Aufgaben und Zuständigkeiten eines Datenschutzbeauftragten

Was ist eigentlich ein Datenschutzbeauftragter (DSB)?

Ein*e Datenschutzbeauftragte*r (DSB) ist eine natürliche Person, welche für die Überwachung der Datenschutzstrategie eines Unternehmens gemäß der DSGVO verantwortlich ist. Weiterhin sind DSBs Ansprechpartner*innen für betroffene Personen, Arbeitnehmer sowie den Betriebsrat. Die Schulung der Mitarbeitenden in Bezug auf die Einhaltung des Datenschutzes zählt ebenfalls zu den Aufgaben. Datenschutzbeauftragte sind direkt der höchsten Führungsebene einer Organisation unterstellt – unterliegen jedoch keinen Weisungen bezüglich der Datenschutz-Verantwortlichkeiten. Durch ihre Rolle helfen sie dabei, die Geschäftskontinuität und Vertrauenswürdigkeit aufrechtzuerhalten.

Interne oder externe Datenschutzbeauftragte?

Datenschutzbeauftragte können intern oder extern bestimmt sein – also entweder Mitarbeitende des Unternehmens oder auch selbstständige Unternehmer.

Um die täglichen Aufgaben zu meistern, ist wichtig, dass kein Interessenkonflikt entsteht. Aktuelle Verpflichtungen, Zuständigkeiten und Rollen dürfen als nicht im Widerspruch zu den Überwachungsaufgaben stehen. Das muss bei internen Datenschutzbeauftragten besonders berücksichtigt werden.

Benötige ich einen DSB?

Laut Artikel 37 der DSGVO sind alle Unternehmen zur Benennung einer datenschutzbeauftragten Person verpflichtet, sobald die Kerntätigkeit des Unternehmens in der Verarbeitung von Daten von EU-Bürger*innen liegt.

Zwar ist im Gesetzestext der DSGVO kein Umfang definiert, welcher die „Kerntätigkeit“ der Datenverarbeitung und -erfassung genauer bestimmt, jedoch müssen viele kleine Unternehmen keinen Datenschutzbeauftragten (DSB) einstellen. Stellen Sie sich selbst einfach die Frage, inwiefern Datenverarbeitung in Ihrem Unternehmen eine Rolle spielt, wie viele Personen davon betroffen sind, wie lange Daten aufbewahrt werden und welche Reichweite diese Datenspeicherung beträgt.

Benötige ich einen Datenschutzbeauftragten, wenn ich nicht in der EU bin?

Es ist ein weitverbreiteter DSGVO-Mythos, dass die Verordnung nur für in der EU ansässige Unternehmen gilt. Tatsächlich ist es so, dass Sie der DSGVO unterliegen, sobald Sie Daten von EU-Bürger*innen sammeln und verarbeiten. Sie könnten sich in den USA, in China oder Australien befinden. Wichtig ist nicht IHRE Lokalität, sondern die der betroffenen Personen.

Wenn Sie also feststellen, dass Sie der DSGVO unterliegen, sollten Sie vorsichtig sein und sich im nächsten Schritt fragen, inwiefern Ihre „Kerntätigkeit“ die Datenverarbeitung ist.

Benennung eines DSB

Die Benennung eines/einer Datenschutzbeauftragten ist im Vergleich zu allen anderen Tätigkeiten rund um Datenschutz und Datensicherheit vergleichsweise einfach. Laut Artikel 37, Punkt 7 DSGVO findet sie wie folgt statt:

Um Ihre datenschutzbeauftragte Person offiziell zu benennen, genügt es also, über das Online-Meldeformular Ihrer zuständigen Landesaufsichtsbehörde Angaben wie Name und Anschrift des DSB sowie Ihrer Institution sowie Kontaktdaten anzugeben.

Aufgaben eines Datenschutzbeauftragten

So viel zu den Grundlagen. Kommen wir nun zu den harten Fakten und der Frage: Was sind die täglichen Aufgaben und Verantwortlichkeiten von Datenschutzbeauftragten?

In Artikel 39 ist die DSGVO bei der Beschreibung der Aufgaben und Rollen wieder detaillierter.

Die Aufgaben eines DSB sind:

• Beratung und Schulung des Verantwortlichen, der Auftragsverarbeiter und der Mitarbeitenden, die personenbezogene Daten verarbeiten, um sicherzustellen, dass sie die Vorschriften der Datenschutzverordnung sowie andere Datenschutzgesetze der EU oder der Mitgliedstaaten einhalten.

• Datenschutzbeauftragte überwachen auch die Einhaltung dieser Gesetze sowie die Strategien zur Datensicherheit, einschließlich der Überprüfung von Prozessen.

• Wenn erforderlich, bietet er/sie Beratung in Bezug auf Datentransfer-Folgenabschätzung (kurz DTFA) und arbeitet eng mit Aufsichtsbehörden zusammen.

• Der/die Datenschutzbeauftragte fungiert auch als Kontaktpunkt für Fragen im Zusammenhang mit der Verarbeitung von personenbezogenen Daten.

• Bei der Erfüllung der Aufgaben berücksichtigt ein DSB das mit der Verarbeitung verbundene Risiko und alle Faktoren wie Art, Umfang, Umstände und Zwecke der Verarbeitung.

Anhand der Verantwortlichkeiten und verschiedenen Rollen, welche DSB in Unternehmen einnehmen, kann man auf die Qualitäten schließen, die ein*e Datenschutzbeauftragte*r haben muss. Laut DSGVO muss eine solche Person nämlich eine besondere berufliche Qualifikation sowie Fachwissen zum Datenschutz verfügen. Eine Ausbildung oder einen Studiengang zum Datenschutzbeauftragten oder Kurse mit offiziellen Zertifikaten gibt es nicht.

Folgende Qualitäten sollten DSBs haben:

• Fachwissen im Datenschutzrecht

• Umfassendes Verständnis von Technologie

• Zuverlässigkeit, Unabhängigkeit

• Gute Führungsqualitäten

• Prüfungserfahrung

• Juristische Kenntnisse sind empfehlenswert

• Betriebswirtschaftliche Erfahrungen

• Organisations- und Kommunikationstalent

Erfolgstipps für Datenschutzbeauftragte

Sie wurden zum Datenschutzbeauftragten benannt? Glückwunsch! Damit Sie Ihre Aufgaben und Rollen erfolgreich meistern, haben wir hilfreiche Tipps für Sie zusammengestellt. Befolgen Sie den Leitfaden und Sie werden zum erfolgreichen DSB!

Hier ist Ihr Leitfaden zum erfolgreichen Datenschutzbeauftragten

☑️ Datenschutz-Folgenabschätzung durchführen

Eine Datentransfer-Folgenabschätzung (kurz DTFA) beschäftigt sich mit den möglichen Risiken, welche für Ihre Organisation entstehen, wenn persönlich identifizierbare Informationen (PII) von EU-Bürger*innen in Länder vermittelt werden, welche nicht der DSGVO entsprechen. Jede Partei, die bei der Datenübertragung beteiligt ist, muss hierbei einen Fragebogen ausfüllen.

Auf diese Weise können möglichen Risiken einer Datenverarbeitung für die Rechte und Freiheiten einer Person eingeschätzt werden. Nach Klausel 14 der neuen Standardvertragsklauseln (SCC), sind Datenschutz-Folgenabschätzung obligatorische Aufgaben und müssen für jede neue Datenübermittlung neu erstellt werden.

Erfolgstipp für DFTAs

• Orientieren Sie sich am Leitfaden zur Erstellung von DFTAs des europäischen Datenschutzausschusses (EDSA).

• Beginnen Sie mit der Datenschutz-Folgenabschätzung frühzeitig, solange Sie den Gang des Projekts noch beeinflussen können, um mögliche Kosten zu sparen.

• Es ist wichtig, unabhängig zu bleiben und sicherzustellen, dass der Verantwortliche Sie nicht anweist, wie Sie Ihre Arbeit erledigen sollen.

• Abhängig von der Größe und den damit verbundenen Risiken des Projekts ist es Ihre Aufgabe, sich an die Datenschutzbehörde in Ihrer Nähe wenden.

• Wenn möglich, ist es sinnvoll, den DSFA-Bericht zu veröffentlichen, um Kund*innen und Mitarbeitenden zu signalisieren, dass die Sicherheit und der Datenschutz ihrer Daten ernst genommen werden.

☑️ Auskunftsersuche von Subjekten erfüllen

Subjekte dürfen jederzeit eine schriftliche Anfrage an ein Unternehmen stellen, um die Offenlegung von Art, Zweck und Umfang der Verarbeitung ihrer personenbezogenen Daten zu verlangen. Dann ist es Ihre Aufgabe, diesem Ersuch schnellstmöglich nachzugehen. Viele Gesetze wie CCPA oder auch DSGVO beinhalten eine Form des „Auskunftsrechts“, daher sollten Sie in jedem Fall gut vorbereitet sein.

So gewähren Sie Auskunft an Subjekte

• Identifizieren Sie die Form der Anfrage und ob es sich um aktuelle oder ehemalige Kund*innen oder Mitarbeitende handelt.

• Fordern Sie weitere Informationen an, um die Suche nach personenbezogenen Daten zu erleichtern.

• Nutzen Sie eine App, um sensible Daten schnell und einfach zu finden.

• Dokumentieren Sie den Eingang der Anfrage sowie Ihre Arbeit und Lieferung der Antwort.

☑️ Schadensbekämpfung bei Datenschutzverletzungen

Im Laufe Ihrer Karriere als datenschutzbeauftragte Person werden Sie früher oder später an dem Punkt ankommen, bei dem alle Vorsorge leider nicht erfolgreich war und Schaden bereits entstanden ist. Angriffe auf IT-Systeme, Missbrauch von Zugriffsrechten, der Verlust unverschlüsselter Datenträger wie Laptop und USB-Sticks oder auch einfach die ungewollte Löschung von Daten zählen zu Beispielen im weiten Spektrum von Datenschutzverletzungen. Dann wird es Ihre Aufgabe sein, den Schaden kleinstmöglich zu halten.

In Anbetracht der steigenden Cyber-Bedrohungen ist es nur eine Frage der Zeit, bis eine dieser Situationen eintritt, und in erster Linie kein Garant für schlechte Arbeit!

Das ist auch schon der erste Tipp: Wenn die Alarmglocken läuten, geraten Sie nicht in Panik oder Selbstmitleid, sondern folgen Sie diesen Schritten, um Datenschutzverletzungen einzudämmen:

• Erkennen und begrenzen Sie Sicherheitsverletzungen

  • Beantworten Sie zur Einschätzung diese Fragen

    • Welche Daten und Systeme sind betroffen?

    • Welche Personen sind betroffen?

    • Wie konnte die Datenschutzverletzung geschehen?

    • Ist der Vorfall beendet oder dauert er noch an?

    • Was ist mit entwendeten Daten passiert?

• Im Falle einer Datenschutzverletzung sollten Sie schnell handeln und diese sofort melden.

  • Die erste Aufgabe ist es natürlich, diese an die IT-Abteilung sowie weitere interne verantwortliche Stellen Ihres Unternehmens zu melden.

  • Auch eine Meldung bei der zuständigen Aufsichtsbehörde liegt in Ihrer Verantwortlichkeit.

  • Es kann weiter erforderlich sein, die betroffenen Personen über die Verletzung und mögliche Gefahren zu informieren. Besprechen Sie sich diesbezüglich mit der Aufsichtsbehörde.

• Schadensbekämpfung der Datenschutzverletzung

  • Um den Datenverlust einzudämmen, müssen physische Bereiche, aber auch Systeme schnellstmöglich gesichert werden. Nehmen Sie Geräte offline und aktualisieren Sie Passwörter und Zugangscodes.

  • Überprüfen Sie Ihre Website auf möglichen Schaden.

  • Aktualisieren Sie Ihre Antivirus- und Anti-Malware-Programme.

  • Führen Sie, wenn noch nicht geschehen, eine Multi-Faktor-Authentifizierung (MFA) ein.

  • Überprüfen Sie Online-Konten und Bilanzen auf verdächtige Aktivitäten.

• Zukünftige Datenschutzverletzungen verhindern

  • Lernen Sie aus der Datenschutzverletzung und erstellen Sie einen Kommunikations- und Präventionsplan, der Ihre Erfahrungen berücksichtigt.

Weitere Tipps, um die Rolle eines DSB zu erfüllen

☑️ Entwickeln Sie Ihr persönliches Netzwerk

Wissen ist Macht. Das gilt vor allem für Datenschutzbeauftragte. Tauschen Sie sich daher regelmäßig mit Ihren Kolleg*innen in der Branche über Erfolgstipps und Best Practices aus. Persönliche Treffen mit anderen Expert*innen, Workshops, Konferenzen und Arbeitsgruppen, werden Ihnen helfen, Ihre Verantwortlichkeiten noch dezidierter zu erfüllen.

☑️ Regelmäßige Audits durchführen

Es ist empfehlenswert, regelmäßige Audits durchzuführen, um die gesamte Verarbeitung personenbezogener Daten innerhalb der Organisation zu identifizieren. Tun Sie das am besten unangekündigt. Hierbei sollten sämtliche erfassten Daten, wie Namen, E-Mail-Adressen und Telefonnummern ermittelt werden.

☑️ Datenschutzgesetze wie CCPA und DSGVO in der Tiefe verstehen

In ihrem zuständigen Unternehmen haben Sie die Rolle eines Experten inne – werden Sie dieser gerecht! Dazu reicht es nicht aus, zu wissen, was grob im Gesetz steht. Sie sollten auch über praktische Kenntnisse verfügen. Darüber hinaus müssen Sie komplexe regulatorische Anforderungen interpretieren und umsetzbare Ratschläge geben können.

Basis für die Erfüllung dieser Aufgaben ist es, dass Sie Ihre Hausaufgaben machen und die wichtigsten Begriffe rund um den Datenschutz genau kenne. Unsere Wissensdatenbank bietet eine hilfreiche Übersicht über die wichtigsten Datenschutz-Begriffe: Datenschutz-Wissensdatenbank.

☑️ Tools zum Datenschutz verwenden

Sie können sicher sein, dass Angreifer auch Hilfsmittel benutzen, um Ihnen Schaden zuzufügen. Warum sollten Sie also nicht auch Werkzeuge anwenden, um Schaden zu verhindern? Apps wie Data Protection and Security Toolkit for Jira und Data Protection and Security Toolkit for Confluence unterstützen Sie bei Ihren täglichen Aufgaben. Mit Ihnen können Sie sensible Daten schnell aufspüren, verändern und wenn nötig anonymisieren. Auch die Einhaltung von Datenschutzgesetzen wird dank des Einsatzes eines solchen Tools immens erleichtert, da Sie einfach Datenschutzrichtlinien und Benachrichtigungen erstellen können.

Fazit: Aufgaben eines DSB erfolgreich meistern

Wie Sie sehen, sind die Aufgaben und Verantwortlichkeiten von Datenschutzbeauftragten weitgefächert. Doch mit dieser Übersicht gelingt es Ihnen, alle Aufgaben und damit Ihre Rolle erfolgreich zu erfüllen und den Datenschutz in Ihrem Unternehmen risikofrei zu gewährleisten.