Source: http://s-m-p.at/index.php/aktuelles/486-information-zum-datenschutzbeauftragten-nach-der-dsgvo?09a9c4a9fb6528d9fb0c210cd62eb803=bcd01e7fecd6524f28312862b5e73fb4
Timestamp: 2019-06-19 01:36:04
Document Index: 184481595

Matched Legal Cases: ['Art. 29', 'Art. 29', 'Art 29', 'Art. 9', 'Art. 10', 'Art 37', 'Art 37', 'Art. 33', 'Art 29']

Schweiger | Mohr | Partner - Rechtsanwälte - Information zum Datenschutzbeauftragten nach der DSGVO
Start Aktuelles Information zum Datenschutzbeauftragten nach der DSGVO
Information zum Datenschutzbeauftragten nach der DSGVO
Richtlinien der Art. 29 WP der EU (13.12.2016) – 1. Teil
Die Art. 29 Working Party hat am 13.12.2016 „Richtlinien betreffend Datenschutzbeauftragte („DSB“)“ („Guidelines of Data Protection Officers („DPOs“)“ veröffentlicht
Diese Richtlinie beschäftigt sich auf 18 Seiten (in englischer Sprache) mit der Frage der Notwendigkeit der Bestellung eines DSB, der Rolle des DSB und den Aufgaben. Schon aus der Anzahl der Seiten, die es braucht, um dies darzustellen, ist ersichtlich, dass das Thema „Datenschutzbeauftragter“ im Rahmen der DSGVO komplex ist.
In Österreich ist das Anpassungsgesetz, mit dem das DSG 2000 an die DSGVO, die mit 25.5.2018 wirksam wird, für das 1. Quartal 2017[1] als Entwurf erwartet. Ob in diesem Entwurf von der Möglichkeit Gebrauch gemacht wird – wie z.B. in Deutschland – die Notwendigkeit der Bestellung eines DSB auszuweiten („Öffnungsklausel“) ist derzeit noch nicht absehbar.
Notwendigkeit der Bestellung
Diese sind nach der DSGVO verpflichtet, einen DSB zu bestellen.
Die Frage, ob eine „öffentliche Stelle“ vorliegt, richtet sich nach den nationalen gesetzlichen Bestimmungen.
Die Art 29 WP geht davon aus, dass auch „Unternehmen“, die öffentliche Aufgaben („public tasks“) erfüllen, als „öffentliche Stellen“ angesehen werden können, und daher einen DSB bestellen müssen. Explizit werden dabei z.B. öffentlicher Verkehr, Wasser- und Energieversorgung, öffentlicher Rundfunk, Straßeninfrastruktur als öffentliche Aufgaben genannt. Anhaltspunkte zur Definition finden sich mE im Bereich des öffentlichen Vergaberechts.
Es werden daher auch öffentliche "Unternehmen" wie z.B. Energieversorger, Verkehrsbetriebe etc... einen Datenschutzbeauftragten zu bestellen haben.
„Kerntätigkeit“:
(Private) Unternehmen sind verpflichtet, einen DSB zu bestellen, wenn die „Kerntätigkeit“ eine bestimmte Tätigkeit umfasst.
„umfangreiche“ Tätigkeit
Liegt die Voraussetzung der „umfangreichen“ Datenverarbeitung als „Kerntätigkeit“ eines Unternehmens vor, dann ist es noch notwendig, festzustellen, welche konkreten Datenarten verarbeitet werden, um entscheiden zu können, ob ein DSB zu bestellen ist.
Verarbeitung von besonderen Datenarten (Art. 9 Daten) oder Daten über strafrechtliche Verurteilungen oder Straftaten (Art. 10 Daten)
Die Verarbeitung “besonderer Datenarten” bzw. Daten über strafrechtliche Verurteilungen und Strafdaten
Wer hat einen DSB zu bestellen; der „Verantwortliche“ oder der „Dienstleister“?
Art 37 DSGVO spricht davon, dass er Verantwortliche oder der Dienstleister dann einen DSB zu bestellen hat, wenn er die festgelegten Kriterien (Arten der Datenverarbeitung; umfangreich; Kerntätigkeit) erfüllt.
Es kann daher sein, dass zwar der Verantwortliche (z.B. wegen Unterschreitens des Merkmals „umfangreich“) keinen DSB zu bestellen hat, sich aber eines Dienstleisters im Rahmen der Verarbeitung der Daten bedient, und dann der Dienstleister, der mehrere gleichartige Kunden betreut, verpflichtet ist, einen DSB zu bestellen, da er eine umfangreiche Datenverarbeitung durchführt.
Kann ein Konzern für mehrere Konzernunternehmen einen DSB bestellen?
Ja es ist möglich; Art 37 (2) DSGVO legt fest, dass eine Unternehmensgruppe einen gemeinsamen DSB bestellen kann, sofern er von jeder Niederlassung leicht erreicht werden kann. Die englische Fassung der DSGVO spricht davon, dass er „easily accessible from each establishment“ sein muss.
Kann der DSB auch ein "Externer" sein?
Der DSB kann sowohl ein Mitarbeiter des Unternehmens sein, der dann "speziellen" Kündigungsschutz genießt, als jemand sein, der nicht beim Unternehmen beschäftigt ist, z.B. ein externer Berater oder auch ein (spezialisierter) Rechtsanwalt.
Sind die Daten des DSB zu veröffentlichen?
Der DSB hat "interne" und "externe" Aufgaben
Er muss als Kontaktperson für die Betroffenen und die Behörde zur Verfügung stehen, da er den Verantwortlichen oder den Dienstleister zu beraten hat.
Weiters muss der DSB auch für die Arbeitnehmer, die die Verarbeitung der personenbezogenen Daten im Unternehmen durchführen, als Berater zur Verfügung stehen.
Aus diesem Grund müssen die Kontaktdaten des DSB auch zur Verfügung stehen.
Die Daten des DSB sind zu veröffentlichen und der Behörde zur Kenntnis zu bringen, um der Behörde und betroffenen Personen die Möglichkeit zu geben, den DSB direkt, unmittelbar und ohne Kontakt zu anderen Personen beim Verantwortlichen und/oder Dienstleister zur kontaktieren.
Bemerkenswert ist, dass es nicht notwendig ist, den Namen des DSB bekannt zu geben. Bei einer Mitteilung an die Behörde aufgrund einer Datenschutzverletzung hat diese gem. Art. 33 (3) b DSGVO den Namen des DSB zu enthalten.
Die Art 29 WP empfiehlt, der Aufsichtsbehörde und den Mitarbeiter/innen des Unternehmens den Namen des DSB mitzuteilen (z.B. im Intranet oder anderen internen Mitteilungen des Unternehmens an die Belegschaft). Ansonsten reicht es offensichtlich aus, Kontaktdaten in folgender Art zur Verfügung zu stellen:
Sie erreichen den Datenschutzbeauftragten wie folgt:
e: dsb@(domain).com
t: ++43 / (0) … / …. - …
f: ++43 / (0) …/ …. - …
zH Datenschutzbeauftragter / Abteilung X
Wie beraten Sie gerne bei Datenschutz-Audits, entwicklen mit Ihnen Datenschutz-Konzepte für das Unternehmen oder beraten auch Betroffene bei der Durchsetzung ihrer Rechte.
[1] Mitteilung eines Mitarbeiters des Bundeskanzleramtes vom 13.1.2017 an den Verfasser