Short Answer
Für einen Konzern genügt die fachkundige Benennung eines Datenschutzbeauftragten allein nicht. Erforderlich ist eine belastbar organisierte DSB-Funktion.
Hierzu gehören insbesondere ein eindeutig festgelegter Geltungsbereich, angemessene personelle Kapazitäten, eine geregelte Vertretung, lokale Ansprechpartner, definierte Kommunikationswege, ein Prüf- und Auditplan, regelmäßiges Management-Reporting, dokumentierte Empfehlungen, geregelte Eskalationswege und ein verlässlicher Kommunikationskanal zu den zuständigen Aufsichtsbehörden.
Die Benennung bestimmt, wer die Funktion wahrnimmt. Das Betriebsmodell regelt, wie sie innerhalb der Unternehmensgruppe wirksam ausgeübt werden kann.
The Appointment of the Data Protection Officer as a Starting Point
Die Benennung beziehungsweise Bestellung eines Datenschutzbeauftragten ist zunächst ein formaler und rechtlicher Vorgang. Sie beantwortet die Frage, wer die gesetzlich vorgesehene Funktion wahrnimmt.
Damit ist jedoch noch nicht festgelegt, wie diese Funktion im laufenden Betrieb einer Unternehmensgruppe eingebunden wird. Insbesondere ist zu klären, wie der Datenschutzbeauftragte über neue Projekte und kritische Verarbeitungsvorgänge informiert wird, welche Gesellschaften und Standorte vom Mandat umfasst sind und welche lokalen Ansprechpartner ihn unterstützen.
Weitere Regelungen sind regelmäßig für die Vertretung, die Priorisierung von Datenschutz-Folgenabschätzungen, Beschwerden, Audits und Datenschutzvorfällen sowie für die Berichterstattung an die Geschäftsleitung erforderlich. Ebenso sollte nachvollziehbar dokumentiert werden können, ob und zu welchem Zeitpunkt der Datenschutzbeauftragte in einen Vorgang eingebunden wurde.
Diese organisatorischen Fragen werden durch die Bestellungsurkunde regelmäßig nicht beantwortet. Sie sind Gegenstand eines gesonderten Betriebsmodells.
Special Features of a DSB Mandate Within a Corporate Group
In kleineren Unternehmen kann eine einzelne Person einen erheblichen Teil der datenschutzrechtlich relevanten Vorgänge unmittelbar überblicken. In einem Konzern bestehen dagegen regelmäßig mehrere Gesellschaften, Länder, Geschäftsbereiche und Führungsebenen, die jeweils eigene Entscheidungen treffen.
Verantwortlichkeiten sind verteilt, Systeme und Datenflüsse überschneiden sich und lokale Anforderungen treffen auf zentrale Richtlinien. Projekte werden häufig parallel geplant und umgesetzt.
Zu berücksichtigen sind insbesondere:
- unterschiedliche Geschäftsmodelle,
- risk profiles that differ from one another,
- internationale Datenübermittlungen,
- centrally deployed IT systems,
- local HR processes,
- shared service providers,
- existing Compliance- and information security functions,
- mehrere zuständige Aufsichtsbehörden,
- industry-specific regulatory requirements.
Eine DSB-Funktion muss in der Lage sein, diese organisatorische und fachliche Komplexität angemessen abzubilden.
Es reicht deshalb regelmäßig nicht aus, eine für ein einzelnes Unternehmen vorgesehene Beratungsleistung lediglich auf eine größere Zahl von Gesellschaften auszuweiten. Erforderlich sind vielmehr klar definierte Strukturen, Rollen, Kapazitäten und wiederkehrende Arbeitsabläufe.
Gemeinsamer oder externer Datenschutzbeauftragter für eine Unternehmensgruppe
The GDPR provides that a group of companies may appoint a single data protection officer, provided that the officer is easily accessible from each establishment.
Die Funktion kann intern ausgeübt oder auf Grundlage eines Dienstleistungsvertrags extern wahrgenommen werden. Damit kommt ein externer oder gruppenweit tätiger Datenschutzbeauftragter grundsätzlich auch für größere Unternehmensgruppen in Betracht.
Maßgeblich ist, wie die Funktion organisiert wird, damit sie trotz der Größe der Unternehmensgruppe erreichbar, unabhängig und wirksam bleibt.
Dabei sollte eindeutig festgelegt werden, für welche Gesellschaften die Benennung gilt, welche rechtlichen Einheiten in das Mandat einbezogen sind und wie lokale Besonderheiten berücksichtigt werden. Ein konzernweites Organigramm ersetzt keine hinreichend bestimmte Abgrenzung des Mandats.
Requirements in Selection and Bidding Processes
Große Unternehmen prüfen bei der Auswahl eines externen Datenschutzbeauftragten regelmäßig nicht ausschließlich dessen Ausbildung, Zertifikate und Berufserfahrung. Von Bedeutung ist auch, ob der Anbieter die Funktion organisatorisch und personell dauerhaft tragen kann.
Typical questions in requests for proposals include:
- die persönlich benannte Hauptperson,
- Substitution and backup procedures,
- verfügbare Kapazitäten,
- Agreed response times,
- Industry knowledge,
- international coverage,
- Language skills,
- Unterstützung bei Audits,
- Kommunikation mit Aufsichtsbehörden,
- Begleitung von Datenschutzvorfällen,
- Unterstützung bei Datenschutz-Folgenabschätzungen,
- regelmäßige Abstimmungstermine,
- Reports to Management,
- Escalation procedures,
- software used,
- Documentation und Nachweisführung,
- Pricing and Service Models.
Hinter diesen Fragen steht die Prüfung, ob lediglich eine fachkundige Einzelperson oder eine dauerhaft funktionsfähige Datenschutzorganisation zur Verfügung steht.
Requirements for Professional Competence
An operational model cannot replace the data protection officer's required expertise.
The data protection officer must understand the legal, technical, and organizational aspects of the relevant processing activities. He or she must assess risks, make recommendations, conduct audits, and serve as the point of contact for Affected parties and are available to regulatory authorities.
In einer Unternehmensgruppe kann allgemeines Datenschutzwissen jedoch nicht in jedem Fall ausreichen. Je nach Geschäftsmodell und Verarbeitungstätigkeit können zusätzliche Kenntnisse erforderlich sein, insbesondere in den Bereichen:
- Beschäftigtendatenschutz,
- Cloud- and platform architectures,
- internationale Datenübermittlungen,
- Cybersecurity,
- Marketing and Tracking,
- Processing from Health data,
- Financial and Insurance Processes,
- Automotive,
- Logistics,
- industrial production,
- künstliche Intelligenz,
- konzerninterne Datenflüsse.
Ein belastbares DSB-Modell sollte deshalb die persönliche Fachkunde des benannten Datenschutzbeauftragten mit dem Zugriff auf weitere Spezialisten verbinden.
The responsible Datenschutzbeauftragte muss nicht jede technische oder branchenspezifische Frage allein bearbeiten. Er sollte jedoch beurteilen können, welche zusätzlichen Kompetenzen erforderlich sind und diese rechtzeitig einbinden.
Six Building Blocks of a Resilient DSB Operating Model
1. Mandate and Scope
Zu Beginn des Mandats ist festzulegen, welche rechtlichen Einheiten, Standorte und Tätigkeiten erfasst werden.
Zu berücksichtigen sind insbesondere:
- companies included,
- Länder und Standorte,
- Roles as a controller or processor,
- central and local processes,
- specific regulatory requirements,
- existing local data protection roles,
- Interfaces with Legal, Compliance and information security.
Ohne eine klare Abgrenzung können innerhalb einer Unternehmensgruppe unklare oder sich überschneidende Zuständigkeiten entstehen.
So kann eine zentrale Datenschutzfunktion davon ausgehen, für eine Tochtergesellschaft zuständig zu sein, während die Tochtergesellschaft einen lokalen Ansprechpartner als responsible Stelle innerhalb der Datenschutzorganisation betrachtet. In der Folge besteht das Risiko, dass kritische Vorgänge nicht oder verspätet bearbeitet werden.
Ein wirksames Mandat muss deshalb rechtlich hinreichend bestimmt und für die betroffenen Organisationseinheiten operativ verständlich sein.
In particular, each participating unit should know:
- who has been designated as the data protection officer,
- how this can be achieved,
- bei welchen Vorgängen eine Einbindung erforderlich ist,
- welche Informationen zur Prüfung bereitgestellt werden müssen,
- wer über die Umsetzung seiner Empfehlungen entscheidet.
2. Kapazitäts- und Kompetenzmodell
The scope of the mandate must be reflected in the personnel and technical resources provided.
Eine Unternehmensgruppe mit zahlreichen Gesellschaften, mehreren tausend Beschäftigten und komplexen Verarbeitungsvorgängen kann regelmäßig nicht mit einem pauschalen Minimalaufwand angemessen betreut werden.
Die Kapazitätsplanung kann sich insbesondere an folgenden Kriterien orientieren:
- Anzahl und Größe der einbezogenen Gesellschaften,
- Zahl der Beschäftigten,
- Risiken der Verarbeitungstätigkeiten,
- Number and scope of ongoing projects,
- Volume of data protection requests,
- Zahl der Datenschutzvorfälle,
- Scope of the service provider landscape,
- internationale Tätigkeit,
- regulatory environment,
- Maturity level of the existing data protection organization.
Maßgeblich ist nicht ausschließlich die Anzahl vereinbarter Beratungstage. Zusätzlich ist festzulegen, welche fachlichen Kompetenzen im Rahmen des Mandats tatsächlich zur Verfügung stehen.
Ein tragfähiges Modell kann beispielsweise folgende Rollen umfassen:
- Lead Data Protection Officer,
- designated deputy,
- Data protection lawyers,
- technical data protection experts,
- Audit-specialists,
- Industry experts,
- Operational Data Protection Advisor,
- Unterstützung für Plattformbetrieb und Reporting.
Such a structure can prevent the entire mandate from being Availability einer einzelnen Person abhängt.
3. Availability, Substitution, and Local Involvement
Eine Unternehmensgruppe benötigt klar benannte und erreichbare Ansprechpartner.
Der Lead DSB sollte innerhalb der Organisation sichtbar und erreichbar sein. Gleichzeitig ist eine verlässliche Vertretung vorzusehen. Urlaub, Krankheit oder parallel auftretende kritische Vorgänge dürfen nicht dazu führen, dass die Funktion vorübergehend nicht wahrgenommen werden kann.
A robust model should therefore, in particular, address the following:
- the Lead DPO,
- at least one officially designated representative,
- Response times,
- Powers of Representation,
- local data protection coordinators,
- Kommunikationskanäle,
- zentrale Eingangspunkte für Anfragen,
- Accessibility for employees and Affected parties.
Lokale Datenschutzkoordinatoren ersetzen den Datenschutzbeauftragten nicht. Sie können jedoch wesentlich dazu beitragen, dass Informationen aus den Fachbereichen rechtzeitig an ihn weitergegeben werden.
Sie kennen regelmäßig die lokalen Prozesse, Projekte und Ansprechpartner, können Informationen vorbereiten und die Umsetzung vereinbarter Maßnahmen nachverfolgen.
Voraussetzung ist eine klare Abgrenzung der Rollen. Der lokale Koordinator unterstützt die Datenschutzorganisation. Der Datenschutzbeauftragte berät und überwacht. Die verantwortlichen Stellen und das Management treffen die erforderlichen Entscheidungen und tragen die Verantwortung für deren Umsetzung.
4. Operative Abläufe und Serviceprozesse
Ein DSB-Mandat sollte nicht ausschließlich auf eingehende Einzelanfragen reagieren. Es benötigt wiederkehrende und risikoorientierte Arbeitsabläufe.
Hierzu können gehören:
- wöchentliche oder monatliche Abstimmungstermine,
- regelmäßige Abstimmungen mit Legal und Informationssicherheit,
- Prüfung neuer Projekte,
- Begleitung von Datenschutz-Folgenabschätzungen,
- Überprüfung kritischer Verarbeitungstätigkeiten,
- Consulting on data processing,
- Unterstützung bei der Bearbeitung von Betroffenenrechten,
- Begleitung von Datenschutzvorfällen,
- Prüfung internationaler Datenübermittlungen,
- recurring inspections,
- Training and Awareness-Measures.
Die Taktung sollte sich nach dem jeweiligen Risiko und der Dringlichkeit richten. Ein kritischer Datenschutzvorfall kann nicht bis zu einem regulären Monatsgespräch zurückgestellt werden. Eine strategische Überprüfung der Datenschutzorganisation muss dagegen regelmäßig nicht in kurzen Abständen erfolgen.
Das Mandat sollte daher unterschiedliche Bearbeitungswege vorsehen, etwa für:
- normal operations,
- prioritized consultation requests,
- critical escalations,
- die Unterstützung bei Datenschutzvorfällen,
- die Kommunikation mit Aufsichtsbehörden.
Eine hinreichend konkrete Servicebeschreibung macht nachvollziehbar, welcher Bearbeitungsweg für welche Art von Vorgang vorgesehen ist.
5. Monitoring, Auditing, and Reporting
Zu den Aufgaben des Datenschutzbeauftragten gehört neben der Beratung auch die Überwachung der Einhaltung datenschutzrechtlicher Anforderungen und interner Datenschutzvorgaben.
Hierfür sollte ein strukturierter und risikoorientierter Prüfplan vorgesehen werden.
Ein Auditplan kann insbesondere folgende Bereiche berücksichtigen:
- besonders risikoreiche Verarbeitungstätigkeiten,
- special categories of personal data,
- internationale Datenflüsse,
- central IT systems,
- Beschäftigtendaten,
- Marketing processes,
- Löschkonzepte,
- Data processor,
- Authorization models,
- Anwendungen künstlicher Intelligenz,
- Recurring vulnerabilities.
Auditfeststellungen sollten nicht isoliert dokumentiert werden. Aus ihnen sind regelmäßig konkrete Maßnahmen abzuleiten. Für diese Maßnahmen sollten Responsible persons and deadlines must be set, and a system for tracking progress must be established. Critical deviations must be escalated as necessary.
Entsprechendes gilt für das Berichtswesen.
Ein Managementbericht sollte sich nicht auf die Aufzählung bearbeiteter Anfragen beschränken. Er sollte der Geschäftsleitung insbesondere eine verdichtete Darstellung folgender Punkte ermöglichen:
- significant data protection risks,
- kritische offene Maßnahmen,
- überfällige Entscheidungen,
- laufende Datenschutz-Folgenabschätzungen,
- relevante Datenschutzvorfälle,
- wesentliche Prüfungsfeststellungen,
- recurring vulnerabilities,
- escalations that occurred,
- Veränderungen gegenüber der vorherigen Berichtsperiode.
Die Geschäftsleitung benötigt regelmäßig keine vollständige Darstellung sämtlicher Einzelfälle. Erforderlich ist eine belastbare Übersicht über Risiken, ausstehende Entscheidungen und bestehenden Handlungsbedarf.
6. Eskalation und Kommunikation mit Aufsichtsbehörden
Der Datenschutzbeauftragte muss seine Aufgaben unabhängig wahrnehmen können. Dazu gehört, dass kritische Empfehlungen nicht innerhalb operativer Abstimmungsprozesse unbeachtet bleiben.
A resilient business model should, in particular, specify:
- when a process should be classified as critical,
- welche Stellen zunächst zu informieren sind,
- unter welchen Voraussetzungen eine Eskalation an die Geschäftsleitung erfolgt,
- how the Data Protection Officer's recommendations are documented,
- how deviating decisions are documented,
- wie dringende Vorfälle bearbeitet werden,
- wer die Kommunikation mit Aufsichtsbehörden koordiniert.
This is particularly relevant when the responsible Fails to comply with a recommendation from the Data Protection Officer.
Der Datenschutzbeauftragte trifft operative Entscheidungen regelmäßig nicht selbst. Die Verantwortlichen können nach eigener Prüfung zu einer abweichenden Bewertung gelangen. In diesem Fall sollte jedoch nachvollziehbar dokumentiert werden:
- what recommendation was made,
- on what facts it was based,
- which risks were identified,
- who made the different decision,
- welche alternativen oder ergänzenden Maßnahmen vorgesehen wurden.
Eine dokumentierte abweichende Entscheidung ist organisatorisch anders zu bewerten als eine Empfehlung, die ohne erkennbare Prüfung unbeachtet bleibt.
Zusammenhang zwischen Reporting und Softwareunterstützung
Ein DSB-Betriebsmodell kann bei einem umfangreichen Geltungsbereich regelmäßig nicht dauerhaft allein auf E-Mails, Tabellen und persönlichen Notizen beruhen.
Mit der Größe des Mandats steigt das Risiko, dass Informationen auf unterschiedliche Systeme verteilt, nicht einheitlich aktualisiert oder später nicht mehr vollständig nachvollzogen werden können.
Eine geeignete Plattform sollte deshalb über die Führung eines Verzeichnisses von Verarbeitungstätigkeiten hinausgehen und die laufende Tätigkeit der DSB-Funktion unterstützen.
Hierzu können insbesondere folgende Funktionen gehören:
- Structured recording of inquiries,
- Assignment to companies and responsible parties,
- Documentation from data protection assessments,
- Verwaltung von Risiken und Maßnahmen,
- Abbildung von Datenschutz-Folgenabschätzungen,
- Deadlines and follow-ups,
- Documentation based on recommendations from the Data Protection Officer,
- Recording of decisions made,
- Management of audit findings,
- Filing of supporting documents,
- Preparation of management reports,
- Documentation of escalations.
Von besonderer Bedeutung ist die Verknüpfung der einzelnen Informationen.
Eine Verarbeitungstätigkeit kann beispielsweise einem System, einem Dienstleister, einer Data Protection Impact Assessment, einem Risiko und einer daraus abgeleiteten Maßnahme zugeordnet werden. Eine Empfehlung des Datenschutzbeauftragten wird damit nicht ausschließlich in einer E-Mail dokumentiert, sondern bleibt mit dem zugrunde liegenden Vorgang verbunden.
Dies kann die Bearbeitung der Vorgänge unterstützen und zugleich die Nachweisfähigkeit der Datenschutzorganisation verbessern.
Geeignete Kennzahlen für ein DSB-Mandat
Bei der Festlegung von Kennzahlen für eine DSB-Funktion ist zu berücksichtigen, dass nicht jede einfach messbare Größe eine belastbare Aussage über die Wirksamkeit der Funktion ermöglicht.
Die Anzahl beantworteter E-Mails lässt regelmäßig keine verlässliche Bewertung der Beratungs- und Kontrollqualität zu. Auch eine geringe Zahl gemeldeter Datenschutzvorfälle ist nicht ohne Weiteres positiv zu bewerten, da sie ebenso auf unzureichende Meldeprozesse hinweisen kann.
Geeigneter sind Kennzahlen, die Risiken, Bearbeitungsstände und Steuerungsbedarf sichtbar machen.
Possible examples include:
- Anzahl offener kritischer Maßnahmen,
- Anzahl überfälliger Maßnahmen,
- durchschnittliche Bearbeitungszeit nach Prioritätsstufen,
- Anzahl laufender Datenschutz-Folgenabschätzungen,
- Period until the data protection officer is brought on board,
- Anteil fristgerecht überprüfter Hochrisikoverarbeitungen,
- recurring audit findings,
- Status of critical recommendations,
- Number and type of escalations that have occurred,
- Open inquiries from affected individuals,
- Vollständigkeit zentraler Datenschutzdokumentationen.
Kennzahlen dürfen die unabhängige Tätigkeit des Datenschutzbeauftragten nicht auf die Produktivität eines Ticketsystems reduzieren. Maßgeblich ist nicht, ob möglichst viele Vorgänge in möglichst kurzer Zeit geschlossen werden.
Rather, the key performance indicators should show whether the data protection organization identifies, prioritizes, and appropriately addresses significant risks.
The Importance of Industry Knowledge
Datenschutzrechtliche Anforderungen gelten branchenübergreifend. Ihre praktische Umsetzung kann sich jedoch je nach Geschäftsmodell, Verarbeitungszweck und regulatorischem Umfeld erheblich unterscheiden.
Ein Datenschutzbeauftragter eines Industrieunternehmens muss andere Prozesse und Risiken verstehen als ein Datenschutzbeauftragter einer Bank, eines Gesundheitsdienstleisters oder eines Onlinehändlers.
Branchenkenntnisse können insbesondere relevant sein für:
- the assessment of typical processing risks,
- die Priorisierung von Prüfungen,
- die Einordnung etablierter Geschäftsprozesse,
- das Verständnis technischer Systeme,
- communication with departments,
- die Berücksichtigung regulatorischer Überschneidungen,
- die Entwicklung praktisch umsetzbarer Maßnahmen.
Kennt der Datenschutzbeauftragte das Geschäftsmodell nicht hinreichend, besteht das Risiko, dass rechtlich nachvollziehbare Empfehlungen im konkreten Unternehmensumfeld nicht oder nur mit unverhältnismäßigem Aufwand umgesetzt werden können.
Fachkunde zeigt sich daher auch darin, Risiken präzise zu erläutern und unter Berücksichtigung der jeweiligen betrieblichen Abläufe umsetzbare Wege zu einem datenschutzkonformen Betrieb aufzuzeigen.
Involvement of the External Data Protection Officer in Incident Management
Bei einem Datenschutzvorfall sind regelmäßig kurze Bearbeitungs- und Entscheidungsfristen zu beachten. Ein externer Datenschutzbeauftragter sollte deshalb vorab in das Incident-Modell des Unternehmens eingebunden werden.
Zu klären ist insbesondere:
- how the data protection officer is notified,
- welche Informationen ihm zur Verfügung gestellt werden,
- wer die Sachverhaltsaufklärung koordiniert,
- wer die mögliche Meldepflicht bewertet,
- who documents the decision that was made,
- Anyone who uses the Aufsichtsbehörde communicates,
- whoever, if applicable affected informed people,
- who Technical and organizational measures coordinated.
Der Datenschutzbeauftragte berät und überwacht die zuständigen Stellen.
Ohne eine klare Aufgabenverteilung sollte er nicht zugleich die operative Leitung des Vorfalls, die rechtliche Entscheidung, die technische Untersuchung und die unabhängige Kontrolle übernehmen. Gerade bei der Bearbeitung von Datenschutzvorfällen sind die jeweiligen Rollen und Verantwortlichkeiten eindeutig voneinander abzugrenzen.
A robust mandate defines these interfaces even before the first incident occurs.
Prüfkriterien bei der Auswahl eines externen Datenschutzbeauftragten
Bei der Auswahl eines externen Datenschutzbeauftragten sollte eine Unternehmensgruppe neben Lebensläufen und Vergütungssätzen auch das vorgesehene Betriebsmodell prüfen.
Mandate
- Welche Gesellschaften, Länder und Standorte können einbezogen werden?
- How is the scope documented?
- Wie werden lokale Besonderheiten berücksichtigt?
People and Skills
- Wer wird persönlich als Datenschutzbeauftragter benannt?
- Wer übernimmt die Vertretung?
- Welche Fachspezialisten stehen zur Verfügung?
- Wie wird die Kontinuität bei einem Personalwechsel gewährleistet?
Kapazitäten
- What staffing levels are required?
- Wie werden vorübergehende Lastspitzen behandelt?
- What are the response times?
- Wie wird der tatsächlich angefallene Aufwand dargestellt?
Operations
- Welche regelmäßigen Abstimmungstermine sind vorgesehen?
- How are requests submitted, evaluated, and prioritized?
- Wie werden Datenschutz-Folgenabschätzungen, Audits und Datenschutzvorfälle bearbeitet?
- What are the escalation procedures?
Reporting
- Welche Berichte erhält das Management?
- Wie werden Risiken und Maßnahmen dargestellt?
- How are recommendations and deviating decisions documented?
Technology
- What software is used?
- Können Gesellschaften, Rollen und Vorgänge getrennt abgebildet werden?
- Are Audit Does it include a trail, task management, deadlines, and export options?
- Behält der Kunde Zugriff auf seine Daten und Dokumentationen?
Kommunikation mit Aufsichtsbehörden
- Welche Erfahrungen bestehen im Umgang mit Aufsichtsbehörden?
- Wer übernimmt welche Teile der Kommunikation?
- How are inquiries and comments coordinated?
- Unter welchen Voraussetzungen wird die Geschäftsleitung einbezogen?
Price and Scope of Services
- What services are included in the basic plan?
- Welche Tätigkeiten werden gesondert berechnet?
- Wie werden Projekte und Sonderprüfungen behandelt?
- Welche Kapazitäten werden verbindlich zugesagt?
- Wie kann der Leistungsumfang bei verändertem Bedarf angepasst werden?
Kriterien für eine kritische Prüfung des Angebots
Ein Angebot sollte näher geprüft werden, wenn:
- no specific person is designated as the lead DPO,
- provisions regarding representation are described only in a non-binding manner,
- der Leistungsumfang ausschließlich anhand einer Stundenzahl definiert wird,
- no escalation logic is provided,
- ein regelmäßiges Management-Reporting fehlt,
- Audits ausschließlich auf gesonderte Einzelanfrage durchgeführt werden,
- no structured Documentation or if appropriate software is provided,
- Response times are not specified,
- keine Fachspezialisten verfügbar sind,
- die Kommunikation mit Aufsichtsbehörden nicht geregelt ist,
- essential additional services are not clearly described,
- umfangreiche Mandate mit erkennbar begrenzten Kapazitäten angeboten werden.
Ein niedriger Preis kann bei der Auswahl berücksichtigt werden. Er ist jedoch nur aussagekräftig, wenn die für das Mandat erforderlichen Leistungen, Kapazitäten und Reaktionsmöglichkeiten tatsächlich abgedeckt sind.
Unterstützung des Betriebsmodells durch Ailance Externer DSB
Ailance Externer DSB kann die fachliche Tätigkeit des Datenschutzbeauftragten mit einer strukturierten Arbeits- und Nachweisplattform verbinden.
Die Software ersetzt weder die Aufgabenwahrnehmung noch die persönliche Verantwortung des Datenschutzbeauftragten. Sie kann jedoch dazu beitragen, seine Einbindung, Empfehlungen, Prüfungen und die daraus abgeleiteten Maßnahmen innerhalb der Unternehmensorganisation abzubilden.
Über die Plattform können unter anderem folgende Informationen und Prozesse verwaltet werden:
- Companies and Scopes of Application,
- Contact Persons and Data Protection Coordinators,
- Inquiries to the Data Protection Officer,
- Verarbeitungstätigkeiten,
- Datenschutz-Folgenabschätzungen,
- Risiken und Maßnahmen,
- Prüfungen und Auditpläne,
- Datenschutzvorfälle,
- Comments,
- Approvals and decisions,
- Deadlines and follow-ups,
- Management Reports,
- Escalations.
This enables the external data protection officer to collaborate with management, business units, and local contacts as part of a documented governance process.
Für die Unternehmensgruppe kann eine zentrale Übersicht bereitgestellt werden, aus der insbesondere hervorgeht:
- welche Vorgänge offen sind,
- where critical risks exist,
- welche Maßnahmen überfällig sind,
- welche Gesellschaften zusätzlichen Unterstützungsbedarf haben,
- what recommendations were made,
- which decisions are still pending,
- in welchen Fällen ein Tätigwerden des Managements erforderlich ist.
In this way, the platform can Transparency and support the transparency of the DPO’s activities without undermining the DPO’s statutory independence.
Distinction Between a Contract and an Operational Concept
Ein Dienstleistungsvertrag regelt, dass und unter welchen Bedingungen ein Anbieter bestimmte Leistungen erbringt. Das Betriebskonzept beschreibt dagegen, wie die DSB-Funktion innerhalb der Unternehmensgruppe tatsächlich ausgeübt wird.
Ein Vertrag enthält typischerweise Regelungen zu:
- Statement of Work,
- Vergütung,
- Duration,
- Liability,
- Kündigung,
- Confidentiality.
Das Betriebskonzept ergänzt insbesondere Vorgaben zu:
- Roles and Responsibilities,
- Scope,
- Kapazitäten,
- Representation,
- Communication channels,
- regelmäßigen Abstimmungen,
- Audit Planning,
- Key figures,
- Reporting,
- Escalation procedures,
- Incident processes,
- Behördenkommunikation,
- Systemunterstützung.
Beide Regelungsebenen sind für ein belastbares Mandat von Bedeutung.
Fehlt ein hinreichend konkretes Betriebsmodell, können zwischen Auftraggeber und Anbieter unterschiedliche Erwartungen entstehen. Der Auftraggeber geht möglicherweise davon aus, eine vollständige DSB-Funktion beauftragt zu haben, während der Anbieter das Mandat als zeitlich begrenztes Beratungskontingent versteht.
Solche Unterschiede werden häufig erst im laufenden Betrieb oder bei einem kritischen Vorgang erkennbar.
Key Elements of a Group Mandate
A robust group mandate should include at least the following elements:
Lead DSB
Persönlich benannte Hauptperson, die für die Wahrnehmung der Funktion zuständig ist.
Representation
Verbindlich geregelter Vertreter mit Zugriff auf die für das Mandat erforderlichen Informationen.
Subject Matter Expert Team
Verfügbare juristische, technische und branchenspezifische Unterstützung.
Regelmäßige Abstimmung
Festgelegte Termine mit definierter Agenda und Nachverfolgung vereinbarter Maßnahmen.
Audit Plan
Risikoorientierte Prüfungen über Gesellschaften, Standorte und Themenbereiche hinweg.
KPI and Management Reporting
Verdichtete Darstellung wesentlicher Risiken, Maßnahmen, Fristen und Entwicklungen.
Incident Escalation
Definierter Prozess für dringende oder besonders risikoreiche Datenschutzvorfälle.
Behördenkommunikation
Geregelte Zusammenarbeit mit den zuständigen Aufsichtsbehörden.
Fehlt eines dieser Elemente, sollte geprüft werden, durch welche andere organisatorische Regelung die jeweilige Funktion sichergestellt wird.
Prüffragen für bestehende DSB-Mandate
Bei der Überprüfung eines bestehenden Vertrags oder Betriebskonzepts können insbesondere folgende Fragen herangezogen werden:
- Who acts on behalf of the data protection officer?
- Which companies are specifically covered by the mandate?
- What is the response time for a critical data protection incident?
- Welche Audits sind für das laufende Jahr vorgesehen?
- Welche Datenschutzrisiken werden der Geschäftsleitung berichtet?
- How are recommendations and deviating decisions documented?
- Über welche Plattform werden offene Maßnahmen, Fristen und Eskalationen verwaltet?
Lassen sich diese Fragen anhand der bestehenden Unterlagen nicht beantworten, ist zu prüfen, ob neben dem Vertrag ein hinreichend konkretes Betriebskonzept vorhanden ist.
Conclusion
Die Benennung eines Konzern-Datenschutzbeauftragten schafft die gesetzlich vorgesehene Funktion. Sie gewährleistet für sich genommen jedoch noch nicht, dass diese Funktion innerhalb einer komplexen Unternehmensgruppe wirksam ausgeübt werden kann.
Hierfür sind insbesondere erforderlich:
- a clearly defined scope,
- angemessene personelle Kapazitäten,
- Technical and industry expertise,
- a binding proxy arrangement,
- local integration,
- regelmäßige operative Abläufe,
- a risk-based audit plan,
- Management Reporting,
- documented recommendations,
- defined escalation procedures,
- eine festgelegte Behördenkommunikation,
- geeignete technische Unterstützung.
Bei der Auswahl eines externen Datenschutzbeauftragten sollten größere Unternehmen daher neben der persönlichen Fachkunde auch die Availability, Kontinuität, Nachweisfähigkeit und organisatorische Ausgestaltung des vorgesehenen Servicekonzepts prüfen.
Maßgeblich ist, ob das Mandat über einen Vertrag hinaus über ein nachvollziehbares und belastbares Betriebsmodell verfügt.
Questions and Answers
Können Konzerne einen gemeinsamen Datenschutzbeauftragten benennen?
A group of companies may, according to the GDPR appoint a joint data protection officer, provided that this officer is easily accessible from each branch office. In doing so, the scope of responsibility, accessibility, and consideration of local requirements should be clearly defined.
Can a corporate group appoint an external data protection officer?
Ja. Die Aufgaben des Datenschutzbeauftragten können auf Grundlage eines Dienstleistungsvertrags extern wahrgenommen werden. Die Größe der Unternehmensgruppe steht dem grundsätzlich nicht entgegen, erfordert jedoch ein Betriebsmodell, das den Umfang und die Komplexität des Mandats angemessen berücksichtigt.
What requirements does a corporate group place on an external data protection officer?
In addition to the required expertise, key factors include sufficient capacity, staff coverage, availability, industry knowledge, and defined service processes, Audit-Support, management reporting, handling data protection incidents, and regulated communication with regulatory authorities are relevant.
Warum genügt die Benennung eines Datenschutzbeauftragten nicht?
Die Benennung legt fest, wer die Funktion wahrnimmt. Sie regelt jedoch regelmäßig nicht, wie Anfragen, Prüfungen, Audits, Datenschutzvorfälle, Eskalationen und Berichte im laufenden Betrieb bearbeitet werden.
Was gehört in ein DSB-Betriebsmodell?
Ein DSB-Betriebsmodell umfasst insbesondere Mandat und Geltungsbereich, Lead DSB, Vertretung, Fachteam, lokale Ansprechpartner, Kapazitäten, regelmäßige Abstimmungen, Auditplan, Kennzahlen, Reporting, Incident-Prozesse, Eskalationswege und Behördenkommunikation.
Muss ein externer Datenschutzbeauftragter ständig verfügbar sein?
The data protection officer must ensure that the organization, employees, affected Individuals and regulatory authorities must be reasonably accessible. For critical situations, specific response times and reliable contingency plans should be agreed upon.
What are the responsibilities of local data protection coordinators?
Lokale Datenschutzkoordinatoren können die DSB-Funktion unterstützen, indem sie Informationen zusammentragen, Ansprechpartner vermitteln und die Umsetzung von Maßnahmen nachverfolgen. Sie ersetzen den Datenschutzbeauftragten nicht.
Welche Kennzahlen sind für ein DSB-Mandat geeignet?
In Betracht kommen beispielsweise offene kritische Maßnahmen, überfällige Aufgaben, Bearbeitungszeiten nach Prioritätsstufen, laufende Datenschutz-Folgenabschätzungen, wiederkehrende Auditfeststellungen und der Bearbeitungsstand kritischer Empfehlungen.
Wie sollte der Datenschutzbeauftragte an die Geschäftsleitung berichten?
Das Reporting sollte insbesondere wesentliche Risiken, kritische Maßnahmen, relevante Datenschutzvorfälle, Prüfungsfeststellungen, Eskalationen und Veränderungen gegenüber vorherigen Berichtsperioden zusammenfassen.
Warum kann eine Softwareplattform für externe Datenschutzbeauftragte relevant sein?
Eine Plattform kann Anfragen, Verarbeitungstätigkeiten, Risiken, Prüfungen, Empfehlungen, Maßnahmen, Fristen und Nachweise miteinander verbinden. Dadurch kann die Tätigkeit der DSB-Funktion innerhalb der Unternehmensgruppe nachvollziehbar dokumentiert und gesteuert werden.
Welche Rolle übernimmt Ailance beim externen Datenschutzbeauftragten?
Ailance kann die strukturierte Zusammenarbeit zwischen Datenschutzbeauftragtem, Management, Fachbereichen und lokalen Ansprechpartnern unterstützen. Über die Plattform können Vorgänge, Empfehlungen, Maßnahmen, Fristen und Berichte zentral dokumentiert werden.
Woran lässt sich ein unzureichend ausgestaltetes DSB-Angebot erkennen?
Prüfungsbedarf besteht insbesondere bei unklaren Vertretungsregelungen, nicht benannten Ansprechpartnern, fehlenden Reaktionszeiten, einem fehlenden Auditplan, nicht vorgesehenem Management-Reporting, unklaren Eskalationswegen und Kapazitäten, die dem Umfang des Mandats erkennbar nicht entsprechen.
German 
English 
Italian 
French