Nach der DSGVO sind datenschutzrechtlich Verantwortliche und Auftragsverarbeiter, die eine:n (externe:n) Datenschutzbeauftragte:n benannt haben, dazu verpflichtet, die Kontaktdaten zu veröffentlichen und der zuständigen Datenschutzaufsichtsbehörde mitzuteilen.
Wie melden?
Während die Veröffentlichung der Kontaktdaten in der Regel durch den jeweiligen Internetauftritt in der Datenschutzerklärung erfolgt, wird die erforderliche Meldung online über ein extra hierfür vorgesehenes Formular der jeweiligen Aufsichtsbehörde durchgeführt.
Gibt es eine Frist?
Zu welchem Zeitpunkt eine Meldung an die zuständige Aufsichtsbehörde erfolgen soll, gibt es weder Ausführungen in der DSGVO noch haben die Datenschutzaufsichtsbehörden selbst diesbezüglich Vorgaben definiert.
Grundsätzlich ist die Mitteilung der Kontaktdaten an die Aufsichtsbehörde Voraussetzung, dass Datenschutzbeauftragte die Aufgaben, welche ab der Benennung obliegen, erfüllen kann. Eine andere Frist als eine unverzüglich zu erfolgende Meldung nach der Benennung ergibt sich daher wohl nicht.
Meldung proaktiv
Denn zum einen besagt der Art. 37 Abs. 7 der DSGVO, dass der Verantwortliche oder der Auftragsverarbeiter die Kontaktdaten des Datenschutzbeauftragten veröffentlicht und diese Daten der Aufsichtsbehörde mitteilt. Daraus ist auch zu schließen, dass eine Meldung proaktiv und somit nicht erst auf Anfrage der Behörde erfolgt.
Anlaufstelle der Behörde
Zum anderen sprechen die gesetzlich festgelegten Aufgaben aus Art. 39 Abs. 1 Buchst. d und e der DSGVO dafür, dass der Meldepflicht umgehend nach der Benennung des DSB nachzukommen ist. Anders ist die dort genannte Zusammenarbeit mit der Aufsichtsbehörde und Tätigkeit als deren Anlaufstelle nicht zu gewährleisten.
Verpflichtungen nachkommen
Die Aufsichtsbehörde in Schleswig-Holstein ist zudem der Auffassung, die Mitteilung des DSB an die Aufsichtsbehörde ist auch ein Signal von Verantwortlichen und Auftragsverarbeitern, ihrer Verpflichtung zur Benennung eines DSB nachzukommen und fordert im Rahmen ihrer Praxis-Reihe: „Datenschutzbestimmungen praktisch umsetzen“ explizit eine umgehende Information bei personellen Veränderungen bei der Position von Datenschutzbeauftragte:n.
Verspätete Meldungen
Wenn eine Meldung gegebenenfalls erst deutlich später als die Benennung erfolgt, hat dieses dann Konsequenzen? Einige könnten dazu neigen, sogar deshalb besser keine Meldung als eine verspätete vorzunehmen.
Mögliche Bußgelder
Ein Verstoß gegen die Verpflichtung der Aufsichtsbehörde, die Kontaktdaten des DSB mitzuteilen, kann gemäß Art. 83 Abs. 1 Buchst. a DSGVO mit einem Bußgeld von bis zu 10.000.000 Euro oder bei Unternehmen bis zu 2 Prozent des gesamten weltweit erzielten Jahresumsatzes aus dem vorangegangenen Geschäftsjahr (je, nachdem welcher der Beträge höher ist) geahndet werden.
Ein Beispiel
Eine Geldbuße in Höhe von 51.000 Euro, die im Jahr 2019 vom Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI) aufgrund einer nicht erfolgten Meldung des DSB gegen die Facebook Germany GmbH verhängt worden ist zeigt, dass die Verpflichtung nicht als Lappalie abgetan werden sollte.
„Die Benennung des Datenschutzbeauftragten und die Mitteilung an die Aufsichtsbehörde sind Pflichten, die die DSGVO ernst nimmt. Schon kleinere Verstöße gegen derartige Pflichten können zu nicht unerheblichen Geldbußen führen“.
HmbBfDI
Besser melden
Bei der Berechnung möglicher Bußgelder sind unter anderem gemäß Art. 83 Abs. 2 Buchst. a der DSGVO die Dauer des Verstoßes und nach Art. 83 Abs. 2 Buchst. b DSGVO dessen Vorsätzlich- oder Fahrlässigkeit durch die Aufsichtsbehörden einzubeziehen.
Daher sollten sich Verantwortliche und Auftragsverarbeiter gut überlegen, ob sie nicht eher die Risiken einer verspäteten als die möglichen Konsequenzen gar keiner Meldung ihres Datenschutzbeauftragten an die Aufsichtsbehörden verantworten wollen.
Also lassen Sie sich gut beraten.
