GDPR Tipps: Wer und Wann MUSS einen Datenschutzbeauftragten ernennen

Die Tatsache, dass Ihre Organisation personenbezogene Daten erhebt, verarbeitet und archiviert, bedeutet nicht zwangsläufig, dass Sie verpflichtet sind, einen Datenschutzbeauftragten (DSB) zu ernennen. In der Praxis ist dies ein weit verbreitetes Missverständnis, ebenso wie der Glaube, dass das einzige Kriterium die Anzahl der Mitarbeiter ist. Bevor Sie eine Entscheidung über die Ernennung treffen, ist es wichtig, eine gründliche Analyse basierend auf den festgelegten Kriterien durchzuführen, die Ihnen konkretere Informationen darüber liefert, ob Sie verpflichtet sind, einen zu ernennen oder nicht.

Die Beschreibung der Pflichten und Verantwortlichkeiten des DSB ist nicht trivial, daher ist es nützlich, die Richtlinien der Europäischen Kommission zu berücksichtigen, die darauf hinweisen, dass der DSB den Verantwortlichen oder Auftragsverarbeiter in allen Angelegenheiten zum Schutz personenbezogener Daten unterstützt, mit besonderem Fokus auf:

• Information und Beratung des Verantwortlichen oder Auftragsverarbeiters und ihrer Mitarbeiter über ihre Verpflichtungen gemäß der Verordnung und begleitenden nationalen Gesetzgebung im Zusammenhang mit der Verarbeitung personenbezogener Daten, einschließlich Audits
• Aktivitäten zur Sensibilisierung und Schulung des Personals, das an Verfahren zur Verarbeitung personenbezogener Daten beteiligt ist,
• Beratung zu Datenschutz-Folgenabschätzungen und Überwachung ihrer Umsetzung,
• als Ansprechpartner für Anfragen von Personen bezüglich der Verarbeitung ihrer personenbezogenen Daten und der Ausübung ihrer gesetzlichen Rechte zu fungieren,
• Zusammenarbeit mit Aufsichtsbehörden.

Der DSB muss rechtzeitig in alle Prozesse, die in seinen Verantwortungsbereich fallen, einbezogen werden und darf keine Weisungen vom Verantwortlichen oder Auftragsverarbeiter bezüglich der Ausführung seiner Aufgaben erhalten, und er berichtet direkt an die höchste Managementebene der Organisation. Die Grundlage für die Bewertung der Verpflichtung zur Ernennung sollte eine gründliche Analyse der Kriterien und des bestehenden Zustands innerhalb Ihrer Organisation in Bezug auf die Begriffe „Kernaktivität“, „großangelegte Verarbeitung“ und „regelmäßige und systematische Überwachung“ sein.

Ich übermittle Teile der Stellungnahme der Datenschutzbehörde (AZOP) und der offiziellen Richtlinien WP29 in Bezug auf die Kriterien und die Verpflichtung zur Ernennung eines DSB, damit Sie leichter zu dem Schluss kommen können, ob Sie verpflichtet sind, einen zu ernennen.

Artikel 37(1) der GDPR besagt, dass der Verantwortliche und der Auftragsverarbeiter in jedem Fall einen Datenschutzbeauftragten ernennen müssen, wenn:

1. die Verarbeitung durch eine öffentliche Behörde oder Stelle erfolgt, mit Ausnahme von Gerichten, die in ihrer richterlichen Funktion handeln,
2. die Kernaktivitäten des Verantwortlichen oder Auftragsverarbeiters aus Verarbeitungsoperationen bestehen, die aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine regelmäßige und systematische Überwachung der betroffenen Personen in großem Umfang erfordern, oder
3. die Kernaktivitäten des Verantwortlichen oder Auftragsverarbeiters aus großangelegter Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 und personenbezogenen Daten im Zusammenhang mit strafrechtlichen Verurteilungen und Straftaten gemäß Artikel 10 bestehen.

Daher ist der Verantwortliche oder Auftragsverarbeiter unabhängig von der Anzahl der Mitarbeiter verpflichtet, einen DSB zu ernennen, wenn eine der oben genannten Bedingungen erfüllt ist.

In Übereinstimmung mit den Empfehlungen aus den WP29-Richtlinien ist die Analyse, die Sie durchgeführt haben, um die Grundlage für die Verpflichtung zur Ernennung eines DSB zu identifizieren, Teil der Dokumentation, die gemäß dem Prinzip der Zuverlässigkeit gesammelt wurde, und sollte regelmäßig aktualisiert werden, wenn sich die Umstände in den Prozessen im Zusammenhang mit der Verarbeitung personenbezogener Daten in Ihrer Organisation ändern, und die Aufsichtsbehörde kann sie zur Überprüfung während der Aufsicht anfordern. Das Originaldokument in Kroatisch ist hier verfügbar hier.

In den genannten Richtlinien werden die Begriffe „Kernaktivität“, „großangelegte Verarbeitung“ und „regelmäßige und systematische Überwachung“, die in Artikel 1(1) der GDPR erwähnt werden, weiter präzisiert:

• Erwägungsgrund 97 der GDPR besagt: „Die Kernaktivitäten des Verantwortlichen beziehen sich auf seine primären Aktivitäten und stehen nicht in Zusammenhang mit der Verarbeitung personenbezogener Daten als sekundäre Tätigkeit”. Dies impliziert, dass „Kernaktivitäten” Schlüsselprozesse sind, die notwendig sind, um die Ziele des Verantwortlichen oder Auftragsverarbeiters zu erreichen, aber dieser Begriff sollte Aktivitäten nicht ausschließen, bei denen die Datenverarbeitung ein untrennbarer Teil der Aktivitäten des Verantwortlichen oder Auftragsverarbeiters ist. Zum Beispiel könnten im Gesundheitswesen Institutionen wie Krankenhäuser, Gesundheitszentren oder Kliniken, die Gesundheitsversorgung anbieten, ihren Zweck nicht effektiv und sicher erfüllen, ohne Gesundheitsdaten wie beispielsweise Patientenakten zu verarbeiten. Die Verarbeitung solcher Daten ist eine der Kernaktivitäten jeder Gesundheitseinrichtung, und aus diesem Grund sind sie verpflichtet, einen DSB zu ernennen.
• Der Begriff „großangelegte Verarbeitung“ ist in der GDPR nicht definiert, aber Erwägungsgrund 91 der GDPR gibt eine Erklärung des Begriffs im Sinne von „Verarbeitung in großem Umfang, die darauf abzielt, eine erhebliche Menge personenbezogener Daten auf regionaler, nationaler oder supranationaler Ebene zu verarbeiten und die eine große Anzahl von betroffenen Personen betreffen könnte und wahrscheinlich zu einem hohen Risiko führen könnte, beispielsweise aufgrund von Sensibilität, in der, gemäß dem erreichten Stand des technologischen Wissens, neue Technologie in großem Umfang eingesetzt wird, sowie andere Verarbeitungsoperationen, die zu einem hohen Risiko führen.” Der Erwägungsgrund stellt ausdrücklich fest, dass „die Verarbeitung personenbezogener Daten nicht als großangelegt betrachtet werden sollte, wenn sie sich auf personenbezogene Daten von Patienten oder Klienten einzelner Ärzte, Gesundheitsfachkräfte oder Anwälte bezieht.” Zwischen diesen beiden Beispielen gibt es laut WP29 einen großen Graubereich, da dieser Erwägungsgrund auf Datenschutz-Folgenabschätzungen verweist, was bedeutet, dass bestimmte Teile nur in diesem Kontext spezifisch sein können und nicht unbedingt in gleicher Weise auf die Ernennung eines DSB anwendbar sind.
• Der Begriff „regelmäßige und systematische Überwachung der betroffenen Personen” ist in der GDPR nicht definiert, aber Erwägungsgrund 24 erwähnt den Begriff „Überwachung des Verhaltens von betroffenen Personen,” der eindeutig alle Formen der Überwachung und Profilierung im Internet umfasst, einschließlich für Zwecke des Verhaltensmarketings. Der Begriff Überwachung ist nicht auf die Online-Umgebung beschränkt, und die Überwachung im Internet sollte nur als ein Beispiel für die Überwachung des Verhaltens von betroffenen Personen betrachtet werden.

Der Begriff „regelmäßige Überwachung” wird von WP29 auf mindestens eine der folgenden Arten interpretiert:

• Überwachung, die fortlaufend oder in bestimmten Intervallen über einen bestimmten Zeitraum erfolgt,
• Überwachung, die wiederholt durchgeführt wird oder zu einem genau definierten Zeitpunkt erfolgt,
• Überwachung, die kontinuierlich oder periodisch durchgeführt wird.

Der Begriff „systematische Überwachung” wird von WP29 auf mindestens eine der folgenden Arten interpretiert:

• Überwachung, die nach einem bestimmten System durchgeführt wird,
• Überwachung, die zuvor vereinbart, organisiert oder methodisch ist,
• Überwachung, die Teil eines allgemeinen Datenplanungsplans ist,
• Überwachung, die im Rahmen einer Strategie durchgeführt wird.

Beispiele für Aktivitäten, die als regelmäßige und systematische Überwachung von betroffenen Personen betrachtet werden können: Verwaltung eines Telekommunikationsnetzes, Bereitstellung von Telekommunikationsdiensten, Bereitstellung von Informationssystemdiensten, in denen Daten einer großen Anzahl von Gästen (Hotelinformationssysteme) verarbeitet und archiviert werden; Umleitung elektronischer Post, Marketingaktivitäten basierend auf der Nutzung personenbezogener Daten; Erstellung persönlicher Profile und Bewertungen zur Risikobewertung (zum Beispiel zur Beurteilung der Kreditwürdigkeit, zur Festlegung von Versicherungsprämien, zur Betrugsprävention, zur Geldwäschebekämpfung usw.); Standortverfolgung (zum Beispiel durch die Nutzung mobiler Anwendungen); Treueprogramme; Verhaltensmarketing und Profilierung; Überwachung von Daten über den allgemeinen Zustand des Körpers, körperliche Fitness und Gesundheit mithilfe tragbarer Geräte; Videoüberwachung oder Überwachung durch geschlossene Fernsehsysteme (CCTV); Anbieter von Dienstleistungen basierend auf vernetzten Geräten wie Smart Metern, Smart Cars, Hausautomatisierung usw.

Es ist wichtig, einige Informationen aus einer der veröffentlichten Stellungnahmen der AZOP zu betonen, die sich auf die freiwillige Ernennung eines DSB beziehen, d.h. für Fälle, in denen Organisationen sich entscheiden, einen zu ernennen, obwohl sie nicht dazu verpflichtet sind. Wenn Sie sich entscheiden, freiwillig einen DSB zu ernennen, gelten die Anforderungen der Artikel 37, 38 und 39 der GDPR für seine Ernennung, Position und Aufgaben, als ob die Ernennung obligatorisch wäre.

Wenn Sie nicht verpflichtet sind, einen zu ernennen, aber dennoch Mitarbeiter oder externe Berater für Aufgaben im Zusammenhang mit dem Schutz personenbezogener Daten innerhalb Ihrer Organisation beschäftigen – definieren Sie die genauen Punkte bezüglich ihres offiziellen Titels, Status, Position und Aufgaben. Außerdem müssen Sie in allen Mitteilungen innerhalb der Organisation, mit betroffenen Personen und der allgemeinen Öffentlichkeit oder in der Kommunikation mit der Aufsichtsbehörde klar angeben, dass der Jobtitel dieser Person oder des Beraters nicht Datenschutzbeauftragter ist.

Der DSB wird für alle Verarbeitungsoperationen ernannt, die vom Verantwortlichen oder Auftragsverarbeiter durchgeführt werden, unabhängig davon, ob seine Ernennung obligatorisch oder freiwillig war.

—

—