Anforderungen an einem Datenschutzbeauftragten
Der Datenschutzbeauftragte muss eine hohe Fachkompetenz haben und über ausreichende Ressourcen verfügen, um seine Aufgaben effektiv wahrnehmen zu können. Besonders wichtig ist das der DSB auch unabhängig von anderen Bereichen des Unternehmens oder der Organisation agieren kann, um eine objektive Beratung und Überwachung gewährleisten zu können.
Der/Die Unternehmer*in sollte aber auf jeden darauf achten, dass der betrieblicher DSB auch die geforderten Fähigkeiten besitzt. Hat er diese Fähigkeiten nicht, oder werden diese erst später erworben, dann wird dies Gesetzlich so behandelt, als ob kein DSB im Unternehmen vorhanden wäre.
Der interne Datenschutzbeauftragte
Der interne Datenschutzbeauftragte hat den (vermeintlichen) Vorteil der geringeren Kosten. Unbestritten ist auch die Tatsache dass der/die Mitarbeiter*in die internen Unternehmensstrukturen, Abläufe und Mitarbeiter*innen bereits kennt.
Wenn der/die interne Mitarbeiter*in also alle notwendigen Anforderungen erfüllt, kann dieser als interner Datenschutzbeauftragten bestellt werden. Nach der Berufung zum internen Datenschutzbeauftragten steht der/die Mitarbeiter*in dabei unter einem erweiterten Kündigungsschutz und hat Rechte auf weitere Ansprüche, wie zum Beispiel eine eigene Ausstattung und Fortbildungen.
Auf den ersten Blick ist die Bestellung eines internen Datenschutzbeauftragten also sehr verlockend. Damit die Aufsichtsbehörde die Bestellung akzeptiert, müssen aber auch einige Voraussetzungen erfüllt werden:
- Keine unternehmerische Verantwortung
Der zukünftige DSB darf hinsichtlich personenbezogener Daten keine Verantwortung tragen. Es darf auch nicht zu einem Interesskonflikt kommen. Damit können die Geschäftsführung, deren Lebenspartner, EDV-Verantwortlicher, Vertriebsleiter und Personalleiter nicht mit der Position des internen Datenschutzbeauftragten betraut werden.
- Erforderliche Fachkunde
Die geforderte Fachkunde in den juristischen und technischen Bereichen muss bereits bei der Bestellung nachgewiesen werden können.
- Vertrauen der Geschäftsführung und Mitarbeiter
Da der/die Mitarbeiter*in auch mit sensible Betriebsinternas in Berührung kommt, muss diese*r das Vertrauen vom Unternehmer*in haben. Da er/sie aber auch der/die Ansprechpartner*in für die Mitarbeiter*innen sein soll, muss er/sie auch deren Vertrauen haben und halten können. - Kündigungsschutz
Der erhöhte Kündigungsschutz darf für das Unternehmen kein Problem darstellen.
Besonders zu beachten:
Nach einem Gerichturteil aus dem Jahr 2022 kann der Unternehmer*in den internen Datenschutzbeauftragten nicht einfach für einen externer Datenschutzbeauftragten austauschen. ( Aktenzeichen C‑534/20)
Der externe Datenschutzbeauftragte
Diese Lösung erscheint in den meisten Fällen für Unternehmen deutlich teurer zu sein als ein interner Datenschutzbeauftragter. Bein nähere Betrachtung ist aber fraglich ob dies aber wirklich so ist.
Entscheider sollten bedenken, dass ein interner Datenschutzbeauftragter auch Personalkosten entstehen lässt. Vor allem in der Anfangsfase wird seine effektive Arbeitszeit als DSB durch Weiterbildungsmaßnahmen, Planung und das Sammeln von Erfahrungen im Umgang mit der DS-GVO viel Zeit in Anspruch nehmen. Auch im Bereich des Kündigungsschutzes ist ein externer Datenschutzbeauftragter weniger problematisch.
Weitere Vorteile eines externen Datenschutzbeauftragten
- Fachlicher Expertise im Bereich Datenschutz
Der externe Datenschutzbeauftragte hat in der Regel schon mehrere Unternehmen betreut. Somit wird er wissen welche Schritte in welcher Reihenfolge notwendig sind. Auch wird er die Prioritäten kennen und diese für das Unternehmen klar erkennbar machen.
Die Mitarbeiter*innen werden die möglichen Verbesserungen sofort erkennen und verstehen, worauf der Datenschutz abzielt. Sie werden somit bestmöglich eingebunden und wissen, dass sie sich mit ihren Fragen jederzeit an einen Experten wenden können.
- Juristische und technische Kompetenz
Von einer externen Datenschutzbeauftragten kann man erwarten das sein juristische und technische Kompetenz außer Frage stehen. Diese Kompetenzen sollte er auch nachweisen können.
Mit seinem theoretischen Wissen der DS-GVO und praktische Erfahrungen in der Umsetzung ist sein Rat gefragt und wird bei den Entscheidungen berücksichtigt. Der externe Datenschutzbeauftragter sollte lösungsorientiert und pragmatisch sein. ein gutes und sachliches Verhältnis sowohl zur Geschäftsführung, als auch zum Management, als auch zu den Beschäftigten aufzubauen
- Prophet im eigenen Land
Als „Fremder“ im Unternehmen hat der externe Datenschutzbeauftragte den Vorteil optimal zwischen den (manchmal divergierenden) Interessen van Arbeitgeber und Arbeitnehmer vermitteln zu können. Der externe Datenschutzbeauftragte ist dabei nicht der „Prophet im eigenen Land“. Wenn er etwas zu bemängeln hat, dann wird es von den Mitarbeitern*ìnnen häufig nicht als Kritik angesehen, sondern als objektiver Handlungsbedarf. Große Diskussionen, Zänkerei und Missgunst werden somit vermieden. Es gibt nur Herausforderungen und Lösungen.
- Neutral im unternehmen
Der Datenschutzbeauftragte stellt sowohl für Personal als auch für die Geschäftsführung die erste Instanz dar, die bei datenschutzrechtlichen Fragestellungen kontaktiert wird. Der Datenschutzbeauftragte sollte daher stets eine neutrale Position im Unternehmen einnehmen, so dass sowohl die Mitarbeiter als auch die Geschäftsführung ihn als unabhängige Instanz wahrnehmen und sich seiner Unvoreingenommenheit sicher sein können.
- Verlässlich und zuverlässig
Dass ein Datenschutzbeauftragte zuverlässig, also verlässlich sein muss steht außer Frage. Er sollte aber auch ohne Interessenkonflikte im Unternehmen agieren können.
Dies ist auch der Grund, warum IT-Mitarbeiter, Mitarbeiter der Personalabteilung und viele weitere interne Positionen als Datenschutzbeauftragter ausscheiden: Sie hätten die Aufgabe, ihr eigenes Agieren zu kontrollieren. Zuverlässig im Sinne des Gesetzes können nur Personen sein, für die eine Tätigkeit als Datenschutzbeauftragter nicht im Widerspruch zu ihrer sonstigen Tätigkeit oder Position im Unternehmen steht.
Durch seine breiten Erfahrungen im Umgang mit der DS-GVO, seine praktische Erfahrungen und bei Verhandlungen mit Dritten, wie z.B. Auftragsverarbeitern können Sie sich auf das fundierte Wissen und Können des externen Datenschutzbeauftragten verlassen.
- Kostensicherheit und Planungssicherheit
Der externe Datenschutzbeauftragte benötigt neben seiner Bestellung noch einen Dienstleistungsvertrag, auf dessen Grundlage er tätig wird. Dieser Vertrag kann zwischen dem Unternehmen und der zukünftigen externen Datenschutzbeauftragten frei ausgehandelt werden. In der Regel enthält der Dienstleistungsvertrag die Aufgaben und die entsprechenden Preise sowie Laufzeiten und Kündigungsfristen. Für den Unternehmer bedeutet dieses eine hohe Planungssicherheit.
Die genaue Gestaltung der Vergütung ist frei. So kann etwa eine monatliche Pauschale entrichtet oder aber nach einzelnen Leistungen oder Projekten bezahlt werden.