Kommunale Gremien

© Gerd Altmann / pixabay.com

Bei der Arbeit kommunaler Räte und Ausschüsse sind vielfach datenschutzrechtliche Anforderungen zu beachten. Probleme ergeben sich häufig dann, wenn digitale Verfahren wie ein Ratsinformationssystem zum Einsatz kommen oder wenn eine Sitzung digital aufgezeichnet, übertragen oder gar virtuell durchgeführt wird.

Die Nutzung digitaler Ratsinformationssysteme durch die Ratsmitglieder sollte aus Datenschutzgründen nach Möglichkeit grundsätzlich auf von der Gemeinde bereitgestellten Endgeräten erfolgen.

Zum Einsatz privater mobiler Geräte hat sich der LfDI in seinem Datenschutzbericht 2010/2011 geäußert. Danach sind für dienstliche Aufgaben grundsätzlich dienstlich bereitgestellte Geräte zu nutzen. Bei der Nutzung privater Geräte hat die Dienststelle letzten Endes nicht die vollständige bzw. alleinige Verfügungsgewalt. Ihr Einsatz kommt damit aus Sicht des LfDI nur ausnahmsweise in Betracht. Um Sicherheitsbeeinträchtigungen zu vermeiden, muss ein Einsatz privater Geräte auf Bereiche beschränkt bleiben, die verlässlich durch organisatorische Regelungen gehandhabt werden können.

Der Einsatz privater Endgeräte für den Abruf und die Speicherung von Unterlagen aus Ratsinformationssystemen ist ausnahmsweise zulässig, wenn folgende Anforderungen bzw. Sicherheitsmaßnahmen erfüllt sind:

Wenn es sich bei den bereitgestellten Daten um Unterlagen handelt, die in öffentlicher Sitzung behandelt werden und die im Rahmen des Landestransparenzgesetzes auf Antrag ohne Einschränkungen zugänglich gemacht werden können, unterliegen diese keinen besonderen Vertraulichkeitsanforderungen. In diesen Fällen begegnet eine Speicherung und Verarbeitung derartiger Unterlagen auf privaten Endgeräten keinen datenschutzrechtlichen Bedenken; besondere Maßnahmen zur Sicherung der Vertraulichkeit sind nicht erforderlich.

Allerdings regelt Art. 17 Abs. 1 Nr. 1 DS-GVO, dass personenbezogene Daten unverzüglich zu löschen sind, wenn sie für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind. Das dürfte regelmäßig nach dem Ende der jeweiligen Sitzung der Fall sein. Die Mandatsträgerinnen und -träger wären jedenfalls darauf hinzuweisen, dass die Vorlagen dann gelöscht bzw. datenschutzgerecht vernichtet werden. Eine weitere Speicherung bzw. Aufbewahrung wäre nur zulässig, wenn dies zu einer weiterhin andauernden Aufgabenerfüllung notwendig ist.

Soweit vertrauliche Unterlagen oder Unterlagen für in nicht-öffentlicher Sitzung zu behandelnde Vorgänge betroffen sind (Daten mit normalem Schutzbedarf), sind Maßnahmen nach Art. 32 Abs. 1 lit. b DS-GVO zu treffen, die gewährleisten, dass personenbezogene Daten nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Neben technischen Maßnahmen bei den eingesetzten Geräten bedarf es hierzu verbindlicher Vereinbarungen über den Abruf und die Nutzung von Unterlagen aus dem Ratsinformationssystem. Zudem muss der Schutz vor unbefugter Kenntnisnahme und Löschung von Daten gewährleistet sein.

Das Sicherheitsniveau der eingesetzten Privatgeräte muss grundsätzlich dem entsprechender dienstlicher Geräte vergleichbar sein. Neben einem ausreichenden Schutz vor Schadsoftware bedarf es hierzu technischer Zugriffsregelungen, die eine unbefugte Kenntnisnahme wirksam verhindern (z.B. getrennte Nutzerkennungen, Differenzierung von Zugriffsrechten auf Dokumente und Verzeichnisse).

Häufig ist dies aufgrund fehlender technischer Kenntnisse der Besitzer der Geräte, des jeweiligen Nutzungsspektrums oder der Mitnutzung durch Dritte jedoch nicht verlässlich zu gewährleisten. In solchen Fällen bedarf es einer Verschlüsselung der auf Privatgeräten gespeicherten Daten. Dies kann auf Dokument- oder Verzeichnisebene oder durch die Nutzung verschlüsselter Laufwerke erfolgen. Bestehende Möglichkeiten hierzu sind im Internetangebot des LfDI dargestellt; die für die sichere Ablage von Daten auf Cloud-Speichern empfohlenen Verfahrensweisen eignen sich auch für die Speicherung vertraulicher Unterlagen auf Privatgeräten.

Ohne einen ausreichenden Zugriffsschutz oder eine wirksame Verschlüsselung ist die Speicherung und Verarbeitung vertraulicher Unterlagen aus einem Ratsinformationssystem mit der Pflicht des Verantwortlichen aus Art. 24 Abs. 1 DS-GVO nicht vereinbar.

Eine besondere Situation ergibt sich bei der Nutzung privater mobiler Geräte wie Smartphones oder Tablet-PCs. Diese verfügen in der Regel systemseitig nicht über ausreichende Sicherheitsfunktionen und Möglichkeiten, Zugriffsrechte differenziert vergeben zu können; weiterhin besteht bei dieser Geräteklasse erfahrungsgemäß eine größere Gefahr des Verlusts oder Diebstahls.

Soweit derartige Geräte für den Abruf und die Speicherung vertraulicher Unterlagen aus dem Ratsinformationssystem zugelassen werden sollen, bedarf es, um den Anforderungen aus Art. 32 Abs. 1 DS-GVO zu entsprechen, zwingend des Einsatzes von Zusatzlösungen, die eine verschlüsselte Speicherung der Unterlagen sicherstellen und die Möglichkeit bieten, ein Gerät im Falle des Verlusts zu sperren oder die Daten zu löschen.

Im Einzelnen hält der LfDI in diesem Zusammenhang folgende Maßnahmen für erforderlich:

  • Die Geräte müssen über einen Schutz vor unbefugter Inbetriebnahme oder Nutzung verfügen (z.B. PIN, Sperrmuster).
  • Es muss sichergestellt sein, dass eine Trennung zwischen privaten Anwendungen und Daten und den aus dem Ratsinformationssystem bezogenen Daten erfolgt; für letztere muss eine verschlüsselte Speicherung erfolgen. Beiden Anforderungen kann mit sog. „Container-Lösungen“ entsprochen werden, die eine Kapselung von Daten und ggf. Anwendungen ermöglichen. Soweit auf den Geräten ausschließlich eine Speicherung von Unterlagen aus dem Ratsinformationssystem erfolgt, kann auf die o.g. Lösungen zur sicheren Ablage von Dokumenten zurückgegriffen werden.
  • Die Betriebssysteme der Geräte müssen auf einem aktuellen Stand sein; System- und Sicherheitsfunktionen dürfen nicht durch unzulässige Maßnahmen verändert worden sein (kein „Jailbreak“ oder „Root“).
  • Die Eigentümerinnen und Eigentümer des Geräts müssen verpflichtet werden, die Sicherheitsmaßnahmen auf ihrem Gerät umzusetzen und auf letztgenannte Funktionen zu verzichten.

Soweit diesen Anforderungen auf den vorgesehenen Geräten nicht entsprochen werden kann, ist von der Verwendung privater Smartphones und Tablet-PCs abzusehen.

Die dargestellten Anforderungen gelten für Unterlagen und Daten mit normalem dienstlichem Schutzbedarf. In Fällen, in denen die Daten einen besonderen Schutzbedarf haben bzw. besonderen Vertraulichkeitsanforderungen unterliegen, scheidet eine Bereitstellung von Unterlagen über das Ratsinformationssystem möglicherweise grundsätzlich, zumindest jedoch deren Speicherung und Verarbeitung auf privaten Geräten, aus. Dies ist aus Sicht des LfDI v.a. für die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DS-GVO sowie für Daten zu prüfen, die einem besonderen Berufs- und Amtsgeheimnis (§ 203 StGB) unterliegen oder Personalangelegenheiten oder die Annahme von Spenden behandeln.

Mittlerweile übertragen einzelne Kommunen Ratssitzungen und/oder Ausschusssitzungen live oder zeitversetzt als Aufzeichnung ins Internet. Rechtliche Grundlagen hierfür finden sich seit 2015 in § 35 Absatz 1 Sätze 4 bis 6 Gemeindeordnung (GemO) bzw. § 28 Absatz 1 Sätze 4 bis 6 Landkreisordnung (LKO).

Die darin enthaltenen Regelungen wurden eingeführt, um die Öffentlichkeit zu stärken, insbesondere um die Einwohnerinnen und Einwohner über digitale Aufzeichnungen und Bild- und Tonübertragungen von Rats- und Ausschusssitzungen am kommunalen Geschehen teilhaben zu lassen. Es handelt sich dabei ausschließlich um Regelungen zur sogenannten „Medienöffentlichkeit“, welche von einer digitalen Sitzungsteilnahme abgegrenzt werden müssen. Hierzu finden sich wiederum entsprechende Regelungen in § 35 Absatz 3 GemO und in § 35 a GemO bzw. § 28 Absatz 3 und 28 a LKO.

 

Medienöffentlichkeit

Von wesentlicher datenschutzrechtlicher Bedeutung ist eine rechtssichere Regelung zur Medienöffentlichkeit. Gemäß der Gesetzesbegründung von 2015 ist es den Mandatsträgerinnen und -trägern vor Ort überlassen, in der Hauptsatzung Näheres zur Art und Weise der Übertragung zu regeln.

Die Bedingungen für die Zulässigkeit der Aufzeichnungen und Übertragungen können also eigenständig geregelt und an die Verhältnisse vor Ort angepasst werden. In Betracht kommen insbesondere Hauptsatzungsregelungen zum Standort einer Kamera, zu Zeit, Dauer und Art der Bild- und Tonaufnahmen sowie Bild- und Tonübertragungen und die Ausnahmen im Einzelfall. Es können beispielsweise Regelungen zum Aufnahmebereich (gegebenenfalls nur das Rednerpult), der Art (Live-Stream, zeitversetzt, Podcast), zur Befristung der Veröffentlichung und zur anschließenden Entfernung aus dem Internetangebot getroffen werden.

Insbesondere die Festlegung des Aufnahmebereichs ist von Bedeutung, weil Übertragungen beziehungsweise Aufzeichnungen von Mitarbeiterinnen und Mitarbeitern der Verwaltung sowie von zuhörenden Personen nicht ohne weitere Rechtsgrundlage zulässig sind.

Für die Zuhörenden muss nach Ansicht des LfDI eine informierte Einwilligung vorliegen. Ein bloßer Hinweis an Zuhörende während einer Gremiensitzung, dass währenddessen Film- und Tonaufnahmen vorgenommen und übertragen werden, reicht nicht aus.

Eine solche Übermittlung der Daten von Personen in einem Dienst- oder Beschäftigungsverhältnis an Personen und Stellen außerhalb des öffentlichen Bereichs ist nur zulässig, wenn die Empfängerin oder der Empfänger ein rechtliches Interesse darlegt, der Dienstverkehr es erfordert oder die betroffene Person eingewilligt hat (§ 20 Abs. 1 S. 2 LDSG).

Ist dies nicht der Fall, sollte zumindest der schriftführenden Person stets die Möglichkeit eröffnet werden, sich in einem Bereich des Sitzungssaals aufzuhalten, welcher nicht von der Kamera erfasst ist.

Von Bedeutung ist überdies: In Verbindung mit dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DS-GVO) ist auf die Verwaltungsvorschrift zu § 27 GemO Nr. 7.4.2 hinzuweisen, wonach die Unterrichtungspflicht aus § 15 Abs. 1 und § 41 Abs. 5 GemO es nicht erfordert, über jede Sitzung ausführlich zu berichten.

 

Digitale Sitzungsteilnahme

Aufgrund der Erfahrungen während der Corona-Pandemie wurden die Regelungen des § 35 Abs. 3 GemO eingeführt. Darin wurde festgelegt, dass – sofern es aufgrund von Naturkatastrophen oder anderen außergewöhnlichen Notsituationen erforderlich ist – unter bestimmten Voraussetzungen Beschlüsse auch mittels Video- oder Telefonkonferenzen gefasst werden dürfen. Voraussetzung ist allerdings, dass zwei Drittel der gesetzlichen Zahl der Ratsmitglieder einem solchen Verfahren zustimmen.

Durch den Grundsatz der (Medien-)Öffentlichkeit ergeben sich auch hier datenschutzrechtliche Frage- und Problemstellungen.

Gleiches gilt für Anwendungsfälle des § 35a GemO, welcher Regelungen zur digitalen Sitzungsteilnahme einzelner Ratsmitglieder trifft und ein dauerhaft installiertes Pendant zur ausnahmsweisen digitalen Beschlussfassung des § 35 Abs. 3 GemO in Notsituationen darstellt.

Wie schon bei der Medienöffentlichkeit sollten Verantwortliche die Ausgestaltung dieser Übertragungen genau durchdenken. Im Falle des § 35 Abs. 3 GemO betrifft dies insbesondere die Fragestellung, wie und in welcher Weise der Öffentlichkeit die Teilnahme ermöglicht werden kann und wie sichergestellt wird, dass keine Dritten unbefugt Kenntnis von vertraulichen Ratsinformationen erhalten. Dazu stellt § 35 a Abs. 1 Satz 6 GemO klar, dass, sofern die Geschäftsordnung die Teilnahme durch Zuschaltung mittels Ton- und Bildübertragung auch an nicht-öffentlichen Sitzungen zulässt, die zugeschalteten Ratsmitglieder sicherzustellen haben, dass neben ihnen keine weiteren Personen die Sitzung verfolgen können.