Datenschutz
verantwortlich
steuern.

Ein externer Datenschutzbeauftragter übernimmt die gesetzlich vorgesehene DSB-Funktion als unabhängiger externer Dienstleister. Er berät den Verantwortlichen und die Beschäftigten, überwacht die Einhaltung datenschutzrechtlicher Vorgaben im Rahmen seiner gesetzlichen Aufgaben, begleitet Datenschutz-Folgenabschätzungen und dient als Anlaufstelle für Aufsichtsbehörden und betroffene Personen.

Für nichtöffentliche Stellen besteht nach § 38 BDSG grundsätzlich eine Benennungspflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Zusätzlich gibt es Fälle, in denen die Benennung unabhängig von dieser Personenzahl erforderlich ist – beispielsweise bei Verarbeitungen, die einer Datenschutz-Folgenabschätzung unterliegen, bestimmten geschäftsmäßigen Verarbeitungen oder den in Art. 37 DSGVO genannten Kerntätigkeiten.

Entscheidend ist nicht allein der arbeitsrechtliche Status, sondern ob Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Je nach tatsächlicher Tätigkeit können daher auch Teilzeitkräfte, Auszubildende, freie Mitarbeitende oder andere eingesetzte Personen relevant sein. Die konkrete Zählweise sollte anhand der organisatorischen Situation geprüft werden.

Ja. Die 20-Personen-Grenze ist lediglich ein zusätzlicher deutscher Benennungstatbestand. Eine Pflicht kann insbesondere bei bestimmten risikoreichen Verarbeitungen mit Datenschutz-Folgenabschätzung oder nach Art. 37 DSGVO entstehen, wenn die Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung oder eine umfangreiche Verarbeitung besonderer Datenkategorien umfasst.

Art. 9 DSGVO nennt besondere Kategorien personenbezogener Daten. Dazu gehören unter anderem Angaben zur rassischen oder ethnischen Herkunft, politischen Meinung, religiösen oder weltanschaulichen Überzeugung, Gewerkschaftszugehörigkeit sowie genetische Daten, bestimmte biometrische Daten, Gesundheitsdaten und Daten zum Sexualleben oder zur sexuellen Orientierung. Für die Benennungspflicht nach Art. 37 DSGVO ist jedoch nicht jede einzelne Verarbeitung solcher Daten automatisch ausreichend; maßgeblich ist insbesondere, ob deren umfangreiche Verarbeitung zur Kerntätigkeit gehört.

Ein Datenschutzbeauftragter sollte über angemessene berufliche Qualifikation und Fachwissen im Datenschutzrecht und in der Datenschutzpraxis verfügen. In der Praxis sind zusätzlich technische und organisatorische Kenntnisse, Verständnis für Unternehmensprozesse, Unabhängigkeit, Zuverlässigkeit und gute Kommunikationsfähigkeiten entscheidend.

Das hängt von der Organisation ab. Bei einer internen Lösung entstehen neben der Arbeitszeit häufig Aufwände für Qualifikation, regelmäßige Weiterbildung, Vertretung und organisatorische Absicherung. Externe Modelle können insbesondere für kleine und mittelständische Unternehmen wirtschaftlich attraktiv sein, weil Fachkompetenz und Kapazität bedarfsgerecht eingekauft werden. Für größere oder sehr spezielle Organisationen kann dagegen auch eine interne DSB-Funktion sinnvoll sein.

Der Aufwand wird typischerweise durch Unternehmensgröße, Zahl der Gesellschaften und Standorte, vorhandenen DSGVO-Umsetzungsstand, Komplexität der Verarbeitungstätigkeiten und gewünschten Beratungsumfang beeinflusst. AlphaTech bietet verschiedene Betreuungspakete an; wenn diese nicht passen, kann ein individuelles Angebot erstellt werden.

Zunächst sollten bestehende Vertrags- und Benennungsverhältnisse sowie offene Themen geprüft werden. Anschließend wird die Übergabe der Dokumentation und laufenden Maßnahmen organisiert und die neue Benennung umgesetzt. Ziel ist ein sauberer Übergang ohne Verlust von Wissen, Fristen oder Verantwortlichkeiten.

Ein Datenschutzvorfall sollte unverzüglich gesichert, dokumentiert und hinsichtlich möglicher Risiken für betroffene Personen bewertet werden. Sofern eine Meldepflicht nach Art. 33 DSGVO besteht, ist die zuständige Aufsichtsbehörde grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu informieren. Abhängig vom Risiko können weitere Maßnahmen erforderlich sein.

Technische und organisatorische Sicherheit ist ein zentraler Bestandteil des Datenschutzes. Art. 32 DSGVO verlangt angemessene Schutzmaßnahmen für personenbezogene Daten. Deshalb sollten Datenschutz, Berechtigungen, IT-Systeme, Cloud-Dienste, Sicherheitskonzepte und Dienstleister nicht isoliert voneinander betrachtet werden.