EU-DSGVO
Die Datenschutzgrundverordnung der Europäischen Union (EU-DSGVO) ist am 25. Mai 2018 in Kraft getreten und regelt die Verarbeitung von personenbezogenen Daten natürlicher Personen, Unternehmen oder Organisationen innerhalb der EU. Die EU-DSGVO soll den Verbrauchern mehr Kontrolle über ihre personenbezogenen Daten geben und regelt das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Übertragbarkeit der Daten. Unternehmen und Organisationen müssen sicherstellen, dass sie die Zustimmung zur Verarbeitung der personenbezogenen Daten vor deren Verarbeitung von den betroffenen Personen einholen.
Die EU-DSGVO umfasst auch Regelungen zur Meldung von Datenschutzverletzungen und zur Durchführung von Datenschutzfolgeabschätzungen, um sicherzustellen, dass Unternehmen und Organisationen angemessene Schutzmaßnahmen ergreifen, um die Sicherheit der personenbezogenen Daten zu gewährleisten.
Verstöße gegen die EU-DSGVO können mit Bußgeldern geahndet werden, die je nach Schwere der Datenschutzverletzung bis zu 4% des weltweiten Jahresumsatzes des betroffenen Unternehmens oder der betroffenen Organisation betragen können.
Bundesdatenschutzgesetz (BSDG)
Das deutsche Bundesdatenschutzgesetz ergänzt und regelt die Datenschutzgrundverordnung der EU an den Stellen, die durch die EU-DSGVO den nationalen Regelungen vorbehalten sind. Das Gesetz gilt für alle Unternehmen und Organisationen, die in Deutschland personenbezogene Daten verarbeiten. Das BDSG umfasst unter anderem Regelungen über die Zweckbindung der erhobenen, personenbezogenen Daten, über die Notwendigkeit der Einwilligung in die Verarbeitung, über die Datensparsamkeit, das Auskunftsrecht, das Löschrecht sowie über die angemessenen technischen und organisatorischen Maßnahmen, die Unternehmen und Organisationen ergreifen müssen bezüglich der Datensicherheit. Außerdem regelt das BSDG den Einsatz eines Datenschutzbeauftragten in Unternehmen bzw. Organisationen. Nicht-öffentliche Stellen müssen in der Regel einen Datenschutzbeauftragten ab 20 Mitarbeitern benennen, wenn diese mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Was ist ein externer Datenschutzbeauftragter?
Ein externer Datenschutzbeauftragter bietet das notwendige Fach- und Methodenwissen im Bereich Datenschutz und wird von Unternehmen und Organisationen als externer Dienstleister beauftragt, die Funktion und Aufgaben wahrzunehmen, die ein interner Datenschutzbeauftragter (Mitarbeiter des Unternehmens oder der Organisation) inne hätte.
Welche Qualifizierungen bzw. Zertifizierung sollte ein externer Datenschutzbeauftragter vorweisen können?
Ein Datenschutzbeauftragter sollte Kenntnisse im Datenschutzrecht haben, über ausreichende IT-Kenntnisse verfügen, ein gutes Kommunikations- und Verhandlungsgeschick besitzen, die Fähigkeiten zur Beurteilung von Risiken und Gegenmaßnahmen aufweisen sowie unter anderem zuverlässig und verschwiegen sein. Unabhängigkeit, selbständiges Handeln, didaktische Fähigkeiten und vieles mehr sind für einen Datenschutzbeauftragten wichtig.
Datenschutzbeauftragte müssen nicht von Haus aus Juristen sein, obwohl ein rechtswissenschaftliches Studium eine gute Grundlage für Datenschutzbeauftragte bildet. Auch Ausbildungen oder Studiengänge im Bereich der IT-Sicherheit, dem IT-Management und der Informatik sind eine gute fachliche Basis für Datenschutzbeauftragte. DSB mit diesen Berufshintergründen können oft die komplexen technischen Verarbeitungsvorgänge gut einordnen und bewerten.
Es gibt verschiedene Stellen bzw. Weiterbildungsanbieter die Zertifikatskurse für Datenschutzbeauftragte anbieten. Hierzu gehören unter anderem die IHK, der TÜV oder die DEKRA. Auch weitere staatlich anerkannte Stellen bieten eine zertifizierte Ausbildung zum Datenschutzbeauftragten an.
Was gehört zu den Aufgaben eines Datenschutzbeauftragten?
Aufgaben eines Datenschutzbeauftragten sind vielfältig. Sie können variieren und der Umfang hängt unter anderem von der Art der Datenverarbeitung und vom Unternehmen bzw. der Organisation ab.
Aufgabenübersicht
- Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters und der Beschäftigten, die Verarbeitungen durchführen. Datenschutzbeauftragte unterstützen das Unternehmen oder die Organisation bei der Umsetzung von datenschutzrechtlichen Anforderungen.
- Die Überwachung der Einhaltung dieser Verordnung und anderer Datenschutzvorschriften der Union bzw. der EU-Mitgliedstaaten.
- Beratung im Zusammenhang mit der Datenschutz-Folgenabschätzung
- Durchführung einer Datenschutz-Folgenabschätzung
- Erstellung des Verzeichnisses der Verarbeitungstätigkeiten
- Datenschutzvorfälle und Betroffenenanfragen
- Datenschutzrechtliche Mitarbeiterschulungen
- Zusammenarbeit mit und Anlaufstelle für die Aufsichtsbehörde
Die Verantwortlichen in Unternehmen und Organisationen profitieren durch den Einsatz eines Datenschutzbeauftragten als Kontrollinstanz. Der Datenschutzbeauftragte steht sozusagen hilfreich mit Fachwissen zur Seite. Der DSB trifft keine selbstständigen Entscheidungen über die Umsetzung datenschutzrechtlicher Belange, er berät, unterrichtet und überwacht. In letzter Instanz verantwortlich für den Datenschutz im Unternehmen ist, wie der Name es schon sagt, der Verantwortliche (der Unternehmensinhaber).
Kosten für externe Datenschutzbeauftragte
Die Kosten für externe Datenschutzbeauftragte variieren und hängen sowohl von der Größe des Unternehmens oder der Organisation als auch von der Art und dem Umfang der zu verarbeitenden personenbezogenen Daten ab. In einer Arztpraxis, selbst wenn diese nur wenige Mitarbeiter hat, sind umfangreichere Datenschutzbelange u.a. bezüglich der Patientendaten zu berücksichtigen als beispielsweise in einer Firma, die ausschließlich die eigenen Personaldaten und die „normalen“ Adressdaten von Kunden verarbeitet.
Ein weiterer Faktor für die Höhe der Kosten ist die Komplexität der Datenverarbeitungsprozesse. Ein Beispiel für komplexe Datenverarbeitungsprozesse ist ein Unternehmen, das global tätig ist und verschiedene Softwareprogramme im Einsatz hat. Hier werden bei Datenverarbeitungsprozessen über Ländergrenzen und Rechtsgebiete hinweg personenbezogene Daten ausgetauscht. Ebenfalls komplex sind die Datenverarbeitungsvorgänge in Banken oder Kliniken. Kosten entstehen ebenfalls für die regelmäßigen Schulungen und Überprüfungen.
Der wichtigste Bestandteil und damit auch der umfangreichste Kostenfaktor ist das datenschutzrechtliche Audit für das Unternehmen oder die Organisation. Diese Kosten können bei Kleinstunternehmen mit nur wenig Beratungsbedarf bei rund 1500 Euro aufwärts liegen.
Die monatlichen Kosten für einen externen Datenschutzbeauftragten liegen bei Kleinunternehmen mit wenigen Mitarbeitern bei rund 150 Euro. Die monatlichen Kosten steigen entsprechend der Größe eines Unternehmens und können bei Unternehmen mit bis zu 100 Mitarbeitern 400 Euro und mehr betragen.
