Source: https://www.ihrdatenschutzbeauftragter.de/datenschutz-faq/
Timestamp: 2018-12-10 20:58:17
Document Index: 99536992

Matched Legal Cases: ['§ 4', '§ 43', '§ 3', '§ 4', '§ 4', '§ 35', '§ 13', '§ 38', '§ 1', '§ 43', '§ 43', '§ 44']

Datenschutz-FAQ – Datenschutz-Wiki
Ein externer Datenschutzbeauftragter ist ein zertifizierter Datenschutzexperte, der einem Unternehmen als Dienstleister zur Verfügung steht.
Die Grundlage seiner Tätigkeit ist dabei ein kostentransparenter Dienstleistungsvertrag, dessen Laufzeit variabel festgelegt wird und der auch beendet werden kann.
Der externe Datenschutzbeauftragte wird also im Rahmen eines Dienstleistungsverhältnisses für das Unternehmen tätig. Dabei ist der externe Dienstleister ein zertifizierter und hoch qualifizierter Experte im Datenschutz. Sein Wissen im Datenschutzrecht ist zudem immer auf dem neuesten Stand und sichert dadurch eine hohe Beratungskompetenz. Zur Ausübung seiner Tätigkeit muss der externe Datenschutzbeauftragte neben dem Datenschutzrecht auch mit weiteren Gesetzen wie dem Telekommunikationsgesetz (TKG) und dem Telemediengesetz (TMG) sowie benachbarten Bereichen des IT-Rechts vertraut sein. Ein externer Datenschutzbeauftragter arbeitet praxisorientiert, effizient und ist für das Unternehmen jederzeit verfügbar.
Ein externer Datenschutzbeauftragter lässt sich anhand verschiedener Faktoren von einem internen Datenschutzbeauftragten differenzieren:
Anfallende Kosten für das Unternehmen: Während bei einem internen Datenschutzbeauftragten zusätzlich zum regulären Gehalt Kosten für Aus- und Fortbildung sowie Erwerb von Literatur vom Unternehmen zu investieren sind, hat ein Unternehmen bei einem externen Datenschutzbeauftragten den Vorteil der transparenten Kostenstruktur, da vertraglich alle Kosten vorab definiert werden.
Kompetenz: Während ein interner Datenschutzbeauftragter zunächst zeitintensive und aufwendige Weiterbildungsmaßnahmen zur Erlangung der Fachkunde vornehmen muss, kann ein externer Datenschutzbeauftragter bereits von Vertragsstart an zertifizierte und sofort abrufbare Fachkunde nachweisen.
Haftung: Ein interner Datenschutzbeauftragter haftet mit der sogenannten beschränkten Arbeitnehmerhaftung, was eine vollumfängliche Haftung des Geschäftsführers zur Folge hat. Im Gegensatz dazu haftet ein externer Datenschutzbeauftragter für seine Beratung, was zu einer Risikominimierung für das Unternehmen führt.
Kündigung: Ein interner Datenschutzbeauftragter unterliegt besonderem Kündigungsschutz, der mit der Stellung des Betriebsrats gleichzustellen ist. Die Beauftragung eines externen Datenschutzbeauftragten kann hingegen fristgerecht mit Kündigung des Vertrags beendet werden.
Gewährleistung des Datenschutzes im Unternehmen
Aufbau und Kontrolle der Datensicherheit im Unternehmen
Management von Reputation und Auftreten des Unternehmens im Bereich Datenschutz
Um die Aufgaben eines Datenschutzbeauftragten zu erfassen, ist ein Blick in das Bundesdatenschutzgesetz (BDSG) nützlich. Daraus ist zu entnehmen, dass der Datenschutzbeauftragte eines Unternehmens auf die Einhaltung des BDSG und anderer Vorschriften zum Datenschutz hinwirkt (§ 4g I 1 BDSG). „Hinwirken“ bedeutet in diesem Kontext, dass der Datenschutzbeauftragte für die Umsetzung der Vorschriften nicht selbst verantwortlich ist. Vielmehr hat der Datenschutzbeauftragte die Aufgabe, geeignete Maßnahmen zu ergreifen, um sicherzustellen, dass die geltenden Datenschutzgesetze im Unternehmen jederzeit umgesetzt und befolgt werden. Insbesondere hat der Datenschutzbeaufragte die ordnungsgemäße Anwendung der Datenverarbeitungsprogramme zu überwachen und die im Unternehmen mit der Erhebung personenbezogener Daten beschäftigten Personen mit den gesetzlichen Anforderungen vertraut zu machen.
Ein Datenschutzbeauftragter hat also die Aufgabe, zunächst den Ist-Stand des Datenschutzniveaus in einem Unternehmen zu analysieren und infolge dessen der Geschäftsführung konkrete Vorschläge zur Verbesserung zu unterbreiten.
Wenn die Aufgaben des Datenschutzbeauftragten nicht gesetzeskonform erfüllt werden, ist bei einer internen Bestellung des Datenschutzbeauftragten das Unternehmen für Verstöße gegen datenschutzrechtliche Bestimmungen nach § 43 BDSG selbst verantwortlich. Das bedeutet, dass bei Verstößen eines internen Datenschutzbeauftragten die sogenannte Haftung im Rahmen der beschränkten Arbeitnehmerhaftung greift, was eine vollumfängliche Haftung des Geschäftsführers zur Folge hat. Im Gegensatz dazu mindert die Bestellung eines externen Datenschutzbeauftragen das Risiko für das Unternehmen , da dieser die volle Haftung für die von ihm erbrachte Datenschutzberatung übernimmt.
Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (§ 3 Abs. 1 BDSG). Die Informationen müssen sich also nicht unmittelbar auf eine Person beziehen. Es reicht aus, wenn sie einer Person auf irgendeine Art und Weise zugeordnet werden können.
Unternehmen sollten hinsichtlich der Verarbeitung von personenbezogenen Daten auch die Entwicklung des Datenschutzes weiter beobachten, da die Bundesregierung am 01.02.2017 einen Gesetzesentwurf zur Änderung des BDSG veröffentlicht hat, mit dem die verschärfte europäische Datenschutzgrundverordnung 2016/679 (die ab Mai 2018 in Kraft tritt) in nationale Gesetzgebung umgesetzt werden soll. Der genaue Gesetzestext und die daraus resultierenden Änderungen werden sich dabei erst im Laufe der Zeit ergeben, was eine besondere Aufmerksamkeit der Unternehmen voraussetzt.
Mit Datenverarbeitungsanlagen sind Anlagen zum automatisierten Handhaben von Daten gemeint. Darunter fallen beispielsweise Computer.
Unternehmen, die sich also unmittelbar oder mittelbar mit der Verarbeitung von Daten befassen, fallen unter die allgemeinen Grundsätze des Datenschutzes wie auch unter die spezifischen Regelungen:
Die Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten ist verboten und nur gestattet, soweit es das Gesetz vorsieht oder der Betroffene einwilligt (§ 4 Abs. 1 BDSG).
Größtmögliche Transparenz bei der Erhebung der Daten für den Betroffenen (§ 4 Abs. 3 BDSG)
Es sind nur die Daten zu erheben und zu verarbeiten, die für den Vorgang der Verarbeitung erforderlich und für den Zweck notwendig sind (§ 35 Abs. 2 Nr. 3 BDSG).
Der Betroffene hat gegen den Unternehmer Anspruch auf Auskunft über die gespeicherten Daten (§ 13 Abs.7 TMG).
Unternehmen werden bei der Einhaltung der Datenschutzgesetze von Datenschutz-Aufsichtsbehörden kontrolliert (§ 38 Abs 1 BDSG).
Diese übernehmen die Kontrollrechte gegenüber den Unternehmen und haben auch das Recht Bußgelder zu verhängen.
Die Aufsichtsbehörden für die Privatwirtschaft sind dabei je nach Bundesland unterschiedlichen Behörden zugeordnet.
Das BDSG ist der zentrale und zugleich wichtigste Normenkatalog im deutschen Datenschutzrecht. Nachdem seine ursprüngliche Fassung zum 1. Januar 1978 in Kraft getreten ist, ist es seitdem schon häufiger modifiziert und neugefasst worden. Der Hauptzweck des Bundesdatenschutzgesetzes ist nach § 1 Abs. 1 BDSG der Schutz des Persönlichkeitsrechts des Einzelnen im Umgang mit seinen personenbezogenen Daten. Daraus folgt auch die Regelung einer Vielzahl gesetzlicher Unternehmenspflichten und die Sanktionierung bei deren Nichtbeachtung. Gerade vor dem Hintergrund stetig wachsender digitaler Vernetzung steigt die Relevanz des Bundesdatenschutzgesetzes und die Einhaltung seiner Bestimmungen.
Durch die europäische Datenschutzgrundverordnung (EU-DSGVO) haben Unternehmen nicht nur mit einer Vielzahl neuer Regelungen und neuer Verpflichtungen, sondern bei Verstoß auch mit hohen Geldbußen zu rechnen. Die europäische Datenschutzgrundverordnung ersetzt die Richtlinie 95/46/EG, auf der das Bundesdatenschutzgesetz (BDSG) basiert, und ist ab 28. Mai 2018 unmittelbar anzuwenden. Somit muss das BDSG an die künftig geltende Rechtslage angepasst werden. Dies wurde auch von der Bundesregierung gewürdigt, die am 01.02.2017 einen Gesetzesentwurf zur Änderung des BDSG veröffentlicht hat.
Bußgeldverfahren werden von den Aufsichtsbehörden nach Ermessen durchgeführt (§ 43 BDSG).
Die Höhe der Bußgelder richtet sich dabei nach der Schwere des Verstoßes.
Seit 25. Mai 2018 sind auf Basis der EU-DSGVO Bußgelder bis zu 20.000.000 € möglich.
Das BDSG sieht bei Datenschutzverstößen finanzielle Sanktionen vor. So kann bei schweren Verstößen gemäß § 43 Abs. 3 BDSG ein Bußgeld bis zu einer Höhe von 300.000 € erhoben werden – vorausgesetzt, dass das Unternehmen aus der Missachtung der Datenschutzbestimmungen einen ökonomischen Vorteil gezogen hat. Ein Bußgeld folgt vor allem bei leichtfertiger Missachtung der Vorschriften im Rahmen der Erhebung, Verarbeitung und Nutzung personenbezogener (Kunden-)Daten. Aber auch Pflichtverletzungen infolge der gesetzlichen Auskunftspflichten können finanziell sanktioniert werden. Geschieht ein solcher Verstoß absichtlich oder gegen Entgelt, kann eine Freiheitsstrafe von bis zu zwei Jahren auf den verantwortlichen Unternehmer zukommen (§ 44 BDSG). Sofern kein betrieblicher Datenschutzbeauftragter bestellt ist, ist dabei immer der Unternehmer beziehungsweise der Geschäftsführer selbst für die Prozesse in seinem Unternehmen verantwortlich.
Abgesehen von diesen gesetzlichen Sanktionsvorschriften können den Unternehmer bei Datenverlust selbstverständlich auch Schadensersatzansprüche von geschädigten Personen treffen. Ein Datenschutzverstoß kann dabei schnell zur Zahlungspflicht erheblicher Summen führen. Unter Umständen kann eine Durchgriffshaftung eine Vollstreckung in das Privatvermögen des Geschäftsführers zur Folge haben. Eine möglicherweise bestehende Versicherung greift dabei bei Gesetzesverstößen nicht.