In Teil 4 seiner Beitragsreihe zur EU-DSGVO konzentriert sich der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) auf Verantwortliche, Auftragsverarbeiter und Datenschutzbeauftragte im Zusammenhang mit öffentlichen Stellen.

DER VERANTWORTLICHE NACH DSGVO

Die Regelungen der Datenschutz-Grundverordnung richten sich in erster Linie an den „Verantwortlichen“ (zum Begriff vgl. Art. 4 Nr. 7 DSGVO sowie Überblick Teil 2 Nr. 1 Buchst. c)). Der Verantwortliche ist für die Einhaltung der datenschutzrechtlichen Vorgaben der Datenschutz-Grundverordnung verantwortlich. Ihm obliegt es somit, die Rechtmäßigkeit der von ihm verantworteten Verarbeitungen personenbezogener Daten zu gewährleisten. Bestehen hinsichtlich einer bestimmten Verarbeitung mehrere Verantwortliche („gemeinsam Verantwortliche“), sind die Bestimmungen des Art. 26 DSGVO zu beachten.
Die Datenschutz-Grundverordnung weist dem Verantwortlichen in diesem Zusammenhang insbesondere (keine abschließende Aufzählung!) die folgenden Pflichten zu:

1. Der Verantwortliche ist für die Einhaltung der in Art. 5 Abs. 1 DSGVO normierten Grundsätze für die Verarbeitung personenbezogener Daten verantwortlich. Er muss die Einhaltung dieser Grundsätze nachweisen können („Rechenschaftspflicht„, Art. 5 Abs. 2 DSGVO). Vgl. zum Ganzen bereits Überblick Teil 2 Nr. 2.
2. Der Verantwortliche ist Adressat der Rechte der betroffenen Personen nach Art. 12 ff. DSGVO (gegebenenfalls in Verbindung mit dem hierbei einschlägigen nationalen Recht, vgl. bereits Überblick Teil 3 Nr. 1 Buchst. c)). Er hat somit sicherzustellen, dass diese Rechte ordnungsgemäß wahrgenommen werden können.
3. Nach Art. 24 DSGVO hat der Verantwortliche im Hinblick auf die jeweilige Verarbeitung und unter Berücksichtigung der mit ihr einhergehenden Risiken für die Rechte und Freiheiten natürlicher Personen angemessene und geeignete technische und organisatorische Maßnahmen umzusetzen. Diese Verpflichtung wird insbesondere durch die Vorgaben des Art. 25 DSGVO („Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“) und des Art. 32 DSGVO („Sicherheit der Verarbeitung“) näher konkretisiert.
4. Der Verantwortliche hat ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen, zu führen (Art. 30 DSGVO). Dieses Verarbeitungsverzeichnis stellt zugleich einen wichtigen Bestandteil dar, um der in Art. 5 Abs. 2 DSGVO normierten Rechenschaftspflicht Genüge zu tun.
5. Verletzungen des Schutzes personenbezogener Daten hat der Verantwortliche nach Maßgabe des Art. 33 DSGVO an die zuständige Aufsichtsbehörde zu melden. Unter den Voraussetzungen des Art. 34 DSGVO sind in einem solchen Fall zudem die betroffenen Personen durch den Verantwortlichen zu benachrichtigen.
6. Bei bestimmten Verarbeitungsvorgängen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben, hat der Verantwortliche vorab eine Datenschutz-Folgenabschätzung durchzuführen (Art. 35 DSGVO).
7. Öffentliche Stellen haben als Verantwortliche in jedem Fall einen Datenschutzbeauftragten zu benennen (Art. 37 Abs. 1 Buchst. a DSGVO).

Zusammenfassend:
„Verantwortlicher“ im Sinne der Datenschutz-Grundverordnung ist diejenige öffentliche Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Damit trägt die Leitung der jeweiligen öffentlichen Stelle die Verantwortung für den Datenschutz in ihrem Zuständigkeitsbereich.
Der Verantwortliche hat zu gewährleisten, dass die datenschutzrechtlichen Vorgaben der Datenschutz-Grundverordnung eingehalten werden und die Verarbeitung personenbezogener Daten in seinem Verantwortungsbereich rechtmäßig erfolgt. Er muss die Einhaltung der Verarbeitungsgrundsätze nachweisen können.

DER AUFTRAGSVERARBEITER NACH DSGVO

Die wesentlichen Vorgaben zur Auftragsverarbeitung und zu den damit einhergehenden Pflichten des Auftragsverarbeiters (zum Begriff vgl. Art. 4 Nr. 8 DSGVO sowie Überblick Teil 2 Nr. 1 Buchst. d)) sind in Art. 28 DSGVO geregelt. Auch jenseits dieser Norm weist die Datenschutz-Grundverordnung dem Auftragsverarbeiter verschiedene Pflichten zu, die teilweise denjenigen des Verantwortlichen entsprechen oder den Verantwortlichen bei der Erfüllung seiner eigenen Verpflichtungen unterstützen sollen.
Insbesondere (keine abschließende Aufzählung!) hat auch der Auftragsverarbeiter ein Verarbeitungsverzeichnis zu führen (Art. 30 Abs. 2 DSGVO), die Sicherheit der Verarbeitung nach Maßgabe des Art. 32 DSGVO zu gewährleisten und unter den Voraussetzungen des Art. 37 DSGVO einen Datenschutzbeauftragten zu benennen.

DER DATENSCHUTZBEAUFTRAGTE NACH DSGVO

Öffentliche Stellen haben – wie unter Nr. 1 Buchst. g) bereits dargestellt – in jedem Fall einen Datenschutzbeauftragten zu benennen (Art. 37 Abs. 1 Buchst. a DSGVO). Die maßgeblichen Vorschriften hierzu stellen die Art. 37 ff. DSGVO dar.
Die Mindestaufgaben des Datenschutzbeauftragten sind in Art. 39 Abs. 1 DSGVO geregelt. Durch die Datenschutz-Grundverordnung erfährt allerdings die innerbehördliche Stellung des Datenschutzbeauftragten eine grundsätzliche Wesensveränderung: Während es nach dem bisherigen Art. 25 Abs. 4 Satz 1 Bayerisches Datenschutzgesetz (BayDSG) Aufgabe der behördlichen Datenschutzbeauftragen ist, auf die Einhaltung der datenschutzrechtlichen Vorschriften hinzuwirken, weist ihnen Art. 39 Abs. 1 Buchst. b DSGVO nunmehr die entsprechende Überwachungsaufgabe zu. Wie bisher verbleibt die Verantwortung für die Einhaltung des Datenschutzes jedoch allein bei der Leitung der öffentlichen Stelle (siehe bereits oben Nr. 1).
Auch bezüglich der behördlichen Datenschutzbeauftragten ist davon auszugehen, dass ergänzende landesrechtliche Bestimmungen in Bayern getroffen werden. Insoweit bleibt insbesondere das neue, an die Datenschutz-Grundverordnung angepasste Bayerische Datenschutzgesetz abzuwarten.