Organisatorische Regelungen im Vorfeld der Auskunftserteilung

Um die Prozesse der Auskunftserteilung zu vereinfachen und vereinheitlichen, sollten bereits im Vorfeld organisatorische Fragen der Zuständigkeit der Bearbeitung der Anträge festgelegt werden.

Dies umfasst die Verteilung sowohl innerhalb des Unternehmens bzw. der Behörde wie auch die fachbereichsübergreifende Kommunikation. Es kommt nicht selten vor, dass der Auskunftsanspruch sehr unspezifisch gehalten wird. Hier ist eine Koordination der Bearbeitung zu gewährleisten.

Wichtig ist die Festlegung von Abwesenheits- und Vertretungsregelungen, um auch bei längerer Abwesenheit von Beschäftigten auf die Anträge fristgerecht reagieren zu können.

Die personelle Verantwortlichkeit fällt zunächst auf die Unternehmens- bzw. Behördenleitung. Dieser obliegt dann die Delegierung der jeweiligen Bearbeitung.

Einbindung des Datenschutzbeauftragten

Oftmals wird dem benannten Datenschutzbeauftragten (DSB) pauschal die Bearbeitung der Auskunftsansprüche übertragen. Dies ist jedoch nicht zulässig und auch nicht mit der DSGVO und der gesetzlichen Stellung des DSB zu vereinen. Es gehört ausdrücklich nicht zu den Aufgaben eines benannten DSB, Auskunftsersuchen zu beantworten.

Die gesetzliche Stellung des DSB liegt vielmehr darin, den verantwortlichen Stellen bei der Einhaltung der Verpflichtungen und Ergreifung hierfür erforderlicher Maßnahmen zu beraten und zu unterstützen, siehe Art. 39 DSGVO (Aufgabenkatalog) und Erwägungsgrund 97 Satz 1.

Es wird indes durchaus vertreten und als zulässig erachtet, dem DSB die vorbereitende Identitätsfeststellung des Betroffenen zu übertragen und auch bei größeren Auskunftsersuchen die Koordination zu überwachen (soweit dies arbeitsrechtlich im Wege des Direktionsrechts etc. möglich ist). Es ist jedoch stets darauf zu achten, dass eine Interessenkollision gemäß Art. 38 DSGVO vermieden wird. Denn es gehört zu den Aufgaben des DSB, dass betroffene Personen ihn bzgl. der Wahrnehmung ihrer Betroffenenrechte zu Rate ziehen können, vgl. Art. 38 Abs. 4 DSGVO. Soweit er das Auskunftsersuchen inhaltlich bearbeitet, führt dies jedoch zu einer „Befangenheitssituation“, die regelmäßig zu einer Beeinträchtigung in seiner Überwachungsfunktion und Stellungnach der DSGVO zu führen geeignet ist. Der DSB überwacht bzw. koordiniert lediglich die Prozesse. Gemäß Art. 38 Abs. 3 DSGVO ist er weisungsfrei und unabhängig. Zudem ist er auch Ansprechpartner der betroffenen Person gegenüber der verantwortlichen Stelle, Art. 38 Abs. 4 DSGVO.

Soweit es sich bei der Beteiligung des DSB lediglich um eine Zusammenstellung von Unterlagen, die zum Beispiel die jeweiligen Fachabteilungen zugearbeitet haben, handelt bzw.um eine Vermittlung/Durchleitung der Auskünfte der Fachabteilungen (Botenfunktion) an die betroffene Person, ist eine Interessenkollision oder auch Beeinträchtigung der Unabhängigkeit nach Art. 38 DSGVO wohl zu verneinen. Es müsste dann jedoch zum Beispiel in der Vereinbarung über die Benennung zum DSB sichergestellt werden, dass durch die Bearbeitung kein Interessenkonflikt entsteht, er seine Pflichtaufgaben weiterhin erfüllen kann und auch seine Weisungsfreiheit nicht beeinträchtigt werden darf.

Erstellung einer Richtlinie/Dienstanweisung und Schulung der Mitarbeiter

Zudem sollte eine Richtlinie/Dienstanweisung formuliert werden, in der die genauen Modalitäten von Bearbeitung/Beantwortung von Auskunftsersuchen festgelegt werden. Auch sollten regelmäßige einschlägige Schulungen der Beschäftigten festgelegt und durchgeführt werden, um eine ordnungsgemäße Zuarbeit der vorhandenen Daten zu gewährleisten.