Datenschutzkoordinator

Ein externer Datenschutzbeauftragter kann viel – aber er kann nicht wissen, dass die Personalabteilung seit Dienstag ein neues Bewerbungsportal nutzt. Dafür braucht es jemanden im Haus. Diese Rolle heißt Datenschutzkoordinator, und ob sie besetzt ist, entscheidet häufiger über den Erfolg der Betreuung als die Wahl des Beauftragten.

Was die Rolle ist – und was sie nicht ist

Der Datenschutzkoordinator ist keine gesetzlich vorgeschriebene Funktion. Weder DSGVO noch BDSG kennen ihn. Er ist eine organisatorische Antwort auf ein praktisches Problem: Der Beauftragte überwacht von außen, aber die Informationen entstehen innen.

Genau hier liegt auch die Abgrenzung. Der Beauftragte berät und kontrolliert unabhängig; er ist weisungsfrei und darf nicht in eigener Sache prüfen. Der Koordinator dagegen ist Teil der Organisation, weisungsgebunden und operativ tätig. Er setzt um, was der Beauftragte empfiehlt.

Diese Trennung ist der Grund, warum beide Rollen nicht in einer Person zusammenfallen dürfen, wenn der Koordinator zugleich über Verarbeitungen mitentscheidet. Wer die Prozesse gestaltet, kann sie nicht unabhängig überwachen – der klassische Interessenkonflikt, den Art. 38 Abs. 6 DSGVO im Blick hat.

Was ein Datenschutzkoordinator tut

Er meldet Veränderungen. Neue Software, neuer Dienstleister, neuer Prozess, neue Datenquelle. Das ist die wichtigste Aufgabe und zugleich die einfachste – sie besteht im Wesentlichen darin, den Beauftragten anzurufen, bevor etwas eingeführt wird, nicht danach.

Er pflegt die Dokumentation mit. Das Verzeichnis von Verarbeitungstätigkeiten lebt von Zuarbeit aus den Fachbereichen; der Koordinator sammelt sie ein.

Er ist erste Anlaufstelle intern. Kollegen fragen ihn, bevor sie den externen Beauftragten fragen – das filtert die einfachen Fälle.

Er nimmt Betroffenenanfragen entgegen und stellt sicher, dass sie nicht in einem Postfach liegen bleiben. Bei Auskunftsanfragen läuft die Frist ab Eingang, nicht ab Weiterleitung.

Er meldet Vorfälle sofort. 72 Stunden sind kurz; siehe Datenschutzvorfall melden.

Er organisiert Schulungen und verfolgt, wer teilgenommen hat – siehe Datenschutzschulungen.

Wer dafür geeignet ist

Nicht zwingend eine Juristin. Gebraucht werden drei Eigenschaften: Überblick über die Abläufe, Zugang zu den Fachbereichen und die Bereitschaft, unbequeme Fragen zu stellen. Fachliches Wissen lässt sich schulen; Kenntnis des eigenen Hauses nicht.

In kleineren Unternehmen ist es häufig jemand aus der Verwaltung oder dem Qualitätsmanagement. In größeren wird die Rolle je Standort oder je Bereich besetzt und bildet ein Netz, das der Beauftragte koordiniert.

Der Zeitbedarf wird regelmäßig überschätzt. Im Regelbetrieb sind es einige Stunden im Monat. Aufwendig wird es in der Anfangsphase und immer dann, wenn ein größeres Vorhaben ansteht.

Der jährliche Tätigkeitsbericht

Ein Punkt, an dem Koordinator und Beauftragter zusammenkommen. Der Tätigkeitsbericht ist gesetzlich nicht ausdrücklich vorgeschrieben, aber er ist das wirksamste Mittel, um zwei Pflichten zugleich zu erfüllen: die Berichterstattung an die höchste Managementebene nach Art. 38 Abs. 3 DSGVO und die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Ein brauchbarer Bericht enthält: was im Jahr geprüft wurde, welche Feststellungen getroffen wurden, welche Vorfälle es gab und wie sie ausgingen, welche Betroffenenanfragen eingingen, wie viele Beschäftigte geschult wurden, was offen ist – und was im kommenden Jahr ansteht.

Sein eigentlicher Wert liegt im Nachweis. Wenn eine Aufsichtsbehörde fragt, wie das Unternehmen seiner Rechenschaftspflicht nachkommt, ist eine Reihe jährlicher Berichte die beste Antwort, die man geben kann. Umgekehrt ist ein Beauftragter, der in Jahren keinen Bericht vorgelegt hat, schwer zu verteidigen.

Damit das nicht an einzelnen Personen hängt, gehören Fristen, Nachweise und Zuständigkeiten in ein Datenschutzmanagementsystem.

Kontakt

Sie wollen die interne Rolle besetzen und wissen nicht, wie viel Schulung sie braucht? Wir sagen es Ihnen – und übernehmen bei Bedarf auch das Coaching.