Externer behördlicher Datenschutzbeauftragter für öffentliche Stellen in Bayern
Ein externer behördlicher Datenschutzbeauftragter übernimmt für öffentliche Stellen die gesetzlich vorgesehene Beratungs- und Überwachungsfunktion auf Grundlage eines Dienstleistungsvertrags. Diese Seite erläutert die externe Benennung, Aufgaben und Stellung des behördlichen DSB sowie Anforderungen an Unabhängigkeit, Einbindung und Interessenkonflikte.
Begriff und Pflicht
Was ist ein behördlicher Datenschutzbeauftragter?
Öffentliche Stellen müssen nach Art. 37 Abs. 1 lit. a DSGVO grundsätzlich einen Datenschutzbeauftragten benennen. Für bayerische öffentliche Stellen ergänzt Art. 12 BayDSG die Regelungen der Art. 37 bis 39 DSGVO.
Der behördliche Datenschutzbeauftragte ist nicht selbst für die Rechtmäßigkeit der Datenverarbeitung verantwortlich. Verantwortlich bleibt die jeweilige öffentliche Stelle. Der DSB berät, überwacht, sensibilisiert und wirkt darauf hin, dass Datenschutzanforderungen frühzeitig berücksichtigt werden.
Rechtsrahmen
Benennung, Stellung und Aufgaben sind getrennt zu betrachten.
Die DSGVO regelt nicht nur, dass ein Datenschutzbeauftragter zu benennen ist. Sie beschreibt auch seine organisatorische Stellung und seine Mindestaufgaben.
Benennung
Art. 37 DSGVO regelt insbesondere Benennungspflicht, Fachkunde, gemeinsame Datenschutzbeauftragte und die Möglichkeit einer externen Aufgabenwahrnehmung.
Stellung
Art. 38 DSGVO verlangt frühzeitige Einbindung, ausreichende Ressourcen, Weisungsfreiheit und die Vermeidung von Interessenkonflikten.
Aufgaben
Art. 39 DSGVO nennt insbesondere Unterrichtung, Beratung, Überwachung, DSFA-Beratung und Zusammenarbeit mit der Aufsichtsbehörde.
Intern oder extern
Externer behördlicher Datenschutzbeauftragter: die externe Benennung.
Art. 37 Abs. 6 DSGVO erlaubt ausdrücklich, dass der Datenschutzbeauftragte Beschäftigter der öffentlichen Stelle ist oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllt. Ein externer behördlicher Datenschutzbeauftragter muss dabei fachkundig, erreichbar und organisatorisch so eingebunden sein, dass er seine Aufgaben unabhängig wahrnehmen kann.
- Die öffentliche Stelle bleibt datenschutzrechtlich Verantwortliche.
- Die externe Person muss ausreichend erreichbar und eingebunden sein.
- Fachkunde im Datenschutzrecht und in der Datenschutzpraxis muss vorhanden sein.
- Die Unabhängigkeit der Aufgabenwahrnehmung muss gewährleistet bleiben.
Unabhängigkeit
Der behördliche DSB kontrolliert nicht sich selbst.
Art. 38 Abs. 6 DSGVO erlaubt zwar weitere Aufgaben und Pflichten. Der Verantwortliche muss aber sicherstellen, dass daraus kein Interessenkonflikt entsteht.
Ein Konflikt liegt besonders nahe, wenn dieselbe Person in ihrer anderen Funktion Zwecke und Mittel einer Datenverarbeitung festlegt oder für Maßnahmen verantwortlich ist, die sie anschließend als Datenschutzbeauftragter überwachen müsste.
- Leitungs- oder Fachverantwortung kann je nach Zuständigkeit mit der Kontrollfunktion kollidieren.
- Bei Verantwortlichen im IT-Bereich bestehen regelmäßig besondere Konfliktrisiken.
- Der BayLfD rät grundsätzlich davon ab, Datenschutzbeauftragten zugleich die Rolle des IT-Sicherheitsbeauftragten zu übertragen.
- Auch personalvertretungsrechtliche Funktionen können je nach Ausgestaltung Interessenkonflikte auslösen.
Wichtig: Nicht jede zusätzliche Aufgabe ist automatisch unzulässig. Entscheidend ist die konkrete Zuständigkeit und ob eine unabhängige Überwachung noch möglich bleibt.
Mehrere öffentliche Stellen
Ein gemeinsamer Datenschutzbeauftragter kann zulässig sein.
Nach Art. 37 Abs. 3 DSGVO kann für mehrere Behörden oder öffentliche Stellen unter Berücksichtigung ihrer Organisationsstruktur und Größe ein gemeinsamer Datenschutzbeauftragter benannt werden. Entscheidend ist, dass die Funktion für die beteiligten Stellen tatsächlich wirksam wahrgenommen werden kann.
Für Verwaltungsgemeinschaften, Zweckverbände oder andere kommunale Strukturen kann dieses Modell deshalb relevant sein. Zuständigkeiten, Erreichbarkeit, Vertretung und praktische Einbindung sollten vor der Benennung klar geregelt werden.
Aufgaben nach Art. 39 DSGVO
Was gehört zur Tätigkeit des behördlichen Datenschutzbeauftragten?
Der Datenschutzbeauftragte ist Berater und Überwacher. Er ersetzt weder die Behördenleitung noch die fachlich verantwortlichen Stellen.
Unterrichten und beraten
Leitung und Beschäftigte zu ihren datenschutzrechtlichen Pflichten informieren und bei konkreten Fragen beraten.
Einhaltung überwachen
Datenschutzvorgaben, interne Zuständigkeiten, Sensibilisierung, Schulungen und einschlägige Prüfungen begleiten.
DSFA begleiten
Auf Anfrage bei Datenschutz-Folgenabschätzungen beraten und die Durchführung der DSFA überwachen.
Aufsichtsbehörde
Mit der zuständigen Aufsichtsbehörde zusammenarbeiten und als Anlaufstelle für datenschutzrechtliche Fragen dienen.
Besonderheiten in Bayern
Art. 12 BayDSG ergänzt die DSGVO für behördliche Datenschutzbeauftragte.
Art. 12 BayDSG gewährt dem behördlichen Datenschutzbeauftragten insbesondere Zugang zum Verzeichnis der Verarbeitungstätigkeiten und Gelegenheit zur Stellungnahme vor dem erstmaligen Einsatz oder einer wesentlichen Änderung bestimmter automatisierter Verfahren.
Zudem enthält Art. 12 Abs. 2 BayDSG eine besondere Verschwiegenheitsregelung für Tatsachen und Identitäten, die dem Datenschutzbeauftragten in Ausübung seiner Funktion anvertraut wurden.
Häufige Fragen
FAQ zum behördlichen Datenschutzbeauftragten
Muss jede Kommune einen behördlichen Datenschutzbeauftragten benennen?
Bayerische öffentliche Stellen sind grundsätzlich verpflichtet, einen Datenschutzbeauftragten zu benennen. Grundlage ist insbesondere Art. 37 Abs. 1 lit. a DSGVO in Verbindung mit den ergänzenden landesrechtlichen Regelungen.
Was ist ein externer behördlicher Datenschutzbeauftragter?
Ein externer behördlicher Datenschutzbeauftragter nimmt die Aufgaben des Datenschutzbeauftragten für eine öffentliche Stelle auf Grundlage eines Dienstleistungsvertrags wahr. Maßgeblich bleiben insbesondere Fachkunde, Erreichbarkeit, frühzeitige Einbindung, Weisungsfreiheit und die Vermeidung von Interessenkonflikten.
Was bedeutet Weisungsfreiheit?
Bei der Erfüllung seiner datenschutzrechtlichen Aufgaben darf der Datenschutzbeauftragte keine Anweisungen zur Ausübung dieser Aufgaben erhalten. Er berichtet nach Art. 38 Abs. 3 DSGVO unmittelbar der höchsten Managementebene.
Welche Tätigkeiten können einen Interessenkonflikt verursachen?
Kritisch sind insbesondere Aufgaben, bei denen dieselbe Person Zwecke und Mittel einer Verarbeitung festlegt oder sonst Entscheidungen trifft, die sie anschließend als Datenschutzbeauftragter unabhängig überwachen müsste. Die konkrete organisatorische Ausgestaltung ist entscheidend.
Können mehrere Kommunen einen gemeinsamen Datenschutzbeauftragten benennen?
Ja. Art. 37 Abs. 3 DSGVO lässt einen gemeinsamen Datenschutzbeauftragten für mehrere Behörden oder öffentliche Stellen zu, wenn Organisationsstruktur und Größe berücksichtigt werden.
Wer trägt trotz Datenschutzbeauftragtem die Verantwortung?
Verantwortlich für die Rechtmäßigkeit der Verarbeitung bleibt die jeweilige öffentliche Stelle. Der Datenschutzbeauftragte berät und überwacht, übernimmt aber nicht die Verantwortlichkeit der Behörde.
Weiterführend
Von der rechtlichen Einordnung zur laufenden Betreuung.
Rechtsgrundlagen
Quellen zum behördlichen Datenschutzbeauftragten.
Sie suchen einen externen behördlichen Datenschutzbeauftragten?
Wenn es nicht nur um die rechtliche Einordnung, sondern um die laufende Betreuung Ihrer Kommune oder öffentlichen Stelle geht, finden Sie auf der Leistungsseite den konkreten Betreuungsumfang.
