1. Anforderungen für einen externen Datenschutzbeauftragten
Ein externer Datenschutzbeauftragter ist, wie die interne, muss ausgewählt werden entsprechend den Anforderungen gemäß Artikel 37 ABS. 5, 39 DS-GVO: Beruht auf dieser gesetzlichen Regelungen, muss er bereits über die berufliche Qualifikation und das erforderliche Fachwissen zur Erfüllung der Aufgaben in der Zeit seiner Ernennung haben, wobei das Niveau des Wissens erforderlich, sollte grundsätzlich bestimmt durch den Umfang der Datenverarbeitung durch die verantwortliche person und die Notwendigkeit für den Schutz personenbezogener Daten verarbeitet.
- Praktische Erfahrung in Voraus, technische Kenntnisse, Ausbildung und Weiterbildung sowie den Nachweis der besonderen Datenschutz-Schulungen notwendig. Die Kandidaten sollten auch erwartet werden, haben SIE Qualifikationen, so dass Sie verstehen können, die manchmal technisch komplexen Prozessen. Darüber hinaus sollte er haben (mindestens basic) legal verstehen, um in der Lage zu verstehen die große Anzahl von Vorschriften, die sich aus der Datenschutz-Grundverordnung, der ePrivacy-Verordnung und den nationalen Rechtsvorschriften und werden in der Lage die Entscheidungen, die gemacht wurden .
2. Minimum Aufgaben des Datenschutzbeauftragten
Die minimale Aufgaben des Datenschutzbeauftragten ergeben sich aus Artikel 39 DS-GVO, Wonach die Aufgaben können angegeben werden oder es wird erweitert durch die Beschäftigung oder service-Vertrag mit ihm.
Eine der primären Aufgaben des externen Datenschutzbeauftragten ist die Arbeit für die Einhaltung aller (Datenschutz -) Bestimmungen von dem Verantwortlichen oder des auftragsverarbeiters und seine Mitarbeiter (durch information und Beratung), Artikel 39 (1) lit. ein GDPR. Für diesen Zweck ist er eingewiesen werden in die Prozesse der Daten-Verarbeitung-software-Programme sowie in der computer-Technologie verwendet. Sie sollten regelmäßig überprüft werden von ihm in den folgenden. Zusätzlich, die externe Datenschutzbeauftragte muss gewährleisten, dass Personen, die Umgang mit personenbezogenen Daten vertraut gemacht mit den geltenden datenschutzrechtlichen Bestimmungen und Ihrer Sorgfaltspflicht. Dies sollte getan werden, als Teil des regelmäßigen Trainings und (ggf. wiederholt) Weiterbildung.
Ein DSB prüft regelmäßig die technischen und organisatorischen Maßnahmen des Unternehmens, vorausgesetzt, dass diese Aufgabe wurde vertraglich zugewiesen, um ihn von dem Verantwortlichen oder des auftragsverarbeiters. Für diesen Zweck, mindestens Zugangskontrolle, Zutrittskontrolle, access control, transfer control, input-Kontrolle, Ordnung, Kontrolle und Verfügbarkeit Steuerung muss überprüft werden. Er führt auch regelmäßige audits.
Er in der Regel auch die überwachung der automatisierten Prozesse in der Firma, die er oft Bewertungen als Teil der Datenschutz-Folgenabschätzung, um sicherzustellen, dass die Rechte der betroffenen angemessen geschützt werden und dass Sie ausreichend informiert sind. Dies scheint dringend erforderlich in Bezug auf das Recht auf information, das Recht auf Berichtigung, das Recht auf Löschung, das Recht auf Einschränkung der Verarbeitung, das Recht auf datenübertragbarkeit, das Recht zu widersprechen, aber auch, um Anfragen für Informationen.
Darüber hinaus hat er oft kümmert sich um die Verwaltung der Verfahren registriert, obwohl es sollte darauf hingewiesen werden, dass es keine rechtliche Verpflichtung, dies zu tun. Neben der DPO könnte, werden vertraglich verpflichtet, entwickeln eine Daten-Schutz-Handbuch mit den notwendigen Konzepten, Leitlinien, Richtlinien-und Mitarbeiter-Informationen.
Die internen oder externen Datenschutzbeauftragten müssen, stellen auch den Verantwortlichen oder des auftragsverarbeiters in seine Angelegenheiten als Ansprechpartner bei der Aufsichtsbehörde. Es sollte jedoch darauf hingewiesen werden, dass der externe Datenschutzbeauftragte der Regel keine Entscheidungs-Behörde; diese liegt ausschließlich bei der person, die verantwortlich ist-und somit in der Regel mit der Verwaltung des Unternehmens an seine Kunden.
3. Termin / Kündigung eines Datenschutzbeauftragten
Ein DSB benannt werden muss in den Fällen von Artikel 37 GDPR oder Artikel 38 BDSG neue Fassung. Die Bezeichnung soll schriftlich erfolgen; Gemäß Art. 37 ABS. 7 DS-GVO, es muss veröffentlicht und bekannt gemacht bei der Aufsichtsbehörde (Meldepflicht). Die Bezeichnung Zertifikat beinhaltet sowohl die Unterschrift des Datenschutzbeauftragten und der Verantwortlichen person im management.
Der externe Datenschutzbeauftragte ist nicht nach den Anweisungen von der Verwaltung des Unternehmens in seinem Tätigkeitsbereich nach § 38 Absatz 3 BDSG neue Fassung. Er kann frei agieren innerhalb der gesetzlichen Grenzen. Aus diesem Grund sollte im Vorfeld berücksichtigt werden zu können, inwieweit ein interner Mitarbeiter selbständig arbeiten können: Im Prinzip, er kann andere Aufgaben und Pflichten in der Gesellschaft, § 38 (6) Satz 1 BDSG verwendet; jedoch sollte er nicht halten jede andere position, die beeinträchtigt seine Entscheidungskompetenz (z.B. HR-oder IT-management, general management, etc.).
Gemäß § 38 Absatz 4 BDSG der neuen version, die eine Abberufung des DSB nur dann zulässig sind, in entsprechender Anwendung von § 626 BGB. Sein Arbeitsverhältnis nur gekündigt werden, wenn Tatsachen, die es ermöglichen, eine fristlose Kündigung aus wichtigem Grund. Sobald die Aktivität beendet ist, wird die Kündigung während des folgenden Jahres ist nicht zulässig, es sei denn, es ist gute Sache zu rechtfertigen würden, dass die Beendigung des Arbeitsverhältnisses ohne Kündigung. Die Frage, inwieweit dieses Recht auf Fortsetzung des Arbeitsverhältnisses übertragen werden können, werden an den externen Datenschutzbeauftragten ist nicht abschließend geklärt. Die Möglichkeit der Kündigung für eine externe person, die arbeiten als Teil eines Arbeitsverhältnisses könnte deshalb entweder auf der Grundlage § 621 BGB oder § 627 BGB. Alternativ, eine analoge Anwendung des § 626 BGB denkbar wäre. Letzteres könnte Sinn machen und wahrscheinlich am nächsten kommen, was der Gesetzgeber will.
4. Internen oder externen DSB?
Dies wirft die Frage auf, ob die Rolle des data protection officer, sollte gefüllt werden durch eine interne oder eine externe person. Während, wie bereits erwähnt, die Zusammenarbeit mit einem internen Mitarbeiter können regelmäßig ausgeführt werden harmonisch durch die persönliche Vertrautheit und das bereits vorhandene wissen des Unternehmens und die damit verbundenen Strukturen, die auf der einen Seite besteht die Gefahr, wie gesehen werden kann, in der Praxis, das einfach die gesamte Verantwortung sind "übersehen", oder, auf der anderen Seite die Gefahr, dass der Kandidat fehlt das technische know-how oder juristische Fähigkeiten. Jedoch, die wichtigsten Gründe gegen die Wahl von einem internen Mitarbeiter sind Ihre Haftung und die Tatsache, dass der externe Datenschutzbeauftragte kann beendet werden, schneller (die wohl auch weiterhin gelten, wenn die GDPR gilt). Während der interne DSB haftet nur für das Unternehmen aus Sicht der Mitarbeiter die Verpflichtung, den externen Datenschutzbeauftragten regelmäßig haften nach den § § 280, 611 BGB und § 823 BGB.
Je nach controller oder Prozessor, die Ziele, die besseren Argumente sind entweder für die Wahl einer internen oder einen externen DSB. Ein gutes argument für die externe service-Anbieter ist, dass Sie in der Regel deal mit der Datenschutz full-time.
