Nordrhein-Westfalen und Sachsen-Anhalt: 2 Länder ohne Landesdatenschutzbeauftragte

Seit Jahresanfang 2021 haben nun 2 Bundesländer, Sachsen-Anhalt und Nordrhein-Westfalen (NRW), keinen obersten Datenschützer mehr. Der Blick in das Organigramm NRW zeigt bereits seit dem Sommer 2020 eine Leerstelle an der Spitze der Datenschutzaufsicht, in Sachsen-Anhalt heißt es dort seit heute: „Landesbeauftragter für den Datenschutz n.n.“. Nach bald 16 Jahren im Amt des Landesdatenschutzbeauftragten Sachsen-Anhalt ist Dr. Harald von Bose zum Jahresende 2020 ausgeschieden und in den Ruhestand gegangen.

Wieso sind die Posten unbesetzt?

In § 25 Abs. 3 Satz 3 Datenschutzgesetz NRW (DSG NRW) ist extra geregelt, dass ein Amtsinhaber bis zum Antritt der Nachfolge geschäftsführend im Amt bleibt: „Nach Ende der Amtszeit bleibt sie oder er bis zur Ernennung einer Nachfolgerin oder eines Nachfolgers im Amt.“ Auch in Sachsen-Anhalt findet sich im dortigen Landesdatenschutzgesetz mit § 21 Abs. 2 Satz 3 DSAG LSA eine entsprechende Regelung („Der Landesbeauftragte für den Datenschutz ist verpflichtet, das Amt bis zur Bestellung eines Nachfolgers, längstens jedoch für zwölf Monate nach Ablauf der Amtszeit weiterzuführen; die Amtszeit gilt als entsprechend verlängert.“). Leider läuft diese Regelung aber leider dann leer, wenn der Amtsinhaber in den Ruhestand gehen darf oder muss. Hier stehen die Landesdatenschutzgesetze aber ausdrücklich in Einklang mit der vorrangigen Regelung der DS-GVO. Nach Art. 53 Abs. 3 DS-GVO endet das Amt unter anderem mit „verpflichtender Versetzung in den Ruhestand gemäß dem Recht des betroffenen Mitgliedstaats“. Es mag als eine Regelungslücke erscheinen, dass für diesen Fall kein Automatismus für eine Neuwahl vorgesehen ist, aber es liegt schlicht in der politischen Verantwortung der jeweiligen Landesparlamente und -regierungen eine rechtzeitige Neuwahl für die Leitung der Aufsichtsbehörde vorzunehmen.

Woran scheitert es in NRW?

Die oder der Landesbeauftragte für Datenschutz und Informationsfreiheit wird nach § 25 Abs. 3 DSG NRW genauso wie nach DSG NRW a.F. jeweils für die Dauer von acht Jahren in ein Beamtenverhältnis auf Zeit berufen. Aufgrund dieser eindeutigen Regelung erscheint es mindestens als irritierend, dass sowohl die schwarz-gelbe Landesregierung 2010 mit Ulrich Lepper als auch die rot-grüne Regierung im Jahr 2015 mit Helga Block jeweils Personen für die Positionen vorgeschlagen haben, bei denen völlig absehbar war, dass sie aus Altersgründen die volle Amtszeit von 8 Jahren nicht erfüllen können. Gerade die gesetzlich festgelegte lange Amtszeit trägt zur unionsrechtlich verlangten Unabhängigkeit eines Landesdatenschutzbeauftragten bei, wird aber durch die Wahl von Personalien, die diese Amtszeit gar nicht erfüllen können, von Seiten der Politik vorsätzlich unterlaufen. Das trägt zudem auch wenig zur politischen Wertschätzung gegenüber der Funktion des Landesbeauftragten für Datenschutz bei und kann aus Sicht der rot-grünen Landesregierung auch als politisch unklug bezeichnet werden. Schließlich hätte die Wahl einer jüngeren Person im Jahr 2015 die Amtszeit bis 2023 ermöglicht. Dadurch besäßen SPD und Bündnis 90/Die Grüne zumindest die theoretische Möglichkeit durch einen Wahlerfolg bei der nächsten regulären Landtagswahl im Jahr 2022 die Personalie des Landesdatenschützers erneut vorschlagen zu dürfen.

Zumindest hat es die Vorgängerregierung in NRW verhindert, dass nach dem altersbedingten Ausscheiden von Lepper eine Vakanz im Amt auftritt. Pünktlich zu dem Ausscheiden von Lepper am 30.09.2015 wurde Helga Block Anfang September 2015 gewählt, sodass seinerzeit Kontinuität im Amt gewährleistet war.

Woran scheitert es in Sachsen-Anhalt?

In Sachsen-Anhalt hat von Bose genau das Gegenteil von Helga Block erlebt. Er wurde 2005 und 2010 zwei Mal zum Landesbeauftragten gewählt und hat die Amtszeit auch vollumfänglich erfüllt. Seit Ablauf der zweiten Amtszeit am 15. März 2017 übte er die Funktion nun aber schon kommissarisch aus, weil die Landespolitik nicht in der Lage war seine Nachfolge zu wählen und eine erneute Wiederwahl nach § 20 Abs. 1 Satz des Datenschutzgesetzes nicht möglich war. In 3 Wahlgängen im März und Mai 2018 fiel Nils Leopold (Bündnis 90/Die Grünen) bei der Wahl zum Datenschutzbeauftragen im Landtag von Sachsen-Anhalt durch, weil er nicht die erforderliche Mehrheit erhielt. Dieses Szenario kommt einem durch den jüngsten Streit um die Erhöhung des Rundfunkbeitrags, die ebenfalls am Landtag in Sachsen-Anhalt scheiterte, bekannt vor. Es bleibt fraglich, ob Harald von Bose als unmittelbar Betroffener der politischen Entscheidungsunfähigkeit sein Amt hätte aufgeben können, wo das Landesgesetz in seiner alten Fassung, die aber bis zum 26.02.2020 galt, verlangt: „Er ist verpflichtet, das Amt bis zur Bestellung eines Nachfolgers weiterzuführen; die Amtszeit gilt als entsprechend verlängert.“ (§ 20 Abs. 2 Satz 2 DSG LSA a.F.). In der aktuellen Fassung heißt es deswegen wohl nicht ohne Grund: „Der Landesbeauftragte für den Datenschutz ist verpflichtet, das Amt bis zur Bestellung eines Nachfolgers, längstens jedoch für zwölf Monate nach Ablauf der Amtszeit weiterzuführen; die Amtszeit gilt als entsprechend verlängert.“ (§ 21 Abs. 2 Satz 3 DSAG LSA) Von dieser zeitlichen Beschränkung von Gesetzes wegen konnte von Bose nicht mehr profitieren, aber er hat seine Tätigkeit trotzdem gewissenhaft zu Ende gebracht. Und das einzig erlaubte Ende für solche Fälle ist das Erreichen eines ruhestandsfähigen Alters. Gleichwohl stellt die kommissarische, seit März 2017 über dreieinhalb Jahre gehende weitere Amtsführung in seinem Fall nicht nur eine unvorhersehbare Bürde für den Amtsinhaber dar, sondern seine Aufgabenwahrnehmung und Funktionsbekleidung unterliegt in diesem Zeitraum auch dem Mangel fehlender demokratischer Legitimation.

Hessen kennt kein Alter

In Hessen wurde im Dezember 2020 Professor Roßnagel mit 70 Jahren zum Nachfolger des aktuellen Amtsinhabers Professor Ronellenfitsch (75) gewählt. Tatsächlich scheint es in Hessen keine Altersgrenze von gesetzlicher Seite zu geben. § 11 Abs. 2 Satz 2 Hessisches Datenschutz- und Informationsfreiheitsgesetz sieht lediglich 2 Gründe für das Amtsende vor: „Das Amtsverhältnis endet mit Ablauf der Amtszeit oder mit dem Rücktritt.“ Die aber in Art. 53 Abs. 2 DS-GVO zusätzlich zu diesen beiden Gründen genannte Alternative („Versetzung in den Ruhestand gemäß dem Recht des betroffenen Mitgliedstaats“) findet sich im HDSIG nicht wieder.

Wie geht es in NRW weiter?

So unauffällig wie Helga Block in ihrem Amt war, so unauffällig war auch ihr Amtsende. Scheinbar hat davon noch nicht einmal die Politik in Düsseldorf ausreichend Kenntnis erlangt. Damit das Thema nicht völlig unter den Tisch fällt, hat inzwischen die SPD-Fraktion in der letzten Sitzung im Innenausschuss eine Anfrage unter dem Titel „Wie ist der aktuelle Sachstand bei der Neubesetzung des Amts des/der Landesbeauftragten für Datenschutz und Informationsfreiheit?“ gestellt. Die Landesregierung, vertreten durch das Innenministerium, hat hierzu bislang nur mündlich Stellung genommen und mitgeteilt, dass noch weiterer Beratungs- und Abstimmungsbedarf bestehe. Nach eigener Recherche liegt das Vorschlagsrecht für das Amt des Landesdatenschutzbeauftragten bei der CDU-Fraktion bzw. beim CDU-geführten Innenministerium, da das Vorschlagsrecht nicht beim Parlament, sondern exklusiv bei der Landesregierung liegt (§ 25 Abs 1 Satz 2 DSG NRW). Dementsprechend kann die Opposition auch keine Gegenkandidatur ins Rennen schicken.

Wie geht es in Sachsen-Anhalt weiter?

Der Auswahlprozess in Sachsen-Anhalt für das Finden einer Nachfolge für von Bose ist dagegen offener und transparenter. „Bewerber für das Amt des Landesbeauftragten für den Datenschutz sind vor jeder Wahl durch öffentliche Stellenausschreibung zu ermitteln“ (§ 21 Abs. 1 Satz 3 DSAG LSA). Es ist damit nicht Sache der Landesregierung eine Person vorauszuwählen, sondern es können durchaus Bewerbungen für das Amt eingereicht werden. Um eine hinreichende Mehrheit zu erlangen, wurde im Frühjahr 2020 sogar die Landesverfassung geändert. War zuvor noch eine Mehrheit von zwei Dritteln der Parlamentarier nötig, genügt nach Art. 63 Abs. 2 der Landesverfassung nun die Mehrheit der Mitglieder des Landtages. Es ist von außen nicht erkennbar, warum seit dieser Gesetzesänderung mit Inkrafttreten am 20.03.2020 kein erneuter Versuch für die Wahl Leopolds unternommen wurde, da er diese Anforderung an eine Mehrheit im Landtag in seinen bisherigen Wahlgängen erfüllt hätte. Nun findet die Wahl zum nächsten Landtag von Sachsen-Anhalt am 6. Juni 2021 statt und eine vorherige Wahl eines neuen Landesdatenschutzbeauftragten ist nicht ersichtlich.

Arbeit geht trotzdem weiter

Dennoch besteht kein Grund zur Annahme, dass die Behörden deswegen stillstehen würden. Es ist in beiden Bundesländern ordentlich geregelt, dass die Stellvertretung der Landesbeauftragten als Leiter der Geschäftsstelle bis zu einem neu gewählten Nachfolger die Amtgeschäfte übernehmen.

Letztes Update:04.01.21

  • Cover Podcast Folge 63: Datenschutz in der Onlinewirtschaft – Datennutzungsrecht und Einwilligungsverwaltung

    Episode 63: Datenschutz in der Onlinewirtschaft – Datennutzungsrecht und Einwilligungsverwaltung

    Dirk Freytag (BVDW und Content Pass) und Uli Hegge (netID) sind gestandene Digitalunternehmer. Sie setzen sich für die Umsetzung eines fairen, effizienten und in der Praxis lebbaren Datenschutz in der Onlinewirtschaft ein. Im Podcast geht es um die Idee eines Datennutzungsrechts und das Verständnis des Datenschutzbeauftragten im Sinne eines Datennutzungsbeauftragten, um Einwilligungsverwaltungsdienste und Single-Sign-On-Angebote sowie

    Mehr erfahren
  • Mindesstandard zur Protokollierung von Cyberangriffen

    Aktualisierung: Mindeststandard zur Protokollierung und Detektion von Cyber-Angriffen

    Immer häufiger werden Cyber-Angriffe auf Unternehmen und Regierungen bekannt, die folgenschwere Konsequenzen für die Betroffenen auslösen. Die meisten IT-Systeme in Organisationen verfügen über Möglichkeiten, um ein Audit-Logging zu aktivieren. Bereits mit den Standardeinstellungen werden dabei in der Regel alle wichtigen Ereignisse aufgezeichnet. Damit dabei aber keine gigantischen Datenmengen entstehen, die nur mit hohem Aufwand zu verarbeiten

    Mehr erfahren
  • MItarbeiterexzess durch unzulässige Datenbankabfrage

    Klassiker: Mitarbeiterexzess durch unzulässige Datenbankabrufe

    Regel: Unternehmen haften für Datenschutzverstöße ihrer BeschäftigtenNach Auffassung der Datenschutzkonferenz (DSK) als Gremium der deutschen Datenschutzaufsichtsbehörden sollen Unternehmen im Rahmen von Art. 83 DS-GVO für Datenschutzverstöße eines jeden Beschäftigten haften, wenn der Mitarbeiter nicht im Exzess (für eigene Zwecke) gehandelt hat. Dabei sei nicht erforderlich, dass für die Handlung ein gesetzlicher Vertreter oder eine Leitungsperson verantwortlich ist.

    Mehr erfahren
WordPress Cookie Hinweis von Real Cookie Banner