Externer Datenschutzbeauftragter

Nach Art. 37 Abs. 1 DSGVO ist ein DSB zu bestellen, wenn:

• Die Verarbeitung von einer Behörde oder öffentlichen Stelle durch geführt wird, mit Ausnahme von Gerichten, die im Rahmen ihrer justiziablen Tätigkeit handeln.
• Die Kerntätigkeit in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs und/oder Ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen.
• Die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Strafen besteht.
• Gemäß § 38 BDSG muss auch ein DSB bestellt werden, soweit in der Regel MINDESTENS 10 PERSONEN ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
• Bei automatisierter Datenverarbeitung, die einer DATENSCHUTZ-FOLGENABSCHÄTZUNG unterliegen: Profiling, Scoring etc.
• Bei geschäftsmäßiger Übermittlung personenbezogener Daten.
• Bei automatisierter Verarbeitung für Zwecke der Markt- & Meinungsforschung.

§ 4f Abs. 2 BDSG: Zum Beauftragten für den Datenschutz darf nur bestellt werden, wer die zur Erfüllung seiner Aufgaben erforderliche Fachkunde und Zuverlässigkeit besitzt. Das Maß der erforderlichen Fachkunde bestimmt sich insbesondere nach dem Umfang der Datenverarbeitung der verantwortlichen Stelle und dem Schutzbedarf der personenbezogenen Daten, die die verantwortliche Stelle erhebt oder verwendet. Zum Beauftragten für den Datenschutz kann auch eine Person außerhalb der verantwortlichen Stelle bestellt werden; die Kontrolle erstreckt sich auch auf personenbezogene Daten, die einem Berufs- oder besonderen Amtsgeheimnis, insbesondere dem Steuergeheimnis nach § 30 der Abgabenordnung, unterliegen. Kurz gefasst: Der Geschäftsführer, IT-Leiter oder Personen im Unternehmen die sich selbst kontrollieren müssten sind nicht geeignet.

Benennung eines DSB, Art. 37 DS-GVO bzw. § 38 BDSG Da die DS-GVO und die JI-RL lediglich von einer Benennung des Datenschutzbeauftragtensprechen, ist eine Schriftform, wie sie derzeit in § 4f Absatz 1 Satz1 BDSG geregelt ist, nicht mehr vorgeschrieben. Aus Beweisgründen und zur Rechtsklarheit ist eine schriftliche Benennung eines Datenschutzbeauftragten jedoch empfehlenswert. Zudem wird empfohlen, die Aufgaben des Datenschutzbeauftragten durch den Verantwortlichen im Vertrag explizit festzuhalten, damit sich der Verantwortliche und der Datenschutzbeauftragte über seine Aufgaben im Klaren sind. Einen kostenlosen Mustervertrag zur Bestellung eines externen Datenschutzbeauftragten finden Sie hier: Download Mustervertrag DSB Kündigung Zum Schutz des Datenschutzbeauftragten gewährleistet die DS-GVO Abberufungsschutz sowie ein Benachteiligungsverbot (Art. 38 Abs. 3 S. 2 DS-GVO). Der Datenschutzbeauftragte darf von dem Verantwortlichen oder dem Auftragsverarbeiter wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden. Möglich ist jedoch nach der DS-GVO ein betriebsbedingter Wegfall der Bestellung. Ebenso wenig genießt der Datenschutzbeauftragte nach der DS-GVO besonderen arbeitsrechtlichen Schutz. Auf Grund seiner Befugnis zur Regelung des materiellen Arbeitsrechts ist dem nationalen Gesetzgeber jedoch unbenommen, einen Sonderkündigungsschutz für Datenschutzbeauftragte auf nationaler Ebene weiterhin vorzusehen. Die Vertragslaufzeit eines externen DSB kann jedoch mit einer Frist vertraglich festgelegt werden.