Gemäß § 4 f BDSG haben Unternehmen, die personenbezogene Daten automatisiert erheben, verarbeiten und nutzen, einen Beauftragten für den Datenschutz schriftlich zu bestellen, wenn mehr als neun Beschäftigte mit dieser Aufgabe betraut sind. Personenbezogene Daten sind z.B. das Geburtsdatum, die Telefonnummer, die Postanschrift oder eine E-Mailadresse; auch eine verwendete IP- Adresse kann hierunter fallen. Der Begriff ist sehr weit zu verstehen. Die betroffenen Daten müssen nicht „vertraulich“ oder „geheim“ sein. Für die in Unternehmen bestellten Datenschutzbeauftragten hat sich die Bezeichnung „betrieblicher Datenschutzbeauftragter“ etabliert.

Aufgaben und Stellung des betrieblichen Datenschutzbeauftragten

Mitwirkung bei der Gewährleistung der Einhaltung der Datenschutzgesetze

Die gesetzlichen Aufgaben des betrieblichen Datenschutzbeauftragten sind in § 4g BDSG definiert. Nach dieser Bestimmung wirkt der betriebliche Datenschutzbeauftragte auf die Einhaltung des BDSG „und anderer Vorschriften über den Datenschutz hin“. Die Verantwortung für die Einhaltung der datenschutzrechtlichen Bestimmungen trifft jedoch zunächst den Rechtsträger des Unternehmens, also entweder eine natürliche oder eine juristische Person.

1. Beratungsaufgaben

Die Beratungsfunktion stellt die zentrale Aufgabe des betrieblichen Datenschutzbeauftragten dar. Diese Beratungsfunktion erstreckt sich keinesfalls ausschließlich auf eine gutachterliche, juristische Tätigkeit im Hinblick auf vorgefundene Sachverhalte und ihre datenschutzrechtliche Bewertung. Die Aufgabe des betrieblichen Datenschutzbeauftragten sollte es sein, das operative Ziel des Unternehmens zu unterstützen und dabei darauf zu achten, dass geltende datenschutzrechtliche Bestimmungen nicht verletzt werden.

2. Schulungsaufgaben

Die Schulung des Personals im Bereich Datenschutz und Datensicherheit ist eine unmittelbare gesetzliche Aufgaben des betrieblichen Datenschutzbeauftragten. Diese wird in

unterteilt.

3. Kontrollaufgaben

Der betriebliche Datenschutzbeauftragte hat eine umfassende Kontrollaufgabe hinsichtlich der datenschutzrechtlichen Unbedenklichkeit der Aktivitäten innerhalb eines Unternehmens, die in Zusammenhang mit der Verarbeitung personenbezogener Daten steht.

4. Registeraufgaben

Gemäß § 4g Abs. 2 in Verbindung mit § 4e Satz 1 Nr. 1-9 BDSG ist dem betrieblichen Datenschutzbeauftragten von der verantwortlichen Stelle eine Übersicht über DV-Systeme, mit denen automatisiert personenbezogene Daten verarbeitet werden, zur Verfügung zu stellen. Diese hat gesetzlich definierte Mindestangaben zu enthalten.

Organisatorische Aufgaben des betrieblichen Datenschutzbeauftragten

Ab einer bestimmten Größenordnung muss sich ein betrieblicher Datenschutzbeauftragter über die Organisation seiner Beratungs-, Schulungs- und Kontrollfunktionen Gedanken machen. Damit besteht für ihn die Pflicht und die Notwendigkeit, ein auf der organisatorischen Ausgestaltung des Unternehmens aufbauendes Konzept für die Organisation der Aufgabenerledigung im Bereich des Datenschutzes zu entwickeln bzw. fortzuentwickeln (Datenschutzkonzept).

Bestellung und formale Position innerhalb des Unternehmens

Interner betrieblicher Datenschutzbeauftragter

Gemäß § 4f Abs. 1 BDSG ist der betriebliche Datenschutzbeauftragte vom Unternehmen schriftlich zu bestellen. Hierfür ist also ein Dokument erforderlich, das von einem befugten Vertreter des Rechtsträgers des Unternehmens zu unterschreiben und vom betrieblichen Datenschutzbeauftragten gegenzuzeichnen ist. Die Bestellung hat den Charakter einer besonderen Vereinbarung (Arbeitsvertragsänderung) und kann nicht im Wege des arbeitsrechtlichen Direktionsrechts auf einen Beschäftigten übertragen werden.

Nach § 4f Abs. 3 Satz 1 BDSG ist der betriebliche Datenschutzbeauftragte der Leitung eines Unternehmens unmittelbar zu unterstellen. Aus dem Wortlaut der Vorschrift ergibt sich direkt, dass ein Mitglied der Unternehmensleitung nicht zum betrieblichen Datenschutzbeauftragten bestellt werden kann. Achtung: seit dem 1.9.2009 besteht für interne Datenschutzbeauftragte Kündigungsschutz! Der interne Datenschutzbeauftragte kann gegen seinen Willen grundsätzlich nicht mehr abberufen werden.

Externer betrieblicher Datenschutzbeauftragter

Nach dem BDSG muss der betriebliche Datenschutzbeauftragte nicht zwingend Beschäftigter des betroffenen Unternehmens sein. Insbesondere bei kleineren Unternehmen kann es sinnvoll sein, einen externen Datenschutzexperten zum betrieblichen Datenschutzbeauftragten zu bestellen. Es ist jedoch immer nur die Bestellung einer natürlichen Person, nicht eines Unternehmens, möglich.

Qualifikation des betrieblichen Datenschutzbeauftragten

Der Datenschutzbeauftragte muss Fachkompetenz in Bezug auf IT-Technologien, Kenntnisse im allgemeinen Datenschutzrecht und im Bereich der datenschutzrechtlich relevanten Bestimmungen des BetrVG, sowie Kenntnisse der Aufgaben-, Struktur- und Funktionsweise des Unternehmens und nicht zuletzt auch Schulungskompetenz besitzen.

Arbeitsrechtliche Stellung des Datenschutzbeauftragten

Werden Mitarbeiter des Unternehmens bestellt, so müssen als Besonderheiten im Hinblick auf die arbeitsrechtliche Stellung des Datenschutzbeauftragten das gesetzliche Benachteiligungsverbot, die direkte Unterstellung unter die Unternehmensleistung bei Ausübung der Tätigkeit des Datenschutzbeauftragten sowie der Kündigungsschutz berücksichtigt werden.