Weisungsfreiheit des Datenschutzbeauftragten: Bericht, Ressourcen und Leitung

Ein Datenschutzbeauftragter muss seine Aufgaben fachlich unabhängig erfüllen können. Die Geschäftsführung darf deshalb nicht vorgeben, welches Ergebnis eine Prüfung haben soll und muss zugleich die Ressourcen bereitstellen, die für die Aufgaben, den Zugang zu den relevanten Verarbeitungsvorgängen und die Erhaltung des Fachwissens erforderlich sind.

Dieser Beitrag ordnet einen typischen Konflikt ein: Die Unternehmensleitung möchte Berichte des Datenschutzbeauftragten vor der Weitergabe freigeben und sein Budget kürzen. Im Mittelpunkt stehen die organisatorische Weisungsfreiheit, die Berichtslinie zur höchsten Managementebene und die Frage, wann eine Änderung der Ausstattung die Aufgabenerfüllung gefährdet. Die erstmalige Benennung, technische Sicherheitsmaßnahmen, Betroffenenrechte und Datenschutz-Folgenabschätzungen sind nicht Gegenstand dieses Beitrags.

Art. 38 Abs. 3 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter sicherzustellen, dass der Datenschutzbeauftragte bei der Erfüllung seiner Aufgaben keine Anweisungen bezüglich der Ausübung dieser Aufgaben erhält. Das schützt die fachliche Bewertung. Die Leitung kann Fragen stellen, Tatsachen klären und organisatorische Abläufe festlegen, darf aber nicht das Ergebnis einer unabhängigen Prüfung vorgeben.

Weisungsfreiheit bedeutet nicht, dass der Datenschutzbeauftragte außerhalb jeder Organisation arbeitet. Er braucht Zuständigkeiten, Termine und einen verlässlichen Informationsfluss. Entscheidend ist, ob diese Rahmenbedingungen die Aufgabe ermöglichen oder ob sie dazu benutzt werden, eine unerwünschte Bewertung zu verändern, zu verzögern oder nicht weiterzugeben.

Im Beispielsfall ist daher zu unterscheiden: Eine Freigabe rein sachlicher Angaben kann der Fehlerkontrolle dienen. Eine Freigabe, die eine Feststellung abschwächen, streichen oder von der Weitergabe an die Leitung abhängig machen soll, berührt dagegen die geschützte Ausübung der Aufgabe.

Der Datenschutzbeauftragte berichtet nach Art. 38 Abs. 3 DSGVO unmittelbar der höchsten Managementebene des Verantwortlichen oder des Auftragsverarbeiters. Damit ist eine Ebene gemeint, die Unternehmensentscheidungen tatsächlich treffen oder veranlassen kann. Ein Bericht an eine Fachabteilung allein genügt nicht, wenn der Zugang zur maßgeblichen Leitung dadurch ersetzt wird.

Zwischenstellen können Informationen sammeln, Termine koordinieren oder die Sitzung vorbereiten. Sie dürfen aber nicht zur fachlichen Filterstufe werden. Die Berichtslinie sollte deshalb mit Empfänger, Anlass, Zugangsweg und Möglichkeit zur direkten Erläuterung festgehalten werden. Das ist besonders wichtig, wenn die Datenschutzfunktion organisatorisch bei Recht, Compliance oder einer anderen Stabsstelle angesiedelt ist.

Unmittelbarer Bericht bedeutet nicht, dass jeder Bericht öffentlich gemacht werden muss. Die Organisation darf Vertraulichkeit, geeignete Empfängerkreise und sichere Kommunikationswege regeln. Diese Vorgaben dürfen jedoch nicht dazu führen, dass die höchste Managementebene nur eine inhaltlich bearbeitete Fassung erhält oder der Datenschutzbeauftragte seine eigene Bewertung nicht erläutern kann.

Nach Art. 38 Abs. 2 DSGVO muss der Verantwortliche oder Auftragsverarbeiter den Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben nach Art. 39 DSGVO unterstützen. Bereitzustellen sind die für diese Aufgaben erforderlichen Ressourcen, der Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie die für die Erhaltung des Fachwissens erforderlichen Mittel.

Das Gesetz nennt keinen pauschalen Geldbetrag und keine einheitliche Personalquote. Der Bedarf hängt vom Umfang, der Komplexität und den Risiken der Verarbeitung sowie von der Größe und Organisation des Unternehmens ab. Zu prüfen sind daher unter anderem verfügbare Arbeitszeit, fachliche Unterstützung, Zugang zu den betroffenen Bereichen, notwendige Unterlagen, geeignete Systeme und Fortbildung.

Ein Datenschutzbeauftragter kann seine Aufgabe nicht verlässlich erfüllen, wenn ihm relevante Verarbeitungsvorgänge vorenthalten, Besprechungen dauerhaft verschlossen oder zugesagte Zeit und Fachmittel entzogen werden. Auch ein externer Datenschutzbeauftragter braucht einen tatsächlichen Zugang zu den Informationen und Personen, die für seine Arbeit erforderlich sind.

Eine Budgetänderung ist nicht schon deshalb unzulässig, weil sie die Datenschutzfunktion betrifft. Maßgeblich ist, ob nach der Änderung die erforderlichen Aufgaben, Zugänge und die Erhaltung des Fachwissens noch praktisch möglich sind. Eine Einsparung, die nur eine andere Organisation der Arbeit bewirkt, ist anders zu beurteilen als ein Entzug, der Prüfungen faktisch verhindert.

Die Geschäftsführung darf außerdem einen sachlichen Abgleich von Namen, Daten, Zuständigkeiten oder Beilagen verlangen. Sie darf daraus aber keine inhaltliche Vorabgenehmigung des fachlichen Ergebnisses machen. Ein Bericht darf nicht deshalb zurückgehalten oder umformuliert werden, weil die Bewertung für eine Abteilung oder ein Projekt unangenehm ist.

Für die Praxis empfiehlt sich eine kurze Begründung jeder wesentlichen Ressourcenänderung. Festzuhalten sind Aufgabenumfang, bisherige und neue Kapazität, Zugang zu Informationen, Fortbildungsbedarf und die Folgen für die Bearbeitung. So lässt sich unterscheiden, ob eine organisatorische Anpassung tragfähig ist oder die Unabhängigkeit und Aufgabenerfüllung beeinträchtigt.

Art. 38 Abs. 3 DSGVO sieht vor, dass der Datenschutzbeauftragte wegen der Erfüllung seiner Aufgaben weder abberufen noch benachteiligt werden darf. Der Schutz knüpft an die Aufgabenerfüllung an. Eine Maßnahme, die als Reaktion auf eine unliebsame Prüfung, einen kritischen Bericht oder die Eskalation eines Problems gesetzt wird, braucht daher eine besonders sorgfältige organisatorische Begründung.

Nicht jede personelle oder wirtschaftliche Entscheidung über die Datenschutzfunktion ist automatisch eine Benachteiligung. Veränderungen können sachlich notwendig sein. Entscheidend bleiben Anlass, Zeitpunkt, Begründung und Auswirkung. Werden gerade nach einem kritischen Bericht Zugang, Zeit, Budget oder Berichtsmöglichkeiten entzogen, sollte der Zusammenhang nachvollziehbar geprüft und dokumentiert werden.

Die interne Dokumentation sollte deshalb nicht nur das Organigramm zeigen. Sie sollte auch erkennen lassen, welche Aufgaben bestehen, welche Ressourcen zugesagt sind, wie Berichte an die Leitung gelangen und aus welchem sachlichen Grund Änderungen vorgenommen werden. Das schafft eine belastbare Grundlage für die laufende Organisation.

Für eine belastbare Organisationsakte gehören Berichtslinie, Zuständigkeit, Stellvertretung und die vorgesehenen Kommunikationswege zusammen. Ergänzend sollten Zeitbudget, fachliche Fortbildung, Informationszugänge und die verfügbaren Mittel beschrieben werden. Eine bloße Funktionsbezeichnung beweist noch keine ausreichende Ausstattung.

Sinnvoll ist ein regelmäßiger Abgleich mit den tatsächlichen Verarbeitungsvorgängen und den Aufgaben, die der Datenschutzbeauftragte erfüllen muss. Neue Systeme, zusätzliche Geschäftsbereiche, Umstrukturierungen oder eine deutlich höhere Zahl an Prüfungen können den Ressourcenbedarf verändern. Die Entscheidung über eine Budgetanpassung sollte deshalb auf einer aktuellen Aufgabenübersicht beruhen.

Der Beitrag zur nachvollziehbaren Dokumentation technischer und organisatorischer Maßnahmen behandelt einen anderen Nachweisbereich, kann aber bei der Ordnung von Verantwortlichkeiten und Belegen ergänzend herangezogen werden. Das Löschkonzept für Kunden- und Lead-Daten zeigt ebenfalls, wie konkrete Zuständigkeiten und Prüfpfade von der allgemeinen Organisation getrennt werden.

Wir prüfen mit Ihnen die organisatorische Stellung des Datenschutzbeauftragten, die Berichtslinie, die vorgesehenen Ressourcen und konkrete Änderungen bei Budget oder Zuständigkeiten. Kontaktieren Sie uns mit Organigramm, Aufgabenübersicht, Berichtsvorgängen und der geplanten Anpassung, damit die zulässige Abstimmung von einer unzulässigen inhaltlichen Einflussnahme klar getrennt werden kann.