Datenschutzberatung

Wenig Zeit, keine Rechtsabteilung, kein interner Datenschutzbeauftragter. Das Bußgeldrisiko besteht trotzdem. Die Zuständigkeit hängt häufig an einer einzelnen Person. Mit einem Wechsel geht das Wissen dann verloren.

Hier zählt, welche Fallstricke sich mit geringem Aufwand beseitigen lassen. Meistens sind es die Dokumente mit Außenwirkung, also Datenschutzinformationen und Einwilligungsformulare, aber auch die Absicherung neuer Software, bevor sie in Betrieb genommen wird. Dazu kommen die Verwaltung von Kunden- oder Mitgliederdaten, Fotos von Veranstaltungen und der Versand von Rundschreiben.

Eine einmal getroffene Einordnung hält über einen Personalwechsel hinaus. Sie liegt schriftlich vor und die nachfolgende Person muss sie nicht neu erarbeiten.

Eine Technik, die noch niemand rechtlich eingeordnet hat, dazu ein Produkt, dessen Gestaltung sich später kaum ändern lässt. Die Entscheidung fällt in der Entwicklung.

Anliegen sind die Datenflüsse des Produkts selbst. Welche Daten es erhebt, wo sie liegen, wer darauf zugreift und was davon die Funktion voraussetzt. Dazu die Verträge mit den Diensten, auf denen es läuft.

Der Ertrag liegt hier früh. Was in der Entwicklung datenschutzfreundlich angelegt ist, verursacht keine zusätzlichen Kosten. Was hinterher umgebaut werden muss, kostet doppelt. Unser wissenschaftlicher Hintergrund ist dort von Vorteil, wo es noch keine gefestigte Meinung zu einer Technik gibt.

Eine eigene Rechtsabteilung fehlt meistens, die Aufgaben sind aber vollständig vorhanden. Die Zuständigkeit liegt verteilt bei der IT-Leitung, der Personalabteilung und der Geschäftsführung. Die interne Zuständigkeit besteht dabei neben einer anderen Aufgabe.

Anliegen sind hier die Systeme des laufenden Betriebs. Personalverwaltung, Zeiterfassung, Bewerbungsverfahren, eine wachsende Zahl von Dienstleistern und der Wechsel in die Cloud.

Der Ertrag liegt in einer Entscheidung, die einmal getroffen und festgehalten wird, statt bei jedem Vorhaben neu aufzukommen. Eine dokumentierte Einschätzung entlastet zugleich die intern zuständige Person, weil sie eine Nachfrage nicht allein beantworten muss.

Verteilte Verantwortlichkeiten, konzerninterne Übermittlungen, Betriebsrat, IT-Sicherheit und Einkauf mit eigenen Anforderungen. Zuständig ist häufig eine einzelne Person in der Rechtsabteilung, für die der Datenschutz eines von mehreren Gebieten ist.

Die Schwierigkeit liegt in der Struktur. Mehrere Gesellschaften mit eigenen Systemen, eine über Jahre gewachsene Landschaft von Dienstleistern und eine Dokumentation, die je Standort einen anderen Stand hat. Dazu die gemeinsame Verarbeitung zwischen den Gesellschaften, Standorte in anderen Mitgliedstaaten und Konzernrichtlinien, die überall gelten sollen.

Die rechtliche Frage ist dabei meist nicht die schwierigste. Schwieriger ist es, eine Antwort zu finden, mit der alle beteiligten Stellen einverstanden sind. Eine Einschätzung, die vor dem Betriebsrat und in der Revision Bestand hat, kostet mehr Abstimmung als Recherche.