32. Jahresbericht der Landesbeauftragten für Datenschutz (pdf ...

gemeinsamer hauptamtlicher Konzerndatenschutzbeauftragter bestellt, die bisherigen
Datenschutzbeauftragten zuvor abberufen werden.
Die Planungen der GeNo stießen bei uns auf erhebliche datenschutzrechtliche Bedenken,
da sie in mehreren Punkten nicht mit den Vorschriften der zu beachtenden
Gesetze zu vereinbaren waren. Maßgeblich für die Bestellung, die Tätigkeit
und die Abberufung von Datenschutzbeauftragten bei der GeNo ist § 7 a Bremisches
Datenschutzgesetz (BremDSG) bei den vier zum Verbund gehörenden Kliniken in
öffentlicher Trägerschaft ist es § 9 des Bremischen Krankenhausdatenschutzgesetzes
(BremKHDSG) in Verbindung mit § 7 a Absätze 2 bis 5 BremDSG.
In unserer Stellungnahme gegenüber der GeNo wiesen wir insbesondere darauf
hin, dass nach den zu beachtenden Vorschriften die Kliniken und die GeNo jeweils
selbstständig und eigenverantwortlich eine Datenschutzbeauftragte beziehungsweise
einen Datenschutzbeauftragten zu bestellen haben. Auch enge wirtschaftlich
begründete und organisatorisch abgesicherte Beziehungsgeflechte vermögen
nach den Datenschutzgesetzen nichts an der rechtlichen Selbstständigkeit der einzelnen
personenbezogene Daten verarbeitenden Stellen zu ändern. Es wäre mit
den datenschutzrechtlichen Vorgaben nicht zu vereinbaren, wenn die zum Verbund
gehörenden Kliniken Datenschutzbeauftragte nach Vorgabe der GeNo bestellen
würden.
Die Datenschutzbeauftragten haben die Stelle, von der sie bestellt worden sind, zu
beraten und dort die ordnungsgemäße Anwendung der Datenverarbeitungsprogramme,
mit denen personenbezogene Daten verarbeitet werden, zu kontrollieren.
Um ihre Aufgaben wahrnehmen zu können, müssen die Datenschutzbeauftragten
mit den besonderen, für den jeweiligen Handlungskontext der Stelle, von
der sie bestellt worden sind, relevanten Regelungen sowie den technischen und
organisatorischen Gegebenheiten vertraut sein. Auch müssen sie über die notwendige
Zuverlässigkeit verfügen. Die Zuverlässigkeit besteht unter anderem dann
nicht, wenn die Tätigkeit der oder des Datenschutzbeauftragten zu einer Interessenkollision
mit der Übertragung dieser Funktion auch bei einer anderen Stelle führt.
Eine effektive Aufgabenerfüllung ist dann nicht mehr möglich. Erhebliche Bedenken
im Hinblick auf die Vereinbarkeit der Aufgabenübertragung ergeben sich zum
Beispiel bei Konzerndatenschutzbeauftragten, die sowohl von der den Konzernverbund
leitenden Stelle als auch von einer oder mehreren anderen zum Verbund
gehörenden Stellen zur beziehungsweise zum Datenschutzbeauftragten bestellt
worden sind. Der spezifische Verantwortungsbereich der beziehungsweise des jeweiligen
Beauftragten darf wegen der Selbstständigkeit und Eigenverantwortlichkeit
der einzelnen zum Klinikverbund gehörenden Stellen nicht verletzt werden.
Nach den uns vorgelegten Planungen der GeNo sollte die oder der vorgesehene
Konzerndatenschutzbeauftragte einerseits bei allen Stellen des Klinikverbundes die
datenschutzrechtlichen Ziele der den Verbund leitenden Stelle kommunizieren, entsprechende
Ablauforganisationen und einheitliche Datenschutzstandards zentral
vorgeben, andererseits die Handlungen der einzelnen Stellen entsprechend der
konkreten Gegebenheiten auf ihre Vereinbarkeit mit den einzuhaltenden datenschutzrechtlichen
Anforderungen überprüfen müssen. Die Gewährleistung der Einhaltung
der datenschutzrechtlichen Anforderungen ist nach dem BremDSG Aufgabe
der jeweils verantwortlichen Stelle, hier also der GeNo und den einzelnen
zum Verbund gehörenden Kliniken. Um diese Aufgabe wahrnehmen zu können,
muss die verantwortliche Stelle insoweit selbst handlungs- und entscheidungsbefugt
sein. Die auf eine Zentralisierung ausgerichtete Konzeption der GeNo läuft diesem
Anspruch zuwider.
Eine besondere Unvereinbarkeit hinsichtlich der Übertragung der Funktion der
beziehungsweise des behördlichen Datenschutzbeauftragten ergibt sich darüber
hinaus, wenn die oder der Datenschutzbeauftragte bei einer Auftragsdatenverarbeitung
gleichzeitig vom Auftraggeber und Auftragnehmer in dieses Amt bestellt
worden ist. Der Auftraggeber und der Auftragnehmer haben bei einer Auftragsdatenverarbeitung
unterschiedliche voneinander getrennte Rechte und Pflichten,
deren Wahrnehmung nicht von der gleichen Person als Datenschutzbeauftragter
oder Datenschutzbeauftragtem überwacht werden darf. Bei der Auslagerung personenbezogener
Datenverarbeitung von den Kliniken zur GeNo im Rahmen einer
Auftragsdatenverarbeitung würde sich bei einer Realisierung der von der GeNo
dargelegten Planungen zur Bestellung einer oder eines Konzerndatenschutzbeauftragten
auch hieraus eine Unvereinbarkeit ergeben.
— 17 —