Sie verwenden einen veralteten Browser. Um im Internet auch weiterhin sicher unterwegs zu sein, empfehlen wir ein Update.

Nutzen Sie z.B. eine aktuelle Version von Edge, Chrome oder Firefox

Datenschutzbeauftragte

Der oder die Datenschutzbeauftragte (DSB) ist eine Person, die der Selbstkontrolle bei Stellen dient, die personenbezogene Daten verarbeiten (d.h. bei Verantwortlichen und Auftragsverarbeitern).

Er oder sie hat dort die Aufgabe,

  • die Einhaltung der Datenschutzvorschriften zu überwachen,
  • die Beteiligten über ihre Pflichten zu unterrichten und sie zu beraten sowie
  • mit der Datenschutz-Aufsichtsbehörde zusammenzuarbeiten und als deren Anlaufstelle zu dienen.

➜ Mehr zu Datenschutzbeauftragten

Verarbeitungstätigkeiten prüfen

Dokumentenmanagement-Systeme (DMS) vereinfachen die Suche nach Dokumenten, unterstützen die Zusammenarbeit und sind ein Informationsarchiv. Die Dokumente können aber Spuren ihrer Benutzer enthalten. Sie brauchen daher Schutz innerhalb und außerhalb des internen Netzwerks.

Auswahlkriterien für VPN-Dienste

Ein VPN zu nutzen, gehört regelmäßig zu den Sicherheits-Empfehlungen, für das Homeoffice genauso wie für die mobile Arbeit. Doch damit Virtual Private Networks den erwarteten Schutz bieten, müssen die jeweiligen VPN-Lösungen eine Reihe von Kriterien erfüllen.

Entgegen einem häufigen Missverständnis geht es bei diesem Grundsatz nicht um das Löschen um jeden Preis, sondern darum, die Anforderungen korrekt zu erfassen und die Konsequenzen in die Praxis umzusetzen.

Terminbuchungstools, die Patientinnen und Patienten über die Praxis-Homepage nutzen können, etablieren sich zunehmend. Sie erleichtern die Organisation von Arztgesprächen und -behandlungen, bergen jedoch datenschutzrechtliche Risiken. Die Checkliste zeigt Ihnen worauf Sie achten müssen.

Eine technische Lösung, die die Zugriffsberechtigungen für eine KI regelt und überwacht, hilft dabei, mehrere Kriterien aus dieser Checkliste umzusetzen.

Unternehmen und Behörden sollten mit Unterstützung der oder des DSB sorgfältig prüfen, welche Datenverarbeitungen sie in eine Public Cloud verlagern. Die Checkliste hilft dabei.

Im Gespräch mit Prof. Dr. Tobias Keber

Im Zusammenhang mit dem Inkrafttreten des HinSchG stellt sich eine Vielzahl von datenschutzrechtlichen Fragen. Wir haben Prof. Dr. Tobias Keber, Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI), dazu befragt.

Datenschutz PRAXIS - Der News-Podcast

Was ist neu in den Bereichen „Aus den Aufsichtsbehörden“, „Der Blick nach Berlin und Brüssel“, „Meldungen aus dem Bereich Cybersicherheit“ und „Die Datenpanne des Monats“? Der News-Podcast bringt Sie auf den aktuellen Stand.

Im Home-Office müssen vielfach die Nutzer selbst die Anti-Spam-Funktionen einstellen. Helfen Sie hierbei mit einer Unterweisung.
Bild: OneO2 / iStock / Getty Images Plus
Tipps für die Datenschutzunterweisung

Die Spam-Filterung erfolgt teils lokal auf den Endgeräten. Bei Remote Work und Homeoffice sind oftmals die Nutzer gefragt, wenn es um das Training der Spam-Filter geht. Erklären Sie deshalb in einer Unterweisung, wie man die unerwünschten und oftmals gefährlichen E-Mails am besten behandelt.

Das Standard-Datenschutzmodell hilft dabei, ein Datenschutzmamagement zu etablieren und z.B. Risiken zu bewerten. Die Checkliste führt wichtige Schritte auf, um ein solches System zu etablieren.

2 von 24

Behörden und öffentliche Stellen müssen grundsätzlich einen Datenschutzbeauftragten benennen. Für nicht-öffentliche Stellen (Wirtschaftsunternehmen) besteht diese Pflicht vor allem, wenn sie risikobasierte Tätigkeiten ausüben oder wenn sie (das gilt nur in Deutschland) mindestens 20 Personen mit der Verarbeitung von personenbezogenen Daten beschäftigen. Diese Schwelle wurde mit der BDSG-Novelle 2019 von ursprünglich zehn Personen verdoppelt.

Muss kein Datenschutzbeauftragter bestellt sein oder ist keiner bestellt, ist die Geschäftsleitung selbst dafür verantwortlich, die Einhaltung sämtlicher Datenschutzvorschriften zu überwachen.

Gesetze und Vorschriften zum Datenschutzbeauftragten

  • Art. 37 DSGVO (Benennung eines Datenschutzbeauftragten durch Behörden und öffentliche Stellen sowie in bestimmten Fällen durch nicht-öffentliche Stellen) mit Erwägungsgrund 97 der Datenshcutz-Grundverordnung (DSGVO)
  • Art. 38 DSGVO (Stellung des Datenschutzbeauftragten)
  • Art. 39 DSGVO (Aufgaben des Datenschutzbeauftragten)
  • §§ 5, 6 und 7 BDSG (in Deutschland für öffentliche Stellen des Bundes: Benennung, Stellung und Aufgaben eines Datenschutzbeauftragten)
  • § 38 BDSG (Benennung eines Datenschutzbeauftragten durch nicht-öffentliche Stellen in Deutschland)

Pflicht zur Benennung

Behörden und öffentliche Stellen müssen grundsätzlich einen Datenschutzbeauftragten / eine Datenschutzbeauftragte benennen (mit Ausnahme von Gerichten, soweit es deren justizielle Tätigkeiten betrifft). Dies steht in Art. 37 Abs. 1 Buchstabe a DSGVO. Für Deutschland ergibt sich das inhaltsgleich auch aus § 5 Abs. 1 BDSG.

Nicht-öffentliche Stellen, das heißt Wirtschaftsunternehmen und Personenvereinigungen des privaten Rechts (z.B. GmbH, Gewerbetreibende, Selbstständige oder Vereine) innerhalb der EU müssen dann einen DSB ernennen (gemäß Art. 37 Abs. 1 Buchstabe b und c DSGVO), wenn ihre Kerntätigkeit in einer umfangreichen Verarbeitung besteht

  • von personenbezogenen Daten, die eine regelmäßige und systematische Überwachung von Personen erfordert (Beispiel: „Big-Data“-Auswertungen) oder
  • von besonderen Kategorien personenbezogener Daten (im Sinne von Art. 9 DSGVO) oder von strafrechtlichen Verurteilungen und Straftaten (im Sinne von Art. 10 DSGVO).

In Deutschland sind die Voraussetzungen niedriger (§ 38 BDSG; gemäß der Öffnungsklausel in Art. 37 Abs. 4 DSGVO). Nicht-öffentliche Stellen müssen bereits dann Datenschutzbeauftragte benennen, wenn sie

  • in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen oder
  • eine Datenschutz-Folgenabschätzung durchführen müssen oder
  • personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeiten.

Auch auf freiwilliger Basis möglich

Aber auch wenn diese Voraussetzungen nicht vorliegen, kann es sinnvoll sein, auf freiwilliger Basis einen Datenschutzbeauftragten oder eine Datenschutzbeauftragte zu benennen. Denn die DSGVO stellt umfangreiche und vielfältige Aufgaben, die eine zentrale Stelle besser koordinieren kann. Das hilft  dabei, Risiken und Geldbußen zu minimieren.

Hat ein Unternehmen einen Datenschutzbeauftragten ernannt, muss es  seine Kontaktdaten veröffentlichen und der Aufsichtsbehörde mitteilen (Art. 37 Abs. 7 DSGVO).

Zuständigkeit für mehrere Verantwortliche

Behörden oder öffentliche Stellen dürfen einen gemeinsamen Datenschutzbeauftragten benennen.

Unternehmensgruppen (Konzernen) dürfen ebenfalls einen gemeinsamen DSB benennen, wenn und soweit er sich von jeder Niederlassung aus leicht erreichen lässt. Damit ist nicht nur die persönliche Präsenz, sondern es sind auch sprachliche Barrieren gemeint.

Es ist ebenfalls zulässig, eine Person außerhalb des Unternehmens oder der Behörde zum Beauftragten zu ernennen (Art. 37 Abs. 6 DSGVO), beispielsweise einen Mitarbeiter eines anderen Konzernunternehmens oder einen spezialisierten Dienstleister (externe Datenschutzbeauftragte).

Qualifikation von  Datenschutzbeauftragten

Zum / zur Datenschutzbeauftragten darf nur benannt werden, wer die folgenden Voraussetzungen erfüllt (Art. 37 Abs. 5 DSGVO):

Berufliche Qualifikation

Insbesondere Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis: Es muss sichergestellt sein, dass der / die Beauftragte ein entsprechendes Fachwissen besitzt. Wie er es erwirbt, ist nicht festgelegt – es gibt keine einheitlichen Ausbildungsstandards und keinen besonderen Ausbildungsgang. Bestandteile der beruflichen Qualifikation sollten Kenntnisse sein in

  • Recht (vor allem Datenschutzrecht),
  • Technik (Umgang mit, Verwendung von und Schutz von personenbezogenen Daten in der IT) sowie
  • Organisation (z.B. Entscheidungsabläufe und Entscheidungsstrukturen).

Nach der Benennung muss der DSB sein Wissen auf einem aktuellen Stand halten, beispielsweise durch Seminare, Fachliteratur oder Internetrecherchen. Die berufliche Qualifikation sollten Datenschutzbeauftragte nachweisen können, etwa durch Zeugnisse und Zertifikate. Die Kosten, die durch eine Aus- oder Weiterbildung entstehen, muss der Arbeitgeber tragen (Art. 38 Abs. 2 DSGVO).

Fähigkeit, die gesetzlichen Aufgaben zu erfüllen

Die Aufgaben von Datenschutzbeauftragten sind in Art. 39 DSGVO niedergelegt. DSB müssensoziale Kompetenz und Kommunikationsfähigkeit besitzen, um den Überwachungs- und Kommunikationsaufgaben nachkommen zu können.

Dazu zählt auch, dass sie keinen Interessenkonflikten ausgesetzt sein dürfen – der Kontrollierte darf nicht zum Kontrolleur werden (vgl. auch Art. 38 Abs. 6 DSGVO). Nicht als Datenschutzbeauftragte geeignet sind somit Geschäftsführer, IT-Leiter, Personalleiter sowie andere leitende Mitarbeiter.

Die Tiefe der Kenntnisse kann je nach Tätigkeitsbereichen des Verantwortlichen variieren. So muss beispielsweise der Datenschutzbeauftragte in einem Krankenhaus eine andere Mindestqualifikation besitzen als die Datenschutzbeauftragte in einem Maschinenbau-Unternehmen.

Aufgaben von Datenschutzbeauftragten

Die Aufgaben von Datenschutzbeauftragten schreibt Art. 39 DSGVO fest. Demnach besitzen sie die folgenden Aufgaben:

  • Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters sowie derjenigen Beschäftigten, die Verarbeitungen durchführen, über die Datenschutzvorschriften
  • Überwachung der Einhaltung der Datenschutzvorschriften, einschließlich der Überprüfung, ob Zuständigkeiten ordnungsgemäß geklärt sind und ob die Mitarbeiter im Datenschutz geschult und sensibilisiert sind. (Die Schulung selbst müssen Datenschutzbeauftragte nicht unbedingt selber durchführen.)
  • bei Datenschutz-Folgenabschätzungen: Beratung und Überwachung
  • Zusammenarbeit mit Aufsichtsbehörden
  • Anlaufstelle für Aufsichtsbehörden

Riskobasierten Ansatz beachten!

Bei all diesen Aufgaben müssen Datenschutzbeauftragte einen risikobasierten Ansatz wählen (Art. 39 Abs. 2 DSGVO): Je größer das Risiko eines Datenschutzverstoßes ist, desto schneller und tiefgreifender müssen sie tätig werden.

Darüber hinaus dienen DSB als Anlaufstelle für betroffene Personen, die sich mit Fragen zu den Datenverarbeitungen und ihren Rechten an sie wenden dürfen (Art. 38 Abs. 4 DSGVO).

Stellung der Datenschutzbeauftragten

Datenschutzbeauftragte sind ordnungsgemäß und frühzeitig in alle Fragen einzubeziehen, die den Schutz von personenbezogenen Daten betreffen (Art. 38 Abs. 1 DSGVO).

Weisungsfrei, Benachteiligungsverbot

Bei der Erfüllung ihrer Aufgaben sind sie weisungsfrei – eine Beeinflussung von außen über das „Ob“ und das „Wie“ ihres Tätigwerdens ist nicht zulässig.

Wegen der Erfüllung ihrer Aufgaben dürfen sie nicht benachteiligt werden. Deshalb besitzen DSB einen Schutz vor Benachteiligungen; der Arbeitgeber kann ihnen nur erschwert kündigen (Art. 38 Abs. 3 DSGVO sowie § 38 Abs. 2 in Verbindung mit § 6 Abs. 4 BDSG).

Ihre Erkenntnisse und Mitteilungen berichten sie unmittelbar der höchsten Management-Ebene (Art. 38 Abs. 3 DSGVO), also z.B. dem Geschäftsführer oder dem Vorstand.

Datenschutz PRAXIS - Der Podcast
Vielen Dank! Ihr Kommentar muss noch redaktionell geprüft werden, bevor wir ihn veröffentlichen können.