Source: https://www.zwp-online.info/zwpnews/wirtschaft-und-recht/praxismanagement/folgen-bei-der-benennung-eines-datenschutzbeauftragten
Timestamp: 2018-05-26 07:42:46+00:00

Document:
Folgen bei der Benennung eines Datenschutzbeauftragten - ZWP online - das Nachrichtenportal für die Dentalbranche
Mit dem Inkrafttreten der EU-Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG-neu) benötigen Arzt- und Zahnarztpraxen ein Konzept zur Datenschutzorganisation bzw. zum Datenschutzmanagement.
Im Zuge der gebotenen Neuausrichtung sind insbesondere die gesetzlichen Vorgaben zur Benennung eines Datenschutzbeauftragten (DSB) zu beachten. Da Praxisbetriebe auch interne Mitarbeiter mit der Aufgabe des DSB betrauen können, erscheint dies vielen Praxisinhabern als eine unkomplizierte Lösung. Übersehen wird dabei regelmäßig, dass die Benennung zu einem weitreichenden Kündigungsschutz des benannten Mitarbeiters führt sowie weitere arbeitsrechtliche Nachteile begründet.
Benennung eines Datenschutzbeauftragen bei mehr als zehn datenschutzrelevanten Personen: Wie wird die Anzahl an Personen in der Praxis ermittelt? Nach den neuen gesetzlichen Bestimmungen ist ein Datenschutzbeauftragter dann zu benennen, wenn in einem Praxisbetrieb mindestens zehn Personen regelmäßig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (vgl. § 38 Abs. 1 BDSG-neu). Bei der Ermittlung der Anzahl an Beschäftigten wird – anders als bei der Beurteilung des Schwellenwertes zur Anwendbarkeit des Kündigungsschutzgesetzes (KSchG) – jede in der Praxis tätige Person vollwertig in die Berechnung miteinbezogen. Die vorgegebene Zählweise schließt dabei Praxisinhaber sowie Teilzeitkräfte und Auszubildende mit ein, sofern deren Tätigkeit den Umgang mit patientenbezogenen Daten erfordert. Ebenfalls hinzuzuzählen sind alle externen Mitarbeiter, wie z.B. selbstständige Abrechnungskräfte, Praxismanager, Dentalhygieniker, Finanzbuchhalter etc., die in Ausübung ihrer Tätigkeit einen Zugriff auf patientenbezogene Daten in der Praxis erhalten (vgl. arbeitnehmerähnliche Personen i.S.v. § 26 Abs. 8 BDSG). Diese Zählweise führt dazu, dass die Pflicht zur Benennung eines Datenschutzbeauftragten selbst für kleinere Praxen zum Tragen kommen kann, obwohl sie nicht in den Anwendungsbereich des Kündigungsschutzgesetzes fallen.
Praxisinterne und externe Datenschutzbeauftragte
Nach den Vorschriften der DSGVO und des BDSG-neu kann entweder ein Mitarbeiter der Praxis oder ein externer Dienstleister zum Datenschutzbeauftragten benannt werden. Für Praxisinhaber stellt sich die Frage: Welcher Ansatz ist vorzugswürdig? Seitens des Praxisinhabers ist zunächst zu beachten, dass der benannte Arbeitnehmer zwar der Geschäftsführung unterstellt wird, in seiner Funktion als Datenschutzbeauftragter jedoch – in Abkehr vom üblichen Direktionsrecht des Arbeitsgebers – keinen inhaltlichen Weisungen unterliegt.
Haftungsansprüche gegenüber dem praxisinternen DSB
In haftungsrechtlicher Hinsicht genießt der interne Datenschutzbeauftragte als Arbeitnehmer aufgrund der Grundsätze des sogenannten innerbetrieblichen Schadensausgleichs eine Haftungsprivilegierung. Berät der interne Datenschutzbeauftrage in Hinblick auf datenschutzrechtlich relevante Maßnahmen fehlerhaft, wird dieser als Arbeitnehmer nur sehr eingeschränkt in Regress genommen werden können. Dies erweist sich im Vergleich zu externen Datenschutzbeauftragten als nachteilig, die sich weder im Verhältnis zum Praxisbetrieb noch im Außenverhältnis gegenüber Dritten auf eine gesetzliche Haftungsbeschränkung berufen können. Angesichts von Bußgeldern von bis zu 300.000 EUR pro Verstoß kann sich diese potenzielle Regressmöglichkeit als wertvoll erweisen.
Gemäß den Vorgaben des BDSG-neu bestehen besondere Kündigungsschutzvorschriften zugunsten des internen Datenschutzbeauftragen. So kann die Benennung eines Datenschutzbeauftragten nach § 38 Abs. 2 i.V.m. § 6 Abs. 4 S. 1 BDSG-neu nur widerrufen werden, wenn ein wichtiger Grund im Sinne des § 626 BGB (analog) gegeben ist oder die Aufsichtsbehörde dies verlangt. So hat das Bundesarbeitsgericht bereits unter dem bisher geltenden nationalen Recht in seinem Urteil vom 23.3.2011 entschieden, dass eine bereits erfolgte Benennung eines betriebsinternen DSB nicht alleine aus Gründen der betrieblichen Organisation widerrufen werden kann. Die Abberufung eines internen DSB zugunsten der nachträglichen Beauftragung eines externen DSB ist nicht zulässig (vgl. BAG – 10 AZR 562/09). Parallel dazu kann auch das Arbeitsverhältnis mit dem bestellten Mitarbeiter nach § 38 Abs. 2 i.V.m. und § 6 Abs. 4 S. 2 BDSG-neu nur unter der Voraussetzung gekündigt werden, dass der Arbeitgeber zu einer Kündigung aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist berechtigt ist. Ein solcher wichtiger Grund gemäß § 626 Abs. 1 BGB greift nach der Gesetzeslage jedoch erst dann, wenn einem Praxisinhaber nicht mehr zugemutet werden kann, die für das Arbeitsverhältnis geltende Kündigungsfrist bis zu deren Ablauf abzuwarten. Das Erreichen dieser hohen Schwelle wird seitens der Arbeitsgerichte nur sehr zurückhaltend angenommen. Praxisinhaber müssen sich somit darauf einstellen, dass sowohl die Abberufung des Mitarbeiters als Datenschutzbeauftragten als auch der Ausspruch einer Kündigung nur unter engsten Voraussetzungen möglich sein wird.
Vertretung eines DSB im Falle der Schwangerschaft bzw. Krankheit
Ist eine Befristung der Tätigkeit eines praxisinternen DSB möglich? Im Falle eines krankheits- oder schwangerschaftsbedingten Ausfalls eines praxisinternen Datenschutzbeauftragten stellt sich die Frage nach der befristeten Beauftragung eines externen DSB oder nach der Benennung eines anderen Mitarbeiters zum Datenschutzbeauftragten. Während der Befristung eines Dienstleistungsvertrages mit einem externen DSB nichts im Wege steht, ist eine Befristung der Bestellung eines praxisinternen DSB in der DSGVO bzw. im BDSG-neu weder ausdrücklich vorgesehen noch ausgeschlossen. Auf der einen Seite wird die Bestellung eines praxisinternen DSB grundsätzlich als unbefristet angesehen, insbesondere unter Berücksichtigung des gesetzlich verankerten Benachteiligungsverbots i.V.m. der Weisungsfreiheit gemäß Art. 38, Abs. 3 DSGVO. Auf der anderen Seite ist eine Befristung der Benennung als DSB, z.B. beim Vorliegen eines wichtigen Grundes, nicht ausgeschlossen. Da die Gewährleistung der unabhängigen und benachteiligungsfreien Tätigkeitausübung des DSB für den Gesetzgeber stets vorrangig ist, wird von einer Dauer von mindestens zwei bis fünf Jahren ausgegangen. Die Voraussetzungen, Form und Mindestdauer einer rechtskonformen Befristung sind jedoch nicht abschließend geklärt. Die eingeschränkten Möglichkeiten der Abberufung bzw. Kündigung eines DSB lassen sich somit auch nicht im Falle einer zeitlich begrenzten Vertretung, z.B. durch befristete Arbeitsverhältnisse mit den benannten Arbeitnehmern verlässlich aushebeln, da die Zulässigkeit einer solchen Befristung von vielen Datenschutzexperten in Abrede gestellt wird. Die Benennung eines zweiten praxisinternen DSB könnte somit einen entsprechenden Sonderkündigungsschutz für jeden weiteren zum DSB benannten Mitarbeiter auslösen (BAG Urteil vom 27.7.2017, 2 AZR 812/1).
Zusammenfassung der Folgen der internen Benennung eines Datenschutzbeauftragten:
Die Benennung eines internen Datenschutzbeauftragten erweist sich infolge diverser arbeitsrechtlicher Folgen als nachteilig. Neben eingeschränkten Weisungs-, Abberufungs- und Kündigungsrechten stellt auch die Haftungsprivilegierung des eingesetzten Mitarbeiters ein potenziell erhebliches Risiko dar. Nachdem darüber hinaus nur wenige praxisinterne Mitarbeiter über die tief greifenden Kenntnisse professioneller Datenschutzexperten verfügen dürften, erscheint die Benennung externer Spezialisten auch im Interesse der Bußgeldvermeidung als vorzugswürdig.
CONSULTOR!O Healthcare Management
Unternehmensberatung für Ärzte und
Zahnärzte, Erding bei München
Kanzlei Hoffstadt, Graf Schönborn,
Skusa, Frhr. v. Feury,
Partnerschaft mbB, München
Am 18. April 2018 fand in Hamburg das BDO Frühjahrstreffen der BDO Landesverbände Hamburg und Schles... weiterlesen

References: § 38
 § 26
 § 38
 § 6
 § 626
 § 38
 § 6
 § 626
 Art. 38