Viele Unternehmen sehen die gesetzliche Vorgabe zur Bestellung eines Datenschutzbeauftragten als lästige Pflicht an. Daher wird oftmals ein Mitarbeiter, der der Geschäftsführung nahesteht oder dem sonst großes Vertrauen entgegengebracht wird, zum Datenschutzbeauftragten bestellt – und eben nicht derjenige mit der größten Fachkunde. Die Bestellung eines nicht fachkundigen Mitarbeiters zum Datenschutzbeauftragten stellt jedoch eine Ordnungswidrigkeit dar und kann mit bis zu 50.000 € Bußgeld geahndet werden. Leider lässt das Gesetz unklar, was genau unter dem Begriff der Fachkunde zu verstehen ist. Genauere Anforderungen haben sich jedoch inzwischen in der Praxis herauskristallisiert und werden im Folgenden dargelegt.
Was ist die Fachkunde des Datenschutzbeauftragten?
Zunächst ist klarzustellen, dass Fachkunde kein starrer Begriff ist, sondern sich jeweils am Ausmaß der Verarbeitung im Unternehmen und dem Schutzbedarf der personenbezogenen Daten orientiert. Je sensibler und umfangreicher die Daten sind, desto höher muss die fachliche Qualifikation des Datenschutzbeauftragten sein. Ein allgemeingültiges, gleichbleibendes Anforderungsprofil gibt es dabei nicht. Das Profil kann sich sogar im Laufe der Ausübung der Tätigkeit des Datenschutzbeauftragten noch ändern oder weiterentwickeln. Ein paar Gemeinsamkeiten lassen sich jedoch trotzdem finden.
Juristische und branchenspezifische Kenntnisse des Datenschutzbeauftragten
Grundsätzlich muss jeder Datenschutzbeauftragte zunächst allgemeine rechtliche Kenntnisse vorweisen können. Diese setzen sich vor allem aus dem allgemeinen Persönlichkeitsrecht, insbesondere in seiner Ausprägung als Recht auf informationelle Selbstbestimmung, den Datenschutzprinzipien, den Vorschriften des BDSG und dem Arbeitsrecht zusammen. Eine fundierte juristische Ausbildung ist hierbei nicht zwingend nötig, jedoch sollten rechtliche Grundlagen beherrscht werden. Daneben werden auch Kenntnisse der technischen Vorschriften des Datenschutzes, wie z. B. die nach §9 BDSG und dessen Anlage, verlangt, da ohne solche Kenntnisse die Kontrolle der IT-Systeme kaum ordnungsgemäß durchführbar ist.
Dazu werden ergänzend jeweils detaillierte branchenspezifische Spezialkenntnisse vorausgesetzt. Je nach Branche erweitert sich das Spektrum der anwendbaren Vorschriften und Gesetze nämlich dramatisch. Der Datenschutzbeauftragte einer Apotheke muss beispielsweise wesentlich tiefere Kenntnisse im Bereich der rechtlichen Behandlung von Patientendaten und dem Risiko der Offenbarung von Privatgeheimnissen vorweisen können, als derjenige eines Autohändlers. Ergänzende Vorschriften können sich beispielsweise aus dem Sozialgesetzbuch, dem Telemediengesetz, dem Strafgesetzbuch oder auch europäischen Verordnungen ergeben.
Als ob das nicht schon genügen würde, werden auch noch allgemeine Kenntnisse in der Informationstechnologie, allgemeinen betriebswirtschaftlichen Abläufen und den Wechselwirkungen innerhalb des eigenen Unternehmens verlangt.
Datenschutzbeauftragte haben ein Recht auf Schulung
Das bedeutet aber nicht, dass der Datenschutzbeauftragte in all diesen Materien ein Experte sein muss. Es genügt wenn Kenntnisse in diesen Bereichen in ausreichendem Maße vorhanden sind. Beim Erwerb und Erhalt dieser Kenntnisse wird der Datenschutzbeauftragte glücklicherweise auch nicht allein gelassen. Die Geschäftsführung ist nämlich gesetzlich verpflichtet, dem Datenschutzbeauftragten die Teilnahme an Fort- und Weiterbildungen zu ermöglichen.
Der Datenschutzbeauftragte kann also verlangen, dass er für die Zeit der Fortbildung von seiner eigentlichen Tätigkeit freigestellt wird und die Kosten der Fortbildung von den Unternehmen getragen werden. Die Häufigkeit dieser Fortbildungen orientiert sich ebenfalls am Schutzbedarf und am Umfang der vom Unternehmen verarbeiteten Daten, kann dabei aber auch von Änderungen der tatsächlichen oder rechtlichen Rahmenbedingungen abhängen. So ist der Schulungsaufwand für den Datenschutzbeauftragten eins Handwerksbetriebes wesentlich geringer, als der einer Bank.
Letztendlich gilt das Motto „ohne Schulung keine Fachkunde“, da wohl nur die allerwenigstensten Mitarbeiter eines Unternehmens alle nötigen Fachkenntnisse besitzen, um die Stelle als Datenschutzbeauftragter sinnvoll besetzen zu können.