Die rechtlichen Grundlagen für die Bestellung eines externen Datenschutzbeauftragten (DSB) sind in der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG) festgelegt. Diese Gesetze bestimmen, unter welchen Bedingungen ein Unternehmen einen DSB benennen muss und welche Anforderungen an dessen Qualifikation und Aufgaben gestellt werden.
Datenschutz-Grundverordnung (DSGVO)
Gemäß Artikel 37 DSGVO müssen bestimmte Unternehmen und Organisationen einen Datenschutzbeauftragten benennen. Diese Verpflichtung gilt insbesondere für:
- Öffentliche Stellen und Behörden: Diese müssen immer einen DSB benennen, unabhängig von der Art der verarbeiteten Daten.
- Unternehmen, deren Kerntätigkeit die umfangreiche, regelmäßige und systematische Überwachung betroffener Personen erfordert: Beispielsweise Unternehmen, die große Mengen an personenbezogenen Daten verarbeiten oder umfangreiche Überwachungstätigkeiten durchführen.
- Unternehmen, deren Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten besteht: Dazu gehören Daten über rassische und ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, genetische und biometrische Daten, Gesundheitsdaten sowie Daten über das Sexualleben oder die sexuelle Orientierung.
Bundesdatenschutzgesetz (BDSG)
Zusätzlich zur DSGVO legt § 38 BDSG fest, dass Unternehmen, die in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen, einen DSB benennen müssen. Diese Regelung gilt unabhängig von der Art der verarbeiteten Daten und ergänzt die Vorgaben der DSGVO.
Anforderungen an die Qualifikation
Artikel 37 Absatz 5 DSGVO bestimmt, dass der Datenschutzbeauftragte aufgrund seiner beruflichen Qualifikation und seines Fachwissens im Bereich des Datenschutzrechts und der Datenschutzpraxis benannt werden muss. Dies bedeutet, dass der DSB über fundierte Kenntnisse der relevanten Datenschutzgesetze und praktische Erfahrungen in der Umsetzung und Überwachung von Datenschutzmaßnahmen verfügen muss.
Aufgaben des Datenschutzbeauftragten
Die DSGVO legt in Artikel 39 die Aufgaben des DSB fest, die unter anderem die Überwachung der Einhaltung der Datenschutzvorschriften, die Beratung des Unternehmens und der Mitarbeiter, die Durchführung von Datenschutz-Folgenabschätzungen (DSFA) und die Zusammenarbeit mit der Aufsichtsbehörde umfassen.
Zusammengefasst bilden die DSGVO und das BDSG die rechtlichen Grundlagen für die Bestellung eines externen Datenschutzbeauftragten. Unternehmen müssen sicherstellen, dass sie die gesetzlichen Anforderungen erfüllen, einen qualifizierten DSB benennen und dessen Aufgaben und Verantwortlichkeiten klar definieren.
