Als Datenschutzbeauftragter dürfen nur fachkundige, zuverlässige und weisungsfreie Personen bestellt werden. Diese können als interne Datenschutzbeauftragte aus dem Unternehmen selbst stammen, oder als externe Datenschutzbeauftragte von außen kommen. Beide Formen haben Vor- und Nachteile, die gegeneinander abgewogen werden müssen.
Pflicht zur Bestellung eines Datenschutzbeauftragten
Unternehmen sind nach deutschem Datenschutzrecht unter den Voraussetzungen des § 4f Abs. 1 S. 1 BDSG verpflichtet, einen betrieblichen Datenschutzbeauftragten zu bestellen. Dies gilt insbesondere dann, wenn ständig mindestens 10 Mitarbeiter demit beschäftigt sind, personenbezogene Daten zu erheben, verarbeiten oder nutzen. Wird gegen diese Pflicht verstoßen, kann die Aufsichtsbehörde gem. § 43 Abs. 1 Nr. 2 BDSG ein Bußgeld von bis zu 50.000 EUR verhängen.
Weitere Einzelheiten zur Bestellungspflicht...
Anforderungen an den Datenschutzbeauftragten
Fachkunde
Zum Beauftragten für den Datenschutz darf gem. § 4f Abs. 2 BDSG nur bestellt werden, wer die zur Erfüllung seiner Aufgaben erforderliche Fachkunde und Zuverlässigkeit besitzt. Somit muss der Datenschutzbeauftragte einerseits ein Mindestmaß an einschlägigen Rechtskenntnissen vorweisen können, andererseits muss er auch technisches Wissen haben, welches die eingesetzten Datenverarbeitungsanlagen betrifft. Sinnvoll sind schließlich auch kaufmännische Kenntnisse. Idealerweise kann der Datenschutzbeauftragte somit
- rechtliches
- technisches und
- kaufmännisches
Know-how aufweisen. In diesen Fällen ist die geforderte Fachkunde zu bejahen.
Unabhängigkeit / Weisungsfreiheit
Der Datenschutzbeauftragte ist außerdem gem. § 4f Absatz 3 BDSG weisungsfrei und direkt dem Leiter des Unternehmens unterstellt. Unmittelbarer Vorgesetzter ist beispielsweise der Betriebsinhaber, der Vorstand, Geschäftsführer oder sonstiger Leiter eines Unternehmens.
Der Datenschutzbeauftragte muss unabhängig sein. Dieses Erfordernis schließt bestimmte Personen innerhalb eines Unternehmens von der Bestellung als Datenschutzbeauftragten aus. Insbesondere die folgenden Personen können regelmäßig nicht als Datenschutzbeauftragter bestellt werden:
- Betriebsinhaber,
- Vorstand oder Geschäftsführer des Unternehmens,
- Angehörige des Betriebsinhabers,
- Leiter der IT.
Auch bei Mitarbeitern der Rechtsabteilung (Justiziare oder Leiter der Rechtsabteilung) und hinsichtlich des "Hausanwalts" bestehen im Schrifttum erhebliche Bedenken. Nach einer häufig vertretenen Ansicht können auch diese Personengruppen nicht als Datenschutzbeauftragte bestellt werden.
Interner oder externer Datenschutzbeauftragter
Abgesehen von den vorgenannten Einschränkungen, kann der Datenschutzbeauftragte sowohl aus dem Unternehmen selbst stammen (sog. interner Datenschutzbeauftragter), als auch außerhalb des Unternehmens stehen (sog. externer Datenschutzbeauftragter). Beide Formen haben Vor- und Nachteile. Diese können der folgenden Gegenüberstellung entnommen werden:
interner Datenschutzbeauftragter |
externer Datenschutzbeauftragter |
| I.d.R. Schulungsaufwand zur Erlangung der Fachkunde. | Fachkunde sofort vorhanden. |
| Freistellung für Fort- und Weiterbildung. | Selbstständige Fort- und Weiterbildung, keine Freistellung erforderlich. |
| Kosten für Fort- und Weiterbildung. | Keine gesonderten Kosten für Fort- und Weiterbildung. |
| Kosten für Ausstattung, insbes. Literatur. | Keine Kosten für Ausstattung. |
| Betriebliche Abläufe sind bekannt. | Einarbeitung in betriebliche Abläufe erforderlich. |
| Mitbestimmung des Betriebstrats für Bestellung etc. erforderlich. | Keine Mitbestimmung des Betriebsrats erforderlich. |
| Besonderer Kündigungsschutz des internen Datenschutzbeauftragten gem. § 4f Absatz 3 BDSG: Keine ordentliche Kündigung möglich. | Kein Arbeitsverhältnis und damit kein besonderer Kündigungsschutz. |
| Vertretung erforderlich. | Vertretung wird eigenständig organisiert und ist gesichert. |
