Externer Datenschutzbeauftragter in Hamburg

Seit Mai 2018 gelten in Deutschland und allen anderen Mitgliedstaaten der Europäischen Union (EU) die Vorschriften der europäischen Datenschutz-Grundverordnung (DSGVO), genauer der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016. Die DSGVO, die sog. JI-Richtlinie (EU-Datenschutzrichtlinie für Polizei- und Justizbehörden) sowie Art. 8 der Europäischen Grundrechtecharta bilden zusammen die Grundlage des europäischen Datenschutzrechts.

Aber auch vor dem Inkrafttreten der DSGVO gab es in Deutschland Regelungen zum Datenschutz auf Bundes- und Landesebene, die nach wie vor bestehen und entsprechend der DSGVO angepasst wurden:

• Das Bundesdatenschutzgesetz (BDSG) und
• die Datenschutzgesetze der Bundesländer – für Hamburg das Hamburgische Datenschutzgesetz (HmbDSG), das bspw. auf der Website des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI) zum Download zur Verfügung steht. Der Anwendungsbereich des HmbDSG betrifft öffentliche Stellen sowie Unternehmen und Organisationen, an denen öffentliche Stellen beteiligt sind. Weitere Informationen zum Datenschutz in der öffentlichen Verwaltung und in anderen Einrichtungen des öffentlichen Dienstes finden Sie auf unserer Seite über den behördlichen Datenschutzbeauftragten.

Darüber hinaus gibt es das Datenschutzrecht der katholischen und evangelischen Kirchen, das bei kirchlichen Einrichtungen in Hamburg ggf. zur Anwendung kommt. Sollten Sie Fragen zum kirchlichen Datenschutz haben oder einen Datenschutzbeauftragten für eine kirchliche Einrichtung suchen, so finden Sie ausführliche Informationen auch auf unserer Seite Kirchlicher Datenschutz.

Datenschutzaufsichtsbehörden gibt es in jedem Bundesland – in Bayern sogar zwei. Für Hamburg bzw. die Unternehmen und Organisationen, die dort mit ihrem Hauptsitz ansässig sind, ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), Thomas Fuchs, zuständig. Der Volljurist wurde im August 2021 von der Hamburgischen Bürgerschaft zum HmbBfDI gewählt und übt das Amt seit November 2021 aus. In jedem Bundesland ist die Datenschutzaufsichtsbehörde die erste Anlaufstelle für Bürger*innen, die sich als Betroffene über eine Datenschutzverletzung beschweren oder über ihre Rechte informieren möchten. Auch die Datenschutzaufsichtsbehörde in Hamburg gibt auf ihrer Website viele Tipps rund um die Themen Datenschutz und Informationssicherheit.

Neben der Beratung und der Hilfestellung bei der Durchsetzung der Betroffenenrechte nach der DSGVO, gehört es auch zu den Aufgaben des HmbBfDI, die Verarbeitung personenbezogener Daten in der hamburgischen Verwaltung und Wirtschaft zu kontrollieren. Die Datenschutzaufsichtsbehörden legen in den jeweiligen Bundesländern den Schwerpunkt ihrer Prüfungen ganz unterschiedlich. Der derzeitige HmbBfDI fokussiert sich, wie bereits sein Vorgänger Johannes Caspar, auf die Entwicklungen der großen, internationalen Internetplattformen. Aber auch Themen wie Datenschutz und Mobilität (bspw. beim autonomen Fahren) und der Schutz von Kindern und Jugendlichen durch Medienbildung liegt ihm am Herzen. 

Die Dienststelle des HmbBfDI befindet sich in der Ludwig-Erhard-Straße 22 in 20459 Hamburg. Die Behörde ist in fünf Referate unterteilt, die sich verschiedenen Aufgabenbereichen von Wirtschaft und Infrastruktur über Technik bis hin zu ePrivacy und Sozialen Netzwerken widmen. Auf seiner Website stellt der HmbBfDI auch den jährlichen Tätigkeitsbericht zur Verfügung. Einen Jahres- bzw. Tätigkeitsbericht muss gemäß Art. 59 DSGVO jede Aufsichtsbehörde verfassen und darin einen Überblick über die gemeldeten Datenschutzverstöße sowie der ergriffenen Maßnahmen geben. Diese Berichte sind wichtige Informationsquellen für betriebliche/behördliche und externe Datenschutzbeauftragte, da sie dabei helfen, Sachverhalte einzuschätzen und zu bewerten. Des Weiteren können Bürger*innen online Beschwerden einreichen und Verantwortliche Datenschutzverletzungen (Datenpannen) melden. 

Mehr über die Zusammenarbeit von Aufsichtsbehörden und Datenschutzbeauftragten und die Meldung von Datenpannen lesen Sie in den folgenden beiden Fragen & Antworten. 

Verantwortliche und Auftragsverarbeiter sind verpflichtet, wenn bestimmte Voraussetzungen vorliegen, einen Datenschutzbeauftragten zu benennen (Art. 37 DSGVO und § 38 BDSG i. V. m. Art. 37 Abs. 4 DSGVO). Dabei kann der*die Datenschutzbeauftragte entweder aus dem Unternehmen bzw. der Organisation selbst stammen (betrieblicher/interner Datenschutzbeauftragter) oder es kann ein Dienstleister einsetzt werden (externer Datenschutzbeauftragter). Bei Behörden und öffentlichen Stellen ist in jedem Fall ein behördlicher Datenschutzbeauftragter zu benennen, diese Aufgabe kann auch von einer übergeordneten Organisationseinheit oder aber von einem Dienstleister wahrgenommen werden.

Zu den Aufgaben des Datenschutzbeauftragten gehört es, Ansprechperson für die zuständige Aufsichtsbehörde zu sein. Zu diesem Zweck müssen die Kontaktdaten des Datenschutzbeauftragten vom Verantwortlichen / Auftragsverarbeiter der Behörde mitgeteilt werden (Art. 37 Abs. 7 DSGVO). Der HmbBfDI stellt hierzu ein entsprechendes Meldeformular bereit. Alternativ kann die Meldung auch per E-Mail oder Post erfolgen. 

Wie verläuft die Zusammenarbeit bzw. der Kontakt zwischen Datenschutzbeauftragten und Aufsichtsbehörden? Verantwortliche (datenverarbeitende Stellen) sind verpflichtet, im Falle einer meldepflichtigen Datenschutzverletzung diese innerhalb von 72 Stunden der zuständigen Behörde mitzuteilen (Art. 33 DSGVO). Wann eine Datenschutzverletzung vorliegen könnte, ist in Art. 4 Nr. 12 DSGVO beschrieben. Der HmbBfDI stellt außerdem auf seiner Website ein ausführliches Dokument mit zahlreichen Praxisbeispielen zum Thema Data-Breach-Meldungen nach Art. 33 DSVGO zur Verfügung.

Bei der Meldung der Datenschutzverletzung wird der Verantwortliche i. d. R. durch den Datenschutzbeauftragten beraten, welcher der Behörde auch als Ansprechperson für weitere Informationen genannt wird. Des Weiteren ist der Datenschutzbeauftragte auch die zuständige Person, wenn eine Beschwerde über das Unternehmen bzw. die Organisation bei der Aufsichtsbehörde eingeht.

Die Datenschutzaufsichtsbehörden können in ihrer Arbeit auch (anlasslos) Schwerpunkte setzen und Vorgänge der Erhebung und Verarbeitung von personenbezogen Daten in bestimmten Branchen gezielt kontrollieren und dann z. B. entsprechende Fragebögen an die Unternehmen bzw. Organisationen verschicken, die es zu bearbeiten gilt. 

Als Datenpanne wird umgangssprachlich die Verletzung des Schutzes personenbezogener Daten bezeichnet. Eine Datenschutzverletzung kann nicht nur für die betroffene Person (z. B. Kund*in, Patient*in, Mitarbeiter*in) ernste Folgen haben, sondern natürlich auch für die Verantwortlichen (Unternehmen, Organisationen) selbst. Neben einem Imageschaden und dem Vertrauensverlust drohen in bestimmten Fällen auch Bußgelder seitens der Aufsichtsbehörde sowie Schadenersatzansprüche, die Betroffene gelten machen könnten.

Solche Verletzungen des Datenschutzschutzes gilt es natürlich im Vorfeld zu verhindern – dazu berät der Datenschutzbeauftragte den Verantwortlichen und stellt bspw. die ergriffenen technischen und organisatorischen Maßnahmen auf den Prüfstand oder schult bzw. sensibilisiert die Mitarbeitenden im Umgang mit personenbezogenen Daten. 

Sollte eine Datenpanne vorliegen, so darf bei der Bewertung keine Zeit verloren werden, denn ist die Datenschutzverletzung meldepflichtig, bleiben dem Verantwortlichen dafür nur 72 Stunden Zeit. Ein Formular zur Meldung einer Datenschutzverletzung ist auf der Website des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI) verfügbar. Zudem gibt der HmbBfDI auch ausführliche Informationen rund um das Thema Datenpanne im Dokument Data-Breach-Meldungen nach Art. 33 DSGVO.

Eine Meldepflicht besteht, wenn es sich um einen Sicherheitsbruch handelt, durch den personenbezogene Daten an Dritte gelangen, gelöscht oder zeitweise unzugänglich gemacht werden. Als unrechtmäßige Offenbarung gilt bereits der Zugriff auf personenbezogene Daten, auch wenn dieser unbeabsichtigt geschieht und der Inhalt nicht zur Kenntnis genommen wurde. Zudem muss für das Bestehen einer Meldepflicht ein Risiko für die Rechte und Freiheiten natürlicher Personen gegeben sein. Eine Orientierungshilfe (für den nicht-öffentlichen Bereich) zur Einschätzung des Risikos bietet z. B. das Kurzpapier Nr. 18 der Datenschutzkonferenz (DSK).

Als meldepflichtige Datenpanne gelten bspw. eine Cyberattacke sowie der Verlust von Unterlagen oder elektronischen Datenträgern, die personenbezogene Daten enthalten und nicht verschlüsselt sind. Je nach Risikoeinschätzung sind die betroffenen Personen ebenfalls zu benachrichtigen (Benachrichtigungspflicht nach Art. 34 DSGVO). In jedem Fall besteht gemäß Art. 33 Abs. 5 DSGVO eine interne Dokumentationspflicht. 

Sofern sich sicherstellen lässt, dass für die Rechte und Freiheiten natürlicher Personen kein Risiko besteht, ist eine Meldung bei der Aufsichtsbehörde nicht verpflichtend. Dies ist bspw. der Fall, wenn ein gestohlener elektronischer Datenträger verschlüsselt wurde und somit kein Zugriff auf die enthaltenen personenbezogenen Daten möglich ist. Wichtig: Bei der Verletzung der Meldepflicht droht eine Strafe von bis zu 10.000.000 Euro oder 2 % des Jahresumsatzes (siehe auch Art. 83 DSGVO). Die Abwägung der Meldepflichtigkeit sollte daher sehr sorgfältig erfolgen. Hierbei kann das Fachwissen eines externen Datenschutzbeauftragten hilfreich sein.