Externer Datenschutzbeauftragter und interner Datenschutzkoordinator - ein unschlagbares Team

Die EU-DSGVO und das neue Bundesdatenschutzgesetz (BDSG-neu) verpflichten Unternehmen zur Bestellung eines Datenschutzbeauftragten. Es lässt Ihnen dabei die Wahlfreiheit, Ihren Datenschutzbeauftragten entweder intern oder extern zu bestellen.

Betrachtet man die hohen Anforderungen an einen internen betrieblichen Datenschutzbeauftragten (bDSB) und insbesondere dessen Sonderkündigungsschutz realistisch, bietet sich die Bestellung eines externen Datenschutzbeauftragten geradezu an:

Vergleich interner vs. externer Datenschutzbeauftragter (DSB)

	interner DSB	externer DSB
unternehmerisches Risiko	hoch - nur Arbeitnehmerhaftung	gering - Beraterhaftung - auf Versicherungsschutz achten
Start	später - erst notwendige Fachkunde aufbauen	sofort - Knowhow und Erfahrung aus unterschiedlichen Projekten vorhanden
Kosten	hoch - Achtung "eh da"-Kosten	gering - nur tatsächlicher Aufwand wird bezahlt
Schulungskosten	hoch - mind. jährliche Fortbildung ist Pflicht	gering - auf mehrere Schultern (= Kunden) verteilt
Sonderkündigungsschutz	ja	nein
Betriebsblindheit	möglich	keine
Interessenskonflikte	möglich	keine
Ausfallrisiko	hoch - da keine Vertretung bei Krankheit, Elternzeit, ...	gering, da Vertretung geregelt

Zusammenfassung Vorteile eines externen Datenschutzbeauftragter:

• Keine zusätzlichen Kosten für Aus- und Weiterbildung: Externe Datenschutzbeauftragte und -berater von yourIT haben eine hohe Fachkenntnis und bilden sich permanent weiter, ohne dass Ihnen hierfür Kosten entstehen.
• Flexibilität: Ein interner Datenschutzbeauftragter unterliegt einem besonderen Kündigungsschutz. Nach § 626 BGB, hingegen ist der Vertrag mit einem externen Datenschutzbeauftragten unter Einhaltung der Kündigungsfristen kündbar.
• Vermeidung von Interessenskonflikten: Geschäftsführung oder Leitung IT, Personal bzw. Marketing dürfen die Aufgabe des Datenschutzbeauftragten nicht wahrnehmen.
• Effizienz: Aufgrund von Expertenwissen können erforderliche Maßnahmen schneller und mit geringerem Aufwand praxisgerecht umgesetzt werden.
• Konzentration auf das Kerngeschäft: Ihre Mitarbeiter werden von den Aufgaben eines Datenschutzbeauftragten befreit und können sich auf ihr Kerngeschäft fokussieren.
• Synergieeffekte: Ein externer Datenschutzbeauftragter nutzt seine Erfahrungen aus der Betreuung anderer Unternehmen für Ihre Betreuung, pflegt den Kontakt zu den Aufsichtsbehörden und nutzt Technologien, die ggf. in Ihrem Hause keine Anwendung finden.
• Kosteneinsparung: Das Pauschalangebot eines externen Datenschutzbeauftragten ist häufig kostengünstiger, als die Bereitstellung eigener Personalressourcen für die Bestellung eines internen betrieblichen Datenschutzbeauftragten.

Unsere erfolgreiche Vorgehensweise

Sie bestellen einen Berater aus dem yourIT-Datenschutz-Team zum externen Datenschutzbeauftragten (DSB) Ihres Unternehmens. Zusätzlich bestimmen Sie einen oder mehrere interne Datenschutzkoordinatoren (DSK). Gemeinsam mit Ihrem internen Datenschutzkoordinator

• machen wir zu Beginn einen Kick-Off-Workshop;
• führen wir eine Datenschutz-Schwachstellenanalyse durch;
• erstellen ein individuelles zu Ihrem Unernehmen passendes Datenschutz-Konzept;
• planen und unterstützen die Umsetzung;
• stellen Richtlinien und Anweisungen auf;
• erstellen / führen das Verfahrensverzeichnis und das Jedermannverzeichnis;
• schulen die Mitarbeiter;
• kontrollieren die Richtlinieneinhaltung;
• dokumentieren und berichten regelmäßig an die Geschäftsleitung.

So macht Datenschutz Sinn für Ihr Unternehmen und bringt Ihnen zusätzlich viele Vorteile.

yourIT ESF-gefördertes Beratungskonzept in 4 Phasen

Wie hoch sind die Kosten für einen externen Datenschutzbeauftragten?

Vorneweg: Unser Ziel ist es, die Kosten für den Datenschutz in Ihrem Unternehmen gemeinsam mit Ihnen so gering wie möglich zu halten.

"Wie hoch sind die Kosten für den Datenschutz?" - die Frage steht sehr schnell im Raum, wenn Unternehmer sich der gesetzlichen Verpflichtung zur Bestellung eines Beauftragten für den Datenschutz erst einmal bewusst sind. Dabei geht es um die kaufmännische Abwägung, ob man einen internen Mitarbeiter fachlich qualifizieren und zum internen Datenschutzbeauftragten bestellen soll oder für die Umsetzung der datenschutzrechtlichen Maßnahmen im Unternehmen lieber auf die fachkundige Betreuung eines externen Datenschutzbeauftragten setzen sollte.

Diese Frage nach der Höhe der Kosten für die Bestellung eines externen Datenschutzbeauftragten ist verständlich und nachvollziehbar, speziell wenn Ihr Unternehmen entsprechend der gesetzlichen Regelung zur Bestellung eines Beauftragten für den Datenschutz verpflichtet ist, es also für Ihr Unternehmen unabdingbar ist, unmittelbar zu handeln um die datenschutzrechtlichen Vorgaben zu erfüllen.

Kein Unternehmen gleicht dem Anderen 

Wichtige Unterschiede gibt es z.B.

• in der Anzahl der Mitarbeiter, welche mit der Verarbeitung personenbezogener Daten betraut sind,
• in der Art der verarbeiteten personenbezogenen Daten,
• in der Unternehmensstruktur und natürlich nicht zu vergessen
• in der vom Unternehmen eingesetzten Informationstechnologien sowie IT-Infrastruktur.

Neben diesen Punkten können weitere Faktoren im Unternehmen zum Tragen kommen, die zu einem gewissen Grad oder gar in Gänze von datenschutzrechtlicher Relevanz sind und somit den zeitlichen Umfang der Tätigkeit des externen Datenschutzbeauftragten - woraus sich entsprechende Kosten ergeben - beeinflussen können.

Datenschutz im Unternehmen ist größtenteils sehr individuell

Je nach Unternehmensart, Branche, Art und Umfang personenbezogener Daten sowie vorhandener IT-Lösungen einhergehend mit dem aktuellen Datenschutzniveau kann die Ausgangssituation für den externen Datenschutzbeauftragten sehr unterschiedlich ausfallen, womit sich natürlich auch die "Kosten für den Datenschutz" bzw. die Kosten für die Tätigkeit des externen Datenschutzbeauftragten - von Unternehmen zu Unternehmen - stark unterscheiden können.

Wie Sie aus dieser Darlegung ersehen können, ist eine Benennung der "Kosten für den Datenschutz" im Vorfeld - z.B. in Form eines pauschalen Angebots zum monatlichen Festpreis für jedes Unternehmen - ohne Kenntnis der tatsächlichen Gegebenheiten in Ihrem Unternehmen unter seriöser Betrachtung nicht möglich.

Daher haben wir für Sie unser 4-Phasen-Konzept entwickelt. Wenn wir Ihr Unternehmen in Phase A analysiert und daraus in Phase B ein Datenschutzkonzept für Sie erstellt haben, können danach die Kosten für Phase C Implementierung und Phase D Betrieb tatsächlich ziemlich genau kalkuliert werden.

Das Schöne für Sie ist dabei, dass wir Ihnen die Erarbeitung der Phasen A+B zum Festpreis anbieten können. Sie tragen kein Risiko. Das Ergebnis ist ein Datenschutzkonzept - quasi das Pflichtenheft für den Aufbau des Datenschutzes in Ihrem Unternehmen.

Fördermöglichkeiten nutzen und dadurch Kosten verringern

Mittelständischen Unternehmen in Deutschland ist es häufig möglich, einen Teil der Kosten für unsere Beratungsleistungen über Mittel des Bundes und des Europäischen Sozialfonds - ESF - erstattet zu bekommen.

Weblink zur Beratungsförderung: https://www.mitgroup.eu/Unsere-Beratungspakete/datenschutzkonzept

Ich freue mich auf Ihre Projektanfrage. Fordern Sie uns!

Ihr Thomas Ströbele



Verantwortlich für diesen Beitrag: yourIT GmbH, Balingen, Zollernalbkreis

Externer Datenschutzbeauftragter - Wir machen das für Sie!

Bis zu 50% EU-Fördermittel für Datenschutz-Ausbildung in Baden-Württemberg

Seit Anfang 2018 arbeiten wir im Bereich Datenschutz-Schulungen mit unserem Partner Verein zur Förderung der Berufsbildung e. V., kurz VFB, zusammen. Der VFB ist die Bildungseinrichtung der IHK-Bezirkskammern Ludwigsburg und Böblingen und bringt 35 Jahre Erfahrung in der beruflichen Aus- und Weiterbildung mit. Die Partnerschaft ohne viel Blabla: der VFB organisiert, yourIT schult. Ab können unsere Datenschutz-Schulungen auch mit EU-Fördermitteln mit bis zu 50% der Kosten gefördert.

Bis zu 50% EU-Fördermittel auf Datenschutz-Schulungen von yourIT

yourIT setzt bereits seit 2013 sehr erfolgreich ESF-Fördermittel ein, um mittelständischen Unternehmen die Datenschutz-Initialprozesse Analyse und (Erst-) Beratung (kurz: Phase A+B) attraktiv anzubieten (weitere Infos hierzu unter https://www.mitgroup.eu) . So haben wir in den letzten Jahren über 200 geförderte Beratungen im Mittelstand durchgeführt. Der Rückfluß an Fördermitteln an die Unternehmen betrug weit über 300.000 EUR.

Videoüberwachung nach EU-DSGVO

Mit der Videoüberwachung wird eine vermeintlich schnelle und einfache Lösung geboten, um Sicherheitsprobleme zu identifizieren und zu verhindern. Doch die Videoüberwachung muss nach den Grundsätzen der EU-DSGVO eingerichtet werden.

Mit der Videoüberwachung wird eine vermeintlich schnelle und einfache Lösung geboten, um Sicherheitsprobleme zu identifizieren und zu verhindern. Das Gebäude kann so auch außerhalb der Geschäfts-/Arbeitszeiten überwacht werden und dass, ohne den Personalaufwand zu erhöhen. Dennoch gilt zu beachten, dass Videoüberwachung in das Persönlichkeitsrecht der aufgezeichneten Person eingreift, aus diesem Grund bedarf es einer genaueren Betrachtung. Jeder Mensch hat das Recht, sich in der Öffentlichkeit zu bewegen, ohne dass sein Verhalten permanent mit Hilfe von Kameras beobachtet oder aufgezeichnet wird.

Rechtsgrundlage Art. 6 Abs. 1 lit. f EU-DSGVO

Berechtigtes Interesse

Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines Verantwortlichen begründet werden, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Personen, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen.

Ist die Videoüberwachung wirklich die vermeintlich schnelle und einfache Lösung?

Das bedeutet, dass aus Sicht des Verantwortlichen wichtige Gründe vorliegen müssen, die zu der Einrichtung einer Videoüberwachung führen. Der Grund der Videoüberwachung kann sich  z.B. aus dem Schutz vor weiteren Einbrüchen, Diebstählen oder Vandalismus ergeben.

Das berechtigte Interesse muss sich anhand bestimmter Tatsachen/einer tatsächlichen Gefahrenanlage nachweisen lassen, z.B. sollten sich bereits Vorfälle ereignet haben oder werden sich mit ausreichender Wahrscheinlichkeit ereignen. Aus diesem Grunde ist es ratsam, entsprechende Vorkommnisse sorgfältig zu dokumentieren und ggf. Strafanzeigen aufzubewahren. Sollte die Videoüberwachung ohne hinreichende Tatsachen und nur „für den Fall, dass etwas passiert“ eingesetzt werden, ist dies nicht zulässig.

Erforderlichkeit

Nach der Festlegung des berechtigten Interesses, muss bedacht werden, dass die Videoüberwachung in das Recht der Betroffenen eingreift. Aus diesem Grund ist zu prüfen, ob es für die Videoüberwachung eine geeignete Alternative gibt, welche nicht bzw. weniger tief in die Grundrechte der erfassten Personen eingreifen. Dabei soll es dem Verantwortlichen weiterhin möglich sein, seine  festgelegten berechtigten Interessen wirksam durchzusetzen. Die Alternative ist der Videoüberwachung vorzuziehen, da die Grundrechte dem Interesse des Unternehmens überwiegen.

Es gilt daher zu Überprüfen, ob bauliche oder personelle Veränderungen wie z.B. einbruchsichere Fenster/Türen oder Kontrollgänge durch Bewachungspersonal als Alternativen für die Videoüberwachung in Frage kommen.

Interessenabwägung

Bis zu diesem Prüfschritt wurde festgestellt, dass der verfolgte Zweck nur mit einer Videoüberwachung erfolgreich erreicht werden kann. Nach Prüfung des berechtigten Interesse und der Erforderlichkeit der Videoüberwachung muss im dritten Schritt eine Abwägung zwischen dem schutzwürdige Interessen der betroffenen Person und dem berechtigten Interessen des Verantwortlichen vorgenommen werden d.h. die Rechte der Betroffenen werden den Interessen des Unternehmens gegenüber gestellt.

Weitere rechtliche Voraussetzungen

Datensparsamkeit

Hier muss sich der Verantwortliche nachfolgende Fragen stellen:

    - Ist eine Beobachtung auf einem Monitor ausreichen?

    - Müssen die Videoaufnahmen gespeichert werden?

    - Ist eine permanente Videoüberwachung erforderlich?

    - Genügt die Videoüberwachung außerhalb der Geschäftszeiten?

    - Welche Bereiche sollen überwacht werden?

    - Welcher Personenkreis bewegt sich in dem überwachten Bereich?

Informationspflichten

Als Verantwortlicher für die Videoüberwachung müssen Sie den Informationspflichten der EU-DSGVO nachkommen. Dabei sind nach Art. 12 EU-DSGVO Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfach Sprache zu übermitteln.

Wir unterstützen Sie!

Den Einsatz von Videoüberwachung datenschutzkonform zu gestalten ist aufwendig. Wir hier im Haus haben uns in den letzten Monaten viele Gedanken gemacht, wie wir Videoüberwachung so aufwendig wie nötig und gleichzeitig so risikoarm wie irgend möglich umsetzen können. Gerne unterstützen wir Ihr Unternehmen bei dem datenschutzkonformen Einsatz von Videoüberwachung - insbesondre bei der Erstellung des Verzeichnis der Verarbeitungstätigkeit nach Art. 30 EU-DSGVO, den Informationspflichten nach Art. 12 ff EU-DSGVO sowie einer Betriebsvereinbarung/Richtlinie der Videoüberwachung für Mitarbeiter.

Wir freuen uns von Ihnen zu hören!

Das Datenschutz-Team der yourIT - jetzt in Balingen!

Fragen / Anregungen 
Haben Sie Fragen oder Anregungen zu diesem Beitrag? Dann senden Sie uns diese hier und jetzt:

Name

E-Mail (Pflichtangabe)

Nachricht (Pflichtangabe)


Mit dem Absenden der Nachricht bestätigen Sie, die Datenschutzerklärung der yourIT zur Kenntnis genommen zu haben.

Einschränken, Löschen oder Vernichten - Kennen Sie den Unterschied?

Reicht es, Daten zu löschen, oder muss man gleich das ganze Speichermedium vernichten? Was hat es mit der Einschränkung der Verarbeitung auf sich? Verschaffen Sie sich den Durchblick!

Das Problem mit dem Löschen

Warum soll ich die Daten denn löschen, wir haben doch genug Speicherplatz, und vielleicht kann man die Daten später nochmals gebrauchen, so denken Sie vielleicht manchmal, wenn Sie Daten früherer Kunden löschen sollen. Die Antwort ist schnell gegeben: Die früheren Kunden haben ein Recht darauf, so will es die EU-Datenschutzgrundverordnung (EU-DSGVO).

Einschränken, Löschen oder Vernichten - Kennen Sie den Unterschied?

Das Löschen ist aber auch aus Unternehmenssicht sinnvoll: Gelöschte Daten lassen sich nicht mehr stehlen und missbrauchen. Datenlöschung ist Datenschutz, spart Speicherkosten und vereinfacht die Datenverwaltung. Wichtig ist es allerdings, dass die Daten auch sicher und vollständig gelöscht werden.

Gemeinsame Verantwortung von Unternehmen im Datenschutz - Was Sie aus den EuGH-Fällen lernen können

Manchmal wirken mehrere Unternehmen bei der Verarbeitung von personenbezogenen Daten zusammen. Klassisches Beispiel: Um einen Vertrag zu erfüllen, werden Subunternehmer eingeschaltet. Wer trägt dann datenschutzrechtlich gesehen die Verantwortung für die Daten? Neue Entscheidungen des Europäischen Gerichtshofs (EuGH) führen dazu, dass Unternehmen hier genauer hinschauen müssen. Dabei stellen sich Fragen, die auf den ersten Blick merkwürdig wirken. Sie richten sich an die Fachabteilungen in den Unternehmen. Deshalb sollten Sie darauf vorbereitet sein.

Eine absurde Ausgangslage?

Ein Unternehmen hat auf bestimmte personenbezogene Daten überhaupt keinen Zugriff. Dennoch soll es datenschutzrechtlich dafür verantwortlich sein, was ein anderes Unternehmen mit diesen Daten tut. Sie meinen, das könne überhaupt nicht sein? Dann unterschätzen Sie die Kreativität des EuGH im Hinblich auf Art. 26 EU-DSGVO "Gemeinsam Verantwortliche" oder auch "Joint Controllership".

Gemeinsame Verantwortung von Unternehmen im Datenschutz - Was Sie aus den EuGH-Fällen lernen können

Denn genau so hat er gleich in zwei Fällen entschieden. Beim ersten Fall ging es um Facebook, beim zweiten um die Zeugen Jehovas. Aus beiden Fällen lassen sich allgemeine Regeln ableiten, die in den Alltag zahlreicher Unternehmen hineinwirken.

Weiterleitung von E-Mails „nach Hause“ - Darf man das?

Viele Arbeitnehmer tun es gelegentlich: Sie leiten eine dienstliche Mail nach Hause auf den privaten E-Mail-Account um. Alles kein Problem? Es kommt darauf an! Nicht alles, was einem Arbeitnehmer vernünftig erscheint, ist es auch aus der Sicht der Gerichte.

Vernünftige Gründe

Die Gründe für das Weiterleiten einer E-Mail sind unterschiedlich. Ein Beispiel: Tags-über hat die Zeit nicht gereicht, um eine wichtige, aber ziemlich umfangreiche Mail zu lesen. Also möchte man das abends zuhause nachholen. Ein weiteres Beispiel: Eigentlich möchte man am nächsten Tag im Home Office das dienstliche mobile Gerät nutzen. Gerade jetzt „spinnt“ es aber. Also weicht man mit den wichtigsten E-Mail-Nachrichten sozusagen auf den privaten PC aus.

Weiterleitung von Mails nach Hause - Darf man das?

Ein problematischer Fall

Diese Argumente hören sich vernünftig an. Doch dass man auch rasch in ein problematisches Licht geraten kann, musste ein Arbeitnehmer in einem Fall erfahren, den das Landesarbeitsgericht Berlin-Brandenburg am 16. Mai 2017 entschieden hat.

Einwilligung nach EU-DSGVO - Kurzpapier Nr. 20 der DSK veröffentlicht

Die Datenschutzkonferenz (DSK) veröffentlicht seit Juli 2017 Auslegungshilfen zur EU-DSGVO. In diesen Kurzpapieren werden unter den deutschen Aufsichtsbehörden abgestimmte einheitliche Sichtweisen zu verschiedenen Kernthemen der EU-DSGVO wiedergegeben. Neu ist das Kurzpapier Nr. 20 zum Thema "Einwilligung".

Nach Art. 6 Abs. 1 EU-DSGVO ist die Einwilligung die zentrale Rechtsgrundlage für die Verarbeitung von personenbezogenen Daten und wird in Art. 2 Abs. 11 EU-DSGVO näher definiert.

Abgabe der Einwilligungserklärung

Die Einwilligung muss nicht zwingend schriftlich abgegeben werden, auch die elektronische oder mündliche Abgabe der Einwilligung ist datenschutzkonform. Hierbei zu beachten ist die Nachweispflicht. Nach Art. 7 Abs. 1 EU-DSGVO steht der Verantwortliche in der Pflicht nachzuweisen, dass die betroffene Person in die Verarbeitung der personenbezogenen Daten eingewilligt hat. Diese Pflicht trifft den Verantwortlichen nicht nur dann, wenn das Vorliegen der Einwilligung bestritten wird, sondern bereits bei Kontrollen der Aufsichtsbehörden muss der Nachweis über die erteilte Einwilligung vorliegen.

Einwilligung nach EU-DSGVO? Nur dann, wenn Sie das Häkchen selbst setzen!