Datenschutz

0:35Torsten Frenzel Ja, hallo und herzlich willkommen beim e-Government-Podcast. Ich bin Thorsten Frenzel und ich habe heute wieder zwei hervorragende Gäste bei mir im virtuellen Studio. Hallo Katja, hallo Eva.

0:45Eva Liebich Hallo, hallo.

0:47Torsten Frenzel Ich grüße euch. Und vielleicht stellt ihr euch nochmal ganz kurz vor. Katja, magst du anfangen?

0:51Katja Weber Ich bin Katja, Katja Weber. Ich arbeite in der Senatskanzlei Hamburg und bin dort Referatsleiterin für die Themen datenschutzrechtlicher Grundsatzfragen und für die Themen Barrierefreiheit und IT-Mitbestimmung.

1:06Eva Liebich Ich bin Eva, Eva Liebig, bin Juristin, habe ein wenig Verwaltungserfahrung und bin seit drei Jahren bei PD-Berater der öffentlichen Hand mit dem Herzensthemen Datenschutz und bessere Rechtsetzung.

1:21Torsten Frenzel Sehr schön. Ich freue mich, dass ihr bei mir seid. Und wir wollen natürlich nicht nur über Produkte sprechen, sondern wir wollen natürlich auch über Datenschutz sprechen. Weil das habe ich hier, egal ob ich im Podcast, noch viel zu vernachlässigt, weil es ein ganz wichtiges und großes Thema ist, auch für uns in der öffentlichen Verwaltung.

1:35Torsten Frenzel Und bevor wir auf Lösungen eingehen, fangen wir mal bei den Basics an. Was ist denn überhaupt Datenschutz und vor allen Dingen, was oder wen schützt denn der Datenschutz?

1:47Katja Weber Ja, das ist tatsächlich eine sehr gute Frage. Und was hier aus meiner Sicht besonders interessant ist, dass oft im Alltag vergessen wird, dass Datenschutz eben nicht primär Daten, Festplatten oder auch Server schützt, sondern er schützt nicht die Daten an sich, sondern die Rechte und die Freiheiten und die Privatsphäre von Menschen.

2:08Katja Weber Und das ist, glaube ich, ganz wichtig, dass man sich das nochmal vergegenwärtigt. Der Kernbegriff ist hier die informationelle Selbstbestimmung. Also jede Person hat das Recht und das ist tatsächlich sogar auch verfassungsrechtlich garantiert, einen Schutz auf Menschen. Privatsphäre eben, dass die personenverzogenden Daten geschützt werden.

2:31Katja Weber Und das bedeutet, dass deine Identität, die gehört dir und nicht dem Staat und auch nicht dem Unternehmen, was gegebenenfalls gerade eine App entwickelt hat und programmiert hat. Das heißt, jeder Mensch muss grundsätzlich selbst entscheiden können, welche Puzzleteile von einem gesammelt werden und wie die zusammengesetzt werden, von wem sie genutzt werden, von wem sie gespeichert werden oder auch wann sie gelöscht werden sollen.

2:56Torsten Frenzel Also Datenschutz ist dann tatsächlich echter Menschenschutz. Und wo liegen denn hier Verantwortlichkeiten in der Verwaltung beim Thema Datenschutz? Weil eine Verwaltung hat Verordnungen, hat Gesetze, da steht drin, ich soll die Schuhgröße erfassen und dann erfasse ich die auch.

3:15Katja Weber Genau, also du sprichst da, glaube ich, ein ganz wichtiges Thema an. Im digitalen Raum ist der Datenschutz fundamental wichtig, weil die Daten eben nicht mehr irgendwo unten im Keller liegen oder von Schreibtisch zu Schreibtisch gereicht werden. Wenn wir heute beispielsweise einen Online-Antrag stellen, dann bleibt die Information ja nicht mehr irgendwo im Archiv beim Wohnort liegen, sondern die Daten werden in Millisekunden einfach kopiert und mit anderen Registerdaten ausgetauscht und verknüpft und auf Serverlandschaften verteilt.

3:45Katja Weber Und je digitaler wir werden, desto weiter entfernen sich eben auch die Daten von uns als Personen physisch. Und es wird praktisch zu so einer fließenden Ressource. Und wenn diese Ressourcen und Informationen eben beispielsweise Auskunft über deine Gesundheit geben, dein Einkommen oder auch deine Familie und wir da eben keine strikten Regelungen haben, dann ist das problematisch und führt eben nicht nur theoretisch zum Missbrauch.

4:19Torsten Frenzel Also was ich im Alltag immer wieder höre, ich gehe ganz viel mit Kommunen um, das Datum darf ich nicht erfassen, da steigt mir mein Datenschützer aufs Dach. Haben wir da bei der öffentlichen Verwaltung gesonderte Regelungen oder dürfen wir einfach alles erfassen, was wir erfassen wollen?

4:37Eva Liebich Danke für die Frage. Grundsätzlich gilt der Grundsatz der Datenminimierung und zwar bei allen und bei jedem. Das heißt, man muss jedes Datum, das man erfassen möchte oder angeblich erfassen muss, muss rechtmäßig erfasst werden.

4:53Torsten Frenzel Was heißt denn rechtmäßig erfassen?

4:56Eva Liebich Rechtmäßig erfassen heißt für die Verwaltung, dass das vorgegeben ist. Und meistens ist das, weil Verwaltung sowieso aufgrund von Gesetzen agiert und nur dann auch handeln darf, ist das in einem Gesetz niedergeschrieben, welches Datum erfasst werden muss und verarbeitet werden darf. Wenn das ausnahmsweise mal nicht erfasst ist, dann gilt immer der Grundsatz der Datenminimierung.

5:22Eva Liebich Das heißt, man darf nicht mehr erfassen, als unbedingt notwendig ist.

5:27Torsten Frenzel Und wer sagt mir denn, was unbedingt notwendig ist, wenn es nicht geregelt ist?

5:32Eva Liebich Da darf man auch ruhig mal den gesunden Menschenverstand halten lassen. Das hilft immer. Die Schuhgröße brauche ich meines Erachtens bei keinem einzigen Antrag, den die öffentliche Verwaltung bearbeitet.

5:48Torsten Frenzel Naja, bei der Feuerwehr, wenn ich da neue Schuhe brauche, muss ich das schon erfassen. Also das ist schon... Aber das ist immer mein Beispiel. Ich nehme immer gern die Schuhgröße, weil die relativ absurd ist und die eigentlich niemand erfassen sollte. Aber trotzdem werden solche absurden Daten immer mal wieder angefragt, wo man sich fragt, wozu werden die überhaupt benötigt.

6:06Torsten Frenzel Aber hier geistert ja auch immer noch der Begriff der DSGVO, der Datenschutzgrundverordnung, durch die Gegend. Das ist ja ein Gesetz, was in Europa geschaffen wurde und was uns tatsächlich weltweit zur führenden Organisation als Europa macht, was Datenschutz angeht.

6:26Katja Weber Weltweit führend würde ich, glaube ich, bestätigen, weil der Schutz, den wir als Bürgerinnen darin haben, den kann man, glaube ich, schon hochhalten. Tatsächlich, die Datenschutzgrundverordnung ist eine europäische Ordnung, also gilt in allen EU-Staaten und ist seit 2018 an Kraft. Und ja, hat zum Gegenstand, dass wir hier die Rechte von Bürgerinnen und Bürgern gestärkt sehen und aber natürlich auch ganz klare Vorgaben für öffentliche Stellen, also Behörden oder auch Organisationen hier geregelt haben drinnen.

6:55Katja Weber Und die DSGVO ist ein Grundwerk für datenschutzrechtliche Fragen und besteht so ein bisschen aus mehreren Grundprinzipien. Also wir haben einmal so ein zentrales Prinzip, also dass eine Datenverarbeitung eben nicht erfolgen darf, ohne dass wir hier eine Rechtsgrundlage haben, die eben dazu dient, die Daten verarbeiten zu dürfen.

7:18Katja Weber Wir haben weiterhin Betroffenenrechte, die dort drin geregelt sind, also beispielsweise Auskunftsansprüche. Das ist, glaube ich, etwas, was jeder so ein bisschen kennt und mit dem man vielleicht auch schon mal konfrontiert gewesen ist. Oder auch Berichtigungsansprüche, die man geltend machen kann. Wir haben aber auch sowas geregelt wie den Drittlandtransfer.

7:36Katja Weber Das ist vielleicht auch etwas, was der ein oder andere schon mal gehört hat. Wenn Daten in die USA übermittelt werden durch den Einsatz von irgendwelchen Tools, dann haben wir eben dazu auch Regelungen in der DSGVO. Aber auch natürlich ganz klare Zuständigkeiten für die Datenschutzaufsichtsbehörden beispielsweise, die natürlich auch schauen, ob die DSGVO richtig angewendet und durchgesetzt wird.

7:58Torsten Frenzel Und wer muss sich jetzt alles an die DSGVO halten? Sind das nur europäische Unternehmen und europäische Behörden oder müssen das auch ausländische Behörden oder Unternehmen machen?

8:11Eva Liebich Also die DSGVO gilt auch für Organisationen außerhalb der EU, wenn sie Daten von Menschen, die innerhalb der EU leben, verarbeiten. Das führt manchmal zu Friktionen mit großen Anbietern aus Übersee.

8:25Torsten Frenzel Ja, davon hörte ich, aber tatsächlich, wenn ich so die Presse beobachte und was so bei mir vorbeigespült wird, die DSGVO ist schon ein Regelwerk, was weltweit Anerkennung findet und es tatsächlich andere Länder gibt, die die DSGVO quasi nachbauen, weil hier die EU große, große Meilensteine gesteckt hat.

8:49Eva Liebich Absolut.

8:51Torsten Frenzel Wer ist denn für die Einhaltung der DSGVO in Deutschland, vor allen Dingen in den deutschen Behörden, zuständig?

8:59Katja Weber Das machen die Datenschutzaufsichtsbehörden tatsächlich. Da gibt es an der Zahl 16, würde man meinen. Das ist tatsächlich in Bayern dann nochmal ein bisschen besonders. Landesdatenschutzaufsichtsbehörden, da gibt es nämlich zwei. Einen für den öffentlichen Bereich und einen für den nicht öffentlichen Bereich.

9:15Katja Weber Bei den anderen Ländern vereinen sich diese beiden Bereiche in einer Behörde, sodass wir hier einmal auf Landesebene 17 Behörden haben. Und dann haben wir zusätzlich noch die Bundesdatenschutzbeauftragte, also die kümmert sich um die Bundeseinrichtung und beaufsichtigt diese. Sodass wir dann 16, 17, 18 Aufsichtsbehörden sind, die sich um die Durchsetzung kümmern.

9:40Torsten Frenzel 18 ist ja noch übersichtlich, es gibt noch mehr andere Bereiche, wo es noch mehr Aufsichtsbehörden gibt. Was passiert eigentlich, wenn ich mich nicht an die DSGVO halte? Und vor allem, was passiert mir als Behörde, wenn ich mich nicht an die DSGVO halte?

9:54Katja Weber Ja, da sieht die DSGVO verschiedene Sanionsmöglichkeiten vor. Also das fängt an bei einer sogenannten Warnung. Also es ist, wenn man beispielsweise Aufsichtsbehörden davon erfahren, dass rechtswidrige Verarbeitungen stattfinden sollen, dann kann man eine Warnung aussprechen. Das heißt, man würde sozusagen im Vorhinein schon einmal ein Stoppschild aufstellen und sagen, so geht es bitte nicht, das muss noch abgeändert werden.

10:17Katja Weber Dann gibt es die Möglichkeit, Anordnung auszusprechen oder auch unter Untersagungsverfügung. Dann kommt die Aufsichtsbehörde. Und sagt mir, so geht die Datenverarbeitung nicht, das muss bitte geändert werden oder hier müssen nochmal technische oder organisatorische Maßnahmen weiter ausgebaut werden. Aber es gibt natürlich auch Schadenersatzansprüche, die geltend gemacht werden können von Bürgerinnen, diese Ansprüche werden dann aber regelmäßig zivilrechtlich geltend gemacht. Das macht man dann nicht über die Aufsichtsbehörden.

10:46Katja Weber Oder die Aufsichtsbehörden verhängen Bußgelder. Das ist, glaube ich, was auch viele kennen, was natürlich durch die Medien öfter geistert. Dass sehr hohe, teilweise sogar dreistellige Bußgelder verhängt werden. Hier gibt es tatsächlich aber im öffentlichen Bereich eine Besonderheit, weil gegen Behörden, zumindest in Deutschland, keine Bußgelder verhängt werden von den Aufsichtsbehörden, da das aus haushalterischen Gründen eigentlich nur ein Wirtschaften von der Linken in die rechte Tasche wäre sozusagen.

11:14Katja Weber Und deswegen werden keine Bußgelder verhängt. Es verbleibt bei den Verwarnungen oder bei den Anordnungen, die erlassen werden, die tatsächlich aber auch schmerzhaft sein können, wenn man hier eben in der politischen Verantwortung für bestimmte Sachen steht und dann eben Untersorgungsverfügungen erlassen werden, kann das natürlich auch die Reputation tatsächlich beiträchtigen.

11:39Torsten Frenzel Jetzt habe ich als Behörde natürlich Angst, weil so eine Warnung möchte ich unbedingt vermeiden. Aber um das Ganze zu unterstützen, habt ihr in Hamburg was gebaut?

11:50Katja Weber Ganz genau. Vielleicht können wir nochmal so einen Schritt zurückgehen. Also wir kennen uns vom Schwerpunktthema, Eva und ich, vom Schwerpunktthema des IT-Pladungsrats. Und der IT-Pladungsrat vereint insgesamt fünf Schwerpunktthemen. Und ein Schwerpunktthema davon ist die Datennutzung. Und Hamburg hat für die Datennutzung die Patenschaft, also für dieses große Schwerpunktthema übernommen.

12:14Katja Weber Und dieses Schwerpunktthema untergliedert sich wiederum noch in so drei kleine Kompetenzteams und eins davon ist das Kompetenzteam Datenschutz. Und in diesem Bereich unterstützt uns Eva, die für die PD arbeitet, in diesem Bereich. Und so haben wir uns eben kennengelernt und haben uns dann überlegt. Was können eigentlich in der praktischen Arbeit Kolleginnen und Kollegen an Unterstützungsmitteln, was brauchen die, damit die besser arbeiten können.

12:43Katja Weber Unsere Feststellung ist, dass die Digitalisierung voranschreitet, dass wir hier mit komplexeren Sachverhalten zu tun haben, wir andererseits aber weniger Personal haben, tatsächlich auch nicht die Datenschutzexpertise in jedem einzelnen Projekt vorhanden ist, die sich jetzt durch die DSGVO füllen kann.

13:04Katja Weber Und ja, man eben hier auch durch weitere EU-Gesetzgebung tatsächlich auch nochmal in komplexere rechtliche Fahrwasser kommt. Und um da eben zu unterstützen, haben wir verschiedene Arbeitshilfen erstellt und genau, die wir heute hier gerne vorstellen möchten, weil wir eben auch festgestellt haben, dass die Vernetzung in der Verwaltung auch noch nicht so gut ausgeprägt ist.

13:30Torsten Frenzel Genau, also was muss ich mir unter Arbeitshilfen vorstellen und sind diese Arbeitshilfen für Kommunen jeglicher Art geeignet?

13:42Eva Liebich Also das würden wir gerne jetzt noch ein bisschen weiter ausführen. Wir haben eigentlich den Ansatz gehabt, die Probleme, die wir selber in der Verwaltungspraxis festgestellt haben, damit können wir nicht alleine sein. Also das sind Sachen, die hat eigentlich jeder, der in einer Behörde sich mit dem Thema Datenschutz konfrontiert sieht.

14:04Eva Liebich Und wir haben auch festgestellt, dass es viel zu wenig DatenschutzreferentInnen gibt. Viel wird der oder dem Datenschutzbeauftragten überbürdet und das Wissen ist eigentlich nicht in den Projekten, wenn es denn das Projekt aufgesetzt oder in den fachlichen Leitstellen vorhanden, sodass wir uns mit unseren Arbeitsergebnissen in erster Linie an Projektmitarbeitende wenden und dann eben auch die DatenschutzreferentInnen bedienen können, die dann hoffentlich den oder die DSB glücklich machen.

14:42Torsten Frenzel Jetzt gibt es ja nicht in jeder Kommune Datenschutzreferenten, sondern eher so Datenschutzbeauftragte, die entweder extern sind oder irgendjemand macht es noch mit, hat mal eine Ausbildung gemacht. Ist das für die auch geeignet oder muss man da eine dedizierte Ausbildung für haben?

15:03Eva Liebich Also manches ist auch für die geeignet. Und wir haben zum Beispiel, da kommen wir gleich drauf zu sprechen, einen Rechtsgrundlagengenerator für eine Datenschutzklausel für ein Fachgesetz entwickelt. Das richtet sich natürlich nicht an kommunale Mitarbeitende, sondern das richtet sich an LegistInnen in Fachministerien, Landes- oder Bundesebene.

15:28Eva Liebich Die können damit was nutzen. Das ist nicht für die kommunalen Mitarbeitenden gedacht. Aber die anderen Produkte, glaube ich, können durchaus auch da Anwendung finden.

15:40Torsten Frenzel Aber jetzt werden wir doch mal konkreter. Was muss ich mir konkret vorstellen unter diesen Arbeitshilfen?

15:47Katja Weber Genau, ich fange gerne mal an, also vielleicht auch noch einmal einen Schritt zurück. Wir haben ein sogenanntes Eckpunktepapier entwickelt, was man auf der Webseite vom IT-Planungsrat unter den Arbeitshilfen abrufen kann. Dieses Eckpunktepapier war so ein bisschen der Ausgangspunkt auch für unsere Arbeitshilfen, die wir dann anschließend entwickelt haben.

16:06Katja Weber In dem Eckpunktepapier haben wir festgestellt und auch nochmal festgeschrieben, warum der Datenschutz kein Hindernis darstellt und warum wir den Datenschutz eben brauchen und dass er tatsächlich eben auch keine Innovationshörder ist, so wie es oft durch die Medien geistert. Das ist vielleicht das Erste. Das ist ein Papier, mit dem man sich mal beschäftigen kann, denn die Probleme liegen auf der ganz anderen Seite darin, dass wir keine Interoperabilität haben, dass wir verschiedene technische Dienstleister haben, die wir einsetzen.

16:40Katja Weber Das sind die Probleme, die wir haben, dass wir die Daten eben auch nicht weiter gut verarbeiten können, wenn sie in der Verarbeitungskette beispielsweise übermittelt werden müssen und da eben nicht der Datenschutz an sich im Wege steht. Das ist vielleicht so das Erste, was so ein bisschen auch Aufschluss darüber gibt, warum wir dieses schlechte Datenschutz-Image überhaupt nicht haben und es eigentlich auch zu Unrechts besteht.

17:05Katja Weber Und von diesem Ausgangspunkt heraus haben wir dann festgestellt, dass es eben auch viel zu wenig gute datenschutzrechtliche Rechtsgrundlagen gibt. Das ist eine Feststellung, die wir selber gemacht haben, die uns aber auch von den Aufsichtsbehörden tatsächlich gespiegelt wurden, die in ihren Prüfungen insbesondere auch bei den öffentlichen Stellen festgestellt haben, entweder gibt es gar keine Rechtsgrundlagen für gewisse Verarbeitungstatbestände oder die, die es gibt, sind nicht ausreichend genug oder schlecht.

17:34Katja Weber Und dann haben wir uns überlegt, okay, wie können wir hier schnell Abhilfe schaffen, auch vor dem Hintergrund, dass Gesetzgebungsprozesse ja doch echt oft länger dauern. Und wer initiiert das eigentlich? Und haben uns dann überlegt, wie können wir hier ansetzen und Unterstützung leisten, dass man so eine spezialgesetzliche Grundlage selber schaffen kann.

17:57Katja Weber Und wenden uns hier mit dem Rechtsgrundlagengenerator tatsächlich dann doch sehr speziell an Legistinnen, also an Personen, die tatsächlich Rechtsnormen schreiben. Aber auch hier ist es so, dass denen auch tatsächlich oftmals datenschutzrechtliches Hintergrundwissen fehlt und da kann dieser Rechtsgrundlagengenerator tatsächlich eben auch sehr hilfreich sein, um die Verarbeitungstatbestände oder auch die Daten, die verarbeitet werden sollen, beispielsweise auch besondere Kategorien von Daten, eben besser einzuordnen und in einen besseren Rechtstext schreiben zu können.

18:31Katja Weber Genau, das war so vielleicht so ein bisschen der Ausgangspunkt. Also einmal dieses Eckpunktepapier mit der Analyse und dann unsere erste Arbeitshilfe, der Rechtsgrundlagengenerator.

18:41Torsten Frenzel Genau, also der Rechtsgrundlagengenerator ist ja eher auf höherer Ebene. Das wird ja bei den Kommunen eher wenig in Anspruch genommen werden. Habt ihr auch was für die nicht gesetzgebenden Ebenen entwickelt?

18:55Eva Liebich Ja, das haben wir auch. wir haben einen Dokumentengenerator, der zieht darauf ab, dass man durch ein Fragesystem geleitet wird und wenn man das alles abschließend beantwortet, dass dann die datenschutzrechtliche Pflichtdokumentation rauskommt, nämlich einmal das Beschreibung der Verarbeitungstätigkeit, die Schwellwertanalyse, die DSFA und auch der Datenschutzhinweis.

19:23Eva Liebich Das heißt, man muss Beantwortet die Fragen einmal und die Antworten füllen sich dann in die Formulare automatisiert aus. Das ist auch schon ziemlich weit gediegen. Also es gibt schon Fertig auf der Seite des IT-Planungsrat abrufbar das Fragetool hinsichtlich Beschreibung der Verarbeitungstätigkeit, Schwerwertanalyse und der Hinweisgenerator.

19:46Eva Liebich Also das Auswerfen eines Datenschutzhinweises, der alles enthält, was Behörde so braucht, woran sie denken muss.

19:54Torsten Frenzel Da habe ich direkt eine ganz praktische Frage. Also wir beschäftigen uns in Deutschland ja ganz stark mit EFA-Leistungen, also dieser Einer-für-alle-Leistungen. Könnte man es damit hinbekommen, dass man mit so einem Generator die ganzen Datenschutzanforderungen erheben kann, die dann bundesweit für alle Kommunen gelten, ohne dass die Kommunen jetzt aktuell nochmal selbst eine Datenschutzfolgeabschätzung oder ähnliches machen müssen.

20:25Eva Liebich Naja, da muss man ja unterscheiden. Also der EVA-Online-Dienst, der EVA-Dienst an sich, der wird ja sowieso nur einmal betrieben und dokumentiert. Und also das will 8A OZG am Satz 4.

20:39Torsten Frenzel Aber de facto macht jede Kommune nochmal Datenschutzfolgenabschätzung oder fragt nach den Datenschutzdokumenten, gibt es ihrem Datenschützer, der das alles nochmal genehmigen muss. Also was mein Traum wäre, die Hersteller von diesen eFa-Leistungen, die bauen das, machen die Datenschutzfolgeabschätzung, es kommt ein Stempel drauf von wem auch immer und das Thema ist durch und es gilt für alle.

21:02Torsten Frenzel Und es muss nicht nochmal jede Kommune, egal wie groß oder klein sie ist, nochmal ihren Datenschützer beauftragen, sondern kann einfach die Daten rüberschicken und sagen, hier guck mal, das sind die Papiere, die kannst du abheften.

21:13Eva Liebich Wir träumen den gleichen Traum. Also nochmal, für die EV-Online-Dienste will der 8a genau verhindern, dass sich mehrere für irgendwas verantwortlich fühlen, was sie nicht sind, weil der 8a Absatz 4 OZG klipp und klar sagt, dass die Betreibende, die den Online-Dienst betreibende Behörde datenschutzrechtlich verantwortlich ist.

21:34Eva Liebich Das heißt, die Erfüllung der Pflichten der Dokumentation liegen bei der betreibenden Behörde, nur für den Online-Dienst. Du hast jetzt noch angesprochen, dass die Fachverfahren, das ist ja natürlich völlig richtig, die sind ja alle mehr oder weniger gleich, dass die auch nur einmal das ausfüllen müssten und da träumen wir auch ein bisschen in die Richtung.

21:56Eva Liebich Wir hatten überlegt, eine sozusagen Plattform zu schaffen, wo auch solche Dokumentationen bezüglich eines Dienstes ausgetauscht werden können, wenn man sie schon nicht einmal gültig erstellen kann. Sind da aber an sehr, sehr praktischen Dingen gescheitert, wie dass wir das Gefühl haben, dass die KollegInnen vielleicht ein bisschen scheu sind, ihre Dokumentation auch zur Verfügung zu stellen, dass jemand anderes das nachnutzen kann, weil man möchte sich als, also ich kenne das von meiner Berufssparte, JuristIn eben auch nicht irgendwie über die Schulter gucken lassen und eventuell bei irgendwelchen Fehlern erwischen lassen.

22:43Eva Liebich Ich glaube, wir haben alle so einen Ethos, dass es immer alles richtig sein muss und es herrscht sehr viel Unsicherheit und nicht einheitliches Wissen im Datenschutz leider noch.

22:56Torsten Frenzel Von daher wäre es ja sehr, sehr schön, wenn sowas zentral kommt und nicht sich jeder Jurist und jede Juristin nochmal selber Gedanken machen muss, sondern einfach sagen kann, das hat schon mal einer für uns entschieden.

23:07Eva Liebich Also was der Vorteil an unserem, wir nennen es Dokumentengenerator ist, dass zumindest die Formulare und das, was ausgefüllt und geliefert werden muss, das würde zumindest eine Vereinheitlichung auf dieser Lieferebene schaffen. Das ist vielleicht ein erster Schritt, der dazu beitragen kann.

23:27Katja Weber Genau, das andere ist vielleicht eine andere Frage, die Akzeptanz und die Anerkennung der Prüfung, die woanders stattgefunden hat. Und das ist dann auch eine Frage, dass einer prüft für alle Prinzip vielleicht insgesamt und auch da arbeiten wir dran, einen gemeinsamen Verwaltungsstandard auf die Beine zu stellen, der abgestimmt ist zwischen der Verwaltung und den Datenschutzaufsichtsbehörden.

23:48Katja Weber Und eben in dem Zusammenspiel eben die Prüfung einmal erfolgt. Und wenn ich eben ein Produkt in einem anderen Bundesland einsetzen möchte, dass ich mich auf die Prüfung des anderen Bundeslandes sowohl verwaltungsseitig als auch aufsichtsseitig verlassen kann und eben nicht hier noch 16, 18 Mal in die Datenschutzprüfung einsteige.

24:10Torsten Frenzel Okay, gehen wir mal ein bisschen weiter. Ihr hattet mir erzählt, dass ihr den Rechtsgrundlagengenerator habt. Ihr habt das Eckpunktepapier und ihr habt, ja, was habt ihr noch?

24:22Katja Weber Genau, Eva hat das gerade angesprochen. Wir haben den Dokumentengenerator, der so eine klassische Datenschutzdokumentation, mit der man das abbilden kann. Und wir haben eine Handreichung zur Anonymisierung erarbeitet. Hier wird nochmal sehr detailliert darauf eingegangen, wie man Daten tatsächlich anonymisieren kann, um sie dann danach besser verwenden zu können.

24:43Katja Weber Das ist insbesondere interessant, wenn wir an den Einsatz von KI denken, weil wir dann eben mit diesen Daten ganz anders KI-Systeme beispielsweise trainieren können. Und es zeigt auch nochmal Methodiken auf, wie tatsächlich Reidentifikation eben vermieden werden kann. Das ist, glaube ich, auch eine Hürde, die erstmal zu nehmen ist und wir warten da schon seit längerem auch auf einem Papier vom europäischen Datenschutzbeauftragten, was schon lange in der Mache ist und leider aber nicht kommt.

25:13Katja Weber Jetzt kam auch noch ein europäisches Urteil dazwischen, was da noch wieder eingepflegt werden soll, sodass wir gedacht haben, wir versuchen es einfach selber mal mit einer Anleitung und mit einer Handreichung, an der man sich so ein bisschen langkangeln kann, was die Anonymisierung von Daten angeht. Weil wir dann ja eben auch komplett aus dem Anwendungsbereich der DSGVO raus sind und diese Probleme gar nicht mehr haben.

25:36Torsten Frenzel Das ist sehr interessant. Ich hatte da erst in einer meiner letzten Sendungen zum Open Data Day von München einen ganz interessanten Interviewpartner, die hierfür tatsächlich technologische Lösungen anbieten. Für die Anonymisierung von Daten und auch so anonymisieren, dass man sie halt nach Möglichkeit nicht wieder zurückführen kann in die Offenlegung.

26:00Eva Liebich Das ist total wichtig und die ersten Lösungen werden da inzwischen auch in Bundesministerien erarbeitet, sind jetzt auch schon fast fertig und hoffentlich stehen sie dann auch zur Nachnutzung bereit.

26:14Torsten Frenzel Weil wir gerade beim Thema Nachnutzung sind. Ich glaube, wir sind jetzt soweit mit euren Themen oder fehlt noch was?

26:21Eva Liebich Wir haben noch ein richtig tolles Thema. Das ist noch nicht fertig, also noch nicht auf unserer Homepage, also auf der Homepage des SIGI Planungsrad mit unseren Produkten so rum. Das ist ein Tool, das ist ein Entscheidungsfinder, der dabei unterstützt, die datenschutzrechtliche Verantwortlichkeit zu identifizieren, wenn Lösungen, IT-Lösungen nachgenutzt werden sollen.

26:47Eva Liebich Also einer stellt bereit, andere müssen oder sollen oder wollen nachnutzen. Wie ist es denn eigentlich mit der datenschutzrechtlichen Verantwortlichkeit? Und das ist ein sehr, sehr, sehr spannendes Thema, weil wir festgestellt haben, dass eine Rechtsprechung des EuGH, die sehr klarstellend ist in Bezug auf die Verwaltung, relativ wenig bekannt und angewandt ist.

27:14Eva Liebich Und zwar hat der EuGH klargestellt, dass in Bezug auf die Verwaltung diejenige Stelle die Verantwortung hat, der eine Aufgabe zugewiesen oder übertragen ist. Und zwar kann das implizit sein, Oder es kann explizit durch Gesetz zugewiesen sein, die Aufgabe, es kann aber auch implizit sein. Und wir hühnern an ganz vielen Stellen immer noch mit der Bestimmung von Zwecken und Mitteln rum.

27:44Eva Liebich Die Verwaltungsmitarbeitenden, die sagen, wir bestimmen das ja gar nicht selber, wir müssen das nutzen, es ist uns vorgegeben. Oder sie sagen, das müssen wir doch machen aus Gründen des Gesetzes. Also das Gesetz sagt doch, wir müssen das machen. Und genau das hat der EuGH aufgegriffen und hat klargestellt, bei der Verwaltung ist derjenige oder diejenige Stelle datenschutzrechtlich verantwortlich, der eine Aufgabe explizit oder implizit zugewiesen ist.

28:13Eva Liebich Und wenn man das konsequent anwendet, das haben wir schon in diesem Tool umgesetzt, gesetzt in dem Entscheidungsfinder, dann kommt man auch ganz klar zu einer gemeinsamen Verantwortlichkeit, wenn nämlich eine Stelle die Aufgabe hat, eine IT-Lösung bereitzustellen und eine andere Stelle angewiesen ist, die auch nachzunutzen, also es einen Anschluss- und Benutzungsfang gibt.

28:38Eva Liebich Dann hat man da so einen überschneidenden Bereich und da liegt eine gemeinsame Verantwortlichkeit vor.

28:45Torsten Frenzel Mal sehen, ob ich das richtig verstanden habe. Wenn ich jetzt ein Gesetz habe aus dem Bund, wofür für die Umsetzung die Kommunen zuständig sind, also Meldewesen zum Beispiel, dann sind die Kommunen auch hier für den Datenschutz verantwortlich. Egal, ob das jetzt über ein elektronisches Tool passiert oder die Bürgerinnen und Bürger vor Ort sind.

29:10Eva Liebich Genau.

29:11Torsten Frenzel Das delegiert ja wahnsinnig viel Verantwortung an die Kommunen. Weil Kontakt zum Bürger oder zur Bürgerin haben ja im absolut meisten Fall die Kommunen und nicht das Land und auch nicht der Bund. Wisst ihr, wie der Bund die Kommunen da entlasten will oder kann?

29:33Eva Liebich Also wir können gerade zum Meldewesen können wir ja aus Hamburg berichten. Da gibt es ja den Ende-zu-Ende-Onlinedienst EWA, elektronische Wohnsitzanmeldung. Und da ist das so gemacht worden, dass gesetzliche Änderungen im Meldegesetz und in der Meldegesetz-Digitalisierungsverordnung etc. Verändert worden sind, um die Teile dieser Aufgabe auch Hamburg zuzuweisen, die diesen Onlinedienst betreiben, damit die Teile des Verwaltungsverfahrens übernehmen können durch den digitalisierten Dienst und dann nur zum Teil noch die Meldebehörden in den einzelnen Kommunen für einen kleinen Teil übrig verantwortlich bleiben.

30:19Torsten Frenzel Okay, also das ist hier ein gutes Beispiel für geteilte Verantwortung für den Datenschutz.

30:23Eva Liebich Ja und da kann man, also bei EWA, bei der elektronischen Wohnsitzanmeldung, kann man das auch sehr gut in sequentielle Abläufe teilen, sodass die jeweils für den einen Ablauf zuständige, also die Aufgabe innehabende Stelle, Behörde, datenschutzrechtlich verantwortlich ist.

30:46Katja Weber Genau, sehr schön kann man das ja sehen am 8a. Also es gibt eben verschiedene Möglichkeiten, wie datenschutzrechtliche Verantwortlichkeiten zustande kommen. Also man kann sie einmal tatsächlich gesetzlich zuweisen, das ist im 8a passiert. Man kann sie aber auch durch die reine Aufgabenzuweisung ergibt sich dann explizit oder implizit oder man legt halt dann eine gemeinsame Verantwortung auch fest, die man tatsächlich auch in einer Rechtsnorm festlegen kann.

31:12Katja Weber Also auch diese Optionen gibt es.

31:14Torsten Frenzel Du sprichst jetzt schon mehrfach vom 8a. Kannst du nochmal für Nicht-Juristen sagen, was der 8a ist? Weil ich weiß noch nicht mal das Gesetz.

31:23Katja Weber Ja, der 8a, da beziehe ich mich auf das Online-Zugangsgesetz. Danke, dass du mich nochmal darauf hingewiesen hast. Wir leben ja immer so in unserer eigenen Bubble hier mit den Paragrafen. Und der 8a weiß tatsächlich ganz klar und deutlich eine datenschutzrechtliche Verantwortlichkeit zu. Also das war vor dem OZG, also dem Online-Zugangsgesetz 2.0, nicht klar und nicht eindeutig.

31:46Katja Weber Da hat man sowas wie eine Kettenverantwortlichkeit angenommen und es war so ein bisschen strittig, wo die darzungsrechtliche Verantwortlichkeit liegt. Und um das einmal einheitlich abzuklären und auch diese Auftragsverarbeitungsverhältnisse aufzulösen, damit man nicht ständig diese Auftragsverarbeitungsverträge abschließen muss, hat der Gesetzgeber sich dafür entschieden, die Verantwortlichkeit im Gesetz festzulegen, da einfach reinzuschreiben.

32:10Katja Weber Und das macht das insgesamt einfacher, weil es jetzt klar und deutlich sich aus dem Gesetz eben ergibt, wo die datenschutzrechtliche Verantwortlichkeit liegt.

32:20Torsten Frenzel Okay, nochmal ganz deutlich, § 8 OZG, Onlinezugangsgesetz. Okay, § 8a, § 8a, Onlinezugangsgesetz. Gut. Absatz 4. Und bitte?

32:37Eva Liebich Absatz 4.

32:38Torsten Frenzel Absatz 4, es wird noch spezifischer. Sehr gut. Also wer nachlesen will, ich werde es auch verlinken, dann könnt ihr genau nochmal schauen, was § 8a Absatz 4 Online-Zugangsgesetz beinhaltet. Nachnutzung, wollte ich vorhin schon mal darauf eingehen, da habt ihr gesagt, ihr seid noch nicht fertig, ihr habt noch so viel. Ist der Blumenstrauß jetzt schon voll oder….

33:00Eva Liebich Also ich könnte noch stundenlang über datenschutzrechtliche Verantwortlichkeit reden.

33:05Katja Weber Wir könnten noch was dazu sagen, was wir vielleicht in Planung haben. Das ist ja auch vielleicht ganz spannend.

33:10Torsten Frenzel Ja, das wäre super.

33:11Katja Weber Das wäre klasse. Wir überlegen auch und sind gerade dabei, ein bisschen darüber zu brainstormen, den Mitarbeitern eben nicht nur diese Arbeitshilfen an die Hand zu geben, sondern sie auch nochmal ein Stück weit anders zu befähigen, indem wir kleine Videos zusammenstellen. Also um da eben auch sich per Videoformat im Datenschutzbereich weiter fortzubilden.

33:33Katja Weber Das kann man natürlich dann sehr flexibel für sich auch konsumieren und auch insoweit eben deutschlandweit zur Verfügung stellen. Also das ist vielleicht auch etwas, was wir bisher vergessen haben zu sagen. Alle unsere Arbeitshilfen, die sind natürlich für alle nutzbar und wir hoffen ja, dass wir durch dieses Format hier eben die ausreichende Breitenwirkung jetzt für uns endlich mal erzielen können, dass bis in die letzte Kommune auch bekannt ist, dass es eben diese Arbeitshilfen gibt und dass die genutzt werden können und jeder sich daran mal ausprobieren kann.

34:05Katja Weber Ich glaube, wir haben auch sogar noch gar nicht über das Format gesprochen. Das sind ja Open-Source-Produkte, die wir hier zur Verfügung stellen und die lokal auf den Rechnern laufen. Auch das ist, glaube ich, ein großer Vorteil von den Sachen, die wir hier in der Entwicklung haben. Aber zurück vielleicht nochmal zu diesen Webcast-Formaten. Also da sind wir dabei, eben das weiter zu entwickeln und das nicht nur beschränkt auf den Datenschutz, sondern auf die Datennutzung insgesamt, weil wir glauben, dass auch da noch vieles, was man nicht so richtig weiß, wie sind beispielsweise Daten zu klassifizieren, also welche Klassifizierung gibt es.

34:39Katja Weber Wie sind die Daten weiterzunutzen? Was sind besondere Kategorien von Daten? Da eben nochmal so ein bisschen mehr Awareness auch zu schaffen über diese Formate. Das ist das eine. Das nächste ist, das hatte ich vorhin schon angesprochen, dass wir dabei sind, diesen Verwaltungsstandard gemeinsam mit den Aufsichtsbehörden zu entwickeln.

34:57Katja Weber Da sind wir auch schon länger in Gesprächen mit den Aufsichtsbehörden, die uns auch da mehr und mehr in der Offenheit signalisieren, mit uns zusammenzuarbeiten. Weil ich davon überzeugt bin, dass wenn wir die Verwaltungsdigitalisierung weiterdenken, dann müssen wir das eben national denken und können das nicht mehr in diesem föderalen Muster denken.

35:16Katja Weber Gerade wenn wir überlegen, Dienste nachzunutzen, in anderen Ländern einzusetzen, dann ist das überhaupt nicht mehr praktikabel oder auch ein Stück weit aus der Zeit gefallen, wenn wir dann 16 Mal sowohl verwaltungsseitig als auch aufsichtsseitig nochmal ein und dasselbe Produkt prüfen. Das ist nicht mehr effizient und das hat auch mit Staatsmodernisierung und auch mit der Modernisierung, also einfach nichts mehr zu tun mit den Zielen, die darin verankert sind.

35:41Katja Weber Da hängen wir uns sehr stark rein und entwickeln diesen Standard. Und wir sind dabei, auch mal zu schauen, die DSGVO durchzugehen und vielleicht so einen Katalog zu entwickeln. Was ist denn eigentlich wirklich erforderlich, was ich als verantwortliche Stelle machen muss? Manchmal ist der Eindruck so ein bisschen, viel hilft viel, es wird dann viel gemacht, was vielleicht sogar unnötigerweise gemacht wird.

36:05Katja Weber Und da mal so ein bisschen durchzugehen und auszusortieren, was gar nicht notwendig ist und da die Effizienzen vielleicht auch ein Stück weit zu heben. Und da überlegen wir gerade so ein Katalog, das FAQs für die Kolleginnen und Kollegen in den Fachbereichen zu entwickeln. Und das vielleicht auch nochmal unsere Perspektive ist, sind immer die Kollegen in den Fachbereichen also wirklich die praktische Anwendung, weil ich glaube, es gibt viele Formate und wir können auch viel über Rechtsfragen im Datenschutz reden.

36:33Katja Weber Das hilft nur leider nicht den Leuten, die in den Projekten arbeiten und die dann sich 50-seitige Gutachten durchlegen.

36:44Eva Liebich Da nochmal ergänzend, wir haben in diesem Tool, was ich vorhin schon beworben habe, den Entscheidungsfinder. Der sagt übrigens nicht nur, wie die datenschutzrechtliche Verantwortlichkeit ist, sondern der führt dann noch einen Schritt weiter und sagt, wenn du zum Beispiel jetzt eine Rechtssetzungskompetenz hast, wird das abgefragt, hast du das oder nicht, wenn du ein Landesministerium bist, hast du das?

37:07Eva Liebich Dann empfiehlt er auch, wie eine möglichst bürokratiearme Lösung aussehen kann, weil, das haben wir noch viel zu wenig auf dem Schirm, die DSGVO tatsächlich einige Gestaltungsmöglichkeiten lässt, die zu weniger Bürokratie führen können. Also wir haben das eben anhand von 8a OZG im Prinzip ja schon einmal durchexerziert.

37:30Eva Liebich Der 8a, als der geschaffen wurde, hatte die Diskussion darüber, wer ist denn eigentlich verantwortlich und muss ich mit allen sich anschließenden potenziell 11.000 Kommunen eigentlich einen eigenen Auftragsverarbeitungsvertrag schließen oder eine 26er Vereinbarung schließen. Das hat der aufgelöst, diese Frage.

37:50Torsten Frenzel Was ist eine 26er Vereinbarung?

37:52Eva Liebich Eine 26er-Vereinbarung ist eine bilaterale Vereinbarung zwischen gemeinsam verantwortlichen Stellen. Artikel 26 DSGVO schreibt das vor, deswegen heißt die so. Und darin werden geregelt die Rechte. Also die Rechte der Betroffenen, wer muss sich darum kümmern? Das heißt also, die Pflichten der beiden oder der Verantwortlichen werden da festgelegt.

38:20Eva Liebich Und das weiß kaum jemand, man kann eine 26er bzw. Die Pflichten nach Artikel 26 kann man auch durch ein Rechtsinstrument festlegen. Ich glaube, das ist nicht das richtige Wort. In § 26 steht das ein bisschen anders. Jedenfalls kann das auch durch ein Gesetz oder eine Rechtsverordnung geregelt werden.

38:43Eva Liebich Das heißt, ein Land bietet einen Basisdienst an und regelt durch Gesetz. Die verantwortliche Stelle ist das zur Verfügung stellende Landesministerium in diesem Land und die Pflichten, die anderen Stellen, die das nachnutzen, das sind auch mitverantwortliche, beteiligte Stellen und die Pflichten legen wir hier in diesem Anhang oder als Rechtsverordnung fest.

39:08Eva Liebich Das heißt, man hat nicht zwischen dem Ministerium und der jeweils nachnutzenden Stelle eine Vereinbarung zu treffen, sondern die Vereinbarung wird per Gesetz festgesetzt. Und spart wahnsinnig viel Bürokratie.

39:23Torsten Frenzel Ja, das ist genau das, was wir brauchen. Jetzt die Frage, also erst mal nachnutzen kann das jeder in jeglicher Verwaltung in Deutschland, kann sich das jederzeit anschauen, aber wo findet man das alles, was ihr hier geschaffen habt? Weil das ist ein großer Werkzeugkasten, der auch noch wächst und jetzt soll er natürlich auch genutzt werden.

39:45Katja Weber Genau, aktuell findet man das alles auf der Seite vom IT-Planungsrat. Wir sind dabei, das auf die Landingpage zu bekommen, dass wir das immer wieder als aktualisierte Seite abrufbar machen. Aktuell ist es aber so, dass es, glaube ich, bei der vierten oder fünften Unterseite erst zu finden ist. Also man muss sich da leider so ein bisschen durchklicken.

40:07Katja Weber Wenn du das netterweise bei dir verlinken würdest in den Shownotes, dass man zumindest auf der Seite landet, wo es zu den Arbeitshilfen geht, dann muss man sich leider dann trotzdem noch ein-, zweimal weiter durchklicken. Aber wir arbeiten daran und ich informiere auch regelmäßig über Aktualisierung zu unseren Arbeitshilfen bei LinkedIn.

40:26Katja Weber Ich glaube, das kannst du auch dann bei dir verlinken, dann mein Profil. Dann kann man sich da auch die Infos regelmäßig holen. Genau, fällt dir noch was ein? Ich glaube, das ist die Hauptquelle.

40:41Torsten Frenzel Habt ihr die Dokumente auch alle bei OpenCode liegen oder liegen die jetzt nur da beim IT-Planungsrat?

40:45Katja Weber Nee, die liegen aktuell nur beim IT-Planungsrat.

40:48Torsten Frenzel Okay, vielleicht kriegt das ja noch bei OpenCode irgendwie rein, weil das ist ja auch irgendwie Code. Auf jeden Fall sind es Dokumente und dann kann man es auch wesentlich besser suchen. Ich werde es auf jeden Fall alles verlinken. Und wenn jetzt jemand diesen Podcast hört und konkrete Fragen an euch hat, Wie erreicht ihr euch?

41:07Katja Weber Also ich bin erreichbar über die Senatskanzlei. Die Mailadresse kannst du auch gerne hier über den Podcast verlinken. Also da kann man uns gerne anschreiben. Ansonsten ja, über die IT-Planungsseite, über LinkedIn. Wir haben beide dort ein Profil und sind darüber erreichbar.

41:28Eva Liebich Und das Kompetenzteam kann auch direkt angeschrieben werden über kompetenzteam.datenschutz at sk.hamburg.de kompetenzteam.datenschutz at sk.hamburg.de.

41:43Torsten Frenzel Okay, das werde ich auf jeden Fall alles mit in die Show Notes aufnehmen. Habt ihr noch was, was ihr unbedingt noch sagen müsst dazu?

41:53Eva Liebich Wer wahnsinnig viel Lust, nein, wer Freude an der Erarbeitung solcher Vorlagen hat oder überhaupt viel Freude am Datenschutz mitbringt, der kann jederzeit bei uns mitmachen.

42:08Katja Weber Ja, und wir freuen uns natürlich über Feedback. Also wenn die Arbeitshilfen, die genutzt werden, wenn unsere Arbeitshilfen genutzt werden, dann freuen wir uns natürlich über Feedback, über Positives, über Negatives, dass wir eben Verbesserungsvorschläge umsetzen können. Das ist was, worüber wir uns immer freuen.

42:26Katja Weber Ansonsten würde ich abschließend zu dem Dokumentengenerator gerne noch sagen, dass der tatsächlich ja auch Dokumente am Ende generiert, Word-Dokumente und wir sind sogar dabei, für die DSFA ein Excel-Dokument generieren zu lassen und diese bei sich lokal eben abgespeichert werden können. Und ich weiß gar nicht, ob wir das im Detail auch schon besprochen haben.

42:50Katja Weber Man muss Daten auch dort nur einmal eingeben. Also ich fange an sozusagen mit dem Hinweisgenerator, gebe eine zuständige Stelle, welche Daten ich verarbeite und dann sind die im nächsten Dokument im Verarbeitungsverzeichnis auch drin. Also das ist wirklich eine unheimliche Arbeitserleichterung, erfülltes Once-Only-Prinzip und sollte sich jeder mal angucken.

43:11Torsten Frenzel Also ich werde mir das jetzt auch auf jeden Fall mal anschauen. Auf jeden Fall werde ich das in meinem Dayjob mal an unsere Juristinweide geben, die bei uns auch die Ansprechpartnerin ist für Datenschutz. Und wenn ich von ihr Feedback bekomme, dann sage ich euch das. Vielleicht gibt es euch auch selber Feedback, weil die ist da auch immer sehr umtriebig.

43:28Eva Liebich Super, vielen, vielen Dank.

43:31Torsten Frenzel Ja, dann vielen Dank Katja, vielen Dank Eva für diese Einblicke. Ich freue mich, wenn das in die Welt getragen wird und es noch mehr Nutzer gibt, weil es ist was Sinnvolles, es erleichtert die Arbeit und vor allen Dingen schafft es auch einiges an Klarheit in den Kommunen und es muss keiner irgendwas mehrfach erfinden.

43:51Torsten Frenzel Vielen Dank und euch, liebe Hörerinnen und Hörer, vielen Dank fürs Zuhören und bis zum nächsten Mal.

43:58Eva Liebich Tschüss.

43:59Katja Weber Tschüss.