#stadtrat51702: UWG-Anfrage zum Datenschutz

Bürgermeister Matthias Thul bzw. Janina Hortmann beantworteten die UWG-Anfrage zum Datenschutz wie folgt:

1. Wieviele Datenschutzbeauftragte hat die Stadt Bergneustadt bestellt?

Laut Janina Hortmann hat die Stadt einen Datenschutzbeauftragten bestellt. Dieser ist vom Oberbergischen Kreis und heißt Uwe Kaldeich.

2. Welche Kosten entstehen der Stadt jährlich für den Datenschutz?

Laut Janina Hortmann belaufen sich die Kosten auf 5.200€ im Jahr.

3. Gab es kürzlich eine Änderung bei den Datenschutzbeauftragten?

Laut Janina Hortmann hat die Stadtverwaltung die Aufgabe am 1. Januar 2025 an den Oberbergischen Kreis übertragen. 

3.1 Wenn ja, warum?

Die Stadtverwaltung hat die Aufgabe an den Oberbergischen Kreis übertragen, weil dieser Datenschutzbeauftragte für alle oberbergischen Städte und Gemeinden zuständig und von daher im Thema ist.

Stadtverordneter Sven Oliver Rüsche, selbständig und Experte in dem Fachgebiet Datenschutz, Datensicherheit und Internet sagt, dass auf verschiedenen städtischen Seiten drei Namen im Bereich Datenschutz stehen. Einmal steht/stand bis zur letzten Stadtratssitzung in der Datenschutzerklärung der Stadt Bergneustadt der Datenschutzbeauftragte Uwe Kaldeich (Oberbergischer Kreis), dann noch ein stellvertretender Datenschutzbeauftragter Boban Strezoski, sowie im Online-Terminkalender der Stadt Bergneustadt stand bisher auch noch Michael Morfidis als Datenschutzbeauftragter. Also drei unterschiedliche Namen bzw. alle als bestellte Datenschutzbeauftragte ausgewiesen.

Stellv. Datenschutzbeauftragter darf nichts anderes als Datenschutz machen

Bewertung dieser vom Bürgermeister Matthias Thul gegebenen Antworten:

Nach Art. 37 Abs. 3 DSGVO dürfen Behörden und öffentliche Stellen (wie Städte und Gemeinden) unter Berücksichtigung ihrer Organisationsstruktur und ihrer Größe einen gemeinsamen Datenschutzbeauftragten ernennen. Es ist in NRW ist es gängige Praxis, dass kleinere oder mittlere Kommunen die Aufgabe des DSB auf die Kreisverwaltung (hier den Oberbergischen Kreis) übertragen oder im Rahmen der interkommunalen Zusammenarbeit lösen.

Es ist jedoch mehr als vermunderlich, dass die Ausgaben pro Jahr „nur“ ca. EUR 5200,- betragen sollen. Zumal ein behördlicher Datenschutzbeauftragter bestellt wurde und noch zusätzlich ein stellvertretender Datenschutzbeauftragter.

Die Benennung eines Stellvertreters ist nicht nur zulässig, sondern im Sinne der Ausfallsicherheit (Urlaub, Krankheit) ausdrücklich empfohlen und rechtlich unbedenklich. Soweit so gut!

Doppelrolle: stellvertretender DSB, sowie Digitalisierungsbeauftragter und IT-Mitarbeiter

Rechtlich zulässig? In dieser Kombination höchst problematisch bis unzulässig.

Der Knackpunkt liegt hier in Art. 38 Abs. 6 DSGVO. Dieser erlaubt es dem Datenschutzbeauftragten zwar, „andere Aufgaben und Pflichten wahrnehmen“, verpflichtet die Behörde aber strikt dazu, sicherzustellen, dass diese nicht zu einem Interessenkonflikt führen.

Ein unzulässiger Interessenkonflikt liegt nach ständiger Rechtsprechung (Quelle: u. a. Europäischer Gerichtshof) immer dann vor, wenn eine Person Zwecke und Mittel der Datenverarbeitung selbst bestimmt oder sich im Rahmen ihrer Tätigkeit selbst kontrollieren müsste.

Daraus ergibt sich für die drei Rollen folgendes:

A. DSB und IT-Mitarbeiter (Großes Konfliktpotenzial)

• Leitende IT-Funktion (z. B. IT-Leiter): Dies ist strikt unzulässig. Wer die IT leitet, entscheidet maßgeblich über die technische Infrastruktur, Zugriffsrechte und Sicherheitsmaßnahmen. Als DSB müsste er genau diese eigenen Entscheidungen kontrollieren.
• Einfacher IT-Mitarbeiter (z. B. First-Level-Support): Hier kommt es auf den Einzelfall an (so auch die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW – LDI NRW). Wenn der Mitarbeiter rein ausführend tätig ist und keinerlei Entscheidungsbefugnis über die Systeme oder Berechtigungskonzepte hat, kann es im Ausnahmepflicht zulässig sein. In der Praxis ist die Trennung aber extrem schwer sauber zu halten, da auch Administratoren per se weitreichende technische Gestaltungsmöglichkeiten besitzen.

B. DSB und Digitalisierungsbeauftragter (Erheblicher Konflikt)

Ein Digitalisierungsbeauftragter treibt die Einführung neuer Software, digitaler Prozesse und Cloud-Lösungen in der Verwaltung voran.

• Das Problem: Als Digitalisierungsbeauftragter will (und muss) man Prozesse agil, schnell und bürgernah digitalisieren. Als DSB muss man diese Prozesse – oft schon in der Planungsphase via Privacy by Design oder einer Datenschutz-Folgenabschätzung (DSFA) – kritisch prüfen und gegebenenfalls bremsen.
• Hier kollidieren die Innovationspflicht und die Kontrollpflicht massiv in einer Person. Der DSB würde seine eigenen Digitalisierungsprojekte auditieren.

Bewertung der Doppelrolle:

Die Kombination aus Digitalisierungsbeauftragtem + IT + DSB in Personalunion hält einer datenschutzrechtlichen Überprüfung durch die Aufsichtsbehörde (LDI NRW) in der Regel nicht stand. Die Gefahr der Selbstkontrolle und des inneren Interessenkonflikts ist hier schlicht zu hoch.

Wenn die Stadt Bergneustadt den Datenschutz an den Oberbergischen Kreis delegiert hat, ist dieser externe Kreis-DSB unabhängig von der internen IT der Stadt Bergneustadt.

Sollte es sich bei der von Ihnen erwähnten Person in der IT/Digitalisierung um den internen Stellvertreter in Bergneustadt handeln, gilt für diesen genau derselbe strenge Maßstab bezüglich des Interessenkonflikts wie für den Haupt-DSB. Auch ein Stellvertreter darf während seiner Vertretungszeit nicht in einen Interessenkonflikt mit seinen Hauptaufgaben geraten.

Sven Oliver Rüsche empfiehlt hier an dieser Stelle einen möglichst zeitnahen Rollenwechsel vom stellvertretenden Datenschutzbeauftragten zum „internen Datenschutzkoordinator“. Herr Boban Strezoski wird dann ausschließlich zum Erfüllungsgehilfen von Herrn Kaldeich. Der OBK DSB hat immer die Weisungsbefugnis und Herr Strezoski kommt damit in keinen Interessenkonflikt. Allein zum Schutz des Rathausmitarbeiters und zum Schutz unserer Stadt vor zukünftigen Strafzahlungen oder verlorene Gerichtsprozesse, wenn dieser sehr fragwürdige Interessenkonflikt zu gerichtlichen Niederlagen führen sollte!

Wir als UWG Bergneustadt sitzen aktuell zwar nur mit zwei Stadtverordneten im Stadtrat der Stadt Bergneustadt, können entsprechend wenig politisch gestalten, sehen unsere Aufgabe aber ganz klar in der Kontrolle unserer Stadtverwaltung. Wenn wir in einem der UWG Fachgebiete (und da gibt es sehr viele in unseren UWG Reihen!) nun Ungereimtheiten sehen, werden wir diese unter Einschaltung der Öffentlichkeit stets transparent aufzeigen.

Retourkutsche

Herr Bürgermeister, Sie fragen, warum die Ergänzungsfragen nicht bis Montagmittag eingereicht wurden und weisen darauf hin, dass Sie diese dann möglicherweise hätten beantworten können. So stehen Sie nach eigener Aussage „doof da, weil Sie keine Antworten haben“ Nun, so ist das Leben, Herr Bürgermeister – manche nennen es auch Karma.

Erinnern Sie sich an unsere umfangreiche Anfrage zum Datenschutz und zur Datensicherheit in der Stadtratssitzung im März? Von der man komischerweise rein gar nichts in der „Lückenpresse“ lesen durfte, weil Sie die Presse damals darum gebeten hatten?! (Totales Versagen unserer Medienvertreter!)

Damals haben Sie die Problematik heruntergespielt und versucht, unseren stellvertretenden UWG-Fraktionsvorsitzenden Sven Oliver Rüsche, der als selbstständiger Unternehmensberater für Internet, Digitalisierung, Datenschutz und Datensicherheit über entsprechende Fachkenntnisse verfügt, als unbegründet alarmistisch oder gar uninformiert darzustellen.

Heute erleben Sie selbst, wie unangenehm es ist, Fragen nicht beantworten zu können oder unvorbereitet dazustehen. Vielleicht führt diese Erfahrung künftig zu mehr Respekt gegenüber berechtigten Nachfragen und der fachlichen Kompetenz anderer.

Euer Lokalpatriot Jens-Holger Pütz