Vertrag Datenschutzbeauftragter: Was muss drinstehen?

Egal, ob Unternehmen jemanden aus dem eigenen Team zum Datenschutzbeauftragten (DSB) ernennen oder auf externe Unterstützung setzen: In beiden Fällen wird der Datenschutzbeauftragte auf vertraglicher Basis tätig. Für interne DSBs ist in der Regel eine Erweiterung des Arbeitsvertrags notwendig, während externe DSB auf Basis eines Dienstleistungsvertrags tätig werden.

Inhaltlich gibt es dabei für Unternehmen einiges zu beachten, wenn der Vertrag des Datenschutzbeauftragten seinen Zweck zur Zufriedenheit aller Beteiligten erfüllen und eine erfolgreiche Datenschutzarbeit gewährleisten soll.

Erfahren Sie mehr über die Unterschiede zwischen internen und externen Datenschutzbeauftragten.

Vertrag des externen Datenschutzbeauftragten

Externe Datenschutzbeauftragte sind fachkundige Dienstleister, die auf vertraglicher Basis Leistungen für Unternehmen erbringen. Der Vertrag des externen Datenschutzbeauftragten regelt das Verhältnis zum Unternehmen und sollte mindestens folgende Bereiche umfassen.

Beschreibung der Aufgaben des externen Datenschutzbeauftragten

Externe Datenschutzexperten verfügen über umfangreiche Expertise und wissen genau, was zu ihren datenschutzrechtlichen Pflichten gehört. Dennoch ist es für Unternehmen wichtig, klare Absprachen zu den Aufgaben zu treffen.

Konditionen für die Beendigung des Vertrags

Ein Vorteil externer Datenschutzbeauftragter sind die flexiblen Kündigungsmöglichkeiten: Während interne Datenschutzbeauftragte einen besonderen Kündigungsschutz genießen, ist es einer der entscheidenden Vorzüge externer Datenschutzbeauftragter, dass Unternehmen sich problemlos von ihnen trennen können, falls die Zusammenarbeit nicht zur Zufriedenheit beider Parteien verläuft. Dafür sind im Vertrag Regelungen zur Kündbarkeit zu treffen. Die Kündigungsfrist für eine ordentliche Kündigung liegt im Belieben der Vertragsparteien, sollte jedoch nicht zu lang angesetzt werden.

Form und Höhe der Entlohnung

Neben dem Aufgabenspektrum und den Modalitäten zur Kündigung muss im Dienstleistungsvertrag die Bezahlung des Datenschutzbeauftragten eindeutig geregelt sein. Der externe Experte kann

• auf Stundenbasis,
• pauschal oder
• projektbezogen

entlohnt werden.

Es sind auch Mischformen möglich, etwa wenn der externe Berater die IT-Abteilung im Rahmen eines gesondert abgerechneten Projekts gemeinsam mit den datenschutzrechtlich „fit macht“, seine Routinearbeit im Bereich Datenschutz jedoch über eine monatliche Pauschale abwickelt.

In allen Fällen gilt, dass der Vertrag des Datenschutzbeauftragten gerade in puncto Entlohnung möglichst eindeutig und klar, aber auch flexibel genug gestaltet werden sollte, damit der externe Datenschutzbeauftragte jederzeit im Sinne des Unternehmens und des Budgets handeln kann.

Klären der Haftung

Da die DSGVO bei Verstößen hohe Strafen vorsieht, ist die Haftungsfrage für Unternehmen von hoher Bedeutung. Die Haftung externer Datenschutzbeauftragter ist gesetzlich unter anderem durch das BGB geregelt. Bei Beratungsfehlern oder Pflichtverletzungen haften sie voll. Im Vertrag können Unternehmen jedoch Haftungshöchstgrenzen mit ihrem externen Dienstleister vereinbaren.

Sie suchen einen externen Datenschutzexperten?

Die zertifizierten externen Datenschutzbeauftragten von Proliance unterstützen Sie mit Fachkunde und Branchen-Know-how bei Ihren gesetzlichen Pflichten.

Mehr zum externen Datenschutzbeauftragten

Was gilt für den Vertrag für den internen Datenschutzbeauftragten?

Auch bei internen Datenschutzbeauftragten ist eine schriftliche Vereinbarung sinnvoll. Da er bereits angestellt ist, sind Punkte wie allgemeine Dienstpflichten, Arbeitszeiten und Vergütung in der Regel über den bestehenden Arbeitsvertrag geregelt.

Es ist jedoch sinnvoll, den Vertrag durch einen „Zusatzvertrag Datenschutzbeauftragter“ zu erweitern. Darin sollte die Tätigkeit genau beschrieben sein. Dies umfasst etwa die datenschutzrechtliche Aus- und Weiterbildung des Betroffenen sowie die konkreten Kompetenzen und Tätigkeitsbereiche. Wichtig ist, dass der Datenschutzexperte der Geschäftsleitung unterstellt ist und weisungsfrei arbeiten kann.

Arbeitsrechtlich müssen Unternehmen bei der Bestellung eines internen Datenschutzbeauftragten außerdem folgende Punkte beachten:

• Der interne Datenschutzbeauftragte genießt eine Sonderstellung, die insbesondere erhöhte Anforderungen an eine Kündigung stellt.
• Im Gegensatz zu externen Datenschutzbeauftragten haften interne Experten nur nach Maßgabe ihres Beschäftigungsverhältnisses.
• Datenschutzbeauftragte müssen über Fachkunde für ihre Tätigkeit verfügen. Arbeitgeber müssen ihnen dafür unter anderem die nötigen Weiterbildungsmöglichkeiten gewähren.

Vorsicht bei Interessenkonflikten

Gemäß Art. 39 Abs. 6 S. 2 DSGVO darf bei dem Mitarbeiter, der die Aufgabe des internen Datenschutzbeauftragten übernimmt, kein Interessenkonflikt zwischen den Aufgaben und Pflichten als Datenschutzbeauftragtem und der regulären Tätigkeit im Unternehmen bestehen.

Da die datenschutzrechtlichen Pflichten durchaus einen unliebsamen Mehraufwand für Unternehmen bedeuten, treten insbesondere bei Mitarbeitern auf oberer Managementebene wie der Geschäftsführung häufig Interessenkonflikte auf.

Hierin liegt ein weiterer Vorteil des externen Datenschutzbeauftragten: Da dieser nicht Teil der Unternehmenssphäre ist, vermeiden Unternehmen mit seiner Bestellung Interessenkonflikte und erhalten Unterstützung durch einen Dienstleister, der seinen gesetzlichen Aufgaben und Pflichten vollumfänglich nachkommen kann.

Tabelle: Unterschiede bei Verträgen mit internen und externen Datenschutzbeauftragten