Source: https://www.activemind.de/magazin/author/klaus/page/9/
Timestamp: 2019-08-22 20:23:07+00:00

Document:
Klaus Foitzick - Experte Datenschutz & Datensicherheit | activeMind AG
Home » Archiv für Klaus Foitzick » Seite 9
Durch die moderne Informationstechnologie lassen sich auch größte Datenmengen schnell und einfach verarbeiten, auswerten, weitergeben und speichern. Aus der Perspektive des Datenschutzes ist das eine dementsprechend große Herausforderung. Das Gesetz stellt daher zurecht strenge Anforderungen an die innerbetriebliche Selbstkontrolle durch den Datenschutzbeauftragten (DSB) auf. Die obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich haben die Mindestanforderungen an den Datenschutzbeauftragten in einem Beschluss formuliert.
Die Anforderungen muss der Datenschutzbeauftragte bereits zum Zeitpunkt seiner Bestellung erfüllen. Andernfalls ist die Bestellung eventuell nicht wirksam und die gesetzlichen Vorgaben sind nicht erfüllt. Dies stellt ein Risiko dar – nicht nur deshalb, weil diese Ordnungswidrigkeit unter Umständen mit einem empfindlichen Bußgeld geahndet werden kann.
Die Aufsichtsbehörden empfehlen folgerichtig auch ausdrücklich die Teilnahme an entsprechenden Schulungen bereits vor Beginn der Tätigkeit, um eventuelle Informationsdefizite zu beheben, und auch regelmäßig nach der Bestellung, um einen stets aktuellen Informationsstand sicherzustellen.
1. Fachkunde im Datenschutzrecht
Der Beauftragte für den Datenschutz muss mindestens über folgende technisch-organisatorische Kenntnisse verfügen:
Grundkenntnisse zu den Persönlichkeitsrechten der Betroffenen und Mitarbeiter
umfassende Kenntnisse der einschlägigen Regelungen des BDSG
Kenntnisse des Anwendungsbereiches datenschutzrechtlicher und technischer Vorschriften, der Datenschutzprinzipien und der Datensicherheitsanforderungen insbesondere nach § 9 BDSG. Dies schließt die Fähigkeit ein, die Geeignetheit von technischen und organsisatorischen Maßnahmen zu beurteilen.
2. Branchenspezifische Kenntnisse
Je nach Branche, IT-Infrastruktur und Größe der Organisation und der Sensibilität Daten stellt der Gesetzgeber folgende Anforderungen an den Datenschutzbeauftragten:
Umfassende Kenntnis der für das Unternehmen relevanten Vorschriften
Fachwissen im Bereich der Informationstechnologie und der Datensicherheit
Betriebswirtschaftliches Sachverständnis
Kenntnis der Strukturen und Abläufe im Unternehmen
Kenntnis über das praktische Datenschutzmanagement
3. Rahmenanforderungen
Neben den persönlichen Anforderungen an den Datenschutzbeauftragten verlangt der Gesetzgeber die Gewährleistung bestimmter Rahmenbedingungen, insbesondere im Hinblick auf die Unabhängigkeit des Datenschutzbeauftragten. Dazu gehören folgende:
Der Datenschutzbeauftragte darf bei Erfüllung seiner Aufgaben keinen Interessenkonflikten ausgesetzt sein. Dies bedeutet unter anderem, dass eine Bestellung nicht erfolgen darf, sobald der Beauftragte sich in irgendeiner Weise selbst überwachen müsste. Angehörige der Geschäftsleitung oder Mitarbeiter, die sonst zentrale Verantwortung tragen, scheiden danach regelmäßig aus. Durch ihre Bestellung wird die gesetzliche Verpflichtung nicht erfüllt.
Datenschutzbeauftragte sind grundsätzlich auch gegenüber den Verantwortlichen des von ihnen betreuten Unternehmens zur Verschwiegenheit über Informationen verpflichtet, die Rückschlüsse auf bestimmte Personen zulassen.
Die Verantwortlichen der zu betreuenden Organisation müssen dem Datenschutzbeauftragten erforderliche Zutritts- und Einsichtsrechte einräumen und gewährleisten, dass er durch entsprechende Weiterbildungen die für die Erfüllung seiner Verpflichtungen notwendigen Kenntnisse pflegt.
Internen Datenschutzbeauftragten ist ausreichend Zeit zur Erfüllung ihrer Aufgaben einzuräumen.
Zuletzt geändert: 23. Februar 2011 18. Februar 2019
Zuletzt geändert: 5. Februar 2011 16. Januar 2019
Mit der Novellierung des Bundesdatenschutzgesetzes am 1.9.2009 wurde der Datenschutzbeauftragte mit einem Kündigungsschutz ausgestattet, § 4f Abs. 3 BDSG. Außer wenn Gründe für eine fristlose Entlassung vorliegen, ist die Kündigung des mit dem betrieblichen Datenschutzbeauftragten abgeschlossenen Arbeitsverhältnisses unzulässig.
Dieser Kündigungsschutz bleibt auch nach einer Abberufung als betrieblicher Datenschutzbeauftragter für ein weiteres Jahr nach der Beendigung der Bestellung bestehen. In dieser Zeit ist eine Entlassung des früheren betrieblichen Datenschutzbeauftragten nur bei Vorliegen von Gründen für eine fristlose Kündigung aus wichtigem Grund (§ 626 BGB) gestattet.
Jedoch kann die Aufsichtsbehörde den bestellten Datenschutzbeauftragten abberufen, wenn er die erforderliche Fachkunde oder Zuverlässigkeit nicht besitzt. Damit kann die Bestellung durch die Unternehmensleitung widerrufen werden, wenn die Aufsichtsbehörde dies verlangt, oder ein wichtiger Grund i.S.v. § 626 BGB gegeben ist.
Zuletzt geändert: 4. November 2010 18. Februar 2019
Gemäß § 4 f BDSG haben Unternehmen, die personenbezogene Daten automatisiert erheben, verarbeiten und nutzen, einen Beauftragten für den Datenschutz schriftlich zu bestellen, wenn mehr als neun Beschäftigte mit dieser Aufgabe betraut sind. Personenbezogene Daten sind z.B. das Geburtsdatum, die Telefonnummer, die Postanschrift oder eine E-Mailadresse; auch eine verwendete IP- Adresse kann hierunter fallen. Der Begriff ist sehr weit zu verstehen. Die betroffenen Daten müssen nicht „vertraulich“ oder „geheim“ sein. Für die in Unternehmen bestellten Datenschutzbeauftragten hat sich die Bezeichnung „betrieblicher Datenschutzbeauftragter“ etabliert.
Mitwirkung bei der Gewährleistung der Einhaltung der Datenschutzgesetze
Die gesetzlichen Aufgaben des betrieblichen Datenschutzbeauftragten sind in § 4g BDSG definiert. Nach dieser Bestimmung wirkt der betriebliche Datenschutzbeauftragte auf die Einhaltung des BDSG „und anderer Vorschriften über den Datenschutz hin“. Die Verantwortung für die Einhaltung der datenschutzrechtlichen Bestimmungen trifft jedoch zunächst den Rechtsträger des Unternehmens, also entweder eine natürliche oder eine juristische Person.
1. Beratungsaufgaben
Die Beratungsfunktion stellt die zentrale Aufgabe des betrieblichen Datenschutzbeauftragten dar. Diese Beratungsfunktion erstreckt sich keinesfalls ausschließlich auf eine gutachterliche, juristische Tätigkeit im Hinblick auf vorgefundene Sachverhalte und ihre datenschutzrechtliche Bewertung. Die Aufgabe des betrieblichen Datenschutzbeauftragten sollte es sein, das operative Ziel des Unternehmens zu unterstützen und dabei darauf zu achten, dass geltende datenschutzrechtliche Bestimmungen nicht verletzt werden.
2. Schulungsaufgaben
Die Schulung des Personals im Bereich Datenschutz und Datensicherheit ist eine unmittelbare gesetzliche Aufgaben des betrieblichen Datenschutzbeauftragten. Diese wird in
Allgemeine Schulungsaufgaben
3. Kontrollaufgaben
Der betriebliche Datenschutzbeauftragte hat eine umfassende Kontrollaufgabe hinsichtlich der datenschutzrechtlichen Unbedenklichkeit der Aktivitäten innerhalb eines Unternehmens, die in Zusammenhang mit der Verarbeitung personenbezogener Daten steht.
4. Registeraufgaben
Gemäß § 4g Abs. 2 in Verbindung mit § 4e Satz 1 Nr. 1-9 BDSG ist dem betrieblichen Datenschutzbeauftragten von der verantwortlichen Stelle eine Übersicht über DV-Systeme, mit denen automatisiert personenbezogene Daten verarbeitet werden, zur Verfügung zu stellen. Diese hat gesetzlich definierte Mindestangaben zu enthalten.
Organisatorische Aufgaben des betrieblichen Datenschutzbeauftragten
Ab einer bestimmten Größenordnung muss sich ein betrieblicher Datenschutzbeauftragter über die Organisation seiner Beratungs-, Schulungs- und Kontrollfunktionen Gedanken machen. Damit besteht für ihn die Pflicht und die Notwendigkeit, ein auf der organisatorischen Ausgestaltung des Unternehmens aufbauendes Konzept für die Organisation der Aufgabenerledigung im Bereich des Datenschutzes zu entwickeln bzw. fortzuentwickeln (Datenschutzkonzept).
Bestellung und formale Position innerhalb des Unternehmens
Interner betrieblicher Datenschutzbeauftragter
Gemäß § 4f Abs. 1 BDSG ist der betriebliche Datenschutzbeauftragte vom Unternehmen schriftlich zu bestellen. Hierfür ist also ein Dokument erforderlich, das von einem befugten Vertreter des Rechtsträgers des Unternehmens zu unterschreiben und vom betrieblichen Datenschutzbeauftragten gegenzuzeichnen ist. Die Bestellung hat den Charakter einer besonderen Vereinbarung (Arbeitsvertragsänderung) und kann nicht im Wege des arbeitsrechtlichen Direktionsrechts auf einen Beschäftigten übertragen werden.
Nach § 4f Abs. 3 Satz 1 BDSG ist der betriebliche Datenschutzbeauftragte der Leitung eines Unternehmens unmittelbar zu unterstellen. Aus dem Wortlaut der Vorschrift ergibt sich direkt, dass ein Mitglied der Unternehmensleitung nicht zum betrieblichen Datenschutzbeauftragten bestellt werden kann. Achtung: seit dem 1.9.2009 besteht für interne Datenschutzbeauftragte Kündigungsschutz! Der interne Datenschutzbeauftragte kann gegen seinen Willen grundsätzlich nicht mehr abberufen werden.
Nach dem BDSG muss der betriebliche Datenschutzbeauftragte nicht zwingend Beschäftigter des betroffenen Unternehmens sein. Insbesondere bei kleineren Unternehmen kann es sinnvoll sein, einen externen Datenschutzexperten zum betrieblichen Datenschutzbeauftragten zu bestellen. Es ist jedoch immer nur die Bestellung einer natürlichen Person, nicht eines Unternehmens, möglich.
Qualifikation des betrieblichen Datenschutzbeauftragten
Der Datenschutzbeauftragte muss Fachkompetenz in Bezug auf IT-Technologien, Kenntnisse im allgemeinen Datenschutzrecht und im Bereich der datenschutzrechtlich relevanten Bestimmungen des BetrVG, sowie Kenntnisse der Aufgaben-, Struktur- und Funktionsweise des Unternehmens und nicht zuletzt auch Schulungskompetenz besitzen.
Werden Mitarbeiter des Unternehmens bestellt, so müssen als Besonderheiten im Hinblick auf die arbeitsrechtliche Stellung des Datenschutzbeauftragten das gesetzliche Benachteiligungsverbot, die direkte Unterstellung unter die Unternehmensleistung bei Ausübung der Tätigkeit des Datenschutzbeauftragten sowie der Kündigungsschutz berücksichtigt werden.
Zuletzt geändert: 30. Juli 2010 18. Februar 2019

References: § 9
 § 4
 § 626
 § 4
 § 4
 § 4
 § 4
 § 4
 § 4