It Datenschutzbeauftragter

Der Datenschutzbeauftragte darf keinen Interessenskonflikten ausgesetzt sein.

Bayerisches Unternehmen erhält Geldstrafe, weil auch der IT-Manager zum Datenschutzbeauftragten ernannt wurde. "Diese exponierte Stellung im Hinblick auf die Datenverarbeitungsprozesse im Unternehmen ist in der Regel unvereinbar mit den Aufgaben eines Datenschutzbeauftragten", sagt die Bayerische Landesdatenschutzbehörde (BayLDA) in Ansbach. Von wem muss ein Datenschutzbeauftragter ernannt werden? Unternehmen und Verbände müssen einen Datenschutzbeauftragten (DSB) benennen, wenn mindestens zehn Personen ("mehr als neun", gemäß Bundesdatenschutzgesetz) an der automatisierten Verarbeitung personenbezogener Informationen beteiligt sind.

Es ist unerheblich, ob es sich a) um interne oder externe Personendaten handelt und b) wie viel Zeit die Personen beschäftigt sind (Vollzeit, Teilzeit, befristet etc.). Zahlreiche Unternehmen und Verbände erfüllen diese Anforderungen. Der Gesetzgeber macht es frei, ob die Funktion des Datenschutzbeauftragten einer externen Person ("externer Datenschutzbeauftragter") oder einem Mitarbeiter ("interner Datenschutzbeauftragter") übertragen wird.

Die Landesdatenschutzgesetze verlangen je nach Bundesland auch einen Datenschutzbeauftragten für Behörden und kommunale Einrichtungen (sog. öffentliche Stellen). Bereits in einigen Bundesländern ist es möglich, einen externen Datenschutzbeauftragten zu benennen. Zusätzlich sollte dann eine generelle Möglichkeit der externen Bestellung für Behörden/Gemeinden gegeben werden. Ist ein Mitarbeiter jedoch zum Datenschutzbeauftragten ernannt, darf er nicht zusätzlich bzw. weiterhin für solche Aufgaben verantwortlich sein, die das Risiko von Interessenkonflikten mit seiner Funktion als Datenschutzbeauftragter mit sich bringen können.

Auch die EU-Datenschutzrichtlinie (Art. 18) fordert die vollständige Unabhängigkeit des DSB in seiner Funktion als Aufsichtsorgan. Bei allen anderen Funktionen ist zu prüfen, ob ein Interessenkonflikt ausgeschlossen werden kann und ob weitere Beeinträchtigungen der Funktion des Datenschutzbeauftragten vorliegen. Beispielsweise macht es nicht unbedingt Sinn, einen IT-Mitarbeiter zum Datenschutzbeauftragten zu ernennen, wenn der Konflikt mit dem Vorgesetzten - dem IT-Manager - bereits vorprogrammiert ist und der IT-Mitarbeiter seine zusätzliche Aufgabe als DSB nicht erfüllen kann/wird, z.B. aus Repressalien.

In seiner Pressemitteilung berichtet das Bayerische Landesamt für Datenschutzüberwachung (BayLDA), dass die Ernennung des IT-Verantwortlichen zum internen Datenschutzbeauftragten im Rahmen der Überprüfung eines bayerischen Unternehmens festgelegt wurde. Nach Ansicht der Behörde würde dies "letztlich einer Datenschutzkontrolle eines der relevanten Funktionäre gleichkommen, die im Unternehmen selbst zu kontrollieren sind".

Dies widerspricht aus Behördensicht (und den entsprechenden rechtlichen Kommentaren) der Funktion des Datenschutzbeauftragten als unabhängiges Organ im Unternehmen, auf die Einhaltung des Datenschutzes hinzuarbeiten (eine der Kernaufgaben des DSB). Nachdem das Landesamt das Unternehmen wiederholt monatelang aufgefordert hatte, einen Termin ohne Interessenkonflikt zu vereinbaren, und dies vom Unternehmen versprochen, aber nicht umgesetzt wurde, verhängte die Behörde eine Geldbuße.

Der betriebliche Datenschutzbeauftragte ist ein Erfolgsmodell und ein sehr wichtiges Element der Datenschutzorganisation in Deutschland. Der Datenschutzbeauftragte kann jedoch nicht von einer Person wahrgenommen werden, die auch Aufgaben im Unternehmen hat, die im Widerspruch zu einer unabhängigen, wirksamen internen Datenschutzaufsicht stehen.

Unternehmen, die gesetzlich verpflichtet sind, einen Datenschutzbeauftragten zu benennen, können daher nur eine Person als Datenschutzbeauftragten benennen, die in der Lage ist, diese Aufgabe ohne irrelevante Einschränkungen zu erfüllen. Wie können Sie als Unternehmen solche Bußgelder vermeiden? Entweder Sie vermeiden solche Interessenkonflikte oder Sie greifen auf eine transparente und kostengünstige externe Beauftragung des Datenschutzbeauftragten wie z.B. a.s.k. zurück.

datenschutzerklärung. Übrigens auch für die offiziellen Datenschutzbeauftragten!