Hamburgisches - Hamburgische Beauftragte für Datenschutz und

Anders als bei nicht-öffentlichen Stellen ist der Vertrag zwischen auftraggebender
und auftragnehmender Stelle nach dem Wortlaut der Vorschrift
nicht mehr zwingend schriftlich zu erteilen. Schon aus Gründen der Dokumentation
des Verwaltungshandelns ist jedoch angesichts der verschiedenen
vorgegebenen Vertragsinhalte zumindest eine elektronische Speicherung
der Absprachen zu fordern. Für die Dienststellen der Freien und Hansestadt
Hamburg (Kernverwaltung) fordert ferner die Freigaberichtlinie der
Finanzbehörde eine schriftliche oder elektronische Form der Auftragserteilung.
Bei einem außer-hamburgischen Auftragnehmer verlangt § 3 Abs. 3
Satz 2, dass die auftraggebende öffentliche Stelle die zuständige Datenschutzaufsichtsbehörde
von der Auftragsdurchführung in ihrem Bereich
unterrichtet.
Wegen verschiedener negativer Vorfälle bei der Auftragsdatenverarbeitung
wurde 2010 die Parallelvorschrift § 11 Bundesdatenschutzgesetz
(BDSG) für nicht-öffentliche Auftraggeber stark erweitert und verschärft.
Die Anforderungen an eine zulässige Auftragsdatenverarbeitung sind seitdem
im nicht-öffentlichen Bereich strenger als im Hamburger öffentlichen
Bereich. Dies ist jedoch inhaltlich kaum zu begründen. Zumindest bei der
datenschutzrechtlichen Beratung öffentlicher Stellen wird der HmbBfDI
deswegen auch Anregungen aus § 11 BDSG aufnehmen und z.B. in die
Auslegung notwendiger organisatorischer Maßnahmen (Abs. 1 Satz 2, 3)
einbeziehen.
Absatz 4
Abs. 4 ist eine landesspezifische Regelung, die sich so in anderen
Datenschutzgesetzen nicht findet. Sie stellt die Vergabe beratender und
begutachtender „oder vergleichbarer unterstützender Tätigkeiten“ sowie
von (Fern-)Wartungsarbeiten für EDV-Systeme der Auftragsdatenverarbeitung
gleich. „Diese Tätigkeiten bewegen sich einerseits allenfalls im Randbereich
der Auftragsdatenverarbeitung, da Beratern, Gutachtern und vergleichbar
Tätigen wegen ihrer besonderen Sachkenntnis und der ihnen zur
Erfüllung ihrer Aufgaben notwendigerweise einzuräumenden Entscheidungsspielräume
die Verarbeitung personenbezogener Daten nach Art und
Umfang nicht im Einzelnen vorgegeben werden kann. Andererseits fällt es
häufig schwer, in diesen Fällen eine gesetzliche Übermittlungsbefugnis herzuleiten.
Die neue Nr. 1 schließt diese Lücke.“ (Bü-Drs. 16/3995).
Die in Abs. 4 Nr. 1 genannten „begutachtenden Tätigkeiten“ kommen vor
allem Im Sozial- und Gesundheitsbereich vor. Für die Datenweitergabe z.B.
vom UKE, vom Gesundheitsamt oder vom Medizinischen Dienst an externe
Auftragnehmer gehen jedoch die spezialgesetzlichen Vorschriften etwa
im Hamburgischen Krankenhausgesetz (§ 9) oder im Sozialgesetzbuch
51