Zum Umfang der einem behördlichen Datenschutzbeauftragten zur Verfügung zu stellenden Sach- und Personalmittel

Inhalt

1 Hintergrund
1.1 Bestellung & Abberufung
1.2 Anforderungen
1.3 Aufgaben
1.4 Rechte, Pflichten und Befugnisse

2 Sachliche und personelle Unterstützung
2.1 Hilfspersonal
2.2 Räumlichkeiten
2.3 Einrichtungen & Geräte
2.4 (Finanzielle) Mittel

3 Schlussbetrachtung

1 Hintergrund

Initiiert durch die Europäische Datenschutzrichtlinie (DSRL)¹ sind nach der Novellierung des BDSG im Mai 2001 alle öffentlichen Stellen des Bundes verpflichtet einen sog. behördlichen Datenschutzbeauftragten zu bestellen. Neu ist diese Art der internen, dezentralen Datenschutzkontrolle im öffentlichen Bereich nicht. So wurde sie seit 1986 durch das HDSG auf Landesebene bereits mit gesetzlicher Basis betrieben.² Auch die Erkenntnis, dass die zentrale Datenschutzgewährleistung in öffentlichen Stellen durch den Bundes- und die Landesbeauftragten unbefriedigende Ergebnisse zur Folge hatte, führte Anfang der 90er Jahre dazu, dass viele Behörden, allerdings ohne gesetzliche Motivation, interne Datenschutzbeauftragte ernannten.³

Im nicht-öffentlichen Sektor kennt man den betrieblichen Datenschutzbeauftragten schon seit längerem zumindest aus den §§ 36 und 37 BDSG a.F.

Mit der Umsetzung der DSRL durch die Neufassung des BDSG und die gleichzeitige jedoch nicht einheitliche⁴ Anpassung der LDSG haben die Gesetzgeber nun versucht dem behördlichen Datenschutzbeauftragten Profil zu verleihen.

Sinn und Zweck vorliegender Arbeit ist es, dieses kodifizierte Profil darzustellen, wobei auf die Ausstattung des behördlichen Datenschutzbeauftragten mit tätigkeitsbezogenen Mitteln besonders eingegangen werden soll.

1.1 Bestellung & Abberufung

§ 4 f Abs. 1 BDSG verpflichtet alle öffentlichen Stellen des Bundes⁵, die personenbezogene Daten automatisiert erheben, verarbeiten oder nutzen, einen Datenschutzbeauftragten schriftlich zu bestellen. Öffentliche Stellen des Bundes sind nach der Legaldefinition des § 2 Abs. 1 BDSG alle Behörden, Organe der Rechtspflege, bundesunmittelbaren Körperschaften und Anstalten und Stiftungen des öffentlichen Rechts. Dies beinhaltet neben den Dienstellen der Bundeswehr auch die Deutsche Bundesbank und die Landeszentralbanken.⁶ Beauftragter wird zumeist ein Angehöriger der öffentlichen Stelle. Es kann sich nach § 4 f Abs. 2 BDSG jedoch auch externer Datenschutzbeauftragter bedient werden.⁷

Die vor dem BDSG vorrangig zu behandelnden LDSG verpflichten die öffentlichen Stellen der entsprechenden Länder größtenteils ebenso zur Bestellung eines behördlichen Datenschutzbeauftragten. In wenigen Ausnahmefällen ist die Bestellung eines DSB fakultativ.⁸

§ 4 f Abs. 3 BDSG gibt der öffentlichen Stelle die Möglichkeit der Abberufung eines bestellten Datenschutzbeauftragten bei analoger Anwendung des § 626 BGB. Das bedeutet, dass es zur verwaltungsrechtlichen Entpflichtung des Datenschutzbeauftragten eines wichtigen Grundes bedarf, welcher in Tatsachen oder Umständen zu sehen ist, die eine Fortsetzung der Tätigkeit als DSB unzumutbar machen.⁹

Das Berliner und das Hamburger Datenschutzgesetz regeln die Abberufung eines Datenschutzbeauftragten wie das BDSG. Alle anderen LDSG lassen Bestimmungen diesbezüglich vermissen.¹⁰

1.2 Anforderungen

Das BDSG unterscheidet in diesem Punkt nicht zwischen betrieblichen und behördlichen Datenschutzbeauftragtem.

So verlangt § 4 f Abs. 2 BDSG von einem Beauftragten für Datenschutz allgemein Fachkunde und Zuverlässigkeit.

In der Vergangenheit hat sich für den betrieblichen Datenschutzbeauftragten ein recht genaues Anforderungsprofil herausgebildet, welches man ohne weiteres auf den behördlichen Datenschutzbeauftragten projizieren kann.¹¹

Unter Fachkunde versteht man in diesem Zusammenhang ein allgemeines Grundwissen, welches zunächst datenschutzrechtliche Kenntnisse aber auch technisches Verständnis für die automatisierte Datenverarbeitung umfassen sollte.¹²

Darüber hinaus müssen dem Datenschutzbeauftragten die Organisation und die damit einhergehenden Funktionen seiner Behörde bekannt und vertraut sein.¹³ Um seine gesetzlichen Aufgaben jedoch in letzter Konsequenz wahrnehmen zu können, werden dem Datenschutzbeauftragten letztlich ebenso pädagogisch didaktische wie psychologische Fähigkeiten aber auch Durchsetzungsvermögen und Verhandlungsgeschick abverlangt.¹⁴

Zuverlässigkeit im Gesetzeswortlaut bezeichnet die nötige charakterliche Eignung des Datenschutzbeauftragten. Dazu zählt man Eigenschaften wie Loyalität, Verschwiegenheit, Gewissenhaftigkeit, Unbestechlichkeit, Verantwortungsbewusstsein und Engagement. Die mangelnde Zuverlässigkeit schließt eine Bestellung aus, da das nötige Vertrauen in das Amt des Datenschutzbeauftragten nicht gesichert wäre. Häufig wird dabei auf früheres Verhalten abgestellt und geprüft, ob ein Kandidat unter Datenschutzgesichtspunkten als zuverlässig angesehen werden kann.¹⁵

Fachkunde und Zuverlässigkeit werden von allen LDSG als Kriterium für die wirksame Bestellung des behördlichen Datenschutzbeauftragten gefordert. Das Thüringer Datenschutzgesetz beschränkt sich jedoch lediglich auf die notwendige Fachkenntnis in Fragen des Datenschutzes und der Datensicherheit.¹⁶

Die Eignung zum Datenschutzbeauftragten hängt ebenfalls davon ab, inwieweit Interessenskonflikte zwischen dem Amt des Datenschutzbeauftragten und anderen dienstlichen Aufgaben vermieden werden. Die Bedeutung dieses Kriteriums haben acht LDSG aufgegriffen und die Vermeidung solcher Interessenkollisionen gefordert. Ziel dieser Regelung ist es, die absolute objektive Integrität des Datenschutzbeauftragten für sein Amt zu sichern.¹⁷

1.3 Aufgaben

Der behördliche Datenschutzbeauftragte hat folgende in § 4 g Abs. 1 BDSG legaldefinierte Aufgaben zu erledigen:

Primär hat er darauf hinzuwirken, dass alle datenschutzrechtlichen Bestimmungen von der datenverarbeitenden Stelle eingehalten werden.

[...]

¹ Richtlinie 95/46/EG des europäischen Parlaments und des Rates vom 24.10.1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, Amtsblatt der Europäischen Gemeinschaften Nr. L281/32 vom 23.11.1995.

² nämlich in Hessen; dazu Gola, DuD 1999, 342; ebenso Ordemann/Schomerus, BDSG, 5. Aufl. 1992, § 36 Anm. 8.

³ Abel, MMR 2002, 289.

⁴ Gemeint sind unterschiedliche Regelungen in den verschiedenen LDSG bzgl. Bestellung, Vertretung, Rechten, Pflichten etc. des DSB; im Einzelnen Abel, MMR 2002, 289-294.

⁵ § 1 Abs. 2 Nr. 1 BDSG; da alle Länder eigene LDSG besitzen greift § 1 Abs. 2 Nr. 2 nicht.

⁶ Schild, DuD 2001, 31.

⁷ Details hierzu bei Abel, MMR 2002, 291; Gola, DuD 1999, 343.

⁸ genauer Abel, MMR 2002, 290.

⁹ Abel, MMR 2002, 292.

¹⁰ Abel, MMR 2002, 292.

¹¹ Abel, MMR 2002, 291; ebenso Schild, DuD 2001, 32.

¹² Schild, DuD 2001, 32.

¹³ Ordemann/Schomerus, BDSG, 5. Aufl. 1992, § 36 Anm. 3.6.

¹⁴ Schlemann, Recht des betrieblichen Datenschutzbeauftragten, 2. Aufl. 1997, S. 202.

¹⁵ Schlemann, Recht des betrieblichen Datenschutzbeauftragten, 2. Aufl. 1997, S. 203 ff.

¹⁶ Abel, MMR 2002, 291.

¹⁷ Vertiefend dazu Abel, MMR 2002, 291; Schild, DuD 2001, 33