Interner Datenschutzbeauftragter: Position und Rolle

Wie die Bezeichnung bereits vermuten lässt, gibt es neben internen Datenschutzbeauftragten (DSB) auch externe DSB. Bei dem internen DSB handelt es sich i.d.R. um einen Beschäftigten des Verantwortlichen oder Auftragsverarbeiters, der die gesetzlichen Aufgaben des Datenschutzbeauftragten innerhalb des jeweiligen Unternehmens wahrnimmt. Der interne DSB muss von der Geschäftsführung als solcher benannt werden. Unabhängig davon, ob der DSB intern oder extern tätig ist, müssen seine Kontaktdaten veröffentlicht und der zuständigen Aufsichtsbehörde mitgeteilt werden. Ein externer Datenschutzbeauftragter ist dagegen nicht im jeweiligen Unternehmen beschäftigt, sondern agiert auf der Grundlage eines Dienstleistungsvertrages (Art. 37 Abs. 6 DSGVO).

Betriebliche Datenschutzbeauftragte sind ein zentrales Element der unternehmerischen Selbstkontrolle. In der Praxis tragen sie durch Beratung, Überwachung und Sensibilisierung dazu bei, dass das Unternehmen seine datenschutzrechtlichen Pflichten einhält. Aus Sicht des Gesetzgebers war dies zur Einführung des BDSG 1977 praktikabler als eine umfassende Fremdkontrolle durch Behörden. Das deutsche Datenschutzrecht kannte den betrieblichen Datenschutzbeauftragten bereits lange vor Geltung der DSGVO. Mit der DSGVO wurde die Funktion dann unionsweit geregelt (Art. 37 bis 39 DSGVO).

Die Aufgaben des Datenschutzbeauftragten finden sich im Wesentlichen in Art. 39 DSGVO. Danach unterrichtet und berät er z. B. hinsichtlich der Pflichten aus der DSGVO und überwacht auch deren Einhaltung im Unternehmen. Zudem obliegen ihm die Sensibilisierung und die Schulung der Mitarbeiter.

Zur Beantwortung dieser Frage hilft ein Blick ins Gesetz: Art. 37 Abs. 1 DSGVO führt zunächst drei Fallgruppen auf, wann ein DSB (intern oder extern) zu benennen ist, und zwar bei

• Verarbeitungen einer Behörde oder öffentlichen Stelle,
• falls Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung von Personen ist oder
• falls die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO oder personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO besteht.

Ergänzt wird dieser Anwendungsbereich im nationalen Recht durch die Inhalte des § 38 BDSG, der einen DSB für nichtöffentliche Stellen außerdem vorsieht, soweit

• personenbezogene Daten geschäftsmäßig zum Zweck der (anonymisierten) Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden.
• in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind oder
• Verarbeitungen durchgeführt werden, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen,

Nach Art. 37 Abs. 5 DSGVO ist der DSB auf Grundlage seiner beruflichen Qualifikation und insbesondere seines Fachwissens auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis zu benennen. Außerdem muss er in der Lage sein, die Aufgaben nach Art. 39 DSGVO zu erfüllen. Was das genau bedeutet, hängt insbesondere von der Größe und Struktur des Unternehmens, der Art der Verarbeitung, der Sensibilität der Daten und den damit verbundenen Risiken für die Betroffenen ab. Grundsätzlich sind für die Praxis Kenntnisse der DSGVO, des BDSG und ggf. branchenspezifischer Vorschriften sowie ein angemessenes Verständnis der betrieblichen Prozesse, der eingesetzten IT‑Systeme und der IT‑Sicherheit erforderlich. Art. 38 DSGVO verlangt außerdem, dass der DSB bei der Erfüllung seiner Aufgaben unabhängig handeln kann, ausreichend unterstützt wird und keinen Interessenkonflikten ausgesetzt ist.

Vor allem aber ist bei der Auswahl eines internen DSB darauf zu achten, dass seine sonstige Position im Unternehmen nicht zu einem Interessenkonflikt mit seinem Amt als DSB führt. Der EuGH hat hierzu klargestellt, dass ein Interessenkonflikt insbesondere dann bestehen kann, wenn die weiteren Aufgaben den DSB dazu veranlassen, selbst die Zwecke und Mittel der Verarbeitung personenbezogener Daten festzulegen. Abhängig von ihren konkreten Befugnissen können insbesondere folgende Funktionen konfliktanfällig sein:

• Geschäftsführung und Vorstand,
• IT‑Leiter bzw. Leiter Informationssicherheit,
• Leiter Vertrieb oder Leiter Personalverwaltung.

Nach dem EuGH ist das Vorliegen eines Interessenkonflikts aber stets anhand der konkreten Organisationsstruktur und der tatsächlichen Aufgaben der betreffenden Person im Einzelfall zu beurteilen.

Stellt das Unternehmen einen Interessenkonflikt nicht ab, kommen aufsichtsbehördliche Maßnahmen und – abhängig von den Umständen des Einzelfalls – auch ein Bußgeld in Betracht.

Wichtig ist, dass die Benennung eines internen DSB nichts an der Verantwortung des Unternehmens für die Datenverarbeitung ändert. Auch wenn ein (interner) DSB benannt ist, bleibt die natürliche oder juristische Person, die über Zwecke und Mittel der Datenverarbeitung entscheidet, Verantwortlicher. Dieser ist verpflichtet sicherzustellen, dass die Vorgaben der DSGVO eingehalten werden (vgl. Art. 24 DSGVO und Art. 5 Abs. 2 DSGVO):

„Der Verantwortliche ist für die Einhaltung des Absatzes 1 [Grundsätze für die Verarbeitung personenbezogener Daten] verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).“

Das Unternehmen muss den (internen) DSB nach Art. 38 Abs. 2 DSGVO bei der Erfüllung seiner Aufgaben unterstützen. Es muss ihm insbesondere die erforderliche Arbeitszeit und weitere Ressourcen, Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie Möglichkeiten zur Erhaltung seines Fachwissens zur Verfügung stellen.

Ein möglicher wesentlicher Vorteil eines internen Datenschutzbeauftragten ist die Einbindung in das Unternehmen selbst. Aufgrund seiner organisatorischen Einbindung kann ein interner DSB besonders gute Kenntnisse der internen Abläufe und Zuständigkeiten entwickeln und ist bereits in die tägliche Kommunikation involviert, so dass er früher bzw. auch weniger formell über Vorhaben informiert werden kann als ein extern bestellter Datenschutzbeauftragter.

Nicht von der Hand zu weisen ist auch eine entsprechende Branchenkenntnis und damit verbunden die Kenntnis über konkrete interne oder externe Ansprechpartner, die zur Verwirklichung des Datenschutzes benötigt werden. Dadurch und ggf. auch aufgrund einer größeren räumlichen Nähe des internen DSB zu den Kollegen ist es diesem auch leichter möglich, auf die zuständigen Kollegen und Mitarbeiter zuzugehen.

Das alles kann dazu führen, dass der intern Beauftragte direkter überprüfen und darauf einwirken kann, dass Datenschutz im Unternehmen auch „gelebt“ wird und nicht nur auf dem Papier besteht.

Doch es ist nicht nur von Vorteil, zu nah an dem Unternehmen und den Mitarbeitern zu sein. So kann in Ausnahmefällen insbesondere die Kontrollfunktion des internen Datenschutzbeauftragten aufgrund von internen Machtstrukturen oder persönlichen Sympathien beeinträchtigt bzw. beeinflusst sein. Das birgt Konfliktpotenzial, denn ein interner DSB kann bei der Wahrnehmung seiner gesetzlichen Aufgaben zu Bewertungen gelangen, die wirtschaftlichen Interessen des Unternehmens oder den Erwartungen einzelner Beschäftigter widersprechen. Daraus können Meinungsverschiedenheiten entstehen.

Ein wichtiger und vermutlich oft unterschätzter Aspekt ist die zur Verfügung stehende Zeit. Neben dem vorhandenen Fachwissen ist unverzichtbar, dass die Stelle des internen DSB intern mit einem angemessenen Volumen an Arbeitszeit hinterlegt ist, um zu gewährleisten, dass die Position auch sinnvoll bzw. rechtmäßig ausgeübt werden kann. Das bedeutet, bereits ausgelastete Mitarbeiter können die Aufgabe in der Regel nicht problemlos zusätzlich übernehmen. Zudem ist damit zu rechnen, dass es in dieser Position auch zu erheblichen oder kurzfristigen Belastungsspitzen kommen kann, die der DSB kurzfristig bewältigen muss. Die dann anstehenden Aufgaben dulden oftmals keinen Aufschub (z. B. größere Datenschutzvorfälle, Einführung neuer Software) – nicht immer leicht zu integrieren in ein bereits bestehendes internes Stellengefüge.

Ohne ausreichende Fortbildung und zeitliche Freistellung kann es einem internen DSB schwerfallen, sein Fachwissen laufend zu aktualisieren. In der Folge könnte es dazu kommen, dass ein betrieblicher DSB weniger Fachkenntnis besitzt als ein externer Datenschutzbeauftragter. Arbeitet ein interner DSB ohne internes Datenschutzteam, so ist außerdem zu berücksichtigen, dass der unmittelbare fachliche Austausch innerhalb des Unternehmens eingeschränkt sein kann. Diesen gilt es dann auszugleichen. Aus Sicht des Unternehmens sollte schließlich berücksichtigt werden, dass ein einmal benannter interner DSB, sofern die Benennung gesetzlich verpflichtend ist, einen besonderen Abberufungs- und Kündigungsschutz genießt (§ 6 Abs. 4 S. 2 BDSG), welcher sich unter bestimmten Voraussetzungen auch auf den Stellvertreter erstrecken kann.

Das Landesarbeitsgericht Mecklenburg-Vorpommern hat in seinem Urteil (LAG MV, Urt. v. 25.2.2020, 5 Sa 108/19, Rn. 72) erwähnt, dass der Datenschutzbeauftragte fehlende Fachkenntnisse in einem Bereich durch ein Team kompensieren kann:

„Verfügt der Datenschutzbeauftragte nur in einem Teilbereich über eine eigene Qualifikation, genügt es, wenn er im Übrigen auf fachkundige Mitarbeiter zurückgreifen kann.“ (Kühling/Buchner/Bergt, 2. Aufl. 2018, DS-GVO Art. 37, Rn. 34)

Dieser Wortlaut kann allerdings missverständlich sein. Damit ist wohl nicht gemeint, dass der Datenschutzbeauftragte überhaupt keine Kenntnisse in dem anderen Teilbereich aufweisen muss. Vielmehr muss er selbst ­– bei Hinzuziehung von fachkundigen Mitarbeitern ­– darüber entscheiden können, wann und in welchem Umfang weitere Fachkunde erforderlich ist.Der Datenschutzbeauftragte braucht weiterhin in allen Bereichen genügend Kenntnisse, um Empfehlungen und vorgeschlagene Maßnahmen seiner fachkundigen Mitarbeiter einschätzen und im Rahmen der Datenschutzstrategie des Unternehmens bewerten zu können.

Dr. Alina Weskamp-Nordmann, LL.M.

Juristin

Ich berate Sie gerne

Rufen Sie uns an oder schreiben Sie uns über das Kontaktformular.

+49 40 790 235 0

sales@intersoft-consulting.de

Termin vereinbaren