Externer Datenschutzbeauftragter
Als externer Datenschutzbeauftragter unterrichten und beraten wir Ihr Unternehmen und Ihre Beschäftigten, überwachen die Einhaltung der Vorgaben und sind Anlaufstelle für Betroffene und Aufsichtsbehörde.
Was die Aufgabe umfasst
Der Datenschutzbeauftragte unterrichtet und berät das Unternehmen und seine Beschäftigten, überwacht die Einhaltung der Vorgaben, berät bei Datenschutz-Folgenabschätzungen, arbeitet mit der Aufsichtsbehörde zusammen und ist deren Anlaufstelle (Art. 39 DSGVO). Auch Betroffene können sich unmittelbar an ihn wenden (Art. 38 Abs. 4 DSGVO) – Beschäftigte ebenso wie Kunden.
In der Praxis heißt das: Er ist die Stelle, bei der jemand fragt, bevor etwas eingeführt wird, und die Stelle, die anruft, wenn etwas schiefgeht.
Weshalb von außen
-
Kein Interessenkonflikt
Wer im eigenen Haus die IT verantwortet oder die Personalabteilung führt, kann die eigenen Verarbeitungen nicht unbefangen überwachen. Die Verordnung schließt Aufgaben aus, die zu einem Interessenkonflikt führen (Art. 38 Abs. 6 DSGVO) – für die Leitung von IT oder Personal ist das regelmäßig der Fall, und in kleineren Unternehmen bleibt kaum eine geeignete Person übrig.
-
Keine arbeitsrechtliche Bindung
Ein intern benannter Datenschutzbeauftragter, dessen Benennung Pflicht ist, kann nur aus wichtigem Grund abberufen werden und genießt besonderen Kündigungsschutz, der ein Jahr über das Amt hinaus nachwirkt (§ 38 Abs. 2 in Verbindung mit § 6 Abs. 4 BDSG). Wer die Aufgabe nach außen gibt, bindet sie an einen Vertrag statt an ein Arbeitsverhältnis.
-
Fachkunde ohne Aufbaukosten
Die Verordnung verlangt Fachwissen, das zur Art der Verarbeitung passt (Art. 37 Abs. 5 und Erwägungsgrund 97 DSGVO), und verpflichtet das Unternehmen, die Mittel für dessen Erhalt bereitzustellen (Art. 38 Abs. 2 DSGVO). Intern bedeutet das Lehrgänge, Fachliteratur und laufende Fortbildung für eine Rolle, die niemand in Vollzeit ausfüllt. Worauf unsere Fachkunde beruht, steht unter Wer berät.
-
Vertretung ist mitgedacht
Urlaub, Krankheit und Wechsel sind bei uns organisiert. Die Aufgabe fällt nicht aus, weil eine Person ausfällt.
-
Blick von außen
Wer nicht im Haus sitzt, hält Abläufe nicht für selbstverständlich, nur weil sie seit Jahren so laufen.
Wie wir das Mandat führen
- einmal Zum Einstieg Bild verschaffen, daraus eine Reihenfolge mit Prioritäten
-
- fortlaufend Im laufenden Betrieb erreichbar für die Fragen des Alltags, Vorhaben prüfen, bevor sie entschieden sind
- Bei einem VorfallBewertung, Meldung, Dokumentation
- Gegenüber der AufsichtsbehördeAnlaufstelle, Stellungnahmen vorbereiten
- jährlich Bericht an die Geschäftsführung schriftlich, zugleich Nachweis
- fortlaufend Im laufenden Betrieb erreichbar für die Fragen des Alltags, Vorhaben prüfen, bevor sie entschieden sind
Gestrichelt: nur wenn der Anlass eintritt. Der Pfeil steht für den Jahresrhythmus.
Zum Einstieg verschaffen wir uns ein Bild: Welche Verarbeitungen gibt es, welche Dienstleister, welche Systeme, was ist dokumentiert und was nicht. Daraus entsteht eine Reihenfolge mit Prioritäten – keine Mängelliste, sondern ein Plan, der sich abarbeiten lässt.
Im laufenden Betrieb sind wir erreichbar für die Fragen, die der Alltag stellt: eine neue Software, ein neuer Dienstleister, eine Auskunftsanfrage, eine Kampagne, ein Bewerbungsverfahren. Vorhaben prüfen wir, bevor sie entschieden sind, nicht nachdem sie eingeführt wurden (Art. 25 DSGVO).
Bei einem Vorfall unterstützen wir bei der Bewertung, bei der Meldung und bei der Dokumentation (Art. 33 DSGVO).
Gegenüber der Aufsichtsbehörde sind wir Anlaufstelle und arbeiten mit ihr zusammen (Art. 39 Abs. 1 lit. d und e DSGVO). Anfragen beantworten wir in Abstimmung mit Ihnen und bereiten Ihre Stellungnahmen vor. Dass wir solche Verfahren kennen, nimmt ihnen viel von ihrer Aufregung.
Einmal im Jahr berichten wir der Geschäftsführung schriftlich: was getan wurde, wo das Unternehmen steht, welche Risiken offen sind und was wir empfehlen. Dieser Bericht ist zugleich ein Nachweis im Sinne der Rechenschaftspflicht.
Dazu gehören die Pflege des Datenschutzmanagementsystems, Schulungen sowie die Mitteilung unserer Kontaktdaten an die Aufsichtsbehörde und die Vorlage für deren Veröffentlichung – beides schreibt die Verordnung dem Unternehmen vor (Art. 37 Abs. 7 DSGVO).
Weshalb Erfahrung hier zählt
Die Fehler entstehen selten dort, wo man sie erwartet. Ein Datenschutzproblem beginnt heute meist nicht mit einem großen Vorhaben, sondern mit einem Häkchen: ein Assistent, der Besprechungen mitschreibt, eine Übersetzungsfunktion im Postfach, eine neue Auswertung im Kundensystem. Niemand meldet das an, weil es kein Projekt ist – und doch werden ab diesem Moment personenbezogene Daten verarbeitet.
Bei neuen Dienstleistern liegt es ähnlich. Entscheidend ist selten der Anbieter selbst, sondern was eine Ebene darunter steht: welche Unterauftragsverarbeiter er sich vorbehält, ob Eingaben protokolliert oder zur Verbesserung des Dienstes genutzt werden, wie lange gespeichert wird, wo der Support sitzt und was „Hosting in der EU“ im Kleingedruckten tatsächlich umfasst. Solche Stellen findet man nicht mit einer Prüfliste, sondern weil man schon gesehen hat, wie eine solche Klausel im Ernstfall wirkt.
Mit künstlicher Intelligenz ist diese Arbeit wichtiger geworden. Sie bringt Verarbeitungen in Abläufe, in denen vorher keine waren, und sie erzeugt Dokumentation, die überzeugend klingt und nichts Wirkliches beschreibt. Ein Verzeichnis, das sprachlich einwandfrei ist und die Verhältnisse im Haus verfehlt, ist schlechter als keines, weil es alle Beteiligten beruhigt, bis jemand nachfragt.
Wir setzen KI dort ein, wo sie trägt. Den Blick für das, was im Einzelfall tatsächlich geschieht, ersetzt sie nicht – der kommt aus Mandaten seit 2008 und daraus, schon einmal erlebt zu haben, wie ein Detail später zum Problem wird.
Unabhängigkeit und Verschwiegenheit
Der Datenschutzbeauftragte ist bei der Erfüllung seiner Aufgaben an keine Weisungen gebunden und berichtet unmittelbar der höchsten Leitungsebene (Art. 38 Abs. 3 DSGVO). Das ist kein Zugeständnis an uns, sondern die Voraussetzung dafür, dass die Funktion etwas wert ist – eine Überwachung, der man ihr Ergebnis vorgeben kann, ist keine.
Verschwiegenheit gehört zum Amt (Art. 38 Abs. 5 DSGVO). Was wir in einem Mandat erfahren, bleibt dort.
Übernahme eines laufenden Mandats
Ein Wechsel ist in der Regel unaufgeregt. Laufzeiten und – bei einem intern benannten Beauftragten – der besondere Abberufungsschutz sind zu beachten; wir klären das vorab mit Ihnen. Dann sichten wir die vorhandene Dokumentation, benennen, was fehlt, und übernehmen, was trägt. Bestehende Strukturen werden nicht ersetzt, weil sie von jemand anderem stammen.
Das erste Gespräch
Ob eine Bestellpflicht besteht, was die Aufgabe in Ihrem Haus bedeutet und wie der Einstieg aussieht, klären wir in einem Gespräch. Das erste ist kostenfrei und unverbindlich.