Was machen Datenschutz-beauftragte?

Der betriebliche Datenschutzbeauftragte (DSB) ist vom Unternehmen zu bestellen, wenn bestimmte Daten verarbeitet werden. Dieser kann ein Mitarbeiter des Unternehmens sein, der dann durch Schulungen zum DSB ausgebildet wird. In diesem Beispiel würde es sich um einen internen DSB handeln.

Unternehmen können aber auch auf einen externen DSB zurückgreifen. Dieser wird dann auf Grundlage eines Dienstleistungsvertrages mit den Aufgaben des Datenschutzes beauftragt. In beiden Fällen handelt es sich um betriebliche Datenschutzbeauftragte. Andere Arten sind der behördliche oder kirchliche DSB.

Zu unterscheiden gilt es hier zwischen internem und externem DSB. Wie bereits erwähnt, durchläuft, im Falle des internen DSB, ein Mitarbeiter eines Unternehmens Schulungen, Weiterbildungen bzw. Fortbildungen. Es ist wichtig zu wissen, dass beim betrieblichen Datenschutzbeauftragten kein einheitlichesBerufsbild existiert. Daher gibt es auch keine einheitliche Ausbildungsverordnung und zurzeit keinen Studiengang, um Datenschutzbeauftragter zu werden.

Bei einem externen DSB handelt es sich um einen bei einem entsprechend auf Datenschutz spezialisierten Unternehmen angestellten Mitarbeiter.

Hauptsächlich übernimmt ein Datenschutzbeauftragter im Unternehmen unterrichtende und beraterische Tätigkeiten in Bezug auf datenschutzrechtliche Pflichten. Ihm obliegt die Überwachung der Einhaltung der gesetzlichen Datenschutzverordnungen. Daneben fallen im Alltag eines Datenschutzbeauftragten jedoch zahlreiche andere Tätigkeiten an.

Unter anderem hat ein DSB beispielsweise auch eine überwachende Tätigkeit. Er ist hier für Anfragen sowohl von Seiten der Behörden als auch von Seiten der Betroffenen zuständig. Aber auch der Geschäftsleitung und dem restlichen Personal steht der Datenschutzbeauftragte bei Fragen zur Verfügung. Nicht nur Kundendaten sind hier zu schützen, sondern auch solche der Mitarbeiter.

Die Verordnung (EU) 2016/679, auch Datenschutz-Grundverordnung (kurz: DSGVO), beschäftigt sich mit der Verarbeitung von personenbezogenen Daten, sowohl durch private Unternehmen als auch durch öffentliche Stellen. Dabei soll die Verordnung sicherstellen, dass diese personenbezogenen Daten in der Europäischen Union geschützt sind. Ziel ist hier eine Vereinheitlichung des Datenschutzrechtes innerhalb der EU. Zur gleichen Zeit soll dabei aber ein freier Datenverkehr innerhalb des europäischen Binnenmarktes ermöglicht werden.

Die DSGVO trat am 24. Mai 2016 in Kraft und ist seit dem 25. Mai 2018 anzuwenden. Sie gilt in allen EU-Mitgliedsstaaten, auch ohne Umsetzung in nationales Recht. Mit ihr ändert sich nicht nur die Rechtsgrundlage der Datenverarbeitung, sondern auch die Rechte der Betroffenen. Diese werden nun besser geschützt und profitieren unter anderem von mehr Transparenz, was die Verarbeitung ihrer personenbezogenen Daten angeht.

Außerdem kommen mit der neuen DVSGO mehr bzw. strengere Pflichten auf die Verantwortlichen zu. Verstöße können mit einem Bußgeld von bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes bestraft werden.

Doch was genau sind eigentlich personenbezogene Daten? Bei dieser Art von Daten handelt es sich um Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person. Als solche Einzelangaben gelten beispielsweise Name, Alter, Familienstand und Geburtsdatum, aber auch Anschrift, Telefonnummer und E-Mail-Adresse. Darüber hinaus gibt es auch noch intensiver zu schützende Informationen wie religiöse Ansichten oder medizinische Daten.

Auch wenn ein Unternehmen sich freiwillig entscheiden kann, einen DSB zu bestellen, gibt es viele Fälle, in denen Unternehmen dazu verpflichtet sind. Das Bundesdatenschutzgesetz (BDSG) gibt das vor.

Ein Datenschutzbeauftragter ist in folgenden Fällen verpflichtend:

• Ein Betrieb hat mehr als zehn Mitarbeiter, die regelmäßig mit automatisierter Datenverarbeitung beschäftigt sind
• Bei geschäftsmäßiger Übermittlung, Erhebung, Verarbeitung oder Nutzung personenbezogener Daten (als Kerntätigkeit), unabhängig von der Anzahl der Mitarbeiter
• Bearbeitung besonderer personenbezogener Daten (beispielsweise ethnische Herkunft, politische Meinung), ebenfalls unabhängig von der Anzahl der Mitarbeiter

Eine Karriere als DSB kann sich durchaus lohnen. Doch beim Gehalt muss zwischen externem, also einem DSB in Vollzeit und internem, also einem in Teilzeit unterschieden werden. Das Gehalt eines externen Datenschutzbeauftragten beträgt durchschnittlich rund 4.100 €. Es gibt hier aber starke regionale Unterschiede. So kann das Gehalt eines Datenschutzbeauftragten in einer Spanne zwischen 2.000 € und bis zu 6.500 € liegen. Entscheidend für diese Spanne ist ebenfalls die Firmengröße und die Komplexität der Tätigkeit.

Die grundsätzliche Qualifikation der Person kann ebenfalls Auswirkungen auf das Gehalt haben. Ein DSB in Vollzeit mit abgeschlossenem Studium verdient in der Regel mehr als eine Kraft, die kein Studienabschluss vorzuweisen hat.

Bei einem internen DSB sieht die Vergütung etwas anders aus. Dieser ist, auch nach den Schulungen und Weiterbildungen zum DSB, immer noch ein regulärer Mitarbeiter des Unternehmens. Der interne Datenschutzbeauftragte wird von seinen bisherigen Aufgaben insofern freigestellt, als dass er seinen neuen Aufgaben als DSB nachkommen kann. Die reine Arbeitszeit bleibt also, ungeachtet des Ausbildungsaufwands, unverändert. Daher verändert sich das Gehalt in den meisten Fällen auch nicht und ein DSB in Teilzeit erhält weiterhin sein reguläres Gehalt.

Nun stellt sich die Frage, ob es Sinn macht, in einen externen Datenschutzbeauftragten zu investieren. Es handelt sich hier um eine sehr individuelle Frage, die sich jedes Unternehmen separat stellen muss. Generell gilt aber, dass ein externer DSB mit weniger Risiken verbunden ist. Es ist nämlich üblich, dass der externe DSB bzw. sein Arbeitgeber bei Fehlern bzw. Verstößen haftet und nicht das eigene Unternehmen.

Zusätzlich wird das Risiko bei einem externen DSB insofern kleiner gehalten, da dieser voraussichtlich mehr Expertise und Erfahrungen mitbringt als ein herkömmlicher Mitarbeiter, der frisch zum DSB ausgebildet wird.

Bei der Frage der Kosten ist ein externer DSB effektiv häufig günstiger als die interne Lösung. Diese ist nämlich mit aufwändigen und kostspieligen Schulungen verbunden, während man einen externen DSB zu einem Tarifvertrag bestellen kann. Die Kosten sind hier ebenfalls überschaubarer und besser kalkulierbar. Man weiß bei einem internen DSB nicht, ob dieser die technischen Aspekte, die benötigt werden, mitbringt bzw. die datenschutzrechtlichen Informationen auch umgehen kann.

Tabelle: Interner vs. externer Datenschutzbeauftragter

Interne Datenschutzbeauftragte haben den Vorteil des besonderen Kündigungsschutzes. Das bedeutet, dass sie nicht ohne Weiteres gekündigt werden können. Um einen internen DSK zu entlassen, muss ein wichtiger Grund vorliegen. Anders ist das bei einem externen DSB. Dieser genießt keinerlei besonderen Kündigungsschutz. Es gelten die im Vertrag festgelegten Bedingungen, die oftmals an eine überschaubare Laufzeit gekoppelt sind.

Ob intern oder extern: Ein Datenschutzbeauftragter muss bestellt werden, wenn ein Unternehmen eine bestimmte Größe erreicht. Ob man einen externen beauftragt, oder intern einen Mitarbeiter entsprechend schulen lässt, hängt von individuellen Faktoren ab. Die Hauptaufgaben des einen wie des anderen liegen in der Überwachung der Einhaltung der landesspezifischen Datenschutzgesetzgebung und der EU-weit gültigen DSGVO und der entsprechenden Unterrichtung und Beratung innerhalb des Unternehmens.