Die gesetzlichen Aufgaben nach Art. 39
Art. 39 Abs. 1 nennt „zumindest“ folgende Aufgaben des Datenschutzbeauftragten:
- Unterrichtung und Beratung des Unternehmens und der Beschäftigten, die Verarbeitungen durchführen, über ihre Pflichten nach der Datenschutz-Grundverordnung und anderen Datenschutzvorschriften.
- Überwachung der Einhaltung der Verordnung, anderer Datenschutzvorschriften und der Strategien des Unternehmens für den Schutz personenbezogener Daten, einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen.
- Beratung auf Anfrage bei der Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung.
- Zusammenarbeit mit der Aufsichtsbehörde.
- Anlaufstelle für die Aufsichtsbehörde in Fragen der Verarbeitung, einschließlich der vorherigen Konsultation nach Art. 36, und gegebenenfalls Beratung zu allen sonstigen Fragen.
Bei der Erfüllung seiner Aufgaben trägt der Datenschutzbeauftragte dem mit den Verarbeitungen verbundenen Risiko gebührend Rechnung (Art. 39 Abs. 2). Außerdem können betroffene Personen ihn zu allen Fragen rund um die Verarbeitung ihrer Daten und ihre Rechte zu Rate ziehen (Art. 38 Abs. 4).
Seine Stellung im Unternehmen (Art. 38)
Damit der Datenschutzbeauftragte unabhängig arbeiten kann, regelt Art. 38 seine Stellung:
- Sie binden ihn „ordnungsgemäß und frühzeitig“ in alle Fragen des Datenschutzes ein.
- Sie stellen ihm die nötigen Ressourcen, den Zugang zu Daten und Verarbeitungsvorgängen und Mittel zur Erhaltung seines Fachwissens zur Verfügung.
- Er erhält bei der Ausübung seiner Aufgaben keine Anweisungen und berichtet unmittelbar an die höchste Managementebene.
- Er darf wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden.
- Er ist zur Geheimhaltung oder Vertraulichkeit verpflichtet.
- Er kann andere Aufgaben wahrnehmen, solange kein Interessenkonflikt entsteht.
Der Interessenkonflikt ist in der Praxis wichtig: Wer selbst über Zwecke und Mittel von Verarbeitungen entscheidet, kann sich nicht glaubwürdig selbst überwachen. Die Geschäftsführung oder die IT-Leitung sind deshalb als Datenschutzbeauftragte in der Regel ungeeignet.
Besteht die Pflicht zur Benennung, genießt der Datenschutzbeauftragte nach § 38 Abs. 2 in Verbindung mit § 6 Abs. 4 Bundesdatenschutzgesetz besonderen Kündigungsschutz. Seine Abberufung ist nur in entsprechender Anwendung des § 626 Bürgerliches Gesetzbuch zulässig, die Kündigung des Arbeitsverhältnisses nur aus wichtigem Grund.
Was nicht zu seinen Aufgaben gehört
Der Datenschutzbeauftragte überwacht und berät. Die Pflichten der Datenschutz-Grundverordnung treffen das Unternehmen als Verantwortlichen. Nach Art. 24 setzt der Verantwortliche die geeigneten Maßnahmen um und muss nachweisen können, dass die Verarbeitung der Verordnung entspricht. Das heißt konkret:
- Er entscheidet nicht für Sie, ob und wie Sie Daten verarbeiten.
- Er setzt die Maßnahmen nicht selbst um, zum Beispiel technische Einstellungen, Verträge oder Löschungen. Das tun Ihre Fachabteilungen.
- Er haftet nicht anstelle des Unternehmens für dessen Datenschutzverstöße.
Ein guter Datenschutzbeauftragter zeigt Ihnen, was zu tun ist, und prüft, ob es geschieht. Die Umsetzung bleibt bei Ihnen.
Intern oder extern?
Der Datenschutzbeauftragte kann nach Art. 37 Abs. 6 Beschäftigter sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen. Er wird „auf der Grundlage seiner beruflichen Qualifikation und insbesondere des Fachwissens“ benannt, das er im Datenschutzrecht und in der Datenschutzpraxis besitzt (Abs. 5). Die Kontaktdaten veröffentlichen Sie und teilen sie der Aufsichtsbehörde mit (Abs. 7).
| Kriterium | Interner Datenschutzbeauftragter | Externer Datenschutzbeauftragter |
|---|---|---|
| Fachwissen | Muss im Unternehmen aufgebaut und gepflegt werden | Ist Teil der Leistung |
| Kosten | Gehalt, Weiterbildung, Arbeitszeit für die Aufgabe | Feste monatliche Kosten nach Paket |
| Interessenkonflikt | Muss bei der Auswahl der Person geprüft werden | Kein Konflikt durch andere Aufgaben im Unternehmen |
| Kündigungsschutz | Besteht bei Pflicht zur Benennung auch nach Ende der Tätigkeit zeitlich fort | Regelt der Dienstleistungsvertrag |
| Vertretung bei Urlaub oder Krankheit | Muss organisiert werden | Übernimmt der Dienstleister |
Für kleine und mittlere Unternehmen ist der externe Datenschutzbeauftragte meist die wirtschaftlichere und rechtssicherere Lösung. Mehr dazu auf unserer Seite Externer Datenschutzbeauftragter, die Kosten finden Sie unter Preise. Ob Sie überhaupt einen benennen müssen, lesen Sie im Beitrag Datenschutzbeauftragter: ab wann Pflicht?
