Die Verantwortliche Stelle ist die Instanz, die über die Mittel und Zwecke der Verarbeitung entscheidet. Diese beiden Konzepte sind das Herzstück jeder datenschutzrechtlichen Bewertung.

• Zwecke der Verarbeitung: Dies beantwortet die Frage nach dem „Warum“. Welches Ziel wird mit der Datenverarbeitung verfolgt? Ein klar definierter Zweck ist nach dem Grundsatz der Zweckbindung unerlässlich. Zum Beispiel könnte der Zweck die „Bearbeitung von Bauanträgen“ oder die „Ausstellung von Personalausweisen“ sein.
• Mittel der Verarbeitung: Dies beantwortet die Frage nach dem „Wie“. Welche Werkzeuge und Verfahren werden eingesetzt, um den Zweck zu erreichen? Dies umfasst sowohl technische als auch organisatorische Aspekte. Zum Beispiel sind die „Nutzung einer bestimmten Verwaltungssoftware“ oder das „Verfahren zur Aktenführung“ die Mittel der Verarbeitung.

Die Verantwortliche Stelle muss beide Aspekte festlegen und sicherstellen, dass sie rechtmäßig sind. Sie hat die Pflicht zu belegen, dass die gewählten Mittel geeignet sind, den festgelegten Zweck zu erreichen, ohne die Rechte der Bürger unverhältnismäßig einzuschränken.

Bußgelder sind eine der schärfsten Sanktionen, die Aufsichtsbehörden bei einem Verstoß gegen die DSGVO verhängen können. Sie dienen dazu, die Einhaltung der Datenschutzvorschriften durch öffentliche Stellen und Unternehmen sicherzustellen.

Die DSGVO sieht hohe Bußgelder vor, die je nach Schwere des Verstoßes gestaffelt sind:

• Verstöße gegen Verfahrens- und Dokumentationspflichten: Es können Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden.
• Verstöße gegen Grundprinzipien: Bei schwerwiegenden Verstößen gegen die Grundsätze der Datenverarbeitung (z.B. bei der Nichteinhaltung der Zweckbindung) können Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes verhängt werden.

Für öffentliche Verwaltungen werden Sanktionen anders gehandhabt, jedoch bleibt das Risiko von Sanktionen sehr real. Die Vermeidung von Fehlverarbeitungen oder Fehlern durch eine konsequente Umsetzung der Datenschutzregeln ist daher eine der wichtigsten Aufgaben jeder Verwaltung.

Ein Datenleck oder eine Datenpanne liegt vor, wenn es zu einer unrechtmäßigen oder unbeabsichtigten Offenlegung, Zerstörung, Veränderung oder dem Verlust von personenbezogenen Daten kommt. Dies kann durch einen Hackerangriff, einen Verlust von Datenträgern oder auch durch menschliches Versagen, wie dem Versand einer E-Mail an den falschen Empfänger, geschehen.

Für Ihre Verwaltung ist die rechtzeitige Erkennung und korrekte Handhabung einer solchen Panne von höchster Bedeutung. Die DSGVO schreibt hierfür klare Fristen vor:

• Die betroffene Aufsichtsbehörde muss innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls benachrichtigt werden.
• Besteht ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen, müssen auch die Bürger selbst „unverzüglich“ informiert werden.

Die Einhaltung dieser Pflichten ist entscheidend, um rechtliche Konsequenzen zu vermeiden und das Vertrauen in Ihre Verwaltung zu erhalten. Daher ist es unerlässlich, klare interne Prozesse für den Ernstfall zu haben.

Anonymisierung ist der Prozess, bei dem personenbezogene Daten so verändert werden, dass die betroffene Person nicht mehr identifiziert werden kann – auch nicht durch die Kombination mit anderen Informationen. Im Gegensatz zur Pseudonymisierung, bei der eine Identifizierung mit Zusatzwissen weiterhin möglich ist, ist die Anonymisierung ein endgültiger Schritt.

Einmal anonymisierte Daten gelten nicht mehr als personenbezogene Daten. Sie unterliegen somit nicht mehr den strengen Regelungen der DSGVO. Das macht die Anonymisierung zu einem wichtigen Werkzeug für Ihre Verwaltung.

Beispielsweise können Sie anonymisierte Daten für interne Auswertungen oder für die Veröffentlichung von Statistiken nutzen, ohne die Rechenschaftspflichten der DSGVO weiterhin erfüllen zu müssen. Die Anonymisierung ermöglicht so die Nutzung von Daten für legitime Zwecke, während der Schutz der Bürger zu 100 % gewährleistet bleibt.

Das Prinzip der Verarbeitung nach Treu und Glauben ist ein zentraler Grundsatz des Datenschutzes. Es bedeutet, dass Ihre Verwaltung personenbezogene Daten so verarbeiten muss, wie es von einem Bürger vernünftigerweise erwartet werden kann. Die Verarbeitung darf also nicht heimlich oder in einer Weise erfolgen, die den Interessen des Betroffenen zuwiderläuft.

Dieser Grundsatz fordert nicht nur die Einhaltung der Gesetze, sondern auch ein ethisches und faires Vorgehen. Er verlangt, dass die Zwecke der Datenverarbeitung klar und offen kommuniziert werden.

Für Ihre Verwaltung bedeutet dies, transparent zu sein und sicherzustellen, dass Bürger jederzeit nachvollziehen können, was mit ihren Daten geschieht. Das schafft Vertrauen in die öffentliche Hand und ist die Grundlage für eine bürgerorientierte Verwaltung.