In wenigen Wochen wird sie drei Jahre alt: die Europäische Datenschutzgrundverordnung (DS-GVO). In vielen Kanzleien bestehen jedoch noch Unklarheiten – insbesondere rund um die Bestellung eines Datenschutzbeauftragten (DSB). Brauche ich in meiner Kanzlei überhaupt einen? Kann ich einen DSB intern oder extern bestellen? Muss ich diesen an die Aufsichtsbehörde melden? Und bin ich aus dem Schneider, falls ich nicht der Bestellpflicht unterliege? Diese und viele weitere Fragen beschäftigen die Kanzleien seit dem DS-GVO-Stichtag am 25. Mai 2018. In meinem heutigen Blog-Beitrag will ich Ihnen die Antworten liefern.
Nach der DS-GVO sind Verantwortliche – in den Kanzleien sind dies in der Regel die Geschäftsführer – unter bestimmten Voraussetzungen verpflichtet, einen Datenschutzbeauftragten zu ernennen. Es werden insgesamt sechs Voraussetzungen für die Bestellung eines Datenschutzbeauftragten beschrieben, für eine Bestellpflicht muss allerdings nur eine davon zutreffen. Für die meisten Kanzleien sind zwei der sechs nachfolgenden Kriterien relevant.
Für die Prüfung einer Bestellpflicht sind mitzuzählen:
Was bedeutet ständig? Dieses Kriterium ist erfüllt, wenn die Datenverarbeitung zu den (arbeitsvertraglich/weisungsgemäß) zugeordneten Aufgaben zählt und nicht nur ausnahmsweise und ad hoc ohne dauerhafte Zuordnung erfolgt.
Was bedeutet automatisiert? Eine automatisierte Datenverarbeitung liegt vor, wenn für die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten von den Beschäftigten Datenverarbeitungsanlagen wie PCs, Tablets oder Smartphones eingesetzt werden.
Wichtig: Es ist dabei egal, ob es sich um Voll- oder Teilzeitkräfte handelt. Ebenso irrelevant ist es, ob die Beschäftigtenzahl kurzzeitig unter oder über 20 Beschäftigten liegt. Entscheidend ist der auf ein Jahr zu betrachtende, durchschnittliche Personalbestand.
Folgende Kriterien müssen kumulativ gegeben sein, um nach dieser Vorschrift die risikobasierte Benennungspflicht auszulösen:
Hinweis: Bei der Lohnbuchhaltung scheinen auf den ersten Blick die oben genannten Kriterien erfüllt zu sein. In den meisten Fällen ist der Prozess „Lohnbuchhaltung“ jedoch nicht die Kerntätigkeit der Kanzlei. Es gilt, individuell zu prüfen und zu entscheiden, ob dieses Kriterium relevant ist und eine DSB-Bestellpflicht auslöst.
Eine Kanzlei muss eine Datenschutz-Folgenabschätzung durchführen, sobald die Form der Datenverarbeitung, insbesondere bei der Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung, voraussichtlich ein hohes Risiko zur Folge hat. Ob eine DSFA durchzuführen ist, ergibt sich aus einer Abschätzung der Risiken der Verarbeitungsvorgänge („Schwellwertanalyse“).
(Für Kanzleien im Regelfall nicht relevant.)
Achtung: Überwachung meint nicht nur Videoüberwachung oder die Tätigkeiten von Detekteien und privaten Sicherheitsunternehmen, sondern z.B. auch die Nachverfolgung des Surfverhaltens im Internet oder des Kaufverhaltens durch ein Treueprogramm.
(Für Kanzleien im Regelfall nicht relevant.)
(Für Kanzleien im Regelfall nicht relevant.)
Ein Datenschutzbeauftragter kann gemäß Art. 37 Abs. 6 DS-GVO sowohl intern als auch extern bestellt werden. Wichtig hierbei ist, dass bei der Bestellung des Datenschutzbeauftragten keine Interessenkollision entsteht. Dies ist der Fall, wenn der Datenschutzbeauftragte eine dieser Positionen bekleidet:
Tipp: Fordern Sie ein unverbindliches Angebot für den externen Datenschutzbeauftragten bei der DATA Security GmbH an. (Kostenlos: Erstgespräch, ca. 60 Minuten)
Der DSB hat nach Art. 39 DS-GVO folgende Aufgaben:
Da die DS-GVO lediglich von einer Benennung des Datenschutzbeauftragten spricht, ist eine Schriftform – im Gegensatz zum § 4f Abs. 1 S. 1 BDSG-alt – nicht mehr vorgeschrieben. Aus Beweisgründen im Hinblick auf die Nachweispflichten gemäß Art. 24 Abs. 1 DS-GVO und Art. 5 Abs. 2 DS-GVO und zur Rechtssicherheit ist es jedoch empfehlenswert, die Benennung eines DSB in geeigneter Form zu dokumentieren. Die bereits vor Geltung der DS-GVO und dem BDSG-neu unterzeichneten Bestellungsurkunden gelten vor diesem Hintergrund fort. Die Urkunde und etwaige darin enthaltenen Zusatzvereinbarungen und Aufgabenzuweisungen sollten auf ihre Vereinbarkeit mit den neuen Regelungen der DS-GVO überprüft und gegebenenfalls angepasst werden.
Die Aufsichtsbehörden haben für diesen Zweck zudem ein eigenes Portal auf der jeweiligen Website geschaffen, damit die verantwortliche Stelle (Kanzlei) ihren Datenschutzbeauftragten bei der für sie zuständigen Aufsichtsbehörde melden kann.
Die jeweils zuständige Aufsichtsbehörde finden Sie hier:
Liste der Aufsichtsbehörden für den nicht-öffentlichen Bereich
Durch die Lockerung der Bestellpflicht und die Erhöhung der Grenze von 10 auf 20 Mitarbeiter könnte der Eindruck entstehen, dass damit ebenfalls eine Lockerung der datenschutzrechtlichen Anforderungen für Kanzleien erfolgt ist. Leider ist dies nicht der Fall. Und auch wenn Sie keinen Datenschutzbeauftragten benötigen sollten, kann es trotzdem sinnvoll sein, einen zu bestellen, da dieser die notwendigen Fachkenntnisse mitbringt und Ihnen hilft, Ihre Prozesse datenschutzkonform zu gestalten.
Apropos Prozesse – wissen Sie, ob in Ihrer Kanzlei alle Prozesse DS-GVO-konform ablaufen? Erfahren Sie dazu mehr in unserem nächsten Blogbeitrag.
Quellen: