IM DETAIL....

Neben den unten aufgeführten Aufgaben eines DSB sind wir zudem Ansprechpartner in den Bereichen Transparenz (Thüringer Transparenzgesetz), Thüringer Inklusionsgesetz (Thür-GIG) der EU-Whistleblower-Richtlinie (später Hinweisgeberschutzgesetz (HinSchg)).

Aufgaben eines Datenschutzbeauftragten (nicht abschließend!)

• Anlaufstelle für die Aufsichtsbehörde bei vorheriger Konsultation (Art. 39 Abs. 1 lit. e i. V. m. Art. 36 DSGVO);

• Anlaufstelle für die Aufsichtsbehörde bei Genehmigungsbefugnissen (Art. 39 Abs. 1 lit. d i. V. m. Art. 58 Abs. 3 DSGVO);
• Anlaufstelle für die Aufsichtsbehörde bei Untersuchungsbefugnissen (Art. 39 Abs. 1 lit. d i. V. m. Art. 58 Abs. 1 DSGVO);
• Anlaufstelle für die Aufsichtsbehörde bei Abhilfebefugnissen (Art. 39 Abs. 1 lit. d i. V. m. Art. 58 Abs. 2 DSGVO);
• Anlaufstelle für die Aufsichtsbehörde bei Verletzung des Schutzes personenbezogener Daten (Art. 39 Abs. 1 lit. d i. V. m. Art. 33 Abs. 3 lit. b DSGVO);
• Aufbau, die Bewertung oder Fortentwicklung eines etwaig vorhandenen, umfassenden Datenschutzmanagementsystems oder Teile desselben z. B. nach den Empfehlungen der IT-Grundschutz-Kataloge des BSI;

• Aufnahme des Ist-Bestandes der Datenschutzorganisation inkl. Vor-Ort-Begehung mit anschließender Gap-Analyse (Soll-/Ist-Vergleich);
  
• Aufklärung über jede relevante Datenschutzvorschrift, neue Rechtsprechung und technologische Entwicklungen, die insbesondere im Rahmen von Art. 25 DSGVO bedeutend sind;
  
• Beantwortung konkreter Anfragen von Beschäftigten oder der Unternehmensleitung zum Datenschutz jenseits des Tagesgeschäfts (z. B. datenschutzrechtliche Machbarkeit neuer Geschäftsmodelle);
  
• Bearbeiten von Auskunftsersuchen (Art. 15 DSGVO);
  
• Bearbeiten des Antrags auf Datenübertragbarkeit (Art. 20 DSGVO);
  
• Bearbeiten von Widersprüchen (Art. 21 DSGVO);
• Beratung auf Anfrage im Zusammenhang mit der Datenschutz-Folgenabschätzung und
• Überwachung ihrer Durchführung gemäß Artikel 35 DSGVO;
• datenschutzrechtliche Beurteilung von konkreten Marketing-, Werbe- oder Vertriebsmaßnahmen;
• Beratung in Bezug auf Anträge auf Datenübertragbarkeit (Art. 20 DSGVO);
• Beratung in Bezug auf Widersprüche (Art. 21 DSGVO);
• Beratung in Bezug auf Auskunftsersuchen (Art. 15 DSGVO);
• Beratung in der Entwicklung strategischer Unternehmenskonzepte, die datenschutzrechtlich relevante Fragestellungen berühren;
• Beratung in der Entwicklung strategischer Unternehmenskonzepte, die datenschutzrechtlich relevante Fragestellungen berühren;
• Beraten bei Schadensersatzforderungen (Art. 39 Abs. 1 lit. a i. V. m. Art. 82 DSGVO);
• Beraten bei Ordnungswidrigkeiten (Art. 39 Abs. 1 lit. a i. V. m. Art. 83 DSGVO);
• Beratung bei Straftaten (Art. 39 Abs. 1 lit. a DSGVO i. V. m. § 43 BDSG i. V. m. § 61 ThürDSG);
• Durchführung von Vor-Ort-Prüfungen bei Subunternehmern, Vorlieferanten oder anderen für den Auftraggeber tätigen Dienstleistern, insbesondere die Durchführung von Kontrollen im Rahmen von Auftragsverarbeitungsverhältnissen (Art. 28 DSGVO);
• Durchführung von Raum-Audits;
• Erstellung jährlicher Tätigkeitsberichte;
• Erstellung und Prüfung der Datenschutz-Folgenabschätzung (Art. 35 DSGVO);
• Erstellung von Verträgen zur Auftragsverarbeitung (Art. 28 DSGVO);
• Erstellung und Aktualisierung von (Verarbeitungs-) Verzeichnissen (Art. 30 DSGVO);
• Erstellung von Informationspflichten gem. Art. 13, 14 DSGVO;
• Erstellung von Vorlagen hinsichtlich von Auskunftsersuchen (Art. 15 DSGVO);
• Erstellen von Vorlagen hinsichtlich der Anträge auf Berichtigung (Art. 16 DSGVO);
• Erstellen von Vorlagen hinsichtlich der Anträge auf Löschung (Art. 17 DSGVO);
• Erstellen von Vorlagen hinsichtlich der Anträge auf Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Erstellen von Vorlagen hinsichtlich der Anträge auf Unterrichtung (Art. 19 DSGVO);
• Erstellen von Vorlagen hinsichtlich der Anträge auf Datenübertragbarkeit (Art. 20 DSGVO);
• Erstellen von Vorlagen hinsichtlich der Geltendmachung von Widersprüchen (Art. 21 DSGVO)
• Erstellung von Einwilligungserklärungen;
• Erstellung von Kommunikationsregeln;
• Erstellung von Konzepten zur Datenlöschung und Aufbewahrungsfristen;
• Erstellung von datenschutzrechtlichen (Gap-)Analysen;
• Erstellung von Datenschutzleitlinien;
• Erstellung von, den Datenschutz betreffenden, Anweisungen und Richtlinien in Unternehmen und Behörde;
• Erstellung von, den Datenschutz betreffenden, Risikoanalysen und Prognosen;
• Erstellung/Auflistung von technischen und organisatorischen Maßnahmen (Art. 32 DSGVO);
• Erstellung von Verpflichtungserklärungen und Geheimhaltungsvereinbarungen;
• Erteilen von Hinweisen auf geeignete Maßnahmen zur Einhaltung des Datenschutzes als Anleitung für den Verantwortlichen, wie er seiner Verantwortung nach Art. 24 DSGVO nachkommen kann;
• Hinweis bei Missständen;
• Mitwirkung bei der Erstellung datenschutzrelevanter Dokumente (u. a. Verzeichnisse von Verarbeitungstätigkeiten, Auftragsverarbeitungsverträge, Einwilligungs- und/oder Verpflichtungserklärungen, technischer und organisatorischer Maßnahmenkatalog, Kommunikationsregeln für elektronische Kontaktersuchen über die Webseite des Auftraggebers, Benennungsurkunden);
• Mitwirkung bei der Erstellung betrieblicher Anweisungen, Vereinbarungen, Aushänge, Merkblätter und Richtlinien zum datenschutzkonformen Umgang mit personenbezogenen Daten, etwa hinsichtlich des Umgangs mit E-Mail, Telefon, Internet und/oder Betroffenenanfragen am Arbeitsplatz;
• Mitwirkung bei Tätigkeiten im Zusammenhang mit Videoüberwachung;
• Mitwirkung bei der Auswahl von Auftragsverarbeitern (Art. 28 Abs. 1 DSGVO);
• Mitwirkung bei der Vertragsgestaltung für Auftragsverarbeitung (Art. 28 Abs. 3 DSGVO);
• Mitwirkung bei der Weisungserteilung an Auftragsverarbeiter (Art. 29 DSGVO);
• Mitwirkung bei der Meldung von Datenschutzpannen (Art. 33, 34 DSGVO);
• Prüfung sowie Mitwirkung bei der Gestaltung und Anpassung der Arbeitsverträge von Beschäftigen des Auftraggebers;
• Prüfung der ordnungsgemäßen Anwendung der DV-Programme;
• Prüfung abstrakter und konkreter (datenschutzrechtlicher)-Rechtsfragen;
• Prüfung, ob die Grundsätze für die Verarbeitung personenbezogener Daten eingehalten werden (Art. 5 DSGVO);
• Prüfung der Rechtmäßigkeit der Datenverarbeitung (Art. 6 DSGVO);
• Prüfung der Vorgaben für die Einwilligung und deren Nachweis (Art. 7 DSGVO);
• Prüfung der Vorgaben für die Einwilligung eines Kindes (Art. 8 DSGVO);
• Prüfung der ausnahmsweise zulässigen Verarbeitung sensibler Daten (Art 9 DSGVO);
• Prüfung, ob die Informationspflichten bei der Datenerhebung beim Betroffenen eingehalten werden (Art. 13 DSGVO);
• Prüfung derselben Pflichten bei Erhebung bei Dritten (Art. 14 DSGVO);
• Prüfung, ob auf Antrag des Betroffenen Daten gesperrt werden (Art. 15 DSGVO);
• Prüfung, ob auf Antrag des Betroffenen Daten berichtigt werden (Art. 16 DSGVO);
• Prüfung, ob auf Antrag des Betroffenen Daten gelöscht werden (Art. 17 DSGVO);
• Prüfung, ob auf Antrag des Betroffenen Daten gesperrt werden (Art. 18 DSGVO);
• Prüfung, ob im Falle der Art. 16 bis 18 Mitteilungspflichten bei Übermittlung an Dritte bestehen (Art. 19 DSGVO);
• Prüfung hinsichtlich automatisierter Einzelentscheidungen einschließlich Profiling (Art. 22 DSGVO);
• Prüfung der getroffenen Datensicherungsmaßnahmen, sowie deren Aktualisierung und Dokumentation (Art. 24 DSGVO);
• Prüfung der Technikgestaltung und der datenschutzfreundlichen Voreinstellung (Art. 25 DSGVO);
• Prüfung der Sicherheit der Verarbeitung und in diesem Zusammenhang der Verpflichtungserklärungen auf das Datengeheimnis (Art. 32 DSGVO);
• Prüfung der Verarbeitung mittels Videoüberwachungsanlagen;
• Prüfen, ob die Häufigkeit, die Auswahl der Kategorien von Beschäftigten, die Dauer, die Qualität des Schulenden und ähnliche abstrakte Kriterien angemessen sind. Dies betrifft Schulungen der verarbeitenden Stelle im Rahmen ihrer Pflicht zur Ergreifung angemessener Datenschutzvorkehrungen nach Art. 24 Abs. 2 DSGVO;
• Prüfung bei Schadensersatzforderungen (Art. 39 Abs. 1 lit. b i. V. m. Art. 82 DSGVO);
• Prüfung bei Ordnungswidrigkeiten (Art. 39 Abs. 1 lit. b i. V. m. Art. 83 DSGVO);
• Prüfung bei Straftaten (Art. 39 Abs. 1 lit. b DSGVO i. V. m. § 43 BDSG i. V. m. § 61 ThürDSG);
• Prüfung der Einhaltung der Pflichten nach dem Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG);
• Prüfung und Mitwirkung bei der Erstellung und Angabe von Cookie-Hinweisen auf Webseiten;
• Risikoeinschätzung bei allen grundlegenden Aufgaben aus Art. 39 Abs. 1 DS-GVO (Art. 39 Abs. 2 risikobasierter Ansatz);
• Regelmäßige Kontrollen durchführen und diese dokumentieren ("Stichprobenprinzip");
• Sichtung der Website inkl. Überprüfung und ggf. Anpassung der Datenschutzerklärung; Tätigkeit als Anlaufstelle für die Aufsichtsbehörde in mit der Verarbeitung zusammenhängenden Fragen, einschließlich der vorherigen Konsultation gemäß Artikel 36 DSGVO und gegebenenfalls Beratung zu allen sonstigen Fragen;
• Tätigkeiten im Zusammenhang mit Sachverhalten betreffend Verletzungen des Schutzes personenbezogener Daten („Datenschutzverletzungen“, Art. 4 Nr. 12 DSGVO, Art. 33 DSGVO), einschließlich vorbeugender Maßnahmen zur Verhinderung und vorbereitender Maßnahmen im Hinblick auf adäquate Reaktionen;
• Überwachung der Einhaltung der DSGVO, anderer Datenschutzvorschriften der Union bzw. der Mitgliedstaaten sowie der Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen;
• Unterrichtung und Beratung des Verantwortlichen, Auftragsverarbeiters oder der öffentlichen Stelle und der Beschäftigten, die Verarbeitungen durchführen, hinsichtlich ihrer Pflichten nach der DSGVO;
• Unterrichtung bezüglich der Aufgaben, die der Verantwortliche oder Auftragsverarbeiter sowie die konkret tätigen Mitarbeiter bei einer Datenverarbeitung nach den einschlägigen Datenschutzbestimmungen zu beachten haben;
• Unterrichtung i. S. v. Erläuterungen der datenschutzrechtlichen Vorschriften und der jeweiligen Rechtsauffassung;
• Unterrichtung/Information des Verantwortlichen/Auftragsverarbeiter sowie deren Beschäftigte allgemein über datenschutzrelevante Vorgänge sowie Sensibilisierung für diese;
• Unterrichtung (proaktiv) durch Schulungen oder Ausgabe von reinem Informationsmaterial, wie Fachliteratur, Kurzdarstellungen, passenden Empfehlungen der Aufsichtsbehörden oder Überblicke über neue datenschutzrelevante Technologien, aufbereitet z. B. in Newslettern, Rundschreiben;
• Wahrnehmung von Besprechungen und anderen Terminen, die nicht am Sitz des Auftraggebers stattfinden;
• Zugriff auf Vorlagedokumente;
• Zusammenarbeit mit der Aufsichtsbehörde
• Datenschutzbeauftragter ist Mittler zwischen Aufsichtsbehörde und verarbeitender Stelle.
• Umfassende Kooperationspflicht mit den zuständigen Aufsichtsbehörden.
• Von der Kooperationspflicht nicht umfasst ist die Verpflichtung des Datenschutzbeauftragten zur sofortigen Meldung von Verstößen ggü. der Aufsichtsbehörde;
• Vorschläge zu Verbesserungsmaßnahmen.

• und vieles mehr...