Der Düsseldorfer Kreis at im November 2010 einen Beschluss hinsichtlich der Mindestanforderungen an die Qualifikation und die Unabhängigkeit des Datenschutzbeauftragten gefasst. Durch den Beschluss werden die gesetzlichen Vorschriften aus dem Bundesdatenschutzgesetz ("BDSG") konkretisiert.
Was ist der Düsseldorfer Kreis?
Der Düsseldorfer Kreis ist der inoffizielle Zusammenschluss der Datenschutz-Aufsichtsbehörden im Unternehmens-Bereich (so genannte "nicht-öffentliche Stellen"). Der Düsseldorfer Kreis veröffentlicht regelmäßig Stellungnahmen zur Vereinheitlichung der aufsichtsrechtlichen Praxis.
Leitbild des Datenschutzbeauftragten nach dem Bundesverband
Der Bundesverband der Datenschutzbeauftragten hat ein Leitbild zum Tätigkeitsfeld des Datenschutzbeauftragten veröffentlicht. Nach diesem müssen Datenschutzbeauftragte in der Lage dazu sein, Datenschutzrisiken in Unternehmen und Behörden zu erkennen und zu minimieren.
Die gesetzliche Ausgestaltung
Das Bundesdatenschutzgesetz legt in § 4f Abs. 2 und 3 BDSG fest, welche Anforderungen an die Person zu stellen sind, die als Datenschutzbeauftragter bestellt werden soll. Die relevanten Passagen lauten wie folgt:
"(2) Zum Beauftragten für den Datenschutz darf nur bestellt werden, wer die zur Erfüllung seiner Aufgaben erforderliche Fachkunde und Zuverlässigkeit besitzt. Das Maß der erforderlichen Fachkunde bestimmt sich insbesondere nach dem Umfang der Datenverarbeitung der verantwortlichen Stelle und dem Schutzbedarf der personenbezogenen Daten, die die verantwortliche Stelle erhebt oder verwendet. (…)
(3) Der Beauftragte für den Datenschutz ist dem Leiter der (…) nicht-öffentlichen Stelle unmittelbar zu unterstellen. (…) Zur Erhaltung der zur Erfüllung seiner Aufgaben erforderlichen Fachkunde hat die verantwortliche Stelle dem Beauftragten für den Datenschutz die Teilnahme an Fort- und Weiterbildungsveranstaltungen zu ermöglichen und deren Kosten zu übernehmen."
Welche Kenntnisse verlangt der Düsseldorfer Kreis als Mindestanforderungen des Datenschutzbeauftragten?
Der Düsseldorfer Kreis hat nun in einer gesonderten Stellungnahme die relativ allgemein gehaltenen gesetzlichen Vorgaben für die Praxis konkretisiert.
Datenschutzbeauftragter muss die Grundrechte der Betroffenen kennen
Der Datenschutzbeauftragte muss danach Grundkenntnisse zu den verfassungsrechtlich garantierten Persönlichkeitsrechten der Betroffenen insb. der Mitarbeiter der verantwortlichen Stelle und umfassende Kenntnisse über Inhalt und rechtliche Anwendung der für die verantwortlichen Stellen einschlägigen Regelungen des BDSG besitzen. Hierzu gehören auch die nötigen Kenntnisse hinsichtlich der technischen und organisatorischen Datenschutz-Anforderungen.
Branchenspezifische Besonderheiten müssen bekannt sein
Daneben muss der Datenschutzbeauftragte mit den branchenspezifischen Besonderheiten vertraut sein. Dies umfasst das Wissen über spezialgesetzliche Datenschutz-Vorschriften, Kenntnisse der Informations- und Telekommunikationstechnologie sowie der Datensicherheit. Der Düsseldorfer Kreis betont, dass insbesondere auch praktische Kenntnisse im Datenschutzmanagement von den Datenschutzbeauftragten erwartet werden müssen.
Kenntnisse müssen bereits bei Bestellung vorliegen
Die aufgezählten Mindestkenntnisse müssen bereits zum Zeitpunkt der Bestellung als Datenschutzbeauftragter in ausreichendem Maße vorliegen. Sie können insbesondere auch durch den Besuch geeigneter Aus- und Fortbildungsveranstaltungen und das Ablegen einer Prüfung erlangt werden. Der in vielen Unternehmen gängigen Praxis, einen Datenschutzbeauftragten erst zu bestellen und dann auszubilden, ist damit offiziell eine Absage erteilt.
Erforderliche Rahmenbedingungen innerhalb der verantwortlichen Stelle
Daneben stellt das Gremium der Aufsichtsbehörden heraus, dass dem Datenschutzbeauftragten die erforderlichen Zutritts- und Einsichtsrechte in alle betrieblichen Bereiche eingeräumt werden müssen und der Datenschutzbeauftragte in alle relevanten betrieblichen Planungs- und Entscheidungsabläufe eingebunden sein soll. Zur Erhaltung der zur Erfüllung seiner Aufgaben erforderlichen Fachkunde haben die verantwortlichen Stellen den Datenschutzbeauftragten stets auch die Teilnahme an Fort- und Weiterbildungsveranstaltungen zu ermöglichen und deren Kosten zu übernehmen. Bei der Bestellung von externen Datenschutzbeauftragten kann die Fortbildung jedoch auch Bestandteil der vereinbarten Vergütung sein und muss in diesem Fall nicht zusätzlich bezahlt werden.
Neben Fachkunde muss der Datenschutzbeauftragte auch die nötige Zuverlässigkeit besitzen
Gemäß § 4f Abs. 3 S. 2 BDSG ist der Datenschutzbeauftragte in Ausübung seiner Fachkunde auf dem Gebiet des Datenschutzes weisungsfrei. Er muss in der Lage sein, seine Verpflichtungen ohne Interessenkonflikte erfüllen zu können.
Düsseldorfer Kreis bestimmt für die Bestellung eines externen Datenschutzbeauftragten eine längere Vertragsdauer
Bei der Bestellung von externen Datenschutzbeauftragten muss der Dienstvertrag so ausgestaltet sein, dass eine unabhängige Erfüllung der gesetzlichen Aufgaben durch entsprechende Kündigungsfristen, Zahlungsmodalitäten, Haftungsfreistellungen und Dokumentationspflichten gewährleistet wird, so dass § 4f Abs. 3 BDSG die Vertragsfreiheit der Parteien insoweit einschränkt. Die Aufsichtsbehörden empfehlen damit grundsätzlich eine Mindestvertragslaufzeit von vier Jahren. Bei Erstverträgen wird - wegen der Notwendigkeit der Überprüfung der Eignung - grundsätzlich eine Vertragslaufzeit von ein bis zwei Jahren empfohlen.
Zum Thema "Unabhängigkeit des Datenschutzbeauftragten" finden Sie hier vertiefende Informationen www.iitr.de/datenschutz-wer-kann-die-position-des-datenschutzbeauftragten-bekleiden.html.
Fazit
Der Beschluss des Düsseldorfer Kreises gibt den Unternehmen mehr Klarheit hinsichtlich der Anforderungen, die an die Eignung eines internen oder externen Datenschutzbeauftragten zu stellen sind. Hervorzuheben ist, dass Unternehmen einen Beschäftigten erst dann zum internen Datenschutzbeauftragten bestellen dürfen, wenn dieser bereits die erforderliche Fachkunde zum Beispiel im Rahmen von Schulungen erworben hat. (oe)
Der Autor Dr. Sebastian Kraska ist Rechtsanwalt und externer Datenschutzbeauftragter im IITR Institut für IT-Recht - Kraska GmbH. Die Autorin Alma Lena Fritz ist Rechtsanwältin und externe Datenschutzbeauftragte.
Kontakt: IITR Institut für IT-Recht - Kraska GmbH, Eschenrieder Straße 62c, 82194 Gröbenzell, Tel.: 089 5130392-0, E-Mail: skraska@iitr.de, Internet: www.iitr.de