Source: https://ra-roessner-merle.de/schwerpunkte/it-rechtdatenschutzrechtdatenschutzbeauftragter-tuev-sued/
Timestamp: 2018-07-17 09:38:36+00:00

Document:
RA Rößner ist Mitglied in:
Ich habe mich auf dem Gebiet des „IT-Rechts“, Datenschutzrechts, Urheberrechts und Wettbewerbsrechts spezialisiert und berate u.a. überregional tätige Systemhäuser sowie regionale Provider und Onlinehändler. Zudem betreue ich Unternehmen rund um das Thema Datenschutz. Ich bin zudem Datenschutzbeauftragter (TÜV-SÜD) und kann daher als externer Datenschutzbeauftragter bestellt werden.
Tätigkeit eines Datenschutzbeauftragten
Alle Unternehmen, egal welcher Branche, müssen die Vorschriften des Bundesdatenschutzgesetzes (BDSG) beachten und umsetzen. In den meisten Unternehmen sind zusätzlich wegen der Internet- und eMail-Nutzung auch die Vorgaben des Telemediengesetzes (TMG) sowie Telekommunikationsgesetzes (TMG) zu berücksichtigen. Die Datenschutzaufsichtsbehörde (Landesdatenschutzbeauftragter) des eigenen Bundeslandes überwacht die Einhaltung und kann Bußgeld- und Strafverfahren einleiten, wenn die Vorgaben nicht eingehalten wurden (Bußgelder bis zu 300.000,- €). Der Datenschutzbeauftragte (DSB) im Unternehmen ist die interne Kontrollinstanz, der Landesdatenschutzbeauftragte die externe. Der interne DSB ist nur der Geschäftsleitung unterstellt. Er ist weisungsfrei, aber nicht weisungsbefugt. Er hat beratende Funktion, für die Umsetzung ist und bleibt das Unternehmen selbst verantwortlich.
Wann ist ein Datenschutzbeauftragter einzusetzen?
Unternehmen, in denen 10 oder mehr Personen automatisiert (also per EDV) mit personenbezogenen Daten arbeiten (also Mitarbeiterdaten, Kundendaten, Lieferantendaten usw.), müssen einen DSB benennen, der die erforderliche Fachkunde der Aufsichtsbehörde auf Verlangen nachweisen kann. Werden die personenbezogenen Daten händisch bearbeitet, muss der DSB bestellt werden, wenn mindestens 20 Personen regelmäßig damit Umgang haben, § 4f BDSG. Diese Personen müssen nicht zwingend eigene Mitarbeiter sein, auch externe Dienstleister werden mitgerechnet!
Diese häufig gestellte Frage ist genauso verständlich, wie unmöglich überschlägig zu beantworten. Warum? Ähnlich schwierig wäre die Frage zu beantworten, was die Errichtung eines Einfamilienhauses kosten könnte. Wie kommt man den Kosten auf die Spur? Ich mache es folgendermaßen: zunächst führen wir ein Telefonat, in welchem ich verschiedene Gegebenheiten abfrage (etwa Unternehmensgröße, Anzahl der Personen, die Umgang mit personenbezogenen Daten haben, Anzahl der EDV-Arbeitsplätze und Organisation der Hardware, welche Person als IT-Administrator Ansprechpartner ist, ob externe Dienstleister im Bereich der EDV/IT eingesetzt werden usw.). Danach versende ich Ihnen einen Fragebogen, der auch von den Aufsichtsbehörden verwendet mit der Bitte, diesen beantwortet an mich zurückzusenden. Ich prüfe dann, ob eine Bestellverpflichtung besteht, ob Meldepflicht vorliegt und was unbedingt und schnell in die Wege zu leiten wäre, damit bei einer Prüfung keine Bußgelder drohen. Für die Auswertung und erste Beratung berechne ich pauschal 250,- € zzgl. Umsatzsteuer.
Im nächsten Schritt wird ein Termin vor Ort mit Ihnen vereinbart (erstes Datenschutzaudit), um bspw. die baulichen Gegebenheiten bzgl. Datenschutz zu sichten, ebenso die Hardware- und Softwareumgebung. Auch Gespräche mit Verantwortlichen und die Klärung meiner Rolle als DSB oder Berater steht dabei an. Dies erfordert nach meiner Erfahrung mindestens einen Tag, da vor allem bei der von Ihnen eingesetzten Software die Übertragungswege der personenbezogenen Daten nachvollzogen werden müssen. Hier werden sogenannte „Mann-Tage“ berechnet (entspricht 6 Stunden). Der Mann-Tag wird meinerseits mit 1.200,- € zzgl. Umsatzsteuer berechnet. Wieviel Mann-Tage erforderlich sind, hängt also etwa von der Komplexität der eingesetzten Hard- und Software ab, aber auch von der Anzahl evtl. Niederlassungen Ihres Unternehmens, der Anzahl der EDV-Arbeitsplätze usw.
Nach dem letzten Audit vor Ort wird meinerseits eine To-Do-Liste erstellt, die dann Stück für Stück umgesetzt wird. Hier werden dann monatliche Pauschalen mit einander vereinbart, die ebenfalls von den oben beschriebenen Faktoren abhängt. Klar ist natürlich, dass die Monatspauschale in einer Praxis oder in einem kleinen Unternehmen erheblich günstiger sein würde, als in einem mittelständischen Unternehmen mit bspw. 800 Mitarbeitern. Allerdings ist die Komplexität der Datenverarbeitung in Ihrem Unternehmen ausschlaggebend, nicht zwingend die Betriebsgröße als solche.
Welche Unterlagen werden vom Landesdatenschutzbeauftragten meist angefordert?
Unabhängig von der Branchen und Unternehmensgröße müssen bei externen IT-Dienstleistern Auftragsdatenverarbeitungsvereinbarungen nach § 11 BDSG, technische und organisatorische Maßnahmen gem. § 9 BDSG sowie Anlagen zu § 9, öffentliche Verfahrensverzeichnisse (bis Mai 2018, danach sog. Folgeabschätzungen) nach § 4g BDSG, Erstellen eines Datenschutzmanagements, besondere Datenschutzvereinbarungen mit Mitarbeitern und Dienstleistern (bis hin zu Reinigungsfirmen) i.S.v. § 5 BDSG vorgehalten werden. Das ist zwingend und bei Verstoß erheblich bußgeldbewehrt. Darüber hinaus können aber selbstverständlich noch weitere Maßnahmen notwendig werden, so sind Mitarbeiterschulungen unbedingtes Muss.

References: § 4
 § 11
 § 9
 § 9
 § 4
 § 5