Am heutigen Freitag tritt sie in Kraft: die von der EU erarbeitete Datenschutzgrundverordnung. Sie gilt nicht nur für Unternehmen, sondern auch für Behörden.

Wenn Bürger jetzt im Rathaus zum Beispiel eine Meldebescheinigung ausfüllen, muss ihnen besser erklärt werden, warum und wofür man ihre Daten braucht. Allein bei der Stadt München mussten dazu mehrere tausend Formulare geändert werden. Außerdem erhält jeder Bürger auf Antrag einen Überblick, was über ihn gespeichert wurde. Nicht mehr erforderliche Daten kann man dann löschen lassen. Allerdings bestehen noch viele Unsicherheiten, was gespeichert werden darf und was nicht, erklärt der Deutsche Städtetag. Das werden wohl künftig Gerichte entscheiden. Behörden können dennoch entspannt sein.

Denn während Unternehmen bei Verstößen Strafzahlungen von bis zu vier Prozent des Jahresumsatzes drohen, hat Deutschland ebenso wie Österreich keine Bußgelder für Datenschutzverstöße in Amtsstuben vorgesehen. Das ist möglich, weil die Europäische Union den Mitgliedsländern bei der Umsetzung der Verordnung diverse Spielräume gelassen hat. Bei Gesetzen auf Landesebene wiederum sind die jeweiligen Bundesländer zuständig für den Datenschutz. In keinem deutschen Landesdatenschutzgesetz sind Sanktionsmöglichkeiten für Behörden enthalten. Belangt werden können in Bayern und anderen Bundesländern lediglich öffentliche Wettbewerbsunternehmen wie Kliniken, städtische Eigenbetriebe oder Vermieter öffentlicher Liegenschaften.

Behörden müssen bei Verstößen nicht mit Bußgeldern rechnen  - Unternehmen schon

Im Rahmen der Polizeiarbeit können künftig auch weiterhin Daten zum Zweck der Abwehr oder Verfolgung von Straftaten erhoben werden – etwa Videoüberwachung und DNA-Analysen. Ausnahmen gibt es auch für den Verfassungsschutz und Geheimdienst.

Zu den zentralen Neuerungen der Datenschutzverordnung für Ämter zählt die Rechenschaftspflicht: Behörden müssen künftig nachweisen, dass die Verarbeitung personenbezogener Daten im Einklang mit den gesetzlichen Vorgaben steht. Bisher lag die Beweislast im Fall von Verstößen beim Bürger.

Personenüberwachungen stehen nach dem bayerischen Polizeiaufgabengesetz unter Richtervorbehalt, die Telefonüberwachung vorbehaltlich der Prüfung einer unabhängigen Datenprüfstelle.
Bei den Arbeitsagenturen müssen die Mitarbeiter künftig jedem Arbeitssuchenden ein Informationsschreiben über die Datenverarbeitung aushändigen. Außerdem steht in jeder Agentur wie bei allen Behörden ein Ansprechpartner für Datenschutz zur Verfügung. Das gilt laut Wissenschaftlichem Dienst des Bundestags (WD) übrigens auch für die Bundestagsabgeordneten. Bayerische Abgeordnete können aber vorerst aufatmen: Das bayerische Innenministerium hält die Bewertung des WD für falsch.

Datenpannen müssen sofort gemeldet werden

Neu ist auch, dass öffentliche Einrichtungen künftig sofort über Datenpannen berichten müssen – selbst wenn nur ein einziger USB-Stick verloren gegangen ist. Forschungsprojekte, bei denen es um personenbezogene Daten geht, sind aber weiterhin möglich. Für Wissenschaft, Kunst und Medien gibt es ohnehin Sonderregelungen.

Bei der Justiz wird sich im Arbeitsalltag nichts Gravierendes ändern, erklärt das Nürnberger Oberlandesgericht. Lediglich im Rahmen der Gerichtsverwaltung müssten Zuständigkeiten neu geregelt, Formblätter überarbeitet und Verträge überprüft werden. Auch wer hofft, Finanzämter hätten weniger Einblick in die persönlichen Daten, sieht sich getäuscht. Die Verordnung enthält auch für Finanzbehörden Spezialregelungen, in denen die Rechte der Bürger nicht oder nur eingeschränkt bestehen, erklärt das bayerische Landesamt für Steuern. Ausnahmeregelungen bestehen daneben im Sozialdatenschutz, Schulrecht oder im Meldewesen.

Die Bayerische Verwaltungsschule (BVS) hat für Verwaltungsmitarbeiter eigens Schulungsprogramme zum Thema aufgelegt – die Nachfrage sei groß, versichert die BVS. „Die Arbeitshilfen kamen aber zeitlich spät und reichen teilweise noch nicht aus, um die Datenschutzgrundverordnung in den Behörden umzusetzen“, klagt die BVS. Wie viel Mehrarbeit die Umsetzung den Behörden bereitet, lasse sich noch nicht sagen. Die meiste Arbeit dürfte die Datenschutz-Folgenabschätzung bereiten, wie also mit besonders sensiblen Daten umzugehen ist – etwa mit Vorstrafen oder Sorgerechtsdaten.

Bayerns Datenschutzbeauftragter Thomas Petri freut sich zwar darüber, dass vertrauliche Inhalte von Behörden nicht mehr unverschlüsselt kommuniziert werden dürfen. Er bezweifelt aber, „ob die Konsequenzen für Behörden bei Verstößen ausreichend sind“. „Das wird die Zukunft weisen“, sagt Petri. Er hätte sich durchaus vorstellen können, auch Kommunen bei Datenschutzverstößen mit einem Bußgeld zu belegen.

Sicher ist: Die Unsicherheiten bei der neuen Verordnung sind riesig, Rechtsstreitigkeiten also vorprogrammiert. Bis der Europäische Gerichtshof die nötigen Präzisierungen vorlegt, dürften Jahre vergehen. (David Lohmann)