Source: https://www.mission-datenschutz.de/eu-datenschutz-grundverordnung/verwaltungsdatenschutzrecht-datenschutzorganisation-in-einer-behoerde
Timestamp: 2019-11-20 18:10:13
Document Index: 72010961

Matched Legal Cases: ['Art. 39', 'Art. 38', 'Art. 39', 'Art. 32', 'Art. 5', 'Art. 32', 'Art. 32', 'Art. 5', 'Art. 5', 'Art. 5', 'Art. 5', 'Art. 30', 'Art. 82']

In Kategorie(n): E-Government, EU Datenschutz-Grundverordnung - 02. September 2019 von Rechtsanwalt Thomas Feil
Der Datenschutzbeauftragte berichtet der höchsten Managementebene des Verantwortlichen, wie es in Art. 39 Abs. 3 DSGVO heißt. Hier muss nicht immer die Behördenleitung direkt informiert werden, sondern es genügt der Bericht an die „höchste Managementebene“. Dies lässt einen gewissen organisatorischen Gestaltungsspielraum für die Kommunikationswege.
Der Datenschutzbeauftragte ist im hinreichenden Maße mit Ressourcen auszustatten. Dazu gehört Material, ggf. auch zeitliche Ressourcen, personelle Unterstützung sowie ausreichende Fortbildungen. Daneben muss ihm Zugang zu den vorhandenen personenbezogenen Daten und Verarbeitungsvorgängen gegeben werden. Die DSGVO erwartet, dass der behördliche Datenschutzbeauftragte frühzeitig in datenschutzrelevante Angelegenheiten einbezogen ist.
Auch im Verwaltungsdatenschutzrecht ist festzuhalten, dass der Datenschutzbeauftragte in der Erfüllung seiner Aufgaben weisungsfrei ist, wie dies Art. 38 Abs. 3 Satz 1 DSGVO festgelegt ist. Die DSGVO gibt die Möglichkeit, sowohl einen internen Datenschutzbeauftragten zu bestellen oder auch einen externen behördlichen Datenschutzbeauftragten zu benennen. Die Entscheidung, ob ein interner oder externer Datenschutzbeauftragter bestellt wird, hat sowohl eine kaufmännische Dimension als auch einen organisatorischen Aspekt. Der Vorteil eines externen Datenschutzbeauftragten ist häufig die Kenntnis unterschiedlicher Sachverhaltskonstellationen aus verschiedenen Mandat- und Kundenbetreuungen. Dies erleichtert die konkrete Abwicklung und auch die Beratung, da auf ein größeres Fachwissen aus der Praxis zurückgegriffen werden kann. Teilweise haben Behörden auch die Schwierigkeit, ausreichend qualifizierte Datenschutzbeauftragte zu finden, um die Herausforderungen im gesetzlich gewollten Umfang umzusetzen.
Besonders zu erwähnen ist die Aufgabenbeschreibung für den behördlichen Datenschutzbeauftragten gemäß Art. 39 DSGVO. Auch im Verwaltungsdatenschutzrecht wird erwartet, dass der behördliche Datenschutzbeauftragte die Einhaltung der DSGVO und anderer Datenschutzvorschriften der Union und der Mitgliedsstaaten überwacht. Überwachung bedeutet ein aktives Bewerten und Begleiten der Geschäftsprozesse, in denen personenbezogene Daten verarbeitet werden. Dies ist im Vergleich zu der vorherigen Rechtslage eine neue Rolle für behördliche Datenschutzbeauftragte und stellt diese vor erhebliche Herausforderungen. Insbesondere müssen behördliche Datenschutzbeauftragte zur Vermeidung einer eigenen Haftung deutlich thematisieren, wenn sie nicht über ausreichende zeitliche oder organisatorische Ressourcen verfügen, um die gesetzlichen Aufgaben vollumfänglich zu erfüllen. Beispielsweise sind auch nach einer ersten Datenschutzdokumentation der verschiedenen Geschäftsprozesse jährliche Überprüfungen vorzunehmen, um datenschutzrechtlich zu bewerten, inwieweit die jeweils aktuelle Datenverarbeitung noch den gesetzlichen Anforderungen genügt.
In Art. 32 DSGVO sind verschiedene Sicherheitspflichten auch für Behörden festgelegt, die von diesen vollumfänglich zu erfüllen sind. In den in Art. 5 festgelegten Grundsätzen spricht der Gesetzgeber von einer Sicherstellung der Integrität und der Vertraulichkeit der personenbezogenen Daten. In Art. 32 wird dann darauf verwiesen, dass geeignete technische und organisatorische Maßnahmen zu veranlassen sind, um ein risikoangemessenes Schutzniveau für die personenbezogenen Daten zu erlangen. Im weiteren Verlauf der gesetzlichen Regelung in Art. 32 wird dann aufgelistet, welche „Grunderwartungen“ die DSGVO an die Sicherheit der Verarbeitung hat. Beispielsweise wird darauf verwiesen, dass personenbezogene Daten zu verschlüsseln sind. Die bedeutet in der Praxis, das sowohl USB-Sticks, Notebooks oder auch Handys verschlüsselt sein müssen, um diese Forderungen umzusetzen. Weiterhin wird erwartet, dass die Sicherheitsmaßnahmen zum Schutz der personenbezogenen Daten regelmäßig überprüft, bewertet und evaluiert werden. All diese Maßnahmen sollten ausreichend dokumentiert werden, da gemäß Art. 5 Abs. 2 die jeweils verantwortliche Stelle, sprich Behörde oder öffentliche Stelle eine Rechenschaftspflicht hat und nachweisen muss, dass die gesetzlichen Anforderungen der DSGVO eingehalten werden.
Bei der Verarbeitung personenbezogener Daten sind bestimmte Verarbeitungspflichten von Amts wegen durch eine Behörde oder eine öffentliche Stelle vorzunehmen. Auch hier erfolgt keine gesonderte Aufforderung durch die Aufsichtsbehörde, sondern im Falle eines Audits durch die Aufsichtsbehörde muss entsprechend der Rechenschaftspflicht gemäß Art. 5 Abs. 2 DSGVO die Behörde nachweisen, dass die gesetzlichen Anforderungen eingehalten worden sind.
Gemäß Art. 5 Abs. 1 verweist der EU-Gesetzgeber darauf, dass zum einen eine Datenminimierung erfolgen muss und zum anderen eine Speicherbegrenzung einzurichten ist. Die Datenverarbeitung soll auf das notwendige Maß beschränkt werden. Die Speicherbegrenzung thematisiert deutlich, dass eine Löschung möglich sein muss. Insbesondere ältere Fachanwendungen haben hier ggf. Lücken. Es gibt aber keine Ausnahmeregelung von den Löschpflichten mit Verweis darauf, dass in einer Behörde ältere Software eingesetzt werden kann, bei der eine Löschung nicht möglich ist. Datenbanken und Datenverarbeitungen, in denen keine Löschung erfolgen kann, sind nach dem seit dem 25.05.2018 geltenden Regelungen der DSGVO eine illegale und rechtswidrige Datenverarbeitung. Geschäftsprozesse, bei denen eine Löschung von Daten nicht möglich ist, sollten daher dringend den aktuellen gesetzlichen Anforderungen angepasst werden.
Sind über Bürgerinnen und Bürger oder auch über Mitarbeiterinnen und Mitarbeiter Daten falsch und unrichtig gespeichert, so besteht eine Pflicht zur Berichtigung der entsprechenden Daten. Der Gesetzgeber sieht diese Pflicht so wichtig an, dass er sie als eigenen Grundsatz in Art. 5 Abs. 1 DSGVO mit der Bezeichnung „Richtigkeit“ aufgeführt hat. Erwartet wird, dass die bei einer Behörde oder einer öffentlichen Stelle gespeicherten Daten die Wirklichkeit richtig abbilden.
Bezogen auf die eigene Datenverarbeitung hat eine Behörde oder eine öffentliche Stelle verschiedene Dokumentationspflichten. Zum einen ist gemäß Art. 30 Abs. 1 DSGVO ein sogenanntes Verzeichnis der Verarbeitungstätigkeiten zu erstellen. In einem solchen Verzeichnis der Verarbeitungstätigkeiten sind alle Geschäftsprozesse datenschutzrechtlich zu beschreiben und zu bewerten, in denen personenbezogene Daten verarbeitet werden. Das Gesetz listet verschiedene Anforderungen auf. Mittlerweile haben die Datenschutzaufsichtsbehörden Musterdokumentationen für Verzeichnisse der Verarbeitungstätigkeiten veröffentlicht. Auf diese kann auch eine Behörde oder öffentliche Stelle zurückgreifen und insoweit die notwendige Datenschutzdokumentation erstellen.
Am Schluss dieses Beitrags soll daher eine kleine „Warnung“ ausgesprochen werden. Die Aufsichtsbehörden haben nicht nur die Möglichkeit, Bußgelder zu verhängen, sondern können auch beispielsweise illegale und rechtswidrige Datenverarbeitungen untersagen. Dies ist vielfach ein viel einschneidenderes Ereignis, als ein einmaliges Bußgeld. Daneben ist zu erwarten, dass langfristig Betroffene, sprich Bürgerinnen und Bürger von der Möglichkeit Gebrauch machen, gemäß Art. 82 Abs. 1 DSGVO einen Schmerzensgeldanspruch geltend zu machen. Vor Kurzem hat in Österreich ein Gericht gegenüber der Post ein Schmerzensgeld in Höhe von 800 Euro ausgeurteilt. Die Post hatte rechtswidrig die Parteiaffinität eines Betroffenen gespeichert. Im Zuge der anschließenden gerichtlichen Geltendmachung eines Schmerzensgeldanspruches wurde dann die Post zur Zahlung verurteilt.
Sollten die deutschen Gerichte ähnlich urteilen und Schmerzensgeldansprüche in nicht unerheblicher Höhe bei Datenschutzverstößen aussprechen (wie der Europäische Gerichtshof in anderen Fällen durchaus entscheidet), ist damit zu rechnen, dass Bürgerinnen und Bürger sehr viel aufmerksamer mit Datenschutzverstößen von Behörden und öffentlichen Stellen umgehen und insbesondere bei Konfrontationen und Eskalationen nicht zögern werden, hier finanzielle Forderungen geltend zu machen. Diese sind im Einzelfall möglicherweise nicht so hoch, können aber in der Menge den Haushalt einer öffentlichen Stelle oder einer Behörde erheblich belasten.