Kurz gesagt: Für die Einhaltung des Datenschutzes ist im Unternehmen die Geschäftsführung verantwortlich, weil sie als Verantwortlicher im Sinne der DSGVO handelt. Der Datenschutzbeauftragte überwacht die Einhaltung und berät. Von außen beaufsichtigen die Datenschutzbehörden die Einhaltung der DSGVO. So verteilt sich die Verantwortung:
- Im Unternehmen verantwortlich: die Geschäftsführung (Art. 5 Abs. 2 und Art. 24 DSGVO). Sie entscheidet über Zwecke und Mittel der Datenverarbeitung.
- Überwachung und Beratung: der Datenschutzbeauftragte, sofern einer benannt ist (Art. 39 DSGVO).
- Kontrolle von außen: die Aufsichtsbehörden der Bundesländer, bei Telekommunikations- und Postdiensten sowie Bundesbehörden der Bundesbeauftragte (BfDI) für öffentliche Einrichtungen.
Wer kontrolliert die Einhaltung der Datenschutz Grundverordnung (DSGVO) in Deutschland?
Wer beaufsichtigt die Einhaltung der DSGVO? In Deutschland kontrollieren das die Datenschutzaufsichtsbehörden. Für Unternehmen sind in der Regel die Aufsichtsbehörden der Bundesländer zuständig (§ 40 BDSG). Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) beaufsichtigt vor allem Bundesbehörden sowie Telekommunikations- und Postdienstleister.
Die DSGVO ist seit dem 25.05.2018 anwendbar und zieht nach und nach Kontrollen seitens der zuständigen Aufsichtsbehörden nach sich. In diesem Zusammenhang sind seit der Anwendbarkeit der DSGVO bereits Bußgelder in Höhe von mindestens 485.490 € verhängt worden. Die Einhaltung des Datenschutzes in Deutschland wird von den zuständigen Aufsichtsbehörden kontrolliert. Mit Ulrich Kelber gibt es einen Bundesbeauftragten für Datenschutz. Gem. § 14 BDSG-neu gehören zu den Aufgaben des Bundesbeauftragten für Datenschutz u.a. die Anwendung des BDSG-neu und der DSGVO zu überwachen und durchzusetzen und die Öffentlichkeit für die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung von personenbezogenen Daten zu sensibilisieren und darüber aufzuklären. Weitere Aufgaben des Bundesbeauftragten sind in § 14 BDSG-neu geregelt.
Darüber hinaus hat jedes Bundesland in Deutschland eine eigene Aufsichtsbehörde für den Datenschutz. In diesem Zusammenhang werden für jedes Bundesland eigene Landesbeauftragte für Datenschutz als unabhängige Behörden tätig. Hier gilt das sog. Prinzip One-Stop-Shop: Für jede Firma ist eine eigene Aufsichtsbehörde zuständig. Die Zuständigkeit der Aufsichtsbehörde richtet sich dabei nach dem Hauptsitz des jeweiligen Unternehmens. Aus dem Hauptsitz des Unternehmens ergibt sich somit die Zuständigkeit der jeweiligen Behörde aus dem konkreten Bundesland. So ist beispielsweise für ein Unternehmen mit Hauptsitz in Münster die Landesbeauftragte für Datenschutz und Informationsfreiheit (LDI NRW) aus Düsseldorf zuständig.
Wer ist im Unternehmen für den Datenschutz verantwortlich?
Wer ist für die Einhaltung des Datenschutzes verantwortlich? Die Geschäftsführung
Für die Einhaltung des Datenschutzes ist im Unternehmen die Geschäftsführung verantwortlich. Sie vertritt das Unternehmen als Verantwortlichen und muss nachweisen können, dass personenbezogene Daten DSGVO-konform verarbeitet werden (Art. 5 Abs. 2 und Art. 24 DSGVO). Diese Verantwortung lässt sich nicht an einen Datenschutzbeauftragten abgeben. Aufgaben können aber an Fachbereiche, die IT oder externe Dienstleister delegiert werden. Welche Folgen Verstöße für die Geschäftsführung haben können, steht im Beitrag zur Haftung der Geschäftsführung.
Wer ist Verantwortlicher im Sinne der DSGVO?
Verantwortlicher im Sinne der DSGVO ist die Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet (Art. 4 Nr. 7 DSGVO). In einem Unternehmen ist das die juristische Person, zum Beispiel die GmbH, handelnd durch ihre Geschäftsführung. Wer Daten nur im Auftrag verarbeitet, ist Auftragsverarbeiter (Art. 28 DSGVO) und nicht Verantwortlicher.
In einem Unternehmen ist normalerweise der Datenschutzbeauftragte (DSB) für den Datenschutz zuständig. Der Datenschutzbeauftragte ist ein Angestellter oder externer Berater, der die Einhaltung der Datenschutzbestimmungen und -Richtlinien überwacht.
Verantwortung für den Datenschutz im Unternehmen: Wer macht was?
| Rolle | Verantwortung im Datenschutz | Grundlage |
|---|---|---|
| Geschäftsführung | Gesamtverantwortung: Organisation, Ressourcen und Nachweis, dass die DSGVO eingehalten wird | Art. 5 Abs. 2, Art. 24 DSGVO |
| Datenschutzbeauftragter | überwacht die Einhaltung, berät, schult und ist Ansprechpartner für Beschäftigte, Betroffene und die Aufsichtsbehörde; berichtet unmittelbar an die höchste Managementebene | Art. 38, Art. 39 DSGVO |
| Fachbereiche und IT | setzen die Vorgaben im Tagesgeschäft um, führen technische und organisatorische Maßnahmen aus und melden Vorfälle | Art. 32 DSGVO |
| Mitarbeitende | verarbeiten Daten nur nach Weisung und wahren die Vertraulichkeit | Art. 29, Art. 32 Abs. 4 DSGVO |
Wer unterstützt Unternehmen bei der Einhaltung des Datenschutzes?
| Möglichkeit | Passt, wenn | Hinweis |
|---|---|---|
| Interner Datenschutzbeauftragter | Fachwissen und Kapazität im Unternehmen vorhanden sind und kein Interessenkonflikt besteht | Weiterbildung nötig, besonderer Kündigungsschutz nach BDSG |
| Externer Datenschutzbeauftragter | Fachwissen fehlt oder die Kapazität knapp ist und der Datenschutz mit wenig internem Aufwand aktuell bleiben soll | übernimmt Überwachung, Beratung und Schulung, die Verantwortung der Geschäftsführung bleibt. Keyed bietet den externen Datenschutzbeauftragten als Dienstleistung an. |
| Datenschutzmanagement-Software | Verzeichnis von Verarbeitungstätigkeiten, Maßnahmen, Löschfristen und Nachweise zentral und nachvollziehbar geführt werden sollen | ersetzt keinen Datenschutzbeauftragten. Keyed bietet eine Datenschutzmanagement-Software an (Link auf die Produktseite ergänzen). |
| Rechtsanwalt oder Kanzlei | einzelne Rechtsfragen oder ein Verfahren mit der Aufsichtsbehörde zu klären sind | kein Ersatz für die laufende Überwachung im Unternehmen |
Wer künstliche Intelligenz einsetzt, muss zusätzlich die KI-Verordnung beachten. Wie sie mit der DSGVO zusammenspielt, steht im Beitrag KI-Verordnung und DSGVO.
Datenschutzkontrolle in Europa
Die DSGVO gilt als europäische Verordnung für alle EU-Mitgliedstaaten. Gem. Art. 51 Abs. 1 DSGVO muss jeder Mitgliedstaat eine oder mehrere unabhängige Aufsichtsbehörden für die Überwachung der DSGVO einrichten. Alle Aufsichtsbehörden müssen gem. Art. 51 Abs. 3 DSGVO das Kohärenzverfahren nach Art. 63 DSGVO einhalten. Im Kohärenzverfahren geht es u.a. um die einheitliche Anwendung der DSGVO und um die Zusammenarbeit der Aufsichtsbehörden untereinander.
Kontrolliert wird der Datenschutz in Europa somit durch die jeweiligen zuständigen Aufsichtsbehörden der Mitgliedstaaten.
Kontrolle der DSGVO durch die Bundesländer
Der jeweilige Landesbeauftragte für Datenschutz kontrolliert die Einhaltung der DSGVO durch öffentlich und nicht-öffentliche Stellen. Dies ist beispielsweise für NRW ausdrücklich in § 26 Datenschutzgesetz Nordrhein-Westfalen (DSG NRW) geregelt. Bezüglich öffentlicher Stellen ist die Zuständigkeit in NRW in § 26 ff. DSG NRW geregelt, für nicht-öffentliche Stellen in §§ 26 S.2 DSG NRW, 40 BDSG-neu. Andere Behörden, wie z.B. das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), haben ebenfalls Ihre eigenen Gesetzeswerke (Siehe das Bayerische Datenschutzgesetz BayDSG). Die Datenschutzbehörden der Bundesländer kontrollieren die Einhaltung der DSGVO bei Unternehmen mit Sitz im jeweiligen Land. Diese Behörden sind in den Ländern zuständig:
| Bundesland | Datenschutzbehörde (für Unternehmen) | Website |
|---|---|---|
| Baden-Württemberg | Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg | https://www.baden-wuerttemberg.datenschutz.de |
| Bayern | Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) | https://www.lda.bayern.de |
| Berlin | Berliner Beauftragte für Datenschutz und Informationsfreiheit | https://www.datenschutz-berlin.de |
| Brandenburg | Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg | http://www.lda.brandenburg.de |
| Bremen | Die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen | https://www.datenschutz.bremen.de |
| Hamburg | Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit | https://www.datenschutz-hamburg.de |
| Hessen | Der Hessische Datenschutzbeauftragte | https://www.datenschutz.hessen.de |
| Mecklenburg-Vorpommern | Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern | https://www.datenschutz-mv.de |
| Niedersachsen | Der Landesbeauftragte für den Datenschutz Niedersachsen | https://www.lfd.niedersachsen.de |
| Nordrhein-Westfalen | Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) | https://www.ldi.nrw.de |
| Rheinland-Pfalz | Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz | https://www.datenschutz.rlp.de/de/startseite |
| Saarland | Unabhängiges Datenschutzzentrum Saarland – Landesbeauftragte für Datenschutz und Informationsfreiheit | https://datenschutz.saarland.de |
| Sachsen | Sächsische Datenschutz- und Transparenzbeauftragte | https://www.datenschutz.sachsen.de/ |
| Sachsen-Anhalt | Landesbeauftragte für den Datenschutz Sachsen-Anhalt | https://datenschutz.sachsen-anhalt.de/ |
| Schleswig-Holstein | Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein | https://www.datenschutzzentrum.de |
| Thüringen | Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit | https://www.tlfdi.de/ |
Welche Strafen sind bei Datenschutzverstößen zu erwarten?
Bei Verstößen gegen die DSGVO können die Aufsichtsbehörden Bußgelder verhängen. Der Rahmen reicht bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 DSGVO). Bei besonders schweren Verstößen gegen Datenschutzvorschriften sieht das BDSG zusätzlich Freiheitsstrafen vor (§ 42 BDSG).
Datenschutzkontrolle im Unternehmen: So lässt sich die Einhaltung der DSGVO überprüfen
Die Datenschutzkontrolle im Unternehmen sollte zunächst durch einen Datenschutzbeauftragten erfolgen. Datenschutzbeauftragte müssen allerdings gewisse Voraussetzungen erfüllen. Hierzu gehört zunächst die berufliche Qualifikation und insbesondere das Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis sowie der Fähigkeit, die in Art. 39 DSGVO genannten Aufgaben des Datenschutzbeauftragten erfüllen zu können, vgl. Art. 37 Abs. 5 DSGVO.
Darüber hinaus darf bei dem Kandidaten für die Position des Datenschutzbeauftragte kein Interessenkonflikt vorliegen, vgl. Art. 38 Abs. 6 S.2 DSGVO. Geschäftsführer sind daher beispielsweise nicht frei von Interessenkonflikten. Hinzu kommen weitere Schlüsselqualifikationen, die der Datenschutzbeauftragte besitzen sollte, wie z.B. Zuverlässigkeit. Ab wann Sie einen Datenschutzbeauftragten bestellen bzw. benennen müssen, erfahren Sie hier.
Die Aufgaben des Datenschutzbeauftragten sind in Art. 39 DSGVO niedergeschrieben: Die Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters und der Beschäftigten bezüglich der Einhaltung der DSGVO und weiterer datenschutzrechtlicher Vorschriften und die Überwachung und Einhaltung von datenschutzrechtlichen Vorgaben. Die Zusammenarbeit mit der zuständigen Aufsichtsbehörde und die Beratung im Rahmen einer erforderlichen Datenschutzfolgenabschätzung gem. Art. 35 DSGVO sowie die Tätigkeit als Anlaufstelle für Fragen seitens der Aufsichtsbehörde gehören zu den weiteren Aufgaben des Datenschutzbeauftragten.
DSGVO-Einhaltung überprüfen: Was Unternehmen regelmäßig kontrollieren sollten
Ob ein Unternehmen die DSGVO einhält, sollte es nicht erst bei einer Prüfung der Aufsichtsbehörde herausfinden. Mit einer regelmäßigen internen Datenschutzkontrolle, zum Beispiel einmal im Jahr, lässt sich die Einhaltung überprüfen und dokumentieren. Diese Bereiche gehören dazu:
| Kontrollbereich | Was prüfen | Nachweis |
|---|---|---|
| Verzeichnis von Verarbeitungstätigkeiten | Ist das Verzeichnis vollständig und aktuell, auch für neue Tools und Prozesse? | Verzeichnis nach Art. 30 DSGVO |
| Rechtsgrundlagen und Informationspflichten | Stimmen Datenschutzerklärung, Einwilligungen und Hinweise mit den tatsächlichen Verarbeitungen überein? | Datenschutzerklärung, Einwilligungsprotokolle |
| Technische und organisatorische Maßnahmen | Sind Zugriffsrechte, Verschlüsselung, Updates und Datensicherung wirksam? | Maßnahmenübersicht nach Art. 32 DSGVO |
| Auftragsverarbeiter | Gibt es für jeden Dienstleister einen Vertrag und sind Unterauftragnehmer bekannt? | Verträge nach Art. 28 DSGVO |
| Löschkonzept und Löschfristen | Werden Aufbewahrungsfristen eingehalten und Daten danach gelöscht? | Löschkonzept, Löschprotokolle |
| Risiko und Datenschutz-Folgenabschätzung | Ist bei neuen Verarbeitungen mit hohem Risiko eine Folgenabschätzung nötig und erfolgt? | Dokumentierte Folgenabschätzung |
| Schulung und Verpflichtung | Sind Mitarbeitende geschult und auf Vertraulichkeit verpflichtet? | Schulungsnachweise |
| Datenpannen und Betroffenenrechte | Gibt es einen Ablauf für Meldungen (72 Stunden) und für Auskunftsanfragen (ein Monat)? | Ablaufbeschreibung, Vorfallsliste |
Strukturiert prüft das ein Datenschutzaudit. Wer die Nachweise laufend führen und die Einhaltung dauerhaft überwachen (Monitoring) will, nutzt dafür ein Datenschutzmanagementsystem, auf Wunsch mit Software.
Datenschutzkontrollen durch die Aufsichtsbehörde: Was dürfen die Behörden prüfen?
In der DSGVO sind umfangreiche Untersuchungsbefugnisse zu Gunsten der Aufsichtsbehörden geregelt. Gem. Art. 58 DSGVO dürfen die zuständigen Aufsichtsbehörden z.B. Untersuchungen in Form von Datenschutzüberprüfungen durchführen, Zugang zu relevanten personenbezogenen Daten und Informationen verlangen und Zugang zu Räumlichkeiten, einschließlich aller Datenverarbitungsanlagen und Datenverarbeitungsgeräte des Verantwortlichen und des Auftragsverarbeiters, erhalten. Art. 58 DSGVO enthält einen ausführlichen Katalog und eine umfassende Übersicht bezüglich der Befugnisse von Aufsichtsbehörden.
Datenschutzkontrolle durch die Aufsichtsbehörde: So bereiten sich Unternehmen vor
Kündigt die Aufsichtsbehörde eine Datenschutzkontrolle an oder fragt sie Unterlagen an, helfen diese Schritte:
- Ansprechpartner festlegen: eine Person oder der Datenschutzbeauftragte koordiniert den Kontakt zur Behörde.
- Unterlagen bereithalten: Verzeichnis von Verarbeitungstätigkeiten, Maßnahmenübersicht, Auftragsverarbeitungsverträge, Datenschutzerklärung und Schulungsnachweise.
- Fristen beachten: Anfragen der Behörde innerhalb der gesetzten Frist vollständig beantworten.
- Beschäftigte informieren: wer bei einer Anfrage oder einem Besuch der Behörde zu informieren ist.
- Rechtsrat einholen: bei Bußgeldverfahren oder umfangreichen Anfragen frühzeitig eine Kanzlei einbinden.
Welche Aufsichtsbehörde ist für mein Unternehmen zuständig?
In dem Erwägungsgrund 122 DSGVO wird deutlich, dass jede Aufsichtsbehörde dafür zuständig sein soll, im Hoheitsgebiet ihres Mitgliedstaats die Befugnisse auszuüben und die Aufgaben zu erfüllen, die ihr mit dieser Verordnung übertragen wurden. Die Aufsichtsbehörden sind in Deutschland, jeweils pro Bundesland, verteilt. So ist zum Beispiel für Nordrhein-Westfalen das LDI (Landesbeauftragte für Datenschutz und Informationsfreiheit) zuständig.
Nicht nur für die Überprüfungen der Datenverarbeitungen der Unternehmen des jeweiligen Bundesland ist die Aufsichtsbehörde zuständig. Aufsichtsbehörden sollen auch die Bearbeitung von Beschwerden einer betroffenen Person, die Durchführung von Untersuchungen über die Anwendung dieser Verordnung sowie die Förderung der Information der Öffentlichkeit über Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung personenbezogener Daten einschließen.
Zuständig ist in der Regel die Aufsichtsbehörde des Bundeslandes, in dem das Unternehmen seine Niederlassung hat (§ 40 Abs. 2 BDSG). Hat ein Unternehmen Niederlassungen in mehreren EU-Mitgliedstaaten, ist die Behörde am Ort der Hauptniederlassung federführend (Art. 56 DSGVO). An sie richten sich auch Beschwerden von Betroffenen und Meldungen von Datenschutzverletzungen (Art. 33 DSGVO). Die Behörden der Länder stehen in der Tabelle weiter oben.
FAQ
Wer ist für die Einhaltung des Datenschutzes im Unternehmen verantwortlich?
Die Geschäftsführung. Sie handelt für das Unternehmen als Verantwortlichen im Sinne der DSGVO und muss die Einhaltung nachweisen können (Art. 5 Abs. 2 und Art. 24 DSGVO). Aufgaben lassen sich delegieren, die Verantwortung bleibt bei der Geschäftsführung.
Wer kontrolliert die Einhaltung der DSGVO?
Die Datenschutzaufsichtsbehörden. Für Unternehmen sind das in der Regel die Behörden der Bundesländer. Im Unternehmen überwacht außerdem der Datenschutzbeauftragte die Einhaltung, sofern einer benannt ist.
Ist der Datenschutzbeauftragte für die Einhaltung des Datenschutzes verantwortlich?
Nein, im Sinne der DSGVO ist das Unternehmen der Verantwortliche. Der Datenschutzbeauftragte überwacht die Einhaltung, berät und schult (Art. 39 DSGVO). Wann ein Datenschutzbeauftragter benannt werden muss, hängt unter anderem von der Zahl der Beschäftigten ab.
Wem ist der Datenschutzbeauftragte unterstellt?
Er berichtet unmittelbar an die höchste Managementebene, also an die Geschäftsführung (Art. 38 Abs. 3 DSGVO). Er darf bei der Erfüllung seiner Aufgaben keine Anweisungen erhalten.
Wer beantwortet im Unternehmen Fragen zum Datenschutz?
Das ist in der Regel der Datenschutzbeauftragte. Betroffene Personen können ihn zu allen Fragen der Verarbeitung ihrer Daten zu Rate ziehen (Art. 38 Abs. 4 DSGVO). Ohne Datenschutzbeauftragten sollte das Unternehmen eine Ansprechperson benennen.
Wie lässt sich die Einhaltung der DSGVO überprüfen?
Mit einer regelmäßigen internen Kontrolle: Verzeichnis von Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, Auftragsverarbeitungsverträge, Löschfristen, Schulungen und der Ablauf bei Datenpannen werden geprüft und dokumentiert. Ein Datenschutzaudit macht das strukturiert.
Wo melde ich einen Datenschutzverstoß?
Betroffene können sich bei der zuständigen Aufsichtsbehörde beschweren (Art. 77 DSGVO). Unternehmen müssen eine Datenschutzverletzung mit Risiko für die Betroffenen in der Regel innerhalb von 72 Stunden der Aufsichtsbehörde melden (Art. 33 DSGVO).
Wer unterstützt Unternehmen bei der Einhaltung des Datenschutzes?
Unterstützen können ein interner oder externer Datenschutzbeauftragter, Datenschutzmanagement-Software und bei Rechtsfragen eine Kanzlei. Ein externer Datenschutzbeauftragter wie bei Keyed übernimmt Überwachung, Beratung und Schulung. Die Verantwortung bleibt bei der Geschäftsführung.
