Auszug - Datenschutz und -sicherheit im Rathaus Charlottenburg?  

Zur Beantwortung Frau BzStR’in König:

Frau Vorsteherin, meine Damen und Herren, Herr Pabst, ich beantworte die Große Anfrage wie folgt:

Zu 1. und 2.

Für die datenschutzgerechte Entsorgung von Altpapier werden im Rathaus Charlottenburg nicht mehrere kleine Sicherheitsbehälter eingesetzt, sondern es befindet sich im Hof ein verschließbarer Sicherheitscontainer.

Sämtliches in den Büroräumen des Rathauses anfallendes Altpapier wird einer datenschutzgerechten Entsorgung der Sicherheitsstufe 3 nach DIN 32757 zugeführt. Das zu entsorgende Altpapier wird hierzu von den Beschäftigten in die in jedem Raum aufgestellten blauen Papierkörbe eingeworfen. Das Reinigungspersonal sammelt diesen  Papiermüll in der Regel drei Mal in der Woche ein und bringt ihn direkt zum o. g. Sicherheitscontainer.

Sofern größere Mengen Altpapier datenschutzgerecht zu entsorgen sind, werden den Beschäftigten auf Antrag von der Hausverwaltung rote Behälter zur Verfügung gestellt. Das zu entsorgende Altpapier wird dann von den Hausarbeitern direkt aus dem Büro zum Sicherheitscontainer gebracht und dort eingeworfen.

Unter Berücksichtigung, dass im vorliegenden Fall vorrangig das Berliner Datenschutzgesetz (BlnDSG) einschlägig und somit das Bundesdatenschutzgesetz (BDSG) nur eingeschränkt anzuwenden ist, wird nach Ansicht der SE Facility Management bei den oben dargelegten Abläufen grundsätzlich sichergestellt, dass „personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind“ (Nr. 7 der Anlage zu § 9 Satz 1 BDSG).

Zu der in der o. g. Anfrage in diesen Zusammenhang verwiesenen Nr. 2 der Anlage zu § 9 Satz 1 BDSG kann nicht Stellung genommen werden, da hier keine „Datenverarbeitungssysteme“ eine Rolle spielen.    

Grundsätzlich bleibt jedoch festzuhalten, dass die jeweiligen Bereiche selbst für die datenschutzkonforme Entsorgung (Schredder, Datenschutztonne oder rote Kiste oder „blauer Papiereimer“) verantwortlich sind, da diese die in ihrem Bereich zu beachtenden Vorschriften auch anwenden und umsetzen müssen. Das ist insbesondere deshalb wichtig, weil wir natürlich auch einzelne Bereiche haben, in denen besonders geschützte Daten verwandt werden, das sind aber die Kollegen und Kolleginnen vor Ort, die dann auch wissen müssen, welche besonderen Sicherheitsbestimmungen für ihre Daten gelten und die in ihrem Bereich auch sicherstellen müssen.

Seitens der SE FM wird die Reinigungsfirma ebenfalls auf die sichere Papierentsorgung hingewiesen. Verstöße werden durch Ermahnungen oder gar Abmahnungen geahndet.

Schlüssel für den Container haben zwei Hausmeister, fünf Hausarbeiter und sieben Reinigungskräfte.

Die Übernahme und Vernichtung des Altpapiers erfolgt durch einen Entsorgungsfachbetrieb unter Berücksichtigung der einschlägigen datenschutzrechtlichen Bestimmungen. Der mit der Fachfirma abgeschlossene Vertrag ist mit dem Bezirklichen Datenschutzbeauftragten inhaltlich abgestimmt. Das technisch-organisatorische Datenschutzkonzept der Firma ist Bestandteil des Vertrages.

Zu 3.

Ein solches Konzept gibt es im Bezirksamt nicht. Vielmehr liegt bislang die Zuständigkeit für eine datenschutzkonforme Entsorgung des anfallenden Papiermülls im jeweiligen Verwaltungsbereich. Dieser entscheidet anhand der jeweils zu beachtenden Vorschriften und je nach Schutzbedürftigkeit der zu vernichtenden Daten, in welcher Form diese entsorgt werden, also entweder zu schreddern sind, in Datenschutztonnen oder sog. „rote Kisten“ verbracht werden sollen oder eben in die blauen Papiermülleimer getan werden können.

Die für die Reinigung jeweils beauftragten Unternehmen sind vertraglich verpflichtet, eine sichere Entsorgungskette für die Leerung der blauen Papiermülleimer (vom Dienstzimmer bis in die Datenschutztonnen) zu gewähren. Bei evtl. Verstößen agiert meine Abteilung mit Ermahnungen, ggf. Abmahnungen oder außerordentlichen Kündigungen des Reinigungsunternehmens.

Der Fachbereich IT verantwortet die Datensicherung der im Netzwerk befindlichen Dokumente. Die Einhaltung von datenschutzrelevanten Vorgaben bei der Erfassung, der Speicherung und der Löschung dieser Dateien obliegt den jeweiligen datenverarbeitenden Stellen. Bei Fachverfahren sollte dies regelmäßig durch die Erstellung eines Datenschutzkonzeptes und die Umsetzung der darin befindlichen Regelungen beim einsetzenden Fachbereich sichergestellt werden. Ein Konzept zur Einhaltung der Datenschutzrichtlinien ist mir nicht bekannt. Die Erstellung einer solchen Richtlinie könnte in die Zuständigkeit des behördlichen Datenschutzbeauftragten fallen.

Zu 4.

In diesem Fall ist die Zuarbeit durch den behördlichen Datenschutzbeauftragen erfolgt. Das Bundesdatenschutzgesetz  (BDSG) ist für die Verarbeitung personenbezogener Daten für die meisten Fachbereiche im Bezirksamt Charlottenburg-Wilmersdorf nicht unmittelbar die direkt einschlägige datenschutzrechtliche Vorschrift.

Die allgemeine datenschutzrechtliche Auffangvorschrift, dass heißt, solange nicht datenschutzrechtliche bundesrechtliche (z.B. Sozialgesetzbuch, Teile von SGB VIII, X, XII) oder landesrechtliche Spezialvorschriften (Landesbeamtengesetz; Gesundheitsdienstgesetz; Allgemeines Sicherheits- und Ordnungsgesetz u.a.) existieren, wird durch das Berliner Datenschutzgesetz (BlnDSG) gewährleistet, so wie durch die jeweiligen Landesdatenschutzgesetze in den übrigen fünfzehn Bundesländern.

So regelt § 2 Absatz 2 BlnDSG zum Beispiel für die Personaldatenverarbeitung der Beschäftigten des Bezirksamtes die Anwendung bestimmter Paragrafen des BDSG. Dies gilt aber nicht für die Personalaktendaten.

Insoweit ist es nicht verwunderlich, dass keine Verstöße dem behördlichen Datenschutzbeauftragten gemeldet wurden.

Gleichwohl wurden Verstöße auf Grund von Beschwerden oder Hinweisen von Betroffenen oder auf Grund eigener Feststellungen des behördlichen Datenschutzbeauftragten bekannt, denen jeweils nachgegangen wird.

Statistiken darüber werden jedoch weder der Menge nach, noch unterteilt nach den möglicherweise verletzten Rechtsgrundlagen beim behördlichen Datenschutzbeauftragten geführt, da eine vergleichbare gesetzliche Berichtspflicht, wie Sie für den Berliner Beauftragten für Datenschutz und Informationsfreiheit gegenüber dem Abgeordnetenhaus und dem Senat von Berlin existiert, für behördliche Datenschutzbeauftragte nicht vorgesehen ist.

Folgende Einzelbeispiele wurden dem behördlichen Datenschutzbeauftragten bekannt, die den nachgefragten Rechtsbereich betreffen:
 

-          Die ab Juli 2013 vom Bezirksamt gewünschte Einholung von erweiterten Führungszeugnissen durch und über Beschäftigte, die regelmäßigen dienstlichen Umgang mit Kindern und Jugendlichen haben, ließ auf Grund der Menge der einbezogenen Arbeitsgebiete einen Verstoß auch gegen das BDSG vermuten. Das ist dann im übrigen in Diskussion mit dem Personalrat und den entsprechenden Dienststellen geklärt worden.
 

-          In im Rathaus aufgefundenen Altpapierunterlagen fanden sich auch z.B. namentliche Eingruppierungsübersichten, Gleitzeitbögen, Beurteilungsentwürfe, Auswertungen von Bewerbergesprächen. In diesen Fällen, wo wir so etwas festgestellt haben, uns das bekannt geworden ist, das waren in der Regel Reinigungskräfte, das muss ich ganz deutlich sagen, die die Datenschutzsäcke, die sie hatten, irgendwo auf dem Flur stehen ließen, haben wir entsprechende Abmahnungen bei den Firmen gemacht und denen angekündigt, bei wiederholtem Maße dann auch die Firma zu wechseln, was wir Anfang des Jahre getan haben.
 

-          Führung von Abwesenheits- und/oder Urlaubslisten über Beschäftigte in verschiedenen Ausprägungen.
 

Dankeschön.