Zertifizierung als Datenschutzbeauftragter in Deutschland: Voraussetzungen, Fachkenntnisse und berufliche Wege

Ein Zertifikat kann Ihren Weg in den Datenschutz unterstützen. Doch was belegt es? Prüfen Sie Fachkunde, Weiterbildung und Benennungspflichten

In Deutschland ist kein einheitliches Zertifikat vorgeschrieben, das jede Person vor ihrer Benennung als Datenschutzbeauftragter erwerben muss. Entscheidend sind die erforderliche Fachkunde und die Fähigkeit, die Aufgaben zu erfüllen. Ein Weiterbildungszertifikat kann die Vorbereitung dokumentieren. Für eine Benennung müssen jedoch auch fachliche Eignung und Unabhängigkeit geprüft werden.

Wenn Sie sich auf eine Tätigkeit im Datenschutz in Deutschland vorbereiten, hilft Ihnen diese Unterscheidung bei der Auswahl einer passenden Weiterbildung. Sie zeigt auch, welche zusätzliche Vorbereitung für eine Benennung erforderlich sein kann.

Dieser Leitfaden verbindet die Auswahl einer Weiterbildung mit den Anforderungen an die Tätigkeit in Deutschland, den Voraussetzungen einer Benennungspflicht und praktischen Möglichkeiten zur Vorbereitung.

Quelle: Hinweise des BayLDA zu Ausbildung und Fachkunde von Datenschutzbeauftragten.

Inhaltsverzeichnis

• Was bedeutet eine Zertifizierung als Datenschutzbeauftragter?

• Wer kann Datenschutzbeauftragter werden?

• Wann ist ein Datenschutzbeauftragter in Deutschland Pflicht?

• Welche Aufgaben hat ein Datenschutzbeauftragter?

• Wie wählen Sie eine passende Weiterbildung aus?

• Welche praktischen Fähigkeiten sollten Sie entwickeln?

• Wie hilft ein Datenschutzmanagementsystem?

• Welche Fehler sollten neue Datenschutzbeauftragte vermeiden?

• Welche Risiken entstehen bei Datenschutzverstößen?

• Welche beruflichen Wege kommen infrage?

• Checkliste für Ihre Vorbereitung

• Ihr nächster Schritt zur Weiterbildung

• Häufig gestellte Fragen

Was bedeutet eine Zertifizierung als Datenschutzbeauftragter?

Eine Zertifizierung als Datenschutzbeauftragter bezeichnet üblicherweise einen Nachweis aus einer Weiterbildung oder einem beruflichen Zertifizierungsverfahren. Seine Aussagekraft hängt von der ausstellenden Stelle, der Prüfung und den zugrunde liegenden Kriterien ab. Ein Kursabschlusszertifikat ist nicht mit einer gesondert geprüften beruflichen Zertifizierung gleichzusetzen.

Unterscheiden Sie beim Vergleich von Zertifikaten drei Fragen:

Prüfen Sie, ob das Zertifikat die Teilnahme, den Abschluss oder das Erreichen veröffentlichter Prüfungskriterien dokumentiert.

Unterscheiden Sie außerdem ein persönliches Weiterbildungszertifikat von einer Zertifizierung nach Artikel 42 DSGVO. Artikel 42 betrifft den Nachweis, dass Verarbeitungsvorgänge den Anforderungen entsprechen. Ein Kurszertifikat für Datenschutzbeauftragte zertifiziert nicht den gesamten Umgang einer Organisation mit personenbezogenen Daten.

Quelle: Hinweise der DSK zur Zertifizierung nach Artikel 42 DSGVO.

Eine hilfreiche Frage lautet: „Was kann ich über das Vorlegen des Zertifikats hinaus nachweisen?“ Dazu können beispielsweise die Erklärung eines Datenschutzrisikos, die Prüfung eines Eintrags im Verzeichnis von Verarbeitungstätigkeiten oder das Erkennen eines Bedarfs an fachlicher Beratung gehören.

Wer kann Datenschutzbeauftragter werden?

Die englische Bezeichnung „Data Protection Officer“, kurz DPO, entspricht in Deutschland dem Datenschutzbeauftragten, häufig abgekürzt als DSB.

Die DSGVO stellt auf die berufliche Qualifikation, das Fachwissen im Datenschutzrecht und in der Datenschutzpraxis sowie die Fähigkeit zur Erfüllung der Aufgaben ab. Sie schreibt weder ein Jurastudium noch einen einheitlichen Ausbildungsweg vor.

Das erforderliche Fachwissen sollte der Komplexität, dem Umfang und der Sensibilität der Datenverarbeitung in der Organisation entsprechen.

Quelle: Hinweise der irischen Data Protection Commission zu geeigneten Qualifikationen für Datenschutzbeauftragte. Sie erläutern die Fachkundeanforderungen der DSGVO, nicht das deutsche nationale Recht.

Ihr beruflicher Hintergrund kann eine Grundlage bieten. Mit juristischer Erfahrung benötigen Sie möglicherweise zusätzliche Kenntnisse über Systeme und Sicherheitsmaßnahmen. Mit einem IT-Hintergrund kann eine vertiefte Vorbereitung auf die Rechtmäßigkeit der Verarbeitung und die Rechte betroffener Personen sinnvoll sein. Wer im Compliance-Bereich arbeitet, benötigt möglicherweise beides.

Prüfen Sie Wissenslücken anhand konkreter Aufgaben. Können Sie erklären, warum die Erhebung zusätzlicher Informationen weitere Fragen aufwirft? Können Sie einen vorgeschlagenen Prozess so kritisch prüfen und Ihre Bedenken so klar erläutern, dass die Leitung eine fundierte Entscheidung treffen kann?

Prüfen Sie Interessenkonflikte vor der Benennung

Weitere Aufgaben eines Datenschutzbeauftragten dürfen nicht zu einem Interessenkonflikt führen. Entscheidend ist insbesondere, ob diese Aufgaben die Festlegung der Zwecke und Mittel der Verarbeitung personenbezogener Daten umfassen.

Bei Mitgliedern der Geschäftsleitung und Leitungsfunktionen, etwa in IT oder Personal, kann diese Frage relevant sein. Prüfen Sie die tatsächlichen Zuständigkeiten, statt sich allein auf die Stellenbezeichnung zu verlassen.

Quelle: Leitfaden des Europäischen Datenschutzausschusses zur Tätigkeit von Datenschutzbeauftragten.

Betrachten Sie beispielsweise eine IT-Leitung, die ein Überwachungswerkzeug auswählt, dessen Einsatz festlegt und anschließend dieselben Entscheidungen als Datenschutzbeauftragter überprüft. Das Problem liegt in den Entscheidungen, für die diese Person verantwortlich ist. Zusätzliche Weiterbildung allein würde diesen Konflikt nicht beseitigen.

Wann ist ein Datenschutzbeauftragter in Deutschland Pflicht?

Die Pflicht zur Benennung eines Datenschutzbeauftragten kann sich sowohl aus der DSGVO als auch aus dem Bundesdatenschutzgesetz, kurz BDSG, ergeben.

Nach Artikel 37 DSGVO zählen dazu insbesondere:

• Die Verarbeitung durch eine Behörde oder öffentliche Stelle, ausgenommen Gerichte im Rahmen ihrer justiziellen Tätigkeit.

• Kerntätigkeiten, die eine umfangreiche, regelmäßige und systematische Überwachung betroffener Personen erfordern.

• Kerntätigkeiten, die in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten oder von Daten über strafrechtliche Verurteilungen und Straftaten bestehen.

Entscheidend ist, wie die Organisation personenbezogene Daten verarbeitet. Die Zugehörigkeit zu einer Branche allein beantwortet nicht jeden Einzelfall.

Quellen: Hinweise der Europäischen Kommission zur Benennung von Datenschutzbeauftragten und Überblick des BayLDA zur Benennungspflicht.

Die deutsche Schwelle von 20 Personen

Ein Verantwortlicher legt fest, warum und wie personenbezogene Daten verarbeitet werden. Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag eines Verantwortlichen. Für beide kann eine Benennungspflicht bestehen.

Für nichtöffentliche Stellen sieht § 38 BDSG eine zusätzliche Benennungspflicht vor, wenn Verantwortliche oder Auftragsverarbeiter in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.

Es geht nicht einfach um die Gesamtzahl aller Beschäftigten. Maßgeblich sind die im Gesetz beschriebenen Verarbeitungstätigkeiten.

Weitere Benennungspflichten gelten unabhängig von dieser Zahl. Dazu gehören Verarbeitungen, die einer Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO unterliegen, sowie die gesetzlich bezeichnete geschäftsmäßige Verarbeitung zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung.

Quelle: § 38 BDSG.

Betrachten Sie beispielsweise ein Unternehmen mit weniger als 20 entsprechend zu berücksichtigenden Personen, das eine Verarbeitung plant, für die eine Datenschutz-Folgenabschätzung erforderlich ist. Eine Prüfung allein anhand der Personenzahl würde einen weiteren Grund für die Benennungspflicht übersehen.

Welche Aufgaben hat ein Datenschutzbeauftragter?

Ein Datenschutzbeauftragter unterrichtet und berät, überwacht die Einhaltung der Anforderungen, berät auf Anfrage zur Datenschutz-Folgenabschätzung, arbeitet mit Aufsichtsbehörden zusammen und dient als Anlaufstelle. Die Tätigkeit setzt eine rechtzeitige Einbindung, angemessene Ressourcen und eine unmittelbare Berichterstattung an die höchste Managementebene voraus.

Die Benennung überträgt die Verantwortung der Organisation für die Einhaltung der DSGVO nicht auf den Datenschutzbeauftragten.

Quellen: Erläuterung der Aufgaben durch den Europäischen Datenschutzausschuss und Hinweise des BayLDA zur Verantwortung der Organisation.

Halten Sie diese Unterscheidung auch in der Praxis fest:

Diese Beispiele veranschaulichen die Praxis. Sie stellen keine vollständige Zuordnung gesetzlicher Pflichten dar.

Eine hilfreiche interne Frage lautet: Wer berät, wer entscheidet und wer setzt um? Lautet jede Antwort „der Datenschutzbeauftragte“, sollte die Organisation ihre Aufgabenverteilung überprüfen.

Wie wählen Sie eine passende Weiterbildung aus?

Vergleichen Sie Ihre Wissenslücken mit den Lehrinhalten und der Prüfung. Die Bezeichnung eines Zertifikats sagt weniger aus als die Leistungen, die für seinen Erwerb erforderlich sind.

Die folgenden Fragen unterstützen die Auswahl:

Die irische Data Protection Commission empfiehlt, Lehrinhalte, Prüfung, die Stellung der akkreditierenden Einrichtung und die Anerkennung zu berücksichtigen. Dies sind Auswahlkriterien und keine allgemeine gesetzliche Pflicht, einen akkreditierten Kurs zu buchen.

Wenn Sie beispielsweise DSGVO-Grundsätze erklären können, aber Schwierigkeiten haben, die Datenverarbeitung bei einem Dienstleister zu prüfen, sollten Sie praktische Übungen und Rückmeldungen priorisieren. Liegt Ihre Erfahrung hauptsächlich im technischen Bereich, legen Sie den Schwerpunkt auf die Anwendung rechtlicher Anforderungen auf konkrete Entscheidungen.

Welche praktischen Fähigkeiten sollten Sie entwickeln?

Richten Sie Ihre Vorbereitung auf Aufgaben aus, die Sie erklären und nachvollziehbar bearbeiten können. Die folgenden Übungen bieten einen praktischen Einstieg.

Beschreiben Sie eine Verarbeitungstätigkeit.

Erklären Sie anhand eines hypothetischen Geschäftsprozesses, welche Informationen erhoben werden, warum sie benötigt werden, wer sie erhält und wie lange sie aufbewahrt werden.

Verwenden Sie in Übungsbeispielen keine echten personenbezogenen Daten.

Verzeichnisse von Verarbeitungstätigkeiten unterstützen die Rechenschaftspflicht. Für Verantwortliche und Auftragsverarbeiter bestehen jeweils entsprechende Pflichten. Die Verzeichnisse sind ein Teil der Dokumentation und kein Nachweis dafür, dass sämtliche Anforderungen erfüllt sind.

Quelle: Hinweise der DSK zum Verzeichnis von Verarbeitungstätigkeiten.

Erkennen Sie, wann Risiken genauer geprüft werden müssen

Üben Sie, zwischen einer offenen Frage und einer dokumentierten Schlussfolgerung zu unterscheiden. Bei einem geplanten System können weitere Informationen über Zugriffsrechte, Überwachung oder Datenweitergabe erforderlich sein, bevor sich die Risiken bewerten lassen.

Eine Datenschutz-Folgenabschätzung ist erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Wurde ein Datenschutzbeauftragter benannt, zieht der Verantwortliche ihn zurate. Der Beitrag des Datenschutzbeauftragten ist beratend.

Prüfen Sie den Ablauf zur Bearbeitung von Anfragen

Prüfen Sie anhand eines hypothetischen Auskunftsersuchens, ob es die richtige Stelle erreicht, eine zuständige Person hat und nachverfolgt wird.

Nach der DSGVO muss die Reaktion unverzüglich und grundsätzlich innerhalb eines Monats erfolgen. Unter Berücksichtigung der Komplexität und der Anzahl der Anträge kann eine Verlängerung um bis zu zwei weitere Monate erforderlich sein. Die betroffene Person muss innerhalb des ursprünglichen Monats unter Angabe der Gründe darüber informiert werden.

Formulieren Sie einen Befund mit konkretem Handlungsbedarf

Üben Sie, statt „Datenschutzdokumentation verbessern“ eine konkrete Beobachtung festzuhalten:

Hypothetisches Beispiel: „Aus der dokumentierten Vorgehensweise geht nicht hervor, wer den Zugriff auf exportierte Kundendaten überprüft. Legen Sie eine zuständige Person fest und dokumentieren Sie das Prüfverfahren.“

Wie hilft ein Datenschutzmanagementsystem?

Ein Datenschutzmanagementsystem verbindet Richtlinien, Zuständigkeiten, Verzeichnisse und Prüfabläufe zu einer geordneten Arbeitsweise.

Verknüpfen Sie für die praktische Planung vier Fragen:

1. Welche Verarbeitungen finden statt?

2. Wer ist für die jeweiligen Entscheidungen und Maßnahmen zuständig?

3. Welche Nachweise zeigen, wie der Prozess funktioniert?

4. Was geschieht, wenn sich der Prozess ändert?

Eine Richtlinie hat im Arbeitsalltag nur begrenzten Nutzen, wenn niemand weiß, wer danach handeln soll. Eine zuständige Person zu benennen, ohne die Aufgabe zu erläutern, kann dasselbe Problem verursachen.

Betrachten Sie beispielsweise ein Marketingteam, das eine neue E-Mail-Plattform einführt. Ein praktikabler Prüfablauf könnte festlegen, wer Informationen zum Anbieter bereitstellt, wer Datenschutzfragen prüft, wer die Einführung freigibt und wer die zugehörige Dokumentation aktualisiert.

Dies sind Vorschläge zur Umsetzung. Die passende Ausgestaltung hängt von der Organisation ab.

Auch die Sensibilisierung der Beschäftigten sollte an Entscheidungen anknüpfen, die im Alltag tatsächlich auftreten, etwa beim Teilen von Dateien, bei der Bearbeitung von Anfragen oder bei der Einführung von Software.

Welche Fehler sollten neue Datenschutzbeauftragte vermeiden?

Vermeiden Sie zunächst diese fünf praktischen Probleme. Sie beschreiben relevante Risikobereiche und keine statistische Rangfolge der häufigsten Fehler.

1. Das Zertifikat als Abschluss der Vorbereitung betrachten. Halten Sie Fragen fest, für die weitere Weiterbildung oder fachliche Unterstützung erforderlich ist.

2. Unklare Zuständigkeiten akzeptieren. Klären Sie den Berichtsweg, die verfügbare Zeit, den Zugang zu Informationen und die Grenzen zusätzlicher Aufgaben.

3. Richtlinien prüfen, ohne die Praxis zu betrachten. Fragen Sie, wie ein Ablauf funktioniert, wenn eine Anfrage eingeht oder sich ein System ändert.

4. Bedenken melden, ohne die Nachverfolgung zu klären. Empfehlen Sie eine zuständige Person, einen Überprüfungstermin und die Nachweise, anhand derer sich der Fortschritt beurteilen lässt.

5. Jede Fachfrage allein beantworten wollen. Erkennen Sie, wann rechtliche, technische oder branchenspezifische Unterstützung erforderlich ist.

Ein Vertrag mit einem Dienstleister in einem Ordner beantwortet beispielsweise noch nicht die Frage, ob er zur aktuell genutzten Leistung passt. Vergleichen Sie als nächsten praktischen Schritt das Dokument mit der tatsächlichen Zusammenarbeit.

Welche Risiken entstehen bei Datenschutzverstößen?

Verstöße gegen die DSGVO können zu Geldbußen führen. Der geltende Höchstbetrag hängt von der Art des Verstoßes ab.

Dies sind Höchstbeträge und keine Standardbußen für jeden Verstoß. Die tatsächliche Geldbuße setzt eine Bewertung der Umstände voraus.

Quelle: Leitlinien des Europäischen Datenschutzausschusses zur Berechnung von Geldbußen.

Vermeiden Sie zwei Annahmen: Die Benennung eines Datenschutzbeauftragten garantiert nicht die Einhaltung der Anforderungen. Ebenso macht die Übernahme dieser Funktion die betreffende Person nicht automatisch für jeden Verstoß der Organisation verantwortlich.

Fragen zur persönlichen Haftung erfordern eine Prüfung des jeweiligen Verhaltens, der Rechtsgrundlage und der vertraglichen oder arbeitsrechtlichen Umstände. Sie sollten nicht auf die Aussage „Der Datenschutzbeauftragte zahlt die Geldbuße“ reduziert werden.

Welche beruflichen Wege kommen infrage?

Interne und externe Datenschutzbeauftragte arbeiten unter unterschiedlichen Rahmenbedingungen. Unterstützende Tätigkeiten im Datenschutz können ebenfalls Möglichkeiten bieten, vor einer Benennung praktische Erfahrung zu sammeln.

Diese Übersicht dient der Planung. Sie verspricht nicht, dass ein einzelner Kurs für jede Position qualifiziert.

Prüfen Sie bei der Wahl eines beruflichen Weges die tatsächlichen Aufgaben. Eine Stellenbezeichnung sagt möglicherweise weniger aus als die Beschreibung der Verarbeitungstätigkeiten, Berichtswege und erwarteten Erfahrung.

Bereiten Sie für eine Bewerbung Nachweise vor, die Sie erläutern können. Klar gekennzeichnete hypothetische Übungen können Ihre Vorgehensweise zeigen. Geben Sie Unterlagen aus dem Arbeitsumfeld nur mit Erlaubnis und unter angemessenem Schutz vertraulicher Informationen weiter.

Checkliste für Ihre Vorbereitung

Nutzen Sie diese Checkliste für Ihre persönliche Vorbereitung. Die Einhaltung der Anforderungen durch eine Organisation muss gesondert geprüft werden.

• Legen Sie fest, ob Sie sich auf eine Benennung oder auf unterstützende Datenschutzaufgaben vorbereiten.

• Ermitteln Sie Wissenslücken im deutschen und europäischen Datenschutzrecht.

• Vergleichen Sie die Lehrinhalte mit diesen Wissenslücken.

• Prüfen Sie die Leistungsbewertung und die Aussagekraft des Zertifikats.

• Üben Sie die Anwendung Ihres Wissens anhand realistischer, hypothetischer Beispiele.

• Prüfen Sie mögliche Interessenkonflikte bei einer vorgesehenen Benennung.

• Besprechen Sie Ressourcen und Berichtswege, bevor Sie die Funktion übernehmen.

• Ermitteln Sie, wo weitere Erfahrung oder fachliche Unterstützung erforderlich ist.

• Planen Sie Ihre fortlaufende Weiterbildung.

Dies sind empfohlene Vorbereitungsschritte und kein gesetzlich vorgeschriebenes Zertifizierungsverfahren.

Ihr nächster Schritt zur Weiterbildung

Wenn Sie als Nächstes eine strukturierte Weiterbildung suchen, vergleichen Sie die Kursinhalte mit den ermittelten Wissenslücken.

Der Kurs „Data Protection Officer (DPO) Certification Training“ des German Compliance Institute nennt unter anderem DSGVO, BDSG, Datenschutz-Folgenabschätzungen, Verzeichnisse von Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, Vereinbarungen mit Dienstleistern und Audits als Themen.

Prüfen Sie vor der Anmeldung die Lehrinhalte, die Prüfung und die Angaben zum Zertifikat. Eine Weiterbildung kann Ihre Vorbereitung unterstützen. Die Eignung für eine konkrete Benennung erfordert weiterhin eine Bewertung der Fachkunde und Unabhängigkeit.

Lehrinhalte des Kurses für Datenschutzbeauftragte ansehen