Frau mit Laptop in einem Konferenzraum
© Pixabay

Überblick

Beratungsangebot im Bereich des technisch-organisatorischen Datenschutzes

Sowohl Privatpersonen als auch datenverarbeitende Stellen in Hessen können sich mit Beratungsanfragen an den Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI) wenden. Die konkrete Ausgestaltung einer Beratung durch den HBDI richtet sich nach dem jeweiligen Anliegen.

Privatpersonen können sich an den HBDI wenden, wenn sie Informationen zur Ausübung ihrer gesetzlichen Datenschutzrechte oder zum Umgang mit Verletzungen des Schutzes ihrer personenbezogenen Daten benötigen. Auch allgemeine Fragen zu datenschutzrechtlichen Vorschriften können gestellt werden. Der HBDI kann informieren und sensibilisieren, übernimmt jedoch keine individuelle Rechtsberatung.

Nach dem Hessischen Datenschutz- und Informationsfreiheitsgesetz (HDSIG) berät der HBDI öffentliche Stellen zum Datenschutz bei der Verarbeitung personenbezogener Daten. Auch Beratungsanfragen nicht-öffentlicher Stellen können erfüllt werden. Eine Beratung soll dazu beitragen, Datenschutzanforderungen frühzeitig in Verwaltungs- bzw. Geschäftsprozessen und deren technischer und organisatorischer Ausgestaltung umzusetzen und ihre dauerhafte Erfüllung sicherzustellen.

Datenschutz in IT-Projekten

Einen besonderen Schwerpunkt der Beratung bilden IT-Projekte und Digitalisierungsvorhaben. Bereits bei der Projektplanung sollten Verantwortliche Meilensteine und Arbeitspakete mit entsprechenden Ressourcen zur Umsetzung der datenschutzrechtlichen Anforderungen vorsehen. Bereits in frühen Projektphasen ist von ihnen zu berücksichtigen, wie die Grundsätze des Datenschutzes umgesetzt werden sollen. Dies beinhaltet insbesondere die Berücksichtigung des Datenschutzes durch Technikgestaltung, der Sicherheit der Verarbeitung und der Gewährleistung der Betroffenenrechte. Die entsprechende Umsetzung ist in den Folgephasen von den Verantwortlichen sicherzustellen und zu dokumentieren, bevor die Projektergebnisse zur eigentlichen Verarbeitung personenbezogener Daten verwendet werden.

Auch nach dem Übergang in den Produktivbetrieb muss der Datenschutz durch die Verantwortlichen fortlaufend gewährleistet werden. Prozesse zur Wahrnehmung der Betroffenenrechte, zur regelmäßigen Prüfung und Aktualisierung technischer und organisatorischer Maßnahmen sowie zum Erkennen und Behandeln von Datenschutzverletzungen müssen dauerhaft funktionieren. Der HBDI berät daher auch zum übergeordneten Datenschutzmanagement, zum operativen Datenschutz und zu kontinuierlichen Verbesserungsprozessen.

Datenschutzkonformität von Software und Diensten

Regelmäßig erreichen den HBDI allgemeine Anfragen zum Einsatz einer Software oder eines Dienstes. Ob eine Software oder ein Dienst datenschutzrechtskonform eingesetzt werden kann, lässt sich jedoch nicht allgemein und losgelöst vom konkreten Einsatzkontext bewerten. Maßgeblich ist insbesondere die übergeordnete Verarbeitungstätigkeit mit ihren Zwecken und ihrer konkreten Ausgestaltung, etwa hinsichtlich der Datenarten, der betroffenen Personen, technischer Details und des organisatorischen Umfelds. Beratungsanfragen sollten deshalb ein möglichst vollständiges Bild der Verarbeitungstätigkeit ermöglichen und auch eine vorgelagerte Prüfung der anfragenden Stelle beinhalten.

Beratungsleistungen des HBDI

Eine Beratung durch den HBDI richtet sich nach dem konkreten Bedarf des Anfragenden sowie den verfügbaren Ressourcen des HBDI. Sie kann von der Klärung einer einzelnen Frage bis zur längerfristigen Begleitung eines komplexen Projekts reichen.

Der HBDI kann Anforderungen, Herausforderungen und mögliche Lösungswege aufzeigen, übernimmt jedoch keine operativen oder steuernden Aufgaben. Er erteilt im Rahmen der Beratung keine Abnahmen oder Freigaben für Dokumente, Produkte oder Dienste und führt auch keine Zertifizierung durch. Die Beratung ersetzt weder die eigene Prüfung und Dokumentation noch die erforderliche datenschutzrechtliche und technische Fachkunde des Anfragenden. Dieser bleibt auch für die Organisation und Umsetzung des Datenschutzmanagements verantwortlich. Ebenso sind eigene behördliche oder ggf. betriebliche Datenschutzbeauftragte frühzeitig und entsprechend ihrer gesetzlichen Aufgaben in alle Fragen einzubeziehen, die den Schutz personenbezogener Daten betreffen.

Beratungsanfrage an den HBDI

Eine frühzeitige Beratungsanfrage verbessert die Aussicht, Datenschutzanforderungen möglichst effektiv und effizient in Planung und Umsetzung zu integrieren. Aber auch in späteren Phasen eines bereits laufenden Projekts ist der Einstieg in eine Beratung durch den HBDI sinnvoll.

Je konkreter und vollständiger eine Anfrage vorbereitet ist, desto gezielter kann der HBDI beraten. Hilfreich sind insbesondere

  • die konkrete Fragestellung und das Ergebnis der bisherigen eigenen Prüfung,
  • Zwecke, Art und Umfang der Verarbeitung sowie die Kategorien betroffener Personen und zugehörige Datenkategorien,
  • die beteiligten Akteure und ihre Rollen, z.B. Dienstleister als Auftragsverarbeiter im datenschutzrechtlichen Sinne,
  • die wesentlichen Datenflüsse und die vorgesehenen technischen und organisatorischen Maßnahmen,
  • der Projektstand, wichtige Termine und bereits getroffene Entscheidungen sowie
  • relevante Unterlagen, etwa Konzepte, Anforderungsbeschreibungen, Eintrag im Verzeichnis der Verarbeitungstätigkeiten, Risikoanalyse oder Datenschutz-Folgenabschätzung.

Interessierte können Beratungsanfragen unter anderem über das Kontaktformular an den HBDI richten. Die so übermittelten Anfragen sollten unbedingt auch Kontaktdaten für eine Rückmeldung enthalten.

Weiterführende Informationen

ZUM SEITENANFANG