Einige Unternehmen sind sich seit dem Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) unsicher, ob eine Pflicht zur Benennung eines Datenschutzbeauftragten besteht. Grundsätzlich empfiehlt es sich immer durch einen Datenschutzbeauftragten die Datenschutzorganisation überprüfen zu lassen, um einen qualitativen Überblick über die potenziellen Risiken zu erhalten.

Denn auch Unternehmen, welche nicht unter die Pflicht zur Bestellung eines Datenschutzbeauftragten fallen, müssen den Datenschutz im gleichen Maße, wie andere Unternehmen erfüllen. Die Pflicht zur Bestellung eines Datenschutzbeauftragten besteht in jedem Fall kurz gesagt gemäß Art. 37 Abs. 1 DSGVO, wenn:

• Eine öffentliche Stelle, die Verarbeitung durchführt;
• Die Kerntätigkeit in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche, regelmäßige und systematische Überwachung erfordern;
• Die Kerntätigkeit in der Verarbeitung besonderer Daten nach Art. 9 (besondere personenbezogene Daten) oder Art. 10 (personenbezogene Daten über Straftaten) DSGVO besteht;
• § 38 Abs. 1 BDSG gibt ergänzend vor, dass auch ein Datenschutzbeauftragter zu bestellen ist, wenn mindestens 20 Mitarbeiter ständig mit der Verarbeitung personenbezogener Daten beschäftigt sind.

Der Datenschutzbeauftragte hat eine interne oder externe Funktion, um die Einhaltung der datenschutzrechtlichen Vorgaben eines oder mehrerer Unternehmen sicherzustellen. Im Unternehmen gilt der Datenschutzbeauftragte als Dreh- und Angelpunkt für das Thema Datenschutz. Ein wichtiges Merkmal des Datenschutzbeauftragten ist, dass dieser weisungsfrei im Sinne des Datenschutzes agiert und andere Interessen nicht überwiegen dürfen.

Oftmals kann ein Interessenskonflikt nicht vermieden werden, daher bestellen Unternehmen den Datenschutzbeauftragten extern in Form eines Dienstleistungsvertrags.

Die Aufgaben eines Datenschutzbeauftragten sind gesetzlich normiert. Oftmals wird jedoch beim externen Datenschutzbeauftragten ein größeres Aufgaben-Spektrum übernommen, um das Unternehmen bestmöglich zu entlasten. In jedem Fall muss der Datenschutzbeauftragte seine Aufgaben weisungsfrei erfüllen können. Die Aufgaben eines Datenschutzbeauftragten ergehen aus dem Artikel 39 DSGVO, welche zunächst die Einhaltung relevanter Datenschutz-Vorschriften gewährleisten sollen, insbesondere im Hinblick auf die Verarbeitung personenbezogener Daten. Vor dem Hintergrund der Einhaltung der Datenschutz-Grundverordnung sind folgende Aufgaben wesentlicher Bestandsteil der Arbeit eines Datenschutzbeauftragten:

• Unterrichtung und Beratung des Unternehmens
• Überwachung der Einhaltung des Datenschutzes
• Beratung bei Durchführung von Datenschutz-Folgenabschätzungen
• Kommunikation mit Betroffenen und Aufsichtsbehörden

Damit eine Person als Datenschutzbeauftragter bestellt werden kann, müssen gewisse Voraussetzungen erfüllt werden, sodass die Bestellung des Datenschutzbeauftragten auch wirksam ist. Wichtig zu beachten ist dabei, dass eine berufliche sowie fachliche Qualifikation vorliegen muss, sodass die ordnungsgemäße Wahrnehmung der normierten Aufgaben aus dem Art. 39 DSGVO gewährleistet wird. Bei Keyed erhalten Sie einen erfahrenen Juristen, welcher als Datenschutzbeauftragter zertifiziert worden ist.

Oftmals entstehen bei einer Bestellung des Datenschutzbeauftragten mittels interner Ressourcen Interessenkonflikte, da Mitarbeiter mit Leitungsfunktionen oder solchen Funktionen, welche als gegensätzlich zum Datenschutz verstanden werden, die Rolle als Datenschutzbeauftragter ausüben sollen. Sollte ein Interessenkonflikt vorliegen, so ist die Bestellung des Datenschutzbeauftragten unwirksam.

Unternehmen müssen sicherstellen, dass die Bestellung eines Datenschutzbeauftragten auch wirksam ist. Daher ist es unabdingbar zu beachten, dass nicht jede Person zum Datenschutzbeauftragten im Unternehmen benannt werden darf. Grundsätzlich dürfen nur Personen die Rolle des Datenschutzbeauftragten ausüben, welche in keinen Interessenskonflikt geraten können. Stehen die betrieblichen Interessen des Unternehmens im Vordergrund des Mitarbeiters, ist die Bestellung nicht wirksam. In der Regel ist das der Fall, wenn Führungspositionen, Abteilungsleiter oder Betriebsratsmitglieder die Rolle des Datenschutzbeauftragten übernehmen. Da das Potenzial einer unwirksamen Bestellung groß ist, bestellen viele Unternehmen ihren Datenschutzbeauftragten extern.

Die Bestellung kann mit einer Ernennung verglichen werden. Mit der Bestellung geht einher, dass der Datenschutzbeauftragte seine Funktion öffentlich ausübt und dadurch zum Träger von Rechten und Pflichten im Unternehmen wird.

Nur wenn der Datenschutzbeauftragte nach den Vorgaben der Datenschutz-Grundverordnung bestellt wird, ist das Unternehmen hinsichtlich der Bestellung ausreichend abgesichert. Zur Einhaltung der Formalitäten wird eine von der Geschäftsleitung unterzeichnete Bestellungsurkunde aufgesetzt. Aus der Bestellurkunde muss genau hervorgehen, welche Person die Tätigkeit des betrieblichen Datenschutzbeauftragten übernimmt und somit in Zukunft den betrieblichen Datenschutz verantwortet.

Anschließend wird der Datenschutzbeauftragte bei der zuständigen Aufsichtsbehörde gemeldet.