OrganisationspflichtBestellung des Datenschutzbeauftragten

Wenn Unternehmen eine Datenschutzbeauftragten bestellen, müssen sie bestimmte Formvorschriften einhalten. Sonst laufen Sie Gefahr, dass die Bestellung unwirksam ist und sie ihre Gültigkeit verliert.

Schriftform

§ 4f Abs. 1 des Bundesdatenschutzgesetzes (BDSG) sieht die schriftliche Bestellung des Datenschutzbeauftragten vor. Dies ist also zwingend vorgeschrieben. Am besten eignet sich hierfür der Weg über das gute alte Papier, um zum Beispiel mögliche Fehler bei digitalen Signaturen bei einer Bestellung per E-Mail auszuschließen.

Hinweis

So sieht ein Muster eines Bestellungsschreibens aus.

Gegenzeichnung durch leitende Person

Nur eine leitende Person darf die Bestellung zum Datenschutzbeauftragten gegenzeichnen. Bei einer Aktiengesellschaft also der Vorstand, bei einer GmbH der Geschäftsführende Gesellschafter.

Gegenzeichnung durch den Datenschutzbeauftragten

Auch der Datenschutzbeauftragte selbst sollte seine Bestellungsurkunde immer gegenzeichnen. Zwar geht der Wortlaut des § 4f Abs. 1 BDSG von einer einseitigen Bestellung durch den Arbeitgeber aus, doch in der Praxis raten Rechtsexperten zur Gegenzeichnung. Der Grund: Nur das, was ein Datenschutzbeauftragter auch tatsächlich eigenhändig unterzeichnet hat, hat bei juristischen Auseinandersetzungen mit dem Arbeitgeber vor Gericht auch Gewicht beziehungsweise dient der Beweiskraft. Selbstverständlich sollte es in diesem Fall auch sein, sich eine Kopie beziehungsweise ein Exemplar der Bestellungsurkunde für die eigenen Unterlagen aushändigen zu lassen.

Sonderfall: Konzernähnliche Strukturen

Das Bundesdatenschutzgesetz (BDSG) kennt weder Personen- noch Kapitalgesellschaften, sondern spricht in § 3 Abs. 7 lediglich von einer

„…Stelle, die personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt oder dies durch andere im Auftrag vornehmen lässt.“

Streng genommen bedeutet dies, dass grundsätzlich jede verantwortliche Stelle einen Datenschutzbeauftragten bestellen muss, also in Konzernunternehmen jede Tochterfirma einen eigenen. Datenschutzrechtlich gesehen werden diese Unternehmen nämlich so betrachtet, als würden die Dienstleistungen durch externe Firmen ausgeführt. Allerdings kann es bei Konzernen sinnvoll sein – und sollte in der Praxis auch so umgesetzt werden – einen einzigen Datenschutzbeauftragten für alle Tochterunternehmen zu bestellen, um einen einheitlichen datenschutzrechtlichen Standard zu gewährleisten.