Datenschutzbeauftragte im Sinne der DSGVO

Allgemeine Informationen zur Rolle von Datenschutzbeauftragten

Bei Datenschutzbeauftragten (DSBA) handelt es sich um die zentralen Ansprechpersonen für Datenschutzfragen im Unternehmen. Zu ihren Aufgaben zählen:

• Information und Beratung:
  • DSBA informieren und beraten sowohl den Verantwortlichen, den Auftragsverarbeiter als auch die Mitarbeitenden, damit diese ihre Pflichten im Sinne der DSGVO erfüllen können. Dazu zählen auch die klare Regelung von Zuständigkeiten sowie die Schulung und Sensibilisierung der Mitarbeitenden.
  • Auf Anfrage beraten DSBA bei der Datenschutz-Folgenabschätzung und überwachen ihre Durchführung.
• Überwachung und Kontrolle: DSBA überwachen und überprüfen, ob das Unternehmen die Datenschutzvorschriften und Strategien zum Schutz personenbezogener Daten einhält.
• Kommunikation nach außen: DSBA fungieren als primäre Ansprechpartner:innen für betroffene Personen und die Aufsichtsbehörde. Betroffene Personen können sich mit allen Fragen, die im Zusammenhang mit der Verarbeitung ihrer personenbezogenen Daten sowie mit der Wahrnehmung ihrer Rechte nach der DSGVO stehen, an DSBA wenden.

Muss Ihr Unternehmen eine:n Datenschutzbeauftragte:n bestellen?

Sie müssen nur in folgenden Fällen eine:n DSBA verpflichtend bestellen:

1. Die Kerntätigkeit  Ihres Unternehmens besteht in der Durchführung von Verarbeitungsvorgängen, die aufgrund ihrer Art, ihres Umfanges und/oder ihrer Zwecke eine umfangreiche sowie  regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen.
   1. Handelt es sich bei der Verarbeitung personenbezogener Daten in Ihrem Unternehmen um eine „Kerntätigkeit?
   2. Wann handelt es sich im Sinne der DSGVO um eine „umfangreiche Verarbeitung?  
      

      ---

      Beispiel
      Banken, Versicherungen, Kreditauskunfteien, Berufsdetektive. 

      ---

      oder 
2. Die Kerntätigkeit Ihres Unternehmens besteht in der umfangreichen Verarbeitung sensibler Daten oder von Daten über strafrechtliche Verurteilungen oder Straftaten. 
   1. Wann handelt es sich im Sinne der DSGVO um eine „umfangreiche Verarbeitung? 
      

Über welche Fachkenntnis und Praxiserfahrung sollten Datenschutzbeauftragte verfügen?

DSBA müssen über Fachwissen im Datenschutzrecht und in der Datenschutzpraxis verfügen sowie die Fähigkeit besitzen, oben genannten die gesetzlichen Aufgaben ordnungsgemäß zu erfüllen. Es gibt jedoch keine gesetzlich vorgeschriebene Ausbildung für DSBA. Die DSGVO sieht für DSBA keinen fixen Katalog der Fachkenntnis und Praxiserfahrung vor. In der Praxis geht man davon aus, dass Datenschutzbeauftragte in den Bereichen Recht, Technologie und Management kundig sein sollten, jeweils mit Schwerpunkt auf Daten. 

Handelt es sich bei der Verarbeitung personenbezogener Daten in Ihrem Unternehmen um eine „Kerntätigkeit“?

Die „Kerntätigkeit“ von Verantwortlichen und Auftragsverarbeitern bezieht sich auf die wichtigsten Arbeitsabläufe, die zur Erreichung der Unternehmensziele erforderlich sind. Die Verarbeitung personenbezogener Daten muss also die unternehmerische Haupttätigkeit sein. Eine Verarbeitung personenbezogener Daten als Nebentätigkeit ist nicht zu berücksichtigen.

Die „Leitlinien in Bezug auf Datenschutzbeauftragte des Europäischen Datenschutzausschusses“ helfen Ihnen dabei zu prüfen, ob es sich bei Ihrer Datenverarbeitung um eine Kerntätigkeit handelt. 

Wann handelt es sich um eine umfangreiche Verarbeitung?

Als Indikatoren für eine umfangreiche Verarbeitung gelten folgende Parameter:

• Zahl der betroffenen Personen
• Menge der verarbeiteten Daten 
• Dauer der Beobachtung oder Speicherung der Daten
• geographische Ausdehnung

Beispiel
Die Verarbeitung von Gesundheitsdaten durch ein Krankenhaus stellt aufgrund der hohen Anzahl betroffener Personen sowie der Menge der verarbeiteten Daten eine umfangreiche Verarbeitung im Sinne der DSGVO dar.
Demgegenüber ist die Verarbeitung von Gesundheitsdaten durch einzelne Ärzt:innen oder sonstige Angehörige eines Gesundheitsberufes keine umfangreiche Verarbeitung.

Wann handelt es sich um eine regelmäßige und systematische Überwachung?

Eine regelmäßige Überwachung liegt vor, wenn diese mindestens eine der folgenden Eigenschaften erfüllt:

• fortlaufend oder in bestimmten Abständen während eines bestimmten Zeitraums
• immer wieder oder wiederholt zu bestimmten Zeitpunkten
• ständig oder regelmäßig stattfindend
  

Eine systematische Überwachung liegt vor, wenn diese mindestens eine der folgenden Eigenschaften erfüllt:

• regelmäßig vorkommend
• vereinbart, organisiert oder methodisch
• im Rahmen eines allgemeinen Datenerfassungsplans erfolgend
• im Rahmen einer Strategie erfolgend
  

Beispiele
Datengesteuerte Marketingaktivitäten, Treueprogramme, verhaltensbasierte Werbung, verfolgende E-Mail-Werbung, Überwachung von Wellness-, Fitness- und gesundheitsbezogenen Daten über in Kleidung integrierte Geräte (Wearables), Überwachungskameras oder vernetzte Geräte wie intelligente Stromzähler, intelligente Autos, Haustechnik usw.

Wer kann die Rolle des bzw. der Datenschutzbeauftragte:n in Ihrem Unternehmen übernehmen?

Als DSBA in Ihrem Unternehmen können sowohl Mitarbeitende als auch Selbstständige (z. B. Anwält:innen, Unternehmensberater:innen, IT-Dienstleister:innen) fungieren. Um diese Position zu besetzen, haben Sie deshalb mehrere Möglichkeiten:

• bestehende Mitarbeitende qualifizieren
• fachlich qualifizierte Mitarbeitende rekrutieren
• mit externen Dienstleistern zusammenarbeiten
  

Bitte beachten Sie, dass die Bestellung eines bzw. einer DSBA jedenfalls nicht zu einem Interessenkonflikt führen darf.

Was müssen Sie beachten, wenn Sie eine:n Datenschutzbeauftragte:n bestellen?

Wenn Sie eine:n DSBA bestellen, sollten Sie folgende Punkte beachten:

• Aus Beweisgründen sollten Sie die Bestellung schriftlich durchführen und die klare Zustimmung des bzw. der DSBA einholen.
• Sie sind verpflichtet die Kontaktdaten des:der DSBA zu veröffentlichen. Die Angabe des Namens des:der DSBA oder einer namentlichen E-Mail-Adresse ist hierbei nicht zwingend erforderlich.  
  

  ---

  Beispiel
  Das verantwortliche Unternehmen veröffentlicht auf seiner frei zugänglichen Website die Postadresse, eine fest zugeordnete Telefonnummer und das Funktionspostfach dsba@beispiel.at, damit der:die DSBA direkt kontaktiert werden kann.

  ---

• Sie sind verpflichtet, der Datenschutzbehörde die veröffentlichten Daten per E-Mail oder per Brief zu melden. Die Meldung kann darüber hinaus den Namen/die Bezeichnung sowie die konkreten Kontaktdaten (u.a. namentliche E-Mail-Adresse) der:des DSBA beinhalten.

Wie können Sie die bzw. den Datenschutzbeauftragte:n dabei unterstützen, die Aufgaben im Unternehmen zu erfüllen?

Damit der bzw. die DSBA die Aufgaben in Ihrem Unternehmen ordnungsgemäß erfüllen kann, müssen Sie folgende Punkte beachten:

• Stellen Sie sicher, dass die bzw. der DSBA unmittelbar an die höchste Managementebene berichtet.
• Gewährleisten Sie, dass die bzw. der DSBA keine Weisungen zur Ausführung seiner Tätigkeit erhält.
• Binden Sie die bzw. den DSBA ordnungsgemäß und frühzeitig in alle mit dem Schutz personenbezogener Daten zusammenhängenden Fragen ein.
• Unterstützen Sie die bzw. den DSBA dabei, die Aufgaben zu erfüllen.
• Stellen Sie der bzw. dem DSBA die erforderlichen Ressourcen (z. B. PC, Internetverbindung, Zugang zu Fachliteratur) zur Verfügung.
• Gewähren Sie ihr bzw. ihm Zugang zu den personenbezogenen Daten und Verarbeitungsvorgängen. 
• Sorgen Sie dafür, dass die bzw. der DSBA das Fachwissen mit geeigneten Schulungen aufrechterhalten kann. 
  

Welche rechtlichen Vorgaben schützen die Datenschutzbeauftragten in ihrer Tätigkeit?

Damit DSBA ihre Aufgaben unabhängig und ohne Nachteile ausüben können, stellt die Rechtsordnung verschiedene Schutzmechanismen bereit:

• DSBA dürfen bei ihrer Arbeit keine Anweisungen bekommen, wie sie ihre Aufgaben auszuführen haben. 
• Im Gegensatz zum Betriebsrat hat ein:e DSBA keinen Freistellungsanspruch. Wird daher ein:e Mitarbeiter:in zur bzw. zum DSBA bestellt, muss die Person grundsätzlich ihre Arbeitsleistung weiter erbringen.
• DSBA dürfen wegen ihrer Tätigkeit nicht benachteiligt werden.
  Beispiel: verschlechternde Versetzung oder Diskriminierung
• DSBA dürfen wegen ihrer Tätigkeit nicht abberufen werden. Eine Kündigung oder Entlassung aus diesem Grund ist ebenfalls unzulässig. Das heißt jedoch nicht, dass DSBA einen generellen Kündigungsschutz haben.
  

Was umfasst die Geheimhaltungs- und Verschwiegenheitspflicht von Datenschutzbeauftragten?

DSBA sind verpflichtet, alle Informationen vertraulich zu behandeln, die ihnen betroffene Personen anvertrauen – außer diese Personen entbinden sie ausdrücklich davon. Besonders geschützt sind:

• die Identität der betroffenen Person
• alle Informationen, aus denen Rückschlüsse auf diese Person gezogen werden können
  

Was bedeutet das für Ihr Unternehmen?

• Die bzw. der DSBA darf sensible Informationen nicht an die Geschäftsführung oder andere Stellen im Unternehmen weitergeben, wenn keine Entbindung vorliegt.
• Dadurch entsteht für Betroffene ein geschützter Kontaktpunkt, der Vertrauen schafft und Beschwerden oder Hinweise erleichtert.
• Sie müssen sicherstellen, dass die bzw. der DSBA unabhängig arbeiten kann – ohne Druck, vertrauliche Informationen preiszugeben.
• Wenn jemand aus Ihrem Unternehmen die bzw. den DSBA kontaktiert, dürfen Sie nicht verlangen, offenzulegen, wer das war.
  

Was umfasst das Aussageverweigerungsrecht von Datenschutzbeauftragten?

DSBA können in bestimmten Fällen die Aussage verweigern. Das gilt dann, wenn sie im Rahmen ihrer Arbeit Informationen von Mitarbeitenden erhalten, denen ein gesetzliches Aussageverweigerungsrecht zusteht – und die betroffenen Personen dieses Recht tatsächlich genutzt haben. 

Was bedeutet das für Ihr Unternehmen?

• Die bzw. der DSBA muss unter Umständen keine Auskunft gegenüber Behörden oder internen Stellen geben, wenn dadurch Informationen offenbart würden, die rechtlich geschützt sind.
• Ihr Unternehmen kann die bzw. den DSBA nicht dazu verpflichten, bestimmte vertrauliche Inhalte offenzulegen.
• Dieses Recht schützt sowohl die betroffene Person als auch die bzw. den DSBA – und stellt sicher, dass Mitarbeitende sich vertrauensvoll an sie bzw. ihn wenden können.
  

Kann für eine Unternehmensgruppe ein:e gemeinsame:r Datenschutzbeauftragte:r bestellt werden?

Ja, im Falle einer Unternehmensgruppe dürfen Sie eine:n gemeinsame:n DSBA ernennen. Voraussetzung ist, dass die bzw. der DSBA von jeder Niederlassung aus leicht erreicht werden kann. 

Kann Ihr Unternehmen auf freiwilliger Basis eine:n Datenschutzbeauftragte:n bestellen?

Ja, die freiwillige Bestellung einer bzw. eines DSBA ist jederzeit möglich. Freiwillig bestellte DSBA haben dieselbe Stellung und dieselben Aufgaben wie verpflichtend bestellte DSBA. 

Welche Haftung trifft Datenschutzbeauftragte?

Die Bestimmungen hinsichtlich der Verhängung von Geldbußen und Schadenersatzforderungen richten sich regelmäßig an Verantwortliche bzw. Auftragsverarbeiter.

DSBA sind lediglich als Beratungs- und Kontrollorgan tätig. Eine Bestellung von Datenschutzbeauftragten als verantwortlicher Beauftragter nach dem Verwaltungsstrafgesetz ist daher nicht zulässig.

Die DSGVO sieht keine unmittelbaren Sanktionen für DSBA selbst vor, falls diese ihre Aufgaben nicht erfüllen. Entsteht einem Verantwortlichen oder einem Auftragsverarbeiter jedoch ein Schaden, der auf eine schuldhafte Pflichtverletzung der bzw. des DSBA zurückzuführen ist, können DSBA nach allgemeinen zivilrechtlichen Grundsätzen zur Haftung gezogen werden.

Welche Strafen drohen, wenn Ihr Unternehmen keine:n verpflichtende:n Datenschutzbeauftragte:n bestellt? 

Wenn Ihr Unternehmen die Pflicht zur Bestellung einer bzw. eines DSBA sowie die sonstigen Pflichten im Zusammenhang mit DSBA missachtet, drohen folgende Geldstrafen:

• bis zu 10 Mio. EUR oder 
• 2 Prozent des letztjährigen weltweiten Jahresumsatzes 
  

Zum Nachschlagen: Gesetzliche Bestimmungen zu Datenschutzbeauftragten

• DSGVO Artikel 37 (Benennung eines DSBA)
• DSGVO Artikel 38 (Stellung des DSBA)
• DSGVO Artikel 39 (Aufgaben des DSBA)
• Relevante Erwägungsgründe: 91, 97
• DSG § 5
• Leitlinien in Bezug auf Datenschutzbeauftragte des Europäischen Datenschutzausschusses der EU-Kommission (vormalig Art 29-Gruppe)

Kontakt für Rückfragen

Sie haben weitere Fragen zum Datenschutz oder zu DSGVO4KMU? Wir unterstützen Sie gerne. 

• Zur Kontaktseite