Gießen: Behördlicher Datenschutzbeauftragter beklagt ungenügende Arbeitsbedingungen
In seinem “Datenschutzbericht 2015-2017“ widmet der behördliche Datenschutzbeauftragte der Stadt Gießen alleine sechs der insgesamt 25 Seiten den unzureichenden Arbeitsbedingungen in seinem Aufgabenbereich. Der Datenschutzbeauftragte übt seine Tätigkeit nominell mit 20 % seiner Arbeitszeit aus, seine Haupttätigkeit ist die Leitung des Revisionsamts der Stadt Gießen.
Im Bericht stellt er fest: “Der Aufwand zur Erfüllung der Aufgabe als bDSB hat sich für den Unterzeichner nach Übernahme dieser Aufgabe im Jahr 2009 in gleichem Maß erhöht wie das Volumen und der Umfang des damit verbundenen Aufgabenspektrums der Universitätsstadt Gießen. Der zeitliche und persönliche Einsatz für den Datenschutz wurde innerhalb des genannten Zeitraumes nicht zuletzt auch im Zuge der erhöhten Sensibilität der Öffentlichkeit im Umgang mit personenbezogenen, aber auch anderen sensiblen Daten immer anspruchsvoller und umfangreicher. Im Hinblick auf die Medienwirksamkeit des Themas Datenschutz, aber auch durch die zunehmende Informationsgesellschaft sowie einer sich immer weiter auf Digitalisierung und e-Government ausrichtende öffentliche Verwaltung wird diese Entwicklung auch schnelllebiger und dynamischer. Der damit verbundene auch technologische Wandel und die Komplexität der zahllosen Wechselbeziehungen im Dialog zwischen Verwaltung und Zivilgesellschaft macht selbst für den datenschutzrechtlichen Laien erkennbar, wie sich das Themenfeld Datenschutz innerhalb dieses Zeitraumes im Hinblick auf die Aufgaben und Anforderungen verändert hat. Es kann jedoch keine Rede davon sein, dass im Hinblick darauf die dafür zur Verfügung gestellten Ressourcen in gleicher Weise angepasst worden wären. Stattdessen wurde das ursächlich avisierte, täglich aufzubringende Arbeitszeitkontingent bei einer Größenklasse der Universitätsstadt Gießen längst durch die Lebensrealität überholt…” (Bericht, S. 21/22)
Weiter führt der Datenschutzbeauftragte aus: “… es wird erkennbar, wie risikobehaftet (u. a. Art. 39 Abs. 2 DSGVO) das übertragene Aufgabengebiet für den bDSB ist, vor allem dann, wenn es um die Frage geht, zu nicht oder nicht sachgerecht erfüllten Aufgaben Stellung zu nehmen. Wenn Datenschutzverletzungen nach dem aktuellen Rechtslage u. U. zu persönlicher Haftung – nicht nur für den Verursacher dieser Verletzungen, sondern auch für den bDSB – führen könnten, bedeutet dies konkret ebenfalls, dass eine unterlassene Aufgabenwahrnehmung (sei es aus zeitlicher, fachlicher, personeller oder sonstiger Sicht) ebenfalls geahndet werden kann.” (Bericht, S. 23)
Zu den strukturellen Problemen aus seiner Doppelfunktion Amtsleiter des Revisionsamts und behördlicher Datenschutzbeauftragte stellt er fest: “… liegt ein weiterer Interessenkonflikt u. a. darin, dass es nach den genannten Vorgaben nicht möglich sein darf, eine Datenschutzkontrolle bei sich selbst verhindern zu können, obwohl bzw. wenn man bei seinen Aufgaben besonders und umfassend zu datenschutzrechtlichen Sachverhalten Zugang hat. Konkret bedeutet dies, dass der Leiter des Revisionsamtes damit verhindern könnte, dass er oder das Revisionsamt zum Gegenstand einer datenschutzrechtlichen Kontrolle wird. Dies ist nach den hohen datenschutzrechtlichen Vorgaben durch die DSGVO, aber auch das HDSIG nicht zulässig.” (Bericht, S. 23)
In einem Bericht der Gießener Allgemeinen Zeitung vom 13.12.2018 wird deutlich, dass die Oberbürgemeisterin der Stadt Gießen bei Vorlage und Diskussion des Datenschutzberichts in einem Ausschuss der Stadtverordnetenversammlung säuerlich auf die deutliche Kritik reagierte.
Der hessische Datenschutzbeauftragte Prof. Michael Ronellenfitsch hat im Zusammenhang mit der Umsetzung der EU-Datenschutzgrundverordnung (DSGVO) im Juni 2017 in einem Arbeitspapier Anforderungen an behördliche und betrieblich Datenschutzbeauftragte veröffentlicht. Darin wird u. a. auf die “Bereitstellung erforderlicher Ressourcen” hingewiesen (Arbeitspapier S. 20/21).