§ 7 Sicherungsmechanismen zur Einhaltung der DSGVO / 1. Fachliche Eignung

Rz. 145

Nach Art. 37 Abs. 5 DSGVO wird der Datenschutzbeauftragte "auf der Grundlage seiner beruflichen Qualifikation und des Fachwissens benannt, das er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der in Art. 39 DSGVO genannten Aufgaben."

Rz. 146

Zum Datenschutzbeauftragten darf damit nur bestellt werden, wer die notwendige Fachkunde und Zuverlässigkeit besitzt. Der Düsseldorfer Kreis hat hier für das bisherige deutsche Recht hohe Mindestanforderungen aufgestellt^[181] und gefordert, dass jeder Datenschutzbeauftragte unabhängig von der jeweiligen Branche und Größe des Unternehmens des Verantwortlichen über erhebliches Wissen im Datenschutzrecht verfügen muss. Dies umfasst unter anderem Grundkenntnisse zu den verfassungsrechtlich garantierten Persönlichkeitsrechten der von Datenverarbeitungen Betroffenen und der Mitarbeiter des Unternehmens. Zudem erfordert die Bestellung zum Datenschutzbeauftragten umfassende Kenntnisse der für den Verantwortlichen einschlägigen Regelungen.

Rz. 147

An diesen Anforderungen ist auch unter Geltung der DSGVO weiterhin festzuhalten. Dieser Auffassung folgt auch die Art. 29-Datenschutzgruppe, die zwar feststellt, dass das verlangte Fachwissen des Datenschutzbeauftragten in Art. 37 Abs. 5 DSGVO nicht genau umrissen ist, es jedoch "mit der Sensibilität, der Komplexität und der Menge der Daten, die eine Einrichtung verarbeitet, im Einklang stehen" muss.^[182] Daher bedürfe der Datenschutzbeauftragte eines hohen Maßes an Fachkompetenz und Erfahrung sowohl im einzelstaatlichen als auch im europäischen Datenschutzrecht und in der diesbezüglichen Praxis und müsse über ein umfassendes Verständnis der DSGVO verfügen. Ebenso wie der Düsseldorfer Kreis fordert auch die Art. 29-Datenschutzgruppe, dass der Datenschutzbeauftragte zusätzlich über Branchenkenntnis verfügt und mit der Organisationsstruktur des Verantwortlichen oder des Auftragsverarbeiters bestens vertraut ist. Auch sollte der DSB über ein hinreichendes Verständnis der durchgeführten Datenverarbeitungsvorgänge, der betreffenden Informationssysteme sowie der Datensicherheits- und Datenschutzerfordernisse des Auftragsverarbeiters verfügen. Im Fall von Behörden oder öffentlichen Stellen sollte der DSB zudem über fundierte Kenntnis ihrer Verwaltungsvorschriften und -verfahren verfügen.

[181] Abrufbar unter: https://www.ldi.nrw.de/mainmenu_Service/submenu_Entschliessungsarchiv/Inhalt/Beschluesse_Duesseldorfer_Kreis/Inhalt/2010/Mindestanforderungen_an_Datenschutzbeauftragte/Mindestanforderungen_an_DSB_nach_4f_II_und_III_BDSG.pdf.

[182] Art. 29-Datenschutzgruppe, Leitlinien in Bezug auf Datenschutzbeauftragte ("DSB"), WP 243 v. 13.12.2016, S. 13.