Services

Ein Datenschutzbeauftragter muss über verschiedene Fähigkeiten verfügen, um seiner Aufgabe angemessen nachkommen zu können. Die wichtigsten Fähigkeiten eines Datenschutzbeauftragten sind:

• Nachweisbare Fachkunde (Datenschutzrecht und Datenschutzpraxis)
• Juristische Kenntnisse
• IT-Kenntnisse
• Betriebswirtschaftliche Kenntnisse
• Zuverlässigkeit
• Unabhängigkeit

Zum Datenschutzbeauftragten eines Unternehmens darf also nur bestellt werden, wer die erforderliche berufliche Qualifikation und auch die Fähigkeit besitzt, um die für einen Datenschutzbeauftragten angedachten Aufgaben ordnungsgemäß erfüllen zu können (Artikel 37 Absatz 5 DSGVO).

Berufliche Qualifikation
Die notwendige berufliche Qualifikation ergibt sich bereits nach dem Wortlaut der DSGVO insbesondere aus dem Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis. Das erforderliche Niveau des Fachwissens hängt von den durchgeführten Datenverarbeitungsvorgängen und dem erforderlichen Schutz für die betroffenen personenbezogenen Daten ab. Das bedeutet: Je schutzwürdiger die Daten oder je intensiver die Verarbeitungen, desto höhere Anforderungen sind an das Fachwissen des Datenschutzbeauftragten zu stellen. Dieses ist bei einem externen Datenschutzbeauftragten meist umfassender und tiefgehender vorhanden als bei einem innerbetrieblichen. Was unter dem gesetzlich vorgeschriebenen „Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis“ im Einzelnen gemeint ist, bedarf näherer Klärung, ergibt sich aber mit Blick auf die zu erfüllenden Aufgaben.
Um die fachgerechte Verwendung der Datenverarbeitungsprogramme sicherzustellen, muss der Beauftragte zunächst umfassende IT-Kenntnisse vorweisen. Nur wenn er über den nötigen Sachverstand verfügt, um die technischen Vorgänge der Datenverarbeitung zu verstehen, kann er beurteilen, ob diese den datenschutzrechtlichen Vorgaben genügen. Darüber hinaus sind ebenso tiefergehende juristische und betriebliche Kenntnisse erforderlich. Insbesondere muss der Datenschutzbeauftragte fortlaufend über die gesetzlichen Bestimmungen und etwaige Änderungen informiert sein. Da ein interner Mitarbeiter noch andere Geschäftspflichten zu erfüllen hat, spricht auch dies oft für einen externen Datenschutzbeauftragten.

Fähigkeit zur Erfüllung der Aufgaben
Neben der beruflichen Qualifikation muss der Beauftragte auch die Fähigkeit zur Erfüllung seiner Aufgaben mitbringen. Hierzu gehören solche persönlichen Eigenschaften wie soziale Kompetenz, Integrität, Verschwiegenheit und Kommunikationsfähigkeit, um die Informations- und Beratungsaufgaben sowie die Funktion als Ansprechpartner für die Unternehmen wahrzunehmen. Ferner ist von entscheidender Bedeutung, dass der Beauftragte seine Pflichten in vollständiger Unabhängigkeit ausüben kann. Er darf auch im Hinblick auf seine Aufgaben nicht in Interessenkonflikte geraten. Dies ist etwa der Fall, wenn dem Datenschutzbeauftragten auch andere Tätigkeiten anvertraut sind. Ein weiteres Beispiel für einen Interessenkonflikt liegt vor, wenn der Datenschutzbeauftragte sich selbst kontrollieren müsste, er also etwa zugleich Leiter der Personalabteilung wäre. Schließlich muss der Beauftragte in der Lage sein, gegenüber der Geschäftsleitung seine Stellung zu wahren und im Zweifel durchzusetzen, insbesondere im Falle von Meinungsverschiedenheiten hinsichtlich der datenschutzrechtlichen Anforderungen an die jeweiligen Verarbeitungsvorgänge.

„Verarbeitung“ von Daten nach DSGVO – „automatisierte Datenverarbeitung“

Unternehmen, die sich also unmittelbar oder mittelbar mit der Verarbeitung von Daten befassen, fallen unter die allgemeinen Grundsätze des Datenschutzes:
Die Verarbeitung von personenbezogenen Daten muss rechtmäßig, nach Treu und Glauben und für die betroffene Person nachvollziehbar, d.h. transparent erfolgen (Art. 5 Abs. 1 lit. a DSGVO)
Es sind nur die Daten zu erheben und zu verarbeiten, die für den Vorgang der Verarbeitung erforderlich und für den Zweck angemessen und notwendig sind (Art. 5 Abs. 1 lit. b, c DSGVO).
Personenbezogene Daten müssen sachlich richtig und auf dem neusten Stand sein. Zudem müssen alle angemessenen Maßnahmen getroffen sein, um bei Unrichtigkeit (im Hinblick auf den Zweck ihrer Verarbeitung) eine Löschung oder eine Berichtigung veranlassen zu können (Art. 5 Abs. 1 lit. d DSGVO).
Zudem sind die Daten nur solange zu speichern, wie es für den Zweck der Verarbeitung erforderlich ist (Art. 5 Abs. 1 lit. e DSGVO).
Die Daten müssen in einer Weise, die angemessene Sicherheit gewährleisten, verarbeitet werden und durch geeignete technische und organisatorische Maßnahmen vor unbefugter oder unrechtmäßiger Verarbeitung, unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung geschützt sein (Art. 5 Abs. 1 lit. f DSGVO).

Grundsätze zur Datenverarbeitung im Telemediengesetz (TMG)
Zudem finden sich spezielle Grundsätze zur Datenverarbeitung auch im Telemediengesetz (TMG):
Der Unternehmer hat für den größtmöglichen Schutz der Daten besonders im Hinblick auf Zugriff von Dritten zu sorgen (§ 13 Abs. 4 Nr. 3 TMG).
Der Betroffene hat gegen den Unternehmer Anspruch auf Auskunft über die gespeicherten Daten (§ 13 Abs. 8 TMG).
Mehr Informationen zur Frage „Was versteht man unter einer „automatisierten Verarbeitung“?“ finden Sie hier.