Beauftragte

Datenschutzbeauftragter

Rechtliche und sonstige Grundlagen

  • Bundesdatenschutzgesetz (BDSG); Stand: 14.05.2024
  • Datenschutz-Grundverordnung (DSGVO, EU 2016/679); Stand: 25.05.2018
  • Je nach Bundesland ggf. ergänzende Landesdatenschutzgesetze (insbesondere für öffentliche Stellen relevant)

Anforderungen an die Fachkunde des BA

Der Datenschutzbeauftragte wird gemäß Art. 37 Abs. 5 DSGVO „aufgrund seiner beruflichen Qualifikation, insbesondere des Fachwissens auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis, sowie seiner Fähigkeit zur Erfüllung der in Artikel 39 genannten Aufgaben benannt“:

  • Nachweisbare Fachkunde im Datenschutzrecht (DSGVO, BDSG, relevante Spezialgesetze)
  • Kenntnis der technischen und organisatorischen Datenschutzmaßnahmen (z. B. Informationssicherheit)
  • Erfahrung in der datenschutzrechtlichen Praxis (z. B. Durchführung von Datenschutz-Folgenabschätzungen, Erstellung von Verarbeitungsverzeichnissen, Beratung)
  • Fähigkeit zur Kommunikation und Durchsetzung im Unternehmen

Wer ernennt/bestellt den BA?

Werden in einem Unternehmen mehr als 20 Mitarbeiter mit der automatisierten Verarbeitung von personenbezogenen Daten beschäftigt, muss ein Datenschutzbeauftragter spätestens innerhalb eines Monats nach Aufnahme der Tätigkeiten schriftlich bestellt werden (§ 38 Abs. 1 BDSG). Die Bestellung erfolgt schriftlich durch den Verantwortlichen (Unternehmen/Behörde) und wird an die zuständige Aufsichtsbehörde (Landesdatenschutzbehörde) gemeldet.

Darüber hinaus besteht eine Bestellpflicht unabhängig von der Mitarbeiterzahl in folgenden Fällen (§ 38 Abs. 1 BDSG i.V.m. Art. 37 Abs. 1 DSGVO):

  • wenn Verarbeitungen einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO) unterliegen
  • wenn personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung oder für Markt-/Meinungsforschung verarbeitet werden
  • bei Behörden und öffentlichen Stellen (Art. 37 Abs. 1 lit. a DSGVO)

Die Bestellung erfolgt schriftlich durch den Verantwortlichen und ist der zuständigen Landesdatenschutzbehörde zu melden (Art. 37 Abs. 7 DSGVO i.V.m. § 38 Abs. 1 BDSG).

Gesetzliche Pflicht zur Aus- und Fortbildung / Prüfungen / Wiederholungen – Fristen

  • Die DSGVO verpflichtet zur Aufrechterhaltung der Fachkunde (ständige Fortbildung, Art. 38, Abs. 2)
  • Empfehlung: Mindestens 1-2 Fortbildungen pro Jahr sowie laufende Fachlektüre
  • Nachweispflicht: Qualifikations- und Fortbildungsnachweise sollten jederzeit aktuell vorliegen (wichtig bei Behördenprüfungen)

Kündigungsschutz

Die Kündigung eines Datenschutzbeauftragten ist unzulässig, es sei denn, es liegen Tatsachen vor, die für die Annahme eines wichtigen Grundes (§ 626 Abs. 1 BGB) einer außerordentlichen Kündigung ausreichen. Nach Abberufung des Datenschutzbeauftragten ist die Kündigung innerhalb eines Jahres nach Beendigung der Bestellung unwirksam (§ 6 Abs. 4 BDSG).

Nach Beendigung der Bestellung als Datenschutzbeauftragter ist die Kündigung innerhalb eines Jahres unzulässig (§ 6 Abs. 4 S. 2 BDSG) – nachwirkender Kündigungsschutz.

Zusätzlich darf der Datenschutzbeauftragte wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden (Art. 38 Abs. 3 S. 2 DSGVO).

Hinweis: Der Sonderkündigungsschutz nach § 6 Abs. 4 BDSG gilt nur für interne (betriebsangehörige) Datenschutzbeauftragte, die gleichzeitig Arbeitnehmer sind. Für externe Datenschutzbeauftragte gilt er nicht – für sie gelten die vertraglichen Regelungen.