Herr Kuhrau, wie sind Kommunen heute in puncto DSGVO aufgestellt? War alles halb so wild?
Wenn sich eine Kommune dem Thema sachlich rational und dazu mit ausreichenden Ressourcen genähert hat, dann ist die DSGVO wirklich "halb so wild". Wer zu viele "Altlasten" vor sich hergeschoben hat, sich von der Lawine hat überrollen oder von der Panik anstecken lassen, für den wird die Umsetzung der DSGVO sicher noch einige Hürden bereithalten. Zu den meisten Themen der DSGVO gibt es mittlerweile gute Vorlagen und Handlungsanweisungen. Durch die Harmonisierung des Datenschutzrechts sind die Kommunen hier nun auch nicht mehr so sehr auf "regionale" Anpassungen angewiesen. Zu weit über 90 Prozent gelten die Spielregeln der DSGVO und somit können die vorhandenen Materialien ohne weitere Änderung übernommen werden. Generell bleibt festzustellen: die DSGVO wirkt. Die Sensibilität in den Kommunen für das Thema Datenschutz hat zugenommen. Auch wenn deswegen keine Begeisterung für das Thema aufkommt, es wird ernst genommen und großflächig umgesetzt. Ein Erfolg der DSGVO, für die Betroffenen und am Ende des Tages auch für die Kommunen.
Ist die DSGVO Ihrer Meinung nach richtig vermittelt worden?
Naja, was die Sache nicht einfacher machte, waren die teilweise noch sehr unklaren Umsetzungsempfehlungen seitens der Aufsichtsbehörden. Die DSGVO selbst gibt in vielen Fällen lediglich einen auszufüllenden Rahmen vor. Eine reine Wiederholung der DSGVO-Formulierungen versetzt für gewöhnlich niemanden in die Lage, pragmatische Umsetzungsmöglichkeiten zu entwickeln und einzuführen. Und auch die Praxisvorschläge sind nicht immer sehr realitätsnah ausgestaltet. Denken Sie nur an die Empfehlung, die Informationspflichten nach Art. 13 DSGVO am Telefon durch eine Bandansage erledigen zu lassen. Welcher Bürger wird nach fünf Minuten Bandansage noch in der Leitung sein? Solche Empfehlungen tragen nicht unbedingt zu einer Akzeptanz des Themas bei den Mitarbeitern vor Ort bei.
Gab es Nachfragen vonseiten der Bürger?
Ja, die Zahl der Beschwerde-Eingaben seitens Betroffener hat sich erhöht. Dabei wird, wie früher auch, ein Anteil an "missbräuchlichen" Anfragen dabei sein. Also Anfragen im Rahmen der Betroffenenrechte, die mit dem Thema Datenschutz nichts zu tun haben, aber dieses als Vehikel für den Frust zum Beispiel über einen unerwünschten Bescheid oder einen in der Servicequalität nicht so überzeugenden Behördengang mißbraucht wird. Andererseits sind die Bürger heute informierter als noch vor ein paar Monaten und wissen ihre neuen Rechte im Rahmen der DSGVO zu nutzen.
Wie werden Bürger in verschiedenen Kontaktsituationen über die Datenverarbeitung informiert?
Dieser Punkt sorgt in der Tat noch für sehr viel Verunsicherung. Hier sind gelegentlich die abenteuerlichsten Interpretationen und Umsetzungen vor Ort zu finden. Bürgerbüros, die neuerdings am Ausgang eine zusätzliche Papiertonne aufstellen, damit die Bürger die am Schalter ausgehändigten Faltblätter mit den Angaben zu den Informationspflichten beim Hinausgehen direkt entsorgen können. Doch in den meisten Fällen wurde das Thema mit Augenmaß bearbeitet. Am Telefon wird der Bürger gefragt, ob die Detailinformationen verlesen werden sollen oder ob sich dieser die Pflichtangaben in dem eigens dafür eingerichteten Unterpunkt auf der kommunalen Webseite selbst durchlesen möchte. Steht kein Online-Zugang zur Verfügung, werden die Angaben postalisch nachgereicht. Die meisten Anbieter von Papierformularen haben bereits reagiert und die notwendigen Angaben auf die Rückseiten aufgedruckt. Online-Formulare sind durch entsprechende Beiblätter ergänzt. Im Bürgerbüro oder auf der Zulassungsstelle werden die Pflichtangaben ausgehängt und Bürger im Rahmen der Datenerhebung auf die Aushänge verwiesen. Auch hier wird meist zusätzlich die Webseite als weitere Informationsmöglichkeit genannt. Bei Postversand bzw. analoger Kommunikation werden die Angaben aus den Informationspflichten in gedruckter Form beigelegt und zusätzlich ebenfalls auf die Webseite verwiesen. Durch interne Arbeitsanweisungen, teilweise sogar kompletten Prozessbeschreibungen in Verbindung mit Schulungen haben die Kommunen sichergestellt, dass alle Mitarbeiter für das Thema sensibilisiert sind und die Informationen den Betroffenen auch wirklich erreichen. Alles in allem hat der Bürger wenig Gelegenheit, den Angaben aus den Informationspflichten "zu entkommen", um es überspitzt zu formulieren.
Wie sollten Kommunen mit Auskunftsansprüchen verfahren?
Auf jeden Fall sollten sie diese von vornherein ernst nehmen. Das Recht aus Auskunft ist nichts Neues, wir kannten dieses Recht bereits aus den alten Datenschutzgesetzen. Doch die Bürger sind sensibler geworden und nutzen das Recht auf Auskunft jetzt häufiger, als es bisher der Fall war. Jede Organisation sollte klare Abläufe festgelegt haben, wie mit Auskunftsanfragen umgegangen wird. Das beginnt bei der Kenntnisnahme über die zeitnahe Weiterleitung an den Datenschutzbeauftragten, geht über die Legitimationsprüfung weiter bis hin zur erteilenden Auskunft. Formalisierte Prozesse helfen, dieses und auch die anderen Betroffenenrechte im Sinne der DSGVO zeitnah und fehlerfrei zu bearbeiten. Nicht vergessen sollte man dabei jedoch die Mitarbeiter-Sensibilisierung für das Thema. Denn Datenschutz wird nicht vom Datenschutzbeauftragten gemacht, sondern ist Aufgabe der gesamten Organisation. Auch das musste die eine oder andere kommunale Einrichtung erst lernen.
