Datenschutzberatung für Unternehmen

Was bedeutet „externer Datenschutzbeauftragter“ rechtlich?

Die DSGVO verpflichtet in Art. 37 bestimmte Unternehmen zur Benennung eines Datenschutzbeauftragten (DSB). In Deutschland gilt nach §38 BDSG zusätzlich: Sobald mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, ist ein DSB Pflicht. Der DSB kann intern bestellt oder extern beauftragt werden.

Als externer DSB übernehmen wir sämtliche Aufgaben, die Art. 39 DSGVO dem Datenschutzbeauftragten zuweist: Unterrichtung und Beratung des Verantwortlichen, Überwachung der Einhaltung der DSGVO, Beratung bei der Datenschutzfolgenabschätzung, Zusammenarbeit mit der Aufsichtsbehörde und die Funktion als Anlaufstelle für betroffene Personen.

Vorteile gegenüber einem internen DSB

Ein interner DSB genießt nach §38 Abs. 2 i.V.m. §6 Abs. 4 BDSG einen besonderen Kündigungsschutz. Dieser besteht während der Bestellung und ein Jahr nach der Abberufung. Das macht die interne Lösung unflexibel. Bei einem externen DSB entfällt dieser Kündigungsschutz vollständig, da es sich um ein Dienstvertragsverhältnis handelt.

Darüber hinaus vermeidet ein externer DSB Interessenkonflikte, die Art. 38 Abs. 6 DSGVO ausdrücklich untersagt. Geschäftsführer, IT-Leiter, Personalverantwortliche und Marketingleiter können wegen inhärenter Rollenkonflikte nicht als DSB bestellt werden. Ein externer Beauftragter ist per Definition frei von solchen Konflikten.

Hinzu kommt: Ein externer DSB bringt Erfahrung aus zahlreichen Mandaten und Branchen mit. Dieses breit gefächerte Wissen fließt direkt in die Beratung Ihres Unternehmens ein.

Wie sieht die tägliche Arbeit aus?

Als Ihr externer DSB sind wir fester Bestandteil Ihrer Organisation. Konkret bedeutet das: regelmäßige Beratungsgespräche mit der Geschäftsleitung, Prüfung neuer Verarbeitungstätigkeiten vor der Einführung, Bewertung von Auftragsverarbeitungsverträgen (AVV), Unterstützung bei Betroffenenanfragen und die laufende Aktualisierung Ihrer Datenschutzdokumentation.

Wir sind per Telefon und E-Mail erreichbar, führen die jährliche Datenschutzprüfung per Videokonferenz durch und stehen bei Datenpannen sofort zur Verfügung. Die Benennung gegenüber der Aufsichtsbehörde und die Veröffentlichung der Kontaktdaten gemäß Art. 37 Abs. 7 DSGVO übernehmen wir ebenfalls.

Was muss im VVT stehen?

Art. 30 Abs. 1 DSGVO definiert den Mindestinhalt des Verzeichnisses von Verarbeitungstätigkeiten. Für jede Verarbeitung müssen dokumentiert werden: Name und Kontaktdaten des Verantwortlichen und ggf. des DSB, die Zwecke der Verarbeitung, eine Beschreibung der Kategorien betroffener Personen und Datenkategorien, die Kategorien von Empfängern (auch in Drittländern), geplante Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 Abs. 1 DSGVO.

In der Praxis umfasst ein gut geführtes VVT je nach Unternehmensgröße zwischen 15 und über 100 einzelne Verarbeitungstätigkeiten, von der Lohnbuchhaltung über das CRM bis zum Website-Tracking.

Warum betrifft die Pflicht nahezu jedes Unternehmen?

Art. 30 Abs. 5 DSGVO enthält zwar eine Ausnahme für Unternehmen mit weniger als 250 Beschäftigten. Diese Ausnahme greift jedoch nur, wenn die Verarbeitung kein Risiko für Betroffene birgt, nur gelegentlich erfolgt und keine besonderen Datenkategorien nach Art. 9 oder Art. 10 DSGVO betrifft.

In der Realität erfüllt praktisch kein Unternehmen alle drei Bedingungen gleichzeitig. Bereits eine regelmäßige Lohnabrechnung, ein Newsletter-Versand oder eine Kundendatenbank macht die Verarbeitung „nicht nur gelegentlich“. Die Aufsichtsbehörden stellen deshalb klar: Nahezu jedes Unternehmen muss ein VVT führen.

Wie erstellen und pflegen wir Ihr VVT?

Wir beginnen mit einer systematischen Bestandsaufnahme. In Interviews mit allen relevanten Abteilungen erfassen wir jede Verarbeitungstätigkeit, identifizieren die Rechtsgrundlage (Art. 6 DSGVO) und dokumentieren Datenflüsse, Empfänger und Löschfristen.

Anschließend überführen wir alles in ein strukturiertes, digitales Verzeichnis. Dieses ist jederzeit vorlagefähig, falls die Aufsichtsbehörde eine Einsicht nach Art. 30 Abs. 4 DSGVO verlangt. Die laufende Pflege stellen wir sicher, indem wir bei jeder Änderung Ihrer Prozesse, neuen Tools oder neuen Geschäftsfeldern das VVT aktualisieren.