„Verantwortlicher“ im Sinne der Datenschutzgesetze sind u.a.:

• Alle Unternehmen, die in der EU ansässig sind.
• Außereuropäische Unternehmen, die
  • eine Niederlassung in der EU haben oder
  • personenbezogene Daten von EU-Bürgern verarbeiten

Die „Rechenschaftspflicht“, oder auch Nachweispflicht, verlangt, dass die notwendigen Dokumente und Prozesse zur Einhaltung der DSGVO vorhanden sind, eingehalten werden und nachweisbar sind:

• Sind alle notwendigen Einwilligungen der Betroffenen vorhanden und wird angemessen auf einen eventuellen Widerruf reagiert?
• Gibt es Prozesse, die eine Wahrnehmung der Betroffenenrechte, wie z.B. dem Auskunftsrecht ermöglichen?
• Wie werden Verletzungen der Grundziele des Datenschutzes („Vertraulichkeit“, „Integrität“ und „Verfügbarkeit“) behandelt? Also wie wird mit „Datenpannen“ bzw. IT-Sicherheitsvorfällen umgegangen?

Die „Rechenschaftspflicht“, die sich aus Art. 5 Abs. 2 und Art. 24 DSGVO ergibt, sieht vor, dass der Verantwortliche eine dem Risiko angemessene Datenschutzorganisation etabliert und ein Datenschutzmanagementsystem (DSMS) einrichtet. Ziel ist eine Einführung und Weiterentwicklung von Prozessen und Strukturen, die die Einhaltung der Datenschutzregelungen gewährleisten.

Zu den personenbezogenen Daten zahlen zum Beispiel Name, Geburtsdatum, Adresse, Telefonnummer, Mail-Adresse, Biometrie, Gesundheitsdaten, religiöse Zugehörigkeit, politische Gesinnung, Kfz-Kennzeichen, Kontodaten, IP-Adressen, Standortdaten und Cookies. Verarbeitet Ihr Unternehmen auch nur eine dieser Arten personenbezogener Daten, sind Sie von der Datenschutzgrundverordnung betroffen.

Der Verantwortliche ist der Normadressat der DSGVO und muss für die Erfüllung der datenschutzrechtlichen Pflichten Sorge tragen. Definiert wird der Verantwortliche dabei in Art. 4 Nr. 7 DSGVO und orientiert sich an der natürlichen oder juristischen Person, die darüber entscheidet, welche personenbezogenen Daten mit welchen Mitteln und zu welchem Zweck verarbeitet werden. Bei juristischen Personen liegt damit die Verantwortung für die Einhaltungen der datenschutzrechtlichen Pflichten bei der obersten Leitungsebene, also bei der Geschäftsführung bzw. beim Vorstand.

Natürlich ist es der Geschäftsleitung möglich, einzelne Teilaspekte des Datenschutzes auf andere Bereiche des Unternehmens verlagern. So dürfte es wenig verwundern, wenn die Bewertung und Implementierung technischer Maßnahmen zum Schutz personenbezogener Daten beispielsweise an die IT-Abteilung delegiert werden.

Damit der Verantwortliche, bzw. die Mitarbeiter, in der Lage die datenschutzrechtlichen Pflichten zu erkennen und umzusetzen bedarf es datenschutzrechtlicher Kenntnisse, die entweder intern vorhanden sein muss, oder extern eingekauft wird. Eine Möglichkeit zum Einkauf dieser benötigten Fachkunde besteht in der freiwilligen Benennung eines Datenschutzbeauftragten.

Auch wenn die rechtlichen Vorgaben aus DSGVO und BDSG den Verantwortlichen zur Benennung eines Datenschutzbeauftragten verpflichten, verbleibt die Gesamtverantwortung bei der obersten Leitungsebene. Dies liegt an den von der DSGVO festgelegten Aufgaben des Datenschutzbeauftragten. Gemäß den in Art. 39 DSGOV normierten Aufgaben, übernimmt der Datenschutzbeauftragte einer beratende, informierende und prüfende Position in der Gesamtorganisation. Im Umkehrschluss verbleibt die Umsetzungspflicht in jedem Fall beim Verantwortlichen.

Damit der Datenschutzbeauftragte seinen Aufgaben effektiv nachkommen kann , muss dieser über die Abläufe und Änderungen im Unternehmen informiert werden. Die DSGVO sieht daher vor, dass der Datenschutzbeauftragte frühzeitig in alle mit dem Schutz personenbezogener Daten zusammenhängenden Fragen eingebunden wird und dass der Datenschutzbeauftragte vom Verantwortlichen bei der Erfüllung seiner Aufgaben unterstützt wird.

Gerade die frühzeitige Einbindung stellt dabei des Öfteren eine Herausforderung für das Unternehmen dar, da jeder einzelne Mitarbeiter in den Fachabteilungen daran denken muss, den Datenschutzbeauftragten rechtzeitig zu konsultieren. Zur Erleichterung dieser Aufgabe und um Informationen des Datenschutzbeauftragten effektiv im gesamten Unternehmen zu verteilen, empfehlen wir die Bildung einer Schnittstelle im Unternehmen – der Datenschutzkoordinator. Als Mitglied der Gesamtorganisation des Verantwortlichen hat der Datenschutzkoordinator die Möglichkeit Änderungen frühzeitig mitzubekommen und an den Datenschutzbeauftragten zu kommunizieren, damit dieser beratend bei der Umsetzung der Änderung unterstützen kann.

Der Datenschutzbeauftragte

• unterrichtet den Verantwortlichen, sofern Umsetzungs- oder Anpassungserfordernisse erkennbar werden. Diese Aufgabe kann dabei vom Datenschutzbeauftragten aktiv eingeleitet und durchgeführt werden.
• berät den Verantwortlichen, in Bezug auf konkrete Fragen zur Umsetzung des Datenschutzes im Unternehmen. Eine entsprechende Beratung erfolgt in der Regel reaktiv und muss daher durch den Verantwortlichen eingeleitet werden.
• kontrolliert die Umsetzung des Datenschutzes. Dazu kann er anlassbezogen auf Verdachtsmomente reagieren, oder anlasslos eigene Kontrollen durchführen.
• Zudem ist der Datenschutzbeauftragte für alle Betroffenen, intern und extern, erreichbar und unterstützt die Betroffenen bei der Wahrnehmung der zugesicherten Rechte. Darüber hinaus ist der Datenschutzbeauftragte auch Anlaufstelle für die Aufsichtsbehörden und hilft bei der Klärung datenschutzrechtlicher Fragen, die im Zusammenhang mit der für den Verantwortlichen verpflichtenden Zusammenarbeit mit den Aufsichtsbehörden.

Wir unterstützen Sie gerne bei allen Aspekten der Umsetzung der Datenschutzvorschriften in Ihrem Unternehmen.
Allerdings sind wir trotzdem immer auf Ihre Mitarbeit angewiesen.