OZG-Datenschutz prüfen: Was Kommunen bei EfA-Onlinediensten jetzt klären müssen
KI-generierte Illustration
OZG-Onlinedienste sollen Verwaltungsleistungen digital einfacher zugänglich machen. Für Kommunen beginnt die Arbeit jedoch nicht mit der technischen Freischaltung. Sie müssen verstehen, welche Stelle welche Daten verarbeitet, wer Entscheidungen trifft und welche Nachweise zum Dienst gehören.
Die Datenschutzkonferenz hat dafür eine Orientierungshilfe in Version 1.1 veröffentlicht. Ihr Stand ist Dezember 2025. Sie richtet sich an Stellen, die länderübergreifende Onlinedienste nach dem Onlinezugangsgesetz betreiben oder nutzen. Das ist besonders für EfA-Dienste relevant. EfA bedeutet „Einer für Alle“: Ein Land entwickelt einen Dienst, andere Länder oder Kommunen nutzen ihn nach.
Der Beitrag ordnet die Orientierungshilfe praktisch ein. Er ersetzt keine Rechtsberatung. Er zeigt aber, welche Fragen Fachbereich, IT, Datenschutz und Rechtsabteilung gemeinsam beantworten sollten.
Warum OZG-Datenschutz keine Formalität ist
Ein Onlinedienst verarbeitet selten nur eine einzelne Angabe. Je nach Leistung kommen Kontaktdaten, Nachweise, Identitätsdaten, Antragsdaten und Kommunikationsdaten zusammen. Deshalb genügt es nicht, einen Dienst nur als „zentral bereitgestellt“ zu betrachten.
Entscheidend ist der tatsächliche Ablauf. Wer erhebt Daten? Wo werden sie gespeichert? Wer darf sie einsehen? An welche Fachverfahren werden sie übermittelt? Und wer beantwortet Auskunfts- oder Löschanfragen?
Gerade bei EfA-Konstellationen teilen sich mehrere Stellen Aufgaben. Ein Land kann eine zentrale technische Komponente betreiben. Eine Kommune bearbeitet dennoch den Antrag vor Ort. Weitere Dienstleister können Infrastruktur oder Schnittstellen bereitstellen. Diese Verteilung muss nachvollziehbar beschrieben werden.
Die DSK-Orientierungshilfe ist deshalb kein Freigabestempel. Sie liefert eine Struktur, mit der Behörden ihre konkrete Konstellation prüfen können. Das schützt nicht nur Betroffene. Es verhindert auch Verzögerungen kurz vor dem Produktivstart.
Was sich mit der DSK-Orientierungshilfe Version 1.1 einordnen lässt
Die Version 1.1 trägt den Stand Dezember 2025. Damit ist sie aktueller als die beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit dokumentierte Fassung mit Stand November 2024.
Für die Praxis zählt weniger ein abstrakter Versionsvergleich. Wichtig sind die Fragen, die der Leitfaden für Betrieb und Nachnutzung länderübergreifender Dienste bündelt. Dazu gehören Rollen, Verantwortlichkeiten, Rechtsgrundlagen, Informationspflichten und technische Schutzmaßnahmen.
Das OZG-Änderungsgesetz hat den Rahmen für viele Fragen weiterentwickelt. Dennoch bleibt die Umsetzung vom einzelnen Dienst abhängig. Ein Bauantrag, eine Meldeleistung oder ein Förderantrag haben unterschiedliche Daten, Schnittstellen und Beteiligte.
Deshalb sollte ein Projektteam die Orientierungshilfe als gemeinsames Arbeitsdokument nutzen. Zuerst werden Annahmen gesammelt. Danach werden sie gegen Architektur, Verträge und Betriebsprozesse geprüft. So entsteht eine belastbarere Entscheidung als durch eine pauschale Übernahme.
Prüffeld 1: Rollen und Zuständigkeiten sichtbar machen
Viele Datenschutzprobleme entstehen nicht durch fehlende Technik. Sie entstehen, weil Zuständigkeiten nur mündlich geklärt wurden. Bei einem OZG-Dienst sollte daher vor dem Start eine einfache Rollenkarte vorliegen.
Die Karte beantwortet vier Fragen: Welche Stelle verantwortet den fachlichen Zweck? Wer betreibt welche technische Komponente? Wer verarbeitet Daten im Auftrag? Und welche Stelle ist für Anfragen von Betroffenen zuständig?
Benennen Sie dabei nicht nur Organisationen. Ordnen Sie auch konkrete Aufgaben zu. Dazu gehören etwa Identifizierung, Formularbetrieb, Datenübermittlung, Aktenführung, Support, Sicherheitsvorfälle und Änderungen am Dienst.
Das verhindert eine typische Lücke. Eine Kommune kann den Dienst nutzen, ohne dessen gesamte technische Umgebung zu betreiben. Trotzdem braucht sie Klarheit darüber, welche Informationen sie selbst bereitstellt und welche Verfahren bei Problemen greifen.
Prüffeld 2: Datenflüsse und Nutzerkonto nachvollziehen
Ein Datenflussbild muss nicht kompliziert sein. Es sollte aber den Weg jeder wichtigen Datenart verständlich darstellen. Beginnen Sie beim Nutzerkonto oder Formular. Folgen Sie den Daten bis zum Fachverfahren, Archiv oder angeschlossenen Register.
Das OZG enthält in § 8 Regelungen zur Datenverarbeitung im Nutzerkonto und zu Identifizierungszwecken. Daraus folgt für die Praxis keine pauschale Freigabe jeder Architektur. Vielmehr müssen Behörden prüfen, ob der konkrete Dienst diese Komponenten nutzt und wie sie eingebunden sind.
Fragen Sie außerdem nach Datenminimierung. Welche Angaben sind für die Leistung erforderlich? Welche Daten werden nur für einen optionalen Service erhoben? Und wann werden Daten wieder gelöscht oder in eine Fachakte überführt?
Besondere Aufmerksamkeit verdienen Schnittstellen. Daten können beim Wechsel zwischen Portal, Fachverfahren und Drittkomponente mehrfach verarbeitet werden. Jede Übergabe braucht einen klaren Zweck, eine technische Beschreibung und eine Zuständigkeit.
Prüffeld 3: Transparenz und Datenschutzcockpit planen
Digitale Verwaltungsleistungen müssen für Nutzende nachvollziehbar bleiben. Das betrifft nicht nur Datenschutzhinweise vor dem Absenden. Auch spätere Auskünfte über Datenverarbeitungen und Übermittlungen brauchen einen geordneten Prozess.
§ 10 OZG regelt ein Datenschutzcockpit für Auskünfte über Datenübermittlungen. Ob und wie diese Funktion im einzelnen Dienst greift, muss mit der jeweiligen Architektur abgeglichen werden. Kommunen sollten daher nicht nur auf eine zentrale Lösung verweisen.
Praktisch hilft eine Verantwortungsmatrix. Sie legt fest, wer Informationen pflegt, wer Betroffenenanfragen entgegennimmt und wer technische Nachweise liefert. Ebenso wichtig sind Eskalationswege, falls Angaben aus mehreren Systemen zusammengeführt werden müssen.
Dokumentieren Sie auch, welche Informationen Nutzende tatsächlich sehen. Prüfen Sie Sprache, Aktualität und Erreichbarkeit. Eine formal vorhandene Information hilft wenig, wenn sie beim digitalen Antrag nicht auffindbar ist.
Prüffeld 4: Betrieb, Sicherheit und Änderungen absichern
Datenschutz endet nicht mit dem Go-live. OZG-Dienste ändern sich durch neue Schnittstellen, Fehlerbehebungen, Fachrechtsänderungen oder zusätzliche Nachnutzungen. Deshalb gehört der Datenschutz in das reguläre Änderungsmanagement.
Definieren Sie vorab, welche Änderungen eine erneute Prüfung auslösen. Das können neue Datenarten, ein neuer Auftragsverarbeiter, ein Wechsel des Hostingmodells oder eine geänderte Identifizierung sein. Halten Sie auch fest, wer diese Prüfung anstößt.
Technische und organisatorische Maßnahmen sollten zum realen Dienst passen. Dazu zählen Berechtigungen, Protokollierung, Verschlüsselung, Testverfahren und ein geregelter Umgang mit Sicherheitsvorfällen. Allgemeine Standardtexte ersetzen diese Prüfung nicht.
Auch die Nachnutzung braucht einen Onboarding-Prozess. Eine Kommune sollte wissen, welche Unterlagen sie erhält, welche lokalen Einstellungen nötig sind und welche Unterlagen sie selbst ergänzen muss. Dadurch wird aus einer Übernahme ein kontrollierter Betriebsstart.
Wenn Rollen, Datenflüsse und Nachweise noch offen sind, hilft Projektleitung für digitale Vorhaben. Sie bringt die beteiligten Fachstellen in einen nachvollziehbaren Arbeitsablauf, ohne rechtliche Einzelfallentscheidungen vorwegzunehmen.
Eine kompakte Start-Checkliste für Kommunen
- Den konkreten OZG-Dienst, seinen Zweck und die betroffenen Nutzergruppen beschreiben.
- Alle beteiligten Stellen, Systeme und Dienstleister in einer Rollenkarte erfassen.
- Datenarten und Übermittlungen in einem verständlichen Datenflussbild dokumentieren.
- Nutzerkonto, Identifizierung und Fachverfahren getrennt betrachten.
- Verantwortlichkeiten für Datenschutzhinweise, Auskünfte und Sicherheitsvorfälle zuordnen.
- Technische und organisatorische Maßnahmen mit dem tatsächlichen Betrieb abgleichen.
- Unterlagen zur Nachnutzung, Verträge und Zuständigkeiten zentral ablegen.
- Änderungen definieren, die eine erneute Datenschutzprüfung auslösen.
- Offene Punkte mit Datenschutzbeauftragten und Rechtsabteilung bewerten.
Für die organisatorische Seite sind auch die Inhalte für IT-Teams relevant. Sie helfen, technische Abhängigkeiten, Übergaben und Betriebsaufgaben verständlich zu strukturieren. Der Kontext für Verwaltungen findet sich zudem auf der Seite für Behörden.
Grenzen der Orientierungshilfe richtig verstehen
Die DSK-Orientierungshilfe ist eine wichtige fachliche Orientierung. Sie ist jedoch kein Gesetz und keine individuelle Rechtsprüfung. Verantwortlichkeit, Rechtsgrundlage und technische Pflichten können je nach Dienst, Bundesland und Betriebsmodell unterschiedlich ausfallen.
Nutzen Sie sie daher als Prüfrahmen. Der belastbare Nachweis entsteht erst aus den Unterlagen Ihres konkreten Dienstes: Rollenbeschreibung, Datenfluss, Verträge, technische Dokumentation, Prozessbeschreibungen und nachvollziehbare Entscheidungen.
Das ist kein unnötiger Mehraufwand. Eine saubere Klärung vor dem Start schafft bessere Übergaben im Betrieb. Außerdem erkennen Teams offene Fragen früher und können sie vor der breiten Nutzung lösen.
Fazit: Erst den Dienst verstehen, dann nachnutzen
Die DSK-Orientierungshilfe Version 1.1 gibt Kommunen und Behörden einen aktuellen Anlass, ihre OZG-Dienste strukturiert zu prüfen. Besonders bei EfA-Nachnutzungen sind Rollen, Datenflüsse und Nachweise keine Nebensache.
Wer diese Punkte vor dem Produktivbetrieb dokumentiert, reduziert Reibung zwischen Fachbereich, IT, Datenschutz und Rechtsabteilung. Die Orientierungshilfe liefert dafür eine sinnvolle Reihenfolge. Die konkrete Bewertung bleibt jedoch Aufgabe der zuständigen Stellen.
