Source: https://sp-unternehmerforum.de/datenschutzbeauftragter-aufgaben-im-ueberblick/
Timestamp: 2018-06-20 07:06:11+00:00

Document:
Datenschutzbeauftragter - Aufgaben im Überblick - S&P Seminar buchen
Datenschutzbeauftragter – Aufgaben im Überblick
Geschrieben von Mitarbeiter S&P Unternehmerforum am 31. Mai 2018 in Datenschutz, DSGVO, Seminare, Seminare Aktuell
Die wichtigsten Aufgaben des Datenschutzbeauftragten haben wir Ihnen im S&P Informationsblog „Datenschutzbeauftragter – Aufgaben im Überblick“ zusammengefasst.
Aufgaben und Pflichten des Datenschutzbeauftragten unter der DSGVO
Gesetzliche Aufgaben des Datenschutzbeauftragten
Überwachungs- und Kontrollhandlungen des Datenschutzbeauftragten
Unterrichtung und Beratung – zwei wesentliche Aufgaben des Datenschutzbeauftragten
Zusammenarbeit mit und Anlaufstelle für die Aufsichtsbehörde
Aufgaben und Pflichten des Datenschutzbeauftragten unter der DSGVO – Datenschutzbeauftragter – Aufgaben im Überblick
Betriebliche und behördliche Datenschutzbeauftragte gibt es seit der ersten Fassung des Bundesdatenschutzgesetzes, also seit Jahr 1978. 1995 wurden dann durch die Europäische Gemeinschaft erstmals Regelungen zum Datenschutz in öffentlichen und nicht-öffentlichen Stellen getroffen (Richtlinie 95/46/EG). Mit Inkrafttreten der DSGVO wird nun europaweit geregelt, wann ein Datenschutzbeauftragter zu benennen ist und welche Stellung und Aufgaben er besitzt. Weil die Verordnung unmittelbar in allen EU-Mitgliedstaaten zur Anwendung kommt (und anders als eine Richtlinie nicht erst in nationales Recht umzusetzen ist), wird ab diesem Zeitpunkt die Position des betrieblichen und behördlichen Datenschutzbeauftragten generell auf europäischer Ebene eingeführt.
Regelungen der DSGVO – Datenschutzbeauftragter – Aufgaben im Überblick
Benennung, Stellung und Aufgaben des Datenschutzbeauftragten werden in den Art. 37, 38 und 39 DSGVO geregelt. Diese Vorschriften müssen alle, die personenbezogene Daten verarbeiten, gleichermaßen beachten. Zusätzlich gilt das Bundesdatenschutzgesetz in novellierter Form („BDSG-neu“). Darin werden die Öffnungsklauseln genutzt, welche die DSGVO einräumt.
Eine Pflicht zur Bestellung soll beispielsweise weiterhin in denselben Fällen erfolgen, wie sie auch das BDSG in alter Fassung festgeschrieben hat. Die Aufgaben des Beauftragten sind jedoch abschließend in der DSGVO aufgezählt, so dass es insoweit auf das deutsche BDSG in der Neufassung nicht mehr ankommt.
Die Aufgaben, die ein Datenschutzbeauftragter zwingend zu beachten hat, werden in Art. 39 DSGVO genannt.
Bei all den nachfolgend dargestellten Aufgaben gilt:
Der Beauftragte muss bei seiner Arbeit den spezifischen, datenschutzrechtlichen Risiken gebührend Rechnung tragen (Pflicht zur risikoorientierten Tätigkeit gem. Art. 39 Abs. 2 DSGVO). Das heißt, er muss risikoorientiert handeln, indem er die besonderen Risiken beim Umgang mit personenbezogenen Daten berücksichtigt. Dabei spielen Umfang, Umstände und Zwecke der Datenverarbeitung die entscheidende Rolle.
In der Praxis führt das beispielsweise dazu, dass er Datenverarbeitungen, die ein höheres Datenschutz-Risiko aufweisen, vorrangig zu prüfen hat.
Der Beauftragte sollte seine Tätigkeiten und Überlegungen stärker als bisher dokumentieren.
Dadurch kann er das Risiko eines Bußgelds senken (das gegenüber der früheren Rechtslage in mehr Fällen und mit erheblich höheren Beträgen verhängt werden kann).
Zudem kann er durch eine Dokumentation seinen Teil zur generellen Rechenschaftspflicht beitragen (Art. 5 Abs. 2 DSGVO).
Nach Art. 39 Abs. 1 Buchst. b DSGVO hat der Datenschutzbeauftragte die Einhaltung der Datenschutzvorschriften zu überwachen.
Zu den zu überwachenden Datenschutzvorschriften zählen
die internen Vorgaben und die Strategie des Verantwortlichen einschließlich der Zuweisung der Zuständigkeiten, der Sensibilisierung und Schulung der Mitarbeiter und der diesbezüglichen Überprüfungen.
Bis zum Inkrafttreten der DSGVO musste der Datenschutzbeauftragte in Deutschland auf die Einhaltung der Vorschriften lediglich hinwirken. Nun ist seine Aufgabe die Überwachung. Dies erfordert auch entsprechende Kontrollhandlungen des Datenschutzbeauftragten.
Die Überwachung kann beispielsweise dadurch erfolgen, dass der Beauftragte
Informationen sammelt, um Datenverarbeitungen zu erkennen,
diese Datenverarbeitungen analysiert und auf ihre Rechtmäßigkeit hin überprüft und
den Datenverarbeiter und Auftragsverarbeiter informiert, berät und Empfehlungen über die Umsetzung des Datenschutzes ausspricht.
Wenn der Beauftragte dieser Pflicht nicht nachkommt, besteht die Gefahr, dass er dafür persönlich haftbar gemacht wird. Diese Verschärfungen kenne wir bereits beim Compliance-Officer und Geldwäsche-Officer. Um Risiken sachgerecht zu reduzieren ist es erforderlich, daß der Datenschutzbeauftragte seine Tätigkeiten und Überlegungen dokumentiert und somit nachweisen kann.
Eine weitere Aufgabe für den Beauftragten ist die Unterrichtung und Beratung in allen datenschutzrechtlichen Fragen (Art. 39 Abs. 1 Buchst. a DSGVO). Diese Aufgabe ist nach innen gerichtet: Als interner Ansprechpartner steht er sowohl der Leitungsebene als auch allen Beschäftigten zur Verfügung. Dabei soll er über den Umgang mit personenbezogenen Daten aufklären und gesetzliche Vorgaben erläutern.
Wie auch bisher müssen die Beschäftigten über den richtigen Umgang mit personenbezogenen Daten sensibilisiert und geschult werden. Jedoch ist für die Schulung nicht mehr zwingend der Datenschutzbeauftragte zuständig, sondern der Arbeitgeber (das ergibt sich indirekt aus Art. 5 DSGVO).
Der Datenschutzbeauftragte hat jedoch zu kontrollieren, ob diese Schulungen tatsächlich durchgeführt werden.
Dass Mitarbeiter in Bezug auf den Datenschutz zu schulen sind, ergibt sich nicht mehr unmittelbar, sondern nur noch mittelbar aus dem Gesetz. Beispielsweise verlangt Art. 5 DSGVO, dass nicht nur alle gesetzlichen Vorgaben einzuhalten sind, sondern auch, dass dies nachgewiesen werden muss. Das Unternehmen muss daher Maßnahmen treffen, die sicherstellen, dass ihre Beschäftigten über Kenntnisse im Datenschutz verfügen und wissen, was sie tun dürfen und was nicht. Auch wenn die Verantwortlichkeit dafür bei der jeweiligen Geschäftsführung liegt, spricht einiges dafür, wenn der Datenschutzbeauftragte die Schulungen durchführt.
Datenschutz-Folgenabschätzung – Datenschutzbeauftragter – Aufgaben im Überblick
Der Beauftragte muss dann überwachen, dass eine Folgenabschätzung durchgeführt wird. Für die Durchführung ist er weder selbst verantwortlich (denn das ist die verantwortliche Stelle, also der Arbeitgeber), noch muss auf seinen Rat zwingend gehört werden.
Konkret könnte der Beauftragte seinen Rat abgeben in Bezug auf diese Punkte:
Eine weitere, erstmals gesetzlich geregelte Aufgabe ist, dass der Datenschutzbeauftragte unmittelbar mit der Aufsichtsbehörde für den Datenschutz kommuniziert. Er dient als deren Anlaufstelle und direkter Gesprächspartner in allen Datenschutz-Angelegenheiten (Art. 39 Abs. 1 Buchst. d und e DSGVO).
Nach Art. 30 DSGVO muss in jedem Unternehmen ein Verzeichnis geführt werden, das auflistet, welche personenbezogenen Daten zu welchen Zwecken und wie verarbeitet werden. Dieses Verzeichnis muß in erster Linie nur von Unternehmen mit mehr als 250 Beschäftigten führen.
Die Ausnahme des Abs. 5 greift aber auch in den meisten Fällen:
Demnach muss das Verzeichnis immer geführt werden, sobald „besondere Datenkategorien“ bearbeitet werden (im Sinn des Art. 9 Abs. 1 DSGVO). Dazu zählen auch Gesundheitsdaten. Wenn es angestellte Mitarbeiter und damit eine Personalverwaltung gibt, ist diese Voraussetzung gegeben, da Angaben über Krankheitstage und beispielsweise Schwerbehinderungen anfallen.
Der Hauptzweck des Verzeichnisses liegt darin, dass es auf Nachfrage der Aufsichtsbehörde für den Datenschutz vorgelegt werden kann. Aber auch für den Datenschutzbeauftragten und seine Arbeit kann dieses Verzeichnis eine wichtige Grundlage und Informationsquelle darstellen.
Es ist daher denkbar, dass der Beauftragte das Verzeichnis nach Art. 30 DSGVO selber führt – oder zumindest maßgeblich bei dessen Erstellung eingebunden ist. Und falls nicht, ist es zumindest seine gesetzlich zugewiesenen Aufgaben zu prüfen, ob das Verzeichnis der Verarbeitungstätigkeiten grundsätzlich geführt wird (aufgrund von Art. 39 Abs. 1 Buchst. b BDSG).
Erstellung von Tätigkeitsberichten – Datenschutzbeauftragter – Aufgaben im Überblick
Es besteht keine gesetzliche Pflicht für betriebliche Datenschutzbeauftragte, regelmäßige Berichte über ihre Tätigkeiten vorzulegen. Jedoch gilt die Rechenschaftspflicht des Art. 5 Abs. 2 DSGVO.
Ein wichtiger Baustein ist daher, daß der Datenschutzbeauftragte seine Tätigkeiten dokumentiert. Dies ist nicht nur gegenüber der Aufsichtsbehörde sinnvoll, sondern sorgt auch für größere Transparenz gegenüber dem eigenen Arbeitgeber.
Meldung von Datenschutzverstößen – Datenschutzbeauftragter – Aufgaben im Überblick
Wenn es zu einer Verletzung des Schutzes von personenbezogenen Daten kommt, sind in der Regel die Aufsichtsbehörde zu unterrichten und oft auch die davon Betroffenen (Artt. 33, 34 DSGVO). Die Durchführung der Meldung liegt in der Verantwortung der Unternehmensleitung.
Es empfiehlt sich, dass der Datenschutzbeauftragte diese Aufgabe übernimmt. Denn wenn die Aufsichtsbehörde Rückfragen stellt, darf sie sich an ihn wenden (Art. 39 Abs. 1 Buchst. d und e DSGVO.
Mit den neuen Regelungen zu den lnformationspflichten in Artikel 13 und 14 DSGVO wird der Grundsatz der Transparenz der Verarbeitung personenbezogener Daten gegenüber dem Betroffenen näher konkretisiert. Unterschieden wird – wie auch schon bislang – danach, ob der Verantwortliche die Daten beim Betroffenen (also mit setner Kenntnis) erhebt oder aus Drittquellen (also ohne seine Kenntnis) bezieht. Der Betroffene soll in beiden Konstellationen insbesondere Klarheit darüber erhalten, welche Daten zu welchem Zweck im Unternehmen verarbeitet werden.
das Recht auf Löschung („Recht auf Vergessenwerden“, Art. 17)
das Widerspruchsrecht (Art. 21)
Eine gesetzliche Aufgabe des Datenschutzbeauftragten ist es darauf zu achten, dass diese Rechte beachtet und umgesetzt werden. Darüber hinaus könnte dem Beauftragten die zusätzliche Aufgabe übertragen werden, die Anfragen der Betroffenen entgegenzunehmen, zu bearbeiten und zu beantworten. Dabei würde er zwischen dem Anfragenden und der zuständigen internen Stelle vermitteln.
Compliance & Geldwäschebeauftragter – Seminar Datenschutzbeauftragter – Aufgaben im Überblick
Depot A Management und Asset Management – Seminar Datenschutzbeauftragter – Aufgaben im Überblick
Tags:Datenschutzbeauftragter - Aufgaben im Überblick

References: Art. 37
 Art. 39
 Art. 39
 Art. 39
 Art. 5
 Art. 5
 Art. 30
 Art. 9
 Art. 30
 Art. 39
 Art. 5
 Art. 17