Source: https://diercks-digital-recht.de/2017/04/der-datenschutzbeauftragte-insbesondere-im-hinblick-auf-die-eu-datenschutzgrundverordnung-dsgvo-teil-8-zur-eu-dsgvo/
Timestamp: 2019-10-18 16:45:12
Document Index: 311376213

Matched Legal Cases: ['§ 4', 'Art. 37', '§ 38', 'Art. 37', 'Art. 37', '§ 38', '§ 6', '§ 38', '§ 4', 'Art. 39', '§ 38', '§ 6', '§ 7', '§ 7', 'Art. 39', '§ 4', 'Art. 39', 'Art. 38', '§ 38', '§ 6', 'in dubio']

Der Datenschutzbeauftragte, insbesondere im Hinblick auf die EU-Datenschutzgrundverordnung (DSGVO) – Teil 8 zur EU-DSGVO | Diercks Digital Recht
Wo kommen Datenschutzbeauftragte nach (derzeitiger) Rechtslage bis zum 25. Mai zum Einsatz?
Die Pflicht zur schriftlichen Bestellung eines DSB spätestens einen Monat nach Aufnahme der betrieblichen Tätigkeit ergibt sich aus dem Bundesdatenschutzgesetz (BDSG, § 4f; zukünftig Art. 37 DSGVO, § 38 BDSG-neu) und greift immer dann, wenn personenbezogene Daten automatisiert – also unter dem Einsatz von Datenverarbeitungsanlagen wie z.B. einem PC – oder nicht-automatisiert, sprich manuell, verarbeitet werden. Das dürfte erstmal auf alle Betriebe zutreffen und deshalb legt das Gesetz einige Ausnahmen von der Bestellpflicht fest.
Die DSGVO enthält in Art. 37 Regelungen zum Datenschutzbeauftragten. Danach soll eine Verpflichtung zur Bestellung durch nicht-öffentliche Stellen grundsätzlich nur dann bestehen, wenn die Kerntätigkeit des Unternehmens die Verarbeitung besonders sensibler Daten (z.B. Gesundheitsdaten) oder eine systematische Überwachung von betroffenen Personen ist.
Doch nicht ohne Grund wird hier der Konjunktiv gewählt. Den Mitgliedstaaten wird nämlich in Art. 37 Abs. 4 DSGVO die Möglichkeit eröffnet, von diesen Bestimmungen abzuweichen. Und wie das „Datenschutz-Anpassungs- und –Umsetzungsgesetz EU“ (DSAnpUG-EU) zeigt, hat der deutsche Gesetzgeber von dieser Möglichkeit mit dem § 38 i.V.m. § 6 BDSG-neu Gebrauch gemacht. § 38 des neuen BDSG, der vorsieht, das ergänzend zu den EU-Regelungen bereits bei einer ständigen automatisierten Verarbeitung durch mindestens zehn Personen ein Datenschutzbeauftragter zu bestellen ist. Unabhängig von der Zahl der Personen, die mit der Verarbeitung beschäftigt sind, ist ein Unternehmen darüber hinaus verpflichtet, einen Datenschutzbeauftragten zu bestellen, wenn der Verantwortliche verpflichtet ist, eine Datenschutzfolgeabschätzung (DSFA) durchzuführen oder, wenn es sich bei dem Unternehmen um ein Markt- und Meinungsforschungsinstitut handelt. Kurzum, der Geist des § 4f BDSG wird weiterleben.
Das bedeutet, dass die bisherige Regelung im Hinblick Bestellpflicht eines Datenschutzbeauftragten hier in Deutschland faktisch bestehen bleibt.
Und hier liegt eine wesentliche Änderung. War der DSB bisher nur dazu verpflichtet, auf die Einhaltung datenschutzrechtlicher Vorschriften „hinzuwirken“, so müssen diese nun nach Art. 39 Abs. 1 lit. c DSGVO bzw. § 38 Abs. 2 i.V.m. § 6 Abs. 2 i.V.m. § 7 BDSG-Neu überwacht werden. Dass darunter auch tatsächlich eine generelle überwachende Tätigkeit verstanden werden muss, statuiert § 7 Abs. 1 Nr. 2 BDSG-neu. Beachten Sie, mit einer Ausweitung der Verpflichtung erfolgt auch die Ausweitung der Haftung des Datenschutzbeauftragten (dazu unten mehr).
Darüber hinaus gilt es die Einhaltung dieser Pflichten durch regelmäßige Kontrollen der Verarbeitungsprogramme zu überwachen und damit betraute Personen im Hinblick auf die Durchführung und Überwachung zu schulen und – das ist neu – zu sensibilisieren (Art. 39 Abs. 1 lit. c DSGVO). Neu ist auch, dass der DSB künftig weder für die Durchführung von Datenschutz-Vorabkontrollen (ab 2018 „Datenschutzfolgeabschätzung“) noch für die Erstellung von Verfahrensverzeichnissen verantwortlich sein wird; hierfür ist nun explizit das Unternehmen selbst verantwortlich. Zu seinen Aufgaben wird jedoch gehören, die verantwortlichen Stelle dabei zu beraten und sie zu überwachen. Zudem wird die Zusammenarbeit mit den Datenschutzbehörden intensiviert, indem aus der im BDSG enthaltenen optionalen Zusammenarbeit (§ 4g Abs. 1 S. 2,3) nun eine Pflicht wird (Art. 39 Abs. 1 lit. d,e DSGVO). Außerdem regelt Art. 38 IV DSGVO, dass der DSB künftig als Ansprechpartner für Betroffene fungieren soll. Zusammengefasst ergibt sich daraus folgendes Aufgabenspektrum:
Diese Aufgabenerfüllung ist nur dann sinnvoll möglich, wenn der DSB unabhängig von der zu kontrollierenden Stelle agieren kann. Er darf im Hinblick auf die Erfüllung der Aufgaben deshalb nicht weisungsgebunden sein und aus Gründen der DSB-Tätigkeit nicht abberufen oder benachteiligt werden. Auch der Sonderkündigungsschutz nach §§ 38 Abs. 4, 6 Abs. 4 BDSG-neu bleibt bestehen. Der Grund hierfür ist auch weiterhin in der besonderen Stellung des Datenschutzbeauftragten zu sehen. Er soll seine Tätigkeit weisungsunabhängig und frei durchführen können. Dies wäre schwerlich möglich, wenn die Geschäftsführung dem Datenschutzbeauftragten in seiner Arbeit durch eine ständig schwebende Kündigungsandrohung behindern würde. Es bleibt es aber auch dabei, dass der DSB unmittelbar der höchsten Managementebene unterstellt wird und dass sich – naturgemäß – aus der Tätigkeit Geheimhaltungs- und Vertraulichkeitspflichten ergeben. Wie dies mit einer verstärkten Zusammenarbeit mit den Datenschutzbehörden in Einklang zu bringen ist, wird sich künftig zeigen müssen.
Der DSB steht den Betroffenen bei der Wahrnehmung ihrer Rechte als Beratungs- und Anlaufstelle zur Verfügung und besitzt diesbezüglich ein Schweigerecht. (§ 6 Abs. 5 BDSG-neu)
Gemeint ist damit das Folgende: Bekleidet etwa der Unternehmensinhaber oder Geschäftsführer gleichzeitig das Amt des DSB, liegt die Vermutung nahe, dass im Zweifel primär wirtschaftliche und weniger datenschutzrechtliche Interessen verfolgt werden. Die fehlende Distanz zwischen Unternehmen und dem DSB als Kontroll- und Überwachungsinstanz fehlt auch bei Leitern der IT-Abteilung. Denn IT-Leiter müssen die Datenverarbeitungsprozesse nach unternehmerischen Vorgaben und im Interesse einer Optimierung für das Unternehmen betreiben. Das dies im Konflikt damit steht, diese Prozesse unter datenschutzrechtlichen und -technischen Gesichtspunkten zu überwachen und im Zweifel zu begrenzen, ist wohl nur allzu offensichtlich. (Beim IT-Sicherheitsbeauftragten hingegen spricht dann nichts gegen eine Bestellung, wenn seine Funktionen von der IT-Abteilung losgelöst sind.) Ein Interessenkonflikt liegt in der Regel auch bei Leitern der Rechtsabteilung vor. Trotz des vielleicht ausreichenden rechtstechnischen Fachwissens liegt es hier nahe, dass dieser die oftmals interpretationsbedürftigen Gesetze in dubio pro Arbeitgeber und damit zum Nachteil des Betroffenenschutzes ausgelegen dürfte. Auch hier ist der Interessenskonflikt also offensichtlich. Und all dies gilt im Ergebnis nach überwiegender Auffassung auch für den Personalleiter eines Unternehmens.
Interne oder externe Bestellung?
Hier gibt es kein richtig und kein falsch. Wichtig sind nur zwei Dinge: Zum einen darf keiner der eben erörterten Interessenskonflikte bestehen. Es wäre also ebenso unklug den IT-Leiter als interne wie den langjährig beratenden Anwalt als externe Lösung zu favorisieren. Zum anderen sollte den – aus Marketing-Gründen verständlichen – Lockungen der vielen Anbieter externer Datenschutzbeauftragung, welche vor allem mit den „Ersparnissen“ und der „Haftungsauslagerung“ winken, kritisch gegenüber gestanden werden. Ein Datenschutzbeauftragter braucht – gerade zu Beginn – Zeit. Zeit sich in die Prozesse einzufinden (Call it „Audit“, if you like), diese zu strukturieren und alles, was damit zu tun hat datenschutzrechtlich und -technisch auf die richtigen Füße zu stellen. Nun ist leicht vorstellbar, dass ein externer DSB im Hinblick auf (das Dirigieren) dieses Audit aufgrund mangelnder Kenntnisse der Betriebsabläufe nicht zwingend schneller ist. Und auch wenn die Prozesse gesetzt sind, ergeben sich nun einmal naturgemäß ständig Änderungen und Fragen dazu. All dies lässt sich natürlich ganz wunderbar auch von und mit externen DSB be- und abarbeiten. Nur glauben Sie aber bitte nicht, dass es da mit einem Retainer über 150,00 EUR im Monat getan sein wird. Diese „Feigenblatt“-Beauftragung sieht gegenüber dem Unkundigen sicher gut aus, wenn aber die Datenschutzbehörde bei Ihnen – aus welchen Gründen auch immer – auf dem Hof, bzw. im Datenraum steht, dann wird das kaum etwas helfen. Denn mit 150,00 EUR im Monat kann kein Datenschutzbeauftragter seinen umfänglichen Verpflichtungen, wie etwa der Überwachung der Einhaltung des Datenschutzes nachkommen. Und ach ja, noch zur „Auslagerung der Haftung“: Wie Sie oben gelesen haben, ist es mit der Auslagerung der Haftung unter DSGVO endgültig gar nicht mehr weit her…
*Tobias Hinderks studiert Rechtswissenschaften an der Universität Hamburg und ist daneben seit April 2018 als studentischer Mitarbeiter in der Anwaltskanzlei Diercks tätig.