Auch ab 2018 unter dem Geltungsbereich der EU-DSGVO bleibt uns der betriebliche Datenschutzbeauftragte erhalten.  Das BayLDA hat sich daher im 19ten Teil seiner Reihe zur Umsetzung der Datenschutzgrundverordnung in einem Whitepaper mit den Themen Benennung, Stellung, Aufgaben und Verantwortung des DSB beschäftigt.

WANN IST EIN DSB ZU BESTELLEN?

Nach der DS-GVO sind Datenschutzbeauftragte verpflichtend zu benennen bei:

• Behörden und sonstigen öffentlichen Stellen,
• einer Kerntätigkeit mit umfangreicher oder systematischer Überwachung von Personen oder
• einer Kerntätigkeit mit umfangreicher Verarbeitung besonderer Kategorien von Daten.

Die Eingrenzung in der DS-GVO auf diese drei Fälle wird bei uns aber kaum eine Rolle spielen, da die DS-GVO-Regelung zur DSB-Pflicht nach dem „BDSG-neu“ für Deutschland wohl im Wesentlichen so erweitert wird, dass sie dem bisherigen § 4 f Abs. 1 BDSG weitestgehend entspricht: Der DSB wird also aufgrund seiner beruflichen Qualifikation und insbesondere seines Fachwissens auf dem Gebiet des Datenschutzes und der Datenschutzpraxis sowie seiner Fähigkeit, die
gesetzlichen Aufgaben zu erfüllen, benannt. Er kann Beschäftigter oder Externer (mit Dienstleistungsvertrag) sein. Die Kontaktdaten des DSB sind (z. B. in der Datenschutzerklärung) zu veröffentlichen und der Aufsichtsbehörde mitzuteilen.

STELLUNG DES DATENSCHUTZBEAUFTRAGTEN

Es muss sichergestellt werden, dass der DSB ordnungsgemäß und frühzeitig in alle Datenschutzfragen eingebunden wird. Auch muss er bei der Erfüllung seiner Aufgaben mit den erforderlichen Ressourcen, einem Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie zur Erhaltung seines Fachwissens unterstützt werden. Für den internen DSB bedeutet dies, dass er regelmäßig geschult und dazu von der Unternehmensleitung freigestellt werden muss und ihm auch ein erheblicher Anteil seiner Arbeitszeit für diesen Posten eingeräumt werden muss.
Der Verantwortliche muss die Weisungsfreiheit des DSB bei der Erfüllung seiner Aufgaben sicherstellen. Der DSB darf wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden. Er berichtet unmittelbar der höchsten Managementebene des Verantwortlichen. Der DSB ist bei der Erfüllung seiner Aufgaben zur Wahrung der Geheimhaltung oder Vertraulichkeit verpflichtet. Der Verantwortliche muss zudem sicherstellen, dass bei einem nebenamtlichen DSB keine Interessenkonflikte auftreten. Er darf also im Falle des internen DSB nicht in die Situation kommen, sich selbst überprüfen zu müssen. Für den externen DSB gilt aber das gleiche – hier kann es problematisch werden, wenn der Firmenanwalt auch den Datenschutzbeauftragten machen soll, da Anwalt nur schwerlich neutral sein und gleichzeitig die Interessen seines Auftraggebers wahren kann.

AUFGABEN DES DSB

Der DSB hat in Zukunft folgende Aufgaben:

• Unterrichtung und Beratung des Verantwortlichen und der Beschäftigten, die Verarbeitungen durchführen, hinsichtlich ihrer Datenschutz-Pflichten;
• Überwachung der Einhaltung der Datenschutzvorschriften sowie der Strategien des Verantwortlichen für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen;
• Beratung im Zusammenhang mit der Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO und Überwachung ihrer Durchführung;
• Zusammenarbeit mit der Aufsichtsbehörde;
• Anlaufstelle für die Aufsichtsbehörde.
• Beratung der betroffenen Personen zu allen mit der Verarbeitung ihrer personenbezogenen Daten und mit der Wahrnehmung ihrer Rechte gemäß DS-GVO im Zusammenhang stehenden Fragen.

Der Verantwortliche kann dem DSB aber auch noch weitere Aufgaben aus der DS-GVO übertragen (soweit dadurch keine Interessenkollision entsteht), wie z. B. Führung des Verzeichnisses nach Art. 30 oder Auskunftserteilungen nach Art. 15.

VERANTWORTUNG UND ARBEIT DES DSB

Wie das BayLDA in seinem Papier erklärt, bewirkt die Überwachungspflicht des DSB nicht, dass er im Fall der Nichteinhaltung von Datenschutzvorschriften persönlich zur Verantwortung gezogen werden kann. Der DSB muss in der Lage sein, mit Betroffenen wirksam zu kommunizieren und mit den zuständigen Aufsichtsbehörden effektiv zusammenzuarbeiten. Dies bedeutet, dass die Kommunikation in der bzw. den von den Aufsichtsbehörden und dem Betroffenen verwendeten Sprache(n) erfolgen muss; hierzulande also in Deutsch.

IM FALLE EINES VERSTOSSES

Verletzungen der Vorschriften zum DSB aus Art. 37 bis 39 DS-GVO, wie z. B. die Nicht-Benennung eines DSB, unzureichende Unterstützung oder Benachteiligung des DSB, sind nach Art. 83 Abs. 4 a DS-GVO mit Geldbuße bedroht. Im Klartext: „Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist“