt.
Der Ausschuss für Innovation, Technologie und Zukunft stellt nach Beratung der Vorlage mit Stimmeneinhelligkeit den Antrag, gegen den vorliegenden Beschluss des Nationalrates keinen Einspruch zu erheben.
Wien, 2022 07 12
Martin Preineder Stefan Schennach
Berichterstatter Vorsitzender