Datenschutz
Welche Aufgaben haben Datenschutzbeauftragte in Unternehmen? Erfahren Sie hier mehr über Theorie und Praxis im betrieblichen Datenschutz.
Zum Blog Wissen kompakt
Manche Themen sind genauso wichtig wie unbeliebt. Ein Paradebeispiel dafür ist der Datenschutz. Deshalb sind viele Führungskräfte in Unternehmen dankbar über Datenschutzbeauftragte (in der Praxis häufig als „betriebliche Datenschutzbeauftragte“ bezeichnet), die dafür sorgen, dass bei der Speicherung und Verarbeitung personenbezogener Daten alles mit rechten Dingen zugeht.
Aber wie sieht der Arbeitsalltag betrieblicher Datenschutzbeauftragter aus, welche Aufgaben müssen sie bewältigen und wie können sie Führungskräfte dabei unterstützen? Wir haben uns mit Dr. Thomas Balzer, Partner bei Zuhorn & Partner Rechtsanwälte, darüber unterhalten, warum der Job von Datenschutzbeauftragten in der Praxis noch anspruchsvoller ist als in der Theorie und worauf Neulinge besonders achten sollten.
Wer nach den Aufgaben und Pflichten eines Datenschutzbeauftragten fragt, bekommt zwei mögliche Antworten.
Tatsächlich stimmt beides laut Thomas Balzer nicht hundertprozentig überein. „Der Gesetzgeber hat die Idee, dass Datenschutzbeauftragte darauf achten, dass Gesetze wie die DSGVO (Datenschutz-Grundverordnung) und das BDSG (Bundesdatenschutzgesetz) eingehalten werden, und darauf aufmerksam machen, wenn das nicht der Fall ist. Sie haben also eher eine Kontrollfunktion.“
Aus der DSGVO lassen sich entsprechend folgende Aufgaben von Datenschutzbeauftragten ableiten:
Laut Gesetzgeber ist die Umsetzung von Datenschutzmaßnahmen nicht Aufgabe des betrieblichen Datenschutzbeauftragten. An dieser Stelle sieht Thomas Balzer eine deutliche Lücke zwischen Theorie und Realität klaffen. „Die Idealvorstellung der reinen Aufsicht ist eine Illusion. In der Praxis haben Datenschutzbeauftragte in 95 Prozent aller Fälle auch eine operative Umsetzungsfunktion.“
Das fängt beim Erstellen von Unterlagen an. Welche im Einzelfall erforderlich sind, hängt von der Organisation und Komplexität von Datenverarbeitungsprozessen ab, aber die folgenden gehören zu einer Mindestdokumentation.
Oft leiten Datenschutzbeauftragte die komplette Datenschutzorganisation in Unternehmen. Dafür gibt es einen einfachen Grund, so Thomas Balzer: „Die Ressourcen und das Know-How fehlen“. Dabei vermittelt ein moderner Datenschutzbeauftragter heute zwischen strategischer Beratung, Risikomanagement und Reporting.
Ihre TÜV NORD Akademie bietet Ihnen ein breites Spektrum an Seminaren und Weiterbildungen.
Der (tatsächliche) Job einer oder eines Datenschutzbeauftragten wird immer anspruchsvoller. Die zunehmende Digitalisierung in Unternehmen erhöhte die Komplexität und den Umfang von Datenverarbeitung, so dass tiefgehende Technologieverständnis immer wichtiger wird. Hinzu kommt, dass es immer neue Regulierungen auf EU-Ebene gibt, die sehr stark mit dem Datenschutz verwandt sind. Dazu gehören die KI-Verordnung (EU AI Act), der Data Act oder die strengen Regelungen zur Informationssicherheit durch NIS2. Häufig überschneiden sich die rechtlichen Fragen. „Wir beobachten eine klare Tendenz: Der Datenschutzbeauftragte wird zunehmend zum Hauptansprechpartner für Fragen zur digitalen Regulierung und kommt dabei ohne umfassende Ausbildung nachvollziehbarerweise an Grenzen“, berichtet Thomas Balzer.
Die rein datenschutzrechtlichen Aspekte des Jobs des Datenschutzbeauftragten sind dabei schon vielseitig.
Das liegt zum einen daran, dass er in der Praxis mindestens drei Seiten hat:
„Man ist schnell damit überfordert, dass man in so vielen Bereichen ein solides Basiswissen haben muss“, konstatiert Thomas Balzer.
Zum anderen gibt es keinen Leitfaden, den Datenschutzbeauftragte abarbeiten könnten. Stattdessen stehen sie vor der Aufgabe, ein abstraktes Gesetz in konkrete Maßnahmen zu überführen. Den meisten frischgebackenen Datenschutzbeauftragten fehlen dazu die Erfahrungswerte, beobachtet Thomas Balzer. „Wie muss ich was formulieren, wo im Unternehmen ergeben sich datenschutzrechtliche Fragen, wo finden sich entsprechende Vorlagen? Das sind große Herausforderungen, wenn das Handwerkszeug fehlt.“ Besonders gilt das für Personen, die in Teilzeit Datenschutzbeauftragte beziehungsweise Datenschutzbeauftragter sind.
Besser bewältigen lassen sich diese Herausforderungen mit professioneller Unterstützung. Thomas Balzer empfiehlt Datenschutzbeauftragten, nicht nur ein Einführungsseminar zu Beginn ihrer Tätigkeit zu besuchen. Ideal sei es, zusätzlich nach einiger Zeit im Job an einem Aufbaukurs teilzunehmen. Dann hätten Datenschutzbeauftragte bereits Erfahrungen gesammelt, sodass sie wüssten, worauf es ankommt und welche Fragen sich im Alltag stellen.
Thomas Balzer unterscheidet zwei Arten, wie Datenschutzbeauftragte, die neu in einem Unternehmen sind, an ihre Arbeit herangehen können.
So oder so gehört es für Thomas Balzer zum Berufsalltag von Datenschutzbeauftragten, Risiken abzuwägen. Schließlich werde in vielen Unternehmen mit Millionen personenbezogenen Daten umgegangen. Jede E-Mail unter die Lupe zu nehmen, sei aber kaum möglich. Auch Art und Tätigkeit des Unternehmens spielen eine wesentliche Rolle. „Eine Metzgerei hat ein ganz anderes datenschutzrechtliches Profil als ein Unternehmen, dessen Geschäftsmodell von personenbezogenen Daten lebt.“
Wie gut eine Datenschutzbeauftragte beziehungsweise ein Datenschutzbeauftragter arbeiten können, hängt nicht zuletzt vom Umfeld ab. Thomas Balzer hält es für besonders wichtig, dass sich das Management zu dem Thema Datenschutz bekennt und Datenschutzbeauftragten die notwendigen Ressourcen zur Verfügung stellt. Das schließt finanzielle Mittel ein, zum Beispiel für Weiterbildungsmaßnahmen oder externe Unterstützung bei Spezialthemen.
Schließlich ist Kooperation entscheidend. Zwar verdienen Unternehmen mit erfolgreichem Datenschutz kein Geld, aber sie beugen hohen Geldbußen und Klagen betroffener Personen vor. Außerdem setzen Partner und Kunden heute ein professionelles Datenschutzmanagement voraus. Dabei gilt: Im Regelfall haften Geschäftsführerinnen und Geschäftsführer für Datenschutzverstöße nach BDSG und DSGVO. Ein Grund mehr, Datenschutzbeauftragte von Beginn an in ihrer Arbeit zu unterstützen.
Wer sich fragt, wer im Unternehmen für den Datenschutz verantwortlich ist, findet die Antwort in der DSGVO und im BDSG: Der Verantwortliche nach Art. 4 DSGVO trägt die Hauptverantwortung für die Einhaltung der Datenschutzvorschriften, während der Datenschutzbeauftragte als unabhängiger Berater und Kontrolleur fungiert und die Aufsichtsbehörde unterstützt.
Ein Datenschutzbeauftragter ist laut DSGVO und BDSG erforderlich, wenn in Unternehmen 20 Personen regelmäßig personenbezogene Daten verarbeiten oder sensible Daten im großen Umfang genutzt werden. So wird die Einhaltung gesetzlicher Vorgaben sichergestellt.
Ein interner Datenschutzbeauftragter kennt interne Abläufe, während ein externer Datenschutzbeauftragter unabhängig berät und die Einhaltung der DSGVO überwacht. Beide müssen fachlich qualifiziert und unabhängig sein.
Bei einer Datenschutzverletzung unterstützt der Datenschutzbeauftragte die Verantwortlichen, meldet an die Aufsichtsbehörde und prüft Maßnahmen zur Einhaltung der Meldepflicht nach Art. 33 DSGVO.
Der Verantwortliche entscheidet über die Verarbeitung personenbezogener Daten, der Datenschutzbeauftragte überwacht die Einhaltung, berät und kommuniziert mit der Aufsichtsbehörde.
Neue Datenschutzbeauftragte sollten keine operative Umsetzung übernehmen, sondern sich auf Überwachung, Beratung und die Zusammenarbeit mit der Aufsichtsbehörde konzentrieren.
Berufliche Weiterbildung hat viele Gesichter und trägt maßgeblich zum Erfolg der Mitarbeitenden sowie des ganzen Unternehmens bei. In unserem Blog "Wissen kompakt" lesen Sie Fachbeiträge zu aktuellen Fragestellungen, die jetzt und in der Zukunft Ihre Arbeitswelt bestimmen.
Unser Blog richtet sich an Fach- und Führungskräfte jeden Alters und jeder Unternehmensgröße, an berufliche Einsteiger genauso wie an erfahrene Arbeitskräfte.
Unser Podcast ist die Antwort auf den Wunsch, unsere Inhalte in einem modernen Format zugänglich zu machen, das bequem nebenbei konsumiert werden kann.
