Die Datensicherung hingegen stellt demnach alle Verfahren dar, die dazu dienen, den Zustand des Datenschutzes bzw. der Datensicherheit zu erreichen

Transkript

1 23 Die Datensicherung hingegen stellt demnach alle Verfahren dar, die dazu dienen, den Zustand des Datenschutzes bzw. der Datensicherheit zu erreichen 2.2 Der Datenschutzbeauftragte Bestellung eines Datenschutzbeauftragten Wann ein Datenschutzbeauftragter zu bestellen ist und unter welchen Voraussetzungen dies zu geschehen hat, ist im Gesetz geregelt. Dort heißt es: " Öffentliche und nicht-öffentliche Stellen, die personenbezogene Daten automatisiert erheben, verarbeiten oder nutzen, haben einen Beauftragten für den Datenschutz schriftlich zu bestellen. Nicht-öffentliche Stellen sind hierzu spätestens innerhalb eines Monats nach Aufnahme ihrer Tätigkeit verpflichtet. Das gleiche gilt, wenn personenbezogene Daten auf andere Weise erhoben, verarbeitet oder genutzt werden und damit in der Regel mindestens zwanzig Personen beschäftigt sind. Sätze 1 und 2 gelten nicht für nicht-öffentliche Stellen, die höchstens vier Arbeitnehmer mit der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten beschäftigen. Soweit aufgrund der Struktur einer öffentlichen Stelle erforderlich, genügt die Bestellung eines Beauftragten für den Datenschutz für mehrere Bereiche. Soweit nicht-öffentliche Stellen automatisierte Verarbeitung vornehmen, die einer Vorabkontrolle unterliegen oder personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung oder der anonymisierten Übermittlung erheben, verarbeiten oder nutzen, haben sie unabhängig von der Anzahl der Arbeitnehmer einen Beauftragten für den Datenschutz zu bestellen." Aus diesem Gesetzeswortlaut sind verschiedene Einzelforderungen abzuleiten. 1. öffentliche und nicht-öffentliche Stellen 2. personenbezogene Daten automatisiert erhebt, verarbeitet oder nutzt 3. schriftlich 4. keine Bestellung: nicht öffentliche Stelle / höchstens 4 Arbeitnehmer

2 24 5. nicht-öffentliche Stelle innerhalb eines Monats nach Beginn 6. erheben, verarbeiten oder nutzen von personenbezogenen Daten in nicht automatisierter Form bei mindestens 20 Personen 7. nicht-öffentliche Stellen anzahlunabhängig, wenn - Vorabkontrolle - geschäftsmäßiges Verarbeiten zum Zwecke der Übermittlung Diese Forderungen stellen einen Eingriff in die Organisationsfreiheit der Unternehmen dar. Damit verfolgt der Gesetzgeber jedoch den Gedanken der Eigenverantwortung und der Selbstkontrolle. Der Eingriff in die Organisationsfreiheit des Unternehmens muss keinen Nachteil bedeuten. Vielmehr bedeutet ein richtig organisierter Datenschutz auch eine Steigerung des Datensicherheitsniveaus im Unternehmen. 1. Als nicht-öffentliche Stellen hat der Gesetzgeber natürliche und juristische Personen, Gesellschaften und andere Personenvereinigungen definiert. Somit können folgende Beispiele für nicht-öffentliche Stellen angeführt werden: Freie Berufe und Einzelbetriebe Privatrechtliche Unternehmen ( AG, GmbH, KG, OHG, u. ä.) Genossenschaften, Stiftungen u. ä. Es sei an dieser Stelle bereits darauf hingewiesen, dass, unter der Voraussetzung, dass alle anderen Bedingungen ebenfalls erfüllt werden, z. B. Arztpraxen, Rechtsanwaltskanzleien, usw. dem Bundesdatenschutzgesetz unterliegen und in vielen Fällen zur Bestellung eines Datenschutzbeauftragten verpflichtet sind. Mit der Novellierung des BDSG im Jahre 2001 sind in die Formulierung des 4 f ebenfalls die öffentlichen Stellen aufgenommen worden. Im 2 Abs. 1 und 2 BDSG werden die öffentlichen Stellen in die des Bundes und die der Länder unterschieden. Während zu den öffentlichen Stellen des Bundes die Bundesbehörden aller Ebenen und die Verfassungsorgane gehö-

3 25 ren, werden die öffentlichen Stellen der Länder durch spezielle Landesdatenschutzgesetze in jedem einzelnen Bundesland angesprochen. 2. Personenbezogene Daten müssen automatisiert erhoben, verarbeitet oder genutzt werden. Automatisiert bedeutet hier, dass die Erhebung, Verarbeitung oder Nutzung in dateimäßiger Form geschehen muss. Die wesentlichen Verfahrensschritte, wie z. B. Erfassung, Speicherung, Veränderung und Übermittlung müssen mit Hilfe programmgesteuerter Geräte ablaufen. Dabei reicht es aus, dass die Tätigkeit der einzelnen Beschäftigten in einer der Verarbeitungsphasen geschieht. 3. Eine weitere Anforderung, die gestellt wird, ist die der Schriftform. Zu der inhaltlichen Gestaltung der Schriftform sind im Gesetz keinerlei Angaben zu finden; sie bleibt den beteiligten Parteien vorbehalten. In Abbildung 2 ist eine Bestellungsurkunde dargestellt, die die UIMC zur Bestellung ihrer Berater zum externen Datenschutzbeauftragten verwendet. 4. Die Bestellung eines Datenschutzbeauftragten entfällt, wenn eine Höchstzahl von Arbeitnehmern, die mit der Verarbeitung von personenbezogenen Daten beschäftigt sind, nicht überschritten wird. Bei automatisierter Erhebung, Verarbeitung oder Nutzung, also einer Erhebung, Verarbeitung oder Nutzung, bei der die wesentlichen Verfahrensschritte (Erfassung, Speicherung, Verarbeitung, Veränderung, Übermittlung, Nutzung) mit Hilfe programmgesteuerter Geräte ablaufen, beträgt diese Höchstzahl 4 Arbeitnehmer. 5. Nicht-öffentliche Stellen sind hierzu spätestens innerhalb eines Monats nach Aufnahme ihrer Tätigkeit verpflichtet. Dies bedeutet, dass erst dann die Frist von einem Monat beginnt, wenn die Mindestzahl von Arbeitnehmern erreicht ist und die Datenverarbeitung von personenbezogenen Daten durchgeführt wird. Darauf hinzuweisen ist noch, dass als Arbeitnehmer gilt, wer als Nichtselbständiger aufgrund eines Dienstvertrages für einen anderen weisungsgebundene, fremdbestimmte Arbeiten verrichtet. Sofern personenbezogene Daten

4 26 zu Ausbildungszwecken verarbeitet werden, sind auch Auszubildende als Arbeitnehmer im Sinne des 4 f BDSG zu werten. 6. Die Erhebung, Verarbeitung oder Nutzung auf andere Weise meint eine andere Erhebung, Verarbeitung oder Nutzung als die dateimäßige durch den Computer. Indirekt angesprochen ist hier die Verarbeitung von personenbezogenen Daten in Form von Karteikarten. Auch diese Form der Verarbeitung macht eine Bestellung des Datenschutzbeauftragten notwendig. Sie ist aber an die erheblich höhere Zahl von zwanzig Personen gebunden. Es ist jedoch offensichtlich, dass infolge der immer weiter zunehmenden Computerisierung eine Verarbeitung von personenbezogenen Daten in Form von z. B. Karteikarten zugunsten einer schnelleren, weniger personalkostenintensiven, automatisierten Verarbeitung verdrängt wird. Somit verliert diese Regelung des BDSG zunehmend an Bedeutung. 7. Im Gegensatz zum "alten" BDSG stellt das novellierte Gesetz fest, dass "soweit nicht-öffentliche Stellen automatisierte Verarbeitung vornehmen, die einer Vorabkontrolle unterliegen oder personenbezogene Daten geschäftsmäßig zum Zwecke der Übermittlung oder der anonymisierten Übermittlung erheben, verarbeiten oder nutzen, haben sie unabhängig von der Anzahl der Arbeitnehmer einen Beauftragten für den Datenschutz zu bestellen." Die Vorabkontrolle wird im weiteren Verlauf des Buches im Rahmen der Aufgaben eines Datenschutzbeauftragten noch genauer dargestellt. An dieser Stelle soll jedoch darauf hingewiesen werden, dass eine Vorabkontrolle insbesondere durchzuführen ist, wenn besondere Arten personenbezogener Daten ( 3 Abs. 9) verarbeitet werden. Da auch Gesundheitsdaten unter den Begriff der besonderen Daten zu fassen sind, führt dies zu dem Umstand, dass jeder niedergelassene Arzt der personenbezogenen Daten automatisiert verarbeitet unabhängig von der Mitarbeiterzahl einen Datenschutzbeauftragten zu bestellen hat. Die weitere Formulierung, dass diejenigen, die personenbezogene Daten geschäftsmäßig zum Zwecke der Übermittlung oder der anonymisierten Ü- bermittlung erheben, verarbeiten oder nutzen, auch unabhängig von der An-

5 27 zahl der Mitarbeiter einen Datenschutzbeauftragten zu bestellen haben, trifft in erster Linie die Adresshändler. Bestellungsurkunde Gemäß 4 f, 4 g Bundesdatenschutzgesetz (BDSG) wird hiermit Herr Thomas Mustermann mit Wirkung vom für die Erste Krankenhaus GmbH zum bestellt. Datenschutzbeauftragten Die Rechte und Pflichten des Datenschutzbeauftragten ergeben sich aus 4 g BDSG sowie aus den weiteren Rechtsvorschriften über den Umgang mit personenbezogenen Daten, die auf die Erste Krankenhaus GmbH Anwendung finden. Herr Mustermann ist in seiner Eigenschaft als Datenschutzbeauftragter dem Krankenhausvorstand unmittelbar unterstellt und organisatorisch dem Verwaltungsdirektor zugeordnet. München, den Für den Vorstand Der zum Datenschutzbeauftragten bestellte Abbildung 2: Bestellungsurkunde zum Datenschutzbeauftragten Quelle: Standardbestellungsurkunde der UIMC Neben diesen Einzelforderungen schreibt das Gesetz vor, dass nur derjenige zum Beauftragten für den Datenschutz bestellt werden darf, der über die zur Erfüllung seiner Aufgaben erforderliche Fachkunde und Zuverlässigkeit verfügt (vgl. 4 f Abs. 2 BDSG). Kapitel 3 enthält dazu detaillierte Ausführungen.

6 Aufgabenstellung Die Aufgaben eines Datenschutzbeauftragten ergeben sich aus dem Gesetzestext. Im 4 g Abs. 1 BDSG heißt es: "Der Beauftragte für den Datenschutz wirkt auf die Einhaltung dieses Gesetzes und anderer Vorschriften über den Datenschutz hin." Hierdurch wird schon deutlich, wie umfangreich die Aufgaben eines Datenschutzbeauftragten sind. Der Gesetzgeber hat bewusst eine solch allgemeine Aussage getroffen. In den einschlägigen weitergehenden Kommentaren zu diesem Sachverhalt werden die Aufgaben weiter präzisiert. Eine detaillierte Beschreibung der Aufgaben erfolgt in Kapitel Ausübungsformen Es sind zur Zeit drei Ausübungsformen der Tätigkeit eines Datenschutzbeauftragten bekannt: Hauptamtlicher Datenschutzbeauftragter Nebenamtlicher Datenschutzbeauftragter Externer Datenschutzbeauftragter Anhand einer 1996 durchgeführten Datenschutzumfrage sind Aussagen über die Verteilung von hauptamtlichen bzw. nebenamtlichen Datenschutzbeauftragten in der deutschen Wirtschaft möglich. Hiernach ergibt sich folgende Tabelle Vollzeit Datenschutzbeauftragter Anzahl der Mitarbeiter Teilzeit Datenschutzbeauftragter 36,36 < ,64 13, ,77 3,51 3, ,49 96,55 0 > Alle Angaben in Prozent

7 29 Tabelle 1: Quelle: Hauptamtlicher oder nebenamtlicher in der Praxis Herweg, Ralf; Jaspers, Andreas: Datenschutz in Deutschland - Ausgewählte Ergebnisse einer Umfrage, in: IT-Sicherheit, Heft 1, 1997, Datakontext, S. 5 Es ist festzustellen, dass Unternehmen, die eine gewisse Größe erreicht haben und daher in erheblichem Umfang Hauptamtlicher Datenschutzbeauftragter Vorteil Nachteil hohe Fachkunde nur ab bestimmter personenbezogene Daten keine Interessenkollision Größe der Institution hoher innerbetrieblicher wirtschaftlich vertretbar Bekanntheitsgrad verarbeiten, informelle Organisation ist bekannt einen hauptamtlichen Da- Tabelle 2: Vorteile / Nachteile eines hauptamtlichen tenschutz- beauftragten Datenschutzbeauftragten Quelle: Selbsterstellt benötigen. Dieser hat neben seinen Datenschutzaufgaben im Unternehmen keine weiteren Verpflichtungen. Dieser Datenschutzbeauftragte wird einen sehr hohen und praxisnahen Stand der Fachkunde erreichen, und seine Unabhängigkeit wird nicht durch eventuelle Einflussnahmen oder Interessenkollisionen in einem zusätzlichen Tätigkeitsgebiet gefährdet. Einige Kommentare zum BDSG sehen einen hauptamtlichen Datenschutzbeauftragten beispielsweise für erforderlich an bei Dienstleistungsunternehmen mit mehr als 500 Datensichtgeräten oder DV-Abteilungen mit mehr als 30 Programmierern. Die ausschließliche Betrachtung der Kriterien Datensichtgeräte und Programmierer ist jedoch für die zu treffende Entscheidung wenig hilfreich. Vielmehr sollten bei der Betrachtung des Arbeitsaufwandes des Datenschutzbeauftragten Kriterien wie die Intensität der personenbezogenen Datenverarbeitung und Sensitivität der Daten einen Ausschlag geben. Ein Handelsunternehmen, eine Bank oder eine Krankenhaus können nicht nach gleichen Maßstäben betrachtet werden.

8 30 Der nebenamtliche Datenschutzbeauftragte übt neben seiner eigentlichen Tätigkeit für die Institution die Datenschutztätigkeit zum Beispiel im Verhältnis 80 / 20 aus. Gerade für kleinere und mittelgroße Institutionen, die personenbezogene Daten in eingeschränktem Umfang verarbeiten, ist die Bestellung eines hauptamtlichen Datenschutzbeauftragten nicht sinnvoll. Betrachtet man den Umstand, dass Datenschutz eine Führungsaufgabe ist, so ist für diese Institutionen eine hauptamtliche Bestellung aus wirtschaftlichen Überlegungen nicht vertretbar. Diese Art der Ausübung der Datenschutzbeauftragtentätigkeit ist jedoch mit einer ganzen Reihe von Problemen verbunden. 1. Zur Verfügungsstellung von genügend Arbeitszeit 2. Ausreichende Fachkunde 3. Inkompatibilitäten mit der Haupttätigkeit Um seine Datenschutztätigkeit ordnungsgemäß erfüllen zu können, muss dem nebenamtlichen Datenschutzbeauftragten ein angemessener Zeitrahmen zur Verfügung gestellt werden. Dieser Zeitrahmen ist in der Praxis immer wieder ein Streitpunkt. In einem Beschluss vom vertrat das Arbeitsgericht Offenbach die Auffassung, dass in der Niederlassung eines schwedischen Automobilherstellers mit weniger als 300 Mitarbeitern der Datenschutzbeauftragter maximal 20 % für die Erfüllung seiner Datenschutzaufgaben benötigt. Grundsätzlich lässt sich jedoch festhalten, dass mit der Bestellung zum Datenschutzbeauftragten der bisherige Aufgabenkreis eines Mitarbeiters entsprechend zu reduzieren ist.

9 31 Wegen der Abhängigkeit von der Struktur der jeweiligen nicht-öffentlichen Stelle lassen sich keine generellen Vorgaben aufstellen, wie viel Zeit die Tätigkeit als Datenschutzbeauftragter beansprucht bzw. wann die zu bewältigenden Aufgaben eine nebenamtliche Tätigkeit nicht mehr zulassen. So kann die Möglichkeit der Delegierung von Aufgaben auf geschultes Hilfspersonal dazu führen, dass eine nebenamtliche Bestellung auch bei einem umfangreichen Tätigkeitsfeld ausreicht. Nebenamtlicher Datenschutzbeauftragte Vorteil Nachteil wirtschaftlich günstige in der Regel geringe bis Lösung keine Fachkunde Die in der in der Regel innerbetrieblich bekannt Zeitmangel in der Regel besteht Praxis häufig informelle Organisation kann zu Interessenkollisi- anzutreffende ist bekannt onen kommen problematischer Kündigungsschutz fehlende bzw. mangelhafte langfristige Bindung Fachkunde Tabelle 3: Vorteile / Nachteile eines nebenamtlichen hängt direkt Datenschutzbeauftragten mit dem Quelle: Selbsterstellt Problem des Zeitbudgets zusammen. In den seltensten Fällen wird in einem Unternehmen eine Person über die benötigte Fachkunde verfügen. Daher muss einem neu bestellten nebenamtlichen Datenschutzbeauftragten die Möglichkeit gegeben werden, ü- ber externe Schulungs- und Weiterbildungsmaßnahmen die benötigte Fachkunde in angemessener Zeit zu erwerben. Diese Weiterbildungsmaßnahmen aber verursachen erstens Kosten und zweitens einen nicht unerheblichen Zeitaufwand. Beides durchzusetzen ist in der Praxis sehr häufig mit erheblichen Schwierigkeiten verbunden. Eine weiteres Problemfeld ist die Unabhängigkeit der Funktion des DSB von anderen Funktions- und Aufgabenträgern. Zum Beispiel geraten der Personalleiter oder der DV - Leiter und bei Direktvertrieb der Vertriebsleiter

10 32 zwangsläufig in einen Konflikt, wenn sie ihre Interessen und Aufgaben mit den Tätigkeiten des DSB vereinbaren und damit sich selbst kontrollieren sollen. Sie erfüllen damit durch die vorprogrammierten Interessenkonflikte nach allgemeiner Meinung nicht das Postulat der Zuverlässigkeit i.s. des BDSG, um die Funktion eines DSB wahrzunehmen. Das BDSG stellt in 4 f Abs. 2 Satz 2 fest, dass mit der Aufgabe des Datenschutzbeauftragten auch eine Person außerhalb der verantwortlichen Stelle betraut werden kann. Im Gegensatz zu einigen unklaren Formulierungen in den Landesdatenschutzgesetzen (interner Datenschutzbeauftragter DSG NW; behördlicher Datenschutzbeauftragter LDSG BW) erlaubt das BDSG den externen Datenschutzbeauftragten für seinen Gültigkeitsbereich. Folgende Personenkreise kommen als externe Datenschutzbeauftragte in Betracht: Unternehmensberater Steuerberater / Steuerberatungsgesellschaften Wirtschaftsprüfer / Wirtschaftsprüfungsgesellschaften Rechtsanwälte Wichtig ist hierbei natürlich die hinreichende Qualifikation. Um die benötigte Fachkunde vorweisen zu können, ist es nicht ausreichend, sich nur auf juristischem Gebiet sehr gut auszukennen.

11 33 Die Bereiche Betriebswirtschaft, innerbetriebliche Kenntnisse und vor allem DV-Kenntnisse sind unerlässlich, um von einer hinreichenden Fachkunde sprechen zu können. Einige Autoren gehen sogar soweit, dass sie feststellen, dass es im Externer Datenschutzbeauftragter Vorteil Nachteil Zweifel der Informatiker ist, sehr hohe Fachkunde zunächst innerbetrieblich nicht bekannt Praxiserfahrung auch aus Randgebieten zunächst informelle der die Folgen kein Kündigungsschutz Organisation nicht bekannt bestimmter kurzfristig verfügbar schwerpunktmäßig einsetzbar Verfahrenseinsätze in der Kosten sind kalkulierbar, da Budgetierung betrieblichen Keine Nebenkosten für Praxis abschätzen und z.b.: Weiterbildung Tabelle 4: Vorteile / Nachteile eines externen Datenschutzbeauftragten Vorkehrungen treffen kann. Quelle: Selbsterstellt Da ein externer Datenschutzbeauftragter gleichzeitig eine Mehrfachbestellung durch in der Regel selbständige Klein- bzw. Mittelunternehmen hat, ergeben sich hieraus Vorteile für die Institutionen. Zum einen ist der externe Datenschutzbeauftragte unabhängiger von der einzelnen Institution, er ist nicht so betriebsblind, zum anderen stellen sich durch die Mehrfachbestellung Synergie-Effekte ein, die der einzelnen Institution zugute kommen. Diese Mehrfachbeschäftigung setzt natürlich voraus, dass der externe Datenschutzbeauftragte extrem verschwiegen, und eine integere Persönlichkeit sein muss. Da der externer Datenschutzbeauftragter sich ausschließlich auf die Tätigkeit des Datenschutzes spezialisiert hat, wird er, wie der hauptamtliche Datenschutzbeauftragte, in der Regel über eine sehr hohe Fachkunde verfügen. Ein entscheidendes Argument für einen externen Datenschutzbeauftragten ist jedoch die Flexibilität seiner Verfügbarkeit. Wendet sich die Institution z. B. an eine Unternehmensberatung, so kann diese einen kompeten-

12 34 ten externen Datenschutzbeauftragter in der Regel sehr kurzfristig zur Verfügung stellten. Da die Verträge mit den Unternehmensberatungen meist zeitlich begrenzt sind, umgeht die Institution eine langfristige Bindung an eine entsprechende Person. Betrachtet man die Kosten der Bestellung eines Datenschutzbeauftragten, spricht aus Sicht des Arbeitgebers ebenfalls einiges für die externe Lösung. Der interne Datenschutzbeauftragte als Arbeitnehmer erhält ein fixes monatliches Gehalt (einschließlich Sozialversicherungsabgaben und sonstige soziale Leistungen) unabhängig von seiner Leistung und Auslastung. Das Entgelt für die Tätigkeiten eines externen Datenschutzbeauftragten berechnet sich dagegen in der Regel auf Stundenbasis. Weiterhin ist ein Jahresbudget vereinbart, das als maximale Obergrenze angesehen wird. Damit wird nur der tatsächliche Aufwand abgerechnet und es entstehen keine zusätzlichen Kosten z. B. durch Krankheit, Urlaub, Weiterbildung. Gegen eine Bestellung eines externen Datenschutzbeauftragten spricht, dass er in der Regel nicht mit der innerbetrieblichen und informellen Organisation vertraut ist. Da er jedoch durch seine Mehrfachbestellung diesen Umstand häufiger antrifft, hat sich in der Praxis gezeigt, dass der externe Datenschutzbeauftragte sich schnell in die situativen Gegebenheiten einarbeiten kann. Der Konzerndatenschutzbeauftragte ist eine weitere Variante des externen Datenschutzbeauftragten. Hier wird ein Datenschutzbeauftragter von der Holding oder der Muttergesellschaft bestellt, der meistens ein interner Mitarbeiter ist und diese Tätigkeit häufig als Vollzeitbeschäftigung ausübt. Dieser Datenschutzbeauftragte muss dann von den einzelnen, rechtlich selbständigen Tochterunternehmen als Datenschutzbeauftragter bestellt werden. Bei einem Großkonzern mit mehreren Tausend Mitarbeitern in verschiedenen, häufig sogar noch bundesweit verstreuten Betrieben stößt der Konzerndatenschutzbeauftragter jedoch schnell an seine Grenzen. Dieses Modell sieht daher zum einen einen konkreten Ansprechpartner in

13 35 der jeweiligen Unternehmung vor, oder zum anderen einen Datenschutzberater, für den ein Betreuungsbezirk gebildet wird. Dieser Datenschutzberater ist dann für alle Konzern-Betriebe innerhalb seines Bezirkes in Fragen des Datenschutzes zuständig. So lässt sich eine konzernweite einheitliche Datenschutzstrategie mit entsprechenden Organisations- und Kostenvorteilen erreichen Organisatorische Eingliederung Die organisatorische Eingliederung ist Grundlage für eine erfolgreiche Tätigkeit in der Institution. Zur Eingliederung eines Datenschutzbeauftragten in die Hierarchie der Institution führt das Gesetz aus, dass der Beauftragte für den Datenschutz dem Leiter der öffentlichen oder nichtöffentlichen Stelle unmittelbar zu unterstellen ist. Diese unmittelbare Unterstellung unter die Leitung ermöglicht es dem Datenschutzbeauftragten, Entscheidungsbedarf unmittelbar an die Führungsebene heranzutragen. Diese Einordnung macht deutlich, dass Datenschutz eine Führungsaufgabe ist. Im Idealfall ist die Stelle des Datenschutzbeauftragten als Stabstelle organisiert. Hierbei ist jedoch darauf zu achten, dass es zu keiner Diskrepanz kommt, wenn ein Mitarbeiter neben anderen Aufgaben für das Unternehmen auch die des Datenschutzes übernommen hat (nebenamtlicher Datenschutzbeauftragter). Aus dem Wortlaut des Gesetzes ist in einem Umkehrschluss abzuleiten, dass der Datenschutzbeauftragte nicht der Leitung einer Unternehmung oder öffentlichen Stelle angehören darf Arbeitsrechtliche Stellung Der Datenschutzbeauftragte ist bei der Ausübung seiner Fachkunde auf dem Gebiet des Datenschutzes weisungsfrei und er darf wegen der Erfüllung seiner Aufgaben nicht benachteiligt werden.

14 36 Damit ist das Direktionsrecht des Arbeitgebers eingeschränkt zugunsten eines unabhängigen Datenschutzes. Hier kommt wieder das Selbstkontrollprinzip zum Tragen. Wichtig hierbei ist, dass sich diese Weisungsfreiheit ausschließlich auf die Tätigkeit als Datenschutzbeauftragter zur Sicherstellung eines angemessenen Datenschutzes unter Beachtung der datenschutzrelevanten Vorschriften bezieht. Sofern der Datenschutzbeauftragte daneben noch andere Funktionen ausübt, genießt er hierbei keine Sonderstellung, d. h. er unterliegt in vollem Umfang dem Direktionsrecht des Arbeitgebers. Beide Bereiche sind deshalb streng voneinander zu trennen. Die weiteren Aufgaben des Datenschutzbeauftragten dürfen ihn nicht im Amt behindern. Neben der Weisungsfreiheit hat der Gesetzgeber noch das Benachteiligungsverbot in den Gesetzeswortlaut aufgenommen, um die arbeitsrechtliche Stellung des Datenschutzbeauftragten zu stärken. In der Literatur sind verschiedene Angaben zu finden, was Benachteiligungsverbot bedeutet. Unter Benachteiligung ist insbesondere zu verstehen: jede Änderung des Arbeits- oder Dienstvertragsverhältnisses des Datenschutzbeauftragten zu seinen Ungunsten das Ausschließen von Vergünstigungen das Umgehen von Beförderungen die Isolierung von unternehmensinternen Informationsabläufen das Vorenthalten von beruflichen Entwicklungsmöglichkeiten die Isolierung von der betrieblichen Kommunikation jede Verletzung oder sonstige Nichteinhaltung des Arbeitsvertrages In der Praxis spielt das Benachteiligungsverbot eher eine untergeordnete Rolle, da die Benachteiligung wegen der Erfüllung seiner Aufgaben erfolgen muss. Hier muss auf den Einzelfall abgestellt werden. Demzufolge sind auch Fälle, in denen dem Datenschutzbeauftragten aufgrund einer

15 37 Benachteiligung Schadensersatz zugesprochen wurde, aus der Praxis nicht bekannt. Des weiteren ist der Beauftragte für den Datenschutz bei der Erfüllung seiner Aufgaben zu unterstützen. Ihm sind insbesondere, soweit dies zu Erfüllung seiner Aufgaben erforderlich ist, Hilfspersonal sowie Räume, Einrichtungen, Geräte und Mittel zur Verfügung zu stellen. Eine allgemeingültige Aussage über den Umfang der Unterstützung kann nicht gemacht werden. Diese Faktoren sind von den situativen Parametern in jeder Institution abhängig. Es obliegt dem Datenschutzbeauftragten, genau zu spezifizieren, welche Unterstützung er zur korrekten Erfüllung seiner Datenschutzaufgaben benötigt. Letztlich entscheidet jedoch die Unternehmensleitung über den Umfang der personellen und sachlichen Unterstützung für den Datenschutzbeauftragten. Hier wird sich der Datenschutzbeauftragte mit der Unternehmensleitung einigen müssen. Eine weitere, in der Praxis sehr beachtete arbeitsrechtliche Stellung des Datenschutzbeauftragten ist der Kündigungsschutz. Die Bestellung zum Beauftragten für den Datenschutz kann in entsprechender Anwendung von 626 des Bürgerlichen Gesetzbuches, bei nicht-öffentlichen Stellen auch auf Verlangen der Aufsichtsbehörden, widerrufen werden. Die Aufsichtsbehörde wird eine Abberufung nur dann verlangen, wenn nach eingehender Prüfung festgestellt wurde, dass der Datenschutzbeauftragte die nötige Fachkunde bzw. die Zuverlässigkeit im Sinne des 4 f Abs. 2 BDSG vermissen lässt. Ein Widerruf analog 626 BGB stellt auf einen wichtigen Grund ab. Wann ein wichtiger Grund vorliegt, bedarf einer Einzelfallprüfung. Ohne an dieser Stelle weiter auf die juristischen Feinheiten einzugehen, sei nur darauf verwiesen, dass die Gerichte im Laufe der Zeit Richtlinien herausgearbeitet haben, was unter einem wichtigen Grund zu verstehen ist.

16 38 Eine weitere Frage wird jedoch durch den 4 f Abs. 3 Satz 4 aufgeworfen. Was passiert, wenn das Arbeitsverhältnis der entsprechenden Person gekündigt wird? Endet dann automatisch auch die Bestellung zum Datenschutzbeauftragten? Wird davon ausgegangen, dass der Gesetzgeber mit dem Widerrufsschutz die Unabhängigkeit des Datenschutzbeauftragten stärken will, so ist der Widerrufsschutz als Kündigungsschutz zu verstehen. Würde die Beendigung des Arbeitsverhältnisses automatisch auch die Bestellung zum Datenschutzbeauftragten gegenstandslos machen, würde der 4 f Abs. 3 Satz 4 nicht mehr greifen. In diesem Fall hätte die Institution die Möglichkeit, über diesen Umweg, einen missliebigen, weil beispielsweise sehr eifrigen, Datenschutzbeauftragten loszuwerden. Dies ist sicherlich nicht im Interesse des Gesetzgebers. Werden aus Kündigungsgesichtspunkten die beiden Sonderformen des nebenamtlichen Datenschutzbeauftragten und des externer Datenschutzbeauftragten betrachtet, so ergeben sich folgenden Aussagen: Ein nebenamtlicher Datenschutzbeauftragter, der neben seiner eigentlichen Tätigkeit für das Unternehmen noch die Datenschutztätigkeit übernommen hat, kann sehrwohl in seiner Haupttätigkeit gekündigt werden. Hierzu hat ein Arbeitsgericht entschieden, dass eine ordentliche Kündigung sozial gerechtfertigt ist, da sie aus betriebsbedingten Gründen erfolgt sei und nichts mit der Ausübung der Funktion des Datenschutzbeauftragten zu tun hat. Ein externer Datenschutzbeauftragter hat in diesem Sinne keinen Kündigungsschutz. Seine Bestellung basiert auf den Vereinbarungen eines Dienstleistungsvertrages. Wird dieser Vertrag gekündigt bzw. läuft dieser Vertrag aus, so erlischt automatisch auch die Bestellung zum Datenschutzbeauftragten. Dieser Umstand wird von den externen Datenschutzbeauftragten als Marketingargument für die Bestellung eines externen verwandt. Mit Beendigung der Bestellung endet jedoch nicht die Verpflich-

17 39 tung der speichernden Stelle, weiterhin einen Datenschutzbeauftragten zu bestellen. Dieser muss sie dann umgehend nachkommen Grundsätze der Berufsausübung Betreuung und Beratung unterschiedlicher Unternehmen und Institutionen in Fragen von Datenschutz und Datensicherung stellen hohe Anforderungen an die persönlichen und fachlichen Qualifikationen der dabei tätigen Personen. Folgende Grundsätze der Berufsausübung sind daher zu beachten. Unabhängige Berufsausübung Der Datenschutzbeauftragte verpflichtet sich zur Unabhängigkeit, die vom BDSG gefordert wird. Unabhängigkeit bedeutet hier, dass der Datenschutzbeauftragte seinen Aufgaben ohne Rücksicht auf andere Funktions- oder Aufgabenträger der Institution nachgehen kann. Er hat keine Weisungen bei der Anwendung seiner Fachkunde auf dem Gebiet des Datenschutzes entgegenzunehmen. Bei einer Interessenkollision muss er diese unverzüglich offen legen. Eigenverantwortliche Berufsausübung Der Datenschutzbeauftragte ist grundsätzlich eigenverantwortlich tätig und hat in Ausübung seiner Tätigkeit keine Einschränkung seiner Unabhängigkeit durch Erwartungen Dritter zu akzeptieren. Er muss seine Tätigkeit unvoreingenommen und objektiv ausüben. Um die fachliche Qualifikation zu sichern, sorgen die Datenschutzbeauftragten für eine kontinuierliche Aus- und Weiterbildung für sich und ihre Mitarbeiter.