DSGVO – Datenschutzbeauftragter

Die Datenschutz-Grundverordnung (DSGVO) hat das Konzept eines Datenschutzbeauftragten (DSB) in Europa etabliert. Entgegen der weit verbreiteten Meinung ist für die gesetzliche Pflicht zur Ernennung eines Datenschutzbeauftragten nicht die Größe des Unternehmens ausschlaggebend, sondern die Kernverarbeitungsaktivitäten, die als essenziell zur Erreichung der Unternehmensziele definiert sind. Wenn diese Kernaktivitäten darin bestehen, sensible personenbezogene Daten in großem Umfang zu verarbeiten oder eine Form der Datenverarbeitung, die für die Rechte der betroffenen Personen besonders weitreichend ist, muss das Unternehmen einen DSB ernennen. Öffentliche Stellen hingegen müssen immer einen DSB ernennen, mit Ausnahme der Gerichte, die in ihrer gerichtlichen Eigenschaft handeln. Darüber hinaus enthält die gesetzliche Vorschrift zur Ernennung eines Datenschutzbeauftragten eine Flexibilitätsklausel für die Mitgliedstaaten. Diese können frei entscheiden, ob ein Unternehmen unter strengeren Anforderungen einen Datenschutzbeauftragten ernennen muss (z. B. § 38 Bundesdatenschutzgesetz). Wenn eine solche Verpflichtung nach der Datenschutz-Grundverordnung oder einem spezifischeren nationalen Recht besteht, kann eine Unternehmensgruppe auch einen einzigen Datenschutzbeauftragten ernennen. Falls die Gruppe sich dazu entscheidet, muss er für die Aufsichtsbehörden, Mitarbeiter und externe betroffene Personen leicht zugänglich sein. Existiert keine gesetzliche Verpflichtung, können Unternehmen auf freiwilliger Basis einen DSB ernennen, um bei der Einhaltung des Datenschutzes zu helfen (was beispielsweise von der französischen Datenschutzbehörde CNIL empfohlen wird).

Gruppen und Unternehmen haben zwei Möglichkeiten, um ihrer Pflicht zur Benennung eines Datenschutzbeauftragten nachzukommen. Entweder benennen sie einen Mitarbeiter als internen Datenschutzbeauftragten oder sie bestellen einen externen Datenschutzbeauftragten. Bei der Auswahl einer solchen Person müssen sie sicherstellen, dass ein interner Datenschutzbeauftragter aufgrund seiner Tätigkeit in der IT-Abteilung, Personalabteilung oder dem oberen Management keinem Interessenkonflikt unterliegt, bei dem er sich selbst beaufsichtigen müsste. Unabhängig davon, welche Option gewählt wird, muss ein Datenschutzbeauftragter über fachkundige Kenntnisse im Datenschutzrecht und in der IT-Sicherheit verfügen, deren Umfang von der Komplexität der Datenverarbeitung und der Unternehmensgröße abhängt.

Die Aufgaben eines Datenschutzbeauftragten umfassen: die Einhaltung aller relevanten Datenschutzgesetze zu gewährleisten, spezifische Prozesse wie Datenschutz-Folgenabschätzungen oder die Sensibilisierung und Schulung der Mitarbeiter für den Datenschutz zu überwachen sowie die Zusammenarbeit mit den Aufsichtsbehörden. Daher darf der Mitarbeiter, der als Datenschutzbeauftragter tätig ist, aufgrund der Erfüllung seiner Aufgaben nicht entlassen oder benachteiligt werden. Trotz seiner Überwachungsfunktion bleibt das Unternehmen selbst für die Einhaltung der Datenschutzgesetze verantwortlich. Daher muss es den Datenschutzbeauftragten in alle Angelegenheiten, die den Schutz personenbezogener Daten betreffen, „ordnungsgemäß und rechtzeitig“ einbeziehen. Bei der Bestellung eines Datenschutzbeauftragten muss dessen Vorgesetzter seine Kontaktdaten veröffentlichen und seine Bestellung sowie Kontaktdaten den Datenschutzaufsichtsbehörden mitteilen. Wenn ein Unternehmen freiwillig einen Datenschutzbeauftragten benannt hat, muss es auch die oben genannten Kriterien und Bestimmungen einhalten. Beachten Sie auch, dass die vorsätzliche oder fahrlässige Unterlassung der Bestellung eines Datenschutzbeauftragten trotz rechtlicher Verpflichtung einen Verstoß darstellt, der mit Bußgeldern geahndet werden kann.

.