Mit der Einführung der Verordnung (EU) 2016/679, bekannt als Datenschutz-Grundverordnung (DSGVO), wurde die Rechtsfigur des Datenschutzbeauftragten (ДЛЗД) geschaffen. Er nimmt eine Schlüsselrolle bei der Sicherstellung der Einhaltung der Vorschriften der DSGVO wahr und gehört zu den Hauptverantwortlichen für den Schutz personenbezogener Daten innerhalb der Organisationen.

I. Möglichkeiten der Bestellung eines ДЛЗД

Der Datenschutzbeauftragte kann sein:

  • ein interner Mitarbeiter der Organisation – des Verantwortlichen oder des Auftragsverarbeiters personenbezogener Daten;
  • eine externe Person oder ein externes Unternehmen, die bzw. das mittels eines Dienstleistungsvertrags mit der Erfüllung der Aufgaben des ДЛЗД beauftragt wird.

Ist der Beauftragte ein interner Mitarbeiter, so kann er auch andere Aufgaben wahrnehmen, jedoch nur unter der Voraussetzung, dass hierdurch kein Interessenkonflikt entsteht. Zu den wesentlichen Verantwortlichkeiten des ДЛЗД gehört es, die Einhaltung der internen Richtlinien und der Datenschutzvorschriften durch alle Mitarbeiter sicherzustellen, die personenbezogene Daten verarbeiten. Eine Person, der die Entscheidungen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten übertragen sind, kann nicht zum ДЛЗД bestellt werden, da dies auf eine Selbstkontrolle hinausliefe.

Wichtig: Es ist unzulässig, dass die Person, die die Funktionen des ДЛЗД wahrnimmt, dieses Amt mit Leitungsfunktionen verbindet wie:

  • Leiter der Geschäftsführung,
  • Leiter des operativen Geschäfts,
  • Leiter der Finanzabteilung,
  • Leiter der Abteilung „Humanressourcen“,
  • Leiter der Abteilung „Informationstechnologien“.

Der Arbeitgeber hat den Umfang der Aufgaben, die mit der Tätigkeit als ДЛЗД verbunden werden können, sorgfältig zu beurteilen. In der Stellenbeschreibung ist anzugeben, welcher Anteil der Arbeitszeit den Aufgaben des ДЛЗД gewidmet wird, um Konfliktsituationen und eine unzureichende Erfüllung der Aufgaben zu vermeiden.

Vertrag über zusätzliche Arbeit zur Wahrnehmung der Funktionen des ДЛЗД

Ist der Umfang der hauptsächlichen arbeitsvertraglichen Pflichten groß, so empfiehlt es sich, die Funktionen des ДЛЗД auf der Grundlage eines Vertrags über zusätzliche Arbeit nach Art. 110 des Arbeitsgesetzbuchs (КТ) wahrzunehmen, nämlich in den Fällen, in denen der Mitarbeiter diese Verantwortlichkeiten außerhalb seiner regulären Arbeitszeit übernimmt.

Praktische Probleme für kleine und mittlere Unternehmen

In kleinen und mittleren Unternehmen wird Mitarbeitern häufig die Wahrnehmung der Funktionen des ДЛЗД neben anderen Aufgaben übertragen. In der Regel verfügen diese Mitarbeiter weder über die erforderlichen Fachkenntnisse noch über die erforderliche Zeit zur Erfüllung dieser Funktionen. Treten unvorhergesehene Umstände ein, wie etwa das Ausscheiden des Mitarbeiters oder eine Abwesenheit wegen Krankheit oder Mutterschaft, so können die Arbeitgeber ohne Datenschutzbeauftragten dastehen und sich dem Risiko einer Prüfung durch die Aufsichtsbehörde für den Schutz personenbezogener Daten aussetzen.

II. Bestellung eines gemeinsamen ДЛЗД in einer Unternehmensgruppe

Eine Gruppe verbundener Unternehmen kann einen gemeinsamen ДЛЗД für sämtliche juristischen Personen bestellen. In diesem Fall muss jedoch jedes Unternehmen einen leichten und ungehinderten Zugang zu dieser Person haben. Die Beziehungen zwischen den Unternehmen und dem ДЛЗД können durch einen Vertrag nach Art. 111 des КТ (Arbeitsvertrag über eine Nebentätigkeit bei einem anderen Arbeitgeber) oder durch einen zivilrechtlichen Dienstleistungsvertrag geregelt werden.

III. Anforderungen an Ausbildung und Qualifikation des ДЛЗД

Nach der DSGVO bestehen im privaten Sektor keine besonderen Anforderungen an die Ausbildung und die Qualifikation des ДЛЗД. Die Person muss jedoch über Kenntnisse im Bereich des Rechts des Schutzes personenbezogener Daten sowie über Erfahrung mit den Abläufen in der Organisation des Verantwortlichen oder des Auftragsverarbeiters verfügen, einschließlich der Informationssysteme und der Methoden zur Gewährleistung der Sicherheit. Der Arbeitgeber beurteilt selbst, welche Qualifikationen für diese Stelle nach der Eigenart der Tätigkeit und dem Umfang der verarbeiteten Daten erforderlich sind.

Besondere Anforderungen an den ДЛЗД in der staatlichen Verwaltung: Die Bestellung eines ДЛЗД in der staatlichen Verwaltung unterliegt besonderen Anforderungen, die im Klassifikator der Amtsstellen festgelegt sind.

IV. Mitteilung der Bestellung eines ДЛЗД an die Aufsichtsbehörde

Der Verantwortliche für die Verarbeitung personenbezogener Daten ist verpflichtet, die Kontaktdaten des ДЛЗД zu veröffentlichen und sie der Aufsichtsbehörde mitzuteilen. Diese Daten können eine Anschrift, eine Telefonnummer und eine E-Mail-Adresse umfassen. Die Angabe des Namens des Mitarbeiters ist nicht erforderlich, es ist jedoch gute Praxis, ihn öffentlich zugänglich zu machen.

Wird die Mitteilung auf elektronischem Wege eingereicht, so muss sie mit einer qualifizierten elektronischen Signatur versehen sein. Ist der ДЛЗД eine juristische Person, so ist der Aufsichtsbehörde die konkrete natürliche Person mitzuteilen, die diese Funktionen wahrnimmt.

V. Pflichten des Datenschutzbeauftragten

Der ДЛЗД hat folgende Pflichten:

  • Beratung und Unterrichtung des Verantwortlichen oder des Auftragsverarbeiters sowie der Daten verarbeitenden Mitarbeiter über ihre Verantwortlichkeiten nach der DSGVO.
  • Überwachung der Einhaltung der Anforderungen an den Schutz personenbezogener Daten.
  • Kontrolle der Anwendung der Richtlinien zum Schutz personenbezogener Daten in der Organisation, einschließlich der Schulung und der Sensibilisierung des Personals.
  • Beratung im Zusammenhang mit der Datenschutz-Folgenabschätzung sowie Überwachung ihrer Durchführung.
  • Wahrung der Vertraulichkeit bei der Erfüllung seiner Aufgaben.
  • Zusammenarbeit mit der Aufsichtsbehörde in allen Fragen im Zusammenhang mit der Verarbeitung personenbezogener Daten.
  • Führung eines Verzeichnisses der Verarbeitungstätigkeiten, für die er verantwortlich ist.
  • Tätigkeit als Anlaufstelle für die Aufsichtsbehörde sowie gegebenenfalls für Konsultationen zu sonstigen Fragen.

Zu den zusätzlichen Aufgaben des ДЛЗД können die Erstellung und die Aktualisierung interner Richtlinien zum Datenschutz sowie weitere ähnliche Pflichten gehören.

VI. Verantwortlichkeit des ДЛЗД

Der ДЛЗД trägt keine persönliche Verantwortung für die Nichteinhaltung der DSGVO. Die Verantwortung für Verstöße gegen die Verordnung verbleibt beim Verantwortlichen oder beim Auftragsverarbeiter. Ist der ДЛЗД aufgrund eines Arbeitsvertrags bestellt, so richtet sich seine Haftung nach dem Arbeitsgesetzbuch und umfasst:

  • die disziplinarische Verantwortlichkeit für die Nichterfüllung der Pflichten,
  • die vermögensrechtliche Haftung im Falle von Schäden, die durch Fahrlässigkeit bei der Erfüllung der dienstlichen Pflichten verursacht worden sind.

Bei der Beendigung des Vertrags des ДЛЗД ist der Arbeitgeber verpflichtet, die gesetzlich vorgesehenen Anforderungen und Entschädigungen einzuhalten.

Vorteile der externen Wahrnehmung der Funktion des ДЛЗД: Die Bestellung eines ДЛЗД als externer Dienstleister verschafft dem Verantwortlichen eine größere Flexibilität bei der Beendigung des Vertrags sowie die Möglichkeit, im Vertrag selbst eine weitergehende Haftung für Schäden vorzusehen.

Sollten Sie Unterstützung bei der Erstellung von Unterlagen oder eine Beratung im Bereich des Schutzes personenbezogener Daten benötigen, kontaktieren Sie uns telefonisch unter: 0887550706 oder per E-Mail: [email protected]