Latest / frag.hugo – Compliance für Chefs / Externer Datenschutzbeauftragter: Ab wann Pflicht?

Transcript

Externer Datenschutzbeauftragter: Ab wann Pflicht? · frag.hugo – Compliance für Chefs

• 0:04
  Hugo: Ab zwanzig Personen, die ständig am Rechner mit Personendaten arbeiten, braucht ein Unternehmen einen Datenschutzbeauftragten.
• 0:11
  Hugo: So steht es heute im Bundesdatenschutzgesetz, Paragraf achtunddreißig.
• 0:15
  Katrin: Wir haben hundertachtzig Leute.
• 0:17
  Katrin: Dann ist die Frage für uns doch erledigt, oder?
• 0:20
  Hugo: Die Frage nach dem Ob, ja.
• 0:21
  Hugo: Die teuren Fehler passieren danach: beim Zählen, bei der Wahl der Person und bei der Meldung an die Behörde.
• 0:28
  Katrin: Ich habe gelesen, die Pflicht soll bald ganz wegfallen.
• 0:30
  Katrin: Warum soll ich mich jetzt noch darum kümmern?
• 0:33
  Hugo: Weil der Wegfall angekündigt ist, aber nicht beschlossen.
• 0:36
  Hugo: Wir klären heute, was jetzt gilt und was bliebe, wenn die Reform kommt.
• 0:40
  Katrin: Was weiß ich am Ende dieser Folge, was ich jetzt nicht weiß?
• 0:43
  Hugo: Ob Sie einen Beauftragten brauchen, wen Sie dafür nicht nehmen dürfen und ob intern oder extern besser passt.
• 0:50
  Hugo: Dazu drei typische Fälle aus dem Mittelstand.
• 0:53
  Katrin: Fangen wir beim Zählen an.
• 0:55
  Katrin: Was soll daran schwer sein?
• 0:57
  Hugo: Nehmen wir einen Betrieb mit sechzig Leuten, vierzig davon in der Fertigung.
• 1:01
  Hugo: Die Geschäftsführung zählt nur das Büro, kommt auf achtzehn und sagt: knapp drunter.
• 1:05
  Katrin: Klingt vernünftig.
• 1:07
  Katrin: Wer an der Fräse steht, verarbeitet keine Kundendaten.
• 1:11
  Hugo: Stimmt, die zählen nicht mit.
• 1:13
  Hugo: Gezählt wird laut bayerischer Aufsichtsbehörde, wer schwerpunktmäßig mit personenbezogenen Daten am Rechner arbeitet, also mit Daten, die sich einer Person zuordnen lassen.
• 1:22
  Katrin: Wer fällt dabei typischerweise unter den Tisch?
• 1:25
  Hugo: Teilzeitkräfte, Auszubildende, Leiharbeitnehmer und freie Mitarbeiter.
• 1:30
  Hugo: Die bayerische Behörde zählt sogar den Chef selbst mit.
• 1:33
  Katrin: Auch die Teilzeitkraft, die zwanzig Stunden die Woche Bewerbungen bearbeitet?
• 1:38
  Hugo: Ja, wenn das ein Schwerpunkt ihrer Arbeit ist.
• 1:40
  Hugo: Es kommt weder auf Vollzeit an noch darauf, dass sie den ganzen Tag damit verbringt.
• 1:44
  Katrin: Und wer zählt in aller Regel sicher dazu?
• 1:47
  Hugo: Personalabteilung und Finanzbuchhaltung, nennt die Behörde ausdrücklich.
• 1:51
  Hugo: Arbeiten im Büro noch Azubis, Leiharbeiter und die Geschäftsführung mit, ist man bei sechzig Leuten schnell über zwanzig.
• 1:57
  Katrin: Und wer sauber unter zwanzig bleibt, ist raus?
• 2:00
  Hugo: Nicht unbedingt.
• 2:01
  Hugo: Muss eine Verarbeitung vor dem Start auf ihr Risiko geprüft werden, gilt die Pflicht unabhängig von der Zahl.
• 2:07
  Katrin: Was heißt vor dem Start prüfen?
• 2:09
  Hugo: Das ist die Datenschutz-Folgenabschätzung, eine schriftliche Risikoanalyse vor der Einführung.
• 2:14
  Hugo: Die Datenschutzkonferenz, also das Gremium der deutschen Aufsichtsbehörden, führt dafür eine Liste.
• 2:20
  Katrin: Steht da etwas drin, das einen Maschinenbauer betrifft?
• 2:23
  Hugo: Zum Beispiel umfangreiche Bewegungsprofile von Beschäftigten per GPS, etwa um Einsätze im Außendienst zu steuern.
• 2:29
  Hugo: Wer Servicetechniker so verfolgt und auswertet, kann allein dadurch einen Beauftragten brauchen.
• 2:35
  Katrin: Und Fingerabdruck-Scanner an der Tür zur Entwicklung?
• 2:38
  Hugo: Biometrische Zutrittskontrolle steht ebenfalls auf der Liste, wenn ein weiteres Risikomerkmal dazukommt.
• 2:44
  Hugo: Ein solches Merkmal ist zum Beispiel systematische Überwachung.
• 2:48
  Katrin: Wir haben noch eine Servicetochter mit fünfzehn Leuten.
• 2:51
  Katrin: Braucht die einen eigenen?
• 2:52
  Hugo: Eine Unternehmensgruppe darf laut DSGVO einen gemeinsamen Beauftragten benennen.
• 2:57
  Hugo: Bedingung ist, dass er von jeder Niederlassung aus leicht erreichbar ist.
• 3:01
  Katrin: Jetzt zur Reform.
• 3:02
  Katrin: Was ist da konkret geplant?
• 3:05
  Hugo: Bund und Länder haben am vierten Dezember zweitausendfünfundzwanzig eine Modernisierungsagenda beschlossen.
• 3:11
  Hugo: Darin kündigt der Bund an, bis Ende zweitausendsechsundzwanzig die Aufhebung des ersten Absatzes von Paragraf achtunddreißig einzubringen.
• 3:19
  Katrin: Das ist genau der Absatz mit den zwanzig Personen?
• 3:21
  Hugo: Ja, und auch der mit der Folgenabschätzung.
• 3:24
  Hugo: Im Juli hat der Koalitionsausschuss nachgelegt: In kleinen und mittleren Unternehmen soll es weniger betriebliche Datenschutzbeauftragte geben.
• 3:31
  Katrin: Dann warte ich doch einfach ab.
• 3:33
  Hugo: Davon rate ich ab.
• 3:34
  Hugo: Ein veröffentlichter Gesetzentwurf war bis Ende September nicht bekannt, und Stand heute ist nicht abschließend geklärt, ob und wann die Änderung kommt.
• 3:42
  Katrin: Und wenn sie kommt, was gilt dann?
• 3:45
  Hugo: Dann bleibt nur die europäische Regel, Artikel siebenunddreißig der DSGVO.
• 3:49
  Hugo: Die greift, wenn Ihr Kerngeschäft Menschen umfangreich und systematisch überwacht oder in großem Umfang besonders sensible Daten verarbeitet.
• 3:57
  Katrin: Das trifft auf uns nicht zu.
• 3:59
  Katrin: Wäre ich dann alle Pflichten los?
• 4:01
  Hugo: Nein, nur die Pflicht zur Person.
• 4:03
  Hugo: Das Verzeichnis Ihrer Datenverarbeitungen, die Schutzmaßnahmen und die Meldung von Datenpannen möglichst binnen zweiundsiebzig Stunden bleiben, nur ohne festen Berater an Ihrer Seite.
• 4:14
  Katrin: Moment.
• 4:15
  Katrin: Unter zweihundertfünfzig Beschäftigten brauche ich doch gar kein Verzeichnis.
• 4:20
  Hugo: Stand heute greift die Ausnahme nicht, sobald Sie Daten nicht nur gelegentlich verarbeiten, und die monatliche Lohnabrechnung ist nicht gelegentlich.
• 4:28
  Hugo: Die EU will diese Grenze lockern, in Kraft ist das noch nicht.
• 4:31
  Katrin: Bei uns hat der IT-Leiter das Amt seit Jahren nebenbei.
• 4:35
  Katrin: Der kennt die Systeme am besten.
• 4:37
  Hugo: Was soll er denn in dem Amt tun?
• 4:39
  Hugo: Das ist die erste Frage.
• 4:40
  Katrin: Datenschutz eben.
• 4:41
  Katrin: Was heißt das konkret?
• 4:43
  Hugo: Er unterrichtet und berät Sie und die Beschäftigten, überwacht, ob der Datenschutz eingehalten wird, und berät bei Folgenabschätzungen.
• 4:50
  Hugo: Außerdem ist er Ansprechpartner für die Aufsichtsbehörde.
• 4:53
  Katrin: Und das kann der IT-Leiter nicht?
• 4:55
  Hugo: Genau das ist das Problem.
• 4:57
  Hugo: Er soll Systeme überwachen, die er selbst ausgesucht und eingerichtet hat.
• 5:01
  Katrin: Verbietet das Gesetz das ausdrücklich?
• 5:03
  Hugo: Nicht mit Namen.
• 5:04
  Hugo: Artikel achtunddreißig der DSGVO erlaubt weitere Aufgaben, solange sie zu keinem Interessenkonflikt führen.
• 5:11
  Katrin: Und wer legt fest, wann ein Konflikt vorliegt?
• 5:14
  Hugo: Der Europäische Gerichtshof hat das im Februar zweitausenddreiundzwanzig konkretisiert.
• 5:19
  Hugo: Der Beauftragte darf keine Position haben, in der er festlegt, wofür und womit Daten verarbeitet werden.
• 5:25
  Katrin: Wer ist damit im Mittelstand konkret raus?
• 5:28
  Hugo: Die europäischen Datenschutzbehörden nennen in ihren Leitlinien als typische Konfliktfälle Geschäftsführung, Personalleitung, Marketingleitung und IT-Leitung.
• 5:37
  Hugo: Also genau die Leute, die man zuerst fragt.
• 5:39
  Katrin: Bei uns hat sich die Betriebsratsvorsitzende angeboten.
• 5:42
  Katrin: Die ist doch eher auf der Seite der Beschäftigten.
• 5:45
  Hugo: Das Bundesarbeitsgericht hat im Juni zweitausenddreiundzwanzig entschieden: Betriebsratsvorsitz und Datenschutzbeauftragter sind nicht vereinbar.
• 5:53
  Hugo: Der Konflikt rechtfertigt es sogar, die Bestellung zu widerrufen.
• 5:57
  Katrin: Dann nehme ich eben jemanden aus der Buchhaltung, ohne Leitungsfunktion.
• 6:01
  Hugo: Das kann gehen.
• 6:02
  Hugo: Die Person braucht aber Fachwissen im Datenschutzrecht, und Sie müssen ihr Zeit und Fortbildung zur Verfügung stellen.
• 6:08
  Katrin: Wie viel Zeit?
• 6:09
  Katrin: Ich kann niemanden für die Hälfte der Woche freistellen.
• 6:13
  Hugo: Das Gesetz nennt keine Zahl.
• 6:15
  Hugo: Die europäischen Leitlinien raten, den Zeitanteil festzulegen, etwa als Prozentsatz der Arbeitszeit, und dazu einen Arbeitsplan.
• 6:22
  Katrin: Und wenn sich Beschäftigte über mich beschweren wollen?
• 6:25
  Hugo: Dann können sie direkt zum Beauftragten gehen.
• 6:27
  Hugo: Er muss ihre Identität vertraulich behandeln, auch Ihnen gegenüber.
• 6:31
  Katrin: Wo ist der Haken?
• 6:32
  Hugo: Beim Kündigungsschutz.
• 6:33
  Hugo: Ist die Benennung Pflicht, können Sie einen angestellten Beauftragten nur aus wichtigem Grund abberufen.
• 6:39
  Katrin: Und kündigen?
• 6:40
  Hugo: Nur aus einem Grund, der auch eine fristlose Kündigung tragen würde.
• 6:44
  Hugo: Das gilt noch ein Jahr, nachdem er das Amt abgegeben hat.
• 6:47
  Katrin: Wo steht das?
• 6:48
  Hugo: In Paragraf sechs des Bundesdatenschutzgesetzes, auf den Paragraf achtunddreißig für Unternehmen verweist.
• 6:54
  Katrin: Und wenn die Reform kommt und die Pflicht fällt?
• 6:56
  Katrin: Hängt der Schutz dann noch?
• 6:58
  Hugo: Paragraf achtunddreißig knüpft den besonderen Schutz ausdrücklich an eine Pflicht zur Benennung.
• 7:03
  Hugo: Was bei einem Wegfall für bestehende Benennungen gilt, ist Stand heute nicht abschließend geklärt, solange kein Gesetzentwurf bekannt ist.
• 7:10
  Katrin: Und ein externer Beauftragter?
• 7:12
  Katrin: Da hätte ich das Problem nicht.
• 7:15
  Hugo: Die DSGVO erlaubt ausdrücklich einen Dienstleistungsvertrag.
• 7:18
  Hugo: Der besondere Kündigungsschutz hängt am Arbeitsverhältnis, beim externen regeln Laufzeit und Kündigung der Vertrag.
• 7:25
  Katrin: Was kostet mich das im Vergleich?
• 7:27
  Hugo: Intern zahlen Sie Arbeitszeit, Ausbildung und laufende Fortbildung.
• 7:31
  Hugo: Extern zahlen Sie eine Gebühr.
• 7:33
  Katrin: Worauf achte ich beim Angebot?
• 7:35
  Hugo: Wie viele Beratungsstunden enthalten sind und wie schnell bei einer Datenpanne jemand erreichbar ist.
• 7:40
  Hugo: Denn die zweiundsiebzig Stunden laufen auch am Wochenende.
• 7:43
  Katrin: Und wenn der Externe auch Firmen aus meiner Branche betreut?
• 7:47
  Hugo: Das allein ist kein Konflikt.
• 7:48
  Hugo: Die Leitlinien nennen als Beispiel für einen Konflikt, wenn er Sie in Datenschutzstreitigkeiten zugleich vor Gericht vertreten soll.
• 7:55
  Katrin: Angenommen, wir haben jemanden benannt.
• 7:58
  Katrin: Was kann dann noch schiefgehen?
• 8:00
  Hugo: Drei Dinge: Die Behörde weiß nichts davon, niemand findet die Kontaktdaten, und der Beauftragte erfährt von neuen Projekten erst hinterher.
• 8:08
  Katrin: Die Behörde muss das wissen?
• 8:09
  Hugo: Ja.
• 8:10
  Hugo: Nach Artikel siebenunddreißig müssen Sie die Kontaktdaten veröffentlichen und der Aufsichtsbehörde Ihres Landes mitteilen.
• 8:16
  Katrin: Wie läuft das praktisch?
• 8:18
  Hugo: Die Landesbehörden bieten dafür Online-Formulare an, in Baden-Württemberg etwa mit Erstmitteilung, Änderung und Löschung.
• 8:25
  Hugo: Abgefragt werden vor allem Angaben zum Unternehmen und die Kontaktdaten des Beauftragten.
• 8:30
  Katrin: Das ist doch eine Formalie.
• 8:31
  Katrin: Interessiert das wirklich jemanden?
• 8:33
  Hugo: Die Hamburger Datenschutzbehörde hat deswegen einundfünfzigtausend Euro Bußgeld gegen die deutsche Facebook-Gesellschaft verhängt.
• 8:40
  Hugo: Ein neuer Beauftragter war nicht gemeldet worden.
• 8:43
  Katrin: Gab es denn keinen?
• 8:44
  Hugo: Doch, durchgehend.
• 8:45
  Hugo: Mildernd hat die Behörde berücksichtigt, dass es fahrlässig war und sofort behoben wurde, fällig wurde das Bußgeld trotzdem.
• 8:52
  Katrin: Und was ist der Rahmen nach oben?
• 8:54
  Hugo: Verstöße gegen die Pflichten rund um den Beauftragten können bis zehn Millionen Euro kosten oder bis zwei Prozent des weltweiten Jahresumsatzes.
• 9:02
  Hugo: Es gilt der höhere Betrag.
• 9:04
  Katrin: Wenn der Beauftragte wechselt, melde ich also neu?
• 9:07
  Hugo: Ja, als Änderung.
• 9:09
  Hugo: Dasselbe gilt für eine neue Adresse oder Telefonnummer.
• 9:13
  Katrin: Und wo veröffentliche ich die Kontaktdaten?
• 9:15
  Hugo: Am sinnvollsten in der Datenschutzerklärung Ihrer Website.
• 9:18
  Hugo: Dort suchen Kunden, Bewerber und Beschäftigte zuerst, wenn sie eine Frage zu ihren Daten haben.
• 9:24
  Katrin: Bleibt der dritte Punkt.
• 9:25
  Katrin: Was heißt, er erfährt es erst hinterher?
• 9:28
  Hugo: Die DSGVO verlangt, dass Sie den Beauftragten frühzeitig in alle Datenschutzfragen einbinden.
• 9:34
  Hugo: Führen Sie eine neue Zeiterfassung oder ein KI-Werkzeug ein, gehört er vor die Entscheidung, nicht danach.
• 9:40
  Katrin: Heißt das, er entscheidet mit?
• 9:42
  Hugo: Nein.
• 9:42
  Hugo: Er berät und überwacht, die Verantwortung für die Datenverarbeitung bleibt beim Unternehmen und damit bei der Geschäftsführung.
• 9:49
  Katrin: Auch bei einer Datenpanne?
• 9:51
  Katrin: Meldet die nicht er?
• 9:52
  Hugo: Melden muss das Unternehmen, unverzüglich und möglichst binnen zweiundsiebzig Stunden an die Aufsichtsbehörde.
• 9:58
  Hugo: Der Beauftragte hilft bei der Einschätzung und ist Ansprechpartner für die Behörde.
• 10:02
  Katrin: Wem berichtet er?
• 10:03
  Hugo: Unmittelbar der höchsten Managementebene, also Ihnen.
• 10:07
  Hugo: Anweisungen, wie er seine Aufgabe erfüllt, darf er nicht bekommen.
• 10:11
  Katrin: Wie oft sollte ich von ihm hören?
• 10:12
  Hugo: Das Gesetz nennt keinen Takt.
• 10:14
  Hugo: Die europäischen Leitlinien nennen einen jährlichen Tätigkeitsbericht an die Leitung als Beispiel, ich empfehle zusätzlich einen kurzen Termin pro Quartal.
• 10:23
  Katrin: Was mache ich morgen früh als Erstes?
• 10:25
  Hugo: Erstens: Zählen Sie neu, mit Teilzeit, Auszubildenden, Leiharbeit und freien Mitarbeitern.
• 10:31
  Hugo: Und prüfen Sie, ob etwa eine GPS-Ortung eine Folgenabschätzung braucht.
• 10:36
  Katrin: Zweitens?
• 10:37
  Hugo: Prüfen Sie, wer das Amt heute hat.
• 10:39
  Hugo: Leitet die Person IT, Personal oder Marketing, besetzen Sie neu, intern ohne Leitungsfunktion oder extern per Vertrag.
• 10:46
  Katrin: Und drittens?
• 10:48
  Hugo: Melden Sie den Beauftragten bei Ihrer Landesbehörde, veröffentlichen Sie die Kontaktdaten und holen Sie ihn bei jedem neuen System vorher dazu.
• 10:55
  Katrin: Und die angekündigte Reform?
• 10:57
  Hugo: Beobachten, nicht abwarten.
• 10:59
  Hugo: Stand heute gilt die Zwanzig-Personen-Regel, und die übrigen Datenschutzpflichten berührt diese Reform nicht.
• 11:05
  Katrin: Ersetzt das hier eine Rechtsberatung?
• 11:08
  Hugo: Nein, im Einzelfall nicht.
• 11:09
  Hugo: Einen externen Datenschutzbeauftragten mit Software für Verzeichnis, Verträge und Datenpannen finden Sie bei frag.hugo.