Die Rolle des Datenschutzbeauftragten kompakt erklärt: wer infrage kommt, was er tut und wann Sie gesetzlich zur Bestellung verpflichtet sind.
Was ist ein Datenschutzbeauftragter?
Ein Datenschutzbeauftragter (DSB) ist eine formell benannte, unabhängige Compliance-Funktion. Die DSGVO enthält keine einzelne eigenständige Definition. Stattdessen wird die Rolle über Bestellungspflichten, Unabhängigkeitsgarantien und die in den Artikeln 37 bis 39 DSGVO festgelegten gesetzlichen Aufgaben definiert.
Nach der DSGVO (Art. 37 Abs. 5 DSGVO) muss ein Datenschutzbeauftragter auf Grundlage seiner beruflichen Qualifikation, insbesondere Fachwissen auf dem Gebiet des Datenschutzrechts, und seiner Fähigkeit zur Erfüllung der Aufgaben in der Praxis benannt werden.
Der Datenschutzbeauftragte darf keine Weisungen entgegennehmen und darf keinen Interessenkonflikt haben. In der Praxis bedeutet dies, dass ein Datenschutzbeauftragter nicht seine eigene Arbeit prüfen oder eine Führungsposition innehaben darf, die Entscheidungen über die Datenverarbeitung beeinflusst.
Was macht ein Datenschutzbeauftragter?
Gesetzliche Aufgaben (Art. 39 DSGVO)
- Unterrichtung und Beratung des Verantwortlichen oder Auftragsverarbeiters sowie der Mitarbeitenden über ihre Pflichten nach dem Datenschutzrecht.
- Überwachung der Einhaltung der DSGVO sowie interner Datenschutzrichtlinien.
- Tätigkeit als Anlaufstelle für die Datenschutzaufsichtsbehörde.
Übliche Aufgaben in der Praxis
- Durchführung von Mitarbeiterschulungen, um Bewusstsein zu schaffen und eine Datenschutzkultur im Unternehmen zu verankern.
- Unterstützung beim Vorfallmanagement, indem er das Unternehmen bei der Reaktion auf Datenschutzverletzungen begleitet, einschließlich der Meldepflichten.
- Beratung zu Datenschutz-Folgenabschätzungen (DSFA) – strukturierten Risikobewertungen, die vor jeder Verarbeitung mit hohem Risiko erforderlich sind.
Die Kontaktdaten des Datenschutzbeauftragten müssen veröffentlicht und der Datenschutzaufsichtsbehörde mitgeteilt werden.
Brauchen Sie einen?
Ein Datenschutzbeauftragter ist verpflichtend (Art. 37 Abs. 1 DSGVO), wenn Sie eine Behörde oder öffentliche Stelle sind, oder wenn Ihre Kerntätigkeit entweder die umfangreiche Verarbeitung besonderer Datenkategorien (Gesundheit, biometrische Daten, Daten über strafrechtliche Verurteilungen) oder die umfangreiche, regelmäßige und systematische Überwachung von Personen umfasst.
Erforderlich — Beispiele
- Ein Krankenhaus mit umfangreichen Patientendaten
- Ein Sicherheitsunternehmen, das öffentliche Räume überwacht
- Eine Personalberatung, die Profile von Personen erstellt
Nicht erforderlich — Beispiele
- Ein niedergelassener Hausarzt, der die Daten seiner Patienten verarbeitet
- Eine kleine Kanzlei, die die Daten ihrer Mandanten verarbeitet
Quelle: Europäische Kommission, „Does my company/organisation need to have a data protection officer?“
Auch wenn keine gesetzliche Pflicht besteht, lohnt es sich, die Rolle in Betracht zu ziehen. Ein Datenschutzbeauftragter bringt strukturiertes Risikomanagement, reduziert das Risiko von Bußgeldern und behördlichen Maßnahmen und signalisiert Kunden und Partnern, dass Datenschutz ernst genommen wird.
Intern oder extern?
Ein Datenschutzbeauftragter kann ein Mitarbeiter, ein externer Dienstleister oder sogar eine Organisation sein. Für kleinere Unternehmen ist ein externer Datenschutzbeauftragter in Teilzeit eine übliche und zulässige Option. In jedem Fall gilt dieselbe zentrale Anforderung: Der Datenschutzbeauftragte muss unabhängig handeln können, ohne bei der Ausübung seiner Aufgaben Weisungen unterworfen zu sein.
Ein wichtiger Punkt, falls Sie sich für eine freiwillige Bestellung entscheiden: Es gelten dieselben Regeln. Unabhängigkeit, Freiheit von Interessenkonflikten und die gesetzlichen Aufgaben sind nicht deshalb optional, weil die Bestellung nicht gesetzlich vorgeschrieben war.
Nationale Regelungen unterscheiden sich
Die DSGVO bildet die Mindestanforderung. Die Mitgliedstaaten können strengere Regelungen erlassen. Deutschland hat beispielsweise strengere Schwellenwerte, die eine Pflicht zur Bestellung eines Datenschutzbeauftragten auslösen können, auch wenn die EU-Vorgaben allein dies nicht vorschreiben würden. Es liegt nahe anzunehmen, dass die Regeln EU-weit einheitlich sind. Das sind sie nicht. Prüfen Sie bei grenzüberschreitender Tätigkeit stets, was in der jeweiligen Rechtsordnung gilt.
Sind Sie unsicher, ob Ihre Aufstellung compliant ist? Schreiben Sie mir gerne, ich bespreche das gerne mit Ihnen.