DS-GVO: Datenschutzbeauftragter, Art. 37 ff. DS-GVO

Seit 25. Mai 2018 gilt die neue EU-Datenschutz-Grundverordnung (DS-GVO) und parallel auch das neue Bundesdatenschutzgesetz (BSDG n. F.), in dem der deutsche Gesetzgeber die Vorgaben der DS-GVO, soweit zulässig, konkretisiert hat.

Hierdurch ergeben sich vielfältige Anforderungen in Bezug auf alle datenschutzrechtlichen Aspekte, insbesondere im Rahmen der Verarbeitung personenbezogener Daten.

Betroffen sind nicht nur der Umgang mit Kunden- und Arbeitnehmerdaten, sondern z. B. auch die technischen Aspekte der Datensicherheit.

Die Arbeitsgruppe Datenschutz des HDE hat zum Thema Datenschutzbeauftragter nach Art. 37 ff. DS-GVO ein Merkblatt erarbeitet, welches wir Ihnen gerne untenstehend zur Verfügung stellen.

Nicht abschließender Aufgabenkatalog des Datenschutzbeauftragten, gegliedert in unterschiedliche Pflichtenkategorien (Unterrichtung, Beratung, Überwachung sowie Zusammenarbeit mit/Anlaufstelle für die Aufsichtsbehörde), differenziert bezogen auf bestimmte Aufgabengebiete (z. B. Einhaltung der DS-GVO, Zuweisung von Zuständigkeiten innerhalb der verantwortlichen Stelle, Durchführung der Daten-schutzfolgeabschätzung usw.)

Geldbuße bis zu 10 Millionen Euro oder bis 2 Prozent des gesamten weltweit erzielten Jahresumsatzes sowie behördliche Maßnahmen und ggf. Strafbarkeit.

Aufgaben des Datenschutzbeauftragten((Rechtsgrundlage: Art. 39))

Durch die einleitende Formulierung, dass dem Datenschutzbeauftragten zumindest folgende Aufgaben obliegen, wird klargestellt, dass es sich um eine nicht abschließende Aufzählung handelt und dem Datenschutzbeauftragten die Pflicht zur Wahrnehmung weiterer Aufgaben obliegen kann. ((Rechtsgrundlage: Art. 39 (1) ))

• Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters und der Beschäftigten, die Verarbeitungen durchführen, hinsichtlich ihrer Pflichten nach dieser Verordnung sowie nach sonstigen Datenschutzvorschriften der Union bzw. der Mitgliedstaaten ((Rechtsgrundlage: Art. 39 (1) a) ))

Umfassende Unterrichtungs- und Beratungspflicht des Datenschutzbeauftragten zur Verarbeitungsdurchführung sowie zu allen maßgeblichen Datenschutzvorschriften (DS-GVO und alle weiteren europarechtlichen Normen und nationales Recht).

• Überwachung der Einhaltung dieser Verordnung, anderer Datenschutzvorschriften der Union bzw. der Mitgliedstaaten sowie der Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen ((Rechtsgrundlage: Art. 39 (1) b) ))

Umfassende Überwachungspflicht des Datenschutzbeauftragten bzgl. aller maßgeblichen externen Datenschutzvorschriften (DS-GVO und alle weiteren europarechtlichen Normen und nationales Recht) und aller internen Vorschriften (Datenschutzrichtlinien und Betriebsvereinbarungen). Dazu zählt auch die Datenschutzorganisation (Datenschutzstrategien, Zuweisung von Zuständigkeiten, Sensibilisierung/Schulung von Mitarbeitern und deren Überprüfung) der verantwortlichen Stelle.

• Beratung – auf Anfrage – im Zusammenhang mit der Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung gemäß Artikel 35  ((Rechtsgrundlage: Art. 39 (1) c) ))

Dem Datenschutzbeauftragten obliegt die Pflicht, auf Anfrage zur Datenschutzfolgenabschätzung zu beraten sowie zu überwachen, ob und wie die Datenschutzfolgenabschätzung durchgeführt wird. Hieraus folgt, dass der Datenschutzbeauftragte weder initiativ noch auf Wunsch der verantwortlichen Stelle, die Datenschutzfolgenabschätzung selbst vornehmen kann.

• Zusammenarbeit mit der Aufsichtsbehörde ((Rechtsgrundlage: Art. 39 (1) d) ))
• Tätigkeit als Anlaufstelle für die Aufsichtsbehörde in mit der Verarbeitung zusammenhängenden Fragen, einschließlich der vorherigen Konsultation gemäß Artikel 36, und gegebenenfalls Beratung zu allen sonstigen Fragen ((Rechtsgrundlage: Art. 39 (1) e) ))

Ausdrückliche Pflicht des Datenschutzbeauftragten, neben einer ggfs. bestehenden Treue- und Loyalitätspflicht gegenüber der verantwortlichen Stelle mit der Aufsichtsbehörde zusammenzuarbeiten und als deren Anlaufstelle zu fungieren.

Der Datenschutzbeauftragte trägt bei der Erfüllung seiner Aufgaben dem mit den Verarbeitungsvorgängen verbundenen Risiko gebührend Rechnung, wobei er die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung berücksichtigt.((Rechtsgrundlage: Art. 39 (2), EG 97))

Besonderer, differenzierter Sorgfaltsmaßstab im Hinblick auf das für die Betroffenen mit der Verarbeitungstätigkeit verbundene Risiko.

Die Zuweisung weiterer Aufgaben ist zulässig, wenn sie die Wahrnehmung der Aufgaben als Datenschutzbeauftragter nicht beeinträchtigt und nicht zu einem Interessenskonflikt führt (z. B. die Erstellung des Verarbeitungsverzeichnisses). (Rechtsgrundlage: Art. 38 (6) ))

Aus der Neubestimmung der Pflichten des Datenschutzbeauftragten, insbesondere aus der Implementierung der umfassenden Überwachungspflichten, kann sich eine Verschärfung der straf- und zivilrechtlichen Haftung des Datenschutzbeauftragten ergeben, etwa wenn er vorsätzlich oder fahrlässig die ihm obliegende Überwachung unterlässt.

Verantwortliche (z. B. Unternehmen) haben unter bestimmten Voraussetzungen einen Datenschutzbeauftragten (DSB) zu benennen.

Geldbuße bis zu 10 Millionen Euro oder bis 2 Prozent des gesamten weltweit erzielten Jahresumsatzes sowie behördliche Maßnahmen.

Voraussetzungen:

Ein Datenschutzbeauftragter ist zu benennen, wenn ((Rechtsgrundlage: Art. 37 (1) ))

• mindestens 20 Personen ständig mit der automatisierten Verarbeitung von personenbezogenen Daten beschäftigt oder
• Kerntätigkeit die Verarbeitung von Daten ist, die von Art/Umfang/Zweck eine umfangreiche regelmäßige und systemische Überwachung von betroffenen Personen erfordert (z. B. in einem Rechenzentrum)
• Kerntätigkeit die umfangreiche Verarbeitung von sensiblen Daten gemäß Art. 9 oder 10 DS-GVO ist (z. B. biometrische oder Gesundheitsdaten) oder
• unabhängig von Schwellenwerten Verarbeitungen erfolgen,
• die entweder eine Datenschutzfolgenabschätzung nach Art. 35 DS-GVO erfordern
• oder geschäftsmäßig zum Zweck der (auch anonymisierten) Übermittlung oder zur Markt- und Meinungsforschung vorgenommen werden.((Rechtsgrundlage:  § 38 (1) BDSG n. F.))

Eine Unternehmensgruppe kann einen gemeinsamen Datenschutzbeauftragten benennen, d. h., dass für mehrere Verantwortliche einer Unternehmensgruppe in einem formellen Akt ein Datenschutzbeauftragter benannt wird.

Datenschutzbeauftragter kann ein Angestellter oder externer Datenschutzbeauftragter sein. ((Rechtsgrundlage: Art. 37 (2) ))

Persönliche Voraussetzungen des DSB

Die Benennung erfolgt auf der Grundlage seiner beruflichen Qualifikation und seines Fachwissens in Datenschutzrecht und -praxis. ((Rechtsgrundlage: Art. 37 (6) ))

Form und Dauer der Benennung sind nicht geregelt. Aus Dokumentationsgründen sollte die Benennung mindestens in Textform erfolgen. Wenn der Zeitraum der Benennung befristet ist, darf die Frist nicht so kurz bemessen sein, dass die Unabhängigkeit des DSB gefährdet ist. ((Rechtsgrundlage: Art. 37 (5) ))

Transparenz:

Die Kontaktdaten des Datenschutzbeauftragten sind zu veröffentlichen. Ausreichend ist es, wenn Anschrift und Mailadresse z. B. auf der Homepage veröffentlicht werden. ((Rechtsgrundlage: Art. 37 (7) ))

Die Kontaktdaten müssen auch der zuständigen Aufsichtsbehörde mitgeteilt werden. Hierbei ist eine Namensnennung ebenfalls in der DS-GVO nicht vorgesehen, aber sinnvoll, denn der Datenschutzbeauftragte ist Anlaufstelle für die Aufsichtsbehörden. ((Rechtsgrundlage: Art. 39 (1 e) ))

Unabhängigkeit und Schutz ((Rechtsgrundlage: Art. 38 (3),  ErwGr 97))

Der Datenschutzbeauftragte ist unabhängig und unterliegt keinen fachlichen Weisungen. Er berichtet unabhängig von der organisatorischen Zuordnung im Unternehmen direkt an die oberste Managementebene, muss aber nicht zwingend direkt der Geschäftsführung organisatorisch unterstellt sein. Er darf wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden. Der interne Datenschutzbeauftragte unterliegt einem besonderen Kündigungsschutz, wenn die Benennung des DSB verpflichtend ist. ((Rechtsgrundlage: § 38 (2) i. V. m. , § 6 (4) BDSG n. F. )) Andere Aufgaben dürfen nicht zu einem Interessenkonflikt führen. Dies wäre beispielsweise anzunehmen beim Leiter der IT-Organisation, der Personalabteilung oder des Marketings und bei Beschäftigten, die für bestimmte Datenverarbeitungsprozesse verantwortlich sind. Interessenkonflikte sind auch bei Tätigkeiten im Bereich der IT-Sicherheit oder Compliance-Abteilung des Unternehmens möglich und im Einzelfall zu prüfen. ((Rechtsgrundlage: Art. 38 (6) ))

Ansprechpartner für betroffene Personen

Betroffene Personen können sich mit Fragen direkt an den Datenschutzbeauftragten wenden. ((Rechtsgrundlage: Art. 38 (4) ))

Beteiligung, Zugang

Der Datenschutzbeauftragte ist frühzeitig in datenschutzrelevante Vorgänge einzubinden. Er muss Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen haben. ((Rechtsgrundlage: Art. 38 (1) (2) ))

Ausstattung

Der Datenschutzbeauftragte muss über die erforderlichen Ressourcen zur Aufgabenwahrnehmung und zur Erhaltung des Fachwissens verfügen. ((Rechtsgrundlage: Art. 38 (2) ))

Vertraulichkeit, Verschwiegenheit, Zeugnisverweigerungsrecht, Beschlagnahmeverbot

Der Datenschutzbeauftragte unterliegt der Verschwiegenheit bzgl. der Identität der betroffenen Personen und der Umstände, die Rückschlüsse darauf zulassen.

Wenn der Leitung der verantwortlichen Stelle ein Zeugnisverweigerungsrecht zusteht, steht dieses auch dem Datenschutzbeauftragten und dessen Beschäftigten zu. Über die Ausübung entscheidet der Verantwortliche. Bzgl. der Akten und Dokumente besteht insoweit ein Beschlagnahmeverbot. ((Rechtsgrundlage: Art. 38 ( 5) i. V. m., § 38 (2), § 6 (5), (6) BDSG n. F.))