BayernLeitfaden zum IT-Outsourcing

Was muss eine Kommune im Hinblick auf den Datenschutz beachten, wenn sie Aufgaben aus der eigenen IT-Abteilung entgeltlich an Dienstleister auslagern will? Um diese Frage zu beantworten hat der Bayerische Landesbeauftragte für den Datenschutz, Thomas Petri, gemeinsam mit dem Bayerischen Kommunalen Prüfungsverband die Einrichtung einer Arbeitsgruppe angestoßen. An dieser haben sich auch das Bayerische Staatsministerium des Innern, für Sport und Integration, die kommunalen Spitzenverbände sowie das Landesamt für Sicherheit in der Informationstechnologie beteiligt. Im Ergebnis wurde nach Angaben von Petri nun ein Leitfaden veröffentlicht, der Kommunen bei der datenschutzgerechten Auslagerung ihrer IT unterstützen soll.
Im Grundsatz könnten Kommunen zwar nach Artikel 28 Datenschutz-Grundverordnung (DSGVO) Auftragsverarbeiter einschalten, erklärt Petri. Die Voraussetzungen hierfür seien aber nur neutral und abstrakt geregelt. „Die Antwort auf die Frage, ob und inwieweit ein Outsourcing kommunaler IT zulässig ist, muss außerhalb des Art. 28 DSGVO – in anderen Bestimmungen der DSGVO sowie im nationalen Recht – gesucht werden“, unterstreicht der bayerische Landesdatenschutzbeauftragte. „Maßgeblich zu berücksichtigen ist hierbei, dass die Kommunen aufgrund ihrer breit gefächerten Zuständigkeiten Daten aus den verschiedensten fachlichen Bereichen verarbeiten – teilweise besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO oder Daten, die speziellen fachgesetzlichen Regelungen unterliegen.“ Dies seien beispielsweise Daten aus den Bereichen Meldewesen, Steuern, Personal-, Gesundheits- oder Sozialwesen. Petri: „Sofern solche bereichsspezifischen Anforderungen bestehen, müssen sie natürlich auch im Rahmen der Auftragsverarbeitung beachtet werden.“
Der „Leitfaden zum Outsourcing kommunaler IT“ steht auf der Website des Bayerischen Landesbeauftragten für den Datenschutz zum kostenlosen Download bereit.