Aber auch durch eine stark steigende Anzahl der Anfra‑
gen und Beschwerden von Bürgerinnen und Bürgern
wurde das ein oder andere datenschutzrechtliche Thema
aus dem Postbereich an mich herangetragen. Diese
zunehmende Aufmerksamkeit der betroffenen Bürgerin‑
nen und Bürger für den Datenschutz und das kritische
Hinterfragen von Verarbeitungsprozessen (Darf der
das? Ist das denn überhaupt erforderlich?) begrüße ich
ausdrücklich.
Die Kontrolle wurde mir nur widerwillig ermöglicht,
nachdem zunächst meine Zuständigkeit angezweifelt
worden war. Bei der Kontrolle hatte ich den Eindruck,
als seien einige datenschutzrechtliche Vorgaben, die
bereits nach dem BDSG (alt) gegolten haben – etwa die
Bestellung eines/r Datenschutzbeauftragten – erst kurz‑
fristig umgesetzt worden. Auch wenn ich zum Zeitpunkt
der Kontrolle von einem grundsätzlichen Bewusstsein
für den Datenschutz ausgehen konnte, habe ich den‑
noch eine größere Unregelmäßigkeit gefunden: Bei der
Datensicherung wurden undifferenziert sämtliche Da‑
tenbestände, d. h. auch solche mit personenbezogenen
Daten, auf Bandlaufwerke überspielt und unbegrenzt
lange aufbewahrt. Die ältesten Datenbestände datierten
mehr als zehn Jahre zurück. Dies verstößt gegen den
Erforderlichkeitsgrundsatz, wonach personenbezogene
Daten nur solange gespeichert werden dürfen, wie dies
notwendig ist. Je nach Speicherzweck sind entsprechen‑
de Fristen festzulegen, nach denen nicht mehr benö‑
tigte personenbezogene Daten gelöscht werden. Zur
Umsetzung dessen stehe ich noch im Austausch mit der
kontrollierten Stelle.
15.3.8 Vertrauen ist gut – Kontrolle ist besser
15.A Zudem von besonderem Interesse
Einige Monate nach Anwendbarkeit der DSGVO habe
ich ein öffentliches Wirtschaftsunternehmen des Bundes kontrolliert.
1.1, 14.1.1, 17.9, Die Arbeit des BfDI in Zahlen
gewinnt und bei den Planungen der Unternehmen recht‑
zeitig mitgedacht wird.
Bei den im Berichtszeitraum durchgeführten Kontrollen
bei großen wie kleinen Unternehmen, die geschäfts‑
mäßig Postdienste erbringen, konnte ich einen durch‑
weg positiven Eindruck der Verarbeitungsprozesse
gewinnen. Sofern es im Rahmen von Kontrollbesuchen
zu unterschiedlichen (Rechts-)Auffassungen kam, so
konnten diese nach eingehender Erörterung zu einer
zufriedenstellenden Lösung für beide Seiten gebracht
werden – auf formale Beanstandungen konnte ich daher
verzichten.
Tätigkeitsbericht zum Datenschutz für die Jahre 2017 und 2018
117