Source: https://www.bernhard-kraemer.com/datenschutz/externer-datenschutzbeauftragter/
Timestamp: 2019-04-20 12:24:47+00:00

Document:
Externer Datenschutzbeauftragter – Bernhard Krämer
HomeDatenschutz Externer Datenschutzbeauftragter
Ist ein Datenschutzbeauftragter öffentlich zu benennen?
Die Aufgaben eines Datenschutzbauftragten ergeben sich unter anderem aus Art. 39 DSGVO. Darin heißt es:
Art. 39 DSGVO – https://dsgvo-gesetz.de/art-39-dsgvo/
Im Klartext bedeutet dies, dass der Datenschutzbeauftragte den Mitarbeitern des Unternehmens als fachlicher Ansprechpartner zu Fragen rund um den Datenschutz zur Verfügung steht, Anliegen und Anfragen von Betroffenen oder Aufsichtsbehörden bearbeitet und die Beratung der Geschäftsleitung bei der Umsetzung der Datenschutzgesetzgebung übernimmt.
Das es für viele Unternehmen nicht rentabel ist, Mitarbeiter zu Datenschutzbeauftragten ausbilden zu lassen bzw. eine Stelle hierfür zu schaffen, werden oft externe Datenschutzbeauftragte berufen. Die gesetzlichen Aufgaben unterscheiden sich hierbei nicht, da das Gesetz zwischen internen und externen Datenschutzbeauftragten nicht unterscheidet. Zusätzliche Aufgaben ergeben sich jeweils aus dem Auftrag den das Unternehmen dem externen Datenschutzbeauftragten erteilt und werden in der Regel vertraglich geregelt.
Wann ein Datenschutzbeauftragter bestellt werden muss ergibt sich aus Art. 37 DSGVO und § 38 BDSG. Ein Datenschutzbeauftragter ist demnach u. a. in folgenden Fällen zu bestellen:
Wenn die Verarbeitung von einer Behörde oder öffentlichen Stelle (mit Ausnahme von Gerichten) durchgeführt wird.
Wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht.
Wenn ein Unternehmen mindestens zehn beschäftigt, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beauftragt sind.
Unternehmen, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen.
Wenn ein Unternehmen einen Datenschutzbeauftragten bestellen muss, obliegt es ihm, einen internen oder einen externen Datenschutzbeauftragten zu bestellen. Gerade bei kleinen Unternehmen ist ein externer Datenschutzbeauftragter meist kostengünstiger, da ein interner Datenschutzbeauftragter zunächst ausgebildet werden muss und während seiner Tätigkeit als DSB seiner regulären Tätigkeit i.d.R. nicht nachgehen kann.
Gerne unterstütze ich Sie bei der Klärung ob Sie einen Datenschutzbeauftragter bestellen müssen. Sprechen Sie mich gerne an.
Grundsätzlich besteht keine Pflicht einen externen Datenschutzbeauftragten zu bestellen. Unternehmen können auch bestehende Mitarbeiter zu Datenschutzbeauftragten ausbilden lassen und ernennen oder Mitarbeiter als Datenschutzbeauftragte einstellen. Dennoch entscheiden sich viele Unternehmen für externe Datenschutzbeauftragte.
Gegenüber einem internen Datenschutzbeauftragten hat ein externer Datenschutzbeauftragter zahlreiche Vorteile. So verfügt dieser beispielsweise bereits über das notwendige Fachwissen, auf das direkt zurückgegriffen werden kann. Ist man mit dem Dienstleister nicht zufrieden, so kann ein externer Datenschutzbeauftragter vertragsabhängig leichter ausgetauscht werden. In der Regel ist ein externer Datenschutzbeauftragter auch günstiger als diese Rolle intern zu vergeben, da neben einer geringen Grundgebühr nur nach tatsächlichem Aufwand berechnet wird. Siehe dazu auch weiter unten.
Ganz klar: Ja! Jedes Unternehmen muss in seiner (i. d. R. öffentlich einsehbaren) Datenschutzerklärung den Datenschutzbeauftragten und dessen Kontakt veröffentlichen. Dies ergibt sich aus Art. 13 Abs. 1 lit. b DSGVO und Art. 37 Abs. 7 DSGVO. Außerdem muss jedes Unternehmen (im Gesetz als „Verantwortlicher“ bezeichnet) seinen Datenschutzbeauftragten an die zuständige Datenschutzaufsichtbehörde melden (siehe
Art. 37 Abs. 7 DSGVO).
Ist man zur Bestellung eines Datenschutzbeauftragten verpflichtet, tut dies jedoch nicht, so verstößt man gegen geltendes Recht. Die Aufsichtsbehörden können einen solchen Verstoß verfolgen und entsprechende Strafen verhängen. Wer auf die Bestellung eines Datenschutzbeauftragten verzichtet, vernachlässigt meist auch die Datenschutzdokumentation, was im Falle einer Prüfung ebenfalls negativ auffallen dürfte.
Da die Kontakt des Datenschutzbeauftragten auf der Website einsehbar sein müssen (in der Datenschutzerklärung) kann ein möglicher Mitbewerber auch feststellen, wenn dies nicht getan wurde und dies unter Umständen als wettbewerbswidriges Verhalten abmahnen. Ob ein solcher Verstoß abgemahnt werden kann ist aktuell noch nicht abschließend geklärt, die Gefahr besteht jedoch.
Die Kosten eines externen Datenschutzbeauftragten hängen von der vereinbarten Leistung ab. Meist wird eine monatliche Grundgebühr fällig (ca. 140 – 250 €) in der die Bestellung und Meldung an die Aufsichtsbehörde, die Erreichbarkeit im Falle eines Anliegens oder einer Anfrage und je nach Vertragskonstellation auch ein Stundenkontingent enthalten ist. Der weitere Aufwand wird dann nach einem zuvor vereinbarten Stundenlohn bzw. Tagessatz abgerechnet. Auch ein Prepaid-Kontingent, bei dem der Kunde eine definierte Anzahl an Stunden kauft und diese dann nach Bedarf verbraucht, ist möglich.

References: Art. 39

Art. 39
 Art. 37
 § 38
 Art. 13
 Art. 37

Art. 37