Der Datenschutzbeauftragte
Ein Datenschutzbeauftragter ist zu bestellen, wenn besonders sensible Daten verarbeitet werden, eine Datenschutz-Folgenabschätzung erforderlich ist oder die Kerntätigkeit des Unternehmens in der umfangreichen Verarbeitung personenbezogener Daten liegt. Weiters existieren in einigen Ländern der EU Regelungen, nach denen ein Datenschutzbeauftragter erforderlich ist, wenn eine bestimmte Anzahl von Personen im Unternehmen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt ist (Zum Beispiel 20 in Deutschland).
Der Datenschutzbeauftragte kann jede natürliche Person sein, die über die notwendige Fachkunde und Zuverlässigkeit verfügt. Die Person muss in der Lage sein, die gesetzlichen Anforderungen der DSGVO umzusetzen und darf keinen Interessenkonflikt haben, das heißt, sie sollte nicht in einer Position sein, in der sie über die Zwecke und Mittel der Datenverarbeitung entscheidet. Externe wie interne Personen können diese Rolle übernehmen.
Die Verantwortung und Haftung für die Einhaltung des Datenschutzes liegen grundsätzlich beim Unternehmen beziehungsweise bei der Geschäftsführung. Der Datenschutzbeauftragte haftet nicht persönlich für Datenschutzverstöße, sondern unterstützt beratend und kontrollierend. Die Unternehmensleitung bleibt für die Umsetzung und Einhaltung der Datenschutzvorgaben verantwortlich.
Ob ein externer oder ein interner Datenschutzbeauftragter besser geeignet ist, hängt von den individuellen Gegebenheiten des Unternehmens ab. Ein externer Datenschutzbeauftragter bringt häufig spezialisierte Fachkenntnisse und Erfahrung mit und kann objektiver agieren. Ein interner Datenschutzbeauftragter ist hingegen stärker in die Unternehmensprozesse eingebunden, was Vorteile bei der Umsetzung interner Abläufe bieten kann. Häufig wird aus dem Glauben, Haftung auszulagern, ein externer Datenschutzbeauftragter bestellt. Diese Annahme ist jedoch falsch. Die Haftung für den Datenschutz bleibt bei der Geschäftsleitung und kann nicht an Dritte ausserhalb oder innerhalb des Unternehmens ausgelagert werden.
Ja, der Datenschutzbeauftragte muss der zuständigen Datenschutzbehörde im Land des Firmensitzes gemeldet werden. Dies funktioniert für jedes Land anders; der korrekte Weg für das jeweilige Land kann jedoch meistens über eine einfache Suche im Internet identifiziert werden. Hier ein paar Beispiele:
Datenschutzbeauftragte können der Datenschutzbehörde per E-Mail an dsb@dsb.gv.at oder per Brief an die „Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien“ gemeldet werden.
Darin sollten jedenfalls die Bezeichnung der:des Verantwortlichen sowie Name/Bezeichnung und Kontaktdaten der:des Datenschutzbeauftragten bekanntgegeben werden.
Nähere Informationen zur Meldung des Datenschutzverantwortlichen in Österreich können hier eingesehen werden: https://dsb.gv.at/rechte-pflichten/datenschutzbeauftragter.
In Deutschland müssen die Datenschutzbeauftragten der Aufsichtsbehörde des jeweiligen Bundeslandes gemeldet werden. Hier sind die Links zu den jeweiligen Online-Meldeportalen der Länder zu finden: