Externe Datenschutzbeauftragte

Viele Unternehmen müssen laut EU-Datenschutz-Grundverordnung (DSGVO) einen betrieblichen Datenschutzbeauftragten bestellen. Dieser kann sowohl intern- als auch extern bestellt werden. Einen internen Datenschutzbeauftragten intern zu bestellen birgt ein nicht unerheblich hohes unternehmerisches Risiko, da der interne Datenschutzbeauftragte zum einen erweiterten Kündigungsschutz genießt und zum anderen hohe Fortbildungskosten einzuplanen sind. Der Schulungsaufwand für Mitarbeiter als interne Datenschutzbeauftragte ist enorm. Deshalb ist es in aller Regel besser und günstiger, einen juristisch und technisch erfahrenen Experten als externen Datenschutzbeauftragten zu bestellen. Unsere Spezialisten stehen Ihnen dafür gerne zur Verfügung.

Sollten Sie unter die Grenze einer Benennungspflicht fallen, macht es auf Grund des hohen unternehmerischen Risikos trotzdem Sinn, einen betrieblichen Datenschutzbeauftragten zu benennen. Denn: Die Pflicht zur Umsetzung der Anforderungen aus der EU-DSGVO und dem BDSG besteht für alle Unternehmen und Behörden unabhängig von der Größe oder Mitarbeiteranzahl. Es macht für einen Unternehmer immer Sinn sich kompetente Unterstützung zu suchen, die ihn bei der Wahrung von Pflichten, die durch den Verantwortlichen selbst wahrgenommen werden müssen, unterstützt.

Dazu gehören beispielsweise:

• die umfangreichen Dokumentationspflichten wie bspw. die Erstellung und Pflege der Verarbeitungsübersicht
• Transparenz- und Informationspflichten zu den durchgeführten Verarbeitungen personenbezogener Daten gegenüber den betroffenen Personen
• Bewertung und Festlegung geeigneter Schutzmaßnahmen für die Verarbeitungstätigkeiten unter Berücksichtigung eines risikobasierten Ansatzes
• Gewährleistung der Melde- und Benachrichtigungspflichten im Fall von Datenschutzvorfällen
• Sicherstellung von Prozessen zur Erfüllung der Betroffenenrechte
• Berücksichtigung der Datenschutzgrundsätze sowie der Vorgaben zu „privacy by design/default“ bereits bei der Planung einer Datenverarbeitung
• Schulung und Information der Mitarbeiter zu den Anforderungen des Datenschutzrechts
• Durchführung einer Datenschutzfolgenabschätzung bei hohem Risiko einer Verarbeitung
• dies löst gem. § 38 Abs. 1 S.2 BDSG eine eigene, von der Personenzahl unabhängige, Benennungspflicht aus
• etc.

Ein besonderes Augenmerk sollten Unternehmen der Gesundheitswirtschaft auf die Verarbeitung ihrer Daten richten. Für sie gelten besondere Anforderungen, da sie i.d.R. „besonderer Kategorien personenbezogener Daten“ nach Artikel 9 DSGVO verarbeiten. Darunter fallen Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung.