[go: up one dir, main page]
≡ Sitemap
Der Bayerische Landesbeauftragte für den Datenschutz (BayLfD)

Sie sind hier: > Start > Tätigkeitsberichte > 28. TB 2018 > 12. Personalwesen

Der Bayerische Landesbeauftragte für den Datenschutz; Stand: 20.05.2019

12. Personalwesen

12.1. Novellierung des Personalaktenrechts im Bayerischen Beamtengesetz

Personalakten enthalten eine Vielzahl an personenbezogenen Daten der betroffenen Beschäftigten. Diese Daten sind teils sehr sensibler Natur: So finden sich in Personalakten oftmals auch Daten, welche die Gesundheit der Beschäftigten betreffen oder deren Gewerkschafts- oder Religionszugehörigkeit erkennen lassen. Das Personalaktenrecht trägt dieser besonderen Schutzbedürftigkeit von Personalaktendaten durch detaillierte gesetzliche Vorgaben zum Umgang mit Personalakten Rechnung. Die für bayerische Beamtinnen und Beamte insoweit einschlägigen Regelungen sind - neben § 50 Beamtenstatusgesetz (BeamtStG) - insbesondere im Abschnitt 8 "Personalakten und Einsatz automatisierter Verfahren" des Bayerischen Beamtengesetzes (BayBG) normiert.

§ 50 BeamtStG

Personalakte

Für jede Beamtin und jeden Beamten ist eine Personalakte zu führen. Zur Personalakte gehören alle Unterlagen, die die Beamtin oder den Beamten betreffen, soweit sie mit dem Dienstverhältnis in einem unmittelbaren inneren Zusammenhang stehen (Personalaktendaten). Die Personalakte ist vertraulich zu behandeln. Personalaktendaten dürfen nur für Zwecke der Personalverwaltung oder Personalwirtschaft verwendet werden, es sei denn, die Beamtin oder der Beamte willigt in die anderweitige Verwendung ein. Für Ausnahmefälle kann landesrechtlich eine von Satz 4 abweichende Verwendung vorgesehen werden.

Auch wenn diese Regelungen unmittelbar nur für bayerische Beamtinnen und Beamte gelten, sind sie als allgemein gültige Schutzprinzipien für alle öffentlichen Bediensteten grundsätzlich auch auf die nicht-verbeamteten Beschäftigten des bayerischen öffentlichen Dienstes, insbesondere auf Tarifbeschäftigte, entsprechend anzuwenden.

Im Zuge der Anpassung des bayerischen Landesrechts an die Datenschutz-Grundverordnung (DSGVO) ist mit dem "Gesetz zur Änderung personalaktenrechtlicher und weiterer dienstrechtlicher Vorschriften" vom 18. Mai 2018 (GVBl. S. 286) eine Novellierung des Personalaktenrechts im Bayerischen Beamtengesetz erfolgt. Das diesbezügliche Gesetzgebungsverfahren habe ich intensiv begleitet.

12.1.1. Anlass und Umfang der Novellierung

Der Anwendungsbereich der Datenschutz-Grundverordnung umfasst grundsätzlich auch personenbezogene Daten in Personalakten, und zwar unabhängig davon, ob diese Akten in Papier- oder in elektronischer Form geführt werden (siehe Art. 2 Abs. 1 DSGVO, vgl. auch Art. 2 BayDSG). Aufgrund ihrer unmittelbaren Geltung genießt die Datenschutz-Grundverordnung Anwendungsvorrang gegenüber dem nationalen Recht.

Der Freistaat Bayern war daher verpflichtet, sein Recht an die Datenschutz-Grundverordnung anzupassen. Im Hinblick auf die sogenannten "Öffnungsklauseln" in Art. 6 Abs. 2 und 3 DSGVO sowie in Art. 88 DSGVO bestand dabei für ihn - wie für jeden nationalen Gesetzgeber - im Bereich des öffentlichen Dienst- und Arbeitsrechts ein gewisser Umsetzungsspielraum. Ein erheblicher Teil der bisherigen personalaktenrechtlichen Vorgaben im Bayerischen Beamtengesetz konnte daher im Wesentlichen beibehalten werden. Änderungen waren jedoch insbesondere in begrifflicher Hinsicht erforderlich.

Die danach erforderliche Anpassung des Personalaktenrechts im Bayerischen Beamtengesetz wurde zudem für Änderungen genutzt, welche nicht durch das neue europäische Datenschutzrecht veranlasst waren:

  • Eine ursprünglich beabsichtigte Änderung sah dabei eine Verlängerung der Aufbewahrungsfrist für Beihilfeunterlagen auf zehn Jahre vor. Begründet wurde diese erhebliche Fristverlängerung mit dem Anliegen, Fälle des Beihilfemissbrauchs besser erkennen und verfolgen zu können.

Auch wenn ich dieses Anliegen im Grundsatz nachvollziehen kann, bin ich der beabsichtigten Verlängerung der Aufbewahrungsfrist für Beihilfeunterlagen entschieden entgegengetreten:

Beihilfeunterlagen, aus denen die Art der Erkrankung ersichtlich ist, sind in höchstem Maße sensibel. Die Verlängerung der Aufbewahrungsdauer für diese Unterlagen auf zehn Jahre hätte - jedenfalls im staatlichen Bereich - im Ergebnis zum Aufbau einer aussagekräftigen Gesundheitsdatenbank über alle aktiven und ehemaligen bayerischen Beamtinnen und Beamten sowie deren bei der Beihilfe berücksichtigungsfähigen Angehörigen geführt. Da auf der anderen Seite ein nennenswerter Umfang tatsächlichen Beihilfemissbrauchs lediglich spekulativ angenommen, aber nicht einmal im Ansatz belegt werden konnte, habe ich für einen solch intensiven Grundrechtseingriff keine belastbare Grundlage erkennen können. Auf meine Intervention hin hat die Staatsregierung von diesem Vorhaben letztlich Abstand genommen.

  • Weitere Änderungen, etwa zur elektronischen Personalakte oder zur Auftragsverarbeitung von Personalaktendaten, konnten demgegenüber (in modifizierter Form) umgesetzt werden.

12.1.2. Regelungssystematik

Neben § 50 BeamtStG finden sich Vorschriften zum Personalaktenrecht - wie bislang - in Teil 4 Abschnitt 8 Bayerisches Beamtengesetz. Der Abschnitt "Personalakten und Einsatz automatisierter Verfahren" hat nun drei Unterabschnitte: "Verarbeitung personenbezogener Daten" (Art. 103 BayBG), "Personalakten" (Art. 104 bis 110 BayBG) und "Einsatz automatisierter Verfahren" (Art. 111 BayBG).

12.1.3. "Generalklausel" für die Verarbeitung personenbezogener Daten (Art. 103 BayBG)

Bislang ergab sich aus Art. 102 Bayerisches Beamtengesetz in der bis zum 24. Mai 2018 geltenden Fassung (BayBG-alt) die Befugnis zur Erhebung personenbezogener Daten von aktiven und ehemaligen Beamtinnen und Beamten sowie von Bewerberinnen und Bewerbern. Art. 103 BayBG-alt regelte den Zugang zur Personalakte und sah insoweit eine in personeller und sachlicher Hinsicht "doppelte Zugangsbeschränkung" vor.

Der Regelungsgehalt dieser beiden Vorschriften wurde nun - unter Aufhebung des bisherigen Art. 102 BayBG-alt - im neuen Art. 103 BayBG zusammengeführt und zugleich erweitert. Art. 103 BayBG regelt nun die "Verarbeitung personenbezogener Daten" insgesamt. Der Regelung liegt dabei der umfassende Verarbeitungsbegriff von Art. 4 Nr. 2 DSGVO zugrunde. "Verarbeitung" in diesem Sinne umfasst jeden Vorgang im Zusammenhang mit personenbezogenen Daten, etwa das Erheben, die Speicherung, die Offenlegung oder das Löschen.

Art. 103 BayBG
Verarbeitung personenbezogener Daten

1Der Dienstherr darf personenbezogene Daten über Bewerber und Bewerberinnen sowie aktive und ehemalige Beamte und Beamtinnen verarbeiten, soweit dies

1. zur Durchführung organisatorischer, personeller und sozialer Maßnahmen, insbesondere zu Zwecken der Personalverwaltung oder Personalwirtschaft erforderlich ist,

2. zusätzlich bei der Verarbeitung besonderer Kategorien personenbezogener Daten Art. 8 Abs. 1 Nr. 2, 3 und 5 sowie Abs. 2 des Bayerischen Datenschutzgesetzes (BayDSG) erlaubt

und nachfolgend nichts anderes bestimmt ist. 2Die Verarbeitung darf nur durch Beschäftigte erfolgen, die vom Dienstherrn mit der Bearbeitung von Personalangelegenheiten betraut sind. 3Unbeschadet der Sätze 1 und 2 dürfen Daten nach Satz 1 auch zu Zwecken der Rechnungsprüfung verarbeitet werden.

Die bisherige "doppelte Zugangsbeschränkung" wurde erweitert zu einer "doppelten Zulässigkeitsbeschränkung" (vgl. Landtags-Drucksache 17/20990, S. 23), welche im Grundsatz für jede Verarbeitung personenbezogener Daten von aktiven und ehemaligen Beamtinnen und Beamten sowie von Bewerberinnen und Bewerbern gilt. Die Verarbeitung darf demnach grundsätzlich nur zu den in Art. 103 Satz 1 Nr. 1 BayBG genannten Zwecken und gemäß Art. 103 Satz 2 BayBG nur durch Beschäftigte erfolgen, die vom Dienstherrn mit der Bearbeitung von Personalangelegenheiten betraut sind. Unbeschadet dessen ist allerdings auch eine Verarbeitung zum Zwecke der Rechnungsprüfung zulässig (Art. 103 Satz 3 BayBG). Für eine Verarbeitung "besonderer Kategorien personenbezogener Daten" im Sinne des Art. 9 Abs. 1 DSGVO (dies betrifft zum Beispiel Gesundheitsdaten) muss zusätzlich noch einer der in Art. 103 Satz 1 Nr. 2 BayBG genannten Tatbestände des Art. 8 Abs. 1 BayDSG erfüllt sein. Weiterhin sind die Anforderungen von Art. 8 Abs. 2 BayDSG zu beachten.

Die generalklauselartige Verarbeitungsbefugnis in Art. 103 Satz 1 BayBG gilt gemäß Art. 103 Satz 1 BayBG allerdings nur, soweit "nachfolgend nichts anderes bestimmt ist". Soweit ein Verarbeitungsvorgang also von einer spezielleren Regelung der Art. 104 ff. BayBG erfasst wird, kommt Art. 103 BayBG nicht zur Anwendung. Insbesondere richtet sich die Übermittlung von Personalakten nicht nach Art. 103 BayBG, sondern nach Art. 108 BayBG.

12.1.4. Elektronische Personalakte (Art. 104 Abs. 2 BayBG)

Entsprechend der bisherigen Rechtslage kann eine Personalakte entweder vollständig oder - als nunmehr legaldefinierte - "Hybridakte" lediglich in Teilen elek-tronisch geführt werden (Art. 104 Abs. 2 Satz 1 BayBG). Bei Führung einer Hy-bridakte ist im Verzeichnis nach Art. 104 Abs. 1 Satz 4 BayBG anzugeben, welche Aktenteile in welcher Form geführt werden (Art. 104 Abs. 2 Satz 5 BayBG); unzulässig ist auch weiterhin eine parallele Aktenführung, bei der identische Aktenteile sowohl in Papier- als auch in elektronischer Form vorliegen (vgl. Landtags-Drucksache 17/20990, S. 24). Auch für elektronische Personalakten gelten die Art. 105 ff. BayBG unmittelbar. Gemäß Art. 104 Abs. 2 Satz 4 BayBG ist entsprechend dem Stand der Technik sicherzustellen, dass die elektronischen Dokumente mit den Papierdokumenten bildlich und inhaltlich übereinstimmen, wenn sie lesbar gemacht werden.

Art. 104 BayBG

Führung der Personalakte

(2) 1Die Personalakte kann in Teilen (Hybridakte) oder vollständig elektronisch geführt werden. 2Gehen elektronische Unterlagen auf die Erfassung papiergebundener Unterlagen zurück, darf auch die ursprüngliche Papierfassung gesondert zu Beweiszwecken aufbewahrt werden. 3Im Übrigen gelten für die Papierfassung die personalaktenrechtlichen Vorschriften entsprechend. 4Bei der Erfassung ist entsprechend dem Stand der Technik sicherzustellen, dass die elektronischen Dokumente mit den Papierdokumenten bildlich und inhaltlich übereinstimmen, wenn sie lesbar gemacht werden. 5Bei Hybridakten ist im Verzeichnis nach Abs. 1 Satz 4 anzugeben, welche Aktenteile in welcher Form geführt werden.

In Anbetracht des Grundsatzes der Datenminimierung (Art. 5 Abs. 1 Buchst. c DSGVO) bewerte ich die Regelung des neuen Art. 104 Abs. 2 Satz 2 BayBG kritisch: Gehen elektronische Unterlagen auf die Erfassung papiergebundener Unterlagen zurück, darf hiernach auch die ursprüngliche Papierfassung gesondert (das heißt: nicht als Teil der Personalakte, sondern von dieser getrennt) zu Beweiszwecken aufbewahrt werden. Dies führt aber im Ergebnis dazu, dass in gewissem Umfang doch eine "doppelte Datenhaltung" stattfindet. Der Hintergrund und der Anwendungsbereich dieser Regelung werden in der Entwurfsbegründung ausführlich erläutert (vgl. Landtags-Drucksache 17/20990, S. 24). In der Praxis werden personalverwaltende Stellen darauf zu achten haben, dass die Vorschrift eine Aufbewahrung papiergebundener Unterlagen zwar erlaubt, jedoch nicht hierzu verpflichtet (siehe den Wortlaut des Art. 104 Abs. 2 Satz 2 BayBG: "darf"). Die Aufbewahrung darf zudem nur solange und soweit erfolgen, wie dies "zu Beweiszwecken" erforderlich ist. Diese enge Zweckbindung schließt es übrigens aus, dass die noch vorhandenen Papierakten für die alltägliche Arbeit der personalverwaltenden Stelle genutzt werden können. (Ausschließlich) für den Fall, dass die Unterlagen als "analoges Backup" benötigt werden, empfehle ich daher die Aufbewahrung in einem versiegelten Schrank. Ansonsten gelten auch für die aufbewahrten Papierfassungen die personalaktenrechtlichen Vorschriften entsprechend (Art. 104 Abs. 2 Satz 3 BayBG).

Papierunterlagen sind mittels eines sicheren technischen Verfahrens in die elek-tronische Form zu überführen. Dabei ist ausweislich der Entwurfsbegründung zumindest eine fortgeschrittene elektronische Signatur oder ein fortgeschrittenes elektronisches Siegel im Sinne von Art. 26 oder Art. 36 Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG (ABl. L 257 vom 28. August 2014, S. 73; im Folgenden: eIDAS-VO) zu verwenden. Vorzugswürdig ist aus Datenschutzsicht jedoch stets eine qualifizierte elektronische Signatur oder ein qualifiziertes elektronisches Siegel (Art. 28 oder Art. 38 eIDAS-VO, vgl. Landtags-Drucksache 17/20990, S. 24).

12.1.5. Auskunft an Beamte und Beamtinnen (Art. 107 BayBG)

Gemäß Art. 15 Abs. 1 DSGVO hat die betroffene Person unter anderem ein Auskunftsrecht, welche ihrer personenbezogenen Daten ein Verantwortlicher verarbeitet. Dieses Recht steht grundsätzlich auch einem oder einer Beschäftigten gegenüber seinem oder ihrem Arbeitgeber zu. Der bislang auf eine Einsichtnahme zugeschnittene Art. 107 BayBG wurde an das neue Auskunftsrecht sprachlich und systematisch angepasst. Er regelt nunmehr umfassend die "Auskunft an Beamte und Beamtinnen".

Art. 107 BayBG
Auskunft an Beamte und Beamtinnen

(1) 1Während und nach Beendigung des Beamtenverhältnisses können Beamte und Beamtinnen Auskunft aus ihrer Personalakte und aus anderen Akten, die personenbezogene Daten über sie enthalten und für das Dienstverhältnis verarbeitet werden, in Form der Einsichtnahme verlangen. 2Im Übrigen bestimmt die personalaktenführende Behörde, wie die Auskunft gewährt wird.

(2) Nicht der Auskunft unterliegen:

1. Feststellungen über den Gesundheitszustand, soweit zu befürchten ist, dass die betroffene Person bei Kenntnis des Befunds weiteren Schaden an der Gesundheit nimmt,

2. Sicherheitsakten,

3. in Form der Einsichtnahme Daten einer betroffenen Person, die mit Daten Dritter oder geheimhaltungsbedürftigen nicht personenbezogenen Daten derart verbunden sind, dass ihre Trennung nicht oder nur mit unverhältnismäßig großem Aufwand möglich ist.

(3) 1Auf Verlangen wird eine vollständige oder teilweise Kopie zur Verfügung gestellt, sofern dies keinen unverhältnismäßigen zeitlichen oder personellen Aufwand verursacht. 2Für die Erteilung einer zweiten und jeder weiteren Kopie werden Schreibauslagen nach Art. 10 Abs. 2 des Kostengesetzes erhoben.

Beamte und Beamtinnen können, wie bislang auch, Auskunft in Form der Einsichtnahme in die eigene Personalakte sowie in andere Akten verlangen, die personenbezogene Daten über den betreffenden Beamten oder die betreffende Beamtin enthalten (Art. 107 Abs. 1 Satz 1 BayBG). Begehrt ein Beschäftigter oder eine Beschäftigte keine Akteneinsicht, sondern eine andere Form der Auskunft, bestimmt die aktenführende Behörde nach pflichtgemäßem Ermessen, auf welche Weise sie die Auskunft gewährt (Art. 107 Abs. 1 Satz 2 BayBG).

Einschränkungen des Auskunftsrechts enthält Art. 107 Abs. 2 BayBG. Sie entsprechen weitgehend den bisherigen Regelungen. Im Detail zeigen sich jedoch Unterschiede:

  • Während früher zum Schutze der Gesundheit des Beamten oder der Beamtin eine Einsicht in Feststellungen über den Gesundheitszustand ausnahmsweise verwehrt werden konnte, bezieht sich dieser Ausschlusstatbestand nunmehr auf jede Form einer diesbezüglichen Auskunft (Art. 107 Abs. 2 Nr. 1 BayBG). Diese Einschränkung greift jedoch nur, soweit durch die Auskunft ein weiterer Schaden an der Gesundheit der betroffenen Person zu befürchten ist.
  • Sicherheitsakten waren schon bislang vom Recht auf Einsichtnahme ausgeschlossen (Art. 107 Abs. 2 Satz 1 Halbsatz 2 BayBG-alt). Dieser Ausschluss besteht für das neue Auskunftsrecht generell (Art 107 Abs. 2 Nr. 2 BayBG).
  • Zum Schutz von Daten Dritter oder von geheimhaltungsbedürftigen Daten ohne Personenbezug konnte zudem bislang unter bestimmten Voraussetzungen eine Einsichtnahme in Sachakten, welche personenbezogene Daten der betroffenen Beamtin oder des betroffenen Beamten enthielten, unzulässig sein. In diesen Fällen musste lediglich Auskunft erteilt werden (Art. 107 Abs. 2 Satz 2 und 3 BayBG-alt). Diese Einschränkung wurde durch die Novellierung über Sachakten hinaus auf Personalakten erweitert (Art 107 Abs. 2 Nr. 3 BayBG). Wie die Entwurfsbegründung ausdrücklich klarstellt (vgl. Landtags-Drucksache 17/20990, S. 26), dürften Daten Dritter in Personalakten ohnehin aber nur ausnahmsweise vorhanden sein, sodass die dargestellte Einschränkung bei Personalakten nur in wenigen Fällen einschlägig sein wird.

Art. 107 Abs. 3 BayBG betrifft schließlich das Recht auf Datenkopie nach Art. 15 Abs. 3 DSGVO: Dieses Recht besteht - ausnahmsweise - nicht, sofern die Erteilung einer Kopie einen unverhältnismäßigen zeitlichen oder personellen Aufwand verursacht (Art. 107 Abs. 3 Satz 1 BayBG). Bei elektronisch vorliegenden Daten kommt ein solcher Ausnahmefall praktisch nicht in Betracht (vgl. Landtags-Drucksache 17/20990, S. 26). Eine erste Kopie ist unentgeltlich zu erteilen. Für jede weitere Kopie werden Schreibauslagen nach Art. 10 Abs. 2 Kostengesetz erhoben (Art. 107 Abs. 3 Satz 2 BayBG).

12.1.6. Übermittlung der Personalakte und Auskünfte an Dritte (Art. 108 BayBG)

Soll eine Personalakte für die in Art. 103 Satz 1 BayBG genannten Zwecke an Behörden eines anderen Dienstherrn übermittelt werden, setzt dies nach Art. 108 Abs. 1 BayBG - unverändert zur bisherigen Rechtslage - die Einwilligung der betroffenen Person voraus.

Art. 108 BayBG
Übermittlung von Personalakten und Auskunft an nicht betroffene Personen

(1) Eine Übermittlung oder eine Auskunft aus der Personalakte an Behörden eines anderen Dienstherrn ist für die in Art. 103 Satz 1 genannten Zwecke nur mit Einwilligung des Beamten oder der Beamtin zulässig.

(2) Ohne Einwilligung des Beamten oder der Beamtin darf die Personalakte den zuständigen Behörden oder anderen Stellen übermittelt werden, soweit dies erforderlich ist

1. zur Erstellung ärztlicher Gutachten im Auftrag der personalverwaltenden Behörde oder der Pensionsbehörde,

2. für die Festsetzung, Berechnung und Rückforderung der Besoldung, der Versorgung oder für die Prüfung der Kindergeldberechtigung,

3. für die Prüfung und Durchführung der Buchung von Einzahlungen von den Betroffenen oder von Auszahlungen an die Betroffenen oder

4. für die Durchführung von Auswertungen für anonymisierte Statistik- und Berichtszwecke und deren Abruf.

(4) 1Auskünfte an Dritte dürfen nur mit Einwilligung des Beamten oder der Beamtin erteilt werden, es sei denn, dass die Abwehr einer erheblichen Beeinträchtigung des Gemeinwohls oder der Schutz berechtigter, höherrangiger Interessen des Dritten die Auskunftserteilung zwingend erfordert. 2Inhalt und Empfänger der Auskunft sind dem Beamten oder der Beamtin schriftlich mitzuteilen.

(5) 1Ohne Einwilligung des Beamten oder der Beamtin können den zuständigen Behörden Auskünfte aus der Personalakte erteilt werden, soweit dies im Einzelfall

1. zu den in Abs. 2 genannten Zwecken,

2. zur Entscheidung über die Verleihung von staatlichen Orden, Ehrenzeichen oder sonstigen staatlichen Ehrungen oder

3. im Rahmen der Art. 8a bis 8e BayVwVfG zwingend

erforderlich ist. 2Soweit eine Auskunft für die in Abs. 2 genannten Zwecke ausreichend ist, unterbleibt eine Übermittlung.

(6) 1Übermittlung und Auskunft sind auf den jeweils erforderlichen Umfang zu beschränken. 2Ein automatisierter Datenabruf durch andere Behörden ist unzulässig, soweit durch besondere Rechtsvorschrift nichts anderes bestimmt ist.

Fälle, in denen eine Personalakte auch ohne vorherige Einwilligung der betroffenen Person an zuständige Stellen desselben Dienstherrn übermittelt werden darf, sind in Art. 108 Abs. 2 BayBG normiert. Dies betrifft unter anderem Übermittlungen zur Erstellung ärztlicher Gutachten im Auftrag der personalverwaltenden Behörde (Art. 108 Abs. 2 Nr. 1 BayBG) oder zu Besoldungszwecken (Art. 108 Abs. 2 Nr. 2 BayBG). Voraussetzung ist allerdings, dass die in dieser Vorschrift genannten Zwecke eine Übermittlung der Personalakte im konkreten Fall auch tatsächlich erfordern. Soweit in diesem Zusammenhang eine Auskunft ausreicht, hat - wie bislang auch (vgl. Art. 108 Abs. 1 Satz 5 BayBG-alt) - die Übermittlung der Personalakte zu unterbleiben (Art. 108 Abs. 5 Satz 2 BayBG).

Art. 108 Abs. 4 und 5 BayBG regeln Auskünfte aus der Personalakte an Dritte. Dabei wurde der bisherige Art. 108 Abs. 2 BayBG-alt unverändert in Art. 108 Abs. 4 BayBG überführt. Art. 108 Abs. 5 BayBG entspricht inhaltlich im Wesentlichen Art. 108 Abs. 1 Satz 4 und 5, Abs. 3 BayBG-alt.

Die in Art. 111 Abs. 1 Satz 3 BayBG-alt enthaltene Regelung zum automatisierten Datenabruf durch andere Behörden findet sich aufgrund des näheren Sachzusammenhangs nun unverändert in Art. 108 Abs. 6 BayBG.

12.1.7. Auftragsverarbeitung (Art. 108 Abs. 3 BayBG)

Neu aufgenommen wurde in Art. 108 Abs. 3 BayBG eine Regelung zur Auftragsverarbeitung. Die Datenschutz-Grundverordnung beschränkt die Zulässigkeit einer Auftragsverarbeitung auch im Bereich der Personalverwaltung nicht; sie trifft in Art. 28 DSGVO umfassende inhaltliche Vorgaben über das "Wie" der Auftragsverarbeitung. Mitgliedstaatliche Regelungen können allerdings im Rahmen bestehender "Öffnungsklauseln" die Zulässigkeit einer Auftragsverarbeitung für bestimmte Verarbeitungstätigkeiten von Bedingungen abhängig machen oder gänzlich ausschließen, mithin das "Ob" der Auftragsverarbeitung bestimmen.

Art. 108 BayBG

Übermittlung von Personalakten und Auskunft an nicht betroffene Personen

(3) 1Die Verarbeitung von Personalaktendaten im Auftrag der personalverwaltenden Behörde im Sinn des Art. 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung) ist nur zulässig, soweit sie als unterstützende Dienstleistung im Rahmen der überwiegend automatisierten Erledigung von Aufgaben der Behörde zur Vermeidung von Störungen im Geschäftsablauf des Dienstherrn oder zur Realisierung erheblich wirtschaftlicherer Arbeitsabläufe erforderlich ist. 2Die Beauftragung einer nicht öffentlichen Stelle als Auftragsverarbeiter setzt voraus, dass die mit der Verarbeitung von Personalaktendaten befassten Beschäftigten nach dem Verpflichtungsgesetz zur Wahrung der Daten verpflichtet werden.

Im bayerischen Personalaktenrecht steht einer Auftragsverarbeitung durch externe Dienstleister an sich die "doppelte Zulässigkeitsbeschränkung" des Art. 103 BayBG entgegen. Art. 108 Abs. 3 BayBG lässt die Verarbeitung von Personalaktendaten im Auftrag allerdings - ausnahmsweise - in begrenztem Umfang zu. Eine Auftragsverarbeitung ist gemäß Art. 108 Abs. 3 Satz 1 BayBG jedoch nur zulässig, soweit sie als unterstützende Dienstleistung im Rahmen der überwiegend automatisierten Erledigung von Aufgaben der Behörde zur Vermeidung von Störungen im Geschäftsablauf des Dienstherrn oder zur Realisierung erheblich wirtschaftlicherer Arbeitsabläufe erforderlich ist.

Als Anwendungsfall nennt die Entwurfsbegründung (vgl. Landtags-Drucksache 17/20990, S. 27) "das Einscannen von Personalakten für die personalverwaltende Stelle im Zuge der Umstellung auf eine elektronische Personalakte". Soll eine nicht öffentliche Stelle als Auftragsverarbeiter beauftragt werden, sind deren Beschäftigte, soweit sie mit der Verarbeitung von Personalaktendaten befasst sind, nach dem Verpflichtungsgesetz zu verpflichten (Art. 108 Abs. 3 Satz 2 BayBG).

12.1.8. Einsatz automatisierter Verfahren (Art. 111 BayBG)

Von einer elektronischen Personalakte begrifflich zu trennen sind automatisierte Verfahren mittels derer (auch) Personalaktendaten verarbeitet werden können. Deren Einsatz ist wie bislang in Art. 111 BayBG geregelt. Aufbau und Inhalt der Vorschrift sind in mehrfacher Hinsicht umgestaltet worden.

Art. 111 BayBG

Einsatz automatisierter Verfahren

(1) 1Für die in Art. 103 genannten Zwecke dürfen automatisierte Verfahren eingesetzt werden, in denen auch Personalaktendaten verarbeitet werden dürfen. 2Werden Personalaktendaten verarbeitet, sind insoweit die Art. 103 sowie 108 bis 110 entsprechend anzuwenden. 3Personalaktendaten im Sinn des Art. 105 dürfen zudem nur im Rahmen ihrer Zweckbestimmung und nur von den übrigen Personaldateien technisch und organisatorisch getrennt verarbeitet werden.

(2) 1Eine beamtenrechtliche Entscheidung darf nur dann auf einer ausschließlich automatisierten Verarbeitung von personenbezogenen Daten beruhen, wenn einem vorausgegangenen Antrag des Beamten oder der Beamtin vollständig entsprochen wird. 2Die Kürzung auf Grund der Regelung in Art. 96 Abs. 3 Satz 5 ist insofern unschädlich. 3Dem Beamten oder der Beamtin sind die über ihn oder sie in einem automatisierten Verfahren nach Abs. 1 Satz 1 gespeicherten Daten auf Verlangen mitzuteilen. 4Die Verarbeitungs- und Nutzungsformen automatisierter Personalverwaltungsverfahren sind zu dokumentieren und einschließlich des jeweiligen Verwendungszwecks sowie der regelmäßigen Empfänger und des Inhalts automatisierter Datenübermittlung allgemein bekanntzugeben.

Art. 111 Abs. 1 Satz 1 BayBG bestimmt zunächst, dass der Einsatz automatisierter Verfahren, in denen auch Personalaktendaten verarbeitet werden, in der Personalverwaltung (nur) für die in Art. 103 BayBG genannten Zwecke zulässig ist. Hinsichtlich der Verarbeitung von Personalaktendaten erklärt Art. 111 Abs. 1 Satz 2 BayBG die Vorschriften der Art. 103 sowie Art. 108 bis 110 BayBG für entsprechend anwendbar. Die einschränkende Regelung des Art. 111 Abs. 1 Satz 3 BayBG zur automatisierten Verarbeitung von "Beihilfedaten" entspricht inhaltlich dem bisherigen Art. 111 Abs. 2 BayBG-alt.

Art. 111 Abs. 2 Satz 1 und 2 BayBG betrifft die sehr eingeschränkte, im Ergebnis vor allem das Beihilfeverfahren betreffende Zulässigkeit einer beamtenrechtlichen Entscheidung, welche ausschließlich auf einer automatisierten Verarbeitung personenbezogener Daten beruht. Damit soll der europarechtlichen Vorgabe des Art. 22 DSGVO Rechnung getragen werden (vgl. Landtags-Drucksache 17/20990, S. 28 f.).

Bei erstmaliger Speicherung personenbezogener Daten in einem automatisierten Verfahren sowie bei wesentlichen Änderungen bestand gegenüber den betroffenen Beamtinnen und Beamten bislang eine Mitteilungs- oder Benachrichtigungspflicht (Art. 111 Abs. 5 Satz 1 BayBG-alt). Diese zugunsten der Beamtinnen und Beamten bestehende Schutzvorschrift sollte zunächst ersatzlos entfallen. Auf meine diesbezüglich geäußerten Bedenken hin wurde mit dem neuen Art. 111 Abs. 2 Satz 3 BayBG eine grundsätzlich jederzeit zu erfüllende Informationspflicht eingeführt: Auf Verlangen sind einem Beamten oder einer Beamtin die über ihn oder sie in einem automatisierten Verfahren nach Art. 111 Abs. 1 Satz 1 BayBG gespeicherten Daten mitzuteilen. Die bisher in Art. 111 Abs. 5 Satz 2 normierte Dokumentations- und Bekanntgabeverpflichtung findet sich nun inhaltlich unverändert in Art. 111 Abs. 2 Satz 4 BayBG.

12.1.9. Sonstige Änderungen

Weitere Änderungen betreffen unter anderem die Verwendung und Weitergabe von Beihilfeunterlagen (Art. 105 Satz 3 und 4 BayBG) sowie die Aufbewahrung und Vernichtung von Personalakten (Art. 110 BayBG).

Art. 105 BayBG
Beihilfeunterlagen

1Unterlagen über Beihilfen sind stets als Teilakte zu führen. 2Diese ist von der übrigen Personalakte getrennt aufzubewahren. 3Sie soll nur von Beschäftigten einer von der übrigen Personalverwaltung getrennten Organisationseinheit oder der zuständigen Rechnungsprüfung bearbeitet werden. 4Die Beihilfeakte darf für andere als für Beihilfezwecke und Zwecke der Rechnungsprüfung nur verwendet oder weitergegeben werden, wenn der oder die Beihilfeberechtigte und bei der Beihilfegewährung berücksichtigte Angehörige im Einzelfall einwilligen, die Einleitung oder Durchführung eines im Zusammenhang mit einem Beihilfeantrag stehenden behördlichen oder gerichtlichen Verfahrens dies erfordert oder soweit es zur Abwehr erheblicher Nachteile für das Gemeinwohl, einer sonst unmittelbar drohenden Gefahr für die öffentliche Sicherheit oder einer schwerwiegenden Beeinträchtigung der Rechte einer anderen Person erforderlich ist. 5Die erforderlichen personenbezogenen Daten aus Arzneimittelverordnungen im Sinn des § 1 des Gesetzes über Rabatte für Arzneimittel dürfen an den Treuhänder ausschließlich zum Zweck der Prüfung gemäß § 3 des Gesetzes über Rabatte für Arzneimittel übermittelt werden. 6Sätze 1 bis 5 gelten entsprechend für Unterlagen über Heilfürsorge und Heilverfahren.

Art. 110

BayBG Aufbewahrung und Vernichtung von Personalakten

(1) 1Personalakten sind nach ihrem Abschluss von der personalaktenführenden Behörde fünf Jahre aufzubewahren. 2Personalakten sind abgeschlossen,

1. wenn der Beamte oder die Beamtin ohne Versorgungsansprüche aus dem öffentlichen Dienst ausgeschieden ist, mit Erreichen der gesetzlichen Altersgrenze, in den Fällen des § 24 BeamtStG und des Art. 11 BayDG jedoch erst, wenn mögliche Versorgungsempfänger und Versorgungsempfängerinnen nicht mehr vorhanden sind,

2. wenn der Beamte oder die Beamtin verstorben ist, mit Ablauf des Todesjahres.

3Kann der nach Satz 2 Nr. 2 maßgebliche Zeitpunkt nicht festgestellt werden, ist Art. 10 Abs. 3 Satz 3 des Bayerischen Archivgesetzes entsprechend anzuwenden.

(2) 1Unterlagen über Beihilfen, Heilfürsorge, Heilverfahren, Unterstützungen, Erholungsurlaub, Erkrankungen sowie Umzugs- und Reisekosten sind fünf Jahre nach Ablauf des Jahres, in dem die Bearbeitung des einzelnen Vorgangs abgeschlossen wurde, aufzubewahren. 2Sofern aus ihnen die Art der Erkrankung ersichtlich ist, sind sie unverzüglich zurückzugeben oder zu vernichten, wenn sie für den Zweck, zu dem sie vorgelegt worden sind, nicht mehr benötigt werden. 3Elektronisch gespeicherte Beihilfebelege sind spätestens ein Jahr nach Ablauf des Jahres, in dem die Unterlagen elektronisch erfasst wurden, zu löschen, sofern sie nicht darüber hinaus für die Bearbeitung oder auf Grund sonstiger gesetzlicher Vorschriften benötigt werden. 4Arzneimittelverordnungen im Sinn des § 1 des Gesetzes über Rabatte für Arzneimittel sind zur Geltendmachung von Rabatten nach diesem Gesetz nicht zurückzugeben. 5Die Vernichtung dieser Arzneimittelverordnungen erfolgt unverzüglich, sobald sie für die dort geregelten Zwecke nicht mehr benötigt werden, spätestens jedoch zehn Jahre nach Ablauf des Jahres, in dem die Arzneimittelverordnungen elektronisch erfasst wurden.

(3) Versorgungsakten sind zehn Jahre nach Ablauf des Jahres, in dem die letzte Versorgungszahlung geleistet worden ist, aufzubewahren; besteht die Möglichkeit eines Wiederauflebens des Anspruchs, sind die Akten 30 Jahre aufzubewahren.

(4) Personalakten werden nach Ablauf der Aufbewahrungsfrist vernichtet, sofern sie nicht vom zuständigen öffentlichen Archiv übernommen werden.

12.1.10. Fazit

Die jüngste Novellierung des Personalaktenrechts im Bayerischen Beamtengesetz trägt einerseits dem durch die Datenschutz-Grundverordnung entstandenen Anpassungsbedarf Rechnung. Darüber hinaus sind aber auch Änderungen erfolgt, welche nicht zwingend durch das neue europäische Datenschutzrecht veranlasst waren. Eine grundlegende Umordnung des bayerischen Personalaktenrechts hat es in diesem Zusammenhang allerdings nicht gegeben.

Die personalverwaltenden Stellen sollten sich jedoch stets vergegenwärtigen, dass die Datenschutz-Grundverordnung auch bei der Verarbeitung von Beschäftigtendaten grundsätzlich unmittelbar zur Anwendung kommt. Das bayerische Personalaktenrecht enthält insoweit ergänzende oder spezifizierende Vorschriften. Vor allem dort, wo es keine Regelung trifft, sind die jeweils einschlägigen Vorgaben der Datenschutz-Grundverordnung - gegebenenfalls modifiziert durch das neugefasste Bayerische Datenschutzgesetz - in den Blick zu nehmen.

Die neue Systematik des Datenschutzrechts gilt also auch hier: Zur Beurteilung datenschutzrechtlicher Fragestellungen sind die Datenschutz-Grundverordnung und das nationale Datenschutzrecht im Zusammenhang zu lesen und anzuwenden.

12.2. Förmliche Verpflichtung von Bediensteten bayerischer öffentlicher Stellen auf das Datengeheimnis?

Eine Verarbeitung personenbezogener Daten ist nur unter den Voraussetzungen von Art. 6 DSGVO zulässig. Den bayerischen öffentlichen Stellen stehen meist gesetzliche Verarbeitungsbefugnisse (Art. 6 Abs. 1 UAbs. 1 Buchst. e, Abs. 3 UAbs. 1 Buchst. b DSGVO) zur Verfügung. Ist eine Offenlegung personenbezogener Daten nicht erlaubt, muss sie unterbleiben. Art. 29 DSGVO bestimmt zudem, dass jede einem Verantwortlichen unterstellte Person ihr zugängliche personenbezogene Daten grundsätzlich nur auf dessen Weisung verarbeiten darf. Vor dem Hintergrund dieses unionsrechtlichen Regelungsrahmens steht Art. 11 Satz 1 BayDSG:

"Den bei öffentlichen Stellen beschäftigten Personen ist es untersagt, personenbezogene Daten unbefugt zu verarbeiten (Datengeheimnis)."

Bayerische öffentliche Stellen fragten bei mir an, ob Beschäftigte auf die Einhaltung des Datengeheimnisses förmlich zu verpflichten seien. Ich habe die folgenden Hinweise gegeben:

Eine förmliche Verpflichtung auf das Datengeheimnis nach Art. 11 Satz 1 BayDSG - zumal mit konstitutiver Wirkung - sieht das Gesetz nicht vor. Die Beschäftigten bayerischer öffentlicher Stellen sind ab Beginn ihres Dienst- oder Arbeitsverhältnisses von Gesetzes wegen verpflichtet, das Datengeheimnis zu beachten. Gemäß Art. 11 Satz 2 BayDSG besteht das Datengeheimnis nach dem Ende der Tätigkeit fort. Eine förmliche Verpflichtung kennt das Bundesrecht für die Beschäftigten der Meldebehörden hinsichtlich des Meldegeheimnisses (§ 7 Bundesmeldegesetz).

Jedenfalls bei Aufnahme einer Tätigkeit für eine bayerische öffentliche Stelle sollten Beschäftigte über ihre Pflichten hinsichtlich des Schutzes personenbezogener Daten informiert werden. Danach sollten sie befähigt sein, die auf dem jeweiligen Dienstposten oder Arbeitsplatz zugänglichen personenbezogenen Daten sachgerecht zu handhaben und unzulässige Datenumgänge zu vermeiden. Dies gilt auch für unbefugte Abrufe aus dienstlich bereitgestellten Datenbanken wie dem Bayerischen Behördeninformationssystem (BayBIS, siehe dazu Nr. 7.1). Der behördliche Datenschutzbeauftragte sollte auf die Durchführung entsprechender Schulungen durch den Verantwortlichen hinwirken (vgl. Art. 39 Abs. 1 Buchst. b DSGVO), gegebenenfalls sie selbst anbieten.

12.3. Dienstweg und Zugang zum behördlichen Datenschutzbeauftragten bei bayerischen öffentlichen Stellen

Der behördliche Datenschutzbeauftragte ist ein wichtiger Ansprechpartner auch für die Beschäftigten bayerischer öffentlicher Stellen, wenn es um Fragen des Datenschutzes geht. Mich haben mehrere Anfragen erreicht, die sich auf eine Kontrolle des Zugangs zum behördlichen Datenschutzbeauftragten bezogen. So sollten diesem in einer Behörde beispielsweise entsprechende Gesuche nur über die Personalstelle zugeleitet werden dürfen. Insofern ist zu unterscheiden:

12.3.1. Beschäftigte als betroffene Personen

Sind Beschäftigte betroffene Person, weil die öffentliche Stelle etwa im Rahmen der Personalverwaltung ihre personenbezogenen Daten verarbeitet, so richtet sich der Zugang zum behördlichen Datenschutzbeauftragten nach Art. 38 Abs. 4 DSGVO. Dort heißt es:

"Betroffene Personen können den Datenschutzbeauftragten zu allen mit der Verarbeitung ihrer personenbezogenen Daten und mit der Wahrnehmung ihrer Rechte gemäß dieser Verordnung im Zusammenhang stehenden Fragen zu Rate ziehen."

Die Vorschrift gewährleistet betroffenen Personen die Möglichkeit, mit dem Datenschutzbeauftragten unmittelbar, also ohne die Kenntnis, gar die Mitwirkung Dritter Kontakt aufzunehmen. Anders wäre auch die in Art. 38 Abs. 5 DSGVO angeordnete Vertraulichkeit nicht gewährleistet. Diese Vorgaben gelten zugunsten betroffener Personen unabhängig davon, ob sie zum Verantwortlichen in einem Beschäftigungsverhältnis stehen oder nicht.

Eine Vorgabe an Beschäftigte, den Datenschutzbeauftragten in eigenen Angelegenheiten nur über die Personalstelle, über die Behördenleitung oder auf dem Dienstweg kontaktieren zu dürfen, ist daher nicht zulässig.

12.3.2. Beschäftigte als Anfragesteller

Beschäftigte suchen den Rat des behördlichen Datenschutzbeauftragten aber nicht nur in der Rolle der betroffenen Person. Sie haben bei ihrer Arbeit oftmals mit Verarbeitungen personenbezogener Daten Dritter zu tun. In diesem Zusammenhang stellen sich ebenfalls regelmäßig datenschutzrechtliche oder datenschutzpraktische Fragen. Meinungsverschiedenheiten zwischen den ratsuchenden Beschäftigten und ihren Vorgesetzten bestehen in dieser Fallkonstellation häufig nicht; es steht vielmehr in Rede, wie die öffentliche Stelle als solche datenschutzgerecht agiert.

Art. 39 Abs. 1 Buchst. a DSGVO stellt dem Datenschutzbeauftragten die folgende Aufgabe:

"Unterrichtung und Beratung des Verantwortlichen [...] und der Beschäftigten, die Verarbeitungen durchführen, hinsichtlich ihrer Pflichten nach dieser Verordnung sowie nach sonstigen Datenschutzvorschriften der Union bzw. der Mitgliedstaaten".

Trifft die öffentliche Stelle keine Regelungen, kann sich daher jeder oder jede Beschäftigte mit einer bei der eigenen Arbeit aufgetretenen datenschutzrechtlichen oder datenschutzpraktischen Frage unmittelbar an den behördlichen Datenschutzbeauftragten wenden.

Eine öffentliche Stelle darf durch innerdienstliche Regelung aber auch bestimmen, dass Anfragen dieser Art dem behördlichen Datenschutzbeauftragten über eine/n Vorgesetzte/n oder auf dem Dienstweg vorgelegt werden. Für einen unmittelbaren Zugang jedes oder jeder Beschäftigten spricht zwar das Interesse an einer möglichst optimalen Nutzung der Expertise des Datenschutzbeauftragten mittels einer zügigen Beratung, die so auch telefonisch in einer konkreten Arbeitssituation gewährleistet ist. Die mittelbare Befassung verschafft aber Vorgesetzten einen Eindruck von den auftretenden datenschutzrechtlichen und datenschutzpraktischen Problemen und versetzt sie in die Lage, die mit dem Datenschutzbeauftragten erarbeiteten Lösungen auch für andere Beschäftigte nutzbar zu machen. Welchem Ziel der Vorrang einzuräumen ist, sollte jeweils im Hinblick auf die konkrete Organisations- und Verantwortlichkeitsstruktur entschieden werden.

Regelungen zur Einbindung des behördlichen Datenschutzbeauftragten sollten möglichst in der für die öffentliche Stelle maßgeblichen Datenschutz-Dienstanweisung getroffen werden. Ein Muster ist in den vom Bayerischen Staatsministerium des Innern, für Sport und Integration herausgegebenen Arbeitshilfen zur praktischen Umsetzung der Datenschutz-Grundverordnung unter Nr. 4.1 zu finden (Internet: https://www.stmi.bayern.de/sus/datensicherheit/datenschutz/reform_arbeitshilfen/index.php (externer Link)).

12.3.3. Beschäftigte als Hinweisgeber

Beschäftigte wenden sich mitunter aber auch als Hinweisgeber an den behördlichen Datenschutzbeauftragten, weil sie ihn auf einen möglichen datenschutzrechtlichen Missstand aufmerksam machen möchten. Dies gilt insbesondere dann, wenn Beschäftigte mit Bedenken hinsichtlich konkreter Verarbeitungen bei ihren Vorgesetzten kein Gehör finden. Hier wird es also in erster Linie um die Frage gehen, wie sich die Beschäftigten selbst aus Datenschutzsicht rechtskonform verhalten sollen. Dazu sind sie in ihren Dienst- oder Beschäftigungsverhältnissen nämlich verpflichtet. Die Beratungssituation ist hier - anders als oben unter 12.3.1 - durch eine Meinungsverschiedenheit zwischen den Beschäftigten und ihren Vorgesetzten gekennzeichnet.

Auch insofern ist Art. 39 Abs. 1 Buchst. a DSGVO maßgeblich. Daran können die beamtenrechtlichen Bestimmungen zur Remonstration (§ 36 Abs. 2, 3 Beamtenstatusgesetz - BeamtStG) nichts ändern. Diese Vorschriften regeln, unter welchen Voraussetzungen einen Beamten oder eine Beamtin (ausnahmsweise) nicht die ihm oder ihr nach § 36 Abs. 1 BeamtStG zugewiesene Verantwortung trifft. Sie legen dagegen nicht fest, wessen Rat der Beamte oder die Beamtin in einer "kritischen" Entscheidungssituation suchen darf.

Sollte eine innerdienstliche Regelung bei einer bayerischen öffentlichen Stelle den Kontakt mit dem behördlichen Datenschutzbeauftragten (auch) im Fall einer "kontroversen" Beratungssituation nur unter Einbindung von Vorgesetzten beziehungsweise auf dem Dienstweg zulassen, würde sie auf eine Situation hinwirken, in welcher es vom Willen der jeweiligen Vorgesetzten abhängt, inwieweit der Datenschutzbeauftragte seiner Aufgabe nach Art. 39 Abs. 1 Buchst. a DSGVO hinsichtlich der ihnen zugeordneten Beschäftigten nachkommen kann. Zudem könnte ihm eine wichtige Erkenntnisquelle für seine Überwachungsaufgabe (Art. 39 Abs. 1 Buchst. b DSGVO) verschlossen werden.

Wesentlich wäre im Übrigen die Rolle des Datenschutzbeauftragten berührt: Dass Art. 39 Abs. 1 Buchst. a DSGVO ihm die Aufgabe der Beratung gerade gegenüber dem Verantwortlichen und seinen Beschäftigten zuweist, legt ein Verständnis nahe, nach welchem der Datenschutzbeauftragte in einer "kontroversen" Beratungssituation gerade die Rolle eines "Vermittlers" einnimmt. Eine der Aufgabe adäquate Beratung erfordert hier nämlich eine Analyse der Pflichten beider Seiten und die Entwicklung einer allseits datenschutzkonformen Problemlösung.

Eine Regelung, wie sie § 14 des Musters für eine Datenschutz-Dienstanweisung (siehe oben unter 12.3.2 am Ende) im Bereich der Datenschutz-Richtlinie für Polizei und Strafjustiz vorsieht, ist vor diesem Hintergrund ein Beispiel für eine auch in der Welt der Datenschutz-Grundverordnung positiv zu bewertende Fehlerkultur. Dort heißt es:

"1Erlangt ein Mitarbeiter von einem Datenschutzverstoß Kenntnis, kann er sich jederzeit unmittelbar an den behördlichen Datenschutzbeauftragten wenden. 2Der behördliche Datenschutzbeauftragte behandelt die Meldung vertraulich. 3Er darf Tatsachen, die ihm in Ausübung seiner Funktion anvertraut wurden, und die Identität der mitteilenden Person nicht ohne dessen Einverständnis offenbaren."

12.3.4. Fazit

Der Zugang zum behördlichen Datenschutzbeauftragten folgt grundsätzlich nicht dem Dienstweg. Den unmittelbaren Kontakt können Beschäftigte einer bayerischen öffentlichen Stelle insbesondere suchen, wenn sie dieser Stelle selbst als betroffene Personen gegenüberstehen. Das gleiche gilt in kontroversen Beratungssituationen, wenn der Datenschutzbeauftragte den Verantwortlichen und seine Beschäftigten bei der Suche nach einer beiderseits pflichtgemäßen Lösung zu einem Datenschutzproblem unterstützen soll. Allenfalls für nicht kontroverse Beratungssituationen kommen innerdienstliche Regelungen zur Einbindung von Vorgesetzten in Betracht.

12.4. Einwilligung bei Erteilung von Gutachtenaufträgen durch die Beihilfestelle

Richterinnen und Richter, Beamtinnen und Beamte sowie Versorgungsempfängerinnen und Versorgungsempfänger erhalten für sich und ihre berücksichtigungsfähigen Angehörigen Beihilfen zur Deckung von Kosten medizinischer Behandlungen (siehe Art. 96 Abs. 1 Bayerisches Beamtengesetz - BayBG). Diesbezügliche Aufwendungen werden aber nur ersetzt, soweit sie medizinisch notwendig und angemessen sind (siehe Art. 96 Abs. 2 Satz 1 BayBG).

Art. 96 BayBG

Beihilfe in Krankheits-, Geburts-, Pflege- und sonstigen Fällen

(1) 1Beamte und Beamtinnen, Ruhestandsbeamte und Ruhestandsbeamtinnen, deren versorgungsberechtigte Hinterbliebene, Dienstanfänger und Dienstanfängerinnen sowie frühere Beamte und Beamtinnen, die wegen Dienstunfähigkeit oder Erreichen der Altersgrenze entlassen sind, erhalten für sich, den Ehegatten oder den Lebenspartner (Lebenspartner und Lebenspartnerin im Sinn des § 1 des Lebenspartnerschaftsgesetzes), soweit dessen Gesamtbetrag der Einkünfte (§ 2 Abs. 3 des Einkommensteuergesetzes) im zweiten Kalenderjahr vor der Stellung des Beihilfeantrags 18 000 € nicht übersteigt, und die im Familienzuschlag nach dem Bayerischen Besoldungsgesetz berücksichtigungsfähigen Kinder Beihilfen als Ergänzung der aus den laufenden Bezügen zu bestreitenden Eigenvorsorge, solange ihnen laufende Besoldung, Unterhaltsbeihilfe nach Art. 97 BayBesG oder Versorgungsbezüge mit Ausnahme von Halbwaisengeld (Art. 39, 40 BayBeamtVG) zustehen. [...]

(2) 1Beihilfeleistungen werden zu den nachgewiesenen medizinisch notwendigen und angemessenen Aufwendungen in Krankheits-, Geburts- und Pflegefällen und zur Gesundheitsvorsorge gewährt. [...]

Bestehen Streitigkeiten oder Unklarheiten über die Notwendigkeit und Angemessenheit einzelner geltend gemachter Aufwendungen, können diese in einem von der Beihilfestelle angestoßenen speziellen Überprüfungsverfahren - insbesondere unter Einschaltung von Gutachterinnen und Gutachtern - geklärt werden. Die Bayerische Beihilfeverordnung (BayBhV) sieht hierzu in § 48 Abs. 7 BayBhV im Einzelnen Folgendes vor:

§ 48 BayBhV

Verfahren

(7) 1Zur Überprüfung von Notwendigkeit und Angemessenheit einzelner geltend gemachter Aufwendungen kann die Festsetzungsstelle Gutachterinnen bzw. Gutachter, Beratungsärztinnen bzw. Beratungsärzte und sonstige geeignete Stellen unter Übermittlung der erforderlichen Daten beteiligen, wobei personenbezogene Daten nur mit Einwilligung des Beihilfeberechtigten übermittelt werden dürfen. 2Die Zuerkennung der Eignung setzt voraus, dass die mit der Bewertung betrauten Personen nach dem Verpflichtungsgesetz zur Wahrung der Daten verpflichtet werden.

Verweigern Beihilfeberechtigte das Einverständnis zur Übermittlung ihrer für die Begutachtung erforderlichen personenbezogenen Daten und kann die Berechtigung des Anspruchs nicht anderweitig, insbesondere nach Übermittlung pseudonymisierter Daten geklärt werden, werden Beihilfen nicht gewährt (vgl. Nr. 1 Satz 3 Verwaltungsvorschrift zu § 48 Abs. 8 [jetzt Abs. 7] BayBhV).

Diese Regelungen halte ich grundsätzlich für angemessen, um einen Ausgleich zwischen den Persönlichkeitsinteressen der Beihilfeberechtigten einerseits und dem Interesse an einer sparsamen Bewirtschaftung öffentlicher Mittel andererseits herzustellen. Bereits in meinem 23. Tätigkeitsbericht 2008 habe ich unter Nr. 21.1.2 darauf hingewiesen, dass der Nachweis aus meiner Sicht in aller Regel mit pseudonymisierten Daten geführt werden kann. Personenbezogene Daten müssen zum Zweck der Gutachtenerstellung nur ausnahmsweise übermittelt werden.

12.4.1. Ärztliche Behandlung von Beihilfeberechtigten

Das dargestellte Verfahren regelt datenschutzrechtlich befriedigend allerdings nur den Fall, dass Unklarheiten hinsichtlich der Erstattungsfähigkeit von Aufwendungen aus der Behandlung der Person des oder der Beihilfeberechtigten gutachterlich aufzuklären sind. § 48 Abs. 7 Satz 1 BayBhV stellt nämlich auf die Zustimmung gerade des oder der Beihilfeberechtigten zur Übermittlung von Daten an den Gutachter oder die Gutachterin ab. Unberücksichtigt bleibt der Fall, dass die behandelte Person nicht zugleich der oder die Beihilfeberechtigte ist.

12.4.2. Ärztliche Behandlung von berücksichtigungsfähigen Angehörigen

Unter bestimmten Voraussetzungen hat der oder die Beihilfeberechtigte nämlich auch Anspruch auf Beihilfe zu den Kosten der Behandlung seiner oder ihrer Familienangehörigen. Datenschutzrechtlich kann in eine Datenübermittlung aber grundsätzlich nur die Person einwilligen, deren Daten übermittelt werden sollen. Entsprechendes gilt im Hinblick auf die Entbindung von der ärztlichen Schweigepflicht. Eine Einwilligung (allein) des oder der Beihilfeberechtigten kann nicht dazu führen, dass der behandelnde Arzt oder die behandelnde Ärztin Auskunft über das Bestehen und den Inhalt eines Behandlungsverhältnisses mit einem oder einer Familienangehörigen des oder der Beihilfeberechtigten erteilen darf. Für den Arzt oder die Ärztin ist grundsätzlich die Einwilligung seines/ihres Patienten oder seiner/ihrer Patientin, nicht aber die des oder der (nicht behandelten) Beihilfeberechtigten für die Entbindung von der ärztlichen Schweigepflicht maßgebend (vgl. § 203 Abs. 1 Nr. 1 Strafgesetzbuch).

Schon aus diesem Grund war das von den Beihilfestellen des Landesamts für Finanzen in der Regel praktizierte Verfahren, ausschließlich die Einwilligung des oder der Beihilfeberechtigten einzuholen, zwar in Bezug auf § 48 Abs. 7 Satz 1 BayBhV nachvollziehbar. Datenschutzrechtlich, vor allem im Hinblick auf die Entbindung von der ärztlichen Schweigepflicht, war es aber nur dann zielführend, wenn der oder die Beihilfeberechtigte die Einwilligung gemeinsam mit einer entsprechenden Schweigepflichtentbindungserklärung des oder der behandelten berücksichtigungsfähigen Angehörigen erteilte.

Um Missverständnissen über die Notwendigkeit der zweifachen Einwilligung - durch den oder die Beihilfeberechtigte/n und den oder die behandelte/n Angehörige/n - auch auf Seiten der Beihilfestellen vorzubeugen, habe ich eine entsprechende Eingabe zum Anlass genommen, mich an das Landesamt für Finanzen zu wenden, auf die Rechtslage hinzuweisen und die geschilderte Praxis kritisch zu hinterfragen.

Das für die Beihilfefestsetzung im bayerischen staatlichen Bereich grundsätzlich zuständige Landesamt für Finanzen hat die Kritik angenommen und die entsprechenden Formulare geändert. Künftig ist jetzt stets auch die Einwilligung des oder der behandelten berücksichtigungsfähigen Angehörigen des oder der Beihilfeberechtigten einzuholen, sofern nicht ohnehin - vorrangig - eine pseudonymisierte Prüfung durch einen Gutachter oder eine Gutachterin in Betracht kommt. Auch darauf habe ich das Landesamt für Finanzen nochmals gesondert hingewiesen.

Da sich die geschilderte Problematik nicht nur im Zuständigkeitsbereich des Landesamts für Finanzen stellt, fordere ich alle bayerischen - insbesondere staatlichen und kommunalen - Beihilfestellen dazu auf, bei der gutachterlichen Überprüfung der Notwendigkeit und Angemessenheit einzelner Aufwendungen für die Behandlung von berücksichtigungsfähigen Angehörigen entsprechend zu verfahren.

12.5. Weitergabe von Personalaktendaten an den gemeindlichenRechnungsprüfungsausschuss

Die Gemeinden müssen ihre Haushalte sparsam und wirtschaftlich führen. Über die Bewirtschaftung der Mittel müssen sie Rechenschaft ablegen. Da ein bedeutender Anteil ihrer Ausgaben auf die Vergütung der kommunalen Bediensteten entfällt, sind auch diese Gegenstand der Finanzkontrolle.

In den Gemeinden wird diese Funktion - nach den Vorgaben der Gemeindeordnung für den Freistaat Bayern (GO) über das Prüfungswesen (Art. 103 bis 107 GO) - örtlich durch den Gemeinderat oder einen von ihm gebildeten Rechnungsprüfungsausschuss wahrgenommen; überörtlich wird sie durch den Bayerischen Kommunalen Prüfungsverband oder die staatlichen Rechnungsprüfungsstellen der Landratsämter ausgeübt.

12.5.1. Sachverhalt

Im Berichtszeitraum wandte sich nun eine Gemeindeverwaltung an mich, weil einzelne Mitglieder des Rechnungsprüfungsausschusses die Vorlage sämtlicher Personalakten und der persönlichen Gehaltsabrechnungen aller gemeindlichen Bediensteten gefordert hatten. Die Gemeindeverwaltung hielt das für datenschutzrechtlich unzulässig.

Nach Auffassung der Verwaltung müsse es genügen, dem Ausschuss anonymisierte Gehaltslisten beziehungsweise zusammenfassende Übersichten über die Vergütungen der Bediensteten zur Verfügung zu stellen, aus welchen sich im Wesentlichen nur die Anzahl der Bediensteten einer bestimmten Besoldungs- oder Entgeltgruppe in den einzelnen Sachgebieten ergebe. Der Ausschuss habe dagegen keinen Anspruch, diese Informationen in einer Weise zu erhalten, die eine konkrete Zuordnung bestimmter Zahlungen zu einzelnen Personen ermögliche. Einem umfassenden Einsichtsrecht in die Gehalts- und sonstigen Personalunterlagen stehe auch entgegen, dass damit Zugang zu Informationen ohne Bezug zur kommunalen Haushaltsführung gewährt würde. Dazu zählten etwa Informationen über die Steuerklassen einzelner Bediensteter oder über die Verwendung vermögensbildender Leistungen ebenso wie Abmahnungen oder (ältere) dienstliche Beurteilungen.

Der Rechnungsprüfungsausschuss beharrte dagegen auf einem umfassenden Einsichtsrecht. Diese Einsicht sei zur Wahrnehmung seiner Prüfungsaufgabe erforderlich.

12.5.2. Rechtliche Bewertung

Ausgangspunkt für den Interessenausgleich sind die Vorschriften der Gemeindeordnung über die Rechnungsprüfung. Art. 106 Abs. 6 Satz 1 GO verpflichtet die Gemeinden, den Organen der Rechnungsprüfung Unterlagen, die diese zur Erfüllung ihrer Aufgaben für erforderlich halten, vorzulegen oder zu übersenden:

Art. 106 GO
Inhalt der Rechnungs- und Kassenprüfungen

(1) Die Rechnungsprüfung erstreckt sich auf die Einhaltung der für die Wirtschaftsführung geltenden Vorschriften und Grundsätze, insbesondere darauf, ob

  1. die Haushaltssatzung und der Haushaltsplan eingehalten worden sind,
  2. die Einzahlungen und Auszahlungen sowie Erträge und Aufwendungen beziehungsweise die Einnahmen und Ausgaben begründet und belegt sind sowie der Jahresabschluss und der konsolidierte Jahresabschluss beziehungsweise die Jahresrechnung sowie die Vermögensnachweise ordnungsgemäß aufgestellt sind,
  3. wirtschaftlich und sparsam verfahren wird,
  4. die Aufgaben mit geringerem Personal- oder Sachaufwand oder auf andere Weise wirksamer erfüllt werden können.

[...]

(6) 1Die Organe der Rechnungsprüfung der Gemeinde und das für sie zuständige überörtliche Prüfungsorgan können verlangen, dass ihnen oder ihren beauftragten Prüfern Unterlagen, die sie zur Erfüllung ihrer Aufgaben für erforderlich halten, vorgelegt oder ihnen innerhalb einer bestimmten Frist übersandt werden. 2Auskünfte sind ihnen oder ihren beauftragten Prüfern zu erteilen. 3Die Auskunftspflicht nach den Sätzen 1 und 2 besteht auch, soweit hierfür in anderen Bestimmungen eine besondere Rechtsvorschrift gefordert wird, und umfasst auch elektronisch gespeicherte Daten sowie deren automatisierten Abruf.

Das Gesetz räumt den Rechnungsprüfungsorganen damit ein umfassendes Einsichtsrecht in Bezug auf Dateien und Akten ein, auch soweit diese Sozial- oder Personaldaten enthalten, wenn die Rechnungsprüfungsorgane ihre Kenntnis zur Erfüllung ihrer Aufgaben für erforderlich halten (vgl. Landtags-Drucksache 15/1063, S 21). Der Gesetzgeber nimmt somit grundsätzlich einen Vorrang des öffentlichen Interesses an einer umfassenden Rechnungsprüfung gegenüber persönlichen Vertraulichkeitsbelangen an.

Bereits aus der gesetzlichen Formulierung des Art. 106 Abs. 6 Satz 1 GO ergibt sich jedoch, dass auch die Rechnungsprüfungsorgane dem allgemeinen Grundsatz der Datensparsamkeit verpflichtet sind (vgl. Art. 5 Abs. 1 Buchst. c DSGVO). Sie haben kein generelles, voraussetzungsloses Einsichtsrecht, sondern in jedem Einzelfall konkret darzulegen, dass die Kenntnis der geforderten Daten für ihre Aufgabenerfüllung erforderlich ist.

Deshalb musste der Rechnungsprüfungsausschuss auch im geschilderten Fall jeweils darlegen, dass die Kenntnis der geforderten personenbezogenen statt der angebotenen anonymisierten Daten für seine Aufgabenerfüllung erforderlich war. Nur wenn der Rechnungsprüfungsausschuss plausibel erläutern kann, weshalb etwa auch der umfassende Einblick in (ältere) dienstliche Beurteilungen, in die Verwendung vermögenswirksamer Leistungen oder in bestimmte, steuerlich relevante Daten der Bediensteten objektiv geeignet und angemessen ist, um den jeweiligen Prüfungsauftrag zu erfüllen, ist die Gemeindeverwaltung verpflichtet, diese Unterlagen umfassend vorzulegen.

Allerdings ist es vorrangig die Aufgabe des Rechnungsprüfungsausschusses, die Erforderlichkeit der Akteneinsicht zu beurteilen (siehe die Formulierung in Art. 106 Abs. 6 Satz 1 GO "für erforderlich halten"). Nur in Fällen offensichtlich fehlender Erforderlichkeit kann daher eine Verweigerung der Herausgabe von angeforderten Unterlagen in Betracht kommen.

Nichts anderes ergibt sich aus der personalaktenrechtlichen Regelung des Art. 103 Satz 3 Bayerisches Beamtengesetz (BayBG), die als allgemein gültige Schutzvorschrift für alle öffentlichen Bediensteten grundsätzlich auch auf die nicht-verbeamteten Beschäftigten des bayerischen öffentlichen Dienstes entsprechend anzuwenden ist. Nach dieser Vorschrift dürfen Personalaktendaten "zu Zwecken der Rechnungsprüfung verarbeitet werden". Auch dieses Prüfungsrecht muss allerdings im Lichte des Grundsatzes der Datensparsamkeit gesehen werden. Art. 103 Satz 3 BayBG gibt den Rechnungsprüfungsorganen somit im Ergebnis kein über Art. 106 Abs. 6 Satz 1 GO hinausgehendes Einsichtsrecht in Personalakten.

Das Einsichts- und Auskunftsrecht steht im Übrigen nur dem Rechnungsprüfungsausschuss als solchem und nicht einzelnen Mitgliedern zu.