Auch interne Datenschutzbeauftragte müssen den Verantwortlichen in datenschutzrechtlicher Sicht beraten, prüfen und überwachen. Diese Aufgaben können sie nur wahrnehmen, wenn sie zum einen die gesetzlich vorgeschriebene Fachkunde haben, und zum anderen muss sichergestellt werden, dass sie sich nicht selbst überprüfen müssen.
Ein interner Datenschutzbeauftragter, der ein Mitarbeiter des Unternehmens ist, darf nicht auch in anderen datenschutzrelevanten Fachbereichen für das Unternehmen tätig sein. Aufsichtsbehörden haben bereits die Bestellung eines IT-Leiters zum Datenschutzbeauftragten gerügt. Dasselbe dürfte auch für Compliance-Beauftragte und Leiter der Rechtsabteilung gelten. Es sollte aufgrund der erhöhten Bußgelder, die auf Basis der Datenschutzgrundverordnung fällig werden können, geprüft werden, ob der intern bestellte Datenschutzbeauftragte seine datenschutzrechtlichen Aufgaben auch wirksam erledigen kann und darf.
Dr. Bettina Kraft
Teamleitung und Senior Consultant für Datenschutz
Volljuristin
Auch in der Datenschutzgrundverordnung (DSGVO) ist die Pflicht zur Benennung eines Datenschutzbeauftragten für nicht-öffentliche Stellen in Art. 37 Abs. 1 lit. b) und c) DSGVO für folgende Fälle vorgesehen:
- Die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters besteht in der Durchführung von Verarbeitungsvorgängen, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen.
- Die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters besteht in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten i.S.v. Art. 9 Abs. 1 DSGVO oder personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO.
Allerdings sieht Art. 37 Abs. 4, S.1, 2. HS DSGVO eine Öffnungsklausel vor. Danach kann der nationale Gesetzgeber weitere Tatbestände vorsehen, die zu einer Bestellpflicht führen: „In anderen als den in Absatz 1 genannten Fällen können der Verantwortliche oder der Auftragsverarbeiter (…) einen Datenschutzbeauftragten benennen; falls dies nach dem Recht (…) der Mitgliedstaaten vorgeschrieben ist, müssen sie einen solchen benennen.“
Dies hat der deutsche Gesetzgeber getan, und zwar für nicht-öffentliche Stellen in § 38 BDSG-Neu. Ergänzend zu Art. 37 Abs. 1 lit. b) und c) DSGVO gilt gemäß § 38 Abs. 1 BDSG-Neu eine Bestellpflicht für folgende Fälle:
- Der Verantwortliche oder Auftragsverarbeiter beschäftigt in der Regel mindestens 10 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten (§ 38 Abs. 1 S. 1 BDSG-Neu).
- Der Verantwortliche oder Auftragsverarbeiter nimmt Verarbeitungen personenbezogener Daten vor, die einer Datenschutz-Folgenabschätzung i.S.v. Art. 35 DSGVO unterliegen (§ 38 Abs. 1 S. 2 BDSG-Neu); dabei ist es unerheblich, wie viele Personen mit der Datenverarbeitung beschäftigt sind.
- Der Verantwortliche oder Auftragsverarbeiter verarbeitet personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung (§ 38 Abs. 1 S. 2 BDSG-Neu); hier spielt die Anzahl der Personen, die mit der Datenverarbeitung beschäftigt sind, ebenfalls keine Rolle.
Der Verstoß gegen die Pflichten aus Art. 37 DSGVO ist gemäß Art. 83 Abs. 4 lit. a) DSGVO bußgeldbewehrt.
S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.