Interner oder externer Datenschutzbeauftragter? Vor- und Nachteile

Muss ein Unternehmen einen Datenschutzbeauftragten benennen, etwa weil in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, folgt sofort die nächste Entscheidung: eigener Mitarbeiter oder externer Dienstleister. Beide Modelle sind nach Art. 37 Abs. 6 DSGVO zulässig. Welche Lösung besser passt, hängt von Größe, Branche und Ressourcen ab. Zu den Voraussetzungen der Benennungspflicht siehe unseren Beitrag „Datenschutzbeauftragter: Wann ist er Pflicht?“.

Anforderungen an jeden Datenschutzbeauftragten

Unabhängig vom Modell muss der Datenschutzbeauftragte über berufliche Qualifikation und insbesondere Fachwissen im Datenschutzrecht und in der Datenschutzpraxis verfügen (Art. 37 Abs. 5 DSGVO). Er muss frühzeitig eingebunden werden, darf bei der Erfüllung seiner Aufgaben keine Weisungen erhalten, berichtet unmittelbar der höchsten Managementebene und darf wegen seiner Aufgabenerfüllung nicht benachteiligt werden (Art. 38 DSGVO). Zudem dürfen andere Aufgaben nicht zu einem Interessenkonflikt führen.

Der interne Datenschutzbeauftragte

Vorteile: Ein interner Datenschutzbeauftragter kennt das Unternehmen, seine Abläufe und Ansprechpartner. Er ist vor Ort, schnell erreichbar und genießt häufig das Vertrauen der Belegschaft.

Nachteile und Risiken:

• Geschäftsführung, IT-Leitung, Personalleitung oder Marketingleitung scheiden wegen Interessenkonflikten in der Regel aus, weil sie über Zwecke und Mittel von Verarbeitungen mitentscheiden. Der EuGH hat bestätigt, dass die nationalen Gerichte das Vorliegen eines Interessenkonflikts im Einzelfall prüfen müssen.
• Ein interner Datenschutzbeauftragter, dessen Benennung verpflichtend ist, kann nach § 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG nur aus wichtigem Grund abberufen und nur aus wichtigem Grund gekündigt werden, und zwar auch noch ein Jahr nach Ende der Tätigkeit. Das Bundesarbeitsgericht hat diesen besonderen Schutz nach Vorlage an den EuGH bestätigt, wie wir im Beitrag zur Abberufung eines Datenschutzbeauftragten berichtet haben.
• Das Unternehmen muss Schulungen finanzieren und ausreichend Arbeitszeit freistellen.

Der externe Datenschutzbeauftragte

Externe Datenschutzbeauftragte bringen Erfahrung aus vielen Unternehmen und Branchen mit. Interessenkonflikte sind seltener. Ein besonderer Kündigungsschutz besteht nicht, der Vertrag kann nach den vereinbarten Bedingungen beendet werden. Die Kosten sind planbar.

Nachteile: Ein externer Dienstleister kennt die internen Abläufe zunächst weniger gut und ist nicht ständig vor Ort. Das lässt sich durch einen festen internen Ansprechpartner (Datenschutzkoordinator) ausgleichen. Achten Sie bei der Auswahl auf nachgewiesene Fachkunde und Erreichbarkeit.

Entscheidungshilfe

• Kleine Unternehmen mit überschaubarer Datenverarbeitung fahren mit einem externen Datenschutzbeauftragten häufig günstiger und flexibler.
• Größere Unternehmen mit vielen Verarbeitungen und eigener Rechts- oder Compliance-Abteilung können von einem internen Datenschutzbeauftragten profitieren, sofern ein geeigneter Kandidat ohne Interessenkonflikt verfügbar ist.
• Möglich sind auch Mischmodelle, etwa ein externer Datenschutzbeauftragter mit einem internen Koordinator.

Formalien nach der Benennung

Die Benennung sollte schriftlich erfolgen. Die Kontaktdaten sind zu veröffentlichen und der zuständigen Aufsichtsbehörde mitzuteilen (Art. 37 Abs. 7 DSGVO). Beim externen Datenschutzbeauftragten regelt ein Dienstleistungsvertrag Umfang, Erreichbarkeit und Vergütung.

Maßgeblich sind am Ende Fachkunde, Unabhängigkeit, ausreichende Ressourcen und die Vermeidung von Interessenkonflikten. Bei der Auswahl und beim Vertrag mit einem externen Datenschutzbeauftragten unterstützen wir Sie. Kontaktieren Sie uns oder buchen Sie einen Termin.