Jansen, SGB X § 81 Recht auf Anrufung, Beauftragte für d ... / 2.3 Beauftragte für den Datenschutz bei den in § 35 SGB I genannten Stellen, Vermittlungsstellen und Auftragsverarbeiter (Abs. 4)

Rz. 21

Die Stellen nach § 35 SGB I, die Vermittlungsstellen nach § 67d Abs. 3 und seit dem 25.5.2018 auch die Auftragsverarbeiter haben nach Abs. 4 Satz 1 und 2 die Pflicht zur Bestellung eines eigenen Beauftragten für den Datenschutz (vgl. Rz. 22) mit den entsprechenden Aufgaben, Rechten und Pflichten.

Während § 81 Abs. 4 von "Beauftragte für den Datenschutz" spricht, heißt es im BDSG "Datenschutzbeauftragter"; insoweit wird in dieser Kommentierung auch die jeweils zutreffende Bezeichnung verwendet.

Nach Abs. 4 Satz 3 gelten die Sätze 1 und 2 ausdrücklich nicht für öffentliche Stellen der Länder mit Ausnahme der Sozialversicherungsträger und ihrer Verbände. Für die öffentlichen Stellen der Länder, sofern sie nicht Sozialversicherungsträger sind, also z. B. für die Sozial-, Jugend- und Versorgungsämter, gelten damit die jeweiligen Landesdatenschutzgesetze.

Gemäß Satz 4 gilt Abs. 2 Satz 2 entsprechend (vgl. Rz. 9).

2.3.1 Bestellung eines Beauftragten für den Datenschutz

Rz. 22

Nach Abs. 4 Satz 1 sind die §§ 5bis 7 BDSG entsprechend anzuwenden. Aus dem Verweis auf § 5 BDSG folgt, dass ein Beauftragter für den Datenschutz zu bestellen ist. Nach § 5 Abs. 4 Satz 3 BDSG kann dies eine Beschäftigte oder ein Beschäftigter der öffentlichen Stelle sein oder ihre oder seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen. Einzelheiten zur Person, ihrer Qualifikation und Bestellung regeln die §§ 5 bis 7 BDSG.

Rz. 23

Nach § 5 Abs. 3 BDSG wird die oder der Datenschutzbeauftragte auf der Grundlage ihrer oder seiner beruflichen Qualifikation und insbesondere ihres oder seines Fachwissens benannt, das sie oder er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage ihrer oder seiner Fähigkeit zur Erfüllung der in § 7 BDSG genannten Aufgaben. Wann das der Fall ist, hat der Gesetzgeber absichtlich nicht vorgeschrieben.

Die Praxis hat auch in Bezug auf die Stellen nach § 35 SGB I Funktionsbilder entwickelt: Berufsausbildung oder Hochschul-/Fachhochschulabschluss, jeweils angereichert mit theoretischen Datenschutzkenntnissen, anschließende mehrjährige Berufspraxis mit datenschutzrelevantem Bezug sowie umfassende Kenntnisse des gesamten Betriebes (Struktur, Zuständigkeiten, Abläufe).

Darüber hinaus muss der Beauftragte für den Datenschutz frei von anderen beruflichen Aufgaben sein, insbesondere wenn diese mit seiner Kontrollfunktion nicht zu vereinbaren sind. Aus diesem Grund sind EDV-Leiter oder Personalleiter wegen möglicher Interessenkollisionen grundsätzlich nicht geeignet. Gleiches gilt auch für Personalräte.

Für die Bestellung ist die oberste Leitungsebene zuständig, bei selbstverwalteten Körperschaften der Vorstand (§ 35 SGB IV).

Rz. 24

Gemäß § 6 Abs. 4 BDSG kann der Datenschutzbeauftragte nur aus wichtigem Grund abberufen werden, Letzteres in entsprechender Anwendung des § 626 BGB, der die fristlose Kündigung aus wichtigem Grund regelt.

Dieser verstärkte Schutz gegen Abberufung soll die Unabhängigkeit des Datenschutzbeauftragten festigen.

2.3.2 Stellung des Beauftragten für den Datenschutz

Rz. 25

Da die Tätigkeit des Beauftragten für den Datenschutz vornehmlich in der Kontrolle des Verwaltungsvollzugs besteht, ist die in § 6 Abs. 3 BDSG vorgeschriebene "unmittelbare Unterstellung" beim Geschäftsführer bzw. bei der Geschäftsführung (§ 36 SGB IV) anzusiedeln.

Daraus folgt keine sachliche Abhängigkeit. Nach § 6 Abs. 3 Satz 1 BDSG ist der Beauftragte für den Datenschutz bei Anwendung seiner Fachkunde auf dem Gebiet des Datenschutzes weisungsfrei. Er darf nicht benachteiligt werden, z. B. in seinem persönlichen beruflichen Fortkommen (§ 6 Abs. 3 Satz 3 BDSG).

2.3.3 Aufgaben, Rechte und Pflichten des Beauftragten für den Datenschutz

Rz. 26

Verschwiegenheit

Er ist nach § 6 Abs. 5 Satz 2 BDSG ausdrücklich zur Verschwiegenheit über die Identität der betroffenen Person verpflichtet. Von dieser Pflicht kann er nur von ihr selbst befreit werden. Die Regelung dient der betroffenen Person, der eventuelle Beschwerden beim Beauftragten für den Datenschutz damit erleichtert werden.

Rz. 27

Hilfsmittel

Die oder der Beauftragte für den Datenschutz ist zu unterstützen, indem ihr oder ihm die für die Erfüllung dieser Aufgaben erforderlichen Ressourcen und den Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie die zur Erhaltung ihres oder seines Fachwissens erforderlichen Ressourcen zur Verfügung gestellt werden (§ 6 Abs. 2 BDSG).

Rz. 28

Aufgaben

Neben den sich unmittelbar aus Art. 57 DSGVO ergebenden Aufgaben (vgl. Rz. 10 bis 12) bestehen nach § 7 Abs. 1 BDSGzumindest noch folgende Aufgaben:

• Unterrichtung und Beratung der öffentlichen Stelle und der Beschäftigten, die Verarbeitungen durchführen, hinsichtlich ihrer Pflichten nach den Vorschriften über den Datenschutz;
• Überwachung der Einhaltung der Vorschriften über den Datenschutz sowie der Strategien der öffentlichen Stelle für den Schutz personenbezogener Daten, einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und der Schulung der an den Verarbeitungsvorgängen beteiligten Beschäftigten und der diesbezüglichen Überprüfungen;
• Beratung im Zusammenhang mit der Datenschutz-Folgenabschätzung und Üb...