Einleitung
Unternehmen müssen oft einen Datenschutzbeauftragten gemäß DSGVO und BDSG-neu bestellen. Deren Rolle ist es, datenschutzrechtliche Aufgaben zu koordinieren, die Einhaltung des Datenschutzes zu überwachen und somit die Geschäftsleitung zu entlasten. Angesichts strengerer Datenschutzvorgaben und drohender Bußgelder wird die Funktion des Datenschutzbeauftragten immer wichtiger. Erfahren Sie in unserem Blogbeitrag, welche zentralen Aufgaben Datenschutzbeauftragte haben und wie sie in Unternehmen wirken.
Welche Aufgaben hat ein Datenschutzbeauftragter?
Die Aufgaben eines Datenschutzbeauftragten sind gesetzlich geregelt und ergeben sich insbesondere aus Art. 39 DSGVO. Der Datenschutzbeauftragte ist eine beratende und überwachende Instanz, die unabhängig agiert und Unternehmen dabei unterstützt, Datenschutzvorgaben korrekt umzusetzen.
Gesetzliche Aufgaben eines Datenschutzbeauftragten nach DSGVO
Nach Art. 39 DSGVO hat ein Datenschutzbeauftragter insbesondere folgende Aufgaben:
- Unterrichtung und Beratung des Verantwortlichen und der Mitarbeitenden hinsichtlich ihrer Pflichten nach der DSGVO und anderen Datenschutzvorschriften
- Überwachung der Einhaltung der DSGVO sowie interner Datenschutzstrategien und -richtlinien
- Beratung im Zusammenhang mit Datenschutz-Folgenabschätzungen (DSFA) und Überwachung ihrer Durchführung
- Sensibilisierung und Schulung der Mitarbeitenden im Bereich Datenschutz
- Zusammenarbeit mit der zuständigen Aufsichtsbehörde
- Tätigkeit als Ansprechpartner für die Aufsichtsbehörde und für betroffene Personen bei datenschutzrechtlichen Fragen
Diese Aufgaben gelten unabhängig davon, ob es sich um einen internen oder externen Datenschutzbeauftragten handelt.
Aufgabe des Datenschutzbeauftragten im Detail
Schwerpunkt der Tätigkeit eines Datenschutzbeauftragten ist die Beratung. Dies betrifft alle Fragen rund um das Thema Datenschutz. Die Beratung erfolgt dabei vor Ort, telefonisch und per E-Mail. Daneben ist gerade die Erstellung von gesetzlich erforderlichen Dokumentationen essenziell: In der DSGVO wurde nämlich erst eine sog. Beweislastumkehr in Art. 5 Abs. 2 DSGVO geregelt. Das bedeutet, dass Unternehmen den Nachweis für die Einhaltung der datenschutzrechtlichen Vorgaben erbringen müssen. Das ist einer der Gründe, warum nahezu alle datenschutzrechtlichen Aufgaben dokumentiert werden müssen. Um Unternehmen von dieser zeitaufwendigen Dokumentationspflicht zu entlasten, übernimmt der Datenschutzbeauftragte die Anfertigung der Dokumentationen. Dies gilt insbesondere für das Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO oder für die Niederschrift von eingerichteten technisch-organisatorischen Maßnahmen i.S.v. Art. 32 DSGVO. Die Schulung der Mitarbeiter und die Zusammenarbeit mit den Aufsichtsbehörden sind ebenfalls ein wichtiger Aufgabenbereich des Datenschutzbeauftragten. Die beratende und teilweise auch federführende Tätigkeit im Bereich von Datenschutz-Folgenabschätzungen gem. Art. 35 DSGVO, ist eine weitere Tätigkeit des Datenschutzbeauftragten, durch welche verantwortliche Unternehmen ungemein entlastet werden.
Zusätzlich kann der Datenschutzbeauftragte gem. Art. 37 bis Art. 39 DSGVO u.a. folgende Aufgaben übernehmen:
- Kommunikation mit Auftragsverarbeitern und Dienstleistern
- Erstellung von Auftragsverarbeitungsverträgen (AVV)
- Koordination der Abschlüsse von Auftragsverarbeitungsverträgen
- Prüfung und Erstellung von Datenschutzerklärungen
- Erstellung und Prüfung von Einwilligungserklärungen
- Entwicklung eines Verfahrens für die Bearbeitung von Betroffenenrechten
- Prüfung von technisch-organisatorischen Maßnahmen
- Empfehlungen für gesetzlich erforderliche technisch-organisatorische Maßnahmen
- Entwurf von Berechtigungs– und Löschkonzepten
- Prüfung und Niederschrift von Informationsschreiben für betroffene Personen
- Erstellung von Vertragswerken, wie z.B. EU-Standard-Datenschutzklauseln gem. Art. 46 Abs. 2 lit. c) DSGVO für den Transfer von personenbezogenen Daten in Drittländer oder der Entwurf eines Vertrages zur gemeinsamen Verantwortlichkeit gem. Art. 26 DSGVO
Was gehört nicht zu den Aufgaben eines Datenschutzbeauftragten?
Der Datenschutzbeauftragte trägt keine operative Verantwortung für den Datenschutz im Unternehmen. Er ist nicht dafür zuständig, Datenschutzmaßnahmen selbst umzusetzen oder Entscheidungen über Datenverarbeitungen zu treffen.
Nicht zu den Aufgaben eines Datenschutzbeauftragten gehören insbesondere:
- Festlegung der Zwecke und Mittel der Datenverarbeitung
- Technische Umsetzung von Sicherheitsmaßnahmen
- Freigabe oder Genehmigung von Verarbeitungstätigkeiten
- Alleinige Haftung für Datenschutzverstöße
Die Verantwortung für den Datenschutz verbleibt stets beim Unternehmen bzw. bei der Geschäftsleitung. Daher wird von Beginn an ein Datenschutz-Management-System empfohlen, um die komplexen Aufgaben im Datenschutz übersichtlich, agil und dynamisch zu lösen.
Welche Aufgaben eines Datenschutzbeauftragten fallen regelmäßig im Unternehmen an?
Datenschutzbeauftragte fertigen in der Regel im ersten Schritt nach der Auditierung bzw. Bestandsaufnahme die gesetzlich erforderlichen Dokumentationen an. Hierzu gehören beispielsweise das Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO, Einwilligungserklärungen nach Art. 7, 8 DSGVO, Informationsschreiben gem. Art. 12 ff. DSGVO oder die Erstellung von Berichten, beispielsweise im Anschluss an eine Auditierung.
Die erforderlichen Schulungen von Mitarbeitern im Datenschutz können persönlich von dem Datenschutzbeauftragten durchgeführt werden oder mittels einer E-Learning-Plattform koordiniert werden. Die Beratung von verantwortlichen Unternehmen in allen datenschutzrechtlichen Fragen beansprucht den größten Teil im Aufgabenbereich eines Datenschutzbeauftragten. Auch die Bearbeitung von Betroffenenrechten, wie z.B. im Fall der Geltendmachung eines Auskunftsrechts gem. Art. 15 DSGVO, kann an den Datenschutzbeauftragten delegiert werden.
Mehr zu den Kosten von Datenschutzbeauftragten erfahren Sie hier.
Ist ein Datenschutzbeauftragter weisungsbefugt?
Ein Datenschutzbeauftragter muss seine Aufgaben unabhängig wahrnehmen können. Er darf keine Weisungen hinsichtlich der Ausübung seiner Tätigkeit erhalten und darf wegen der Erfüllung seiner Aufgaben nicht benachteiligt werden. Diese Unabhängigkeit ist entscheidend, damit der Datenschutzbeauftragte Risiken objektiv bewerten und auf Datenschutzverstöße hinweisen kann.
Fazit: Welche Aufgaben hat ein Datenschutzbeauftragter?
Die Aufgaben eines Datenschutzbeauftragten bestehen darin, Unternehmen beim datenschutzkonformen Umgang mit personenbezogenen Daten zu beraten und die Einhaltung der DSGVO zu überwachen. Er informiert, kontrolliert, sensibilisiert und fungiert als Ansprechpartner – übernimmt jedoch nicht die operative Verantwortung für die Umsetzung des Datenschutzes.
Ein Datenschutzbeauftragter ist damit ein zentraler Bestandteil eines funktionierenden Datenschutz-Managements im Unternehmen.
