Am dritten Tag nach seiner Benennung findet Kai-Uwe einen dicken Ordner auf seinem Schreibtisch. Auf dem Deckel klebt ein gelber Zettel von Herrn Müller, dem Senior-Chef: „Datenschutz. Bitte kümmern Sie sich.“
(Bild KI generiert)
Kai-Uwe ist die Hauptfigur meines neuen Buches, und natürlich ist er erfunden. Der Ordner leider nicht. So oder so ähnlich sieht er in vielen Unternehmen aus: eine veraltete Liste der eingesetzten Software, zwei Verträge mit IT-Dienstleistern ohne Unterschrift, ein Ausdruck der Datenschutzhinweise von der Webseite, Stand irgendwann vor Jahren, und ein Notizzettel aus der Personalabteilung mit der Frage, wie lange man Bewerbungen eigentlich aufheben darf. Kai-Uwe, bis vor Kurzem im Controlling, tut das, was ein gewissenhafter Mensch in dieser Lage tut. Er nimmt den Ordner mit nach Hause und fängt an.
Das ist sympathisch. Und es ist der Anfang eines Missverständnisses, das mir bei neu benannten Datenschutzbeauftragten immer wieder begegnet.
Die Datenschutz-Grundverordnung, kurz DSGVO, verteilt die Rollen nämlich ziemlich klar. Für die Einhaltung des Datenschutzes ist der sogenannte Verantwortliche zuständig. Das ist das Unternehmen, der Verein oder die Behörde, die über Zweck und Mittel einer Datenverarbeitung entscheidet (Art. 4 Nr. 7 und Art. 24 DSGVO), im Betrieb also praktisch die Geschäftsleitung. Der Datenschutzbeauftragte hat eine andere Rolle: Er unterrichtet, berät und überwacht (Art. 39 DSGVO). Man kann ihn sich als fachkundigen Prüfer an der Seite der Leitung vorstellen, nicht als ihren Ersatz.
Mit der Benennung wandert die Verantwortung also nicht zum Datenschutzbeauftragten. Sie bleibt, wo sie war.
Fünf Aufgaben landen trotzdem besonders gern auf seinem Schreibtisch, obwohl sie dort rechtlich nicht hingehören.
1. Das Verzeichnis von Verarbeitungstätigkeiten führen
Das Verzeichnis von Verarbeitungstätigkeiten ist eine Übersicht darüber, welche personenbezogenen Daten eine Organisation zu welchem Zweck verarbeitet, wer sie erhält und wann sie wieder gelöscht werden. Art. 30 Abs. 1 DSGVO verpflichtet dazu ausdrücklich den Verantwortlichen. Der Datenschutzbeauftragte kommt in der Vorschrift nur als Angabe vor: Sein Name und seine Kontaktdaten gehören mit ins Verzeichnis.
Trotzdem hält sich hartnäckig die Vorstellung, das Verzeichnis sei Sache des Datenschutzbeauftragten. Ein Teil davon ist Gewohnheit aus alten Zeiten. Nach dem Bundesdatenschutzgesetz, das bis Mai 2018 galt, musste die Leitung dem Datenschutzbeauftragten eine Übersicht der Verfahren zur Verfügung stellen, und er machte sie auf Antrag zugänglich. Wer schon damals im Datenschutz unterwegs war, hat dieses Bild noch im Kopf.
Heute sieht die Arbeitsteilung anders aus. Die Fachbereiche kennen ihre Abläufe am besten: Die Personalabteilung weiß, was mit Bewerbungen geschieht, die IT weiß, welche Systeme laufen und wer darauf zugreift. Sie liefern die Inhalte. Die Leitung sorgt dafür, dass das Verzeichnis existiert und gepflegt wird. Der Datenschutzbeauftragte kann beim Aufbau beraten, eine sinnvolle Struktur vorschlagen, Einträge prüfen und auf Lücken hinweisen.
Dass er in vielen Unternehmen trotzdem selbst die Einträge schreibt, ist für sich genommen noch kein Drama. Nur ändert das nichts an der Pflicht. Fehlt das Verzeichnis, wendet sich die Aufsichtsbehörde an den Verantwortlichen und nicht an seinen Datenschutzbeauftragten.
2. Datenpannen an die Aufsichtsbehörde melden
Freitag, kurz nach drei. Eine Sachbearbeiterin hat eine Excel-Liste mit Gehaltsdaten an einen externen Verteiler geschickt statt an die Lohnbuchhaltung. Wer greift jetzt zum Meldeformular der Aufsichtsbehörde?
Nach Art. 33 DSGVO meldet der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten, im Alltag meist einfach Datenpanne genannt. Die Meldung muss unverzüglich und möglichst binnen 72 Stunden erfolgen, nachdem dem Verantwortlichen die Verletzung bekannt geworden ist. Ausgenommen sind Fälle, die voraussichtlich zu keinem Risiko für die betroffenen Personen führen. Ob gemeldet wird, entscheidet also die Leitung, und sie trägt auch die Verantwortung, wenn die Frist verstreicht.
Der Datenschutzbeauftragte spielt dabei trotzdem eine wichtige Rolle. Er hilft, den Vorfall einzuschätzen, berät zur Frage, ob ein Risiko besteht, und achtet darauf, dass alles dokumentiert wird. In der Meldung selbst wird er als Ansprechpartner angegeben (Art. 33 Abs. 3 Buchst. b DSGVO). Und wenn die Aufsichtsbehörde Rückfragen hat, landen sie häufig zuerst bei ihm.
Schwierig wird es, wenn das Unternehmen den gesamten Vorgang einfach an ihn durchreicht. Dann entscheidet am Ende jemand über die Meldung, der dafür gar nicht zuständig ist, und die Leitung erfährt im ungünstigsten Fall erst davon, wenn Post von der Behörde kommt. Ich empfehle deshalb, dass die Leitung vorab festlegt, wer im Haus Vorfälle entgegennimmt, wer über die Meldung entscheidet und wie der Datenschutzbeauftragte eingebunden wird. Rechtlich vorgeschrieben ist ein solcher Ablauf in dieser Form nicht. Aber er lässt sich in Ruhe klären, und am Freitagnachmittag ist dafür keine Zeit.
3. Löschfristen festlegen
Wie lange Bewerbungsunterlagen, Kundendaten oder Personalakten aufbewahrt werden, entscheidet der Verantwortliche. Er muss sich dabei an den Grundsatz der Speicherbegrenzung halten (Art. 5 Abs. 1 Buchst. e DSGVO), also Daten nicht länger speichern als nötig, und gleichzeitig gesetzliche Aufbewahrungspflichten beachten, etwa aus dem Handels- und Steuerrecht.
Gerade dieser zweite Teil zeigt, warum die Festlegung nicht beim Datenschutzbeauftragten liegen kann. Ob eine Rechnung, ein Vertrag oder eine Lohnabrechnung noch aufbewahrt werden muss, weiß die Buchhaltung oder der Steuerberater meist besser als er. Die Fachbereiche kennen ihre Unterlagen, die IT muss die Löschung technisch umsetzen, und die Leitung legt am Ende fest, was gilt.
Der Datenschutzbeauftragte kann ein Löschkonzept anregen, beim Aufbau beraten und darauf achten, dass Daten nicht „vorsichtshalber“ für immer liegen bleiben. Das ist in der Praxis schon viel wert. Denn das häufigste Problem ist nicht die falsch berechnete Frist. Es ist die Frist, die nie jemand festgelegt hat.
4. Verträge mit Dienstleistern abschließen
Der neue Cloud-Anbieter für die Zeiterfassung braucht einen Vertrag zur Auftragsverarbeitung. Das ist eine Vereinbarung nach Art. 28 DSGVO, die ein Unternehmen mit einem Dienstleister schließen muss, der in seinem Auftrag personenbezogene Daten verarbeitet. Und weil das Wort Datenschutz drinsteht, wandert der Vertrag zum Datenschutzbeauftragten, mit einem freundlichen Klebezettel: „Kannst du das bitte unterschreiben?“
Besser nicht.
Vertragspartner ist das Unternehmen. Unterschreiben sollte, wer das Unternehmen nach außen vertreten darf, also die Geschäftsführung oder jemand mit entsprechender Vollmacht. Die Verhandlungen mit dem Anbieter führt üblicherweise die kaufmännische Seite. Der Datenschutzbeauftragte kann den Entwurf vorab daraufhin durchsehen, ob die Punkte enthalten sind, die Art. 28 Abs. 3 DSGVO verlangt, und auf Auffälligkeiten hinweisen.
Eine Unterschrift des Datenschutzbeauftragten unter einen solchen Vertrag sieht nach zusätzlicher Absicherung aus. In Wirklichkeit verwischt sie, wer die Entscheidung getroffen hat. Eine „Freigabe“ durch den Datenschutzbeauftragten kennt die DSGVO ohnehin nicht. Er gibt eine fachliche Einschätzung ab, entscheiden muss die Leitung.
5. Die Datenschutz-Folgenabschätzung erstellen und über das Ergebnis entscheiden
Eine Datenschutz-Folgenabschätzung, kurz DSFA, ist eine vertiefte Risikoprüfung. Sie wird nötig, wenn eine geplante Verarbeitung voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt, etwa bei umfangreicher Überwachung oder beim Einsatz neuer Technologien. Art. 35 Abs. 1 DSGVO weist diese Aufgabe dem Verantwortlichen zu. Absatz 2 derselben Vorschrift bestimmt, dass er dabei den Rat des Datenschutzbeauftragten einholt, sofern einer benannt wurde.
Die Rollenverteilung steht damit eigentlich schon im Gesetz. Der Verantwortliche führt die Folgenabschätzung durch, der Datenschutzbeauftragte berät dazu und überwacht ihre Durchführung (Art. 39 Abs. 1 Buchst. c DSGVO). Und das Ergebnis, ob ein Vorhaben also so umgesetzt wird, nur mit zusätzlichen Schutzmaßnahmen oder gar nicht, gehört in die Hand der Leitung.
Aus eigener Erfahrung kann ich sagen: Bei keiner anderen Aufgabe ist die Versuchung so groß, sie komplett beim Datenschutzbeauftragten abzuladen. Sie klingt nach Datenschutz, sie macht Arbeit, und im Fachbereich kennt sich niemand damit aus. Wer sie dann allein erstellt, prüft am Ende allerdings sein eigenes Werk.
Warum das keine Haarspalterei ist
Man könnte einwenden: Hauptsache, die Arbeit wird gemacht. Wer sie macht, ist doch egal. Ganz so einfach ist es nicht, und zwar aus zwei Gründen.
Der erste ist die Unabhängigkeit. Ein interner Datenschutzbeauftragter darf neben seiner Funktion andere Aufgaben übernehmen, aber nur, solange daraus kein Interessenkonflikt entsteht (Art. 38 Abs. 6 DSGVO). Der Europäische Gerichtshof hat dazu entschieden, dass ein solcher Konflikt vorliegen kann, wenn dem Datenschutzbeauftragten Aufgaben übertragen werden, bei denen er selbst Zwecke und Mittel einer Verarbeitung festlegt (Urteil vom 9. Februar 2023, C-453/21). Ob das in einer bestimmten Organisation der Fall ist, hängt von den konkreten Umständen ab und muss im Einzelfall geprüft werden. Die Richtung ist aber deutlich: Wer selbst entscheidet, kann diese Entscheidung nicht unabhängig kontrollieren.
Nicht jede Mithilfe ist deshalb gleich ein Problem. Einen Eintrag im Verzeichnis vorzuformulieren, ist etwas anderes, als festzulegen, welche Daten erhoben werden und wie lange sie bleiben. Die Grenze verläuft dort, wo aus Beratung eine Entscheidung wird.
Der zweite Grund ist ganz praktisch. Wenn der Datenschutzbeauftragte alles selbst erledigt, lernt die Organisation nichts. Die Fachbereiche verlassen sich darauf, dass „der Datenschutz“ sich schon kümmert, die Leitung hat das Thema gedanklich abgehakt, und sobald der Datenschutzbeauftragte drei Wochen im Urlaub ist oder die Funktion abgibt, steht alles still. Eine Datenschutzorganisation, die an einer einzigen Person hängt, verdient den Namen nicht.
Was bleibt dann für Sie als Datenschutzbeauftragter? Eine ganze Menge. Sie unterrichten und beraten die Leitung und die Beschäftigten, Sie überwachen, ob die Vorgaben eingehalten werden, Sie sensibilisieren, beraten bei Folgenabschätzungen und sind Anlaufstelle für die Aufsichtsbehörde. Das sind die Aufgaben aus Art. 39 DSGVO, und sie füllen einen Arbeitstag mühelos. Ihre eigene Verantwortung besteht darin, diese Aufgaben sorgfältig, fachkundig und unabhängig zu erfüllen. Das ist anspruchsvoll genug.
Kai-Uwe hat den Ordner übrigens nach einer Woche zurückgebracht. Nicht abgearbeitet, sondern sortiert: mit einer Liste, wer im Haus für welchen Punkt zuständig ist, und mit der Bitte um ein Gespräch mit Herrn Müller. Das war, ehrlich gesagt, die bessere Arbeit.
Werbung in eigener Sache:
Wie man als neu benannter Datenschutzbeauftragter seinen Platz findet, ohne in fremden Aufgaben zu versinken, beschreibe ich ausführlich in meinem neuen Buch „Plötzlich Datenschutzbeauftragter – was ist zu tun?“. Es richtet sich an alle, die ohne juristische Vorbildung in diese Funktion gekommen sind, ob im Unternehmen, im Verein oder in der Verwaltung. Kai-Uwe aus diesem Beitrag begleitet Sie darin von der Benennung bis zur eingespielten Routine, und für die öffentliche Verwaltung kommt Sarah aus einem Kultusministerium dazu. Kein Gesetzeskommentar, sondern ein Begleiter für die ersten Wochen und Monate.
Den Ordner von Herrn Müller müssen Sie danach immer noch sortieren. Aber Sie wissen, an wen Sie welchen Teil zurückgeben.