Sachverhalt

Von Verwaltungen wird gelegentlich die Frage aufgeworfen, ob in einem Gebühren- oder Beitragsbescheid die Kontoverbindungsdaten der Abgabenschuldnerin bzw. des Abgabenschuldners aufgeführt werden dürfen.

Schließlich soll die Angabe dazu dienen, dass die betroffenen Personen erkennen, von welchem Konto die Forderung eingezogen wird und dass die Daten richtig und vollständig sind (Art. 5 Abs. 1 lit. d Datenschutz-Grundverordnung, DS-GVO).

Datenschutzrechtliche Bewertung

In dem Versand des Bescheides mit Angabe der vollständigen Bankverbindung ist keine datenschutzrelevante Übermittlung zu sehen, da die Daten nicht einem Dritten (Art. 4 Nr. 10 DS-GVO) offen gelegt werden, sondern nur gegenüber der betroffenen Person bekanntgegeben werden.

Eine nach der DS-GVO unzulässige Verarbeitung wäre nur dann gegeben, wenn eine Übermittlung an Dritte erfolgen und die Daten dadurch offenbart würden. Dies könnte z.B. bei einer fehlerhaften Adressierung der Fall sein und wäre als so genannte Datenpanne gem. Art. 33 DS-GVO gegenüber dem LfDI meldepflichtig.

Dies ist hier aber gerade nicht der Fall, denn die fraglichen Daten werden nur zwischen der Abgabenschuldnerin bzw. dem Abgabenschuldner und der Verwaltung ausgetauscht.

Folglich ist es aus datenschutzrechtlicher Sicht nicht zu beanstanden, wenn die Verwaltung in Bescheiden die kompletten Bankkontodaten mit Bankname, Kontonummer und Bankleitzahl bzw. IBAN anführt und diese nicht kürzt. 

Unabhängig davon wäre es natürlich auch denkbar, die Bankverbindung nur teilweise anzugeben, indem die ersten Ziffern im Klartext abgedruckt und die weiteren Stellen mit einem „X“ versehen werden.

Abweichend von den o.g. Ausführungen sollte aber beachtet werden, dass bei einem eventuellen Versand von Rechnungen per E-Mail die Bankverbindung stets verkürzt dargestellt werden sollte. Anders als per verschlossenem Brief sind E-Mails i.d.R. nicht besonders geschützt und sind, was den Schutz des Inhalts vor der Kenntnisnahme und Veränderung durch unbefugte Dritte angeht, mit einer mit Bleistift geschriebenen Postkarte zu vergleichen – sie kann abgefangen, mitgelesen und inhaltlich verändert werden.

Sachverhalt

Im Wege der Transparenz sind bereits viele Kommunen dazu übergegangen, ihre Haushaltspläne vollständig auf ihrer Homepage online zu stellen. Dies ist bürgerfreundlich im Sinne der Informationsfreiheit und ermöglicht eine unkomplizierte Einsichtnahme.

Doch was ist mit personenbezogenen Daten?

Datenschutzrechtliche Bewertung

Rechtliche Grundlagen zur Aufstellung des Haushaltsplanes

Die Grundsätze der Verarbeitung von personenbezogenen Daten ergeben sich unmittelbar aus der DS-GVO. Es muss zunächst eine Ermächtigungsgrundlage aus Art. 6 Abs. 1 DS-GVO vorliegen – nur dann dürfen die Daten auch online präsentiert werden.

Eine solche ist allerdings gegenwärtig nicht gegeben. Insbesondere liegt keine gesetzliche Legitimation vor. Die Regelungen zum Erlass der Haushaltssatzung und zu deren Veröffentlichung ergeben sich ausschließlich aus § 97 Gemeindeordnung (GemO).

Danach ist der Entwurf der Haushaltssatzung nach Zuleitung an den Gemeinderat bis zur Beschlussfassung zur Einsichtnahme durch die Einwohner verfügbar zu halten (Absatz 1). In welcher Form dies geschieht, ist nicht festgeschrieben. Es bleibt also der Gemeinde überlassen, ob sie den Entwurf in herkömmlicher Weise als Druckwerk auslegt, im Internet verfügbar macht oder in sonstiger Weise ihren Einwohnerinnen und Einwohnern zur Einsichtnahme zur Verfügung stellt.

Weiter heißt es: „Nach der öffentlichen Bekanntmachung der Haushaltssatzung ist der Haushaltsplan an sieben Werktagen bei der Gemeindeverwaltung während der allgemeinen Öffnungszeiten öffentlich auszulegen; in der öffentlichen Bekanntmachung ist auf Ort und Zeit der Auslegung hinzuweisen.“ (Abs. 3).

Eine Online-Veröffentlichung ist somit vom Gesetzgeber nicht zwingend vorgesehen, weshalb die allgemeinen Grundsätze der Datenminimierung gem. Art. 5 Abs. 1 lit. c) DS-GVO zu beachten sind, wonach die Verarbeitung von Daten auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen.

Denn durch eine Veröffentlichung im Internet wird ein deutlich höherer Verbreitungsgrad der Informationen erreicht und werden möglicherweise personenbezogene Daten dauerhaft und weltweit verfügbar gemacht. Damit wird das informationelle Selbstbestimmungsrecht nicht unerheblich betroffen. Weiterhin wird durch eine Internetveröffentlichung mit Hilfe von Suchmaschinen auch eine elektronische Auffindbarkeit ermöglicht, die es erlaubt, sämtliche zu den betroffenen Personen vorhandenen Angaben zu sammeln und - losgelöst vom ursprünglichen Informationszweck – zur Erstellung eines Persönlichkeitsprofils zu nutzen.

Problem Stellenplan

Personenbezogene Datenschutzproblematiken ergeben sich insbesondere aus dem Stellenplan, der gem. § 96 Abs. 4 Nr. 4 GemO Bestandteil des Haushaltsplans ist.

Darin können gerade bei sehr kleinteilig aufgegliederten Stellenplänen auch zumindest personenbeziehbare Angaben zu Teilzeit, Altersteilzeit, Entgeltgruppe, Dienstunfähigkeit, Elternzeit, Besuch des Angestelltenlehrganges o.ä. enthalten sein.

• Achtung! Ähnliche Problematiken können sich aber auch an anderer Stelle des Haushaltsplans ergeben. Gibt es z.B. in einer kleinen Ortsgemeinde nur eine Dienstwohnung, die z.B. - wie Jedermann bekannt – vom Hausmeister der Gemeindehalle bewohnt wird, dann sollten die Mieteinnahmen im Haushaltsplan nur ganz allgemein als „Mieteinnahmen“ ohne nähere Bezeichnung der Immobilie und nicht als „Miete Hausmeisterwohnung Gemeindehalle“ genannt werden. Andernfalls wäre direkt für Alle ersichtlich, welche Miete vom Betroffenen zu zahlen ist.

Empfehlung des LfDI

Im Hinblick auf die zuvor getätigten Ausführungen zum Verbreitungsgrad von Informationen im Internet und dem Grundsatz der Datensparsamkeit sollten Vorkehrungen zum Schutz solcher Informationen getroffen und ggf. der Stellenplan von einer Veröffentlichung im Internet ausgenommen werden oder (z.B. durch Schwärzen) zumindest so verändert werden, dass eine Personenbeziehbarkeit ausgeschlossen ist.

Auch andere Problematiken hinsichtlich personenbezogener Daten, die sich aus dem Haushalt ergeben können, sollten bereits bei der Aufstellung des Haushalts beachtet werden. Es gilt der Grundsatz, dass nur das offenbart werden sollte, was notwendig ist.

Sachverhalt

Eine Verbandsgemeinde möchte ein privates Inkassounternehmen als Verwaltungshelfer beauftragen, im Wege des Forderungsmanagements und der Inkassozession für sie tätig zu werden.

Es wurde darauf hingewiesen, dass keine hoheitlichen Vollstreckungsaufgaben erfasst werden, sondern die Verbandsgemeinde bei der Beitreibung ihrer Forderungen durch das als Verwaltungshelfer eingesetzte Inkassounternehmen unterstützt werden soll. Als Dienstleistung wurden die Nutzung von Vollstreckungsauskünften, die Überwachung niedergeschlagener Forderungen sowie das Inkasso für privatrechtliche und öffentlich-rechtliche Forderungen angeboten.

Datenschutzrechtliche Bewertung

Bei der Nutzung von Vollstreckungsauskünften handelt es sich um eine weisungsgebundene Tätigkeit des Inkassounternehmens, das die in der firmeneigenen Vollstreckungsauskunft enthaltenen Informationen der Verbandsgemeinde bereitstellen soll. Somit ist das Inkassounternehmen als Verwaltungshelfer tätig und dies ist datenschutzrechtlich zulässig.

Dagegen ist die Überwachung niedergeschlagener Forderungen sowie Inkasso für privatrechtliche und öffentlich-rechtliche Forderungen der Verbandsgemeinde unzulässig, weil anzunehmen ist, dass dem Inkassounternehmen zur Durchführung seiner Aufgaben ein Ermessens- und Gestaltungsspielraum zusteht. Das Inkassounternehmen würde diese Leistungen nicht mehr als Verwaltungshelfer, sondern nur noch im Falle einer Aufgabenübertragung ausüben können und dies ist unzulässig.

Das Inkassounternehmen benötigt für die Tätigkeit als Verwaltungshelfer konkrete Informationen über die betroffenen Schuldner, die personenbezogene Daten enthalten. Entsprechende Datenweitergaben durch die Verbandsgemeinde erfolgen im Rahmen eines datenschutzrechtlichen Auftragsverhältnisses gem. Art. 28 DS-GVO. Die darin niedergeschriebenen Bestimmungen, insbesondere der Abschluss eines entsprechenden Vertrages, der den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und u.a. den Gegenstand und die Dauer der Verarbeitung, Art und Zweck der Verarbeitung sowie die Art der personenbezogenen Daten festlegt, sind zwingend zu beachten.  

Zu diesem Thema

• Datenschutzbericht 2014/2015 (Tz. III-9.1.2)
• Formulierungshilfe für einen Vertrag zur Auftragsverarbeitung für den öffentlichen Bereich im Anwendungsbereich der DS-GVO
• Auftragsverarbeitung

Sachverhalt

Dürfen Mahnungen auf farbigem Papier verschickt werden, wenn alle sonstigen Schreiben auf normalem, weißem Papier eine Verwaltung verlassen? Mit dieser Frage wandte sich ein Bürger an den Landesbeauftragten für den Datenschutz und die Informationsfreiheit. 

Er sah darin einen Verstoß gegen den Datenschutz, da bereits über das Sichtfenster des Briefumschlages erkennbar sei, dass hier eine Mahnung verschickt wird. Briefzustellern und im Einzelfall auch Nachbarn, bzw. einer begrenzten Öffentlichkeit, würden hier personenbezogene Daten offenbart.

Datenschutzrechtliche Bewertung

Durch die zuvor erwähnte Art der Versendung von Mahnungen können auch am Verfahren Unbeteiligte Kenntnis davon erhalten, dass sich der Empfänger hinsichtlich einer Forderung im Zahlungsverzug befindet. Dies stellt selbstverständlich eine unzulässige Bekanntgabe von personenbezogenen Daten i.S.d. Art. 4 Nr. 1 DS-GVO dar.

Aus dem Grundsatz der Datenminimierung gem. Art. 5 Abs. 1 lit. c) DS-GVO müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein.

Für die Zustellung der Mahnung ist es daher nicht notwendig, dass unbeteiligte Dritte sofort erkennen können, dass ein Bürger / eine Bürgerin mit Zahlungen im Rückstand ist und deshalb gemahnt wird. Aus diesem Grund dürfen sich aus dem Adressfeld lediglich der Empfänger und der Absender eines Schreibens ergeben.

Darüber hinaus gehende Informationen auf dem Briefumschlag sind für die Erledigung einer gesetzlich übertragenen Aufgabe nicht erforderlich (Art. 6 Abs. 1 lit. e DS-GVO, § 3 LDSG). Dies trifft für eine explizite Kennzeichnung des Umschlages, z.B. durch den Aufdruck des Begriffs „Mahnung“ auf dem Umschlag, genauso zu, wie im Falle der Verwendung von farbigem Papier.

Von Seiten des LfDI wird daher die grundsätzliche Verwendung von neutralen Briefbögen als datenschutzkonforme Variante empfohlen.

Sachverhalt

Ein Bürger warf die Frage auf, welcher Personenkreis die Unterschriftenliste zu einem Bürgerbegehren i.S.v. § 17 a Gemeindeordnung (GemO) RLP einsehen darf und inwieweit eine solche Liste dem Datenschutz unterliegt.

Datenschutzrechtliche Bewertung

Zweck der europäischen Datenschutz-Grundverordnung (DS-GVO) und des Landesdatenschutzgesetzes (LDSG) als allgemeine datenschutzrechtliche Regelungen ist es, das Recht einer jeden Person zu schützen, grundsätzlich selbst über die Preisgabe und Verwendung ihrer personenbezogenen Daten zu bestimmen. Die DS-GVO stellt klar, dass hierdurch die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten geschützt werden soll.

Das LDSG ergänzt die DS-GVO (§ 1 Abs. 1 LDSG). Dieses findet neben der Datenschutz-Grundverordnung Anwendung für Behörden und sonstige öffentliche Stellen des Landes und der Kommunen bei der Verarbeitung personenbezogener Daten von Bürgerinnen und Bürgern. Die öffentlichen Stellen und die dort beschäftigten Mitarbeiterinnen und Mitarbeiter sind an dieses Gesetz sowie an zahlreiche spezialgesetzliche Regelungen gebunden.

Die Verarbeitung, zu der auch die Bekanntgabe durch Einsichtnahme personenbezogener Daten (z.B. Name und Anschrift) zählt, ist zulässig, soweit eine der Erlaubnistatbestände des Art. 6 Abs. 1 DS-GVO zutrifft. Danach ist die Verarbeitung von personenbezogenen Daten u.a. zulässig, wenn dies für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde (Art. 6 Abs. 1 lit. e DS-GVO). 

Eine gesetzliche Verarbeitungserlaubnis im Sinne von Art. 6 Abs. 1 lit. e DS-GVO könnte sich aus der rheinland-pfälzischen Gemeindeordnung (GemO) ergeben. Zunächst regelt § 17 a Abs. 3 S. 1 GemO, dass das Bürgerbegehren schriftlich bei der Gemeindeverwaltung einzureichen ist. Die Gemeindeverwaltung, in Ortsgemeinden die Verbandsgemeindeverwaltung, prüft die Gültigkeit der Eintragungen in die Unterschriftenlisten. Den innerhalb der Verwaltung mit der Erledigung dieser Aufgabe befassten Mitarbeitern muss die Unterschriftenliste somit zugänglich gemacht werden.

Maßgeblich ist weiterhin, dass der Gemeinderat über die Zulässigkeit des Bürgerbegehrens (§ 17 a Abs. 4 S. 2 GemO) entscheidet. Die Beschlüsse des Gemeinderats wiederum werden grundsätzlich von der Bürgermeisterin bzw. dem Bürgermeister vorbereitet (§§ 47 Abs. 1 S. 2 Nr. 1, 68 Abs. 1 S. 3 Nr. 1 GemO). Im Zusammenhang mit einer solchen Entscheidung müsste sowohl der/dem Bürgermeister/in als auch den Ratsmitgliedern die Unterschriftenliste vorliegen. Nr. 6 der Verwaltungsvorschrift (VV) zu § 17 a i.V.m. Nr. 4 der VV zu § 17 GemO sieht ergänzend dazu vor, dass Kopien der Unterschriftenlisten den Ratsmitgliedern nur vorgelegt, nicht jedoch überlassen werden dürfen.

Diesen Personen ist somit die Verarbeitung personenbezogener Daten gemäß Art. 6 Abs. 1 lit. e, Abs. 2, Abs. 3 DS-GVO in Verbindung mit § 3 LDSG erlaubt, soweit die Verarbeitung zu den oben genannten Zwecken erforderlich ist.

Dagegen sieht § 17 a GemO die Einsichtnahme in eine Unterschriftenliste durch Bürgerinnen und Bürger nicht vor. Dies kann ohne Einwilligung der betroffenen Personen allenfalls auf der Grundlage von Art. 6 Abs.1 lit b) bis f) DS-GVO erfolgen. Diese Voraussetzungen sind hier aber nicht gegeben.

Sachverhalt

In vielen Gemeinden werden Rats- oder Ausschussmitgliedern auf Grundlage der geltenden Hauptsatzungen Sitzungsgelder ausgezahlt. In einer Gemeinde hatte eine Fraktion intern vereinbart, dass ein Teil der ausgezahlten Aufwandsentschädigungen von den einzelnen Mitgliedern an die Fraktion abgeführt werden muss, um die Fraktionsarbeit hierdurch finanziell zu unterstützen.

Für diesen Zweck wurde von der Verwaltung eine Liste erstellt, aus der die Namen der Mitglieder und das jeweils während eines Jahres ausgezahlte Sitzungsgeld ersichtlich waren. Diese wurde an den Fraktionsvorsitzenden gegeben, damit er die notwendige Endabrechnung vornehmen kann.

Von einem Mandatsträger wurde dabei die Frage aufgeworfen, ob die Liste von dem Fraktionsvorsitzenden  an alle anderen Mitglieder der Fraktion weitergegeben werden dürfe.

Datenschutzrechtliche Bewertung

Manche Fraktionsgeschäftsordnungen sehen vor, dass die Fraktionsmitglieder auf der Grundlage eines entsprechenden internen Beschlusses Beiträge an die Fraktionskasse abzuführen haben. Hierfür wird regelmäßig ein Anteil der erhaltenen Aufwandsentschädigung bzw. Sitzungsgelder verwendet, die von der Verwaltung grundsätzlich nicht direkt an die Fraktion gezahlt werden dürfen.

In diesem Zusammenhang wird die Verwendung einer solchen Liste, aus der sich der Name der Fraktion, die Namen der Fraktionsmitglieder sowie der jeweilige Gesamtbetrag der an ein Mitglied gezahlten Gelder ergeben, durch die Verwaltung bzw. die Fraktionsvorsitzenden gemäß Art. 6 Abs. 1 lit. e) DS-GVO i.V.m. § 3 Landesdatenschutzgesetz (LDSG) für datenschutzrechtlich zulässig betrachtet.

Die Weitergabe der vollständigen Liste durch die bzw. den Fraktionsvorsitzende/n an alle Fraktionsmitglieder, sodass jeder von den ausgezahlten Sitzungsgeldern der anderen Mitglieder Kenntnis erhält, ist dagegen nicht erforderlich und  unzulässig. Es genügt, wenn die bzw. der Fraktionsvorsitzende in der Abrechnung des Fraktionsbeitrages den Betrag der zugrunde gelegten Sitzungsgelder nennt.

Sachverhalt

Ein Ratsmitglied wirft die Frage auf, ob Mitglieder des Rechnungsprüfungsausschusses die der Jahresrechnung zugrundeliegenden Unterlagen, ggf. in digitalisierter Form, zu Hause prüfen dürfen. Eine Prüfung in Ruhe an mehreren Abenden sei angemessener als eine Belegprüfung unter Zeitdruck in den Räumlichkeiten der Verbandsgemeindeverwaltung. Die Behörde dagegen vertritt die Auffassung, dass die Weitergabe der auch personenbezogenen Daten enthaltenden Unterlagen für eine Prüfung zu Hause nicht zur Aufgabenerfüllung der Mitglieder des Rechnungsprüfungsausschusses erforderlich und daher datenschutzrechtlich unzulässig sei.

Datenschutzrechtliche Bewertung

Diese Datenverarbeitung ist zulässig, soweit sie gemäß Art. 6 Abs. 1 S. 1 lit. e, Abs. 2, Abs. 3 DS-GVO in Verbindung mit § 3 LDSG zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist. Die Aufgaben und Befugnisse des Rechnungs-prüfungsausschusses ergeben sich aus § 112 GemO.

Weniger sensibel sind in diesem Zusammenhang Daten sog. Amtsträger. Zu ihnen gehören Personen mit der Übernahme eines Ehrenamtes in Ausübung ihres Amtes, z.B. Ortsbürgermeister oder Ratsmitglieder, sowie auch Mitarbeiter einer Kommunalverwaltung. Hier sind gemeint Angaben, die im Zusammenhang mit einer nach außen gerichteten Tätigkeit als Amtsträger stehen - Name, Vorname, Amtsbezeichnung sowie Erreichbarkeitsangaben.

Im Rahmen der Rechnungsprüfung, die der Kontrolle des gesamten Haushaltsvollzugs dient, ist aber grundsätzlich auch von der notwendigen Kenntnisnahme von Sozial-, Steuer- oder Personaldaten auszugehen, also von Daten, die einem besonderen Amtsgeheimnis unterliegen.

Der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DS-GVO) kommt in § 112 Abs. 4 GemO zum Ausdruck.

In Anwendung des zur Heim- und Telearbeit vertretenen Standpunktes des LfDI kann dem Anliegen des Ratsmitgliedes aber entsprochen werden, wenn evtl. datenschutz-rechtlichen Bedenken durch restriktive technisch-organisatorische Datensicherungsmaßnahmen gewissermaßen "abgefedert" werden.

Dazu zählen insbesondere, dass 

• die Datenverarbeitung auf dienstlichen Geräten stattfindet (ohne Datenhaltung)
• temporärer webgestützter Zugriff auf die erforderlichen Daten
• eine vorherige Inspektion des Heimarbeitsplatzes stattfindet
• der Datentransport gegen Zugriffe durch Unbefugte gesichert ist
• in einer Individualvereinbarung Zutrittsmöglichkeiten für Kontrollzwecke mit Sanktionsmöglichkeiten bei einer Zutrittsverweigerung vereinbart werden und
• beim Zugriff auf Zentralverfahren eine 100 %-Protokollierung erfolgt.

Die Gründe für diese restriktive Haltung sind die Einschränkung der Kontrollmöglichkeiten durch den LfDI, ein erhöhtes Missbrauchspotenzial aufgrund fehlender sozialer Kontrolle sowie die Erhöhung der Gefahr, dass Unbefugte Daten zur Kenntnis nehmen.

Eine Rechtspflicht der Verwaltung zur Übersendung entsprechender Unterlagen gibt es in Rheinland-Pfalz aber nicht.

Weitere Informationen

• Broschüre des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zum Thema Telearbeit

Sachverhalt

Von einem Bürger erhielt der Landesbeauftragte für den Datenschutz und die Informationsfreiheit einen Hinweis darauf, dass auf der Homepage einer Kommune im Rahmen des Ratsinformationssystems die Vorschlagsliste für die Wahl der Schöffen und Hilfsschöffen seit längerem abrufbar sei. In dieser Liste seien beispielsweise Name, Anschrift, Telefonnummer oder Angaben zur Begründung der Bewerbung der für die Schöffenwahl vorgeschlagenen Personen enthalten.

Datenschutzrechtliche Bewertung

§ 36 Abs. 2 Satz 2 Gerichtsverfassungsgesetz (GVG) legt fest, dass die Vorschlagsliste für die Wahl der Schöffen Familienname, Vornamen, gegebenenfalls einen vom Familiennamen abweichenden Geburtsnamen, Geburtsjahr, Wohnort einschließlich Postleitzahl sowie Beruf der vorgeschlagenen Person enthalten muss.

Im Hinblick auf die Veröffentlichung der Listen über das Ratsinformationssystem bzw. die Homepage der Kommune im Internet ist aber zu beachten, dass gemäß § 36 Abs. 3 Satz 1 GVG lediglich vorgesehen ist, die Vorschlagsliste für die Schöffen in der Gemeinde eine Woche lang zu jedermanns Einsicht aufzulegen ist. Der Zeitpunkt der Auslegung ist vorher öffentlich bekanntzumachen (§ 36 Abs. 3 Satz 2 GVG). Die Veröffentlichung ist durch die Formulierung "in der Gemeinde" lokal begrenzt. Eine Veröffentlichung im Internet ist aufgrund der weltweiten Zugriffsmöglichkeit und des damit zusammenhängenden grundsätzlichen Gefährdungspotentials von dieser Rechtsgrundlage nicht mehr gedeckt und stellt daher einen Verstoß gegen Art. 5 Abs. 1 lit. a DS-GVO in Verbindung mit Art. 6 Abs. 1 lit. e, Abs. 2 und 3 DS-GVO und § 36 Abs. 3 GVG dar.

Eine Veröffentlichung dieser Daten im Internet wäre somit nur über eine Einwilligung der betroffenen Personen zulässig. Eine Einwilligung der betroffenen Personen muss auch dafür vorliegen, wenn mit der Vorschlagsliste über die gesetzlichen Vorgaben hinaus zusätzliche Daten, wie z.B. "Begründung der Bewerbung", erhoben und veröffentlicht werden sollen. Vergleichbares gilt für die Veröffentlichung der Vorschlagslisten für die Wahl der ehrenamtlichen Richter in der Verwaltungsgerichtsbarkeit (§ 28 Satz 6 Verwaltungsgerichtsordnung).

Sachverhalt

Die Geschäftsstelle eines Stadtrechtsausschusses wendet sich an den Landesbeauftragten für den Datenschutz und die Informationsfreiheit mit der Frage, ob die Weitergabe der Tagesordnungen der Ausschusssitzungen an die Stadtratsfraktionen zulässig ist. Eine solche Tagesordnung enthält Zeitpunkt und Ort der Sitzung, Namen der Widerspruchsführer, Bezeichnung des Amtes, dessen Bescheid angefochten wird, Datum des Bescheides, sowie die Namen eventuell geladener Beteiligter.

Datenschutzrechtliche Bewertung

Bei der Stadtratsfraktion handelt es sich um ein Teilorgan des Stadtrates, welcher wiederum ein Organ der Gebietskörperschaft ist. Somit unterliegt die Datenverarbeitung - hier die Bekanntgabe der Tagesordnung an die Stadtratsfraktion - selbstverständlich der Datenschutz-Grundverordnung (DS-GVO) wie auch dem Landesdatenschutzgesetz (LDSG, § 1 Abs. 1). Nach Art. 6 Abs. 1 S. 1 lit. a DS-GVO ist die Verarbeitung personenbezogener Daten  zulässig, soweit die betroffenen Personen - die Widerspruchsführer - eingewilligt haben oder die Verarbeitung, in diesem Falle die Weitergabe, aufgrund eines anderen Tatbestandes  erlaubt ist.

Eine solche Erlaubnis könnte in Art. 6 Abs. 1 S. 1 lit. e, Abs. 2. Abs. 3 DS-GVO i.V.m. § 33 der Gemeindeordnung (GemO) gesehen werden. Diese Vorschrift ist Ausdruck des Unterrichtungs- und Kontrollrechts des Stadtrates gegenüber dem Bürgermeister. Gemäß § 7 Abs. 1 des Landesgesetzes zur Ausführung der Verwaltungsgerichtsordnung (AGVwGO) stellt der Stadtrechtsausschuss jedoch ein weisungsunabhängiges Organ dar und unterliegt somit nicht dem Unterrichtungs- und Kontrollrecht des Stadtrates.

Eine Erlaubnis zur Datenverarbeitung könnte sich aber aus Art. 6 Abs. 1 S. 1 lit e, Abs. 2, Abs. 3 DS-GVO i.V.m § 3 LDSG ergeben. Hiernach ist Datenverarbeitung zulässig, wenn sie für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in der Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Beiden Stellen muss der jeweilige Verarbeitungsschritt im Einzelfall erlaubt sein, einer Stelle die Übermittlung, der anderen die Erhebung und weitere Verwendung. .

Weiterhin ist zu beachten, dass der Stadtrechtsausschuss  zwar auch für Widerspruchsverfahren im Sozialgerichtsverfahren zuständig ist, § 4 Landesgesetz zur Ausführung des Sozialgerichtsgesetzes (AGSGG). Diese Widerspruchsverfahren erfolgen auf Grund des in § 35 Abs. 1 Satz 1 des Sozialgesetzbuch I (SGB I) enthaltenen Sozialgeheimnisses aber im nichtöffentlichen Teil der Sitzung. Somit darf die Tagesordnung in einem solchen Verfahren, zum effektiven Schutz der Privatsphäre der betroffenen Person, bei einer Weitergabe nicht den Namen des Widerspruchführers enthalten.

Sachverhalt

Viele rheinland-pfälzische Gebietskörperschaften erhalten Spenden von Bürgerinnen und Bürgern für unterschiedliche Zwecke. Um dem Verdacht der Korruption entgegenzuwirken, ist über deren Annahme in öffentlicher Sitzung zu beschließen. Dieser Grundsatz gilt für Landkreise (§ 58 Abs. 3 Satz 5 LKO) und Gemeinden (§ 94 Abs. 3 Satz 5 GemO) gleichermaßen.

Doch welche datenschutzrechtlichen Anforderungen sind dabei zu beachten?

Welche personenbezogenen Daten dürfen während der öffentlichen Sitzung bekanntgegeben werden und wann ist eine Behandlung in nichtöffentlicher Sitzung angezeigt?

Und was ist zu beachten, wenn die Öffentlichkeit über das Abstimmungsergebnis mittels eines Online-Ratsinformationssystems informiert wird?

Datenschutzrechtliche Bewertung

Nach den kommunalrechtlichen Vorschriften entscheidet über die Annahme oder Vermittlung von Spenden der Gemeinderat bzw. der Kreistag. Den jeweiligen Gremien sind dabei sämtliche für die Entscheidung maßgebliche Tatsachen offen zu legen. Dazu gehört insbesondere ein anderweitiges Beziehungsverhältnis zwischen der Gemeinde und dem Geber.

Nach dem Grundsatz der Öffentlichkeit aus § 35 Abs. 1 GemO bzw. 28 Abs. 1 LKO sind solche Angelegenheiten auch grundsätzlich in öffentlicher Sitzung zu beschließen, es sei denn, die Beratung in nicht öffentlicher Sitzung ist aus Gründen des Gemeinwohls oder wegen schutzwürdiger Interessen Einzelner erforderlich.

Zu beachten ist dabei aber insbesondere der Grundsatz der Datenminimierung gem. Art. 5 Abs. 1 lit. c DS-GVO, welcher besagt, dass bei der Verarbeitung personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen.

Unter Berücksichtigung dieses Grundsatzes wird in der Regel die Bekanntgabe personenbezogener Daten der Spender:innen während der Sitzung neben der Höhe der Spende auf Name und Wohnort zu beschränken sein. Falls vorhanden, sind selbstverständlich auch anderweitige Beziehungsverhältnisse offen zu legen.

Diese Daten dürfen insoweit auch Einfluss in die nach § 41 GemO bzw. § 34 LKO zu erstellende Niederschrift finden.

Die Rechtsgrundlage hierfür ergibt sich insoweit aus Art. 6 Abs. 1 lit e, Abs. 2 und 3 DS-GVO i.V.m. den eingangs genannten Rechtsgrundlagen aus den §§ 94 GemO bzw. 58 LKO.

Etwas Anderes gilt jedoch, wenn anschließend das Abstimmungsergebnis (oder ein zuvor erstellter Vorlagebericht) öffentlich und für jedermann einsehbar online zur Verfügung gestellt wird. Dafür gelten erhöhte Anforderungen, da die weltweite Verbreitung der Daten über das Internet wegen der Vervielfältigungsmöglichkeiten, Suchmaschinen und der nicht endlichen Datenverarbeitung im Internet gravierender im Hinblick auf das informationelle Selbstbestimmungsrecht betroffener Personen ist.

Außerdem hat im Hinblick auf die enge lokale Begrenzung des Aufgaben - und Wirkungs-bereichs einer Kommune das Persönlichkeitsrecht der Spender:innen Vorrang vor dem Informationsinteresse einer breiteren Öffentlichkeit hat. Zumal die sich aus dem Transparenzgebot ergebenden Offenlegungspflichten primär gegenüber der Kommunalaufsichts-behörde und dem Gremium bestehen.

Für solche Handlungen besteht nämlich keine Rechtsgrundlage im Sinne des Art. 6 Abs. 1 DS-GVO. Werden personenbezogene Daten von Spendern ohne deren Zustimmung online bekanntgegeben, so stellt dies ein Verstoß gegen datenschutzrechtliche Bestimmungen dar, welcher aufsichtsrechtlich belangt werden kann.

Empfehlung des LfDI

• Bei der Erstellung der Beschlussvorlagen für den Gemeinderat bzw. Kreistag über die Annahme von Spenden den Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DS-GVO beachten und nach Möglichkeit neben der Spendenhöhe nur Namen, Wohnort und Geschäftsbeziehungen der Spender veröffentlichen.
• Auf die Bekanntgabe von Spenderdaten im Internet verzichten, sofern keine Einwilligung der Spender vorliegt. Stattdessen sollte lediglich darüber informiert werden, dass Spenden in einer bestimmten Höhe angenommen wurden, ohne personenbezogene Daten der Spender preis zu geben.

Sachverhalt

Die Bestimmungen des Baugesetzbuches (BauGB) sehen in § 36 vor, dass die Baugenehmigungsbehörde über die Zulässigkeit von bestimmten Bauvorhaben im Einvernehmen mit der Gemeinde entscheidet.

Dies erfolgt durch Behandlung des jeweiligen Bauantrages im Gemeinderat, wobei die Angelegenheit aufgrund des Öffentlichkeitsprinzips des § 35 Absatz 1 Satz 1 Gemeindeordnung (GemO) grundsätzlich im öffentlichen Teil der Sitzung behandelt wird.

Immer wieder kommt dabei die Frage auf, welche personenbezogenen Daten bzw. Unterlagen während der Sitzung oder auch im Rahmen der Beschlussvorlage zur Verfügung gestellt oder genannt werden dürfen.

Datenschutzrechtliche Bewertung

Erstellung der Tagesordnung

Ein erstes Problem kann bereits bei der Erstellung der Sitzungseinladung und bei der Benennung des entsprechenden Tagesordnungspunktes entstehen. Schon hier ist der datenschutzrechtliche Grundsatz der Erforderlichkeit zu beachten, der besagt, dass personenbezogene Daten nur dann verarbeitet werden dürfen, wenn die jeweilige Aufgabe ohne das konkrete Datum nicht oder nicht vollständig erfüllt werden kann.

Im Klartext heißt dies, dass im Rahmen der Einladungserstellung nur diejenigen Daten genannt werden dürfen, die unbedingt nötig sind, um die rechtlichen Anforderungen für eine wirksame Einladung zu erfüllen.

Dabei ist zu unterscheiden zwischen der Tagesordnung, die den Ratsmitgliedern nach § 34 Abs. 2 S. 1 GemO zu übersenden ist und der für die Öffentlichkeit bestimmten Tagesordnung. Beide Fassungen müssen nicht wörtlich übereinstimmen. Vielmehr kann die den Ratsmitgliedern zur Verfügung stehende Tagesordnung durchaus konkreter und detaillierter gefasst werden.

Insbesondere zum Schutz personenbezogener Daten habe der Gesetzgeber die Möglichkeit eröffnet, eine weniger detaillierte Tagesordnung zu veröffentlichen, ohne dabei den Grundsatz der Sitzungsöffentlichkeit zu beeinträchtigen, so die Sichtweise des für Kommunalrecht fachlich zuständigen Ministeriums des Innern.

Bei der bekanntzumachenden Fassung reicht es daher nach Auffassung des LfDI aus, wenn Antragsgegenstand und Name des Bebauungsplanes genannt werden. Ein Bürger bzw. Antragsteller muss daher nicht damit rechnen, dass seine volle Anschrift der lokalen bzw. über die Online-Ausgabe des Amtsblattes weltweiten Öffentlichkeit zugänglich gemacht wird.

Beschlussvorlagen

Auch bei einer eventuellen Beschlussvorlage ist das o.g. Erforderlichkeitsprinzip zu beachten. Bei schwierigen Entscheidungsgegenständen oder Angelegenheiten von größerer Bedeutung geschieht eine Information bereits im Vorfeld durch Beschlussvorlagen. Bei einfachen Sachverhalten hingegen kann eine mündliche Erläuterung in der Sitzung ausreichend sein.

Überhaupt gilt für Sitzungen kommunaler Gremien das Mündlichkeitsprinzip, d.h. es besteht keine Rechtspflicht zur Übersendung bzw. Bereitstellung von Unterlagen zur Vorbereitung auf eine Gremiensitzung.

Daraus kann als Faustregel ebenfalls abgeleitet werden, dass je sensibler die für die Beratung des Tagesordnungspunktes benötigten Informationen sind, desto stärker sind diese räumlich einzuschränken.

Im Zweifel kommt nur ein mündlicher Sachvortrag in Betracht, ergänzt durch eine schriftliche, jedoch im Sitzungsraum verbleibende, Tischvorlage. Sollten Unterlagen privater Bauangelegenheiten zur Vorbereitung an die Ratsmitglieder versandt worden sein, so sollte darauf geachtet werden, dass diese spätestens nach der Sitzung datenschutzgerecht vernichtet werden.

Veröffentlichung der Sitzungsunterlagen im Ratsinformationssystem

Für die Bekanntgabe der Ergebnisse der Ratssitzung (§ 41 Abs. 5 GemO) reicht es aus, wenn das Abstimmungsergebnis unter Benennung der Bezeichnung des jeweiligen Tagesordnungspunktes genannt wird.

Nicht notwendig ist es, eine eventuell zuvor erstellte Beschlussvorlage, die u.U. detaillierte Planzeichnungen oder andere personenbezogene Daten enthält, für die Allgemeinheit bereitzustellen.

Kurzzusammenfassung

• Bei der Behandlung von Bauanträgen im Gemeinderat den Grundsatz der Erforderlichkeit beachten und nur notwendige Daten nennen. Dies sind Antragsgegenstand und Name des Bebauungsplans.
• Regelfall sollte das Mündlichkeitsprinzip sein, ggf. ergänzt durch eine Tischvorlage. Planunterlagen sollten spätestens nach der Sitzung den Ratsmitgliedern nicht mehr unmittelbar zur Verfügung stehen.
• Bei der Veröffentlichung des Abstimmungsergebnisses ist darauf zu achten, dass keine sensiblen Daten bereitgestellt werden. Eine Nennung von Tagesordnungspunkt und Abstimmungsergebnis ist i.d.R. ausreichend.

Sachverhalt

Ein Bediensteter des Landes wirft die Frage auf, ob die Weitergabe seiner Daten durch seinen Dienstherren an die Stadtverwaltung zur Gewinnung von Wahlvorstandsmitgliedern zulässig ist. Ergänzend stellt er die Frage, ob er einer weiteren Verwendung dieser gewonnenen Daten zum Aufbau einer "Wahlhelferdatei" für zukünftige Wahlen durch die Stadtverwaltung widersprechen kann.

Datenschutzrechtliche Bewertung

Nach § 26 Abs. 5 und Abs. 6 Landesgesetz über die Wahlen zu den kommunalen Vertretungsorganen (Kommunalwahlgesetz, KWG) sind alle juristischen Personen des öffentlichen Rechts, die der Aufsicht des Landes unterstehen, dazu verpflichtet, auf ein Ersuchen der Gemeindeverwaltung ihr all jene Bedienstete mit Name, Anschrift, Geburtsdatum zu nennen, die im Gemeindegebiet wohnen. Die Vorschrift dient der effektiven Durchführung der Wahlen, sie soll den Kommunen die Gewinnung von Wahlvorstandsmitgliedern erleichtern. Eine ähnliche Vorschrift findet sich auch in § 9 Abs. 4 und Abs. 5 Bundeswahlgesetz (BWahlG). Jedoch ist zu beachten, dass die Gemeindeverwaltung vor ihrem Ersuchen grundsätzlich erfolglos versucht haben muss, eine ausreichende Anzahl von Personen zu finden, die freiwillig das Amt als Mitglied eines Wahlvorstandes übernehmen.

Darüber hinaus dient § 26 Abs. 5 und Abs. 7 KWG der Gemeindeverwaltung als rechtliche Grundlage zum Aufbau einer "Wahlhelferdatei". In dieser Sammlung von möglichen Wahlhelfern für zukünftige Wahlen finden sich sowohl Name, Anschrift, und Geburtsdatum von freiwilligen Wahlhelfern, als auch die Daten der Bediensteten, die aus oben genannten Verfahren gewonnen worden sind. Personen die in diese Wahlhelferdatei aufgenommen worden sind, müssen über ihr Widerspruchsrecht nach § 26 Abs. 5 S.3 KWG unterrichtet werden. Dies kann in einem persönlichen Anschreiben oder in einer allgemeinen Information am Wahltag erfolgen.

Sachverhalt

Eine Kommune möchte auf ihrer Homepage eine Übersicht der örtlichen Gewerbebetriebe  veröffentlichen. In Form eines Branchenbuchs sollen die Art der Tätigkeit, die betriebliche Anschrift sowie Name und weitere Angaben zur Person der bzw. des Gewerbetreibenden online gestellt werden.

Eine Einwilligung der betroffenen Personen liegt nicht vor. Stattdessen sollen die Daten ohne Rückfrage aus dem Gewerberegister der Kommune ausgewertet werden. 

Ist dies zulässig?

Datenschutzrechtliche Bewertung

Nach den Vorschriften der DS-GVO dürfen personenbezogene Daten nur dann verarbeitet werden, wenn eine der in Art. 6 Abs. 1 DS-GVO genannten Voraussetzungen vorliegt.

Wie bereits im Sachverhalt geschildert, scheidet eine Einwilligung gem. Art. 6 Abs. 1 lit. a) DS-GVO zur Veröffentlichung im Internet aus.

Allerdings ergibt sich – zumindest für einen Teil der Gewerbedaten – eine gesetzliche Ermächtigungsgrundlage aus der Gewerbeordnung (GewO), sodass eine Legitimation nach Art. 6 Abs. 1 lit. e), Abs. 3 DS-GVO gegeben ist, wenn man annimmt, dass die Veröffentlichung örtlicher Gewerbebetriebe im Internet im öffentlichen Interesse ist.

Gemäß § 14 Abs. 5 S. 2 GewO sind nämlich die Grunddaten (Name, die betriebliche Anschrift und die angezeigte Tätigkeit der bzw. des Gewerbetreibenden) der Gewerbeanzeige ohne Einschränkung freigegeben. 

Weitere Daten dürften gemäß § 14 Abs. 7 GewO jedoch nur dann übermittelt werden, wenn kein Grund zu der Annahme besteht, dass überwiegende schutzwürdige Interessen entgegenstehen und der Empfänger ein rechtliches Interesse an der Kenntnis glaubhaft macht. Ein solches Interesse kann jedoch beim Abruf über das Internet nicht glaubhaft gemacht werden.

Die genannten Vorschriften der GewO gelten übrigens auch explizit für das Gaststättenbetriebe. Ein entsprechender Verweis findet sich in § 31 Gaststättengesetz.

Fazit:  Daten zum Gewerbebetrieb, die über die eingangs genannten Grundinformationen hinausgehen, dürfen nur mit Einwilligung der betroffenen Person veröffentlicht werden. 

Als datenschutzfreundlichere Variante bietet es sich ohnehin an, einen öffentlichen Aufruf zu starten und die Gewerbetreibenden im Rahmen einer informierten Einwilligung selbst zum Eintrag in die Datenbank zu bewegen.

Sachverhalt

Ein Jugendamt wurde in der Presse wegen der Inobhutnahme eines Kindes angegriffen. Zu der Inobhutnahme wurden der Kommunalverwaltung von Seiten der Presse spezielle Fragen vorgelegt. Die Verwaltung überlegt, ob eine Auskunft nur nach Vorlage einer Einwilligung der Betroffenen gegeben werden kann oder bei entsprechend hohem öffentlichem Interesse eine Auskunftspflicht der Behörde auch ohne Einwilligung besteht.

Datenschutzrechtliche Bewertung

Die Auskunftspflicht von Behörden gegenüber der Presse sowie in diesem Zusammenhang bestehende Auskunftsverweigerungsrechte sind in § 12a Landesmediengesetz (LMG) geregelt. § 12a Abs. 1 LMG normiert die grundsätzliche Verpflichtung zur Äußerung gegenüber der Presse. Aus datenschutzrechtlicher Sicht von besonderer Bedeutung ist § 12a Abs. 2 Nr. 2 LMG: hiernach besteht ein Auskunftsverweigerungsrecht der Behörden, sofern der Auskunft Vorschriften über die Geheimhaltung entgegenstehen. Das Sozialgeheimnis des § 35 Abs. 1 Sozialgesetzbuch Erstes Buch (SGB I) ist beispielsweise als derartige Vorschrift zu qualifizieren. 

Übertragen auf den zugrunde liegenden Fall bedeutet dies Folgendes:

1. Grundsätzlich kann sich die Verwaltung aus datenschutzrechtlicher Sicht uneingeschränkt gegenüber der Presse äußern, wenn diese Äußerung keine personenbezogenen oder personenbeziehbaren Daten enthält.
2. Sofern von Seiten der Presse Fragen gestellt werden, die dazu führen, dass die Kommunalverwaltung in ihrer Auskunft personenbezogene Daten aus dem Bereich der Jugendhilfe nennt, benötigt sie für eine datenschutzrechtlich zulässige Antwort eine Übermittlungsbefugnis. Dies war im zu beurteilenden Sachverhalt nicht der Fall. Denn die §§ 67 ff. des Sozialgesetzbuch Zehntes Buch (SGB X) sowie die §§ 61 ff. des Sozialgesetzbuch Achtes Buch (SGB VIII), die auf Grundlage von Art. 6 Abs. 1 lit. e Datenschutz-Grundverordnung (DS-GVO) zur Anwendung kommen, beinhalten keine derartigen Befugnisse. Das Sozialgeheimnis des § 35 SGB I steht dem presserechtlichen Auskunftsanspruch vielmehr entgegen, soweit keine Einwilligung der betroffenen Person vorliegt. Eine Datenübermittlung zur Wahrung von berechtigten Interessen gemäß Art. 6 Abs. 1 lit. f DS-GVO ist Behörden ohnehin verwehrt. 
3. Die Sachlage beurteilt sich nicht abweichend, sofern die Presse behaupten sollte, Kenntnis über gewisse Umstände zu haben. Eine Äußerung der Stadtverwaltung könnte hier u.U. dazu führen, bloße Vermutungen der Presse zu verifizieren, sodass eine Übermittlungsbefugnis erforderlich wäre. Eine solche existiert, wie oben aufgezeigt, vorliegend nicht.

Sachverhalt

Ein Bürger und ehemaliges Ratsmitglied verlangte, dass die zu seiner Person im Zusammenhang mit der Kommunalwahl 2009 veröffentlichten Daten (Name, Vorname, Erreichbarkeitsangaben in der Verwaltung) aus dem Internet-Angebot herausgenommen werden, weil er nicht mehr im Gemeinderat vertreten ist.

Datenschutzrechtliche Bewertung

Die Angaben zur Kommunalwahl wurden zulässigerweise im Internet veröffentlicht (Art. 6 Abs. 1 lit e, Abs. 2, Abs. 3 DS-GVO in Verbindung mit § 3 LDSG ). Trotzdem muss dem Anliegen des Bürgers entsprochen werden, da die fragliche Information nach Ablauf der vergangenen Wahlperiode obsolet geworden ist und zumindest in Verbindung mit dem Medium Internet kein Informations- und Dokumentationsbedürfnis mehr gesehen wird. Dies entspricht auch dem Grundsatz des Rechts auf Löschung gem. Art. 17 Abs. 1 lit. a DS-GVO.

Das Internet-Angebot einer Kommune sollte von Zeit zu Zeit auf vergleichbare Sachverhalte hin überprüft werden. Denn § 14 Abs. 2 S. 5 und S. 6 E-Government-Gesetz (EGovGRP) regelt Folgendes:

In einer über öffentlich zugängliche Netze verbreiteten elektronischen Fassung der Veröffentlichung sind jedoch personenbezogene Daten unkenntlich zu machen, wenn der Zweck ihrer Veröffentlichung erledigt ist und eine fortdauernde Veröffentlichung das Recht der betroffenen Person auf informationelle Selbstbestimmung unangemessen beeinträchtigen würde. Diese Änderungen müssen als solche kenntlich gemacht werden und den Zeitpunkt der Änderung erkennen lassen.

Sachverhalt

Eine Gemeinde möchte Name, Vorname, Amtsbezeichnung, Erreichbarkeitsangaben (Telefon- und Faxnummer, E-Mail-Anschrift in der Verwaltung), Geburtsdatum, Privatanschrift und Lichtbild ihrer Ratsmitglieder veröffentlichen. Sie ist der Ansicht, dass dafür keine Verarbeitungsgrundlage der betroffenen Personen benötigt werde, weil diese ein Ehrenamt übernommen hätten. Außerdem sei eine Veröffentlichung von Adressdaten im Internet schon deshalb unproblematisch, weil bereits eine Bekanntgabe der Wahlvorschläge einschließlich der Adressdaten in der Print-Ausgabe des Amtsblattes erfolgt sei.

Datenschutzrechtliche Bewertung

Die Übernahme eines Ehrenamtes kann nicht dazu führen, dass sich der Betroffene weitgehend nicht mehr auf sein Recht auf informationelle Selbstbestimmung berufen kann. Mit der Übernahme eines Ehrenamtes wird eine Person in Ausübung ihres Amtes  zum Amtsträger. Angaben, die im Zusammenhang mit einer nach außen gerichteten Tätigkeit als Amtsträger stehen, sind Name, Vorname, Amtsbezeichnung sowie die o.g. Erreichbarkeitsangaben. Diese im engen Zusammenhang mit dem Mandat stehenden Daten können auf der Grundlage von Art. 6 Abs. 1 lit e, Abs. 2, Abs. 3 DS-GVO in Verbindung mit § 3 LDSG veröffentlicht werden.

Bei Informationen, die eher der Privatsphäre des Mandatsträgers zuzurechnen sind, wie beispielsweise Geburtsdatum, Privatanschrift oder Lichtbild, ist eine Einwilligung als Grundlage für eine Veröffentlichung oder Datenübermittlung erforderlich.

Auch die Tatsache, dass die Privatanschrift bereits mit dem Wahlvorschlag in der Print-Ausgabe des Amtsblattes bekanntgegeben wurde, ändert daran nichts. Denn der Verbreitungsgrad der Informationen im Medium Internet erreicht einen deutlich höheren Umfang, als dies bei einer Veröffentlichung in einem Printmedium der Fall ist. Dadurch besteht aufgrund der weltweiten Zugriffsmöglichkeit ein höheres Gefährdungspotential. Denn es wird jedem ermöglicht, mit geringem Aufwand eine ungleich größere Datenmenge abzurufen. Die Speicherung dieser Daten im privaten Bereich ist nicht beherrschbar und die Daten können vielfältig ausgewertet und beispielsweise zur Werbeansprache verwendet werden. Über die Archivfunktion von Suchmaschinen sind die Daten häufig auch dann noch abrufbar, wenn die Angaben aus dem Internet-Angebot der Verwaltung bereits entfernt oder geändert wurden. Eine Einwilligung, beschränkt auf die Bekanntgabe personenbezogener Daten in (regional verbreiteten) Printpublikationen, umfasst daher nicht eine Veröffentlichung im Internet.

Dem wird mittlerweile im Wahlrecht Rechnung getragen. Bei einer Bekanntmachung des Wahlvorschlages im Internet darf statt einer Anschrift nur der Wohnort angegeben werden. Außerdem sind Bekanntmachungen von Wahlkreisvorschlägen oder Landes- und Bezirkslisten im Internet einen Monat nach dem Tag der Wahl zu löschen.

Sachverhalt

Viele Feuerwehren gehen dazu über, ihre Arbeit im Internet zu dokumentieren. Auf Homepages oder in Sozialen Netzwerken werden dabei nicht nur Texte, sondern auch entsprechende Bilder von realen Einsätzen gepostet. Mit Zusatzkenntnissen lassen diese mitunter Rückschlüsse auf bestimmte betroffene Personen zu.

Die Frage stellt sich, ob diese Praxis der Berichterstattung datenschutzrechtlich zulässig ist.

Datenschutzrechtliche Bewertung

Bilder als personenbezogene Daten

Die Gemeinden sind Aufgabenträger für den Brandschutz, sie nehmen dies als Pflichtaufgabe der Selbstverwaltung wahr (§ 2 Abs. 2 Landesbrand- und Katastrophenschutzgesetz, LBKG). Die Feuerwehr ist gemäß § 14 Abs. 1 LBKG eine Einrichtung der Gemeinde und somit öffentliche Stelle im Sinne des Landesdatenschutzgesetzes (LDSG).

Bei der Veröffentlichung von Bildaufnahmen, auf denen beispielsweise Kfz-Kennzeichen von verunfallten Fahrzeugen oder Einsatzobjekte (z.B. Außenansichten von Einfamilienhäusern) der Feuerwehr unter Angabe des Straßennamens erkennbar sind, geht es um die Übermittlung personenbeziehbarer Daten von einer öffentlichen Stelle an nicht-öffentliche Stellen. Über Zusatzwissen ist eine Zuordnung zu einer natürlichen Person möglich. Gleiches gilt aber auch für detaillierte Einsatzberichte.

Veröffentlichung nur mit Einwilligung

Gemäß Art. 6 Abs. 1 DS-GVO ist eine Verarbeitung personenbezogener Daten unter anderem nur dann zulässig, wenn eine der darin genannten  Erlaubnistatbestände gegeben ist.

Die Zulässigkeit des Anfertigens und Veröffentlichens richtet sich für die Feuerwehr als öffentliche Stelle nach Art. 6 Abs. 1 lit. e DS-GVO i.V.m. § 39 Abs. 6 S. 2 LBKG i.V.m. § 3 LDSG.

Die Feuerwehr kann als Aufgabe des eigenen Wirkungskreises auch Öffentlichkeitsarbeit betreiben. Hinsichtlich der zu veröffentlichenden Informationen muss allerdings ein enger Zusammenhang mit der eigentlichen Aufgabenerfüllung bestehen und der Zweck – hier die immer schwerer werdende Gewinnung von Ehrenamtlichen – ist genau zu bestimmen.

Weiterhin sind die Grundsätze der Zweckbindung (Art. 5 Abs. 1 lit. b DS-GVO) und der Datenminimierung nach Art. 5 Abs. 1 lit. c DS-GVO („dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“) zu beachten.

Der Grundsatz der Erforderlichkeit besagt, dass bei der Dokumentation eines Feuerwehreinsatzes zu dem oben genannten Zweck stets das mildeste der in Frage kommenden Mittel heranzuziehen ist.Die Veröffentlichung personenbeziehbarer Aufnahmen wäre somit zu dem oben genannten Zweck nicht erforderlich und nur mit Einwilligung gem. Art. 6 Abs. 1 lit. a) DS-GVO der betroffenen Personen zulässig. Auch die Veröffentlichung von Aufnahmen aus dem Gebäudeinnern ohne Angabe der Anschrift kann u.U. datenschutzrechtlich bedenklich sein, wenn z.B. private Gegenstände erkennbar sind.

Die Fallgruppen des § 23 KUG können für die Erforderlichkeitsprüfung im Rahmen der Angemessenheit nach Art. 5 Abs. 1 lit. c DS-GVO bei der Veröffentlichung von Personenbildern herangezogen werden.

Veröffentlichung zu Ausbildungszwecken

Gegen die Veröffentlichung von Bildern zu Ausbildungseinsätzen ist grundsätzlich nichts einzuwenden. Sofern Angehörige der Feuerwehr oder Zuschauer eindeutig identifizierbar sind, wäre aber auch hier eine Einwilligung einzuholen.

Problem „Facebook“

Auch ohne die Preisgabe personenbezogener Daten ist die Nutzung von Fanpages bei Facebook durch Behörden an sich schon datenschutzrechtlich problematisch. Denn die öffentliche Stelle erzeugt damit für Facebook wertvolle Nutzungsdaten. Der diesbezügliche Standpunkt des LfDI wurde in den vergangenen Tätigkeitsberichten bereits ausführlich geschildert (vgl. 23.Tb., Tz. I-3.2.2; 24. Tb., Tz. II-7.4.4). Weiterhin sei auf den Handlungsrahmen für die Nutzung von Social Media durch öffentliche Stellen verwiesen, sowie auf das Thema Social Media.

Linktipp

Handlungshilfe zur Öffentlichkeitsarbeit (Landesfeuerwehrverband Rheinland-Pfalz)

Sachverhalt

In vielen rheinland-pfälzischen Gemeinden existieren gedruckte Ortschroniken, die meist zu Gemeindejubiläen in begrenzter Auflage erstellt wurden. Ist die Erstauflage vergriffen, so ist eine Zweitauflage aufgrund geringerer Stückzahlen oftmals nicht mehr kostendeckend zu realisieren.

Um den Bürger:innen dennoch einen  Zugang zur Chronik zu ermöglichen, gibt es vielerorts die Überlegung, die Inhalte zu digitalisieren und online bereit zu stellen.

Fraglich ist jedoch, ob eine unveränderte Neuveröffentlichung im Internet aus dem Blickwinkel des Datenschutzes zulässig ist.

Datenschutzrechtliche Bewertung

Sowohl das Veröffentlichen von Namen als auch das Veröffentlichen von Fotos mit erkennbaren, noch lebenden Personen sind Verarbeitungen von personenbezogenen Daten im Sinne der Datenschutz-Grundverordnung (Art. 4 Nr. 1 und Nr. 2 DS-GVO) und damit nur zulässig, wenn eine Einwilligung der betroffenen Person vorliegt oder eine andere Erlaubnis gegeben ist (Art. 6 Abs. 1 S. 1 DS-GVO).

In diesem Zusammenhang ist zunächst zu beachten, dass der Verbreitungsgrad der Informationen im Medium Internet einen deutlich höheren Umfang erreicht, als dies bei der Veröffentlichung der Dorfchronik als auflagenbegrenzte Printausgabe der Fall war. Darüber hinaus können im Internet veröffentlichte Daten grundsätzlich auf einfache Weise beliebig verknüpft werden.

Die Veröffentlichung personenbezogener Daten im Internet beeinträchtigt das informationelle Selbstbestimmungsrecht betroffener Personen daher deutlich stärker als bei einer Veröffentlichung in Papierform.

Die Neuveröffentlichung einer auflagenbegrenzten Printausgabe im Internet ist demzufolge nur mit einer entsprechenden Einwilligung möglich. Eine vormals erteilte Einwilligung zur Veröffentlichung in einem Druckwerk dürfte regelmäßig nämlich nicht auch die Veröffentlichung im Medium Internet erfassen bzw. erlauben.

Von daher wären vor einer Bereitstellung im Internet neue Einwilligungen der betroffenen Personen einzuholen.

Weitergehende Informationen

• Hinweise für einen datenschutzgerechten Umgang mit Fotos
• Hinweise zur Einwilligung

Sachverhalt

Kommunale Verwaltungen sind  als Herausgeber eines Amtsblattes grundsätzlich verantwortlich für den Inhalt des amtlichen Teils (Praxis der Kommunalverwaltung, Kommentar zur GemO, § 27, Zf. 5.2).

Doch wie sieht es aus, wenn Veröffentlichungen im nichtamtlichen oder im kirchlichen Teil betroffen sind?

Konkret wurden In einer Verbandsgemeinde bei den kirchlichen Nachrichten aktuelle Vermählungen bekanntgegeben. Veröffentlicht wurden dabei der Namen sowie das Heiratsdatum des Brautpaares. Die Bekanntgabe erfolgte neben der üblichen Papierform  auch online in einem digitalen Amtsblattarchiv.

Nach einigen Jahren widersprach das Brautpaar der Veröffentlichung im Internet und bat die Verbandsgemeindeverwaltung um Löschung des Eintrags im Internet.

Der Verwaltung stellte sich in diesem Zusammenhang die Frage, ob sie auch außerhalb des amtlichen Teils für sämtliche Nachrichten und Bekanntmachungen, die Dritte im Amtsblatt veröffentlichen, im Vorfeld klären muss, ob entsprechende Einverständniserklärungen der erwähnten oder abgebildeten Personen vorliegen.

Auch wollte sie wissen, inwiefern die Kommune dafür verantwortlich ist, die beantragte Löschung durchzuführen, da Inhalte außerhalb des amtlichen Teils betroffen waren.

Datenschutzrechtliche Bewertung

Amtsdruckschriften (oder Amtsdrucksachen, amtliche Veröffentlichungen, amtliche Publikationen) sind Dokumente, die von einem öffentlich-rechtlichen Herausgeber veranlasst oder verlegt werden oder in dessen Auftrag erscheinen. Zu diesen Herausgebern zählen auch die Kommunen. Amtsdruckschriften können ausschließlich amtlichen Inhalts sein, aber auch nicht-amtlichen Inhalt besitzen, z.B. Kultur- oder Vereinsinformationen. Die Verantwortlichkeit für den jeweiligen Teil muss im Amtsblatt erkennbar gemacht werden (VV Nr. 7.2.4 zu § 27 GemO).

Hieraus ergibt sich, dass die Verbandsgemeindeverwaltung im vorliegenden Fall zumindest für den Inhalt der Veröffentlichung keine Verantwortung trägt. Gleichwohl trifft sie aufgrund der Stellung als Herausgeber des Amtsblattes eine Pflicht zur Löschung, da sie als gemeinsamer Verantwortlicher gem. Art. 26 DS-GVO zu betrachten ist.

Insoweit hat die Kommune für Veröffentlichungen außerhalb des amtlichen Teils zwar keine Pflicht zur inhaltlichen Prüfung. Jedoch muss sie bei beantragten Löschungen bzw. widerrufenen Einverständniserklärungen zur Veröffentlichung unverzüglich handeln und die Löschung ggf. in Abstimmung mit anderen Verantwortlichen vornehmen.

Sachverhalt

Eine Behörde möchte die Abrechnung von Krankentransporten im Rahmen des Rettungsdienstes an eine GmbH vergeben. Die Behörde ist in der regionalen Patientenbeförderung tätig und kümmert sich bislang auch um die Abrechnung der Patientenbeförderungskosten mit den Leistungsträgern der Gesundheitskasse.

Der behördliche Datenschutzbeauftragte wirft nun die Frage auf, ob die Verarbeitung dieser Abrechnung im Rahmen eines Auftragsverhältnisses an einen externen Dienstleister bzw. eine nicht-öffentlich Stelle vergeben werden kann.

Datenschutzrechtliche Bewertung

Die Verarbeitung personenbezogener Daten im Auftrag, hier das Abrechnen der angefallenen Beförderungskosten durch einen Dritten, richtet sich nach Art. 28 DS-GVO (Auftragsverarbeiter) und den dort beschriebenen Vorschriften zur Auftragsverarbeitung. Dies bedeutet, dass die Abrechnung der Krankentransporte auf Basis eines Vertrages zu erfolgen hat, der zwischen der Behörde als Verantwortlicher (Art. 4 Nr. 7 DS-GVO) und der GmbH als Auftragsverarbeiter (Art. 4 Nr. 8 DS-GVO) zu schließen ist. Dabei sind insbesondere die zu treffenden Regelungen von Art. 28 Absatz 3 lit. a) bis h) zu beachten. Es bedarf dann keiner Erlaubnis im Sinne von Art. 6 Abs. 1 DS-GVO für die Datenverarbeitung im Verhältnis zwischen Verantwortlicher und Auftragsverarbeiter, da sie rechtlich als einheitliche Stelle behandelt werden.

Formulierungshilfe für einen Vertrag zur Auftragsverarbeitung für den öffentlichen Bereich

Bei der Auftragsvergabe muss darauf geachtet werden, dass der Auftragsverarbeiter hinreichend Garantien dafür bietet, dass die Verarbeitung im Einklang mit den Anforderungen der DS-GVO erfolgt und die Rechte der betroffenen Personen gewährleistet sind (Prüfung der Geeignetheit, Art. 28 Abs. 1 DS-GVO).

Wenn bei der Abrechnung der Patientenbeförderungskosten auch Gesundheitsdaten (Art. 4 Nr. 15 DS-GVO) als besondere Kategorien personenbezogener Daten gem. Art. 9 Abs. 1 DS-GVO verarbeitet werden, sind die hierfür zutreffenden, besonderen Bestimmungen durch den Auftragsverarbeiter zu beachten (§ 19 Abs. 4 LDSG).

Die beauftragten Personen sollten nach dem Gesetz über die förmliche Verpflichtung nichtbeamteter Personen (Verpflichtungsgesetz) verpflichtet werden. Hierdurch werden diese in straf- und haftungsrechtlicher Sicht einem öffentlichen Bediensteten gleichgestellt.

Muster einer Niederschrift zur förmlichen Verpflichtung

Sachverhalt

Ein Bürger wendet sich an die Stadtverwaltung und begehrt, dass ihm Auskunft erteilt wird über die zu seiner Person in automatisierten Verfahren und in Akten gespeicherten Daten (Art. 2 Abs. 1 Datenschutz-Grundverordnung, DS-GVO). Der Bürgermeister bittet den behördlichen Datenschutzbeauftragten (bDSB), die Angelegenheit zu bearbeiten.

Der bDSB teilt dem Bürger mit, dass sein Auskunftsbegehren zu allgemein gehalten sei, und bittet ihn z.B. durch die Angabe von Aktenzeichen, Flurstücks-Nummern oder Fachbereichen um eine Konkretisierung. Eine Bearbeitung des Begehrens aus Art. 15 Abs. 1 DS-GVO werde bis zur Präzisierung nicht erfolgen.

Was ist davon zu halten?

Datenschutzrechtliche Bewertung

Grundsätzlich können Antragsteller gegenüber einer öffentlichen Stelle wie der Gemeindeverwaltung einen Auskunftsanspruch gemäß Art. 15 DS-GVO bzw. § 45 Landesdatenschutzgesetz (LDSG; zur Umsetzung der EU-Richtlinie 2016/680) geltend machen, der auf die zu ihrer Person gespeicherten Datengerichtet ist.

Nur in gesetzlich normierten Beschränkungen (§ 12 LDSG) besteht das Auskunftsrecht einer betroffenen Person aus Art. 15 Abs. 1 DS-GVO nicht. Wenn keine personenbezogenen Daten vorhanden sind oder diese anonymisiert wurden, ist eine Negativauskunft notwendig.

Auch trotz der in Erwägungsgrund 63 der DS-GVO genannten Möglichkeit, die betroffene Person um Präzisierung ihres Auskunftsersuchens zu bitten, hat der Verantwortliche auch auf ein allgemein gehaltenes Auskunftsbegehren hin grundsätzlich tätig zu werden und es ergibt sich kein vollständiger Ausschluss des Auskunftsrechts. Insbesondere führt ein unbestimmter Antrag alleine nicht dazu, dass ein exzessiver Antrag im Sinne des Art. 12 Abs. 5 DS-GVO anzunehmen wäre. Denn beim Auskunftsrecht handelt es sich um eines der grundlegendsten und bedeutsamsten Betroffenenrechte der DS-GVO. Für exzessive Fälle gemäß Art. 12 Abs. 5 DS-GVO bestehen hohe Hürden.

Empfohlen wird derzeit vom LfDI daher ein gestufter Auskunftsprozess. Eine Behörde sollte in einem ersten Schritt zumindest überprüfen, in welchen Fachanwendungen personenbezogene Daten der betroffenen Person vorliegen und diesbezüglich eine erste Übersicht gemeinsam mit den Informationen nach Art. 15 Abs. 1 DS-GVO übermitteln. Darin enthalten sein sollten zumindest Grunddaten wie die gespeicherte Adresse der betroffenen Person, Kommunikationswege (z.B. unter welcher E-Mail-Adresse mit der betroffenen Person kommuniziert wurde und ein Überblick darüber, zu welchen Verwaltungsbereichen Verfahren vorliegen).

Zu der Frage, welcher Sachverhalt eine exzessive Antragstellung begründen kann, liegen mittlerweile erste gerichtliche Entscheidungen vor. So wurde dies in einem Fall angenommen, als die Verantwortliche eine Auskunft erteilte und der betroffenen Person diese nicht ausreichte. Dann könne die Verantwortliche von der betroffenen Person verlangen, dass diese ihr Auskunftsbegehren präzisiert, falls die Verantwortliche eine große Menge personenbezogener Daten über die betroffene Person verarbeitet. Entspreche die betroffene Person dem nicht, liege ein exzessiver Antrag vor.

Auf § 45 LDSG kann der Anspruch gegenüber z.B. einer Ordnungsbehörde nur gestützt werden, soweit diese personenbezogene Daten zum Zwecke der Verhütung, Ermittlung, Aufdeckung, Verfolgung oder Ahndung von Straftaten oder Ordnungswidrigkeiten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, verarbeiten (§ 26 Abs. 1 LDSG).

Im Gegensatz zu den Ausführungen oben kann der Verantwortliche gemäß § 45 Abs. 3 LDSG von der betroffenen Person verlangen, dass diese ihr Auskunftsverlangen hinreichend bestimmt. Nach § 45 Abs. 3 LDSG kann von der Auskunftserteilung abgesehen werden, wenn die betroffene Person keine Angaben macht, die das Auffinden der Daten ermöglicht. Wenn also pauschal um eine Auskunft aller verarbeiteten Daten gebeten wird, so kann dies zu einer Ablehnung des Antrages führen. Dies kann insbesondere bei sehr großen Datenmengen der Fall sein und soll verhindern, dass öffentliche Stellen gezielt ausgeforscht werden. 

Weiterhin sind in §§ 45 Abs. 4 i.V.m. § 44 Abs. 2 LDSG Ausnahmen geregelt, bei denen eine Auskunftserteilung unterbleiben kann.

Weitere Informationen finden Sie unter "Informationspflichten und Auskunftsrechte" im Internet-Angebot des LfDI.

Sachverhalt

Ein behördlicher Datenschutzbeauftragter einer Kommunalverwaltung wirft die Frage auf, ob er auch automatisch für die Bearbeitung von Anfragen mit datenschutzrechtlichem Bezug aus kommunalen Beteiligungsgesellschaften zuständig sei. Es handele sich um eine Grundstücksverwaltungsgesellschaft mit beschränkter Haftung, an der die Kommune zu 100 % beteiligt sei.

Datenschutzrechtliche Bewertung

Aufgrund der oben genannten Beteiligung ist die Gesellschaft öffentliche Stelle i.S.v. § 2 Abs. 1 Satz 2 Landesdatenschutzgesetz (LDSG). Bei einer Grundstücksverwaltungsgesellschaft dürfte es sich weiterhin um ein öffentlich-rechtliches Wettbewerbsunternehmen handeln, sodass gemäß § 2 Abs. 4 LDSG für die Benennung des Beauftragten für den Datenschutz § 38 Bundesdatenschutzgesetz (BDSG) maßgeblich ist.

Das Amt des Datenschutzbeauftragten kann zwar in Personalunion sowohl für den allgemeinen Verwaltungsbereich wie auch für Wettbewerbsunternehmen in öffentlicher Trägerschaft ausgeübt werden. Es sollte jedoch ausdrücklich eine Benennung unter Hinweis auf die nach den unterschiedlichen gesetzlichen Bestimmungen zu erfüllenden Aufgaben erfolgen. Somit wäre der behördliche Datenschutzbeauftragte einer Kommunalverwaltung nicht automatisch auch für die rechtlich eigenständigen Beteiligungsgesellschaften der Kommune zuständig.

Anders verhält es sich bei den kommunalen Eigenbetrieben, da es sich hier um lediglich organisatorisch verselbständigte, aber rechtlich unselbständige Organisationen handelt.

Sachverhalt

Ein behördlicher Datenschutzbeauftragter wird vom Ordnungsamt und der Abt. Jugendpflege um eine Einschätzung dazu gebeten, ob es bedenklich ist, bei Terminabsprachen für Veranstaltungen mit vielen externen Teilnehmern den Terminplandienst "doodle" zu nutzen.

Datenschutzrechtliche Bewertung

Die bei der Nutzung von "doodle" als einem in der Schweiz ansässigen, werbefinanzierten Online-Dienst sich stellenden Fragen werden im 33. Tätigkeitsbericht des Unabhängigen Datenschutzzentrums Schleswig-Holstein näher behandelt. Sie betreffen in erster Linie den Zugriffsschutz, der gegenüber Dritten nur bedingt gewährleistet ist und damit die Vertraulichkeit der Kalendereinträge.

Da die Nutzung von "doodle" auch ohne Registrierung und unter Pseudonym bzw. anonym möglich ist, wäre auch eine dienstliche Nutzung bei zwingenden Gründen unter folgenden Voraussetzungen zulässig: 

• Die Terminabstimmung via "doodle" darf nur eine Option darstellen; daneben muss es möglich und jedem Teilnehmer offen bleiben, die Terminabstimmung auch telefonisch oder auf andere Weise vorzunehmen. Hierauf ist hinzuweisen.
• Über den "Titel" dürfen vertrauliche Interna oder personenbezogene Daten nicht offenbar werden (also z.B. "Familienhilfe in Akutsituationen" statt "Heimunterbringung der Kinder von Familie Schneider"). Für Termine oder Inhalte, die der Verschlusssachenanweisung unterfallen, scheidet eine Nutzung von "doodle" aus.
• Die mit der Terminanfrage angesprochenen Teilnehmer sind darauf hinzuweisen, dass die "doodle"-Nutzung ohne Registrierung möglich ist, die Angabe des Namens der Teilnehmer freiwillig ist und stattdessen auch ein aussagekräftiges Pseudonym (Initialen, Organisations- oder Dienststellenbezeichnung etc.) verwendet werden kann.
• Der Versand der Terminanfrage ist ausschließlich über die Mailsoftware des Terminkoordinators und nicht über "doodle" vorzunehmen ("Einladung selber verschicken")
• Nach Abstimmung des Termins ist die Anfrage durch den Terminkoordinator bei "doodle" zu löschen.

Alternativen zu "doodle":

• Dudle der TU Dresden
• Terminplaner des DFN
• Nuudel von digitalcourage
• cariDate vom Caritasverband für die Diözese Osnabrück e.V.

Sachverhalt

Um eine Veranstaltung zu bewerben, versendet eine Verwaltung einen Flyer per E-Mail an gut 200 Bürgerinnen und Bürger. Dabei werden alle Adressen in das „An:“- bzw. „CC:“- Feld geschrieben. Somit sieht jeder Empfänger der E-Mail, wer die Nachricht noch erhalten hat.

Datenschutzrechtliche Bewertung

Mailadressen natürlicher Personen stellen aus datenschutzrechtlicher Sicht schützenswerte personenbezogene Daten dar. Diese personenbezogenen Daten dürfen an Dritte nur dann übermittelt werden, wenn eine Einwilligung vorliegt oder eine Legitimation gegeben ist. 

Werden die Felder „An:“ und „CC:“ mit Adressen gefüllt, können alle Empfänger der E-Mail diese Adressen lesen. Man spricht hier von einer offenen Adressierung (Open Adressing).

Die oben genannte Datenübermittlung war in der gewählten Form nicht erforderlich und damit unzulässig (Art. 6 Abs. 1 i.V.m. Art. 5 Abs. 1 lit. a und lit. c DS-GVO bzw. § 3 LDSG). Ein solcher Vorfall stellt auch eine Verletzung des Schutzes personenbezogener Daten dar und wäre unabhängig von einer Beschwerde nach Bekanntwerden in der Behörde grundsätzlich gemäß Art. 33 Abs. 1 DS-GVO an die Aufsichtsbehörde zu melden.

Der Versand einer E-Mail an einen großen Empfängerkreis ohne Verarbeitungsgrundlage hat per „BCC:“- Feld („Blind Carbon Copy“ oder Blindkopie) zu erfolgen. Dann bleiben die E-Mail-Adressen den jeweils anderen Empfängern der Massenmail unbekannt. In das „An:“- Feld wird die eigene E-Mail-Adresse (ggf. anonymisiert) eingetragen.

Anders kann dies gegebenenfalls beurteilt werden, wenn es um E-Mail-Adressen von Amtsträgern geht, die auch bereits im Internet abrufbar zur Verfügung stehen.

Sachverhalt

Zur Optimierung der Ablauforganisation gehen viele Verwaltungen dazu über, ihre Post mittels Hybrid-Brief zu versenden. Der Vorteil liegt auf der Hand: das Schreiben kann elektronisch erstellt und in den Postversand eingebracht werden. Ausdruck, Kuvertierung, Frankierung und Zustellung übernimmt dann i.d.R. ein Dienstleister. Die Verwaltung selbst wird mit diesen Arbeiten nicht mehr belastet und spart personelle wie auch räumliche Kapazitäten.

Doch was sagt der Datenschutz dazu? Dürfen ggf. sensible Daten ohne weitere Voraussetzungen bei einem Dritten ausgedruckt und auf den Weg gebracht werden? Problematisch wird es vor allem deshalb, weil der externe Dienstleister im Rahmen von Qualitätskontrollen oder zur Behebung von Störungen Einblick in zu versendende Schreiben nehmen kann.

Datenschutzrechtliche Bewertung

Vorweg kann festgestellt werden, dass die Inanspruchnahme eines Dienstleisters und der Versand mittels Hybrid-Brief in allen behördlichen Belangen zulässig ist, auch wenn vor allem die Vorgänge des Ausdrucks und der Kuvertierung nicht unter die Vorschriften des Telekommunikationsgesetzes fallen und hierdurch legitimiert werden könnten.

Die Zulässigkeit der Offenbarung der personenbezogenen Daten gegenüber dem Dienstleister ergibt sich aber aus der Auftragsverarbeitung gem. Art. 28 DS-GVO. Der Auftragsverarbeiter ist dabei verpflichtet, die Bestimmungen der DS-GVO einzuhalten und den Schutz der Rechte der betroffenen Personen zu gewährleisten.

Voraussetzung ist aber in jedem Fall der Abschluss eines entsprechenden Vertrages zur Auftragsverarbeitung gem. Art. 28 Abs. 3 DS-GVO.

Der frühere Standpunkt des LfDI, wonach der Abschluss eines Vertrages über die Verarbeitung personenbezogener Daten im Auftrag (Art. 28 DS-GVO) mit einer privaten Stelle zu dem oben genannten Zweck im Bereich der Steuer- und Kommunalabgabenverwaltung wegen des entgegenstehenden Amtsgeheimnisses als unzulässig zu bewerten ist, wird nach dem Wegfall von § 4 Abs. 4 S. 2 LDSG aF. nicht mehr aufrechterhalten.

Insofern spricht aus datenschutzrechtlicher Sicht nichts dagegen, den Postversand in allen behördlichen Belangen mittels Hybrid-Brief zu organisieren.

Sachverhalt

Eine Behörde möchte Lichtbilder aus dem Pass- und Personalausweisregister auf Anfrage einer Bußgeldstelle über öffentlich zugängliche Netze unverschlüsselt versenden.

Datenschutzrechtliche Bewertung

Die unverschlüsselte Übermittlung personenbezogener Daten per E-Mail über das Internet ist rechtswidrig, da eine unbefugte Kenntnisnahme Dritter nicht zuverlässig ausgeschlossen werden kann.

Mit der vorhandenen Infrastruktur (KNRP, rlp-netz, virtuelle Poststelle, DOI) besteht aber für öffentliche Stellen grundsätzlich die Möglichkeit, untereinander datenschutzkonform zu kommunizieren.

Wird diese Infrastruktur nicht genutzt, ist bei der Übermittlung personenbezogener Daten per E-Mail im Falle eines normalen Risikos zumindest eine obligatorische Transportverschlüsselung sicherzustellen.

Im Falle eines hohen Risikos muss von Seiten des Verantwortlichen regelmäßig eine qualifizierte Transportverschlüsselung und ggf. zusätzlich eine Ende-zu-Ende-Verschlüsselung der E-Mail Inhalte vorgenommen werden. Ein solcher Fall wäre z.B. dann gegeben, wenn anstatt des bloßen Lichtbildes der vollständige Personalausweis übermittelt würde, denn hier könnte es bei einem unberechtigten Zugriff u.a. zu Identitätsdiebstahl kommen.

Detaillierte Ausführungen hierzu finden Sie in den in der Orientierungshilfe der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) aufgeführten Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail.

Ein ausreichender Schutz in Form einer Ende-zu-Ende-Verschlüsselung kann auch durch die Verwendung einer passwortgeschützten pdf-Datei oder eines Archiv-Containers (zip-Container) sichergestellt werden. Der empfangenden Stelle sollte das angemessen komplexe Passwort auf einem separaten Weg gesondert mitgeteilt werden.

Weitere Informationen

• Speicherung in der Cloud
• Orientierungshilfe "Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail" der DSK

Sachverhalt

Ein Bürger wandte sich an eine Behörde und äußerte in seinem Schreiben seine Meinung zum Thema Arbeitslosigkeit. Dabei schilderte er auch seine persönliche Situation. Das Schreiben wurde an die Bundesagentur für Arbeit weitergeleitet. Damit war der Bürger nicht einverstanden, da er nicht um Unterstützung bei der Arbeitsplatzsuche gebeten hatte.

Datenschutzrechtliche Bewertung

§ 5 Landesdatenschutzgesetz (LDSG) legt fest, welche Stelle für die Zulässigkeit der Übermittlung verantwortlich ist. Bei einer Übermittlung ohne vorherige Anfrage durch die empfangende Behörde – in diesem Fall die Arbeitsagentur – trägt die Verantwortung für die Rechtmäßigkeit ausschließlich die übermittelnde Behörde (§ 5 S. 1 LDSG). Sie muss beachten, dass hierfür eine Verarbeitungsgrundlage vorliegt.

Mangels einer speziellen gesetzlichen Regelung könnte sich die Zulässigkeit der Übermittlung aus dem nachrangigen Auffangtatbestand des § 3 LDSG ergeben. Dieser kann dann bejaht werden, wenn die Übermittlung des Schreibens an die Arbeitsagentur zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die der übermittelnden Stelle übertragen wurde, erforderlich ist. Die Vorschrift wiederholt inhaltsgleich die Regelungen des Art. 6 Abs. 1 lit e) DS-GVO.

Gemäß der Vorschrift des § 12 Abs. 4 Ziffer 6 LDSG-alt war es möglich, Daten an Dritte weiter zu leiten, wenn offensichtlich war, dass die Weitergabe im Interesse des Betroffenen lag und kein Grund zu der Annahme bestand, dass er in Kenntnis des Zwecks seine Einwilligung verweigert hätte. Diese Regelung existiert in diesem Wortlaut nicht mehr.

Gemäß § 7 Abs. 3 Nr. 1 LDSG ist eine Zweckänderung zulässig, wenn die Einholung der Einwilligung der betroffenen Person nicht möglich ist oder mit unverhältnismäßig hohem Aufwand verbunden wäre, aber offensichtlich ist, dass die Datenverarbeitung zu ihrem Schutz erfolgt und sie in Kenntnis des anderen Zwecks ihre Einwilligung erteilen würde.

Von daher wird in einem solchen Fall empfohlen, vor der Weitergabe von personenbezogenen Daten an die eigentlich zuständige Behörde grundsätzlich die Zustimmung der betroffenen Person einzuholen. Es sollte ein Hinweis darauf erfolgen, dass eine abschließende Bearbeitung nicht möglich ist und man beabsichtigt, die Angelegenheit zur Beantwortung an die fachlich zuständige Behörde weiterzuleiten.

Sachverhalt

Messengerdienste wie WhatsApp, Threema oder auch Signal sind aus Sicht der Nutzer komfortabel, schnell und einfach zu bedienen. Darüber hinaus können sie dazu beitragen, die dienstliche Kommunikation erheblich zu vereinfachen. Kein Wunder also, dass diese Apps boomen und großen Zuspruch erfahren. Man kann schnell ganze Organisationseinheiten über bestimmte Sachverhalte informieren und unkompliziert Rückmeldungen erhalten. 

Doch ist dies unter datenschutzrechtlichen Aspekten überhaupt zulässig? Darf WhatsApp zu dienstlichen Zwecken und für die dienstliche Kommunikation verwendet werden? 

Datenschutzrechtliche Bewertung

Zu den Gefahren, die sich insbesondere im Hinblick auf die Nutzung von WhatsApp ergeben, hat sich der LfDI u.a. auf seiner Webseite ausführlich geäußert. 

Zusammenfassend ergeben sich erhebliche Bedenken aufgrund der unverschlüsselten Speicherung von WhatsApp-Daten im Rahmen von Cloud-Backups, der unverschlüsselten Speicherung der Daten auf dem jeweiligen Endgerät sowie der Speicherung von Chat-Anhängen (Fotos, Videos) in der jeweiligen Smartphone Mediathek. 

Größter Kritikpunkt insbesondere bei WhatsApp ist die regelmäßige Übertragung der Telefonnummern aus dem Adressbuch des Nutzers an den Betreiber des Messengerdienstes, da diese automatisch und ohne Differenzierung zwischen Nutzern und Nichtnutzern stattfindet.  Es gibt aber auch Messengerdienste, bei denen diese Funktion unterbunden werden kann (z.B. Threema oder Signal). 

Doch um zur eingangs gestellten Frage zurückzukehren: „Darf man WhatsApp & Co nun zur dienstlichen Kommunikation verwenden?“ 

Messenger-Dienste sind nicht a priori datenschutzwidrig. Dies gilt auch für WhatsApp., Aktuelle Probleme resultieren weniger aus der Gestaltung des Dienstes, sondern aus dessen Einsatzbedingungen in der Praxis. Ein datenschutzkonformer Einsatz ist daher unter bestimmten Voraussetzungen möglich. 

Hierzu zählen

• der Einsatz aktueller Software-Versionen, um eine Verschlüsselung der Kommunikationsinhalte zu gewährleisten
• der Einsatz dienstlicher/geschäftlicher Mobiltelefone; eine Nutzung privater Endgeräte kommt nur ausnahmsweise und verbunden mit tragfähigen Container-Lösungen in Betracht
• die Nutzung eines „one-record-Adressbuchs“ mit ausschließlich der Telefonnummer des Diensteanbieters, eines Telefonbuchs mit ausschließlich Kontakten des benutzten Messengerdienstes oder eine Sperre des Adressbuchzugriffs durch den Messengerdienst
• die Deaktivierung von Cloud-Backups
• die Sicherstellung, dass Chat-Anhänge nicht in der Mediathek des Mobiltelefons gespeichert werden bzw. Dritt-Applikationen keine Zugriff darauf haben
• eine ausreichende Absicherung der Endgeräte (Zugriffssperre, Verschlüsselung)

Sachverhalt

In vielen Fällen wird dazu übergegangen, herkömmliche Schließanlagen öffentlicher Gebäude – wie z.B. Verwaltungsgebäude oder Feuerwehrgerätehäuser - gegen elektronische Schließsysteme auszutauschen. Anstatt mit einem herkömmlichen Schlüssel wird der Zugang dann z.B. mittels Chip gewährt. Auch die Möglichkeit, Türen über biometrische Erfassungsmerkmale zu öffnen, ist längst kein Zukunftsszenario mehr.

Die Vorteile elektronischer Systeme liegen darin, dass eine einfache und unkomplizierte Schlüsselverwaltung gegeben ist. Geht zum Beispiel der Zugangschip verloren, so können unberechtigte Zutritte dadurch verhindert werden, dass der Chip für die weitere Verwendung gesperrt wird. Auch die Schließberechtigungen für einzelne Schlösser können schnell verändert werden, ohne dass Schlüssel und / oder Schlösser aufwändig ausgetauscht werden müssen.

Vielfach bieten die Systeme aber auch weitere Funktionalitäten wie eine detaillierte Schließprotokollierung.

Sind diese Systeme aus datenschutzrechtlicher Sicht zulässig und was ist bei ihrem Einsatz zu beachten?

Datenschutzrechtliche Bewertung

Grundsätzlich spricht nichts gegen den Einsatz elektronischer Schließanlagen, wenn sich die Verarbeitung personenbezogener Daten darauf beschränkt, festzuhalten, welcher Zugangschip welcher Person zugeordnet ist und welche Schlösser damit geöffnet werden können.

Unter Beachtung des Grundsatzes der Datenminimierung (Art 5 Abs. 1 lit. c DS-GVO) sind diese Daten ausreichend, um den eigentlichen Zweck – nämlich eine ordnungsgemäße Zutrittskontrolle zu gewährleisten – zu erfüllen. Ein elektronisches Schließsystem verarbeitet in dieser Hinsicht keine zusätzlichen Daten im Vergleich zu einer konventionellen, herkömmlichen Schließanlage.

Werden jedoch über den ursprünglichen Zweck hinaus weitere personenbezogene Daten erhoben, wie beispielsweise die detaillierte personenbezogene Protokollierung der Zutritte, dann ist dies nur zulässig, wenn eine der in Art. 6 Abs.1 DS-GVO genannten Voraussetzungen zutreffend ist.

Eine Einwilligung der davon betroffenen Personen, die oftmals als Legitimation von den jeweils Verantwortlichen angesehen wird, ist in den o.g. Fällen nicht zielführend, da Einwilligungen im Rahmen eines Über- / Unterordnungsverhältnisses i.d.R. keine gültige Rechtsgrundlage liefern können (vgl. hierzu Erwägungsgrund 43 zur DS-GVO).

Aufgrund des bestehenden Verhältnisses zwischen der jeweiligen Gebietskörperschaft als Arbeitgeber oder Träger einer öffentlichen Einrichtung auf der einen Seite und den Beschäftigten bzw. den ehrenamtlich Tätigen auf der anderen, ist ein deutliches Ungleichgewicht im Sinne des Erwägungsgrundes 43 gegeben. Aus diesem Grund kann die Einwilligung als Ermächtigungsgrundlage regelmäßig nicht herangezogen werden.

Zudem folgt aus dem Grundsatz der Gesetzmäßigkeit der Verwaltung, dass personenbezogene Daten auch dann nicht mit einer Einwilligung erhoben werden dürfen, wenn die Daten zur Aufgabenerfüllung der öffentlichen Stelle auf der Grundlage einer Rechtsnorm nicht erforderlich sind. Dabei ist insbesondere zu berücksichtigen, dass gesetzlich gewollte Legitimationslücken nicht durch Einwilligungen überbrückt werden dürfen.

Die zuvor genannten Ausführungen gelten in erhöhtem Maße bei der Verwendung biometrischer Zugangskontrollen z.B. durch Fingerabdruck oder Iris-Scans. In diesen Fällen werden besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DS-GVO verarbeitet. Dies ist im Regelfall nicht notwendig, sodass von der Verwendung solcher Zutrittssysteme abzusehen ist.

Kurzzusammenfassung

• Elektronische Zutrittssysteme sind zulässig, wenn sich die Datenverarbeitung darauf beschränkt, zu protokollieren, welcher Zutrittschip welcher Person zugeordnet ist.
• Eine Protokollierung und Auswertung von Zutritten ist in der Regel nicht zulässig, es sei denn, es liegt eine diesbezügliche Rechtsgrundlage vor.
• Biometrische Zutrittssystem sind unter dem Grundsatz der Erforderlichkeit und Verhältnismäßigkeit aus datenschutzrechtlicher Sicht in den allermeisten Fällen unzulässig.

Sachverhalt

Darf eine Personalakte eines Verstorbenen von Angehörigen eingesehen werden, um Ahnenforschung zu betreiben? Und wie verhält es sich mit der Archivierung der Personalakte?

Datenschutzrechtliche Bewertung

Sowohl das Landesdatenschutzgesetz (LDSG) als auch die europäische Datenschutzgrundverordnung (DS-GVO) schützen nur lebende Einzelpersonen als Inhaber des Rechts auf informationelle Selbstbestimmung. Dieses Recht jedes einzelnen Menschen umfasst, selbst zu entscheiden, wer was über ihn weiß und was mit diesem Wissen angefangen wird.

Allerdings werden Daten bereits Verstorbener vom sog. postmortalen Persönlichkeitsschutz bewahrt. Dieser ergibt sich ausschließlich aus dem Recht der Menschenwürde nach Art. 1 GG. Er folgt dem Recht auf informationelle Selbstbestimmung.

Der Staat kann daher auch nach dem Tod des Betroffenen dessen Daten nicht jedermann frei zugänglich machen. Darüber hinaus können durch Informationen über Verstorbene beispielsweise auch lebende Nachkommen betroffen sein.

Rund um die Verarbeitung von Personalaktendaten gibt es spezielle gesetzliche Regelungen (§§ 87 ff. Landesbeamtengesetz, LBG). Im Falle der Verarbeitung von Personalaktendaten der Beschäftigten sowie der Auszubildenden verweist § 20 Abs. 4 LDSG auf das LBG , so dass die beamtenrechtlichen Bestimmungen für die Aufbewahrungsdauer sämtlicher öffentlich Bediensteten einschlägig sind.

So erlaubt § 92 Abs. 4 LBG, dass Hinterbliebenen und deren Bevollmächtigten Auskunft, auch in Form der Einsicht, gewährt wird, wenn ein berechtigtes Interesse besteht. Eine Einsichtnahme zum Zwecke der Familienforschung kann ein solches Interesse begründen. Die Kenntnis von Unterlagen über Beihilfen, Heilfürsorge oder Erkrankungen bzw. Heilverfahren ist in diesem Zusammenhang aber gegebenenfalls nicht erforderlich.

Werden Personalakten ewig aufbewahrt?

An den Abschluss eines Verwaltungsvorganges, wie z.B. einer Personalakte, schließt sich dessen Aufbewahrung an. Wann ein Verwaltungsvorgang abgeschlossen ist, richtet sich u.a. danach, ob versorgungsberechtigte Angehörige vorhanden sind (§ 96 Abs. 1 LBG); hieran schließt sich eine Fünf-Jahresfrist an. Sind diese Fristen abgelaufen,. sind die Personalakten zu vernichten, sofern sie nicht von einem öffentlichen Archiv übernommen werden.

Nach Ablauf der Aufbewahrungsfrist ist ein Vorgang daher grundsätzlich nach dem Archivgesetz der Landesarchivverwaltung zur Übernahme anzubieten. Die Abgabe von archivwürdigen Akten (§ 1 Abs. 1 S. 1 LArchG) stellt somit eine Alternative zur Löschung von personenbezogenen Daten im Sinne der DS-GVO und des LDSG dar. 

Die Zulässigkeit einer Weiterverarbeitung zu archivrechtlichen Zwecken ergibt sich aus Art. 5 Abs. 1 lit. b DS-GVO. Mit § 6 LDSG wird sichergestellt, dass die Löschung der personenbezogenen Daten, die für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind, in Abweichung zu Art. 17 Abs. 1 lit. a DS-GVO bis zu einer archivrechtlichen Entscheidung zurückgestellt wird.

Im Interesse der Vollständigkeit kommunaler Archive können Akten von Behördenleitern dauerhaft aufbewahrt werden. Wird ein Vorgang mangels bleibenden Werts von der Archivverwaltung nicht übernommen, schließt sich grundsätzlich die Löschung an. In diesem Zusammenhang sei darauf hingewiesen, dass auch bei der Aufbewahrung abgeschlossener Verwaltungsvorgänge und insbesondere bei Personalakten zu gewährleisten ist, dass die abgelegten Vorgänge jeweils nur den sachlich zuständigen Mitarbeiterinnen und Mitarbeitern zugänglich sind.

Sachverhalt

Bei Kontrollen des Landesrechnungshofes in Kommunalverwaltungen wird regelmäßig auch die Herausgabe personenbezogener Daten verlangt, die im Zusammenhang mit dem geprüften Sachgebiet stehen. Besondere Bedeutung hat dieses Thema insbesondere in sensiblen Bereichen wie z.B. in der Personalverwaltung sowie in den Jugend- und Sozialämtern.

Oft stellt sich für die geprüften Verwaltungen die Frage, inwieweit überhaupt einzelne Personal- bzw. Fallakten an den Rechnungshof herausgegeben werden dürfen, da diese eine hohe Anzahl höchstpersönlicher Daten enthalten und in vielen Fällen auch besondere Kategorien im Sinne des Art. 9 DS-GVO betroffen sind.

Datenschutzrechtliche Bewertung

Der Rechnungshof ist das oberste Organ der Finanzkontrolle in Rheinland-Pfalz.  Er ist - genau wie der Landesbeauftragte für den Datenschutz und die Informationsfreiheit - eine der Landesregierung gegenüber selbstständige, nur dem Gesetz unterworfene oberste Landesbehörde. Aufgrund dieser herausragenden Stellung ist auch die datenschutzrechtliche Aufsichtstätigkeit des LfDI gegenüber dem Rechnungshof stark eingeschränkt und für diejenigen Fälle ausgeschlossen, bei denen der Rechnungshof im Rahmen seiner Prüfungs- und Beratungstätigkeit innerhalb der ihm gewährten richterlichen Unabhängigkeit handelt. Dies ergibt sich aus § 16 Absatz 2 Landesdatenschutzgesetz (LDSG).

In diesem Zusammenhang muss schließlich auch darauf verwiesen werden, dass Art. 120 Abs. 2 der Landesverfassung i.V.m. § 95 Landeshaushaltsordnung (LHO) die öffentlichen Stellen verpflichtet, Unterlagen, die der Rechnungshof zur Erfüllung seiner Aufgaben für erforderlich hält, diesem auf Verlangen vorzulegen bzw. ihm Auskünfte zu erteilen. Insoweit ergibt sich die Ermächtigungsgrundlage zur Weitergabe benötigter personenbezogener Daten von der Kommunalverwaltung an den Rechnungshof aus Art. 6 Abs. 1 lit. c), Absätze 2 und 3 DS-GVO und den eingangs genannten Vorschriften der Landesverfassung und der LHO.

Doch auch, wenn der LfDI keine grundsätzliche Aufsicht gegenüber dem Rechnungshof ausüben kann, ist er gleichwohl berechtigt und verpflichtet, die Kommunalverwaltungen zu beraten, wie weit die o.g. Verpflichtungen auszulegen sind.

Bei der Vorlage von Personalakten ist in jedem Fall der rechtsstaatliche Grundsatz der Verhältnismäßigkeit zu beachten, welcher sich in der Gesamtbetrachtung auch aus den Vorschriften der Datenschutz-Grundverordnung ergibt.

Dies schließt nach Auffassung des LfDI die generelle Vorlage aller Personalakten einer Behörde aus, sofern keine konkreten Anhaltspunkte für Unregelmäßigkeiten gegeben sind. Eine automatisierte Erteilung von Zugriffsberechtigungen auf Personaldaten etwa, zu bloßen Recherchezwecken, ist damit beispielsweise ausgeschlossen.

Die zuvor genannten Empfehlungen finden auch in den Bereichen der Sozialverwaltung Anwendung und sind insoweit übertragbar. Zulässig ist eine Übermittlung zur Überprüfung der Wirtschaftlichkeit der Verwaltung soweit die Daten für eine konkrete Prüfung erforderlich sind (vgl. §§ 35 Abs. 1 Satz 4 SGB I, 67c Abs. 3 Satz 1 und 69 Abs. 5 SGB X). Sollen auch anvertraute Daten im Sinne des § 65 SGB VIII geprüft werden, so dürfen diese allerdings nur mit Einwilligung desjenigen, der die Daten anvertraut hat, weitergegeben werden.

Vor einer beabsichtigten Bereitstellung von Akten sollte daher in allen Fällen geklärt werden, welche Aktenbestandteile der ggf. in verschiedenen Bereichen geführten Akten tatsächlich zur Durchführung des Prüfauftrages benötigt werden. Auch ist die Frage zu stellen, ob nicht ggf. auch die Weitergabe einer anonymisierten Akte in Frage kommt. Es wird empfohlen, bereits im Vorfeld mit den zuständigen Personen des Rechnungshofes zu klären, welcher konkrete Prüfauftrag vorliegt und in welchem Umfang erforderliche Unterlagen bereitzustellen sind.

Weitergehende und ergänzende Informationen

• 15. Tätigkeitsbericht des Landesbeauftragten für den Datenschutz, Rzf. 17.9, Einsichtsrecht des Landesrechnungshofes in Personalakten der Landeszentrale für private Rundfunkveranstalter (LPR)
• 17. Tätigkeitsbericht des Landesbeauftragten für den Datenschutz, Rzf. 11.3.1, Rechnungsprüfung im Jugendamt