Aufgaben, Haftungsumfang und Bestellung eines externen Datenschutzbeauftragten

Für die Einhaltung des Datenschutzes sind sogenannte Datenschutzbeauftragte (DSB) zuständig. Diese nehmen in Unternehmen und Organisationen oft eine Sonderstellung ein. Unabhängig, weisungsfrei und nur dem Gesetz unterworfen unterstehen sie unmittelbar der Geschäftsleitung.

Was ist ein Datenschutzbeauftragter?

Datenschutzbeauftragte beobachten Prozesse und Vorgänge innerhalb des Unternehmens in Hinblick auf Datenschutz und dessen Einhaltung im Unternehmen. Sie können als interner Datenschutzbeauftragter selbst zum Betrieb gehören oder dieser Aufgabe als externer Datenschutzbeauftragter nachkommen.

In beiden Fällen haben sie Einblick in die internen Abläufe und sind qualifiziert, etwaige Risiken oder datenschutzrechtliche Verstöße frühzeitig zu erkennen und entsprechende Maßnahmen anzustoßen. Dies kann, von Betrieb zu Betrieb, ganz unterschiedliche Abteilungen betreffen - sei es den Personalbereich, die Verwaltung von Kundendaten oder Verträge mit externen Dienstleistern.

Ein Datenschutzbeauftragter ist für die umfassende Wahrung des Datenschutzes in Unternehmen oder Organisationen zuständig. Im Zuge dessen muss gewährleistet sein, dass er nicht im Interessenkonflikt steht, sondern seiner Aufgabe unabhängig und weisungsfrei nachkommen kann. Der Datenschutzbeauftragte wird von der Geschäftsleitung berufen und untersteht dieser unmittelbar.

Welche Aufgaben hat ein Datenschutzbeauftragter?

Die Aufgaben eines Datenschutzbeauftragten hängen stets vom jeweiligen Unternehmen, dessen Abläufen und Tätigkeitsfeldern ab. Grundsätzlich aber sind Datenschutzbeauftragte

• Ansprechpartner für datenschutzrechtliche Fragen,
• sie beobachten Prozesse und erkennen potentielle Verstöße frühzeitig,
• stoßen Maßnahmen zur Gewährleistung des Datenschutzes an,
• begleiten die Umsetzung und Implementierung datenschutzrechtlicher Maßnahmen,
• kommunizieren mit Aufsichtsbehörden und
• prüfen Verträge mit externen Dienstleistern.

Ab wann braucht ein Unternehmen einen Datenschutzbeauftragten?

Ob und in welchen Fällen ein Datenschutzbeauftragter bestellt werden muss, leitet sich aus dem Bundesdatenschutzgesetz (BDSG) ab. Dieses formuliert konkrete Voraussetzungen, unter denen ein Datenschutzbeauftragter durch die Geschäftsleitung zu bestellen ist:

• Mindestens 10 Mitarbeiter sind mit der (automatisierten) Verarbeitung personenbezogener Daten betraut (gleich, ob in Voll- oder in Teilzeit).
• Der Betrieb führt Prozesse durch, die der Datenschutzfolgenabschätzung (DSFA) gemäß DSGVO unterliegen.
• Die Kerntätigkeit des Unternehmens beinhaltet die geschäftsmäßige Verarbeitung und/oder Übermittlung personenbezogener Daten (bspw. im Rahmen von Marktforschung u.ä.).

Wer kann Datenschutzbeauftragter werden?

Erfüllt ein Betrieb einen oder gleich mehrere der oben beschriebenen Punkte, muss die Geschäftsleitung einen Datenschutzbeauftragten bestellen. Doch nach welchen Kriterien wird dieser ausgewählt?

Grundsätzlich kann jede natürliche Person die Funktion des Datenschutzbeauftragten übernehmen. Oft bietet es sich an, die Aufgaben einem vorhandenen Mitarbeiter zu übertragen. Allerdings nur, wenn ein Interessenkonflikt ausgeschlossen werden kann. Die Alternative ist ein externer Datenschutzbeauftragter, der mit dem betrieblichen Datenschutz betraut wird und hierfür Einsicht in die internen Abläufe erhält.

In beiden Fällen müssen folgende Voraussetzungen erfüllt werden:

1. Die berufliche Qualifikation im entsprechenden Wirtschaftsbereich ist vorhanden.
2. Fachwissen in den Bereichen Datenschutzrecht und Datenschutzpraxis kann durch Fort- und Weiterbildungen nachgewiesen werden.
3. Die Fähigkeit, die Aufgabe zu erfüllen, ist gegeben (bspw. durch hinreichenden Einblick in innerbetriebliche Prozesse etc.).

Da bislang weder Ausbildung noch Studiengang zum Thema Datenschutz existieren, wird die Qualifikation bzw. der Titel des durch Fort- und Weiterbildungen erlangt und nachgewiesen.

Bestellung eines Datenschutzbeauftragten

Unter einer "Bestellung" ist hier die Ernennung eines Datenschutzbeauftragten zu verstehen. Dieser ist ab der Bestellung offiziell in der Position seine Rechten und Pflichten auszuüben.

Die Bestellung erfolgt stets mit einer eigens angefertigten und von beiden Seiten unterzeichneten Bestellungsurkunde. In ihr werden die konkreten Aufgaben - in Abgrenzung zu etwaigen Leistungen als Mitarbeiter - und die Position des Datenschutzbeauftragten innerhalb des Betriebs erfasst. Die Bestellungsurkunde wird von der Geschäftsleitung unterzeichnet. Nach Unterzeichnung aller Parteien ist der jeweilige Datenschutzbeauftragte zukünftig für den betrieblichen Datenschutz verantwortlich.

Haftung des Datenschutzbeauftragten

Da der schließlich bestellte Datenschutzbeauftragte nicht weisungsbefugt ist, kann er für Verstöße des Unternehmens gegen das Datenschutzrecht grundsätzlich nicht haftbar gemacht werden. Sind allerdings falsche Beratung und die Fahrlässigkeit des Datenschutzbeauftragten Ursache für die Verstöße, kann die Situation anders aussehen.

Der Haftungsumfang ist bei internen und externen Datenschutzbeauftragten unterschiedlich. Der interne Datenschutzbeauftragte ist als Mitarbeiter des Unternehmens bis zu einem gewissen Maße durch den "innerbetrieblichen Schadensausgleich" abgesichert, während der externe Datenschutzbeauftragte schon bei leichter Fahrlässigkeit in voller Höhe haften kann.

Interner vs. externer Datenschutzbeauftragter

Während ein betrieblicher (interner) Datenschutzbeauftragter zwar genaue Kenntnis der betrieblichen Abläufe hat, können hier aufwendige Fortbildungsmaßnahmen und der potentielle Interessenkonflikt (durch seine Zugehörigkeit zum Unternehmen) eine Herausforderung darstellen.

Externe Datenschutzbeauftragte müssen dagegen zwar in Prozesse und interne Abläufe eingearbeitet werden, haben jedoch oft durch die Betreuung unterschiedlicher Kunden fachübergreifende Erfahrungswerte. Zudem hat es den Vorteil, dass der Betrieb nicht für die Kosten von Fort- und Weiterbildung aufkommt. Die Tätigkeit wird schließlich in einem separaten Arbeitsvertrag erfasst, was auch die Haftung einfacher macht.

Aktuelle Fachbeiträge & Urteile