Datenschutzaufsichtsbehörden in Deutschland und Europa beklagen mangelnde personelle und finanzielle Ausstattung zur Erfüllung ihrer Aufgaben
Der Europäische Datenschutzausschuss (EDSA) hat Informationen zur finanziellen und personellen Ausstattung der Datenschutzaufsichtsbehörden in den Mitgliedsstaaten veröffentlicht. Aus dem Bericht ergibt sich u. a., dass nur 18% der Aufsichtsbehörden davon ausgehen, dass ihr vorhandenes Budget für die Aufgabenerfüllung ausreichend ist. Bei der personellen Ausstattung sind sogar nur 14% der Behörden zufrieden.
Die insgesamt 18 deutschen Datenschutz-Aufsichtsbehörden in Bund und Ländern gehören zu denen, die sowohl mit ihrer personellen Ausstattung als auch mit ihrem Budget nach eigener Bewertung nicht in der Lage sind, ihre Aufgaben zeitnah nach den Anforderungen der DSGVO und der jeweiligen bundes- bzw. landesgesetzlichen Rechtsnormen zu erledigen.
Quelle: Bericht des Europäischen Datenschutzausschusses (EDSA)
Die Personalausstattung des Hessischen Datenschutzbeauftragten hat sich zwischen 2017 (vor Inkrafttreten der DSGVO und des Hessischen Datenschutz- und Informationsfreiheitsgesetzes) von 53,5 auf 55 Planstellen erhöht. Seit 25.05.2018 ist der Hessische Datenschutzbeauftragte zugleich auch der Hessische Informationsfreiheitsbeauftragte – mit entsprechend gewachsenen Aufgaben.
Der Landesbeauftragte für den Datenschutz für Sachsen-Anhalt hat im Juni 2020 in seinem Tätigkeitsbericht zu Beginn, im Abschnitt 2.2. des Berichts, detailliert auf die aus seiner Sicht prekäre und europarechtswidrige Ausstattung seiner Behörde hingewiesen: „Von dem aktuellen Gesamtbedarf von 53 Stellen sind… bislang nur 30 Stellen… vorhanden, so dass ein offener Stellenbedarf von weiteren 23 Stellen besteht. Um diesen Bedarf stufenweise zu decken, hatte der Landesbeauftragte im Jahre 2019 für die Haushaltsjahre 2020/2021 insgesamt 15 Stellen mit eingehender Begründung im Rahmen der Haushaltsaufstellung angemeldet.Das Ministerium für Finanzen hat diese Anmeldungen, ohne auf die Begründung der Stellen seitens des Landesbeauftragten einzugehen und ohne die Erforderlichkeit der Stellen zu prüfen, komplett gestrichen… Damit setzt sich die defizitäre Personalausstattung der Ge-schäftsstelle auch in den Jahren 2020 und 2021 fort. Sowohl die einseitige Streichung ohne Begründung als auch die dabei unterlassene Prüfung der Erforderlichkeit des Stellenbedarfs stellen einen Verstoß gegen europäisches und Landesrecht dar. Art. 52 Abs. 4 DS-GVO, § 21 Abs. 3 Satz 2 DSG LSA bzw. § 22 Abs. 2 Satz 2 DSAG enthalten eine Garantie hinsichtlich der notwendigen Personalausstattung… Durch die einseitige Streichung von notwendigen Stellen liegt eine gravierende, unzulässige Einflussnahme in die völlige Unabhängigkeit des Landesbeauftragten vor…“
„Der Datenschutz in Hamburg ist über dem Limit“, erklärte der Hamburger Datenschutzbeauftragte Johannes Caspar am 25.02.2016 bei der Vorlage seines Tätigkeitsberichts für die Jahre 2014 und 2015. Werde seine Behörde personell nicht besser ausgestattet, „wird es nicht gelingen, den vielfältigen Herausforderungen gerecht zu werden, die mit der neuen europaweit geltenden Datenschutzgrundverordnung künftig verbunden sind“, warnte er. Die Hamburger Dratenschutzaufsichtsbehörde verfügte zum Zeitpunkt der Veröffentlichung des Berichts über Personal im Umfang von 18,4 Vollzeitstellen. Der Hamburger Datenschutzbeauftragte hielt damals eine Aufstockung auf mindestens 26,9 Vollzeitstellen für notwendig. Im Haushalt der Hansestadt Hamburg für 2019/2020 (dort S. 234 / Blatt 240) sind die Planstellen zwar auf 27,4 erhöht. Gemessen an den neuen Aufgaben durch die DSGVO erscheint dies aber nach wie vor unzureichend.
Auch das Bayerische Landesamt für Datenschutzaufsicht (in Bayern zuständig für die Datenschutzaufsicht im privaten Bereich) im Tätigkeitsbericht für 2015/2016 (dort S. 3) festgestellt: „Der bayerische Haushaltsgesetzgeber hat im Doppelhaushalt für die Jahre 2017 und 2018 vier neue Stellen (und damit die Hälfte, die wir beantragt haben) für uns ausgewiesen. Diese Entscheidung des Bayerischen Landtags hat zum Teil das umgesetzt, was wir seit Jahren zur Bewältigung der bestehenden Aufgaben nach den derzeit geltenden Vorschriften gefordert hatten. Mit an Sicherheit grenzender Wahrscheinlichkeit werden die neuen Stellen… nicht ausreichen, um die anstehenden Aufgaben angemessen erfüllen zu können. Es lässt sich schon heute feststellen, dass wir die Aufgaben der umfassenden Kontrolle, der wirksamen, verhältnismäßigen und abschreckenden Sanktionierung fast aller Datenschutzverstöße, der Kooperation mit den europäischen Datenschutzbehörden und insbesondere der effektiven Beratung und Hilfestellung bei bayerischen Unternehmen in rechtlicher und technischer Hinsicht mit den vorhandenen Ressourcen nicht werden leisten können…“