FAQ: 7 Fragen zur Zusammenarbeit im Compliance-Team

Verantwortlich ist das Unternehmen, vertreten durch die Geschäftsleitung (Art. 24 DSGVO). Der Datenschutzbeauftragte berät und überwacht, trägt aber nicht die Verantwortung für die Einhaltung.

Unter anderem dann, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG), sowie unabhängig von der Zahl in den Fällen des Art. 37 Abs. 1 DSGVO und bei Pflicht zur Datenschutz-Folgenabschätzung.

Eine allgemeine gesetzliche Pflicht gibt es nicht. ISO/IEC 27001 verlangt, Verantwortlichkeiten für das ISMS zuzuweisen; in der Praxis übernimmt das meist eine benannte Person als ISB.

Ein generelles Verbot gibt es nicht. Unternehmen müssen die aktuelle Vertragslage bewerten, datensparsam konfigurieren, Beschäftigte informieren und, wo vorhanden, den Betriebsrat beteiligen. Die Bewertung ist zu dokumentieren.

Nur mit Kenntnis und in der Regel mit Einverständnis der Beteiligten und einer Rechtsgrundlage nach DSGVO. Das unbefugte Aufnehmen des nichtöffentlich gesprochenen Wortes ist nach § 201 StGB strafbar.

Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt der Betriebsrat bei der Einführung und Anwendung technischer Einrichtungen mit, die dazu bestimmt sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen. Nach ständiger Rechtsprechung des Bundesarbeitsgerichts genügt dafür, dass die Einrichtung objektiv zur Überwachung geeignet ist; bei Kollaborationswerkzeugen mit Nutzungs- und Protokolldaten ist das sorgfältig zu prüfen.

Gesetz und Normen nennen keinen festen Turnus. Üblich sind eine Einweisung bei Eintritt und eine jährliche Auffrischung; für NIS-2-Geschäftsleitungen verlangt § 38 Abs. 3 BSIG regelmäßige Schulungen.