Source: https://www.datenschutzbeauftragter-info.de/datenschutzbeauftragter-und-das-neue-bdsg-weiterhin-verpflichtend/
Timestamp: 2020-04-08 18:59:43+00:00

Document:
18. Mai 2017 |	53 Kommentare | Von Dr. Datenschutz
Mit dem neuen Bundesdatenschutzgesetz ändern sich viele altbekannte Vorgaben. Ein Datenschutzbeauftragter muss aber gem. § 38 Abs. 1 BDSG-neu weiterhin in den meisten Fällen bestellt werden. Der Kreis bestellungspflichtiger Unternehmen wird sogar noch erweitert. Daneben ergeben sich aus dem Gesetz für Datenschutzbeauftragte einige weitere, interessante Änderungen. Dieser Artikel ist Teil unserer Reihe zum neuen Bundesdatenschutzgesetz.
Datenschutzbeauftragter – Was schreibt die DSGVO vor?
Die Datenschutz-Grundverordnung dehnt mit Artikel 37 ff. die Pflicht zur Ernennung eines Datenschutzbeauftragten erstmals auf ganz Europa aus. Die Regelung weicht in einigen Punkten von den Regelungen des alten Bundesdatenschutzgesetzes ab. Die Wichtigsten davon sind:
Die DSGVO spricht von Benennung statt Bestellung
Die Verpflichtung zur Benennung eines Datenschutzbeauftragten besteht, wenn die Kerntätigkeit in systematischer Überwachung oder Verarbeitung besonderer personenbezogener Daten besteht.
Es gibt die Möglichkeit zur Ernennung eines Konzerndatenschutzbeauftragten
Veröffentlichung der Kontaktdaten des Datenschutzbeauftragten und Mitteilung an die Aufsichtsbehörde.
Näheres zu den Vorgaben der DSGVO rund um den Datenschutzbeauftragten finden Sie in unserem Artikel Datenschutz-Grundverordnung (DSGVO) – Datenschutzbeauftragter.
Artikel 37 Abs.4 DSGVO enthält eine Öffnungsklausel, die es den Mitgliedstaaten ermöglicht, die Benennungspflicht des Datenschutzbeauftragten weiter zu konkretisieren. Von diesem Recht hat der deutsche Gesetzgeber mit § 38 BDSG-neu gebraucht gemacht.
Das neue Bundesdatenschutzgesetz und seine Vorgaben
§ 38 Abs. 1 BDSG-neu entspricht weitgehend § 4f Abs. 1 S. 4 BDSG, ergänzt die Vorschrift aber auch um einen Punkt. § 38 Abs. 2 BDSG-neu enthält einen Verweis auf § 6 Abs. 4 und 5 BDSG-neu und weitet damit die Vorgaben zur Abberufung und Kündigung des Datenschutzbeauftragten für öffentliche Stellen auch auf den Datenschutzbeauftragten für nicht öffentliche Stellen aus.
Es besteht nach § 38 BDSG-neu weiterhin eine Pflicht zur Benennung ab 20 Personen, die ständig mit der automatisierten Datenverarbeitung beschäftigt sind. Weiterhin unterliegt der betriebliche Datenschutzbeauftragte dem besonderen Kündigungsschutz, unterliegt der Verschwiegenheitspflicht und hat ein Zeugnisverweigerungsrecht.
Der Datenschutzbeauftragte ist auch künftig voraussichtlich nicht bußgeldpflichtig, da § 41 BDSG-neu einen Verweis auf das OWiG enthält. Nach der bisher vorherrschenden und wahrscheinlich weiterhin gültigen Meinung, fällt der Datenschutzbeauftragte nicht unter § 9 Abs. 2 OWiG, weshalb über § 41 BDSG-neu keine Bußgeldpflicht hergeleitet werden kann.
Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO unterliegen, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen einen Datenschutzbeauftragten zu benennen.
Was wurde nicht geregelt?
Nicht konkretisiert wurde, was unter dem Begriff „Benennung“ aus der DSGVO zu verstehen ist, denn die DSGVO schreibt keine bestimmte Form für die Benennung vor. Begrifflich ist eine „Benennung“ jedenfalls weniger formal als eine „Bestellung“. Aufgrund der möglichen Rechtsfolgen einer Benennung empfiehlt es sich aber dennoch eine schriftliche Benennung vorzunehmen.
Bestellungspflicht prüfen
Der deutsche Gesetzgeber hat die alten Vorgaben des BDSG zur Bestellungspflicht eines Unternehmens leicht erweitert. Zusätzlich enthält die DSGVO auch einen Katalog neuer Bestellungspflichten. Dies bedeutet für Unternehmen die bisher bereits einen Datenschutzbeauftragten bestellen mussten, dass dieses Erfordernis als „Benennungspflicht“ weiterhin bestehen bleibt. Aufgrund des erweiterten Radius der Benennungspflicht sollten auch Unternehmen mit weniger als 20 Mitarbeitern prüfen, ob sie demnächst verpflichtet sind einen Datenschutzbeauftragten zu bestellen.
Hier finden Sie weitere Informationen zum neuen Bundesdatenschutzgesetz.
BEM nach der DSGVO – was gibt es Neues?
Mehr zum Thema: BDSG-Novelle, Betrieblicher Datenschutzbeauftragter, Reihe-BDSG-neu
53 Kommentare zu diesem Beitrag
Guten Tag, danke für den Artikel. Ich habe leider bisher im BDSG-neu noch nicht herausgefunden, wo der Kündigungsschutz des Datenschutzbeauftragten erwähnt wird, könnten Sie mir bitte die genaue Stelle nennen?
Sebastian am 19. Mai 2017, 11:20 Uhr
§ 38 Abs. 2 BDSG-neu verweist auf § 6 Abs. 4 BDSG-neu. Danach ist die Kündigung des Datenschutzbeauftragten grundsätzlich unzulässig, es sei denn es liegen Gründe für eine fristlose Kündigung vor.
Dr. Datenschutz am 24. Mai 2017, 13:22 Uhr
Meine bisherige Bestellung zum Datenschutzbeauftragten verweist auf die §§ 4e und 4f des BDSG. Muss die Bestellung zum 25.05.2018 angepasst werden, da das BDSG umstrukturiert wurde und jetzt §38 sowie Art. 37 Abs. (1) c) DSGVO für mich gelten wird?
Mary am 26. September 2017, 11:15 Uhr
Es empfiehlt sich die Bestellung zum 25.05. anzupassen, da es sich nunmehr nach DSGVO um eine Benennung handelt.
Dr. Datenschutz am 5. Oktober 2017, 18:34 Uhr
Darf der externe Datenschutzbeauftragte dem Arbeitgeberverband angehören?
D.a am 8. Oktober 2017, 12:06 Uhr
Der externe Datenschutzbeauftragte kann grundsätzlich andere Aufgaben und Pflichten wahrnehmen, soweit dies nicht zu einem Interessenskonflikt führt und er weisungsfrei und unabhängig in Bezug auf seinen Auftraggeber bleibt.
Dr. Datenschutz am 13. Oktober 2017, 14:05 Uhr
Wer darf Datenschutzbeauftragter machen bzw. was bedeutet der Wortlaut:
Er kann im Unternehmen auch zusätzlich andere Aufgaben wahrnehmen, sofern sichergestellt ist, dass daraus keine Interessenkonflikte erwachsen.
Welche Interessenkonflikte wären das dann?
Y. A. am 27. Dezember 2017, 18:53 Uhr
Ob ein Interessenkonflikt vorliegt, muss im Einzelfall betrachtet werden. Kriterien für die Abwägung sind unter anderem, ob der Mitarbeiter Interessenvertreter der verantwortlichen Stelle und zeitgleich auch der von der Datenverarbeitung betroffenen Personen ist und ob er seine Funktion im Zweifel weisungsunabhängig wahrnehmen kann. Stimmen in der Literatur sind der Ansicht, dass bestimmte Funktionen die Tätigkeit des Datenschutzbeauftragten von vornherein ausschließen. Genannt werden hier: Geschäftsführer, Leitung HR, Leitung IT, Leiter Direktvertrieb. Ob dies auch für Betriebsräte gilt, ist umstritten.
Dr. Datenschutz am 2. Januar 2018, 14:14 Uhr
Darf ein Mitarbeiter der in einer IT-Recycling-Abteilung mit der Löschung von Leasing Notebooks, Computern, Kopierern und Druckern auf denen sich Kundendaten befinden und die vor Weiterverkauf gelöscht werden müssen als Datenschutzbeauftragter tätig werden? Und seinen Kollegen, die in der gleichen Abteilung mit Datenlöschung beschäftigt sind, Anweisungen geben?
Michael am 19. Januar 2018, 18:40 Uhr
Nach Aussage der Bundesbeauftragten für den Datenschutz https://www.bfdi.bund.de/SharedDocs/Publikationen/Infobroschueren/INFO4.html
darf der Datenschutzbeauftragte nicht in die Situation kommen, dass er sich selbst kontrollieren muss.
Trotzdem ist nicht jede weitere Aufgabe, die mit der Verarbeitung personenbezogener Daten verbunden ist, ist mit dem Amt eines Datenschutzbeauftragten unvereinbar.
Die Bundesbeauftragte hebt hervor, dass Interessenkonflikte insbesondere dann auftreten können, wenn der Datenschutzbeauftragte gleichzeitig Aufgaben u.a. in den Bereichen Personal oder IT wahrnimmt.
In Ihrem Fall muss geprüft werden, in wie weit es hier zu einer Selbstkontrolle durch den Betroffenen Mitarbeiter kommen kann, um festzustellen, ob ein Interessenkonflikt vorliegt.
Dr. Datenschutz am 23. März 2018, 16:17 Uhr
Ich bin zahnmedizinische Verwaltungsassistentin und würde den Posten des Datenschutzbeauftragten in unserer Praxis übernehmen wollen. Allerdings stört mich der Wortlaut: „Er kann im Unternehmen auch zusätzlich andere Aufgaben wahrnehmen, sofern sichergestellt ist, dass daraus keine Interessenkonflikte erwachsen.“ Andere Aufgaben sind meine Haupttätigkeit. Die des Datenschutzbeauftragten würden nebenher laufen. Ich kann mir leider auch nicht wirklich vorstellen, welche tatsächliche, praktische Tätigkeit im Rahmen des DSB durchgeführt werden müsste. Wie sähe diese aus? Keiner unserer Kollegen könnte sich voll und ganz nur mit dem Thema DSB beschäftigen. Würde dies verlangt? Wie umfangreich sollte ein Seminar sein, um DSB zu werden? Fragen über Fragen, die einem keiner wirklich beantworten kann. Ich hoffe hier ein paar Antworten mehr zu bekommen. Danke
Alex am 6. Februar 2018, 12:40 Uhr
Grundsätzlich kann jeder Mitarbeiter zum Datenschutzbeauftragten benannt werden, wenn die erforderliche Fachkunde nachgewiesen werden kann, ausreichend Zeit für die Wahrnehmung dieser Aufgabe eingeräumt wird und kein Interessenkonflikt mit anderen Tätigkeiten im Unternehmen besteht. Andere Tätigkeiten, die eine Benennung zum DSB ausschließen, sind z.B. die Geschäftsführung und Mitarbeiter der IT oder Personalabteilung.
Wenn der Posten des DSB neben einer anderen (Haupt-) Aufgabe wahrgenommen wird, muss ein festes Zeitkontingent für das Thema Datenschutz eingeräumt werden. Wie viel Zeit hier benötigt wird hängt auch davon ab, ob bereits Maßnahmen und Prozesse zum Datenschutz bestehen oder ob diese Prozesse und Strukturen erst geschaffen werden müssen. Je nach dem kann es besonders am Anfang mehrere Stunden die Woche beanspruchen. Ist das Unternehmen groß und Verarbeitet eine Vielzahl an Kunden-und Beschäftigtendaten, kann der Posten auch eine Teilzeit-oder Vollzeitstelle füllen. Einen ersten Überblick dazu gibt es in Fachseminaren, beispielsweise vom TÜV oder GDD.
Eine erste Hilfestellung ist eventuell auch folgender Blogartikel: Betrieblicher Datenschutzbeauftragter – Was sind die ersten Schritte?
Dr. Datenschutz am 6. Februar 2018, 19:21 Uhr
Unterliegt eine Software, die von weniger als 10 Personen genutzt wird, der Überwachungspflicht eines DSB, sofern es im Unternehmen einen gibt? Es geht um Daten einer Instandhaltungssoftware.
Bernd am 20. März 2018, 06:24 Uhr
Jede Software, die personenbezogene Daten verarbeitet, unterliegt der Überwachungspflicht des Datenschutzbeauftragten. Dabei ist es unerheblich, wie viele Personen die Software nutzen. Die 10-Personengrenze bezieht sich lediglich auf die Bestellpflicht zum DSB. Den Datenschutz einhalten müssen allerdings alle Unternehmen, unabhängig von der Anzahl der Mitarbeiter.
Dr. Datenschutz am 22. März 2018, 11:01 Uhr
Nach Durchsicht der neuen Bestimmungen und der daraus resultierenden Frage, ob wir (Planungsbüro mit mehr als 10 Angestellten) verpflichtet sind, einen Datenschutzbeauftragten zu bestellen, erschließt sich mir die folgende Formulierung nicht: „Die Verpflichtung zur Benennung eines Datenschutzbeauftragten besteht, wenn die Kerntätigkeit in systematischer Überwachung oder Verarbeitung besonderer personenbezogener Daten besteht.„
Bedeutet dies, dass wir uns mit der Nutzung einer ausschließlich dienstlich genutzten Adressdatenbank (lediglich Anschriften, keine persönlichen Angaben) dazu verpflichten?
C. am 21. März 2018, 12:05 Uhr
Gemäß der Formulierung aus Art. 37 Abs. 1 lit b) und c) DSGVO ist eine Datenschutzbeauftragter zu benennen, wenn die Kerntätigkeit des Verantwortlichen in der systematischen Überwachung oder der Verarbeitung besonderer personenbezogener Daten besteht. Besondere personenbezogene Daten sind nach Art. 13 DSGVO z.B. Gesundheitsdaten. Eine Adressdatenbank dürfte für gewöhnlich nicht unter diese Kategorien (systematische Überwachung oder besondere Kategorien personenbezogener Daten) fallen. Die Erforderlichkeit zur Bestellung eines Datenschutzbeauftragten dürfte sich in diesem Fall aus § 38 BDSG-neu ergeben, wenn mindestens 10 Personen mit der Verarbeitung personenbezogener Daten beschäftigt sind. Ob ein Datenschutzbeauftragter zu benennen ist, ist vom jeweiligen Einzelfall abhängig.
Dr. Datenschutz am 22. März 2018, 15:09 Uhr
Hallo, wir sind so ziemlich in der selben Situation. Leider ist Ihre Antwort noch nicht eindeutig genug. Bei uns gibt es 4 Leute die definitv mit personenbezogenen Daten arbeiten (Buchhaltung und Verwaltung der Adressdatenbank) Doch was fällt unter Verarbeitung personenbezogener Daten =/= Nutzung Adressdatenbank?
z.B. nutzen alle Mitarbeiter die Adressdatenbank zur Kommunikation mit Bauherren, Handwerkern und Planungsbeteiligten. Ist es schon ein Verarbeiten, wenn ich eine eMail schreibe? Ist es ein Verarbeiten, wenn ich auf unseren Plänen in der CAD-Software den Bauherren und ausführenden Architekten eintrage?
Wie wird Verarbeitung juristisch genau definiert?
Dies ist allerdings die Begriffsbestimmung der DSGVO. In der BDSG neu habe ich dazu nichts gefunden.
Da wir keine „besondere Kategorien personenbezogener Daten“ im Sinne Art. 9 DSGVO bzw. § 46 BDSG (neu) Abs. 14 erheben und speichern wären wir also davon befreit einen DSB gemäß Art. 37 Abs. 1 c) DSGVO zu bennen.
Wenn allerdings in der BDSG „[…] die Verwendung,[…] die Begriffsbestimmung des DSGVO Anwendung findet, fällt nach meiner Lesart jeder Mitarbeiter unter „Verarbeitung personenbezogener Daten“ und bei Unternehmensgröße >10 Beschäftigten muss ein DSB benennt werden.
A. am 5. Juni 2018, 13:22 Uhr
Europäische Verordnung wirken unmittelbar in allen Mitgliedsstaaten. Zudem gibt es das sog. Wiederholungsverbot, welches es den Ländern untersagt den Wortlaut von EU-Verordnungen 1:1 im nationalen Recht zu wiederholen. Daher finden Sie die Definition für die Verarbeitung nur in der Datenschutz-Grundverordnung und nicht noch einmal im BDSG wiederholt. Aus diesem Grund fällt auch der § 2 BDSG so knapp aus.
In diesem Zusammenhang ist auch zu beachten, dass der von Ihnen zitierte § 46 BDSG sich im Teil 3 des BDSG befindet. Dieser befasst sich nicht mit der DSGVO, sondern mit den Begriffsbestimmungen der Richtlinie (EU) 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden […]. Da es sich hierbei nicht um eine Verordnung handelt war es dem Gesetzgeber möglich, Begriffsbestimmungen aus der Richtlinie zu wiederholen.
Dr. Datenschutz am 5. Juni 2018, 15:26 Uhr
Hallo, wir sind ein Hotel und stellen uns gerade die Frage, ob wir einen Datenschutzbeauftragten stellen müssen. Hiernach muss dies ab 10 Personen, die ständig personenbezogenen Daten verarbeiten, geschehen.
Wir haben an der Rezeption immer 1-2 Personen, die Gästedaten bei der anreise aufnehmen, weiter 1 Person im Personalbüro und dann noch eine Person im Veranstaltungsbereich, um Angebote zu schreiben, aber alles eben nicht ständig. Dazu kommen noch 5-6 Personen, die dann gerade frei haben.
Wir haben mit Dem Steuer.- und Personalbüro etc. natürlich entsprechende Datenschutzvereinbarungen.
Nach unserer Auffassung haben wir damit zwar ca. 11 Personen, die von Zeit zu Zeit Gästedaten aufnehmen, aber eben ständig am gleichen Tag max. ca. 5 Personen und das auch nur, wenn z.B. Gästeanreise ist. Sonst werden in der Hauptsache andere Tätigkeiten durchgeführt.
Vielen Dank schon und mit freundlichen Grüßen
K am 28. März 2018, 16:53 Uhr
Bitte beachten Sie folgenden Beitrag: Datenschutzbeauftragter auch im Hotel verpflichtend?
Dr. Datenschutz am 29. März 2018, 10:03 Uhr
wir bitten um ein Angebot.
Dr. Plajer-Kloess/H. Krüger am 3. April 2018, 16:37 Uhr
Hier können Sie den Vertrieb direkt kontaktieren: https://www.intersoft-consulting.de/kontakt/
Dr. Datenschutz am 3. April 2018, 19:49 Uhr
Wir sind ein kleines Softwareunternehmen mit 4 Mitarbeitern.
Wir bieten eine Verwaltungssoftware an, in denen unsere Kunden wiederrum deren Kundendaten (kompletter Personenstamm inkl. Ethnie und Religion) )hinterlegen können. Diese Software bieten wir als webbasiertes SaaS an = deren Daten liegen auf unseren Servern, wir arbeiten aber nicht damit.
Gehe ich recht in der Annahme, dass wir keinen DSB benötigen, da wir <9 Mitarbeiter haben und unsere Kerntätigkeit nicht in der Verarbeitung von Personendaten, sondern in der Softwareherstellung liegt?
Christian am 27. April 2018, 13:36 Uhr
Die Benennung eines Datenschutzbeauftragten durch nichtöffentliche Stellen ist nach der DSGVO grundsätzlich nur dann nötig, wenn die Kerntätigkeit des Unternehmens in der Verarbeitung personenbezogener Daten besteht, die einer besonderen Überwachung bedürfen oder sensible Daten i.S.d. Art. 9 oder 10 DSGVO betreffen.
Der nationale Gesetzgeber hat dies insofern erweitert, als ein Datenschutzbeauftragter von Unternehmen bestellt werden muss, welche mehr als 10 Personen ständig mit der Datenverarbeitung betrauen.
Darüber hinaus besteht diese Pflicht – unabhängig von der Personenanzahl – auch dann, wenn sensible Daten nach Art. 9 oder 10 DSGVO „umfangreich“ verarbeitet werden. Dieser Rechtsbegriff muss ausgelegt werden, nach wohl derzeitig herrschender Auffassung ist eine „umfangreiche“ Verarbeitung jedoch nur dann anzunehmen, wenn die Verarbeitung sensibler Daten das übliche Maß bei Weitem übersteigt. In dem Fall, dass zwar sensible Daten i.S.d. Art. 9 DSGVO verarbeitet werden, diese jedoch nur gelegentlich erhoben und überhaupt nicht ausgewertet werden, ist wohl nicht von einer „umfangreichen“ Verarbeitung und damit auch nicht von einer Pflicht zur Bestellung eines Datenschutzbeauftragten auszugehen.
Dr. Datenschutz am 18. Juni 2018, 16:48 Uhr
Christian am 19. Juni 2018, 15:24 Uhr
Hallo … muss man als Unternehmen mit 10 Mitarbeitern den Datenschutzbeauftragten irgendwo namentlich nennen, bzw. muss der Datenschutzbeauftragte irgendwo veröffentlicht werden?
Thomas am 8. Mai 2018, 15:36 Uhr
Ja, ab dem 25.05.2018 müssen der jeweils zuständigen Aufsichtsbehörde die Kontaktdaten des Datenschutzbeauftragten gem. Art. 37 Abs. 7 DSGVO mitgeteilt werden. Über das wann, wo und wie haben wir kürzlich in diesem Beitrag gebloggt.
Dr. Datenschutz am 8. Mai 2018, 19:19 Uhr
muss der Datenschutzbeauftragter in Deutschland wohnen/sitzen/arbeiten?
GS001 am 13. Mai 2018, 21:05 Uhr
wir sind eine mittelständische Schreinerei (mit 30 Angestellten) und müssen nach der DS-GVO einen DSB bestellen (Personenanzahl die mit sensiblen Daten arbeitet > 10). In meiner Funktion als Assistentin der Geschäftsführung übernehme ich diverse Tätigkeiten (unter Anderem Abstimmung mit Banken und Versicherungen, Erfassung von Kundendaten, Erstellung von Angeboten, Erstellung von Arbeitsverträgen, Erfassung von Mitarbeiterzeiten als Vertretung für die Hauptsachbearbeiterin, Erstellung von Rechnungen, ….). Laut Handwerkskammer darf ich in meiner Funktion als DSB bestellt werden, die Dame vom LDI NRW meint, dass ein Interessenkonflikt besteht. Was ist nun richtig?
JG am 15. Mai 2018, 12:46 Uhr
Grundsätzlich ist die Benennung eines Unternehmensmitarbeiters als DSB nach der DSGVO zulässig. Auch darf der DSB neben dieser Funktion auch anderweitige Aufgaben wahrnehmen. Dazu gehört zunächst auch die Tätigkeit als Assistenz der Geschäftsführung.
Eingeschränkt wird die Möglichkeit der Benennung eines internen DSB jedoch dann, wenn ein Interessenskonflikt zu befürchten ist.
Ob ein solcher vorliegt ist im Einzelfall zu klären. Problematisch wäre es beispielsweise, wenn die sonstigen Aufgaben des DSB umfassen, sich selbst oder die eigene Arbeit zu kontrollieren. In Fällen, in welchen der DSB also zudem solche Aufgaben wahrnimmt, welche einer datenschutzrechtlichen Kontrolle unterliegen, kann ein Interessenskonflikt in der Tat naheliegen.
Selbiges würde dann gelten, wenn der DSB ein eigenes Interesse am wirtschaftlichen Erfolg des Unternehmens hätte.
Insbesondere wenn der DSB in seiner sonstigen Tätigkeit regelmäßig Daten verarbeitet besteht also durchaus die Gefahr eines Interessenskonfliktes.
Im Zweifel wird die Meinung des LDI NRW, wenn dies ihre örtlich zuständige Aufsichtsbehörde ist, aber vorzugswürdig sein, da diese auch Ihr datenschutzrechtliches Kontrollorgan ist. Andernfalls fragen Sie nochmals bei der für Sie zuständigen Behörde nach.
Dr. Datenschutz am 18. Juni 2018, 16:45 Uhr
Mindestens 10 Beschäftigte: Heißt das mindestens 11 Personen (Arbeitgeber/Verantwortlicher plus 10 betreffende Arbeitnehmer?
tangensalpha am 13. Juli 2018, 18:16 Uhr
Der Gesetzeswortlaut spricht von Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Darunter fallen nicht nur Arbeitnehmer (in Voll- oder Teilzeit), sondern auch Freiberufler, Azubis oder eben der Geschäftsführer.
Dr. Datenschutz am 19. Juli 2018, 21:17 Uhr
Sehr geehrte Damen und Herren, mir ist der Unterschied zwischen „einer/einem Datenschutzbeauftragtem/Datenschutzbeauftragter“ und einer „Ansprechperson für Datenschutz“ nicht klar. Haben Sie ne Quelle fürs Schlaumachen. Danke
CR am 25. Oktober 2018, 11:05 Uhr
Die Person des Datenschutzbeauftragten ist ein gesetzlich vorgeschriebenes Instrumentarium dessen Notwendigkeit sich aus den Art. 37 ff. DSGVO sowie § 38 BDSG ergibt. Eine „Ansprechperson für den Datenschutz“ kennen die gesetzlichen Vorschriften in dieser Form nicht. In vielen Unternehmen, gerade in größeren, wurden und werden vielmals zusätzlich jedoch sog. „Datenschutzkoordinatoren“ eingesetzt, welche den Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben unterstützen sollen. Dieses Vorgehen entspricht dem Grundsatz aus Art. 38 Abs. 2 DSGVO, dass die Verantwortliche Stelle den Datenschutzbeauftragten „bei der Erfüllung seiner Aufgaben gemäß Artikel 39“ unterstützt, „indem sie die für die Erfüllung dieser Aufgaben erforderlichen Ressourcen“ zur Verfügung stellt (nach alter Rechtslage folgte dies aus § 4f Abs. 5 BDSG aF). Im Idealfall ist die „Ansprechperson für den Datenschutz“ im Unternehmen oder einer öffentlichen Stelle dieselbe Person wie der Datenschutzbeauftragte. Die möglichen Aufgaben eines Datenschutzkoordinators sind hier dargestellt: https://www.datenschutzbeauftragter-info.de/der-datenschutzkoordinator-stellung-aufgaben-vor-und-nachteile/
Dr. Datenschutz am 29. Oktober 2018, 09:05 Uhr
Ich wurde vor meinen Urlaub gefragt ob ich die Aufgaben des neuen Datenschutzbeauftragte n übernehmen möchte und ich habe zugesagt. Meinen Chef gebeten den Änderungsvertrag nicht in mein Postfach während meines Urlaubes zulegen. Genau dies hat er getan. Unverschlossen und für jeden lesbar.Persönliche Daten ,Gehalts_ und Arbeitszeiten..) Nach meinen Urlaub wurde ich von mehreren Kollegen diesbezüglich angesprochen. Soll ich den Vertrag unterschreiben. Hier wird gegen jedes Datenschutzgesetz verstoßen. Was kann ich tun.
Baddi am 15. Januar 2019, 12:17 Uhr
Wir können im Rahmen dieses Blog keine Beratung zu konkreten Einzelfällen geben.
Allgemein gilt: Personaldaten dürfen nach den „Need-to-know-Prinzip“ nur von den Abteilungen/Personen eingesehen werden,
die die Daten zur Durchführung ihrer Aufgaben benötigen. Das sind bei Personaldaten regelmäßig die Geschäftsführung und die Personalabteilung, sowie ggf. weitere Führungspersonen. Bei einer Offenbarung von Personaldaten gegenüber nicht berechtigten Personen kann es sich um einen meldepflichtigen Datenschutzvorfall handeln. Hierfür ist eine umfassende Prüfung des Einzelfalls vorzunehmen.
Dr. Datenschutz am 16. Januar 2019, 17:57 Uhr
Was kann ich tun wenn die Geschäftsleitung keine Termine zum Thema Datenschutz mit mir wahrnimmt und ich keine Fachliteratur zur Verfügung gestellt bekomme?
Unangenehm am 29. März 2019, 12:21 Uhr
Der Verantwortliche (hier das Unternehmen) hat nach Art. 24 Abs. 1 DSGVO geeignete technische und organisatorische Maßnahmen zu ergreifen, um sicherstellen und nachweisen zu können, dass die Verarbeitung personenbezogener Daten nach den Anforderungen der DSGVO erfolgt. Zu den organisatorischen Maßnahmen kann unter anderem die Sensibilisierung der Mitarbeiter im Umgang mit personenbezogenen Daten zählen. Dies kann z.B. durch Schulungen der Mitarbeiter erfolgen. Dadurch können insbesondere Risiken durch den „Risikofaktor Mensch“ im eigenen Unternehmen eingedämmt werden. Der Verantwortliche hat außerdem die Einhaltung der getroffenen technischen und organisatorischen Maßnahmen nachzuweisen (Art. 5 Abs. 2 DSGVO).
Dr. Datenschutz am 5. April 2019, 14:47 Uhr
Sehr geehrtes Team in meinem Jobcenter gibt es keinen Datenschutzbeauftragten. Es ist eine Optionskommune. Auf der Homepage des Landkreises werden 2 namentlich genannt, sind aber nur für dieses Jobcenter zuständig.
Wer ist der Ansprechpartner? Der Landesschutzbeautragte? Oder die Aufsichtsbehörde?
Ohne Schutz nix los am 3. April 2019, 21:48 Uhr
Bitte wenden Sie sich mit Ihrer Anfrage an den zuständigen Landesdatenschutzbeauftragten. Dieser kann Ihnen hierzu qualifiziert Auskunft erteilen.
Dr. Datenschutz am 11. April 2019, 17:01 Uhr
bedauerlicherweise kann ich nirgends etwas finden, wie die Fristen zur Bestellung eines Datenschutzbeauftragten lauten:
Beispiel: Datenschutzbeauftragte verlässt das Unternehmen zum 3.04.2019
Wie lange hat das Unternehmen nun Zeit einen neuen Datenschutzbeauftragten zu bestellen?
Ich danke Ihnen im Voraus und freue mich auf Ihre Rückmeldung.
Uschi123 am 9. April 2019, 13:39 Uhr
Art. 37 ff. DSGVO sowie § 38 BDSG geben keine Fristen vor. Ist Ihr Unternehmen zur Bestellung eines Datenschutzbeauftragten verpflichtet, hat der Übergang nahtlos zu erfolgen.
Dr. Datenschutz am 26. April 2019, 16:26 Uhr
Ich bin die Stellvertretung von unserem Datenschutzbeauftragten interne Firma insgesamt 1800 Mitarbeiter. Ich arbeite in der IT-Abteilung und möchte evtl. die Leitung übernehmen habe es aber noch nicht angesprochen. Zu meine Frage kann ich zusätzlich zum Stellvertretenden Datenschutzbeauftragten auch eine Leitungsposition übernehmen weil ich möchte in der IT bleiben in Zukunft.
IT-Man am 19. Mai 2019, 15:59 Uhr
Unternehmen sollten darauf achten, dass kein Interessenskonflikt entsteht (Art. 38 Abs. 6 DSGVO). Dies kann insbesondere bei internen DSB der Fall sein. Interessenskonflikte entstehen dann, wenn der DSB/Vertretung zusätzlich eine andere Tätigkeit nachgeht, was ihm grundsätzlich auch gestattet ist, und sich dann u.U. selbst kontrollieren muss. Mit der Funktion des IT-Leiters besteht durchaus ein solcher Interessenskonflikt, da hier vor allem das technische Know-How vorhanden ist und damit der Einfluss auf die vorliegende Gesamtheit der Daten zu groß ist. Eine solche Selbstkontrolle widerspricht der Funktion eines DSB. Dieser soll gerade eine unabhängige Instanz sein, die im Unternehmen auf die Einhaltung des Datenschutzes hinwirkt. Diese Aufgabe könne der DSB (und seine Vertretung) nicht erfüllen, wenn er gleichzeitig maßgebliche operative Verantwortung für Datenverarbeitungsprogramme besitze.
Dr. Datenschutz am 23. Mai 2019, 10:50 Uhr
Datenschutz ist eine Aufgabe des Bundes, wie kommt es das Private Adressdaten von Behörden wie Rathäuser oder Landrats Amt an Unternehmen der freien Wirtschaft wie ein Gericht festgestellt hat was ARD und ZDF sind, weitergegeben werden das heißt das die Datenschutzbehörde gegen Datenschutz verstößt wenn sie an freie Unternehmen die nicht Stattlich sind Daten von Bürgern weitergibt
hatschepsut 89 am 30. Mai 2019, 17:33 Uhr
in unserem Unternehmen stellt sich momentan die Frage, ob wir einen Vollzeit-Datenschützer benötigen. Unser Unternehmen beschäftigt ca. 4000 Mitarbeiter bei einem Jahresumsatz von mind. 240 Mio €. Momentan begleitet eine Juristin und 2 Vertreter nebenberuflich die Thematik Datenschutz. Gibt es „Richtlinien“ ab welcher Unternehmensgröße es sich empfiehlt den Datenschutz ausschließlich und nicht als Nebentätigkeit auszuüben?
StephanD am 17. Juli 2019, 10:21 Uhr
Die Pflicht zur Benennung eines Datenschutzbeauftragten besteht für ein privatwirtschaftliches Unternehmen ab einer Mitarbeiterzahl von 10 Personen, die ständig mit einer automatisierten Datenverarbeitung beschäftigt sind. Dies wird in Ihrem Unternehmen wohl der Fall sein. Mit einer nebenberuflichen „Begleitung“ der Thematik Datenschutz ist es also eher nicht getan. Ob die Person des Datenschutzbeauftragten das Ganze sinnvollerweise haupt- oder nebenberuflich macht ist wahrscheinlich davon abhängig, wie umfangreich personenbezogene Daten in Ihrem Unternehmen verarbeitet werden und lässt sich nicht pauschal beantworten. Wichtig ist, dass durch die Tätigkeit des Datenschutzbeauftragten die datenschutzrechtlichen Anforderungen aus DSGVO und BDSG gewährleistet werden können.
Dr. Datenschutz am 18. Juli 2019, 16:31 Uhr
vielen Dank für Ihre Rückmeldung. Bei unserem Unternehmen handelt es sich um einen Klinikkonzern und bedingt durch unsere Tätigkeitsfeld verarbeiten wir in einer Vielzahl von Programmen und Subsystemen die Daten unserer Patienten bzw. verarbeiten zahlreiche Partner die Daten im Rahmen der Auftragsdatenverarbeitung. Verstehe ich Sie also richtig, dass über die bestehende Verpflichtung nach DSVGO (Bestellpflicht ab 10 MA) keine weiteren „Empfehlungen / Richtlinien existieren, ab wann der DSB seine Tätigkeit Vollzeit ausüben sollte? MfG
StephanD am 19. Juli 2019, 09:43 Uhr
Konkrete Vorgaben zum zeitlichen Umfang der Tätigkeit eines DSB gibt es nicht, da dies stets vom Einzelfall abhängt. Art 38 Abs. 2 DSGVO setzt u.a. voraus, dass der DSB die zur Erfüllung seiner Aufgaben erforderlichen Ressourcen erhält, also auch die entsprechende zeitliche Ressource. Demnach muss dem DSB jedenfalls ein ausreichendes Zeitkontingent zur Erfüllung seiner Aufgaben sowie zur Erhaltung und Erweiterung seines Fachwissens zur Verfügung stehen. Der Umstand, dass in Ihrem Falle auch sensible personenbezogene Daten verarbeitet werden, welche nach der DSGVO besonders schutzbedürftig sind, macht die Tätigkeit natürlich komplexer und umfangreicher. Ob Vollzeit vom DSB gearbeitet werden muss, hängt sicherlich auch davon ab, inwieweit das Personal der einzelnen Abteilungen mit eingebunden ist. Auf Seite 22 des Praxisratgebers vom LfDI BW finden Sie nähere Informationen.
Dr. Datenschutz am 22. Juli 2019, 10:46 Uhr
nochmals vielen Dank für die Beantwortung meiner Fragen. Den Praxisratgeber werde ich aufmerksam lesen. MfG
Stephan D am 22. Juli 2019, 15:21 Uhr
laut einem neuen Gesetz wurde die Verpflichtung, einen DSB zu nennen, auf 20 in einem Betrieb tätige Personen erweitert. Das bedeutet, dass ich in meinem Betrieb mitt 11 Personen meinen bisherigen extern beauftragten DSB nicht mehr benötige. Darf ich diesem nun aufgrund geänderter Gesetzeslage außerordentlich kündigen ? Oder muß ich mich an unserem Vertrag, der bis Ende 2020 (!) gilt, halten ? Vielen Dank für Ihren Rat !
Luisa am 22. Juli 2019, 15:46 Uhr
Das hängt von den individuellen Regelungen des zwischen Ihnen und dem externen Datenschutzbeauftragten geschlossenen Vertrag ab, die jedoch verständlicherweise nicht in diesem Rahmen geprüft werden können.
Dr. Datenschutz am 24. Juli 2019, 09:25 Uhr

References: § 38
 § 38

§ 38
 § 4
 § 38
 § 6
 § 38
 § 41
 § 9
 § 41

§ 38
 § 6
 §38
 Art. 37
 Art. 37
 Art. 13
 § 38
 Art. 9
 § 46
 Art. 37
 § 2
 § 46
 Art. 9
 Art. 9
 Art. 9
 Art. 37
 Art. 37
 § 38
 Art. 38
 § 4
 Art. 24

Art. 37
 § 38