Betr. Datenschutzbeauftragter

Der betriebliche Datenschutzbeauftragte
Warum? Wer ist geeignet? Wofür?

Gesetzliche Grundlage / Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten

Sie müssen einen betrieblichen Datenschutzbeauftragten bestellen, wenn Sie die folgenden Bedingungen erfüllen (vgl. §4f (1) BDSG):

• Sie erheben, verarbeiten oder nutzen personenbezogene Daten. Hierunter fallen z.B. Kundendaten, aber auch Personal-Daten.
• Mehr als 9 Mitarbeiter sind in diesem Bereich beschäftigt. Bei nicht automatisierter Verarbeitung 20 Personen.

Diese Bedingungen gelten für alle Organisationen, also auch für Vereine!

Eignung als Datenschutzbeauftragter
Generell muss ein Datenschutzbeauftragter Kompetenzen in den folgenden Bereichen haben:

• Kenntnisse der Rechtslage
• IT-Infrastruktur
• Software-Architektur
• IT-Sicherheit
• Betriebliches Prozess-Management
• Kenntnisse über die Organisation von Unternehmen
• Sozialkompetenz

Zum Datenschutzbeauftragten darf nur bestellt werden, wer die notwendige Fachkunde und
Zuverlässigkeit besitzt. Der Datenschutzbeauftragte ist schriftlich zu bestellen.

Damit diese Funktion wirklich unabhängig wahrgenommen werden kann, darf kein Interessenskonflikt bestehen. Personen der Geschäftsleitung, leitende Positionen aus dem Personalwesen oder der IT-Abteilung können daher in der Regel, den Posten des Datenschutzbeauftragten nicht übernehmen.

Aufgaben des Datenschutzbeauftragten
Überwachung der BDSG-Ordnungsmäßigkeit bei Programmen
Beratung und Vorabkontrolle bei der Einführung neuer Verfahren
Regelmäßige Unterweisung und Information der Mitarbeiter über den Datenschutz
Erstellung des öffentlichen Verarbeitungsverzeichnisses und Verfahrensverzeichnisses
Anleitungen geben zur Erstellung und Pflege der internen Dokumentationspflichten
Überprüfung der Einhaltung des Datenschutzgesetzes
Beratung bei geplanten „Datentransfer in Drittstaaten“, also Datenübermittlungen in das außereuropäische Ausland.
Beratung bei Einführung und Betrieb von Scoringsystemen, Videoüberwachungsanlagen und Chipkarten
Sicherstellung der Rechte von Betroffenen
Beratung bei Abschluss von Verträgen bzgl. der Verarbeitung oder Nutzung personenbezogener Daten.
Beratung bzgl. der erforderlichen technischen und organisatorischen Sicherheitsmaßnahmen
Ordnungsgemäße Verpflichtung der Mitarbeiter auf das Datengeheimnis sowie die Kontrolle der Einhaltung.
Fortlaufende Beratung der Geschäftsführung bzgl. Datenschutz und die Anforderungen an die IT-Sicherheit

Welche Rechte hat der bDSB
Begleiten von Prüfungen durch die Aufsichtsbehörden, Initiativ- und Einspruchsrecht, verbunden mit einem direkten Kontrollrecht in allen Bereichen des Unternehmens zur Wahrnehmung seiner Aufgaben.
Einsichtsrecht in sämtliche relevanten Unterlagen.
Soweit zur Aufgabenerfüllung erforderlich, sind dem Datenschutzbeauftragten Hilfspersonal, Räume, Einrichtungen, Geräte und Mittel zur Verfügung zu stellen.
Weisungsfreiheit bei der Anwendung seiner Fachkunde auf dem Gebiet des Datenschutzes. Funktionsbezogen direkte Unterstellung unter die Geschäftsführung.
Recht auf Teilnahme an Fach- und Fortbildungsveranstaltungen zur Erhaltung der erforderlichen Fachkunde sowie Anspruch auf Kostenübernahme durch den Arbeitgeber

Arbeitsrechtliche Besonderheiten

• Erweiterter Kündigungsschutz § 4f Abs. 3 S. 5, 6 BDSG
• Kündigungsschutz gilt ein Jahr nach dem Widerruf der Bestellung fort
• Benachteiligungsverbot

Betrieblicher Datenschutzbeauftragter, warum?

• Beachtung und Würdigung der Persönlichkeitsrechte des Einzelnen
• Imageaufbau/Schutz vor Imageverlust
• Optimierung der Arbeitsabläufe
• Sensibilisierung der Mitarbeiter
• Aufbau eines Daten-, Sicherheitsmanagements

Imageaufbau:

Wer sich in Zeiten des allgemeinen Datenklauens bewusst und öffentlich zum Datenschutz bekennt, sichert sich das langfristige Vertrauen von Kunden, Partnern und Mitarbeitern.

Optimierung der Arbeitsabläufe:

Um künftig die datenschutzrechtlichen Bestimmungen zu wahren, nimmt der Datenschutzbeauftragte die täglichen Arbeitsabläufe im Unternehmen unter die Lupe. Eine gute Gelegenheit, eingefahrene und verstaubte Arbeitsschritte, Abstimmungswege, Verarbeitungsformen und Verhaltensweisen zu modernisieren und zu vereinfachen. Häufig sind damit langfristige Kostenersparnisse verbunden.

Sensibilisierung der Mitarbeiter:

Durch die Beschäftigung mit dem Thema Datenschutz, wird der einzelne Mitarbeiter eine gewisse Offenheit für das Thema aufbauen und an seinen eigenen Arbeitsplatz und seine eigene Umgebung weitergeben.

Aufbau eines Daten-(Sicherheits-) Managements:

In vielen Fällen wirkt die Bestellung eines betrieblichen Datenschutzbeauftragten als Startschuss für die Einführung eines schon lange überfälligen sinnvollen Daten-Managements, um eine effektive Organisation der Datenverarbeitung zu gewährleisten. Zugleich kann dadurch der Schutz von Betriebs- und Geschäftsgeheimnisse noch besser gewährleistet werden.

Schutz vor Imageverlust:

Die vorschriftsmäßige Beachtung der Datenschutzbestimmungen schützt auch vor Einreichungen bei der Aufsichtsbehörde, etwa durch ausgeschiedene Mitarbeiter, Mitbewerber oder Kunden. So können zum einen Folgekosten und zum anderen ein möglicher Imageverlust mit hohen wirtschaftlichen Folgen verhindert werden.

§43 Bußgeldvorschriften
Vorsätzliche und fahrlässige Handlungen z.B. fehlende Bestellung eines bDSB bis zu 25.000 € oder
z.B. unbefugtes Erheben oder Verarbeiten von nicht allgemein zugänglichen Daten bis zu 250.000 €

Datenschutz ist Kundenschutz

Datenschutz-Mitarbeiterschulungen
Sensibilisierung von Leitung und Mitarbeitern für die Notwendigkeit des Datenschutzes im Unternehmen.
Durchführung der Mitarbeiterschulung zum Datenschutz im Zusammenhang mit der Verpflichtung auf das Datengeheimnis (§5 BDSG). Schulung zu aktuellen und speziellen Themen.

Aufgabe: Über das eLearning Portal zum Thema „Datenschutz“ informieren und anschließend das Quiz ausfüllen. Nach der Ermittlung der Punkte nochmals nach unten scrollen um das Ergebnis zu Erhalten.
Fallstudie: Einführung einer elektronischen Schließanlage Zutritts-Kontrollsystem mit Protokollierung von bis zu 128 Zutritten, Zeitzonensteuerung, Event Management und Türüberwachung erweitern das Aufgabengebiet erheblich.

Alle Vorteile auf einen Blick:

• Ohne Verkabelung an Tür und Rahmen
• Geringer Montageaufwand
• Verschiedene Profile
• Zutritts-Kontrolle, Zeitzonensteuerung und Protokollierung
• Netzwerkfähig

„Fallstudie: Digitale Schließanlage“
• Vorabkontrolle: Informieren (§4d Abs. 5 BDSG)
• Anwenden auf Fallstudie (Welche Probleme könnten auftreten, was sollte beachtet werden)
• Verfahrensbeschreibung: Informieren / Unterscheidungen
• Anwenden auf Fallstudie (optional)

Wann muss die Vorabkontrolle nach § 4 d Abs. 5 BDSG erfolgen und worum geht es hierbei?
Bei der Vorabkontrolle werden die automatisierten Verarbeitungen bereits vor ihrem Beginn geprüft. Ihr unterliegen Verarbeitungen, die besondere Risiken für die Rechte und Freiheiten der Betroffenen aufweisen. Die Entscheidung, wann diese besonderen Risiken gegeben sind, dürfte in der Praxis Probleme bereiten. Die Vorabkontrolle ist beispielsweise durchzuführen, wenn besondere Arten personenbezogener Daten (Angabe über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder Philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit- oder Sexualleben) verarbeitet werden oder die Verarbeitung personenbezogener Daten dazu bestimmt ist, die Persönlichkeit des Betroffenen zu bewerten einschließlich seiner Leistung oder seines Verhaltens. Um eine sachgerechte Eingrenzung der Fälle der Vorabkontrolle zu erreichen, ist sie nicht erforderlich, wenn der Datenverarbeitung eine gesetzliche Verpflichtung oder eine Einwilligung zugrunde liegt oder diese Zweckbestimmung eines Vertragsverhältnisses oder vertragsähnlichen Vertrauensverhältnisses mit dem Betroffenen dient.

Lösung zur Vorabkontrolle

1. Protokollierung von 128 Zutritten auf dem Schließzylinder
2. Benutzer Profile könnten angelegt werden (Pünktlichkeit Mitarbeiter; Betreten des Gebäudes außerhalb der Arbeitszeiten)
3. Tür versehendlich nicht abgeschlossen, Zylinder könnte ausgelesen werden und Mitarbeiter gezielt abgemahnt werden (Zweckentfremdung)
4. Zylinder darf nur bei einer Straftat ausgelesen werden (Einbruch)
5. Betriebsrat muss mit einwilligen (Arbeitnehmervertretung), Mitarbeiter müssen Schriftlich einwilligen (§4a)

Problematisch: Hohe Zutritt-Speicherung (128), Löschzeiten (Tage), Auslesemöglichkeiten

Präsenation betrieblicher Datenschutzbeauftragter Teil 1

Präsentation betrieblicher Datenschutzbeauftragter Teil II