LANDTAG DES SAARLANDES 15. Wahlperiode Drucksache 15/972 (15/871) 03.07.2014 A N T W O R T zu der Anfrage des Abgeordneten Andreas Augustin (PIRATEN) betr.: Behördliche Datenschutzbeauftragte Vorbemerkung des Fragestellers: „Da Behörden, Kommunen, Gemeindeverbände und sonstige staatliche Einrichtungen Personendaten in automatisierten Verfahren verarbeiten und als Leitung ihrer Verwaltung für den Datenschutz haften, ist es erforderlich, dass sie ihre EDV an den Vorschriften des Datenschutzgesetzes des Bundes und des Landes sowie an weiteren speziellen datenschutzrechtlichen Regelungen ausrichten. Insofern sollten sie über einen behördlichen Datenschutzbeauftragten verfügen, der diese bei komplexen fachlichen, personellen und technischen Aufgaben im Bereich des Datenschutzes unterstützt und die Behörde bei der Wahrnehmung des Datenschutzes kompetent berät . Weiterhin ist dieser für die Überwachung der Einhaltung aller datenschutzrechtlichen Bestimmungen sowie die regelmäßige Schulung der Mitarbeiter zuständig. Ausgegeben: 03.07.2014 (07.04.2014) Drucksache 15/972 (15/871) Landtag des Saarlandes - 15. Wahlperiode - - 2 - Behördliche Datenschutzbeauftragte leisten als unabhängige und neutrale Berater einen wichtigen Beitrag zur Ausgestaltung eines behördeninternen Datenschutzkontrollsystems. Damit diese Datenschutzbeauftragten ihrer Kontrollaufgabe möglichst optimal gerecht werden können, ist es notwendig , dass sie in alle relevanten Planungs- und Entscheidungsabläufe eingebunden werden und über die erforderlichen Zutritts- und Einsichtsrechte zu allen relevanten behördlichen Bereichen verfügen . Handelt es sich bei dem behördlichen Datenschutzbeauftragten nicht um einen hauptberuflichen , sondern um einen ‚Teilzeit-DSB‘, der neben seinen Datenschutzaufgaben weitere Funktionen innerhalb der Behörde wahrnimmt, besteht immer die Gefahr eines Interessenkonflikts. Diesem gilt es möglichst vorzubeugen und entgegenzuwirken , indem sichergestellt wird, dass der Datenschutzbeauftragte sein Amt unabhängig und ohne benachteiligt zu werden, ausüben kann. Nach § 8 Absatz 1 Satz 1 Saarländisches Gesetz zum Schutz personenbezogener Daten (Saarländisches Datenschutzgesetz – SDSG) können öffentliche Stellen, die personenbezogene Daten verarbeiten, eine behördliche Datenschutzbeauftragte oder einen behördlichen Datenschutzbeauftragten und eine Vertreterin oder einen Vertreter bestellen.“ Vorbemerkung der Landesregierung: Das Grundrecht auf informationelle Selbstbestimmung stellt ein wichtiges Rechtsgut dar, dessen Schutz u.a. das Rechtsinstitut des/der behördlichen Datenschutzbeauftragten dient. Der saarländische Gesetzgeber hat die Bestellung von behördlichen Datenschutzbeauftragten in § 8 Absatz 1 Satz 1 des Saarländischen Datenschutzgesetzes (SDSG) als „Kann“-Regelung ausgestaltet und damit in das Ermessen (!) der zuständigen öffentlichen Stellen gestellt. Funktion, Aufgaben und Befugnisse von behördlichen Datenschutzbeauftragten sind in § 8 SDSG näher konkretisiert. Die Kernaufgabe behördlicher Datenschutzbeauftragter besteht nach § 8 Absatz 2 Satz 1 SDSG darin, die verantwortliche Stelle bei der Ausführung datenschutzrechtlicher Vorschriften zu unterstützen und auf deren Einhaltung hinzuwirken. Die These des Fragestellers, bei „Teilzeit-DSB“ bestehe „immer die Gefahr eines Interessenkonflikts “, trifft in ihrer generellen Aussage nicht zu. Im Gegenteil: § 8 Absatz 1 Satz 6 SDSG erklärt die Funktion des/der behördlichen Datenschutzbeauftragten explizit für weisungsfrei und sieht in Satz 9 der Vorschrift ergänzend folgende Regelung vor: „Soweit erforderlich, ist sie oder er von anderen Tätigkeiten frei zu stellen und mit räumlichen, sachlichen und personellen Mitteln auszustatten.“ Drucksache 15/972 (15/871) Landtag des Saarlandes - 15. Wahlperiode - - 3 - Die Gemeinsame Geschäftsordnung der obersten Landesbehörden (GGO) - GMBl. Saar 2001, S. 374 - schreibt die Bestellung von behördlichen Datenschutzbeauftragten für oberste Landesbehörden in § 15 Absatz 1 Nr. 4 verpflichtend (!) vor und trägt damit der Bedeutung dieses Rechtsinstituts in besonderer Weise Rechnung. Die Antworten auf die gestellten Fragen beziehen sich auf die in die originäre Zuständigkeit der Landesregierung fallenden Sachverhalte und die unter Beachtung des Verhältnismäßigkeitsgrundsatzes (zeitliche/Aufwandsdimension) ermittelbaren Informationen . Insbesondere bei Fragen bzgl. Gemeinden und Gemeindeverbänden ist zu beachten , dass diese keine nachgeordneten Behörden der Landesregierung darstellen, sondern nur der Rechtsaufsicht des Landes unterliegen, die eine „allgemeine Bevormundungs - oder Einmischungsaufsicht“ nicht zulässt. Entsprechendes gilt für sonstige Konstellationen der Rechtsaufsicht. In welchen saarländischen Behörden, Organen der Rechtspflege, sonstigen öffentlich-rechtlich organisierten Einrichtungen des Landes, kommunalen Gebietskörperschaften, sonstigen der Aufsicht des Landes unterstehenden juristischen Personen des öffentlichen Rechts sowie deren Vereinigungen gibt es einen behördlichen Datenschutzbeauftragten ? (Bitte nach Behörde, Organ der Rechtspflege, sonstiger öffentlich-rechtlich organisierter Einrichtung des Landes, Gemeinde und Gemeindeverband , sonstiger der Aufsicht des Landes unterstehender juristischer Person des öffentlichen Rechts sowie deren Vereinigungen einzeln aufschlüsseln .) Zu Frage 1: Über die gesetzliche Regelung des § 8 SDSG hinausgehend haben sich die obersten Landesbehörden in § 15 Absatz 1 Nummer 4 der Gemeinsamen Geschäftsordnung der obersten Landesbehörden (GGO) verpflichtet, in jedem Fall eine/n behördliche/n Datenschutzbeauftragte/n zu bestellen. In den den obersten Landesbehörden nachgeordneten Bereichen besteht nach § 8 SDSG zwar keine entsprechende Verpflichtung, gleichwohl sind auch dort in der ganz überwiegenden Zahl der Fälle Datenschutzbeauftragte bestellt worden. Im Übrigen wird auf die Vorbemerkung verwiesen. Wie viele und welche dieser Datenschutzbeauftragten sind hauptamtliche Datenschutzbeauftragte und wie viele üben die Tätigkeit als Datenschutzbeauftragte neben anderweitigen beruflichen Tätigkeiten aus? Drucksache 15/972 (15/871) Landtag des Saarlandes - 15. Wahlperiode - - 4 - (Bitte nach Behörde, Organ der Rechtspflege, sonstiger öffentlich-rechtlich organisierter Einrichtung des Landes, Gemeinde und Gemeindeverband , sonstiger der Aufsicht des Landes unterstehender juristischer Person des öffentlichen Rechts sowie deren Vereinigungen einzeln aufschlüsseln .) Zu Frage 2: Vor dem Hintergrund der teilweise starken Schwankungen des Arbeitsanfalls in diesem Bereich üben die behördlichen Datenschutzbeauftragten ihre Tätigkeit in aller Regel neben anderweitigen beruflichen Tätigkeiten aus. Soweit erforderlich, ist sie oder er von anderen Tätigkeiten frei zu stellen und mit räumlichen, sachlichen und personellen Mitteln auszustatten (§ 8 Absatz 1 Satz 9 SDSG). Das Landespolizeipräsidium hat einen hauptamtlichen behördlichen Datenschutzbeauftragten bestellt. Im Übrigen wird auf die Vorbemerkung verwiesen. Wie viele Wochenarbeitsstunden wenden die Datenschutzbeauftragten jeweils für die Aufgaben des Datenschutzes auf? (Bitte nach Behörde, Organ der Rechtspflege, sonstiger öffentlich-rechtlich organisierter Einrichtung des Landes, Gemeinde und Gemeindeverband , sonstiger der Aufsicht des Landes unterstehender juristischer Person des öffentlichen Rechts sowie deren Vereinigungen einzeln aufschlüsseln .) Zu Frage 3: Hinsichtlich der in der Antwort zu Frage 2 dargelegten Schwankungen des Arbeitsanfalls kann hier nur eine überschlägige Schätzung abgegeben werden. Anhand der im Rahmen der Beantwortung dieser Anfrage eingeholten Stellungnahmen kann von einer Befassung von bis zu zehn Prozent der wöchentlichen Arbeitszeit ausgegangen werden. Soweit erforderlich, ist die oder der Datenschutzbeauftragte gemäß § 8 Absatz 1 Satz 9 SDSG von anderen Tätigkeiten frei zu stellen. Im Übrigen wird auf die Vorbemerkung verwiesen. Drucksache 15/972 (15/871) Landtag des Saarlandes - 15. Wahlperiode - - 5 - Wie viele und welche der Datenschutzbeauftragten nehmen diese Funktion für mehrere Behörden, Organe der Rechtspflege, sonstige öffentlichrechtlich organisierten Einrichtungen des Landes, kommunale Gebietskörperschaften, sonstige der Aufsicht des Landes unterstehenden juristischen Personen des öffentlichen Rechts oder deren Vereinigungen gleichzeitig wahr? Zu Frage 4: Der Datenschutzbeauftragte beim Landgericht Saarbrücken nimmt diese Funktion auch für die dem Landgericht nachgeordneten Amtsgerichte in Homburg, Lebach, Merzig, Neunkirchen, Ottweiler, Saarlouis, St. Ingbert, St. Wendel und Völklingen wahr. Bei den vorgenannten Amtsgerichten sind Ansprechpartnerinnen/Ansprechpartner für den Datenschutzbeauftragten des Landgerichts benannt. Dies erscheint insbesondere aufgrund der Einheitlichkeit der Fachprogramme, die für die Verarbeitung personenbezogener Daten zur Anwendung kommen, sachgerecht. Für die Geschäftsbereiche der Staatskanzlei sowie des Ministeriums für Finanzen und Europa wurde jeweils ein behördlicher Datenschutzbeauftragter bestellt. Im Übrigen wird auf die Vorbemerkung verwiesen. Aus welchen Gründen wurde in den übrigen saarländischen Behörden, Organen der Rechtspflege, sonstigen öffentlich-rechtlich organisierten Einrichtungen des Landes, kommunalen Gebietskörperschaften , sonstigen der Aufsicht des Landes unterstehenden juristischen Personen des öffentlichen Rechts sowie deren Vereinigungen bisher kein behördlicher Datenschutzbeauftragter und keine behördliche Datenschutzbeauftragte bestellt ? Zu Frage 5: Der saarländische Gesetzgeber hat die Bestellung von behördlichen Datenschutzbeauftragten in § 8 Absatz 1 Satz 1 SDSG als „Kann“-Regelung ausgestaltet und damit in das Ermessen (!) der zuständigen öffentlichen Stellen gestellt. Eine Pflicht zur Begründung der Nichtbestellung von behördlichen Datenschutzbeauftragten besteht nicht, infolgedessen werden auch die Gründe der Nichtbestellung nicht erfasst. Drucksache 15/972 (15/871) Landtag des Saarlandes - 15. Wahlperiode - - 6 - Welche saarländischen Behörden, Organe der Rechtspflege, sonstige öffentlich-rechtlich organisierte Einrichtungen des Landes, kommunale Gebietskörperschaften , sonstige der Aufsicht des Landes unterstehenden juristische Personen des öffentlichen Rechts sowie deren Vereinigungen haben bereits ein IT-Sicherheitskonzept erstellt? Zu Frage 6: Für die Behörden des Saarlandes ist die IT-Sicherheitsrichtlinie des Landes (GMBl. 08/2003) maßgebend. Weitere Vorgaben sind im IT-Landessystem- und Betriebskonzept (IT-LSBK) vom 14. Mai 2013 verbindlich festgeschrieben (z.B. Saarländisches Datenschutzgesetz, Gemeinsame Geschäftsordnung der obersten Landesbehörden (GGO) und dort insbesondere Anlage 2, IT-Projektrichtlinie). Für den Bereich der Polizei gelten insbesondere die Informationssicherheitsleitlinie der Vollzugspolizei des Saarlandes sowie, auf dieser basierend, der Erlass zu ITSicherheit und Datenschutz bei der Vollzugspolizei des Saarlandes. Die Vorgaben richten sich nach den Standards der IT-Grundschutzkataloge des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und werden bei Bedarf fortgeschrieben . Im Übrigen wird auf die Vorbemerkung verwiesen. Aus welchen Gründen wurde in den übrigen saarländischen Behörden, Organen der Rechtspflege, sonstigen öffentlich-rechtlich organisierten Einrichtungen des Landes, kommunalen Gebietskörperschaften , sonstigen der Aufsicht des Landes unterstehenden juristischen Personen des öffentlichen Rechts sowie deren Vereinigungen bisher kein IT-Sicherheitskonzept erstellt? Zu Frage 7: Auf die Antwort zu Frage 6 wird verwiesen. Welche Mindestqualifikationen werden von Personen für die Berufung zum Datenschutzbeauftragten oder zur Datenschutzbeauftragten erwartet? Zu Frage 8: Nach den allgemeinen Voraussetzungen des § 8 Absatz 1 Satz 2 SDSG müssen die behördlichen Datenschutzbeauftragten für ihre Tätigkeit geeignet sein, insbesondere über die erforderliche Zuverlässigkeit und Sachkunde verfügen. Die Aufgabe ist daher vielfach – was jedoch nicht zwingend ist – Juristen übertragen. Drucksache 15/972 (15/871) Landtag des Saarlandes - 15. Wahlperiode - - 7 - Wie werden die Datenschutzbeauftragten geschult ? Zu Frage 9: Zum Erwerb und zum Erhalt der zur Erfüllung ihrer Aufgaben erforderlichen Fachkunde haben die Behörden und sonstigen öffentlichen Stellen den behördlichen Datenschutzbeauftragten gemäß § 8 Absatz 1 Satz 10 SDSG die Teilnahme an Fort- und Weiterbildungsmaßnahmen zu ermöglichen und deren Kosten zu übernehmen. Eine wichtige Informationsquelle stellt insbesondere die Lektüre einschlägiger Fachveröffentlichungen dar. Im Übrigen wird auf die Antworten zu den Fragen 10 und 12 verwiesen. Wird ein gemeinsames, saarlandweites Schulungsangebot für Datenschutz- und IT-Sicherheitsbeauftragte angestrebt? Zu Frage 10: Die Landesbeauftragte für Datenschutz und Informationsfreiheit hat solche Schulungen in der Vergangenheit bei Bedarf bereits durchgeführt und plant diese auch für die Zukunft. Wenn ja, in welchem Turnus und durch welche Institutionen werden diese Schulungen durchgeführt bzw. sollen die Schulungen zukünftig durchgeführt werden? Zu Frage 11: Auf die Antwort zu Frage 10 wird verwiesen. Wie wird eine Kooperation auf behördlicher und/oder kommunaler Ebene bei der Bestellung der Beauftragten für den regelmäßigen Austausch sowie die Fortbildung unterstützt? Zu Frage 12: Ein Austausch unter den Beauftragten für den betrieblichen oder behördlichen Datenschutz findet z.B. im Rahmen des BEST-Arbeitskreises Datenschutz und Datensicherheit statt. Im Übrigen wird auf die Antworten zu den Fragen 9 und 10 verwiesen. Drucksache 15/972 (15/871) Landtag des Saarlandes - 15. Wahlperiode - - 8 - Sind der Landesregierung im Rahmen der Kommunalaufsicht Beschwerden und/oder Probleme mit Datenschutz/IT-Sicherheit bekannt geworden? Zu Frage 13: Dem Landesverwaltungsamt, dem seit dem 01.01.2008 die Kommunalaufsicht über alle saarländischen Gemeinden und Gemeindeverbände obliegt, sind keine Beschwerden und/oder Probleme mit Datenschutz/IT-Sicherheit bekannt geworden, die Veranlassung für ein kommunalaufsichtsrechtliches Einschreiten gegeben hätten. Im Übrigen ist auf die Zuständigkeit der Landesbeauftragten für Datenschutz und Informationsfreiheit zu verweisen. Wenn ja, um welche Beschwerden und Probleme handelt es sich hierbei? (Bitte nach Datum sowie Beschwerde bzw. Problem einzeln aufschlüsseln.) Zu Frage 14: Auf die Antwort zu Frage 13 wird verwiesen. Wie hat die Landesregierung bislang auf diese Beschwerden und Probleme reagiert? Zu Frage 15: Auf die Antwort zu Frage 13 wird verwiesen.