{"id":4674,"date":"2021-04-26T09:00:06","date_gmt":"2021-04-26T07:00:06","guid":{"rendered":"https:\/\/barth-datenschutz.de\/?p=4674"},"modified":"2022-03-02T10:27:28","modified_gmt":"2022-03-02T09:27:28","slug":"datenschutzbeauftragter-extern-oder-intern-fallbeispiel","status":"publish","type":"post","link":"https:\/\/barth-datenschutz.de\/blog\/datenschutzbeauftragter-extern-oder-intern-fallbeispiel\/","title":{"rendered":"Datenschutzbeauftragter: Extern oder intern? Ein Fallbeispiel"},"content":{"rendered":"

Das Inkrafttreten der DSGVO im Mai 2018 sorgte f\u00fcr breite mediale Aufmerksamkeit \u2013 und viel Verunsicherung bei Unternehmen aller Branchen. Neue bzw. \u00fcberarbeitete Regeln zum Umgang mit personenbezogenen Daten von Kunden, Webseitenbesuchern und Mitarbeitern bedeuteten auch: neue Aufgaben. Datenschutzbeauftragte<\/a> mussten nun her. Auch das Unternehmen in diesem Fallbeispiel, das ich sp\u00e4ter als externer Datenschutzbeauftragter beriet, wusste das.<\/p>\n

Eine knappe Weiterbildung zur Datenschutzbeauftragten sollte ausreichen<\/h2>\n

Die Frage, ob es ein externer oder interner Datenschutzbeauftragter sein soll, war schnell beantwortet. Das Autohaus entschloss sich, eine bereits eingestellte Mitarbeiterin zur internen Datenschutzbeauftragten weiterzubilden. Besagte Mitarbeiterin absolvierte dazu eine f\u00fcnft\u00e4gige T\u00dcV-Ausbildung und begann anschlie\u00dfend mit der Umsetzung der neuen Datenschutzma\u00dfnahmen. Sobald das Thema Datenschutz nach 2018 an medialer Aufmerksamkeit verlor, wurde es auch im Autohaus einige Stufen tiefer einsortiert und verlor sich im Alltagsgesch\u00e4ft. Eine umfassendere Weiterbildung der internen Datenschutzbeauftragten stand nicht mehr im Fokus. F\u00fcr die n\u00e4chsten zwei Jahre lief dennoch alles gut \u2013 bis ein Werkstattkunde kam, der das Autohaus auf eine Nervenprobe stellte.<\/p>\n

Aus einer einfachen Datenauskunfts-Anfrage wurde fast ein Bu\u00dfgeld<\/h2>\n

Der Kunde stellte eine Datenschutzanfrage nach Artikel 15 DSGVO<\/a>, der besagt:<\/p>\n

\u201eDie betroffene Person hat das Recht, von dem Verantwortlichen eine Best\u00e4tigung dar\u00fcber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden<\/strong>; ist dies der Fall, so hat sie ein Recht auf Auskunft \u00fcber diese personenbezogenen Daten<\/strong> und auf folgende Informationen:<\/p>\n

    \n
  1. die Verarbeitungszwecke<\/strong>;<\/li>\n
  2. die Kategorien<\/strong> personenbezogener Daten<\/a>, die verarbeitet werden;<\/li>\n
  3. die Empf\u00e4nger oder Kategorien von Empf\u00e4ngern<\/strong>, gegen\u00fcber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, [\u2026]<\/li>\n
  4. falls m\u00f6glich die geplante Dauer<\/strong>, f\u00fcr die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht m\u00f6glich ist, die Kriterien f\u00fcr die Festlegung dieser Dauer<\/strong>;<\/li>\n
  5. das Bestehen eines Rechts auf Berichtigung oder L\u00f6schung<\/strong> der sie betreffenden personenbezogenen Daten oder auf Einschr\u00e4nkung der Verarbeitun<\/strong>g durch den Verantwortlichen oder eines Widerspruchsrechts<\/strong> gegen diese Verarbeitung;<\/li>\n
  6. das Bestehen eines Beschwerderechts<\/strong> bei einer Aufsichtsbeh\u00f6rde;<\/li>\n
  7. wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verf\u00fcgbaren Informationen \u00fcber die Herkunft der Daten<\/strong>;<\/li>\n
  8. das Bestehen einer automatisierten Entscheidungsfindung einschlie\u00dflich Profiling [\u2026] und [\u2026] aussagekr\u00e4ftige Informationen \u00fcber die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung f\u00fcr die betroffene Person.<\/strong>\u201c<\/li>\n<\/ol>\n

    Au\u00dferdem widersprach er gem\u00e4\u00df Artikel 21 DSGVO einer weiteren Verarbeitung seiner Daten.<\/p>\n

    Gut gemeint ist noch lange nicht gut gemacht<\/h2>\n

    Die interne Datenschutzbeauftragte des Autohauses reagierte zwar darauf \u2013 jedoch nicht so, wie es richtig gewesen w\u00e4re. Der Kunde ging daraufhin den harten Weg und reichte Beschwerde beim Landesdatenschutzbeauftragten ein. Dieser forderte eine Anh\u00f6rung, setzte dem Autohaus Fristen und wies auf das Bu\u00dfgeld hin, welches bei Nichteinhalten der Forderungen droht. Bei schweren Datenschutz-Verst\u00f6\u00dfen kann dieses Bu\u00dfgeld H\u00f6hen von bis zu 20 Millionen Euro erreichen.<\/p>\n

    Die interne Datenschutzbeauftragte sah sich der Situation nun immer weniger gewachsen. Das Anschreiben des Landesdatenschutzbeauftragten beantwortete sie eher ung\u00fcnstig und verschlimmerte die Situation damit nur. Mittlerweile stand die Aufsichtsbeh\u00f6rde auf dem Plan. Das Autohaus beschloss, mich als externen Datenschutzbeauftragten zu konsultieren, um sozusagen das bereits lichterloh brennende Haus noch zu l\u00f6schen. Ich verfasste daraufhin einen kl\u00e4renden Brief an die Aufsichtsbeh\u00f6rde und sandte dem ehemaligen Kunden sauber aufgef\u00fchrt die angeforderten Informationen nach Artikel 15 DSGVO zu. Die Situation konnte somit schnell zur Zufriedenheit aller gekl\u00e4rt werden \u2013 ohne Bu\u00dfgeld f\u00fcr den Verantwortlichen.<\/p>\n

    Externer oder interner Datenschutzbeauftragter? Sehen Sie dieses Fallbeispiel als Entscheidungshilfe<\/h2>\n

    Das riesige Chaos h\u00e4tte das Autohaus leicht vermeiden k\u00f6nnen, wenn es mehr in die Ausbildung seiner internen Datenschutzbeauftragten investiert oder gleich einen externen Datenschutzbeauftragten berufen h\u00e4tte. Datenschutz ist ein komplexes Thema, das st\u00e4ndig \u00c4nderungen durch neue Urteile erf\u00e4hrt. Ein externer oder interner Datenschutzbeauftragter muss darauf ein Auge behalten und sich entsprechend weiterbilden.<\/p>\n

    Doch wer zum internen Datenschutzbeauftragten berufen wird, hat nebenbei noch andere Aufgaben des Tagesgesch\u00e4fts zu erledigen. Folglich bleibt wenig Zeit f\u00fcr Weiterbildung und der Fokus kann nicht allein auf den Datenschutz gelegt werden. Solange keine gro\u00dfen Probleme auftreten, mag das ausreichen. Doch wie im Fallbeispiel zu sehen, kann das bei Belastungsproben schnell zu Fehlern f\u00fchren. Die kosten \u2013 und zwar Sie als Unternehmer. Denn wer sich fragt, ob es ein externer oder interner Datenschutzbeauftragter sein soll, muss wissen: Bei einem internen Datenschutzbeauftragten haftet der Arbeitgeber. Entsprechend fallen Datenpannen und Bu\u00dfgelder<\/a> auf ihn zur\u00fcck.<\/p>\n

    Ein weiterer Faktor kommt hinzu: Internen Datenschutzbeauftragten fehlt oftmals die Erfahrung im Umgang mit Beh\u00f6rden. Auch das zeigte sich im Fallbeispiel: Die interne Beauftragte verschlimmerte die Situation durch die mangelhafte Antwort an den Landesdatenschutzbeauftragten nur. F\u00fcr einen externen Datenschutzbeauftragten, der tagt\u00e4glich in den verschiedensten Branchen Kontakt mit Beh\u00f6rden hat, ist das Alltag. Entsprechend kann er Fehler von vornherein ausschlie\u00dfen bzw. die Lage schnell retten, wenn es doch einmal zu einer Panne kommt.<\/p>\n

    Mein Fazit lautet: \u00dcberlegen Sie bei der Entscheidung zwischen externem oder internem Datenschutzbeauftragten lieber zwei Mal!<\/h2>\n

    Auf den ersten Blick mag es die wirtschaftlich kl\u00fcgere Wahl sein, eine bereits angestellte Person mit dem Datenschutz zu beauftragen. Schlie\u00dflich kennt die sich schon im Unternehmen aus und es entfallen die Kosten f\u00fcr einen weiteren \u201eMitarbeiter\u201c. Von diesem Gedankengang m\u00f6chte ich Ihnen abraten, wenn Sie sich zwischen einem externen und internen Datenschutzbeauftragten entscheiden m\u00fcssen. Sowohl aus finanzieller als auch als datenschutzrechtlicher Sicht hebt sich der externe Partner deutlich vom weitergebildeten Mitarbeiter ab. Ich empfehle Ihnen f\u00fcr mehr Informationen noch folgende meiner Beitr\u00e4ge:<\/p>\n