DSGVO, Data Governance Act & Data Act Noch mehr Aufgaben für die Da­ten­schutz­be­auf­trag­ten?

Anbieter zum Thema

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Datenschutz hat einen hohen Stellenwert und unterliegt strengen Vorgaben. Entsprechend viel haben Da­ten­schutz­be­auf­trag­te (DSB) schon heute zu tun. Mit den neuen Datengesetzen der EU könnten weitere Aufgaben auf sie hinzukommen. Aber geht das überhaupt? Was können und sollen Datenschutzbeauftragte in Zukunft (noch) alles tun? Nicht nur Aufsichtsbehörden haben sich schon geäußert.

Praktisch alle Unternehmen haben seit Einführung der Datenschutz-Grundverordnung (DSGVO) ihren Aufwand für Datenschutz hochgefahren, so eine Umfrage des Digitalverbands Bitkom. 16 Prozent stellten fest, dass dieser langsam wieder abnimmt, aber 47 Prozent gehen von einem gleichbleibend höheren Aufwand aus, 30 Prozent erwarten sogar, dass der bereits gestiegene Aufwand noch weiter zunimmt. Nur sechs Prozent sehen keinen Mehraufwand, für kein Unternehmen ist der Aufwand gesunken.

Wenn es um hohen Aufwand für den Datenschutz geht, sind viele Bereiche im Unternehmen betroffen, oder sie sollten es sein, denn Datenschutz betrifft immer das ganze Unternehmen. Die Stellen im Unternehmen, die aber immer von den zusätzlichen Aufgaben betroffen sind, das sind die betrieblichen Datenschutzbeauftragten (DSB).

Was DSBs schon heute alles tun müssen

Ein Blick in die DSGVO zeigt, warum die DSBs eigentlich nicht nach neuen Aufgaben suchen. So sollen DSBs sicherstellen, dass die für die Verarbeitung Verantwortlichen und die betroffenen Personen über ihre Rechte, Pflichten und Verantwortlichkeiten im Bereich des Datenschutzes unterrichtet werden, sie sollen bei der Anwendung der Datenschutzvorschriften beraten und entsprechende Empfehlungen aussprechen, auf ein Register der Verarbeitungsvorgänge hinweisen und die Verarbeitungen melden, die besondere Risiken beinhalten, auf die Einhaltung der Datenschutzvorschriften hinwirken und dabei helfen, Rechenschaft hierüber abzulegen, auf Ersuchen oder von sich aus Anfragen oder Beschwerden nachgehen, mit den Aufsichtsbehörden zusammenarbeiten und die verantwortliche Stelle auf jede Nichteinhaltung der geltenden Datenschutzvorschriften hinweisen.

Dabei sind viele Datenschutzbeauftragte nur in Teilzeit im Datenschutz tätig. Anstatt weitere Aufgaben zu erhalten, sollten sie also unterstützt und entlastet werden, zum Beispiel durch Datenschutzkoordinatoren und andere Multiplikatoren für den Datenschutz im Betrieb. Es ist also an der Zeit, die Arbeitssituation der DSBs zu überprüfen. Genau das passiert gerade.

Aufsichtsbehörden prüfen Stellung und Aufgaben der DSBs

Rund fünf Jahre nach dem Geltungsbeginn der Datenschutz-Grundverordnung haben die europäischen Datenschutzaufsichtsbehörden eine europaweite Prüfaktion gestartet, zur Stellung und den Aufgaben der Datenschutzbeauftragten.

Dazu Michael Will, Präsident des BayLDA (Bayerisches Landesamt für Datenschutzaufsicht): „Für das BayLDA sind die Datenschutzbeauftragten seit jeher mehr als nur die ersten Ansprechpartnerinnen und Ansprechpartner der Aufsichtsbehörde. Sie sind die Garanten des Datenschutzes im Alltag, gerade für kleine und mittlere Unternehmen. Sie leisten Tag für Tag einen zentralen Beitrag für das Gelingen datenschutzgerechter Digitalisierung. Mit der Datenschutz-Grundverordnung wurde ihre Stellung im Unternehmen als vorgelagerte Beratungs- und auch Kontrollinstanz nochmals gestärkt.“ Zur Prüfaktion sagte Will: „Die gemeinsame Prüfaktion bildet den Rahmen für eine genaue Analyse der heutigen Handlungsbedingungen in der betrieblichen Praxis und den Austausch der Datenschutzbehörden über mögliche Verbesserungen oder auch Abhilfemaßnahmen. Wir werden versuchen, die Ergebnisse unserer Untersuchungen so rasch wie möglich auszuwerten und unsere Schlussfolgerungen damit für alle der mehr als 36.000 bei uns gemeldeten Datenschutzbeauftragten nutzbar zu machen.“

Was genau geprüft wird

Im Mittelpunkt der Prüfung stehen neben Fragen der Qualifikation und Ressourcenausstattung vor allem mögliche Beeinträchtigungen der unabhängigen und effektiven Aufgabenwahrnehmung. Insbesondere die Ausübung von Zusatzfunktionen kann dabei Interessenkonflikte begründen, wie etwa bei Compliance-Beauftragten, IT-Verantwortlichen oder Personalverantwortlichen. Ein besonderes Augenmerk gilt außerdem der Anforderung, dass Datenschutzbeauftragte unmittelbar der höchsten Managementebene des Verantwortlichen oder Auftragsverarbeiters zu berichten haben.

BayLDA-Präsident Will erläutert hierzu: „Auf Grundlage unserer Prüfbefugnisse werden wir die Handlungsbedingungen der betrieblichen Datenschutzbeauftragten gezielt in den Blick nehmen und uns sowohl Organigramme als auch Jahresberichte der Datenschutzbeauftragten vorlegen lassen. Wir werden sehr genau hinterfragen, wie Datenschutzbeauftragte, die nur über eine sogenannte „dotted line“ über verschiedene Hierarchieebenen hinweg an die Unternehmensleitung herantreten können, dem Erfordernis jederzeitiger unmittelbarer Berichtsrechte genügen, um so ein klares Bild zur Situation der Datenschutzorganisation zu vermitteln und Fehlentwicklungen entgegenzutreten.“

Was im Datenschutz noch alles auf der Agenda steht

Veränderungen im Bereich des Datenrechts in der EU könnten sich aber auch auf die Rollen und Aufgaben der DSBs auswirken und ihre Zukunft beeinflussen.

„Heute stellen uns global agierende Unternehmen und Plattformen, Big Data und lernende Algorithmen vor neue Herausforderungen“, so der Bundesdatenschutzbeauftragte (BfDI). „Mit der europäischen Datenschutz-Grundverordnung haben wir es geschafft, diesen Entwicklungen gemeinsam mit anderen Ländern mit einem starken Regelwerk nach europäischen Werten zu begegnen.“

Mit neuen Rechtsakten zur Digitalisierung, wie dem Data Governance Act, dem Digital Services Act, dem Digital Markets Act und den Artificial Intelligence Acts, geht die Europäische Union den nächsten Schritt der Regulierung. Aus Sicht des BfDI ist das lange überfällig: „Wir benötigen dringend mehr Transparenz bei Algorithmen, eindeutige rote Linien beim Verhaltenstracking und Einschränkungen von manipulativen Designs.“

Auch der Digitalverband Bitkom wünscht sich Veränderungen. So sagte Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung: „Zwei Dinge gehören 2023 ganz oben auf die Datenschutz-Agenda: Die längst überfällige Strukturreform der Datenschutz-Aufsichtsbehörden und eine Weichenstellung zu einer Datenökonomie in Deutschland. Wir befinden uns im Jahr fünf der Geltung der Datenschutz-Grundverordnung. Mit der DSGVO ist die Bedeutung von Datenschutz stärker in das Bewusstsein gerückt, aber nach wie vor gibt es etwa aufgrund unterschiedlicher Auslegungen durch die Aufsichtsbehörden große Unsicherheit bei der Umsetzung der Vorschriften in Unternehmen“.

Der Bitkom-Verband sieht Bedarf für strukturelle Änderungen: „Statt mit 18 verschiedenen Datenschutzaufsichten weiterzumachen, ist es höchste Zeit, Schwerpunktaufsichten zu bilden, bestehende Dopplungen abschaffen und die Absprachemechanismen zu verbessern. So würden zugleich Kapazitäten frei, um die Beratungsangebote der Aufsichten deutlich auszubauen. Die Zeit drängt, denn es werden mit dem Data Act und AI Act bald zahlreiche neue Zuständigkeiten auf die Datenschutz-Aufsicht zukommen. Vor allem kleinere und mittlere Unternehmen werden mit den neuen Regulierungen erneut, wie schon bei der DSGVO, große Schwierigkeiten bekommen, wenn wir nicht rechtzeitig Maßnahmen ergreifen.“

Wenn aber bei den Datenschutzaufsichtsbehörden zusätzliche Aufgaben anstehen, kann dies für ihre Kontaktpersonen in den Unternehmen und damit den betrieblichen Datenschutzbeauftragten auch zu Veränderungen führen.

Kompetenzen im Datenrecht sind gefragt

Bereits im Dezember 2022 hatte sich der Dachverband European Federation of Data Protection Officers (EFDPO) zum Data Act geäußert und dabei die Datenschutzbeauftragten ins Spiel gebracht. So weist die EFDPO darauf hin, dass viele Unternehmen und öffentliche Einrichtungen bereits über Expertinnen und Experten verfügen, die sich in ihrer täglichen Arbeit mit Daten, Datenverarbeitung und Datenaustausch befassen, die Datenschutzbeauftragten nach DSGVO. Sie könnten nach Auffassung der EFDPO eine wichtige und positive Rolle bei der Umsetzung des Data Act in die Praxis spielen.

Eine stärkere Einbeziehung der Datenschutzbeauftragten in die Umsetzung des Data Act hätte laut EFDPO nicht nur positive Auswirkungen auf die Geschwindigkeit der Umsetzung, sondern auch auf das Vertrauen der Öffentlichkeit, der betroffenen Unternehmen und der Aufsichtsbehörden in die Machbarkeit der Umsetzung. Schließlich, und das sei wichtig, würde ein größeres Vertrauen in die Datenschutzbeauftragten wahrscheinlich auch zu erheblichen Einsparungen für die Unternehmen und Behörden führen, die sich zur Verbesserung ihrer Tätigkeiten auf den Data Act stützen müssten.

Entscheidend ist aber dabei, so die Meinung des Autors: Zusätzliche Aufgaben erfordern eine zusätzliche Entlastung, damit sich die DSB auf ihre besonderen Kompetenzen im Datenrecht konzentrieren können. Gleichzeitig muss sichergestellt sein, dass weitere Aufgaben für DSB nicht zu Interessenskonflikten führen können, zwischen einer möglichst breiten Datennutzung und einem möglichst umfassenden Datenschutz. Zwischen Data Use, Data Compliance und Data Protection muss eine sinnvolle Symbiose gefunden werden. Dann könnte auch aus den Data Protection Officer ein Data Compliance Officer entstehen und damit ein spannendes, erweitertes Tätigkeitsfeld für Datenschutzbeauftragte, ohne Interessenskonflikt, dafür aber mit Entlastung und Unterstützung.

(ID:49413834)