Das Wichtigste zur Benennung betrieblicher Datenschutzbeauftragter in Kürze
- Bei bestimmten Formen der Datenverarbeitung müssen Betriebe einen Datenschutzbeauftragten bestellen, der die Einhaltung des Datenschutzes im Unternehmen kontrollieren und die Mitarbeiter entsprechend schulen soll.
- Ein Datenschutzbeauftragter muss fundierte Kenntnisse nicht nur der Datenverarbeitungsprozesse und der IT-Sicherheit, sondern auch der Datenschutzbestimmungen aufweisen.
- Er kommt durch Benennung bzw. Ernennung in seine Funktion – diese sollte schriftlich erfolgen.
Weitere Informationen zur Benennung des Datenschutzbeauftragten
Wann muss ein Datenschutzbeauftragter bestellt werden?
Inhaltsverzeichnis
In welchen Fällen durch Benennung ein Datenschutzbeauftragter eingesetzt werden muss, ist in Artikel 37 der europäischen Datenschutzgrundverordnung (DSGVO) geregelt. Für Deutschland wurden im Bundesdatenschutzgesetz (BDSG) Präzisierungen im § 38 festgelegt.
Nach der DSGVO müssen Unternehmen nur dann einen Datenschutzbeauftragten bestellen, wenn ihre Kerntätigkeit in einer Datenverarbeitung besteht, welche „eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich“ macht (Art. 37 Abs. 1 lit. b DSGVO).
Darüber hinaus muss eine Ernennung betrieblicher Datenschutzbeauftragter auch dann erfolgen, wenn besondere Arten von personenbezogenen Daten verarbeitet werden oder Angaben über strafrechtliche Verurteilungen und Straftaten (Art. 37 Abs. 1 lit. c DSGVO).
Präzisierungen durch nationales Recht
Zunächst scheint es also, dass nur wenige Unternehmen zur Benennung betrieblicher Datenschutzbeauftragter verpflichtet sind. Die ergänzenden Regelungen in § 38 BDSG weiten aber den Kreis derjenigen Betriebe, die einen Datenschutzbeauftragten benennen müssen, deutlich aus.
Nach § 38 Abs. 1 BDSG müssen nichtöffentliche Verantwortliche und Auftragsverarbeiter grundsätzlich eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benennen, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Unabhängig von der Personenzahl besteht eine Benennungspflicht außerdem in den gesetzlich geregelten Fällen, insbesondere bei bestimmten Verarbeitungen, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, sowie bei bestimmten geschäftsmäßigen Datenverarbeitungen zum Zweck der Übermittlung oder der Markt- und Meinungsforschung. Zudem brauchen auch solche Betriebe, die folgenden Aufgaben nachgehen, einen Datenschutzbeauftragten:
- Verarbeitungen mit verpflichtender Folgenabschätzung
- Geschäftsmäßige Verarbeitung zum Zweck der Übermittlung oder der Markt- und Meinungsforschung
Wer kann Datenschutzbeauftragter werden?
Selbstverständlich muss ein Datenschutzbeauftragter vor seiner Benennung die Voraussetzung erfüllen, die für diese Funktion erforderlich ist. Doch was muss eine solche Person konkret mitbringen?
Art. 37 Abs. 5 DSGVO listet folgende Eigenschaften auf, die ein durch Benennung eingesetzter Datenschutzbeauftragter haben muss:
- berufliche Qualifikation
- Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis
- Fähigkeit zur Erfüllung seiner Aufgaben
Wie sich aus diesen Voraussetzungen auch ergibt, kann nur eine natürliche Person durch Benennung Datenschutzbeauftragter werden, da sich die Art der Qualifikation auf solche Personen beziehen muss. Juristische Personen sind in der DSGVO nicht als Datenschutzbeauftragte vorgesehen.
Zudem erfordert die Benennung betrieblicher Datenschutzbeauftragter keine Mitbestimmung durch den Betriebsrat. Eine Ausnahme besteht dann, wenn die Stellung im Unternehmen intern vergeben wird, also ein Mitarbeiter des Betriebs die Aufgabe des Datenschutzbeauftragten übernehmen soll. In diesem Fall kann sich der Betriebsrat einschalten.
Die Benennung betrieblicher Datenschutzbeauftragter im Detail
Ein Datenschutzbeauftragter kommt durch Benennung bzw. Ernennung in seine Funktion. Wie sieht diese konkret aus?
Es gibt keine konkreten Bestimmungen für die Gestaltung einer solchen Benennung. Ein Datenschutzbeauftragter sollte in einem solchen Dokument aber zumindest über den Beginn seiner Tätigkeit sowie seine wahrzunehmenden Aufgaben unterrichtet werden.
Benennung betrieblicher Datenschutzbeauftragter – eine Vorlage
Im Folgenden stellen wir Ihnen ein Muster für die Benennung betrieblicher Datenschutzbeauftragter zur Verfügung. Dabei spielt es keine Rolle, ob Sie einem Mitarbeiter des Betriebs diese Aufgabe übertragen wollen oder es um die Bestellung externer Datenschutzbeauftragter geht – das Muster lässt sich auf beide Fälle anwenden.
Allerdings ist zu beachten, dass eine solche Vorlage nicht einfach ungeprüft übernommen werden kann. Sie muss stets an den Einzelfall angepasst und ggf. ergänzt werden.
Sehr geehrte Frau / geehrter Herr …,
hiermit bestellen wir Sie gemäß Art. 37 DSGVO und § 38 BDSG mit Wirkung zum [Datum] zur/zum betrieblichen Datenschutzbeauftragten.
Zu Ihren Aufgaben gehören gemäß Art. 39 DSGVO u.a. die Unterrichtung und Beratung in Sachen des Datenschutzes, die Kontrolle der Einhaltung der Datenschutzbestimmungen sowie die Zusammenarbeit mit der Aufsichtsbehörde.
In Ihrer Funktion als betriebliche/r Datenschutzbeauftragte/r sind Sie weisungsfrei.
Mit freundlichen Grüßen
[Unterschrift]
Benennung betrieblicher Datenschutzbeauftragter: Muster zum Download
Laden Sie sich hier die Vorlage zur Benennung betrieblicher Datenschutzbeauftragter kostenlos herunter:
PDF
DOC
Über den Autor
Hallo, hab‘ am Bezirksgericht Verhandlung, weil ich mich gegen 3 Jugendliche verteidigt habe.
Was ich grass finde, dass in der Anklageschrift meine Vorstufen bis 1985 zurück stehen.
Ich finde, das Verstößt gegen den Datenschutz. Vielleicht weiß jemand mehr darüber. Und was kann ich tun. Die Gerichtsverhandlung ist noch am Laufen, weil es kam zu einer Vertagung.
Grüße
Kann ein Mitarbeiter die Bestellung zum Datenschutzbeauftragten ablehnen?
Auftraggeber (Verein) möchte einen externen Datenschutzbeauftragten bestellen. Dieser hat ein Zertifikat für DS von 2014. Ist dies auch ausreichend für die neu DSGVO oder muss er eine Weiterbildung nachweisen.
Hallo Marion,
Personen, die als Datenschutzbeauftragter berufen werden sollen, müssen eine ausreichende Fachkompetenz und Qualifikation mitbringen. Wie sich diese im Einzelfall gestaltet, legt die DSGVO nicht fest, auch nicht, in welchem Rahmen die Kernkompetenzen erworben werden müssen. Fortbildungen, Schulungen und Auffrischungskurse können regelmäßig wahrgenommen werden, um stets auf dem aktuellen Stand zu bleiben. Eine gesonderte Ausbildung oder ein Zertifikat sind für die Tätigkeit jedoch nicht erforderlich.
Die Redaktion von Datenschutz.org