(GZ-12-2021)

► Bayerischer Datenschutzbericht 2020:

Im Zeichen der Pandemie

Datenschutzrechtliche Fragen im Kontext der COVID-19-Pandemie sowie klassische Fragen und Probleme aus dem Behördenalltag stehen im Mittelpunkt des Tätigkeitsberichts 2020, den der bayerische Landesbeauftragte für Datenschutz, Thomas Petri, jüngst vorstellte. Nach seiner Beobachtung waren nicht nur zahlreiche Rechtsetzungsvorhaben zu begleiten sowie viele Eingaben und Beratungsanfragen zu bewältigen; auch der Dienstbetrieb war unabhängig von der Entwicklung der Inzidenzen sicherzustellen.

Im Kontext der COVID-19-Pandemie reichte das Themenspektrum nach Petris Angaben von Filmaufnahmen im Krankenhaus über Rechtsfragen bei verschiedenen Datentransfers bis hin zur datenschutzgerechten Berichterstattung über Infektionszahlen.

Bei der Datenschutz-Grundverordnung, seit drei Jahren für alle geltendes Recht, zeige seine Beratungspraxis, dass sich Schwierigkeiten und Konflikte mittlerweile oftmals auf eine Detailebene verlagerten. Nicht wenige grundsätzliche Fragen hätten durch die Rechtsprechung und die Arbeit der Datenschutz-Aufsichtsbehörden zumindest eine vorläufige Klärung erfahren.

Zuvörderst konsolidiert ein umfangreicher Schwerpunktbeitrag datenschutzrechtliche Erkenntnisse, die der Datenschutzbeauftragte aus zahlreichen Eingaben im Zusammenhang mit der Verfolgung von Verkehrsordnungswidrigkeiten gewinnen konnte. Die Aufmerksamkeit gilt unter anderem Speicherungen personenbezogener Daten im Polizeibereich. Ein Praxisfall verdeutlicht, dass selbst beim unachtsamen Ausfüllen eines „Strafzettels“ durch die Polizei „nebenbei“ unzulässig personenbezogene Daten offengelegt werden können.

Wie facettenreich datenschutzrechtliche Fragestellungen bei einem Alltagsphänomen sein können, zeigt der Beitrag „Factoring bei ÖPNV-Leistungen durch Stadtwerke“. Dabei geht es um den Online-Ticketkauf, den viele öffentliche Verkehrsunternehmen anbieten.

Verwaltungsdigitalisierung

Mit Blick auf die Verwaltungsdigitalisierung berichtet der Beitrag „Gesetz über die Digitalisierung im Freistaat Bayern“ von Petris Bemühungen um die „datenschutzgerechte Gestaltung einer maßgeblichen rechtlichen Handlungsgrundlage in diesem Bereich“; demgegenüber gewährt der Beitrag „Leitfaden zum Outsourcing kommunaler IT“ Einblick in den Entstehungsprozess eines zu Beginn des laufenden Jahres veröffentlichten Dokuments, das deutschlandweit erstmals ausführlich Standards für eine Unterstützung von Kommunen durch externe Dienstleister im Bereich der Verwaltungsdigitalisierung formuliert.

Kleinere Kommunen fühlen sich eventuell auf Grund mangelnder personeller Ressourcen von den im IT-Outsourcing-Leitfaden formulierten Anforderungen auf den ersten Blick überfordert. Auf Grund der rechtlich normierten Verpflichtungen durch die Datenschutz-Grundverordnung und weiterer rechtlicher Regelungen können kleinere Kommunen allerdings nicht völlig aus diesen Verpflichtungen entlassen werden.

Um die notwendigen Schritte für ein IT-Outsourcing trotzdem durchführen zu können, weist Petri auf die Möglichkeiten der kommunalen Zusammenarbeit wie beispielsweise den Zusammenschluss mehrerer Kommunen zur Gründung eines eigenen IT-Dienstleisters (etwa im Rahmen eines Zweckverbands oder gemeinsamen Kommunalunternehmens), auf die Nutzung eines bereits bestehenden kommunalen Rechenzentrums oder IT-Dienstleisters sowie auf die mögliche Zusammenarbeit mehrerer Kommunen, die denselben Dienstleister beauftragen wollen, hin. Zudem sollten die Arbeitserleichterungen möglichst genutzt werden.

Zertifizierung nach ISO 27001

Soll ein IT-Dienstleister beauftragt werden, der nach der Norm ISO 27001 zertifiziert ist, so kann die Kommune dadurch den Aufwand, der sich durch die jährlich notwendige Kontrolle des Dienstleisters ergibt, deutlich reduzieren. Zu beachten ist Petri zufolge allerdings, dass eine Zertifizierung nach dieser Norm zwar die Kontrollpflicht beim Auftraggeber reduziert, nicht aber von der sorgfältigen Auswahl des Dienstleisters befreit. Hierzu gehört nicht nur die Überprüfung, ob der Untersuchungsgegenstand der Zertifizierung anwendbar ist, sondern auch, dass gegebenenfalls weitere technische Anforderungen aus diesem Anforderungskatalog vertraglich zu vereinbaren sind.

Auch in der Welt der Schulen und Hochschulen stellen sich immer wieder neue Datenschutzfragen. Im Berichtszeitraum stand hier die Beratung des Gesetzgebers im Vordergrund, etwa, als es um die datenschutzkonforme Regelung von Distanzunterricht sowie um die Einführung von Fernprüfungen ging. Hinsichtlich des Datenschutzes bei der Befreiung von der Maskenpflicht an bayerischen öffentlichen Schulen erreichten den obersten Datenschützer zahlreiche Eingaben.

Was den Bereich des technischorganisatorischen Datenschutzes betrifft, konnte Petri etwa Empfehlungen für die Beauftragten der Bayerischen Staatsregierung erarbeiten oder Hinweise zur Löschung von Datenkopien aus Backup-Systemen geben. Beanstandungen bayerischer öffentlicher Stellen betrafen hier im Berichtsjahr beispielsweise den Versand einer Bewerberdatei, den Verlust von Festplatten oder einer Personalratsakte.

DK

Dieser Artikel hat Ihnen weitergeholfen?
Bedenken Sie nur, welche Informationsfülle ein Abo der Bayerischen GemeindeZeitung Ihnen liefern würde!
Hier geht’s zum Abo!