In seinem unten vermerkten 31. Tätigkeitsbericht 2021 vom 25.5.2022 setzt sich der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) unter Nr. 5.1 das Ziel, eine grundlegende Basis für die datenschutzkonforme Arbeit dieser im Grundstücksverkehr bedeutenden Gremien zu schaffen.
Ausgangspunkt war folgender Sachverhalt: Ein Bürger hat nach dem Erwerb eines Grundstücks einen Fragebogen von einem Gutachterausschuss gemäß § 192 Baugesetzbuch (BauGB) erhalten. Mit dem Fragebogen wurden neben Informationen zum Kaufobjekt selbst auch der Name des Grundstückserwerbers und seine Adress-/Kontaktdaten vom Gutachterausschuss erhoben. Der Bürger bat um die Überprüfung der Datenverarbeitung des Gutachterausschusses. Der BayLfD hebt folgende Punkte von allgemeinem Interesse hervor:
Gutachterausschuss für Grundstückswerte als Verantwortlicher
„Der Gutachterausschuss ist für die von ihm veranlasste Verarbeitung personenbezogener Daten – insbesondere Namen und Adressdaten der Grundstückseigentümer und der Vertragsparteien des Immobiliengeschäfts – als sonstige öffentliche Stelle gemäß Art. 1 Abs. 1 BayDSG Verantwortlicher nach Art. 4 Nr. 7 DSGVO.
Maßgeblich für diese Einschätzung sind folgende Erwägungen:
Verantwortlicher ist nach Art. 4 Nr. 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Wie aus dieser gesetzlichen Definition folgt, muss der Verantwortliche nicht selbst eine natürliche oder juristische Person sein, sondern kann auch eine Behörde, Einrichtung oder andere Stelle sein. In Anlehnung an den verwaltungsverfahrensrechtlichen Behördenbegriff kommt es somit vor allem darauf an, dass eine Einrichtung vorliegt, die eine gewisse organisatorische Selbstständigkeit aufweist.[1] Das heißt, sie muss vom Wechsel der Amtsinhaber unabhängig und nach der einschlägigen Zuständigkeitsregelung berufen sein, unter eigenem Namen nach außen hin eigenständige Aufgaben der öffentlichen Verwaltung wahrzunehmen.[2]
Als Verantwortlicher beziehungsweise öffentliche Stelle kommen daher grundsätzlich nicht in Betracht bloße nach außen nicht in Erscheinung tretende Arbeitseinheiten von Behörden wie Referate in Ministerien, Dezernate in nachgeordneten Behörden, Projektgruppen, Beauftragte und dergleichen.[3] Beim Gutachterausschuss handelt es sich um ein Kollegialorgan, das aus einer oder einem Vorsitzenden, ihren oder seinen Stellvertreterinnen oder Stellvertretern und weiteren ehrenamtlichen Gutachterinnen und Gutachtern besteht (vgl. § 192 Abs. 1, Abs. 2 BauGB, § 2 Verordnung über die Gutachterausschüsse, die Kaufpreissammlungen und die Bodenrichtwerte nach dem Baugesetzbuch – Gutachterausschussverordnung – BayGaV).
Der Gutachterausschuss ist nach dem Gesetz selbstständig und unabhängig (§ 192 Abs. 1 BauGB). Das heißt, er steht außerhalb der Hierarchie der Organisationseinheit, bei der er angesiedelt ist – dem Landratsamt oder der kreisfreien Gemeinde (§ 1 Abs. 1 BayGaV) –, unterliegt also nicht deren Weisungen.[4] Der Gutachterausschuss verfügt über eine Geschäftsstelle (§ 192 Abs. 4 BauGB). Diese ist die Kreisverwaltungsbehörde (§ 9 Abs. 1 BayGaV).
Dieser Umstand steht aber nicht einer Einordung des Gutachterausschusses als datenschutzrechtlich Verantwortlicher beziehungsweise öffentliche Stelle entgegen. Denn die Geschäftsstelle unterliegt bei der Führung der Geschäfte des Gutachterausschusses dessen Weisungen (§§ 9Abs. 2 und 10Abs. 2 Satz 1 BayGaV).
Dementsprechend wird das Handeln der Geschäftsstelle dem Gutachterausschuss zugerechnet.[5] Durch Gesetz sind dem Gutachterausschuss in §§ 192 ff. BauGB und § 1 Abs. 2, Abs. 3 BayGaV die Erfüllung öffentlicher Aufgaben in eigener Zuständigkeit zugewiesen. Als unabhängige Einrichtung tritt der Gutachterausschuss dabei im eigenen Namen nach außen auf. So ist es unter andere meine Aufgabe der oder des Vorsitzenden, den Gutachterausschuss nach außen zu vertreten (§ 8 Abs. 1 BayGaV).
Zu beachten ist auch, dass die einschlägigen Vorschriften, insbesondere mit datenschutzrechtlich relevantem Gehalt wie § 197 BauGB und §§ 10, 11 BayGaV, ausdrücklich den Gutachterausschuss oder dessen Geschäftsstelle adressieren, wodurch ebenfalls dessen (datenschutzrechtliche) Eigenständigkeit zum Ausdruck kommt. Hieraus folgt, dass der Gutachterausschuss Mittel und Zwecke der Datenverarbeitung bei der Erfüllung seiner Aufgaben nach § 192 ff. BauGB, § 1 Abs. 2 BayGaV bestimmt und mithin datenschutzrechtlich verantwortlich ist. Auswirkungen hat diese Einordnung vor allem bei der Benennung eines behördlichen Datenschutzbeauftragten, bei der Erfüllung von Informationspflichten und bei der Auftragsverarbeitung. Allerdings ist der den Gutachterausschuss treffende ,Aufwand‘ überschaubar.“
Behördlicher Datenschutzbeauftragter
„Als öffentliche Stelle muss der Gutachterausschuss eine oder einen behördlichen Datenschutzbeauftragten benennen (Art. 37 Abs. 1 Buchst. a DSGVO). Als solche oder solcher können beispielsweise datenschutzrechtlich geschulte Bedienstete der Geschäftsstelle des Gutachterausschusses benannt werden. Es ist aber auch möglich, externe Datenschutzbeauftragte zu benennen (Art. 37 Abs. 6 Var. 2 DSGVO).
So kann der Gutachterausschuss zum Beispiel den behördlichen Datenschutzbeauftragten oder die behördliche Datenschutzbeauftragte der Kreisverwaltungsbehörde, bei welcher der Gutachterausschuss angesiedelt ist, oder einen sonstigen (datenschutzrechtlich geschulten) Mitarbeiter oder eine Mitarbeiterin der Kreisverwaltungsbehörde als (externe) behördliche Datenschutzbeauftragte oder (externen) behördlichen Datenschutzbeauftragten benennen.
Grundlage wäre dann ein Dienstleistungsvertrag (Geschäftsbesorgungsvertrag) zwischen dem Gutachterausschuss und der Kreisverwaltungsbehörde, welcher regelt, dass der Gutachterausschuss einen Bediensteten oder eine Bedienstete der Kreisverwaltungsbehörde als behördliche Datenschutzbeauftragte oder behördlichen Datenschutzbeauftragten benennen darf.“
Informationspflichten nach Art. 13 Datenschutz-Grundverordnung
„Art. 13 DSGVO begründet für den Verantwortlichen die Pflicht, den betroffenen Personen die in Art. 13 Abs. 1 und Abs. 2 DSGVO im Einzelnen aufgeführten Informationen zu geben, wenn personenbezogene Daten erhoben werden. Zu einer solchen Datenerhebung kommt es etwa, wenn der Gutachterausschuss gemäß § 197 BauGB Auskünfte oder Unterlagen von den betroffenen Personen einfordert.
Art. 13 Abs. 1 Buchst. a DSGVO sieht vor, dass die personenbezogene Daten erhebende öffentliche Stelle die betroffene Person insbesondere über den Namen und die Kontaktdaten des Verantwortlichen informiert. Somit muss der Gutachterausschuss seine Kontaktdaten als Verantwortlicher angeben, wenn er Informationen nach Art. 13 DSGVO zur Verfügung stellt. Betreibt der Gutachterausschuss eine eigene Homepage, so ist zu beachten, dass auch insoweit die Informationspflichten nach Art. 13 Abs. 1 und 2 DSGVO zu erfüllen sind.
Das heißt, der Gutachterausschuss hat auf seiner Homepage die Informationen zur Erhebung von personenbezogenen Daten beim Betrieb der Homepage unter einer aussagekräftigen Rubrik, etwa einer Datenschutzerklärung, mitzuteilen. Das Bayerische Staatsministerium des Innern, für Sport und Integration hat auf seiner Homepage[6] ein – mit mir abgestimmtes – Muster für ein Impressum und eine Datenschutzerklärung im Internetauftritt bayerischer öffentlicher Stellen zur Verfügung gestellt. Ich rate insoweit nachdrücklich, die Datenschutzerklärung inhaltlich nach diesem Muster zu gestalten.“
Auftragsverarbeitung nach Art. 28 Datenschutz-Grundverordnung
„Schaltet ein Verantwortlicher bei der Verarbeitung personenbezogener Daten einen Dienstleister als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO ein, so ist regelmäßig ein Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO zu schließen. Da der Gutachterausschuss selbst Verantwortlicher ist, wäre es grundsätzlich denkbar, sein Verhältnis zu seiner Geschäftsstelle – der Kreisverwaltungsbehörde – mit der Folge der eingangs dargestellten Konsequenz als Auftragsverhältnis nach Art. 28 Abs. 1 DSGVO anzusehen. Hierfür spräche, dass auch die Kreisverwaltungsbehörde – das Landratsamt oder die kreisfreie Gemeinde (vgl. § 1 Abs. 1 BayGaV) – eigenständiger Verantwortlicher ist.
Allerdings bestimmt der Gesetzgeber bereits selbst in § 9Abs. 1 BayGaV ausdrücklich, dass die Geschäftsstelle des Gutachterausschusses die Kreisverwaltungsbehörde ist. Da § 9 Abs. 1 BayGaV insoweit nicht zwischen den einzelnen Organisationseinheiten der Kreisverwaltungsbehörde unterscheidet, halte ich es für vertretbar, Dienstleistungen etwa der IT-Abteilung der Kreisverwaltungsbehörde für den Gutachterausschuss als Teil der Geschäftsstelle des Gutachterausschusses selbst anzusehen, so dass insoweit kein Auftragsverhältnis im Sinne von Art. 28 Abs. 1 DSGVO vorliegt. Dies gilt jedoch nicht, wenn die Kreisverwaltungsbehörde ihre IT-Dienste nichtmehr selbst betreibt, sondern beispielsweise an eine privatrechtlich organisierte Gesellschaft ausgelagert hat. In diesem Fall wird regelmäßig ein Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO zwischen dem Gutachterausschuss und der privatrechtlich (etwa als GmbH) organisierten Gesellschaft zu schließen sein.“
Rechtsgrundlagen für die Datenverarbeitung
„Wenn der Gutachterausschuss personenbezogene Daten, wie Namen und Adress-/Kontaktdaten verarbeitet, benötigt er hierfür eine Rechtsgrundlage (vgl. Art. 6Abs. 1 DSGVO). In dem von mir geprüften Fall konnte sich der Gutachterausschuss für seine Datenverarbeitungen auf Art. 4Abs. 1BayDSG in Verbindung mit § 197 Abs. 1 BauGB und § 10 BayGaV stützen. Der Gutachterausschuss legte insoweit dar, dass die Adressen der Vertragsparteien erfasst würden, um von ihnen erforderlichenfalls weitere Informationen einholen zu können.
Im konkreten Fall des Eingabeführers sei nur noch dessen Nachname gespeichert gewesen. Dies sei erforderlich, um bei der weiteren Verarbeitung der Kauffälle und Nutzung der Immobiliendaten, beispielsweise bei Auskunftsersuchen aus der Kaufpreissammlung, die richtigen Datensätze zusammenstellen zu können. Die Namen seien etwa erforderlich, um Verwandtenverkäufe zu erkennen, welche Auswirkungen auf die Preisgestaltung haben können. Dies konnte ich nachvollziehen.“
31. Tätigkeitsbericht des Bayerischen Landesbeauftragten für den Datenschutz vom 25.05.2022, im Internet abrufbar unter https://www.datenschutz-bayern.de in der Rubrik „Tätigkeitsberichte“
Entnommen aus der Fundstelle Bayern 5/2023, Rn. 50.
[1] Vgl. Bundesverwaltungsgericht, Urteil vom 24.1.1991 – 2 C 16/88, NJW 1991, 2980; Schmitz, in: Stelkens/Bonk/Sachs, Verwaltungsverfahrensgesetz, 9. Auflage 2018, § 1 Rn. 238 ff.
[2] Vgl. Schmitz, in: Stelkens/Bonk/Sachs, Verwaltungsverfahrensgesetz, 9. Auflage 2018, § 1 Rn. 231, 238.
[3] Vgl. Schmitz, in: Stelkens/Bonk/Sachs, Verwaltungsverfahrensgesetz, 9. Auflage 2018, § 1 Rn. 240; siehe auch Wilde/Ehmann/Niese/Knoblauch, Datenschutz in Bayern, Stand 6/2018, Art. 1 BayDSG Rn. 12.
[4] Vgl. Reidt, in: Battis/Krautzberger/Löhr, Baugesetzbuch, 14. Auflage 2019, § 192 Rn. 2.
[5] Vgl. Federwisch, in: Spannowsky/Uechtritz, Beck’scher Online-Kommentar Baugesetzbuch, Stand 11/2018, § 192 Rn. 16.
[6] Internet: https://www.stmi.bayern.de/sus/datensicherheit/datenschutz/reform_arbeitshilfen.
