Externer Datenschutzbeauftragter in Hamburg

Seit Mai 2018 gelten in Deutschland und allen anderen Mitgliedstaaten der Europäischen Union (EU) die Vorschriften der europäischen Datenschutz-Grundverordnung (DSGVO), genauer der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016. Die DSGVO, die sog. JI-Richtlinie (EU-Datenschutzrichtlinie für Polizei- und Justizbehörden) sowie Art. 8 der Europäischen Grundrechtecharta bilden zusammen die Grundlage des europäischen Datenschutzrechts.

Aber auch vor dem Inkrafttreten der DSGVO gab es in Deutschland Regelungen zum Datenschutz auf Bundes- und Landesebene, die nach wie vor bestehen und entsprechend der DSGVO angepasst wurden:

• Das Bundesdatenschutzgesetz (BDSG) und
• die Datenschutzgesetze der Bundesländer – für Hamburg das Hamburgische Datenschutzgesetz (HmbDSG), das bspw. auf der Website des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI) zum Download zur Verfügung steht. Der Anwendungsbereich des HmbDSG betrifft öffentliche Stellen sowie Unternehmen und Organisationen, an denen öffentliche Stellen beteiligt sind. Weitere Informationen zum Datenschutz in der öffentlichen Verwaltung und in anderen Einrichtungen des öffentlichen Dienstes finden Sie auf unserer Seite über den behördlichen Datenschutzbeauftragten.

Darüber hinaus gibt es das Datenschutzrecht der katholischen und evangelischen Kirchen, das bei kirchlichen Einrichtungen in Hamburg ggf. zur Anwendung kommt. Sollten Sie Fragen zum kirchlichen Datenschutz haben oder einen Datenschutzbeauftragten für eine kirchliche Einrichtung suchen, so finden Sie ausführliche Informationen auch auf unserer Seite Kirchlicher Datenschutz.

Datenschutzaufsichtsbehörden gibt es in jedem Bundesland – in Bayern sogar zwei. Für Hamburg bzw. die Unternehmen und Organisationen, die dort mit ihrem Hauptsitz ansässig sind, ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), Thomas Fuchs, zuständig. Der Volljurist wurde im August 2021 von der Hamburgischen Bürgerschaft zum HmbBfDI gewählt und übt das Amt seit November 2021 aus. In jedem Bundesland ist die Datenschutzaufsichtsbehörde die erste Anlaufstelle für Bürger*innen, die sich als Betroffene über eine Datenschutzverletzung beschweren oder über ihre Rechte informieren möchten. Auch die Datenschutzaufsichtsbehörde in Hamburg gibt auf ihrer Website viele Tipps rund um die Themen Datenschutz und Informationssicherheit.

Neben der Beratung und der Hilfestellung bei der Durchsetzung der Betroffenenrechte nach der DSGVO, gehört es auch zu den Aufgaben des HmbBfDI, die Verarbeitung personenbezogener Daten in der hamburgischen Verwaltung und Wirtschaft zu kontrollieren. Die Datenschutzaufsichtsbehörden legen in den jeweiligen Bundesländern den Schwerpunkt ihrer Prüfungen ganz unterschiedlich. Der derzeitige HmbBfDI fokussiert sich, wie bereits sein Vorgänger Johannes Caspar, auf die Entwicklungen der großen, internationalen Internetplattformen. Aber auch Themen wie Datenschutz und Mobilität (bspw. beim autonomen Fahren) und der Schutz von Kindern und Jugendlichen durch Medienbildung liegt ihm am Herzen. 

Die Dienststelle des HmbBfDI befindet sich in der Ludwig-Erhard-Straße 22 in 20459 Hamburg. Die Behörde ist in fünf Referate unterteilt, die sich verschiedenen Aufgabenbereichen von Wirtschaft und Infrastruktur über Technik bis hin zu ePrivacy und Sozialen Netzwerken widmen. Auf seiner Website stellt der HmbBfDI auch den jährlichen Tätigkeitsbericht zur Verfügung. Einen Jahres- bzw. Tätigkeitsbericht muss gemäß Art. 59 DSGVO jede Aufsichtsbehörde verfassen und darin einen Überblick über die gemeldeten Datenschutzverstöße sowie der ergriffenen Maßnahmen geben. Diese Berichte sind wichtige Informationsquellen für betriebliche/behördliche und externe Datenschutzbeauftragte, da sie dabei helfen, Sachverhalte einzuschätzen und zu bewerten. Des Weiteren können Bürger*innen online Beschwerden einreichen und Verantwortliche Datenschutzverletzungen (Datenpannen) melden. 

Mehr über die Zusammenarbeit von Aufsichtsbehörden und Datenschutzbeauftragten und die Meldung von Datenpannen lesen Sie in den folgenden beiden Fragen & Antworten. 

Verantwortliche und Auftragsverarbeiter sind verpflichtet, wenn bestimmte Voraussetzungen vorliegen, einen Datenschutzbeauftragten zu benennen (Art. 37 DSGVO und § 38 BDSG i. V. m. Art. 37 Abs. 4 DSGVO). Dabei kann der*die Datenschutzbeauftragte entweder aus dem Unternehmen bzw. der Organisation selbst stammen (betrieblicher/interner Datenschutzbeauftragter) oder es kann ein Dienstleister einsetzt werden (externer Datenschutzbeauftragter). Bei Behörden und öffentlichen Stellen ist in jedem Fall ein behördlicher Datenschutzbeauftragter zu benennen, diese Aufgabe kann auch von einer übergeordneten Organisationseinheit oder aber von einem Dienstleister wahrgenommen werden.

Zu den Aufgaben des Datenschutzbeauftragten gehört es, Ansprechperson für die zuständige Aufsichtsbehörde zu sein. Zu diesem Zweck müssen die Kontaktdaten des Datenschutzbeauftragten vom Verantwortlichen / Auftragsverarbeiter der Behörde mitgeteilt werden (Art. 37 Abs. 7 DSGVO). Der HmbBfDI stellt hierzu ein entsprechendes Meldeformular bereit. Alternativ kann die Meldung auch per E-Mail oder Post erfolgen. 

Wie verläuft die Zusammenarbeit bzw. der Kontakt zwischen Datenschutzbeauftragten und Aufsichtsbehörden? Verantwortliche (datenverarbeitende Stellen) sind verpflichtet, im Falle einer meldepflichtigen Datenschutzverletzung diese innerhalb von 72 Stunden der zuständigen Behörde mitzuteilen (Art. 33 DSGVO). Wann eine Datenschutzverletzung vorliegen könnte, ist in Art. 4 Nr. 12 DSGVO beschrieben. Der HmbBfDI stellt außerdem auf seiner Website ein ausführliches Dokument mit zahlreichen Praxisbeispielen zum Thema Data-Breach-Meldungen nach Art. 33 DSVGO zur Verfügung.

Bei der Meldung der Datenschutzverletzung wird der Verantwortliche i. d. R. durch den Datenschutzbeauftragten beraten, welcher der Behörde auch als Ansprechperson für weitere Informationen genannt wird. Des Weiteren ist der Datenschutzbeauftragte auch die zuständige Person, wenn eine Beschwerde über das Unternehmen bzw. die Organisation bei der Aufsichtsbehörde eingeht.

Die Datenschutzaufsichtsbehörden können in ihrer Arbeit auch (anlasslos) Schwerpunkte setzen und Vorgänge der Erhebung und Verarbeitung von personenbezogen Daten in bestimmten Branchen gezielt kontrollieren und dann z. B. entsprechende Fragebögen an die Unternehmen bzw. Organisationen verschicken, die es zu bearbeiten gilt.