Datenschutzgrundverordnung: Auch Kommunen müssen Umgang mit Daten umstellen
Am 25. Mai 2018 beginnt aus datenschutzrechtlicher Sicht ein neues Zeitalter. Denn an diesem Tag tritt die neue Datenschutzgrundverordnung (DSGVO) in Kraft, auf die sich die Europäische Union im Jahr 2015 geeinigt hat. Seitdem haben Unternehmen und öffentliche Verwaltung das Thema immer wieder aufgeschoben – um jetzt in hektische Betriebsamkeit zu verfallen. Denn die DSGVO schränkt die Erhebung und Speicherung personenbezogener Daten nicht nur massiv ein, sie legt erstmals auch hohe Strafen für Verstöße fest. Bis zu 20 Millionen Euro kann der zu laxe Umgang mit persönlichen Daten künftig kosten. Bei der Vorbereitung auf den Stichtag im Mai sind die Kommunen gegenüber der Wirtschaft im Vorteil: „Bei den Behörden waren die Datenschutzanforderungen schon immer hoch“, sagt Städte- und Gemeindebundsprecher Thorsten Bullerdiek. Aber auch hier gibt es Schwachstellen.
Kompliziert wird es bei den Stadtwerken oder dem städtischen Schwimmbad
Künftig soll jeder Bürger zu jeder Zeit erfahren können, welche Daten über ihn in einem Unternehmen oder eine Behörde gespeichert und für welche Zwecke sie genutzt werden. Wer die Daten verarbeitet, muss lückenlos nachweisen können, was mit ihnen geschieht. Gibt es keine Belege dafür, warum bestimmte Daten erhoben oder noch gespeichert werden, kann ein Bußgeld fällig werden. Für die kommunale Verwaltung ist das noch kein Kraftakt, hier gelten schon seit Jahren strenge Dokumentationspflichten. „Kompliziert wird es aber da, wo die öffentliche Hand Träger von nichtöffentlichen Unternehmen ist“, sagt Bullerdiek. Zum Beispiel bei den Stadtwerken, dem städtischen Schwimmbad oder dem Krankenhaus. Aber auch als Auftraggeber von Rechenzentren sind die Kommunen in der Pflicht, die Einhaltung der neuen Datenschutzbestimmungen zu organisieren.
Einwilligungen müssen aktiv abgegeben werden
Hier fanden die Regeln zur Datenerhebung und -verarbeitung bisher eine weniger strenge Anwendung. Nun aber muss in wenigen Monaten viel nachgeholt werden. Die Kommunen müssen Datenschutzbeauftragte für ihre Unternehmen bestellen und die wiederum eine Bestandsaufnahme machen. Welche Daten werden aus welchem Grund gespeichert? Gibt es dafür Einwilligungserklärungen? Wenn ja, wie sind diese formuliert? Denn ab dem 25. Mai müssen Einwilligungen aktiv abgegeben werden. Eine stillschweigende Akzeptanz oder die Kopplung an andere Einwilligungen ist nicht mehr gültig. Und wenn Daten nicht mehr gebraucht werden, muss es ein Konzept geben, wie sie gelöscht werden sollen.
Die kommunale Verwaltung selbst wird ihrem Datenschutz verfeinern müssen, etwa bei der Risikobewertung. Werden sensible persönliche Daten wie die Religion oder Informationen zur Gesundheit zusammen mit dem Namen der Betroffenen erfasst, musste es bisher eine Vorab-Kontrolle geben. Dabei wurde analysiert, welche Einschränkungen in Rechte und Freiheiten des Betroffenen die Sammlung und Verwendung dieser sensiblen Daten nach sich ziehen kann. Das muss künftig häufiger vorgenommen werden, denn die im Gesetz festgelegte Folgenabschätzung hat einen viel größer gefassten Anwendungsbereich. Dazu müssen die Kommunen Prozesse entwickeln, wie Daten auf Wunsch des Bürgers an Dritte weitergegeben werden können. Denn auch das ist ein Recht in der neuen Verordnung.
Niedersächsisches Datenschutzgesetz erst in Anhörung
Hubert Meyer, Geschäftsführer des Niedersächsischen Landkreistags, appelliert an die Landesregierung, in ihrer Umsetzung der DSGVO mehr Gebrauch von den Einschränkungsmöglichkeiten zu machen, die das europäische Gesetz vorgibt. Damit der Informationsaufwand der kommunalen Ebene möglichst gering ausfalle. „Positiv ist, dass sich die Kommunen kaum umstellen müssen, weil die neue Verordnung den Datenschutz nicht neu erfindet“, sagt Ulrich Mahner, Referatsleiter beim Niedersächsischen Städtetag. Doch viele Punkte der DSGVO sind noch nicht in nationales Recht überführt worden. „Das niedersächsische Datenschutzgesetz ist derzeit erst in der Verbandsanhörung“, sagt Mahner. Tritt es nicht rechtzeitig in Kraft, kann das Rechtsunsicherheiten nach sich ziehen. „Um das zu verhindern, ist es eigentlich schon zu spät.“
