Die Datenschutzgrundverordnung (DSGVO) sieht vor, dass Unternehmen unter bestimmten Voraussetzungen einen Datenschutzbeauftragten bestellen müssen. Trotzdem bleibt die Frage: intern oder extern? Wir schauen uns die jeweiligen Vor- und Nachteile einmal genau an.
Wann Ihr Unternehmen einen Datenschutzbeauftragten braucht
Gesetzestexte sind selten ein Vergnügen – und die DSGVO bildet keine Ausnahme. Wir haben die relevanten Paragraphen durchgearbeitet und fassen zusammen, wann dein Betrieb einen Datenschutzbeauftragten braucht.
- mindestens 10 Personen in deinem Geschäftsbetrieb sind verantwortlich für die Verarbeitung personenbezogener Daten im automatisierten Verfahren
- bei nicht-automatisierter Verarbeitung sind es mindestens 20 Personen
- Art, Umfang oder Zweck der Verarbeitung weisen eine systematische Überwachung betroffener Personen auf
- eine Behörde oder sonstige öffentliche Stelle – ausgenommen Gerichte – verarbeitet für dich diese Daten
Verarbeitung personenbezogener Daten besonderer Kategorien
Artikel 9 DSGVO schreibt zusätzlich einen Datenschutzbeauftragten vor, wenn die Verarbeitung personenbezogener Daten in eine besondere Kategorie fällt.
- rassische und/oder ethnische Herkunft einer Person
- politische Meinungen
- religiöse Überzeugung
- eventuell bestehende Gewerkschaftszugehörigkeit
- genetische sowie biometrische Daten einer Person
- Gesundheitsdaten
Vorsicht: Solche Daten darfst du grundsätzlich nicht verarbeiten – Artikel 9 DSGVO untersagt das. Der Artikel nennt aber direkt Ausnahmen. Die wichtigste davon: Die Verarbeitung ist zulässig, wenn sie von Fachpersonal erfolgt. Hier kommt der Datenschutzbeauftragte ins Spiel.
Intern oder extern?
Willst du einen Datenschutzbeauftragten bestellen, stellt sich die Frage: eigener Mitarbeiter oder externer Spezialist? Beide Varianten haben ihre eigenen Vor- und Nachteile.
Interner Datenschutzbeauftragter
Der grösste Vorteil: Der Mitarbeiter kennt dein Unternehmen bereits. Er kennt die Geschäftsprozesse, die Kommunikationskanäle, die Geschäftsführung und das Kollegium – das beschleunigt Entscheidungen und erleichtert die Kommunikation spürbar.
Derselbe Vorteil birgt aber einen Nachteil. Ein interner Datenschutzbeauftragter ist im Grunde nicht wirklich neutral. In der Praxis zeigt sich, dass bestellte Mitarbeiter voreingenommen sein können.
Dazu kommt der besondere Kündigungsschutz, den der auserwählte Mitarbeiter geniesst. Selbst wenn er seine Arbeit nicht zur vollen Zufriedenheit erfüllt, gilt eine Nachbeschäftigungsfrist von einem Jahr.
Externer Datenschutzbeauftragter
Kein besonderer Kündigungsschutz, keine eingeschränkte Objektivität. Der Nachteil liegt woanders: Ein externer Datenschutzbeauftragter muss dein Unternehmen erst kennenlernen, bevor er effektiv arbeiten kann. Das kostet Zeit.
Genau dieses Kennenlernen bringt aber auch einen Vorteil. Wer vorher in diversen anderen Betrieben tätig war, verfügt über einen grossen Erfahrungsschatz – und der fliesst direkt in dein Unternehmen ein. In der Regel handelt es sich um einen echten Spezialisten auf dem Gebiet des Datenschutzes.
Fachkunde und Zuverlässigkeit nicht vergessen!
Nicht jeder darf sich einfach so «Datenschutzbeauftragter» nennen. Das fügt der Liste von Nachteilen der internen Variante einen weiteren Punkt hinzu. Gemäss DSGVO muss der ausgewählte interne oder externe Mitarbeiter sowohl die nötige Fachkunde als auch Zuverlässigkeit aufweisen.
- sowohl technische als auch juristische Kenntnisse im Zusammenhang mit der Datenverarbeitung
- der Datenschutzbeauftragte muss alle mit der Datenverarbeitung betrauten Mitarbeiter sensibilisieren und schulen – das erfordert gewisse Kenntnisse in Pädagogik/Lehrwissenschaft in Bezug auf Erwachsenenbildung
- als zuverlässig im Sinne des Gesetzes gilt, «wer aufgrund persönlicher Eigenschaften und Verhaltens geeignet ist, seine Aufgaben ordnungsgemäss zu erfüllen». Massgebend sind insbesondere Verschwiegenheit und die Fähigkeit zur Objektivität. Interne Datenschutzbeauftragte beherbergen oftmals einen gewissen Interessenskonflikt.