Aufgaben des Datenschutzbeauftragten
Wer auf der sicheren Seite sein will, sollte sich zunächst über das Aufgabenspektrum eines Datenschutzbeauftragten klar werden. Seine Arbeitsschwerpunkte liegen im Beraten, Überwachen und Dokumentieren.
-
Beratung: Der Datenschutzbeauftragte berät sowohl die Geschäftsleitung als auch die Mitarbeiter, den Betriebsrat und selbstverständlich die IT-Abteilung in allen Datenschutzfragen. Er hilft ihnen auch bei der Ausgestaltung von Verträgen, beispielsweise Vertriebsvereinbarungen in puncto Internet-, Mail- und Telefonnutzung oder Geheimhaltungserklärungen. Darüber hinaus ist er Anlaufstelle Nummer eins für alle Anfragen und Beschwerden, die den Datenschutz betreffen.
-
Überwachung: Gleichzeitig ist dafür verantwortlich, dass der Persönlichkeitsschutz gewährleistet ist. Entspricht die IT den aktuellen Datenschutzrichtlinien? Werden die Vorschriften in allen Phasen der Datenverarbeitung eingehalten? Erfüllen neue oder geplante Systeme die geforderten Standards? Sind die vorhandenen Systeme dokumentiert? Diese Fragen muss der Datenschutzbeauftragte klären.
-
Dokumentation: Last, but not least wirkt der Datenschutzbeauftragte bei der Dokumentation der eingesetzten Verfahren zur Verarbeitung personenbezogener Daten mit, beispielsweise bei Vorabkontrollen oder Verfahrensbeschreibungen.
Unabhängigkeit ist Bedingung
In einem zweiten Schritt gilt es dann, zu überlegen, welcher Mitarbeiter als Datenschutzbeauftragter in Betracht kommt. Dabei fragt sich nicht nur, wer aufgrund seiner Ausbildung, Fähigkeiten und Erfahrungen diese Aufgaben übernehmen beziehungsweise dafür geschult werden kann. Es ist vor allem darauf zu achten, dass diese Person ihre Unabhängigkeit bewahrt. Deshalb darf diese Tätigkeit nicht von jemandem ausgeübt werden, der eine leitende Funktion im Unternehmen ausübt. Gesucht ist also ein Mitarbeiter, der über ausreichend juristischen und technischen Sachverstand verfügt und damit ein gewisses Basis-Know-how für Fortbildung und Qualifizierung hat, der aber nicht der Führungsriege angehört.
BDSG Paragraf 4f im Wortlaut
(1) Öffentliche und nicht öffentliche Stellen, die personenbezogene Daten automatisiert erheben, verarbeiten oder nutzen, haben einen Beauftragten für den Datenschutz schriftlich zu bestellen. Nicht öffentliche Stellen sind hierzu spätestens innerhalb eines Monats nach Aufnahme ihrer Tätigkeit verpflichtet. [...] Die Sätze 1 und 2 gelten nicht für nicht öffentliche Stellen, die höchstens vier Arbeitnehmer mit der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten beschäftigen. [...]
(2) Zum Beauftragten für den Datenschutz darf nur bestellt werden, wer die zur Erfüllung seiner Aufgaben erforderliche Fachkunde und Zuverlässigkeit besitzt. Mit dieser Aufgabe kann auch eine Person außerhalb der verantwortlichen Stelle betraut werden. [...]
(3) Der Beauftragte für den Datenschutz ist dem Leiter der öffentlichen oder nicht öffentlichen Stelle unmittelbar zu unterstellen. Er ist in Ausübung seiner Fachkunde auf dem Gebiet des Datenschutzes weisungsfrei. Er darf wegen der Erfüllung seiner Aufgaben nicht benachteiligt werden. [...]
(4) Der Beauftragte für den Datenschutz ist zur Verschwiegenheit über Identität des Betroffenen sowie über Umstände, die Rückschlüsse auf den Betroffenen zulassen, verpflichtet, soweit er nicht davon durch den Betroffenen befreit wird.
(5) Die öffentlichen und nicht öffentlichen Stellen haben den Beauftragten für den Datenschutz bei der Erfüllung seiner Aufgaben zu unterstützen und ihm insbesondere, soweit dies zur Erfüllung seiner Aufgaben erforderlich ist, Hilfspersonal sowie Räume, Einrichtungen, Geräte und Mittel zur Verfügung zu stellen. Betroffene können sich jederzeit an den Beauftragten für den Datenschutz wenden.
In der Belegschaft größerer Unternehmen lassen sich sehr wahrscheinlich gleich mehrere Mitarbeiter mit diesen Voraussetzungen identifizieren. Für die kleinen und mittleren Unternehmen dürfte es hingegen schwierig sein, eine geeignete Person zu finden. Das Argument "zu dünne Personaldecke" wird die Überwachungsbehörde jedoch nicht gelten lassen.