ZAP-2019-21

Verfassungsrecht/Verwaltungsrecht Fach 19, Seite 943
Datenschutz: Kommunalebene
personenbezogenen Daten hat bzw. wie lange diese gespeichert werden und ob eine Übertragung
an Dritte erfolgt. Gleichermaßen ist darauf hinzuweisen, dass Betroffenenrechte wie Auskunft, Berichtigung
etc. bestehen.
Die Informationspflicht ist immer zu Beginn zu erfüllen und nicht erst dann, wenn ein Bürger danach
explizit fragt. Dies bedeutet z.B. dann, wenn Merkblätter ausgelegt werden, dass diese auch rechtzeitig
den Betroffenen erreichen müssen. Allgemeine Hinweise, die sich ausschließlich auf der Homepage der
Behörde befinden, sind nicht ausreichend.
Im Bereich von Steuern und Abgaben, die für den Bürger zum Teil eher schwierig durchschaubar sind,
gibt es dennoch keine gesteigerten Informationspflichten.
Hinweis:
In einem Verwaltungsverfahren reicht es aus, die betroffene Person zu Beginn des selbigen zu informieren,
so z.B. bei der Stellung eines entsprechenden Antrags. Wiederholen sich Vorgänge, so muss nicht jedes
Mal erneut der Informationspflicht nachgekommen werden, sondern ein Verweis auf frühere
Informationen ist dabei ausreichend.
Praxistipp:
Steht die Verletzung von Informationspflichten oder eine Verletzung der Meldepflicht nach einer Datenpanne
gem. Art. 33 Abs. 1 DSGVO im Raum, dann kommen auch Schadensansprüche nach Art. 82 DSGVO
in Betracht. Das Recht auf Schadensersatz gegen den Verantwortlichen oder gegen den möglichen Auftragsverarbeiter
ist neu und erweitert damit die Haftung desjenigen, der personenbezogene Daten erhebt
und verarbeitet.
Die Haftungsproblematik bezieht sich aber ausschließlich auf das privatrechtliche Handeln einer Behörde.
Denn im Übrigen, also bei der Erfüllung öffentlicher Aufgaben, gelten die allgemeinen Grundsätze
zur Amtshaftung (Art. 34 GG i.V.m. § 839 BGB).
3. Verzeichnis von Verarbeitungstätigkeiten
Was die Behörde schon in der Vergangenheit als „Verfahrensverzeichnis“ kennt und umgesetzt hat, so
hat der Gesetzgeber dies nunmehr mit dem „Verzeichnis von Verarbeitungstätigkeiten“ nochmals
verschärft und die Pflichten diesbezüglich etwas erhöht.
Ein verbindliches Muster für die Erstellung derartiger Verzeichnisse besteht allerdings nicht. Das Verzeichnis
ist vom Verantwortlichen zu erstellen, nicht indes vom Datenschutzbeauftragten. Dieser hat
lediglich beratend tätig zu sein und die Mitverantwortung dafür zu tragen, dass die datenschutzrechtlichen
Anforderungen durch den Verantwortlichen (Geschäftsführung) auch erfüllt werden.
Das Verzeichnis ist schriftlich zu erstellen und muss angemessen aktualisiert werden; eine jährliche
Überarbeitungspflicht besteht allerdings grds. nicht, es sei denn, es ergeben sich diesbezüglich konkrete
Anhaltspunkte.
Praxistipp:
Die Umsetzung der Verzeichnisse kann durch interne Arbeitsanweisungen sichergestellt werden, insbesondere
dahingehend, dass dem Verantwortlichen neue Verarbeitungsvorgänge und die daraus resultierende
Änderungen des bisherigen Verzeichnisses gemeldet werden. Die Dokumentation und Nachweisführung
bezüglich derartiger mündlicher oder schriftlicher Anweisungen spielen dann auch in einem
möglichen Verfahren eine Rolle, in dem einem Mitarbeiter eine datenschutzrechtliche Pflichtverletzung
vorgehalten wird. Dies sowohl im Falle einer Abmahnung also auch einer Kündigung.
ZAP Nr. 21 7.11.2019 1145