Was ist ein Datensicherheitsbeauftragter?

Datensicherheit besitzt im digitalen Zeitalter einen hohen Stellenwert. Dies gilt gerade für Unternehmen, die in großem Umfang Daten verwalten und verarbeiten – etwa jene von Kunden, Lieferanten, Geschäftspartnern und Mitarbeitern.
Daher sollte es jemanden geben, der sich hauptverantwortlich um die Datensicherheit kümmert: einen Datensicherheitsbeauftragten.

Die Bezeichnung ist nicht klar definiert. Datensicherheitsbeauftragter, IT-Sicherheitsbeauftragter, Datenschutzbeauftragter – diese Begriffe scheinen auf den ersten Blick nahezu deckungsgleich und austauschbar zu sein. Bei genauerem Hinsehen lassen sich aber Unterschiede feststellen.

Abgrenzung von Datenschutz, IT und Sicherheitsthemen

• Datenschutz bezieht sich auf alle technischen und organisatorischen Maßnahmen zum Schutz, um personenbezogener Daten in Unternehmen. 

• IT-Sicherheit betrifft alle Maßnahmen zum Schutz personenbezogener Daten vor Löschung, Blockierung und Manipulation in IT-Systemen.

• Bei Datensicherheit geht es darum, alle Daten in einem Unternehmen zu sichern – unabhängig davon, ob sie in IT-Systemen oder in anderer Form (Akten, Mikrofiches usw.) hinterlegt sind.  

Erfahren Sie im Blog mehr zur Abgrenzung von Datenschutz und Informationssicherheit und den Zusammenhang von Datenschutz und Datensicherheit.

Welche rechtlichen Vorgaben gibt es? 

Für IT-Sicherheit oder Datensicherheit gibt es kaum konkrete gesetzliche Vorgaben. Die Verpflichtung, auf Datensicherheit zu achten, ergibt sich vielmehr aus den allgemeinen Sorgfaltspflichten einer ordnungsgemäßen Unternehmensführung. Ausnahmen gelten in bestimmten Bereichen. Spezifische rechtliche Regelungen bestehen jedoch nur bezüglich des Datenschutzes durch das Bundesdatenschutzgesetz (BDSG) bzw. die DSGVO. 

Sicherheitsbeauftragter: Aufgaben sind Definitionssache 

Diesem rechtlichen Rahmen entsprechend ist die Funktion des Datensicherheitsbeauftragten ähnlich der des IT-Sicherheitsbeauftragten nirgendwo verbindlich vorgeschrieben – von den genannten Ausnahmen abgesehen. Solche Vorgaben gibt es im Prinzip nur für Datenschutzbeauftragte. Dies sollte Sie nicht daran hindern, bei Bedarf eine solche Stelle einzurichten. Denn ein Funktionsträger im Unternehmen, der hauptamtlich mit Datensicherheitsfragen befasst ist, bietet einen erheblichen Sicherheitsgewinn.

Welche Aufgaben, Rechte und Pflichten ein solcher Datensicherheitsbeauftragter hat, ist letztlich der Festlegung durch die jeweilige Unternehmensleitung überlassen. Im Kern geht es darum, Datenerfassung, -verwaltung und -verarbeitung im Unternehmen systematisch und kontinuierlich zu analysieren, hinsichtlich der Sicherheit zu bewerten, Richtlinien zur Datensicherung zu entwickeln und deren Einhaltung zu überwachen. 

Datensicherheitsbeauftragter – welche Anforderungen gelten?

Aufgrund der sachlichen Nähe und Überschneidungen zwischen Datenschutz und Datensicherheit scheint es nahezuliegen, beide Funktionen in Personalunion zusammenzuführen. Dies ist aber unter Umständen problematisch, da die Möglichkeit von Interessenskonflikten nicht auszuschließen ist. In jedem Fall darf der Datenschutzbeauftragte in seiner Neutralität und Funktion nicht beeinträchtigt sein.

Ein Datensicherheitsbeauftragter sollte wie ein IT-Sicherheitsbeauftragter unabhängig von der Datenverwaltung und -verarbeitung im Unternehmen sein. Anderenfalls kann er nur schwerlich als Kontroll- oder Überwachungsinstanz fungieren. In diesem Sinne kann ein Datensicherheitsbeauftragter beispielsweise nicht zugleich IT-Leiter oder Systemadministrator sein. Selbstverständlich sollte der Funktionsträger über entsprechendes fachliches Knowhow (Datensicherheit, IT-Systeme, rechtliches Wissen) verfügen und die Datenprozesse im Unternehmen gut kennen. Zuverlässigkeit und Sorgfalt sind weitere Anforderungen. 

Interner oder externer Datensicherheitsbeauftragter

Es spricht grundsätzlich nichts dagegen, die Funktion eines Datensicherheitsbeauftragten an einen kompetenten und vertrauenswürdigen Dienstleister outzusourcen. Dies bietet sich insbesondere für kleine und mittlere Unternehmen an. Der neutrale Blick auf den Betrieb von außen und die Möglichkeit zum Benchmarking mit anderen Unternehmen bieten sogar Vorteile gegenüber einem internen Datensicherheitsbeauftragten.