Betrieblicher, interner und externer Datenschutzbeauftragter
Die meisten Unternehmen wissen, dass Sie verpflichtet sind, einen Datenschutzbeauftragten zu bestellen. Doch welche konkreten Pflichten und Aufgaben mit dieser Stellung verbunden sind, ist vielen Unternehmen und selbst den betroffenen Datenschutzbeauftragten oft unklar.
Welche Aufgaben hat der Datenschutzbeauftragte?
§ 4g I 1 BDSG bestimmt, dass der Datenschutzbeauftragte auf die Einhaltung des BDSG und anderer Vorschriften zum Datenschutz hinwirkt. Hinwirken deshalb, weil der Datenschutzbeauftragte die Umsetzung der datenschutzrechtlichen Vorschriften nicht selbst vornehmen kann. Im Idealfall analysiert und kontrolliert er den Stand des Datenschutzniveaus im Unternehmen und macht der Geschäftsführung und den einzelnen Abteilungen Vorschläge zur Verbesserung oder Implementierung einer Datenschutzorganisation im Unternehmen. Der Datenschutzbeauftragte selbst hat also keine Entscheidungsgewalt, sondern ist organisatorisch gemäß § 4f Abs. 3 S. 1 BDSG der Geschäftsleitung unterstellt.
Ab dem 25. Mai 2018 ändert sich dies und der Datenschutzbeauftragte muss nicht nur auf die Einhaltung der entsprechenden Datenschutzvorschriften hinwirken, sondern erhält nach Art. 39 Abs. 1b) Datenschutz-Grundverordnung (DSGVO) eine umfassende Überwachungspflicht.
Der Schwerpunkt der Tätigkeit des Datenschutzbeauftragten liegt dann nämlich in der:
„Überwachung der Einhaltung dieser Verordnung [gemeint ist die DSGVO], anderer Datenschutzvorschriften der Union bzw. der Mitgliedstaaten sowie der Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen.“
Wann ist eine Praxis / Unternehmen zur Bestellung eines Datenschutzbeauftragten verpflichtet?
Nach den derzeit geltenden Regelungen besteht eine Verpflichtung zur Bestellung eines Datenschutzbeauftragten in der Regel, wenn
bei einem automatisierten Verfahren mindestens 10 Personen ständig mit der Verarbeitung personenbezogener Daten beschäftigt sind oder bei einer nicht automatisierten Datenverarbeitung mindestens 20 Personen mit der Erhebung, Verarbeitung oder Nutzung beschäftigt sind.
Unabhängig von der Anzahl der mit der Datenverarbeitung beschäftigten Personen sieht das BDSG noch eine Reihe weiterer Fälle vor, in denen ein Datenschutzbeauftragter zu bestellen ist. Dies betrifft u.a. Auskunfteien, Adressverlage und Markt- und Meinungsforschungsinstitute sowie Unternehmen, die besonders sensitive Daten verarbeiten (z.B. Gesundheitsdaten).
Ab kommenden Jahr ergibt sich aus Art. 37 Abs. 1 DSGVO die Bestellpflicht eines Datenschutzbeauftragten für die folgenden Fälle:
die Verarbeitung wird von einer Behörde oder öffentlichen Stelle durchgeführt, mit Ausnahme von Gerichten, die im Rahmen ihrer justiziellen Tätigkeit handeln,
die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters besteht in der Durchführung von Verarbeitungsvorgängen, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen, oder
die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters besteht in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10
In anderen als den zuvor genannten Fällen können der Verantwortliche oder der Auftragsverarbeiter oder Verbände und andere Vereinigungen, die Kategorien von Verantwortlichen oder Auftragsverarbeitern vertreten, einen Datenschutzbeauftragten benennen; falls dies nach dem Recht der Union oder der Mitgliedstaaten vorgeschrieben ist, müssen sie einen solchen benennen. Der Datenschutzbeauftragte kann für derartige Verbände und andere Vereinigungen, die Verantwortliche oder Auftragsverarbeiter vertreten, handeln (dies folgt aus Art. 37 Abs. 4 DSGVO)
Wie erfolgt die Bestellung zum Datenschutzbeauftragten?
Die Bestellung des Datenschutzbeauftragten muss gemäß § 4f Abs. 1 S. 1 BDSG schriftlich erfolgen. Bei einem Unternehmenskonzern mit verschiedenen Tochtergesellschaften ist erforderlich, dass für jedes einzelne Unternehmen ein Datenschutzbeauftragter bestellt wird, denn ein Konzernprivileg besteht im Datenschutzrecht nach den Regelungen des BDSG nicht, nach Art. 37 Abs. 2 DSGVO ist ein solches hingegen explizit vorgesehen.
Welche Voraussetzungen muss der Datenschutzbeauftragte mitbringen?
Der Datenschutzbeauftragte muss gewisse Voraussetzungen erfüllen. Insbesondere muss er die erforderliche Fachkunde und Zuverlässigkeit besitzen. Diese Begriffe werden im Gesetz nicht näher beschrieben, umfassen aber im Hinblick auf die Fachkunde rechtliche, organisatorische und technische Kenntnisse.
Das Erfordernis der Zuverlässigkeit beschreibt eine klare Trennung zwischen der verantwortlichen Stelle und dem Beauftragten. Denn wo die Trennung fehlt, können Interessenkonflikte entstehen, wenn sich etwa der Kontrolleur selbst kontrollieren muss. Daher kann grundsätzlich weder der IT-Leiter noch die Geschäftsführung selbst die Aufgaben des Datenschutzbeauftragten übernehmen. An diesen Anforderungen ändert sich auch nichts mit der Geltung der DSGVO.
Interner oder externer Datenschutzbeauftragter?
Grundsätzlich ist es gleichgültig, ob ein interner oder externer Datenschutzbeauftragter bestellt wird. Der Vorteil eines internen Datenschutzbeauftragten ist, dass dieser das Unternehmen sowie Geschäftsabläufe und verantwortliche Personen kennt.
Demgegenüber bietet die Bestellung eines externen Datenschutzbeauftragten den Vorteil, dass dieser von außen objektiv auf das Unternehmen blicken und so unbefangen den Datenschutz einbringen kann. Außerdem genießt der externen Datenschutzbeauftragten, ander als der interne Datenschutzbeauftragte, keinen besondere Kündigungsschutz. Zudem bringt er oftmals eine größere Fachkunde und mehr Erfahrung mit. Diese sind im Hinblick auf die steigenden Anforderungen an die Position des Datenschutzbeauftragten selbst, aber auch wegen der nach der DSGVO hinzukommenden erforderlichen Nachweis- und Rechenschaftspflichten für Unternehmen nicht zu unterschätzende Faktoren.
Quelle: https://www.datenschutzbeauftragter-info.de/fachbeitraege/betrieblicher-interner-externer-datenschutzbeauftragter/