Vorabkontrolle im Datenschutz-Alltag / 4 Wer führt die Vorabkontrolle durch?

Gemäß § 4d Abs. 6 BDSG ist der Datenschutzbeauftragte für die Vorabkontrolle zuständig. Er führt diese nach Empfang der Verfahrensübersicht durch. Wenn er selbst nicht über das erforderliche Fachwissen oder über die nötigen zeitlichen Ressourcen verfügt, kann er sich zu jeder Zeit externer Unterstützung bedienen (§ 4f Abs. 5 Satz 1 BDSG). Angesichts der immer komplexer werdenden Technik und der damit einhergehenden erforderlichen Kenntnisse kann es allein schon aus wirtschaftlichen Gründen sinnvoll sein, sich einen externen Berater, der Erfahrung mit der Durchführung von Vorabkontrollen zum jeweiligen Thema hat, hinzuzuziehen, statt sich das notwendige Wissen im Selbststudium zeitraubend selbst anzueignen. Ein erfahrener externer Berater sieht unter Umständen auch Dinge, die einem Außenstehenden im Gegensatz zum internen Mitarbeiter allein aufgrund der Erfahrung auffallen. Der Autor dieses Beitrags unterstützt z. B. regelmäßig als externer Berater betriebliche Datenschutzbeauftragte bei der Durchführung von Vorabkontrollen.

Im Zweifel Aufsichtsbehörde unterstützend hinzuziehen

Außerdem muss sich der Datenschutzbeauftragte in Zweifelsfällen an die Aufsichtsbehörde für den Datenschutz wenden (§ 4d Abs. 6 Satz 3 BDSG). Dem Datenschutz zugrunde liegt das Grundrecht auf informationelle Selbstbestimmung. Dieses Grundrecht kann in bestimmten Verfahren mit anderen Grundrechten konkurrieren, etwa mit dem Schutz des Eigentums bei einer vorgesehenen Überwachung mithilfe von optisch-elektronischen Aufzeichnungsgeräten. Im Zweifelsfall läuft das auf eine Rechtsgüterabwägung hinaus, die in Deutschland i. d. R. nur von Richtern vorgenommen wird. Da Datenschutzbeauftragte eher selten über das erforderliche Wissen für derart komplexe Vorgänge verfügen, ist das verbindliche Einschalten der Aufsichtsbehörden in diesem Fall eine sinnvolle Absicherung.

Allerdings ist in der Praxis zu beobachten, dass die Aufsichtsbehörden in den einzelnen Bundesländern über unterschiedliche Ressourcen verfügen und man sich bei derartigen Anfragen auf eine längere Bearbeitungszeit einrichten sollte, die durchaus mehrere Monate betragen kann. Es sind Fälle bekannt, in denen bis zu einer Antwort mehrere Monate vergingen. In einem Fall war ein Kundenbearbeitungsprogramm (Customer Relationship Management CRM) eines amerikanischen Herstellers zur Einführung vorgesehen. Das System sollte so rasch als möglich eingeführt werden, da das Unternehmen einen starken Zulauf an Kunden hatte. Der Datenschutzbeauftragte wandte sich anlässlich der Vorabkontrolle an die zuständige Aufsichtsbehörde. Die Antwort, die zudem so allgemein gehalten war, dass sie nicht wirklich weiterhalf, wurde nach wiederholtem Nachfassen erst nach 7 Monaten erteilt. Mittlerweile hatte das Unternehmen sich für ein anderes System entschieden. Der Aufwand im Unternehmen für die im Nachhinein nicht verwendbare Prüfung des 1. Systems entstand, betrug mehrere tausend EUR. Und das war leider kein Einzelfall. Wenn das BDSG schon die Unterstützung der Aufsichtsbehörden vorschreibt, sollte diese auch zeitnah erfolgen.