Nach wie vor bewegen viele Umsetzungsfragen rund um die DSGVO die Gemüter. Die Geschäftsstelle hat nunmehr Vorschläge zur Erfüllung der Informationspflichten nach Art. 12 bis 14 DSGVO ausgearbeitet und geprüft, inwieweit kommunale Satzungen gesonderte Rechtsgrundlagen für die Datenverarbeitung i.w.S. enthalten müssen.
- Erfüllung von Informationspflichten
Nach Art. 12 bis 14 DGSVO sind betroffenen Personen im Fall der Datenerhebung verschiedene Informationen zur Verfügung zu stellen. Eine besondere Form der Zurverfügungstellung regelt die DSGVO nicht (Art. 12 Abs. 1 Satz 2 DSGVO: „schriftlich oder in anderer Form“).
In Anlehnung an die in der Verwaltungsgerichtsbarkeit anzutreffende Praxis schlägt die Geschäftsstelle vor, diesbezüglich einen kurzen Hinweis auf Schriftstücke und im Zusammenhang mit technischen Vorrichtungen wie Kontaktformularen etwa wie folgt aufzunehmen:
„Informationen zum Schutz personenbezogener Daten bei deren Verarbeitung durch die Stadt/Gemeinde … nach Artikel 13 und 14 der Europäischen Datenschutz-Grundverordnung finden sich auf der Internetseite der Stadt/Gemeinde … (Adresse einfügen). Auf Wunsch betroffener Personen übersenden wir diese Informationen auch in Papierform.“
Vorschläge für die dann ausführlichen Informationen können im Mitgliederbereich unserer Homepage www.hsgb.de in der Rubrik Fachinformationen / E-Government heruntergeladen werden. Dabei gibt es eine Version des Informationsblatts für die allgemeine Verwaltungstätigkeit sowie eine weitere für die Aufgaben kommunaler Steuerämter im Zusammenhang mit den Realsteuern. Letzterer ist angelehnt an das BMF-Schreiben vom 1. 5. 2018 betr. Allgemeine Informationen zur Umsetzung der datenschutzrechtlichen Vorgaben der Artikel 12 bis 14 der Datenschutz-Grundverordnung in der Steuerverwaltung, BStBl. I S. 607.
- Änderung kommunaler Satzungen?
Die Geschäftsstelle erreichen auch Anfragen zur Frage, inwieweit kommunale Satzungen nunmehr zwingend spezielle Datenschutzregelungen enthalten müssten. In der Regel besteht eine solche Notwendigkeit nicht. In den Satzungsmustern des Hessischen Städte- und Gemeindebundes gibt es punktuell Regelungen, soweit Daten auf eine besondere Weise erhoben werden (bspw. Fernauslesung von Wasserzählern, Hundebestandsaufnahmen). Diesbezüglich hatte der Hessische Datenschutzbeauftragte in verschiedenen Tätigkeitsberichten besondere satzungsrechtliche Regelungen für erforderlich, aber auch ausreichend erachtet.
Ein Anpassungsbedarf kommunaler Satzungen und Geschäftsordnungen aufgrund der Datenschutz-Grundverordnung (DSGVO) ergibt sich gegenüber dem bisherigen Recht aber nicht. Der Landesgesetzgeber hat nämlich – ebenso wie der Bundesgesetzgeber im neuen Bundesdatenschutzgesetz (BDSG) – eine umfassende Rechtsgrundlage geschaffen.
Im Einzelnen:
Nach § 3 Abs. 1 des Hessisches Datenschutz- und Informationsfreiheitsgesetzes (HDSIG) ist die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
Diese Vorschrift ist für unsere Mitgliedsstädte und –gemeinden ebenso wie den Hessischen Städte- und Gemeindebund – einschlägig, weil sie öffentliche Stellen sind. „Öffentliche Stellen“ sind nach § 2 Abs. 1 HDSIG die Behörden, die Organe der Rechtspflege und andere öffentlich-rechtlich organisierte Einrichtungen des Landes, der Gemeinden und Landkreise oder sonstige deren Aufsicht unterstehende juristische Personen des öffentlichen Rechts sowie deren Vereinigungen ungeachtet ihrer Rechtsform.
Mit Blick auf Städte und Gemeinden lässt sich sagen: Wer das Recht zum Erlass von Satzungen hat, ist nach hessischem Recht auch ausnahmslos „öffentliche Stelle“. „Verantwortlicher“ ist nach Art. 4 Nr. 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Verwaltungsbehörde der juristischen Person ist bei Städten und Gemeinden der Gemeindevorstand bzw. Magistrat (§ 66 Abs. 1 Satz 1 HGO), wobei der Bürgermeister mit seiner Zuständigkeit für Leitung und Beaufsichtigung des Geschäftsgangs der gesamten Verwaltung und die ihm übertragene Sorge für den geregelten Ablauf der Verwaltungsgeschäfte (§ 70 Abs. 1 Satz 2 HGO) im datenschutzrechtlichen Sinne die natürliche Person „hinter“ der verantwortlichen Gebietskörperschaft ist.
Das in § 3 Abs. 1 HDSIG enthaltene Merkmal „zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe“ ist weit gefasst. Es umfasst nach dem klaren Wortlaut den gesamten, also sowohl den pflichtigen als auch den freiwilligen Aufgabenbereich. Die Vorschrift soll so laut Gesetzesbegründung eine allgemeine Rechtsgrundlage für die Verarbeitung personenbezogener Daten schaffen, die unabhängig davon gilt, zu welchen Zwecken die Datenverarbeitung erfolgt (Begründung zum Gesetzentwurf für ein Hessisches Gesetz zur Anpassung des Hessischen Datenschutzrechts an die Verordnung (EU) Nr. 2016/679 und zur Umsetzung der Richtlinie (EU) Nr. 2016/680 und zur Informationsfreiheit (folgend: Gesetzesbegründung), LT-Drucks. 19/5728 S. 100). Erklärtermaßen wollte der Gesetzgeber mit § 3 Abs. 1 HDSIG eine rechtliche Grundlage i.S.d. Art. 6 Abs. 1 Buchst. e) DSGVO schaffen, die mit dem in ihr verwendeten umfassenden Begriff der Verarbeitung auch sämtliche Phasen der Erhebung, Speicherung, Veränderung und Nutzung erfasst (Gesetzesbegründung LT-Drucks. 19/5728 S. 100).
Auch der Bundesgesetzgeber hat in § 3 BDSG eine wortgleiche Ermächtigung geschaffen, die insbesondere im Zusammenhang mit der Ausführung von Bundesrecht eine entsprechende Grundlage schafft.
Die grundsätzliche Befugnis der öffentlichen Stelle zur Datenverarbeitung aus § 3 Abs. 1 HDSIG wird durch § 21 HDSIG auf weitere Zwecke erstreckt. Nach dieser Vorschrift ist die Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, durch öffentliche Stellen im Rahmen ihrer Aufgabenerfüllung zulässig, wenn (alternativ)
- offensichtlich ist, dass sie im Interesse der betroffenen Person liegt und kein Grund zu der Annahme besteht, dass sie in Kenntnis des anderen Zwecks ihre Einwilligung verweigern würde,
- Angaben der betroffenen Person überprüft werden müssen, weil tatsächliche Anhaltspunkte für deren Unrichtigkeit bestehen,
- sie zur Abwehr erheblicher Nachteile für das Gemeinwohl oder einer Gefahr für die öffentliche Sicherheit oder Ordnung, die Verteidigung oder die nationale Sicherheit, zur Wahrung erheblicher Belange des Gemeinwohls oder zur Sicherung des Steuer- oder Zollaufkommens erforderlich ist,
- sie zur Verfolgung von Straftaten oder Ordnungswidrigkeiten, zur Vollstreckung oder zum Vollzug von Strafen oder Maßnahmen im Sinne des § 11 Abs. 1 Nr. 8 des Strafgesetzbuchs oder von Erziehungsmaßregeln oder Zuchtmitteln im Sinne des Jugendgerichtsgesetzes oder zur Vollstreckung von Geldbußen erforderlich ist,
- sie zur Abwehr einer schwerwiegenden Beeinträchtigung der Rechte und Freiheiten einer anderen Person erforderlich ist oder
- sie der Wahrnehmung von Aufsichts- und Kontrollbefugnissen, der Rechnungsprüfung oder der Durchführung von Organisationsuntersuchungen des Verantwortlichen dient; dies gilt auch für die Verarbeitung zu Ausbildungs- und Prüfungszwecken durch den Verantwortlichen, soweit schutzwürdige Interessen der betroffenen Person dem nicht entgegenstehen.
Laut Gesetzesbegründung kann die Weiterverarbeitung ursprünglich zu anderen Zwecken erhobener Daten auf diese Vorschrift gestützt werden, wenn eine der eben dargestellten tatbestandlichen Voraussetzungen erfüllt ist (Gesetzesbegründung, LT-Drucks. 19/5728 S. 107).
Wir bitten um Kenntnisnahme.
