1. Wieviele Datenschutzbeauftragte hat die Stadt Bergneustadt bestellt?

Laut Janina Hortmann hat die Stadt einen Datenschutzbeauftragten bestellt. Dieser ist vom Oberbergischen Kreis und heißt Uwe Kaldeich.

2. Welche Kosten entstehen der Stadt jährlich für den Datenschutz?

Laut Janina Hortmann belaufen sich die Kosten auf 5.200€ im Jahr.

3. Gab es kürzlich eine Änderung bei den Datenschutzbeauftragten?

Laut Janina Hortmann hat die Stadtverwaltung die Aufgabe am 1. Januar 2025 an den Oberbergischen Kreis übertragen. 

3.1 Wenn ja, warum?

Die Stadtverwaltung hat die Aufgabe an den Oberbergischen Kreis übertragen, weil dieser Datenschutzbeauftragte für alle oberbergischen Städte und Gemeinden zuständig und von daher im Thema ist.

Stadtverordneter Sven Oliver Rüsche, selbständig und Experte in dem Fachgebiet Datenschutz, Datensicherheit und Internet sagt, dass auf verschiedenen städtischen Seiten drei Namen im Bereich Datenschutz stehen. Einmal steht/stand bis zur letzten Stadtratssitzung in der Datenschutzerklärung der Stadt Bergneustadt der Datenschutzbeauftragte Uwe Kaldeich (Oberbergischer Kreis), dann noch ein stellvertretender Datenschutzbeauftragter Boban Strezoski, sowie im Online-Terminkalender der Stadt Bergneustadt stand bisher auch noch Michael Morfidis als Datenschutzbeauftragter. Also drei unterschiedliche Namen bzw. alle als bestellte Datenschutzbeauftragte ausgewiesen.

Stellv. Datenschutzbeauftragter darf nichts anderes als Datenschutz machen

Bewertung dieser vom Bürgermeister Matthias Thul gegebenen Antworten:

Nach Art. 37 Abs. 3 DSGVO dürfen Behörden und öffentliche Stellen (wie Städte und Gemeinden) unter Berücksichtigung ihrer Organisationsstruktur und ihrer Größe einen gemeinsamen Datenschutzbeauftragten ernennen. Es ist in NRW ist es gängige Praxis, dass kleinere oder mittlere Kommunen die Aufgabe des DSB auf die Kreisverwaltung (hier den Oberbergischen Kreis) übertragen oder im Rahmen der interkommunalen Zusammenarbeit lösen.

Es ist jedoch mehr als vermunderlich, dass die Ausgaben pro Jahr „nur“ ca. EUR 5200,- betragen sollen. Zumal ein behördlicher Datenschutzbeauftragter bestellt wurde und noch zusätzlich ein stellvertretender Datenschutzbeauftragter.

Die Benennung eines Stellvertreters ist nicht nur zulässig, sondern im Sinne der Ausfallsicherheit (Urlaub, Krankheit) ausdrücklich empfohlen und rechtlich unbedenklich. Soweit so gut!

Doppelrolle: stellvertretender DSB, sowie Digitalisierungsbeauftragter und IT-Mitarbeiter

Rechtlich zulässig? In dieser Kombination höchst problematisch bis unzulässig.

Der Knackpunkt liegt hier in Art. 38 Abs. 6 DSGVO. Dieser erlaubt es dem Datenschutzbeauftragten zwar, „andere Aufgaben und Pflichten wahrnehmen“, verpflichtet die Behörde aber strikt dazu, sicherzustellen, dass diese nicht zu einem Interessenkonflikt führen.

Ein unzulässiger Interessenkonflikt liegt nach ständiger Rechtsprechung (Quelle: u. a. Europäischer Gerichtshof) immer dann vor, wenn eine Person Zwecke und Mittel der Datenverarbeitung selbst bestimmt oder sich im Rahmen ihrer Tätigkeit selbst kontrollieren müsste.

Daraus ergibt sich für die drei Rollen folgendes:

A. DSB und IT-Mitarbeiter (Großes Konfliktpotenzial)

• Leitende IT-Funktion (z. B. IT-Leiter): Dies ist strikt unzulässig. Wer die IT leitet, entscheidet maßgeblich über die technische Infrastruktur, Zugriffsrechte und Sicherheitsmaßnahmen. Als DSB müsste er genau diese eigenen Entscheidungen kontrollieren.
• Einfacher IT-Mitarbeiter (z. B. First-Level-Support): Hier kommt es auf den Einzelfall an (so auch die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW – LDI NRW). Wenn der Mitarbeiter rein ausführend tätig ist und keinerlei Entscheidungsbefugnis über die Systeme oder Berechtigungskonzepte hat, kann es im Ausnahmepflicht zulässig sein. In der Praxis ist die Trennung aber extrem schwer sauber zu halten, da auch Administratoren per se weitreichende technische Gestaltungsmöglichkeiten besitzen.

B. DSB und Digitalisierungsbeauftragter (Erheblicher Konflikt)

Ein Digitalisierungsbeauftragter treibt die Einführung neuer Software, digitaler Prozesse und Cloud-Lösungen in der Verwaltung voran.

• Das Problem: Als Digitalisierungsbeauftragter will (und muss) man Prozesse agil, schnell und bürgernah digitalisieren. Als DSB muss man diese Prozesse – oft schon in der Planungsphase via Privacy by Design oder einer Datenschutz-Folgenabschätzung (DSFA) – kritisch prüfen und gegebenenfalls bremsen.
• Hier kollidieren die Innovationspflicht und die Kontrollpflicht massiv in einer Person. Der DSB würde seine eigenen Digitalisierungsprojekte auditieren.

Bewertung der Doppelrolle:

Die Kombination aus Digitalisierungsbeauftragtem + IT + DSB in Personalunion hält einer datenschutzrechtlichen Überprüfung durch die Aufsichtsbehörde (LDI NRW) in der Regel nicht stand. Die Gefahr der Selbstkontrolle und des inneren Interessenkonflikts ist hier schlicht zu hoch.

Wenn die Stadt Bergneustadt den Datenschutz an den Oberbergischen Kreis delegiert hat, ist dieser externe Kreis-DSB unabhängig von der internen IT der Stadt Bergneustadt.

Sollte es sich bei der von Ihnen erwähnten Person in der IT/Digitalisierung um den internen Stellvertreter in Bergneustadt handeln, gilt für diesen genau derselbe strenge Maßstab bezüglich des Interessenkonflikts wie für den Haupt-DSB. Auch ein Stellvertreter darf während seiner Vertretungszeit nicht in einen Interessenkonflikt mit seinen Hauptaufgaben geraten.

Sven Oliver Rüsche empfiehlt hier an dieser Stelle einen möglichst zeitnahen Rollenwechsel vom stellvertretenden Datenschutzbeauftragten zum „internen Datenschutzkoordinator“. Herr Boban Strezoski wird dann ausschließlich zum Erfüllungsgehilfen von Herrn Kaldeich. Der OBK DSB hat immer die Weisungsbefugnis und Herr Strezoski kommt damit in keinen Interessenkonflikt. Allein zum Schutz des Rathausmitarbeiters und zum Schutz unserer Stadt vor zukünftigen Strafzahlungen oder verlorene Gerichtsprozesse, wenn dieser sehr fragwürdige Interessenkonflikt zu gerichtlichen Niederlagen führen sollte!

Wir als UWG Bergneustadt sitzen aktuell zwar nur mit zwei Stadtverordneten im Stadtrat der Stadt Bergneustadt, können entsprechend wenig politisch gestalten, sehen unsere Aufgabe aber ganz klar in der Kontrolle unserer Stadtverwaltung. Wenn wir in einem der UWG Fachgebiete (und da gibt es sehr viele in unseren UWG Reihen!) nun Ungereimtheiten sehen, werden wir diese unter Einschaltung der Öffentlichkeit stets transparent aufzeigen.

Retourkutsche

Herr Bürgermeister, Sie fragen, warum die Ergänzungsfragen nicht bis Montagmittag eingereicht wurden und weisen darauf hin, dass Sie diese dann möglicherweise hätten beantworten können. So stehen Sie nach eigener Aussage „doof da, weil Sie keine Antworten haben“ Nun, so ist das Leben, Herr Bürgermeister – manche nennen es auch Karma.

Erinnern Sie sich an unsere umfangreiche Anfrage zum Datenschutz und zur Datensicherheit in der Stadtratssitzung im März? Von der man komischerweise rein gar nichts in der „Lückenpresse“ lesen durfte, weil Sie die Presse damals darum gebeten hatten?! (Totales Versagen unserer Medienvertreter!)

Damals haben Sie die Problematik heruntergespielt und versucht, unseren stellvertretenden UWG-Fraktionsvorsitzenden Sven Oliver Rüsche, der als selbstständiger Unternehmensberater für Internet, Digitalisierung, Datenschutz und Datensicherheit über entsprechende Fachkenntnisse verfügt, als unbegründet alarmistisch oder gar uninformiert darzustellen.

Heute erleben Sie selbst, wie unangenehm es ist, Fragen nicht beantworten zu können oder unvorbereitet dazustehen. Vielleicht führt diese Erfahrung künftig zu mehr Respekt gegenüber berechtigten Nachfragen und der fachlichen Kompetenz anderer.

Euer Lokalpatriot Jens-Holger Pütz 

Der Beitrag #stadtrat51702: UWG-Anfrage zum Datenschutz erschien zuerst auf UWG Bergneustadt (Unabhängige Wählergemeinschaft).

die Fraktion der UWG Bergneustadt stellt zur nächsten Stadtratssitzung am 18. März 2026 einen wichtigen Antrag zur Datensicherheit und Datenschutzprävention der Stadt Bergneustadt, da hier einiges im Argen liegt.

Herbst 2024: UWG Bergneustadt übergibt 80 DIN A4 Seiten Datenschutzbericht an Bürgermeister Thul – Nichts ist passiert, die Probleme existieren immer noch!!! 

Im Herbst 2024 überreichte die UWG-Fraktion im Stadtrat Bürgermeister Matthias Thul einen Datenschutzbericht der CyDas UG aus Lüdenscheid. Dieser war über 80 DIN A4 Seiten lang und zeigte schlimme Datenschutzfehler bei den Einstellungen der sogenannten DNS Einstellungen der Domain „bergneustadt.de“. Von Seiten der Stadt wurde damals lediglich auf die Verantwortlichkeit des kommunalen Zweckverbands „Civitec“ hingewiesen. Durch deren Untätigkeit sind Phishing Attacken möglich, die im schlimmsten Fall zu ähnlichen EDV Ausfällen führen können, wie es seinerzeit bei der „Südwestfalen IT“ passiert ist, als zahlreiche Kommunen und Kreisverwaltungen Monatelang nicht mehr arbeiten konnten.

Anfang Dezember 2025: Gespräch zwischen UWG Bergneustadt und Bürgermeister Thul, unter anderem zur Datensicherheit und zum Datenschutz!!!

Anfang Dezember 2025 gab es ein persönliches Gespräch zwischen der UWG-Fraktion und Bürgermeister Thul. In diesem Gespräch teilte die UWG-Fraktion dem Bürgermeister mit, dass es die Sicherheitsprobleme nach gut 14 Monaten immer noch gibt. Im Kommunalwahlkampf 2025 wurde das Problem unsererseits bewusst nicht thematisiert, um uns nicht vorwerfen zu lassen, dass wir den Bürgermeisterkandidaten Thul ins falsche Licht stellen wollten, um einen Vorteil für unseren BM-Kandidaten zu erlangen.

März 2026: Probleme immer noch nicht behoben!!!

Heute, am 4. März 2025, weitere drei Monate nach unserem letzten Gespräch mit Bürgermeister Thul, bestehen diese Probleme leider immer noch. Es ist nur eine Frage der Zeit, wann es zu einem Cybersecurity-Vorfall bei der Stadt Bergneustadt bzw. von der Stadt Bergneustadt bei einem Bürger bzw. Unternehmen kommen wird und dann ggf. Regressansprüche auf die Stadt Bergneustadt und deren Bürger zukommen werden.

Folgerichtig: UWG Bergneustadt stellt Antrag zu diesem wichtigen Thema zur Stadtratssitzung am 18. März 2026!!!

Entsprechend stellen wir heute nachfolgenden Antrag und bitten alle Fraktionen dieses Mal – aufgrund der Dringlichkeit – auf die „Brandmauer-Spielchen“ im Sinne der Bürgerschaft und Unternehmerschaft zu verzichten.

Die UWG-Fraktion beantragt zur nächsten Stadtratssitzung am 18. März 2026:

1. Die sofortige Einberufung einer „Arbeitsgruppe Datenschutz“, die zeitnah zusammen mit der „Civitec“ die DNS-Einstellungen der Domain „bergneustadt.de“ den entsprechenden Sicherheitsstandards anpasst.
2. Das generelle Datenschutz-Niveau der Stadt Bergneustadt zu hinterfragen und festzustellen, ob alles Nötige tatsächlich umgesetzt wird.
3. Eine Datenschutz-Folgeabschätzung zu erstellen und zeitnah den Stadtrat zu informieren.

Begründung:

Dieser Antrag soll vor allem für den Bürgermeister eine wichtige Hilfe sein, immerhin ist er der Verantwortliche für die Datenverarbeitung der Stadt Bergneustadt und seit Ende Januar sogar Verbandsvorsteher des o.g. kommunalen Zweckverbands „Civitec“. Ganz unabhängig von den Bergneustädter Auffälligkeiten wurde uns bei weiterer Recherche klar, dass die DNS Problematik bei allen Civitec betreuten Kommunen besteht. Auch beim Oberbergischen Kreis! Wir wollen mit unserem Antrag unserem Bürgermeister die absolute Dringlichkeit aufzeigen. Die bisherigen „Hinterzimmergespräche“ haben leider bis zum heutigen Tag keinen Erfolg gezeigt. Die Sicherheitslücken sind immer noch vorhanden und können jederzeit ausgenutzt werden.

Hinweis:

Die monierten Sicherheitsprobleme bei der Mailserverkonfiguration können von jedem Stadtverordneten im Internet in Echtzeit kontrolliert werden. Nutzt hierzu einfach das kostenlose Tool „mxtoolbox.com“ und geht dort auf den Reiter „eMail Health“. Dort kann dann gerne die Mailadresse „m.thul@bergneustadt.de“ (exemplarisch für alle „bergneustadt.de“-Adressen) auf Falschkonfigurationen überprüft werden.

Bis auf Bündnis90/Grüne und UWG Bergneustadt haben alle anderen Fraktionen dieselben Probleme wie die Stadt Bergneustadt – Sven Oliver Rüsche bietet kostenfreie Hilfe an!!!

In diesem Zusammenhang sei aufgezeigt: Bis auf Bündnis90/Grüne und die UWG Bergneustadt haben alle anderen Fraktionen dieselben Probleme und sollten sich im eigenen Interesse der „Arbeitsgruppe Datenschutz“ anschließen, sodass auch deren DNS Einstellungen dann datenschutzrechtlich angepasst werden. Hierzu bietet sich Sven Oliver Rüsche in der Rolle als Stadtverordneter kostenfrei an. Sven Oliver Rüsche betreut seit Jahren über 40 mittelständische Unternehmen als externer Datenschutzbeauftragter und ist auch am Lüdenscheider Startup „CyDas.eu“ als Gesellschafter beteiligt.

Nachfolgend zwei Zitate:

Wenn selbst grundlegende DNS-Einstellungen nicht datenschutzkonform sind, ist das kein Versehen, sondern schlampige Nachlässigkeit. Ich sehe in den letzten Wochen immer mehr Firmen, deren Produktionsstätten still stehen, weil grundlegendes IT-Wissen nicht vorhanden ist. Dabei ist „Datenschutz Chefsache!“, so der stellvertretende UWG-Fraktionsvorsitzende Sven Oliver Rüsche.

Datenschutz ist keine freiwillige Sache, sondern gesetzliche Pflicht – und wer diese Pflicht weiter ignoriert, handelt fahrlässig gegenüber Bürgerschaft, Wirtschaft und der eigenen Glaubwürdigkeit.  Der Bürgermeister muss Verantwortung übernehmen und seiner Führungs- und Kontrollpflicht endlich nachkommen, so der UWG-Fraktionsvorsitzende Jens-Holger Pütz.

Nachfolgend unser Antrag, der im Stadtrat von unserem Datenschutzexperten und stellvertretenden Fraktionsvorsitzenden Sven Oliver Rüsche eingehend erläutert wird: 

Euer Lokalpatriot Jens-Holger Pütz

Der Beitrag #stadtrat51702: Datensicherheit / Datenschutzprävention bei der Stadt Bergneustadt – Vorhandene Sicherheitsprobleme erschien zuerst auf UWG Bergneustadt (Unabhängige Wählergemeinschaft).