Wer darf Datenschutzbeauftragter werden?

Menschen mit unterschiedlichen beruflichen Hintergründen können in Deutschland Datenschutzbeauftragte werden. Allerdings ist nicht jede Person für eine Benennung geeignet. Artikel 37 Absatz 5 DSGVO verlangt berufliche Qualifikation, Fachwissen im Datenschutzrecht und in der Datenschutzpraxis sowie die Fähigkeit, die Aufgaben nach Artikel 39 zu erfüllen. Weitere Zuständigkeiten dürfen nach Artikel 38 Absatz 6 keinen Interessenkonflikt verursachen.

Stellen Sie sich eine Organisation vor, die zwischen einer juristischen Fachkraft, einer IT-Fachkraft und einer Person mit abgeschlossener Datenschutzweiterbildung auswählt. Alle bringen hilfreiche Kenntnisse mit. Vor der Benennung muss die Organisation jedoch prüfen, was die Kandidaten wissen, was sie praktisch leisten können und über welche Datenverarbeitungen sie bereits entscheiden.

Ob Sie selbst eine Benennung erwägen oder die Eignung einer anderen Person beurteilen: Die entscheidende Frage geht über „Kann jeder Datenschutzbeauftragter werden?“ hinaus. Sie lautet: „Passt diese Person zu den Verarbeitungsvorgängen und Arbeitsbedingungen dieser Organisation?“

Benötigen Sie einen bestimmten Studienabschluss oder ein Zertifikat?

Artikel 37 Absatz 5 schreibt weder einen bestimmten Hochschulabschluss noch ein bestimmtes Zertifikat vor. Im Mittelpunkt stehen Fachwissen und die Fähigkeit zur Aufgabenerfüllung. Den Wortlaut finden Sie in der Veröffentlichung von Artikel 37 durch die Deutsche Rentenversicherung.

Diese Unterscheidung eröffnet auch Menschen ohne Jurastudium einen Zugang zur Tätigkeit. Zugleich ersetzt ein Studienabschluss nicht die Prüfung des einschlägigen Fachwissens.

Die  FAQ des Hessischen Beauftragten für Datenschutz und Informationsfreiheit erläutern, dass ein Zertifikat nicht zwingend erforderlich ist und der Erwerbsweg der Kenntnisse gesetzlich nicht vorgeschrieben wird. Sie betonen außerdem, dass Fachwissen an das Arbeitsumfeld angepasst werden muss.

Unterscheiden Sie drei Arten von Anforderungen:

Ein Zertifikat kann eine Weiterbildung oder eine Prüfung dokumentieren. Prüfen Sie, was es tatsächlich bestätigt: Teilnahme, Abschluss, Prüfungsergebnisse oder eine andere klar definierte Leistung.

Wenn Sie Anforderungen für zertifizierte Datenschutzbeauftragte vergleichen, klären Sie zuerst, ob die jeweilige Seite einen Qualifikationsnachweis oder die gesetzlichen Voraussetzungen einer Benennung beschreibt. Das sind unterschiedliche Fragen, deren Anforderungen nicht vermischt werden sollten.

Welche beruflichen Hintergründe können hilfreich sein?

Einschlägige Berufserfahrung bietet eine Grundlage, auf der Sie aufbauen können. Sie macht die Prüfung von Wissenslücken aber nicht überflüssig.

Die folgende Gegenüberstellung zeigt mögliche Stärken und Prüfbereiche. Es handelt sich nicht um gesetzliche Eignungskategorien.

Kehren wir zu den hypothetischen Kandidaten zurück. Die juristische Fachkraft könnte die Vorschriften verständlich erklären, aber ein besseres Verständnis der Systeme benötigen. Die IT-Fachkraft könnte die Systeme kennen, aber einschlägige Rechtskenntnisse nachholen müssen. Die geschulte Person könnte Kursbeispiele verstehen, müsste jedoch zeigen, wie sie dieses Wissen im Arbeitsalltag anwendet.

Dies sind Möglichkeiten, die untersucht werden sollten, keine pauschalen Aussagen über einzelne Berufsgruppen.

Bitten Sie alle Kandidaten, denselben Verarbeitungssachverhalt zu erläutern. Welche Informationen würden sie anfordern? Welche Fragen würden sie prüfen? Wie würden sie ihre Beratung vermitteln? Ihre Begründungen liefern mehr Anhaltspunkte als eine Berufsbezeichnung allein.

Welche rechtlichen und praktischen Kenntnisse benötigen Sie?

Das erforderliche Fachwissen richtet sich nach der Verarbeitung und dem Schutzbedarf der Daten. Die Hinweise der brandenburgischen Datenschutzaufsichtsbehörde erläutern diesen auf das jeweilige Umfeld bezogenen Ansatz.

Die Eignung für ein bestimmtes Umfeld belegt deshalb nicht automatisch die Eignung für jede Branche, Organisation oder Verarbeitungstätigkeit.

Rechtskenntnisse praktisch anwenden

Ihre Vorbereitung sollte Sie dazu befähigen, einschlägige Bestimmungen der DSGVO, des BDSG und anderer anwendbarer Vorschriften zu beurteilen. Die folgenden Themen sind hilfreiche Prüfbereiche, kein gesetzlich vorgeschriebener Prüfungslehrplan:

• Rechtsgrundlagen, Zweckbindung und Datenminimierung.

• Transparenz und Rechte betroffener Personen.

• Pflichten von Verantwortlichen und Auftragsverarbeitern.

• Sicherheitsanforderungen und Verletzungen des Schutzes personenbezogener Daten.

• Datenschutz-Folgenabschätzungen und internationale Datenübermittlungen.

• Aufgaben, Stellung und Unabhängigkeit des Datenschutzbeauftragten.

Vorschriften anzuwenden bedeutet mehr, als Artikelnummern zu kennen. Angenommen, Bewerbungsdaten sollen für einen anderen Zweck verwendet werden. Eine hilfreiche Beurteilung benennt die relevanten Tatsachen, erläutert die rechtlichen Fragen und macht deutlich, was noch ungeklärt ist.

Verarbeitung und organisatorische Abläufe verstehen

Sie müssen außerdem nachvollziehen können, was mit Informationen geschieht: woher sie stammen, wer darauf zugreift, welche Dienstleister sie erhalten und wie sie aufbewahrt werden.

Hilfreiche praktische Fähigkeiten sind präzises Nachfragen, die Prüfung von Nachweisen und die verständliche Erläuterung von Feststellungen gegenüber Menschen mit unterschiedlichen Zuständigkeiten. Auch zu erkennen, wann zusätzliche fachliche Unterstützung erforderlich ist, hilft, unbegründete Empfehlungen zu vermeiden.

Wann verursachen weitere Zuständigkeiten einen Interessenkonflikt?

Eine Person kann über umfassendes Fachwissen verfügen und dennoch Zuständigkeiten haben, die mit der Funktion des Datenschutzbeauftragten unvereinbar sind.

Der Leitfaden des Europäischen Datenschutzausschusses zu Datenschutzbeauftragten erläutert, dass weitere Aufgaben den Datenschutzbeauftragten nicht in eine Position bringen dürfen, in der er die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt. Leitungspositionen werden als häufige Konfliktrisiken genannt. Auch andere Funktionen können jedoch Interessenkonflikte verursachen.

Prüfen Sie Entscheidungen, nicht nur Stellenbezeichnungen

Betrachten Sie die tatsächlichen Befugnisse der Person. Wer entscheidet, warum Informationen verarbeitet werden und wie die Verarbeitung erfolgt? Müsste die Person anschließend Entscheidungen überwachen, die sie in einer anderen Funktion selbst getroffen hat?

Hilfreiche Fragen sind:

• Legt die Person fest, welche Beschäftigten- oder Kundeninformationen erhoben werden?

• Entscheidet sie über Verwendung, Zugriffsregelungen oder Aufbewahrung?

• Würde ihre Überwachung als Datenschutzbeauftragter diese Entscheidungen umfassen?

Nutzen Sie die Antworten, um die Aufgabenverteilung zu prüfen. Eine Stellenbezeichnung kann auf ein Problem hinweisen, beschreibt aber nicht jede Zuständigkeit.

Zwei Beispiele für zu prüfende Zuständigkeiten

Beispiel 1: eine entscheidungsbefugte Person im Personalwesen. Stellen Sie sich eine Personalleitung vor, die festlegt, welche Informationen zur Überwachung von Beschäftigten erhoben und wie sie verwendet werden. Bei einer Benennung zum Datenschutzbeauftragten müsste ein möglicher Interessenkonflikt geprüft werden: Die unabhängige Überwachung würde Verarbeitungsentscheidungen umfassen, die diese Person selbst kontrolliert.

Beispiel 2: eine IT-Fachkraft mit beratenden Aufgaben. Stellen Sie sich eine technische Fachkraft vor, die Sicherheitsoptionen erläutert, aber nicht die Zwecke und Mittel der Verarbeitung festlegt. Ihr IT-Hintergrund allein beantwortet die Frage nach einem Interessenkonflikt nicht. Prüfen Sie ihre Befugnisse, zusätzlichen Aufgaben und vorgesehenen Datenschutzaufgaben, bevor Sie ein Urteil treffen.

Eine geänderte Funktionsbeschreibung löst das zugrunde liegende Problem nicht, wenn die tatsächlichen Zuständigkeiten gleich bleiben. Möglicherweise müssen zusätzliche Aufgaben neu verteilt werden. Auch eine andere interne Person oder eine externe Benennung kann in Betracht kommen.

Wie prüfen Sie die Eignung für eine Benennung?

Nutzen Sie die folgende empfohlene Checkliste, um die Prüfung zu strukturieren. Sie ist weder ein gesetzlich vorgeschriebenes Formular noch ein Punktesystem zur Feststellung der Eignung.

Beispielhafte Beratungsvermerke, einschlägige Erfahrung und dokumentierte Weiterbildung können das Gespräch unterstützen. Betrachten Sie eine einzelne Übung nicht als abschließenden Nachweis.

Unterscheiden Sie Entwicklungsbedarf von konfliktbehafteten Zuständigkeiten: Weiterbildung kann eine Wissenslücke schließen. Unvereinbare Entscheidungsbefugnisse erfordern dagegen eine organisatorische Anpassung.

Den größeren Zusammenhang erläutert der GCI-Beitrag strategischer Datenschutz in der Praxis, der Datenschutzarbeit mit Unternehmenssteuerung verbindet.

Wie kann eine Weiterbildung Sie vorbereiten?

Leiten Sie aus der Prüfung Ihren nächsten Schritt ab. Unser 🟦 umfassender Leitfaden zur Zertifizierung von Datenschutzbeauftragten in Deutschland bietet einen breiteren Überblick zur Qualifikation.

Die GCI-Weiterbildung Data Protection Officer (DPO) Certification Training nennt in ihrem Lehrplan die DSGVO, das BDSG, Aufgaben von Datenschutzbeauftragten, Datenschutz-Folgenabschätzungen sowie technische und organisatorische Maßnahmen. Vergleichen Sie diese Themen mit den Wissenslücken, die Sie schließen möchten.

Der Abschluss einer Weiterbildung belegt nicht automatisch die Eignung für eine bestimmte Benennung und beseitigt keine Interessenkonflikte aus einer anderen Funktion.

Kursinhalte der DPO-Weiterbildung ansehen