Die DSGVO gilt auch für die kommunale Verwaltung. Welche ergänzenden Vorschriften und welche Aufsicht zuständig sind, hängt jedoch von Bundesland, Aufgabe und organisatorischer Form ab. Ein Bürgeramt, eine kommunale Klinik und eine Stadtwerke-GmbH lassen sich nicht allein wegen ihrer Verbindung zur Gemeinde gleich behandeln. Dieser Leitfaden hilft, ein konkretes Fachverfahren einzuordnen, Verantwortlichkeiten festzulegen und die dafür benötigten Nachweise zusammenzuführen.
Für Behörden und öffentliche Stellen verlangt Artikel 37 Absatz 1 Buchstabe a DSGVO einen Datenschutzbeauftragten; ausgenommen sind Gerichte bei ihrer justiziellen Tätigkeit. Eine Gemeinde fällt gewöhnlich unter diese Pflicht unabhängig von ihrer Größe. Daraus folgt weder, dass jede einzelne Dienststelle einen eigenen Beauftragten benötigt, noch dass dieser die Verantwortung der Behördenleitung übernimmt. Entscheidend ist eine Organisation, in der Fachämter, IT und Leitung ihre Aufgaben tatsächlich erfüllen können.
Landesdatenschutzrecht und Fachrecht zuerst zuordnen
Die Aussage, das BDSG gelte für Kommunen niemals, ist zu pauschal. Für kommunale öffentliche Stellen sind grundsätzlich das einschlägige Landesdatenschutzrecht und das jeweilige Fachrecht zu prüfen. Zusätzlich enthält § 1 BDSG Regeln zum Anwendungsbereich, unter anderem für bestimmte öffentliche Stellen der Länder, soweit der Datenschutz nicht durch Landesgesetz geregelt ist und weitere Voraussetzungen erfüllt sind. Bundesrechtliche Spezialvorschriften können kommunale Tätigkeiten ebenfalls unmittelbar prägen.
Beginnen Sie deshalb mit dem Verwaltungsverfahren, nicht mit dem Namen der Software. Beim Melderegister sind andere Befugnisse maßgeblich als bei Sozialleistungen, Personalverwaltung oder einer freiwilligen Veranstaltungsanmeldung. Notieren Sie für jede Tätigkeit die konkrete öffentliche Aufgabe, die verarbeiteten Daten und die einschlägigen Normen. Eine pauschale Angabe „DSGVO“ erklärt nicht, weshalb eine bestimmte Angabe erhoben oder an eine andere Stelle übermittelt werden darf.
Kommunale Beteiligungsgesellschaften benötigen eine gesonderte Einordnung. Landesgesetze können für öffentliche Stellen, die am Wettbewerb teilnehmen, Vorschriften für nicht öffentliche Stellen vorsehen. Das ist kein Detail für den Bußgeldfall, sondern kann bereits die Auswahl nationaler Verarbeitungsvorschriften beeinflussen. Der Überblick zu BDSG und DSGVO unterstützt diese Abgrenzung; die landesrechtliche Prüfung für den konkreten Träger bleibt erforderlich.
Zuständige Aufsicht bestimmen
Für kommunale öffentliche Stellen ist regelmäßig die Datenschutzaufsicht des jeweiligen Landes zuständig. Die Trennung zwischen Aufsicht über öffentliche und nicht öffentliche Stellen ist jedoch nicht bundesweit einheitlich. In zahlreichen Ländern nimmt dieselbe Behörde beide Aufgaben wahr. Bayern kennt dagegen den Landesbeauftragten für den öffentlichen Bereich und das Landesamt für Datenschutzaufsicht für den nicht öffentlichen Bereich, mit gesetzlich geregelten Besonderheiten.
Auch wirtschaftliche Betätigung führt nicht automatisch zu einem Wechsel der zuständigen Aufsicht. Artikel 1 Absatz 3 des Bayerischen Datenschutzgesetzes lässt die Zuständigkeit des Landesbeauftragten ausdrücklich unberührt, wenn öffentliche Stellen als Unternehmen am Wettbewerb teilnehmen. Vermeiden Sie deshalb die Gleichsetzung „wirtschaftlich tätig, also private Aufsicht“. Prüfen Sie die Zuständigkeitsnorm neben den materiellen Datenschutzregeln.
Halten Sie die ermittelte Aufsicht mit einem aktuellen Kontaktweg im Vorfallverfahren fest. Hinweise zu einzelnen Behörden finden Sie etwa beim LfDI Baden-Württemberg und in der Einordnung des BfDI. Der BfDI ist kein allgemeiner Ersatz für die Landesaufsicht, wenn eine Gemeinde Bundesrecht vollzieht. Bei Unklarheiten sollte die Zuständigkeit früh geklärt werden, bevor eine dringende Meldung ansteht.
Behördlicher Datenschutzbeauftragter: Aufgabe und Grenzen
Der Datenschutzbeauftragte berät und überwacht die Einhaltung der Vorschriften. Er muss rechtzeitig in neue Vorhaben einbezogen werden, Zugang zu notwendigen Informationen erhalten und seine Aufgaben unabhängig ausüben können. Die Leitung braucht einen geregelten Weg, auf seine Hinweise zu reagieren. Eine Benennungsurkunde ohne Zeitbudget, Vertretung und Beteiligungsprozess löst das organisatorische Problem nicht.
Mehrere öffentliche Stellen dürfen unter Berücksichtigung ihrer Organisationsstruktur und Größe einen gemeinsamen Beauftragten benennen. Bei einer interkommunalen Lösung sind Erreichbarkeit, Ortskenntnis, Priorisierung und Ressourcen konkret zu regeln. Eine kleine Kommune mit komplexen Sozial- oder Gesundheitsverfahren kann einen erheblichen Beratungsbedarf haben. Die Zahl der Einwohner ist deshalb kein ausreichender Maßstab für den notwendigen Aufwand.
Der Beauftragte entscheidet nicht anstelle des Fachamts über den Zweck eines Verfahrens und sollte nicht zugleich eine Rolle übernehmen, in der er die von ihm zu kontrollierenden Zwecke und Mittel selbst bestimmt. Das Fachamt beschreibt den Bedarf, die IT setzt die Maßnahmen um und die Leitung verantwortet die Entscheidung. Diese Trennung schützt sowohl die Unabhängigkeit der Beratung als auch die Nachvollziehbarkeit der kommunalen Verantwortung.
Rechtsgrundlagen im Verwaltungsalltag
Bei der Wahrnehmung öffentlicher Aufgaben kommen insbesondere Artikel 6 Absatz 1 Buchstaben c und e in Verbindung mit einer tragfähigen unionsrechtlichen oder nationalen Grundlage in Betracht. Die Norm muss zur konkreten Verarbeitung passen. Dass eine Kommune allgemein für eine Aufgabe zuständig ist, beantwortet noch nicht jede Frage nach zusätzlichen Datensätzen, neuen Empfängern oder einer längerfristigen Vorratsspeicherung.
Artikel 6 Absatz 1 Buchstabe f gilt für Behörden bei der Erfüllung ihrer Aufgaben nicht. Ebenso wenig ist eine Einwilligung ein bequemer Ersatz für eine fehlende gesetzliche Befugnis. Bürger können bei einer notwendigen Verwaltungsleistung häufig nicht frei auf die Verarbeitung verzichten. Für eine tatsächlich freiwillige Zusatzleistung kann eine Einwilligung in Betracht kommen, wenn Ablehnung und Widerruf keine unangemessenen Nachteile verursachen und die übrigen Voraussetzungen vorliegen.
Ein hypothetisches Beispiel: Eine Gemeinde bietet neben der Bearbeitung eines Bauantrags einen freiwilligen Newsletter über Veranstaltungen an. Die Antragsdaten dürfen nicht automatisch in die Verteilerliste wandern. Die Zwecke unterscheiden sich, und der Wunsch nach effizienter Öffentlichkeitsarbeit schafft keine entsprechende Befugnis. Das Antragsverfahren und die Newsletter-Anmeldung sollten organisatorisch getrennt und jeweils mit passenden Informationen versehen werden.
Verzeichnis aus den tatsächlichen Verfahren aufbauen
Das Verzeichnis von Verarbeitungstätigkeiten ist die Verbindung zwischen Fachaufgabe und operativem Datenschutz. Eine bloße Liste der eingesetzten Anwendungen reicht nicht. Eine Anwendung kann mehrere Tätigkeiten unterstützen; umgekehrt kann ein Verfahren über Fachsoftware, E-Mail, Papierakte und Archiv verteilt sein. Beschreiben Sie den Zweck so, dass die zuständige Person den realen Ablauf wiedererkennt.
Artikel 30 nennt unter anderem Verantwortliche, Zwecke, Kategorien betroffener Personen und Daten, Empfängerkategorien sowie gegebenenfalls Übermittlungen. Soweit möglich sind vorgesehene Löschfristen und eine allgemeine Beschreibung der Sicherheitsmaßnahmen aufzunehmen. Konkrete Rechtsgrundlagen, Verfahrensverantwortliche und Verweise auf Dienstleisterunterlagen sind hilfreiche Ergänzungen. Kennzeichnen Sie diese zusätzlichen Arbeitsfelder, statt sämtliche interne Dokumentationswünsche als ausdrücklichen Wortlaut des Artikels auszugeben.
Kleine Verwaltungseinheiten sind nicht allein wegen weniger als 250 Beschäftigten befreit. Die Ausnahme nach Artikel 30 Absatz 5 greift für relevante Verarbeitungen nicht, wenn sie nicht nur gelegentlich erfolgen, voraussichtlich ein Risiko für Rechte und Freiheiten bergen oder besondere Kategorien beziehungsweise Daten nach Artikel 10 umfassen. Regelmäßige Personal- und Verwaltungsverfahren sind daher nicht durch einen pauschalen Verweis auf die Gemeindegröße erledigt.
Aufbewahrung, Löschung und Archivierung unterscheiden
Ein kommunales Löschkonzept muss fachgesetzliche Aufbewahrungsregeln, tatsächliche Bearbeitungszwecke und archivrechtliche Anforderungen zusammenbringen. Die DSGVO schreibt nicht für sämtliche Verwaltungsakten eine einheitliche Anzahl von Jahren vor. Eine Akte kann nach Abschluss des laufenden Verfahrens zunächst noch für einen zulässigen Nachweiszweck benötigt werden; anschließend können landesrechtliche Anbietungspflichten gegenüber dem zuständigen Archiv einschlägig sein.
Archivierung bedeutet nicht, dass jede Fachabteilung alle Daten unbegrenzt weiter nutzen darf. Ordnen Sie die Übergabe, Zugriffsrechte und zulässigen Zwecke ausdrücklich. Auch eine noch laufende Aufbewahrungsfrist rechtfertigt keinen unveränderten Zugriff sämtlicher Beschäftigter. Die Vorlage für ein Löschkonzept hilft, Auslöser, Frist, Zuständigkeit und technische Umsetzung getrennt zu dokumentieren.
Prüfen Sie Nebenbestände: heruntergeladene Listen, lokale Kopien, Scanverzeichnisse und Anhänge in Funktionspostfächern. Wird ausschließlich im Fachverfahren gelöscht, bleibt der Datensatz möglicherweise an anderer Stelle bestehen. Ein praktikabler Ablauf benennt diese Speicherorte und erklärt, wie notwendige Beweissicherung oder eine konkrete Löschsperre abgegrenzt wird. Eine allgemeine Sorge vor möglichen Beschwerden genügt nicht als dauerhafte Aufbewahrungsregel.
Datenübermittlung zwischen Behörden
Es gibt kein allgemeines Behördenprivileg für beliebigen Datenaustausch. Bei einer Anfrage einer anderen Stelle ist zu klären, welche Daten diese zu welchem Zweck benötigt und auf welche Befugnis die Übermittlung gestützt wird. Eine sichere Leitung ersetzt die Rechtsgrundlage nicht. Umgekehrt verlangt eine zulässige Übermittlung weiterhin eine angemessene Beschränkung des Inhalts und einen geschützten Übermittlungsweg.
Ein hypothetischer Fall: Ein Amt fordert die vollständige Akte an, obwohl für seine Entscheidung nur eine bestätigte Tatsache erforderlich ist. Das abgebende Amt prüft, ob eine begrenzte Auskunft genügt und ob besonders geschützte Informationen enthalten sind. Es dokumentiert die Entscheidung nachvollziehbar. Bei wiederkehrenden Anfragen kann ein abgestimmter Prozess mit festgelegten Feldern den Aufwand reduzieren und zugleich unnötige Offenlegungen verhindern.
Berücksichtigen Sie bei Sozialdaten, Gesundheitsdaten und anderen gesetzlich besonders geschützten Beständen die zusätzlichen Voraussetzungen. Eine verwaltungsinterne Umorganisation darf diese Schranken nicht durch ein gemeinsames Laufwerk umgehen. Für kommunale Schulträger kommt außerdem die Abgrenzung zu Aufgaben von Schule und Land hinzu; hierzu bietet der Beitrag über Datenschutz in Bildungseinrichtungen weitere Orientierung.
Kommunale IT-Dienstleister und gemeinsame Verfahren
Ein kommunales Rechenzentrum wird nicht allein deshalb gemeinsam Verantwortlicher, weil es mehrere Gemeinden bedient. Entscheidend ist, wer Zwecke und wesentliche Mittel der jeweiligen Verarbeitung bestimmt. Führt der Dienstleister die Verarbeitung für die Kommune nach deren dokumentierten Weisungen durch, ist Artikel 28 zu prüfen. Treffen mehrere Stellen gemeinsam die maßgeblichen Entscheidungen, kann Artikel 26 einschlägig sein.
Auftragsverarbeitung muss durch einen schriftlichen Vertrag oder einen anderen bindenden Rechtsakt nach Unionsrecht oder dem Recht eines Mitgliedstaats geregelt sein; die elektronische Form ist eingeschlossen. Gerade im öffentlichen Bereich darf die Möglichkeit eines geeigneten Rechtsakts nicht übergangen werden. Dessen Inhalt muss die Anforderungen des Artikels 28 tatsächlich erfüllen. Eine bloße allgemeine Kooperationsvereinbarung oder Satzung ohne entsprechende Regelungen genügt dafür nicht automatisch.
Prüfen Sie beim Einkauf Datenzugriffe, Unterauftragnehmer, Unterstützungsleistungen und die Rückgabe oder Löschung am Vertragsende. Eine europäische Rechnungsadresse beweist nicht, dass keine Drittlandübermittlung stattfindet. Fernsupport und weitere Empfänger gehören in die Prüfung. Der Leitfaden zum AVV-Muster erklärt die vertraglichen Prüfpunkte; die fachgesetzliche Zulässigkeit des kommunalen Verfahrens bleibt eine zusätzliche Aufgabe.
OZG-Digitalisierung ohne zusätzliche Datensammlung
Das Onlinezugangsgesetz, § 1a, regelt den elektronischen Zugang zu Verwaltungsleistungen. Für ein konkretes Portal sind seine einschlägigen Vorgaben und weitere Fachvorschriften zu prüfen. Die Digitalisierung erlaubt nicht automatisch, sämtliche Nachweise dauerhaft zentral zu speichern oder Angaben aus verschiedenen Verwaltungsbereichen beliebig zusammenzuführen. Jede zusätzliche Verknüpfung benötigt eine eigene sachliche und rechtliche Beurteilung.
Datenschutz durch Technikgestaltung beginnt beim Entwurf des Formulars. Prüfen Sie für jedes Pflichtfeld, weshalb es benötigt wird und ob eine Bestätigung oder weniger genaue Angabe ausreicht. Bieten Sie passende Authentisierung, begrenzte Uploadmöglichkeiten und verständliche Hinweise. Eine technische Voreinstellung, die überflüssige Kopien an zahlreiche Postfächer sendet, kann ein ansonsten sorgfältig konzipiertes Portal entwerten.
Vor dem Start sollte ein beispielhafter Antrag den gesamten Ablauf durchlaufen: Eingang, Zuständigkeitswechsel, Rückfrage, Bescheid, Aufbewahrung und Löschung. Beobachten Sie dabei insbesondere abgebrochene Anträge und doppelte Anhänge. Bei voraussichtlich hohem Risiko ist rechtzeitig eine Datenschutz-Folgenabschätzung erforderlich. Eine Freigabe des Softwareanbieters ersetzt weder diese Bewertung noch die Entscheidung der zuständigen kommunalen Stelle.
Betroffenenrechte und Vorfälle bearbeiten
Für Auskunft, Berichtigung und weitere Betroffenenrechte braucht die Verwaltung einen verlässlichen Eingang und eine Weiterleitung an das zuständige Fachamt. Artikel 12 verlangt grundsätzlich eine Antwort ohne unangemessene Verzögerung, spätestens innerhalb eines Monats nach Eingang. Eine zulässige Verlängerung wegen Komplexität oder Zahl der Anträge muss innerhalb dieses ersten Monats mit Gründen mitgeteilt werden. Bei Untätigkeit gegenüber dem Antrag gelten die besonderen Informationspflichten des Artikels 12 Absatz 4.
Beschränkungen können sich aus einschlägigem Recht ergeben, sind jedoch konkret zu prüfen. Verwechseln Sie eine datenschutzrechtliche Auskunft nicht mit einem Akteneinsichts- oder Informationszugangsantrag. Dieselbe Nachricht kann mehrere Ansprüche enthalten, die unterschiedliche Reichweiten haben. Eine nachvollziehbare Antwort ordnet diese ein und erklärt eine teilweise Ablehnung, anstatt lediglich auf eine interne Zuständigkeitsordnung zu verweisen.
Bei einer Verletzung des Schutzes personenbezogener Daten gilt Artikel 33: Meldung an die zuständige Aufsicht unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, es sei denn, dass die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten führt. Eine spätere Meldung benötigt Gründe. Jede solche Verletzung wird dokumentiert; die Benachrichtigung betroffener Personen bei hohem Risiko nach Artikel 34 ist gesondert zu prüfen. Nicht jede technische Störung ist zugleich eine Datenschutzverletzung.
Bußgelder: keine bundesweite Pauschalaussage
Artikel 83 Absatz 7 lässt nationale Regeln zu Geldbußen gegen Behörden und öffentliche Stellen zu. Daraus folgt keine allgemeine kommunale Immunität. In Bayern erlaubt Artikel 22 BayDSG Geldbußen gegen die dort bezeichneten öffentlichen Stellen, soweit sie als Unternehmen am Wettbewerb teilnehmen. Diese konkrete Ausnahme zeigt, weshalb Träger, Tätigkeit und Landesrecht vor einer Aussage zur Bußgeldfähigkeit geprüft werden müssen.
Auch das Datenschutzgesetz Nordrhein-Westfalen unterscheidet in seinem Anwendungsbereich und bei seinen Sanktionen. Seine Regeln lassen sich nicht unverändert auf ein anderes Bundesland übertragen. Für eine kommunale Unternehmensgruppe sollte die rechtliche Einordnung deshalb pro betroffener Stelle und Tätigkeit dokumentiert werden. Der Ausschluss einer Geldbuße beantwortet zudem nicht, welche sonstigen Aufsichtsbefugnisse bestehen.
Anordnungen, Beschränkungen und weitere Maßnahmen können den Betrieb eines Verfahrens unmittelbar betreffen. Schadenersatz nach Artikel 82 setzt dessen Voraussetzungen voraus, insbesondere Schaden und Kausalität; er entsteht nicht automatisch bei jedem formalen Fehler. Ebenso wenig führt jeder Datenschutzverstoß zwangsläufig zu persönlicher Haftung oder einer Straftat eines Amtsträgers. Diese Fragen sind jeweils eigenständig nach den einschlägigen Vorschriften zu bewerten.
Ein neues Verfahren entscheidungsreif machen
Für die Leitung ist ein kurzer, nachvollziehbarer Entscheidungsvermerk meist nützlicher als eine unstrukturierte Sammlung von Formularen. Er sollte erklären, welche Aufgabe umgesetzt wird, welche Datenflüsse notwendig sind, wer verantwortlich ist und welche offenen Risiken bestehen. Hinterlegen Sie dazu die geprüften Rechtsgrundlagen, die Stellungnahme des Datenschutzbeauftragten, die technischen Maßnahmen und gegebenenfalls die Folgenabschätzung.
Bei einem hypothetischen Bürgerportal kann eine noch ungeklärte Auslandsunterstützung ein Starthemmnis sein, während eine redaktionelle Verbesserung eines internen Hinweises einen anderen Stellenwert hat. Ordnen Sie jeden offenen Punkt nach seiner tatsächlichen Bedeutung ein. Nach dem Start müssen Änderungen von Zweck, Dienstleister, Datenfeldern oder Berechtigungen erneut bewertet werden. Damit bleibt die dokumentierte Entscheidung mit dem realen Verwaltungsablauf verbunden.
Rechtsstand der Bearbeitung: 29. September 2026. Grundlage sind die DSGVO, die genannten Bundesvorschriften sowie exemplarisch Bayern und Nordrhein-Westfalen. Diese Beispiele ersetzen keine Prüfung des einschlägigen Landes- und Fachrechts für ein anderes Bundesland.