ZAP-2019-21

Verfassungsrecht/Verwaltungsrecht Fach 19, Seite 947
Datenschutz: Kommunalebene
In einem Löschkonzept ist also festzulegen, wie und wann Daten zu löschen sind unter Berücksichtigung
der gesetzlichen Aufbewahrungspflichten.
Praxistipp:
Auch dieses Löschkonzept kann im Rahmen der Mandatierung von rechtsentscheidender Bedeutung sein.
Auch hieraus können sich entsprechende Abwehrrechte ergeben.
4. Widerspruch
Gemäß Art. 21 DSGVO kann unter bestimmten Voraussetzungen ein Widerspruchsrecht gegen die
Verarbeitung personenbezogener Daten bestehen. Das Widerspruchsrecht dient dazu bei bestimmten
Datenverarbeitungen einer möglichen besonderen Situation der betroffenen Person Rechnung zu
tragen.
Auch beim Bestehen eines Widerspruchsrechts kann der Verantwortliche die personenbezogenen Daten
aber dennoch weiterhin verarbeiten, wenn zwingende schutzwürdige Gründe vorliegen, die die
Verarbeitung erforderlich machen, insbesondere aufgrund gesetzlicher Vorgaben.
5. Datenpanne
Die Meldung von Datenschutzverletzungen richtet sich nach Art. 33 DSGVO. Kommt es zu einem unbefugten
Offenlegen von personenbezogenen Daten, zu einer Vernichtung, einem Diebstahl oder einem
sonstigen Verlust eines Datenträgers, z.B. eines USB-Sticks, so handelt es sich um eine Datenpanne.
Weiteres Beispiel ist auch der Verlust des privaten Telefons des Mitarbeiters, jedenfalls dann, wenn auf
diesem auch Kundendaten gespeichert waren. Dann geht es darum weitere Folgen insbesondere dadurch
zu verhindern, indem die SIM-Karte über den Anbieter gesperrt wird. Weiterhin ist dann zu prüfen,
welche Arten von Daten betroffen sind, welche Personen in Mitleidenschaft gezogen worden sind
und welche Risiken für diese bestehen.
Praxistipp:
Die Datenpanne muss innerhalb von 72 Stunden bei der Aufsichtsbehörde gemeldet werden; die Frist
beginnt dabei spätestens ab dem Moment der tatsächlichen Kenntnisnahme zu laufen. Auf ein Verschulden
kommt es nicht an.
Diese Meldung muss mindestens enthalten, welche Art der Verletzung des Schutzes personenbezogener
Daten gegeben ist, möglichst mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen.
Weiterhin sind Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle
zu nennen; weiterhin eine Beschreibung der wahrscheinlichen Folgen der Verletzungen des
Schutzes personenbezogener Daten sowie der Maßnahmen, die kurzfristig, vor allem aber auch langfristig
als Gegenwirkung beschlossen worden sind (Art. 33 Abs. 3 DSGVO).
V. Aktuelle Fallgestaltungen zum Datenschutzrecht
1. Foto
Das Recht am eigenen Bild nach Art. 2, 1 GG i.V.m. §§ 22, 23 KUG war bislang spezialgesetzlich geregelt.
Danach durften Bildnisse nur mit Einwilligung des Abgebildeten verbreitet oder öffentlich zur Schau
gestellt werden. Es gab aber entsprechende Ausnahmen, so z.B. für Personen des öffentlichen Lebens,
aber auch für solche, die nur Beiwerk auf dem Bild sind oder die sich im Rahmen von Versammlungen
bewegen. Der Handlungsrahmen insbesondere für nicht professionelle Fotografen war damit klar abgesteckt.
Nunmehr ist Unsicherheit dadurch entstanden, dass mit jeder Fertigung eines Fotos auch Daten
entstehen und dies zur Konsequenz haben könnte, dass die DSGVO die bisherigen Regelungen des
KUG verdrängt. Soweit die DSGVO selbst keine expliziten Regelungen zu Fotos enthält, so hat der
ZAP Nr. 21 7.11.2019 1149