Hamburgisches - Hamburgische Beauftragte für Datenschutz und

Zu § 25 Beanstandungen
Während im Bereich der aufsichtsbehördlichen Tätigkeit gegenüber nichtöffentlichen
Stellen die Möglichkeit besteht, Bußgelder und Anordnungen
nach dem BDSG zu erlassen, ist das schärfste Schwert des Hamburgischen
Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI)
gegenüber den von ihm kontrollierten öffentlichen Stellen das Instrument
der Beanstandung. Voraussetzung und Verfahren von Beanstandungen regelt
§ 25.
Eine Beanstandung setzt zunächst voraus, dass der HmbBfDI Verstöße
gegen das Hamburgische Datenschutzgesetz oder gegen andere Vorschriften
des Datenschutzes durch die in § 2 Abs. 1 S. 1 genannten Stellen
feststellt. Der Landesgesetzgeber lässt – ebenso wie der Bundesgesetzgeber
in § 25 BDSG – nicht nur Verstöße, sondern bereits auch Mängel bei der
Datenverarbeitung als Grund für eine Beanstandung ausreichen. Dies dokumentiert,
dass das Kontrollrecht des Datenschutzbeauftragten gegenüber
den öffentlichen Stellen umfassend ist und sich nicht auf eine reine
Rechtskontrolle öffentlicher Stellen beschränkt (insoweit Gola/Schomerus,
BDSG, 11. Aufl., § 25 Rn 2). Grundsätzlich wird jedoch bei der Beanstandung
auch sonstiger Mängel eine gewisse Erheblichkeit zu fordern sein.
Dies ergibt sich bereits aus dem Grundsatz der Verhältnismäßigkeit, dessen
Anwendung nicht zuletzt auch im Eigeninteresse der Datenschutzbehörden
liegen sollte, zumal eine exzessive Beanstandungspraxis das
Instrument der Beanstandung abwerten würde. Insoweit sollten die Mängel
geeignet sein, zumindest abstrakt das Persönlichkeitsrecht oder
schutzwürdige Interessen der Betroffenen zu beeinträchtigen (Gola/Schomerus,
a.a.O., Rn 2).
Absatz 1 regelt im Einzelnen, an welche Stellen die Beanstandungen zu
richten sind. Dies ist im Bereich der Verwaltung sowie der Gerichte der
Freien Hansestadt Hamburg das für die Behörden oder das Gericht verantwortliche
Senatsmitglied.
Anknüpfungspunkt für die Frage, an wen eine Beanstandung zu richten ist,
ist die Verantwortlichkeit der Stelle, die gegen Datenschutzregeln verstoßen
hat. Im Bereich von größeren IT-Vorhaben der Verwaltung führt dies
mitunter zu der Konsequenz, dass gegenüber der für die Aufsicht über die
Bezirke zuständigen Behörde eine Beanstandung auszusprechen ist, da
die Bezirke letztlich die Aufgabe der Datenverarbeitung übernehmen, obwohl
in derartigen Fällen die Ursachen für Datenschutzverstöße häufig auf
der Planungs- und Durchführungsebene und damit im Bereich der jeweils
verantwortlichen Lenkungsausschüsse und der damit betrauten Fachbehörden
liegen. Richtet sich die Beanstandung gegen einen Verstoß im
129