[ EMPFEHLUNG ]
Das vorliegende Beispiel offenbart ein bedauerlicherweise anhaltendes Mißverständnis geschäftsführender Leitungen nach Art. 4 Nr. 7 DS-GVO: Die im Datenschutz bestehenden Pflichten können -anders als im Arbeitsschutz- nicht einfach unterstellten Führungskräften (hier: Abteilungsleitungen) übergewälzt werden; diese sind nicht "Verantwortliche" im Sinne Art. 4 Nr. 7 DS-GVO, weil sie eben gerade nicht alleine oder mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden. Diese Befugnisse lagen satzungsgemäß alleine bei der Geschäftsführung.
Empfehlenswert ist für oberste Leitungen und Führungskräfte eine Auseinandersetzung mit den kardinalen Anforderungen zum Schutz personenbezogener Daten. Die Rolle der Datenschutzbeauftragten kann hier wegweisend sein, und zwar durch Beratung, Schulung und Hinweisgeberin (aber nicht ausführende Rolle). Ebenso missverstanden wird nicht selten, dass der (oder die) "Datenschutzbeauftragte sich um diese Angelegenheit zu kümmern hätte". Die Aufgaben des DSB sind der Beratung zuzuschreiben, nicht aber für die Erfüllung entsprechender Verpflichtungen.
Ferner ist die regelmäßige Überprüfung der Organisation des innerbetrieblichen Datenschutzes geboten: Die im vorliegenden Beispiel als "theoretisch" nur mündlich formulierten Pflichten gegenüber den Führungskräften sollten "nur" überprüft werden. Die eigentliche Überprüfung der Strukturen und Abläufe war nicht geplant, aber nötig. Erst der neu hinzugetretene Blick der zuvor nicht vorhandenen Datenschutzbeauftragten konnte hier größeren Schaden, insbesondere für die oberste Leitung, abwenden. Tatsächlich erweist sich die Überprüfung der Strukturen und Abläufe unter einer wirtschaftlichen und einer risiko- bzw. prozessorientierten Fragestellung als aufschlussreich: Durch die Überprüfung konnten Abläufe zentralisiert, Doppelarbeit vermieden und Rechtssicherheit hergestellt werden.
Letzthin empfehlen wir die regelmäßige Schulung der beteiligten Personen im Rahmen ihrer konkreten Aufgaben: Das Schulungskonzept für Verantwortliche und Führungskräfte erfordert Differenzierungen gegenüber den mit der Ausführung befassten Mitarbeitenden. Datenschutzrechtlich Fragen werden zunächst als kompex verstanden, können aber praxisgerecht und verständlich aufbereitetet und vermittelt werden.
Als abschließende Empfehlung sprechen wir uns auch hier für den Einsatz einer systemisch wirksamen Prozessmoderation aus: Die im Auftragsverlauf stark geänderte Fragestellung wurde von den Beteiligten Personen nicht eskalierend oder konfrontativ wahrgenommen. Tatsächlich wurde von den Akteuren und Betroffenen die "Erleichterung über die Entlastung und die gefunden Klarheit" als Resonanz in der von uns vorgenommenen Feedback-Befragung besonders hervorgehoben.
