Der betriebliche Datenschutzbeauftragte

1. Wann benötigt ein Unternehmen einen betrieblichen Datenschutzbeauftragten?

Die Bestellung eines betrieblichen Datenschutzbeauftragten ist in § 4f des Bundesdatenschutzgesetzes (BDSG) geregelt. Danach ist ein Datenschutzbeauftragter zu bestellen, wenn

• personenbezogene Daten automatisiert* verarbeitet werden und damit in der Regel mind. 10 Personen ständig beschäftigt sind
  oder
• personenbezogene Daten auf andere Weise* verarbeitet werden und damit in der Regel mind. 20 Arbeitnehmer beschäftigt sind.

*) Definition: siehe 'Automatisierte Verfahren und personenbezogene Daten'

Zu der Zahl der Personen zählen dabei auch die Mitarbeiter in der IT, Teilzeitkräfte, Auszubildende und Leihpersonal sowie der Geschäftsführer. Unabhängig von der Anzahl der Personen ist ein Datenschutzbeauftragter zu bestellen, wenn

• automatisierte Verarbeitungen vorgenommen werden, die einer Vorabkontrolle gemäß § 4 d Abs. 5 BDSG (Anlage 1) unterliegen
  oder
• personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- und Meinungsforschung automatisiert verarbeitet oder genutzt werden.

Ein Datenschutzbeauftragter kann, auch wenn er von Rechts wegen nicht bestellt werden muss, freiwillig bestellt werden. Soweit die Bestellung eines Datenschutzbeauftragten nicht gesetzlich vorgeschrieben ist, muss die Unternehmensleitung den Datenschutz sicherstellen.

2. Wie muss der Datenschutzbeauftragte bestellt werden?

Der betriebliche Datenschutzbeauftragte ist spätestens innerhalb eines Monats nach Aufnahme der Datenverarbeitungstätigkeit im Sinne von Ziffer 1 des Betriebes schriftlich zu bestellen, wobei auch Aufgabe und organisatorische Stellung zu konkretisieren sind. Ein Muster für die Bestellung stellen wir Ihnen an dieser Stelle zur Verfügung. Eine Bestellung ist im Unternehmen zu dokumentieren.

Unterbleibt die Bestellung, kann dies mit einer Geldbuße von bis zu 50.000 EUR geahndet werden.

Eine Anzeigepflicht gegenüber der zuständigen Datenschutzaufsichtsbehörde besteht nicht. Jedoch sollten Mitarbeiter über die Bestellung der Person des Datenschutzbeauftragten informiert werden.

Die Bestellung des Datenschutzbeauftragten als solche nach § 4 f BDSG unterliegt grundsätzlich nicht der Mitbestimmung des Betriebsrates. Allerdings entsteht ein Mitbestimmungsrecht, wenn die Bestellung mit der Einstellung oder Versetzung verknüpft ist. Hierzu kann der Betriebsrat die Zustimmung mit der Begründung verweigern, sie verstoße gegen das Bundesdatenschutzgesetz, weil dem Datenschutzbeauftragten die erforderliche Qualifikation fehle.

3. Welche persönlichen Voraussetzungen muss ein Datenschutzbeauftragter erfüllen?

Zum Datenschutzbeauftragten darf nur bestellt werden, wer die zu Erfüllung seiner Aufgaben (s. Ziff. 4) erforderliche Fachkunde und Zuverlässigkeit besitzt. Dabei ist die Anforderung an die Fachkunde einzelfallabhängig vom jeweiligen Bedarf im Unternehmen. Kriterien sind hierbei insbesondere der Umfang der Datenverarbeitung und der Schutzbedarf der personenbezogenen Daten im Unternehmen. Die Datenschutzaufsichtsbehörden für den nicht-öffentlichen Bereich (sog. Düsseldorfer Kreis) haben die im Einzelfall erforderliche Fachkunde eines betrieblichen Datenschutzbeauftragten konkretisiert und die Mindesanforderungen im Beschluss vom 24./25.11.2010 festgelegt.

Grundsätzlich muss die Person des Datenschutzbeauftragten nicht dem eigenen Betrieb angehören. Auch die Bestellung eines externen Datenschutzbeauftragten ist zulässig. Der externe Datenschutzbeauftragte kann sich ebenso wie der interne Datenschutzbeauftragte und dessen Hilfspersonal gemäß § 4 f Abs. 4 a BDSG bei Daten, die der beruflichen Geheimhaltungspflicht unterliegen, auf ein Zeugnisverweigerungsrecht berufen. Unter diesem Aspekt können nunmehr auch diejenigen Berufsgruppen, die besondere Berufsgeheimnisse zu beachten haben, einen externen Datenschutzbeauftragten bestellen.

Das Anforderungsprofil eines Datenschutzbeauftragten umfasst folgende Aspekte:

Unabhängig von Größe und Branche des Unternehmens müssen nachstehende allgemeine Erfordernisse erfüllt sein:

• Grundkenntnisse zu verfassungsrechtlich garantierten Persönlichkeitsrechten der Mitarbeiter des Unternehmens und der Betroffenen.
• Umfassende Kenntnisse der für das Unternehmen einschlägigen Regelungen des BDSG in Bezug auf deren Inhalt und deren Anwendung, auch technischer und organisatorischer Art.
• Der Datenschutzbeauftragte muss gut vertraut sein mit den grundlegenden Prinzipien des Datenschutzes, wie z. B. dem Gebot der Datenvermeidung und Datensparsamkeit, dem Prinzip des Verbots mit Erlaubnisvorbehalt und dem Transparenzgebot.
• Kenntnisse des Anwendungsbereichs datenschutzrechtlicher und einschlägiger technischer Vorschriften und der Datensicherheitsanforderungen, insbesondere nach § 9 BDSG.

Abhängig von der Größe, der Branche, der IT-Infrastruktur im Unternehmen und der Art der zu verarbeitenden Daten (Sensibilität) sind weiteren Anforderungen zu beachten:

• Der Datenschutzbeauftragte muss umfassende Kenntnisse der für das eigene Unternehmen datenschutzrelevanten spezialgesetzlichen Vorschriften besitzen.
• Er muss über Kenntnisse der Informations- und Telekommunikationstechnologien und der Datensicherheit (physische Sicherheit, Kryptografie, Netzwerksicherheit, Schadsoftware und Schutzmaßnahmen etc.) verfügen.
• Der Datenschutzbeauftragte hat betriebswirtschaftliche Grundkompetenzen, z. B. auf dem Gebiet der Personalwirtschaft, dem Controlling, dem Finanzwesen, dem Management und Marketing aufzuweisen.
• Der Datenschutzbeauftragte muss die technischen und organisatorischen Strukturen (Aufbau- und Ablaufstruktur, Ablauf der Arbeitsvorgänge, Organisation des Unternehmens), aber auch deren Wechselwirkung im Unternehmen kennen.
• Zusätzlich sind Kenntnisse im praktischen Datenschutzmanagement notwendig, dazu zählen z. B. Durchführung von Kontrollen, Beratung, Strategieentwicklung, Dokumentation, Logfile-Auswertungen, Risikomanagement, Analyse von Sicherheitskonzepten, Betriebsvereinbarungen, Videoüberwachungen.
• Pädgogische, didaktische und kommunikative Fähigkeiten
  Der Datenschutzbeauftragte muss geeignet sein, den Mitarbeitern datenschutzrechtliche Regelungen vermitteln zu können.
• Organisatorische Kenntnisse
  Der Datenschutzbeauftragte muss mit dem Ablauf der Arbeitsvorgänge im Unternehmen vertraut sein, um datenschutzrechtliche Probleme frühzeitig zu erkennen und geeignete Maßnahmen vorschlagen zu können.
• Organisatorische Fähigkeiten
  Der Datenschutzbeauftragte muss Vorschläge für Maßnahmen erarbeiten können, die zum einen dem Datenschutz genügen, aber auch den Interessen des Unternehmens gerecht werden.
• Für erforderliche technische Maßnahmen, die in einem Betrieb zu treffen sind, kann er sich Spezialisten als Berater heranziehen.

Neben den aufgeführten Fähigkeiten kommt der Zuverlässigkeit des Datenschutzbeauftragten besondere Bedeutung zu. Kriterien zur Beurteilung der Zuverlässigkeit sollten die Verschwiegenheit, Unbestechlichkeit und ein besonderes Verantwortungsbewusstsein sein.

Daher sollten die Bewerber nicht wegen Eigentums- oder Vermögensdelikten einschägig vorbestraft sein, beziehungsweise gegen Datenschutz- oder andere Geheimhaltungsvorschriften verstoßen haben.

Daneben ist es mit dem Gesetz unvereinbar, wenn der Datenschutzbeauftragte der Geschäftsführung des Unternehmens angehört, da er dieser nach den Vorschriften des BDSG gerade unterstellt sein muss. Daher können Mitglieder der Geschäftsführung nicht zum Datenschutzbeauftragten bestellt werden.

Ferner ist darauf zu achten, dass ein nebenberuflich bestellter Datenschutzbeauftragter nicht in Konflikt zu seiner hauptberuflichen Tätigkeit geraten darf.