Kurzantwort
Für einen Konzern genügt die fachkundige Benennung eines Datenschutzbeauftragten allein nicht. Erforderlich ist eine belastbar organisierte DSB-Funktion.
Hierzu gehören insbesondere ein eindeutig festgelegter Geltungsbereich, angemessene personelle Kapazitäten, eine geregelte Vertretung, lokale Ansprechpartner, definierte Kommunikationswege, ein Prüf- und Auditplan, regelmäßiges Management-Reporting, dokumentierte Empfehlungen, geregelte Eskalationswege und ein verlässlicher Kommunikationskanal zu den zuständigen Aufsichtsbehörden.
Die Benennung bestimmt, wer die Funktion wahrnimmt. Das Betriebsmodell regelt, wie sie innerhalb der Unternehmensgruppe wirksam ausgeübt werden kann.
Die Benennung des Datenschutzbeauftragten als Ausgangspunkt
Die Benennung beziehungsweise Bestellung eines Datenschutzbeauftragten ist zunächst ein formaler und rechtlicher Vorgang. Sie beantwortet die Frage, wer die gesetzlich vorgesehene Funktion wahrnimmt.
Damit ist jedoch noch nicht festgelegt, wie diese Funktion im laufenden Betrieb einer Unternehmensgruppe eingebunden wird. Insbesondere ist zu klären, wie der Datenschutzbeauftragte über neue Projekte und kritische Verarbeitungsvorgänge informiert wird, welche Gesellschaften und Standorte vom Mandat umfasst sind und welche lokalen Ansprechpartner ihn unterstützen.
Weitere Regelungen sind regelmäßig für die Vertretung, die Priorisierung von Datenschutz-Folgenabschätzungen, Beschwerden, Audits und Datenschutzvorfällen sowie für die Berichterstattung an die Geschäftsleitung erforderlich. Ebenso sollte nachvollziehbar dokumentiert werden können, ob und zu welchem Zeitpunkt der Datenschutzbeauftragte in einen Vorgang eingebunden wurde.
Diese organisatorischen Fragen werden durch die Bestellungsurkunde regelmäßig nicht beantwortet. Sie sind Gegenstand eines gesonderten Betriebsmodells.
Besonderheiten eines DSB-Mandats im Konzern
In kleineren Unternehmen kann eine einzelne Person einen erheblichen Teil der datenschutzrechtlich relevanten Vorgänge unmittelbar überblicken. In einem Konzern bestehen dagegen regelmäßig mehrere Gesellschaften, Länder, Geschäftsbereiche und Führungsebenen, die jeweils eigene Entscheidungen treffen.
Verantwortlichkeiten sind verteilt, Systeme und Datenflüsse überschneiden sich und lokale Anforderungen treffen auf zentrale Richtlinien. Projekte werden häufig parallel geplant und umgesetzt.
Zu berücksichtigen sind insbesondere:
- unterschiedliche Geschäftsmodelle,
- voneinander abweichende Risikoprofile,
- internationale Datenübermittlungen,
- zentral eingesetzte IT-Systeme,
- lokale Prozesse im Personalbereich,
- gemeinsam genutzte Dienstleister,
- bestehende Compliance- und Informationssicherheitsfunktionen,
- mehrere zuständige Aufsichtsbehörden,
- branchenspezifische regulatorische Anforderungen.
Eine DSB-Funktion muss in der Lage sein, diese organisatorische und fachliche Komplexität angemessen abzubilden.
Es reicht deshalb regelmäßig nicht aus, eine für ein einzelnes Unternehmen vorgesehene Beratungsleistung lediglich auf eine größere Zahl von Gesellschaften auszuweiten. Erforderlich sind vielmehr klar definierte Strukturen, Rollen, Kapazitäten und wiederkehrende Arbeitsabläufe.
Gemeinsamer oder externer Datenschutzbeauftragter für eine Unternehmensgruppe
Die DSGVO sieht vor, dass eine Unternehmensgruppe einen gemeinsamen Datenschutzbeauftragten benennen kann, sofern dieser von jeder Niederlassung aus leicht erreichbar ist.
Die Funktion kann intern ausgeübt oder auf Grundlage eines Dienstleistungsvertrags extern wahrgenommen werden. Damit kommt ein externer oder gruppenweit tätiger Datenschutzbeauftragter grundsätzlich auch für größere Unternehmensgruppen in Betracht.
Maßgeblich ist, wie die Funktion organisiert wird, damit sie trotz der Größe der Unternehmensgruppe erreichbar, unabhängig und wirksam bleibt.
Dabei sollte eindeutig festgelegt werden, für welche Gesellschaften die Benennung gilt, welche rechtlichen Einheiten in das Mandat einbezogen sind und wie lokale Besonderheiten berücksichtigt werden. Ein konzernweites Organigramm ersetzt keine hinreichend bestimmte Abgrenzung des Mandats.
Anforderungen in Auswahl- und Ausschreibungsverfahren
Große Unternehmen prüfen bei der Auswahl eines externen Datenschutzbeauftragten regelmäßig nicht ausschließlich dessen Ausbildung, Zertifikate und Berufserfahrung. Von Bedeutung ist auch, ob der Anbieter die Funktion organisatorisch und personell dauerhaft tragen kann.
Typische Fragen in Ausschreibungen betreffen:
- die persönlich benannte Hauptperson,
- Vertretungs- und Backup-Regelungen,
- verfügbare Kapazitäten,
- vereinbarte Reaktionszeiten,
- Branchenkenntnisse,
- internationale Abdeckung,
- Sprachkompetenzen,
- Unterstützung bei Audits,
- Kommunikation mit Aufsichtsbehörden,
- Begleitung von Datenschutzvorfällen,
- Unterstützung bei Datenschutz-Folgenabschätzungen,
- regelmäßige Abstimmungstermine,
- Berichte an das Management,
- Eskalationswege,
- eingesetzte Software,
- Dokumentation und Nachweisführung,
- Preis- und Leistungsmodelle.
Hinter diesen Fragen steht die Prüfung, ob lediglich eine fachkundige Einzelperson oder eine dauerhaft funktionsfähige Datenschutzorganisation zur Verfügung steht.
Anforderungen an die Fachkunde
Ein Betriebsmodell kann die erforderliche Fachkunde des Datenschutzbeauftragten nicht ersetzen.
Der Datenschutzbeauftragte muss die rechtlichen, technischen und organisatorischen Zusammenhänge der relevanten Verarbeitungen verstehen. Er muss Risiken beurteilen, Empfehlungen aussprechen, Kontrollen durchführen und als Ansprechpartner für Betroffene und Aufsichtsbehörden zur Verfügung stehen.
In einer Unternehmensgruppe kann allgemeines Datenschutzwissen jedoch nicht in jedem Fall ausreichen. Je nach Geschäftsmodell und Verarbeitungstätigkeit können zusätzliche Kenntnisse erforderlich sein, insbesondere in den Bereichen:
- Beschäftigtendatenschutz,
- Cloud- und Plattformarchitekturen,
- internationale Datenübermittlungen,
- Cybersecurity,
- Marketing und Tracking,
- Verarbeitung von Gesundheitsdaten,
- Finanz- und Versicherungsprozesse,
- Automotive,
- Logistik,
- industrielle Produktion,
- künstliche Intelligenz,
- konzerninterne Datenflüsse.
Ein belastbares DSB-Modell sollte deshalb die persönliche Fachkunde des benannten Datenschutzbeauftragten mit dem Zugriff auf weitere Spezialisten verbinden.
Der verantwortliche Datenschutzbeauftragte muss nicht jede technische oder branchenspezifische Frage allein bearbeiten. Er sollte jedoch beurteilen können, welche zusätzlichen Kompetenzen erforderlich sind und diese rechtzeitig einbinden.
Sechs Bausteine eines belastbaren DSB-Betriebsmodells
1. Mandat und Geltungsbereich
Zu Beginn des Mandats ist festzulegen, welche rechtlichen Einheiten, Standorte und Tätigkeiten erfasst werden.
Zu berücksichtigen sind insbesondere:
- einbezogene Gesellschaften,
- Länder und Standorte,
- Rollen als Verantwortlicher oder Auftragsverarbeiter,
- zentrale und lokale Prozesse,
- besondere regulatorische Anforderungen,
- bereits bestehende lokale Datenschutzrollen,
- Schnittstellen zu Legal, Compliance und Informationssicherheit.
Ohne eine klare Abgrenzung können innerhalb einer Unternehmensgruppe unklare oder sich überschneidende Zuständigkeiten entstehen.
So kann eine zentrale Datenschutzfunktion davon ausgehen, für eine Tochtergesellschaft zuständig zu sein, während die Tochtergesellschaft einen lokalen Ansprechpartner als verantwortliche Stelle innerhalb der Datenschutzorganisation betrachtet. In der Folge besteht das Risiko, dass kritische Vorgänge nicht oder verspätet bearbeitet werden.
Ein wirksames Mandat muss deshalb rechtlich hinreichend bestimmt und für die betroffenen Organisationseinheiten operativ verständlich sein.
Jede einbezogene Einheit sollte insbesondere wissen:
- wer als Datenschutzbeauftragter benannt ist,
- wie dieser erreicht werden kann,
- bei welchen Vorgängen eine Einbindung erforderlich ist,
- welche Informationen zur Prüfung bereitgestellt werden müssen,
- wer über die Umsetzung seiner Empfehlungen entscheidet.
2. Kapazitäts- und Kompetenzmodell
Der Umfang des Mandats muss sich in den bereitgestellten personellen und fachlichen Ressourcen widerspiegeln.
Eine Unternehmensgruppe mit zahlreichen Gesellschaften, mehreren tausend Beschäftigten und komplexen Verarbeitungsvorgängen kann regelmäßig nicht mit einem pauschalen Minimalaufwand angemessen betreut werden.
Die Kapazitätsplanung kann sich insbesondere an folgenden Kriterien orientieren:
- Anzahl und Größe der einbezogenen Gesellschaften,
- Zahl der Beschäftigten,
- Risiken der Verarbeitungstätigkeiten,
- Zahl und Umfang laufender Projekte,
- Volumen der Datenschutzanfragen,
- Zahl der Datenschutzvorfälle,
- Umfang der Dienstleisterlandschaft,
- internationale Tätigkeit,
- regulatorisches Umfeld,
- Reifegrad der bestehenden Datenschutzorganisation.
Maßgeblich ist nicht ausschließlich die Anzahl vereinbarter Beratungstage. Zusätzlich ist festzulegen, welche fachlichen Kompetenzen im Rahmen des Mandats tatsächlich zur Verfügung stehen.
Ein tragfähiges Modell kann beispielsweise folgende Rollen umfassen:
- verantwortlicher Lead DSB,
- benannter Stellvertreter,
- Datenschutzjuristen,
- technische Datenschutzexperten,
- Audit-Spezialisten,
- Branchenexperten,
- operative Datenschutzberater,
- Unterstützung für Plattformbetrieb und Reporting.
Durch eine solche Struktur kann vermieden werden, dass das gesamte Mandat von der Verfügbarkeit einer einzelnen Person abhängt.
3. Erreichbarkeit, Vertretung und lokale Einbindung
Eine Unternehmensgruppe benötigt klar benannte und erreichbare Ansprechpartner.
Der Lead DSB sollte innerhalb der Organisation sichtbar und erreichbar sein. Gleichzeitig ist eine verlässliche Vertretung vorzusehen. Urlaub, Krankheit oder parallel auftretende kritische Vorgänge dürfen nicht dazu führen, dass die Funktion vorübergehend nicht wahrgenommen werden kann.
Ein belastbares Modell sollte daher insbesondere regeln:
- die Person des Lead DSB,
- mindestens einen verbindlich benannten Vertreter,
- Reaktionszeiten,
- Befugnisse im Vertretungsfall,
- lokale Datenschutzkoordinatoren,
- Kommunikationskanäle,
- zentrale Eingangspunkte für Anfragen,
- Erreichbarkeit für Beschäftigte und Betroffene.
Lokale Datenschutzkoordinatoren ersetzen den Datenschutzbeauftragten nicht. Sie können jedoch wesentlich dazu beitragen, dass Informationen aus den Fachbereichen rechtzeitig an ihn weitergegeben werden.
Sie kennen regelmäßig die lokalen Prozesse, Projekte und Ansprechpartner, können Informationen vorbereiten und die Umsetzung vereinbarter Maßnahmen nachverfolgen.
Voraussetzung ist eine klare Abgrenzung der Rollen. Der lokale Koordinator unterstützt die Datenschutzorganisation. Der Datenschutzbeauftragte berät und überwacht. Die verantwortlichen Stellen und das Management treffen die erforderlichen Entscheidungen und tragen die Verantwortung für deren Umsetzung.
4. Operative Abläufe und Serviceprozesse
Ein DSB-Mandat sollte nicht ausschließlich auf eingehende Einzelanfragen reagieren. Es benötigt wiederkehrende und risikoorientierte Arbeitsabläufe.
Hierzu können gehören:
- wöchentliche oder monatliche Abstimmungstermine,
- regelmäßige Abstimmungen mit Legal und Informationssicherheit,
- Prüfung neuer Projekte,
- Begleitung von Datenschutz-Folgenabschätzungen,
- Überprüfung kritischer Verarbeitungstätigkeiten,
- Beratung bei Auftragsverarbeitungen,
- Unterstützung bei der Bearbeitung von Betroffenenrechten,
- Begleitung von Datenschutzvorfällen,
- Prüfung internationaler Datenübermittlungen,
- wiederkehrende Kontrollen,
- Schulungs- und Awareness-Maßnahmen.
Die Taktung sollte sich nach dem jeweiligen Risiko und der Dringlichkeit richten. Ein kritischer Datenschutzvorfall kann nicht bis zu einem regulären Monatsgespräch zurückgestellt werden. Eine strategische Überprüfung der Datenschutzorganisation muss dagegen regelmäßig nicht in kurzen Abständen erfolgen.
Das Mandat sollte daher unterschiedliche Bearbeitungswege vorsehen, etwa für:
- den Regelbetrieb,
- priorisierte Beratungsanfragen,
- kritische Eskalationen,
- die Unterstützung bei Datenschutzvorfällen,
- die Kommunikation mit Aufsichtsbehörden.
Eine hinreichend konkrete Servicebeschreibung macht nachvollziehbar, welcher Bearbeitungsweg für welche Art von Vorgang vorgesehen ist.
5. Kontrolle, Audit und Berichtswesen
Zu den Aufgaben des Datenschutzbeauftragten gehört neben der Beratung auch die Überwachung der Einhaltung datenschutzrechtlicher Anforderungen und interner Datenschutzvorgaben.
Hierfür sollte ein strukturierter und risikoorientierter Prüfplan vorgesehen werden.
Ein Auditplan kann insbesondere folgende Bereiche berücksichtigen:
- besonders risikoreiche Verarbeitungstätigkeiten,
- besondere Kategorien personenbezogener Daten,
- internationale Datenflüsse,
- zentrale IT-Systeme,
- Beschäftigtendaten,
- Marketingprozesse,
- Löschkonzepte,
- Auftragsverarbeiter,
- Berechtigungskonzepte,
- Anwendungen künstlicher Intelligenz,
- wiederkehrende Schwachstellen.
Auditfeststellungen sollten nicht isoliert dokumentiert werden. Aus ihnen sind regelmäßig konkrete Maßnahmen abzuleiten. Für diese Maßnahmen sollten Verantwortliche und Fristen festgelegt sowie eine Nachverfolgung vorgesehen werden. Kritische Abweichungen sind gegebenenfalls zu eskalieren.
Entsprechendes gilt für das Berichtswesen.
Ein Managementbericht sollte sich nicht auf die Aufzählung bearbeiteter Anfragen beschränken. Er sollte der Geschäftsleitung insbesondere eine verdichtete Darstellung folgender Punkte ermöglichen:
- wesentliche Datenschutzrisiken,
- kritische offene Maßnahmen,
- überfällige Entscheidungen,
- laufende Datenschutz-Folgenabschätzungen,
- relevante Datenschutzvorfälle,
- wesentliche Prüfungsfeststellungen,
- wiederkehrende Schwachstellen,
- erfolgte Eskalationen,
- Veränderungen gegenüber der vorherigen Berichtsperiode.
Die Geschäftsleitung benötigt regelmäßig keine vollständige Darstellung sämtlicher Einzelfälle. Erforderlich ist eine belastbare Übersicht über Risiken, ausstehende Entscheidungen und bestehenden Handlungsbedarf.
6. Eskalation und Kommunikation mit Aufsichtsbehörden
Der Datenschutzbeauftragte muss seine Aufgaben unabhängig wahrnehmen können. Dazu gehört, dass kritische Empfehlungen nicht innerhalb operativer Abstimmungsprozesse unbeachtet bleiben.
Ein belastbares Betriebsmodell sollte insbesondere festlegen:
- wann ein Vorgang als kritisch einzustufen ist,
- welche Stellen zunächst zu informieren sind,
- unter welchen Voraussetzungen eine Eskalation an die Geschäftsleitung erfolgt,
- wie Empfehlungen des Datenschutzbeauftragten dokumentiert werden,
- wie abweichende Entscheidungen festgehalten werden,
- wie dringende Vorfälle bearbeitet werden,
- wer die Kommunikation mit Aufsichtsbehörden koordiniert.
Dies ist insbesondere relevant, wenn die verantwortliche Stelle einer Empfehlung des Datenschutzbeauftragten nicht folgt.
Der Datenschutzbeauftragte trifft operative Entscheidungen regelmäßig nicht selbst. Die Verantwortlichen können nach eigener Prüfung zu einer abweichenden Bewertung gelangen. In diesem Fall sollte jedoch nachvollziehbar dokumentiert werden:
- welche Empfehlung ausgesprochen wurde,
- auf welchem Sachverhalt sie beruhte,
- welche Risiken benannt wurden,
- wer die abweichende Entscheidung getroffen hat,
- welche alternativen oder ergänzenden Maßnahmen vorgesehen wurden.
Eine dokumentierte abweichende Entscheidung ist organisatorisch anders zu bewerten als eine Empfehlung, die ohne erkennbare Prüfung unbeachtet bleibt.
Zusammenhang zwischen Reporting und Softwareunterstützung
Ein DSB-Betriebsmodell kann bei einem umfangreichen Geltungsbereich regelmäßig nicht dauerhaft allein auf E-Mails, Tabellen und persönlichen Notizen beruhen.
Mit der Größe des Mandats steigt das Risiko, dass Informationen auf unterschiedliche Systeme verteilt, nicht einheitlich aktualisiert oder später nicht mehr vollständig nachvollzogen werden können.
Eine geeignete Plattform sollte deshalb über die Führung eines Verzeichnisses von Verarbeitungstätigkeiten hinausgehen und die laufende Tätigkeit der DSB-Funktion unterstützen.
Hierzu können insbesondere folgende Funktionen gehören:
- strukturierte Erfassung von Anfragen,
- Zuordnung zu Gesellschaften und Verantwortlichen,
- Dokumentation von Datenschutzbewertungen,
- Verwaltung von Risiken und Maßnahmen,
- Abbildung von Datenschutz-Folgenabschätzungen,
- Fristen und Wiedervorlagen,
- Dokumentation von Empfehlungen des Datenschutzbeauftragten,
- Erfassung getroffener Entscheidungen,
- Verwaltung von Auditfeststellungen,
- Ablage von Nachweisen,
- Erstellung von Managementberichten,
- Dokumentation von Eskalationen.
Von besonderer Bedeutung ist die Verknüpfung der einzelnen Informationen.
Eine Verarbeitungstätigkeit kann beispielsweise einem System, einem Dienstleister, einer Datenschutz-Folgenabschätzung, einem Risiko und einer daraus abgeleiteten Maßnahme zugeordnet werden. Eine Empfehlung des Datenschutzbeauftragten wird damit nicht ausschließlich in einer E-Mail dokumentiert, sondern bleibt mit dem zugrunde liegenden Vorgang verbunden.
Dies kann die Bearbeitung der Vorgänge unterstützen und zugleich die Nachweisfähigkeit der Datenschutzorganisation verbessern.
Geeignete Kennzahlen für ein DSB-Mandat
Bei der Festlegung von Kennzahlen für eine DSB-Funktion ist zu berücksichtigen, dass nicht jede einfach messbare Größe eine belastbare Aussage über die Wirksamkeit der Funktion ermöglicht.
Die Anzahl beantworteter E-Mails lässt regelmäßig keine verlässliche Bewertung der Beratungs- und Kontrollqualität zu. Auch eine geringe Zahl gemeldeter Datenschutzvorfälle ist nicht ohne Weiteres positiv zu bewerten, da sie ebenso auf unzureichende Meldeprozesse hinweisen kann.
Geeigneter sind Kennzahlen, die Risiken, Bearbeitungsstände und Steuerungsbedarf sichtbar machen.
In Betracht kommen beispielsweise:
- Anzahl offener kritischer Maßnahmen,
- Anzahl überfälliger Maßnahmen,
- durchschnittliche Bearbeitungszeit nach Prioritätsstufen,
- Anzahl laufender Datenschutz-Folgenabschätzungen,
- Zeitraum bis zur Einbindung des Datenschutzbeauftragten,
- Anteil fristgerecht überprüfter Hochrisikoverarbeitungen,
- wiederkehrende Auditfeststellungen,
- Bearbeitungsstand kritischer Empfehlungen,
- Anzahl und Art erfolgter Eskalationen,
- offene Betroffenenanfragen,
- Vollständigkeit zentraler Datenschutzdokumentationen.
Kennzahlen dürfen die unabhängige Tätigkeit des Datenschutzbeauftragten nicht auf die Produktivität eines Ticketsystems reduzieren. Maßgeblich ist nicht, ob möglichst viele Vorgänge in möglichst kurzer Zeit geschlossen werden.
Die Kennzahlen sollten vielmehr erkennen lassen, ob die Datenschutzorganisation wesentliche Risiken feststellt, priorisiert und angemessen bearbeitet.
Bedeutung von Branchenkenntnissen
Datenschutzrechtliche Anforderungen gelten branchenübergreifend. Ihre praktische Umsetzung kann sich jedoch je nach Geschäftsmodell, Verarbeitungszweck und regulatorischem Umfeld erheblich unterscheiden.
Ein Datenschutzbeauftragter eines Industrieunternehmens muss andere Prozesse und Risiken verstehen als ein Datenschutzbeauftragter einer Bank, eines Gesundheitsdienstleisters oder eines Onlinehändlers.
Branchenkenntnisse können insbesondere relevant sein für:
- die Bewertung typischer Verarbeitungsrisiken,
- die Priorisierung von Prüfungen,
- die Einordnung etablierter Geschäftsprozesse,
- das Verständnis technischer Systeme,
- die Kommunikation mit Fachbereichen,
- die Berücksichtigung regulatorischer Überschneidungen,
- die Entwicklung praktisch umsetzbarer Maßnahmen.
Kennt der Datenschutzbeauftragte das Geschäftsmodell nicht hinreichend, besteht das Risiko, dass rechtlich nachvollziehbare Empfehlungen im konkreten Unternehmensumfeld nicht oder nur mit unverhältnismäßigem Aufwand umgesetzt werden können.
Fachkunde zeigt sich daher auch darin, Risiken präzise zu erläutern und unter Berücksichtigung der jeweiligen betrieblichen Abläufe umsetzbare Wege zu einem datenschutzkonformen Betrieb aufzuzeigen.
Einbindung des externen Datenschutzbeauftragten in das Incident Management
Bei einem Datenschutzvorfall sind regelmäßig kurze Bearbeitungs- und Entscheidungsfristen zu beachten. Ein externer Datenschutzbeauftragter sollte deshalb vorab in das Incident-Modell des Unternehmens eingebunden werden.
Zu klären ist insbesondere:
- wie der Datenschutzbeauftragte alarmiert wird,
- welche Informationen ihm zur Verfügung gestellt werden,
- wer die Sachverhaltsaufklärung koordiniert,
- wer die mögliche Meldepflicht bewertet,
- wer die getroffene Entscheidung dokumentiert,
- wer mit der Aufsichtsbehörde kommuniziert,
- wer gegebenenfalls betroffene Personen informiert,
- wer technische und organisatorische Maßnahmen koordiniert.
Der Datenschutzbeauftragte berät und überwacht die zuständigen Stellen.
Ohne eine klare Aufgabenverteilung sollte er nicht zugleich die operative Leitung des Vorfalls, die rechtliche Entscheidung, die technische Untersuchung und die unabhängige Kontrolle übernehmen. Gerade bei der Bearbeitung von Datenschutzvorfällen sind die jeweiligen Rollen und Verantwortlichkeiten eindeutig voneinander abzugrenzen.
Ein belastbares Mandat beschreibt diese Schnittstellen bereits vor Eintritt des ersten Vorfalls.
Prüfkriterien bei der Auswahl eines externen Datenschutzbeauftragten
Bei der Auswahl eines externen Datenschutzbeauftragten sollte eine Unternehmensgruppe neben Lebensläufen und Vergütungssätzen auch das vorgesehene Betriebsmodell prüfen.
Mandat
- Welche Gesellschaften, Länder und Standorte können einbezogen werden?
- Wie wird der Geltungsbereich dokumentiert?
- Wie werden lokale Besonderheiten berücksichtigt?
Personen und Kompetenzen
- Wer wird persönlich als Datenschutzbeauftragter benannt?
- Wer übernimmt die Vertretung?
- Welche Fachspezialisten stehen zur Verfügung?
- Wie wird die Kontinuität bei einem Personalwechsel gewährleistet?
Kapazitäten
- Welche personellen Ressourcen sind verbindlich vorgesehen?
- Wie werden vorübergehende Lastspitzen behandelt?
- Welche Reaktionszeiten gelten?
- Wie wird der tatsächlich angefallene Aufwand dargestellt?
Operativer Betrieb
- Welche regelmäßigen Abstimmungstermine sind vorgesehen?
- Wie werden Anfragen eingereicht, bewertet und priorisiert?
- Wie werden Datenschutz-Folgenabschätzungen, Audits und Datenschutzvorfälle bearbeitet?
- Welche Eskalationswege bestehen?
Berichtswesen
- Welche Berichte erhält das Management?
- Wie werden Risiken und Maßnahmen dargestellt?
- Wie werden Empfehlungen und abweichende Entscheidungen dokumentiert?
Technologie
- Welche Software wird eingesetzt?
- Können Gesellschaften, Rollen und Vorgänge getrennt abgebildet werden?
- Sind Audit Trail, Aufgabenverwaltung, Fristen und Exportmöglichkeiten vorhanden?
- Behält der Kunde Zugriff auf seine Daten und Dokumentationen?
Kommunikation mit Aufsichtsbehörden
- Welche Erfahrungen bestehen im Umgang mit Aufsichtsbehörden?
- Wer übernimmt welche Teile der Kommunikation?
- Wie werden Anfragen und Stellungnahmen koordiniert?
- Unter welchen Voraussetzungen wird die Geschäftsleitung einbezogen?
Preis und Leistungsumfang
- Welche Leistungen sind im Grundmandat enthalten?
- Welche Tätigkeiten werden gesondert berechnet?
- Wie werden Projekte und Sonderprüfungen behandelt?
- Welche Kapazitäten werden verbindlich zugesagt?
- Wie kann der Leistungsumfang bei verändertem Bedarf angepasst werden?
Kriterien für eine kritische Prüfung des Angebots
Ein Angebot sollte näher geprüft werden, wenn:
- keine konkrete Person als Lead DSB benannt wird,
- Vertretungsregelungen lediglich unverbindlich beschrieben werden,
- der Leistungsumfang ausschließlich anhand einer Stundenzahl definiert wird,
- keine Eskalationslogik vorgesehen ist,
- ein regelmäßiges Management-Reporting fehlt,
- Audits ausschließlich auf gesonderte Einzelanfrage durchgeführt werden,
- keine strukturierte Dokumentation oder geeignete Software vorgesehen ist,
- Reaktionszeiten nicht festgelegt werden,
- keine Fachspezialisten verfügbar sind,
- die Kommunikation mit Aufsichtsbehörden nicht geregelt ist,
- wesentliche Zusatzleistungen nicht eindeutig beschrieben werden,
- umfangreiche Mandate mit erkennbar begrenzten Kapazitäten angeboten werden.
Ein niedriger Preis kann bei der Auswahl berücksichtigt werden. Er ist jedoch nur aussagekräftig, wenn die für das Mandat erforderlichen Leistungen, Kapazitäten und Reaktionsmöglichkeiten tatsächlich abgedeckt sind.
Unterstützung des Betriebsmodells durch Ailance Externer DSB
Ailance Externer DSB kann die fachliche Tätigkeit des Datenschutzbeauftragten mit einer strukturierten Arbeits- und Nachweisplattform verbinden.
Die Software ersetzt weder die Aufgabenwahrnehmung noch die persönliche Verantwortung des Datenschutzbeauftragten. Sie kann jedoch dazu beitragen, seine Einbindung, Empfehlungen, Prüfungen und die daraus abgeleiteten Maßnahmen innerhalb der Unternehmensorganisation abzubilden.
Über die Plattform können unter anderem folgende Informationen und Prozesse verwaltet werden:
- Gesellschaften und Geltungsbereiche,
- Ansprechpartner und Datenschutzkoordinatoren,
- Anfragen an den Datenschutzbeauftragten,
- Verarbeitungstätigkeiten,
- Datenschutz-Folgenabschätzungen,
- Risiken und Maßnahmen,
- Prüfungen und Auditpläne,
- Datenschutzvorfälle,
- Stellungnahmen,
- Freigaben und Entscheidungen,
- Fristen und Wiedervorlagen,
- Managementberichte,
- Eskalationen.
Der externe Datenschutzbeauftragte kann damit innerhalb eines dokumentierten Governance-Prozesses mit dem Management, den Fachbereichen und den lokalen Ansprechpartnern zusammenarbeiten.
Für die Unternehmensgruppe kann eine zentrale Übersicht bereitgestellt werden, aus der insbesondere hervorgeht:
- welche Vorgänge offen sind,
- wo kritische Risiken bestehen,
- welche Maßnahmen überfällig sind,
- welche Gesellschaften zusätzlichen Unterstützungsbedarf haben,
- welche Empfehlungen ausgesprochen wurden,
- welche Entscheidungen noch ausstehen,
- in welchen Fällen ein Tätigwerden des Managements erforderlich ist.
Die Plattform kann auf diese Weise die Transparenz und Nachvollziehbarkeit der DSB-Tätigkeit unterstützen, ohne die gesetzlich vorgesehene Unabhängigkeit des Datenschutzbeauftragten aufzuheben.
Abgrenzung zwischen Vertrag und Betriebskonzept
Ein Dienstleistungsvertrag regelt, dass und unter welchen Bedingungen ein Anbieter bestimmte Leistungen erbringt. Das Betriebskonzept beschreibt dagegen, wie die DSB-Funktion innerhalb der Unternehmensgruppe tatsächlich ausgeübt wird.
Ein Vertrag enthält typischerweise Regelungen zu:
- Leistungsbeschreibung,
- Vergütung,
- Laufzeit,
- Haftung,
- Kündigung,
- Vertraulichkeit.
Das Betriebskonzept ergänzt insbesondere Vorgaben zu:
- Rollen und Verantwortlichkeiten,
- Geltungsbereich,
- Kapazitäten,
- Vertretung,
- Kommunikationswegen,
- regelmäßigen Abstimmungen,
- Auditplanung,
- Kennzahlen,
- Reporting,
- Eskalationswegen,
- Incident-Prozessen,
- Behördenkommunikation,
- Systemunterstützung.
Beide Regelungsebenen sind für ein belastbares Mandat von Bedeutung.
Fehlt ein hinreichend konkretes Betriebsmodell, können zwischen Auftraggeber und Anbieter unterschiedliche Erwartungen entstehen. Der Auftraggeber geht möglicherweise davon aus, eine vollständige DSB-Funktion beauftragt zu haben, während der Anbieter das Mandat als zeitlich begrenztes Beratungskontingent versteht.
Solche Unterschiede werden häufig erst im laufenden Betrieb oder bei einem kritischen Vorgang erkennbar.
Kernelemente eines Konzernmandats
Ein belastbares Konzernmandat sollte mindestens folgende Elemente erkennen lassen:
Lead DSB
Persönlich benannte Hauptperson, die für die Wahrnehmung der Funktion zuständig ist.
Vertretung
Verbindlich geregelter Vertreter mit Zugriff auf die für das Mandat erforderlichen Informationen.
Fachteam
Verfügbare juristische, technische und branchenspezifische Unterstützung.
Regelmäßige Abstimmung
Festgelegte Termine mit definierter Agenda und Nachverfolgung vereinbarter Maßnahmen.
Auditplan
Risikoorientierte Prüfungen über Gesellschaften, Standorte und Themenbereiche hinweg.
KPI- und Management-Reporting
Verdichtete Darstellung wesentlicher Risiken, Maßnahmen, Fristen und Entwicklungen.
Incident-Eskalation
Definierter Prozess für dringende oder besonders risikoreiche Datenschutzvorfälle.
Behördenkommunikation
Geregelte Zusammenarbeit mit den zuständigen Aufsichtsbehörden.
Fehlt eines dieser Elemente, sollte geprüft werden, durch welche andere organisatorische Regelung die jeweilige Funktion sichergestellt wird.
Prüffragen für bestehende DSB-Mandate
Bei der Überprüfung eines bestehenden Vertrags oder Betriebskonzepts können insbesondere folgende Fragen herangezogen werden:
- Wer vertritt den Datenschutzbeauftragten?
- Welche Gesellschaften sind konkret vom Mandat umfasst?
- Welche Reaktionszeit gilt bei einem kritischen Datenschutzvorfall?
- Welche Audits sind für das laufende Jahr vorgesehen?
- Welche Datenschutzrisiken werden der Geschäftsleitung berichtet?
- Wie werden Empfehlungen und abweichende Entscheidungen dokumentiert?
- Über welche Plattform werden offene Maßnahmen, Fristen und Eskalationen verwaltet?
Lassen sich diese Fragen anhand der bestehenden Unterlagen nicht beantworten, ist zu prüfen, ob neben dem Vertrag ein hinreichend konkretes Betriebskonzept vorhanden ist.
Fazit
Die Benennung eines Konzern-Datenschutzbeauftragten schafft die gesetzlich vorgesehene Funktion. Sie gewährleistet für sich genommen jedoch noch nicht, dass diese Funktion innerhalb einer komplexen Unternehmensgruppe wirksam ausgeübt werden kann.
Hierfür sind insbesondere erforderlich:
- ein eindeutig definierter Geltungsbereich,
- angemessene personelle Kapazitäten,
- Fach- und Branchenkompetenz,
- eine verbindliche Vertretungsregelung,
- lokale Einbindung,
- regelmäßige operative Abläufe,
- ein risikoorientierter Auditplan,
- Management-Reporting,
- dokumentierte Empfehlungen,
- geregelte Eskalationswege,
- eine festgelegte Behördenkommunikation,
- geeignete technische Unterstützung.
Bei der Auswahl eines externen Datenschutzbeauftragten sollten größere Unternehmen daher neben der persönlichen Fachkunde auch die Verfügbarkeit, Kontinuität, Nachweisfähigkeit und organisatorische Ausgestaltung des vorgesehenen Servicekonzepts prüfen.
Maßgeblich ist, ob das Mandat über einen Vertrag hinaus über ein nachvollziehbares und belastbares Betriebsmodell verfügt.
Fragen und Antworten
Können Konzerne einen gemeinsamen Datenschutzbeauftragten benennen?
Eine Unternehmensgruppe kann nach der DSGVO einen gemeinsamen Datenschutzbeauftragten benennen, sofern dieser von jeder Niederlassung aus leicht erreichbar ist. Dabei sollten der Geltungsbereich, die Erreichbarkeit und die Berücksichtigung lokaler Anforderungen eindeutig geregelt werden.
Kann ein Konzern einen externen Datenschutzbeauftragten einsetzen?
Ja. Die Aufgaben des Datenschutzbeauftragten können auf Grundlage eines Dienstleistungsvertrags extern wahrgenommen werden. Die Größe der Unternehmensgruppe steht dem grundsätzlich nicht entgegen, erfordert jedoch ein Betriebsmodell, das den Umfang und die Komplexität des Mandats angemessen berücksichtigt.
Welche Anforderungen stellt ein Konzern an einen externen Datenschutzbeauftragten?
Neben der erforderlichen Fachkunde sind insbesondere ausreichende Kapazitäten, Vertretung, Erreichbarkeit, Branchenkenntnisse, definierte Serviceprozesse, Audit-Unterstützung, Management-Reporting, Begleitung von Datenschutzvorfällen und geregelte Behördenkommunikation relevant.
Warum genügt die Benennung eines Datenschutzbeauftragten nicht?
Die Benennung legt fest, wer die Funktion wahrnimmt. Sie regelt jedoch regelmäßig nicht, wie Anfragen, Prüfungen, Audits, Datenschutzvorfälle, Eskalationen und Berichte im laufenden Betrieb bearbeitet werden.
Was gehört in ein DSB-Betriebsmodell?
Ein DSB-Betriebsmodell umfasst insbesondere Mandat und Geltungsbereich, Lead DSB, Vertretung, Fachteam, lokale Ansprechpartner, Kapazitäten, regelmäßige Abstimmungen, Auditplan, Kennzahlen, Reporting, Incident-Prozesse, Eskalationswege und Behördenkommunikation.
Muss ein externer Datenschutzbeauftragter ständig verfügbar sein?
Der Datenschutzbeauftragte muss für die Organisation, Beschäftigte, betroffene Personen und Aufsichtsbehörden in angemessener Weise erreichbar sein. Für kritische Vorgänge sollten konkrete Reaktionszeiten und belastbare Vertretungsregelungen vereinbart werden.
Welche Aufgaben haben lokale Datenschutzkoordinatoren?
Lokale Datenschutzkoordinatoren können die DSB-Funktion unterstützen, indem sie Informationen zusammentragen, Ansprechpartner vermitteln und die Umsetzung von Maßnahmen nachverfolgen. Sie ersetzen den Datenschutzbeauftragten nicht.
Welche Kennzahlen sind für ein DSB-Mandat geeignet?
In Betracht kommen beispielsweise offene kritische Maßnahmen, überfällige Aufgaben, Bearbeitungszeiten nach Prioritätsstufen, laufende Datenschutz-Folgenabschätzungen, wiederkehrende Auditfeststellungen und der Bearbeitungsstand kritischer Empfehlungen.
Wie sollte der Datenschutzbeauftragte an die Geschäftsleitung berichten?
Das Reporting sollte insbesondere wesentliche Risiken, kritische Maßnahmen, relevante Datenschutzvorfälle, Prüfungsfeststellungen, Eskalationen und Veränderungen gegenüber vorherigen Berichtsperioden zusammenfassen.
Warum kann eine Softwareplattform für externe Datenschutzbeauftragte relevant sein?
Eine Plattform kann Anfragen, Verarbeitungstätigkeiten, Risiken, Prüfungen, Empfehlungen, Maßnahmen, Fristen und Nachweise miteinander verbinden. Dadurch kann die Tätigkeit der DSB-Funktion innerhalb der Unternehmensgruppe nachvollziehbar dokumentiert und gesteuert werden.
Welche Rolle übernimmt Ailance beim externen Datenschutzbeauftragten?
Ailance kann die strukturierte Zusammenarbeit zwischen Datenschutzbeauftragtem, Management, Fachbereichen und lokalen Ansprechpartnern unterstützen. Über die Plattform können Vorgänge, Empfehlungen, Maßnahmen, Fristen und Berichte zentral dokumentiert werden.
Woran lässt sich ein unzureichend ausgestaltetes DSB-Angebot erkennen?
Prüfungsbedarf besteht insbesondere bei unklaren Vertretungsregelungen, nicht benannten Ansprechpartnern, fehlenden Reaktionszeiten, einem fehlenden Auditplan, nicht vorgesehenem Management-Reporting, unklaren Eskalationswegen und Kapazitäten, die dem Umfang des Mandats erkennbar nicht entsprechen.
German 
English 
Italian 
French