Der betriebliche Datenschutzbeauftragte hat primär die Aufgaben, auf die Einhaltung datenschutzrechtlicher Vorschriften hinzuwirken. Seine Bestellung ist in der Regel für jede verantwortliche Stelle Pflicht, es gibt aber auch gute Gründe unabhängig von der Pflicht einen betrieblichen Datenschutzbeauftragten zu bestellen. So liegt die Förderung des Datenschutzes im Interesse jeder Stelle und es entfällt eine Meldepflicht gegenüber der Aufsichtsbehörde. Außerdem gehört ein betrieblicher Datenschutzbeauftragter zu einer Datenschutzorganisation, die persönliche Haftungsrisiken für Mitglieder der Geschäftsleitungsebene mindern kann.

Datenschutzrechtliche Standard-Situationen Schritt für Schritt meistern: Dabei unterstützen die ESCHE Datenschutz-Checklisten.

Entscheidung über die Bestellung eines betrieblichen Datenschutzbeauftragten

• Prüfung, ob eine gesetzliche Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten besteht: Diese besteht insbesondere, wenn
• mehr als 9 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, wobei "ständig" hier "regelmäßig" bedeutet, so dass Personen mit einem E-Mail-Account diese Anforderung in der Regel schon erfüllen dürften,
• automatisierte Verarbeitungen vorgenommen werden, die der Vorabkontrolle unterliegen (bei besonderen Risiken für Rechte und Freiheiten der Betroffenen) oder
• Daten geschäftsmäßig zum Zwecke der Übermittlung oder der Markt- und Meinungsforschung automatisiert verarbeitet werden.

• Wenn die Bestellung nicht vorgeschrieben ist: Prüfung der Zweckmäßigkeit der Bestellung eines betrieblichen Datenschutzbeauftragten. Gründe für eine Bestellung können sein:
• Reduzierung von Haftungsrisiken der Organmitglieder und sonstiger Mitglieder der Geschäftsleitungsebene
• Verbesserung des Datenschutzes im Unternehmen
• Entfallen der gegenüber der Aufsichtsbehörde bestehenden Meldepflichten nach § 4 d, e BDSG

Auswahl eines betrieblichen Datenschutzbeauftragten

• Die Auswahl eines betrieblichen Datenschutzbeauftragten sollte sehr sorgfältig durchgeführt werden, weil die Abberufung nur aus wichtigem Grund zulässig ist und ggf. ein arbeitsrechtlicher Kündigungsschutz zu beachten ist
• Entscheidung für einen eigenen Arbeitnehmer oder eine externe Person unter Berücksichtigung der unterschiedlichen Kosten (einschließlich Fortbildungskosten), der Zweckmäßigkeit der internen Kenntnis des Unternehmens und des Kündigungsschutzes
• Prüfung der bestehenden Fachkunde; ggf. Schulung der Kandidatin oder des Kandidaten
• Prüfung der Zuverlässigkeit, insbesondere Prüfung bestehender Interessenkonflikte bei internen Datenschutzbeauftragten (z. B. beim IT-Leiter oder Personalleiter)

Durchführung der Bestellung

• Vor der Bestellung (Übertragung des Amtes) prüfen, ob schuldrechtlich das Verhältnis zwischen der verantwortlichen Stelle bzw. dem Unternehmen und dem Datenschutzbeauftragten richtig gestaltet ist. Dies gilt insbesondere für Arbeitnehmer, die auf Basis des Arbeitsvertrages zum internen Datenschutzbeauftragten bestellt werden sollen
• Prüfung, ob eine Befristung der Bestellung rechtmäßig und zweckmäßig ist (unter Berücksichtigung der aktuellen Rechtslage und der Auffassung der lokalen Datenschutzaufsicht)
• Die Bestellung muss schriftlich erfolgen

Wesentliche Tätigkeiten des betrieblichen Datenschutzbeauftragten

• Hinwirken auf die Einhaltung des Datenschutzrechts, Beratung der verantwortlichen Stelle
• Schulung der Mitarbeiter
• Durchführung von Kontrollmaßnahmen
• Durchführung von Vorabkontrollen
• Dokumentationen
• Ggf. Zusammenarbeit mit der Aufsichtsbehörde

Abberufung des betrieblichen Datenschutzbeauftragten

Das Amt des betrieblichen Datenschutzbeauftragten endet durch

• Widerruf der Bestellung aus wichtigem Grund
• einvernehmliche Aufhebung der Bestellung
• Amtsniederlegung durch den Datenschutzbeauftragten
• Ablauf einer Befristung

Hinweis: Wer einen betrieblichen Datenschutzbeauftragten nicht in der vorgeschriebenen Weise oder nicht rechtzeitig bestellt, handelt ordnungswidrig und muss mit einem Bußgeld von bis zu EUR 50.000 rechnen.

Autoren: Dr. Frank Bongers und Dr. Karsten Krupna

Siehe auch:

• ESCHE Datenschutz-Checkliste "Verhalten bei Hackerangriffen (oder sonstigen Datenpannen)"
• ESCHE Datenschutz-Checkliste "Auftragsdatenverarbeitung für Auftraggeber"
• ESCHE Datenschutz-Checkliste "Auftragsdatenverarbeitung für Auftragnehmer"
• ESCHE Datenschutz-Checkliste "Outsourcing"
• ESCHE Datenschutz-Checkliste "Auskunft"

-