Externer Datenschutzbeauftragter: Aufgaben, Rechte und Pflichten

Mit der Datenschutz-Grundverordnung (DSGVO) wurde erstmals eine europaweit geltende Verpflichtung zur Benennung betrieblicher und behördlicher Datenschutzbeauftragter geschaffen. Zugleich haben sich die Anforderungen an die Bestellung eines Datenschutzbeauftragten verschärft und seine Stellung und Aufgaben verändert.

Durch die DSGVO kommt dem Datenschutzbeauftragten in Unternehmen, öffentlichen Einrichtungen und Nonprofit-Organisationen eine immer größere Bedeutung zu.

Für öffentliche Stellen, wie Behörden, Schulen und Kindergärten, ist die Benennung eines Datenschutzbeauftragten verpflichtend.

Für nicht öffentliche Stellen, wie z.B. Unternehmen, besteht gemäß DSGVO eine Pflicht zur Benennung eines Datenschutzbeauftragten, wenn bestimmte Voraussetzungen vorliegen. So ist die Benennung verpflichtend, wenn

• die Kerntätigkeit der Organisation in einer umfangreichen Verarbeitung besonders sensibler personenbezogener Daten, wie Gesundheitsdaten, Daten über religiöse oder weltanschauliche Überzeugungen oder Daten über strafrechtliche Verurteilungen und Straftaten, besteht oder
• die Kerntätigkeit aus Verarbeitungsvorgängen besteht, die eine umfangreiche, regelmäßige und systematische Überwachung betroffener Personen mit sich bringen.

Grundsätzlich sind zum einen die Benennung eines Beschäftigten der jeweiligen Organisation als Datenschutzbeauftragter (interner Datenschutzbeauftragter) und zum anderen die Benennung eines externen Datenschutzbeauftragten auf Basis eines Dienstleistungsvertrages zulässig. Aufgrund der umfangreichen Aufgaben und der erforderlichen Expertise hat sich in der Praxis gezeigt, dass eine externe Lösung eine Vielzahl von Vorteilen mit sich bringt:

Zu den Vorteilen des externen Datenschutzbeauftragten zählen

• die bereits vorhandene Fachkompetenz und umfassende Erfahrungen,
• eine unvoreingenommene Herangehensweise,
• das Nichtbestehen von Interessenkonflikten,
• die einfache Abberufung, da im Unterschied zum internen Datenschutzbeauftragten kein besonderer Kündigungsschutz besteht,
• der Wegfall von Kosten für Fort- und Weiterbildung.

Ein Nachteil eines externen Datenschutzbeauftragten ist, dass er sich zunächst in die Besonderheiten und Prozesse der jeweiligen Organisation einarbeiten muss. 

Die Leistung als externer Datenschutzbeauftragter umfasst:

• Datenschutzrechtliche Beurteilung von neuen Projekten und Beratung hinsichtlich der datenschutzkonformen Umsetzung
• Unterrichtung und Beratung der Geschäftsführung und der Mitarbeiter zu datenschutzrechtlichen Fragestellungen
• Bewertung bestehender und Beratung zur Einführung geeigneter technischer und organisatorischer Maßnahmen
• Unterstützung des internen Datenschutzbeauftragten im Einzelfall („training on the job“)
• Zusammenarbeit mit Aufsichtsbehörden