Externer Datenschutzbeauftragter

Was sind personenbezogene Daten?

Gemäß Art. 4 Nr. 1 Datenschutz-Grundverordnung (DSGVO) sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (in der DSGVO „betroffene Person“ genannt) beziehen.

Zwischen der Person und der Information muss somit eine (unmittelbare oder mittelbare) Verbindung herstellbar sein. Beispiele für eine unmittelbare Verbindung sind der Name, das Geburtsdatum oder die Anschrift. Eine mittelbare Verbindung erfordert Zusatzwissen, wie Telefonnummer, IP-Adresse, Sozialversicherungsnummer, Matrikelnummer etc. Alle diese Informationen machen die Identifizierung theoretisch möglich und darauf kommt es an. Allerdings findet die DSGVO nur auf lebende Menschen Anwendung (mit dem Tod erlischt der Datenschutz) und auf natürliche Personen, d. h. für juristische Personen gilt der Schutz nicht. In bestimmten Fällen kann dieser jedoch auf die hinter einer Kapitalgesellschaft oder einem eingetragenen Verein stehende (Einzel-)Person „durchschlagen“. 

Mit Inkrafttreten der DSGVO ist der Schutz personenbezogener Daten verstärkt in den Fokus der öffentlichen Wahrnehmung gerückt, auch weil viele Menschen beruflich und privat häufiger mit datenschutzrechtlichen Regelungen in Kontakt kommen. Am auffälligsten sind da wohl die Datenschutzschutzerklärung und sog. Cookie-Banner auf Websites. 

Doch bereits vor der DSGVO gab es in Deutschland Gesetze über den Datenschutz, insbesondere das Bundesdatenschutzgesetz (BDGS) und die Datenschutzgesetze der Bundesländer, in denen die Datenverarbeitung durch öffentliche Stellen geregelt ist.

Im sog. Volkszählungsurteil von 1983 hat das Bundesverfassungsgericht (BVerfG) festgestellt, dass zum Persönlichkeitsrecht eines Menschen auch die Befugnis gehört, selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu entscheiden (Grundrecht auf informationelle Selbstbestimmung). Der Schutz personenbezogener Daten ist sowohl in der Grundrechtecharta der Europäischen Union (Art. 8) als auch in den Verfassungen der einzelnen Bundesländer in Deutschland festgeschrieben. 

Betroffene Personen haben das Recht (Art. 12-23 DSGVO) von Unternehmen, Organisationen, Behörden etc. Auskunft darüber zu verlangen, welche Daten über sie dort verarbeitet werden, können diese löschen oder berichtigen lassen und der Datenverarbeitung zu widersprechen.

Bestimmte personenbezogene Daten dürfen gar nicht bzw. nur in Ausnahmefällen verarbeitet werden. Diese sog. Art. 9-Daten sind besondere Kategorien von Daten über eine natürliche Person, „aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen“. Zu den besonderen Datenkategorien gehören auch genetische und biometrische Daten, mit denen eine natürliche Person eindeutig identifiziert werden kann, sowie „Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person“ (Art. 9 Abs. 1 DSGVO). Möglich ist die Verarbeitung dieser Daten bspw., wenn die Person für einen festgelegten Zweck in die Datenverarbeitung ausdrücklich eingewilligt hat (siehe auch Art. 9 Abs. 2 DSGVO).
 

Verantwortlicher und Auftragsverarbeiter: Was ist hierunter zu verstehen?

Im Datenschutzrecht tauchen immer wieder die Begriffe Verantwortlicher und Auftragsverarbeiter auf. Diese wichtigen Rollen sind in Art. 4 DSGVO (Begriffsbestimmungen) eindeutig definiert:

• Nach Art. 4 Nr. 7 DSGVO ist ein Verantwortlicher „die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden“.
• Nach Art. 4 Nr. 8 DSGVO ist ein Auftragsverarbeiter „eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet“.

Auftragsverarbeiter ist also, wer im Rahmen eines Auftrages ausschließlich die Anordnung zur Verarbeitung personenbezogener Daten eines anderen ausführt und darüber hinaus keine eigenen Zwecke verfolgt. Dabei gilt: Jeder Auftragsverarbeiter ist ein Auftragnehmer, aber nicht Auftragnehmer ist auch ein Auftragsverarbeiter. 

Es gibt auch die Konstellation der gemeinsamen Veranwortlichkeit (joint controller). In diesem Fall gibt es zwei unterschiedliche Verantwortliche, die bei einer gemeinsamen oder arbeitsteiligen Datenverarbeitung jeweils eigene Ziele verfolgen, wobei einer der beiden Verantwortlichen auch die Daten des anderen verwendet. 

Die DSGVO definiert in Art 4 noch weitere Beteiligte:

• Als Dritter wird „eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten“

Auch ein Dritter kann Verantwortlicher sein. Um zu entscheiden, wer (alles) datenschutzrechtlich verantwortlich ist, müssen also die jeweiligen Umstände der Datenverarbeitung genau betrachtet werden. Entscheidend ist, wer die (Gesamt-)Kontrolle über die Zwecke und die Mittel der Datenverarbeitung hat.
 

Datenschutzrecht – was gehört eigentlich alles dazu?

Datenschutzrecht, das ist mehr als nur ein Gesetz, denn hier spielen verschiedene Ebenen eine Rolle, die wir Ihnen im Folgenden kurz erläutern.

Zunächst natürlich – da übergeordnet – die europäische Ebene: Das Recht der Europäischen Union (EU) gilt in allen Mitgliedstaaten, wobei die jeweiligen Länder auch durchaus noch strengere Regelungen erlassen können. Die wichtigsten rechtlichen Grundlagen zum Datenschutz sind:

• die Charta der Grundrechte der Europäischen Union (hier Art. 8),
• die DSGVO, genauer die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verabeitung personenbezogener Daten, zum freien Verkehr und zur Aufhebung der Richtlinie 95/46/EU (Datenschutz-Grundverordnung),
• die Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG.

In Deutschland gilt auf Bundesebene das Bundesrecht mit u. a. den folgenden Regelungen zum Datenschutz:

• Bundesdatenschutzgesetz (BDSG)
• Telekommunikations-Telemedien-Datenschutz-Gesetz (TTDSG)

Auf der Ebene der Länder hat jedes Bundesland die Regelungen der DSGVO in das landeseigene Datenschutzrecht überführt. Die landesspezifischen Datenschutzrecht regelt, wie Behörden und öffentliche Stellen personenbezogene Daten verarbeiten dürfen. Für die private Wirtschaft gelten die Regelungen der DSGVO, des BDSG sowie ggf. das TTDSG und andere (branchenspezifische) Gesetze. 

Um die Einhaltung dieses Datenschutzrechts kümmern sich auf den drei genannten Ebenen unterschiedliche Behörden:

• EU-Ebene: Der Europäische Datenschutzbeauftragte (EDSB), eine unabhängige Kontrollbehörde der EU mit Sitz in Brüssel, die es seit 2004 gibt und die die Europäische Kommission, das Europäische Parlament und den Rat der Europäischen Union in Fragen zum Schutz personenbezogener Daten berät. Das Amt des Europäischen Datenschutzbeauftragten übt derzeit und noch bis 2024 der polnische Jurist Wojciech Wiewiórowski aus.
• Bundesebene: In Deutschland ist der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) die Aufsichtsbehörde für alle öffentlichen Stellen des Bundes sowie für bestimmte Träger der sozialen Sicherung. Zudem beaufsichtigt der BfDI Unternehmen, die Telekommunikations- oder Postdienstleistungen erbringen. Seit 2019 hat Ulrich Kelber das Amt des Bundesbeauftragten inne.
• Landesebene: Jedes Bundesland ernennt eine*n Beauftragte*n für Datenschutz (und Informationsfreiheit). In Bayern gibt es sogar zwei Aufsichtsbehörden; für den öffentlichen und den nicht-öffentlichen Bereich. Somit sind es insgesamt 17 Beauftragte, die für eine Amtszeit zwischen fünf und acht Jahren gewählt werden und sowohl Anlaufstelle für die Fragen und Beschwerden von Bürger*innen sind als auch als Kontrollinstanz für die Verarbeitung personenbezogener Daten durch Unternehmen, Organisationen und öffentliche Stellen.

Neben den genannten Aufsichtsbehörden gibt es noch weitere Datenschutzbeauftragte bzw. zuständige Stellen für spezielle Bereiche:

• die Datenschutzbeauftragten der Kirchen 
• die Rundfunkdatenschutzbeauftragten
• der Beschwerdeausschuss des Deutschen Presserates (für Beschwerden zum redaktionellen Datenschutz)

Zu guter Letzt ist noch die Datenschutzkonferenz (DSK) zu erwähnen. Dies ist ein Gremium, das sich aus den Datenschutzaufsichtsbehörden des Bundes und der Länder zusammensetzt. Hier finden Verantwortliche, Datenschutzbeauftragte und Interessierte offizielle Entschließungen sowie Kurzpapiere, Orientierungshilfen, Anwendungshinweise und weitere Informationen zum Thema Datenschutz.
 

Was ist bei der Verarbeitung von personenbezogenen Daten zu beachten?

Keine Datenverarbeitung ohne Rechtsgrundlage. Denn, nur weil etwas nicht ausdrücklich verboten ist, ist es noch lange nicht erlaubt. Im Datenschutzrecht gilt das sog. datenschutzrechtliche Verbot mit Erlaubnisvorbehalt. Fällt eine Datenverarbeitung in den Anwendungsbereich der DSGVO, so muss gem. Art. 6 DSGVO eine der folgenden Rechtsgrundlagen gegeben sein:

• eine Einwilligung der betroffenen Person in die Datenverarbeitung (Art. 6 Abs. 1 lit. a DSGVO) liegt vor, oder
• eine andere Rechtsgrundlage ist einschlägig, sodass die Verarbeitung bspw. auf ein berechtigtes Interesse gestützt werden kann.

In der Privatwirtschaft ist die Datenverarbeitung oft erforderlich, um überhaupt Verträge durchführen zu können. Somit liegt hier i. d. R. ein berechtigtes Interesse des Verantwortlichen oder eines Dritten als Rechtsgrundlage vor. Dieses wird dann den Interessen und Grundrechten bzw. Grundfreiheiten der betroffenen Person am Schutz ihrer Daten gegenübergestellt. Um bspw. eine Mitgliedschaft im Fitnessstudio abzuschließen, sind bestimmte personenbezogene Daten der Kund*innen erforderlich. Dabei gilt jedoch der Grundsatz der Datensparsamkeit und ob/in welchem Umfang hier bspw. auch Gesundheitsdaten (Art. 9 DSGVO, besondere Kategorien von personenbezogenen Daten) werden müssen.

Im öffentlichen Bereich (Behörden, Verwaltung o. Ä.) gibt es neben Bundes- und Landesgesetzen auch noch bereichsspezifische Gesetze, auf die die Datenverarbeitung gestützt werden kann. Werden Daten bspw. zum Zweck der Verfolgung von Straftaten von Behörden erhoben, dann greift hier nicht die DSGVO, sondern die sog. JI-Richtlinie (EU 2016/680) für den Bereich Justiz und Inneres.

Darüber hinaus können Einrichtungen der katholischen und evangelischen Kirche sowie andere religiöse Gemeinschaften unter bestimmten Voraussetzungen auch an eigene Datenschutzregelungen gebunden sein. Die Datenverarbeitung in diesen Einrichtungen (z. B. Gemeinden, Krankenhäuser, Kitas) findet dann ggf. nicht auf Grundlage der DSGVO statt, sondern es kommen das Gesetz über den Kirchlichen Datenschutz (KDG) für die katholische Kirche oder das Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD) zur Anwendung.
 

Wer kann Datenschutzbeauftragter werden?

Datenschutzbeauftragter (DSB) kann gem. Art. 37 Abs. 6 DSGVO und § 5 Abs. 4 BDSG entweder ein*e Beschäftigte*r des Verantwortlichen selbst sein oder aufgrund eines Dienstleistungsvertrages benannt werden. Nach dem kirchlichen Datenschutzrecht ist dies ebenfalls möglich (siehe § 36 Abs. 5 KDG, § 36 Abs. 5 S. 2 DSG-EKD). 

Wird ein*e Mitarbeiter*in zum Datenschutzbeauftragten bestellt, so wird vom betrieblichen, behördlichen, örtlichen oder auch internen Datenschutzbeauftragten gesprochen. Übernimmt ein Dienstleister diese Aufgabe, dann wird dieser meist als externer Datenschutzbeauftragter bezeichnet. 

Wichtig zu wissen:

• Eine Mehrfachbenennung von Datenschutzbeauftragten ist unzulässig, es ist nur eine Person zu benennen gem. DSGVO (siehe auch Erwägungsgrund 97) und BDSG. Gleichwohl sollte jedoch mindestens eine weitere Person zur Verfügung stehen, die ebenfalls Fachwissen im Datenschutzrecht und in Datenschutzverfahren besitzt und hier unterstützen kann.
• Ein Datenschutzbeauftragter kann jedoch für mehrere verantwortliche Stellen benannt werden (Art. 37 Abs. 2 DSGVO bzw. § 5 Abs. 2 BDSG). So kann bspw. eine übergeordnete Unternehmenseinheit oder eine Behörde für mehrere Stellen die Funktion des Datenschutzbeauftragten übernehmen. Gleiches gilt im kirchlichen Datenschutzrecht (§ 36 Abs. 3 KDG,  § 36 Abs. 2 DSG-EKD).
• Wenn Sie zur Ernennung eines Datenschutzbeauftragten verpflichtet sind, müssen die Kontaktdaten dieser Person, egal ob Mitarbeiter*in oder externer Datenschutzbeauftragter, der zuständigen Aufsichtsbehörde mitgeteilt werden. Jedes Bundesland hat eine eigene Datenschutzaufsichtsbehörde und die Zuständigkeit richtet sich nach dem Hauptsitz des Unternehmens bzw. der Organisation. Die Aufsichtsbehörden der Bundesländer bieten auf ihren Websites auch Formulare an, damit Sie diese Meldung ganz einfach online vornehmen können. Die Kontaktdaten des Datenschutzbeauftragten sind auch auf der Website im Impressum sowie in der Datenschutzerklärung und in sonstigen Einwilligungserklärungen anzugeben.