„Guardians of Fundamental Rights“, so beschrieb die Präsidentin der Commission Nationale de l’Informatique et des Libertés (CNIL) und ehemalige Vorsitzende der Artikel-29-Datenschutzgruppe, Isabelle Falque-Pierrotin, einmal ihr eigenes Verständnis von der Bedeutung und den Aufgaben der Datenschutzaufsichtsbehörden. Egal, ob man diese Sichtweise nun teilt oder angesichts des mitschwingenden Pathos mit den Augen rollt: Die Bedeutung der Aufsichtsbehörden war nie größer als in den aktuellen Wochen und Monaten nach dem Geltungsbeginn der DSGVO. Damit erlangen auch die Wahlen der zu ihrer Leitung berufenen Beauftragten eine immer größere Bedeutung. Sie entscheiden über Ausrichtung, Strategie und Schwerpunktsetzung der insgesamt 18 deutschen Datenschutzaufsichtsbehörden. Auf teilweise bis zu acht Jahre ernannt, haben sie sowohl das Potential als auch die Verantwortung, den digitalen Wandel langfristig zu prägen.
Gleichzeitig sind die Positionen an den Spitzen der Datenschutzbehörden aber auch attraktive Ämter des öffentlichen Dienstes. Zumeist werden die entsprechenden Behördenleitungen in den mittleren B-Besoldungsgruppen besoldet. Sogar in Hessen, wo das Amt lange Zeit noch als Ehrenamt ausgestaltet war, wird die Aufgabe mittlerweile im Hauptamt wahrgenommen. Auch die gestiegene öffentliche Wahrnehmung datenschutzrechtlicher Fragen hat dem Amt der Datenschutzbeauftragten zusätzliche – auch politische – Attraktivität verliehen. Selten genoss es mehr Gewicht, mehr Verantwortung und mehr öffentliche Wahrnehmung. Es sieht sich damit zweifelsohne auch Begehrlichkeiten ausgesetzt und ist längst Teil der parteipolitischen Verhandlungsmasse im Rahmen des parlamentarischen Alltags in Bund und Ländern geworden. Damit steht die Auswahl der Beauftragten für den Datenschutz in einem bemerkenswerten Spannungsverhältnis zwischen Begehrlichkeiten, politischem Kalkül und angestrebter Bestenauslese.
Alles neu macht der Art. 53 Abs. 1 DSGVO
Vor diesem Hintergrund hat die Datenschutz-Grundverordnung eine entscheidende Veränderung mit sich gebracht. Erstmals sieht das geltende Datenschutzrecht in Art. 53 Abs. 1 DSGVO vor, dass die Leitung einer Aufsichtsbehörde für den Datenschutz „im Wege eines transparenten Verfahrens ernannt“ werden soll. Damit enthält die DSGVO nicht nur Vorgaben dahingehend, durch wen die Ernennung erfolgen soll (so bereits bisher), sondern auch auf welchem Wege die Entscheidung für (und auch gegen) entsprechende Bewerberinnen erfolgen soll, nämlich auf transparente Art und Weise und basierend auf bestimmten Verfahrensvorgaben.
Die Datenschutz-Richtlinie 95/46/EG kannte derartige Vorgaben noch nicht. Die Kommentarliteratur begrüßt die neue Regelung des Art. 53 Abs. 1 DSGVO deshalb, da mit ihr eine wichtige Lücke geschlossen werde (so etwa Boehm, Kühling/Buchner, DS-GVO BDSG, 2. Auflage 2018, Art. 53 Rn. 2). Auch das alte BDSG sowie die früheren Landesdatenschutzgesetze stellten keine Vorgaben für die Qualität des Ernennungsverfahren auf. Stattdessen beschränkten sie sich mit leicht abweichenden Formulierungen darauf, ein Vorschlagsrecht (meist durch Regierung oder Fraktionen) und die darauf gestützte Wahl durch das jeweilige Parlament festzuschreiben. Diese, für die Öffentlichkeit und interessierte Bewerberinnen oft undurchsichtigen, Verfahren sahen sich zwar digitalpolitischen Bedenken ausgesetzt, vor Geltungsbeginn der DSGVO standen ihnen allerdings keine zwingenden rechtlichen Vorgaben entgegen.
Dies hat sich nun freilich geändert. Seit dem 25.05.2018 stellt sich die Frage, wie die neuen Verfahrensvorgaben des Art. 53 Abs. 1 DSGVO umzusetzen sind, wie Bund und Länder dies tatsächlich getan haben und nicht zuletzt auch, welche Folgen Auswahlentscheidungen unter Missachtung der Vorgaben des Art. 53 Abs. 1 DSGVO haben könnten.
Bisherige Praxis und aktuelle Rechtslage
Bereits vor Geltungsbeginn der DSGVO im Mai 2018 waren einige Landesregierungen dazu übergegangen, Elemente eines Auswahlverfahrens in die Besetzungsentscheidungen einzubinden. So wurden die Stellen vereinzelt, etwa bei den vergangenen Stellenbesetzungen in Brandenburg (2017) oder Schleswig-Holstein (2015), öffentlich ausgeschrieben und Auswahlgespräche geführt. Rechtlich verpflichtend waren diese Verfahrensschritte freilich nicht. Dementsprechend unverbindlich und flexibel blieben die Verfahren und die abschließenden personellen Entscheidungen damit unverändert den politischen Prozessen im Hintergrund ausgesetzt.
Nach Geltungsbeginn der DSGVO hat sich – weder auf Bundes- noch auf Landesebene – daran bisher etwas geändert. Der Regierungsentwurf des DSAnpUG-EU geht zwar davon aus, dass der neue § 11 Abs. 1 BDSG eine Umsetzung des Art. 53 Abs. 1 DSGVO darstellt (BT-Drucks. 18/11325, S. 84), äußert sich gegenüber dem BDSG a.F. in nahezu unveränderter Art und Weise aber lediglich dazu, wer zur Wahl der Bundesbeauftragten berufen ist, nicht hingegen dazu, auf welchem Wege die Kandidatin ermittelt werden soll. Im Wortlaut lautet der neue § 11 Abs. 1 BDSG:
„Der Deutsche Bundestag wählt ohne Aussprache auf Vorschlag der Bundesregierung die Bundesbeauftragte oder den Bundesbeauftragten mit mehr als der Hälfte der gesetzlichen Zahl seiner Mitglieder. Die oder der Gewählte ist von der Bundespräsidentin oder dem Bundespräsidenten zu ernennen.“
Mehr oder weniger identisch heißt es in allen Landesdatenschutzgesetzen, dass die Landesbeauftrage (teilweise auf Vorschlag der Fraktionen oder der Regierung) durch den Landtag ernannt wird. Niedersachsen und Sachsen-Anhalt beschränken sich darauf, dass die Behördenleitungen durch den Landtag gewählt werden (§ 18 Abs. 3 S. 1 NDSG; § 20 Abs. 1 S. 1 DSG LSA), während Mecklenburg-Vorpommern ein ausdrückliches Vorschlagsrecht der Fraktionen festschreibt (§ 16 Abs. 1 S. 3 DSG M-V). In Hessen liegt das Vorschlagsrecht stattdessen bei der Landesregierung (§ 9 Abs. 1 HDSIG) und Bayern beschränkt sich darauf, die Ernennung der Beauftragen für den öffentlichen Bereich allein dem „Präsidenten des Landtags“ zu überlassen (Art. 15 Abs. 1 S. 3 BayDSG), während die Präsidentin des Landesamts (die Aufsichtsbehörde über den nicht-öffentlichen Bereich) durch die Staatsregierung ernannt wird (Art. 18 Abs. 3 BayDSG).
Dieser kurze Überblick zeigt: Verfahrensvorgaben dazu, wie die jeweiligen zum Vorschlag und zur Ernennung berufenden Organe, zu ihrer Entscheidung für die zu ernennenden Kandidatinnen gelangen, fehlen jeweils. Geregelt wird einzig, wem die Vorschlags- oder Ernennungsentscheidung zusteht. Es bleibt damit bereits an dieser Stelle festzuhalten, dass in Deutschland weder im Bund noch in den Ländern eine Umsetzung der in Art. 53 Abs. 1 DSGVO verlangten Pflicht zu Schaffung „transparenter Verfahren“ stattgefunden hat.
Was ist ein „transparentes Verfahren“ im Sinne des Art. 53 Abs. 1 DSGVO?
Leider lässt es Art. 53 Abs. 1 DSGVO im Wortlaut der Verordnung selbst offen, was genau unter einem transparenten Verfahren verstanden wird. Die englische Sprachfassung spricht insofern von „transparent procedure“, womit jedenfalls schon einmal klargestellt ist, dass mehr als ein „transparent result“, also das Ergebnis der Wahlentscheidung selbst, gemeint ist. Auch die Erwägungsgründe geben zunächst wenig Greifbares her. Erwägungsgrund 121 bestärkt lediglich die Vorgabe, dass die Ernennung (u.a.) durch Parlament, Regierung oder Staatsoberhaupt und im Wege eines transparenten Verfahrens geschehen soll. Erwägungsgrund 121 unterscheidet damit erneut zwischen dem zur Ernennung berufenen Organ und dem eigentlichen Auswahl- und Ernennungsverfahren.
Die Literatur hat sich bisher ebenfalls nur am Rande mit dieser Frage befasst. Die Kommentierungen, die der Frage intensivere Beachtung schenken, weisen jedoch einhellig darauf hin, dass das transparente Verfahren des Art. 53 Abs. 1 DSGVO maßgeblich an das Verfahren zur Auswahl der Europäischen Datenschutzbeauftragten angelehnt werden sollte. Im diesbezüglichen Art. 42 Abs. 1 der Verordnung 45/2001/EG heißt es diesbezüglich:
„Das Europäische Parlament und der Rat ernennen den Europäischen Datenschutzbeauftragten im gegenseitigen Einvernehmen für eine Amtszeit von fünf Jahren, wobei sie ihre Entscheidung auf der Grundlage einer von der Kommission im Anschluss an eine öffentliche Aufforderung zur Einreichung von Bewerbungen erstellten Liste treffen.“
Übertragen auf Art. 53 Abs. 1 DSGVO lässt sich also jedenfalls festhalten, dass das Auswahl- und Ernennungsverfahren mindestens eine öffentliche Aufforderung zu Bewerbung durch geeignete Kandidatinnen verlangen dürfte. Selmayr zieht in seiner Kommentierung (Ehmann/Selmayr, Datenschutz-Grundverordnung, 1. Auflage 2017, Art. 53 Rn. 5) daraus die wohl deutlichsten Schlüsse und hält fest:
„ausgeschlossen sind […] ein „Auskungeln“ der Position des Datenschutzaufsehers im berüchtigten „Hinterzimmer“, Ernennungen allein auf Grundlage eines Parteibuchs oder die Gefälligkeitsversetzung eines der Regierung genehmen, da „zahmen“ Datenschutzaufsehers. […] Um dem Transparenzgrundsatz des Art. 53 Abs. 1 zu genügen, ist zumindest eine öffentlich zugängliche Stellenausschreibung erforderlich, der sich objektive, an der Qualifikation, Erfahrung und Sachkunde orientierte Ernennungsvoraussetzungen iSv Art. 53 Abs. 2 entnehmen lassen; sowie ein Ernennungsverfahren, das erkennbar unparteiisch ist und durch angemessene Fristen eine gewisse Kontrolle durch das Parlament und die interessierte Öffentlichkeit ermöglicht.“
Im Ergebnis ist dem beizupflichten. Gestützt wird dieses Verständnis aber nicht nur durch die Anlehnung an die Verordnung 45/2001/EG, sondern auch durch grundrechtliche Überlegungen. Die Datenschutz-Grundverordnung dient ausweislich seines Art. 1 Abs. 2 DSGVO dem Schutz der Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten. Insofern verweist die Grundverordnung auf Art. 8 der Charta der Grundrechte der Europäischen Union (GRCh). Dort ist in Abs. 1 nicht nur das Ziel des Datenschutzrechts, der Schutz personenbezogener Daten, definiert, sondern auch die Datenschutzaufsichtsbehörden selbst sind in Abs. 3 mit Verfassungsrang ausgestattet. Damit trägt die Charta einem gewichtigen verfassungsrechtlichen Aspekt Rechnung: Der verfahrensrechtlichen Seite grundrechtlicher Freiheit. Grundrechte definieren nicht allein subjektive Rechte, etwa das Recht zu wählen (Art. 38 Abs. 1 GG), sondern zwangsweise auch darauf, dass der Staat diesem Grundrecht durch angemessene Verfahrensgestaltung Wirksamkeit verschafft. Im Falle des Art. 38 Abs. 1 GG folgt aus der Diskussion um Grundrechte als Verfahrensgarantien daher, dass der Staat durch entsprechende Organisation Wahlen möglich machen muss (vertiefend: Alexy, Theorie der Grundrechte, Suhrkamp, 1. Auflage, S. 437).
In gleicher Weise folgt aus Art. 8 Abs. 1, 3 GRCh, dass dem Schutz personenbezogener Daten auch durch entsprechende staatliche Verfahren Geltung verschafft werden muss. Dazu gehört, neben bestimmten in Art. 8 Abs. 2 GRCh verbrieften Verfahrensrechten, auch die Gewährleistung staatlicher Kontrollmöglichkeiten. Die Gestaltung und Organisation der entsprechenden Aufsichtsbehörden muss dabei in einer Weise geschehen, die dem Schutzauftrag des Art. 8 Abs. 1 GRCh gerecht wird. Teil dieses Schutzauftrages ist gerade auch die Kontrolle der Datenverarbeitung der Landesverwaltungen. Gleichzeitig kommt in einigen Fällen der Landesregierung das Vorschlagsrecht für die Kandidatin zu. Es erscheint angesichts der damit einhergehenden Interessenskonflikte daher keineswegs verfehlt, für die Auswahl und Ernennung der Leitungspositionen der Datenschutzbehörden entsprechende Verfahrensvorgaben einzufordern. Ein transparentes und auf die fachlichen und persönlichen Qualitäten der Kandidatinnen ausgerichtetes Prozedere ist insoweit nichts anders als (mittelbarer) „Datenschutz durch Verfahrensgestaltung“.
Beamtenrechtliche Grundsätze bei der Besetzung öffentlicher Ämter
In Deutschland wird diese europarechtliche Frage durch die besondere Tradition des öffentlichen Dienstes ergänzt. Gemäß Art. 33 Abs. 2 GG steht jeder Deutschen nach ihrer Eignung, Befähigung und fachlichen Leistung gleicher Zugang zu jedem öffentlichen Amte zu. Hieraus leitet die Rechtsprechung zwar keinen originären Anspruch auf Einstellung ab, wohl aber – verfahrensrechtlich – ein grundrechtsgleiches Recht auf leistungsgerechte Einbeziehung in die Bewerberinnenauswahl sowie darauf, dass eine Bewerbung nur aus solchen (dokumentierten) Gründen zurückgewiesen wird, die durch den Leistungsgrundsatz gedeckt sind. Dieser Bewerbungsverfahrensanspruch gibt den Bewerberinnen um ein öffentliches Amt ein Recht darauf, dass ihre Bewerbung bei der Auswahl berücksichtigt und nicht grundlos aussortiert wird.
Da der Dienstherr bei dem Leistungsvergleich und der Bestenauslese auf unbestimmte Rechtsbegriffe zurückgreifen muss, ist die gerichtliche Kontrolle allerdings nach h.M. beschränkt. Herausgehobene Relevanz hat daher die Einhaltung der geltenden Verfahrensvorgaben für die Bewerberinnenauswahl. Nur so kann die reduzierte materielle Kontrolldichte kompensiert und verhindert werden, dass Art. 33 Abs. 2 GG in seiner praktischen Bedeutung leer läuft.
Dieser Maßstab gilt allerdings nicht für jedes öffentliche Amt gleichermaßen.
Bezüglich der Wahl von Richterinnen wird Art. 33 Abs. 2 GG beispielsweise durch Art. 95 Abs. 2 GG (bzw. entsprechende landesverfassungsrechtliche Vorgaben) modifiziert. Aber auch im Zusammenspiel zwischen Richterwahlgremien und zur Ernennung berufenen Ministerien behalten Verfahrensregelungen ihre Bedeutung. Zwar steht die Richterwahl nicht unter dem gleichen, strengen Vorbehalt der Bestenauslese (BVerfG, Beschluss vom 20. September 2016 – 2 BvR 2453/15), aber jedenfalls die auf die Entscheidung des Wahlausschusses gestützte Ernennungsentscheidung des zuständigen Ministeriums unterliegt insofern einer gerichtlichen Kontrolle, als dass die formellen Ernennungsvoraussetzungen gegeben, die verfahrensrechtlichen Vorgaben eingehalten sind und das Ergebnis nach Abwägung aller Umstände und insbesondere vor dem Hintergrund der Wertungen des Art. 33 Abs. 2 GG jedenfalls nachvollziehbar ist.
Auch hinsichtlich politischer Beamtenpositionen haben sich in der Rechtsprechung Einschränkungen, insbesondere des Prinzips einer strengen Bestenauslese, herausgebildet. So stellte das Oberverwaltungsgericht Rheinland-Pfalz in seinem Beschluss vom 29.03.2018 (2 B 10272/18) klar, dass es sich bei der Stelle des Direktors der Landeszentrale für Medien und Kommunikation (LMK) Rheinland-Pfalz zwar um ein öffentliches Amt im Sinne des Art. 33 Abs. 2 GG handelt, der Bewerbungsverfahrensanspruch einer Bewerberin um diese Stelle allerdings durch die speziellen Organisations- und Verfahrensregeln der Landesmedienanstalt eingeschränkt wird. Die gerichtliche Kontrolle der Auswahlentscheidung beschränkt sich dort abermals auf die Prüfung, ob die der Wahlentscheidung vorausgehenden Verfahrensschritte, soweit sie die von Art. 33 Abs. 2 GG gewollte Bestenauslese sicherstellen, Beachtung gefunden haben. Auf den Antrag auf Erlass einer einstweiligen Anordnung eines Bewerbers um die Stelle des Direktors der LMK hin, legte das OVG im dortigen Verfahren sodann die entsprechenden Verfahrensvorgaben unter Würdigung der Besonderheiten des Rundfunkrechts aus und kam zu dem (umstrittenen) Ergebnis, dass eine öffentliche Ausschreibung zwar vorzugswürdig erscheinen dürfte, eine unmittelbar aus Art. 33 Abs. 2 GG ableitbare Pflicht zur öffentlichen Ausschreibung aber im Ergebnis zu verneinen sei.
Folgen einer Ernennung unter Verstoß gegen Art. 53 DSGVO
Aus alledem folgt, dass die Einhaltung (und zunächst einmal die Schaffung) entsprechender Verfahrensvorgaben nicht nur aus der Perspektive der durch die Datenverarbeitung betroffenen Bevölkerung erforderlich ist, in dessen Interesse die Leitungspositionen als Teil der verfahrensrechtlichen Komponente des Art. 8 GRCh ja letztlich zu besetzen sind, sondern auch aus Perspektive der Bewerberinnen um das Amt selbst, die sich mit Blick auf Art. 33 Abs. 2 GG in eigenen Rechte verletzt sehen könnten.
Im Rahmen der Besetzung der Leitungspositionen der Datenschutzbehörden verlangt Art. 53 Abs. 1 DSGVO dabei also zunächst die Schaffung solcher Verfahrensvorgaben, die über die bloße Benennung der zur Ernennung befugten Stelle hinausgehen. Darüber hinaus ist mit Blick auf die Gesetzgebungsgeschichte des Art. 53 Abs. 1 DSGVO und verfassungsrechtliche Erwägungen unter Würdigung des Art. 8 GRCh konkret auch eine öffentliche Ausschreibung zu fordern, die im Rahmen eines Konkurrenzvergleichs eine transparente und nachvollziehbare Auswahl einer geeigneten Bewerberin ermöglicht.
In Anbetracht der Tatsache, dass bisher weder das Bundes- noch das Landesrecht überhaupt Verfahrensvorgaben in ihre Datenschutzgesetze aufgenommen haben, geschweige denn darin konkrete Verfahrensschritte, etwa zu Modalitäten der Ausschreibung und des Auswahlverfahrens vorsehen, stellt sich unmittelbar die Frage nach den Folgen dieses gesetzgeberischen Unterlassens im Falle von Rechtsschutzersuchen von Bewerberinnen. Diese Frage ist nicht zuletzt deshalb praktisch sehr akut, da sich nach Geltungsbeginn der DSGVO nunmehr bald die nächsten Ernennungsverfahren (2018 unter anderem in Hessen und im Bund) ankündigen. Da die Pflicht zur Schaffung entsprechender Verfahren i.S.d. Art. 53 Abs. 1 DSGVO unmittelbar in allen Mitgliedsstaaten gilt, dürfte sich ein Ernennungsverfahren, das unter Umgehung jedweder Verfahrensvorgaben stattfindet, dem Einwand ausgesetzt sehen, den Bewerbungsverfahrensanspruch der Bewerberinnen zu verletzen. Bewerberinnen dürften sich unmittelbar auf Art. 53 Abs. 1 DSGVO berufen können, denn jedenfalls zulasten der Mitgliedsstaaten – und ihre Organe wären in entsprechenden Verfahren die Antragsgegner – entfalten europarechtliche Vorgaben im Falle ihrer Nichtumsetzung unmittelbare Wirkung (EuGH, Urt. v. 26.02.1986 – C-152/84 –, Marshall I).
Entsprechenden Anträgen in gerichtlichen Konkurrentenverfahren dürfte jedenfalls mit Blick auf das damit im Ergebnis europarechtswidrige Ernennungsverfahren hinreichende Erfolgsaussichten beizumessen sein. Die Besetzung der entsprechenden Positionen wäre daher entweder für die Dauer des Rechtsstreits oder bis zur erneuten beanstandungsfreien Durchführung blockiert. Dem Bundes- sowie den Landesgesetzgebern ist dringend anzuraten, vor Durchführung entsprechender Ernennungen, Verfahrensvorgaben entsprechend Art. 53 Abs. 1 DSGVO zu erlassen. In anderen Mitgliedsstaaten ist dies bereits geschehen, wie die aktuelle öffentliche Ausschreibung einer der Stellen in der Leitung der luxemburgischen Commission nationale pour la protection des données (CNPD) zeigt.
Transparente Verfahren: Eine digitalpolitische Glaubwürdigkeitsprüfung
Die Ernennung der Beauftragten trotz Anwendbarkeit des Art. 53 Abs. 1 DSGVO auf Grundlage der derzeitigen, unzureichenden Verfahren durchzuführen, würde aber nicht allein zu den beschriebenen rechtlichen Problemen führen, sondern muss sich schlicht auch dem Vorwurf ausgesetzt sehen, Wein zu trinken und Wasser zu predigen.
Das Amt der Beauftragten für den Datenschutz ist wie kaum ein anderes darauf ausgerichtet, im Rahmen der Aufsichtstätigkeit gegenüber den kontrollierten Unternehmen, Behörden und Bürgern auf Transparenz und penible Verfahrensdokumentation zu pochen. Es erscheint vor diesem Hintergrund eine Selbstverständlichkeit, die in der späteren Tätigkeit eingeforderten Pflichten auch bei dem anfänglichen Akt der Besetzung einzufordern, um insoweit nicht mit zweierlei Maß zu messen. Gerade weil die DSGVO in der Wahrnehmung vieler Adressaten keinen reibungslosen Start hatte und die mit ihr einhergehenden Pflichten nicht selten als Bürokratie ohne Mehrwert wahrgenommen werden, wäre es ein höchst ungünstiges Signal, es in eigener Sache mit der Einhaltung der DSGVO nicht allzu genau zu nehmen und auf entsprechende, transparente Verfahren bei der Besetzung der Leitungspositionen zu verzichten.
Die DSGVO zeigt vereinzelt bereits jetzt Ansätze einer Glaubwürdigkeitskrise. Die aktive Umsetzung der Vorgaben des Art. 53 Abs. 1 DSGVO im Wege klarer Vorgaben für eine öffentliche Ausschreibung samt entsprechender Auswahl- und Ernennungsverfahren könnte einen wichtigen Beitrag dazu leisten, die Akzeptanz der Tätigkeit der Datenschutzaufsichtsbehörden deutlich zu fördern. Diese Chance sollte nicht aus machtpolitischen Erwägungen verschenkt werden.
