Manches neu macht der Mai: Datenschutz-Grundverordnung und kommunale Praxis

Ab dem 25. Mai 2018 gilt die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rats vom 21.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, DS-GVO). So bestimmt es Art. 99 Abs. 2 Satz 1 DS-GVO (wir berichteten zuletzt im Eildienst Nr. 1 – ED 4 vom 18. 1. 2018).

1. Geltung auch für Städte und Gemeinden

Die Regelungen der DS-GVO gelten mit bestimmten Modifikationen auch für Körperschaften des öffentlichen Rechts, bspw. also auch Städte, Gemeinden und Landkreise. Allerdings ist bzgl. der Tätigkeit von Behörden in Hessen festzuhalten, dass diese bereits seit Jahrzehnten durch die Bestimmungen des Hessischen Datenschutzgesetzes (HDSG) geregelt ist. So war das HDSG vom 07.10.1970 das erste Gesetz im In- und Ausland, das sich über einschlägige Regelungen in Einzelgesetzen hinaus generell mit dem Schutz der Privatsphäre gegen Eingriffe bei der Datenverarbeitung beschäftigte (vgl. Suppes, in: Hessisches Datenschutzgesetz, Kommentar, 1. Auflage 1982 Einführung, Ziff. 2). Viele der nunmehr durch die DS-GVO für Unternehmen zu beachtenden Regelungen sind daher für Behörden und öffentliche Stellen i. S. d. Hessisches Datenschutzgesetzes (HDSG) nichts grundsätzlich Neues.

2. Umsetzung in hessisches Landesrecht noch nicht abgeschlossen

Aktuell befindet sich der Gesetzentwurf der Fraktionen der CDU und BÜNDNIS 90/DIE GRÜNEN für ein hessisches Gesetz zur Anpassung des Hessischen Datenschutzrechts an die Verordnung (EU) Nr. 2016/679 und zur Umsetzung der Richtlinie (EU) Nr. 216/680 und zur Informationsfreiheit (Drucks. 19/5728) im Gesetzgebungsverfahren.

Das genannte Gesetz enthält in der Fassung des Gesetzentwurfs 31 Artikel zur Änderung bestehender Vorschriften, insbesondere der Änderung des bisherigen HDSG in ein Hessischen Datenschutz- und Informationsfreiheitsgesetz (HDSIG), das derzeit nur im Entwurf (folgend: HDSIG-E) vorliegt. Es ist vorgesehen, dass das HDSIG zum 25.05.2018 in Kraft tritt (vgl. § 91 HDSIG-E).

3. Unübersichtliches Recht und Arbeitshilfen

Misslich für die Praxis ist der Umstand, dass die DS-GVO in weiten Teilen unmittelbar gilt. Das hat zur Folge, dass nach der Rechtsprechung des Europäischen Gerichtshofs ein so genanntes Normwiederholungsverbot greift mit der Folge, dass der nationale Gesetzgeber die dort enthaltenen Vorschriften nicht noch einmal im Zusammenhang in die von ihm getroffenen lückenfüllenden Regelungen einfügen darf. Deshalb müssen die Rechtsanwender in der Verwaltung Zweifelsfragen direkt unter Hinzuziehung des umfangreichen Textes der DS-GVO klären.

Der Hessische Datenschutzbeauftragte stellt insofern in seiner Internetpräsenz Arbeitshilfen zur Verfügung (datenschutz.hessen.de, Rubrik Datenschutz/Neues Datenschutzrecht). In der Anhörung des Landtags zum HDSIG-E hat der Hessische Städte- und Gemeindebund gefordert, dass den Verwaltungen zusammengefasste Sammlungen der zu beachtenden Regelungen aus DS-GVO, HDSIG und anderen Vorschriften zur Verfügung gestellt werden.

Hinzu kommt, dass eine Reihe von Fachgesetzen der Bundes- und Landesebene – wie bisher auch – teilweise Sonderregelungen enthalten, die als Spezialregelungen den Bestimmungen des HDSIG vorgehen und ggfls. Lücken der DS-GVO füllen. 

4. Rechtsgrundlagen der Datenverarbeitung

Die bisher in § 7 HDSG geregelten Rechtsgrundlagen der Datenverarbeitung bestimmen sich künftig nach Art. 6 DS-GVO.

a) Bisherige Regelungen

Nach § 7 Abs. 1 HDSG ist die Verarbeitung personenbezogener Daten durch öffentliche Stellen nur zulässig, wenn

• eine dem HDSG vorgehende Rechtsvorschrift sie vorsieht oder zwingend voraussetzt,
• das HDSG sie zulässt oder
• der Betroffene ohne jeden Zweifel eingewilligt hat.

b) Neue Regelungen

Nach Art. 6 DS-GVO ist eine Verarbeitung nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen gem. Art. 6 Abs. 1 HDSG erfüllt ist:

• Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen.
• Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt.
• Die Verarbeitung ist erforderlich, um lebenswichtige Interessen der Betroffenen oder einer anderen natürlichen Person zu schützen.
• Die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.
• Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben.

In vielen Fällen wird sich die Rechtmäßigkeit der Datenverarbeitung nach wie vor daraus ergeben, dass die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen – also im Regelfall der Gemeinde – übertragen wurde.

c) Besonderheiten bei der Einwilligung

Modifikationen ergeben sich nach neuem Recht allerdings bzgl. der Einwilligung. Nach Art. 7 Abs. 1 DS-GVO muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat, wenn die Verarbeitung auf einer Einwilligung beruht. Insofern enthält bereits § 7 Abs. 2 HDSG Regelungen zu den Anforderungen, die an eine solche Einwilligung zu stellen sind. Konkret verlangt Art. 7 DS-GVO, dass in Fällen, in denen die Einwilligung der betroffenen Person durch eine schriftliche Erklärung erfolgt, die noch andere Sachverhalte betrifft, das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen muss, dass es von anderen Sachverhalten klar zu unterscheiden ist.

Zudem hat die betroffene Person das Recht, ihre Einwilligung jederzeit zu widerrufen, wobei die betroffene Person vor Abgabe der Einwilligung von ihrem Widerrufsrecht in Kenntnis gesetzt werden muss und der Widerruf der Einwilligung so einfach möglich sein muss wie die Erteilung der Einwilligung.

Kritisch ist zu prüfen, ob die Einwilligung freiwillig erteilt wurde. Insofern sieht der Regelungsgrund Nr. 43 DS-GVO vor, dass Einwilligungen in besonderen Fällen, wenn zwischen der betroffenen Person und dem Verantwortlichen ein klares Ungleichgewicht besteht, eine

Einwilligung keine gültige Rechtsgrundlage für die Datenverarbeitung liefern kann; der Erwägungsgrund nennt insofern konkret den Fall, in dem es sich bei dem Verantwortlichen um eine Behörde handelt. Allerdings besagt der Erwägungsgrund Nr. 43 DS-GVO auch, dass die Einwilligung nicht als freiwillig erteilt gilt, wenn zu verschiedenen Verarbeitungsvorgängen von personenbezogenen Daten nicht gesondert eine Einwilligung erteilt werden kann, obwohl dies im Einzelfall angebracht ist, oder wenn die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung von der Einwilligung abhängig ist, obwohl diese Einwilligung für die Erfüllung nicht erforderlich ist.

Vorläufige Einschätzung der Geschäftsstelle: Für die Tätigkeiten der Kommunen wird sich in der Regel ergeben, dass sich die Zu-lässigkeit der Datenverarbeitung bereits aus den bestehenden gesetzlichen und satzungsrechtlichen Regelungen ergibt.

Eine Einwilligung in die Verarbeitung personenbezogener Daten gegenüber einer Kommune kann aber bspw. in Betracht kommen, wenn und soweit bspw. die Leistungserbringung durch die Gemeinde auf gesetzlicher Grundlage erfolgt und sich lediglich Begleitfragen wie etwa Zahlungsmodalitäten aus den bestehenden rechtlichen Grundlagen nicht zwingend ergeben: So ergibt sich die Zulässigkeit der Verarbeitung personenbezogener Daten etwa bei der Inanspruchnahme von Leistungen der Wasserversorgung aus den einschlägigen gesetzlichen Bestimmungen und der Wasserversorgungssatzung einer Gemeinde, die eine Verarbeitung für die Wahrnehmung dieser Aufgabe erforderlich macht i. S. von Art. 6 Abs. 1 Buchst. e DS-GVO. Im Rahmen einer Einwilligung kann aber bspw. durch Erteilung einer Einzugsermächtigung zugunsten der Gemeinde die Einziehung der damit zusammenhängenden Abgaben geregelt werden.

5. Besonders bedeutende Neuerungen

Die Neuerungen der DS-GVO bringen in vielen Fällen Erweiterungen, an anderer Stelle ausnahmsweise auch geringere Anforderungen als nach bisherigem Datenschutzrecht. Im Zusammenspiel mit den vorgeschlagenen Neuregelungen aus dem HDSIG-E sind folgende besonders wichtige Regelungen hervorzuheben:

a) Weiter Begriff der „personenbezogenen Daten“ und der „Verarbeitung“

Personenbezogene Daten sind nach Art. 4 Nr. 1 DS-GVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Eine solche Identifikationsmöglichkeit kann sich aus Namen, Kundennummern, Standortdaten, Online-Kennungen usw. ergeben.

„Verarbeitung“ ist nach Art. 4 Nr. 2 DS-GVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Das HDSG definierte Datenverarbeitung noch als Verwendung gespeicherter oder zur Speicherung vorgesehener personenbezogener Daten (§ 2 Abs. 2 Satz 1 HDSG).

b) Regelungen der Betroffenenrechte

Die DS-GVO enthält folgende Betroffenenrechte, die teilweise keineswegs völlig neu sind: 

• Auskunftsrecht der betroffenen Person (Art. 15 DS-GVO), hier sind in § 33 HDSIG-E allerdings beachtliche zusätzliche Einschränkungen vorgesehen;
• Recht auf Berichtigung (Art. 16 DS-GVO),
• Recht auf Löschung/Recht auf Vergessenwerden (Art. 17 DS-GVO),
• Recht auf Einschränkung der Verarbeitung unter den eingeschränkten Voraussetzungen des Art. 18 DS-GVO),
• Recht auf Datenübertragbarkeit; insofern ist allerdings zu beachten, dass das Recht auf Datenübertragbarkeit nicht für eine Verarbeitung gilt, die für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt und in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde (Art. 20 Abs. 3 Satz 2 DS-GVO).

c) Auftragsdatenverarbeitung

In vielen Fällen bedienen sich öffentliche Stellen sog. Auftragsdatenverarbeiter. Das ist aktuell unter den Voraussetzungen von § 4 HDSG zulässig.

Künftig enthalten Art. 28 und 29 DS-GVO entsprechende Regelungen. Insofern ist es allerdings bereits nach geltendem Recht so, dass die Verarbeitung personenbezogener Daten im Auftrag nach § 4 HDSG entsprechenden Einschränkungen unterliegt.

Insofern hat die ekom21 bereits mitgeteilt, dass diese die erforderlichen organisatorischen Maßnahmen treffen wird, um den neuen Vorgaben des Datenschutzrechts gebührend Rechnung zu tragen. Nach Art. 28 Abs. 3 DS-GVO erfolgt die Verarbeitung durch einen Auftragsverarbeiter auf Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in den Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind, wobei Art. 28 Abs. 3 Satz 2 insofern nähere Einzelheiten bestimmt.

Ein derartiges anderes Rechtsinstrument hat bspw. die ekom21 durch Änderung ihrer Benutzungsordnung getroffen, sodass insofern keine einzelvertraglichen Vereinbarungen getroffen werden müssen.

d) Dokumentationspflichten

Nach wie vor gibt es eine Vielzahl von Dokumentationspflichten. Verletzungen des Schutzes personenbezogener Daten sind einschl. der Auswirkungen ergriffenen Abhilfemaßnahmen zu dokumentieren (Art. 33 Abs. 5 DS-GVO). Anstelle der bisherigen Vorabkontrolle nach § 7 Abs. 6 HDSG tritt die Datenschutz-Folgeabschätzung nach Art. 35 DS-GVO.

 

e) Verzeichnis der Verarbeitungstätigkeiten

Nach Art. 5 Abs. 2 DS-GVO sind die Verantwortlichen grundsätzlich gehalten, die Rechtmäßigkeit der Datenverarbeitung nachzuweisen. Zentrale Bedeutung kommt insofern dem Verarbeitungsverzeichnis nach Art. 30 DS-GVO zu. Verfahrensverzeichnisse hatten die öffentlichen Stellen in Hessen bereits gem. § 6 HDSG zu führen. Der Hessische Datenschutzbeauftragte hat insofern in seiner Internetpräsenz bereits Hinweise und Muster zum Verzeichnis von Bearbeitungstätigkeiten eingestellt. Für das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DS-GVO gibt es entsprechende Arbeitshilfen des Hessischen Datenschutzbeauftragten und werden teilweise auch vorgefüllte Muster seitens der Anbieter – bspw. nach deren Aussage in absehbarer Zeit von Seiten der ekom21 – zur Verfügung gestellt.

f) Ausnahme von den Bußgeldregelungen – keine Freistellung von Schadensersatzansprüchen

Art. 83 DS-GVO enthält Bußgeldregelungen, die die Grundlage für die Verhängung empfindlicher Geldbußen darstellen können. Nach § 36 HDSIG-E wird in Hessen die Verhängung von Bußgeldern gegen öffentliche Stellen ausgeschlossen. Eine vergleichbare Einschränkung zu Gunsten der öffentlichen Stellen ist bezüglich der in Art. 82 DS-GVO enthaltenen Möglichkeit eines Schadensersatzes nicht vorgesehen.

g) Stellung und Benennung des Datenschutzbeauftragten

Für öffentliche Stellen nichts Neues ist die Pflicht zur Bestellung eines Datenschutzbeauftragten. Nach § 5 Abs. 1 HDSIG-E benennen öffentliche Stellen einen Datenschutzbeauftragten; nach Abs. 2 der Vorschrift kann für mehrere öffentliche Stellen unter Berücksichtigung ihrer Organisationsstruktur und ihrer Größe eine gemeinsame Datenschutzbeauftragte oder ein gemeinsamer Datenschutzbeauftragter benannt werden. Die oder der Datenschutzbeauftragte wird gem. § 5 Abs. 3 HDSIG-E auf der Grundlage ihrer oder seiner beruflichen Qualifikation und insbesondere ihres oder seines Fachwissens benannt, das sie oder er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage ihrer oder seiner Fähigkeit zur Erfüllung der in § 7 genannten Aufgaben. Vorgesehen ist, dass der Datenschutzbeauftragte Beschäftigter der öffentlichen Stelle sein oder ihre oder seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen kann (§ 5 Abs. 4 HDSIG-E).

Der Hessische Städte- und Gemeindebund hat sich in seiner Stellungnahme zum HDSIG-E dafür ausgesprochen, möglichst breite Möglichkeiten für die Rekrutierung von Datenschutzbeauftragten zu regeln, etwa auch im Rahmen interkommunaler Zusammenarbeit. Inwieweit der Gesetzgeber dem folgt, steht noch nicht fest.

Nach § 5 Abs. 1 Satz 2 des Hessischen Datenschutzgesetzes (HDSG) dürfen zum behördlichen Datenschutzbeauftragten nur Beschäftigte bestellt werden, die dadurch keinem Interessenkonflikt und sonstigen dienstlichen Aufgaben ausgesetzt werden. Auch der in den Hessischen Landtag eingebrachte Gesetzentwurf der Fraktionen der CDU und BÜNDNIS 90/DIE GRÜNEN für ein „Hessisches Gesetz zur Anpassung des Hessischen Datenschutzrechts an die Verordnung (EU) Nr. 2016/679 und zur Umsetzung der Richtlinie (EU) Nr. 2016/680 und zur Informationsfreiheit“ (Drucks. 19/5728) enthält einen Entwurf eines Hessischen Datenschutz- und Informationsfreiheitsgesetzes (HDSIG), der in § 7 Abs. 2 Satz 2 HDSIG-E eine entsprechende Vorgabe enthält. Insofern werden auch die Vorgaben des Art. 38 Abs. 6 Satz 2 DS-GVO in hessisches Landesrecht übernommen.

Der Hessische Datenschutzbeauftragte hat in der Veröffentlichung „Der behördliche und betriebliche Datenschutzbeauftragte nach neuem Recht“ S. 24 Interessenkonflikte in Fällen der Benennung des Geschäftsführers oder eines nahen Verwandten, des Personalleiters, des Marketing- oder Vertriebsleiters, des IT-Leiters oder eines Beschäftigten der IT- oder Personalabteilung, soweit diese in der Lage sind, Datenverarbeitungsprozesse zu bestimmen oder wesentlich zu beeinflussen, als gegeben gesehen. Interessenkonflikte sollen weiter bei unternehmensweiten Tätigkeiten wie etwas IT-Sicherheitsbeauftragter oder Compliance-Beauftragter gegeben sein.

Da der Hessische Datenschutzbeauftragte insoweit die Aufgaben der Aufsichtsbehörden wahrnimmt, empfiehlt es sich, die einschlägigen Überlegungen des Hessischen Datenschutzbeauftragten auch für die Beurteilung der hier aufgeworfenen Fragestellung zugrunde zu legen.

 

Zu beachten sind die Meldepflichten nach Art. 37 Abs. 7 DS-GVO bzw. § 5 Abs. 5 HDSIG-E. Danach muss der Verantwortliche oder Auftragsverarbeiter die Kontaktdaten seines Datenschutzbeauftragten der zuständigen Aufsichtsbehörde – das wird weiterhin der Hessische Datenschutzbeauftragte sein – melden.

Der Hessische Datenschutzbeauftragte hat insoweit in seiner Internetpräsenz angekündigt, für diese Meldung ein Meldeformular zur Verfügung zu stellen und – dieses lag zum Stand 27.03.2018 noch nicht vor – von der Zurverfügungstellung von Meldungen abzusehen.

6. Änderungsbedarf Internetpräsenzen

Für Dritte leicht nachvollziehbar und zugänglich sind die gemeindlichen Internetpräsenzen. Diese enthalten bereits jetzt Datenschutzerklärungen. Diese sollten insbesondere um Angaben zum Verantwortlichen (Gemeinde, Behördenleitung), dem Datenschutzbeauftragten und einen Hinweis auf den Hessischen Datenschutzbeauftragten sowie die jeweiligen Kontaktdaten ergänzt werden und erläutern, ob und inwieweit personenbezogene Daten erhoben werden, zu welchen Zwecken das erfolgt und wer Empfänger der Daten ist (vgl. Art. 13 DS-GVO). Insofern sollten die Informationen nach Art. 13 (Erhebung beim Betroffenen) und 14 (Erhebung nicht beim Betroffenen, sofern dies einschlägig ist) als Informationsblatt zur Verfügung gestellt werden.

Verbreitet nutzen Internetpräsenzen Werkzeuge wie google analytics. Das ist datenschutzrechtlich künftig nicht mehr zu empfehlen, da die DS-GVO die oben dargestellten erhöhten Anforderungen an eine Einwilligung stellt mit der Folge, dass – anders als meist derzeit vorgesehen – es nicht ausreicht, optional die Möglichkeit einzuräumen, diese Instrumente sozusagen auszuschalten („opt-out“), sondern die Verwendung ausdrücklich genehmigt werden muss („opt-in“).

Gerade weil Internetpräsenzen das weltweit zugängliche Fenster zur Welt für die Gemeinde sind, dürfte es sich empfehlen, diese vorrangig an die neuen Regelungen anzupassen.

7. Anforderungen an Sicherheitsmaßnahmen

Die Verantwortlichen müssen nach Art. 24 DS-GVO ein angemessenes Schutzniveau in Bezug auf die Sicherheit der Verarbeitung gewährleisten. Insofern hat der Hessische Datenschutzbeauftragte seit Langem auf das Grundschutzhandbuch des Bundesamts für die Sicherheit in der Informationstechnik (BSI) verwiesen. Zudem hat das Land Hessen zuletzt in Zusammenarbeit mit der ekom21 ein Förderprogramm für die Cybersicherheit umgesetzt. IT-Sicherheit bildete auch den Gegenstand zweier Fachprüfungen der Überörtlichen Prüfung. Bereits nach § 10 Abs. 2 Satz 2 HDSG sind Maßnahmen zu folgenden Themenkreisen schriftlich anzuordnen:

• Zutrittskontrolle (bspw. DV-Technik in gesicherten Räumen, Sicherheitsschlösser verwenden)
• Benutzerkontrollen (bspw. Passwortregelungen, automatische Bildschirmsperrung),
• Zugriffskontrolle (bspw. differenzierte Regelungen zum Datenzugriff),
• Datenverarbeitungskontrolle (bspw. kein Zugriff auf Betriebssysteme, Verschlüsselung von Daten),
• Verantwortlichkeitskontrolle (bspw. Protokollierung der Dateneingabe, Aufbewahren der Protokolldaten),
• Auftragskontrolle (insb. klare Vertragsregelungen mit Auftragnehmer, Prüfung der Zuverlässigkeit),
• Dokumentationskontrolle (ggfls. auch Verweis auf Datensicherheitsmaßnahme des Rechenzentrums),
• Organisationskontrolle (bspw. Festlegung klarer Zuständigkeiten und Verantwortlichkeiten).

8. Ausblick

Auch nach Inkrafttreten der DS-GVO und des HDSIG im Mai 2018 werden sich in der Praxis vielfältige Einzelfragen stellen. Das Hessische Ministerium des Innern und für Sport hat insoweit einen Arbeitskreis Datenschutz unter Einbeziehung der Kommunalen Spitzenverbände ins Leben gerufen, der ab April seine Arbeit aufnimmt.

Schulungsangebote  bestehen zur DS-GVO und anderen datenschutzrechtlichen Änderungen insbesondere auf Seiten des Hessischen Datenschutzbeauftragten und beispielsweise der ekom21.

Wir bitten um Kenntnisnahme.