X. Tätigkeitsbericht des Landesbeauftragten für den Datenschutz Sachsen-Anhalt vom 01.04.2009 - 31.03.2011
24.3 Kontrolle in einer JVA - Auftragsdatenverarbeitung in der Justiz
Der Landesbeauftragte hatte in seinem IX. Tätigkeitsbericht (Nr. 23.2) berichtet, dass er anlässlich einer Kontrolle einer Justizvollzugsanstalt festgestellt hatte, dass das Landgericht Magdeburg für die Justizvollzugsanstalt einen Vertrag zur Entsorgung von Datenträgern mit einem privaten Unternehmen geschlossen hatte. Es lag daher ein klassischer Fall der Auftragsdatenverarbeitung vor. Im Zuge der Nachforschungen stellte sich heraus, dass das Gericht entsprechende Verträge auch für eine weitere Justizvollzugsanstalt sowie für die in seinem örtlichen Zuständigkeitsbereich gelegenen Amtsgerichte und das Justizzentrum Magdeburg geschlossen hatte.
Der Landesbeauftragte hat das Justizministerium als für den Strafvollzug zuständige Fachaufsichtsbehörde um Auskunft gebeten, auf welcher Rechtsgrundlage das Gericht tätig geworden sei. Er hat das Ministerium darauf aufmerksam gemacht, dass der Auftrag nach § 8 Abs. 2 Sätze 1 und 2 DSG-LSA entweder durch die zuständige Stelle, in deren Auftrag die Daten verarbeiten werden sollen oder gem. § 8 Abs. 2 Satz 3 DSG-LSA durch die zuständige Fachaufsichtsbehörde erteilt werden müsse. Es sei nicht zweifelsfrei zu erkennen, dass das Handeln des Landgerichts Magdeburg den gesetzlichen Voraussetzungen entspreche, denn das Gericht sei weder die Stelle, in deren Auftrag die Daten hätten verarbeitet werden sollen, noch die für die Justizvollzugsanstalt zuständige Fachaufsichtsbehörde gewesen.
Erst nach mehrfachen Rückfragen zur einschlägigen Rechtsgrundlage hat das Justizministerium vorgetragen, dass das Landgericht Magdeburg zum Abschluss des Vertrags zur Entsorgung von Datenträgern für die o. g. Behörden und Gerichte berechtigt gewesen sei, da die Leiter der beteiligten Behörden die Präsidentin des Landgerichts Magdeburg zum Abschluss der Verträge ermächtigt hätten. Die Bevollmächtigung sei allerdings nicht schriftlich, sondern nur mündlich erfolgt. Die beteiligten Parteien seien daher gebeten worden, die getroffenen Vereinbarungen auf eine schriftliche Basis zu heben.
Offensichtlich hat das Ministerium seine Argumentation für nicht ganz stichhaltig gehalten, denn es hat sich ferner darauf berufen, dass das Landgericht auch deshalb zum Abschluss der Verträge befugt gewesen sei, da ihm durch die Ausführungsvorschrift (AV) des Justizministeriums vom 3. Juli 1992 (MBl. LSA 1992 S. 928) die Aufgaben einer zentralen Beschaffungsstelle übertragen worden seien. Als solche sei das Gericht dann tätig geworden. Diese Auffassung ist jedoch nicht überzeugend. Die AV regelt allgemein die Zentralisierung des Beschaffungswesens für die Justizbehörden und bestimmt, nach welchen Vorschriften das Landgericht Magdeburg als zentrale Beschaffungsstelle Aufträge zu vergeben hat (§ 55 LHO nebst VV-LHO). Sie erfasst somit den Normalfall der Beschaffung von Bedarfsgütern. Dementsprechend geht sie auf die besonderen Anforderungen für Verträge, die Beschaffungen bzw. Entsorgungen im Rahmen einer Auftragsdatenverarbeitung betreffen, in ihrem Wortlaut nicht ein. So fehlt z. B. eine Bestimmung, aus der sich ergibt, dass das Ministerium der Justiz des Landes Sachsen-Anhalt das Recht nach § 8 Abs. 2 Satz 3 DSG-LSA als Fachaufsichtsbehörde, Verträge zur Auftragsdatenverarbeitung zu schließen, an das Landgericht Magdeburg delegiert hat.
Nicht geregelt ist auch der Umgang mit den sich aus § 8 Abs. 6 DSG-LSA ergebenden Prüfpflichten, die das Landgericht Magdeburg als Auftraggeber einzuhalten hätte. Im Übrigen ist darauf zu verweisen, dass die AV auch schon deshalb nicht als Rechtsgrundlage für den hier in Frage stehenden Abschluss von Entsorgungsverträgen herangezogen werden kann, weil sie die Entsorgung von Bedarfsgütern für die Justizbehörden gar nicht erfasst. Die Zuweisung von Aufgaben als Beschaffungsstelle für Sachgüter, z. B. Papier, ist ein Aliud gegenüber der Entsorgung von Datenträgern mit personenbezogenen Daten. Der Umstand, dass die AV nur kurze Zeit nach dem Inkrafttreten des DSG-LSA erlassen wurde und Regelungen zur Auftragsdatenverarbeitung in ihr nicht enthalten sind, spricht dafür, dass die Problematik bei ihrem Erlass nicht gesehen wurde.
Der Landesbeauftragte hat daher das Justizministerium gebeten, seine Rechtsauffassung zu überprüfen. In seiner Stellungnahme hat das Ministerium dem Landesbeauftragten mitgeteilt, dass es sich bei der Berufung auf die AV lediglich um eine Hilfserwägung gehandelt habe, es solle bei der Lösung der Einzelbevollmächtigung bleiben.
Unter datenschutzrechtlichen Gesichtspunkten ist das gewählte Konstrukt nicht optimal, da das Landgericht Magdeburg für die von ihm vertretenen Behörden und Gerichte zwar die Verträge über die Auftragsdatenverarbeitung schließt, später aber für die Überwachung der Einhaltung der von ihm ausgehandelten Regelungen nicht mehr zuständig ist; denn dies ist nach § 8 DSG-LSA die Aufgabe der Stelle, in deren Auftrag die Daten erhoben, verarbeitet oder genutzt werden. Die Kontrolle des Auftragnehmers ist also Aufgabe der vertretenen Stelle. Unter datenschutzrechtlichen Aspekten wäre es vorzugswürdig, wenn Vertragsabschluss und Kontrolle in einer Hand lägen. Da davon auszugehen ist, dass bei den vertretenen Stellen hinreichender juristischer Sachverstand zum Abschluss von Verträgen zur Auftragsdatenverarbeitung vorhanden ist, stellt sich ohnehin die Frage, ob es überhaupt der Einschaltung eines Vertreters bedarf.
