Düsseldorfer Kreis beschließt Mindestanforderungen für Datenschutzbeauftragte

Die obersten Aufsichtsbehörden der Länder für den Datenschutz im nicht-öffentlichen Bereich haben sich im Rahmen ihrer gemeinsamen Tagung (Düsseldorfer Kreis) am 24./25. November 2010 auf Mindestanforderungen an die Fachkunde und die Unabhängigkeit von Datenschutzbeauftragten (download hier)geeinigt.

Der Beschluss beinhaltet insbesondere folgende Kernpunkte:

1. Bereits zum Zeitpunkt der Bestellung zum Datenschutzbeauftragten müssen die erforderlichen rechtlichen, technischen sowie organisatorischen Mindestkenntnisse grundsätzlich vorliegen.
2. Über Grundkenntnisse in verschiedenen Bereichen werden insbesondere umfassende Kenntnisse hinsichtlich der einschlägigen Normen des BDSG und der für das eigene Unternehmen spezialgesetzlichen datenschutzrelevanten Vorschriften verlangt.
3. Zum Erwerb der erforderlichen Kenntnisse werden insbesondere der Besuch geeigneter Aus- und Fortbildungsveranstaltungen und das Ablegen einer Prüfung benannt.
4. Zu Wahrung der Unabhängigkeit von internen Datenschutzbeauftragten muss dieser vor Benachteiligungen auch nach dem Widerruf der Bestellung geschützt sein. Bei externen Dienstleistern müssen im Vertrag verschiedene vertragliche Anforderungen erfüllt werden. Zudem wird nach einer Erprobung von 1-2 Jahren eine Mindestvertragslaufzeit von mindestens 4 Jahren empfohlen.
5. Einräumung aller erforderlichen Zutritts- und Einsichtsrechte.
6. Einbindung in alle relevanten betrieblichen Planungs- und Entscheidungsabläufe.

Der Düsseldorfer Kreis ist eine informelle Vereinigung der obersten Aufsichtsbehörden, die in Deutschland die Einhaltung des Datenschutzes im nicht-öffentlichen Bereich überwachen.Er ist somit eine Parallelorganisation zur Konferenz der Datenschutzbeauftragten des Bundes und der Länder, die einen Zusammenschluss der Aufsichtsbehörden für den öffentlichen Bereich darstellen. Seinen Beschlüssen kommt keine vom Gesetz autorisierte Verbindlichkeit zu. Viele Landesdatenschutzbeauftragte orientieren sich aber an den Vorstellungen der im Kreis aktiven Fachleute.

Es ist daher nicht auszuschließen, dass die in dem Beschluss aufgeführten Mindestanforderungen von den zuständigen Aufsichtsbehörden vor Ort aus Auslegungshilfe zu § 4 f BDSG herangezogen werden. Dies könnte im Einzelfall soweit gehen, dass ein Ordnungswidrigkeitenverfahren nach § 43 BDSG eingeleitet wird, weil der betriebliche Datenschutzbeauftragte nach Auffassung der Aufsichtsbehörde nicht die notwendigen Mindestanforderungen erfüllt.

Sollte sich die Auffassung des Düsseldorfer Kreises auch in der Rechtsprechung der Verwaltungsgerichte durchsetzen, kann dies ein Grund sein, einen Externen zum betrieblichen Datenschutzbeauftragten zu berufen und diese Aufgabe nicht einem eigenen Mitarbeiter zu überantworten.

Aus Sicht des MITTELSTANDSVERBUNDES sind die im Beschluss festgestellten Anforderungenbürokratisch und weitgehend überflüssig. Insbesondere der vermeintlichen Feststellung, dass im Rahmen der Kontrollen festgestellt wurde, dass Fachkunde und Rahmenbedingungen für die Arbeit der Beauftragten für den Datenschutz in den verantwortlichen Stellen die Anforderungen des BDSG nicht genügen, ist eine reine Wert-, aber keine belastbare Tatsachenbehauptung.