Datenschutz für Kommunen: DSGVO in der Verwaltung richtig umsetzen

Einordnung

Datenschutz für Kommunen: Worum geht es?

Kommunen verarbeiten personenbezogene Daten, weil sie öffentliche Aufgaben erfüllen. Das betrifft nicht nur klassische Meldedaten. Auch Anträge, Bescheide, Beschwerden, Termine, Aktenzeichen, Protokolle, Fotos, Videoaufnahmen, Personalakten, Website-Anfragen und E-Mails können personenbezogene Daten enthalten.

Datenschutz in der Kommune ist deshalb kein Sonderthema der IT. Er betrifft Organisation, Fachverfahren, interne Zuständigkeiten, Dienstleister, Ratsarbeit, Öffentlichkeitsarbeit und den täglichen Umgang mit Bürgerinnen und Bürgern.

Entscheidend ist, dass die Verwaltung weiß, welche Daten sie zu welchem Zweck verarbeitet, welche Rechtsgrundlage trägt, wer Zugriff hat und wie lange die Daten benötigt werden.

Einzelne Muster helfen nur begrenzt. Sie sind nur dann brauchbar, wenn sie zu den tatsächlichen Verfahren der Kommune passen.

Rechtsgrundlagen

Welche Rechtsgrundlagen brauchen Kommunen?

Kommunen dürfen personenbezogene Daten nicht allein deshalb verarbeiten, weil es für die Verwaltung praktisch ist. Jede Verarbeitung braucht eine Rechtsgrundlage.

In der Praxis ergibt sich diese häufig aus Fachrecht, etwa aus Melderecht, Gewerberecht, Baurecht, Abgabenrecht, Ordnungsrecht, Wahlrecht, Personalrecht oder kommunalrechtlichen Vorschriften.

Daneben sind Art. 6 DSGVO und das Bayerische Datenschutzgesetz wichtig. Art. 4 Abs. 1 BayDSG erlaubt bayerischen öffentlichen Stellen die Verarbeitung personenbezogener Daten, wenn sie zur Erfüllung einer ihnen obliegenden Aufgabe erforderlich ist.

Wichtig ist aber: Art. 4 BayDSG ist kein Freibrief. Die Kommune muss die konkrete Aufgabe benennen und die Erforderlichkeit der Datenverarbeitung begründen können.

Verwaltungspraxis

Typische Fachbereiche mit Datenschutzbezug

Bürgerkontakt

Bürgerdaten richtig behandeln

Bürgerdaten entstehen nicht nur in Fachverfahren. Auch einfache E-Mails, Telefonnotizen, Terminvereinbarungen, Beschwerden, Anfragen und Anlagen können personenbezogene Daten enthalten.

Gerade in kleinen Verwaltungen besteht das Risiko, dass Daten informell weitergegeben werden, weil man sich kennt oder weil Wege kurz sind. Datenschutzrechtlich bleibt trotzdem zu prüfen, wer die Daten für welche Aufgabe benötigt.

Bei Auskünften an Dritte ist besondere Vorsicht erforderlich. Die Kommune muss prüfen, ob die Auskunft fachrechtlich erlaubt ist, ob schutzwürdige Interessen entgegenstehen und ob die Identität der anfragenden Person offengelegt werden darf.

Auch interne Weitergaben brauchen einen Zweck. Daten dürfen nicht allein deshalb in der Verwaltung weiterverteilt werden, weil sie bereits vorhanden sind.

Kommunalpolitik

Datenschutz im Gemeinderat und in der Ratsarbeit

Gemeinderäte benötigen Informationen, um ihre Aufgaben erfüllen zu können. Gleichzeitig enthalten Sitzungsunterlagen, Beschlussvorlagen und Niederschriften häufig personenbezogene Daten.

Besonders sensibel sind nichtöffentliche Tagesordnungspunkte, Grundstücksangelegenheiten, Personalangelegenheiten, Sozialthemen, Bauverfahren, Beschwerden und sonstige Vorgänge mit Personenbezug.

Die Kommune sollte klar regeln, welche Unterlagen Ratsmitglieder erhalten, wie lange sie Zugriff haben, wie mit privaten Geräten umzugehen ist und welche Inhalte nicht weitergegeben werden dürfen.

Ratsinformationssysteme sind praktisch, müssen aber sauber konfiguriert sein. Zugriffsrechte, Archivzugriffe, nichtöffentliche Unterlagen und Altprotokolle sollten nicht pauschal freigegeben werden.

Außenauftritt

Kommunale Website, Cookies und Formulare

Auch kommunale Websites sind Datenschutzthemen. Typische Punkte sind Datenschutzhinweise, Kontaktformulare, Cookie-Banner, Google Fonts, Karten, Videos, Veranstaltungskalender, Newsletter, Ratsinformationssysteme und eingebundene Dienstleister.

Die Website sollte technisch geprüft werden. Entscheidend ist nicht nur, was in der Datenschutzerklärung steht, sondern welche Dienste beim Seitenaufruf tatsächlich laden.

Externe Dienste sollten datensparsam eingesetzt werden. Karten, Videos, Tracking oder externe Schriftarten können zu Datenübermittlungen an Dritte führen und müssen sauber eingeordnet werden.

Kontaktformulare brauchen klare Zwecke, sichere Übertragung, passende Datenschutzhinweise und geregelte interne Zuständigkeiten für die Bearbeitung.

Fachverfahren

Dienstleister, Fachverfahren und Auftragsverarbeitung

Kommunen arbeiten regelmäßig mit Dienstleistern: Fachverfahrensanbieter, Hosting, IT-Betreuung, Aktenvernichtung, Website-Agenturen, Cloud-Dienste, Wartung, Lohnabrechnung oder externe Beratungsstellen.

Datenschutzrechtlich muss geklärt werden, ob Auftragsverarbeitung, gemeinsame Verantwortlichkeit, eigene Verantwortlichkeit oder eine sonstige Übermittlung vorliegt.

Bei Auftragsverarbeitung braucht die Kommune einen Vertrag nach Art. 28 DSGVO. Zusätzlich sollte geprüft werden, welche Daten verarbeitet werden, wo die Verarbeitung stattfindet, welche Unterauftragnehmer eingesetzt werden und welche Sicherheitsmaßnahmen bestehen.

Bei Fachverfahren ist außerdem wichtig, dass Rollen, Berechtigungen, Protokollierung, Löschung und Schnittstellen sauber geregelt sind.

Bürgerrechte

Betroffenenrechte in der Kommune

Bürgerinnen und Bürger können gegenüber Kommunen Datenschutzrechte geltend machen. Dazu gehören insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Widerspruch.

In der Verwaltungspraxis ist wichtig, solche Anfragen früh zu erkennen. Nicht jede Akteneinsicht ist automatisch ein DSGVO-Auskunftsersuchen; umgekehrt kann eine einfache E-Mail bereits ein datenschutzrechtliches Anliegen enthalten.

Die Kommune sollte intern festlegen, wer Betroffenenanfragen annimmt, wer die Fachbereiche einbindet, wie Fristen überwacht werden und wann der Datenschutzbeauftragte beteiligt wird.

Gerade bei Auskunftsersuchen muss sorgfältig geprüft werden, ob Rechte Dritter, Geheimhaltungsinteressen oder spezialgesetzliche Einschränkungen betroffen sind.

Vorfälle

Datenschutzverletzungen in Kommunen

Datenschutzverletzungen entstehen in Kommunen häufig durch falsch adressierte E-Mails, versehentlich versandte Anlagen, verlorene Unterlagen, falsche Zugriffsrechte, offene Verteiler, Fehlkonfigurationen oder unberechtigte Einsicht in Fachverfahren.

Nicht jeder Fehler muss automatisch an die Aufsichtsbehörde gemeldet werden. Entscheidend ist, ob ein Risiko für Rechte und Freiheiten betroffener Personen besteht.

Die Kommune sollte aber jeden Vorfall schnell intern erfassen, bewerten und dokumentieren. Bei meldepflichtigen Vorfällen läuft die 72-Stunden-Frist des Art. 33 DSGVO.

Wichtig ist ein klarer Meldeweg: Beschäftigte müssen wissen, an wen sie sich wenden, wenn etwas passiert. Zeitverlust entsteht oft nicht durch die rechtliche Bewertung, sondern durch unklare interne Zuständigkeiten.

Bayerische öffentliche Stellen

Was sagt der BayLfD?

Der BayLfD ist für bayerische öffentliche Stellen zuständig. Dazu gehören auch Gemeinden, Städte, Landkreise, Verwaltungsgemeinschaften und sonstige öffentliche Stellen im bayerischen öffentlichen Bereich.

In seinen Materialien betont der BayLfD zentrale Pflichten der öffentlichen Stellen: Rechtsgrundlage, Zweckbindung, Transparenz, Rechenschaftspflicht, Sicherheit der Verarbeitung, Datenschutz durch Technikgestaltung, Verzeichnis von Verarbeitungstätigkeiten und gegebenenfalls Datenschutz-Folgenabschätzung.

Für bayerische Kommunen bedeutet das praktisch: Datenschutz muss in Verwaltungsverfahren eingebaut werden. Es reicht nicht, Vorgänge erst nachträglich durch den Datenschutzbeauftragten „absegnen“ zu lassen.

Praxisfehler

Typische Fehler beim Datenschutz in Kommunen

Orientierung

Orientierungsfragen für Kommunen

Die folgenden Fragen dienen nur als Einstieg. Sie ersetzen keine vollständige Prüfung eines konkreten Verwaltungsverfahrens.

Häufige Fragen

FAQ zu Datenschutz für Kommunen

Ergebnis

Fazit

Datenschutz für Kommunen ist tägliche Verwaltungsarbeit. Entscheidend sind klare Rechtsgrundlagen, saubere Zuständigkeiten, aktuelle Dokumentation, sichere Fachverfahren und ein bewusster Umgang mit Bürgerdaten.

Besonders wichtig sind Fachverfahren, Ratsarbeit, Website, Dienstleister, Betroffenenrechte und Datenschutzverletzungen. Genau dort entstehen in der kommunalen Praxis viele Fehler.

Eine gute Datenschutzstruktur entlastet die Verwaltung. Sie verhindert nicht die Arbeit, sondern sorgt dafür, dass Verfahren nachvollziehbar, rechtssicher und bürgerfreundlich laufen.

Weiterlesen

Passende interne Verlinkung

Nachweise

Quellen