Die Aufgaben eines Datenschutzbeauftragten werden unter anderem durch das Bundesdatenschutzgesetz (BDSG) sowie landesrechtliche Bestimmungen geregelt. Der Beauftragte istist bei der Ausübung dieser Tätigkeiten weisungsfrei. Er wirkt im Unternehmen, aber auch in der Behörde, im Verein etc. auf die Einhaltung der Richtlinien des BDSG und der länderspezifischen Bestimmungen hin, führt Personalschulungen durch und muss sich selbst kontinuierlich weiterbilden.

Wann muss ein Datenschutzbeauftragter eingestellt oder ernannt werden?

Sobald personenbezogene Daten, beispielsweise der beschäftigten Arbeitnehmer, der Kunden, Geschäftspartner erfasst und automatisiert – also durch Computer – verarbeitet werden, ist ein Datenschutzbeauftragter zu bestellen. Egal, ob es sich um öffentliche Stellen (u.a. Behörden) oder nichtöffentliche Stellen (Unternehmen, Vereine, Organisationen) handelt: haben mehr als neun Personen Zugriff auf diese Daten oder sind mit deren Verarbeitung beschäftigt, ist ein Datenschutzbeauftragter zwingend vorgeschrieben. Diese Grenze kann wegfallen, wenn ein erhöhtes Risiko vermutet wird oder Verfahren zur Anwendung kommen, die eine Vorabkontrolle erforderlich machen. Dann kann die umgehende Bestellung des Datenschutzbeauftragten notwendig werden. Für die Erstellung von Statistiken, für Forschungszwecke und weitere Einsatzgebiete entfällt die 9-Personen-Grenze ebenfalls. Auch bei einer geschäftsmäßigen Weitergabe von personenbezogenen Daten ist die Bestellung eines Datenschutzbeauftragten vorgeschrieben.

Erfolgt die Datenerfassung nicht automatisiert (beispielsweise auf Karteikarten), muss ein Datenschutzbeauftragter erst dann ernannt werden, wenn 20 Personen oder mehr Zugriff auf diese Informationen haben. Dabei werden auch Teilzeitkräfte voll berücksichtigt.

Die Bestellung des Datenschutzbeauftragten muss spätestens einen Monat nach Tätigkeitsaufnahme erfolgen, andernfalls droht ein Bußgeld von bis zu 50.000 Euro.

Datenschutzbeauftragte in Behörden, Kirchen und Unternehmen/Vereinen

Jedes Bundesland benennt einen eigenen Datenschutzbeauftragten, der die Einhaltung der Rechtsvorschriften kontrolliert. In Berlin ist dies beispielsweise der „Berliner Beauftragte für Datenschutz und Informationsfreiheit“, in Hessen der „Hessische Datenschutzbeauftragte“. Auch die beiden großen Kirchen in Deutschland bestellen eigene Datenschutzbeauftragte.

Die meisten Datenschutzbeauftragten werden von Unternehmen und Vereinen bestellt. Hier hat er allerdings kein Weisungsrecht. Der Datenschutzbeauftragte stellt unter anderem den Istzustand des Unternehmens dar, wobei die Prüfung der Daten bereits ab dem Werktor erfolgt (beispielsweise Stechuhr-Regelung). In den meisten Fällen wird eine Datenschutzprüfung von Innen nach Außen vorgenommen. Dabei wird kontrolliert, ob die derzeit ergriffenen Maßnahmen ausreichen oder obnachgebessert werden muss. Zugleich überprüft der Beauftragte den Zustand der EDV sowie des bestehenden Netzwerkes und überprüft die Einhaltung der Bestimmungen zum Datenschutz und Datensicherheit. Zugleich zeigt er Verbesserungsmöglichkeiten auf und wacht über deren Einhaltung.

Sowohl bei der Erfassung, Verarbeitung, Nutzung sowie Übermittlung von personenbezogenen Daten ist es notwendig, den Istzustand zu erfassen und eventuelle Vorabkontrollen zu veranlassen. Die Vorabkontrollen dürfen nur durch den Datenschutzbeauftragten selbst vorgenommen werden. Werden neue Verfahren eingeführt, ist der Beauftragte darüber rechtzeitig in Kenntnis zu setzen, um ggf. Vorabkontrollen durchführen zu können.

Weitere wichtige Informationen

Nur Befugte dürfen eine Verarbeitung der Daten vornehmen, die wiederum auf den Zweck beschränkt bleibt. Zugleich haben Eigentümer von Daten die Möglichkeit, ihr Selbstbestimmungsrecht auf Auskunft, Sperrung, Löschung und Korrektur der Daten wahrzunehmen. Für diese Personen, aber auch für Mitarbeiter und die Geschäftsleitung, ist der Datenschutzbeauftragte Ansprechpartner. Zugleich ist er der Geschäfts- bzw. Unternehmensleitung direkt unterstellt und profitiert von einem besonderen Kündigungsschutz. Nur wenn Gründe für eine fristlose Kündigung vorliegen, kann das Arbeitsverhältnis beendet werden.

Bestellungszeitraum

Die Bestellung erfolgt – je nach Bundesland – für einen Zeitraum von drei bzw. fünf Jahren. Der Datenschutzbeauftragte kann durch die Aufsichtsbehörde abberufen werden, wenn er nicht die notwendige Fachkenntnis besitzt und Unzuverlässigkeit nachgewiesen werden kann. Das jeweilige Unternehmen, die Behörde oder der Verein müssen ihm die Teilnahme an Weiterbildungsveranstaltungen ermöglichen und entstehende Kosten tragen.

Welcher Personenkreis darf nicht als Datenschutzbeauftragter tätig werden?

Nicht jede Person darf als Datenschutzbeauftragter tätig werden. Ein Interessenskonflikt besteht beispielsweise bei Geschäftsführern von Unternehmen, deren Steuerberatern,  Wirtschaftsprüfern, Teilhabern, Gesellschaftern und Abteilungsleitern, beispielsweise aus der eigenen IT- oder Personalabteilung.

Das Ulmer Urteil

Ein Datenschutzbeauftragter darf sowohl angestellt oder als externe Kraft beschäftigt werden. Auch hierbei gilt es, darauf zu achten, dass es zu keinen Interessenskonflikten kommt. Das sogenannte „Ulmer Urteil“ aus dem Jahr 1990 enthält eine genaue Definition für die Tätigkeit eines Datenschutzbeauftragten und setzte zugleich die Kriterien für die notwendige Fachkunde fest. Der Datenschutzbeauftragte sollte über ausreichende Fachkenntnisse in der IT-Branche, umfassende Kenntnisse des Bundesdatenschutzgesetzes sowie die im Ulmer Urteil festgelegten Eignungskriterien erfüllen. Zu diesen Kriterien gehören:

• Anwendung der Vorschriften der Datenschutzgesetze des Bundes und der Länder und alle anderen den Datenschutz betreffenden Rechtsvorschriften
• Kenntnisse der betrieblichen Organisation
• didaktische Fähigkeiten
• psychologisches Einfühlungsvermögen
• Organisationstalent
• angemessener Umgang in Konflikten um seine Person, seine Funktion und seine Aufgabe.

Ausbildungsmöglichkeiten

Eine direkte Berufsausbildung zum Datenschutzbeauftragten gibt es nicht. Verschiedene Organisationen bieten Weiterbildungsveranstaltungen an, die entweder durch eine Prüfung abgeschlossen oder für die eine Teilnahmebestätigung ausgestellt wird. Die Kosten für diese Schulungen müssen vom Arbeitgeber übernommen werden.
Um immer auf dem aktuellsten Stand zu bleiben, ist die Teilnahme an Weiterbildungen unerlässlich. Auch diese Kosten müssen laut BDSG vom Arbeitgeber übernommen werden.
Datenschutzbeauftragte organisieren sich in eigenen Verbänden, so u.a. im „Berufsverband der Datenschutzbeauftragten Deutschlands“ (BvD).