Worum geht's?
Zahlreiche Unternehmen sind seit der DSGVO dazu verpflichtet, einen Datenschutzbeauftragten zu bestellen. Dazu ergeben sich zahlreiche Fragen: Wann müssen Sie sich auf die Suche nach einem Datenschutzbeauftragten machen? Welche Aufgaben hat er? Sollten Sie besser einen externen oder einen betrieblichen Datenschutzbeauftragten bestellen? Wir geben einen praktischen Überblick über das wichtige Thema.
1. Was ist ein Datenschutzbeauftragter?
Ein Datenschutzbeauftragter ist eine natürliche Person, die von einem Unternehmen oder einer öffentlichen Stelle bestellt wird, um das Datenschutzrecht einzuhalten, Datenverarbeitungen zu koordinieren und die IT-Sicherheit zu überwachen
Was sind die Aufgaben eines Datenschutzbeauftragten?
-
Aufklärung von Unternehmen über datenschutzrechtliche Pflichten und Überwachung der Einhaltung von Datenschutzbestimmungen.
-
Er ist erster Ansprechpartner für die Anfragen von Behörden und Betroffenen.
-
Unterstützung des Verantwortlichen bei der Führung des Verarbeitungsverzeichnisses. Zur Dokumentation können Sie unser Datenschutzmanagementsystem auf eRecht24 Premium nutzen.
-
Beratung und Unterstützung von Unternehmen bei der Durchführung der Datenschutz-Folgenabschätzung nach Art. 35 DSGVO.
-
Er ist Ansprechpartner für Geschäftsführung, Mitarbeiter und Vertrieb und Marketing in allen Fragen im Umgang mit Nutzer- und Kundendaten.
2. Wann ist ein Datenschutzbeauftragter Pflicht?
Laut DSGVO ist ein Datenschutzbeauftragter für alle Unternehmen erforderlich, die mit personenbezogenen Daten zu tun haben. Dabei ist es egal, ob es sich um online oder "altmodische" offline Daten handelt. Die Datenschutzgrundverordnung gilt nämlich in der realen Welt ebenso wie im Internet.
Bestimmte Unternehmen stehen in der Pflicht zur Bestellung und Ernennung eines (externen oder betrieblichen) Datenschutzbeauftragten. Die Datenschutzgrundverordnung (DSGVO) und das BDSG schreiben per Gesetz die Benennung eines Datenschutzbeauftragten vor, wenn eine der folgenden Voraussetzungen vorliegt:
a) Es sind in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten im Unternehmen beschäftigt.
Eine automatisierte Datenverarbeitung liegt vor, wenn die Datenverarbeitung mit Hilfe von Datenverarbeitungsanlagen erfolgt (z.B. am Computer).
WUSSTEN SIE'S?
„In der Regel“ bedeutet, dass die Verarbeitung personenbezogener Daten für die Beschäftigten zu deren „Berufsalltag“ gehört. Das ist z.B. bei Callcenter-Mitarbeitern, die telefonische Bestellungen aufnehmen, der Fall. Bei einem Zeitungsjungen, der normalerweise nur Zeitungen austrägt und einmalig als Krankheitsvertretung Bestellungen aufnehmen muss, eher nicht.
Der Beschäftigtenbegriff in § 38 BDSG ist weit zu verstehen, so dass auch freie Mitarbeiter, Leiharbeitnehmer, Praktikanten, Teilzeitkräfte etc. als Beschäftigte zählen. Es ist dabei irrelevant, ob die Beschäftigtenzahl kurzzeitig unter oder über 20 Beschäftigte fällt.
Wann eine „ständige Beschäftigung“ vorliegt, ist im Einzelfall zu klären. Von einer ständigen Beschäftigung kann aber zumindest dann ausgegangen werden, wenn die Datenverarbeitung durch die Beschäftigten regelmäßig oder wiederkehrend erfolgt.
b) Die Kerntätigkeit des Unternehmens besteht in der Durchführung von Verarbeitungsvorgängen, die aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen
Diese – zugegeben etwas sperrige Formulierung – hat zwei wesentliche Voraussetzungen.
Zum einen muss es sich um eine Tätigkeit handeln, die eine umfangreiche, regelmäßige und systematische Überwachung von Personen erforderlich macht. Wann das der Fall ist, ist in der DSGVO nicht definiert. Anhaltspunkte für eine umfangreiche und systematische Tätigkeit können aber Dauer der Überwachung, Anzahl der Betroffenen und Menge der betroffenen Daten sein.
Die Datenverarbeitung muss außerdem eine Kerntätigkeit des Unternehmens sein. Das ist der Fall, wenn die betreffende Verarbeitung der Daten ein zentraler Bestandteil der unternehmerischen Tätigkeit / Geschäftsstrategie ist. Beispielsweise ist die Verarbeitung von Gesundheitsdaten für ein Krankenhaus oder die Verarbeitung von Adressdaten für Auskunfteien ein zentrales Element ihrer Tätigkeit. Die Verwaltung von Personaldaten innerhalb eines Unternehmens ist dagegen in der Regel als Nebentätigkeit einzustufen.
c) Die Kerntätigkeit des Unternehmens besteht in der umfangreichen Verarbeitung besonderer Datenkategorien.
Als besondere Datenkategorien gelten vor allem folgende Daten:
- Gesundheitsdaten
- personenbezogene Daten über Straftaten oder strafrechtliche Verurteilungen
- Daten zum Sexualleben oder zur sexuellen Orientierung
- Daten aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgeht
- genetische und biometrische Daten
Wenn Sie eine dieser Datenkategorien verarbeiten, kommt es nur darauf an, ob eine „umfangreiche Verarbeitung“ im Sinne der DSGVO vorliegt. Ist dies der Fall, müssen Sie einen Datenschutzbeauftragten bestellen.
d) Das Unternehmen ist nach DSGVO verpflichtet, eine sogenannte Datenschutz-Folgenabschätzung durchzuführen.
Ein Datenschutzbeauftragter (kurz: DSB) ist nach § 38 BDSG in Ihrem Unternehmen notwendig, wenn Ihr Unternehmen dazu verpflichtet ist, eine Datenschutz-Folgenabschätzung durchzuführen (Art. 35 DSGVO). Diese Pflicht besteht unabhängig davon, ob weitere Voraussetzungen für die Bestellung eines DSB vorliegen.
e) Geschäftsmäßige Verarbeitung personenbezogener Daten zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung.
Da dieser Aspekt nur auf wenige Unternehmen zutrifft, erwähnen wir ihn nur kurz.
3. Was ist die „Bestellung“ eines Datenschutzbeauftragten?“
Die Schriftform ist für die Benennung des DSB nicht vorgeschrieben, allerdings empfehlen wir Ihnen diese aus Beweisgründen und zur Rechtsklarheit.
Die Ernennung eines DSB erfolgt durch die Geschäftsleitung. Wichtig ist, dass die Kontaktdaten des Datenschutzbeauftragten veröffentlicht und der zuständigen Aufsichtsbehörde mitgeteilt werden.
Lohnt sich die freiwillige Bestellung eines DSB?
Ein Datenschutzbeauftragter kann (und sollte nach der DSGVO in vielen Fällen) auch freiwillig oder in Zweifelsfällen bestellt werden.
Viele - gerade kleinere - Unternehmer sind mit den zahlreichen Dokumentations-, Auskunfts- und Nachweispflichten der DSGVO überfordert. Hier kann oft nur ein spezialisierter Anwalt oder eben ein Datenschutzbeauftragter helfen, ein Unternehmen DSGVO-konform abzusichern.
Wenn das Thema Datenschutz im Unternehmen also nicht schon in fachlich guten Händen ist, sollten alle Unternehmen, die Kundendaten verarbeiten darüber nachdenken, auch ohne gesetzliche Pflicht freiwillig einen DSB zu bestellen.
Dieser kann Sie in zahlreichen datenschutzrechtlichen Belangen, wie bei der Risikoeinschätzung von Verarbeitungsvorgängen und dem Erstellen einer Datenschutzerklärung unterstützen.
Wie kann ich das Fachwissen des DSB nachweisen?
Ein Datenschutzbeauftragter muss über die Qualifikation und das Fachwissen zur Wahrnehmung seiner gesetzlich vorgesehenen Aufgaben verfügen. Konkrete Vorgaben hinsichtlich Kenntnissen oder Ausbildung sind jedoch weder in der DSGVO noch im BDSG-neu vorgesehen.
Datenschutzbeauftragter kann daher grundsätzlich jeder werden.
Unternehmen sollten die Auswahl eines Datenschutzbeauftragten dennoch nicht auf die leichte Schulter nehmen, da dessen Auswahl im Zweifel vor den Datenschutzbehörden gerechtfertigt werden muss.
Insoweit ist es hilfreich wenn ein zertifizierter Datenschutzbeauftragter benannt wird, der seine Datenschutzkenntnisse mit einem Zertifikat (z.B. vom TÜV, der IHK o.Ä.) belegen kann oder nachweislich über diese Kenntnisse verfügt (z.B. auf Datenschutz spezialisierte Rechtsanwälte).
Zudem ist darauf zu achten, dass die Wahl des Datenschutzbeauftragten nicht zu Interessenkonflikten führt. So sollte z.B. der Geschäftsführer / Unternehmensinhaber eines Unternehmens nicht gleichzeitig Datenschutzbeauftragter sein.
AUFGEPASST
Benennen Sie einen Rechtsanwalt als Datenschutzbeauftragten, darf es nicht zu Interessenkollisionen führen. Nach dem anwaltlichen Berufsrecht ist er zur Unabhängigkeit verpflichtet. Auf der anderen Seite muss er auch als Datenschutzbeauftragter nach DSGVO weisungsfrei und unabhängig agieren.
4. Externer oder betrieblicher Datenschutzbeauftragter?
Nach der DSGVO können Sie sowohl einen externen Datenschutzbeauftragten als auch einen betrieblichen Datenschutzbeauftragten ernennen. In beiden Fällen muss darauf geachtet werden, dass der bestellte Datenschutzbeauftragte über die erforderliche Qualifikation verfügt und keine Interessenkonflikte bei der Datenschutzberatung bestehen. Welche Variante sinnvoller ist, muss jedes Unternehmen selbst entscheiden.
Mit einem Datenschutzmanagementsystem behalten Sie den Datenschutzstatus Ihres Unternehmens im Blick und können Maßnahmen zur Risikominimierung treffen. Unser Managementsystem DatenschutzPro kann Sie als Verantwortlichen und den Datenschutzbeauftragten bei der Erfüllung seiner und Ihrer Aufgaben unterstützen.
Ein externer Datenschutzbeauftragter braucht in der Regel mehr Zeit, um sich in die Unternehmensstrukturen hineinzudenken. Gerade bei kleineren Unternehmen könnte sich die Ernennung eines externen Datenschutzbeauftragten dennoch anbieten, um das eigene Personal nicht mit diesen Aufgaben nicht zu binden. Durch die Wahl eines erfahrenen Externen, kann man zudem die nach der DSGVO erforderliche Qualifikation sicherstellen und nachweisen.
GUT ZU WISSEN
Ein interner Datenschutzbeauftragter genießt einen besonderen Kündigungsschutz. Die Kündigung des Arbeitsverhältnisses ist grundsätzlich unzulässig, es sei denn, es liegen Tatsachen vor, welche das Unternehmen zur Kündigung aus wichtigem Grund ohne Einhaltung der Kündigungsfrist berechtigen. Hierbei ist zu beachten, dass dieser Kündigungsschutz nur greift, sofern eine Pflicht zur Benennung bestand. Bei einer freiwilligen Ernennung gibt es keinen Kündigungsschutz.
Aus Kostengründen wird eine Vollzeitstelle für einen internen Datenschutzbeauftragten wohl nur für große Unternehmen in Betracht kommen. Zudem kommt ein betrieblicher Datenschutzbeauftragter für Unternehmen, deren Geschäftsmodell das Sammeln, Verarbeiten und Auswerten von Nutzerdaten ist, in Frage.
Professionell umgesetzt werden kann die Tätigkeit des Datenschutzbeauftragten auch durch spezialisierte Rechtsanwälte. Pauschale Preise kann man hier kaum benennen. Es kommt dabei immer auf Ihre konkrete Tätigkeit und den Stand des Datenschutzes in Ihrem Unternehmen an.
Durch ihr Fachwissen im Bereich Datensicherheit können Rechtsanwälte Sie professionell unterstützen und Datenschutzbestimmungen in Ihrem Unternehmen erfolgreich umsetzen.
Sie benötigen professionelle Unterstützung? Unser Partner Legaltrust unterstützt Sie bei der Einhaltung von Datenschutzbestimmungen und stellt Ihnen auf Wunsch einen externen Datenschutzbeauftragten zur Verfügung.
5. Was passiert, wenn kein Datenschutzbeauftragter im Unternehmen bestellt wird?
Der aufmerksame Leser dieses Beitrags dürfte die Folgen bereits erahnen – Geldbuße bis zu 20 Mio. oder bis zu 4 % des weltweiten Jahresumsatzes. Auch wenn natürlich nicht jedes Unternehmen mit derart hohen Bußgeldern rechnen muss, ist davon auszugehen, dass datenschutzrechtliche Verstöße mit Inkrafttreten der DSGVO deutlich stärker in den Fokus von Aufsichtsbehörden und Abmahnanwälten rücken dürften. Daher besser vorbeugen als heilen.
6. Checkliste
7. FAQ
- Zurück zur Übersicht: "Datenschutz"
- Wann macht ein externer Datenschutzbeauftragter Sinn?
- Datenschutz im Homeoffice
- Standardvertragsklauseln
- Datenschutzerklärung einbinden
- Datenschutz-Audit für Unternehmen
- Datenschutz bei Software as a Service (SaaS)
- Haftung bei Verstößen gegen das Datenschutzrecht
- Datenschutz beim Recruiting
- Datenschutz für ausgeschiedene Mitarbeiter
- Datenschutz bei Kundendaten
- Weitergabe von Kundendaten an Dritte
- Datenschutz beim Gewinnspiel
- Ist ein CDN DSGVO-konform?
- Datenschutz-Folgenabschätzung
Alles, was Sie wissen müssen
