Vorteile durch Rahmenverträge

Die Abläufe in Mitgliedsunternehmen unserer Rahmenvertragspartner sind durch hohe Regulierung stark standardisiert. Durch die Mitgliedschaft in den Verbänden wird diese Standardisierung noch erhöht. D.h., unsere Kunden „funktionieren“ in wesentlichen Zügen alle recht ähnlich. Damit ist es uns möglich, die Anforderungen vieler Unternehmen mit vergleichsweise geringem individuellen Anpassungsaufwand zu erfüllen. Diesen Effizienzvorteil geben wir gern an unsere Kunden weiter.

Mitglieder unserer Rahmenvertrags-Partnerorganisationen sind in aller Regel zur Benennung eines Datenschutzbeauftragten verpflichtet. Rechtsgrundlage für die Pflicht zur Benennung eines Datenschutzbeauftragten ist der Art. 37 der DSGVO (entsprechend der § 36 KDG bzw. der § 36 DSG-EKD).

Die Benennungspflicht ist danach von folgenden Kriterien abhängig:

• Verarbeitung von besonderen Kategorien personenbezogener Daten nach Art. 9, 10 DSGVO (entsprechend § 11, 12 KDG bzw. § 13, 14 DSG-EKD)
• als Kerntätigkeit und
• im Rahmen einer umfangreichen Verarbeitung.

Darüber hinaus ist die Vorschrift aus § 38 Abs. 1 BDSG zu berücksichtigen, wonach eine Benennungspflicht besteht, sofern „in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung“ personenbezogener Daten beschäftigt sind (im Geltungsbereich des KDG und DSG-EKD mindestens 10 Personen), oder aus Art. 35 DSGVO (entsprechend § 35 KDG bzw., § 36 DSG-EKD) , wonach die Benennung erfolgen muss, sofern Verarbeitungen vorgenommen werden, die einer Datenschutz-Folgenabschätzung unterliegen.

Jedes Unternehmen mit 50 oder mehr Mitarbeitenden ist seit dem 03.07.2023 gesetzlich verpflichtet, eine Hinweisgeber-Meldestelle einzurichten. Für Unternehmen mit 50 bis 249 Mitarbeitenden gilt hierbei eine Übergangsfrist bis zum 17.12.2023.

Rechtsgrundlage hierfür ist das „Gesetz für einen besseren Schutz hinweisgebender Personen sowie zur Umsetzung der Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden“ – kurz „Hinweisgeberschutzgesetz (HinSchG).

Eine sog. „interne” Meldestelle darf durch einen externen Dienstleister betrieben werden. So werden v.a. Interessenskonflikte vermieden und die interne Organisation entlastet.

In der Regel muss sich Ihr neuer Datenschutzbeauftragter zunächst ein Bild von der Gesamtsituation machen. Dies ist Teil der zwingend erforderlichen Ist-Aufnahme. Wir empfehlen, diese unbedingt in einem Vor-Ort-Termin durchzuführen. Bitte planen Sie hierzu etwa einen halben bis einen Tag ein, an dem Ihr Berater vor Ort mit der Geschäftsführung uns anderen für das Datenschutzmanagement relevanten Mitarbeitenden arbeiten wird.

Die Bearbeitung weiterer Datenschutz-Aufgaben erfordert im Normalfall keine Anwesenheit des Beraters vor Ort. Sofern Sie weitere Beratung vor Ort wünschen, vereinbaren unsere Kollegen aber selbstverständlich gern individuelle Termine mit Ihnen.

Selbstverständlich steht es Ihnen frei, einen internen Mitarbeiter zu benennen. Bitte berücksichtigen Sie hierbei die gesetzliche Anforderung, nach der der Datenschutzbeauftragte auf der Grundlage seiner beruflichen Qualifikation und insbesondere des Fachwissens benannt wird, das er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung gesetzlich geforderten Aufgaben.“ D.h. eine qualifizierte Ausbildung (inkl. Zertifizierung) sowie die permanente Weiterbildung und regelmäßige Rezertifizierung sind zwingende Voraussetzungen für die Tätigkeit. Zudem dürfen keine Interessenskonflikte bestehen, die die Neutralität des Datenschutzbeauftragten beeinflussen könnten. Der Datenschutzbeauftragte darf daher weder Mitglied der Geschäftsleitung sein noch Verantwortung im Bereich Personal oder IT tragen.

Für (interne) betriebliche Datenschutzbeauftragte bieten wir ein Coaching an, das Ihnen hilft, Ihr Know-How aktuell zu halten, Ihnen Zugriff auf alle erforderlichen Unterlagen und unsere Best Practices gibt und Ihnen bei komplizierten Fragestellungen unsere Experten als kompetente Diskussionspartner zur Seite stellt.

Ihr externes Compliance-Büro übernimmt für die die Entgegennahme der Meldungen, die Prüfung auf Relevanz und Plausibilität, die Sammlung und Sichtung vonr Beweismaterialien sowie die gesamte Kommunikation mit den jeweiligen Hinweisgebern. Sofern die Meldung stichhaltig ist, übergibt die Meldestelle den Fall zwecks Abstellung der Missstände an das Unternehmen. Ab hier sind Sie gefragt, entsprechende interne Regelungen zu treffen.

Grundsätzlich haftet nach der DSGVO (entsprechend KDG oder DSG-EKD) der Verantwortliche. In der Regel ist dies der Inhaber, Geschäftsführer oder Vorstand. Ein interner Datenschutzbeauftragter haftet in aller Regel nicht. Ein externer Datenschutzbeauftragter (bspw. wir) haftet für Beratungsfehler aus seiner Dienstleistung. Deshalb ist es natürlich unser vorrangiges Interesse, Ihnen optimale Bratung angedeihen zu lassen und Haftungsrisiken von vorn herein zu minimieren. Vorsorglich ist die FS/CS GmbH selbstverständlich gegen derartigen Haftungsrisiken angemessen versichert.