Datenschutz in der Praxis Was sich bei betrieblichen Daten­schutz­beauftragten ändern muss

Anbieter zum Thema

Fsas Technologies GmbH

FTAPI Software GmbH

Insider Research

Betriebliche Datenschutzbeauftragte (DSBs) haben laut Datenschutz-Grundverordnung (DSGVO) im Datenschutz eines Unternehmens eine zentrale Rolle. Doch wie sieht es in Wirklichkeit aus? Eine Untersuchung von Aufsichtsbehörden hat die betriebliche Praxis in den Blick genommen und zeigt deutlichen Handlungsbedarf. Wir geben einen Überblick, was Unternehmen nun ändern sollten.

Zentrale Aufgaben bei Überwachung und Beratung

Betriebliche Datenschutzbeauftragte (DSBs) sind nicht verantwortlich für den Datenschutz in einem Unternehmen, aber sie sind trotzdem zentrale Stellen, wenn es um den Datenschutz und die Überwachung der Einhaltung der DSGVO (Datenschutz-Grundverordnung) geht.

Die Daten­schutz­beauftragten sorgen für eine kompetente datenschutzrechtliche Beratung, um Datenschutzverstöße schon im Vorfeld zu vermeiden und das Sanktionsrisiko gering zu halten, erklären zum Beispiel die Aufsichtsbehörden die besondere Bedeutung der DSBs.

Doch sind sich die Unternehmen der Stellung und der Aufgaben ihrer DSBs wirklich bewusst? Oder muss sich in so manchem Unternehmen etwas ändern, um die Datenschutz-Grundverordnung auch wirklich umzusetzen?

Aufsichtsbehörden untersuchen die Situation bei den DSBs

Seit Frühjahr 2023 fand eine europaweite Prüfaktion der europäischen Daten­schutz­aufsichts­behörden zur Stellung und den Aufgaben der Daten­schutz­beauftragten statt, denn diese stellen einen der Eckpfeiler des Datenschutzes in Unternehmen und Behörden dar.

Michael Will, Präsident des BayLDA (Bayerisches Landesamt für Datenschutzaufsicht) erläuterte das Ziel der gemeinsamen europaweiten Prüfung: „Für das BayLDA sind die Daten­schutz­beauftragten seit jeher mehr als nur die ersten Ansprechpartnerinnen und Ansprechpartner der Aufsichtsbehörde. Sie sind die Garanten des Datenschutzes im Alltag, gerade für kleine und mittlere Unternehmen. Sie leisten Tag für Tag einen zentralen Beitrag für das Gelingen datenschutzgerechter Digitalisierung. Mit der Datenschutz-Grundverordnung wurde ihre Stellung im Unternehmen als vorgelagerte Beratungs- und auch Kontrollinstanz nochmals gestärkt“.

Was genau geprüft wurde

Die gemeinsame Prüfaktion diente insbesondere der genauen Analyse der heutigen Handlungs­bedingungen in der betrieblichen Praxis. Im Mittelpunkt der Prüfung standen neben Fragen der Qualifikation und Ressourcen­ausstattung vor allem mögliche Beeinträchtigungen der unabhängigen und effektiven Aufgabenwahrnehmung.

Insbesondere die Ausübung von Zusatzfunktionen kann dabei Interessenkonflikte begründen, wie etwa bei Compliance-Beauftragten, IT-Verantwortlichen oder Personalverantwortlichen. Ein besonderes Augenmerk galt außerdem der Anforderung, dass Datenschutzbeauftragte unmittelbar der höchsten Managementebene des Verantwortlichen oder Auftragsverarbeiters zu berichten haben.

Die beteiligten Aufsichtsbehörden haben deshalb die Handlungs­bedingungen der betrieblichen Daten­schutz­beauftragten gezielt in den Blick genommen und haben sich Organigramme als auch Jahresberichte der Daten­schutz­beauftragten vorlegen lassen.

Nun liegen die Ergebnisse vor und zeigen, dass es einigen Handlungsbedarf in Unternehmen gibt.

Welche Abweichungen und Probleme aufgedeckt wurden

Michael Will, Präsident des BayLDA, erläuterte nun die Ergebnisse der Untersuchungen bei bayerischen Unternehmen. Dabei unterstrich er die Bedeutung der DSBs auch mit Blick auf KI und Data Act: „Gerade angesichts neuer Herausforderungen, wie der Nutzung Künstlicher Intelligenz oder den nun seit dem 11. Januar 2024 geltenden Bestimmungen des Data Act, kommen auf Datenschutzbeauftragte immer neue Fragestellungen zu. Sie sind mit der ihnen von der Datenschutz- Grundverordnung zugewiesenen Kontrollfunktion Garanten des Datenschutzes im Alltag und gewährleisten so das Gelingen datenschutzgerechter Digitalisierung“.

Aus Sicht des BayLDA zeigt die aktuelle Untersuchung zunächst noch ein gemischtes Bild. In der deutlichen Mehrzahl der Prüfungen musste die Aufsichtsbehörde durch Nachfragen problematische Befunde aufgreifen. Nun würde man auf Grundlage weiterer Informationen klären, ob die Datenschutzorganisation der geprüften Unternehmen den Anforderungen der Datenschutz-Grundverordnung genügt, oder eben nicht.

Die Untersuchungen zu einzelnen Merkmalen wie den Ressourcen, den Aufgaben oder Zusatzfunktionen oder auch der Art und Weise, wie Datenschutzbeauftragte der obersten Führungsebene Bericht erstatten können, hätten in mehreren Fällen Missverständnisse offengelegt oder auch mangelndes Bewusstsein dafür gezeigt, wie Datenschutzbeauftragte in die Compliance-Mechanismen von Unternehmen integriert werden sollten.

Die europaweite Gesamtbilanz der Prüfverfahren zeige ein insgesamt ermutigendes Bild: Die Mehrheit der Befragten habe erklärt, dass sie über die erforderlichen Fähigkeiten und Kenntnisse verfügen, um ihre Arbeit zu erledigen und dass sie regelmäßig geschult würden. Sie hätten klar definierte Aufgaben im Einklang mit der DSGVO und erhielten keine Anweisungen, die die unabhängige Wahrnehmung ihrer Aufgaben gefährde. Trotzdem appelliert der vom Europäischen Datenschutzausschuss (EDSA) verabschiedete Bericht an die Daten­schutz­behörden, mehr Sensibilisierungs-, Informations- und auch Durchsetzungs­maßnahmen durchzuführen.

Beispiele für Problemstellen bei der Tätigkeit der DSBs

Die bisherigen Untersuchungen weisen laut BayLDA darauf hin, dass Verantwortliche vermehrt Daten­schutz­beauftragte ohne hinreichendes Problembewusstsein mit Zusatzaufgaben etwa im Compliance-Bereich betrauen.

Hier würde nun geprüft, ob Verantwortliche mit solchen Zusatzaufgaben für Datenschutzbeauftragte strukturelle Interessenkonflikte in Kauf nehmen, etwa auch dann, wenn sie externe Datenschutzbeauftragte einsetzen, die zugleich für eigene Auftragsverarbeiter tätig sind.

Ebenso müsse hinterfragt werden, ob Datenschutzbeauftragte schon im Organigramm erkennbar Funktionen oder Ebenen zugewiesen würden, die den direkten Informationsaustausch mit der obersten Führungsebene behindern.

Es zeigt sich also, dass betriebliche DSBs offensichtlich häufig noch nicht die richtige Stellung in den Unternehmen erhalten haben, um ihre nach DSGVO so wichtige Aufgaben umfassend ausüben zu können. Ohne Zweifel werden die Aufsichtsbehörde nun Maßnahmen ergreifen, damit ihre so wichtigen „Partner in den Unternehmen“ entsprechend der DSGVO richtig positioniert und ausgestattet werden, frei von Interessenkonflikten und von Weisungen, die eine Datenschutzkontrolle im Unternehmen behindern könnte.

Unternehmen tun gut daran, selbst nochmals zu prüfen, wie es um die Stellung und die Aufgaben ihrer DSBs steht, nicht nur, um den Aufsichtsbehörden zuvorzukommen, sondern um die großen Vorteile für den Datenschutz zu nutzen, die korrekt eingesetzte betriebliche DSBs bringen.

(ID:49887537)