Externer Datenschutz­beauftragter für Unternehmen

Wann brauche ich für meine Website einen Datenschutzbeauftragten?

Die Pflicht zur Bestellung eines Datenschutzbeauftragten (DSB) ergibt sich in Deutschland sowohl aus der Datenschutzgrundverordnung (DSGVO) als auch aus dem Bundesdatenschutzgesetz (BDSG).

Ab wann braucht ein Unternehmen einen Datenschutzbeauftragten? Einen Datenschutzbeauftragten brauchst du, wenn: 

1. Mindestens 20 Personen in deinem Unternehmen ständig mit der Verarbeitung personenbezogener Daten beschäftigt sind. Dazu zählen auch Aushilfen, Praktikanten oder Freelancer. 
2. Die Kerntätigkeit deines Unternehmens in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten liegt (z. B. Gesundheitsdaten). 
3. Die Kerntätigkeit deines Unternehmens in der regelmäßigen und systematischen Überwachung von Personen besteht (z. B. Videoüberwachung). 
4. Dein Unternehmen eine Behörde oder öffentliche Stelle ist (außer Gerichte im Rahmen ihrer justiziellen Tätigkeit). 
5. Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist, weil besonders risikoreiche Datenverarbeitungen stattfinden (z. B. umfangreiche Videoüberwachung öffentlich zugänglicher Bereiche). 
6. Personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung oder für Markt- bzw. Meinungsforschung verarbeitet werden, unabhängig von der Mitarbeiterzahl.

Datenschutzbeauftragter für kleine Unternehmen: Die Pflicht für einen Datenschutzbeauftragten gilt auch für kleinere Unternehmen, wenn sie besonders risikoreiche oder sensible Daten verarbeiten. Wenn du als Privatperson oder Kleinunternehmer nur eine Website betreibst, brauchst du in der Regel keinen Datenschutzbeauftragten. 

Aber: Auch wenn keine Pflicht besteht, kann die freiwillige Benennung eines Datenschutzbeauftragten sinnvoll sein, um Datenschutzrisiken zu minimieren und die Einhaltung der DSGVO sicherzustellen.

Datenschutzbeauftragten für Unternehmen

Der Schutz personenbezogener Daten spielt für Unternehmen immer eine Rolle. Besonders im Internet und im E-Commerce gelten spezifische Anforderungen für Unternehmen. In einigen Fällen verlangt der Gesetzgeber sogar die Bereitstellung eines DSGVO Datenschutzbeauftragten. Wer den Datenschutz auf die leichte Schulter nimmt, kann schnell ins Fadenkreuz findiger Abmahnanwälte geraten.

Besonders wenn sich die gesetzlichen Bestimmungen im Datenschutz ändern, müssen Unternehmen, Online-Händler und Website-Betreiber nachziehen, um den aktuellen Bestimmungen gerecht zu werden. In manchen Fällen kann ein Verstoß gegen das BDSG (Bundesdatenschutzgesetz) sowie gegen die Datenschutzgrundverordnung (DSGVO) vorliegen und die Verhängung eines Bußgeldes zur Folge haben. Ein externer Datenschutzbeauftragter für Unternehmen kann helfen, diese rechtlichen Probleme zu vermeiden.

Ich habe schon eine Datenschutzerklärung, reicht diese nicht aus?

Website- und Onlineshop-Betreiber sind laut § 13 Digitale-Dienste-Gesetz (DDG) sowie der DSGVO verpflichtet, Nutzer über die geltenden Datenschutzbestimmungen sowie ihre Rechte zu informieren und unter anderem auszuweisen, welche Daten erhoben werden. Die Notwendigkeit eines Datenschutzbeauftragten ist unabhängig von der Bereitstellung der Datenschutzerklärung. Wurde ein Datenschutzbeauftragter bestellt, sind er und seine Kontaktdaten in der Datenschutzerklärung anzugeben.

Wissenswertes zum Thema Datenschutzbeauftragter

Wie oft muss der Datenschutz überprüft werden? 

Der Datenschutz muss regelmäßig überprüft werden. Die DSGVO schreibt vor, dass die Wirksamkeit der technischen und organisatorischen Maßnahmen (TOM) zur Datensicherheit fortlaufend kontrolliert, bewertet und bei Bedarf angepasst werden muss. Wie oft das konkret geschieht, hängt von der jeweiligen Maßnahme und dem Risiko ab: Für manche Maßnahmen reicht eine jährliche Überprüfung, andere (wie Firewalls oder Zugriffsprotokolle) sollten deutlich häufiger, zum Teil sogar täglich oder automatisiert, kontrolliert werden. Wichtig ist, dass für jede Maßnahme ein sinnvolles Prüfintervall festgelegt wird und alle Kontrollen dokumentiert werden.

Brauchen Vereine einen Datenschutzbeauftragten?

Für Vereine gelten die gleichen Voraussetzungen wie für Unternehmen. Wenn das Kerngeschäft des Vereins, die Verarbeitung personenbezogener Daten ist oder mehr als 20 Personen ständig personenbezogene Daten verarbeiten, braucht er einen Datenschutzbeauftragten.

Wie wird der Datenschutzbeauftragte bestellt?

Der DSGVO Datenschutzbeauftragte muss gem. Art. 37 DSGVO vom Unternehmen benannt werden. Es kann eine interne Person mit der Aufgabe betraut werden. Alternativ ist auch ein Vertragsschluss mit einem externen Datenschutzbeauftragten möglich. In jedem Fall muss der Datenschutzbeauftragte in der Datenschutzerklärung genannt und der Aufsichtsbehörde mitgeteilt werden.

Welche Qualifikation muss ein Datenschutzbeauftragter haben?

Es gibt keine spezielle Berufsausbildung zum Datenschutzbeauftragten. Die benannte Person muss jedoch die in Art. 37 Absatz 5 DSGVO genannten Voraussetzungen erfüllen.

1. Berufliche Qualifikation
2. Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis
3. Fähigkeit zur Erfüllung seiner Aufgaben

Die Wahl des Datenschutzbeauftragten muss gegebenenfalls den Datenschutzbehörden erklärt werden. Dies ist leichter, wenn der Datenschutzbeauftragte seine Kenntnisse beispielsweise durch ein Zertifikat vom TÜV oder der IHK nachweisen kann. Wichtig ist darüber hinaus, dass die Benennung zu keinem Interessenkonflikt führt. Ein Geschäftsführer ist deshalb als Datenschutzbeauftragter ungeeignet.

Welche Aufgaben und Pflichten hat ein Datenschutzbeauftragter nach DSGVO?

Die Aufgaben und Pflichten des Datenschutzbeauftragten sind in Artikel 39 DSGVO festgelegt.

1. Der Datenschutzbeauftragte muss den Auftragsverarbeiter und alle Beschäftigten, die personenbezogene Daten verarbeiten, über ihre Pflichten bezüglich des Datenschutzes unterrichten und beraten. "Unterrichten" meint das zur Verfügung stellen von Informationen und gegebenenfalls die Klärung offener Fragen. "Beraten" bezeichnet die Hilfestellung bei der Lösung konkreter Probleme.
2. Er hat die Einhaltung der Datenschutzvorschriften zu überwachen. Der Wortlaut der DSGVO schließt neben der DSGVO selbst ausdrücklich alle anderen Datenschutzvorschriften der Europäischen Union und der Mitgliedstaaten ein. Diese Aufgabe ist sehr umfangreich. Selbst in einem kleinen Unternehmen werden regelmäßig von verschiedenen Personen und Abteilungen zahlreiche Daten verarbeitet. Es ist empfehlenswert die Überwachungstätigkeit zu dokumentieren. So können sowohl das Unternehmen selbst als auch die Aufsichtsbehörde überprüfen, ob der Datenschutzbeauftragte seiner Arbeit nachkommt.
3. Zu seinen Aufgaben gehört auch die Bekanntmachungen neuer gesetzlicher Vorgaben und interner Richtlinien zur Arbeit mit personenbezogenen Daten. Die Organisation von Schulungen fällt dagegen in den Aufgabenbereich des Unternehmens. Da diese beiden Bereiche eng miteinander verknüpft sind, ist im Rahmen von Datenschutz-Schulungen eine enge Zusammenarbeit zwischen Unternehmen und Datenschutzbeauftragten empfehlenswert. Im Rahmen unseres DSGVO Pakets übernimmt dies auch Ihr externer Datenschutzbeauftragter vom Händlerbund.
4. Der Datenschutzbeauftragte ist der Ansprechpartner für Fragen zum Datenschutz. Alle internen Personen sollten beispielsweise auf einem Beiblatt zum Vertrag seine Kontaktdaten erhalten und über sein Aufgabenfeld informiert werden. Er ist auch für die Fragen externer Personen zuständig, weshalb seine Kontaktdaten ebenfalls in der Datenschutzerklärung genannt werden müssen. Nicht zuletzt hält er auch den Kontakt zur Aufsichtsbehörde.

Der Sinn all dieser Aufgaben und Pflichten ist es, dass der Datenschutzbeauftragte seinen Zweck erfüllt: Er soll dem Unternehmen bei der Selbstkontrolle bezüglich der Einhaltung der Datenschutzvorschriften helfen. Um diese Aufgabe vollumfänglich erfüllen zu können, dürfen ihm diesbezüglich keine Weisungen erteilt werden. Alle Befugnisse dienen jedoch nur der Kontrolle. Er hat nicht das Recht, eigenständig Veränderungen einzuleiten oder den Mitarbeitern oder gar der Geschäftsführung Weisungen zu erteilen. Wenn er Missstände aufdeckt, muss er diese der Geschäftsführung melden. Diese ist für die Verbesserung der Situation zuständig. Die Maßnahmen werden jedoch wiederum vom Datenschutzbeauftragten kontrolliert.

Was ist der Unterschied zwischen einem internen und einem externen Datenschutzbeauftragten?

Ein interner Datenschutzbeauftragter ist ein Mitarbeiter des Unternehmens, der sich die nötige Fachkunde durch Weiterbildungen aneignet, aber nur bei grober Fahrlässigkeit oder Vorsatz haftet. Ein externer Datenschutzbeauftragter ist ein externer Dienstleister oder eine spezialisierte Firma, die zertifizierte Fachkenntnisse und viel Praxiserfahrung mitbringt. Er ist ein objektiver Ansprechpartner, dessen Haftung meist vertraglich geregelt wird. 

Haftet der Datenschutzbeauftragte selbst für Datenschutzverstöße?

Die DSGVO lässt die Haftung des Datenschutzbeauftragten größtenteils offen. Viele Fragen werden derzeit diskutiert und müssen noch von der Rechtsprechung oder dem Gesetzgeber entschieden werden. Feststeht, dass im Außenverhältnis regelmäßig das Unternehmen und seine Geschäftsführer haften. Im Innenverhältnis können Unternehmen Regressansprüche gegen ihre Datenschutzbeauftragten haben. Ein solcher Anspruch kommt beispielsweise bei einer fehlerhaften Beratung in Betracht.

Wie kann ich sicherstellen, dass mein Datenschutzbeauftragter unabhängig agieren kann? 

Um sicherzustellen, dass dein Datenschutzbeauftragter unabhängig agieren kann, solltest du Folgendes beachten:

1. Er darf keine Position im Unternehmen haben, die zu Interessenkonflikten führt (z. B. Geschäftsführung, IT-Leitung, Personal- oder Marketingleitung).
   
2. Die Unabhängigkeit sollte intern und extern klar kommuniziert und vertraglich geregelt sein.
   
3. Er benötigt uneingeschränkten Zugang zu allen relevanten Informationen und Systemen.
   
4. Er ist direkt der Unternehmensleitung unterstellt und berichtet unmittelbar an sie.
   

Wie läuft die Zusammenarbeit mit einem Datenschutzbeauftragten ab?

Der Datenschutzbeauftragte berät und unterstützt bei allen Datenschutzfragen. Außerdem: 

1. prüft und überwacht er die Einhaltung der Datenschutzvorgaben 
   
2. schult er Mitarbeitende und sensibilisiert sie für Datenschutzthemen 
   
3. fungiert er als Ansprechpartner für interne und externe Datenschutzanfragen 
   
4. stimmt er sich regelmäßig mit der Geschäftsleitung ab und erstellt entsprechende Berichte