Datenschutzbeauftragte
Eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter ist eine Person, die Unternehmen oder Behörden in allen Datenschutzfragen berät, die Einhaltung der DSGVO überwacht und als Kontaktstelle zur Datenschutzbehörde dient. Die Bestellung ist unter bestimmten Voraussetzungen verpflichtend.
Ausführliche Erklärung
Die Datenschutzbeauftragte oder der Datenschutzbeauftragte ist eine zentrale Rolle im betrieblichen Datenschutz, die in der Datenschutz-Grundverordnung in Artikel 37 bis 39 geregelt ist. Diese Person hat die Aufgabe, den Verantwortlichen und alle Beschäftigten zu datenschutzrechtlichen Vorgaben zu beraten, zu sensibilisieren und die Einhaltung der DSGVO zu überwachen. Sie fungiert als Schnittstelle zwischen Geschäftsführung, Belegschaft und Datenschutzbehörde und wird bei wichtigen Entscheidungen wie Datenschutz-Folgenabschätzungen eingebunden.
Für KMU ist die Frage, ob eine Datenschutzbeauftragte bestellt werden muss, von besonderer Bedeutung. In Österreich gilt ausschließlich die DSGVO: Eine Bestellpflicht besteht, wenn die Kerntätigkeit des Unternehmens in der umfangreichen systematischen Überwachung von Personen oder der umfangreichen Verarbeitung sensibler Daten besteht. In Deutschland sieht das Bundesdatenschutzgesetz zusätzlich eine Bestellpflicht ab 20 Mitarbeitenden vor, die ständig personenbezogene Daten automatisiert verarbeiten. Die Person kann intern aus der Belegschaft oder extern als Dienstleister bestellt werden, muss aber über Fachwissen im Datenschutzrecht und der Datenschutzpraxis verfügen.
Ein wichtiger Aspekt ist die Weisungsfreiheit: Die Datenschutzbeauftragte darf bei der Erfüllung ihrer Aufgaben keine Anweisungen erhalten und nicht wegen der Ausübung ihrer Tätigkeit abberufen oder benachteiligt werden. Sie berichtet direkt an die höchste Managementebene. Interessenkonflikte müssen vermieden werden – etwa kann eine Geschäftsführerin oder ein IT-Leiter nicht gleichzeitig als Datenschutzbeauftragter fungieren. Die Kontaktdaten müssen veröffentlicht und der zuständigen Datenschutzbehörde gemeldet werden.
Praxisbeispiel
Eine österreichische Steuerberatungskanzlei mit 12 Mitarbeitenden verarbeitet regelmäßig umfangreiche Finanzdaten ihrer 280 Mandanten, darunter auch Gesundheitsdaten für Absetzbeträge. Da die Kerntätigkeit in der umfangreichen Verarbeitung sensibler Daten besteht, bestellt die Kanzlei eine externe Datenschutzbeauftragte. Diese schult das Team, überwacht die technischen Schutzmaßnahmen und berät bei der Einführung der neuen Kanzleisoftware zu datenschutzkonformen Einstellungen.