Verfahrensverzeichnis

Der Datenschutzbeauftragte führt das Verfahrensverzeichnis gemäß §4g II BDSG über die Art und Umfang der Datenverarbeitung im Unternehmen. Konkret handelt es sich dabei um die meldepflichtigen Informationen i.S.d. §4e Satz 1 Nrn. 1-8 BDSG, die der Datenschutzbeauftragte jedermann verfügbar machen muss.

Zwar bestimmt §4g II 1 BDSG, dass die erforderlichen Informationen dem Datenschutzbeauftragten vom Unternehmen zur Verfügung gestellt werden müssen. In der Praxis ist es aber oft so, dass der Datenschutzbeauftragte diese Informationen erst durch Anfordern von Informationen aus den unterschiedlichen Abteilungen selbst zusammentragen und ständig aktualisieren muss.

Vorabkontrolle

Weitere originäre Aufgabe des Datenschutzbeauftragten ist die Vorabkontrolle bei „Verfahren automatisierter Verarbeitungen“ i.S.d. §4d V BDSG, wenn dadurch besondere Risiken drohen. Dies ist regelmäßig der Fall bei Daten besonderer Art nach §3 IX BDSG (etwa ethnische Herkunft, Gesundheit, Sexualleben, Religion, politische Ansichten) und dann, wenn die Datenverarbeitung zur Bewertung der Persönlichkeit des Betroffenen geeignet ist.

Das sind etwa Verfahren der Personalverwaltung, Telefondatenerfassung (Mitarbeiter und Kunden), Videoüberwachung oder Kundenbetreuung (etwa Bildung von Persönlichkeitsprofilen, Warndateien von Versicherungen).

Haftung bei Fehlern- Risiken für das Unternehmen und die Geschäftsleitung

Die formal schwache Stellung des Datenschutzbeauftragten verleitet manches Unternehmen, die Position bewusst intern mit einer Person zu besetzen, von der keine Probleme zu erwarten sind und die eher geneigt ist, kritische Verfahren im Zweifel durchzuwinken. Eine solche Haltung kann aber für das Unternehmen und die Geschäftsleitung selbst erhebliche nachteilige Auswirkungen haben.

Denn das Unternehmen ist für Verstöße gegen Datenschutzbestimmungen nach §43 BDSG selbst verantwortlich. Hierbei sind Ordnungsgelder bis 300.000,- EUR oder darüber hinaus möglich. Unternehmen können sich im Falle von Datenschutzverstößen auch nicht dadurch freizeichnen, dass der Datenschutzbeauftragte falsch oder ungenügend beraten hat.

Die Geschäftsleitung haftet im Innenverhältnis unmittelbar selbst gegenüber dem Unternehmen gemäß §93 I 1 AktG bzw. §43 GmbHG, wenn nicht die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt wird.

Beschluss des Düsseldorfer Kreises, der obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich: 
Mindestanforderungen, die an Fachkunde und Unabhängigkeit des Beauftragten für den Datenschutz.
Die Geschäftsleitung muss dies bei der Wahl des Datenschutzbeauftrageten berücksichtigen und dokumentieren.

• umfassende Kenntnisse und Fähigkeiten sämtlicher relevanten gesetzlichen Bestimmungen zum Datenschutz sowie zur Datensicherheit und deren konkrete Umsetzung im Unternehmen (z. B. Durchführung von Kontrollen, Beratung, Strategieentwicklung, Dokumentation, Verzeichnisse, Logfile-Auswertung, Risikomanagement, Analyse von Sicherheitskonzepten, Betriebsvereinbarungen, Videoüberwachungen, Zusammenarbeit mit dem Betriebsrat etc.).

Die Geschäftsleitung hat sich vor Auswahl zu versichern und zu dokumentieren, dass der Kandidat solche Spezialkenntnisse hat,
um seiner Sorgfaltspflicht  gerecht zu werden.

Ab 10 Personen (intern und extern), welche mit der Be- und Verarbeitung von Daten beschäftigt sind bzw. Kenntnise daraus erhalten ist ein Datzenschutzbeauftragter (DSB) zu bestellen.
In dieser "Bestellung" sind das Aufgabengebiet und die Konditionen beschrieben.
Vorteile eines externen DSB:
- eigenverantwortlich in der Qualifizierung
- Vertragskündigung möglich
- Haftungsübernahme bei Falschberatung
- breiter Erfahrungsschatz
- kostengünstiger

In Unternehmen bis 9 der oben genannten Personen, ist ein Datenschutzbeauftragter nicht Pflicht. Diese Funktion begleitet in dem Fall der Geschäftsführer.