Externer Datenschutzbeauftragter (DSB) in Köln

Welchen Datenschutzregelungen gelten in Köln?

Seit Mai 2018 gelten in Deutschland und allen anderen Mitgliedstaaten der Europäischen Union (EU) die Vorschriften der europäischen Datenschutz-Grundverordnung (DSGVO), genauer der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016. Die DSGVO, die sog. JI-Richtlinie (EU-Datenschutzrichtlinie für Polizei- und Justizbehörden) sowie Art. 8 der Europäischen Grundrechtecharta bilden zusammen die Grundlage des europäischen Datenschutzrechts.

Aber auch vor dem Inkrafttreten der DSGVO gab es in Deutschland Regelungen zum Datenschutz auf Bundes- und Landesebene, die nach wie vor bestehen und entsprechend der DSGVO angepasst wurden:

• Das Bundesdatenschutzgesetz (BDSG) und
• die Datenschutzgesetze der Bundesländer – für Köln ist dies das Datenschutzgesetz Nordrhein-Westfalen (DSG NRW), welches bspw. auf der Website des Innenministeriums von NRW zur Verfügung gestellt wird. Der Anwendungsbereich des DSG NRW betrifft Behörden, öffentliche Einrichtungen, Gemeinden und Gemeindeverbände sowie Unternehmen und Organisationen, an denen öffentliche Stellen beteiligt sind oder die Aufgaben einer solchen Stelle wahrnehmen. Weitere Informationen zum Datenschutz in der öffentlichen Verwaltung und in anderen Einrichtungen des öffentlichen Dienstes finden Sie auf unserer Seite über den behördlichen Datenschutzbeauftragten.

Darüber hinaus gibt es das Datenschutzrecht der katholischen und evangelischen Kirchen, das bei kirchlichen Einrichtungen in Köln ggf. zur Anwendung kommt. Sollten Sie Fragen zum kirchlichen Datenschutz haben oder einen Datenschutzbeauftragten für eine kirchliche Einrichtung suchen, so finden Sie ausführliche Informationen auch auf unserer Seite Kirchlicher Datenschutz.
 

Welche Datenschutzaufsichtsbehörde ist für Köln zuständig?

Mit dem Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) im Jahr 2016 sind auf Unternehmen und Organisationen viele neue Aufgaben zum Schutz der personenbezogenen Daten von natürlichen Personen zugekommen. Zudem gilt die Pflicht, einen Datenschutzbeauftragten zu bestellen, wenn bestimmte Voraussetzungen erfüllt sind. Es kann jedoch auch sinnvoll sein, freiwillig eine Person aus der Organisation als DSB zu bestimmen oder diese Aufgabe extern zu vergeben.  

Für Unternehmen und Organisationen, die ihren Sitz in Köln haben, ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) als Aufsichtsbehörde zuständig. Das Amt der Datenschutzbeauftragten für NRW übt die Verwaltungsjuristin Bettina Gayk seit Mai 2021 aus. Der nordrhein-westfälische Landtag wählt die*den Landesbeauftragte*n für eine Amtszeit von acht Jahren. Bettina Gayk leitete zuvor von 2012 bis 2021 das Referat für rechtliche Grundsatzfragen und internationalen Datenverkehr unter den damaligen LDI NRW Bettina Sokol und Ulrich Lepper.

Zu den Aufgaben der LDI NRW, die die Behörde weisungsfrei und unabhängig ausführt, gehören zum einen die Prüfung der Einhaltung der Datenschutzvorschriften im öffentlichen Bereich und in der Privatwirtschaft. Zum anderen steht die LDI NRW auch Bürger*innen beratend zur Seiten bei datenschutzrechtlichen Fragen oder Beschwerden über Datenschutzverstößen.

Die Aufsichtsbehörde in NRW ist in neun Referate unterteilt, die sich verschiedenen Themengebieten widmen. Die Untergliederung lässt sich dem aktuellen Organisationsplan entnehmen. Zu finden ist die Dienststelle der LDI NRW in der Kavalleriestraße 2–4 in 40213 Düsseldorf.

Für Einrichtungen der evangelischen und katholischen Kirche in Köln bzw. in NRW gelten ggf. die kirchlichen Datenschutzregelungen und zuständig wären dann die entsprechenden Aufsichtsbehörden der Kirchen. Bei Einrichtungen der evangelischen Kirche ist dies der Beauftragte für den Datenschutz der EKD bzw. die Außenstelle Dortmund der Behörde, zuständig für die Datenschutzregion Mitte-West, darunter fallen die Gebiete Rheinland und Westfalen. In der römisch-katholischen Kirche in Deutschland gibt es fünf Diözesandatenschutzbeauftragte. Für die Einrichtungen der katholischen Kirche in Köln bzw. NRW ist der Diözesandatenschutzbeauftragte der Nordrhein-Westfällischen Bistümer zuständig.

Des Weiteren fallen der öffentliche-rechtliche Rundfunk sowie Presse nicht in den Zuständigkeitsbereich der Datenschutzaufsichtsbehörden der Bundesländer. Hier gibt es andere Aufsichtsgremien und Möglichkeiten für Bürger*innen, sich im Fall bspw. einer Datenschutzverletzung zu beschweren. Beim privaten Rundfunk ist die Aufsichtsstruktur abhändig vom jeweiligen Bundesland. In Köln ist die Landesanstalt für Medien NRW für die Datenschutzaufsicht verantwortlich.
 

Wie arbeiten Aufsichtsbehörde und Datenschutzbeauftragte zusammen?

Verantwortliche und Auftragsverarbeiter sind verpflichtet, wenn bestimmte Voraussetzungen vorliegen, einen Datenschutzbeauftragten zu benennen (Art. 37 DSGVO und § 38 BDSG i. V. m. Art. 37 Abs. 4 DSGVO). Dabei kann der*die Datenschutzbeauftragte entweder aus dem Unternehmen bzw. der Organisation selbst stammen (betrieblicher bzw. interner Datenschutzbeauftragter) oder es kann ein Dienstleister einsetzt werden (externer Datenschutzbeauftragter). Bei Behörden und öffentlichen Stellen ist in jedem Fall ein behördlicher Datenschutzbeauftragter zu benennen, diese Aufgabe kann auch von einer übergeordneten Organisationseinheit oder aber von einem Dienstleister wahrgenommen werden.

Verantwortliche und Auftragsverarbeiter müssen die Kontaktdaten des Datenschutzbeauftragten der zuständigen Aufsichtsbehörde mitteilen (Art. 37 Abs. 7 DSGVO). Da für Unternehmen und Organisationen mit Hauptsitz in Köln die Landesbeauftragte für Datenschutz und Informationsfreiheit (LDI NRW) zuständig ist, hat die Meldung hier zu erfolgen. Die LDI NRW bietet auf ihrer Website ein Meldeportal für Kontaktdaten des Datenschutzbeauftragten und gibt Antworten auf häufig gestellte Fragen zur Meldung.

Wie verläuft die Zusammenarbeit bzw. der Kontakt zwischen Datenschutzbeauftragten und Aufsichtbehörden? Verantwortliche (datenverarbeitende Stellen) sind verpflichtet, im Falle einer meldepflichtigen Datenschutzverletzung diese innerhalb von 72 Stunden der zuständigen Behörde mitzuteilen (Art. 33 DSGVO). Wann eine Datenschutzverletzung vorliegen könnte, ist in Art. 4 Nr. 12 DSGVO beschrieben. Bei der Meldung wird der Verantwortliche i. d. R. durch den Datenschutzbeauftragten beraten und welcher der Behörde auch als Ansprechperson für weitere Informationen genannt wird. Des Weiteren ist der Datenschutzbeauftragte auch die erste Ansprechperson, wenn eine Beschwerde über das Unternehmen bzw. die Organisation bei der Aufsichtsbehörde eingeht.

Darüber hinaus können Datenschutzaufsichtsbehörden in ihrer Arbeit auch (anlasslos) Schwerpunkte setzen und Vorgänge der Erhebung und Verarbeitung von personenbezogen Daten in bestimmten Branchen gezielt kontrollieren und dann z. B. entsprechende Fragebögen an die Unternehmen bzw. Organisationen verschicken, die es zu bearbeiten gilt.
 

Wann und wie wird eine Datenpanne gemeldet?

Als Datenpanne wird umgangssprachlich die Verletzung des Schutzes personenbezogener Daten bezeichnet. Eine Datenschutzverletzung kann nicht nur für die betroffene Person (z. B. Kund*in, Patient*in, Mitarbeiter*in) ernste Folgen haben, sondern natürlich auch für die Verantwortlichen (Unternehmen, Organisationen) selbst. Neben einem Imageschaden und dem Vertrauensverlust drohen in bestimmten Fällen auch Bußgelder seitens der Aufsichtsbehörde sowie Schadensersatzansprüche, die Betroffene gelten machen könnten. Solche Verletzungen des Datenschutzschutzes gilt es natürlich im Vorfeld zu verhindern – dazu berät die*der Datenschutzbeauftragte den Verantwortlichen und stellt bspw. die ergriffenen technischen und organisatiorischen Maßnahmen auf den Prüfstand oder schult bzw. sensibilisiert die Mitarbeitenden im Umgang mit personenbezogenen Daten. 

Sollte eine Datenpanne vorliegen, so darf bei der Bewertung keine Zeit verloren werden, denn ist die Datenschutzverletzung meldepflichtig, bleibt dem Verantwortlichen dafür nur 72 Stunden Zeit. Ein Meldeformular für Datenpannen finden Verantwortliche auf der Website der Landesbeauftragten für Datenschutz und Informationsfreiheit von Nordrhein-Westfalen (LDI NRW). 

Eine Meldepflicht besteht, wenn es sich um einen Sicherheitsbruch handelt, durch den personenbezogene Daten an Dritte gelangen, gelöscht oder zeitweise unzugänglich gemacht werden. Als unrechtmäßige Offenbarung gilt bereits der Zugriff auf personenbezogene Daten, auch wenn dieser unbeabsichtigt geschieht und der Inhalt nicht zur Kenntnis genommen wurde. Zudem muss für das Bestehen einer Meldepflicht ein Risiko für die Rechte und Freiheiten natürlicher Personen gegeben sein. Eine Orientierungshilfe (für den nicht-öffentlichen Bereich) zur Einschätzung des Risikos bietet z. B. das Kurzpapier Nr. 18 der Datenschutzkonferenz (DSK).

Als meldepflichtige Datenpanne gelten bspw. eine Cyberattacke sowie der Verlust von Unterlagen oder elektronischen Datenträgern, die personenbezogene Daten enthalten und nicht verschlüsselt sind. Je nach Risikoeinschätzung sind die betroffenen Personen ebenfalls zu benachrichtigen (Benachrichtigungspflicht nach Art. 34 DSGVO). In jedem Fall besteht gemäß Art. 33 Abs. 5 DSGVO eine interne Dokumentationspflicht. 

Sofern sich sicherstellen lässt, dass für die Rechte und Freiheiten natürlicher Personen kein Risiko besteht, ist eine Meldung bei der Aufsichtsbehörde nicht verpflichtend. Dies ist bspw. der Fall, wenn ein gestohlener elektronischer Datenträger verschlüsselt wurde und somit kein Zugriff auf die enthaltenen personenbezogenen Daten möglich ist. Wichtig: Bei der Verletzung der Meldepflicht droht eine Strafe von bis zu 10.000.000 Euro oder 2 % des Jahresumsatzes (siehe auch Art. 83 DSGVO). Die Abwägung der Meldepflichtigkeit sollte daher sehr sorgfältig erfolgen. Hierbei kann das Fachwissen eines externen Datenschutzbeauftragten hilfreich sein.