17. Datenschutz- und Informationsfreiheitsbericht

22.2 Betriebliche Datenschutzbeauftragte
Behördliche und betriebliche Datenschutzbeauftragte
§ 4f BDSG schreibt vor, dass private Stellen, in denen mehr als vier Beschäftigte
personenbezogene Daten automatisiert verarbeiten, betriebliche
Datenschutzbeauftragte bestellen müssen. Diese Verpflichtung bereitet
kleineren Unternehmen oder Stellen manchmal praktische
Schwierigkeiten.
Das System der betrieblichen Datenschutzbeauftragten hat in Deutschland
eine lange Tradition. Dennoch erhielten im Frühjahr/Sommer 2004 viele –
vornehmlich kleine – Unternehmen und Daten verarbeitende Stellen Post, in
der auf die vermeintlich neue Verpflichtung zur Bestellung von betrieblichen
Datenschutzbeauftragten gemäß § 4f BDSG hingewiesen wurde. Geworben
wurde häufig für Datenschutzschulungen und es wurden Angebote
für die Tätigkeit als externe Datenschutzbeauftragte gemacht. Auch wenn
manche dieser Schreiben in unseriöser Weise eine gesetzliche Neuerung
vortäuschten, haben sie offenbar viele Stellen wach gerüttelt, die sich ihrer
Verpflichtung zur Bestellung einer oder eines Datenschutzbeauftragten bisher
nicht bewusst waren. Die Anfragen zur Bestellungspflicht stiegen
sprunghaft an.
Zu Tage trat aber auch, dass gerade kleine Unternehmen, die die Voraussetzung
des § 4f BDSG – mehr als vier Beschäftigte verarbeiten Daten automatisiert
– nur knapp überschreiten, Schwierigkeiten mit der Bestellungspflicht
haben. Grundsätzlich ist die Möglichkeit der Bestellung externer Beauftragter
gerade für diese Unternehmen oft eine praktikable Lösung, da sie
häufig selbst nicht über Personal verfügen, das die für Datenschutzbeauftragte
erforderliche fachliche Eignung hat. Hier kann eine externe Person,
die mehrere ähnlich strukturierte Unternehmen betreut, kostengünstiger und
fachlich qualifizierter arbeiten. Besondere Schwierigkeiten haben insbesondere
Anwaltskanzleien, Apotheken, Steuerberatungsbüros, Ärzte und Ärztinnen.
Diese Stellen sind vielfach nicht nur relativ klein, sondern sie unterliegen
einer beruflichen Schweigepflicht und können deshalb nicht ohne
weiteres externe Datenschutzbeauftragte bestellen. Aber auch diese Stellen
können zu praktikablen Lösungen kommen, wenn sie etwa eine externe
Datenschutzbeauftragte oder einen externen Datenschutzbeauftragten
wählen und zugleich intern eine Person bei Datenschutzkontrollen im
Einzelfall einsetzen. Das interne Personal ist regelmäßig auch an die
Schweigepflicht gebunden und kann die Unterlagen einsehen, zu denen die
oder der Datenschutzbeauftragte keinen Zugang erhalten kann.
LDI NRW 17. Datenschutzbericht 2005 155