Das Landesarbeitsgericht Mecklenburg-Vorpommern hat sich in seinem Urteil vom 25.02.2020 (5 Sa 108/19) unter anderem mit der Frage beschäftigt, welches Fachwissen der Datenschutzbeauftragte haben muss.
Gesetzliche Grundlagen
Der Datenschutzbeauftragte wird auf der Grundlage seiner beruflichen Qualifikation und insbesondere des Fachwissens benannt, das er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der in Artikel 39 genannten Aufgaben (Art. 37 (5) DSGVO). Aus den gesetzlichen Grundlagen gehen, wie bereits in diesem Blogbeitrag dargestellt, nur die Folgenden Voraussetzungen hervor:
- Fachkunde
- Zuverlässigkeit und
- Neutralität
Urteil
Das Urteil spezifiziert diese Grundsätze näher:
- Der Datenschutzbeauftragte muss über die Fähigkeit verfügen, seine in Artikel 39 DSGVO genannten Aufgaben zu erfüllen.
- Die Tätigkeit des Datenschutzbeauftragten ist nicht an eine bestimmte Ausbildung oder näher bezeichnete Fachkenntnisse geknüpft.
- Welche Sachkunde erforderlich ist, richtet sich insbesondere nach der Größe der Organisation, dem Umfang der anfallenden Datenverarbeitungsvorgänge, den eingesetzten IT-Verfahren und dem Typus der anfallenden Daten.
- Wenn der DSB nur in einem Teilbereich über eine eigene Qualifikation verfügt, genügt es, wenn er im Übrigen auf fachkundige Mitarbeiter zurückgreifen kann.
- Fortbildungen des DSB zu neuen technischen Entwicklungen und Gesetzesänderungen bzw. Entwicklungen in der Rechtsprechung sind unerlässlich.
- Der Datenschutzbeauftragte muss nicht nur die nötigen Fachkenntnisse besitzen, sondern auch die Gewähr bieten, dass er seinen Aufgaben gewissenhaft nachkommt und nicht gegen seine Pflichten als Datenschutzbeauftragter, z. B. gegen seine Verschwiegenheitspflicht, verstößt.
- Der DSB muss – über die Sachkunde hinaus – eine wirksame Selbstkontrolle der Organisation gewährleisten können.
Fazit
Wie so oft im Datenschutz kommt es auf die individuellen Voraussetzungen an. Bei einem kleineren Unternehmen kann gegebenenfalls ein interner Mitarbeiter mit entsprechender Fortbildung die Aufgabe wahrnehmen, in einem anderen Unternehmen ist möglicherweise ein Experte erforderlich, der die komplexen IT-Verfahren beurteilen kann.