Der Datenschutzbeauftragte im Arbeitsrecht
Informationen zur Bestellung und zu den arbeitsrechtlichen Aufgaben des Datenschutzbeauftragten
Lesedauer: 2 Minuten
Definition
Unternehmen haben in bestimmten Fällen einen Datenschutzbeauftragten zu bestellen. Er soll primäre Ansprechperson im Datenschutz sein und hat Überwachungs-, Überprüfungs- und Beratungsrechte.
Verpflichtende Bestellung
Ein Datenschutzbeauftragter muss immer dann bestellt werden, wenn
- die Kerntätigkeit in der Durchführung von Verarbeitungsvorgängen besteht, die aufgrund ihrer Art, ihres Umfanges und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen (z.B. Banken, Versicherungen, Berufsdetektive).
- die Kerntätigkeit in der umfangreichen Verarbeitung sensibler Daten oder von Daten über strafrechtliche Verurteilungen oder Straftaten besteht (z.B. Krankenanstalten). Sensible Daten sind jene von natürlichen Personen über ihre rassische und ethnische Herkunft, politische Meinung, Gewerkschaftszugehörigkeit, religiöse oder philosophische Überzeugung, Gesundheit oder ihr Sexualleben.
Die Unternehmensgröße spielt keine Rolle. Der Datenschutzbeauftragte kann ein Arbeitnehmer oder ein Selbständiger sein.
Auch der Betriebsrat unterliegt der Kontrolle des Datenschutzbeauftragten, wenn er Mitarbeiterdaten verarbeitet. Dies ist in der Regel auch der Fall. Aus diesem Grund dürfen Betriebsräte auch nicht zum Datenschutzbeauftragten bestellt werden.
Freiwillige Bestellung
Die freiwillige Bestellung eines Datenschutzbeauftragten ist jederzeit möglich.
Ein freiwillig bestellter Datenschutzbeauftragter hat dieselbe Stellung und dieselben Aufgaben wie ein Datenschutzbeauftragter, der verpflichtend zu bestellen ist.
Rechte
- Einbindung in alle Fragen die sich mit dem Schutz von personenbezogenen Daten stellen
- Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen
- Beistellung von erforderlichen Ressourcen (Sachaufwand, z.B. PC, Internetverbindung) durch Verantwortlichen oder Auftragsverarbeiter
- Beistellung von Fachliteratur zur Fortbildung durch Verantwortlichen oder Auftragsverarbeiter.
Im Gegensatz zum Betriebsrat hat der Datenschutzbeauftragte keinen Freistellungsanspruch. Wird daher ein Arbeitnehmer zum Datenschutzbeauftragten bestellt, muss er grundsätzlich seine Arbeitsleistung weiter erbringen.
Pflichten
Der Datenschutzbeauftragte hat jedenfalls die folgenden Aufgaben zu erfüllen:
- Die Unterrichtung und Beratung der Unternehmer und Mitarbeiter hinsichtlich ihrer Pflichten nach dem Datenschutzrecht.
- Die Überwachung und Überprüfung der Einhaltung der Datenschutzvorschriften und Strategien für den Schutz personenbezogener Daten, einschließlich der Zuweisung von Zuständigkeiten, Sensibilisierung und Schulung der Mitarbeiter.
- Beratung von betroffenen Personen zu allen mit der Verarbeitung ihrer personenbezogenen Daten und mit der Wahrnehmung ihrer Rechte im Zusammenhang stehenden Fragen.
- Zusammenarbeit mit der Aufsichtsbehörde und fungieren als Anlaufstelle für diese.
Arbeitsrechtliche Stellung
Der Datenschutzbeauftragte muss nicht ausschließlich im Bereich des Datenschutzes tätig sein. Er kann auch andere Aufgaben und Pflichten übernehmen, doch darf dies nicht zu einem Interessenkonflikt führen (z.B. bei einem Geschäftsführer oder Personalverantwortlichen).
Unabhängig davon ist er bei Erfüllung seiner Aufgaben weisungsfrei. Weisungen, die sich nicht auf seine Tätigkeit als Datenschutzbeauftragter beziehen, können ihm aber sehr wohl erteilt werden z.B. zur Arbeitsleistung oder zur Durchführung der Tätigkeit.
Der Datenschutzbeauftragte ist bei der Erfüllung seiner Aufgaben zur Geheimhaltung und Vertraulichkeit verpflichtet. Er hat unmittelbar an die höchste Managementebene zu berichten.
Arbeitsrechtlicher Schutz
Der Datenschutzbeauftragte darf wegen der Erfüllung seiner Aufgaben als Datenschutzbeauftragter nicht benachteiligt werden. Eine Benachteiligung liegt jedenfalls dann vor, wenn er verschlechternd versetzt oder diskriminiert wird.
Wegen der Ausübung seiner Funktion darf der Datenschutzberechtigte nicht abberufen werden. Eine Kündigung oder Entlassung aus diesem Grund ist ebenfalls unzulässig.
Sanktionen
Bei der erstmaligen Missachtung der Verpflichtung zur Bestellung eines Datenschutzbeauftragten sowie bei Verstoß gegen andere Vorschriften, die ihn betreffen, erfolgt eine Verwarnung durch die Datenschutzbehörde. Im Wiederholungsfall drohen Strafen mit bis zu EUR 10 Mio oder 2 % des letztjährigen weltweiten Jahresumsatzes.
Rechtsquellen
- Artikel 37-39 EU-Datenschutz-Grundverordnung
- Artikel 83 Absatz 4 und 5 EU-Datenschutz-Grundverordnung
- § 11 Datenschutz-Anpassungsgesetz 2018
Stand: 26.11.2024