News der AKDB

Der Datenschutzbeauftragte und Weihnachten

Weihnachten steht vor der Tür. Kinder schreiben wieder Wunschzettel an das Christkind. Im letzten Jahr lösten Christbäume mit Wunschzetteln von Kindern an die Kommunen, die auf den Weihnachtsmärkten vieler Städte und Gemeinden aufgestellt waren, tatsächlich heftige datenschutzrechtliche Diskussionen aus.

Muss die schriftliche Einwilligung eines Erziehungsberechtigten vorliegen, wenn ein Kind einen Wunschzettel an den Baum hängt? Dürfen die Daten der Kinder an diejenigen, die die Wünsche erfüllen können, weitergeleitet werden? Welche Informationspflichten sind zu beachten? Diese und ähnliche Fragen zu beantworten ist Aufgabe des Datenschutzbeauftragten. Jede Kommune ist verpflichtet, einen Datenschutzbeauftragten zu benennen. Es können sich auch mehrere Kommunen zusammentun und unter Berücksichtigung ihrer Organisationsstruktur und ihrer Größe einen gemeinsamen behördlichen Datenschutzbeauftragten benennen. Sie müssen eine dafür geeignete fachkundige Person auswählen, die Kosten aufteilen und die organisatorische Zuständigkeit festlegen.

Fehlen notwendige fachliche und zeitliche Ressourcen, so kann auch ein externer Datenschutzbeauftragter benannt werden, der auf Grundlage eines Dienstleistungsvertrags arbeitet. Auch hier besteht die Möglichkeit eines Zusammenschlusses mehrerer Kommunen, um gemeinsam einen externen Datenschutzbeauftragten zu benennen. Dieser sollte die Arbeitsabläufe einer öffentlichen Verwaltung kennen und genug Zeit mitbringen – vor allem kleinere Gemeinden haben einen hohen Unterstützungs- und Beratungsbedarf.

Umsetzung der DSGVO

Viele, vor allem kleinere Gemeinden, glauben, dass sie mit der Benennung eines Datenschutzbeauftragten die Vorgaben der Datenschutz-Grundverordnung (DSGVO) hinreichend umgesetzt haben. Das zumindest ergab eine Umfrage des Landesbeauftragten für Datenschutz und Informationsfreiheit in Baden-Württemberg. Die Vorgaben der DSGVO zu erfüllen bedeutet aber mehr. Es muss beispielsweise ein Verzeichnis von Verarbeitungstätigkeiten erstellt sein, Informationspflichten sind zu erfüllen und es ist zu prüfen, ob eine Datenschutzfolgenabschätzung notwendig ist. Häufig müssen auch die Sicherheitsmaßnahmen, mit denen die Daten technisch geschützt sind, neu konzipiert oder nachgebessert werden.

Verantwortung im Datenschutz

Der Datenschutzbeauftragte kann die DSGVO-Vorgaben nicht alleine umsetzen. Dies geht über seinen Aufgabenbereich hinaus, der vor allem in der Beratung bei datenschutzrechtlichen Fragen, in der Überwachung des Datenschutzes und in der Schulung und Sensibilisierung der Mitarbeiter besteht. Die Verantwortung für die Erstellung und Umsetzung von Datenschutzrichtlinien und -vorgaben aber trägt der Behördenleiter. Er muss auch den Nachweis erbringen, dass die Datenverarbeitung DSGVO-konform erfolgt. Der Behördenleiter unterstützt den Datenschutzbeauftragten bei seiner Arbeit, er sorgt dafür, dass ihm genügend zeitliche und personelle Ressourcen zur Verfügung stehen und er die notwendigen Fortbildungen bekommt, damit er Datenschutzanfragen – auch zu Weihnachten – richtig beantworten kann.

Wie geht es mit den Wunschzetteln am Christbaum nun weiter?

Zum Problem mit den Wunschzetteln teilte die deutsche Vertretung der Europäischen Union mit:

"Die Europäische Datenschutzgrundverordnung verbietet in keiner Weise Wunschzettel-Aktionen zu Weihnachten. Berichte, die auf das Gegenteil schließen lassen, sind falsch. Um Geschenke an die Kinder zu liefern, dürfen die Kontaktdaten der Familie aufgenommen werden – vorausgesetzt, die Eltern stimmen zu. Das sind die Regeln, die schon seit 20 Jahren gelten. Die Datenschutz-Grundverordnung hat daran nichts geändert."

Wenn sich also die kleine Theresa vom Christkind wünscht, einmal die Amtskette des Bürgermeisters tragen zu dürfen, so wird zumindest der Datenschutz der Erfüllung dieses Wunsches nicht im Wege stehen.