Bild-Quelle: Foto von Soumil Kumar von Pexels
LAG Mecklenburg-Vorpommern – Erforderliches Fachwissen des Datenschutzbeauftragten
Das Landgericht Mecklenburg-Vorpommern (LAG M-V) bezieht in seiner Entscheidung vom 25.02.2020 (Urteil vom 25.02.2020, Az.: 5 Sa 108/19) Stellung dazu, welche Ansprüche an das datenschutzrechtliche Fachwissen eines Datenschutzbeauftragten zu stellen sind.
Hintergrund der Entscheidung
Grundlage der Entscheidung war ein Rechtsstreit zwischen einem Konzernbeauftragten und einer Universitätsklinik als Körperschaft des öffentlichen Rechts, deren behördlicher Datenschutzbeauftragter der Kläger war.
Der Kläger ist in seiner Qualifikation als Volljurist intern zum Datenschutzbeauftragten berufen worden. Diese Tätigkeit übte er zum Ende hin sogar zu 75 % aus.
Die Parteien stritten über die Wirksamkeit der Abberufung des Datenschutzbeauftragten. Streitpunkt waren unter anderem divergierende Ansichten der Parteien. Entgegen seinem Arbeitgeber vertrat der Kläger unter anderem die Meinung, dass „die konkrete Umsetzung der Datenschutzgesetze des Landes durch die Datenschutzverantwortlichen denklogisch erst nach Inkrafttreten der Gesetze erfolgen kann“. Zeitgleich gingen der Universitätsklinik Rügen der Datenschutzaufsichtsbehörde wegen Verletzung des Datenschutzrechts zu. Hierbei wurde in Besonderem gerügt, dass im elektronischen
Dienstplansystem sensible Gesundheitsdaten in unzulässiger Weise für die Stationsmitarbeiter einsehbar waren.
In der Gesamtheit seines Verhaltens sah die Universitätsklinik ein generelles Fehlverhalten aufseiten des Juristen sowie insbesondere eine massive Verletzung seiner Pflichten als Datenschutzbeauftragter.
Unabhängig von der Beantwortung vieler weiterer Unstimmigkeiten machte das Gericht insbesondere Ausführungen zu dem nach Art. 37 DSGVO erforderlichen Fachwissen des Datenschutzbeauftragten. Mit dieser Entscheidung macht das Gericht deutlich, dass es für die Qualifikation zum Datenschutzbeauftragten nicht allein ausreichend ist, dass es sich hierbei um einen Volljuristen handelt.
Welches Fachwissen ist für den Datenschutzbeauftragten erforderlich?
Zieht man die Ausführungen des LAG M-V heran, ergibt sich für das Fachwissen, das nach Art. 37 Abs. 5 DSGVO bei einem Datenschutzbeauftragten vorliegen muss, folgendes:
- Der Datenschutzbeauftragte muss über die Fähigkeit verfügen, seine in Artikel 39 DSGVO genannten Aufgaben zu erfüllen.
- Die Tätigkeit des Datenschutzbeauftragten ist nicht an eine bestimmte Ausbildung oder näher bezeichnete Fachkenntnisse geknüpft.
- Welche Sachkunde erforderlich ist, richtet sich insbesondere nach der Größe der Organisation, dem Umfang der anfallenden Datenverarbeitungsvorgänge, den eingesetzten IT-Verfahren und dem Typus der anfallenden Daten.
- Wenn der Datenschutzbeauftragte nur in einem Teilbereich über eine eigene Qualifikation verfügt, genügt es, wenn er im Übrigen auf fachkundige Mitarbeiter zurückgreifen kann.
- Fortbildungen des Datenschutzbeauftragten zu neuen technischen Entwicklungen und Gesetzesänderungen bzw. Entwicklungen in der Rechtsprechung sind unerlässlich.
- Der Datenschutzbeauftragte muss nicht nur die nötigen Fachkenntnisse besitzen, sondern auch die Gewähr bieten, dass er seinen Aufgaben gewissenhaft nachkommt und nicht gegen seine Pflichten als Datenschutzbeauftragter, z. B. gegen seine Verschwiegenheitspflicht, verstößt.
- Der Datenschutzbeauftragte muss – über die Sachkunde hinaus – eine wirksame Selbstkontrolle der Organisation gewährleisten können.
Bei der Wahl des Datenschutzbeauftragten sollte daher zwingend auf die genannten Kriterien geachtet werden.
Sollten Sie bei der Suche nach einem passenden Datenschutzbeauftragten noch nicht fündig geworden sein, steht Ihnen unser qualifizierter Datenschutzbeauftragter gerne mit Rat und Tat zur Seite.
Von Tamina Wiatr, 16.08.2020
