Sehr geehrter Herr Scheck,

vielen Dank für Ihre Antwort. In der Tat scheint Hessen die einzige Aufsicht zu sein, die der Beschwerde ernsthaft nachgegangen ist und auch etwas gefunden hat. Potential gab es bei den anderen auch genug, aber man hat die Beschwerde überwiegend ignoriert, abgelehnt, unvollständig, oder anderweitig nicht bearbeitet (11 Beschwerden) oder es bleibt unklar, was man tatsächlich mit dem Verantwortlichen bespricht (4 Beschwerden). Ernsthaftigkeit und Transparenz stelle ich mir anders vor.

Leider bleibt bei Hessen unklar, was man jetzt gedenkt zu tun, denn mangelhafte Sicherheit – und darauf berufen Sie sich doch – ist kein akzeptabler Zustand. Dazu habe ich noch eine andere Anfrage vom 20.09. an Sie offen.

Vielen Dank und viele Grüße

Joachim Lindenberg  

Sehr geehrter Herr Lindenberg,

vielen Dank für Ihre Anfrage, die der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) wie folgt beantwortet:

Frage:
Wieso erhalten wir (fast) nie ungefragt eine Standmitteilung nach Artikel 78 DSGVO?

Antwort HBDI:

Zu ihrer Beschwerde bezüglich der Sicherheit des Verwaltungsportals habe ich Frau Franke am 15. Februar, am 11. Mai und am 9. August 2022 eine kurze Sachstandsmitteilung zum laufenden Prüfverfahren zugesandt. Bezüglich ihrer Bitte um Einsichtnahme vom 2. August 2022 kam es dabei zu einer zeitlichen Überschneidung: Meine Sachstandsmitteilung vom 9. August 2022 erfolgte unabhängig von Ihrer Bitte um Einsichtnahme.

Frage:
Wieso wird Beschwerden nur nachgegangen, wenn der Betroffene erkennbar Druck macht?

• Weil Sie lieber Betroffene abwimmeln als die DSGVO durchzusetzen?
• Weil Sie Kollegen anderer Behörden nicht kritisieren wollen?
• Weil Sie unterstellen, dass die DSGVO im öffentlichen Bereich wegen BDSG §43 III sowieso nicht eingehalten wird?
• Weil Ihnen Artikel 32 (Sicherheit) nicht wichtig ist?

Antwort HBDI:

Der Beschwerde von Frau Franke bin ich unverzüglich nachgegangen. Der Beschwerdegegenstand wird aktuell von mir geprüft.

Frage:
Wieso finden wir (fast) nie eine Kommunikation mit dem Verantwortlichen?

Antwort HBDI:

Die Kommunikation des HBDI mit dem Verantwortlichen ist Teil des laufenden Prüfverfahrens, dessen Inhalte wir aufgrund der abgelehnten Einsichtnahme in die Akte nicht offenlegen können.

Frage:
Hat man sich tatsächlich im Arbeitskreis nur darüber ausgetauscht, wie man die Beschwerden am besten abwimmelt oder hat man sich dort auch über Erkenntnisse – vielleicht die von Hessen –  über die Sicherheit der Portale ausgetauscht?

Antwort HDBI:

Datenschutzrechtliche Fragen hinsichtlich der Verwaltungsportale und des Nutzerkontos spielen in der Beratungspraxis eine wichtige Rolle in der Arbeit der einzelnen Datenschutzaufsichtsbehörden und auch in der Kontaktgruppe OZG der DSK (früher UAK Portallösungen). Die Kontaktgruppe tauscht sich dabei regelmäßig auch über die Erkenntnisse einzelner Behörden aus. Die Unterstellung, dass die Datenschutzaufsichtsbehörden sich in diesem Rahmen mit dem "Abwimmeln" von Beschwerden befassen würden, ist falsch und entbehrt jeder Grundlage.

Für Rückfragen stehe ich gerne zur Verfügung.

Sehr geehrte Beauftragte für den Datenschutz,

Christina Franke hat im August eine Auskunftsanfrage zusammen mit der Bitte um Standmitteilung und Akteneinsicht an Sie und weitere Aufsichten gerichtet, deren Reaktionen wir – Christina Franke und Joachim Lindenberg – gemeinsam ausgewertet haben. Die Reaktionen waren durchwachsen, einige haben überhaupt nicht reagiert. In Anbetracht der Fülle des Materials, das wir sichten durften, können wir nicht ausschließen, dass uns etwas durchgerutscht ist. Wir möchten Ihnen die Möglichkeit geben, vor unserer Veröffentlichung – geplant für den 20.09.2022 – Stellung zu nehmen, zu den von uns beobachteten Verstößen Ihrer Behörde gegen die DSGVO. Selbstverständlich dürfen Sie auch gerne fehlende Auskünfte und Unterlagen nachliefern.

Darüberhinaus hätten wir gerne konkrete Antworten auf die folgenden Fragen:

• Wieso erhalten wir (fast) nie ungefragt eine Standmitteilung nach Artikel 78 DSGVO?
• Wieso finden wir (fast) nie eine Kommunikation mit dem Verantwortlichen?
• Wieso wird Beschwerden nur nachgegangen, wenn der Betroffene erkennbar Druck macht?
• Weil Sie lieber Betroffene abwimmeln als die DSGVO durchzusetzen?
• Weil Sie Kollegen anderer Behörden nicht kritisieren wollen?
• Weil Sie unterstellen, dass die DSGVO im öffentlichen Bereich wegen BDSG §43 III sowieso nicht eingehalten wird?
• Weil Ihnen Artikel 32 (Sicherheit) nicht wichtig ist?
• Hat man sich tatsächlich im Arbeitskreis nur darüber ausgetauscht, wie man die Beschwerden am besten abwimmelt oder hat man sich dort auch über Erkenntnisse – vielleicht die von Hessen –  über die Sicherheit der Portale ausgetauscht?

Mit freundlichen Grüßen

Christina Franke und Joachim Lindenberg
(freier Journalist, Presseausweis beigefügt)