Eigene Person oder eingekaufte Fachkunde?

Fachkunde ist kein Zustand, sondern eine laufende Verpflichtung

Artikel 37 Absatz 5 verlangt die Benennung auf Grundlage der beruflichen Qualifikation und insbesondere des Fachwissens auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis sowie der Fähigkeit zur Erfüllung der Aufgaben nach Artikel 39. Der Maßstab ist beweglich: Er richtet sich danach, wie komplex und wie riskant die Verarbeitungen im Haus sind. Ein Betrieb mit Kundendatenbank und Lohnbuchhaltung braucht weniger als ein Anbieter, der Gesundheitsdaten in großem Umfang verarbeitet.

Vorgeschrieben ist kein bestimmter Abschluss. In der Prüfung durch die Aufsicht wird aber gefragt, worauf die Fachkunde beruht und wie sie erhalten wird, und darauf sollte eine Antwort mit Belegen möglich sein. Artikel 38 Absatz 2 macht daraus eine Pflicht des Verantwortlichen: Er stellt die Ressourcen bereit und ermöglicht die Erhaltung des Fachwissens. Ein Zeitbudget von zwei Stunden im Monat ohne Fortbildungsetat erfüllt diese Vorgabe nicht.

Beim externen Weg ist die Fachkunde der Vertragsgegenstand und deshalb ab dem ersten Tag vorhanden. Zu prüfen bleibt, ob die Person die Fachkunde für euren Bereich hat. Wer Arztpraxen betreut, kennt die Themen einer Softwareentwicklung mit Auftragsverarbeitung in Drittländern nicht automatisch.

Der Interessenkonflikt entscheidet über die Auswahl, nicht über den Preis

Artikel 38 Absatz 6 erlaubt weitere Aufgaben und Pflichten, verpflichtet den Verantwortlichen aber sicherzustellen, dass daraus kein Interessenkonflikt entsteht. Der Europäische Gerichtshof hat in der Rechtssache C-453/21 am 9. Februar 2023 präzisiert, wann ein solcher Konflikt vorliegt: wenn die weiteren Aufgaben die Person dazu veranlassen würden, die Zwecke und Mittel der Datenverarbeitung festzulegen. Eine Doppelfunktion allein genügt nicht, es kommt auf die konkreten Umstände und die Organisationsstruktur an.

Praktisch bedeutet das eine kurze Liste. Geschäftsführung, IT-Leitung, Personalleitung, Vertriebs- und Marketingleitung entscheiden regelmäßig über Zwecke und Mittel mit und scheiden aus. Auch die Leitung eines Bereichs, dessen Verarbeitungen den größten Teil des Risikos ausmachen, ist schwierig, selbst wenn sie formal nicht über die Systeme bestimmt. Tragfähig sind meist Rollen aus Qualitätsmanagement, interner Revision, Recht, Compliance oder Organisation, weil sie ohnehin prüfend arbeiten.

In einem Haus mit dreißig Personen ist diese Liste schnell leer. Genau an dieser Stelle wird der externe Weg zur naheliegenden Antwort, und zwar nicht aus Kostengründen, sondern weil er der einzige ist, der den Konflikt sicher vermeidet. Wer die interne Lösung trotzdem will, muss die weiteren Aufgaben der Person tatsächlich verändern und das dokumentieren.

Stellung, Schutz und die Grenzen des Schutzes

Artikel 38 Absatz 3 enthält drei Zusagen: keine Anweisungen bezüglich der Aufgabenerfüllung, keine Abberufung oder Benachteiligung wegen der Erfüllung dieser Aufgaben, und der unmittelbare Bericht an die höchste Managementebene. Der letzte Punkt ist der, der im Organigramm am häufigsten fehlt. Eine Datenschutzbeauftragte, die über zwei Ebenen an die IT-Leitung berichtet, kann Feststellungen zur IT nicht unabhängig vortragen.

Der deutsche Zusatzschutz kommt über Paragraf 38 Absatz 2 BDSG, der Paragraf 6 Absatz 4, Absatz 5 Satz 2 und Absatz 6 für anwendbar erklärt. Paragraf 6 Absatz 4 bedeutet: Die Abberufung ist nur in entsprechender Anwendung von Paragraf 626 BGB möglich, eine Kündigung des Arbeitsverhältnisses ist unzulässig, solange kein wichtiger Grund vorliegt, und nach dem Ende der Tätigkeit ist die Kündigung ein weiteres Jahr lang unzulässig. Wichtig ist die Einschränkung im Gesetz selbst: Paragraf 6 Absatz 4 gilt nur, wenn die Benennung verpflichtend ist.

Paragraf 6 Absatz 5 Satz 2 verpflichtet zur Verschwiegenheit über die Identität betroffener Personen und über Umstände, die Rückschlüsse zulassen. Paragraf 6 Absatz 6 gibt ein Zeugnisverweigerungsrecht und schützt die Unterlagen vor Beschlagnahme. Diese beiden Punkte gelten unabhängig davon, ob intern oder extern benannt wurde, und sie sind ein Grund dafür, dass Beschäftigte sich mit einem Anliegen eher an die benannte Person wenden als an die Führungskraft.

Was der Vertrag mit einer externen Person regeln muss

Ein Vertrag, der nur die Benennung und eine Jahrespauschale enthält, liefert Papier. Vier Punkte gehören ausdrücklich hinein. Erstens ein Zeitbudget mit Terminen vor Ort, weil eine Bewertung ohne Kenntnis der tatsächlichen Abläufe nicht möglich ist. Zweitens die Einbindung in die Vorhabenplanung, damit Artikel 38 Absatz 1 mit der frühzeitigen Beteiligung erfüllt ist und nicht erst nach dem Vertragsschluss über eine Software beraten wird.

Drittens die Vertretung bei Abwesenheit mit Namen, nicht als Absichtserklärung. Viertens die Herausgabe aller Unterlagen bei Vertragsende in einem lesbaren, weiterverarbeitbaren Format. Der vierte Punkt ist der, der am häufigsten fehlt und am teuersten wird, weil das Verarbeitungsverzeichnis nach Artikel 30 die Grundlage für fast alles andere ist.

Bei einer internen Benennung entsprechen diesen vier Punkten vier andere: ein schriftlich festgehaltenes Zeitbudget, ein fester Platz in der Vorhabenplanung, eine benannte Vertretung und ein Ablageort für die Dokumentation, der der Organisation gehört und den mindestens zwei Personen kennen.

Der dritte Weg, der in kleinen Häusern oft passt

Die Kombination aus interner Benennung und externer Fachbegleitung taucht in Angeboten seltener auf als die beiden reinen Wege, weil sie sich schwerer als Paket beschreiben lässt. Sie löst aber genau die beiden Schwächen, die die reinen Wege haben: Die interne Person sitzt nah an den Verfahren und erfährt früh von Vorhaben, und die externe Stelle liefert die Bewertungstiefe für Folgenabschätzungen, Drittlandprüfungen und Vorfälle mit hohem Risiko. Der Preis dafür ist, dass beide Kostenblöcke nebeneinander anfallen.

Voraussetzung bleibt, dass die interne Rolle konfliktfrei besetzt ist, denn die Begleitung ändert daran nichts. Und der Aufbau braucht Klarheit darüber, wer im Zweifel entscheidet. Die benannte Person trägt die Aufgaben aus Artikel 39, die Begleitung ist Beratung. Wenn beide dasselbe unterschiedlich sehen, gilt die Einschätzung der benannten Person, und die Abweichung gehört in die Akte.