Interner oder externer Datenschutzbeauftragter

• Dem internen Datenschutzbeauftragten steht ein besonderer Kündigungsschutz zu. Das Arbeitsverhältnis darf während der Tätigkeit als Datenschutzbeauftragter und nach Beendigung für ein Jahr nicht gekündigt werden, es sei denn die Kündigung erfolgt aus wichtigem Grund! Dies erklärt, warum sich viele Organisationen entscheiden, einen externen Datenschtuzbeauftragten zu beauftragen.

Wann muss ein Datenschutzbeauftragter bestellt werden?

Ab der Anzahl von zwanzig Mitarbeiterinnen und Mitarbeiter, die im Betrieb ständig und automatisiert personenbezogene Daten verarbeiten, ist ein Datenschutzbeauftragter zu benennen. Zu den Mitarbeitern zählen hierbei Voll- und Teilzeitkräfte, Leiharbeitnehmer, Auszubildende, freie Mitarbeiter und Praktikanten sowie Beschäftigte im Home-Office oder in Tele-Arbeit.

Wichtig dabei ist, dass die Mitarbeiterinnen und Mitarbeiter regelmäßig und „automatisiert“ Daten verarbeiten, also zum Beispiel Kundenbetreuer, Callcenter-Mitarbeiter oder Personalabteilung, und zwar per PC, Tablet, Smartphone. Nicht gemeint sind Personen, die keinen oder nur selten mit personenbezogenen Daten umgehen, wie Lager-Arbeiter, Reinigungskräfte oder LKW-Fahrer.

Sinkt die Zahl der Mitarbeiterinnen und Mitarbeiter kurzzeitig auf eine Anzahl unterhalb der Grenze von zwanzig Personen führt dies nicht zum Wegfall der Bestellpflicht. Entscheidend ist der durchschnittliche Personalbestand innerhalb eines Geschäftsjahres.

Auch bei weniger Mitarbeiterinnen und Mitarbeitern kann die Pflicht zur Benennung eines  Datenschutzbeauftragten bestehen, wenn es zur Haupttätigkeit des Unternehmens gehört, regelmäßig und systematisch personenbezogene Daten zu beobachten, zum Beispiel: datengesteuerte Marketingaktivitäten wie verhaltensbasierte Werbung, Scoring zu Zwecken der Kreditvergabe oder Versicherungsprämien, Standortverfolgung, künstliche Intelligenz, Daten in Alltagsgegenständen (z.B. smarte Haushaltsgeräte und Autos). 

Wenn besonders sensible Daten verarbeitet werden, wie Gesundheitsdaten, ist stets ein Datenschutzbeauftragter zu bestellen.

Die Organisation kann jederzeit freiwillig einen Datenschutzbeauftragten bestellen. 

Der Datenschutz muss auch eingehalten werden, wenn kein Datenschutzbeauftragter bestellt werden muss. Prüfen Sie deshalb , ob eine freiwillige Bestellung für Entlastung sorgen kann, weil er sich um die Aufgaben aus der Datenschutzgrundverordnung (DSGVO) kümmert.

Die Position des Datenschutzbeauftragten kann innerhalb des Betriebs durch einen eigenen Mitarbeiter besetzt werden (auch als „Teilzeit“-Tätigkeit neben seinen eigentlichen Aufgaben), wenn er die persönlichen und fachlichen Voraussetzungen dafür besitzt. 

Es kann auch ein externer Datenschutzbeauftragter bestellt werden. 

Für eine Unternehmensgruppe kann ein gemeinsamer Datenschutzbeauftragte benannt werden. Dieser muss jedoch von jeder Niederlassung aus leicht erreichbar sein.

Wer kann Datenschutzbeauftragter sein?

Die Position des Datenschutzbeauftragten kann innerhalb des Betriebs durch einen eigenen Mitarbeiter besetzt werden (auch als „Teilzeit“-Tätigkeit neben seinen eigentlichen Aufgaben), wenn dieser persönlich und fachlich geeignet ist. 

Es kann auch eine externe Person als Datenschutzbeauftragter bestellt werden. Für eine Unternehmensgruppe kann ein gemeinsamer externer Datenschutzbeauftragter benannt werden. Dieser muss jedoch von jeder Niederlassung aus leicht erreichbar sein.

Eine Person, die in einen Interessenkonflikt geraten könnte oder sich am Ende selbst kontrolliert, darf nicht zum Datenschutzbeauftragten bestellt werden (dies sind insbesondere Mitglieder der Unternehmensleitung, Behördenleitung, IT- und Personalleiter sowie IT- Administratoren).

Anforderungen an Bestellung, Stellung und Aufgaben

1. Fachliche Voraussetzungen

• Der Datenschutzbeauftragte muss aufgrund der beruflichen Qualifikation und des Fachwissens benannt werden. Zu den Fachkundevoraussetzungen gehört ein Verständnis der datenschutzrechtlichen Vorschriften, sowie grundsätzliche Kenntnisse der Informations- und Telekommunikationstechnologie und der Datensicherheit. Diese Mindestkenntnisse müssen bereits zum Zeitpunkt der Bestellung vorliegen.
• Eine Form und bestimmte Dauer für die Bestellung besteht nicht; die Bestellung sollte aus Nachweisgründen in Textform erfolgen. Dazu gibt es Muster.

Muster sollten überprüft werden, da sie unvollständig sein können.

Die Kontaktdaten des Datenschutzbeauftragten sind zu veröffentlichen (z.B. in der Datenschutzerklärung auf der Unternehmenshomepage) und sind der jeweiligen Landesdatenschutzbehörde zu melden. 

Link: Meldung von Datenschutzbeauftragten

Stellung

• Der Datenschutzbeauftragte ist weisungsunabhängig bzgl. seiner Aufgabenerfüllung. Er darf wegen der Erfüllung seiner Aufgaben weder abberufen noch benachteiligt werden.
• Es ist frühzeitg in alle datenschutzrechtlichen Fragen einzubinden. Zur Aufgabenerfüllung ist ihm das notwendige Zeitbudget sowie die nötige Unterstützung (Fortbildung, finanzielle, materielle und personelle Ausstattung) zu gewähren.
• Dem Datenschutzbeauftragten ist Zugang zu allen personenbezogenen Daten und damit zusammenhängenden Verarbeitungsvorgängen zu geben.
• Der Datenschutzbeauftragte ist zur Wahrung der Geheimhaltung und Vertraulichkeit bei der Erfüllung seiner Aufgaben verpflichtet. Dies gilt insbesondere in Bezug auf die Identität von betroffenen Personen, die sich an den Datenschutzbeauftragten gewandt haben.

Aufgaben

Der Datenschutzbeauftragte hat folgende Aufgaben zu erfüllen:

• Beratung bei datenschutzrechtlichen Fragen.
• Überwachung und Einhaltung der datenschutzrechtlichen Vorschriften (DSGVO, BDSG sowie weitere Rechtsvorschriften) sowie der unternehmenseigenen Datenschutzbestimmungen und Schulung von Mitarbeitern.
• Kommunikation mit der Datenschutzaufsichtsbehörde.
• Ansprechpartner für betroffene Personen und Mitarbeiter zu allen mit der Verarbeitung ihrer Daten und mit der Wahrnehmung ihrer Rechte zusammenhängenden Vorgänge.

Über diese Aufgaben hinaus nimmt er eine beratende und unterstützende Funktion ein.

Insbesondere sind hier zu nennen: 

• Unterstützung des Verantwortlichen bei der Etablierung von Prozessen bzw. Dokumentationen zur Erfüllung datenschutzrechtlicher Pflichten, Unterstützung bei der Meldepflicht- und Benachrichtigungspflicht bei Datenschutzverletzungen sowie Erfüllung der Betroffenenrechte (Recht aus Auskunft, Berichtigung, Einschränkung der Datenverarbeitung, und Löschen von Daten).
• Unterstützung bei der Erstellung eines Verzeichnisses der Verarbeitungstätigkeiten.

Bei der Erfüllung seiner Aufgaben entscheidet der Datenschutzbeauftragte selbst, welche Verarbeitungsvorgänge er aufgrund des damit jeweilig verbundenen Risikos vorrangig prüft.

Haftung

Nach den Leitlinien der sogenannten Artikel-29-Datenschutzgruppe (unabhängiges Beratungsgremium der Europäischen Kommission in Fragen des Datenschutzes) vom April 2017 trägt der Datenschutzbeauftragte im Falle der Nichteinhaltung der DSGVO keine persönliche Verantwortung. 

Es bleibt Sache des Verantwortlichen sicherzustellen und nachzuweisen, dass die datenschutzrechtlichen Anforderungen eingehalten werden. 

Wird es versäumt den Datenschutzbeauftragten zu bestellen, kann dies mit einem Bußgeld belegt werden (entsprechend der DSGVO mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes).