Externer Datenschutzbeauftragter in Würzburg

Seit Mai 2018 gelten in Deutschland und allen anderen Mitgliedstaaten der Europäischen Union (EU) die Vorschriften der europäischen Datenschutz-Grundverordnung (DSGVO), genauer der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016. Die DSGVO, die sog. JI-Richtlinie (EU-Datenschutzrichtlinie für Polizei- und Justizbehörden) sowie Art. 8 der Europäischen Grundrechtecharta bilden zusammen die Grundlage des europäischen Datenschutzrechts.

Aber auch vor dem Inkrafttreten der DSGVO gab es in Deutschland Regelungen zum Datenschutz auf Bundes- und Landesebene, die nach wie vor bestehen und entsprechend der DSGVO angepasst wurden:

• das Bundesdatenschutzgesetz (BDSG) und
• die Datenschutzgesetze der Bundesländer. Die kreisfreie Stadt Würzburg gehört zum Regierungsbezirk Unterfranken im Norden des Freistaates Bayern – somit gilt hier das Bayerische Datenschutzgesetz (BayDSG). Die Landesdatenschutzgesetze regeln, wie Behörden und sonstige öffentliche Stellen personenbezogene Daten verarbeiten dürfen. Weitere Informationen zum Datenschutz in der öffentlichen Verwaltung und in anderen Einrichtungen des öffentlichen Dienstes finden Sie auf unserer Seite über den behördlichen Datenschutzbeauftragten.

Darüber hinaus gibt es das Datenschutzrecht der katholischen und evangelischen Kirchen, das bei kirchlichen Einrichtungen in Würzburg ggf. zur Anwendung kommt. Sollten Sie Fragen zum kirchlichen Datenschutz haben oder einen Datenschutzbeauftragten für eine kirchliche Einrichtung in Würzburg suchen, so finden Sie ausführliche Informationen auch auf unserer Seite Kirchlicher Datenschutz.

Für Unternehmen und Organisationen mit Hauptsitz in Würzburg sind die Datenschutzaufsichtsbehörden des Freistaates Bayern zuständig. Anders als in den übrigen Bundesländern, gibt es in Bayern zwei Aufsichtsbehörden: Den Bayerischen Landesbeauftragten für den Datenschutz (BayLfD) und das Bayerische Landesamt für Datenschutzaufsicht (BayLDA). 

Bayerischer Landesbeauftragter ist seit 2009 Prof. Dr. Thomas Petri. Der promovierte Jurist wurde vom Bayerischen Landtag für eine Amtszeit von sechs Jahren gewählt und inzwischen mehrfach wiedergewählt. Zuvor war Dr. Petri als Leiter des Bereichs Recht beim damaligen Berliner Beauftragten für Datenschutz und Informationssicherheit (BlnBDI) tätig. Der BayLfD ist für die öffentliche Verwaltung zuständig: Die Behörde berät sowohl Bürger*innen dabei, ihre Datenschutzrechte gegenüber öffentlichen Stellen wahrzunehmen, also auch Unternehmen, wenn eine öffentlich Stelle hier personenbezogene Daten erfragt (z. B. über Mitarbeitende oder Kund*innen). Sollte es Zweifel an der Zulässigkeit der Datenerhebung geben, so können sich Unternehmen zunächst an den zuständigen behördlichen Datenschutzbeauftragten wenden, aber auch an den BayLfD. Des Weiteren obliegt dem BayLfD die Kontrolle der Umsetzung der Datenschutzregelungen in öffentlichen Stellen in Bayern. Wie alle Landesdatenschutzbeauftragten, so nimmt auch der BayLfD seine Aufgaben unabhängig und weisungsungebunden war. Das Büro des BayLfD befindet sich in der Wagmüllerstraße 18 in 80538 München. Auf der Website des BayLfD werden neben einer Vielzahl von Informationen zum Datenschutz auch die jährlichen Tätigkeitsberichte sowie verschiedene Meldeformulare für Bürger*innen (Beschwerde gemäß. Art 77 DSGVO, Art. 20 Abs. 1 BayDSG) und für öffenliche Stellen in Bayern (Meldung des behördlichen Datenschutzbeauftragten, Meldung einer Datenschutzverletzung) angeboten.

Für den nicht-öffentlichen Bereich, also die private Wirtschaft, ist das Landesamt für Datenschutzaufsicht (BayLDA) zuständig. Präsident des Landesamtes ist seit 2020 Michael Will. Der Jurist wurde für eine Dauer von fünf Jahren gewählt und war bereits zuvor im Bereich Datenschutz tätig, u. a. als behördlicher Datenschutzbeauftragter, als Mitglied der Datenschutzkommission des Bayerischen Landtages und als er die Beratungen der DAPIX (2012 bis 2015) im Auftrag des Bundesrates begleitete. Das BayLDA hat sein Büro in der Straße Promenade 18 in 91522 Ansbach. Über die Website des BayLDA haben Bürger*innen die Möglichkeit, online eine Beschwerde einzureichen oder eine Kontrollanregung zu geben. Sowohl Privatpersonen als auch Unternehmen, Vereine, freiberuflich tätige Personen etc. können sich vom BayLDA beraten lassen. Des Weiteren veröffentlicht das BayLDA in jedem Jahr einen Tätigkeitsbericht. Unter einem Tätigkeitsbericht versteht man einen Jahresbericht über die Arten der gemeldeten Verstöße und die Arten der getroffenen Maßnahmen. Diese Berichte werden öffentlich zugänglich gemacht und sind eine wertvolle Informationsquelle für betriebliche und externe Datenschutzbeauftragte, um Sachverhalte einzuschätzen und zu bewerten. Ein Formular zur Meldung einer Datenschutzverletzung (Datenpanne) bietet das BayLDA ebenfalls online an.

Mehr über die Zusammenarbeit der Bayerischen Aufsichtsbehörden und Datenschutzbeauftragten und die Meldung einer Datenpanne lesen Sie in den folgenden beiden Fragen & Antworten.

Verantwortliche und Auftragsverarbeiter sind verpflichtet, wenn bestimmte Voraussetzungen vorliegen, einen Datenschutzbeauftragten zu benennen (Art. 37 DSGVO und § 38 BDSG i. V. m. Art. 37 Abs. 4 DSGVO). Dabei kann der*die Datenschutzbeauftragte entweder aus dem Unternehmen bzw. der Organisation selbst stammen (betrieblicher bzw. interner Datenschutzbeauftragter) oder es kann ein Dienstleister einsetzt werden (externer Datenschutzbeauftragter). Bei Behörden und öffentlichen Stellen ist in jedem Fall ein behördlicher Datenschutzbeauftragter zu benennen, diese Aufgabe kann auch von einer übergeordneten Organisationseinheit oder aber von einem Dienstleister wahrgenommen werden.

Verantwortliche und Auftragsverarbeiter müssen die Kontaktdaten der Person der zuständigen Aufsichtsbehörde mitteilen (Art. 37 Abs. 7 DSGVO). Für München sind die folgenden bayerischen Datenschutzaufsichtsbehörden zuständig: Das Bayerische Landesamt für Datenschutz (BayLDA) für den nicht-öffentlichen Bereich und der Bayerische Landesbeauftragte für Datenschutz (BayLfD) für Behörden und öffentliche Einrichtungen. Sowohl das Landesamt als auch der Landesbeauftragte stellen auf ihren Websites Formulare zur Verfügung, mit denen die Kontaktdaten des*der Datenschutzbauftragten (gemäß Art. 37 Abs. 7 DSGVO) online mitgeteilt werden können: 

• BayLDA: Meldung des Datenschutzbeauftragten
• BayLfD: Meldung des behördlichen Datenschutzbeauftragten 

Wie verläuft die Zusammenarbeit bzw. der Kontakt zwischen Datenschutzbeauftragten und Aufsichtsbehörden? Verantwortliche (datenverarbeitende Stellen) sind verpflichtet, im Falle einer meldepflichtigen Datenschutzverletzung diese innerhalb von 72 Stunden der zuständigen Behörde mitzuteilen (Art. 33 DSGVO). Wann eine Datenschutzverletzung vorliegen könnte, ist in Art. 4 Nr. 12 DSGVO beschrieben. Bei der Meldung wird der Verantwortliche i. d. R. durch die*den Datenschutzbeauftragte*n beraten und welche*r der Behörde auch als Ansprechperson für weitere Informationen genannt wird. Des Weiteren ist die*der Datenschutzbeauftragte auch die zuständige Person, wenn eine Beschwerde über das Unternehmen bzw. die Organisation bei der Aufsichtsbehörde eingeht.

Darüber hinaus können Datenschutzaufsichtsbehörden in ihrer Arbeit auch (anlasslos) Schwerpunkte setzen und Vorgänge der Erhebung und Verarbeitung von personenbezogen Daten in bestimmten Branchen gezielt kontrollieren und dann z. B. entsprechende Fragebögen an die Unternehmen bzw. Organisationen verschicken, die es zu bearbeiten gilt.
 

Als Datenpanne wird umgangssprachlich die Verletzung des Schutzes personenbezogener Daten bezeichnet. Eine Datenschutzverletzung kann nicht nur für die betroffene Person (z. B. Kund*in, Patient*in, Mitarbeiter*in) ernste Folgen haben, sondern natürlich auch für die Verantwortlichen (Unternehmen, Organisationen) selbst. Neben einem Imageschaden und dem Vertrauensverlust drohen in bestimmten Fällen auch Bußgelder seitens der Aufsichtsbehörde sowie Schadenersatzansprüche, die Betroffene gelten machen könnten. Solche Verletzungen des Datenschutzschutzes gilt es natürlich im Vorfeld zu verhindern – dazu berät der Datenschutzbeauftragte den Verantwortlichen und stellt bspw. die ergriffenen technischen und organisatorischen Maßnahmen auf den Prüfstand oder schult bzw. sensibilisiert die Mitarbeitenden im Umgang mit personenbezogenen Daten. 

Sollte eine Datenpanne vorliegen, so darf bei der Bewertung keine Zeit verloren werden, denn ist die Datenschutzverletzung meldepflichtig, bleiben dem Verantwortlichen dafür nur 72 Stunden Zeit. Für Verantwortliche in Unternehmen bzw. Organisationen ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) zuständig. Auf der Website des BayLDA findet sich als Online-Service ein Formular zur Meldung einer Datenschutzverletzung nach Art. 33 DSGVO sowie nähere Erläuterungen zum Ausfüllen. Die datenschutzrechtlich Verantwortlichen von Behörden und öffentlichen Einrichtungen machen ihre Meldung entsprechend beim Bayerischen Landesbeauftragten für den Datenschutz (BayLfD). Auch hier findet sich auf der Website ein Meldeformular für eine Datenpanne. 

Eine Meldepflicht besteht, wenn es sich um einen Sicherheitsbruch handelt, durch den personenbezogene Daten an Dritte gelangen, gelöscht oder zeitweise unzugänglich gemacht werden. Als unrechtmäßige Offenbarung gilt bereits der Zugriff auf personenbezogene Daten, auch wenn dieser unbeabsichtigt geschieht und der Inhalt nicht zur Kenntnis genommen wurde. Zudem muss für das Bestehen einer Meldepflicht ein Risiko für die Rechte und Freiheiten natürlicher Personen gegeben sein. Eine Orientierungshilfe (für den nicht-öffentlichen Bereich) zur Einschätzung des Risikos bietet z. B. das Kurzpapier Nr. 18 der Datenschutzkonferenz (DSK).

Als meldepflichtige Datenpanne gelten bspw. eine Cyberattacke sowie der Verlust von Unterlagen oder elektronischen Datenträgern, die personenbezogene Daten enthalten und nicht verschlüsselt sind. Je nach Risikoeinschätzung sind die betroffenen Personen ebenfalls zu benachrichtigen (Benachrichtigungspflicht nach Art. 34 DSGVO). In jedem Fall besteht gemäß Art. 33 Abs. 5 DSGVO eine interne Dokumentationspflicht. 

Sofern sich sicherstellen lässt, dass für die Rechte und Freiheiten natürlicher Personen kein Risiko besteht, ist eine Meldung bei der Aufsichtsbehörde nicht verpflichtend. Dies ist bspw. der Fall, wenn ein gestohlener elektronischer Datenträger verschlüsselt wurde und somit kein Zugriff auf die enthaltenen personenbezogenen Daten möglich ist. Wichtig: Bei der Verletzung der Meldepflicht droht eine Strafe von bis zu 10.000.000 Euro oder 2 % des Jahresumsatzes (siehe auch Art. 83 DSGVO). Die Abwägung der Meldepflichtigkeit sollte daher sehr sorgfältig erfolgen. Hierbei kann das Fachwissen eines externen Datenschutzbeauftragten hilfreich sein.