Der DSB hat gewarnt. Wer entscheidet jetzt?

Ein Projekt soll zum vorgesehenen Termin starten, obwohl der Datenschutzbeauftragte eine offene Datenschutzfrage benannt und empfohlen hat, diese vor dem Einsatz zu klären. Die Projektleitung verweist auf die Terminplanung. Für die Geschäftsführung stellt sich damit die Frage, welche Voraussetzungen für eine Entscheidung noch fehlen und wer über den Projektstart befinden darf. Der beschriebene Beispielfall bildet keine tatsächliche Kundenentscheidung ab.

Eine Entscheidung, die von einer DSB-Empfehlung abweicht, sollte den geprüften Sachverhalt, die Empfehlung, die rechtlichen Grenzen und die betrachteten Alternativen erkennen lassen. Zu dokumentieren sind außerdem die entscheidungsbefugte Stelle, ihre Begründung, die vorgesehenen Maßnahmen und die Wiedervorlage. Die unabhängige Einschätzung des DSB bleibt Bestandteil des Vorgangs; die Verantwortung für die Entscheidung verbleibt bei der verantwortlichen Stelle.

1. Welche Frage muss vor dem Projektstart geklärt werden?

Für die weitere Bearbeitung ist zunächst festzustellen, worauf sich die Empfehlung bezieht. Möglich ist, dass Angaben zum Datenfluss fehlen, eine Zulässigkeitsvoraussetzung ungeklärt ist oder der DSB eine bestimmte Schutzmaßnahme empfiehlt, deren Anforderungen auch durch eine andere geeignete Umsetzung erfüllt werden könnten.

Daraus ergeben sich unterschiedliche Arbeitsschritte. Fehlende Informationen sind durch die fachlich zuständige Stelle zu beschaffen. Eine offene Rechtsfrage benötigt eine begründete Bewertung. Bestehen unterschiedliche Vorstellungen über eine Maßnahme, sind die vorgeschlagenen Lösungen anhand derselben Anforderungen zu beurteilen.

Im Beispielfall sollte die Empfehlung deshalb dem betroffenen Verarbeitungsschritt zugeordnet werden. Dabei ist festzuhalten, welche Informationen dem DSB vorlagen, welche Annahmen seiner Einschätzung zugrunde liegen und welche Angaben oder Änderungen für eine erneute Beurteilung benötigt werden. Erst anschließend lässt sich unterscheiden, ob eine fachliche Meinungsverschiedenheit besteht oder die Entscheidungsgrundlage noch unvollständig ist.

2. Wer ist zur Entscheidung befugt?

Der DSB unterrichtet, berät und überwacht unabhängig. Aus dieser Funktion ergibt sich keine allgemeine operative Freigabebefugnis für Projekte. Für die Einhaltung des Datenschutzrechts bleibt der Responsable zuständig. Auf diese Abgrenzung weist auch der Europäische Datenschutzausschuss vers.

Innerhalb des Unternehmens sollte geregelt sein, welche Stelle über den Projektstart entscheiden darf. Dies kann die Geschäftsführung oder eine entsprechend befugte Rolle sein. Die Verantwortung für die Terminplanung begründet für sich genommen keine Entscheidungsbefugnis. Ebenso wenig wird die datenschutzrechtliche Verantwortung des Unternehmens durch eine interne Aufgabenübertragung auf den DSB verlagert.

Bei einem externen DSB sind Benennung, Dienstleistungsvertrag und operative Zuständigkeiten auseinanderzuhalten. Die Benennung betrifft die Wahrnehmung der Funktion, der Vertrag die vereinbarten Leistungen und die Zusammenarbeit. Zusätzlich ist intern festzulegen, wer Maßnahmen umsetzt und Entscheidungen trifft.

Die unabhängige Bewertung des DSB darf nicht durch Vorgaben zum gewünschten Beratungsergebnis beeinflusst werden. Zusätzliche operative Aufgaben dürfen keine Interessenkonflikte verursachen. Dies ist insbesondere zu berücksichtigen, wenn der DSB selbst über Zwecke und Mittel einer Traitement entscheiden soll, deren Ausgestaltung er zugleich unabhängig überwacht. Art. 38 und 39 DSGVO

3. Wo liegen die Grenzen einer Risikoakzeptanz?

Eine dokumentierte Risikoentscheidung ersetzt keine fehlende Zulässigkeitsvoraussetzung. Fehlt eine erforderliche Rechtsgrundlage, ändert eine interne Zustimmung der Geschäftsführung daran nichts. Entsprechendes gilt für andere verbindliche Anforderungen an die Traitement. Maßgeblich bleiben insbesondere die Grundsätze und Voraussetzungen nach Art. 5 und 6 DSGVO.

Zu prüfen ist daher, ob die DSB-Empfehlung auf eine verbindliche Grenze hinweist oder eine bestimmte Umsetzung zur Erfüllung der Anforderungen vorschlägt. Soweit mehrere rechtlich zulässige Lösungen bestehen, kann eine abweichende Umsetzung begründbar sein. Aus der Bewertung sollte hervorgehen, wie die gewählte Alternative die einschlägigen Anforderungen erfüllt.

Für den Beispielfall empfiehlt es sich, den beanstandeten Verarbeitungsschritt zurückzustellen, solange die entscheidenden Zulässigkeitsvoraussetzungen ungeklärt sind. Ob andere Projektteile unabhängig davon weitergeführt werden können, bedarf einer gesonderten Prüfung. Die Entscheidungsvorlage sollte den tatsächlich bewerteten Projektumfang entsprechend abgrenzen.

4. Wie wird eine abweichende Entscheidung dokumentiert?

Le site RGPD verlangt Rechenschaft über die Einhaltung ihrer Grundsätze und geeignete Maßnahmen zur Erfüllung ihrer Anforderungen. Die konkrete Feldstruktur der hier vorgeschlagenen Vorlage ist eine organisatorische Arbeitshilfe. Art. 5 Abs. 2 und Art. 24 DSGVO

Die vom EDPB verlinkten DSB-Lignes directrices empfehlen, bei Meinungsverschiedenheiten die Gründe für eine Abweichung als gute Praxis zu dokumentieren. Die nachfolgende Arbeitshilfe greift diese Empfehlung auf und schlägt dafür fünf Felder vor. WP243 rev.01, Abschnitt 3.1

Sachverhalt und Empfehlung: Zu erfassen sind der concernés Verarbeitungsschritt, die vorliegenden Informationen und die konkrete Empfehlung des DSB. Offene Angaben und zugrunde gelegte Annahmen sollten erkennbar sein.

Bewertung und Rechtsgrenze: Festzuhalten sind die einschlägigen Anforderungen, der bisherige Prüfstand und die Voraussetzungen, die vor dem Einsatz noch erfüllt werden müssen. Verbleibende Unsicherheiten gehören ebenfalls in die Bewertung.

Alternativen und Begründung: Die in Betracht kommenden Umsetzungen werden anhand der benannten Anforderungen verglichen. Die Begründung sollte erkennen lassen, weshalb die gewählte Alternative geeignet erscheint und welche Bedingungen hierfür gelten.

Entscheidung und Zuständigkeit: Der Vermerk benennt die entscheidungsbefugte Stelle, den beschlossenen Projektumfang und die Bedingungen für Start, Anpassung oder Zurückstellung. Die Verantwortung für die Umsetzung ist gesondert zuzuordnen.

Nachweis und Wiedervorlage: Zu hinterlegen sind die Unterlagen zur Bewertung und die Belege für die Umsetzung. Außerdem werden die Zuständigkeit für die Wiedervorlage, ihr Zeitpunkt und mögliche Anlässe für eine vorgezogene Prüfung festgelegt.

Die ursprüngliche Empfehlung sollte erhalten bleiben. Eine abweichende Managemententscheidung wird ihr zugeordnet dokumentiert. Soweit neue Tatsachen zu einer aktualisierten DSB-Einschätzung führen, sollten die jeweiligen Fassungen und ihre Entscheidungsgrundlagen unterscheidbar bleiben.

Im ergänzenden fiktiven Ausfüllbeispiel empfiehlt der DSB eine vollständige Startverschiebung. Als Alternative wird eine abgegrenzte, gesondert geprüfte Testphase ohne den beanstandeten Verarbeitungsschritt betrachtet. Eine entsprechende Entscheidung müsste ihren Umfang, ihre Voraussetzungen und die fortbestehende DSB-Einschätzung erkennen lassen.

Ungeprüfte Standardreaktion: Die Empfehlung wird weitergeleitet, während die Zuständigkeit allgemein beschrieben bleibt. Der Projekttermin oder eine pauschale Risikoübernahme begründen anschließend den Start. Welche Alternative geprüft wurde und wann eine erneute Bewertung erfolgt, ist daraus nicht ersichtlich.

Gezielter Prüf- und Entscheidungsprozess: Die fehlenden Angaben werden beschafft und Rechtsgrenze sowie Alternativen bewertet. Anschließend entscheidet die befugte Stelle über einen abgegrenzten Projektumfang. Bedingungen, Umsetzungsverantwortung, Nachweise und Wiedervorlage werden dem Vorgang zugeordnet. Dadurch bleibt die Grundlage der abweichenden Entscheidung nachvollziehbar.

5. Wann ist eine Eskalation an die Geschäftsleitung angezeigt?

Eine interne Eskalation kann insbesondere erforderlich werden, wenn ein kritischer Punkt trotz bevorstehenden Starts ungeklärt bleibt, die Entscheidung die Befugnis der bisher befassten Rolle überschreitet oder die unabhängige DSB-Einschätzung im weiteren Verfahren nicht berücksichtigt wird. Der DSB berichtet unmittelbar der höchsten Managementebene. Art. 38 Abs. 3 DSGVO

Die hierfür vorgesehenen Berichtswege gehören zum DSB-Betriebsmodell. Im konkreten Dissensfall sollten Empfehlung, abweichende Bewertung und Entscheidungsbedarf gemeinsam vorgelegt werden. Die unabhängige Einschätzung des DSB bleibt dabei erhalten.

Eine Meinungsverschiedenheit begründet für sich genommen keine allgemeine Meldepflicht gegenüber der Aufsicht. Gesondert zu beachten ist die vorherige Consultation, wenn eine erforderliche Analyse d'impact relative à la protection des données ein verbleibendes hohes Risiko ergibt, das durch die vorgesehenen Maßnahmen nicht ausreichend eingedämmt wird. In diesem Fall ist die autorité de contrôle devant la Traitement einzubeziehen. Die gesetzliche Zusammenarbeit des DSB mit der Aufsicht bleibt von internen Entscheidungswegen unberührt. Art. 35, 36 und 39 DSGVO

Drei kurze Fragen aus der Praxis

Darf die Geschäftsführung von einer DSB-Empfehlung abweichen?

Sie kann nach eigener Prüfung zu einer anderen Bewertung kommen. Die gewählte Traitement muss rechtmäßig bleiben. Empfehlung, Begründung und Entscheidungsbefugnis sollten nachvollziehbar dokumentiert werden.

Welche Informationen werden für die Entscheidung zuerst benötigt?

Erforderlich sind insbesondere der concernés Verarbeitungsschritt, die vorgesehenen Daten, der Zweck, die konkrete DSB-Empfehlung und die noch fehlenden Angaben. Darauf baut die Bewertung möglicher Alternativen auf.

Welcher Nachweis belegt die Umsetzung der Entscheidung?

Der Entscheidungsvermerk sollte mit Belegen für die festgelegten Bedingungen und der dokumentierten Wiedervorlage verbunden sein. Die bloße Kenntnisnahme einer Empfehlung belegt noch nicht, dass die beschlossenen Maßnahmen umgesetzt wurden.

Die konkrete Ausgestaltung richtet sich nach dem Verarbeitungsvorgang und den einschlägigen Anforderungen. Ein dokumentierter Dissens sollte erkennen lassen, wie die unabhängige Beratung in die Entscheidung eingeflossen ist und wer die Umsetzung der festgelegten Bedingungen verantwortet.

Ergänzende Arbeitsmaterialien

1. Entscheidungsvorlage mit ausgefüllten Beispielzeilen

Die folgenden Zeilen bilden einen fiktiven Bearbeitungsablauf ab. Angenommen wird, dass Datenflüsse und Zulässigkeit einer geplanten Echtdatenverarbeitung zunächst ungeklärt sind. Eine davon abgegrenzte Testphase wird gesondert bewertet. Die Arbeitsmaterialien enthalten ausschließlich fiktive Angaben und Rollenbezeichnungen.

Die Entscheidung über die Testphase gilt ausschließlich für den dokumentierten Umfang. Sie enthält keine vorweggenommene Freigabe der späteren Echtdatenverarbeitung.

2. Ungeprüfte Standardreaktion und gezielter Prüfprozess

Questions et réponses

Darf die Geschäftsführung von einer Empfehlung des Datenschutzbeauftragten abweichen?

Ja. Die Geschäftsführung oder eine andere befugte Stelle kann nach eigener Prüfung zu einer abweichenden Bewertung kommen. Die gewählte Traitement muss jedoch rechtmäßig bleiben. Empfehlung, Entscheidungsgrundlage, Begründung und Zuständigkeit sollten nachvollziehbar dokumentiert werden.

Wer trägt die Verantwortung für die Entscheidung bei einer offenen Datenschutzfrage?

Die Verantwortung verbleibt bei der verantwortlichen Stelle. Der Datenschutzbeauftragte unterrichtet, berät und überwacht unabhängig, verfügt daraus aber nicht automatisch über eine operative Freigabebefugnis für Projekte.

Kann eine Risikoakzeptanz eine fehlende Rechtsgrundlage ersetzen?

Nein. Eine interne Risikoentscheidung kann verbindliche datenschutzrechtliche Voraussetzungen nicht ersetzen. Fehlt beispielsweise eine erforderliche Rechtsgrundlage, wird die Traitement nicht dadurch zulässig, dass das Unternehmen das Risiko akzeptiert.

Was sollte dokumentiert werden, wenn von einer DSB-Empfehlung abgewichen wird?

Dokumentiert werden sollten der geprüfte Sachverhalt, die DSB-Empfehlung, die einschlägigen rechtlichen Grenzen, betrachtete Alternativen, die entscheidungsbefugte Stelle und ihre Begründung. Hinzu kommen die vorgesehenen Maßnahmen, Umsetzungsnachweise und eine Wiedervorlage.

Wann sollte eine offene Datenschutzfrage an die Geschäftsleitung eskaliert werden?

Eine Eskalation kann erforderlich sein, wenn ein wesentlicher Punkt vor dem geplanten Projektstart ungeklärt bleibt, die bisher befasste Rolle nicht entscheidungsbefugt ist oder die unabhängige Einschätzung des Datenschutzbeauftragten im weiteren Verfahren nicht ausreichend berücksichtigt wird.