Die Einbindung von Datenschutzbeauftragten spart viel Geld

ITM: Herr Hösel, das Inkrafttreten der DSGVO stellt gerade für kleine und mittelständische Unternehmen einen enorm aufwendigen bürokratischen Akt dar. Welche Erfahrungen haben Sie gemacht?
Haye Hösel: Auch vor der DSGVO gab es bereits sehr viele Anforderungen durch das damalige Bundesdatenschutzgesetz. Mit der DSGVO hat der Datenschutz jedoch eine andere Aufmerksamkeit erhalten bzw. wurde durch die Vielzahl der Pressemitteilungen der Fokus auf dieses wichtige Thema gelenkt. Jedoch fehlt vielen Entscheidungsträgern das nötige Wissen, um die Anforderungen erfüllen zu können. Hier ist es ratsam, sich die Unterstützung eines erfahrenen Datenschutzbeauftragten zu suchen. So können grundlegende Fehler vermieden werden. Dies ist insbesondere bei allen Prozessen wichtig, die mit der Außendarstellung verbunden sind.

ITM: Welche Rolle spielen in diesem Zusammenhang die Aufsichtsbehörden?
Hösel: Neben dem Bundesbeauftragten für Datenschutz und Informationssicherheit gibt es noch die Beauftragten der jeweiligen Bundesländer als Aufsichtsbehörde. Diese dienen als Anlaufstelle für die Unternehmen – aber eben auch für die betroffenen Personen, die sich dort beschweren können. Zusätzlich führen die Aufsichtsbehörden anlassbezogene oder anlasslose Prüfverfahren durch. In der Regel erhält das Unternehmen zu Beginn eines Prüfverfahrens einen umfangreichen Fragenkatalog. Dieser muss meistens gemeinsam mit der Datenschutzdokumentation, dem Verzeichnis von Verarbeitungstätigkeiten, innerhalb einer kurzen Frist an die Aufsichtsbehörde gesendet werden. Anhand der Antworten richtet die Aufsichtsbehörde das weitere Verfahren aus. Hier haben wir bereits in Prüfverfahren unserer Mandanten von den Mitarbeitern der Aufsichtsbehörden die Rückmeldung erhalten, dass sie deutlich erkennen, wer sich ein paar Infos aus dem Internet zusammengesucht hat, wer versucht – ggf. mittels falscher Angaben –, sich aus der Schusslinie zu bringen, und wer professionell betreut wird.

ITM: Das Urteil vom Europäischen Gerichtshof (EuGH) im Juli 2020 zum Privacy Shield hat für große Verwirrung gesorgt. Allein in Deutschland wurden Bußgelder in Höhe von 69,1 Mio. Euro verhängt. Fordert der Bundesdatenschutzbeauftragte Ulrich Kelber zu Recht nach Entlastung der KMU?
Hösel: Die Datenübermittlung in ein Land außerhalb der EU oder die Nutzung eines dort ansässigen Anbieters ist für die KMU ein defiziles Thema, bei dem viele Fehler gemacht werden. Eine neue Vereinbarung mit den USA könnte deutliche Erleichterung bringen. Hier ist ganz klar die EU-Kommission gefordert, ein neues Abkommen zu erwirken, das den Auflagen des EuGH Rechnung trägt. Aber auch bei anderen Verstößen werden Bußgelder verhängt. Vielfach werden die Prüfverfahren aufgrund einer Beschwerde eingeleitet. Nicht selten sind die Beschwerdeführer unzufriedene Kunden oder ehemalige Mitarbeiter des Unternehmens. Hier gilt es, vorbereitet zu sein und seine Hausaufgaben zu machen.

Dies ist ein Artikel aus unserer Print-Ausgabe 05/2021. Bestellen Sie ein kostenfreies Probe-Abo.

ITM: Welchen Stellenwert geben Sie der Beratung durch IT-Dienstleister in diesem Verwaltungs-, Bürokratie- und Paragrafendschungel?
Hösel: Neben der EU-DSGVO spielen das Bundesdatenschutzgesetz und viele weitere Gesetze und Verordnungen eine wesentliche Rolle, die zu berücksichtigen sind. Die Beratung durch einen Datenschutzbeauftragten ist sehr wichtig, da es für einen Laien sehr schwierig ist, den vollen Umfang der Anforderungen zu erkennen.

ITM: Die EU-Kommission schätzt in ihrem ersten Evaluierungsbericht die Einführung europäischer Datenschutzregeln so ein, dass technologische Innovationen dadurch frühzeitig im Hinblick auf ihre Auswirkungen beurteilt werden könnten. Teilen Sie diese Ansicht?
Hösel: Der Datenschutzbeauftragte muss vor der Einführung neuer Systeme – Software und ggf. auch Hardware – beteiligt werden. Das heißt, dass er bereits in dem Auswahlprozess des jeweiligen Anbieters eingebunden wird und somit frühzeitig die Weichen stellen kann, damit die Anforderungen des Datenschutzes z.B. bei der Entwicklung einer neuen Software berücksichtigt werden können. Damit können die Unternehmen viel Geld sparen, da hierdurch die Einführung nicht datenschutzkonformer Systemen vermieden wird.

Bildquelle: Habit Datenschutz GmbH & Co. KG