Die Datenschutzgrundverordnung regelt in Art. 37, welche Unternehmen einen Datenschutzbeauftragten benennen müssen. Danach müssen private Unternehmen einen Datenschutzbeauftragten benennen, wenn
- die Kerntätigkeit in der Datenverarbeitung besteht, die „aufgrund ihrer Art, ihres Umfangs oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung“ der betroffenen Personen erforderlich macht, oder wenn
- die Kerntätigkeit in der umfangreichen Verarbeitung besonderes sensibler personenbezogener Daten gemäß Art. 9, 10 DSGVO besteht (z.B. Angaben über die rassische oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen und Daten über Straftaten und strafrechtliche Verurteilungen).
Auf den ersten Blick könnte diese Regelung bedeuten, dass viele Unternehmen keinen Datenschutzbeauftragten benötigen. Allerdings enthält die Datenschutzgrundverordnung eine nationale Öffnungsklausel, die Deutschland in Sachen Datenschutzbeauftragter umfassend ausschöpft. § 38 des neuen Bundesdatenschutzgesetzes sieht nämlich vor, dass Unternehmen ergänzend zu Art. 37 DSGVO einen Datenschutzbeauftragten benennen müssen, wenn sie in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.
Wenn ein Unternehmen Datenverarbeitungen vornimmt, die einer Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO unterliegen, oder wenn es personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet, so muss unabhängig von der Mitarbeiterzahl des Unternehmens ein Datenschutzbeauftragter benannt werden.
Was heißt „Benennung“ eines Datenschutzbeauftragten?
Die Datenschutzgrundverordnung und das Bundesdatenschutzgesetz sprechen von „Benennung“ eines Datenschutzbeauftragten in den gesetzlich vorgeschriebenen Fällen. Die Benennung erfolgt durch die Geschäftsführung bzw. den Unternehmensprokuristen. Die Benennung sollte nachweisbar, also schriftlich, erfolgen.
Datenschutzbeauftragter hat Sonderstellung im Unternehmen - auch in arbeitsrechtlicher Hinsicht
Der Datenschutzbeauftragte ist in der Ausübung seiner Aufgaben als Datenschutzbeauftragter nicht weisungsgebunden und berichtet unmittelbar der Geschäftsführung. Der Datenschutzbeauftragte darf in keinem Interessenkonflikt zu seinen anderen Aufgaben als Arbeitnehmer im Unternehmen befinden.
In arbeitsrechtlicher Hinsicht ist wichtig zu wissen, dass der Datenschutzbeauftragte während seiner „Amtszeit“ sowie bis zu einem Jahr nach deren Ende nicht ordentlich gekündigt werden darf.
Welche Aufgaben hat der Datenschutzbeauftragte?
Der Datenschutzbeauftragte ist für die Einhaltung der datenschutzrechtlichen Bestimmungen im Unternehmen verantwortlich. Er hat die Mitarbeiter hinsichtlich des datenschutzrechtlich konformen Umgangs mit personenbezogenen Daten zu schulen und ist Ansprechpartner für diese. Ferner ist er der Ansprechpartner für die zuständige Aufsichtsbehörde, die sich im Rahmen von Kontrollen oder bei Beschwerden an den Datenschutzbeauftragten des jeweiligen Unternehmens wendet. Gesetzlich definiert werden die Aufgaben des Datenschutzbeauftragten in Art. 40 DSGVO. Danach obliegen dem Beauftragten mindestens folgende Aufgaben:
- Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters und der Mitarbeiter, die Daten verarbeiten, hinsichtlich ihrer datenschutzrechtlichen Pflichten (insbesondere nach der Datenschutzgrundverordnung und dem Bundesdatenschutzgesetz);
- Überwachung der Einhaltung der datenschutzrechtlichen Bestimmungen sowie der Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen;
- Beratung im Zusammenhang mit der Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung gemäß Artikel 35 DSGVO;
- Zusammenarbeit mit der Aufsichtsbehörde;
- Tätigkeit als Anlaufstelle für die Aufsichtsbehörde in mit der Verarbeitung zusammenhängenden Fragen, einschließlich der vorherigen Konsultation gemäß Artikel 36, und gegebenenfalls Beratung zu allen sonstigen Fragen.
Der Datenschutzbeauftragte ist für die Erfüllung der Aufgaben verantwortlich und hat die Einhaltung des Datenschutzrechts zu überwachen. Einzelne Aufgaben kann er dabei jedoch delegieren.
Wer kann zum Datenschutzbeauftragten benannt werden?
Unternehmen mit mehreren Niederlassungen dürfen einen gemeinsamen Datenschutzbeauftragten für den gesamten Konzern benennen, sofern der Beauftragte von jeder Niederlassung aus leicht erreicht werden kann.
Der Datenschutzbeauftragte muss kein Mitarbeiter des Unternehmens sein, dessen Datenschutz er übernimmt. Vielmehr kann das Amt des Datenschutzbeauftragten an einen Dienstleister außerhalb des Unternehmens ausgelagert werden und ein externer Datenschutzbeauftragter benannt werden. Dies bietet sich insbesondere für kleinere Unternehmen an, die gar nicht über einen eigenen Mitarbeiter verfügen, der für die Ausübung der Funktion des Datenschutzbeauftragten qualifiziert ist.
Denn das Amt des Datenschutzbeauftragten kann nicht jeder übernehmen, sondern es müssen bestimmte Qualifikationen erfüllt sein. Gemäß Art. 37 DSGVO wird der Datenschutzbeauftragte auf Grundlage seiner „beruflichen Qualifikation und insbesondere des Fachwissens benannt, das er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der in Artikel 39 [DSGVO] genannten Aufgaben“.
Verstöße gegen Datenschutzgrundverordnung können mit Geldbußen geahndet werden
Die Auslagerung an einen externen Dienstleister kann sich auch zwecks Vermeidung von Interessenkonflikten im Unternehmen anbieten, da die Beschäftigung eines ausschließlich mit dem Datenschutz beschäftigten Mitarbeiters für die meisten Unternehmen zu kostspielig sein dürfte.
Auch an dieser Stelle ist nochmals darauf hinzuweisen, dass die Aufsichtsbehörden bei Verstoß gegen die Datenschutzgrundverordnung und das Bundesdatenschutzgesetz hohe Geldbußen verhängen können. Das gilt auch bei Verstoß gegen die Ernennungspflicht eines gesetzlich vorgeschriebenen Datenschutzbeauftragten.
Die Kontaktdaten des Datenschutzbeauftragten müssen veröffentlicht und der Aufsichtsbehörde mitgeteilt werden.
