Externer Datenschutzbeauftragter in Bielefeld

Seit Mai 2018 gelten in Deutschland und allen anderen Mitgliedstaaten der Europäischen Union (EU) die Vorschriften der europäischen Datenschutz-Grundverordnung (DSGVO), genauer der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016. Die DSGVO, die sog. JI-Richtlinie (EU-Datenschutzrichtlinie für Polizei- und Justizbehörden) sowie Art. 8 der Europäischen Grundrechtecharta bilden zusammen die Grundlage des europäischen Datenschutzrechts.

Bereits vor dem Inkrafttreten der DSGVO gab es in Deutschland Regelungen zum Datenschutz auf Bundes- und Landesebene, die nach wie vor bestehen und entsprechend der DSGVO angepasst wurden:

• Das Bundesdatenschutzgesetz (BDSG) und
• die Datenschutzgesetze der Bundesländer – für Bielefeld ist es das Datenschutzgesetz Nordrhein-Westfalen (DSG NRW). Das DSG NRW gibt die Bedingungen vor, wie die Behörden und öffentlichen Stellen im Bundesland Nordrhein-Westfalen grundsätzlich personenbezogene Daten verarbeiten dürfen. Weitere Informationen zum Datenschutz in der öffentlichen Verwaltung und in anderen Einrichtungen des öffentlichen Dienstes finden Sie auf unserer Seite über den behördlichen Datenschutzbeauftragten.

Darüber hinaus gibt es das Datenschutzrecht der katholischen und evangelischen Kirchen, das bei kirchlichen Einrichtungen in Bielefeld ggf. zur Anwendung kommt. Sollten Sie Fragen zum kirchlichen Datenschutz haben oder einen Datenschutzbeauftragten für eine kirchliche Einrichtung suchen, so finden Sie ausführliche Informationen auch auf unserer Seite Kirchlicher Datenschutz.

In jedem Bundesland gibt es eine Datenschutzaufsichtsbehörde. Für Bielefeld bzw. Nordrhein-Westfalen ist dies die Landesbeauftragte für Datenschutz und Informationsfreiheit (LDI NRW). Das Amt der LDI NRW hat seit Juni 2021 die Juristin Bettina Gayk inne. Die Landesbeauftragte wurde vom nordrhein-westfälischen Landtag für die Dauer von acht Jahren gewählt.

Wie alle Datenschutzaufsichtsbehörden, so agiert auch die LDI NRW weisungsunabhängig und ist nur dem Gesetz verpflichtet. Zu den Aufgaben der Beauftragten gehört es, im Bundesland Nordrhein-Westfalen sowohl in der Privatwirtschaft als auch bei Behörden und öffentlichen Stellen die Einhaltung der datenschutzrechtlichen Vorschriften zu kontrollieren und dazu zu beraten. Zudem können sich die Bürger*innen bei Fragen zum Datenschutz an die Aufsichtsbehörde wenden und erhalten bei Bedarf Unterstützung in der Ausübung ihres Grundrechts auf informationelle Selbstbestimmung. Die LDI NRW kümmert sich auch darum, dass die Bürger*innen ihr Recht nach dem Informationsfreiheitsgesetz NRW (IFG NRW) wahrnehmen können, welches ihnen freien Zugang zu behördlichen Informationen garantiert. Zum Aufgabenbereich der nordrhein-westfälschen Datenschutzaufsichtsbehörde gehört auch die Mitarbeit an Gesetzesvorhaben und Verwaltungsvorschriften, die den Datenschutz oder die Informationsfreiheit betreffen sowie die Beratung u. a. der Landesregierung.

Die Dienststelle der LDI NRW befindet sich in der Kavalleriestr. 2-4 in 40213 Düsseldorf. Die Behörde ist in zwei Gruppen aufgeteilt, deren zugeordnete Referate sich mit verschiedenen Aufgabenbereichen befassen. Im Organisationsplan sind die Zuständigkeiten und Kontaktpersonen aufgeführt. Für Beschwerden von Bürger*innen hält die LDI NRW auf ihrer Website ein Beschwerdeformular bereit.

Informationen über die Tätigkeiten der LDI NRW werden im Bericht zum Datenschutz der Behörde veröffentlicht. Einen solchen Bericht (auch Tätigkeitsbericht genannt) muss gemäß Art. 59 DSGVO jede Datenschutzaufsichtsbehörde veröffentlichen und darin einen Überblick über die gemeldeten Datenschutzverstöße sowie die ergriffenen Maßnahmen geben. Für externe und betriebliche/behördliche Datenschutzbeauftragte sind diese Berichte wichtige Informationsquellen. Meist werden die Inhalte dabei nach Themen geordnet: So finden sich beim Bericht zum Datenschutz der LDI NRW z. B. die Themen Beratung zu Verfahren mit Künstlicher Intelligenz, Schule und Bildung, Datenschutz und Arbeit, Datensicherheit u.v.m.

Verantwortliche und Auftragsverarbeiter sind verpflichtet, wenn bestimmte Voraussetzungen vorliegen, einen Datenschutzbeauftragten zu benennen (Art. 37 DSGVO und § 38 BDSG i. V. m. Art. 37 Abs. 4 DSGVO). Dabei kann der Datenschutzbeauftragte entweder aus dem Unternehmen bzw. der Organisation selbst stammen (betrieblicher bzw. interner Datenschutzbeauftragter) oder es kann ein Dienstleister eingesetzt werden (externer Datenschutzbeauftragter). Bei Behörden und öffentlichen Stellen ist in jedem Fall ein behördlicher Datenschutzbeauftragter zu benennen, diese Aufgabe kann auch von einer übergeordneten Organisationseinheit oder aber von einem Dienstleister wahrgenommen werden.

Zu den Aufgaben der Datenschutzbeauftragten gehört es, Ansprechperson für die zuständige Aufsichtsbehörde zu sein. Zu diesem Zweck müssen die Kontaktdaten des Datenschutzbeauftragten vom Verantwortlichen/Auftragsverarbeiter der zuständigen Behörde mitgeteilt werden (Art. 37 Abs. 7 DSGVO). Wie alle Aufsichtsbehörden, so stellt auch die LDI NRW hierzu ein Meldeformular auf ihrer Website bereit.

Wie verläuft die Zusammenarbeit bzw. der Kontakt zwischen Datenschutzbeauftragten und Aufsichtsbehörden? Verantwortliche (datenverarbeitende Stellen) sind verpflichtet, im Falle einer meldepflichtigen Datenschutzverletzung diese innerhalb von 72 Stunden der zuständigen Behörde mitzuteilen (Art. 33 DSGVO). Wann eine Datenschutzverletzung vorliegen könnte, ist in Art. 4 Nr. 12 DSGVO beschrieben. Bei der Meldung wird der Verantwortliche i. d. R. durch den Datenschutzbeauftragten beraten und welcher der Behörde auch als Ansprechperson für weitere Informationen genannt wird. Des Weiteren ist der Datenschutzbeauftragte auch die zuständige Ansprechperson, wenn eine Beschwerde über das Unternehmen bzw. die Organisation bei der Aufsichtsbehörde eingeht.

Als Datenpanne wird umgangssprachlich die Verletzung des Schutzes personenbezogener Daten bezeichnet. Eine Datenschutzverletzung kann nicht nur für die betroffenen Person (z. B. Kund*in, Patient*in, Mitarbeiter*in) ernste Folgen haben, sondern natürlich auch für die Verantwortlichen (Unternehmen, Organisationen) selbst. Neben einem Imageschaden und dem Vertrauensverlust drohen in bestimmten Fällen auch Bußgelder seitens der Aufsichtsbehörde sowie Schadenersatzansprüche, die Betroffene gelten machen könnten. Solche Verletzungen des Datenschutzschutzes gilt es natürlich im Vorfeld zu verhindern – dazu berät der Datenschutzbeauftragte den Verantwortlichen und stellt bspw. die ergriffenen technischen und organisatorischen Maßnahmen auf den Prüfstand oder schult bzw. sensibilisiert die Mitarbeitenden im Umgang mit personenbezogenen Daten. 

Sollte eine Datenpanne vorliegen, so darf bei der Bewertung keine Zeit verloren werden, denn ist die Datenschutzverletzung meldepflichtig, bleiben dem Verantwortlichen dafür nur 72 Stunden Zeit (Art, 33 DSGVO). Auf der Website der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) finden sich dazu ausführliche Informationen sowie ein Meldeformular, um einen meldepflichtigen Datenschutzvorfall der Aufsichtsbehörde mitzuteilen. 

Eine Meldepflicht besteht, wenn es sich um einen Sicherheitsbruch handelt, durch den personenbezogene Daten an Dritte gelangen, gelöscht oder zeitweise unzugänglich gemacht werden. Als unrechtmäßige Offenbarung gilt bereits der Zugriff auf personenbezogene Daten, auch wenn dieser unbeabsichtigt geschieht und der Inhalt nicht zur Kenntnis genommen wurde. Zudem muss für das Bestehen einer Meldepflicht ein Risiko für die Rechte und Freiheiten natürlicher Personen gegeben sein. Eine Orientierungshilfe (für den nicht-öffentlichen Bereich) zur Einschätzung des Risikos bietet z. B. das Kurzpapier Nr. 18 der Datenschutzkonferenz (DSK).

Als meldepflichtige Datenpanne gelten bspw. eine Cyberattacke sowie der Verlust von Unterlagen oder elektronischen Datenträgern, die personenbezogene Daten enthalten und nicht verschlüsselt sind. Je nach Risikoeinschätzung sind die betroffenen Personen ebenfalls zu benachrichtigen (Benachrichtigungspflicht nach Art. 34 DSGVO). In jedem Fall besteht gemäß Art. 33 Abs. 5 DSGVO eine interne Dokumentationspflicht. 

Sofern sich sicherstellen lässt, dass für die Rechte und Freiheiten natürlicher Personen kein Risiko besteht, ist eine Meldung bei der Aufsichtsbehörde nicht verpflichtend. Dies ist bspw. der Fall, wenn ein gestohlener elektronischer Datenträger verschlüsselt wurde und somit kein Zugriff auf die enthaltenen personenbezogenen Daten möglich ist. Wichtig: Bei der Verletzung der Meldepflicht droht eine Strafe von bis zu 10 Mio. Euro oder 2 % des Jahresumsatzes (siehe auch Art. 83 DSGVO). Die Abwägung der Meldepflichtigkeit sollte daher sehr sorgfältig erfolgen. Hierbei kann das Fachwissen eines externen Datenschutzbeauftragten hilfreich sein.