Zur Verschwiegenheit verpflichtet

Wenn ab dem 25. Mai 2018 die EU-Datenschutzgrundverordnung gemeinsam mit dem neuen Bundesdatenschutzgesetz in Deutschland gilt, steigen die Anforderungen an die Unternehmen. Viele müssen dann einen Datenschutzbeauftragten bestellen. Die wichtigsten Antworten. 1 Wer braucht einen Datenschutzbeauftragten? Laut Artikel 37 der EU-Datenschutzgrundverordnung (DSGVO) müssen Unternehmen einen Datenschutzbeauftragten bestellen, wenn die Datenverarbeitung die Kerntätigkeit darstellt oder im großen Stil sensible Daten (etwa Gesundheitsdaten oder Daten über strafrechtliche Verurteilungen) verarbeitet werden. Mehr steht dazu nicht in der Verordnung. Dennoch können auch Spediteure von der DSGVO betroffen sein, denn der deutsche Gesetzgeber hat von den Öffnungsklauseln der DSGVO Gebrauch gemacht und weiterführende Regeln im Bundesdatenschutzgesetz (BDSG) festgehalten. Auch nach dem 25. Mai besteht für Unternehmen die Pflicht, einen Datenschutzbeauftragten zu bestellen, soweit in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Für Spediteure trifft das vor allem in Bezug auf Kunden- und Mitarbeiterdaten zu. Unternehmen, in denen nicht ständig mindestens zehn Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, können einen Datenschutzbeauftragten einsetzen. Sie müssen es aber nicht. Auch wenn ein Unternehmen nicht verpflichtet ist, einen Datenschutzbeauftragten zu bestellen, ist der Unternehmer für die Einhaltung der DSGVO verantwortlich. Daher sollte er sich unbedingt beraten lassen, um die neuen Datenschutz-Anforderungen richtig umzusetzen. 2 Was darf der betriebliche Datenschutzbeauftragte? Der Datenschutzbeauftragte hat eine besondere Stellung im Unternehmen. Er ist zur Verschwiegenheit über die Identität der Person verpflichtet, deren Daten gespeichert wurden. Das gilt sowohl für Daten von Geschäftspartnern als auch von Verbrauchern. Steht der Leitung des Unternehmens oder einer dort beschäftigten Person aus beruflichen Gründen ein Zeugnisverweigerungsrecht zu, dann unterliegt diesem im Zweifel auch der Datenschutzbeauftragte. Die DSGVO stellt in Artikel 38 Absatz 3 Satz 1 die Weisungsfreiheit des betrieblichen Datenschutzbeauftragten sicher. Der Datenschutzbeauftragte berichtet unmittelbar der Geschäftsleitung und ist gemäß Artikel 38 Absatz 3 Satz 3 DSGVO unmittelbar der höchsten Managementebene unterstellt. Ist ein Unternehmen verpflichtet, einen Datenschutzbeauftragten zu bestellen, kann es diesen später nur entlassen, wenn Gründe für eine außerordentliche Kündigung vorliegen. Nach dem Ende der Tätigkeit als Datenschutzbeauftragter ist eine Kündigung innerhalb eines Jahres unzulässig, es sei denn, es liegen Gründe vor, die eine außerordentliche Kündigung rechtfertigen würden. Die Stellung als Datenschutzbeauftragter darf nicht zu Interessenkonflikten führen. Dazu kann es kommen, wenn der Betreffende zusätzlich einer anderen Tätigkeit im Unternehmen nachgeht. Dies ist zwar nach Artikel 38 Absatz 5 DSGVO gestattet, die weitere Tätigkeit darf aber beispielsweise nicht dazu führen, dass sich der Datenschutzbeauftragte selbst kontrollieren muss. Probleme entstehen oft, wenn er zusätzlich in der IT-Abteilung, Personalabteilung oder Geschäftsführung arbeitet. 3 Welche Strafen drohen, wenn man keinen Datenschutzbeauftragten bestellt? Wird vorsätzlich oder fahrlässig kein betrieblicher Datenschutzbeauftragter bestellt, obwohl das Unternehmen hierzu verpflichtet wäre, droht schon heute ein Bußgeld in Höhe von bis zu 50.000 Euro. Durch die DSGVO wird dieser ohnehin hohe Strafrahmen deutlich ausgeweitet. Künftig droht ein Bußgeld von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes - je nachdem, welcher Betrag höher ist. Die Pflicht, einen Datenschutzbeauftragten zu bestellen, sollte daher dringend ernst genommen werden und ganz oben auf der Liste der umzusetzenden Maßnahmen stehen. 4 Wann ist ein Datenschutzbeauftragter für einen Konzern möglich? Artikel 37 Absatz 2 DSGVO macht es möglich, einen Konzerndatenschutzbeauftragten zu benennen. Künftig muss nicht mehr jede Niederlassung einen eigenen Datenschutzbeauftragten haben, sondern der Konzernexperte kann von verschiedenen Mitarbeitern in den einzelnen Standorten unterstützt werden. Voraussetzung hierfür ist allerdings, dass der Datenschutzbeauftragte von jeder Niederlassung aus leicht erreicht werden kann. Da eine Fernkommunikation heute weltweit problemlos möglich ist, hätte die Norm keinen eigenen Regelungscharakter, wenn man davon ausginge, dass lediglich telefonische Erreichbarkeit oder Erreichbarkeit per E-Mail gemeint wären. Es ist davon auszugehen, dass der Datenschutzbeauftragte unter zumutbarem Aufwand auch persönlich von der Niederlassung aus aufgesucht werden kann. Dies könnte dadurch gewährleistet werden, dass einem Mitarbeiter, der um ein persönliches Gespräch bittet, die Reisekosten erstattet werden. Bestehen Sprachbarrieren, empfiehlt es sich, einen Mitarbeiter pro Niederlassung mit der Kommunikation mit dem Datenschutzbeauftragten zu betrauen, der die Sprache einwandfrei beherrscht. 5 Welche Qualifikation muss ein Datenschutzbeauftragter haben? Die DSGVO selbst zählt im Wesentlichen folgende Qualifikationsvoraussetzungen zur Bestellung als Datenschutzbeauftragter auf: - eine gewisse berufliche Qualifikation, - das Fachwissen auf dem Gebiet des Datenschutzes und der Datenschutzpraxis und - die Fähigkeiten zur Erfüllung der gesetzlich definierten Aufgaben. Die hier genannten Rechtsbegriffe sind größtenteils sehr unbestimmt. Daher dürfte ausschlaggebend sein, ob der Datenschutzbeauftragte in der Lage ist, die in Artikel 39 DSGVO zugewiesenen Aufgaben zu erfüllen. 6 Welche Aufgaben und Pflichten hat ein Datenschutzbeauftragter nach der DSGVO? Laut Artikel 39 DSGVO hat der Datenschutzbeauftragte die verantwortliche Stelle und die dort beschäftigten Mitarbeiter zu beraten. Er führt die Beratung im Zusammenhang mit der Datenschutzfolgenabschätzung durch. Darüber hinaus berät er zu allen sonstigen Fragen in Verbindung mit seiner Tätigkeit und ist Anlaufstelle für die Aufsichtsbehörden und verpflichtet sich, mit diesen zusammenzuarbeiten. Außerdem soll er überwachen, ob das jeweilige Unternehmen die DSGVO und andere Vorschriften des Datenschutzrechts einhält. Der Datenschutzbeauftragte ist demnach nicht dazu berechtigt, abschließende Entscheidungen zu treffen. Seine Aufgaben beschränken sich auf die Beratung. Innerhalb eines Betriebs ist er allerdings Ansprechpartner sowohl für Mitarbeiter als auch für die Geschäftsführung. Seine Überwachungsaufgabe ähnelt der des Compliance-Managements, die viel Zeit in Anspruch nehmen dürfte und ein hohes Fachwissen im juristischen Bereich und im IT-Bereich erfordert. 7 Wann und wie haftet der Datenschutzbeauftragte bei Fehlern? In Betracht kommt sowohl eine zivilrechtliche Haftung als auch eine ordnungs- und strafrechtliche Haftung. Aufgrund vieler unbestimmter Rechtsbegriffe sind große Teile in diesem Bereich noch ungeklärt. Eine zivilrechtliche Haftung könnte sich aus Artikel 82 Absatz 2 DSGVO ergeben. Diese Vorschrift weitet die Haftung auf jeden an einer Datenverarbeitung beteiligten Verantwortlichen aus. Da der Datenschutzbeauftragte allerdings ausschließlich Überwachungsaufgaben wahrnimmt, ist nicht davon auszugehen, dass er für die Datenverarbeitung verantwortlich ist. Eine zivilrechtliche Haftung dürfte mithin nur nach den allgemeinen Grundsätzen des Bürgerlichen Gesetzbuches (BGB) in Betracht kommen. Der Datenschutzbeauftragte haftet also nur für einen Schaden, wenn er eine Pflichtverletzung gemäß Paragraf 280 BGB begeht. Aus ordnungs- und strafrechtlicher Sicht ergibt sich ab 25. Mai ein neues Bild. Artikel 83 Absatz 4 und 5 DSGVO sehen keine Geldbuße für den Datenschutzbeauftragten vor. Aufgrund der erheblichen Ausweitung seiner Kontrollpflichten ist allerdings anzunehmen, dass hieraus eine Garantenpflicht nach dem Strafgesetzbuch erwächst. Unterlässt der Datenschutzbeauftragte es also, Verstöße gegen die neuen gesetzlichen Vorschriften aufzudecken und zu verhindern, kann er sich wegen Unterlassens strafbar machen. 8 Wer muss über den Datenschutzbeauftragten informiert werden? Unternehmen müssen der Aufsichtsbehörde die Kontaktdaten des Datenschutzbeauftragten nach Artikel 37 Absatz 7 DSGVO mitteilen. Darüber hinaus müssen die Kontaktdaten auch veröffentlicht werden, um betroffenen Personen die Möglichkeit der Konsultation zu geben. Eine Benennung auf der Homepage im nicht zugangsbeschränkten Bereich dürfte ausreichend sein. 9 Was ist besser - eine interne oder eine externe Lösung? Das hängt vom Einzelfall ab. Grundsätzlich kann ein Betrieb wählen, ob er die Position des betrieblichen Datenschutzbeauftragten intern oder extern besetzt. Es sollte daher die Vor- und Nachteile beider Möglichkeiten genau abwägen. Sofern sich ein Mitarbeiter dazu bereit erklärt, die Position künftig zu übernehmen, muss der Unternehmer prüfen, ob der Mitarbeiter über die erforderliche Qualifikation verfügt beziehungsweise ihn schulen lassen und ausreichend freie Kapazitäten zur Übernahme einer solch umfangreichen Tätigkeit hat. Darüber hinaus muss berücksichtigt werden, dass dieser Mitarbeiter eine besondere Stellung im Unternehmen erhält, die Konfliktpotenzial birgt. Eine Entscheidung, die bis spätestens Ende Mai wohl überlegt sein sollte. Mehr zum Thema im Dossier Unternehmensführung www.verkehrsrundschau.de/dossiers

A7 wird zeitweise gesperrt

Schwerpunktkontrollen: Viele Verstöße von Lkw und Bussen

BGA: Situation im Großhandel ist schlecht

Luftfracht: DHL Express und Shell kooperieren

Konjunktur: KfW Research senkt Wachstumsprognose

Alle Schlagzeilen

Zur Verschwiegenheit verpflichtet

HASHTAG

#Wirtschaftsrecht

Das zahlt die Versicherung bei Elementarschäden

Urteil: Geschäftsführer haften nicht für Steuerschulden im Insolvenzverfahren

Urteil: Insolvenzverwalter haftet für unternehmerische Fehlentscheidung

MEISTGELESEN

Emons Spedition siedelt sich am c-Port an

Bund und Länder fördern Brennstoffzellen-Lkw von Daimler Truck

Fiege baut Logistikzentrum bei Leipzig

STELLENANGEBOTE

Area HR Business Partner

Schichtleiter (w/m/d) Logistik - Warenausgang

Leiter (w/m/d) Logistik Teilbereich Warenausgang

Koordinator (m/w/d) Intralogistik mit Teamleitungsfunktion

Head of Logistics (w/m/d) mit fundierter Erfahrung im internationalen Versand

WEITERLESEN

NEWSLETTER