Externer Datenschutz-Beauftragter nach DSGVO und BDSG

Gem. Art. 39 Abs. I DSGVO obliegen dem Datenschutzbeauftragten zumindest folgende Aufgaben:

 

a) Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters und der Beschäftigten, die Verarbeitungen durchführen, hinsichtlich ihrer Pflichten nach der Datenschutz-Grundverordnung sowie nach sonstigen Datenschutzvorschriften der Union bzw. der Mitgliedstaaten;

b) Überwachung der Einhaltung der Datenschutz-Grundverordnung, anderer Datenschutzvorschriften der Union bzw. der Mitgliedstaaten sowie der Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen;

c) Beratung — auf Anfrage — im Zusammenhang mit der Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung gemäß Art. 35 DSGVO;

d) Zusammenarbeit mit der Aufsichtsbehörde;

e) Tätigkeit als Anlaufstelle für die Aufsichtsbehörde in mit der Verarbeitung zusammenhängenden Fragen, einschließlich der vorherigen Konsultation gemäß Art. 36 DS-GVO, und gegebenenfalls Beratung zu allen sonstigen Fragen.

Betroffene Personen können den Datenschutzbeauftragten zudem gem. Art. 38 Abs. IV DSGVO zu allen mit der Verarbeitung ihrer personenbezogenen Daten und mit der Wahrnehmung ihrer Rechte gemäß der Datenschutz-Grundverordnung im Zusammenhang stehenden Fragen zu Rate ziehen.

Im Fall eines datenschutzrelevanten Vorfalls im Unternehmen haben Sie als Verantwortlicher maximal 72 Stunden Zeit, Sofortmaßnahmen zu ergreifen und den Vorfall bei der zuständigen Aufsichtsbehörde zu melden. Mit unserem Incident Response Service unterstützen wir Sie, den Schaden zu begrenzen und andere rechtliche Auswirkungen zu minimieren. 

Für Kunden, die wir als vertraglich benannter Datenschutzbeauftragter beraten und vertreten, ist der Incident Response Service im monatlichen Pauschalhonorar inkludiert. Die sich aus den Sofortmaßnahmen ergebenden Aufwände werden mit unserem vereinbarten Stundenhonorar ohne Sonderaufschläge vergütet.

Der Datenschutzbeauftragte hat gem. Art. 39 Abs. I DSGVO die Pflicht zur Überwachung der Einhaltung der Datenschutz-Grundverordnung, anderer Datenschutzvorschriften der Union bzw. der Mitgliedstaaten sowie der Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten einschließlich der Durchführung von regelmäßigen Audits.

 

Nach Art. 32 Abs. I DSGVO müssen der Verantwortliche und der Auftragsverarbeiter „geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten“. Zudem werden sie verpflichtet, „ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung“ zu etablieren. Im jährlichen Audit wird sichergestellt, dass dieser Anforderung Genüge getan wird und analysiert, wie die getroffenen Maßnahmen am Besten im Einklang mit den organisatorischen und technischen Rahmenbedingungen des Unternehmens stehen können.

Die Sensibilisierung der Mitarbeiter in Datenschutz-Belangen ist eine klare Anforderung der DSGVO an den Verantwortlichen. Die Schulung muss von jedem Mitarbeiter des Mandanten jährlich absolviert werden. Gem. Art. 39 Abs. I DSGVO obliegt die Überwachung der Einhaltung dieser (und anderer) Verpflichtungen dem Datenschutzbeauftragten. Für unsere Kunden gehen wir einen Schritt weiter und stellen als Bestandteil unserer Beratungsleistung ein Online Training zur Verfügung (auf Anfrage sind selbstverständlich auch Classroom-Trainings vor Ort möglich). Nach erfolgreichem Abschluss des Wissenstests erhält jeder Mitarbeiter ein Datenschutz-Zertifikat, das ein Jahr gültig ist.

Zur Umsetzung der Anforderungen des DSGVO und des BDSG ist es erforderlich, im Unternehmen einige Standardprozesse zu etablieren und die Einhaltung dieses Prozesse durch alle Mitarbeiter (und ggf. Auftragsverarbeiter) sicherzustellen. Wichtige Beispiele hierfür sind der Notfall-Prozess (Im Fall eines Datenschutz-Vorfalls: Wer im Unternehmen tut wann was, um den Vorfall zu analysieren, Schaden zu begrenzen und den gesetzlichen Pflichten nachzukommen?) und der Anfrageprozess (Im Fall eines Auskunftsanfrage eines Betroffenen oder einer Datenschutz-Aufsichtsbehörde: Wer im Unternehmen hat was wann zu tun?). Auf Anfrage sind diese Prozesse der Aufsichtsbehörde vorzulegen.

Wir haben hierfür bewährte Standardprozesse erarbeitet, welche mandantenspezifisch angepasst und ständig weiterentwickelt werden.

Der Art. 30 DSGVO verpflichtet Unternehmen zum Führen eines Verzeichnisses von Verarbeitungstätigkeiten („Verarbeitungsverzeichnis“). Das Verarbeitungsverzeichnis dient der Transparenz über die Verarbeitung personenbezogener Daten und damit der rechtlichen Absicherung des Unternehmens und des Verantwortlichen. Es muss der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt werden und dient als Nachweis der Einhaltung des gesetzlichen Dokumentations-Verpflichtung.

Als Ihr Berater und/oder Datenschutzbeauftragter unterstützen wir Sie bei der Erstellung, Prüfung und Pflege des Verzeichnisses von Verarbeitungstätigkeiten mit einem aktuellen Dokumentations-Framework und Beratungs-Expertise.

Neben dem Verzeichnis der Verarbeitungstätigkeiten hat der Verantwortlich weiterhin dafür Sorge zu tragen, dass geeignete technische und organisatorische Maßnahmen (TOM, Art. 23 DSGVO) implementiert sind, die die technische Sicherheit der Datenverarbeitungsvorgänge wie auch die notwendigen Rahmenbedingungen in Form von Regeln, Vorgaben und Handlungsanweisungen sicherstellen.

Bei Verstößen gegen die Pflicht zur Dokumentation der TOMs drohen Unternehmen nach DSGVO zukünftig Bußgelder von bis zu zehn Millionen Euro bzw. bis zu zwei Prozent des weltweit erzielten Jahresumsatzes (der jeweils höhere Wert gilt).

Wir unterstützen Verantwortliche mit unserer Expertise, diese Dokumentation umfassend und gemäß der Anforderungen zu erstellen und aktuell zu halten.

Gem. Art. 35 DSGVO führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Bei der Durchführung einer Datenschutz-Folgenabschätzung hat der Verantwortliche nach Art. 35 Abs. II DSGVO den Rat des Datenschutzbeauftragten einzuholen.

Als Ihr Datenschutzbeauftragter beraten und unterstützen wir Sie bei der Erstellung der Datenschutz-Folgenabschätzungen. Hierzu erhalten Sie geprüften Dokumentvorlagen, wodurch Ihr Aufwand auf ein Minimum reduziert werden kann.