Zum Inhalt springen

Juli 12, 2012

Irr­tü­mer im Daten­schutz (Teil 2): Ein Daten­schutz­be­auf­trag­ter ist zu teu­er und daher kann auf die Bestel­lung ver­zich­tet werden

Irr­tü­mer im Daten­schutz (Teil 2)

Wei­ter geht es mit dem zwei­ten Teil der Serie “Irr­tü­mer im Daten­schutz”. Nicht aus­zu­rot­ten ist ein Gerücht, auf das ich im Rah­men von zahl­rei­chen Bera­tungs­ge­sprä­chen immer wie­der sto­ße. Hier wird argu­men­tiert, auf die Bestel­lung eines gesetz­lich vor­ge­schrie­be­nen Daten­schutz­be­auf­trag­ten kann ver­zich­tet wer­den, wenn die dafür anfal­len­den Kos­ten für das Unter­neh­men nicht zumut­bar sind.

Was sagt das Bun­des­da­ten­schutz­ge­setz (BDSG) dazu?

Die gesetz­li­che Bestell­pflicht für einen Daten­schutz­be­auf­trag­ten regelt § 4f Absatz 1 Beauf­trag­ter für den Daten­schutz BDSG.

(1) Öffent­li­che und nicht-öffent­li­che Stel­len, die per­so­nen­be­zo­ge­ne Daten auto­ma­ti­siert ver­ar­bei­ten, haben einen Beauf­trag­ten für den Daten­schutz schrift­lich zu bestel­len. Nicht-öffent­li­che Stel­len sind hier­zu spä­tes­tens inner­halb eines Monats nach Auf­nah­me ihrer Tätig­keit verpflichtet.

Wei­ter führt § 4f BDSG aus

Die Sät­ze 1 und 2 gel­ten nicht für die nicht­öf­fent­li­chen Stel­len, die in der Regel höchs­tens neun Per­so­nen stän­dig mit der auto­ma­ti­sier­ten Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten beschäftigen.

Damit ist klar defi­niert: Unter­neh­men mit mehr als 9 Mit­ar­bei­tern, die mit­tels EDV mit per­so­nen­be­zo­ge­nen Daten zu tun haben, sind gesetz­lich zur Bestel­lung eines Daten­schutz­be­auf­trag­ten ver­pflich­tet — und zwar bis spä­tes­tens 4 Wochen nach Auf­nah­me der Geschäftstätigkeit.

Zumut­bar­keit?

Von einer Zumut­bar­keit ist an die­ser Stel­le nicht die Rede. Im Gegen­teil! § 4f Absatz 1 BDSG führt sogar noch wei­te­re Ver­pflich­tungs­kri­te­ri­en an:

Soweit auf­grund der Struk­tur einer öffent­li­chen Stel­le erfor­der­lich, genügt die Bestel­lung eines Beauf­trag­ten für den Daten­schutz für meh­re­re Berei­che. Soweit nicht-öffent­li­che Stel­len auto­ma­ti­sier­te Ver­ar­bei­tun­gen vor­neh­men, die einer Vor­ab­kon­trol­le unter­lie­gen, oder per­so­nen­be­zo­ge­ne Daten geschäfts­mä­ßig zum Zweck der Über­mitt­lung, der anony­mi­sier­ten Über­mitt­lung oder für Zwe­cke der Markt- oder Mei­nungs­for­schung auto­ma­ti­siert ver­ar­bei­ten, haben sie unab­hän­gig von der Anzahl der mit der auto­ma­ti­sier­ten Ver­ar­bei­tung beschäf­tig­ten Per­so­nen einen Beauf­trag­ten für den Daten­schutz zu bestellen.

Auch hier ist kei­ne Rede von einer Zumut­bar­keit für Unter­neh­men. Bestell­pflicht ist Bestell­pflicht! Jedoch gestat­tet der Gesetz­ge­ber mit § 4f Absatz 2 BDSG eine exter­ne Bestellung:

Zum Beauf­trag­ten für den Daten­schutz kann auch eine Per­son außer­halb der ver­ant­wort­li­chen Stel­le bestellt wer­den; die Kon­trol­le erstreckt sich auch auf per­so­nen­be­zo­ge­ne Daten, die einem Berufs- oder beson­de­ren Amts­ge­heim­nis, ins­be­son­de­re dem Steu­er­ge­heim­nis nach § 30 der Abga­ben­ord­nung, unterliegen

Die­se Mög­lich­keit bie­tet gera­de klei­nen und mitt­le­ren mit­tel­stän­di­schen Unter­neh­men ein hohes Maß an Fle­xi­bi­li­tät, Kos­ten­trans­pa­renz und auch Ein­spar­po­ten­ti­al. Denn die Bestel­lung eines exter­nen Daten­schutz­be­auf­trag­ten bringt zahl­rei­che Vor­tei­le für ein Unter­neh­men mit sich.

Die Vor­tei­le des exter­nen Datenschutzbeauftragten

Ein intern bestell­ter Daten­schutz­be­auf­trag­ter ist nicht wei­sungs­ge­bun­den und frei in sei­ner Zeit­ein­tei­lung. Er genießt einen erwei­ter­ten Kün­di­gungs­schutz und kann nicht ein­fach so abbe­ru­fen wer­den. Gleich­zei­tig trägt das Unter­neh­men die Kos­ten für Aus- und Wei­ter­bil­dung (die­se ist gesetz­lich vor­ge­schrie­ben) und muss Raum und Mate­ri­al zur Ver­fü­gung stel­len. Ein inter­ner Daten­schutz­be­auf­trag­ter bringt kei­nen Ver­si­che­rungs­schutz mit sich. Kos­ten­trans­pa­renz und Kos­ten­kon­trol­le Fehlanzeige!

Bestel­len Sie jedoch einen exter­nen Daten­schutz­be­auf­trag­ten, lie­gen die Vor­tei­le klar auf der Hand. Die­ser Exter­ne arbei­tet im Rah­men eines Pro­jekt­auf­trags. Die Kos­ten sind trans­pa­rent und über­schau­bar. Sei­ne Bestel­lung kann wider­ru­fen wer­den, beson­de­ren Kün­di­gungs­schutz kennt ein exter­ner Ver­trag nicht. Die Kos­ten für sei­ne Aus- und Wei­ter­bil­dung trägt der Exter­ne selbst, eben­so wie für die not­wen­di­ge Aus­stat­tung mit Soft­ware (Lizen­zen), Lite­ra­tur und sein Büro. Ein exter­ner Daten­schutz­be­auf­trag­ter ver­fügt über aus­rei­chen­den Ver­si­che­rungs­schutz, wel­cher sich auf sei­ne Tätig­keit für das Unter­neh­men erstreckt (las­sen Sie sich die­se stets nach­wei­sen!!). Ziel­kon­flik­te sind durch die Aus­glie­de­rung kein The­ma. Als Sah­ne­häub­chen erhält Ihr Unter­neh­men Zugriff auf des­sen bran­chen­über­grei­fen­des Know How.

Wer nicht, zu spät oder pro for­ma bestellt, setzt sich einem erheb­li­chen Buß­geld­ri­si­ko bis 50.000 Euro aus.

Über­zeugt? Dann ver­ein­ba­ren Sie doch gleich in unver­bind­li­ches und kos­ten­lo­ses Erstberatungsgespräch!

[vfb id=3]

 

Lesen Sie hier die ande­ren Tei­le der Serie “Irr­tü­mer im Datenschutz”:

 

Irr­tü­mer im Daten­schutz (Teil 1): Daten­schutz betrifft mein Unter­neh­men nicht

Irr­tü­mer im Datenschutz

Will­kom­men zum ers­ten Teil unse­rer Serie “Irr­tü­mer im Daten­schutz”. Daten­schutz ist in aller Mun­de, doch kaum jemand kennt das dahin­ter­ste­hen­de Bun­des­da­ten­schutz­ge­setz (BDSG). Dabei ist das Daten­schutz­ge­setz auf Bun­des­ebe­ne nicht mehr das Jüngs­te, exis­tiert es doch bereits seit 1977.

Erstaun­li­cher­wei­se herrscht über das The­ma Daten­schutz in der Pra­xis meist ein risi­ko­rei­ches Halb­wis­sen. Die Exis­tenz oder die Inhal­te des BDSG sind sel­ten kon­kret bekannt, Auf­klä­rung sei­tens des Gesetz­ge­bers zu die­sem The­ma erfolgt bedau­er­li­cher­wei­se eben­falls kei­ne. Unter­neh­men und Unter­neh­mer sind auf sich allei­ne gestellt, wenn es um die recht­li­che Aus­ein­an­der­set­zung mit dem The­ma Daten­schutz und des­sen kon­kre­te (vor­ge­schrie­be­nen) Maß­nah­men im Betrieb geht. Was Wun­der, wenn Daten­schutz im Tages­ge­schäft einen gerin­gen Stel­len­wert einnimmt.

Es kann teu­er werden

Im Jahr 2009  hat der Gesetz­ge­ber die Stra­fen und Sank­tio­nen für Nicht­ein­hal­tung der gesetz­li­chen Daten­schutz­vor­schrif­ten durch Unter­neh­men ver­schärft. Kon­kret wer­den die­se in § 43 BDSG Buß­geld­vor­schrif­ten und § 44 BDSG Straf­vor­schrif­ten ähn­lich dem aus der Stra­ßen­ver­kehrs­ord­nung bekann­ten Buß­geld­ka­ta­log auf­ge­lis­tet. Neben Auf­la­gen durch die Lan­des­da­ten­schutz­be­hör­den kön­nen Unter­neh­mer und Unter­neh­men schnell einem Buß­geld­ri­si­ko von bis zu 300.000 Euro aus­ge­setzt sein — und das sogar ganz ohne Daten­pan­ne. Unwis­sen­heit schützt auch hier vor Stra­fe nicht.

“Daten­schutz und Daten­schutz­ge­setz betref­fen mein Unter­neh­men über­haupt nicht”

Weit gefehlt, denn in jedem Unter­neh­men wird für gewöhn­lich mit per­so­nen­be­zo­ge­ne Daten han­tiert (der Gesetz­ge­ber spricht von Erhe­ben, Ver­ar­bei­ten und Nut­zen). Sind es nicht die Daten von Kun­den und Geschäfts­part­nern, so exis­tie­ren doch zumeist noch Mit­ar­bei­ter­da­ten im Unter­neh­men — und die­se gel­ten recht­lich als “sen­si­tiv” und damit beson­ders schüt­zens­wert. Doch schau­en wir auf das Bundesdatenschutzgesetz:

Bereits § 1 BDSG Zweck und Anwen­dungs­be­reich des Geset­zes macht klar, was das Daten­schutz­ge­setz schützt und wen es betrifft.

(1) Zweck die­ses Geset­zes ist es, den Ein­zel­nen davor zu schüt­zen, dass er durch den Umgang mit sei­nen per­so­nen­be­zo­ge­nen Daten in sei­nem Per­sön­lich­keits­recht beein­träch­tigt wird.

(2) Die­ses Gesetz gilt für die Erhe­bung, Ver­ar­bei­tung und Nut­zung per­so­nen­be­zo­ge­ner Daten durch

3. nicht-öffent­li­che Stel­len, soweit sie die Daten unter Ein­satz von Daten­ver­ar­bei­tungs­an­la­gen ver­ar­bei­ten, nut­zen oder dafür erhe­ben oder die Daten in oder aus nicht auto­ma­ti­sier­ten Datei­en ver­ar­bei­ten, nut­zen oder dafür erhe­ben, es sei denn, die Erhe­bung, Ver­ar­bei­tung oder Nut­zung der Daten erfolgt aus­schließ­lich für per­sön­li­che oder fami­liä­re Tätigkeiten.

Betrach­ten wir die Defi­ni­ti­on nicht-öffent­li­cher Stellen:

§ 2 Öffent­li­che und nicht-öffent­li­che Stellen

(4) Nicht-öffent­li­che Stel­len sind natür­li­che und juris­ti­sche Per­so­nen, Gesell­schaf­ten und ande­re Per­so­nen­ver­ei­ni­gun­gen des pri­va­ten Rechts, soweit sie nicht unter die Absät­ze 1 bis 3 fal­len. Nimmt eine nicht-öffent­li­che Stel­le hoheit­li­che Auf­ga­ben der öffent­li­chen Ver­wal­tung wahr, ist sie inso­weit öffent­li­che Stel­le im Sin­ne die­ses Gesetzes.

Somit ist klar, die Annah­me “Daten­schutz und Daten­schutz­ge­setz betref­fen mein Unter­neh­men über­haupt nicht” gehört ins Reich der Mythen und Irr­tü­mer! Soll­ten Sie bis­her mit Ihrem Unter­neh­men (auch als Ein-Mann-Betrieb) nach die­ser Fehl­ein­schät­zung agiert haben, lohnt ein Blick in § 43 ff BDSG zwecks Iden­ti­fi­ka­ti­on der Buß­geld­ri­si­ken, denen Sie sich und Ihrem Unter­neh­men aus­ge­setzt haben.

Licht am Horizont

Bevor Sie sich nun selbst in die juris­ti­schen Untie­fen des Bun­des­da­ten­schutz­ge­set­zes stür­zen und Akti­vi­tä­ten ent­wi­ckeln, fra­gen Sie ein­fach den Fach­mann — a.s.k. Daten­schutz. Mit­tels stan­dar­di­sier­ter Prüf- und Audi­tie­rungs­ver­fah­ren iden­ti­fi­zie­ren wir gemein­sam mit Ihnen schnell, unbü­ro­kra­tisch und zuver­läs­sig die not­wen­di­gen Maß­nah­men, die für eine geset­zes­kon­for­me Umset­zung des Daten­schut­zes in Ihrem Unter­neh­men sor­gen. Selbst­ver­ständ­lich unter­stüt­zen wir Sie eben­falls aktiv bei der inter­nen Umset­zung und betreu­en Sie im Anschluß als sog. exter­ner Daten­schutz­be­auf­trag­ter, wenn die Über­prü­fung das Vor­lie­gen einer Bestell­pflicht ergibt.

Ver­trau­en Sie lang­jäh­ri­ger Erfah­rung aus der bun­des­wei­ten Bera­tung und Betreu­ung klei­ner und gro­ßer Unter­neh­men aus den unter­schied­lichs­ten Bran­chen und pro­fi­tie­ren Sie von die­sem über­grei­fen­den Know-How.

Nut­zen Sie ein­fach unse­ren Rück­ruf-Ser­vice, wir mel­den uns garan­tiert! Oder for­dern Sie doch gleich Ihr unver­bind­li­ches Ange­bot für einen exter­nen Daten­schutz­be­auf­trag­ten an.


Lesen Sie hier die ande­ren Tei­le der Serie “Irr­tü­mer im Datenschutz”:

 

 

Bild­nach­weis: about​pi​xel​.de /​ Dead End © Nacht­schreck

Die mobile Version verlassen