InterviewBeim Datenschutz Vorbild sein

Frau Reitenhardt, die Anstalt für Kommunale Datenverarbeitung in Bayern (AKDB) hat im März 2018 die GKDS, die Gesellschaft für kommunalen Datenschutz, gegründet. Warum?

Als vom Bundesamt für Sicherheit in der Informationstechnik zertifizierter, öffentlich-rechtlicher Rechenzentrumsbetreiber vertritt die AKDB seit über 40 Jahren kommunale Interessen. Aufgrund ihrer Satzung fühlt sie sich in den Bereichen Informationssicherheit und Datenschutz ihren Kunden gegenüber besonders verpflichtet. Die neuen Vorgaben der Datenschutz-Grundverordnung (DSGVO) haben die AKDB veranlasst, ihre fachliche und strukturelle Kompetenz zu bündeln und die GKDS zu gründen.

In welchen Themenbereichen werden Sie von den Kommunen besonders häufig um Unterstützung gebeten?

In Bezug auf einen externen Datenschutzbeauftragten. Die GKDS übernimmt diese Aufgabe gern. Dazu muss sie aber wissen, wie die Kommune datenschutzrechtlich aufgestellt ist. Wir führen daher zunächst eine Bestandsanalyse durch, bei der einer unserer Berater vor Ort zusammen mit den Verantwortlichen und Fachleuten der Kommune ermittelt, wie der Stand bei der Umsetzung der DSGVO-Vorgaben ist. Auf dieser Basis erstellt die GKDS für die Kommune einen Bericht, aus dem hervorgeht, welche Defizite bestehen, erstellt ein maßgeschneidertes Angebot zur Umsetzung der noch fehlenden Maßnahmen und unterstützt die Kommune dann als externer Datenschutzbeauftragter. Oft fragen die Kommunen auch nach allgemeinen Schulungs- oder Sensibilisierungsmaßnahmen.

Wie sieht es mit Hilfestellung im Bereich Social Media aus?

Da Bürger die Nutzung sozialer Medien aus dem privaten Bereich gewohnt sind, erwarten sie auch von den Kommunen, dass diese hier vertreten sind. Viele besitzen daher einen Social-Media-Account, informieren dort über ihre Angebote, beantworten Anfragen und twittern Kurzmitteilungen an ihre Bürger. Wenn eine Kommune bei uns anfragt, sind wir gerne bereit, auch hier Hilfestellung zu leisten.

„Kommunen sollten ihr Angebot in sozialen Netzwerken stets am Prinzip der Datensparsamkeit ausrichten.“
Die Potenzialanalyse Digital Security von Sopra Steria Consulting bemängelte, dass beim Einsatz von Social-Media-Instrumenten technische Sicherheitsmaßnahmen auch in Behörden oft zu kurz kommen. Wo sehen Sie hier Schwachstellen?

Technische Hilfsmittel, wie Data Leakage Prevention Tools, die einen unerwünschten Datenabfluss über soziale Netzwerke verhindern, sind bei vielen öffentlichen Stellen noch nicht ausreichend im Einsatz. Hier gibt es Nachbesserungsbedarf. Ebenso bei der Einbindung von Social Plug-ins, etwa wenn der Like-Button von Facebook direkt in die Website einer Kommune eingebunden ist. Dabei wird übersehen, dass jeder, der diese Website besucht und den Button anklickt, personenbezogene Daten an Facebook übermittelt. Das geschieht auch dann, wenn der Besucher der Website Facebook selbst noch nie genutzt hat. Das wäre mit dem Einsatz der Zwei-Klick-Variante zu vermeiden, was unter anderem auch der bayerische Landesbeauftragte für den Datenschutz empfiehlt.

Welche datenschutzrechtlichen Aspekte sind beim Thema Social Media in Behörden besonders zu beachten?

Behörden unterliegen bei der Social-Media-Nutzung anderen Gesetzen als der Bürger und besitzen zudem eine rechtsstaatlich begründete Vorbildfunktion. Nutzt eine Kommune soziale Netzwerke, um auf ihre Angebote, Leistungen oder Veranstaltungen aufmerksam zu machen, so steht sie in datenschutzrechtlicher Mitverantwortung für die Daten der Bürger, die an die Social-Media-Plattform übermittelt werden. Die Kommunen sollten deshalb Vor- und Nachteile abwägen, bevor sie ein soziales Netzwerk nutzen und ihr Angebot stets am Prinzip der Datensparsamkeit bei der Verarbeitung von Nutzerdaten ausrichten. Sie müssen aktiv über die Gefahren aufklären, die bei der Nutzung sozialer Netzwerke drohen.

Welche Auswirkungen hat die DSGVO auf den Einsatz sozialer Medien in Behörden, welche Anforderungen sind zu erfüllen?

Bei Prüfungen der Datenschutzaufsichtsbehörde müssen Kommunen künftig ein schriftliches Konzept vorlegen, in dem Zweck, Art und Umfang der Nutzung von Social Media klar definiert sind. Auch müssen die Kommunen ihren Informationspflichten gerecht werden und darauf hinweisen, ob und zu welchem Zweck personenbezogene Daten des Bürgers verarbeitet und gespeichert werden. Der Bürger hat ein Recht darauf, darüber informiert zu werden, wenn der Betreiber der Social-Media-Plattform seine personenbezogenen Daten in Länder außerhalb der EU übermittelt, die nicht den strengen europäischen Datenschutzgesetzen verpflichtet sind. Sinnvollerweise binden Kommunen eine eigene Datenschutzerklärung in ihren Social-Media-Auftritt ein und stellen ihr Angebot auch über alternative Kommunikationskanäle außerhalb der sozialen Netzwerke zur Verfügung.

Ein Urteil des Gerichtshofs der Europäischen Union (EuGH) hat klargestellt: Facebook-Fanpage-Betreiber sind gemeinsam mit Facebook für den Datenschutz verantwortlich. Was bedeutet dieses Urteil für die Kommunen?

Das Urteil gilt natürlich auch für Kommunen mit einem Facebook-Auftritt. Abzuwarten ist noch die Stellungnahme des Bundesverwaltungsgerichts, das zwar an EuGH-Urteile gebunden ist, aber über einen eigenen Beurteilungsspielraum verfügt. Unter Umständen ist Facebook aufgrund dieses Urteils ja bereit, das Nutzer-Tracking der Fanpage-Betreiber zumindest in Europa DSGVO-konform zu gestalten. Geschieht das nicht, wäre das Abschalten der Facebook-Fanpage die einzige Möglichkeit, um rechtliche Konsequenzen zu vermeiden.

Wie sieht es mit der Kommunikation via WhatsApp aus: Dürfen Kommunen diesen Kanal Ihrer Ansicht nach überhaupt bespielen?

Bei der Benutzung von WhatsApp wird das Adressbuch des Nutzers mit den darin eingetragenen Kontaktdaten wie Namen, Telefonnummern oder E-Mail-Adressen an WhatsApp und damit an Facebook übertragen. Das gleiche geschieht mit den Metadaten. Es ist unklar, wohin und wozu diese Daten übermittelt werden. Daher kann eine Kommune, die WhatsApp nutzt, ihren Informationspflichten nach DSGVO nicht gerecht werden. Auch das Recht auf Vergessenwerden kann nicht erfüllt werden, weil sich personenbezogene Daten nicht mehr im Zugriff der Kommune befinden. Überdies werden bei Nutzung von WhatsApp personenbezogene Daten in Länder außerhalb der EU mit schwächeren Datenschutzgesetzen übertragen.

Was würden Sie Kommunen also raten, die Social Media nutzen wollen?

Es gibt Richtlinien der Datenschutzbehörden zur Nutzung sozialer Netzwerke durch öffentliche Stellen, die Kommunen unbedingt beachten müssen. Auch sollten die Kommunen überlegen, ob sie ihre Bürger nicht über alternative Wege informieren können, bei denen die Verarbeitung und Übermittlung personenbezogener Daten auf ein Minimum beschränkt ist.