Schotten: Wie eine hessische Kleinstadt die Europäische Datenschutz-Grundverordnung (DSGVO) verschläft
Der Bericht über einen beabsichtigten Ausbau der Videoüberwachung in der hessischen Kleinstadt Schotten war für einen Redakteur dieser Homepage Anlass, auf der Homepage der Stadt Schotten zu recherchieren, um die Kontaktdaten des behördlichen Datenschutzbeauftragten der Stadt Schotten heraus zu finden. Mit beeindruckenden Ergebnissen: Die Datenschutzerklärung auf der Homepage der Stadt Schotten entpuppt sich als ein Sammelsurium von Informationen, die
- unvollständig,
- nicht aktuell und
- rechtlich mehr als zweifelhaft sind.
Das beginnt mit der Feststellung, „halten wir uns strikt an die Regeln des deutschen Bundesdatenschutzgesetzes (BDSG)“, obwohl für die Stadt Schotten auch schon vor dem Inkrafttreten der Europäische Datenschutz-Grundverordnung (DSGVO) am 25.05.2018 nicht das BDSG sondern das damalige Hessische Datenschutzgesetz (HDSG – seit 25.05.2018: Hessisches Datenschutz- und Informationsfreiheitsgesetz – HDSIG) die einschlägige Rechtsgrundlage war.
Es geht weiter in Punkt 1 der Datenschutzerklärung mit der Feststellung „Beim Besuch dieser Seite verzeichnet der Web-Server automatisch Log-Files, die keiner bestimmten Person zugeordnet werden können. Diese Daten beinhalten z. B. den Browsertyp und -version, verwendetes Betriebssystem, die zuvor besuchte Seite, IP-Adresse des anfragenden Rechners, Zugriffsdatum und -uhrzeit der Serveranfrage und die Dateianfrage (Dateiname und URL). Diese Daten werden nur zum Zweck der statistischen Auswertung gesammelt.“ Das sieht der Bundesgerichtshof (BGH) etwas anders als die Stadt Schotten. Mit Urteil vom 16.05.2017 (Aktenzeichen: VI ZR 135/13) hat der BGH festgestellt, dass nicht nur statische, sondern auch dynamische IP-Adressen personenbezogene Daten darstellen.
Und beim Blick in Art. 13 DSGVO fällt auf, dass zwingende Angaben in der Datenschutzerklärung fehlen, so z. B.
- Name und Kontaktdaten des für die Homepage der Stadt Schotten Verantwortlichen;
- Kontaktdaten des behördlichen Datenschutzbeauftragten;
- die Rechtsgrundlage der Verarbeitung (vermutlich Einwilligung);
- die Speicherfristen oder
- das Bestehen eines Beschwerderechts bei der DS-Aufsichtsbehörde.
Auch einige Betroffenenrechte sind in der Datenschutzerklärung nicht aufgeführt.
Screenshot der Datenschutzerklärung der Stadt Schotten vom 16.03.2019, 18:23 Uhr
Diese Mängel werden auch nicht (oder allenfalls nur teilweise) durch die Angaben im Impressum der Homepage Stadt Schotten behoben.
Ein Fall von Nachhilfe durch den Hessischen Beauftragten für Datenschutz und Informationsfreiheit…
Und wie bei diesen Sachverhalten um die Sachkunde des behördlichen Datenschutzbeauftragten bei der Prüfung des geplanten Ausbaus der Videoüberwachung bestellt ist, darüber möchte der Verfasser dieses Beitrags lieber keine Phantasien entwickeln.