Datenschutzbeauftragter it Mitarbeiter

Bußgeld wegen Bestellung des IT-Verantwortlichen zum Datenschutzverantwortlichen - Berufs-Verband der Datenschutzbeauftragten Deutschlands (BvD) e.V.

Bei einem bayrischen Konzern hatte der "IT-Manager" auch die Funktion des Betriebsdatenschutzbeauftragten (DSB) inne. Gegen diesen Sachverhalt hat das bayrische Staatsamt für Datenschutz (LDA) Einspruch erhoben. Sie betrachtete die herausgehobene Stellung eines IT-Managers als nicht mit den Aufgabenstellungen eines DSB vereinbar. Nach Ansicht der LDA würde dies letztendlich einer Selbstkontrolle des Datenschutzes durch einen Schlüsselfunktionär im Betrieb gleichkommen.

Dies sollte eine eigenständige Stelle sein, die im Betrieb an der Wahrung der Datensicherheit arbeitet. Der DSB könnte diese Aufgaben nicht wahrnehmen, wenn er auch eine wesentliche betriebliche Zuständigkeit für das EDV-Programm hätte. Die LDA machte das Untenehmen auf diese Anliegen aufmerksam. Darüber hinaus hat die Datenschutzkommission das Untenehmen aufgefordert, ein DSB zu benennen, das einem solchen Interessenkonflikt nicht unterliegt.

Diesem Wunsch kam das Untenehmen monatelang nicht nach. Die LDA setzte der Gesellschaft dann eine Buße auf. Wenn Firmen mehr als neun Mitarbeiter an Bildschirmarbeitsplätzen oder bei anderen Arten der Datenbearbeitung einstellen, müssen Sie ein DSB anordnen. Das kann ein Mitarbeiter oder ein externes DSB sein. Gemäß 4f Abs. 2 BDSG dürfen Firmen nur solche Persönlichkeiten in den DSB entsenden, die über die zur Wahrnehmung ihrer Aufgabe erforderlichen Fachkenntnisse und Verlässlichkeit verfügen. 4.

Benennt ein Unter-nehmen einen DSB, der nicht den rechtlichen Vorgaben entspricht, sind die Aufsichtsorgane der Ansicht, dass zur geforderten Verlässlichkeit auch ein nicht unerheblicher Grad an Selbständigkeit gehört. Zusätzlich zur Arbeit als DSB kann ein Mitarbeiter auch andere Aufgaben wahrnehmen. Das ist die Regel, insbesondere für kleine und mittlere Unter-nehmen.

Der DSB darf jedoch mit seinen anderen Funktionen keinen Interessenskonflikt mit seiner datenschutzrechtlichen Funktion begründen. Nach Angaben des LDA hatte das Untenehmen diese Forderung hartnäckig ignoriert. Die LDA geht mit ihrer Verfügung über die bisher von den Gerichten festgelegten Vorgaben hinaus. Früher hatten die Gerichtshöfe hier manchmal viel grosszügiger entschieden. Der Betriebsrat hat auch die Beachtung des Datenschutz- und anderer gesetzlicher Bestimmungen zum Arbeitnehmerschutz zu überwachen, § 80 Abs. 1 Nr. 1 des Betriebsverfassungsgesetzes (BetrVG).

Seine Hauptaufgabe ist es jedoch, die Interessen der Mitarbeiter zu vertreten und nicht den Datenschutz im Betrieb umzusetzen. Die DSGVO, die im kommenden Jahr in Kraft treten wird, droht Firmen mit wesentlich höheren Strafen, wenn sie gegen die Anforderungen an die Ernennung eines Beauftragten für den Datenschutz verstossen. Soweit der Bundesgesetzgeber die bisherige Verpflichtung zur Benennung eines DSB nicht aufhebt oder sonst reguliert, müssen Gesellschaften weiter einen DSB benennen, wenn sie mehr als neun Mitarbeiter in der EDV haben.

Gemäß Artikel 37 Absatz 4 DSGVO sind Beauftragte für den Datenschutz oder Auftragnehmer immer dann zu bestellen, wenn das Recht des betreffenden Mitgliedstaates dies erfordert. Der Beauftragte für den Datenschutz kann auch in Zukunft andere Funktionen und Funktionen im Betrieb ausfüllen. Die verantwortlichen oder beauftragten Verarbeiter müssen jedoch dafür sorgen, dass solche Tätigkeiten und Verpflichtungen nicht zu einem Interessenskonflikt werden.

Verstöße gegen diese Vorschrift können zu Geldbußen von bis zu 10 Mio. Euro führen. In diesem Zusammenhang kann man den Firmen nur empfehlen, darauf zu achten, dass die beauftragte DSB und ihre Stellung im Betrieb den Vorgaben der DSGVO entsprechen. Vor allem muss er über ausreichende fachliche Qualifikationen und Kenntnisse auf dem Gebiete des Datenschutzes und der Datenverarbeitung verfügt.

Er muss darüber hinaus in der Lage sein, die in 39 DSGVO, 37 Abs. 5 DSGVO bezeichneten Funktionen des DSB zu erfüllen. Darüber hinaus müssen die Gesellschaften dafür sorgen, dass der DSB in alle Belange des Schutzes von personenbezogenen Informationen angemessen und früh einbezogen wird, § 30 Abs. 1 DSGVO.

Darüber hinaus müssen sie dem DSB die für die Wahrnehmung seiner Aufgabe und den Zugriff auf personenbezogene Angaben und Verarbeitungsverfahren notwendigen Mittel, aber auch die zur Aufrechterhaltung seines Sachverstands notwendigen Mittel zur Verfügungsstellung zur Verfügung stellen gemäß § 38 Abs. 2 DSGVO.