Source: https://www.datenschutz.rlp.de/de/themenfelder-themen/datenschutz-grundverordung/datenschutzbeauftragter-und-datenschutz-management/
Timestamp: 2018-05-25 23:59:38
Document Index: 299490338

Matched Legal Cases: ['Art. 37', 'Art. 39', 'Art. 39', 'Art. 38', 'Art. 37', 'Art. 38', 'Art. 83', 'Art. 37', 'Art. 38', 'Art. 37', 'Art. 37']

datenschutz.rlp.de | Datenschutzbeauftragter und Datenschutz-Management |
Europaweite Bestellungspflicht (Art. 37 Abs. 1 DS-GVO)
Eine Folge der Datenschutz-Grundverordnung (DS-GVO) ist die erstmalige Einführung einer europaweiten Pflicht für alle Verwaltungen und bestimmte Unternehmen zur Bestellung eines Datenschutzbeauftragten (DSB). Ausgehend von dem risikoorientierten Ansatz der Verordnung erstreckt sich die Bestellungspflicht im privaten Sektor zunächst auf solche Stellen, deren Haupttätigkeit entweder in einer systematischen Überwachung von Personen oder der umfangreichen Verarbeitung besonders schutzbedürftiger Daten besteht (z.B. Adresshändler, Auskunfteien, Internetprovider, Krankenhäuser). Das BDSG weitet diese Pflicht u.a. auf Stellen aus, bei denen in der Regel mindestens 10 Personen personenbezogene Daten automatisiert verarbeiten. Ein Verstoß gegen die Bestellungspflicht kann sanktioniert werden.
Maßgeblich für die Personalauswahl eines DSB ist dessen Fähigkeit, die von der DS-GVO genannten Aufgaben zu erfüllen. Neben profunden Kenntnissen der rechtlichen und technisch-organisatorischen Grundlagen setzt dies insbesondere die Fähigkeit zum Risikomanagement voraus (Art. 39 Abs. 2 DS-GVO). Die Bestellung externer Dienstleister ist weiterhin möglich, nicht in jedem Fall allerdings empfehlenswert. Abhängig von der Größe und Komplexität der Stelle kann die Berufung eines Teams, das aus dem DSB und weiteren Personen besteht, geboten sein.
Aufgabenspektrum des DSB
Künftig wird der DSB neben seiner Beratungsfunktion verstärkt die Rolle eines Compliance-Beauftragten zum Datenschutz einnehmen, der intern nicht nur die Einhaltung der datenschutzrechtlichen Vorgaben überwachen, sondern auch die dazu innerhalb seiner Organisation entwickelten Strategien zum Schutz personenbezogener Daten inhaltlich bewerten soll (Art. 39 Abs. 1 lit. b und c), z.B. bei der Datenschutz-Folgenabschätzung. So überprüft nach dem Willen der Verordnung der DSB dabei z.B. die Datenschutzverträglichkeit der intern getroffenen Zuweisung von Zuständigkeiten oder die zur Sensibilisierung der Beschäftigten durchgeführten Maßnahmen. Allein diese eher risikoorientierten, koordinierenden und bewertenden Aufgaben stellen im Vergleich zu der bisherigen Rechtslage eine gravierende Änderung der praktischen Tätigkeit der DSB und damit auch ihrer internen Rolle dar. Zusammen mit ihrer unmittelbaren Berichtspflicht gegenüber der höchsten Managementebene verfügen die DSB damit über umfassende Einflussmöglichkeiten in den von ihnen betreuten Organisationen.
Datenschutzmanagement/Pflichten des Verantwortlichen
Die mit der Bestellung eines DSB einhergehenden Pflichten des Verantwortlichen werden von der Verordnung deutlich benannt (insbesondere Art. 38 Abs. 1, Abs. 2, Abs. 3, Abs. 6 Satz 2). Für die interne Einbindung des DSB ist bereits die Pflicht zur Veröffentlichung seiner Kontaktdaten bedeutsam (Art. 37 Abs. 7). Inhaltlich mehr Gewicht dürfte allerdings die klare Verpflichtung des Verantwortlichen haben, dem DSB die zur Aufgabenerfüllung erforderlichen Ressourcen und den Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen zur Verfügung zu stellen (Art. 38 Abs. 2). Vor allem die Bereitstellung ausreichender Personalressourcen war in der Vergangenheit in der Praxis selten gewährleistet. Da nach Art. 83 Abs. 4 lit. a u.a. ein Verstoß gegen die Vorgaben der Art. 37 bis 39 mit hohen Bußgeldern sanktioniert werden kann, bleibt zu hoffen, dass künftig DSB angemessen ausgestattet werden. Daneben dürfte vor diesem Hintergrund auch die von der Datenschutz-Grundverordnung explizit verlangte und in die Verantwortlichkeit der Organisation gestellte frühzeitige Einbindung des DSB in alle mit dem Schutz personenbezogener Daten zusammenhängender Fragen (Art. 38 Abs. 1) künftig regelmäßig Beachtung finden.
Mit der Datenschutz-Grundverordnung wird die Rolle des DSB deutlich gestärkt. Dies ist zu begrüßen. Zugleich überträgt der Verordnungsgeber der einzelnen Organisation als der für die Datenverarbeitung verantwortlichen Stelle klare Handlungsaufträge zur Unterstützung des DSB, deren Missachtung sanktioniert werden kann. Datenschutz wird damit in das Bewusstsein aller gerückt – eine Grundvoraussetzung für den effektiven Schutz personenbezogener Daten und des zugrunde liegenden Grundrechts auf informationelle Selbstbestimmung.
Art. 37 – 39 DS-GVO
Leitlinien zur Datenschutz-Folgenabschätzung (DSFA) und Beantwortung der Frage, ob eine Verarbeitung im Sinne der Verordnung 2016/679 „wahrscheinlich ein hohes Risiko mit sich bringt“
Kurzpapier Nr. 12 der Datenschutzkonferenz
Präsentation "Datenschutzbeauftragter nach der DS-GVO"
Meldeformular Datenschutzbeauftragter gem. Art. 37 Abs. 7 DS-GVO