Externer Datenschutzbeauftragter

Viele Unternehmen müssen einen Datenschutzbeauftragten benennen – und haben intern niemanden, der die nötige Fachkunde mitbringt, frei von Interessenkonflikten ist und die Zeit dafür hat. Ein externer Datenschutzbeauftragter löst das: Sie erhalten die Fachkunde, ohne eine Stelle aufzubauen, und die Funktion hängt nicht an Ihrer Personalplanung.

Derzeit sind wir als externe Datenschutzbeauftragte für Auftraggeber in Rheinland-Pfalz und Nordrhein-Westfalen benannt. Weil wir selbst IT-Systeme konzipieren und betreiben, beurteilen wir technische Maßnahmen aus eigener Praxis und nicht nur anhand von Checklisten.

Brauchen Sie einen Datenschutzbeauftragten?

Nach § 38 BDSG ist ein Datenschutzbeauftragter zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Zahl der Beschäftigten besteht die Pflicht außerdem, wenn

• Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen,
• personenbezogene Daten geschäftsmäßig zur Übermittlung oder für die Markt- und Meinungsforschung verarbeitet werden,
• Ihre Kerntätigkeit in der umfangreichen, regelmäßigen und systematischen Überwachung von Personen besteht (Art. 37 DSGVO) oder
• Ihre Kerntätigkeit in der umfangreichen Verarbeitung besonders geschützter Daten besteht, etwa von Gesundheitsdaten (Art. 37 DSGVO).

Die Bundesregierung hat angekündigt, die nationale 20-Personen-Schwelle abzuschaffen. Die Pflichten der DSGVO selbst – Verzeichnis der Verarbeitungstätigkeiten, Informationspflichten, Betroffenenrechte, Meldung von Datenschutzvorfällen – bleiben davon unberührt. Auch wer keinen Datenschutzbeauftragten mehr benennen muss, braucht also jemanden, der diese Pflichten im Blick behält. Ob und in welchem Umfang Sie betroffen sind, klären wir im ersten Gespräch.

Warum extern?

• Fachkunde vom ersten Tag an, ohne Aus- und Fortbildung eigener Mitarbeitender
• Keine Interessenkonflikte: Geschäftsführung, IT-Leitung oder Personalabteilung können die Aufgabe in der Regel nicht selbst übernehmen
• Kein besonderer Kündigungsschutz, wie ihn intern benannte Datenschutzbeauftragte genießen (§ 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG)
• Planbare Kosten statt einer zusätzlichen Stelle

Was wir als Datenschutzbeauftragte übernehmen

• Unterrichtung und Beratung von Geschäftsführung und Beschäftigten zu ihren datenschutzrechtlichen Pflichten
• Überwachung der Einhaltung von DSGVO, BDSG und Ihren internen Datenschutzvorgaben
• Schulung und Sensibilisierung der Mitarbeitenden
• Beratung zu neuen Verarbeitungen und Datenschutz-Folgenabschätzungen, bevor etwas eingeführt wird
• Prüfung von Auftragsverarbeitungsverträgen und Dienstleistern
• Ansprechpartner für Betroffene, die Auskunft verlangen oder sich beschweren
• Begleitung bei Datenschutzvorfällen, einschließlich der Bewertung der Meldepflicht binnen 72 Stunden
• Zusammenarbeit mit der zuständigen Aufsichtsbehörde (in Rheinland-Pfalz LfDI, in Nordrhein-Westfalen LDI NRW)

Wie wir arbeiten

Am Anfang steht eine Bestandsaufnahme: Welche Verarbeitungen gibt es, welche Dokumentation liegt vor, wo bestehen Lücken? Daraus entsteht ein Maßnahmenplan, sortiert nach Risiko und Aufwand. Nach der Benennung sind unsere Kontaktdaten zu veröffentlichen und der Aufsichtsbehörde mitzuteilen (Art. 37 Abs. 7 DSGVO) – auch dabei unterstützen wir Sie.

In der laufenden Betreuung sind wir erreichbar, wenn eine Frage aufkommt, nicht erst beim nächsten Termin. Vieles lässt sich telefonisch oder per Videokonferenz klären; vor Ort sind wir, wo es die Sache verlangt – bei Audits, Schulungen und Begehungen.