Bei dem Betrieb von Mängelmeldern durch Kommunen sind, sofern personenbezogene Daten der Meldenden und Dritten verarbeitet werden, die datenschutzrechtlichen Vorschriften zu beachten.

Zahlreiche Kommunen in Baden-Württemberg betreiben auf ihren Webseiten sogenannte „Mängelmelder“. Überwiegend sind dies Portale, die von der Kommune selbst oder einem Dienstleister bereitgestellt werden. Bürger_innen können dort Mängel, z.B. eine beschädigte Ampel oder eine vermüllte Stelle, sowie die konkrete Örtlichkeit, an dem dieser Mangel festzustellen ist, an die Kommune melden. Es handelt sich dabei um ein digitales Angebot der Kommunen, insbesondere für mehr Sauberkeit. Bei vielen dieser Portale ist es möglich, neben der reinen Meldung des Schadens auch ein Lichtbild hochzuladen, welches den Mangel zeigt. Die jeweilige Meldung einschließlich der Angaben zur Örtlichkeit und des Lichtbilds wird dann häufig von den Kommunen über das Mängelmeldeportal veröffentlicht, sodass sie für alle Besucher_innen des Portals frei einsehbar ist. Die Kommune kann den Meldungen noch einen Bearbeitungsstatus zuweisen, wie z.B. „in Bearbeitung“ oder „erledigt“.

Eine Adresse, ein Lichtbild oder auch eine Adresse zusammen mit einem Lichtbild kann ein personenbezogenes Datum darstellen. Davon ausgehend, dass die Kommune den Mängelmelder selbst betreibt, also die Meldungen entgegennimmt und diese veröffentlicht oder durch einen Dienstleister als Auftragsverarbeiter entgegennehmen und veröffentlichen lässt, ist die Kommune verantwortliche Stelle für die Verarbeitung der personenbezogenen Daten. Mithin ist die Kommune auch für die Einhaltung der datenschutzrechtlichen Vorschriften verantwortlich.

Wie bei jeder Verarbeitung personenbezogener Daten bedarf es einer Rechtsgrundlage. Wir gehen davon aus, dass es sich bei der Bereitstellung eines Portals für die Meldung von Mängeln und der Veröffentlichung der gemeldeten Mängel nebst Bearbeitungsstatus durch die Kommune insbesondere als digitale Maßnahme für mehr Sauberkeit um eine öffentliche Aufgabe im Sinne des § 4 LDSG handelt. Um die Voraussetzungen der Rechtsgrundlage zu erfüllen, müsste die Verarbeitung der personenbezogenen Daten für die Erfüllung der öffentlichen Aufgabe aber auch erforderlich sein. Aus unserer Sicht ist es für die Bearbeitung der Mängel und Mitteilung des Bearbeitungsstatus zumindest nicht erforderlich, dass die Kommune personenbezogene Daten im Zusammenhang mit einer Mängelmeldung in einem Mängelmeldeportal veröffentlicht, die Voraussetzungen der Rechtsgrundlage sind mithin nicht erfüllt.

Nachdem die Voraussetzungen der Rechtsgrundlage zumindest für die Veröffentlichung von personenbezogenen Daten in einem Mängelmeldeportal nicht erfüllt sind, muss die Kommune als verantwortliche Stelle, sofern die Meldungen überhaupt veröffentlicht werden sollen, durch technische und organisatorische Maßnahmen sicherstellen, dass keine personenbezogenen Daten veröffentlicht werden. Hierzu sind unterschiedliche Lösungen denkbar. Beispielsweise könnten die Melder_innen vor dem Absenden der Meldung bereits darauf hingewiesen werden, welche Mängel über das Portal überhaupt gemeldet werden können, also z.B. keine Ordnungswidrigkeiten wie falschparkende Fahrzeuge, und dass die Meldung möglichst keine personenbezogenen Daten enthalten sollte, wobei gegebenenfalls mit Beispielen erläutert werden könnte, wann ein datenschutzrechtlicher Personenbezug vorliegt. Im Anschluss könnte mittels eines gestuften Verfahrens sichergestellt werden, dass keine personenbezogenen Daten veröffentlicht werden, indem die Mängelmeldung nicht automatisiert veröffentlicht wird, sondern von der verantwortlichen Stelle oder auch im Rahmen einer Auftragsverarbeitung durch den Dienstleister darauf hin überprüft wird, ob sie personenbezogene Daten enthält, und diese gegebenenfalls vor der Veröffentlichung löscht, entfernt oder unkenntlich macht. Danach kann eine Veröffentlichung im Mängelmeldeportal ohne personenbezogene Daten erfolgen.

Unabhängig davon, ob die Mängel in dem Mängelmeldeportal veröffentlicht werden sollen oder nicht, muss sich die Kommune zunächst mit der Frage auseinandersetzen, ob sie den Mängelmelder selbst oder durch einen Dienstleister betreiben will. Sofern dieser durch einen Dienstleister betrieben werden soll, ist ein schriftlicher Auftragsverarbeitungsvertrag mit dem Dienstleister abzuschließen.

Ebenfalls unabhängig davon, ob die Meldungen veröffentlicht werden oder nicht, gelten für die Mängelmeldeportale die allgemeinen datenschutzrechtlichen Bestimmungen. Dies bedeutet unter anderem und nicht abschließend, dass in einer Datenschutzerklärung auch die meldenden Personen sowie Dritte darüber informiert werden müssen, ob gegebenenfalls ein Auftragsverarbeitungsverhältnis besteht, welche Informationen möglicherweise über sie auf welcher Rechtsgrundlage wie verarbeitet werden, welche Rechte ihnen zu stehen etc. Ein Löschkonzept ist zu erarbeiten, welches festlegt, wann die Daten der meldenden Person und gegebenenfalls die Daten von Dritten wieder zu löschen sind. Auch muss durch technische und organisatorische Maßnahmen die angemessene Sicherheit der personenbezogenen Daten sichergestellt sein.

Der Betrieb von Mängelmeldeportalen durch Kommunen ist möglich, allerdings muss die Kommune als verantwortliche Stelle bei der Einrichtung und dem Betrieb des Portals einige datenschutzrechtliche Anforderungen beachten. Bei einer Veröffentlichung der Meldungen muss sie insbesondere dafür Sorge tragen, beispielsweise durch ein mehrstufiges Verfahren, dass in einem im Internet frei zugänglichen Mängelmeldeportal keine personenbezogenen Daten veröffentlicht werden. Sofern Kommunen bereits ein Mängelmeldeportal betreiben und in der Vergangenheit personenbezogene Daten veröffentlicht haben, empfehlen wir dringend, das Verfahren entsprechend anzupassen und die bereits veröffentlichten personenbezogenen Daten unverzüglich zu löschen.

 

Bild: Joahna Kuiper / Better Images of AI / Little data houses / Licenced by CC-BY 4.0

 

——

Für Rückfragen erreichen Sie uns unter der Telefonnummer
0711/615541-23 und per E-Mail: pressestelle@lfdi.bwl.de

Weitere Informationen zu Datenschutz und Informationsfreiheit finden Sie im Internet unter www.baden-wuerttemberg.datenschutz.de oder unter www.datenschutz.de.