Der Datenschutzbeauftragte

In vielen Sicherheitsfirmen hängt sein Name am Schwarzen Brett oder steht in der Dienstanweisung, und kaum jemand weiß, was er eigentlich macht. Dabei ist der Datenschutzbeauftragte für dich die wichtigste Anlaufstelle, wenn du unsicher bist: Darf ich diese Aufnahme herausgeben? Was mache ich mit der verlorenen Besucherliste? In der Prüfung kommt er regelmäßig vor, meist mit drei Fragen: Wann muss es ihn geben, was sind seine Aufgaben, und wer trägt am Ende die Verantwortung.

Was im Gesetz steht

Die Grundregeln stehen in der DSGVO in den Artikeln 37 bis 39. Art. 37 regelt, wann ein Datenschutzbeauftragter benannt werden muss, Art. 38 seine Stellung im Unternehmen, Art. 39 seine Aufgaben. Das deutsche BDSG ergänzt das für Unternehmen in §38 und verweist für Kündigungsschutz und Verschwiegenheit auf §6 BDSG.

Wann muss ein Datenschutzbeauftragter benannt werden?

Behörden und andere öffentliche Stellen brauchen immer einen. Für Unternehmen gibt es zwei Wege zur Pflicht.

Nach der DSGVO

Art. 37 Abs. 1 DSGVO verlangt einen Datenschutzbeauftragten, wenn die Kerntätigkeit des Unternehmens in Verarbeitungen besteht, die eine umfangreiche, regelmäßige und systematische Überwachung von Personen erfordern. Gleiches gilt, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonders sensibler Daten liegt, etwa Gesundheitsdaten, oder von Daten über Straftaten. Bei einem Sicherheitsunternehmen, dessen Geschäft zu einem großen Teil aus Videoüberwachung für Kunden oder dem Betrieb einer Leitstelle besteht, kann das schon unabhängig von der Mitarbeiterzahl zutreffen.

Nach dem BDSG

§38 Abs. 1 BDSG legt in Deutschland zusätzlich eine feste Zahl fest: Die Pflicht besteht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Gezählt werden Köpfe, nicht Vollzeitstellen. Ständig beschäftigt ist, wer regelmäßig am Computer mit Kundendaten, Personaldaten oder Dienstplänen arbeitet. Wer nur ab und zu einen Bericht tippt, zählt meist nicht mit.

Unabhängig von jeder Zahl braucht ein Unternehmen einen Datenschutzbeauftragten, wenn es Verarbeitungen durchführt, für die eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO vorgeschrieben ist. Das betrifft zum Beispiel oft die umfangreiche Videoüberwachung öffentlich zugänglicher Bereiche wie Einkaufszentren.

Ältere Lernunterlagen nennen noch eine Schwelle von 10 Personen. Die gilt seit November 2019 nicht mehr.

Intern oder extern

Der Datenschutzbeauftragte kann ein eigener Mitarbeiter sein oder ein externer Dienstleister mit Vertrag (Art. 37 Abs. 6 DSGVO). Er muss Fachwissen im Datenschutzrecht und in der Praxis mitbringen. Seine Kontaktdaten muss das Unternehmen veröffentlichen und der Aufsichtsbehörde mitteilen.

Nicht jeder darf das Amt übernehmen. Andere Aufgaben dürfen nicht zu einem Interessenkonflikt führen (Art. 38 Abs. 6 DSGVO). Wer selbst festlegt, welche Daten wofür verarbeitet werden, kann sich nicht selbst kontrollieren. Der Geschäftsführer oder der Leiter der IT scheiden deshalb in aller Regel aus.

Seine Aufgaben

Art. 39 DSGVO nennt vor allem diese Aufgaben:

• Geschäftsleitung und Beschäftigte über ihre Datenschutzpflichten unterrichten und beraten
• überwachen, ob DSGVO, BDSG und die internen Regeln eingehalten werden, einschließlich Schulungen
• bei der Datenschutz-Folgenabschätzung beraten
• mit der Aufsichtsbehörde zusammenarbeiten und ihre Anlaufstelle sein

Was er nicht ist: der Verantwortliche. Für die Einhaltung des Datenschutzes steht das Unternehmen gerade, also die Geschäftsleitung. Der Datenschutzbeauftragte berät und kontrolliert, er entscheidet nicht. Er kann keine Verarbeitung verbieten und keine Mitarbeiter abmahnen. Diese Unterscheidung ist eine klassische Prüfungsfalle.

Seine Stellung

Damit er unbequeme Dinge sagen kann, schützt ihn das Gesetz besonders:

• Weisungsfrei: Bei der Erfüllung seiner Aufgaben darf ihm niemand Anweisungen geben. Er berichtet direkt an die höchste Leitungsebene (Art. 38 Abs. 3 DSGVO).
• Benachteiligungsverbot: Wegen seiner Arbeit darf er weder abberufen noch benachteiligt werden.
• Kündigungsschutz: Ist die Benennung Pflicht, darf ein interner Datenschutzbeauftragter nur aus wichtigem Grund abberufen werden. Eine ordentliche Kündigung seines Arbeitsverhältnisses ist ausgeschlossen, und zwar auch noch ein Jahr nach dem Ende seiner Tätigkeit. Möglich bleibt nur die fristlose Kündigung aus wichtigem Grund (§38 Abs. 2 in Verbindung mit §6 Abs. 4 BDSG).
• Verschwiegenheit: Er ist zur Geheimhaltung verpflichtet. Wer sich als betroffene Person an ihn wendet, dessen Identität darf er nur mit dessen Einverständnis preisgeben (§6 Abs. 5 BDSG).

Ein Fall aus dem Dienst

Du arbeitest im Objektschutz eines Logistikzentrums. Dein Schichtleiter will, dass ihr Fotos der Führerscheine aller Lkw-Fahrer in eine private Chatgruppe stellt, damit die Ablösung weiß, wer schon auf dem Gelände war. Dir kommt das falsch vor. Ärger mit dem Schichtleiter willst du aber auch nicht.

Du darfst dich direkt an den Datenschutzbeauftragten deines Arbeitgebers wenden, ohne den Dienstweg einzuhalten. Er ist zur Verschwiegenheit verpflichtet. Er prüft die Sache und spricht eine Empfehlung an die Geschäftsleitung aus, zum Beispiel ein Verbot privater Chatgruppen und ein sauberes Fahrerbuch. Umsetzen muss das die Geschäftsleitung. Bis dahin machst du bei der Chatgruppe nicht mit. Eine Anweisung, die gegen das Datenschutzrecht verstößt, musst du nicht befolgen.

Typische Prüfungsfallen

• Der Datenschutzbeauftragte ist nicht verantwortlich für den Datenschutz. Verantwortlich ist das Unternehmen.
• Die Schwelle im BDSG liegt bei 20 Personen, nicht bei 10.
• Weisungsfrei heißt nicht entscheidungsbefugt. Er berät und kontrolliert, er ordnet nichts an.
• Er kann auch ein externer Dienstleister sein.
• Der Geschäftsführer kann nicht sein eigener Datenschutzbeauftragter sein.
• Auch ein kleines Unternehmen ohne Datenschutzbeauftragten muss alle Regeln der DSGVO einhalten.

Art. 37 DSGVO im Wortlaut (gesetze-im-internet.de) · Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der aktuelle Gesetzestext.