Die Auslagerung des Datenschutzberaters

und was es hierbei zu beachten gilt

Philipp Rosenauer
Partner Legal, PwC Schweiz

Claudia Jung
Senior Manager | Data Privacy | ICT | Implementationᐩ, PwC Schweiz

Wie erwartet hat der Bundesrat am 31. August 2022 bekanntgegeben, dass das neue Datenschutzgesetz (mit der ausführenden Verordnung) ab dem 1. September 2023 anwendbar sein wird. Die Frist für das Inkrafttreten des neuen Schweizer Datenschutzgesetzes rückt nun in grossen Schritten näher. Viele Unternehmen haben bisher noch keine Entscheidung darüber getroffen, ob ein Datenschutzberater intern bestellt werden soll oder nicht bzw. ob diese Funktion allenfalls an einen Service Provider ausgelagert werden soll.

Für die Besetzung der Funktion des Datenschutzberaters bedarf es neben dem erforderlichen Fachwissen auch einer entsprechenden Praxiserfahrung. Bereits unter der EU DSGVO hat sich schnell herausgestellt, dass die Anzahl an qualifizierten und erfahrenen Datenschutzbeauftragten nicht ausreicht, um die Marktnachfrage zu befriedigen. Welche Überlegungen man bei der Auslagerung anstellen sollte, erörtern wir in diesem Blogbeitrag.

Eingangs ist festzuhalten, dass die Auslagerung der Funktion des Datenschutzberaters das Unternehmen (also den datenschutzrechtlich Verantwortlichen) nicht davon entbindet, die Bestimmungen des Datenschutzgesetzes vollumfänglich einzuhalten. Kurzum: Aufgaben können ausgelagert werden, eine Verantwortung nicht. Das verantwortliche Unternehmen bleibt also weiterhin für folgende Bereiche verantwortlich:

Rechtmässige Verarbeitung personenbezogener Daten
Gewährleistung der Rechte der betroffenen Personen
Schutz der Daten durch technische und organisatorische Sicherheitsmassnahmen
Aufbewahrung von Aufzeichnungen über die Verarbeitung
Zusammenarbeit und Konsultation mit den Aufsichtsbehörden
Meldung von Datenschutzverletzungen
Durchführung von Datenschutz-Folgenabschätzungen

Der Datenschutzberater hat demgegenüber insbesondere folgende Aufgaben:

Rechtzeitige Einbindung in alle Fragen im Zusammenhang mit dem Schutz personenbezogener Daten
Beratung zu Datenschutzfolgenabschätzungen
Unterrichtung des verantwortlichen Unternehmens und der Auftragsbearbeiter über ihre Pflichten
Entgegennahme von Mitteilungen betroffener Personen über ihre Rechte und die Verarbeitung ihrer Daten
Überwachung der Einhaltung des DSG und damit verbundener Gesetze sowie der Richtlinien des für die Verarbeitung verantwortlichen Unternehmens
Erleichterung oder Durchführung von Audits
Zusammenarbeit und Beratung mit Aufsichtsbehörden

Ein Unternehmen, dass sich nun dazu entschieden hat, die Funktion des Datenschutzberaters auszulagern, muss sich vergewissern, dass der potenziell beauftragte Datenschutzberater über die für die Rolle erforderlichen Fachkenntnisse und Fähigkeiten verfügt. Hierbei sollten insbesondere folgende Aspekte berücksichtigt werden:

Dauer der beruflichen Erfahrung als Datenschutzberater
Allfällige Zertifizierungen im Bereich IT und Datenschutz
Mitgliedschaft in einschlägigen Berufsverbänden
Bisherige Beteiligung an Datenschutz-Folgenabschätzungen
Art und Umfang der geleiteten datenschutzrechtlichen Projekte
Kenntnisse der unterschiedlichen Datenschutzgesetze weltweit
Standort des Service Providers (innerhalb oder ausserhalb der Schweiz)
Erfahrungen im Bereich neuer Technologien (z. B. Internet of Things, Blockchain, Smart Devices usw.)
Allfällige weitere datenschutzrechtliche Mandate bei möglichen Konkurrenzunternehmen
Verfügbare Ressourcen
Erfahrungen mit der lokalen Datenschutzbehörde (EDÖB)
Verfügbarkeit, insbesondere ad hoc zur Abklärung von Datenschutzverletzungen

Die obenstehende Liste ist nicht abschliessend und kann beliebig erweitert werden. Wichtig ist, bei der Auslagerung dieser wichtigen Funktion den eigenen Sorgfaltspflichten entsprechend nachzukommen und die richtigen Fragen zu stellen.