Datenschutzgrundverordnung

-Auswirkungen der europäischen Datenschutzgrundverordnung auf die Kommunalverwaltung-

actus-IT / 31.01.2017 - Dresden. Ein Thema des Informationstages des Sächsischen Kommunalen Studieninstitutes in Dresden am 25. Januar 2017 war die neue europäische Grundverordnung und deren unmittelbare Auswirkung auf die Kommunalverwaltung. Der geschäftsführende Gesellschafter der Datenschutzagentur „actus-IT“, Frank Sommerfeld, stellte den anwesenden Behördenmitarbeitern, darunter einige VerwaltungsleiterInnen, anhand von Beispielen die Notwendigkeit vor, sich schon jetzt mit den Auswirkungen der neuen Datenschutzgrundverordnung zu beschäftigen. Denn am 25.05.2018 wird diese auch für die Kommunen und ihre Verwaltungen rechtsverbindlich und sie bringt einige gravierende Veränderungen mit sich. So gilt die neue Datenschutzgrundverordnung vorrangig, das heißt, alle Spezialregelungen zum Datenschutz wie z. B. die Regelungen für die Justiz und die Polizei sind der EU-DSVGO nachgeordnet. Die EU–Datenschutzgrundverordnung ist also unmittelbar anwendbar und hat Anwendungsvorrang vor nationalem Recht. Auch werden Datenschutzvorfälle, also die unrechtmäßige Kenntnisgabe von personenbezogenen Daten an Dritten, wesentlich stärker sanktioniert. Die Strafen liegen zwischen 10-20 Millionen Euro bzw. 2-4 % des jährlichen Umsatzes einer Organisation.

Die wichtigste Veränderung für die Kommunen wird aber der Art. 37 der Verordnung mit sich bringen. Hier wird expliziert geklärt, wer einen Datenschutzbeauftragten zu benennen hat. War in vielen Bundesländern die Verpflichtung eines Datenschutzbeauftragten nur eine „KANN“-Bestimmung, wird sie nun für Behörden verpflichtend. Auch können Kommunen lt. Art 37 Abs. 6 einen externen Datenschutzbeauftragten über einen Dienstleistungsvertrag benennen. Somit ist es nicht mehr notwendig, dass die Position eines Datenschutzbeauftragten aus einer Behörde heraus zu besetzen ist. Allerdings werden nach der EU-Datenschutzgrundverordnung hohe Anforderungen an den zukünftigen Datenschutzbeauftragten gestellt. So soll entsprechend Art. 37 Abs. 5 nur der zum Datenschutzbeauftragten berufen werden, der nicht nur theoretisches Datenschutzwissen nachweisen kann, sondern auch datenschutzpraktische Erfahrungen hat. „Diese Verordnung wird zumindest in den Bundesländern, in denen noch eine Kann-Bestimmung über den Datenschutzbeauftragten in den jeweiligen Landesdatenschutzgesetzen steht, für erhebliche Veränderungen sorgen“, ließ Sommerfeld die Teilnehmer wissen und verwies auf den erhöhten Verantwortungsbereich, den die Grundverordnung den Bürgermeistern bzw. der Verwaltungsleitung überträgt. Bleibt die Frage, was muss nun getan werden, um sich den Herausforderungen der EU-DSGVO zu stellen? Sommerfeld empfiehlt, zunächst in Qualifizierung zu investieren. D. h. für jede Organisation sich die Fragen zu stellen, was bedeutet die EU-Datenschutzgrundverordnung für uns, wie qualifiziere ich meine Mitarbeiter und Datenschutzbeauftragten und wie baue ich mein Datenschutzmanagementsystem auf bzw. aus?