Datenschutzbeauftragter: Aufgaben, Pflicht und Weiterbildung
Inhaltsverzeichnis
albarus – Pixabay
Berufsbild Datenschutzbeauftragter
Ein Datenschutzbeauftragter sorgt dafür, dass ein Unternehmen oder eine Behörde die Vorgaben der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) einhält. Er erstellt interne Datenschutz-Richtlinien und das Verzeichnis von Verarbeitungstätigkeiten, berät die Leitung in datenschutzrechtlichen Fragen, überwacht die Einhaltung der Datenschutzvorschriften und schult die Beschäftigten im Umgang mit personenbezogenen Daten. Zugleich ist er Ansprechpartner für Betroffenenanfragen und für die Zusammenarbeit mit der zuständigen Aufsichtsbehörde des jeweiligen Bundeslandes.
Die Funktion kann ein interner Datenschutzbeauftragter übernehmen – ein Beschäftigter mit entsprechender Qualifikation – oder ein externer Datenschutzbeauftragter, also ein beauftragter Dienstleister außerhalb des Unternehmens.
Wann ist ein Datenschutzbeauftragter Pflicht?
Ob ein Unternehmen einen Datenschutzbeauftragten benennen muss, richtet sich nach DSGVO und BDSG. Nach § 38 Abs. 1 BDSG ist die Benennung erforderlich, sobald eine nichtöffentliche Stelle in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt.
Unabhängig von der Personenzahl besteht die Pflicht außerdem, wenn
Verarbeitungen durchgeführt werden, die eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erfordern, oder
personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung oder der Markt- und Meinungsforschung verarbeitet werden.
Nach Art. 37 DSGVO müssen zudem Behörden und öffentliche Stellen einen Datenschutzbeauftragten benennen. Gleiches gilt, wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen besteht oder in der umfangreichen Verarbeitung besonderer Datenkategorien – etwa Gesundheits- oder biometrischer Daten – nach Art. 9 und Art. 10 DSGVO.
Ausbildung zum Datenschutzbeauftragten
Für die Tätigkeit als Datenschutzbeauftragter ist keine bestimmte Ausbildung gesetzlich vorgeschrieben. Nach Art. 37 Abs. 5 DSGVO wird die Person jedoch auf Grundlage ihrer beruflichen Qualifikation und ihres Fachwissens im Datenschutzrecht und in der Datenschutzpraxis benannt. Um dieses Wissen aufzubauen, bietet sich eine Weiterbildung an. Dabei handelt es sich nicht um eine staatlich anerkannte Ausbildung, sondern um ein Angebot verschiedener privater Bildungsträger.
Inhalte und Ablauf
Da die Weiterbildung nicht bundeseinheitlich geregelt ist, unterscheiden sich die Inhalte je nach Anbieter. Typische Themen sind:
gesetzliche Grundlagen des Datenschutzes (BDSG und DSGVO)
aktuelle Rechtsprechung deutscher Gerichte und des Europäischen Gerichtshofs (EuGH)
Informations-, Auskunfts- und Meldepflichten
Umgang mit personenbezogenen Daten (Speicherung und Löschung)
die Aufgaben des Datenschutzbeauftragten
Daten- und IT-Sicherheit
Dauer
Die Dauer hängt von Anbieter und Format ab. Eine Präsenzweiterbildung in Vollzeit umfasst häufig einige Tage bis etwa eine Woche. Wer die Weiterbildung als Online-Kurs absolviert, kann sich die Zeit meist flexibel einteilen.
Abschluss
Viele Anbieter schließen die Weiterbildung mit einer institutsinternen Prüfung ab und stellen ein Zertifikat aus, das als Nachweis der Qualifikation dient. Die Prüfung kann schriftlich oder online erfolgen, etwa in Form von Multiple-Choice-Aufgaben.
Aufgaben nach der Bestellung
Wer intern oder extern zum Datenschutzbeauftragten bestellt wird, übernimmt die in Art. 39 DSGVO festgelegten Aufgaben:
Unterrichtung und Beratung des Verantwortlichen, des Auftragsverarbeiters und der Beschäftigten über ihre datenschutzrechtlichen Pflichten
Überwachung der Einhaltung der DSGVO und weiterer Datenschutzvorschriften, einschließlich Schulungen und Überprüfungen
Beratung im Zusammenhang mit der Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung
Zusammenarbeit mit der Aufsichtsbehörde
Tätigkeit als Anlaufstelle für die Aufsichtsbehörde
Fort- und Weiterbildungsmöglichkeiten
Datenschutzbeauftragte können ihr Wissen vertiefen und sich spezialisieren, zum Beispiel in diesen Bereichen:
Weil sich Gesetzeslage und Rechtsprechung laufend ändern, sollte das Wissen regelmäßig aufgefrischt werden. Relevante gerichtliche Entscheidungen sollte der Datenschutzbeauftragte im Blick behalten und bei Bedarf passende Fortbildungen besuchen.
Häufig gestellte Fragen
Ab welcher Unternehmensgröße ist ein Datenschutzbeauftragter Pflicht?
Nach § 38 Abs. 1 BDSG müssen nichtöffentliche Stellen einen Datenschutzbeauftragten benennen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Personenzahl greift die Pflicht, wenn eine Datenschutz-Folgenabschätzung nötig ist oder Daten geschäftsmäßig zur Übermittlung beziehungsweise Markt- und Meinungsforschung verarbeitet werden.
Was ist der Unterschied zwischen internem und externem Datenschutzbeauftragten?
Ein interner Datenschutzbeauftragter ist ein Beschäftigter des Unternehmens, der die Funktion zusätzlich oder hauptamtlich ausübt. Ein externer Datenschutzbeauftragter ist ein beauftragter Dienstleister außerhalb des Unternehmens. Die Aufgaben nach Art. 39 DSGVO sind in beiden Fällen dieselben.
Welche Qualifikation benötigt man als Datenschutzbeauftragter?
Eine staatlich anerkannte Ausbildung gibt es nicht. Nach Art. 37 Abs. 5 DSGVO wird der Datenschutzbeauftragte auf Grundlage seiner beruflichen Qualifikation und seines Fachwissens im Datenschutzrecht und in der Datenschutzpraxis benannt. Dieses Fachwissen lässt sich über Weiterbildungen privater Anbieter aufbauen und mit einem Zertifikat nachweisen.
Welche Aufgaben hat ein Datenschutzbeauftragter?
Laut Art. 39 DSGVO zählen dazu die Unterrichtung und Beratung des Unternehmens und der Beschäftigten, die Überwachung der Einhaltung der Datenschutzvorschriften, die Beratung zur Datenschutz-Folgenabschätzung sowie die Zusammenarbeit mit der Aufsichtsbehörde und die Funktion als deren Anlaufstelle.
