Ihr externer Datenschutz­beauftragter nach DSGVO und KDG

Nach § 38 BDSG müssen nicht-öffentliche Stellen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benennen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von dieser Zahl besteht die Pflicht nach Art. 37 DSGVO für Behörden und öffentliche Stellen sowie dann, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien wie Gesundheitsdaten oder in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen besteht. Das trifft beispielsweise auf viele Gemeinschaftspraxen, Logopädinnen und Physiotherapeuten zu.

Ja. Nach Art. 37 Abs. 7 DSGVO sind die Kontaktdaten der benannten Person zu veröffentlichen und der zuständigen Aufsichtsbehörde mitzuteilen, in Nordrhein-Westfalen der Landesbeauftragten für Datenschutz und Informationsfreiheit (LDI NRW). Diese Meldung übernehmen wir für Sie im Rahmen der Bestellung.

Grundsätzlich ja. Die Bestellung eines internen Datenschutzbeauftragten ist aber nicht ohne Risiko. Die Person muss die erforderliche Fachkunde nachweisen, sie ist in dieser Funktion weisungsfrei und darf keinen Interessenkonflikten unterliegen. Wer die Verarbeitungszwecke selbst mitbestimmt, etwa Geschäftsleitung, IT-Leitung oder Personalleitung, scheidet damit praktisch aus. Hinzu kommt ein besonderer Schutz vor Abberufung und Kündigung, der nach § 6 Abs. 4 BDSG noch ein Jahr nach dem Ende der Bestellung fortwirkt.

Unser Grundpaket kostet 89 Euro monatlich zzgl. MwSt. (105,91 Euro inkl. MwSt.). Es enthält die Bestellung, die Meldung an die zuständige Aufsicht, eine Datenschutz-Schulung und den Zugang zu unserem webbasierten Datenschutz-Management-System mit Mustern, Musterverträgen und Checklisten. Besteht bei Ihnen keine Benennungspflicht, Sie möchten uns aber dennoch benennen, gilt unser vergünstigter Satz von 79 Euro monatlich zzgl. MwSt. (94,01 Euro inkl. MwSt.) bei identischem Leistungsumfang. Darüber hinausgehende Arbeiten rechnen wir im Stundennachweis ab. Davon gibt es im ersten Jahr in vielen Organisationen einige. Wir werden jeweils im Rahmen eines Dienstvertrages tätig. Betreuen wir mehrere verbundene Unternehmen, etwa eine Holding mit Tochtergesellschaften, erhalten Sie günstigere Konditionen auf Anfrage.

In den meisten Fällen ja, und dafür haben wir ein eigenes, günstigeres Angebot: 79 Euro monatlich zzgl. MwSt. (94,01 Euro inkl. MwSt.) statt 89 Euro. Der Grund: Auch ohne Benennungspflicht müssen Sie sämtliche Vorgaben erfüllen: Verarbeitungsverzeichnis führen, technische und organisatorische Maßnahmen dokumentieren, Auftragsverarbeitungsverträge schließen, Datenpannen binnen 72 Stunden melden und Betroffenenanfragen fristgerecht beantworten. Diese Arbeit fällt ohnehin an, nur eben ohne fachkundige Begleitung. Wird jemand freiwillig benannt, gelten für diese Person dieselben Rechte und Pflichten wie bei einer Pflichtbenennung. Die Aufsichtsbehörden begrüßen das ausdrücklich, zumal die Wahrnehmung ihrer Aufgaben gegenüber der oder dem Datenschutzbeauftragten nach Art. 57 Abs. 3 DSGVO unentgeltlich ist. Nach außen ist eine benannte Datenschutzbeauftragte zudem ein starkes Vertrauenssignal gegenüber Kunden, Auftraggebern und Ausschreibungsstellen.

Für kirchliche Stellen gilt nicht die DSGVO in Verbindung mit dem BDSG, sondern eigenes kirchliches Datenschutzrecht: bei der katholischen Kirche das Gesetz über den Kirchlichen Datenschutz (KDG), bei der evangelischen Kirche das Kirchengesetz über den Datenschutz der EKD (DSG-EKD). Nach dem novellierten KDG gilt für die Benennungspflicht dieselbe Schwelle wie im staatlichen Recht: Sie greift, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Der wesentliche Unterschied liegt also nicht in der Schwelle, sondern im anwendbaren Recht und in der Zuständigkeit. Kirchliche Stellen unterstehen einer eigenen kirchlichen Datenschutzaufsicht, nicht der staatlichen Behörde. Wir betreuen kirchliche Träger, Einrichtungen aus Pflege und Gesundheit sowie Schulen in freier Trägerschaft nach diesen Vorgaben.

Wir arbeiten mit Ihnen in einer gemeinsamen Plattform, unserem Datenschutz-Management-System. Dort liegen Verarbeitungsverzeichnis, Maßnahmen, Verträge, Vorfälle und Fristen. Sie und wir sehen jederzeit denselben Stand. Dazu kommen Muster, Musterverträge, Checklisten und Praxistipps. Neue Verfahren stimmen wir vorab ab, bei Datenpannen und Behördenanfragen begleiten wir Sie unmittelbar, und einmal jährlich erhalten Sie einen Tätigkeitsbericht.

Ja. Wir bewerten den Vorfall gemeinsam mit Ihnen, dokumentieren ihn im DSMS und begleiten die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO. Die Frist beträgt möglichst 72 Stunden ab Kenntnis. Wenn zusätzlich eine Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO erforderlich ist, bereiten wir auch diese vor. Die Meldung selbst gibt die verantwortliche Stelle ab; wir liefern Bewertung, Unterlagen und Formulierung.

Ja. Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt, ist nach Art. 35 DSGVO eine Datenschutz-Folgenabschätzung erforderlich. Wir prüfen zunächst über eine Schwellwertanalyse, ob eine DSFA nötig ist, und führen sie anschließend strukturiert im DSMS durch, inklusive Risikobewertung, Maßnahmen und Dokumentation.

Ja, und in der Praxis lohnt sich das fast immer. Viele Maßnahmen nach Art. 32 DSGVO sind zugleich Maßnahmen eines Informationssicherheits-Managementsystems. Wir betreuen beide Disziplinen mit demselben Team und koppeln DSMS und ISMS, sodass Maßnahmen nur einmal gepflegt werden. Details dazu finden Sie auf unserem Portal isb.nrw.