Bestellung eines Datenschutzbeauftragten:
Die Pflicht zur Bestellung eines Datenschutzbeauftragten besteht bei Vorliegen der Voraussetzungen nach Art 37 DSGVO. Da diese Bestimmung, vor allem was die „Kerntätigkeit des Verantwortlichen“ oder auch die Begriffe der „umfangreichen“ bzw. „regelmäßigen“ Verarbeitung betrifft, auslegungsbedürftig ist, sind zur Notwendigkeitsprüfung die Leitlinien der Art-29-Datenschutzgruppe heranzuziehen, was jedem Verantwortlichen nach der Entscheidung der Datenschutzbehörde (DSB) zu DSB-D213.692.0001-DSB/2018 zumutbar ist. Prüfen Sie daher anhand der Leitlinien, ob Sie einen Datenschutzbeauftragten verpflichtend benennen müssen. Bei einem positiven Ergebnis ist ein solcher Datenschutzbeauftragter nicht nur zu bestellen, er muss auch so benannt werden. Eine alternative Bezeichnung (wie etwa „Datenschutzkoordinator“) ist nicht zulässig, weil die gesetzlich definierte Kontroll- und Beratungsfunktion des Datenschutzbeauftragten sonst umgangen werden könnte.
Notwendigkeitsprüfung einer Datenschutzfolgenabschätzung:
Gleiches gilt für die Notwendigkeitsprüfung einer Datenschutzfolgenabschätzung (DSFA) nach Art 35 DSGVO. Auch für diese Prüfung, ob eine DSFA vorzunehmen ist, ist auf die Leitlinien der Art-29-Datenschutzgruppe zurückzugreifen. Hier ist zudem zu beachten, dass die Notwendigkeit einer DSFA für jede Datenverarbeitung gesondert zu prüfen ist. Daher ist die Exaktheit des Verarbeitungsverzeichnisses von großer Bedeutung. Praxistipp: In Österreich wurden zur DSFA zwei Verordnungen erlassen, eine sogenannte „Black List“ nennt Verarbeitungstätigkeiten – wie etwa bestimmte Videoüberwachungen – für die jedenfalls eine DSFA durchzuführen ist; eine „White List“ nennt Ausnahmen – so etwa Bild- und Akustikübertragungen ohne Aufzeichnung.
Experten:
Dr. Gerold Maximilian Oberhumer, Rechtsanwalt und Partner der ScherbaumSeebacher Rechtsanwälte GmbH, Wien
MMag. Theresia Leitinger, M.A.I.S., Rechtsanwaltsanwärterin ScherbaumSeebacher Rechtsanwälte GmbH, Schwerpunkt Datenschutz und IT-Recht, Wien und Graz
www.scherbaum-seebacher.at
Seminartipp! Update Datenschutzrecht