Datenschutzbeauftragter -Erfahrungen?

[RAMSoße]

Moin Zusammen

Ich habe vor, neben dem Beruf mich zum Datenschutzbeauftragten weiterzubilden. Nun bieten viele Diesen Kurs an. Beispiel TÜV oder IHK. Wie sind diesbezüglich eure Erfahrungen? Wo ist der Abschluss besser Anerkannt und oder wird dieser überhaupt gebraucht? Ich kenne Firmen die den Datenschutzbeauftragten immer extern bestellen oder eben komplett auf einen verzichten.

Oder existiert die DSGVO nur auf dem Papier, frei nach private Motto: "Klar bin ich für Datenschutz - Hey die Prosieben MeinungsApp will Zugriff auf meine Telefonkontakte!? ^^ akzeptiert."

Grüße und ein schönes Wochenende

 

[Idon]

Informiere dich, ob und wann du in eine persönliche Haftung kommst und wie sich das vermeiden lässt.

 

[uincom]

Arbeitnehmer haften doch eh praktisch nie

 

[Idon]

So lange sie die Finger von Compliance- und Datenschutzbeauftragtem lassen...

 

[uincom]

Ich kenn zwar nur die andere Seite, aber ich glaube du machst dir als Datenschutzbeauftrager wenig Freunde. Du wirst die größte Nervensäge und der größte Bremser im Unternehmen sein.

 

[Idon]

Ich habe vor allem noch keinen Nicht-Juristen erlebt, der den Job auch nur halbwegs ordentlich macht. Und damit sind wir eben beim innerbetrieblichen Schadensausgleich.

Das Thema ist extrem komplex, viele Firmen nehmen es nicht ernst: Weder in Umsetzung, noch in der Auswahl des Datenschutzbeauftragten.


Man muss sich ständig fortbilden und braucht stets aktuelle, teure Unterlagen/Hilfsmittel, was natürlich nur Sinn ergibt, wenn man eine umfassende Vorbildung hat. So'n TÜV- oder IHK-Kurs bieten das meines Erachtens nicht.
Hier zum Beispiel: https://www.ihk-bildungsinstitut.de/21D3501ON.AxCMS 18 Termine, 2-3 Stunden. Finde ich wenig. Und das ohne jede Zulassungsvoraussetzung.

 

[Heelix]

In aller Regel lagern größere Firmen das doch einfach aus and spezialisierte Dienstleister die Prozesse und IT Infrastruktur etc. prüfen.
der wirklich lokale Angestellte schult vielleicht noch Mitarbeiter und meckert über eigene usb sticks …

 

[ayngush]

Ist halt nach dem Gleichstellungsbeauftragten und dem Informationssicherheitsbeauftragten der drittgeilste Typ im Unternehmen.

 

[Mustis]

Und das ohne jede Zulassungsvoraussetzung.

Na ja, weil du auch als DSGVO BEauftragter in der Firma an sich auch gar keine rechtliche Beratung geben sollst. Man soll damit ja auch lediglich Ansprechpartner im Unternehmen sein, die Grundlagen vermitteln und überwachen, ob die entsprechend der DSGVO vorgeschriebenen Maßnahmen wie die VErzeichnisse etc. geführt werden, und nicht die neusten Rechtsstreitigkeiten kennen.

Als Grundlage für nen selbstständigen Datenschutzbeauftragten würde ich diese Kurse nicht sehen. Schon gar nicht wenn es um rechtssichere Beratung geht.

Man sollte dabei auch nicht vergessen, dass der Datenschutz bei Unternehmen mit reinen Geschäftskunden oft auch nicht ganz so wild ist.

 

[Idon]

Bereits Ansprechpartner sein, Grundlagen vermitteln und Maßnahmen überwachen (und aktiv werden, wenn nicht) ist aber doch bereits Beratungsleistung.

Wir haben nur B2B-Geschäft. Aber wo kommen wir denn mit Verbrauchern oder stark personenbezogenen Daten trotzdem in Verbindung? Bei Besuchern, bei Bewerbern, bei Mitarbeitern, eventuell bei Abnahmen von Dritten bei uns, wenn unser Service bei Dritten aktiv wird etc.

 

[Mustis]

Beratungsleistung.

Ja aber doch keine Rechtsberatung. Wie beispielsweise die Verzeichnisse auszusehen haben ist doch detailliert beschrieben und da gibt es wenig rechtliches was sich regelmäßig ändert. Und zu den von dir genannten Daten: Sind nur solange zu speichern wie vorgeschrieben. Danach zu löschen. Das richtet man einmal ein und gut ist. Wenn jemand halt mit so Spielchen kommt und meint, man müsse die länger speichern weil geschäftliches Interesse kann er das ja machen. Es ist nicht deine Aufgabe als Datenschutzbeauftragter, dass zu verbieten oder zu unterbinden. Dann soll er den Grund eben formulieren, es im Verzeichnis hinterlegen und wenn irgendwann mal ne Rechtssache dazu kommt, wird sich zeigen, ob der Grund ausreichend war. Das musst du als interner Datenschutzbeauftragter doch gar nicht beurteilen.

Auch bei der DSGVO gilt: Wer ne Rechtsberatung rechtssicher möchte, geht zu nem Anwalt.

 

[RAMSoße]

Danke für Euer aller Antwort.

Es kistalisiert sich raus, dass man mit diesem Posten nicht der Beliebteste in der Firma ist. Das kann ich gut nachvollziehen, da sich die meisten Menschen im Privaten ja auch einen piep um Datenschutz scheren. Mir würde es aber Spass machen, diesbezüglich beratend tätig zu sein. Was darf man und was sollte man bleiben lassen. Risiken aufzeigen ect. wie eben im Privaten auch. Beispiel Paybackkarte. Ist jedem Wurscht, aber das man aufgrund der Daten schon vorher weiß ob eine Frau Schwanger ist, ist doch schon mal Beispiel genug. Gerne Quelle via PN. - ich schweife ab...

Rechtlich haftbar gemacht werden kann man sicherlich als Selbsständiger. Ist man allerdinsg Angestellter, kommt das sehr selten vor. Da müsste man imho ja schon halber Jurist sein, damit man sein Handwerk so umsetzen kann, dass man mit ruhigen Gewissens vollumfänglich beraten kann/darf.

 

[_killy_]

Der Grundtenor hier im Thread ist ja, dass du keine Freunde bei den Kollegen findest und das die Unternehmen gerne beim Datenschutz sparen.
Gerade der zweite Punkt kann für dich "gefährlich" werden. Es gibt meist nur 1 Datenschutzbeauftragen pro Unternehmen, wenn sie sich überhaupt dazu entscheiden diese Position intern zu besetzen.

Deine Jobaussichten sind somit miserabel. Selbst Pförtner gibt es mehr je Unternehmen.

Somit rate ich dir dringend davon ab, dich in diese Richtung "weiterentwickeln" zu wollen. Das Thema wird Stiefmütterlich behandelt ohne Aussicht auf Besserung.
Da ist IT Security schon deutlich interessanter, da die Unternehmen wenigstens ihre eigenen Daten schützen wollen. Dafür besteht noch ein berechtigtes Interesse. Aber Datenschutz? No way, dass es irgendwann sich bessern wird.

 

[ayngush]

Der Datenschutzbeauftragte ist eine Stabsstelle, die der GF beratend zum Thema beiseite steht und auf Misstände in Prozessen und beim allgemeinen Umgang mit Daten hinweist.

Verantwortlich für den Datenschutz ist immer vollumfänglich die Geschäftsführung.
Und das macht diesen Datenschutzbeauftragten in den eigenen Reihen so nervig und aus meiner Sicht sinnlos (ein externen ist deutlich besser):

1. Dem Prophet im eigenen Land glaubt man nicht (das ist das größte Problem)
2. Man wird ggf. vom Kollegium als bezahlte Petze wahrgenommen
3. Man nervt die GF ggf. mit "besserwissen", welches man nicht zu verantworten hat. Zumindest solange, solange nichts passiert, danach heißt es immer: hätte....

Bei uns bekleidet diese Stelle proforma irgend ein Auftrebender. Fachlich lassen wir uns zusammen mit der GF extern von einer spezialisierten Anwaltskanzlei beraten und für die IT-Sicherheit fühlen wir uns ausschließlich in der IT-Abteilung verantwortlich, da lassen wir uns nicht von Datenschutzkaspern reinreden, auch wenn die das gerne als "ihre Disziplin" betrachten - sie haben da einfach (bei uns) keine Ahnung von (meine Erfahrung). Unser Datenschutzbeauftragter hat ja nichtmal einen IT-Background, der ist Fachwirt für irgendwas mit Büro.

Demnach: Ganz genau. Das ist als interene Position oftmals so ein "Ding" was einer machen muss, der "dumm genug" dafür ist, weil die Firma "groß genug" ist.

Mein Rat als IT-Profi mit Erfahrung an alle Unternehmen: Nehmt euch einen externen Datenschutzbeauftragten und lasst euer Personal intern die Arbeit erledigen, für die ihr sie bezahlt und aquiriert habt.

PS: Irgendwie habe ich mal etwas leuten gehört, dass man da auch befangen sein kann. Da steht so etwas auch in der DSGVO...

„Der Datenschutzbeauftragte kann andere Aufgaben und Pflichten wahrnehmen. Der Verantwortliche oder der Auftragsverarbeiter stellt sicher, dass derartige Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen.“

Man muss damit aufpassen, dass man sich nicht eventuell interessante Arbeitsbereiche / Karrierewege zustellt. Da ich zum Beispiel im Rahmen der allgemeinen Digitalisierung unsere Geschäftsprozesse durchleuchte und als Entwickler eine digitale Transformation durchführe, wo möglich, wäre ich bei dieser Aufgabe befangen, wäre ich gleichzeitig DSB bei uns. Deswegen: Wer mit IT mehr machen will als Systemintegration, der sollte vom DSB die Finger lassen, weil man schnell als Befangen gilt... Es gibt da einfach viel zu beachten und wenig bei zu gewinnen.

 

[Mustis]

Als würde man dem externen mehr glauben, der keine/wenig Einsicht in die alltäglichen Abläufe hat. Die restlichen Punkte kannste du 1 zu 1 auch auf die Externen anwenden. Wenn die nötigen Regularien einmal eingeführt sind und umgesetzt, ist die Stelle doch auch mehr oder weniger pro forma. Was sollst du den da in vielen klein und mittelständischen Firmen dauerhaft mit Datenschutz zu tun haben? Du musst aber einen Ansprechpartner hinterlegen. Dafür nen externen, der dafür dann regelmässig kassiert obwohl er genau genommen nix mehr tut?
In die 3-4 Firmen, in die ich diesbezüglich ausreichend Einsicht habe, sind die Datenschutzpostfächer als Besipiel reine Spamauffangbecken. Muss auf der Webseite geführt werden, weshalb die ganzen Bots es finden, aber seit Einführung der DSGVO kam da keine einzige Mail in Bezug auf den Datenschutz rein...

Das mag ja in Firmen, die größer sind, vor allem wenn sie ihre eigene IT haben, anders sein (bzw. ist es) aber das ist eben nur ein Teil der Realität da draußen.

 

[ayngush]

"Ich" muss den externen nicht glauben.
Glauben daran muss die Geschäftsführung und das fällt denen bei externen Beratern (das ist ja das typische Unternehmensberaterprinzip) leichter, weil die die genau dafür beauftragen und bezahlen. Und wenn ich jemand dafür bezahle, dann wird er mich ja nicht anlügen. Außerdem ist ein externer DSB noch weniger befangen als ein interner. Das man das überhaupt intern vergeben darf führt ja nur dazu, dass im Mittelstand Datenschutz oft eher so mäh ist.

 

[uincom]

Den externen Leuten glaubt man halt wirklich mehr. Ist bei Rechtsabteilungen auch so. Dem externen Anwalt glaubt man alles. Der eigenen Rechtsabteilung nicht

 

[Idon]

Der Externe haftet ja auch ganz anders, deshalb darf er die Drecksarbeit erledigen und bekommt dafür viel Geld.

 

[Rickmer]

Der Grundtenor hier im Thread ist ja, dass du keine Freunde bei den Kollegen findest und das die Unternehmen gerne beim Datenschutz sparen.
Gerade der zweite Punkt kann für dich "gefährlich" werden. Es gibt meist nur 1 Datenschutzbeauftragen pro Unternehmen, wenn sie sich überhaupt dazu entscheiden diese Position intern zu besetzen.

Deine Jobaussichten sind somit miserabel. Selbst Pförtner gibt es mehr je Unternehmen.

Das müsste schon ein verdammt großes Unternehmen sein, dass es jemanden braucht, der "Datenschutzbeauftragter" als vollwertige Position macht.

Für alle Unternehmen die ihre Mitarbeiterzahl nicht fünfstellig oder höher schreiben ist 'Datenschutzbeauftragter' vielleicht einige Wochen die man sich einarbeitet und initiale Doku aufstellt und danach höchstens ein paar Stunden die Woche die 'bei Bedarf' gemacht werden während man hauptberuflich an was anderem arbeitet.


Bei der initialen Doku wird man sich definitiv nicht beliebt machen... nachdem einem erstmal ganz grob klar wird was alles dokumentiert werden sollte darf man stundenlang diversen Abteilungen (Abteilungsleitern) auf den Senkel gehen bis die mal die Zeit finden mit dir alle typischen Datenverarbeitungsprozesse durch zu gehen und auf Papier zu bringen.
Darauf hat natürlich kein Abteilungsleiter je Lust und daher auch nie die Zeit. Oder andersrum.

Auftragsverarbeitungsverträge sind dann auch son lustiges Thema. Es ist auch nirgends wirklich festgelegt mit wem du so einen Vertrag brauchst und wen du in Ruhe lassen darfst. Klar, Artikel 28, aber demnach könntest du jetzt erstmal jedem Paketdienst auf die Pelle rücken.
Eine der hilfreichsten Ressourcen sind hier die Kurzpapiere der Datenschutzkonferenz (meiner Meinung nach).

Beispiel - Papier Nr. 13 "Auftragsverarbeitung, Art. 28 DS-GVO", Anhang B:

Keine Auftragsverarbeitung, sondern die Inanspruchnahme fremder Fachleistungen bei einem eigenständig Verantwortlichen, für die bei der Verarbeitung (einschließlich Übermittlung) personenbezogener Daten eine Rechtsgrundlage gemäß Art. 6 DS-GVO gegeben sein muss, sind beispielsweise in der Regel die Einbeziehung eines
•Berufsgeheimnisträgers (Steuerberater, Rechtsanwälte, externe Betriebsärzte, Wirt-schaftsprüfer),
•Inkassobüros mit Forderungsübertragung,
•Bankinstituts für den Geldtransfer,
•Postdienstes für den Brieftransport, und vieles mehr.

Jawoll, endlich ein paar Anhaltspunkte! Und die Paketdienste sind vor Bergen an Verträgen gerettet.


Man merkt vielleicht, ich hatte 2018 auch einen Exkurs in die DSGVO gehabt

 

[_killy_]

@Rickmer

Deshalb sollte sich der TE ja auch nicht auf diesen sinnlosen Posten weiter qualifizieren. Das Berufsbild ist auf dem Arbeitsmarkt nicht nachgefragt. Da lädt man lieber die Schwiegermutter zum Kaffee ein, als ein Datenschutzbeauftragen einzustellen/engagieren.