Sie verwenden einen veralteten Browser. Um im Internet auch weiterhin sicher unterwegs zu sein, empfehlen wir ein Update.

Nutzen Sie z.B. eine aktuelle Version von Edge, Chrome oder Firefox

Fit für die DSGVO finden Sie jetzt hier

Datenschutzbeauftragte

Der oder die Datenschutzbeauftragte (DSB) ist eine Person, die der Selbstkontrolle bei Stellen dient, die personenbezogene Daten verarbeiten (d.h. bei Verantwortlichen und Auftragsverarbeitern).

Er oder sie hat dort die Aufgabe,

  • die Einhaltung der Datenschutzvorschriften zu überwachen,
  • die Beteiligten über ihre Pflichten zu unterrichten und sie zu beraten sowie
  • mit der Datenschutz-Aufsichtsbehörde zusammenzuarbeiten und als deren Anlaufstelle zu dienen.

➜ Mehr zu Datenschutzbeauftragten

Lösch-, Rollen- und Berechtigungskonzept

Wie sieht ein BR-Löschkonzept aus? Warum braucht der BR ein eigenes Rollen- und Berechtigungskonzept? Sind eigene Datenschutzhinweise erforderlich? Und wenn ja, in welcher Form?

Datenschutzprüfung

Sollen personenbezogene oder unternehmenskritische Daten in der Cloud verarbeitet werden, müssen Sie als DSB prüfen, ob der Cloud-Anbieter die Anforderungen der DSGVO erfüllen kann.

Aufgaben und Stellung von Datenschutzbeauftragten

DSB sollen beraten, überwachen und als Ansprechpartner für die Aufsicht dienen. Diese Aufgaben haben eher strategischen Charakter. In der betrieblichen Realität kommen oft operative Aufgaben hinzu. Welche Tätigkeiten können DSB übernehmen und welche nicht?

Datenschutz-Prüfungen

Bei Ortsbegehungen zum Datenschutz gilt es, wenig beachtete Prozesse zu finden, bei denen jeder gedankenlos mitarbeitet, die aber personenbezogene Daten in großen Mengen verarbeiten. Ideales Zielobjekt dafür sind Multifunktionsgeräte.

Datenschutz-Prüfungen

Die Checkliste hilft Ihnen als Datenschutzbeautragte dabei, Verantwortliche zum Datenschutz bei Multifunktionsgeräten im Vorfeld zu beraten, aber auch die Geräte einer Datenschutzkontrolle zu unterziehen.

Bedeutung des neuen § 79a BetrVG

Manche Gerichtsentscheidungen behandeln Themen, die auf den ersten Blick ausgesprochen speziell wirken. Doch bei näherem Hinsehen enthalten sie Ausführungen, die weit über den Einzelfall hinaus von Bedeutung sind. So hier, wo das Gericht grundsätzliche Ausführungen zum Datenschutzkonzept des Betriebsrats macht.

Verarbeitungsverzeichnis, Datenlöschung

Zwar hat der Gesetzgeber mittlerweile klargestellt, dass der Betriebsrat Teil des Verantwortlichen ist. Doch schließen sich an diese Feststellung einige weitere Fragen an, die es zu beantworten gilt.

Datenschutz-Prüfung

Datenminimierung ist ein wichtiger Beitrag zum Datenschutz in Unternehmen und Behörden - und dazu, Prozesse zu optimieren. Wer korrekt ausmistet oder von Anfang an auf nicht erforderliche Daten verzichtet, spart sich Kosten, Arbeitszeit und CO2.

Im Gespräch mit Michael Dwucet

Trotz des hohen Risikos sind viele Unternehmen nicht darauf vorbereitet, wie sie im Fall einer Cyberattacke reagieren sollten. Da Cyberangriffe beinahe regelmäßig zu einer Datenschutzverletzung führen, müssen Verantwortliche und auch Datenschutzbeauftragte wissen, was im Fall der Fälle zu tun ist. In der neuen Podcast-Folge gehen wir den Ernstfall durch und sprechen mit Michael Dwucet, einschlägiger Experte und Referatsleiter beim BSI, über Incident Response und den Datenschutz.

Browser-Datenschutz

Geht es um Webbrowser und Online-Tracking, dreht sich bisher fast alles um Cookies und Cookie-Manager. Die Werbewirtschaft ist jedoch kreativ und findet immer neue Alternativen. Konzipieren Sie daher die Sensibilisierung zu diesen Themen neu. Lesen Sie, worauf es ankommt.

1 von 23

Behörden und öffentliche Stellen müssen grundsätzlich einen Datenschutzbeauftragten benennen. Für nicht-öffentliche Stellen (Wirtschaftsunternehmen) besteht diese Pflicht vor allem, wenn sie risikobasierte Tätigkeiten ausüben oder wenn sie (das gilt nur in Deutschland) mindestens 20 Personen mit der Verarbeitung von personenbezogenen Daten beschäftigen. Diese Schwelle wurde mit der BDSG-Novelle 2019 von ursprünglich zehn Personen verdoppelt.

Muss kein Datenschutzbeauftragter bestellt sein oder ist keiner bestellt, ist die Geschäftsleitung selbst dafür verantwortlich, die Einhaltung sämtlicher Datenschutzvorschriften zu überwachen.

Gesetze und Vorschriften zum Datenschutzbeauftragten

  • Art. 37 DSGVO (Benennung eines Datenschutzbeauftragten durch Behörden und öffentliche Stellen sowie in bestimmten Fällen durch nicht-öffentliche Stellen) mit Erwägungsgrund 97 der Datenshcutz-Grundverordnung (DSGVO)
  • Art. 38 DSGVO (Stellung des Datenschutzbeauftragten)
  • Art. 39 DSGVO (Aufgaben des Datenschutzbeauftragten)
  • §§ 5, 6 und 7 BDSG (in Deutschland für öffentliche Stellen des Bundes: Benennung, Stellung und Aufgaben eines Datenschutzbeauftragten)
  • § 38 BDSG (Benennung eines Datenschutzbeauftragten durch nicht-öffentliche Stellen in Deutschland)

Pflicht zur Benennung

Behörden und öffentliche Stellen müssen grundsätzlich einen Datenschutzbeauftragten / eine Datenschutzbeauftragte benennen (mit Ausnahme von Gerichten, soweit es deren justizielle Tätigkeiten betrifft). Dies steht in Art. 37 Abs. 1 Buchstabe a DSGVO. Für Deutschland ergibt sich das inhaltsgleich auch aus § 5 Abs. 1 BDSG.

Nicht-öffentliche Stellen, das heißt Wirtschaftsunternehmen und Personenvereinigungen des privaten Rechts (z.B. GmbH, Gewerbetreibende, Selbstständige oder Vereine) innerhalb der EU müssen dann einen DSB ernennen (gemäß Art. 37 Abs. 1 Buchstabe b und c DSGVO), wenn ihre Kerntätigkeit in einer umfangreichen Verarbeitung besteht

  • von personenbezogenen Daten, die eine regelmäßige und systematische Überwachung von Personen erfordert (Beispiel: „Big-Data“-Auswertungen) oder
  • von besonderen Kategorien personenbezogener Daten (im Sinne von Art. 9 DSGVO) oder von strafrechtlichen Verurteilungen und Straftaten (im Sinne von Art. 10 DSGVO).

In Deutschland sind die Voraussetzungen niedriger (§ 38 BDSG; gemäß der Öffnungsklausel in Art. 37 Abs. 4 DSGVO). Nicht-öffentliche Stellen müssen bereits dann Datenschutzbeauftragte benennen, wenn sie

  • in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen oder
  • eine Datenschutz-Folgenabschätzung durchführen müssen oder
  • personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeiten.

Auch auf freiwilliger Basis möglich

Aber auch wenn diese Voraussetzungen nicht vorliegen, kann es sinnvoll sein, auf freiwilliger Basis einen Datenschutzbeauftragten oder eine Datenschutzbeauftragte zu benennen. Denn die DSGVO stellt umfangreiche und vielfältige Aufgaben, die eine zentrale Stelle besser koordinieren kann. Das hilft  dabei, Risiken und Geldbußen zu minimieren.

Hat ein Unternehmen einen Datenschutzbeauftragten ernannt, muss es  seine Kontaktdaten veröffentlichen und der Aufsichtsbehörde mitteilen (Art. 37 Abs. 7 DSGVO).

Zuständigkeit für mehrere Verantwortliche

Behörden oder öffentliche Stellen dürfen einen gemeinsamen Datenschutzbeauftragten benennen.

Unternehmensgruppen (Konzernen) dürfen ebenfalls einen gemeinsamen DSB benennen, wenn und soweit er sich von jeder Niederlassung aus leicht erreichen lässt. Damit ist nicht nur die persönliche Präsenz, sondern es sind auch sprachliche Barrieren gemeint.

Es ist ebenfalls zulässig, eine Person außerhalb des Unternehmens oder der Behörde zum Beauftragten zu ernennen (Art. 37 Abs. 6 DSGVO), beispielsweise einen Mitarbeiter eines anderen Konzernunternehmens oder einen spezialisierten Dienstleister (externe Datenschutzbeauftragte).

Qualifikation von  Datenschutzbeauftragten

Zum / zur Datenschutzbeauftragten darf nur benannt werden, wer die folgenden Voraussetzungen erfüllt (Art. 37 Abs. 5 DSGVO):

Berufliche Qualifikation

Insbesondere Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis: Es muss sichergestellt sein, dass der / die Beauftragte ein entsprechendes Fachwissen besitzt. Wie er es erwirbt, ist nicht festgelegt – es gibt keine einheitlichen Ausbildungsstandards und keinen besonderen Ausbildungsgang. Bestandteile der beruflichen Qualifikation sollten Kenntnisse sein in

  • Recht (vor allem Datenschutzrecht),
  • Technik (Umgang mit, Verwendung von und Schutz von personenbezogenen Daten in der IT) sowie
  • Organisation (z.B. Entscheidungsabläufe und Entscheidungsstrukturen).

Nach der Benennung muss der DSB sein Wissen auf einem aktuellen Stand halten, beispielsweise durch Seminare, Fachliteratur oder Internetrecherchen. Die berufliche Qualifikation sollten Datenschutzbeauftragte nachweisen können, etwa durch Zeugnisse und Zertifikate. Die Kosten, die durch eine Aus- oder Weiterbildung entstehen, muss der Arbeitgeber tragen (Art. 38 Abs. 2 DSGVO).

Fähigkeit, die gesetzlichen Aufgaben zu erfüllen

Die Aufgaben von Datenschutzbeauftragten sind in Art. 39 DSGVO niedergelegt. DSB müssensoziale Kompetenz und Kommunikationsfähigkeit besitzen, um den Überwachungs- und Kommunikationsaufgaben nachkommen zu können.

Dazu zählt auch, dass sie keinen Interessenkonflikten ausgesetzt sein dürfen – der Kontrollierte darf nicht zum Kontrolleur werden (vgl. auch Art. 38 Abs. 6 DSGVO). Nicht als Datenschutzbeauftragte geeignet sind somit Geschäftsführer, IT-Leiter, Personalleiter sowie andere leitende Mitarbeiter.

Die Tiefe der Kenntnisse kann je nach Tätigkeitsbereichen des Verantwortlichen variieren. So muss beispielsweise der Datenschutzbeauftragte in einem Krankenhaus eine andere Mindestqualifikation besitzen als die Datenschutzbeauftragte in einem Maschinenbau-Unternehmen.

Aufgaben von Datenschutzbeauftragten

Die Aufgaben von Datenschutzbeauftragten schreibt Art. 39 DSGVO fest. Demnach besitzen sie die folgenden Aufgaben:

  • Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters sowie derjenigen Beschäftigten, die Verarbeitungen durchführen, über die Datenschutzvorschriften
  • Überwachung der Einhaltung der Datenschutzvorschriften, einschließlich der Überprüfung, ob Zuständigkeiten ordnungsgemäß geklärt sind und ob die Mitarbeiter im Datenschutz geschult und sensibilisiert sind. (Die Schulung selbst müssen Datenschutzbeauftragte nicht unbedingt selber durchführen.)
  • bei Datenschutz-Folgenabschätzungen: Beratung und Überwachung
  • Zusammenarbeit mit Aufsichtsbehörden
  • Anlaufstelle für Aufsichtsbehörden

Riskobasierten Ansatz beachten!

Bei all diesen Aufgaben müssen Datenschutzbeauftragte einen risikobasierten Ansatz wählen (Art. 39 Abs. 2 DSGVO): Je größer das Risiko eines Datenschutzverstoßes ist, desto schneller und tiefgreifender müssen sie tätig werden.

Darüber hinaus dienen DSB als Anlaufstelle für betroffene Personen, die sich mit Fragen zu den Datenverarbeitungen und ihren Rechten an sie wenden dürfen (Art. 38 Abs. 4 DSGVO).

Stellung der Datenschutzbeauftragten

Datenschutzbeauftragte sind ordnungsgemäß und frühzeitig in alle Fragen einzubeziehen, die den Schutz von personenbezogenen Daten betreffen (Art. 38 Abs. 1 DSGVO).

Weisungsfrei, Benachteiligungsverbot

Bei der Erfüllung ihrer Aufgaben sind sie weisungsfrei – eine Beeinflussung von außen über das „Ob“ und das „Wie“ ihres Tätigwerdens ist nicht zulässig.

Wegen der Erfüllung ihrer Aufgaben dürfen sie nicht benachteiligt werden. Deshalb besitzen DSB einen Schutz vor Benachteiligungen; der Arbeitgeber kann ihnen nur erschwert kündigen (Art. 38 Abs. 3 DSGVO sowie § 38 Abs. 2 in Verbindung mit § 6 Abs. 4 BDSG).

Ihre Erkenntnisse und Mitteilungen berichten sie unmittelbar der höchsten Management-Ebene (Art. 38 Abs. 3 DSGVO), also z.B. dem Geschäftsführer oder dem Vorstand.

Datenschutz PRAXIS - Der Podcast
Vielen Dank! Ihr Kommentar muss noch redaktionell geprüft werden, bevor wir ihn veröffentlichen können.