Source: https://www.datenschutz-bayern.de/print/technik/orient/behDSB.htm
Timestamp: 2017-11-20 05:50:15+00:00

Document:
BayLfD: Der behördliche Datenschutzbeauftragte
Der Bayerische Landesbeauftragte für den Datenschutz; Stand: 13.08.2009
Gemäß Art. 25 Abs. 2 des Bayerischen Datenschutzgesetzes (BayDSG) haben alle öffentlichen Stellen in Bayern, die personenbezogene Daten mit Hilfe von automatisierten Verfahren verarbeiten oder nutzen, einen ihrer Beschäftigten zum behördlichen Datenschutzbeauftragten zu bestellen. Mehrere öffentliche Stellen können gemeinsam einen ihrer Beschäftigten bestellen, wobei die Bestellung eines gemeinsamen Datenschutzbeauftragten nicht erzwungen sondern nur im gegenseitigen Einvernehmen erfolgen kann. Bei Staatsbehörden kann die Bestellung auch durch eine höhere Behörde erfolgen.
Bestellung eines gemeinsamen Datenschutzbeauftragten
In der Gesetzesbegründung zu Art. 25 Abs. 2 BayDSG (LT-Drs. 14/3327 vom 04. 04. 2000) wird als Beispiel für die Bestellung eines gemeinsamen Datenschutzbeauftragten genannt, dass mehrere Gemeinden miteinander oder auch ein Landratsamt mit Gemeinden einen gemeinsamen behördlichen Datenschutzbeauftragten bestellen. Der Gesetzgeber wollte mit dieser Vorschrift der Arbeits- und Personalsituation bei kleineren Behörden (z.B. kleinere kreisangehörige Gemeinden) und bei Behörden mit wenigen personenbezogenen Daten Rechnung tragen. Die Kommentarliteratur erwähnt als Beispiel den Fall, dass mehrere öffentliche Stellen über eine gemeinsame Verwaltung verfügen, z.B. wenn ein Zweckverband von einer Gemeinde mitverwaltet wird (Wilde, Ehmann, Niese, Knoblauch, Kommentar und Handbuch zum BayDSG, Art. 25 Rn. 20).
Eine Bestellung sollte grundsätzlich schriftlich erfolgen, auch wenn dies nicht gesetzlich vorgeschrieben ist.
Während nicht-öffentliche Stellen auch einen Externen zum Datenschutzbeauftragten ernennen dürfen (§ 4f Abs. 2 Satz 3 BDSG), dürfen öffentliche Stellen in Bayern externe Personen nicht zum behördlichen Datenschutzbeauftragten berufen. Dies gilt auch für öffentliche Stellen, die als Unternehmen am Wettbewerb teilnehmen. Für diese Stellen gelten zwar gemäß Art. 3 Abs. 1 Satz 1 BayDSG die Vorschriften des Bundesdatenschutzgesetzes mit Ausnahme des Zweiten Abschnitts; allerdings gelten gemäß Art. 3 Abs. 1 Satz 3 BayDSG für die Durchführung und die Kontrolle des Datenschutzes auch bei diesen Stellen die entsprechenden Vorschriften des Bayerischen Datenschutzgesetzes (Art. 9 und 25 bis 33 BayDSG). Damit ist auch diesen Stellen die Berufung eines Externen zum behördlichen Datenschutzbeauftragten untersagt.
Gemäß Art. 2 Abs. 2 Satz 1 Nr. 1 BayDSG gelten die Vorschriften des Bayerischen Datenschutzgesetzes auch für Vereinigungen des privaten Rechtes, die Aufgaben der öffentlichen Verwaltung wahrnehmen und an denen eine oder mehrere juristische Personen des öffentlichen Rechts (z. B. ein Landratsamt) beteiligt sind.
Entscheidend für die datenschutzrechtliche Einordnung dieser Stellen ist dabei, ob sie Aufgaben der öffentlichen Verwaltung wahrnehmen – z. B. in Form der kommunalen Daseinsvorsorge. Unzweifelhaft unter den Art. 2 Abs. 2 Satz 1 Nr. 1 BayDSG fallen beispielsweise kommunale Krankenhäuser, Stadtwerke, Bäder und das Verkehrswesen. Dagegen nehmen beispielsweise Wohnungsbaugenossenschaften bzw. Wohnungsbaugesellschaften in der Regel keine öffentlichen Aufgaben wahr, auch wenn es sich dabei um 100 %-Töchter einer öffentlichen Stelle handelt. Bei allen anderen – nicht erwähnten – Vereinigungen des Privatrechts ist im Einzelfall zu klären, ob diese Stellen Aufgaben der öffentlichen Verwaltung wahrnehmen.
Zusammenfassend bleibt festzuhalten, dass alle bayerischen öffentlichen Stellen (mit Ausnahme öffentlich-rechtlicher Versicherungsunternehmen und öffentlich-rechtlicher Kreditinstitute) und deren privatrechtliche Vereinigungen, soweit sie Aufgaben der öffentlichen Verwaltung wahrnehmen, zumindest bezüglich der Durchführung des Datenschutzes unter die Vorschriften des Bayerischen Datenschutzgesetzes fallen und damit verpflichtet sind, einen ihrer Bediensteten zum behördlichen Datenschutzbeauftragten zu ernennen.
Die Tätigkeit eines behördlichen Datenschutzbeauftragten ist anspruchsvoll und verlangt ein hohes persönliches und fachliches Engagement. Der Datenschutz in einer Behörde kann daher nur von einem Datenschutzbeauftragten gewährleistet werden, der in der Lage ist, die jeweiligen konkreten Risiken der Informationstechnik für den Datenschutz zu erkennen. Unabdingbare Voraussetzungen sind dafür fundierte organisatorische, DV-technische und rechtliche Kenntnisse.
So muss der Datenschutzbeauftragte sowohl über ausreichende Rechtskenntnisse bezüglich der einschlägigen datenschutzrechtlichen Regelungen als auch über das notwendige technische Verständnis zur Umsetzung der erforderlichen Datensicherheitsmaßnahmen verfügen.
Das BayDSG selbst enthält keine näheren Angaben zu den Anforderungen, die an einen Datenschutzbeauftragten zu stellen sind. Dagegen schreibt die Vollzugsbekanntmachung zum Bayerischen Datenschutzgesetz vom 11.09.1994 in der Nummer 3 (Zu Art. 25 – Behördliche Datenschutzbeauftragte) vor, dass zum behördlichen Datenschutzbeauftragten nur bestellt werden soll, wer die notwendige Fachkenntnis in Fragen des Datenschutzes und der Datensicherheit hat. Die Fachkunde umfasst sowohl das allgemeine Grundwissen, das jeder Datenschutzbeauftragte aufweisen muss, als auch behörden- bzw. betriebsspezifische Kenntnisse. Zum Grundwissen gehören in erster Linie das Datenschutzrecht, Verständnis für betriebswirtschaftliche Zusammenhänge und Grundkenntnisse über Verfahren und Techniken der automatisierten Datenverarbeitung. Ferner muss der Datenschutzbeauftragte mit der Organisation und den Funktionen seines Dienststelle vertraut sein.
Vor allem bei der erstmaligen Bestellung zum Datenschutzbeauftragten wird dieses Idealbild nur von wenigen Personen in vollem Umfang erfüllt werden. Daher hat der Dienstherr dem Bestellten auch eine angemessene Einarbeitung und Weiterbildung in diesem Fachgebiet (z. B. durch den Bezug einer Fachzeitschrift, den Erwerb von Fachliteratur und den Besuch von Fortbildungsveranstaltungen) zu ermöglichen.
Der behördliche Datenschutzbeauftragte kann innerhalb der Behörde auch mit anderen Aufgaben beauftragt werden, da er nur bei großen Behörden mit Datenschutzaufgaben voll ausgelastet sein wird. Er sollte jedoch nicht mit solchen Aufgaben beschäftigt sein, die mit seiner Funktion als Datenschutzbeauftragter kollidieren. So sollte er nicht in der DV-Abteilung tätig sein (insbesondere nicht als Leiter der DV-Abteilung oder Systemverwalter). Auch Leiter einer öffentlichen Stelle und deren Stellvertreter kommen grundsätzlich nicht in Frage. Interessenkonflikte dürften auch vorliegen, wenn der Datenschutzbeauftragte in der Personalabteilung beschäftigt ist.
"Die behördlichen Datenschutzbeauftragten sind in dieser Eigenschaft" gem. Art. 25 Abs. 3 BayDSG "der Leitung der öffentlichen Stelle oder deren ständigen Vertretung unmittelbar zu unterstellen; bei obersten Dienstbehörden können sie auch dem Ministerialdirektor (Amtschef), in Gemeinden einem berufsmäßigen Gemeinderatsmitglied unterstellt werden". Dagegen scheidet eine Delegation der Unterstellung auf den Hauptamtsleiter einer Gemeinde aus, da dieser nicht als ständiger Vertreter im Sinne des Gesetzes anzusehen ist.
Behördliche Datenschutzbeauftragte sind in dieser Eigenschaft weisungsfrei. Sie können sich in Zweifelsfällen unmittelbar an den Landesbeauftragten für den Datenschutz wenden. Sie dürfen wegen der Erfüllung ihrer Aufgaben nicht benachteiligt werden. Sie sind im erforderlichen Umfang von der Erfüllung sonstiger dienstlicher Aufgaben freizustellen. Die Beschäftigten öffentlicher Stellen können sich in Angelegenheiten des Datenschutzes an ihre behördlichen Datenschutzbeauftragten wenden.
Die Datenschutzbeauftragten sind zur Verschwiegenheit über Personen verpflichtet, die ihnen in ihrer Eigenschaft als behördliche Datenschutzbeauftragte Tatsachen anvertraut haben, sowie über diese Tatsachen selbst, soweit sie nicht davon durch diese Personen befreit werden (Art. 25 Abs. 4 Satz 3 BayDSG). Somit muss die Nennung eines Betroffenen gegenüber dem Behördenleiter verweigert werden, um diesen ggf. schützen zu können. Nur eine Befreiung durch den Betroffenen berechtigt den Datenschutzbeauftragten zu Hinweisen, die Rückschlüsse auf den Betroffenen ermöglichen.
Der behördliche Datenschutzbeauftragte ist auch nach Beendigung seiner Tätigkeit als Datenschutzbeauftragter verpflichtet, über die ihm während seiner Tätigkeit bekannt gewordenen Angelegenheiten Verschwiegenheit zu wahren.
Die unbefugte Weitergabe eines fremden Geheimnisses durch einen Datenschutzbeauftragten, das einem Geheimnisträger anvertraut oder sonst bekannt geworden ist und von dem der betreffende Datenschutzbeauftragte bei der Erfüllung seiner Aufgaben Kenntnis erlangt hat, ist seit dem Sommer 2006 gemäß dem neu eingefügten § 203 Abs. 2a StGB unter Strafe gesetzt. Der genaue Wortlaut dieser Vorschrift lautet: "Die Absätze 1 und 2 (des § 203 StGB) gelten entsprechend, wenn ein Beauftragter für den Datenschutz unbefugt ein fremdes Geheimnis im Sinne dieser Vorschriften offenbart, das einem in den Absätzen 1 und 2 Genannten in dessen beruflicher Eigenschaft anvertraut worden oder sonst bekannt geworden ist und von dem er bei der Erfüllung seiner Aufgaben als Beauftragter für den Datenschutz Kenntnis erlangt hat."
Ein Datenschutzbeauftragter kann zwar gegenüber seiner ihn beschäftigenden Stelle auf die Verantwortung zur Einhaltung des Datenschutzes und der Datensicherheit hinweisen und hinwirken, die Verantwortung für die Gewährleistung des Datenschutzes und der Datensicherheit verbleibt jedoch bei der öffentlichen Stelle. Der Datenschutzbeauftragte verfügt somit über kein Weisungsrecht gegenüber der verantwortlichen Stelle. Damit trägt auch diese Stelle die volle Verantwortung für die Einhaltung des Datenschutzes. Unternimmt sie trotz Kenntnis von einem Missstand nichts, hat sie die rechtlichen Konsequenzen aus ihrem Unterlassen oder gar positiven Tun zu tragen. Nur wenn der Datenschutzbeauftragte seiner Beratungspflicht nicht nachkommt, kann er unter Umständen für einen Schaden haftbar gemacht werden.
Der behördliche Datenschutzbeauftragte kann sich in Zweifelsfällen nach Art. 25 Abs. 3 Satz 3 BayDSG unmittelbar an den Bayerischen Landesbeauftragten für den Datenschutz wenden. Diese Formulierung bedeutet, dass er sich zunächst selbst mit der Auslegung und Umsetzung von Datenschutzvorschriften auseinander setzen muss, bevor er sich an den Bayerischen Landesbeauftragten für den Datenschutz wenden kann. Wendet er sich aufgrund von bestehenden Zweifeln an den Bayerischen Landesbeauftragten für den Datenschutz, so sollte er diese Zweifel substantiiert darlegen und soweit möglich auch rechtlich begründen. Leider muss aber immer noch und immer wieder festgestellt werden, dass dem Bayerischen Landesbeauftragten für den Datenschutz von öffentlichen Stellen und von behördlichen Datenschutzbeauftragten Sachverhalte und Vorhaben zur Stellungnahme vorgelegt werden, ohne dass vorher eine angemessene eigene Bewertung durch den behördlichen Datenschutzbeauftragten erfolgt ist. In Anbetracht von über 10.000 öffentlichen Stellen in Bayern ist es dem Bayerischen Landesbeauftragten für den Datenschutz jedoch nicht möglich, diese Dienstleistung zu erbringen.
Gemäß Art. 25 Abs. 4 BayDSG haben behördliche Datenschutzbeauftragte die Aufgabe, auf die Einhaltung des BayDSG und anderer Vorschriften über den Datenschutz in der öffentlichen Stelle hinzuwirken. Zur Erfüllung dieser Aufgabe können sie die dazu notwendige Einsicht in Dateien und Akten der öffentlichen Stelle nehmen, soweit nicht gesetzliche Regelungen entgegenstehen; sie dürfen Akten mit personenbezogenen Daten, die dem Arztgeheimnis unterliegen, Akten über die Sicherheitsüberprüfung und nicht in Dateien geführte Personalakten nur mit Einwilligung der Betroffenen einsehen.
Umstritten sind die Kontrollrechte des Datenschutzbeauftragten bei der Personalvertretung. Strittig sind weiterhin generelle Zugriffsrechte auf Personal-, Steuer- und Geheimdaten. Unter Beachtung des Verhältnismäßigkeitsprinzips kann dem Datenschutzbeauftragten aber sicherlich nicht das Kontrollrecht im Einzelfall versagt werden.
Zusammenfassend ist dem behördlichen Datenschutzbeauftragten zwar kein genereller Zugriff auf alle Dateien einer Behörde, sehr wohl aber der Zugriff im konkreten Einzelfall grundsätzlich zu ermöglichen.
Diese Unterstützungspflicht bedingt auch, dass dem Datenschutzbeauftragten – soweit erforderlich – das Betretungsrecht zu allen behördlichen Einrichtungen und ein Auskunfts- und Einsichtsichtrecht in datenschutzrelevante Unterlagen eingeräumt wird (siehe vorgehenden Abschnitt). Außerdem ist ihm der Besuch von Fortbildungsveranstaltungen zu ermöglichen.
So haben die behördlichen Datenschutzbeauftragten gemäß Art. 25 Abs. 4 Satz 1 BayDSG die Aufgabe, in ihrer öffentlichen Stelle auf die Einhaltung des BayDSG und anderer Vorschriften über den Datenschutz hinzuwirken. Sie können dazu die erforderliche Einsicht in Dateien und Akten der öffentlichen Stelle nehmen (Art. 25 Abs. 4 Satz 2 BayDSG). Prüfungsmaßstab ist nicht nur das BayDSG, sondern eine Vielzahl von bereichsspezifischen Normen, wie z.B. SGB X (Sozialgeheimnis), AO (Steuergeheimnis), MeldeG (Meldegeheimnis), BayBG (Personalaktengeheimnis), TKG (Fernmeldegeheimnis), TMG, BayArchivG, BayEUG, GewO, BStatG usw.
Der Datenschutzbeauftragte ist für die gesamte Dienststelle Ansprechpartner und Auskunftsperson für datenschutzrechtliche Fragen und trägt dazu bei, datenschutzrechtliches Fehlverhalten der Dienststelle, Haftungsansprüche und ggf. strafrechtlich relevantes (vgl. § 203 Abs. 2 StGB) bzw. ordnungswidriges Verhalten der Beschäftigten zu vermeiden.
Automatisierte Verfahren zur Verarbeitung personenbezogener Daten dürfen nur eingesetzt werden, wenn sie zuvor von dem behördlichen Datenschutzbeauftragten freigegeben worden sind (Art. 26 BayDSG). Das soll sicherstellen und dokumentieren, dass in öffentlichen Stellen nicht nur funktionale Aspekte bei automatisierten Verfahren Berücksichtigung gefunden haben, sondern auch datenschutzrechtliche Rahmenbedingungen und Aspekte angemessen geprüft und realisiert wurden und ausschließlich solche automatisierte Verfahren eingesetzt werden, die den Vorschriften des Datenschutzes entsprechen. Die Freigaben sind wegen der notwendigen Abstimmungen (Fachbereiche, EDV-Referat, Personalrat) mit erheblichem Aufwand verbunden. Hinzu kommt die Kontrolle vor Ort, ob die datenschutzrechtliche Freigabe auch eingehalten wird.
Hat der behördliche Datenschutzbeauftragte Bedenken, dass das Verfahren den Datenschutzvorschriften nicht genügt, und wird diesen nicht Rechnung getragen, so legt er die Entscheidung über die Freigabe der Person vor, der er nach Art. 25 Abs. 3 Satz 1 BayDSG unterstellt ist. Diese entscheidet dann, ob sie die Freigabe selbst erteilt oder verweigert. Ist die Verarbeitung besonders sensibler Daten nach Art. 15 Abs. 7 BayDSG beabsichtigt, so hat der behördliche Datenschutzbeauftragte bei Bedenken vor einer Vorlage an die Person, der er nach Art. 25 Abs. 3 Satz 1 BayDSG unterstellt ist, zunächst die Stellungnahme des Bayerischen Landesbeauftragten für den Datenschutz einzuholen (Art. 26 Abs. 3 Satz 3 BayDSG).
Neben diesen gesetzlich besonders erwähnten Aufgaben sind von den behördlichen Datenschutzbeauftragten weitere Aufgaben auf dem Gebiet des Datenschutzes zu erledigen, z.B. die Beantwortung von Auskunftsersuchen nach Art. 10 BayDSG und von Eingaben von Bürgerinnen und Bürgern, die Beschwerden gegen die Datenverarbeitung der Behörde erheben (diese können sich auch direkt an die Behörde wenden).
Zusammenfassend ergeben sich für einen behördlichen Datenschutzbeauftragten insbesondere folgende Aufgaben:
Als weitere Aufgaben eines Datenschutzbeauftragten kommen infrage:
Datenschutzbeauftragte dürfen wegen der Erfüllung ihrer Aufgaben, wie bereits erwähnt, nicht benachteiligt werden; daher ist eine Abberufung nur aus wichtigem Grund zulässig.
Der Bayerische Landesbeauftragte für den Datenschutz hat bezüglich der Voraussetzungen für die Abberufung eines Datenschutzbeauftragten folgende fachliche Stellungnahme des Bayerischen Staatsministeriums des Innern eingeholt, der sich der Bayerische Landesbeauftragte für den Datenschutz inhaltlich anschließt:
Die Abberufung eines Datenschutzbeauftragten sei eine Umsetzung oder Teilumsetzung, je nachdem ob es sich um einen vollständigen oder nur teilweisen Aufgabenwechsel handle. Art. 25 Abs. 3 Satz 4 BayDSG untersage eine Benachteiligung des Datenschutzbeauftragten wegen der Erfüllung seiner Aufgaben. Aufgabe des Beauftragten sei vor allem, auf die Einhaltung der datenschutzrechtlichen Regelungen hinzuwirken. In der Eigenschaft als Datenschutzbeauftragter bestehe zudem Weisungsfreiheit (Art. 25 Abs. 3 Satz 2 BayDSG). Der für eine (Teil-)Umsetzung erforderliche sachliche Grund könne daher nicht in der ordnungsgemäßen, wenn auch vielleicht aus Sicht eines Behördenleiters zu kritischen Aufgabenerfüllung liegen. Eine offensichtlich nicht ordnungsgemäße Aufgabenerfüllung hingegen könne einen sachlichen Grund darstellen.
Bei der (Teil-)Umsetzung handele es sich nicht um einen Verwaltungsakt. Die Begründungspflicht des Art. 39 BayVwVfG finde daher keine Anwendung. Aufgrund des Benachteiligungsverbots sei es jedoch erforderlich, den sachlichen Grund, der der Abberufung als behördlicher Datenschutzbeauftragter zugrunde liege, anzugeben. Es müsse nämlich gewährleistet sein, dass auch vom Betroffenen selbst nachgeprüft werden könne, ob die Abberufung als behördlicher Datenschutzbeauftragter mit dem gesetzlich verankerten Benachteiligungsverbot vereinbar sei oder nicht.
Zuständig für die Abberufung sei derjenige, der auch die Bestellungskompetenz innehabe. Bei Staatsbehörden sei dies der jeweilige Behördenleiter. In Kommunen sei für die Bestellung das kommunale Vertretungsorgan zuständig (Gemeinderat, Kreistag, Bezirkstag) oder ein beschließender Ausschuss, dem diese Aufgabe übertragen worden sei. Die Bestellungskompetenz könne durch die Geschäftsordnung auch auf den ersten Bürgermeister, den Landrat oder den Bezirkstagspräsidenten übertragen werden.
Ein Mitbestimmungsrecht der Personalvertretung bei (Teil-)Umsetzungen bestehe nur dann, wenn sie für die Dauer von mehr als sechs Monaten zur Übertragung von Aufgaben führe, die einem Amt mit höheren oder niedrigerem Endgrundgehalt zugeordnet (Art. 75 Abs. 1 Satz 1 Nr. 3 BayPVG) oder mit einem Dienstortwechsel verbunden sind (Art. 75 Abs. 1 Satz 1 Nr. 6 BayPVG). Die Stellung als Datenschutzbeauftragter habe keine besoldungsrechtlichen Auswirkungen. Die Abberufung führe demnach für sich genommen nicht zu einem Mitbestimmungsrecht der Personalvertretung, soweit sie nicht mit anderen in Art. 75 BayPVG genannten Maßnahmen zusammenträfe.
Wesentlich an diesen Aussagen ist, dass danach eine Abberufung ohne Begründung unzulässig ist (so auch Kommentar zum BayDSG, Wilde/Ehmann/Niese/Knoblauch, Art. 25 Rdn. 25 a ff.).
Anhang: Musterformular zur Bestellung einer/eines behördlichen Datenschutzbeauftragten
(Name und Anschrift der Behörde)
Ich/ Wir bestelle(n)
(Name und Amtsbezeichnung der/des zukünftigen Datenschutzbeauftragten)
mit Wirkung vom _____________ gemäß Art. 25 Abs. 2 Satz 1 des Bayerischen Datenschutzgesetzes (BayDSG) zur/zum behördlichen Datenschutzbeauftragten.
In dieser Funktion ist Frau/Herr ______________________________ unmittelbar der Behördenleitung unterstellt und bei Anwendung ihrer/seiner Fachkunde auf dem Gebiet des Datenschutzes weisungsfrei. Sie/Er darf bei der Erfüllung dieser Aufgabe nicht benachteiligt werden.
Zu ihrer/seinen Aufgaben gehört es, auf die Einhaltung des Bayerischen Datenschutzgesetzes und anderer Datenschutzvorschriften hinzuwirken und die Behördenleitung in allen daten-schutzrechtlichen Fragen zu beraten. Weitere Aufgaben sowie Rechte und Pflichten ergeben sich insbesondere aus Art. 25 Abs. 4 BayDSG.
Für die Behördenleitung:
Ich bin mit der Bestellung zur/zum behördlichen Datenschutzbeauftragten einverstanden.

References: Art. 25
 Art. 25
 Art. 25
 Art. 3
 Art. 3
 Art. 2
 Art. 2
 Art. 25
 Art. 25
 § 203
 § 203
 Art. 25
 Art. 25
 Art. 25
 § 203
 Art. 25
 Art. 15
 Art. 25
 Art. 10
 Art. 25
 Art. 39
 Art. 75
 Art. 25
 Art. 25
 Art. 25