Der Datenschutzbeauftragte in der Corona Pandemie

Die Maßnahmen im Kampf gegen die Corona-Pandemie sind immer wieder auch Gegenstand datenschutzrechtlicher Fragstellungen. Neue Betriebsabläufe und digitale Arbeitsmodelle sorgen regelmäßig für Verunsicherung bei allen Beteiligten.

Die Einbindung eines Datenschutzexperten in die aktuellen Fragestellungen ist fast unerlässlich und für eine Vielzahl von Unternehmen sogar verpflichtend.

Gleichzeitig steht die Wirtschaft herausfordernden Zeiten gegenüber. Immer mehr Unternehmen sind gezwungen, auf Kurzarbeit zurückzugreifen. Doch wie verhält es sich mit der Kurzarbeit für den Datenschutzbeauftragten?

In einer aktuellen Stellungnahme nimmt sich der Beauftragte für Datenschutz und Informationsfreiheit des Landes Nordrhein-Westfalen unter anderem dieser Frage an. Die Warnung ist eindeutig. Es ist nicht ratsam, den internen Datenschutzexperten im Rahmen von Kurzarbeitsmaßnahmen vorschnell von seinen Aufgaben zu entbinden. In Zeiten der Krise bleibt auch der Datenschutzbeauftrage ein nicht zu vernachlässigender Teil des Unternehmens.

Keine Kurzarbeit für den Datenschutz selbst

Unternehmen und Mitarbeiter kämpfen mit Kurzarbeit und einer verringerten Auftragslage. Die wirtschaftliche Situation ist ohne Frage angespannt. Doch Vorsicht gilt weiterhin in Sachen Datenschutz. Dieser sollte auch dann keinesfalls „stiefmütterlich“ behandelt werden.

Datenschutz ist Grundrecht eines jeden Menschen. Auch in Krisenzeiten dürfen die Grundsätze der Datenverarbeitung deshalb nicht auf der Strecke bleiben. Eingriffe in den Datenschutz müssen weiterhin rechtmäßig und zweckgebunden erfolgen. Ein Verweis auf die aktuelle Situation und Maßnahmen zugunsten des Gesundheitsschutzes allein, rechtfertigt noch keinen Eingriff in das Recht des Einzelnen.

Anforderungen an den Datenschutzexperten wachsen

Auch wenn ein Unternehmen während und aufgrund der Corona-bedingten Umstellungen in reduziertem Umfang arbeitet, oder die Unternehmung vorrübergehend sogar vollständig einstellt, kann eine weitere Verarbeitung von personenbezogenen Daten nicht ausgeschlossen werden. So bestehen beispielsweise frühere Geschäftskontakte zu Verbrauchern, Zulieferern und Beschäftigten nach wie vor weiter – und damit auch deren persönliche Daten.

Neue Arbeitsstrukturen wie Home-Office, dezentrale Videokonferenzen und eine nahezu vollständig elektronische Datenverarbeitung werfen in dieser Zeit zusätzliche Fragen auf, welche jeweils eine individuelle Beurteilung voraussetzen. Corona-spezifisch sorgt auch die umfangreiche Datenerhebung, zum Zweck der Nachverfolgung und Infektionsvermeidung für Unsicherheiten in ganzen Branchen.

Der Umfang und die Anforderungen an den Datenschutz sind im Wandel. Die Thematik selbst ist jedoch nach wie vor von hoher Relevanz und muss zwingend bei der Ausgestaltung der internen Prozesse berücksichtigt werden.

Aus dem Auge, aus dem Sinn?

Ob Kurzarbeit oder Home-Office, während der Corona-Pandemie halten sich weniger Beschäftigte in den Büroräumen auf. Ein falscher Schluss sollte hinsichtlich der Einbindung eines Datenschutzexperten dennoch nicht gezogen werden.

In welchen Fällen ein Unternehmen einen Datenschutzbeauftragten zu benennen hat, ist gesetzlich in den Fällen des § 37 Abs.1 DSGVO geregelt. In Deutschland gelten die Maßgaben des § 38 BDSG ergänzend. Aufgrund dessen hat ein Unternehmen einen Datenschutzbeauftragten spätestens dann zu bestellen, wenn die Anzahl jener Mitarbeiter, welche mit der Verarbeitung von personenbezogenen Daten betraut sind, den Schwellenwert von 20 übersteigt. Ergibt sich eine Änderung dieser Anzahl, etwa durch die Freistellung von Mitarbeitern (Kurzarbeit, Urlaub, etc.), stellt sich die Frage, ob ein Datenschutzexperte weiterhin notwendig ist.

Am Wortlaut des § 38 Abs.1 BDSG wird deutlich: Hat eine Pflicht zur Bestellung eines Datenschutzexperten vor Beginn der Pandemie bestanden, so besteht diese grundsätzlich auch in auftragsschwachen und wenig ausgelasteten Zeiten weiter, selbst wenn die Anforderungen vorübergehend nicht erfüllt sind. Dies gilt zumindest so lange die verringerte Anzahl an Mitarbeitern keine langfristige Entwicklung darstellt. Bei Verstößen ist hier mit hohen Bußgeldern zu rechnen.

Unabhängig von einer gesetzlichen Pflicht kann auch die freiwillige Beauftragung eines Datenschutzexperten sinnvoll sein. Der Experte kann Orientierung in der Vielzahl von rechtlichen Fragen und Anforderungen geben und ermöglicht somit vor allem kleineren Unternehmen, sich auf ihre Kernkompetenzen zu konzentrieren.

Freistellung des Datenschutzexperten

Im umfassendsten Fall kann gerade Kurzarbeit bedeuten, dass Mitarbeiter von ihrer Arbeitspflicht vollständig befreit werden. Unter den vorausgehenden Gesichtspunkten ergibt sich dabei insbesondere die Frage, ob ein interner Datenschutzbeauftragter im Fall von Kurzarbeit berücksichtigt werden kann.

Die Stellungnahme des Landesbeauftragen für Datenschutz und Informationsfreiheit Nordrhein-Westfalen vom 27.05.2020 nähert sich dieser Fragestellung. Sichtbar wird daran, dass der Arbeitsbereich Datenschutz in keinem Fall wegfallen darf. Für den gesetzlich vorgeschriebenen Datenschutzexperten im Unternehmen bedeutet das, dass auch ein gänzlicher Verzicht auf seine Arbeit nicht zulässig ist. Die Entwicklungen im Unternehmen bedarfen auch weiterhin der datenschutzrechtliche Expertise.

Den Umständen entsprechend kann allerdings eine teilweise Verringerung der Arbeitszeit eines internen Datenschutzbeauftragten trotzdem notwendig und angebracht sein. Im Grundsatz bleibt dies auch möglich.
Es bleibt jedoch zu gewährleisten, dass der Datenschutzexperte seiner Verpflichtungen im Unternehmen weiterhin nachkommen kann und auch trotz Kurzarbeit in die Datenverarbeitung eingebunden wird.

Auf gute Zusammenarbeit

Der Schutz persönlicher Daten ist auf eine gute Zusammenarbeit zwischen Unternehmen und Datenschutzexperten angewiesen. Dies erkennt auch der Gesetzgeber und verpflichtet Unternehmen, einen benannten Datenschutzbeauftragten gemäß Art.38 Abs.2 DSGVO umfassend in seiner Arbeit zu unterstützen. Auch an diesen Mitwirkungspflichten ist von Seiten der Verantwortlichen festzuhalten.

Unternehmen sind verpflichtet, dem Datenschutzexperten weiterhin alle erforderlichen Mittel zugänglich machen, die zur Erfüllung seiner Aufgaben notwendig sind. Auch sind die nötigen Rahmenbedingen für obligatorische datenschutzrechtliche Schulungen in Unternehmen zu schaffen.

Die konkrete Ausgestaltung der Maßnahmen, obliegt dem Arbeitgeber. Es ist sicherzustellen, dass der Datenschutzbeauftragte auch während der Pandemie seiner Arbeit nachgehen kann. Das gilt selbstverständlich auch bei verringertem Arbeitsumfang des Datenschutzbeauftragten.

Der Datenschutzexperte in der Praxis

Die Umsetzung der Maßnahmen und Anforderungen kann in der aktuellen Situation herausfordernd scheinen. Das muss es allerdings nicht. Bei der Berücksichtigung von einfachen Tipps lässt sich ein Arbeitsumfeld schaffen, in welchem es sich unkompliziert auf die Expertise des Datenschutzbeauftragten zurückgreifen lässt.

Eine Empfehlung ist es, eine Art „Sprechstunde“ einzurichten, in welchen der Datenschutzexperte vor Ort zur Verfügung steht. So kann eine regelmäßige Erreichbarkeit gewährleistet, und Mitarbeiter sowie Führungskräfte in der Umsetzung ihrer Aufgaben unterstützt werden. Im Übrigen ist auf die Kommunikation über Telefon („Datenschutz Hotline“) und E-Mail zurückzugreifen, damit auch zeitkritische Fragen unkompliziert und schnell beantworten werden können.