Arbeitgeber

Datenschutzbeauftragter bei Trägern der freien Kinder- und Jugendhilfe

Bei Trägern der freien Jugendhilfe ist nach Maßgabe des Bundesdatenschutzgesetzes ein Beauftragter für den Datenschutz zu bestellen.

Ein Träger der freien Jugendhilfe hat mir gegenüber angesprochen, dass mit Blick auf die datenschutzrechtlichen Vorschriften im Kinder- und Jugendhilferecht Unsicherheit besteht, ob ein Datenschutzbeauftragter zu bestellen ist.

Im Gegensatz zu Trägern der öffentlichen Jugendhilfe gehören Träger der freien Jugendhilfe nicht zum staatlichen Bereich (§§ 3, 75 SGB VIII - Kinder- und Jugendhilfe), so dass für sie nicht das HDSG (§ 3 HDSG), sondern grundsätzlich das BDSG maßgebend ist (§ 1 Abs. 2 Nr. 3 BDSG). Insoweit haben Träger der freien Jugendhilfe nach Maßgabe von § 4f BDSG einen Beauftragten für den Datenschutz zu bestellen.

Bei vordergründiger Betrachtung des SGB VIII ist dies allerdings infrage gestellt. Dies liegt daran, dass Träger der öffentlichen mit Trägern der freien Jugendhilfe zusammenarbeiten sollen (§§ 3, 4 SGB VIII) und dass in diesem Fall der öffentlichrechtliche Sozialdatenschutz nicht nur für die Träger der öffentlichen, sondern auch die Träger der freien Jugendhilfe maßgebend ist (§§ 61 Abs. 1 und 3 SGB VIII).

Im Sozialdatenschutzrecht (§§ 67 ff. SGB X) ist auch das Thema Datenschutzbeauftragter bereichsspezifisch geregelt, nichtöffentliche Stellen sind dort allerdings nicht genannt (§ 81 Abs. 4 SGB X).

Daraus nun in einer Art Umkehrschluss abzuleiten, Träger der freien Jugendhilfe seien zur Bestellung eines Datenschutzbeauftragten nicht verpflichtet, wäre allerdings fehlerhaft. Denn dies würde zu dem widersinnigen Ergebnis führen, dass im Bereich der freien Jugendhilfe zwar das im Verhältnis zum allgemeinen Datenschutzrecht (BDSG) strengere Sozialdatenschutzrecht (SGB) maßgebend wäre, diese materiell-rechtliche Verbesserung des Datenschutzes in der freien Jugendhilfe aber durch die Nichtbestellung eines Datenschutzbeauftragten institutionell wieder entwertet würde. Richtigerweise lässt sich die Vorschrift (§ 81 Abs. 4 SGB X) nur so verstehen, dass sie die Bestellung von Datenschutzbeauftragten in der öffentlichen Sozialverwaltung betrifft und dass bei nicht-öffentlichen Stellen insoweit das BDSG anzuwenden ist. Dies hat dann aber gerade zur Konsequenz, dass Träger der freien Jugendhilfe nach Maßgabe von § 4f BDSG einen Datenschutzbeauftragten zu bestellen verpflichtet sind.

Über diese Rechtslage habe ich den anfragenden Träger der freien Jugendhilfe informiert.

5.10 Personalwesen 5.10.1 Personalakteneinsicht durch Innenrevision

Die Innenrevision von Behörden ist berechtigt, Einsicht in Personalakten zu nehmen, soweit dies für die Aufgabenwahrnehmung der Innenrevision erforderlich ist.

Von Behörden bin ich mehrfach auf die Frage angesprochen worden, ob die Innenrevision befugt ist, in Personalakten Einsicht zu nehmen, falls dies zur Abarbeitung des Prüfauftrags notwendig ist.

Die Zulässigkeit, der Innenrevision Personalakten für Prüfzwecke zur Verfügung zu stellen, könnte deshalb bezweifelt werden, weil nach dem Wortlaut des § 107 Abs. 3 HBG, der gemäß § 34 Abs. 1 Satz 2 HDSG auch für Angestellte und Arbeiter gilt, Personalakten für die Innenrevision nicht zugänglich sind.

§ 107 Abs. 3 HBG Zugang zur Personalakte dürfen nur Beschäftigte haben, die im Rahmen der Personalverwaltung mit der Bearbeitung von Personalangelegenheiten beauftragt sind, und nur soweit dies zu Zwecken der Personalverwaltung oder der Personalwirtschaft erforderlich ist; dies gilt auch für den Zugang im automatisierten Abrufverfahren.

Allerdings wird die Bedeutung dieser Regelung dadurch relativiert, dass das Personalaktenrecht in erster Linie die Aufgabenwahrnehmung der Personalverwaltung im Blick und im Übrigen keinen abschließenden Charakter hat. Insoweit steht das Personalaktenrecht einer Einsicht durch die Innenrevision nicht von vornherein entgegen. Hinzu kommt, dass die Revisionsund Kontrollaufgabenwahrnehmung datenschutzrechtlich ausdrücklich privilegiert ist. So ist beispielsweise in § 13 HDSG, der das datenschutzrechtliche Gebot der Zweckbindung bei der Weiterverarbeitung personenbezogener Daten normiert, geregelt, dass die Wahrnehmung von Kontrollbefugnissen, zu denen auch Revisionstätigkeiten gehören (vgl. auch Nungesser, HDSG, § 13 Rdnr. 26), mit dem Zweckbindungsgebot vereinbar ist.

§ 13 Abs. 4 HDSG Personenbezogene Daten, die für andere Zwecke erhoben worden sind, dürfen auch zur Ausübung von Aufsichts- und Kontrollbefugnissen... in dem dafür erforderlichen Umfang verwendet werden.

Aber nicht nur im allgemeinen Datenschutzrecht, sondern auch in bereichsspezifischen Vorschriften wie etwa dem Sozialdatenschutzrecht, das hinsichtlich der Sensibilität der Daten mit dem Personalaktenrecht vergleichbar ist, wird die Vereinbarkeit von Zweckbindung und Revisionstätigkeit ausdrücklich anerkannt (§ 67c Abs. 3 SGB X).

§ 67c Abs. 3 SGB X

Eine Speicherung, Veränderung oder Nutzung für andere Zwecke liegt nicht vor, wenn sie für die Wahrnehmung von Aufsichts-, Kontroll- und Disziplinarbefugnissen, der Rechnungsprüfung oder der Durchführung von Organisationsuntersuchungen für die verantwortliche Stelle erforderlich ist.

Gesteht man der Innenrevision den Zugang zu Personalakten, soweit dies zur Aufgabenerfüllung erforderlich ist, grundsätzlich zu, so bedeutet dies freilich nicht, dass Personalakteneinsicht schon dann zu gewähren ist, wenn die Innenrevision Informationen aus der Personalakte benötigt. Soweit nämlich eine Auskunft ausreicht, kommt eine Personalaktenvorlage nicht in Betracht (§ 107d Abs. 1 Satz 5 HBG). § 107d Abs. 1 Satz 5 HBG

Soweit eine Auskunft ausreicht, ist von einer Vorlage abzusehen.

Ganz in diesem Sinne ist auf Bundesebene vorgesehen, den Zugang der Innenrevision zur Personalakte gesetzlich ausdrücklich klarzustellen, nämlich dass Zugang zur Personalakte die mit Angelegenheiten der Innenrevision beauftragten Beschäftigten haben, soweit sie die zur Durchführung ihrer Aufgaben erforderlichen Erkenntnisse nur auf diesem Weg und nicht durch Auskunft aus der Personalakte gewinnen können (BRDrucks. 615/05, S. 75).

Ich habe mit den anfragenden Dienststellen die Rechtslage wie eben beschrieben erörtert.

5.10.2 Personaldatenverarbeitung von Bewerbern für den pädagogischen Vorbereitungsdienst

Von Bewerbern für den pädagogischen Vorbereitungsdienst dürfen nur die Personaldaten erhoben werden, die für die Einstellungsentscheidung erforderlich sind.

Der Ehemann einer Bewerberin für den pädagogischen Vorbereitungsdienst bat mich um datenschutzrechtliche Prüfung, ob Fragen nach dem Arbeitgeber bzw. der Nichtbeschäftigung des Ehegatten im Zulassungsantrag zum Vorbereitungsdienst für ein Lehramt zulässig sind.

Nach den datenschutzrechtlichen Vorschriften der §§ 107 Abs. 4 HBG, 34 Abs. 1 Satz 2 HDSG dürfen Personaldaten vom Dienstherrn oder Arbeitgeber nur erhoben werden, soweit dies zur Aufgabenwahrnehmung erforderlich ist.

§ 107 Abs. 4 HBG

Der Dienstherr darf personenbezogene Daten über Bewerber, Beamte und ehemalige Beamte nur erheben, soweit dies zur Begründung, Durchführung, Beendigung oder Abwicklung des Dienstverhältnisses oder zur Durchführung organisatorischer, personeller und sozialer Maßnahmen, insbesondere auch zu Zwecken der Personalplanung und des Personaleinsatzes, erforderlich ist oder eine Rechtsvorschrift dies erlaubt.

Auf meine Nachfrage hin erklärte mir das zuständige Amt für Lehrerbildung, dass die Frage nach der Beschäftigung des Ehepartners bei den gegenwärtig angewandten Kriterien zur Zuerkennung von eventuellen "Härtemerkmalen" keine Bedeutung mehr hat und somit entbehrlich ist.

Nach Abschluss des laufenden Einstellungsverfahrens zum Schuljahresbeginn 2007/08 hat das Amt für Lehrerbildung den Zulassungsantrag zum pädagogischen Vorbereitungsdienst den tatsächlichen Erfordernissen und somit den datenschutzrechtlichen Vorgaben angepasst. Dieser Vorgang zeigt zugleich, dass Datenschutz im dienstlichen Alltag auch zur Verschlankung von Formularen beitragen kann.

Den Eingeber habe ich über diese Entwicklung informiert.

5.10.3 Personaldatenverarbeitung mit SAP R/3 HR Wiederum war ein Schwerpunkt meiner Tätigkeit die Begleitung der Weiterentwicklung der Personalverwaltungssoftware SAP R/3 HR in der hessischen Landesverwaltung. Dabei spielte die Beurteilung von Zugriffsberechtigungen bei der Weiterentwicklung der Auswertungen der Personaldaten und der eingesetzten Verfahren eine zentrale Rolle.

Inzwischen wird die Tendenz deutlich, Zugriffe nicht mehr an Zweckbindung und Erforderlichkeit für die Personaldatenverarbeitung zu binden, sondern die Erforderlichkeit des Zugriffs mit der Ausnutzung der technischen Möglichkeiten zu begründen.

5.10.3.1Download-Berechtigungen

Schon zu Beginn der SAP-Einführung habe ich gefordert, dass die Vergabe der Download-Berechtigungen restriktiv erfolgen muss.

Mit dieser Berechtigung ist es nämlich möglich, in SAP R/3 HR erstellte Auswertungen mit personenbezogenen Daten auf den jeweiligen Arbeitsplatz-PC herunterzuladen, dort in Excel zu speichern und weiterzuverarbeiten. Es ist auch möglich, mehrere Auswertungen zusammenzuführen und somit außerhalb der sog. "Standardauswertungen" größere Datenbestände miteinander zu verknüpfen. Eine Kontrolle, ob nur erforderliche und zulässige Auswertungen durchgeführt werden, ist praktisch nicht mehr durchführbar.

Die in SAP R/3 HR hinterlegten Standardauswertungen sind demgegenüber konkret auf die jeweiligen Fragestellungen, die im Rahmen der Sachbearbeitung täglich zu beantworten sind, programmiert.

Jedem Benutzer des Systems werden die auf seine Aufgabenstellungen in der Personalverwaltung passenden Rollen zugeordnet. In diesen Rollen sind auch die Auswertungsmöglichkeiten hinterlegt, die der Nutzer im Rahmen seiner täglichen Arbeit konkret benötigt.

In bestimmten Einzelfällen kann es für Aufgabenstellungen erforderlich sein, Auswertungen zu erstellen, die mit den im Standard zur Verfügung stehenden Auswertungsmöglichkeiten nicht durchgeführt werden können, um ganz spezielle Fragen der jeweiligen Behörde zu beantworten. Dazu benötigen die Verwaltungen im Einzelfall die Download-Berechtigung.

Da dies im Regelfall aber nicht notwendig ist, wurde unter Ziff. 7.4.3 des Zugriffsberechtigungsrahmenkonzepts für das Land Hessen (Version 1.8) ausdrücklich geregelt, ... dass Legitimationsberechtigte und Anwendungsbetreuer (in Verbindung mit der Beantragung der SAP-Rollen) für die USER der betreffenden Behörden die Zuweisung der Download-Berechtigung beantragen müssen.

Um eine unkontrollierte Verarbeitung von vertraulichen Daten des Landes Hessen auf lokalen Arbeitsplatzrechnern einzuschränken, werden diese Rollen restriktiv vergeben.

Vierteljährlich erfolgt eine Überprüfung, ob der einzelne Benutzer die Möglichkeit zum Excel-Download auch tatsächlich nutzt.

Anzumerken ist noch, dass Anwender, die aufgrund anderer Anwendungen neben SAP über eine WTS-up-downloadFunktion verfügen, diese auch in SAP nutzen können. Hierüber können aus SAP heraus keine Nachweise oder Statistiken erstellt werden.

Auf eine entsprechende Nachfrage wurde mir mitgeteilt:

Von 5.374 HR-Usern haben 2.718 ein Downloadkonto auf WTS. Von diesen 2.718 sind 1.679 aus SAP R/3 HR heraus berechtigt. Folglich haben 1.039 HR-User ein Downloadkonto auf WTS, sind aber nicht aus SAP R/3 HR heraus berechtigt. Von diesen 1.039 gehören 57 dem HCC/THCC und 445 der HBS an.

Die hohe Anzahl der 445 downloadberechtigten HBS-User entstand aufgrund eines Massentests im Jahr 2006. Derzeit läuft eine Abfrage bei der HBS, wer die Downloadberechtigung noch benötigt.

Es verbleiben 537 HR-User der personalverwaltenden Dienststellen, die ohne aus SAP R/3 HR heraus berechtigt zu sein, ein Downloadkonto auf WTS haben. Somit könnten auch diese User einen Excel-Download von SAP R/3 HR-Berichten durchführen.

Bei dieser hohen Anzahl kann von einer restriktiven Vergabe der Berechtigungen keine Rede mehr sein. Ich habe sofort eine Überprüfung dieser Angelegenheit gefordert.

Zwischenzeitlich wurde mir mitgeteilt, dass 400 Download-Berechtigungen der HBS-User kurzfristig gelöscht wurden.

Die Download-Berechtigungen der übrigen Landesverwaltung werden zurzeit überprüft.

Gerade dieses Beispiel zeigt, dass die einzelnen Verwaltungen alle Möglichkeiten nutzen, die das SAP-System bietet, ohne auf datenschutzrechtliche Belange der Beschäftigten Rücksicht zu nehmen. Es ist davon ausgehen, dass die Personaldaten, die aus dem HR-System heruntergeladen wurden, auf dem Arbeitsplatzrechner dauerhaft gespeichert werden. Damit steigt die Gefahr, dass Subsysteme aufgebaut werden, die nach Beschluss des Kabinetts nicht zulässig sind. Es wurde eindeutig festgelegt, dass das SAP R/3 HR-System das führende Personalverwaltungssystem ist. Die Gefahr, dass die Verwaltungen Personaldaten außerhalb des HR-Systems speichern, mit anderen Daten zusammenführen und im Laufe der Zeit mit veralteten Daten arbeiten, liegt auf der Hand, und dies ist datenschutzrechtlich zu beanstanden.

Ebenso wird deutlich, dass die Festlegungen in den jeweiligen Konzepten, die von mir datenschutzrechtlich begleitet wurden, in der Praxis nicht eingehalten werden.

Ich werde diese Feststellungen zum Anlass nehmen, im nächsten Jahr konkrete Prüfungen auf den Arbeitsplatzrechnern "vor Ort" durchzuführen. Zwischenzeitlich halte ich es für angezeigt, dass die behördlichen Datenschutzbeauftragten, die nach § 5 HDSG von jeder Daten verarbeitenden Dienststelle zu bestellen sind, eine interne Prüfung in dieser Angelegenheit vornehmen.

§ 5 HDSG

(1) Die Daten verarbeitende Stelle hat schriftlich einen behördlichen Datenschutzbeauftragten sowie einen Vertreter zu bestellen. Bestellt werden dürfen nur Beschäftigte, die dadurch keinem Interessenkonflikt mit sonstigen dienstlichen Aufgaben ausgesetzt werden. Für die Wahrnehmung seiner Aufgaben nach Abs. 2 muss der behördliche Datenschutzbeauftragte die erforderliche Sachkenntnis und Zuverlässigkeit besitzen. Wegen dieser Tätigkeit, bei der er frei von Weisungen ist, darf er nicht benachteiligt werden. Er ist insoweit unmittelbar der Leitung der Daten verarbeitenden Stelle zu unterstellen; in Gemeinden und Gemeindeverbänden kann er auch einem hauptamtlichen Beigeordneten unterstellt werden.