Source: https://www.recht-freundlich.de/eu-datenschutz-grundverordnung/die-dsgvo-und-der-bedarf-fuer-ein-datenschutz-management-system-im-unternehmen
Timestamp: 2017-09-21 12:08:59+00:00

Document:
In Kategorie(n): EU Datenschutz-Grundverordnung - 21. Dezember 2016 von Ralitza Eneva, LL.M.
Mit der Einführung der DSGVO entsteht für Unternehmen die Frage, was sich verändern wird und welche Maßnahmen sie ergreifen müssen, um die Anforderungen der DSGVO zu erfüllen. Von großer Bedeutung sind die Aufgaben des Datenschutzbeauftragten, die mit der Verordnung erweitert wurden, und der Bedarf zur Einführung eines Datenschutz-Management-Systems. Ein solches System ist nun obligatorisch und besonders wichtig im Licht der neuen Pflichten, die Unternehmen erfüllen müssen, insbesondere die Nachweis- und Rechenschaftspflicht und die in Art. 24 DSGVO enthaltenen Verantwortungen.
Bisherige Aufgaben des Datenschutzbeauftragten
Neue Aufgaben unter der DSGVO
Gemäß § 4g BDSG ist der Datenschutzbeauftragte dafür verantwortlich, auf die Einhaltung des BDSG und anderer Vorschriften, die sich auf das Thema Datenschutz beziehen, hinzuwirken. Einige seiner Aufgaben bestehen darin, die ordnungsmäßige Anwendung der Datenverarbeitungsprogramme zu überwachen, die Verarbeitung personenbezogener Daten tätigen Personen bekannt zu machen und einen Verfahrensverzeichnis zu erstellen und verfügbar zu machen. Der Umfang und die genaue Weise der Ausübung dieser Pflichten wird im einzelnen Fall entschieden und sind mit dem Unternehmen zu besprechen.
Die in § 4g BDSG geregelten Aufgaben des Datenschutzbeauftragten stimmen teilweise mit den neuen Aufgaben überein, die von Art. 39 DSGVO eingeführt werden. Wenn der Datenschutzbeauftragte seine Tätigkeiten erfüllt, muss er das damit verbundene Riskio berücksichtigen, besonders mit Bezug auf die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung. Weitere Verantwortungen, die mit der Verordnung eingeführt werden, sind die folgenden:
Der Datenschutzbeauftragte soll den Verantwortlichen und den Auftragsverarbeiter über ihre Pflichten unter der Verordnung informieren. (Art. 39 Abs. 1 lit. a)
Der Datenschutzbeautragte muss ordnungsgemäß und frühzeitig in alle mit dem Schutz personenbezogener Daten zusammenhängenden Fragen eingebunden werden. (Art. 38 Abs. 1)
Der Datenschutzbeauftragte ist verpflichtet, unmittelbar der höchsten Managementebene zu berichten. (Art. 38 Abs. 3)
Der Datenschutzbeauftragte soll nach Anfrage von betroffenen Personen eine Beratungsfunktion ausüben. (Art. 38 Abs. 4) Zusätzlich ist er verantwortlich dafür, die Unternehmen über die Datenschutz-Folgenabschätzung und die ausgeübte Überwachung zu beraten. (Art. 39 Abs. 1 lit. c)
Der Datenschutzbeauftragte hat die Aufgabe, die Einhaltung der datenschutzrechlichen Regelungen, sowie die Strategien des Verantwortlichen und des Auftragsverarbeiters für den Schutz perosnenbezogener Daten zu überwachen. (Art. 39 Abs. 1 lit. b)
Der Datenschutzbeauftragte nimmt es vor, die an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen zu schulen und zu sensibilisieren. (Art. 39 Abs. 1 lit. b)
Weiterhin muss der Datenschutzbeauftragte der Ansprechspartner für die Aufsichtsbehörde sein und mit ihr zusammenarbeiten, besonders im Bezug auf der vorherige Konsultation (Art. 36) und alle sonstige Fragen. (Art. 39 Abs. 1 lit. d, e)
Die Grundsätze der DSGVO sind in Art. 5 enthalten und beschreiben Regelungen über die Verarbeitung personenbezogener Daten. Nach dem Text des Artikels muss die Verarbeitung nach Treu und Glauben, rechtmäßig und transparent stattfinden, sodass die betroffenen Personen ausreichend darüber informiert sind. Zusätzliche Grundsätze, die der Verantwortliche und der Auftragsverarbeiter beachten müssen, sind die Zweckbindung, die Datenminimierung, die Richtigkeit, die Speicherbegrenzung und die Integrität und Vertraulichkeit. Um diesen Anforderungen der Verordnung zu entsprechen, sind Unternehmen gezwungen ein effektives und funktionierendes Datenschutz-Management-System zu schaffen.
Für Unternehmen schafft die DSGVO Neuerungen, die einen erheblichen Aufwand erzeugen werden. Der Text des Art. 24 DSGVO erfordert, dass der Verantwortliche technische und organisatorische Maßnahmen, bei Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen implementiert, um sicherzustellen und nachzuweisen, dass die Verarbeitung gemäß der Vorschriften der Verordnung erfolgt. Dabei besteht auch der Bedarf der Überprüfung und Aktualisierung dieser Maßnahmen, wenn es für notwendig gehalten wird.
Um die gesetzlichen Vorgaben des Art. 24 zu erfüllen, ist es für den Verantwortlichen nötig, die von ihm gewählten Maßnahmen und ihre Wirksamkeit ausführlich zu dokumentieren, besonders wegen der im Art. 5 Abs. 2 enthaltenen Rechenschaftspflicht. Es kommt dabei zu einer Beweislastumkehr, wobei die Unternehmen die Einhaltung der Pflichten aus der Verordnung beweisen müssen. Die Inhalte der Art. 24 und Art. 5 Abs. 2 geben an, dass jedes Unternehmen ein Datenschutz-Management-System braucht, um effektiv den Schutz personenbezogener Daten zu leisten. Sonst besteht die Gefahr, dass der Verantwortliche mit den in Art. 83 enthaltenen hohen Geldbußen von bis zu 10 oder 20 Mio. oder bis zu 2% oder 4% des gesamten Jahresumsatzes bestraft wird.
Die Datenschutzorganisationen und der Datenschutzbeauftragte sind am meisten für die Funktion der Datenschutz-Management-Systems involviert und verantwortlich. Um die Anforderungen aus der DSGVO zu erfüllen, sollen sie über die Tätigkeiten, Maßnahmen und Prozessen der Unternehmen verfügen und diese detailliert dokumentieren. Als erstes ist es von großer Bedeutung, dass der Datenschutzbeauftragte an der Aufsichtsbehörde eingebunden ist. Dieses passiert nicht nur bei der regelmäßigen Kommunikation zwischen den beiden, sondern auch mittels der Schulungen und Anweisungen zu verschiedenen Themen. Weiterhin ist der Datenschutzbeauftragte sehr nah mit den Tätigkeiten des Unternehmens beschäftigt, besonders in Bezug auf neu eingeführte Technologien und Unternehmensprojekte. Der Datenschutzbeuaftragte in seiner Beratungsfunktion ist dafür verantwortlich, die Fragen der Mitarbeiter im Unternehmen zu beantworten, die Prozesse zu verfolgen, alle Dokumenten zu prüfen und die Datenschutzregelungen klarer zu machen. Zusätzlich muss er einen effektiven und schnellen Kommunikationsweg zum Obermanagement bauen, damit er unverzüglich die im Unternehmen erschienene Probleme lösen kann.
Mit der DSGVO ist der Datenschutzbeauftragte auch unter der Pflicht, die Funktionsweise des Unternehmens zu überwachen. Dieses besteht meistens aus der Folgenabschätzung, der Kontrolle der Verfahren im Unternehmen und der Durchführung einer regelmäßigen Datenschutz-Risikoanalyse. Auch für Betroffene ist der Datenshcutzbeauftragte die Anlaufstelle, woran sie ihre Beschwerden und Auskünfte wenden können. Er ist dann damit beauftragt, diese zu bearbeiten und ein sicheres System für ihre Erfüllung zu gewährleisten. Aber die vielleicht wichtigste Aufgabe des Datenbeauftragten im Unternehmen besteht darin, die Verarbeitung personenbezogener Daten zu verfolgen, besonders bei der Benutzung von Auftragsdatenverarbeitung und Subunternehmen.
Die Schaffung eines Datenschutz-Management-Systems ist nicht eine Aufgabe für die Zukunft, sondern eine Verantwortung für die Gegenwahrt. Es ist für Unternehmen empfehlenswert, schon die Prozesse zur Erfüllung der Vorschriften der DSGVO in Bewegung zu setzen. In Deutschland sind Unternehmen schon mit dem BDSG für die Aufgaben des Datenschutzbeauftragten angepasst, die sich aber mit der Verordnung erweitern werden, besonders im Hinblick auf die Nachweis- und Rechenschaftspflichten.

References: Art. 24
 § 4
 § 4
 Art. 39
 Art. 5
 Art. 24
 Art. 24
 Art. 5
 Art. 24
 Art. 5
 Art. 83