Unternehmensinterne Organisation der Datenschutz-Folgenabschätzung

Die DSGVO weist die Datenschutz-Folgenabschätzung dem Verantwortlichen zu, schweigt aber dazu, wie ein Unternehmen die Aufgabe intern verteilt. Eine klare Zuordnung der Rollen ist dennoch entscheidend, weil an einer Datenschutz-Folgenabschätzung typischerweise mehrere Stellen mitwirken müssen. Diese Seite beschreibt ein bewährtes Rollenmodell und einen Vorschlag für ein internes Verfahren. Die gesetzlichen Bezugspunkte sind im Text genannt; die organisatorische Ausgestaltung ist eine Empfehlung, keine gesetzliche Vorgabe.

1. Grundverteilung der Verantwortung

1.1 Der Verantwortliche trägt die Pflicht

Pflichtadressat nach außen ist der Verantwortliche (Art. 35 Abs. 1 DSGVO). Er kann die Durchführung intern organisieren, aber nicht aus der Verantwortung abgeben. Die Datenschutz-Folgenabschätzung lässt sich insbesondere nicht auf den Datenschutzbeauftragten delegieren: Dieser ist zu beteiligen, führt sie aber nicht selbst durch (Art. 35 Abs. 2 DSGVO).

1.2 Fachlich zuständige Stelle als Federführer

In der Praxis liegt die Federführung bei der Organisationseinheit, die die Verarbeitung fachlich verantwortet, also dem Fachbereich oder Prozessverantwortlichen, der das Vorhaben plant. Diese Stelle kennt Zweck, Datenflüsse und technische Ausgestaltung am besten und ist damit die richtige Adresse für die systematische Beschreibung und die Bewertung von Notwendigkeit und Verhältnismäßigkeit. Sinnvoll ist, dass ihre Leitung eine konkrete Person mit der Durchführung betraut. Sind mehrere Einheiten verantwortlich, übernimmt die gemeinsam übergeordnete Stelle die Federführung; lässt sich diese nicht eindeutig bestimmen, sollten sich die beteiligten Stellen frühzeitig auf eine federführende Einheit verständigen.

2. Die Beteiligten und ihre Rollen

2.1 Datenschutzbeauftragter: beratend, ohne Entscheidungsbefugnis

Ist ein Datenschutzbeauftragter benannt, holt der Verantwortliche dessen Rat ein und berücksichtigt ihn (Art. 35 Abs. 2 DSGVO). Die Beratung zur Datenschutz-Folgenabschätzung gehört zu seinen gesetzlichen Aufgaben (Art. 39 Abs. 1 lit. c DSGVO). Seine Rolle ist begleitend: Er trägt keine Verantwortung für Inhalt und Dokumentation und hat keine eigene Entscheidungsbefugnis über die Folgenabschätzung. Sein Rat ist nicht bindend; weicht der Verantwortliche von einem fachlich richtigen Hinweis ab, kann dies aber bei einer Prüfung durch die Aufsichtsbehörde zu seinen Lasten gewertet werden.

2.2 Mitwirkende Einheiten

Die federführende Stelle zieht weitere Einheiten hinzu, die fachliche Informationen oder Expertise zuliefern können, insbesondere Informationssicherheit, IT-Betrieb und die mit der Verarbeitung fachlich befassten Bereiche. Sie wirken vor allem bei der Ermittlung und Bewertung der Risiken, der Festlegung der Abhilfemaßnahmen und der Gesamtbewertung mit. Sinnvoll ist, dass jede mitwirkende Einheit einen fachlich kompetenten und entscheidungsbefugten Ansprechpartner benennt.

2.3 Optionales Gremium zur Abstimmung

Bei komplexen Vorhaben mit vielen Beteiligten kann ein eigenes Abstimmungsgremium den Prozess bündeln. Ein solches Gremium besteht typischerweise aus der Leitung der federführenden Stelle und je einem Vertreter der mitwirkenden Einheiten. Der Austausch kann je nach Anlass im Umlaufverfahren, telefonisch oder in Sitzungen erfolgen; über Sitzungen empfiehlt sich ein schriftliches Protokoll. Pflicht ist ein solches Gremium nicht; bei kleineren Vorhaben genügt eine direkte Abstimmung zwischen Fachbereich und Datenschutzbeauftragtem.

2.4 Betroffene und Mitarbeitervertretung

Soweit sinnvoll und möglich, holt der Verantwortliche den Standpunkt der betroffenen Personen oder ihrer Vertreter zur geplanten Verarbeitung ein und setzt sich mit ihm auseinander (Art. 35 Abs. 9 DSGVO). Sind primär Beschäftigte betroffen, ist dies regelmäßig der Personal- oder Betriebsrat. Die Einholung ist nicht in jedem Fall zwingend; sie kommt vor allem in Betracht, wenn sich der Kreis der Betroffenen konkret benennen lässt. Wird der Standpunkt nicht eingeholt, etwa wegen entgegenstehender Geheimhaltungsinteressen oder weil sich der Betroffenenkreis nicht eingrenzen lässt, sind die Gründe zu dokumentieren. Gleiches gilt, wenn sich der Verantwortliche über den eingeholten Standpunkt hinwegsetzt.

2.5 Auftragsverarbeiter und externe Experten

Erfolgt die Verarbeitung auch durch einen Auftragsverarbeiter, bindet die federführende Stelle ihn bei Bedarf ein, etwa um Risiken und Schutzmaßnahmen auf seiner Seite zu klären. Der Auftragsverarbeiter ist vertraglich verpflichtet, den Verantwortlichen bei der Datenschutz-Folgenabschätzung zu unterstützen (Art. 28 Abs. 3 lit. f DSGVO). Darüber hinaus kann der Verantwortliche auf eigene Kosten externe Experten hinzuziehen, etwa für Fragen der IT-Sicherheit.

3. Vorschlag für ein internes Verfahren

Ein geordnetes internes Verfahren stellt sicher, dass die Datenschutz-Folgenabschätzung rechtzeitig beginnt und alle Beteiligten eingebunden werden.

4. Aufbewahrung und Anbindung an die Dokumentation

Der abgeschlossene Bericht wird der internen Dokumentation zugeordnet und mit dem Verzeichnis von Verarbeitungstätigkeiten verknüpft. So ist die Datenschutz-Folgenabschätzung jederzeit auffindbar und belegt zusammen mit der dokumentierten Schwellenwertanalyse die Erfüllung der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO).