Pflicht zur Benennung eines Datenschutzbeauftragten (DSB)
Die gesetzliche Pflicht, einen betrieblichen Datenschutzbeauftragten zu benennen, besteht nach Art.37 Abs.7 DSGVO für öffentliche und nicht-öffentliche Stellen, die personenbezogene Daten automatisiert verarbeiten, wenn sie mindestens 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Allerdings ist die Beschäftigenanzahl alleine nicht ausschlaggebend.
Hinweis: Falls trotz entsprechender Verpflichtung kein Datenschutzbeauftragter benannt wird, stellt dies gem. Art.83 Abs.4 lit. a DSGVO eine Ordnungswidrigkeit dar, bei der eine Geldbuße von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes droht - und zwar unabhängig davon, ob die Benennung vorsätzlich oder fahrlässig unterblieben ist.
Die Rolle des Datenschutzbeauftragten
Verantwortlich für den Datenschutz ist generell in jedem Unternehmen die Unternehmensleitung selbst. Wegen der technischen und rechtlichen Komplexität der Materie Datenschutz ist diese dabei aber zumeist auf fachkundigen Rat angewiesen. Genau diese beratende Funktion gegenüber der Unternehmensleitung übernimmt der Datenschutzbeauftragte in allen datenschutzrechtlichen Belangen, bspw. bei Fragen der Zulässigkeit von geplanten Datenverarbeitungsvorgängen. Der Datenschutzbeauftragte wirkt auf die Einhaltung des Datenschutzes im gesamten Unternehmen hin und ist dabei gleichermaßen zuständiger Ansprechpartner für Geschäftsleitung, Angestellte, Geschäftspartner und Kunden, als auch für die Aufsichtsbehörde.
Die Auswahl eines geeigneten Datenschutzbeauftragten
Um rechtssichere und praxisnahe Lösungen für ein Datenschutzkonzept finden zu können, muss die ausgewählte Person sowohl fachkundig als auch zuverlässig sein. Anforderungen an die Fachkunde sind sowohl eine fundierte Kenntnis der rechtlichen Regelungen, betriebswissenschaftliches Verständnis als auch ein gewisses Maß an technischem Know-how über die Datenverarbeitungsvorgänge im jeweiligen Unternehmen.
Dass der ausgewählte Angestellte seine bisherigen Aufgaben sorgfältig und gewissenhaft erfüllt haben muss, ist für seine Eignung zum Datenschutzbeauftragten selbstverständlich, reicht aber hinsichtlich der gesetzlich geforderten Zuverlässigkeit alleine noch nicht aus. Vielmehr muss sichergestellt sein, dass der interne Datenschutzbeauftragte auch gegenüber der Unternehmensleitung unabhängig ist und zur Not auch gegen deren Wunsch die notwendigen Maßnahmen zum Datenschutz durchsetzt. Insbesondere darf hierdurch keine Interessenskollision drohen, sodass der Datenschutzbeauftragte noch andere Funktionen oder Aufgaben im Unternehmen hat, für die er den Datenschutz selbst als lästig empfinden könnte, bzw. seine zu verantwortenden Verfahren selbst prüfen müsste.
Deshalb ist auch die naheliegende Überlegung, der IT-Leiter sei wegen seines technischen Wissens am besten geeignet, wegen des drohenden Interessenkonflikts problematisch. Regelmäßig sind der Leiter der EDV oder Systemadministratoren daher von der Benennung ausgeschlossen. Ausnahmslos gilt dies für den Inhaber, den Vorstand, den Geschäftsführer, den Personalchef oder ähnliche leitende Personen. Des Weiteren ist es auch keine empfehlenswerte Lösung, die Aufgabe einem unliebsamen Arbeitnehmer zu übertragen, da dieser durch die Benennung Kündigungsschutz ähnlich eines Betriebsrats genießt.
Sollten Sie einen internen Datenschutzbeauftragten benennen wollen, beraten wir Sie gerne bei der Auswahl oder überprüfen die Rechtmäßigkeit einer Benennung, falls Sie bereits einen Angestellten mit dieser Aufgabe betraut haben.
Der wesentliche Punkt ist aber, dass ein externer Berater nicht schon „betriebsblind“ ist und durch die Betreuung mehrerer Unternehmen aus vielen Bereichen und Branchen ein breiter gefächertes Fachwissen und mehr Erfahrung auf dem Gebiet des Datenschutzes aufweisen kann. Diese Fachkunde kommt dann wiederum dem betreuten Unternehmen zugute, da somit die Beratung vollumfänglich, praxistauglich und effektiv erfolgen kann. Auch Mehrkosten durch Fortbildungen stellen hier kein unplanbares Kostenrisiko dar.