Eine der gesetzlichen Anforderungen ist die Ernennung einer Person, die für die Sicherstellung der internen Kontrolle über die Verarbeitung personenbezogener Daten verantwortlich ist. Eine solche Person wird als Datenschutzbeauftragter (DSB bzw. DPO) bezeichnet. In diesem Artikel betrachten wir die Pflichten des Unternehmens zur Ernennung eines DSB, die Anforderungen an diesen, seine Aufgaben und andere Fragen im Zusammenhang mit der internen Kontrolle der Verarbeitung personenbezogener Daten im Unternehmen.
1. Ernennung von Verantwortlichen für die interne Kontrolle der Verarbeitung personenbezogener Daten: Unternehmen, die mit personenbezogenen Daten von Privatpersonen umgehen, sind verpflichtet, eine interne Kontrolle über die Verarbeitung solcher Daten zu organisieren. Hierfür kann das Unternehmen eine der folgenden Vorgehensweisen wählen:
2. Festlegung der Aufgaben des DSB und Dokumentation: Abhängig davon, ob ein einzelner Mitarbeiter eingestellt oder die Aufgaben des DSB einem bestimmten aktuellen Mitarbeiter oder mehreren Mitarbeitern übertragen werden, müssen die Arbeitsaufgaben definiert oder ergänzt werden. Für einen eigenständigen Mitarbeiter wird eine Stellenbeschreibung für einen Spezialisten zur Umsetzung der internen Kontrolle der Verarbeitung personenbezogener Daten erstellt und er wird mit den Anweisungen vertraut gemacht.
Bei der Einstellung eines DSB oder der Aufteilung seiner Funktionen auf mehrere Mitarbeiter werden die entsprechenden Personalunterlagen erstellt.
Wir empfehlen, im Voraus zu überlegen, welcher Mitarbeiter den DSB während seiner Abwesenheit vertreten wird. Ein solcher Spezialist muss ebenfalls in den DSB-Kompetenzen geschult werden.
3. Schulung des DSB: Mindestens einmal alle 5 Jahre müssen Unternehmen, die einen DSB ernannt haben, eine Schulung dieser Mitarbeiter zu Fragen des Schutzes personenbezogener Daten organisieren. Sie können einen DSB zu Schulungen entsenden an:
Anstatt ihn an solche Organisationen zu entsenden, kann sich der DSB innerhalb seines Unternehmens weiterbilden. Dazu studiert er die Anforderungen zum Schutz personenbezogener Daten und absolviert eine Wissensüberprüfung zu diesen Themen. Die Wissensüberprüfung kann in Form eines Interviews, von Tests oder anderen Methoden erfolgen. Das Unternehmen kann Spezialisten einladen, die zur Durchführung von Schulungen im Bereich der Verarbeitung personenbezogener Daten berechtigt sind.
Schulung im Nationalen Zentrum für den Schutz personenbezogener Daten: In bestimmten Organisationen müssen DSB zwingend direkt im Nationalen Zentrum für den Schutz personenbezogener Daten geschult werden. Dazu gehören insbesondere Banken und Nichtbank-Kredit- und Finanzorganisationen, Versicherungsgesellschaften, Telekommunikationsbetreiber, Immobilienunternehmen, Personalvermittlungsagenturen sowie Unternehmen, die die personenbezogenen Daten von mindestens 10.000 Einzelpersonen verarbeiten.
Wenn zu den Aufgaben des DSB die Gewährleistung der Informationssicherheit gehört und das Unternehmen über bestimmte Informationssysteme verfügt (ausgenommen solche, die von Unternehmen als Residenten des High-Tech-Parks für Blockchain-Aktivitäten oder mit Beteiligung von Park-Residenten genutzt werden), muss der DSB mindestens einmal alle drei Jahre im Nationalen Zentrum für den Schutz personenbezogener Daten geschult werden.
4. Berichterstattung des Unternehmens über den DSB: Jedes Jahr bis zum 15. November übermitteln Unternehmen dem Nationalen Zentrum für den Schutz personenbezogener Daten Informationen:
In Fällen, in denen das Unternehmen im Register der Betreiber personenbezogener Daten registriert ist, müssen zudem Informationen über den DSB in das Register eingetragen werden: Nachname, Vorname, Vatername, Kontakttelefonnummer und E-Mail-Adresse. Wir erinnern daran, dass sich nicht jedes Unternehmen, das personenbezogene Daten verarbeitet, im Register registrieren muss. Es gibt bestimmte Fälle, in denen eine Registrierung zwingend erforderlich ist – insbesondere dann, wenn biometrische und genetische personenbezogene Daten oder die Daten von mehr als 100.000 Einzelpersonen verarbeitet werden.
Das Aufgabenspektrum des DSB ist recht breit gefächert und umfasst insbesondere:
Bei der Auswahl eines DSB-Kandidaten und der Bestimmung seiner Aufgaben sind mehrere Umstände hilfreich. Hier sind einige davon:
1. Vermeidung von Interessenkonflikten: Wir empfehlen, nicht die Person zum DSB zu ernennen, die selbst direkt personenbezogene Daten verarbeitet. In diesem Fall entsteht ein Interessenkonflikt: Der DSB müsste als Verantwortlicher für die interne Kontrolle sich selbst kontrollieren. Ein Interessenkonflikt kann auch entstehen, wenn der Datenverarbeiter und der DSB Mitarbeiter derselben Unternehmensabteilung sind.
2. Keinen Freiberufler als DSB in Betracht ziehen: Die Umstände mögen variieren, aber in der Regel fühlt sich ein festangestellter Mitarbeiter dem Unternehmen gegenüber verantwortlicher als ein Spezialist auf Basis eines zivilrechtlichen Vertrags (freier Mitarbeiter). Zudem erfordert die interne Kontrolle oft die Vertiefung in Geschäftsprozesse und den Zugriff auf vertrauliche Unternehmensgeheimnisse. Nach Ansicht der Aufsichtsbehörde muss der DSB ein festangestellter Mitarbeiter sein.
3. Berücksichtigung der Qualifikationsmerkmale der Position: Das Qualifikationsmerkmal für den Spezialisten für interne Kontrolle der Verarbeitung personenbezogener Daten sieht eine Ausbildungsvoraussetzung vor: Der DSB muss über einen Hochschulabschluss verfügen, unabhängig von der Berufserfahrung. Für die Höherstufung in eine Qualifikationskategorie ist die Berufserfahrung als DSB von Bedeutung: mindestens 2 Jahre für die zweite Qualifikationskategorie und drei Jahre in der zweiten Kategorie für die Vergabe der ersten.
4. Trennung der Funktionen: Wir empfehlen, die Funktionen des technischen und kryptografischen Informationsschutzes und der internen Kontrolle der Datenverarbeitung unterschiedlichen Mitarbeitern zuzuweisen. Für den technischen Schutz ist eine technische Ausbildung erforderlich, die für andere DSB-Funktionen (z. B. durch einen Juristen wahrgenommen) jedoch nicht zwingend notwendig ist.
Ein Mitarbeiter, der DSB-Funktionen ausübt, geht nicht einfach unangekündigt zu einem Kollegen und fordert spontan Kontrollen. Die interne Kontrolle ist ein Geschäftsprozess, der analysiert, strukturiert und in einem lokalen Dokument formalisiert werden muss.
Das Nationale Zentrum für den Schutz personenbezogener Daten schlägt die Ausarbeitung eines lokalen Dokuments vor: das Verfahren für die interne Kontrolle der Verarbeitung personenbezogener Daten. Dieses Dokument wird auf der Grundlage anderer interner Unternehmensrichtlinien zum Datenschutz entwickelt.
Die interne Kontrolle kann in Form von Überwachungen (Monitoring) der Struktureinheiten des Unternehmens und unangekündigten Inspektionen erfolgen.
Das Monitoring wird alle sechs Monate gemäß einem im Voraus für ein Jahr erstellten Plan durchgeführt.
Unangekündigte Inspektionen führt der DSB im Auftrag der Unternehmensleitung durch. Dabei legt der DSB fest:
Unsere Anwälte und IT-Sicherheitsspezialisten sind erfahrene Experten auf dem Gebiet der internen Kontrolle und des Schutzes personenbezogener Daten.
Wir können:
Wenn Sie Fragen oder Streitigkeiten bezüglich der Rolle und Aufgaben des DSB haben, helfen wir Ihnen gerne weiter! Unsere langjährige Erfahrung im Gesellschaftsrecht und in der Besteuerung unterstützt Sie bei der Beilegung jeglicher Streitigkeiten in diesem Bereich.
Das sorgfältige Lesen des Bankvertrags über Abrechnungs- und Kassendienstleistungen ist von großer Bedeutung, da es Ihnen ermöglicht, alle Bedingungen und Regeln zu verstehen, die Ihre Interaktion mit der Bank regeln. Das Missverstehen oder Ignorieren dieser Bedingungen kann in Zukunft zu Problemen und Schwierigkeiten führen. Der Vertrag mit der Bank über Abrechnungs- und Kassendienstleistungen kann wichtige […]
Jedes Unternehmen, das personenbezogene Daten von Bürgern der Europäischen Union (EU) verarbeitet, muss sich im IT-Bereich in Belarus an den komplexen Vorgaben der Datenschutz-Grundverordnung (DSGVO / GDPR) orientieren. Die Einhaltung rechtlicher und ethischer Standards im Bereich des Datenmanagements erfordert das Verständnis und die Befolgung der DSGVO-Grundsätze, um Geldbußen zu vermeiden und Gesetzeskonformität zu gewährleisten. Welche […]
Der Term Sheet ist unterzeichnet. Der Verkäufer hat am Freitag die Zugangsdaten zum Data Room übermittelt. Ihnen bleiben vier Wochen, ein belarussisches Zielunternehmen und im Anschluss eine Vorstandssitzung. Der Verkäufer bezeichnet die Prüfung als Standard. Ihr Bauchgefühl sagt Ihnen das Gegenteil – und in einer Jurisdiktion, in der Ihre Kanzlei jahrelang nicht tätig war, liegt […]
